iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 29篇
近 24 小時: 29篇
近 7 天: 126篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/9
最近更新: 11/9 17:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 126 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象5 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
彭博社1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

群聯推首款122.88 TB的PCIe 5 SSD，提供領先的讀寫效能
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/phison_pascari_d205v_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年5月中，群聯電子（Phison）發布企業級產品品牌PASCARI，這其實是7個詞彙的縮寫，包含Performance、AI、Security、Capacity、Acceleration of applications、Reliability、Innovation，代表該公司對這7大領域的品質要求，率先推出該公司第一款<a href="https://www.ithome.com.tw/review/162973">PCIe 5.0企業級固態硬碟X200系列</a>，採用TLC快閃記憶體。</p> <p>相隔半個月後登場的台北國際電腦展期間，群聯正式發表5大系列固態硬碟產品，分別是主打高效能、企業等級的X系列，提供多種外形、資料中心等級的D系列，用於伺服器與工作站系統開機儲存裝置的B系列、支援SATA儲存介面的S系列，以及針對AI模型調校應用需求的AI系列。</p> <p>在8月舉行的未來記憶體與儲存年度高峰會（FMS 2024），<a href="https://www.ithome.com.tw/review/164407">群聯在Pascari D系列產品線當中，宣布推出D200V</a>，採用QLC快閃記憶體Kioxia BiCS8（鎧俠第8代BiCS Flash記憶體），當時最大可提供的儲存容量為61.44 TB，他們預告D200V最大將提供122.88 TB。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Kioxia BiCS Generation-2024-08.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Kioxia%20BiCS%20Generation-2024-08.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Kioxia BiCS Generation-2024-08-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Kioxia%20BiCS%20Generation-2024-08-2.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Kioxia BiCS Generation 8.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Kioxia%20BiCS%20Generation%208.jpg" style="width: 500px;" /></a></p> <p>到了11月美國年度超級電腦大會SC24，Solidigm與群聯均發表具備122.88 TB容量的機型，其中，<a href="https://news.solidigm.com/en-WW/243441-solidigm-extends-ai-portfolio-leadership-with-the-introduction-of-122tb-drive-the-world-s-highest-capacity-pcie-ssd">Solidigm是在既有PCIe 4.0機型D5-P5336</a>擴充122.88 TB容量的款式，<a href="https://www.solidigm.com/products/technology/solidigm-path-to-122tb-ssd.html">預計2025年第一季供應</a>，群聯推出專屬機型Pascari D205V，宣布開放預先訂購，預計2025年第二季出貨，將提供U.2與E3.L等兩種外形。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-11-28-468051863_1104048048397577_5930461710651222027_n.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-11-28-468051863_1104048048397577_5930461710651222027_n.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2024-11-22-467845903_1099248352210880_6157387719457182279_n.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-11-22-467845903_1099248352210880_6157387719457182279_n.jpg" style="width: 198px;" /></a></p> <p>到了今年1月的美國年度消費電子展（CES），Pascari D205V也是活動現場主打的產品之一。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2025-01-10-1736401724109-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-01-10-1736401724109-web.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/D205V-2025-01-13.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/D205V-2025-01-13.jpg" style="width: 600px;" /></a></p> <p>相較於既有產品，群聯強調Pascari D205V採用該公司發展的X2控制器，以及最新的<a href="https://apac.kioxia.com/en-apac/about/news/2024/20240703-1.html">2 Tb單位儲存容量的3D QLC快閃記憶體技術</a>（Kioxia BiCS8），屬於專攻讀取密集型工作負載的固態硬碟產品，提供14,600 MB/s循序讀取效能，以及3百萬IOPS隨機讀取效能，相較於市面上的PCIe 4.0介面的61.44 TB固態硬碟產品，可提供兩倍的讀取效能與最大儲存容量。</p> <p>若與早幾個月前推出的Pascari D200V相比，Pascari D205V有何共通點？兩種款式均支援PCIe 5.0與雙埠、採用Kioxia BiCS8、每日寫入量0.3，隨機讀取效能皆為3百萬IOPS。</p> <p>以儲存容量而言，Pascari D200V提供30.72 TB、61.44 TB、122.88 TB等三種組態，Pascari D205V僅提供122.88 TB；在產品外形上，Pascari D200V有U.2、E3.S、E3.L等三種選擇，Pascari D205V提供U.2、E3.L。</p> <p><a href="https://s4.itho.me/sites/default/files/images/14320_PhisonEnterprise_Label_D205V_74x50_RGB_Horizontal_IsometricView.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/14320_PhisonEnterprise_Label_D205V_74x50_RGB_Horizontal_IsometricView.jpg" style="width: 198px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/14320_PhisonEnterprise_Label_D205V_63x25_RGB_Portrait_IsometrictView.jpg" style="width: 198px;" /></p> <p>就儲存效能而言，Pascari D205V略勝一籌。Pascari D200V的循序讀寫效能為14,000 MB/s、2,100 MB/s，Pascari D205V略勝一籌，可達到14,600 MB/s、3,200 MB/s；Pascari D200V的16K隨機讀寫效能為3百萬IOPS 、1.56萬IOPS，Pascari D205V為3百萬IOPS、3.5萬IOPS。</p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong><span style="color:#0000FF;">Phison Pascari D205V</span></strong><br /> ●原廠：群聯電子<br /> ●建議售價：廠商未提供<br /> ●儲存容量：122.88 TB<br /> ●外形：U.2、E3.L<br /> ●儲存媒體：3D NAND，QLC<br /> ●最高讀寫速度：循序14,600 MB/s與3,200 MB/s，隨機300萬IOPS（4K）與3.5萬IOPS（16K）<br /> ●使用介面：PCIe 5.0單埠（x4）或雙埠（2x2）<br /> ●耐用度：每日寫入量為0.3<br /> ●耗電量：25瓦</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/1/26 21:02作者李宗翰https://www.ithome.com.tw/review/167093
【資安月報】2025年1月，國家級駭客的網路間諜攻擊事件不斷，海纜與國家通訊韌性也受到考驗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>回顧2025年1月資安新聞，國家級駭客發動的網路間諜行動是主要焦點，在多起攻擊事件被資安界揭露之際，我們年初也特別以封面故事報導這方面的最新威脅態勢與重要變化。</p> <p>還有其他重要網路安全議題與事件同樣值得重視，包括海纜安全與通訊服務韌性，臺灣9家上市櫃發布資安重大訊息，DDoS攻擊衝擊臺灣、日本與全球等，在此我們整理出5大重要威脅態勢，幫助大家快速回顧。</p> <p><span style="color:#FF0000;"><strong>（一）國家級駭客網路間諜攻擊加劇</strong></span></p> <p>受政府資助駭客組織發動的網路間諜行動，危害持續升級，本月封面故事我們報導了這類組織近年的重要變化，例如，從受國家指揮的軍事單位，政府資助的半獨立團體，現也涵蓋到國家支持的民間企業與承包商，而其攻擊手法上，也變得更常以供應鏈攻擊、邊緣裝置漏洞來入侵滲透。</p> <p>同時，我們還整理出多項國家級駭客攻擊的現況與最新態勢，包括：<br /> ●微軟2024年度數位防禦報告中，揭露了國家級駭客鎖定攻擊的前7大目標，依序是：美國、以色列、烏克蘭、阿拉伯聯合大公國，以及英國、臺灣。<br /> ●國家級駭客鎖定電信業的情況已持續多年，在2024年呈現爆發的態勢，不只美國、東南亞的電信業有重大事故揭露，多國網路安全機構也特別真對中國駭客組織對電信業攻擊的威脅示警。<br /> ●臺灣國家安全局揭露過去一年中共網駭手法分析報告，指出我國遭受攻擊成長最多的產業，是電信業為主的通訊傳播領域，遭受攻擊比之前增長6.5倍，其次為交通、國防供應鏈，分別增長70%與57%。</p> <p>此外，後續還有一起新聞事件也呈現這方面威脅的嚴重性。日本警方也在1月上旬發布中國駭客MirrorFace（Earth Kasha）入侵警報，指出該組織在近5年對日本發動逾200起攻擊，目的是竊取日本的國家安全及先進技術的資料，並公開3波攻擊樣態與防範措施，希望促進企業組織更積極因應。</p> <p><span style="color:#FF0000;"><strong>（二）海纜安全與國家網路數位韌性受挑戰</strong></span></p> <p>本月臺灣多起海底電纜事故的新聞，持續引發國人對於通訊網路及服務韌性的關注，從1月3日中華電信海底電纜遭貨輪破壞，到1月22日發生臺馬二號海纜疑似芯線老化導致服務中斷，數位發展部在當日也緊急召開記者會說明。</p> <p>當中提到不少國人關心的重點，例如：我國目前有14條國際海纜、10條國內海纜，國際海纜方面由國際業者籌組聯盟共同投資，因此修復也是共同分擔，在國內海纜方面，雖然主要由中華電信包辦，但如今全都已經列為國家關鍵基礎設施，因此政府會監督與協助關鍵CI民間業者強化這方面的防護。</p> <p>對於近期國內海底電纜事故的狀況，數位部指出，2025年1月已經發生4次，超過2024全年的3次，的確呈現今年密集暴增的情形。而在海纜斷裂的事故原因，除了人為破壞，也有天然因素，像是最新一次的「臺馬二號海纜」是芯線老化造成。</p> <p>至於因應上，由於先前政府推動關鍵CI防護計畫，已請中華電信在2024年完成微波通訊備援，因此能在一小時內通知中華電信，啟動微波備援方案，確保民生相關的服務不致出現中斷的現象。另外也通知受補助單位電信技術中心，啟用非同步衛星站點，作為微波之備援。另外，在微波通訊、非同步衛星的網路備援機制之外，數位部也補助中華電信建置臺馬四號海纜，預計在2026年6月完工。</p> <p>此外，關於年初貨輪海纜安全事故的新聞中，還有國內學者呼籲政府重視中國對臺資訊封鎖的風險，曾擔任NCC電信普及服務基金委員的成大電機系教授李忠憲指出，國內欠缺對大規模網路中斷的應變演練，需提高對緊急狀態下的網路韌性演習。</p> <p><span style="color:#FF0000;"><strong>（三）臺灣重大資安事件</strong></span></p> <p>根據公開資訊觀測站的重大訊息公告，本月9家上市櫃公司發布資安重訊。<br /> ●第一週有4起，包含：易飛網遭遇供應鏈攻擊及資料竊取，新海瓦斯伺服器檔案遭受勒索軟體加密，悠泰科技、華航公布官網遭DDoS攻擊。<br /> ●第二週有2起，泰藝電子表示有部分資訊系統遭到網路攻擊；遠東新表示重要資通訊合作廠商遭網路攻擊，導致自家資料外洩疑慮。<br /> ●第三週有3起，聯鈞表示資訊系統遭受勒索病毒攻擊；所羅門與集團旗下新門科技在同日表示資訊系統遭受駭客攻擊。</p> <p>還有1起與臺灣有關的威脅揭露，同樣值得留意，資安業者Recorded Future針對中國駭客組織RedDelta（Earth Preta、Mustang Panda、TA416）的攻擊行動提出警告，這些駭客兩年前因中國政府聲援俄羅斯，主要攻擊鎖定歐洲各國，但自2023年下半其攻擊目標有了明顯調整，開始轉向蒙古、其他東南亞國家，還有臺灣。</p> <p><span style="color:#FF0000;"><strong>（四）DDoS攻擊威脅再度侵襲各國</strong></span></p> <p>DDoS攻擊威脅依然持續，有3則新聞成為主要焦點。</p> <p>首先，2025年一開始親俄駭客NoName057的DDoS攻擊再成焦點，臺灣已遭遇第三波攻擊，包括上市公司台塑、大眾電腦等公司發布資安重訊，根據駭客宣稱的攻擊目標，還包括主計總處、櫃買中心與20多個交通運輸、地方政府的網站。</p> <p>特別的是，遭受NoName057攻擊的國家也增加，除了之前攻擊過英國、瑞士、烏克蘭，1月還擴及印尼、加拿大、德國、義大利。這些國家均有數十個政府機關、關鍵CI與企業網站被攻擊。</p> <p>其次，日本也面臨一波未知攻擊者的DDoS攻擊，自12月底至1月上旬期間，先是傳出日本航空（JAL）因此造成航班延誤，接著三菱UFJ、瑞穗等銀行也遭攻擊，趨勢科技向當地媒體表示這期間共46起DDoS事件，都是來自同一個殭屍網路的攻擊。</p> <p>第三件新聞，則是關於巨量DDoS攻擊的揭露。Cloudflare公布最新一季DDoS攻擊態勢，指出一家東亞ISP客戶在3個月前遭遇的UDP DDoS攻擊達到5.6 Tbps，再次突破先前的記錄，並也說明攻擊是來自1.3萬臺IoT裝置。另要注意的，超過1Tbps的攻擊數量，也比前一季大增18倍。</p> <p><span style="color:#FF0000;"><strong>（五）攻擊者持續</strong></span><strong style="color: rgb(255, 0, 0);">挖掘新漏洞與</strong><span style="color:#FF0000;"><strong>發展新攻擊手法</strong></span></p> <p>關於重要網路攻擊與威脅的揭露方面，以零時差漏洞利用攻擊而言，本月新聞涵蓋Ivanti（CVE-2025-0282），微軟（CVE-2025-21333、CVE-2025-21334、CVE-2025-21335），以及Fortinet（CVE-2024-55591）。值得注意的是，在Ivanti漏洞攻擊調查的新聞中，研究人員指出發現攻擊者還會利用假裝系統升級成功的手法，包括攔截升級流程、製作假的升級進度條，並繞過系統完整性檢查，這點相當特別。</p> <p>在勒索軟體威脅上，除了注意12月新出現的勒索軟體FunkSec的消息，還有另一勒索攻擊手法揭露的新聞值得留意，是針對雲端環境而來，攻擊者先利用外流或曝險的AWS金鑰，進而濫用AWS提供的用戶端資料保護措施SSE-C，將客戶資料加密並勒索。</p> <p> </p> <h2><a href="https://www.ithome.com.tw/news/166911"><strong><span style="color: rgb(178, 34, 34);">【資安週報】0106~0110，臺灣電信業遭受中共網駭情形在2024年暴增6.5倍，交通與國防供應鏈也成被針對的重點日</span></strong></a></h2> <p>在2025年第一星期資安新聞的主要焦點是，臺灣國家安全局於1月5日發布中共網駭手法分析報告，指出2024年國安情報團隊掌握我國政府及民間網駭案中，最嚴峻是以電信業者為主的資通訊領域，遭受攻擊是前一年度的6.5倍，其次是交通與國防供應鏈，遭受攻擊也比前一年度增長，顯示這些領域已是中共新興網駭重點。</p> <p>此外，日本警方於1月8日發布中國駭客MirrorFace（Earth Kasha）入侵警報，揭露該組織5年間對日本發動逾200起攻擊。事實上，趨勢科技兩個月前已警告該組織利用多家品牌SSL VPN設備漏洞入侵。不僅日本企業受害，臺灣與印度也遭波及。因此日本警方此次公布的攻擊手法與偵測措施，也可供我國企業組織參考。</p> <p>在資安事件方面，這一星期國內多家上市櫃公司發布資安事件重訊，其遭遇事故類型涵蓋供應鏈攻擊、勒索軟體攻擊，以及DDoS攻擊事件。</p> <p>●易飛網在1月7日說明遭遇供應鏈攻擊及資料竊取，致有個資外洩。<br /> ●新海瓦斯1月9日揭露伺服器內部檔案遭受勒索軟體加密。<br /> ●悠泰科技、華航在1月7日與8日分別公布官網遭受網路DDoS攻擊。<br /> ●針對中華電信海底電纜遭貨輪破壞的事故，數位發展部表示中華電信當日已通報並啟動其他海纜備援，之後將配合海巡署、法務部、NCC與司法機關加強執法。<br /> ●資安業者Tenable傳出外掛程式更新出錯的意外事故，造成端點代理程式停擺。</p> <p>在資安威脅的攻擊技術態勢上，有1則重要消息，是關於雙點擊劫持（DoubleClickjacking）手法的揭露，研究人員提醒，多數網站已能透過「X-Frame-Options header」、「SameSite: Lax/Strict」來防範點擊劫持攻擊手法，但無法因應這種新的變種手法，研究人員闡釋攻擊原理，同時建議可藉由用戶端保護方式來緩解。</p> <p>還有不同資安業者公布其發現的最新攻擊手法，有3則同樣值得我們留意，包括：出現新型態的惡意JavaScript、Python、Ruby套件，顯示攻擊者正濫用oastify.com、oast.fun等新興應用程式安全測試OAST檢測服務；發現針對蘋果電腦用戶的新型竊資軟體Banshee，會冒用內建防毒XProtect的字串加密演算法來迴避偵測；俄羅斯網路犯罪論壇正兜售名為PhishWP的惡意WordPress外掛程式，可用於建立幾可亂真的付款網頁。</p> <p>在漏洞利用消息方面，以Ivanti的零時差漏洞利用情形最受關注，Google旗下資安公司Mandiant在漏洞公布隔日的1月10日，發布相關研究報告，研判中國駭客組織利用此漏洞進行網路間諜活動，並揭露其攻擊手法的特殊之處是假裝系統升級成功，包括：插入惡意程式碼攔截升級執行流程，製作假的升級進度條來迷惑管理員，並繞過系統完整性檢查，假裝成為升級後的版本。</p> <p>●Ivanti針對Ivanti Connect Secure等設備修補已遭利用零時差漏洞CVE-2025-0282，隔日Mandiant公布研究報告，指出該漏洞2024年12月中旬已遭利用。<br /> ●加拿大電信業者Mitel在前幾個月陸續修補MiCollab整合通訊平臺的漏洞CVE-2024-41713、CVE-2024-55550，如今被發現遭駭客鎖定利用於攻擊活動。<br /> ●Oracle於5年前修補WebLogic Server的漏洞CVE-2020-2883，當時已有資安業者指出遭駭客鎖定利用，最近美CISA將其列入限期修補的已知被利用漏洞清單。</p> <p>至於資安防禦動向上，有兩則重要新聞，一是歷經18個月討論的美國物聯網裝置網路安全標章U.S. Cyber Trust Mark正式發布；通訊軟體Telegram宣布將推出業界首創的第三方驗證機制，採更主動式防護來打擊假消息與詐騙行為。<br /> </p> <h2><a href="https://www.ithome.com.tw/news/167030"><strong><span style="color: rgb(178, 34, 34);">【資安週報】0113~0117，中國駭客RedDelta持續散布惡意程式PlugX，臺灣、東南亞與蒙古頻遭鎖定</span></strong></a></h2> <p>在2025年第二星期的資安新聞，適逢多家IT大廠每月例行安全更新發布，其中微軟與Fortinet的修補是重要焦點。微軟本月修補159個漏洞中，包含了8個零時差漏洞，其中5個已經公開揭露，另外3個更為嚴重，因為已出現實際利用狀況；資安業者Arctic Wolf在1月10日揭露一起Console Chaos攻擊行動，指出有攻擊者從去年11月針對Fortinet FortiGate防火牆設備發動零時差漏洞利用攻擊，4天後Fortinet發布相關修補資安公告。</p> <p>●微軟修補8個零時差漏洞，其中3個已遭利用，分別是：CVE-2025-21333、CVE-2025-21334、CVE-2025-21335，皆涉及Hyper-NT核心整合VSP的漏洞。<br /> ●Fortinet修補FortiOS零時差漏洞CVE-2024-55591，並表示該漏洞已遭廣泛利用。雖然Fortinet未提及漏洞是由Arctic Wolf通報，但Fortinet資安公告列出的IoC指標與Arctic Wolf的報告吻合。<br /> ●互動式BI系統Qlik Sense在2023年修補的漏洞CVE-2023-48365，最近美CISA將其列入限期修補的已知被利用漏洞清單。</p> <p>另還傳出有駭客公布1.5萬臺Fortinet防火牆的詳細組態配置資料、VPN帳密，研究人員推測可能是駭客透過2年前的零時差漏洞取得，雖然許多防火牆可能早已修補，但因這批資料包含防火牆規則的完整資料，因此研究人員提醒不要忽略這些能夠防範的風險。</p> <p>在威脅態勢上，使用PlugX惡意程式的中國駭客威脅，是資安界與國家網路安全機構關注的重點，不僅有資安業者揭露攻擊態勢，後續我們還發現，有國家執法單位正設法積極移除這類威脅的消息。</p> <p>首先，資安業者Recorded Future揭露中國駭客RedDelta（也叫做Earth Preta、Mustang Panda、TA416）自2023年中旬將網路攻擊目標轉向蒙古、臺灣與東南亞，主要是配合中國外交政策，而且近半年更是擴大攻擊範圍，鎖定馬來西亞、日本、美國、衣索比亞、巴西、澳洲、印度。</p> <p>其次，美國FBI在1月14日宣布，在與法國執法單位及資安公司Sekoia合作下，經美國法院授權，遠端刪除美國境內4,200電腦上被感染的中國駭客散布的PlugX惡意軟體，並通知受影響使用者。</p> <p>在其他重要威脅態勢與事件上，有兩起是鎖定開發人員與資安研究人員的揭露，包括攻擊者假借提供漏洞偵測工具，或是漏洞驗證工具，但實則暗藏惡意程式；有兩起是勒索軟體威脅的最新動向，其中專門針對AWS S3儲存桶的勒索軟體攻擊值得留意，因為攻擊者濫用了AWS本身提供的資料保護措施。<br /> ●有攻擊者提供偽裝成以太坊智慧合約漏洞偵測工具的NPM套件，宣稱能找出潛在漏洞，實際上該套件暗藏遠端存取木馬Quasar RAT。<br /> ●有駭客假借提供去年12月LDAPNightmare漏洞的概念驗證程式碼，意圖對資安研究人員散布竊資軟體。資安專家提醒，若要研究PoC應從原始揭露來源取得。<br /> ●新興勒索軟體FunkSec出現值得留意，資安業者Check Point指出這是去年12月，不僅會發動雙重勒索，並研判該組織運用了AI輔助開發相關工具。<br /> ●新發現有勒索軟體駭客的攻擊手法，是利用外流或是不慎曝光的AWS金鑰，接著濫用了AWS提供的資料保護措施SSE-C將客戶資料加密，再向使用者勒索。</p> <p>此外，還有兩起關於臺灣上市櫃公司的資安事件，專注於石英頻率控制元件的泰藝電子在1月12日發布重訊，說明有部分資訊系統遭到網路攻擊；國內老牌紡織纖維業者遠東新世紀〈原遠東紡織〉在1月16日發布重訊，說明他們接獲重要資通訊合作廠商通報，與自家公司合作的相關系統有資料外洩疑慮。</p> <p style="margin: 0px;"> </p> <h2><a href="https://www.ithome.com.tw/news/167152"><strong><span style="color: rgb(178, 34, 34);">【資安週報】0120~0124，國家級駭客攻擊全球，網路間諜攻擊威脅大增，電信產業成2024年重災區</span></strong></a></h2> <p>適逢農曆年節前夕，在2025年第三星期資安新聞的主要焦點，是國家級駭客的最新進展，顯現電信業在2024已成駭客攻擊頭號目標的態勢，不只最近美國9家電信業遭中國駭客滲透的事故，還有多國電信業近年持續被發現遭中國駭客入侵。</p> <p>此次報導亦整理出最新威脅態勢，突顯這些組織不只直接攻擊企業組織，更聚焦於邊緣裝置漏洞利用等方式滲透，而且供應鏈攻擊也深入臺灣發展的軟體與服務，像是近年一起資安事故就是透過ERP入侵，並且真正攻擊目標是臺灣無人機產業。</p> <p>在資安事件方面，這一星期國內多家上市櫃公司發布資安事件重訊，最大焦點是以AI機器視覺與機器人當紅的所羅門，因為這又是一起同集團均受影響的狀況；韓國VPN業者IPany遭入侵所引發的供應鏈攻擊事件亦受關注，資安業者指出是中國駭客PlushDaemon所為。<br /> ●上市公司聯鈞光電1月19日說明部分資訊系統遭遇勒索軟體攻擊。<br /> ●上市公司所羅門在1月23日說明資訊系統遭受駭客攻擊，同日所羅門集團旗下的上櫃公司新門科技，亦發布相同資安重訊內容。目前所羅門集團官網無法連線。<br /> ●韓國VPN業者IPany遭駭，攻擊者在原廠提供的安裝檔加料散布惡意程式SlowStepper，這起供應鏈攻擊目標包含韓國半導體、軟體業，日本用戶也受害。<br /> ●HPE內部系統憑證、產品原始碼疑遭竊取，知名初始入侵管道掮客IntelBroker在駭客論壇上兜售。HPE表示已著手調查。</p> <p>在威脅態勢與事件上，殭屍網路的威脅揭露是一大焦點，因為有4起消息與之有關，佔據本星期新聞事件不少版面。<br /> ●1.3萬臺MikroTik路由器被駭客綁架組成殭屍網路，藉此發送垃圾郵件並散布木馬，特殊之處是駭客利用DNS記錄設定不良來通過SPF的驗證，2萬網域遭利用。<br /> ●駭客透過Mirai變種殭屍網路發動創下新高的5.6 Tbps的UDP DDoS攻擊，Cloudflare一家東亞ISP的客戶成為目標，且攻擊時間是2024萬聖夜期間。<br /> ●cnPilot路由器被殭屍網路Airashi利用零時差漏洞綁架，攻擊者不只用於發動DDoS攻擊，也藉此提供非法代理伺服器服務。<br /> ●Mirai變種殭屍網路Murdoc的攻擊活動被揭露，主要鎖定陞泰IP攝影機、華為路由器。</p> <p>在漏洞消息方面，有兩則漏洞利用的消息，一是今年1月初，專為多雲環境設計的雲端網路控制平臺Aviatrix Controllers，修補CVSS評分10分的重大漏洞CVE-2024-50603，在1月23日美國CISA將其列入已知被利用漏洞清單（KEV），對當地機構要求限期修補；另一是2020年JQuery的老舊漏洞CVE-2020-11023，同樣在當日被列入KEV清單。</p> <p>另外，我們觀察到2個研究人員發現的新資安問題，值得大家留意，一是資安研究人員發現可濫用Cloudflare快取，進而推測用戶地理位置的手法；另一是發現群組原則已設定只接受NTLMv2的情況下，仍有部分應用程式可透過ParameterControl的參數，來請求NTLMv1驗證訊息。</p> <p>至於資安防禦發展新聞中，有一項重要消息是，Google釋出新的軟體組成分析函式庫OSV-SCALIBR，將有助於協助生成精準的SBOM，並提升漏洞檢測效能。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/166878">【2024年12月資安月報，美國9家電信業遭中國駭客Salt Typhoon滲透，政府呼籲使用全程加密的即時通訊App】</a></h3> <h3><a href="https://www.ithome.com.tw/news/166394">【2024年11月資安月報，身分安全與AI成資安熱點，電信業滲透事件敲響警鐘】</a></h3> <h3><a href="https://www.ithome.com.tw/news/165787">【2024年10月資安月報】關切資安法修法、零信任、CMMC 2.0與資訊作戰，迎向不斷變化的資安威脅考驗</a></h3> <h3><a href="https://www.ithome.com.tw/news/165258">【2024年9月資安月報】數十個臺灣政府機關、企業的網站服務遭受DDoS攻擊</a></h3> <h3><a href="https://www.ithome.com.tw/news/165169">【2024年8月資安月報】</a></h3> <h3><a href="https://www.ithome.com.tw/news/164223">【2024年7月資安月報】</a></h3> <p> </p> </div></div></div>
2025/1/26 21:17作者羅正漢https://www.ithome.com.tw/news/167154
Hugging Face釋出號稱業界最小多模態語言模型，推論單一圖片不用1GB RAM
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">AI資源平臺Hugging Face上周<a href="https://HuggingFace.co/blog/smolervlm" target="_blank">公布SmolVLM二款新多模態模型</a>，SmolVLM-256M及SmolVLM-500M，前者號稱是全球最小的多模態及影片語言模型（video language model，VML）。</p> <p dir="ltr">Hugging Face團隊去年訓練2款80B參數的VLM，再縮成8B模型，然後縮小成SmolVLM 2B模型。然後他們決定再進一步縮小，著重效率、混合資料以及在不同需求間取得折衷。成果是強大但體積極小的多模態模型，包括SmolVLM 256M與SmolVLM 500M，各有基礎模型和指令微調模型。這些模型可以直接載入到transformer MLX和ONNX上。</p> <p dir="ltr">作為SmolVLM家族的新成員，256M及500M都是使用SigLIP為圖片編碼器，以SmolLM2為文字編碼器。他們在多項標竿測試超越一年半前才釋出的Idefics 80B模型。其中<a href="https://HuggingFace.co/HuggingFaceTB/SmolVLM-256M-Instruct" target="_blank">256M</a>是最小型的VLM及多模態模型，它能接受任何序列的圖片和文字，生成文字輸出。SmolVLM能勝任多種多模態任務，包括生成圖片描述或短影片字幕、PDF或掃瞄文件問答，以及回答關於圖表的問題。輕巧架構的架構讓它適合行動裝置上應用，同時維持強大效能。它以不到1GB的GPU RAM就能在單一圖片上執行推論。</p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/0126-smoller_benchmarks_Hugging%20Face_SmolVLM.png" style="width: 600px;" /></p> <p dir="ltr"><span style="color:#696969;"><span style="font-size:14px;">圖片來源／Hugging Face</span></span></p> <p dir="ltr">需要更高效能的組織可以選擇<a href="https://HuggingFace.co/HuggingFaceTB/SmolVLM-500M-Instruct" target="_blank">SmolVLM-500M</a>模型。500M在文件理解DocVQA和多模態推理標竿測試MMMU的表現不輸之前的2B。這模型對提示回應能力更佳，適用部署於組織營運環境。500M模型也是相當輕巧高效的模型，在單一圖片上推論僅需1.23GB的GPU RAM。二款模型微調後表現更佳。</p> <p dir="ltr">兩款模型都是以Apache 2.0授權開源。研究團隊提供了transformer和WebGU二種示範。所有模型和示範<a href="https://HuggingFace.co/collections/HuggingFaceTB/smolvlm-256m-and-500m-6791fafc5bb0ab8acc960fb0" target="_blank">都公布於此</a>。</p> </div></div></div>
2025/1/26 19:56作者林妍溱https://www.ithome.com.tw/news/167155
傳美國政府協調甲骨文等公司洽談收購TikTok
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">非營利組織<a href="https://www.npr.org/2025/01/25/g-s1-44779/tiktok-ban-deal-trump-oracle" target="_blank">NPR報導</a>，美國川普政府正在和甲骨文及其他美國科技業者商討收購短影片應用程式TikTok。</p> <p dir="ltr">報導引述消息人士指出，美國政府正在斡旋TikTok中國母公司字節跳動（ByteDance）和美國公司的交易。美方計畫是字節跳動（ByteDance）持有50%以下的股權，而由美國科技公司取得TikTok全球業務的過半股權，而其中甲骨文將監管TikTok的軟體、演算法及資料蒐集。這意謂著TikTok營運未來將實質掌握在美國手中。</p> <p dir="ltr">消息人士並指出，微軟也在洽談收購TikTok出資者之列。</p> <p dir="ltr">這發展將實現川普對TikTok的計畫。川普在上任前，承諾將解救TikTok被拜登政府生效的法案禁用的命運。在上任頭一天他簽署行政命令，要求司法部暫緩執行法律75天，但前提是TikTok必須賣給美國。他當時屬意中國和美國科技公司以合資持有TikTok，而美國公司持股50%。</p> <p dir="ltr">上任第一天川普在和甲骨文、軟銀、OpenAI發布Stargate計畫的記者會上，川普也曾和甲骨文技術長Larry Ellison非正式<a href="https://www.ithome.com.tw/news/167108" target="_blank">談到</a>讓甲骨文收購TikTok。</p> <p dir="ltr">此前彭博<a href="https://www.cnbc.com/2025/01/13/china-considers-selling-tiktok-us-operations-to-musk-bloomberg-.html" target="_blank">報導</a>中國政府屬意TikTok出售給馬斯克。而川普似乎不反對。官方表態上，中國外交部上周一反之前反對意見，<a href="https://www.axios.com/2025/01/20/china-tiktok-sale-willing" target="_blank">表示</a>私人企業有權決定要出售給誰或和誰合併。</p> <p dir="ltr">媒體<a href="https://www.voachinese.com/a/donald-trump-says-china-tariffs-could-hinge-on-tiktok-deal-20250121/7944495.html?utm_source=chatgpt.com" target="_blank">分析</a>，中國之所以同意，原因可能來自，以出售TitTok緩解美國威脅調高關稅的壓力，甚至換取其他領域，例如臺灣問題的談判籌碼，而且與美國公司合併至少能維持中國企業在美國的經濟利益，當然也能搏得自由開放的名聲。</p> <p dir="ltr">甲骨文於2020年川普第一任期曾提議收購TikTok美國業務，但最終並未成真。但甲骨文仍然是TikTok美國流量的代理資料中心唯一合作夥伴，藉此解決美國政府的國安疑慮。</p> </div></div></div>
2025/1/26 20:13作者林妍溱https://www.ithome.com.tw/news/167157
【資安週報】0120~0124，國家級駭客攻擊全球，網路間諜攻擊威脅大增，電信產業成2024年重災區
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>適逢農曆年節前夕，在2025年第三星期資安新聞的主要焦點，是國家級駭客的最新進展，顯現電信業在2024已成駭客攻擊頭號目標的態勢，不只最近美國9家電信業遭中國駭客滲透的事故，還有多國電信業近年持續被發現遭中國駭客入侵。</p> <p>此次報導亦整理出最新威脅態勢，突顯這些組織不只直接攻擊企業組織，更聚焦於邊緣裝置漏洞利用等方式滲透，而且供應鏈攻擊也深入臺灣發展的軟體與服務，像是近年一起資安事故就是透過ERP入侵，並且真正攻擊目標是臺灣無人機產業。</p> <p>在資安事件方面，這一星期國內多家上市櫃公司發布資安事件重訊，最大焦點是以AI機器視覺與機器人當紅的所羅門，因為這又是一起同集團均受影響的狀況；韓國VPN業者IPany遭入侵所引發的供應鏈攻擊事件亦受關注，資安業者指出是中國駭客PlushDaemon所為。<br /> ●上市公司聯鈞光電1月19日說明部分資訊系統遭遇勒索軟體攻擊。<br /> ●上市公司所羅門在1月23日說明資訊系統遭受駭客攻擊，同日所羅門集團旗下的上櫃公司新門科技，亦發布相同資安重訊內容。目前所羅門集團官網無法連線。<br /> ●韓國VPN業者IPany遭駭，攻擊者在原廠提供的安裝檔加料散布惡意程式SlowStepper，這起供應鏈攻擊目標包含韓國半導體、軟體業，日本用戶也受害。<br /> ●HPE內部系統憑證、產品原始碼疑遭竊取，知名初始入侵管道掮客IntelBroker在駭客論壇上兜售。HPE表示已著手調查。</p> <p>在威脅態勢與事件上，殭屍網路的威脅揭露是一大焦點，因為有4起消息與之有關，佔據本星期新聞事件不少版面。<br /> ●1.3萬臺MikroTik路由器被駭客綁架組成殭屍網路，藉此發送垃圾郵件並散布木馬，特殊之處是駭客利用DNS記錄設定不良來通過SPF的驗證，2萬網域遭利用。<br /> ●駭客透過Mirai變種殭屍網路發動創下新高的5.6 Tbps的UDP DDoS攻擊，Cloudflare一家東亞ISP的客戶成為目標，且攻擊時間是2024萬聖夜期間。<br /> ●cnPilot路由器被殭屍網路Airashi利用零時差漏洞綁架，攻擊者不只用於發動DDoS攻擊，也藉此提供非法代理伺服器服務。<br /> ●Mirai變種殭屍網路Murdoc的攻擊活動被揭露，主要鎖定陞泰IP攝影機、華為路由器。</p> <p>在漏洞消息方面，有兩則漏洞利用的消息，一是今年1月初，專為多雲環境設計的雲端網路控制平臺Aviatrix Controllers，修補CVSS評分10分的重大漏洞CVE-2024-50603，在1月23日美國CISA將其列入已知被利用漏洞清單（KEV），對當地機構要求限期修補；另一是2020年JQuery的老舊漏洞CVE-2020-11023，同樣在當日被列入KEV清單。</p> <p>另外，我們觀察到2個研究人員發現的新資安問題，值得大家留意，一是資安研究人員發現可濫用Cloudflare快取，進而推測用戶地理位置的手法；另一是發現群組原則已設定只接受NTLMv2的情況下，仍有部分應用程式可透過ParameterControl的參數，來請求NTLMv1驗證訊息。</p> <p>至於資安防禦發展新聞中，有一項重要消息是，Google釋出新的軟體組成分析函式庫OSV-SCALIBR，將有助於協助生成精準的SBOM，並提升漏洞檢測效能。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/167064"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月20日】駭客綁架MikroTik路由器從事網釣攻擊，意圖散布惡意軟體</span></strong></a></h3> <p>攻擊者看上路由器將其綁架組成殭屍網路，多半是為了用來從事DDoS攻擊，近期有人卻將其用於規畫更為複雜的網路攻擊行動，使得相關手法更難防範。</p> <p>這起資安事故特別之處在於，攻擊者也搭配了DNS的不當組態，而能藉此假冒合法的網域名稱寄送釣魚信，使得信件不會被郵件安全系統視為有害。</p> <h3><a href="https://www.ithome.com.tw/news/167100"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月21日】駭客聲稱握有IT大廠HPE的內部資料，該公司正在著手調查</span></strong></a></h3> <p>去年底初始入侵管道掮客IntelBroker先後於<a href="https://www.ithome.com.tw/news/166719">10月</a>、<a href="https://www.ithome.com.tw/news/166757">12月</a>兩度公布思科的內部資料，而在今年初這些駭客又有動作，他們聲稱手上有伺服器大廠HPE的內部檔案。</p> <p>值得留意的是，這些駭客並非首次表明竊得HPE內部的資料，去年2月，<a href="https://www.bleepingcomputer.com/news/security/hpe-investigates-new-breach-after-data-for-sale-on-hacking-forum/">他們號稱從HPE開發環境取得內部資料</a>。究竟這次駭客兜售的資料是否與之前有關？有待進一步釐清。</p> <p><a href="https://www.ithome.com.tw/news/167118"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月22日】陞泰IP攝影機已知漏洞再傳遭到Mirai變種殭屍網路鎖定</span></strong></a></p> <p>去年美國網路安全暨基礎設施安全局（CISA）、資安業者Akamai揭露陞泰科技（Avtech）的IP攝影機漏洞CVE-2024-7029，並表示已有攻擊行動出現，如今有資安業者發現，可能還有其他駭客用於殭屍網路攻擊。</p> <p>資安業者Qualys揭露綁架超過5,500臺裝置的殭屍網路Murdoc，並提及攻擊者運用已知漏洞對裝置散布惡意軟體，其中一個就是CVE-2024-7029。</p> <h3><a href="https://www.ithome.com.tw/news/167142"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月23日】中國駭客入侵韓國VPN業者IPany發動供應鏈攻擊，竄改安裝程式散布後門</span></strong></a></h3> <p>駭客入侵軟體開發業者，並在正式發布的軟體裡加入惡意程式碼的情況，不時有事故傳出，最近一起針對韓國VPN業者的攻擊事故揭露，引起外界的關注。</p> <p>值得留意的是，發動這起事故的中國駭客組織PlushDaemon，開發了具備超過30種功能的後門程式來從事攻擊，但資安業者ESET發現，這些駭客也著手開發威力更加強大的版本。</p> <h3><a href=" https://www.ithome.com.tw/news/167151"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月24日】印度駭客組織DoNot假借提供即時通訊軟體的名義散布惡意程式</span></strong></a></h3> <p>駭客鎖定安卓手機收集資料的情況，隨著全球國際局勢的緊張，這種攻擊也不斷出現，其中，最常見的就是要受害者授予各式的存取權限，從而大肆搜刮手機的資料並監控使用者，如今這樣的手法出現變化。</p> <p>資安業者Cyfirma揭露印度駭客組織DoNot（APT-C-35）近期的攻擊行動當中，駭客的惡意App在取得輔助功能權限後，竟是透過訊息推播的方式，發動第二波網釣攻擊</p> <p> </p> </div></div></div>
2025/1/25 17:46作者羅正漢https://www.ithome.com.tw/news/167152
2025年全球風險報告出爐，錯假訊息、網路間諜戰是短期10大風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>世界經濟論壇（WEF）在1月15日發布了《<a href="https://reports.weforum.org/docs/WEF_Global_Risks_Report_2025.pdf">2025年全球風險報告</a>》，此次剛好是該報告發布的第20周年。在今年短期風險中，第一名是科技類型風險，這已是連續兩年有此狀況，長期風險仍以多項環境風險為主、科技風險次之。</p> <p>基本上，WEF將風險分成五大類，包括經濟、環境、地緣政治、社會，以及科技風險。</p> <p>根據2025報告內容指出，未來2年全球十大風險而言，科技風險居於第1名與第5名，最值得優先關注，分別是錯誤資訊與假訊息，以及網路間諜與戰爭。</p> <p>其他重要風險包括：環境風險居於第2名、第6名，分別是極端氣候、污染；地緣風險居於第3名、第9名，分別是國家武裝衝突、地緣經濟對抗；社會風險佔據第4、7、8、10名，最高是排第4的社會兩極化。</p> <p>值得我們關注的是，關於「錯誤資訊與假訊息」一項，已是連續兩年居於短期10大風險之首。</p> <p>對此狀況，報告中特別強調生成式AI在大規模產生虛假或誤導性內容方面的作用，以及與另一項風險社會兩極化的關聯。</p> <p>同時，WEF也直截了當指出，社會接觸到的虛假或誤導性內容數量是持續增加，讓公民、企業與政府辨識真實資訊的挑戰更加艱難。</p> <p>更關鍵的是，在錯誤資訊、社會及政治兩極化這兩者的交互作用下，進一步加劇演算法偏見的風險。而且，演算法偏見也成為加劇錯誤資訊的推手，在這樣的態勢下也讓威脅者有機可趁，利用演算法偏見上的漏洞來擴大影響力。</p> <p>此外，還要加上全球數據治理與監管政策各異，這也造成公民數位足跡面臨隱私保護與監控風險的兩難局面。</p> <p>面對社會分裂感日益增強的狀況，在一個分裂世界中是否可能達成共識是否可能？WEF列出幾項建議，例如：企業需加強技術與倫理培訓，減少演算法偏見，政府與社會應推動公民數位素養教育，提升隱私保護與辨識假訊息的能力，同時建立AI使用的透明框架，才能讓數位生態重建信任基礎。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E5%9C%962)WEF%E7%99%BC%E5%B8%832025%E5%B9%B4%E5%85%A8%E7%90%83%E9%A2%A8%E9%9A%AA%E5%A0%B1%E5%91%8A_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90WEF.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(128, 128, 128);"><strong>在世界經濟論壇（WEF）發布的2025年全球風險報告中，</strong></span><span style="color: rgb(128, 0, 128);"><strong>科技類型風險</strong></span><span style="color: rgb(128, 128, 128);"><strong>成全球最大挑戰，錯誤資訊與假訊息（Misinformation and disinformation）</strong></span><span style="color: rgb(128, 128, 128);"><strong>連兩年居於首要風險，網路間諜與戰爭（Cyber espionage and warfare）</strong></span><span style="color: rgb(128, 128, 128);"><strong>排第五；至於長期風險排名第一仍是環境類型風險的極端氣候事件。</strong></span></p> <p>另一項不可輕忽的科技風險是排名第五的「網路間諜與戰爭」。這項風險日益嚴峻的原因，同樣與其他風險項目有所連動。WEF提到多項重點，例如，虛假或誤導內容的氾濫，導致地緣政治環境更加複雜化，地緣經濟對抗的這項風險，從前一年度的第14名攀升至第9名，在這種局勢下，政府主導的商業網路間諜活動也可能會變得更加頻繁。而且，上述這些也都是與國家武裝衝突高度相關的風險。</p> <p>換個角度，從未來10年的十大風險來看，WEF指出最主要還是環境風險，涵蓋第1到第4名與第10名，科技風險也不容小覷，居於第5、6、9名，當中不僅是包含錯誤資訊與假訊息、網路間諜與戰爭，還有一項是「AI技術的不良後果」。WEF指出，這項風險在短期風險排名仍低，但在長期風險卻是上升幅度最大的風險之一。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E5%9C%962)WEF%E7%99%BC%E5%B8%832025%E5%B9%B4%E5%85%A8%E7%90%83%E7%B6%B2%E8%B7%AF%E5%AE%89%E5%85%A8%E5%B1%95_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90WEF.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(128, 128, 128);"><strong>WEF在1月13日還有發布一份《 <a href="https://www.weforum.org/publications/global-cybersecurity-outlook-2025/">2025年全球網路安全展望</a>》報告，當中指出地緣政治緊張、技術快速發展，使得網路安全複雜度超越以往，不論是地緣政治緊張局勢升級、供應鏈的日益複雜、新興科技的快速採用，以及不斷增加的法規要求，都加劇了這種複雜性。</strong></span><strong style="color: rgb(128, 128, 128);">而這樣的複雜性，也導致了網路安全的不平等現象變得日益嚴重，資源較少的組織更難以應對不斷變化的威脅。</strong></p> </div></div></div>
2025/1/25 18:00作者羅正漢https://www.ithome.com.tw/news/167153
零售IT雙周報第50期：Walmart大力投資門市內OMO訂單履行能力，要在400間門市增設自動化物流設備
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#0000ff;"><strong>重點新聞(0112~0125)</strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#自動化物流 #門市內訂單履行</span></strong></span><br /> <strong>Walmart計畫在400家門市內增設自動化設備，支援電商與BOPIS訂單履行</strong></p> <p>零售龍頭Walmart將旗下先進系統與機器人技術部門，賣給智慧倉儲系統商Symbotic，同時簽署專屬供應契約，12年內，後者開發的自動化倉儲技術，只能提供給Walmart。</p> <p>Walmart將相關部門賣給Symbotic，是希望強化後者開發能量，並為Walmart 400間門市打造自動化訂單履行設備，包括軟體面的AI機器人管理技術，以及硬體面的自動化物流機器人。這些設備會用來支援門市出貨的電商訂單，以及線上下單線下取貨（BOPIS）等OMO訂單履行模式。此計畫中，Walmart預計分期支付共5.2億美元給Symbotic。</p> <p>這是Walmart自從發展電商以來，持續大力投資智慧倉儲與物流的又一步。2024年，他們不只持續開設大型智慧物流中心，也<a href="https://www.ithome.com.tw/news/166270">利用大數據技術</a>大幅改善物流效率，降低高達40%的物流成本。近月，<a href="https://www.ithome.com.tw/news/166033">他們更開設了新型OMO門市，有一般門市4倍大的電商訂單履行和則2倍多的BOPIS專用停車位。</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#GCP #生成式AI #搜尋功能</span></strong></span><br /> <strong>GCP推出一系列針對零售業者打造的生成式AI與AI代理人功能</strong></p> <p><a href="https://www.googlecloudpresscorner.com/2025-01-09-Google-Cloud-Unveils-New-Retail-Solutions-for-the-Agentic-AI-Era">GCP宣布一系列零售業生成式AI新功能與既有功能強化。</a>首先是AI代理人平臺Google Agentspace，開始支援零售業應用場景，例如可以打造目錄管理員，自動整合商品目錄數據，並回答關於商品的問題。</p> <p>AI搜尋功能Vertex AI Search for Commerce，則新增對話式商務（Conversational commerce）功能，這是一個結合原有Vertex AI Search搜尋功能的聊天機器人，可以整合進零售業者數位通路，用自然語言和顧客互動、提供搜尋商品，以及回答問題。</p> <p>另一個重要新功能是，利用生成式AI來補齊和豐富產品目錄數據的功能。此功能利用Gemini 1.5 Pro、Gemini 1.5 Flash和Imagen 3等多模態模型，來提升產品目錄的數據準確性，並能豐富更多圖片、描述等商品資訊。<a href="https://www.ithome.com.tw/news/165047">這個功能類似於Walmart先前用來提升百倍生產力的生成式AI應用方法。</a></p> <p>另外，GCP聯網門市類的解決方案，開始能使用最新圖像生成影片模型Veo，以及文字生成圖像模型Imagen 3，進一步強化商家運用多模態生成式AI的能力。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#AI代理人 #生成式AI #智慧POS #訂單履行</span></strong></span><br /> <strong>Salesforce推出零售用AI代理人功能，同時升級POS系統來支援更多購物場景</strong></p> <p>無獨有偶的，Salesforce也針對零售業推出<a href="https://www.salesforce.com/news/press-releases/2025/01/10/agentforce-retail-cloud-pos-announcement/">新AI代理人功能</a>。他們於代理人平臺Agentforce中新增零售專用代理人技能庫，包含訂單管理、預約排程、導購服務和忠誠度管理等。訂單管理可以讓顧客以對話形式更改付款或送貨等訂單細節；導購服務可以用自然語言對顧客推薦商品後，根據對話內容自動幫顧客完成下單與結帳；預約排程則可以協助顧客根據商家實際有的空檔，來安排送貨、安裝和諮詢等現場服務；忠誠度管理功能，則是透過對話來執行促銷活動和會員經營。</p> <p>Salesforce升級Retail Cloud產品線中的POS系統，整合線上和線下庫存數據，並能建立顧客檔案，紀錄購物行為、偏好和忠誠度狀態。這個POS還支援「混合購物車」功能，為購物車中的每個商品獨立設定訂單履行模式，如BOPIS、宅配等。此POS系統以在行動裝置執行為前提設計，將店員從櫃檯解放。新POS系統也和Commerce Cloud、Service Cloud和Order Management等其他Salesforce產品線的功能原生整合。</p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color:#0099ff;">#RMN3.0 #微軟 #AWS</span></strong><br /> <strong>微軟與AWS相繼推出RMN 3.0服務，提供零售業者經營RMN的IT支援</strong></p> <p>AWS和微軟相繼推出RMN 3.0相關服務，提供零售業者經營RMN所需的IT支援，CSP自己則作為平臺方，整合更多來源的數據和更多行銷通路。</p> <p><a href="https://advertising.amazon.com/library/news/retail-ad-service-announcement">AWS做法是提供自家RMN用的廣告科技</a>，讓零售商能夠在搜尋頁面、瀏覽頁面及商品頁面上展示Amazon廣告，經營RMN。利用此服務搭建的廣告系統，會結合庫存狀態和價格資訊，以及情境化資料，確保顧客所見廣告為適合且有現貨的商品。投放廣告後，廣告數據分析會在AWS數據無塵室（DCR）中進行，於加密執行環境中，為零售商及其廣告主產生去識別化的行銷成效報告。</p> <p><a href="https://about.ads.microsoft.com/en/blog/post/january-2025/microsoft-advertisings-new-commerce-media-innovations-unlock-growth-for-brands-and-retailers">微軟則對是開放零售商串接數據及廣告版位到Micosoft Advertising平臺。</a>零售業者可以直接用微軟平臺一站式處理數據分析、廣告交易及專案管理。不過，微軟並沒有解釋技術細節，例如零售業者如何導入或整合所需的Adtech技術，以及零售業者對於廣告操作的選項。</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#ERP #生成式AI #會員經營</span></strong></span><br /> <strong>SAP推出零售業專用ERP等多種零售新解決方案</strong></p> <p><a href="https://news.sap.com/2025/01/sap-nrf-2025-retail-public-cloud-erp-ai-shopping-assistant/">ERP大廠SAP推出一系列零售業新解決方案。</a>首先是專門為零售業設計的ERP，強調針對零售商品銷售、供應鏈整合、門市營運與OMO通路管理設計功能。</p> <p>這個新ERP及其他既有產品線中，還新增了多種會員經營功能，包括連結顧客檔案到支付工具的精準行銷、跨品牌及跨企業的會員黏著度管理、提供全通路促銷規畫功能、會員旅程規畫功能，以及結合財務系統來衡量這些行銷投資報酬率的功能。</p> <p>另外，他們將於2025年上半年正式推出AI購物助理，透過SAP CX AI Toolkit提供。此功能以SAP Commerce Cloud現有的AI功能為基礎打造，可以透過自然語言對話，協助顧客客戶快速找到他們所需的產品。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#數位孿生 #門市管理 #行銷素材製作 #生成式AI</span></strong></span><br /> <strong>L'Oreal和Lowe's如何應用數位孿生</strong></p> <p>在近期全美零售聯合會年會中，美妝品牌L'Oreal和家居品牌Lowe's各自揭露自家應用數位孿生的方法。</p> <p>L'Oreal為自家商品製作3D數位孿生，並將檔案提供給行銷代理商，支援他們用生成式AI來製作行銷素材。這是因為，3D數位孿生能精確捕捉產品的幾何形狀、比例和細節，且能3D模型可以從任何角度或視角進行渲染，利用Stable Diffusion等圖像生成式AI製作行銷圖時，能更靈活調整內容，同時保留商品細節。</p> <p>Lowe's則是為旗下1,700間門市製作數位孿生，並每天根據庫存及營運數據更新。這是為了持續分析門市狀態，並模擬、調整不同的店鋪布局模式，來強化顧客購物體驗。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多零售IT動態</span></strong></span></p> <p>Momo旗下RMN已經有超過萬家品牌客戶，雙11廣告投放金額較前一年的總廣告營收成長3.5倍</p> <p>富士通鎖定零售業等產業，提供數據與系統整合搭配數位顧問的服務平臺</p> <p>大型連鎖藥局Walgreens CEO表示將貨架上鎖的防盜措施，造成的銷售下滑反而得不償失</p> <p><a href="https://corporate.bestbuy.com/2025/best-buy-marketplace/">大型連鎖3C零售商Best Buy推出第三方市集，並整合自家RMN服務</a></p> <p><a href="https://corporate.lowes.com/newsroom/stories/fresh-thinking/5-tech-savvy-ways-lowes-simplifying-homeownership">Lowe's的會員資訊與家具管理平臺將加入生成式AI功能，進一步支援會員的家具組裝與維修</a></p> <p>資料來源：iThome整理，2025年1月</p> <p>責任編輯：郭又華</p> <p>圖片來源：Walmart</p> <p></p> </div></div></div>
2025/1/24 12:31作者郭又華https://www.ithome.com.tw/news/167147
【資安日報】1月24日，印度駭客組織DoNot假借提供即時通訊軟體的名義散布惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客鎖定安卓手機收集資料的情況，隨著全球國際局勢的緊張，這種攻擊也不斷出現，其中，最常見的就是要受害者授予各式的存取權限，從而大肆搜刮手機的資料並監控使用者，如今這樣的手法出現變化。</p> <p>資安業者Cyfirma揭露印度駭客組織DoNot（APT-C-35）近期的攻擊行動當中，駭客的惡意App在取得輔助功能權限後，竟是透過訊息推播的方式，發動第二波網釣攻擊。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167150"><strong style="font-size: 22px;">印度駭客組織DoNot鎖定安卓用戶，散布惡意軟體Tanzeem</strong></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/android17-3.jpg" style="width: 300px; float: right;" /></p> <p>隨著全球國際局勢日益緊張，駭客鎖定特定人士手機收集情報的事故，最近兩年有越來越繁的現象，而且，在手法上也有所變化。</p> <p>資安業者Cyfirma指出，被稱為DoNot、APT-C-35的印度駭客組織，假借提供聲稱可進行網路聊天的程式Tanzeem、Tanzeem Update，意圖對於特定組織及個人的安卓手機發動攻擊。</p> <p>根據Cyfirma對惡意App的分析，他們發現內含OneSignal訊息推送平臺的元件，由於此平臺廣泛被行動App及網頁應用程式推送通知、電子郵件、簡訊，因此研究人員認為，駭客很有可能是濫用OneSignal推送含有釣魚連結的通知，從而發動進一步的攻擊。</p> <p><a href="https://www.ithome.com.tw/news/167130"><strong style="font-size: 22px;">Mirai殭屍網路攻擊規模再創新高，資安業者Cloudflare攔下規模5.6 Tbps的DDoS攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/0123-cloudflare-ddos report-mirai.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0123-cloudflare-ddos%20report-mirai.png" style="float: right; width: 300px;" /></a></p> <p>資安業者Cloudflare本周公布2024年第4季DDoS攻擊活動的統計報告，指出在引發網路層DDoS攻擊的殭屍網路中，Mirai占6%，季增131%相當值得留意。</p> <p>該公司提及在10月29日出現史上規模最大的DDoS攻擊，一家東亞ISP客戶遭到流量高達5.6 Tbps的攻擊事故，流量來自1.3萬臺物聯網（IoT）裝置，歷時約80秒。這些裝置遭到Mirai變種程式感染後，集體發動的DDoS攻擊。</p> <p>論及攻擊來源與受害國家，印尼、香港、新加坡、烏克蘭和阿根廷是最大來源。臺灣、香港、中國、菲律賓和德國是最主要攻擊目標；Cloudflare臺灣客戶發生7起DDoS攻擊，由前季的第7名躍升到第3名。</p> <p><a href="https://www.ithome.com.tw/news/167104"><strong style="font-size: 22px;">微軟已棄用的NTLMv1驗證機制，仍可能被啟動用於攻擊</strong></a></p> <p>微軟早已將NTLM（NT LAN Manager）列為過時的身分驗證機制，但資安業者Silverfort發現，Active Directory群組原則用於限制NTLMv1的機制，在設計上因支援舊系統的需求，可能被攻擊者濫用以重新啟用NTLMv1，對企業資安帶來潛在風險。</p> <p>研究人員發現，部分應用程式可以透過名為ParameterControl的參數，來請求NTLMv1驗證訊息，即使系統規則已設置為只接受更安全的NTLMv2。該問題尤其影響非Windows用戶端環境，因為這些用戶端在應用程式的要求下，可能使用不安全的驗證資料，導致網路流量暴露於遭攻擊者攔截與破解的風險。</p> <p>攻擊者可以攔截並破解NTLMv1流量，進而取得用戶憑證執行橫向移動或權限提升等進階攻擊行為。研究人員強調，僅依賴Active Directory群組原則並無法完全阻擋NTLMv1的使用，特別是當企業使用內部開發或第三方應用程式時，這些應用可能無意間允許或啟用不安全的驗證機制。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/sonicwall-warns-of-sma1000-rce-flaw-exploited-in-zero-day-attacks/">SonicWall防火牆設備SMA 1000系列存在重大漏洞，已傳出被用於攻擊行動</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.ithome.com.tw/news/166898">【電信業屢遭國家級駭客鎖定】美國多家電信業遭駭成2024最大網路間諜事故</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167149"><strong style="font-size: 22px;">供房地產網站使用的WordPress佈景主題、外掛存在重大漏洞，攻擊者有機會得到3萬個網站的管理權限</strong></a></p> <p>鎖定WordPress外掛程式的漏洞攻擊事故頻傳，因此相關漏洞的通報與揭露也相當值得網站管理員留意，若是外掛程式開發團隊沒有修補漏洞，管理員還是要採取相關措施因應，以免網站成為歹徒下手的目標。</p> <p>資安業者Patchstack表示在去年9月，發現WordPress佈景主題RealHome和外掛程式Easy Real Estate存在重大層級的漏洞CVE-2024-32444、CVE-2024-32445，他們向開發商InspiryThemes通報此事，迄今尚未得到回覆，因此他們呼籲網站管理員在廠商沒有提供修補之前，應停用佈景主題及外掛程式因應。</p> <p>這兩種延伸套件提供那些功能？RealHome是專為房仲網站設計的佈景主題，提供相關樣式設計，具備高度客製功能，甚至開發團隊外掛程式支援，而能擴充它的能力，其中一款就是本次揭露的社群網帳號登入模組Easy Real Estate。此佈景主題的付費版本已賣出近3.2萬套，因此漏洞影響的範圍可能相當廣泛。</p> <p><a href="https://www.ithome.com.tw/news/167139"><strong style="font-size: 22px;">思科修補防毒軟體ClamAV阻斷服務漏洞，防止攻擊者中斷防毒掃描</strong></a></p> <p>思科（Cisco）釋出1.4.2和1.0.8版開源防毒軟體ClamAV，其中一項重要安全更新是修補可能導致拒絕服務（DoS）攻擊的漏洞CVE-2025-20128。該漏洞存在於OLE2檔案格式解析的過程，攻擊者可以利用經過特殊設計的檔案，使ClamAV防毒掃描功能崩潰，進一步影響其運作。用戶目前可以在ClamAV官網、GitHub Release頁面以及Docker Hub上找到更新檔案。</p> <p>CVE-2025-20128漏洞由Google的OSS-Fuzz專案發現，主要問題出在OLE2檔案解密過程出現緩衝區溢出讀取錯誤。該問題自ClamAV 1.0.0版本就已存在，影響所有目前仍在支援範圍內的版本，攻擊者一旦成功濫用此漏洞，就可能導致防毒掃描中斷，雖然不會直接影響整體系統的穩定性，但卻會對用戶安全防護構成威脅。</p> <p>儘管目前沒有發現針對CVE-2025-20128漏洞的攻擊案例，但官方特別強調，已經有公開的概念性驗證程式碼流傳。這代表該漏洞可能成為攻擊的目標，思科敦促企業應立即檢查現有環境並套用相關更新。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/researcher-says-abb-building-control-products-affected-by-1000-vulnerabilities/">研究人員指出ABB大樓控制系統存在超過1千項弱點</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/aws-patches-vulnerabilities-in-workspaces-appstream-2-0-and-dcv-clients/">AWS修補WorkSpaces、AppStream、DCV高風險漏洞</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/qnap-fixes-six-rsync-vulnerabilities-in-hbs-nas-backup-recovery-app/">威聯通為NAS設備修補檔案同步工具Rsync弱點</a></strong></p> <p></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167141"><strong style="font-size: 22px;">預算遭大砍4成，數位部表示將影響打詐、通訊韌性基礎建設及資通安全</strong></a></p> <p>針對預算被刪減近36億元，佔整體預算編列4成，數位部重申，受衝擊的業務包括通訊韌性基礎建設、打詐、產業發展，資安方面，好不容易建立的資通安全團隊可能面臨人才流失，另外，資安管理工作AI化發展受阻，也將使得風險增加。</p> <p>針對立法院刪減114年度預算一事，數位部次長林宜敬近期表示，立院在野黨大幅刪減數位部的預算，對於臺灣的韌性及產業發展將帶來重大的影響。其中韌性基礎建設，數位部已在全臺警、消、軍部署773個非同步衛星網路，確保在天災及緊急危難時，對外網路通訊的順暢，去年也展示高空氣球緊急通訊設計，預算被刪減將造成韌性建設發展受阻，使臺灣面臨巨大的風險。</p> <p>在資安方面，臺灣地處地緣政治，每天平均受到240萬次的境外資安攻擊，數位部為水、電、電信、金融等關鍵基礎設施，以及政府機關、醫療院所提供24小時資安監控及防護，預算刪減將危及關鍵基礎設施的資安防護能力，威脅風險增加。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167020"><strong style="font-size: 22px;">推動AI代理人應用，Nvidia提供AI護欄微服務、內容安全防範工具</strong></a></p> <p>Nvidia宣布推出NIM AI護欄微服務，以解決企業對AI代理人的資料安全或違反法令的疑慮。此服務是Nvidia NeMo護欄（NeMo Guardrails）軟體工具集的一部分，都是以NIM微服務提供，包含內容安全、主題控管及越獄偵測。NeMo Guardrails是Nvidia開源的工具套件，可讓開發人員為LLM應用程式加入可程式化的護欄（Guardrails）或管理規則。</p> <p>新推出的內容安全微服務可防止AI生成有偏見或有害的輸出，確保符合倫理標準。主題控管微服務則確保對話內容的主題在許可範圍內，避免離題或不適當內容。越獄偵測微服務則防範使用者越獄（jailbreak），以免AI遭到不當利用的攻擊。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/167142"><strong>【1月23日】中國駭客入侵韓國VPN業者IPany發動供應鏈攻擊，竄改安裝程式散布後門</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167118"><strong>【1月22日】陞泰IP攝影機已知漏洞再傳遭到Mirai變種殭屍網路鎖定</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167100"><strong>【1月21日】駭客聲稱握有IT大廠HPE的內部資料，該公司正在著手調查</strong></a></p> </div></div></div>
2025/1/24 17:28作者周峻佑https://www.ithome.com.tw/news/167151
Subaru車聯網爆重大漏洞，攻擊者可遠端控制車輛、追蹤位置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安研究人員Shubham Shah與Sam Curry<a href="https://samcurry.net/hacking-subaru#visualizing-a-year-of-subaru-location-history">發現</a>，Subaru車聯網系統STARLINK（非SpaceX星鏈服務Starlink）管理面板存在一項重大安全漏洞，此漏洞允許攻擊者利用車主個人基本資訊對車輛進行遠端控制，包括啟動引擎、解鎖車門，以及查詢精確到5公尺內的車輛歷史位置記錄。該漏洞影響範圍廣泛，涵蓋所有美國、加拿大及日本連接STARLINK的車輛。經研究人員回報後，Subaru已在24小時內完成修補，並聲明未發現有惡意濫用的情況。</p> <p>此次安全事件的核心問題在於，攻擊者只需極少的車主資訊例如姓氏和郵遞區號，便能存取並控制特定車輛。此外，管理面板還可存取車主的個人資料，如地址、緊急聯絡人及帳單資訊，甚至能查詢過去一年車輛位置記錄。這些資訊的洩露不僅侵犯個人隱私，更可能被有心人士用於惡意目的，例如精確追蹤車輛位置。</p> <p>STARLINK系統的漏洞源於管理面板的多項設計缺陷。其中，密碼重設功能在沒有任何驗證機制，如確認信或一次性密碼的情況下，允許任何人僅憑電子郵件地址即可重設帳戶密碼。此外，儘管系統有實作雙因素驗證（2FA），但其驗證流程僅在客戶端執行。攻擊者發現，透過移除網頁程式碼中觸發雙因素驗證彈出視窗的JavaScript函式，即可完全繞過驗證，直接取得後端系統的完整操作權限。</p> <p>系統對管理面板使用者的電子郵件存取也缺乏嚴格限制，攻擊者可利用API介面，像是安全問題查詢功能，透過提交不同的電子郵件地址測試其有效性，列舉出合法的員工帳戶資訊，進一步接管帳戶並繞過身分驗證。</p> <p>廠商雖然迅速修復了漏洞，但該事件暴露出STARLINK車聯網系統存在權限管理與資料保護的結構性問題，包括過於寬鬆的員工權限設計、缺乏完善的API安全防護機制等。研究人員指出，Subaru員工擁有相當大的資料存取權限，例如一個18歲員工可以跨州查詢車主的敏感資訊，而且不會觸發任何警報。</p> </div></div></div>
2025/1/24 16:52作者李建興https://www.ithome.com.tw/news/167148
印度駭客組織DoNot鎖定安卓用戶，散布惡意軟體Tanzeem
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著全球國際局勢日益緊張，駭客鎖定特定人士手機收集情報的事故，最近兩年有越來越繁的現象，而且，在手法上也有所變化。</p> <p><a href="https://www.cyfirma.com/research/android-malware-in-donot-apt-operations/">資安業者Cyfirma指出</a>，被稱為DoNot、APT-C-35的印度駭客組織，假借提供聲稱可進行網路聊天的程式Tanzeem、Tanzeem Update，意圖對於特定組織及個人的安卓手機發動攻擊。</p> <p>研究人員先後於去年10月、12月看到兩個版本的惡意程式檔案，兩個版本檔案功能大致相同，差別在於對介面進行些微調整。</p> <p>一旦使用者依照指示安裝，手機就會出現Tanzeem App的歡迎畫面，然後顯示開始聊天的按鈕，一旦使用者點選，就會出現彈出式訊息，要求授予輔助功能權限。然而若是使用者照做，不會進入聊天的畫面，原因是惡意程式並未具備相關功能。</p> <p>根據Cyfirma對惡意App的分析，他們發現內含OneSignal訊息推送平臺的元件，由於此平臺廣泛被行動App及網頁應用程式推送通知、電子郵件、簡訊，因此研究人員認為，駭客很有可能是濫用OneSignal推送含有釣魚連結的通知，從而發動進一步的攻擊。</p> </div></div></div>
2025/1/24 17:05作者周峻佑https://www.ithome.com.tw/news/167150
供房地產網站使用的WordPress佈景主題、外掛存在重大漏洞，攻擊者有機會得到3萬個網站的管理權限
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>鎖定WordPress外掛程式的漏洞攻擊事故頻傳，因此相關漏洞的通報與揭露也相當值得網站管理員留意，若是外掛程式開發團隊沒有修補漏洞，管理員還是要採取相關措施因應，以免網站成為歹徒下手的目標。</p> <p>資安業者Patchstack表示在去年9月，發現<a href="https://patchstack.com/articles/unauthenticated-privilege-escalation-vulnerability-patched-in-real-home-theme/">WordPress佈景主題RealHome和外掛程式Easy Real Estate存在重大層級的漏洞</a>，他們向開發商InspiryThemes通報此事，迄今尚未得到回覆，因此他們呼籲網站管理員在廠商沒有提供修補之前，應停用佈景主題及外掛程式因應。</p> <p>這兩種延伸套件提供那些功能？RealHome是專為房仲網站設計的佈景主題，提供相關樣式設計，具備高度客製功能，甚至開發團隊外掛程式支援，而能擴充它的能力，其中一款就是本次揭露的社群網帳號登入模組Easy Real Estate。此佈景主題的付費版本已賣出近3.2萬套，因此漏洞影響的範圍可能相當廣泛。</p> <p>Patchstack揭露存在於RealHome的漏洞，登記為CVE-2024-32444，這是未經身分驗證的權限提升漏洞，起因是此佈景主題的程式碼在處理使用者輸入的內容時，並未進行授權或是檢查，一旦網站啟用使用者註冊的功能，攻擊者就有機會接管網站，CVSS風險評為9.8。此外，該佈景主題並未檢查使用者是否呼叫特定功能函數inspiry_ajax_register，攻擊者可使用$user_role變數建立管理員角色的帳號。</p> <p>另一個出現在Easy Real Estate的漏洞是CVE-2024-32445，Patchstack指出該漏洞形成的原因與CVE-2024-32444類似，攻擊者只要知道管理者的電子郵件信箱，就能在無須掌握對應密碼的情況下，登入任何使用者的帳號，CVSS風險評分同樣達到9.8。研究人員指出，這項漏洞發生的原因，在於該外掛程式並未驗證電子郵件信箱發出的POST請求。</p> </div></div></div>
2025/1/24 15:55作者周峻佑https://www.ithome.com.tw/news/167149
蘋果iOS 18.3、macOS 15.3將自動啟用Apple Intelligence
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果本周釋出iOS 18.3、iPadOS 18.3以及macOS 15.3，將讓新款iPhone、iPad及Mac電腦自動啟用Apple Intelligence。</p> <p>根據<a href="https://developer.apple.com/documentation/ios-ipados-release-notes/ios-ipados-18_3-release-notes#New-Features" target="_blank">iOS/iPadOS 18.3</a>及<a href="https://developer.apple.com/documentation/macos-release-notes/macos-15_3-release-notes" target="_blank">macOS Sequoia 15.3</a>網頁，新安裝或更新到最新OS版本的用戶，其設備會在重開機時自動啟用Apple Intelligence。啟用後裝置才會連網下載Apple Intelligence模型。</p> <p>在此之前，用戶必須在「設定」下的「Apple Intelligence & Siri」中，選擇「取得Apple Intelligence」來啟用這項功能。</p> <p>更新後Apple Intelligence成為預設啟動。要關閉Apple Intelligence，用戶就必須反過來，在「設定」下的「Apple Intelligence & Siri」中選擇「關閉Apple Intelligence」。</p> <p>想獲得蘋果AI功能的用戶，必須具備iPhone 16系列、iPhone 15 Pro、iPhone 15 Pro Max、搭載A17 Pro或M1晶片以上版本的iPad，或是M1晶片以上版本的Mac電腦。</p> </div></div></div>
2025/1/24 11:23作者林妍溱https://www.ithome.com.tw/news/167145
Anthropic推出Claude Citations功能，強化AI回應的來源驗證與可信度
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>人工智慧新創公司Anthropic宣布推出<a href="https://www.anthropic.com/news/introducing-citations-api">Claude Citations</a>功能，允許其大型語言模型Claude在生成的回覆中直接引用資料來源，藉此提升人工智慧回應的可信度和可驗證性。此功能已正式整合至Anthropic API和Google雲端的Vertex AI平臺，供開發者用於建置人工智慧應用程式。</p> <p>以往開發者需要透過複雜的提示詞工程，引導Claude提供資料來源，過程耗時且效果不一。現在，透過Citations功能，開發者只需將PDF和純文字檔來源文件提交給模型，Claude便會自動在回覆中標註引用內容的出處，精確到句子層級。根據Anthropic內部測試顯示，Citations功能的準確度比用戶自行設計的提示詞方法提升15％。</p> <p>Citations功能的運作機制，是將來源文件切分成句子片段，或是由用戶提供已分段文本，再與使用者輸入的上下文資訊一起傳遞給Claude模型。模型在生成結果時，會比對這些片段，並在引用相關資訊時自動加上註釋，指向對應的來源文件。此機制無需額外的檔案儲存空間，並與現有的Messages API整合。</p> <p>該功能有助於解決人工智慧生成內容的可信度問題，讓開發者更容易地建構具備可靠資訊來源的人工智慧應用，例如文件摘要、複雜問答系統和客戶支援等，並提升使用者對人工智慧應用的信任。Citations功能計費方式維持既有的Token計價模式，使用者僅需支付輸入的Token費用，引用來源輸出的標註文字則不收費，僅需為其他生成的內容付費。</p> </div></div></div>
2025/1/24 12:11作者李建興https://www.ithome.com.tw/news/167146
OpenAI公布AI代理人Operator，美國Pro方案用戶先試用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI昨（23）日公布自有代理人Operator，可代用戶上網搜尋、打字及執行其他任務。Operator目前以研究預覽版形式提供給美國的Pro付費用戶試用，未來會逐步推向其他國家及方案。</p> <p><a href="https://operator.chatgpt.com/" target="_blank">Operator網頁</a>已經上線。Operator具有自己的瀏覽器，若用戶需要它查詢或操作網頁，它可以和人類一樣讀取網頁並在網頁上打字、點擊或下拉卷軸。它會代用戶搜尋、提供建議，並在用戶同意下代為執行如下單等任務。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0124-opeanai-operator-2.jpg" style="width: 600px;" /></p> <p>Operator網頁正上方有一行ChatGPT的提示輸入列，下方有多項類別標籤，包括餐飲、快遞/外送、旅遊、購物等，每類標籤提供建議的網頁以及預設的提示。例如OpenTable下預設了預訂餐廳座位、或請它建議提供4.5星以上評價的餐廳等。用戶也可以直接輸入搜尋提示。根據執行長Sam Altman和其他OpenAI員工<a href="https://www.youtube.com/watch?v=CSE77wAdDLg" target="_blank">示範Operator的影片</a>，Operator在OpenTable上打字搜尋到數家符合要求餐廳、回覆用戶請求決定，並詢問用戶是否代為訂位。</p> <p>目前Operator為研究預覽版，今天起已提供月費200美元的Pro方案美國用戶使用。OpenAI表示這項服務會再推向其他地區，也會提供給Plus、Teams及Enterprise方案用戶。而歐盟地區也必須再等等。</p> <p>技術上，Operator使用的是名為使用電腦的代理人（Computer-Using Agent，CUA）。CUA結合GPT-4o的視覺能力及以強化式學習（reinforcement learning）訓練出的進階推理能力。CUA旨在和螢幕上的圖形化使用者介面（graphical user interfaces，GUI）如按鍵、選單和文字欄位互動。</p> <p>Operator的「觀看」能力來自螢幕擷圖，其螢幕互動能力是滑鼠和鍵盤允許的行為，因而它不需使用API整合就能在網頁上執行任務。如果Operator遭遇困難或犯錯，它會運用推理能力自行修正。而當卡住需要協助時，就會將控制權丟回給用戶。</p> <p>OpenAI表示CUA雖然還在開發階段，但在<a href="https://openai.com/index/computer-using-agent/" target="_blank">標竿測試</a>如WebArena及WebYoyager中，瀏覽器使用表現超過之前的SOTA（state of the art）模型。此外CUA在OSWorld標竿測試，也展現出比之前SOTA模型更好的電腦使用能力。</p> <p>Operator使用很容易，用戶可以在提示鍵中輸入自然語言描述想做的任務。在任何網站上，用戶都可加入客製指令建立個人化作業流程，像是Booking.com上設定偏好的航空公司，也能在特定網頁上儲存提示以加速日後使用，例如在eBay上添購日常用品。Operator還能像瀏覽器一樣多工作業，可允許另起對話執行新的任務，像是一邊訂房、一邊訂機票。不過OpenAI強調在任何作業上，用戶都可隨時接手主控權。</p> <p>目前OpenAI和多家電商或線上服務業者合作，包括DoorDash、Instacart、OpenTable、Priceline、StubHub、Thumbtack、Uber、eBay、路透社等，以提供更流暢的自動化服務。</p> <p>另一方面，OpenAI強調安全與隱私。除了加入護欄確保模型不被濫用，OpenAI為Operator加入行為限制以確保隱私。例如在需要登入、支付資訊或解決CAPTCHA時，會主動要求用戶自行輸入付款資訊或密碼。在完成重要任務，如送出email或下單前，Operator要求用戶許可。尤其在高度敏感站像是電子郵件或銀行網站，它會要求用戶檢查。它也會拒絕高度敏感任務，例如轉帳或投遞履歷。</p> <p>OpenAI允許用戶在ChatGPT設定中關閉「為所有人改進模型」，以防止Operator對話被用於訓練模型。用戶也可以在Operator設定的「隱私」頁中，刪除所有上網資料及登出網站。不過<a href="https://techcrunch.com/2025/01/23/openai-says-it-may-store-deleted-operator-data-for-up-to-90-days/" target="_blank">Techcrunch</a>報導，即使用戶刪除，資料還是會在系統內保存90天，超過ChatGPT的30天。</p> </div></div></div>
2025/1/24 11:11作者林妍溱https://www.ithome.com.tw/news/167143
Cisco修補防毒軟體ClamAV DoS漏洞，防止攻擊者中斷防毒掃描
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>思科（Cisco）釋出開源防毒軟體<a href="https://blog.clamav.net/2025/01/clamav-142-and-108-security-patch.html">ClamAV 1.4.2和1.0.8版本</a>，其中一項重要安全更新是修補可能導致拒絕服務（DoS）攻擊的漏洞CVE-2025-20128。該漏洞存在於OLE2檔案格式解析的過程，攻擊者可以利用經過特殊設計的檔案，使ClamAV防毒掃描功能崩潰，進一步影響其運作。用戶目前可以在ClamAV官網、GitHub Release頁面以及Docker Hub上找到更新檔案。</p> <p>CVE-2025-20128漏洞由Google的OSS-Fuzz專案發現，主要問題出在OLE2檔案解密過程出現緩衝區溢出讀取錯誤。該問題自ClamAV 1.0.0版本就已存在，影響所有目前仍在支援範圍內的版本，攻擊者一旦成功濫用此漏洞，就可能導致防毒掃描中斷，雖然不會直接影響整體系統的穩定性，但卻會對用戶安全防護構成威脅。</p> <p>拒絕服務攻擊是一種常見的攻擊手法，發生於防毒系統這類重要的應用影響重大，特別是ClamAV為一款被廣泛使用的開源防毒工具。Cisco特別強調，此漏洞沒有臨時替代方案，只有升級至最新的修補版本才能完全解決問題。</p> <p>儘管目前沒有發現針對CVE-2025-20128漏洞的攻擊案例，但官方特別強調，已經有公開的概念性驗證程式碼流傳。這代表該漏洞可能成為攻擊的目標，Cisco敦促企業應立即檢查現有環境，確保ClamAV的版本已更新至1.4.2或1.0.8。</p> </div></div></div>
2025/1/24 08:21作者李建興https://www.ithome.com.tw/news/167139
【資安日報】1月23日，中國駭客入侵韓國VPN業者IPany發動供應鏈攻擊，竄改安裝程式散布後門
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客入侵軟體開發業者，並在正式發布的軟體裡加入惡意程式碼的情況，不時有事故傳出，最近一起針對韓國VPN業者的攻擊事故揭露，引起外界的關注。</p> <p>值得留意的是，發動這起事故的中國駭客組織PlushDaemon，開發了具備超過30種功能的後門程式來從事攻擊，但資安業者ESET發現，這些駭客也著手開發威力更加強大的版本。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167133"><strong style="font-size: 22px;">韓國VPN業者IPany遭駭，攻擊者在原廠提供安裝檔上加料以散布惡意程式SlowStepper</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/IPany-figure-6.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/IPany-figure-6.png" style="width: 300px; float: right;" /></a></p> <p>近年來鎖定軟體業者而來的供應鏈攻擊不時傳出，其中一種就是在公司正式提供用戶下載的網站上，提供含有惡意內容的安裝程式，使得毫無戒心的使用者可能會因此中招。</p> <p>資安業者ESET揭露針對韓國VPN服務業者IPany的軟體供應鏈攻擊事故，中國駭客組織PlushDaemon從2023年發動攻擊，並在該公司VPN軟體的安裝程式植入後門程式SlowStepper，此為具備超過30種元件的多功能惡意軟體，用途是廣泛監控使用者並收集資料。</p> <p>對於這起事故的受害範圍，ESET惡意軟體研究員Facundo Muñoz指出，他們根據遙測的資料，在去年11月、12月，發現有日本及中國使用者受害，此外，ESET也確認有使用者於韓國半導體公司、尚未確認身分的軟體開發業者的網路環境裡，發現用戶電腦試圖安裝木馬程式的跡象。</p> <p><a href="https://www.ithome.com.tw/news/167138"><strong style="font-size: 22px;">殭屍網路Airashi利用零時差漏洞綁架cnPilot路由器，不只發動DDoS攻擊，也打算提供非法代理伺服器服務</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/aisuru_powerproof_2025-01-15-11_08_01-1-1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/aisuru_powerproof_2025-01-15-11_08_01-1-1.png" style="float: right; width: 300px;" /></a></p> <p>去年8月下旬電玩平臺Steam發生大規模DDoS攻擊，傳出與當時推出不久的大型電玩遊戲黑神話：悟空有關，中國資安業者奇安信指出，駭客動用多達60個殭屍網路，對全球Steam伺服器發動4波攻擊，其中號稱是攻擊主力的殭屍網路Aisuru，如今出現新的變種攻擊行動。</p> <p>奇安信X實驗室Alex.Turing、Wang Hao等4名研究人員指出，Aisuru在上述攻擊行動曝光後，9月短暫停止攻擊行動，但背後的駭客組織在利益的驅動下，先後在10月、11月對殭屍網路進行翻新，其中11月底出現的殭屍網路Aisuru變種，駭客稱為Airashi。</p> <p>新的殭屍網路變種更換主要綁架的網路設備，駭客針對美國網路設備業者Cambium Networks提供的無線基地臺cnPilot而來，利用零時差漏洞散布惡意程式；再者，並指出攻擊者有意提供非法代理伺服器的新服務。</p> <p><a href="https://www.ithome.com.tw/news/167115"><strong style="font-size: 22px;">Cloudflare快取被濫用於零點擊攻擊，Signal與Discord用戶地理位置遭洩露</strong></a></p> <p>資安研究人員Daniel（@hackermondev）在GitHub揭露一個新型零點擊攻擊，利用Cloudflare的快取機制推測用戶的地理位置，對Signal和Discord等廣泛使用快取的應用程式造成威脅。此攻擊不需用戶執行任何操作，只要日常的推播通知或附件下載即可觸發，在GitHub引發開發者社群對隱私與安全風險的關注。</p> <p>這項攻擊的核心原理，是利用Cloudflare快取回傳的HTTP標頭中包含的地理相關資訊，例如cf-cache-status和cf-ray參數。當用戶裝置存取啟用快取的資源時，攻擊者可以分析這些參數，推斷資源被快取的資料中心位置，進而估算出用戶的物理位置。</p> <p>零點擊攻擊的特性使其難以偵測，尤其對記者、異議人士及其他隱私敏感群體構成威脅。研究人員指出，雖然Cloudflare已修補部分漏洞，例如阻止攻擊者透過其內部網路進行資料中心的直接定位，但攻擊者仍可藉助VPN等替代方法，繞過修補措施並重現攻擊效果。</p> <p><a href="https://www.ithome.com.tw/news/167140"><strong style="font-size: 22px;">川普下令解除所有美國國土安全部顧問委員會成員職務，恐波及Salt Typhoon攻擊電信業者事故調查</strong></a></p> <p>根據Dark Reading、SecurityWeek、The Hacker News、The Register等多家新聞網站報導，美國總統川普宣布解除所有國土安全部（DoH）顧問委員會的成員，其中包含了組成網路安全暨基礎設施安全局（CISA）與網路安全審查委員會（Cyber Safety Review Board，CSRB）的人員。由於CSRB尚在調查中國駭客Salt Typhoon大規模攻擊美國電信業者的資安事故，這項人事命令很可能對相關調查造成衝擊。</p> <p>1月20日國土安全部代理秘書Benjamine C. Huffman宣布此事，並指出理由是為了消除資源遭到濫用的情況，確保他們行動的優先順序會以國家安全為考量。未來該委員會的工作，將會完全集中在保護國家及國土安全部的重點戰略任務。</p> <p>Benjamine C. Huffman在信裡並未提及新的顧問委員會成員，但表示原本的成員可重新申請回鍋。</p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=150945&SPOKE_DATE=20250123&COMPANY_ID=2359"><strong style="font-size: 22px;">所羅門資訊系統遭受攻擊</strong></a></p> <p>1月23日下午3時電子零件業者所羅門於股市公開觀測站發布重大訊息，指出他們偵測到資訊系統遭受攻擊的情況，該公司資訊部門第一時間執行斷網阻隔處理，避免事故影響範圍擴大，並全面啟動防禦機制，邀集外部資安公司技術專家協同處理。</p> <p>而對於這起事故可能會帶來的影響，所羅門表示目前營運一切正常，根據他們的初步評估，對公司財務及業務無影響。</p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=160603&SPOKE_DATE=20250123&COMPANY_ID=5432"><strong style="font-size: 22px;">新門資訊系統遭受攻擊</strong></a></p> <p>繼電子零件業者所羅門發布重大訊息後，下午4時太陽能系統零組件業者新門也於股市公開觀測站發布重大訊息，證實資訊系統遭受攻擊，為避免事故影響範圍擴大，該公司資訊部門第一時間切斷網路連線處理，並全面啟動防禦機制，邀集外部資安公司技術專家協同處理。</p> <p>而對於這起事故可能會帶來的影響，根據新門的初步評估，對公司財務及業務無影響，目前營運也一切正常。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/powerschool-hacker-claims-they-stole-data-of-62-million-students/">雲端校園管理系統PowerSchool遭供應鏈攻擊，駭客聲稱竊得逾6千萬學生資料</a></strong></p> <p><strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/powerschool-hacker-claims-they-stole-data-of-62-million-students/"></a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.ithome.com.tw/news/166903">【2025最新國家級駭客攻擊與威脅變化】邊緣裝置成駭客主要滲透媒介，軟體與服務供應鏈的風險加劇</a></strong></p> <p></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/critical-zero-days-impact-premium-wordpress-real-estate-plugins/">供房地產網站使用的WordPress外掛存在重大漏洞，攻擊者有機會得到管理權限</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/7-zip-fixes-bug-that-bypasses-the-windows-motw-security-mechanism-patch-now/">7-Zip存在高風險MoTW漏洞，揭露此事的資安業者趨勢科技公布細節</a></strong></p> <p></p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/hackers-exploit-16-zero-days-on-first-day-of-pwn2own-automotive-2025/">汽車漏洞挖掘競賽Pwn2Own Automotive 2025於日本東京舉行</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167032"><strong style="font-size: 22px;">微軟於Windows Insider Canary頻道擴大測試管理員防護功能</strong></a></p> <p>微軟在Windows 11 Canary頻道開始推送Windows 11 Insider Preview 27774版本，擴大測試管理員防護（Administrator Protection）功能，並新增了讓用戶可直接透過Windows安全性設定啟用的選項。該功能藉由即時權限提升機制及強化的身分驗證流程，降低管理員權限遭到濫用的風險，同時提升整體系統安全性。</p> <p>微軟於2024年10月首次公開管理員防護功能，這是一個專門針對惡意軟體與攻擊者濫用管理員權限攻擊而設計。管理員用戶登入系統時，預設僅具有標準用戶的權限，當需要執行高權限操作時，像是安裝軟體或修改系統設定，用戶需經由Windows Hello驗證身分，包括輸入PIN碼或使用生物辨識。在驗證完成後，系統會以隔離的會話短暫授權該操作。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/167118"><strong>【1月22日】陞泰IP攝影機已知漏洞再傳遭到Mirai變種殭屍網路鎖定</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167100"><strong>【1月21日】駭客聲稱握有IT大廠HPE的內部資料，該公司正在著手調查</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167064"><strong>【1月20日】駭客綁架MikroTik路由器從事網釣攻擊，意圖散布惡意軟體</strong></a></p> </div></div></div>
2025/1/23 18:14作者周峻佑https://www.ithome.com.tw/news/167142
預算遭大砍4成，數位部：將影響打詐、通訊韌性基礎建設及資通安全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對預算被刪減近36億元，佔整體預算編列4成，數位部今天（1/23）重申，受衝擊的業務包括通訊韌性基礎建設、打詐、產業發展，資安方面，好不容易建立的資通安全團隊可能面臨人才流失，另外，資安管理工作AI化發展受阻，也將使得風險增加。</p> <p>數位部近期針對立法院刪減114年度預算一事，數位部次長林宜敬近期表示，立院在野黨大幅刪減數位部的預算，對於臺灣的韌性及產業發展將帶來重大的影響。其中韌性基礎建設，數位部已在全臺警、消、軍部署773個非同步衛星網路，確保在天災及緊急危難時，對外網路通訊的順暢，去年也展示高空氣球緊急通訊設計，預算被刪減將造成韌性建設發展受阻，使臺灣面臨巨大的風險。</p> <p>在資安方面，臺灣地處地緣政治，每天平均受到240萬次的境外資安攻擊，數位部為水、電、電信、金融等關鍵基礎設施，以及政府機關、醫療院所提供24小時資安監控及防護，預算刪減將危及關鍵基礎設施的資安防護能力，威脅風險增加。</p> <p>至於產業發展方面，一方面數位部鼓勵AI新創，帶動各產業的數位轉型發展，另一方面積極響應政府政策，推動打詐業務，建立廣告平臺廣告刊登者的實名機制，以及通報平臺。</p> <p><span style="color:#B22222;"><strong>預算遭砍4成，衝擊通訊基礎建設韌性、產業經濟發展、資安</strong></span></p> <p>數位部也在今天年終媒體座談中大吐苦水，主祕胡貝蒂表示，數位部如同臺灣網路的國防部，強化臺灣對網路攻擊、詐騙的抵擋，並負責網路治理及基礎建設韌性，此次數位部編列預算為87億元，被刪減共35.8億元，其中數位部的獎補助經費約8.2億元，補助法人單位如電信技術中心、資安院的經費，數位產業署被刪減約20億元，數位政府司被刪減1.16億元、資安署的國外旅費被刪減0.3億元，其他費用約6.16億元。大幅減刪預算對於推動的打詐、韌性基礎建設、資安等業務的量能帶來影響，希望外界給予支持，讓數位部得以繼續推動各項重要業務。</p> <p>以韌性建設為例，數位部韌性建設司表示，對於海纜通訊中斷的問題，數位部補助電信業者建立異質通訊網路，例如增加海纜路由及登陸站點，並助補助業者擴大微波通訊備援，還建立非同步軌道衛星備援，補助經費的減少將衝擊補助電信業者強化海纜登陸站韌性，以及驗證救災單位使用的公共安全與救難應變（PPDR）系統，將會削弱在緊急狀況下，政府的指揮通訊、災情資訊傳遞，影響國內的通訊韌性基礎建設。</p> <p>被刪減超過20億元的數位產業署，正在盤點可能受影響的業務，重新調整資源，但數位產業署預期署內正推動的數位經濟產業發展，例如5G專網、政府軟體共同供應契約採購、打詐、電子簽章法等推動可能受影響。另外，補助業者AI技術研發，以及推動各產業數位轉型的方案也受將到影響，其他如數位公共基礎建設，如AI算力池、城市建模、地方公共服務也將受到衝擊。</p> <p>在資安方面，國家資通安全研究院院長林盈達指出，資安院兩項計畫經費受到影響，其中強化政府系統的數位韌性，從1,7億元減少為3,400萬元，政府的資訊系統需要持續強化韌性，補助減少將推展受阻，將使系統面臨駭客攻擊的風險增加。他舉例說明嚴重的情形，原本一年可檢查20個系統，未來可能減少至5個系統。</p> <p>另一項計畫則是資安維運管理的AI化，經費從8,600萬元減少至2,700萬元，該計畫是讓資安管理發展AI化，以智慧化、自動化避免人工管理容易發生疏漏、出錯的問題，預算刪減將使得AI防禦技術研發受阻。</p> <p>林盈達表示，兩項計畫經費如果沒有補強，資安院被迫只能減少業務，甚至不排除裁人力，他認為資安是專業技術，技術人力被裁是很嚴重的事，一方面各產業競爭資安人才，資安人才不易取得，一方面裁減技術人員，恐將影響民間、美國對臺灣強化資安的決心，其中資安管理的AI發展，現在已建立一支15人的AI團隊，經費減少、裁員，可能讓好不容易吸引的人才流失，對團隊帶來很大的影響。</p> <p>至於資安署方面，資安署長謝翠娟表示，因資安署的出國經費被減至0元，今年好不容易爭取到一些國家擔任藍軍，與其他國家交流學習，如何加強關鍵基礎設施的資安防護，因出國經費被刪減為0元，可能因此錯失機會。此外，還有參加一些國際資安會議也將受到預算刪減的影響。</p> <p>去年數位部推動數位公共基礎建設，其中之一是公共程式平臺，也因為預減的減少，數位部數位國際司在有限資源下，將暫緩公共程式平臺的新功能研發計畫，將資源集中在另一項數位公共基礎建設數位皮夾，仍以今年底推出數位皮夾為目標。</p> </div></div></div>
2025/1/23 18:30作者蘇文彬https://www.ithome.com.tw/news/167141
川普下令解除所有美國國土安全部顧問委員會成員，恐波及Salt Typhoon攻擊電信業者事故調查
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據<a href="https://www.darkreading.com/threat-intelligence/trump-fires-cyber-safety-board-salt-typhoon-hackers">Dark Reading</a>、<a href="https://www.securityweek.com/dhs-disbands-cyber-safety-review-board-ending-one-of-cisas-few-bright-spots/">SecurityWeek</a>、<a href="https://thehackernews.com/2025/01/trump-terminates-dhs-advisory-committee.html">The Hacker News</a>、<a href="https://www.theregister.com/2025/01/22/dhs_axes_cyber_advisory_boards/">The Registe</a>r等多家新聞網站報導，美國總統川普宣布解除所有國土安全部（DoH）顧問委員會的成員，其中包含了組成網路安全暨基礎設施安全局（CISA）與網路安全審查委員會（Cyber Safety Review Board，CSRB）的人員。由於CSRB尚在調查中國駭客Salt Typhoon大規模攻擊美國電信業者的資安事故，這項人事命令很可能對相關調查造成衝擊。</p> <p>1月20日國土安全部代理秘書Benjamine C. Huffman<a href="https://www.documentcloud.org/documents/25500093-dhs-advisory-boards-termination-letter/">宣布此事</a>，並指出理由是為了消除資源遭到濫用的情況，確保他們行動的優先順序會以國家安全為考量。未來該委員會的工作，將會完全集中在保護國家及國土安全部的重點戰略任務。</p> <p>Benjamine C. Huffman在信裡並未提及新的顧問委員會成員，但表示原本的成員可重新申請回鍋。</p> <p>值得留意的是，這項公告在1月18日前CISA負責人Chris Krebs宣布請辭CSRB職務後發出，後續效應有待觀察。</p> </div></div></div>
2025/1/23 18:05作者周峻佑https://www.ithome.com.tw/news/167140
殭屍網路Airashi利用零時差漏洞綁架cnPilot路由器，不只發動DDoS攻擊，也打算提供非法代理伺服器服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年8月下旬電玩平臺Steam發生大規模DDoS攻擊，傳出與當時推出不久的大型電玩遊戲黑神話：悟空有關，<a href="https://www.ithome.com.tw/news/164748">中國資安業者奇安信指出</a>，駭客動用多達60個殭屍網路，對全球Steam伺服器發動4波攻擊，其中號稱是攻擊主力的殭屍網路Aisuru，如今<a href="https://blog.xlab.qianxin.com/large-scale-botnet-airashi-en/">出現新的變種攻擊行動</a>。</p> <p>奇安信X實驗室Alex.Turing、Wang Hao等4名研究人員指出，Aisuru在上述攻擊行動曝光後，9月短暫停止攻擊行動，但背後的駭客組織在利益的驅動下，先後在10月、11月對殭屍網路進行翻新，其中11月底出現的殭屍網路Aisuru變種，駭客稱為Airashi。</p> <p>新的殭屍網路變種更換主要綁架的網路設備，駭客針對美國網路設備業者Cambium Networks提供的無線基地臺cnPilot而來，利用零時差漏洞散布惡意程式；再者，為避免C2通訊內容被察覺異常，駭客運用RC4演算法處理字串，其通訊協定導入HMAC-SHA256雜湊值檢驗，並經由演算法ChaCha20進行處理。</p> <p>而對於這些設備發動攻擊的威力，奇安信指出具有穩定的TB等級DDoS攻擊輸出。此外，下達命令的C2後臺也具備更充足的IP位址資源，他們根據網域進行分析，有近60IP位址，分散於不同國家及服務供應商。研究人員認為，駭客這麼做的目的，可能是為了能夠控制更多機器人，並增加研究人員及執法單位摧毀殭屍網路的難度。</p> <p>附帶一提的是，駭客似乎也對於奇安信揭露他們上回的攻擊事故耿耿於懷，在C2的網域名稱使用帶有XLab的字串，或是其他針對該公司而來的名稱。</p> <p>奇安信將收集到的殭屍網路病毒歸納為3種類型：Airashi-DDoS、Go-Proxisdk、Airashi-Proxy，並指出攻擊者有意拓張DDoS攻擊以外的業務。</p> <p>首先是最早在10月底出現的Airashi-DDoS，主要功能就是發動DDoS攻擊，也支援執行任意指令，或是搭配反向Shell運作。</p> <p>接著就是在11月底開始出現的Go-Proxisdk，這是以muxado為基礎打造的Go代理伺服器工具。</p> <p>第三種是12月初出現的Airashi-Proxy，這也是代理伺服器工具，但不同的是駭客以Airashi-DDoS的原始碼打造而成，並使用專屬的通訊協定運作。<br /> <br /> 值得一提的是，奇安信提及駭客使用的cnPilot零時差漏洞，他們在去年6月進行通報，但迄今尚未得到回應，為了避免漏洞遭到更多人利用，研究人員並未透露相關資訊。</p> </div></div></div>
2025/1/23 16:47作者周峻佑https://www.ithome.com.tw/news/167138
DeepMind公開Mind Evolution研究，結合LLM提升自然語言問題求解效能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>DeepMind發表了一項名為<a href="https://arxiv.org/html/2501.09891v1">Mind Evolution</a>的技術，透過結合大型語言模型與演化式搜尋方法，解決傳統方法在自然語言規畫與推理任務，所存在的效率與準確性瓶頸。該研究展示在不需將問題形式化（Formalize）為數學模型的前提下，運用語言模型直接處理複雜問題，並獲得極佳的解決能力。</p> <p>目前大型語言模型在處理複雜自然語言規畫與推理任務存在限制，特別是在需要滿足多重約束或隱含條件的情境中，例如旅行規畫或行程安排。傳統方法如單次生成（1-Pass）、最佳解搜尋（Best-of-N）或逐步修正（Sequential Revision），雖能提供一定程度的解法，但往往受限於局部搜尋的瓶頸，同時，許多問題很難形式化為明確的數學模型，進一步限制了傳統求解器的應用範圍。</p> <p>Mind Evolution研究特別針對如旅行規畫、行程安排及隱寫術生成（Steganography）等高難度的自然語言任務進行測試。結果顯示，Mind Evolution技術在TravelPlanner與Natural Plan基準測試的成功率在95%至100%間，遠遠超過傳統的最佳解搜尋與逐步修正策略。而且Mind Evolution在處理這些問題時，不需要透過專門的數學求解器或手動格式化問題描述，展現其應用的靈活性與實用性。</p> <p>Mind Evolution的核心在於其類基因演算法的演化式搜尋策略，結合隨機探索與深度最佳化，完成候選解的生成、重組與改進。該方法不僅能在短時間內大幅提升解決問題的準確性，還能應對自然語言描述中隱含的約束與需求。DeepMind研究團隊強調，此技術的優勢在於可藉由一個全域的解答評估器對解法進行全面評估，不需要逐步檢查每個中間推理步驟，進而大幅降低了運算成本。</p> <p>在技術細節上，Mind Evolution採用了類基因演算法的概念，包括候選方案的生成與改進、多次迭代的全域評估，以及模擬島嶼模型以維持候選方案的多樣性。研究結果顯示，結合語言模型的方法能有效改進候選方案，並透過模型間的互動提升整體解法品質。</p> <p>此外，這篇研究還提出了一個新的基準測試任務StegPoet，用以檢測在自然語言生成中隱藏資訊的能力。該任務要求生成一段故事或詩句，同時將訊息隱藏於其中，經實驗證明，Mind Evolution在此類高度創造性的任務中，也展現出色的效能。</p> <p>語言模型複雜推理與自然語言規畫的能力仍有巨大的進步空間，而Mind Evolution結合演化式搜尋與語言模型的方式，不僅能克服局部最佳解的挑戰，還能在不依賴問題形式化的前提下，大幅提升解決複雜自然語言任務的效率與成功率，為語言模型推理能力的提升提供新的研究方向。</p> </div></div></div>
2025/1/23 16:49作者李建興https://www.ithome.com.tw/news/167135
韓國VPN業者IPany遭駭，攻擊者在原廠提供安裝檔上加料以散布惡意程式SlowStepper
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來鎖定軟體業者而來的供應鏈攻擊不時傳出，其中一種就是在公司正式提供用戶下載的網站上，提供含有惡意內容的安裝程式，使得毫無戒心的使用者可能會因此中招。</p> <p>資安業者ESET揭露<a href="https://www.welivesecurity.com/en/eset-research/plushdaemon-compromises-supply-chain-korean-vpn-service/">針對韓國VPN服務業者IPany的軟體供應鏈攻擊事故</a>，中國駭客組織PlushDaemon從2023年發動攻擊，並在該公司VPN軟體的安裝程式植入後門程式SlowStepper，此為具備超過30種元件的多功能惡意軟體，用途是廣泛監控使用者並收集資料。</p> <p>這起事故的發現，ESET惡意軟體研究員Facundo Muñoz表示，他們在去年5月發現帶有惡意程式碼的NSIS安裝程式，而這個檔案來自IPany的網站，他們通報此事，IPany也移除了網站上有問題的安裝程式。</p> <p>針對發起攻擊的駭客身分，研究人員提及PlushDaemon至少從2019就開始活動，攻擊目標涵蓋臺灣、香港、中國、韓國、美國、紐西蘭的個人或企業組織。這些駭客主要取得初始入侵的管道，是將流量重新導向到他們控制的伺服器，而能夠挾持合法的更新管道。此外，研究人員也看到駭客利用網頁伺服器弱點入侵企業組織的現象。</p> <p>對於這起事故的受害範圍，Facundo Muñoz指出，他們根據遙測的資料，在去年11月、12月，發現有日本及中國使用者受害，此外，ESET也確認有使用者於韓國半導體公司、尚未確認身分的軟體開發業者的網路環境裡，發現用戶電腦試圖安裝木馬程式的跡象。</p> <p>一旦使用者執行惡意安裝程式，就會在電腦裡建立多個資料夾，同時部署合法軟體及惡意程式。</p> <p>對於駭客在這波攻擊行動使用的後門程式SlowStepper，Facundo Muñoz指出主程式是以C++開發而成，根據找到的惡意程式版本，最早是在2019年開發，目前最新是於去年6月開發，功能也最完整，他們根據程式碼找到有數百種功能，但特別的是，針對IPany而來的後門程式是僅保留約30項功能的精簡版（Lite）。</p> <p>無論新舊版SlowStepper，駭客都利用Python或Go語言等一系列工具打造，主要用途就是進行網路間諜活動，收集受害者資料，透過錄音或是錄影進行監控。</p> <p>而對於該後門程式接收攻擊者命令的管道，駭客並非將C2伺服器的IP位址寫入組態檔案，而是透過DNS查詢含有特定網域的TXT記錄資料來取得。</p> </div></div></div>
2025/1/23 14:36作者周峻佑https://www.ithome.com.tw/news/167133
Google更新Gemini 2.0 Flash Thinking實驗模型，可撰寫和執行程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google昨（22）日<a href="https://x.com/OfficialLoganK/status/1881844579751874930" target="_blank">宣布釋出</a>具推理能力的Gemini 2.0 Flash Thinking AI模型最新實驗版（Experimental），不但數學和科學推理效能上升，也會撰寫和執行程式。</p> <p>最新釋出的模型為Gemini 2.0 Flash Thinking Experimental 01-21（Exp 01-21），以去年12月公布的Gemini 2.0 Flash Thinking為基礎開發，為挑戰OpenAI的o3模型。名稱中的Thinking代表相對於Gemini Flash，這家族模型具有解決複雜問題的推理能力，以及新穎的思考能力，它對用戶詢問會先經過「思考」再做出回應。</p> <p>Gemini 2.0 Flash Thinking具備100萬字詞的context windows，可支援大量文字的深度分析，且思考和答案更具一致性（較少矛盾），能產生更長字詞的回應，數學和科學解題能力也更提升。最新Exp 01-21版和前一個實驗版（Exp 1219）的標竿測試比較中，數學標竿測試AIME 2024，Exp 01-21和Exp 1219跑分分別為73% vs. 70%、科學標竿測試GPQA Diamond分別為74% vs. 66%，標竿測試分別為74% vs. 66%。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0123-Gemini%202_0%20Flash%20Thinking%20Exp-01-21%20(1).png" style="width: 448px;" /></p> <p>Google員工還<a href="https://t.co/j8wNp8Yn27" target="_blank">補充</a>，最新版本加入使用和評估程式碼的能力，因此模型可以在回應時決定寫或執行程式。DeepMind執行長<a href="https://x.com/demishassabis/status/1881844417746632910" target="_blank">Demis Hassabis說</a>，這顯示光在12月Gemini 2.0 Flash Thinking就展現極快進展。</p> <p>現在Exp 01-21版Gemini 2.0 Flash Thinking模型已部署到AI Studio，開發人員可以在AI Studio側邊欄啟用，也可直接使用Gemini API在程式碼中使用實驗模型。</p> <p>另一方面，OpenAI也在加緊趕工，目前正在測試o3 mini，OpenAI<a href="https://www.ithome.com.tw/news/167048" target="_blank">預告</a>再幾個星期就會推出。</p> </div></div></div>
2025/1/23 12:34作者林妍溱https://www.ithome.com.tw/news/167131
SEC宣布成立加密資產任務小組，推動制定清晰監管框架
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國證券交易委員會（SEC）代理主席Mark Uyeda宣布<a href="https://www.sec.gov/newsroom/press-releases/2025-30">成立加密資產任務小組</a>，目標是建立一套清晰且全面的監管框架，解決當前加密貨幣產業在法律模糊與監管上的挑戰。這項措施被視為SEC首次系統性地針對加密資產推動改革，有助提升市場透明度與可信度。</p> <p>任務小組由SEC委員Hester Peirce領導，並由代理主席的高級顧問Richard Gabbert和政策顧問Taylor Asher分別擔任幕僚長與政策顧問。這支匯聚SEC各部門專家的團隊，將專注於界定加密資產相關的法律邊界，並提供企業和投資者確實可行的註冊指引。</p> <p>SEC的聲明指出，過去的監管政策主要仰賴執法行動，缺乏一致性與前瞻性，這種模式不僅增加了法律規範的不確定性，也阻礙了產業創新，甚至留給不法行為存在的空間。此次政策轉向顯示SEC希望擺脫以往被動執法模式，轉而專注於更積極的框架建立。未來，任務小組將優先制定明確的註冊標準，設計合理的資訊披露要求，並透過更具策略性的方式部署執法資源。</p> <p>另外，該小組也將與其他聯邦部門、州政府及國際機構協作，確保監管政策的統一性和執行效果。代理主席Mark Uyeda強調，這次改革的核心在於改善當前的監管困境，建立更穩定的法律環境，進而降低市場不確定性。</p> <p>Hester Peirce指出，當前基於執法的監管方式並未充分滿足加密貨幣產業的需求，反而加劇市場混亂和不確定性。他表示，任務小組的成功將仰賴廣泛的產業參與和意見收集，未來將舉行公聽會，邀請投資者、業界人士及學者共同討論政策方向，確保監管框架既能保護投資者，又能支持創新與發展。</p> <p>此次政策變化與川普政府的立場一致，美國總統Donald Trump在競選期間曾承諾為加密貨幣產業創造更友善的政策環境，這次任務小組的成立被視為實現該承諾的一步。</p> </div></div></div>
2025/1/23 13:02作者李建興https://www.ithome.com.tw/news/167124
馬斯克批評Stargate計畫是騙局、與Altman隔空交戰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>科技大亨馬斯克昨日重話批評OpenAI、軟銀主導的Stargate計畫是騙局，並且和OpenAI執行長Sam Altman在X上隔空對話。</p> <p>Stargate計畫是OpenAI、軟銀及甲骨文合資名為Stargate的公司，其中軟銀提供資金，OpenAI、甲骨文和其他業者提供AI及基礎架構技術。這項計畫將在4年投入至少5,000億美元，打造超大型資料中心等AI基礎架構，並引入AI預測分析能力，支援癌症治療、藥物開發等任務。這項計畫<a href="https://www.ithome.com.tw/news/167107" target="_blank">獲得川普背書</a>，稱Stargate計畫能擴大美國的AI領先優勢、保障美國國家安全，並且創造10萬個美國人工作機會。這些科技公司執行長說Stargate計畫將立即投入1,000億美元，目前已在德州興建第一座資料中心。</p> <p>不過因公司策略問題和OpenAI公開決裂的馬斯克昨日<a href="https://x.com/elonmusk/status/1881944244480565497" target="_blank">批評</a>這是一場騙局，<a href="https://x.com/elonmusk/status/1882130053632512249" target="_blank">又稱</a>Altman是詐騙份子（swindler）。他聲稱掌握權威消息，軟銀手上的資金不到1,000億。</p> <p>被點名的Altman透過X<a href="https://x.com/sama/status/1882106524090482701" target="_blank">回應</a>，請馬斯克實地到興建中的資料中心一瞧。他說這個計畫是對美國有益的計畫，他了解對國家好的不見得是符合馬斯克公司利益，但以馬斯克現在新身分，希望他將美國放在第一位。</p> <p>馬斯克被川普任命為新成立的政府效率部（Department of Government Efficiency，DOGE）主管，正式進入行政團隊。這位科技首富近來因OpenAI宣布將轉型為營利組織而槓上Altman，馬斯克還控告OpenAI和Altman違反了OpenAI創立的初衷，還要求法院介入阻止OpenAI的企圖。</p> <p>但在回應馬斯克的批評同時，Altman不忘表達對馬斯克的敬意，說他真的尊敬後者的成就，認為他是當代最能啟發人的企業家。</p> </div></div></div>
2025/1/23 13:19作者林妍溱https://www.ithome.com.tw/news/167132
Mirai殭屍網路發動史上最高的5.6Tbps DDoS攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>內容遞送網路（CDN）暨資安業者Cloudflare 最近平息了一波，由Mirai變種殭屍網路發動的5.6 Tbps的DDoS攻擊，創下有紀錄以來流量最大的紀錄。</p> <p>Cloudflare<a href="https://blog.cloudflare.com/ddos-threat-report-for-2024-q4/" target="_blank">本周公布</a>2024年第4季該公司客戶防護網路的DDoS攻擊活動的統計報告，指出去年第4季在所有引發網路層DDoS攻擊的殭屍網路中，Mirai占6%，季增131%。值得一提的是，在10月29日，Cloudflare一家東亞ISP客戶遭到一起流量高達5.6 Tbps的UDP DDoS攻擊，是已知記錄中流量最大的。這攻擊是來自1.3萬臺物聯網（IoT）裝置遭到Mirai變種程式感染後，集體發動的UDP DDoS攻擊，歷時僅80秒。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0123-cloudflare-ddos%20report-mirai.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Cloudflare</span></p> <p>這只是Cloudflare去年平息的2,130萬起DDoS攻擊之一，2024年的DDoS攻擊總量較前一年增加了53%。其中2024年第4季有420起為流量每秒鐘超越10億封包（pps）及1Tbps的超大流量攻擊。該季中，超越1Tbps的攻擊數量比前一季大增1885%。</p> <p>去年第4季統計報告其他分析包括，從攻擊管道來看，HTTP DDoS攻擊73%來自已知殭屍網路。11%經由冒充的合法瀏覽器發送。其中Chrome為主流；最多被用於發動攻擊的瀏覽器是Chrome 118到129。目前PC及手機版Chrome最新版已來到version 132，顯示眾多用戶仍未更新。</p> <p>以攻擊時間長度來看，大約72%的HTTPS DDoS攻擊，以及91%的網路層DDoS攻擊時間長度都短於10分鐘。有近22%超過一小時，還有11%可超過24小時。而網路層DDoS則有91%不到10分鐘，僅2%超過一小時。</p> <p>論及攻擊來源與受害國家，去年第4季，印尼、香港、新加坡、烏克蘭和阿根廷是DDoS最大來源國。中國、菲律賓、臺灣、香港和德國是最主要攻擊目標；Cloudflare臺灣客戶上季發生7起DDoS攻擊，由前季的第7名躍升到第3名。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0123-cloudflare-ddos%20report-4.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Cloudflare</span></span></p> <p>以受害者產業分布而言，依序是電信業、網際網路、行銷廣告、資訊科技業與博奕產業。而金融與銀行業，則從第1降到第8位。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0123-cloudflare-ddos%20report-5.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Cloudflare</span></p> </div></div></div>
2025/1/23 12:07作者林妍溱https://www.ithome.com.tw/news/167130
JDK 24進入Rampdown第二階段，新版更新重點聚焦語言現代化與後量子安全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Java開發團隊<a href="https://mail.openjdk.org/pipermail/jdk-dev/2025-January/009675.html">宣布</a>，<a href="https://openjdk.org/projects/jdk/24/">JDK 24</a>已正式進入Rampdown第二階段，這代表版本功能開發完成，新版進入穩定性測試及高優先順位錯誤修復階段。JDK 24的核心更新集中於語言現代化和後量子安全技術的加入，替開發者帶來更高效且安全的開發工具。</p> <p>Rampdown第二階段是JDK開發流程中的重要階段，代表此版本的功能集已凍結，所有新功能的開發已經結束，並且不會再接受任何新的功能提案或JEP（JDK Enhancement Proposal）。此階段的重點轉移到版本的穩定性上，開發團隊主要處理高優先順位的錯誤，確保系統穩定性。</p> <p>本次更新的一大亮點是JEP 483提前載入與連結類別（Ahead-of-Time Class Loading & Linking），藉由記錄應用啟動時載入的類別，並將其已載入和連結的形式儲存在快取中，大幅縮短後續執行的啟動時間。</p> <p>同時，JDK 24還引入了針對後量子計算安全性的兩項新技術，分別是JEP 496金鑰封裝機制ML-KEM（Module-Lattice-Based Key Encapsulation Mechanism），在不安全的通道保護對稱金鑰的安全性，而JEP 497數位簽章演算法ML-DSA（Module-Lattice-Based Digital Signature Algorithm）則提供更加強大的數位簽章方法，避免未授權的資料修改。這兩項技術均符合NIST標準，用於強化未來抵禦量子計算攻擊的能力。</p> <p>語言功能的改進也是此次JDK 24更新的重點，例如JEP 488在模式比對與switch表示式中，支援如int、long等基礎型別，進一步擴展語言的靈活性，JEP 499結構化並行API則為開發者提供更直覺的多執行緒管理方法。JEP 495單一檔案與實例主方法功能，簡化了小型應用的撰寫流程，提升了程式開發效率。</p> <p>安全性管理方面，JDK 24還在JEP 472準備限制JNI使用添加警告機制，提醒開發者注意未來版本將預設禁用JNI，以及外部函式與記憶體API。這項改變的目的在於加強平臺的安全性，並為生態系向更現代化的開發模式過渡做準備。</p> <p>JDK 24預計於2025年2月推出第一個候選版本，最終正式版本將於2025年3月18日發布。Java開發團隊建議企業及早測試新版本，確保能平穩過渡。</p> </div></div></div>
2025/1/23 08:11作者李建興https://www.ithome.com.tw/news/167119
金融科技產業聯盟2月成軍、VASP專法草案3月底預告！金管會揭露今年金融科技重要推動事項
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>金管會主委彭金隆今日出席新春記者會，揭露今年多項金融科技推動事項，涵蓋虛擬資產、數位保險、金融Fast-ID、成立金融科技產業聯盟等議題。對照去年八月公布的五大金融科技策略，有多項推動措施列入今年政策重點。</p> <h3>金融科技產業聯盟2月成軍</h3> <p>延續金融科技五大策略中鼓勵金融業者打團體戰的策略，金管會預計在今年正式成立金融科技產業聯盟。金管會創新處處長胡則華也預告，將在今年2月19日舉辦金融科技產業聯盟成立儀式。</p> <p>胡則華說明，這個產業聯盟包括四個工作小組，期望能透過合作，將資源共同投入在應用研發、實務指引，和資金投入上。</p> <p>目前，金管會已請四間科技領先金控擔任各工作小組的召集人。這四個工作小組中，有一組是專注在提升金融產業的應用研發，一組則是和跨產業合作，打造金融業跨業生態系。另外有一組專注在資金投入，例如和國發會討論成立科技創投基金等事項。最後一組則是針對雲端、AI等多項技術進一步訂定實務手冊和指引。</p> <h3>VASP專法草案預計3月底預告、6月底出爐</h3> <p>去年，VASP公會正式成立，並訂定6份自律規範，同時加入了罰則以強化自律。今年，金管會的目標則是研訂VASP專法。證期局局長張振山今日表示，預計在今年2月邀請專家學者、VASP公會及相關單位代表針對VASP專法進行公聽會討論，並於3月辦理VASP專法法規預告，6月底前將專法草案陳報行政院。</p> <h3>持續評估調整監理沙盒機制，預計4月完成修法可行性研議</h3> <p>金管會曾在2023年8月發布金融科技發展路徑圖2.0，包含共65項推動事項，其中一項推動事項便是要研議「金融科技發展與創新實驗條例」修法可行性。從2023年9月起，金管會便開始針對「金融科技發展與創新實驗條例」修法可行性辦理委外研究，議題範圍包含研究各國監理沙盒涵蓋範圍、運作方式及落地機制等。這項研究案也已在2024年8月完成期末報告。</p> <p>針對監理沙盒機制調整，今年的進展，是預計在4月完成修法可行性研議。金管會也在113年金融建言白皮書結案報告中表示，未來將參考委外研究案建議，評估調整監理沙盒機制，以增加創新實驗案件數、提升實驗案件落地的可行性。</p> <h3>推動RWA代幣化和虛擬資產保管業務的業務試辦</h3> <p>RWA代幣化推動在今年也會有新的進展。</p> <p>去年六月，集保公司和六家金融機構成立「現實世界資產代幣化小組」（簡稱RWA小組），分為基金組和債券組，共同實驗相關技術和推動事宜。</p> <p>胡則華今日表示，預計今年九月會進行RWA代幣化實證。另外，集保公司已開始研究RWA牽涉的相關法規，證交所也正在研議相關交易事項。</p> <p>另外，金管會也在今年開始受理金融機構申請虛擬資產保管業務試辦。胡則華透露，目前已有三家業者申請輔導，並有一家業者已完成一次輔導，不過，目前尚未有業者正式申請業務試辦。</p> <h3>持續推動金融Fast-ID</h3> <p>金融Fast-ID也被列入金管會今年的重要推動事項。</p> <p>2023年8月，金管會公布的金融科技路徑圖2.0中，明訂將建置跨體系的金融Fast-ID驗證轉接中心（簡稱驗轉中心）。今年1月初，金管會則開始受理先導金融機構能針對驗轉中心申請試辦，或提出輔導諮詢。預計今年6月，金融Fast-ID驗轉中心便會正式上線。</p> <h3>開放數位保險公司</h3> <p>彭金隆在去年年底就已宣布數位保險六大政策方向，包括要放寬數位保險業務範圍與營運模式，並對數位保險公司開發的創新型保險商品或服務給予創新保護，還有調降設立數位保險公司的最低實收資本額、放寬發起人條件等措施。而開放數位保險公司，也被列入今年保險局的重要推動事項。</p> <p></p> </div></div></div>
2025/1/22 19:23作者李昀璇https://www.ithome.com.tw/news/167129
【資安日報】1月22日，陞泰IP攝影機已知漏洞再傳遭到Mirai變種殭屍網路鎖定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年美國網路安全暨基礎設施安全局（CISA）、資安業者Akamai揭露陞泰科技（Avtech）的IP攝影機漏洞CVE-2024-7029，並表示已有攻擊行動出現，如今有資安業者發現，可能還有其他駭客用於殭屍網路攻擊。</p> <p>資安業者Qualys揭露綁架超過5,500臺裝置的殭屍網路Murdoc，並提及攻擊者運用已知漏洞對裝置散布惡意軟體，其中一個就是CVE-2024-7029。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167106"><strong style="font-size: 22px;">Mirai變種殭屍網路Murdoc鎖定陞泰IP攝影機、華為路由器而來</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/murdoc2.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/murdoc2.jpg" style="width: 300px; float: right;" /></a></p> <p>資安業者Qualys發現大規模的殭屍網路Murdoc攻擊行動，此惡意程式為Mirai的變種，主要鎖定陞泰科技（Avtech）的IP攝影機及華為路由器而來，利用已知弱點入侵設備，包括陞泰網路攝影機AVM1203的命令注入漏洞CVE-2024-7029，以及華為路由器HG532任意命令執行漏洞CVE-2017-17215，CVSS風險評為9.8、8.8。</p> <p>針對攻擊發生的經過，Qualys資深資安研究員Shilpesh Trivedi指出，這波攻擊行動從去年7月開始，他們透過物聯網搜尋引擎FOFA查詢，被感染的裝置來自1,377個IP位址、數量有5,513臺，其中有2,029臺是陞泰的裝置。</p> <p>根據受害設備分布的地區，馬來西亞、泰國最多，分別有3,196臺、776臺，但墨西哥、印尼、越南也有遭到感染的情況。</p> <p><a href="https://www.ithome.com.tw/news/167113"><strong style="font-size: 22px;">俄羅斯駭客Star Blizzard鎖定政府官員與研究人士而來，意圖透過網釣挾持他們的WhatsApp帳號竊密</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-3_-Malicious-Star-Blizzard-phish-attempt-using-WhatsApp-linking-QR-code.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-3_-Malicious-Star-Blizzard-phish-attempt-using-WhatsApp-linking-QR-code.png" style="float: right; width: 300px;" /></a>代號為TA446、TAG-53或UNC4057的俄羅斯駭客Star Blizzard，從2023年至2024年8月從事大規模網路釣魚攻擊，美國司法部與微軟2024年10月聯手，破壞該組織用來攻擊的網站，但傳出不久這些駭客又死灰復燃。</p> <p>微軟威脅情報團隊指出，Star Blizzard從去年11月中旬開始，發起新一波的攻擊行動，他們近期發現該駭客組織的戰術、手段、流程（TTP）出現了重大變化，那就是駭客開始要求受害者加入即時通訊軟體WhatsApp的群組。</p> <p>一旦收信人依照指示照做，攻擊者就有可能透過他們的帳號存取對話內容，並利用瀏覽器延伸套件的匯出功能，外洩相關資料。</p> <p><a href="https://www.ithome.com.tw/news/167117"><strong style="font-size: 22px;">烏克蘭電腦緊急應變團隊提出警告，有人假冒他們的名義要求透過AnyDesk存取用戶電腦</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/CERT-UA-AnyDesk.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/CERT-UA-AnyDesk.png" style="width: 300px; float: right;" /></a>駭客假扮知名機構引誘使用者上當的情況不時傳出，其中最常見的是冒充政府機關，也有佯稱是資安業者的情況，但如今也有聲稱是網路安全機構的事故傳出。</p> <p>烏克蘭電腦緊急應變團隊（CERT-UA）近期提出警告，有人冒用他們的名義，表示要進行審核及評估安全層級為由，要求使用者開放遠端桌面軟體AnyDesk的存取權限，呼籲使用者必須提高警覺。</p> <p>針對這起事故，CERT-UA也呼籲使用者必須經由其他管道確認後，才能提供對方遠端存取電腦；再者，遠端管理工具及遠端桌面軟體在沒有使用的時候，不應開啟常駐在系統。</p> <p><a href="https://www.ithome.com.tw/news/167006"><strong style="font-size: 22px;">攻擊者偽造Google Ads官方廣告，釣魚攻擊廣告主竊取預算</strong></a></p> <p>Malwarebytes Labs資安研究人員揭露近期一場針對Google Ads廣告主的大規模釣魚攻擊，攻擊者藉由惡意假冒Google Ads的廣告，成功竊取多個廣告帳戶的登入憑證，並利用被盜帳戶挪用廣告預算，進一步擴大其惡意活動範圍。</p> <p>根據資安研究人員的調查，這些惡意廣告偽裝為Google Ads服務的官方廣告，出現在Google搜尋結果中的贊助廣告欄位，誘使用戶點擊並進入假登入頁面。假登入頁面大多託管於Google Sites，利用與Google官方網站類似的域名設計來誘騙受害者，進而繞過廣告顯示URL與最終URL域名必須相符的規定。</p> <p>一旦受害者在假頁面中輸入帳戶憑證，攻擊者便可取得帳戶的完整控制權，進而更改帳戶設定，甚至將自己的電子郵件地址添加為帳戶管理員。</p> <p><a href="https://www.ithome.com.tw/news/167116"><strong style="font-size: 22px;">臺馬海纜服務中斷，數發部表示已啟用備援機制微波通訊因應</strong></a></p> <p>本月初中華電信海底電纜遭貨輪破壞，數位發展部後來證實此事，表示會配合加強執法避免類似事故再度發生。但除了人為破壞，海底電纜也有可能因為天候等其他因素損壞，而造成服務中斷的情形。</p> <p>今天上午11時數位發展部召開記者會，說明臺馬海纜再度出現斷線狀況。他們在清晨5時34分接獲通報，臺馬二號海纜疑似斷裂，且臺馬三號也是全面中斷的狀態，對此他們已請求中華電信啟用微波通訊進行備援，並儘速協調海纜船修復海纜。而對於臺馬二號斷裂的原因，他們表示根據初步分析，很可能是芯線老化所致。</p> <p>數發部收到通報後，要求中華電信根據關鍵基礎設施（CI）安全防護計畫啟動備援，以12.6Gbps的微波頻寬，優先提供政府、銀行、醫院等關鍵基礎設施通訊服務，確保民生相關的服務不致出現間斷的現象。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/ransomware-groups-abuse-microsoft-services-for-initial-access/">勒索軟體駭客藉由電子郵件轟炸、鎖定微軟Teams網釣入侵受害組織</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/fake-homebrew-google-ads-target-mac-users-with-malware/">冒牌套件管理Homebrew透過惡意廣告散布，意圖對macOS用戶散布竊資軟體AmosStealer</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/01/python-based-bots-exploiting-php.html">駭客利用PHP後門及連線工具GSocket打造印尼非法賭博平臺</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cl-unk-0979-exploit-zero-day-flaw-in-ivanti-connect-secure-to-gain-access-to-networks/">針對Ivanti SSL VPN零時差漏洞攻擊事故，資安業者Palo Alto Networks揭露新的調查結果</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.ithome.com.tw/news/166901">【重新認識國家級駭客威脅】全民資安風險倍增！國家支持的網路間諜攻擊升級</a></strong></p> <p></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/chatgpt-crawler-vulnerability-ddos-attacks-via-http-requests/">研究人員揭露ChatGPT漏洞，攻擊者有機會藉由HTTP請求發動DDoS攻擊</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167105"><strong style="font-size: 22px;">Google釋出OSV-SCALIBR程式庫，強化開源軟體漏洞檢測</strong></a></p> <p>Google發布名為OSV-SCALIBR（Software Composition Analysis Library）的新工具，進一步提升開源軟體漏洞檢測和安全分析的能力。OSV-SCALIBR能夠執行安裝套件、程式碼及容器映像檔的掃描，同時支援多種主要程式語言和作業系統。</p> <p>OSV-SCALIBR是獨立的軟體組成分析程式庫，延續並擴展了Google在開源軟體相依性漏洞掃描工具OSV-Scanner中的技術基礎。在OSV-Scanner的基礎上，OSV-SCALIBR進一步加入了弱帳密檢測與軟體物料清單（SBOM）的產生功能，並支援SPDX和CycloneDX格式。</p> <p>此程式庫的特色在其模組化的設計，開發者可以根據需求擴充，執行特定的軟體擷取和漏洞檢測任務。OSV-SCALIBR以開源的Go程式庫形式提供，Google也計畫未來將其功能整合到OSV-Scanner中，擴大工具的應用範圍。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/167100"><strong>【1月21日】駭客聲稱握有IT大廠HPE的內部資料，該公司正在著手調查</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167064"><strong>【1月20日】駭客綁架MikroTik路由器從事網釣攻擊，意圖散布惡意軟體</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167028"><strong>【1月17日】駭客公布1.5萬臺Fortinet防火牆的詳細組態配置資料、VPN帳密</strong></a></p> </div></div></div>
2025/1/22 16:54作者周峻佑https://www.ithome.com.tw/news/167118
自由系統與華碩合推商用電腦訂閱制服務，不只租電腦更提供新機設定、故障排除與裝置監控等IT支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資訊託管服務商自由系統和華碩電腦聯合推出「訂閱制電腦服務（DaaS，Device as a Service）」方案，整合前者資訊託管服務和後者商用電腦，為企業提供從電腦租賃、新機前置系統與網路設定到及後續維修、監控、顧問、系統加裝等服務。</p> <p>自由系統主力業務是IT as a Service（ITaaS），提供基礎建設、資訊安全、雲端服務等領域的綜合SI和顧問服務。他們有200至300家企業客戶，包括榮總、長庚等大型醫療機構，多家上市櫃公司，以及中小企業。</p> <p>自由系統推出DaaS，則是進一步整合軟硬體服務，服務內容包括電腦新機租賃、備用機支援、新機前置設定、提供設備管理服務、初階故障排除、提供即時設備狀態追蹤平臺、設備淘汰報廢等。自由系統也希望藉此讓企業能加購客服、顧問、系統導入等，其他ITaaS的服務。自由系統執行長俞伯翰指出，企業採用DaaS模式，能將資本支出轉為營運支出，可優化財務結構、增加企業支出分配的彈性。</p> <p>華碩系統事業總經理廖逸翔指出，現在正處於企業換機較熱絡的時期。以華碩為例，連以往買氣較差的桌機，在2024年12月都出現17%業績成長。他分析，汰換疫情期間因應WFH需求購入的筆電、AI PC熱潮、Windows 10預計於2025年10月停止支援等因素，都是帶動企業換機潮原因。自由系統與華碩合推DaaS服務想搶攻這波換機潮。</p> <p>散熱廠商訊凱國際CIO吳家賢直言：「Device as a Service，對訊凱的價值在於Service。」他進一步說明，配置新機時，由SI專人從頭協助AD、資安、網路等設定，甚至能主動監控資料傳輸過程，並在有資安疑慮時主動通報，對資安管理非常有幫助。</p> <p>「在IT與資安人才不易尋的局勢下，這種服務尤其有價值。」吳家賢說。由熟悉自家軟硬體系統的團隊提供即時IT支援服務，意味著IT團隊有了一個強力Helpdesk。像是有緊急排錯需求，例如主管電腦故障，或海外時差地區出差時，也能迅速獲得廠商支援人力。</p> <p>吳家賢表示，採用DaaS服務，再加上人力節省、效率增加、簡化工作流程後，預計讓訊凱省下200萬元成本。</p> <p></p> </div></div></div>
2025/1/22 18:09作者郭又華https://www.ithome.com.tw/news/167127
俄羅斯駭客Star Blizzard鎖定政府官員與研究人士而來，意圖透過網釣挾持他們的WhatsApp帳號竊密
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>代號為TA446、TAG-53或UNC4057的俄羅斯駭客Star Blizzard，從2023年至2024年8月從事大規模網路釣魚攻擊，<a href="https://www.justice.gov/opa/pr/justice-department-disrupts-russian-intelligence-spear-phishing-efforts">美國司法部與微軟2024年10月聯手</a>，破壞該組織用來攻擊的網站，但傳出不久這些駭客又死灰復燃。</p> <p>微軟威脅情報團隊指出，<a href="https://www.microsoft.com/en-us/security/blog/2025/01/16/new-star-blizzard-spear-phishing-campaign-targets-whatsapp-accounts/">Star Blizzard從去年11月中旬開始</a>，發起新一波的攻擊行動，但這次不同的是，他們開始要求受害者加入即時通訊軟體WhatsApp的群組。研究人員表示，這是他們近期發現該駭客組織的戰術、手段、流程（TTP）出現了重大變化。</p> <p>這些駭客的主要目標，是參與政府機關、外交單位，以及研究國防政策、國際關係的人士，而這些目標人士往往與俄羅斯或烏克蘭戰爭有關。</p> <p>究竟駭客如何發動攻擊？微軟表示，他們先假冒美國政府官員，透過電子郵件聯繫所要攻擊的目標對象，引誘收信人上當，然後再透過第二封信寄送惡意連結。</p> <p>特別的是，第一封信內含QR Code，聲稱是為了支持烏克蘭的非政府組織，邀請收信人加入特定的WhatsApp群組，但實際上此條碼沒有作用，收信人若是用手機掃描，不會被導向信中提及的群組。研究人員認為，這個QR Code用途，其實是要降低使用者的戒心。</p> <p>一旦收信人向駭客回信確認，對方就會寄出第二封信，表示可直接提供加入群組的URL，假如收信人點選，就會被重新導向號稱可以加入群組的網頁，要求掃描網頁上的QR Code進行，不過，這個條碼的真正功能，是將裝置或網頁版WhatsApp與帳號進行連結。</p> <p>這代表收信人照做後，攻擊者就有可能透過他們的帳號存取對話內容，並利用瀏覽器延伸套件的匯出功能，外洩相關資料。</p> </div></div></div>
2025/1/22 15:10作者周峻佑https://www.ithome.com.tw/news/167113
臺馬海纜服務中斷，數發部表示已啟用備援機制微波通訊因應
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本月初中華電信海底電纜遭貨輪破壞，<a href="https://www.ithome.com.tw/news/166871">數位發展部後來證實此事</a>，表示會配合加強執法避免類似事故再度發生。但除了人為破壞，海底電纜也有可能因為天候等其他因素損壞，而造成服務中斷的情形。</p> <p>今天上午11時數位發展部召開記者會，<a href="http://moda.gov.tw/press/press-releases/15082">說明臺馬海纜再度出現斷線狀況</a>。他們在清晨5時34分接獲通報，臺馬二號海纜疑似斷裂，且臺馬三號也是全面中斷的狀態，對此他們已請求中華電信啟用微波通訊進行備援，並儘速協調海纜船修復海纜。而對於臺馬二號斷裂的原因，他們表示根據初步分析，很可能是芯線老化所致。</p> <p>數發部收到通報後，要求中華電信根據關鍵基礎設施（CI）安全防護計畫啟動備援，以12.6Gbps的微波頻寬，優先提供政府、銀行、醫院等關鍵基礎設施通訊服務，確保民生相關的服務不致出現間斷的現象。</p> <p>針對海纜的備援，目前可透過中華電信去年擴充容量的微波通訊備援，數發部也補助中華電信建置臺馬四號海纜，預計在2026年6月完工。</p> </div></div></div>
2025/1/22 16:06作者周峻佑https://www.ithome.com.tw/news/167116
烏克蘭電腦緊急應變團隊提出警告，有人假冒他們的名義要求透過AnyDesk存取用戶電腦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客假扮知名機構引誘使用者上當的情況不時傳出，其中最常見的是冒充政府機關，也有佯稱是資安業者的情況，但如今也有聲稱是網路安全機構的事故傳出。</p> <p>烏克蘭電腦緊急應變團隊（CERT-UA）<a href="https://cert.gov.ua/article/6282069">近期提出警告</a>，有人冒用他們的名義，表示要進行審核及評估安全層級為由，要求使用者開放遠端桌面軟體AnyDesk的存取權限，呼籲使用者必須提高警覺。</p> <p>他們也坦承在某些情況下，會透過遠端管理工具為網路管理者提供協助，進行事件預防、檢測，以及清理。但CERT-UA強調，他們只會在事先經過特定管道完成溝通後才會這麼做。</p> <p>針對這起事故，CERT-UA也呼籲使用者必須經由其他管道確認後，才能提供對方遠端存取電腦；再者，遠端管理工具及遠端桌面軟體在沒有使用的時候，不應開啟常駐在系統。</p> </div></div></div>
2025/1/22 16:33作者周峻佑https://www.ithome.com.tw/news/167117
91APP如何自建大數據模型與生成式AI，來強化會員經營和商品推薦機制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>零售系統解決方案商91APP產品長李昆謀回顧了近8、9年來，他們如何利用一系列數據技術來打造零售應用。尤其是，如何打造專屬臺灣零售業的生成式AI，並將技術應用打造成可規模化的商用產品。</p> <p><strong>利用統計方法與傳統AI/ML來應用數據</strong></p> <p>自2017年來，他們陸續推出NAPL、DCIU、PAVO等統計與機器學習模型，來分析會員數位足跡，進而強化零售業會員經營。在生成式AI時代到來的如今，這些模型依然是有效且重要的會員經營工具。</p> <p>NAPL最早推出，是以交易數據為基礎的數據分析模型，將一年內有消費的會員分為不同活躍度分類，包括首購（New）、活躍（Active）、沈睡（Potentiall），以及流失（Lost）。至於如何定義N、A、P、L的會員分類，他們根據回購周期、回購貢獻金額、整體活躍度等指標算出，以3倍購買周期時間為調整會員分類的分水嶺，對於分眾行銷效果最佳。</p> <p>李昆謀表示，這種分類方法下，通常一年內有消費的會員，也就是NAPL類會員，只有品牌約30%。其他會員包括超過一年沒有購物的封存會員（Sealed），占人數40%，還有註冊後未消費的會員（Ready to buy），占總人數30%。業績占比來說，NAP三類會員只占2成人數，卻能帶來80%業績。「有效辨別出活躍、高貢獻分類的會員，對精準行銷幫助很大。」他說。</p> <p>DCIU則是以行為數據為基礎的ML模型。91APP會蒐集一系列顧客旅程中的行為，用ML演算法將顧客購買意圖分類為最高購買意圖（Decided）、高購買意圖（Considering）、低購買意圖（Interested），以及無購買意圖（Un-interested）。</p> <p>DCIU模式下，D類會員人數不到2%，卻能貢獻5成業績，C類會員則占5%人數，貢獻近2成業績。李昆謀說，理論上，零售業者能鎖定僅7%的高消費意圖會員人口，來集中行銷資源。</p> <p>他並將NAPL和DCIU分別比喻為CRM模型和CDP模型。前者是在顧客購物後，用歸納的方法來觀察顧客位於「整體生命周期」的哪個階段，後者則是在顧客購物前，根據行為模式預測顧客位於「單次購買周期」的哪個階段。兩者交叉運用，還能更細緻的分析顧客族群，並找出更精準的行銷方法。</p> <p>舉例來說，流失會員挽回是一件困難的事，但透過NAPL和DCIU模型，可以鎖定較有可能挽回的族群。利用NAPL模型找出即將流失的會員（L），再放到DCIU模型來看，找出少數具備高購買意圖（D或C）的族群。</p> <p>隨著OMO零售浪潮到來，他們還推出分析OMO足跡來判斷會員類型的PAVO統計模型，把會員分類為單通路、跨通路，以及線下瀏覽線上購物、線上瀏覽線下購物等，為會員購物模式分析增加更多維度。</p> <p><strong>開始發展零售業專屬生成式AI技術</strong></p> <p>2022年底，ChatGPT橫空出世，91APP緊急重寫2023年度計畫，決心在3個月內做出GAI應用。初期做法是，串接OpenAI API，打造商品文案生成、行銷訊息文案生成、Email生成、數據洞察報告生成、消費者商品評論模板生成等，一系列基礎的生成式AI應用。</p> <p>儘管客戶對於這些GAI應用的回饋良好，李昆謀仍希望能打造專屬91APP的零售GAI技術。2023年6月，他看到OpenAI將文章轉成嵌入向量（Embedding Vector），來進行關聯性比較，進而強化搜尋和資料整理等功能，決定如法炮製，將零售商品特徵轉成向量。初步實驗發現，「我們原本分群模型有幾十個辛苦抽取的特徵維度，結果用Embedding Model（嵌入模型）一口氣提取出上百個數據維度之後，不用改其他技術，馬上提升了效果。」</p> <p>於是，數據科學家團隊捨棄原本打造傳統ML模型的計畫，開始從頭研究生成式AI技術，嘗試打造一個ChatGPT外掛，結合嵌入向量來搜尋出高相關性資訊，再讓ChatGPT來生成零售相關問題的回應。</p> <p>歷時3個月，研究2、30篇論文，資料科學家團隊打造出ChatGPT外掛商店中，第一個來自亞洲的電商類外掛Jooii能提供購物推薦。年底，檢索增強生成（RAG，Retrieval-Augmented Generation）技術獲得更多關注時，李昆謀才驚覺，這正是他們過往幾個月在做的事情。</p> <p>確定技術發展方向正確後，他們打算將Jooii從ChatGPT外掛，升級為一整套建構在自家環境的零售生成式AI機制，搭配可用自然語言操作的對話介面，串接91APP不同電商系統和資料庫，以及公有雲平臺上Gemini、GPT及Claude系列的LLM。</p> <p>為了讓LLM能利用RAG來更準確檢索數據，並應用於各式各樣的推薦場景，91APP數據科學團隊自行打造出一個「三塔模型」。</p> <p>傳統的推薦系統，常常使用雙塔模型，比較兩個分類的特徵值，找出相似性較高的配對。以零售業而言，兩座塔的數據分類通常是「顧客」與「商品」。三塔模型則增加一個了「標籤」分類，讓RAG機制可以檢索出更符合購物情境的標籤數據，來生成回答。</p> <p>李昆謀進一步解釋，「標籤」分類包含語言以及商品產業別等情境標籤。舉例來說，「巧克力」在食品產業的語境是食物，在服飾業的語境則是顏色，這些資訊需要用標籤來告訴模型。91APP於向量空間中濃縮了2、3千種特徵維度，來輔助人與商品的配對。他坦言，產生這些標籤，是相當繁雜的半人工作業，多是根據零售專業知識和統計學做法，或者是根據一條條規則式算法，從顧客與商品數據計算出具有情境意義的標籤。</p> <p>產出這些標籤，還不能直接放進三塔模型中比較。這是因為，標籤量太龐大、種類又多元，會導致計算時間過長，且雜訊過多。經過一番研究，他們才成功將不同維度有效整合到3座塔的向量空間。再經過反覆實驗，研發出一套降維演算法，在幾乎不影響準確度的情況下，將3座塔的標籤統一降到512維度，再進行相似度比較。李昆謀表示，這套算法已經超出零售專業知識，而是他們在數學領域努力實驗出的成果，目前已經用專利保護。</p> <p><strong>將生成式AI技術化為商品來規模化經營</strong></p> <p>李昆謀表示，91APP有著許多大型零售客戶，把應用設計成可以承受大規模瞬間流量，已經是標準開發做法。打造生成式AI應用時，當然不例外。</p> <p>突然有幾萬人要呼叫Jooii背後的推薦模型時，系統如何撐住？李昆謀直言：「通常撐不住。更何況，模型也需要時間計算，很難給出毫秒等級的回應。」</p> <p>「標準解法是，預先產生資料來讓系統快取。」91APP的做法是，預先產出大量的三塔模型配對成果，儲存在數據倉儲中，用來回應較為常見的購物推薦情境，以消化瞬間大量請求。同時，模型會根據新匯入的顧客行為數據，不斷重新運算配對結果，回傳到資料倉儲中。</p> <p>也就是說，當顧客看到預處理的推薦結果後，會產生點擊或未點擊等反應。模型則會根據反應重新運算。至於一名顧客要多久才能看到最新運算、更符合自己近期行為的推薦結果？這取決於顧客本身活躍程度。</p> <p>這是因為，模型必須排續重新運算配對結果的優先程度，當顧客最近來訪頻率高，模型會優先重算。反之，當顧客不常到站，優先度就會較低。李昆謀坦言，重算優先度的規則，確實不容易掌握，他們仍在不斷調整。</p> <p>現在，他們已經將Jooii用於許多不同應用，包括行銷受眾圈選、商品貼標、個人化推薦、商品文案生成等。他們更用Jooii來支援RMN的廣告業務，根據廣告行銷所需情境，來配對顧客、商品及標籤。</p> <p>舉例來說，根據顧客和標籤數據，對已知顧客推薦特定類型商品。或是當廣告主希望獲得新客，Jooii會根據顧客和商品數據，配對出情境標籤，再根據這些標籤，匹配外部通路的顧客數據，找到相似受眾（Look-alike），並估算出受眾的消費力、愛用金流、價格敏感度等特徵。</p> <p>也正因為他們擅長將技術打造成可規模化的商品，未來，他們計畫把Jooii作為一個IaaS產品，開放零售業客戶上傳自家訓練數據，來支援各自的GAI零售應用。</p> <p></p> </div></div></div>
2025/1/22 15:21作者郭又華https://www.ithome.com.tw/news/167114
Cloudflare快取被濫用於零點擊攻擊，Signal與Discord用戶地理位置遭洩露
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安研究人員Daniel（@hackermondev）在GitHub<a href="https://gist.github.com/hackermondev/45a3cdfa52246f1d1201c1e8cdef6117">揭露</a>一個新型零點擊攻擊，利用Cloudflare的快取機制推測用戶的地理位置，對Signal和Discord等廣泛使用快取的應用程式造成威脅。此攻擊不需用戶執行任何操作，只要日常的推播通知或附件下載即可觸發，在GitHub引發開發者社群對隱私與安全風險的關注。</p> <p>這項攻擊的核心原理，是利用Cloudflare快取回傳的HTTP標頭中包含的地理相關資訊，例如cf-cache-status和cf-ray參數。當用戶裝置存取啟用快取的資源時，攻擊者可以分析這些參數，推斷資源被快取的資料中心位置，進而估算出用戶的物理位置。研究顯示，Cloudflare廣泛分布的全球資料中心進一步增強了攻擊的精準度，用戶位置的推算範圍可縮小至約240至480公里。</p> <p>在實際應用中，強調隱私性通訊服務Signal和Discord則可能成為攻擊目標。Signal的附件快取設定使攻擊者能透過推播通知或訊息附件觸發快取機制，進而推算用戶位置。而Discord的用戶頭像快取也成為攻擊切入點，攻擊者甚至能利用API進行攻擊自動化，大幅降低執行門檻並提升效率。</p> <p>以Discord為例的攻擊流程，從攻擊者改變自己的Discord用戶頭像為隨機生成圖片開始，此舉避免干擾既有的快取記錄。接著向目標用戶發送好友請求，觸發推播通知，使目標裝置自動下載並快取攻擊者的頭像圖片。</p> <p>隨後，攻擊者使用分析工具檢視Cloudflare的快取記錄，辨識觸發的資料中心位置。當用戶在多裝置上綁定帳號，就可能取得不只一個最近的資料中心座標。透過繪製這些座標並計算中點，攻擊者可以精確推測目標用戶的大致地理位置範圍，誤差通常在約480公里內。整個攻擊過程僅需不到一分鐘，而目標用戶完全不會察覺。</p> <p>零點擊攻擊的特性使其難以偵測，尤其對記者、異議人士及其他隱私敏感群體構成威脅。研究人員指出，雖然Cloudflare已修補部分漏洞，例如阻止攻擊者透過其內部網路進行資料中心的直接定位，但攻擊者仍可藉助VPN等替代方法，繞過修補措施並重現攻擊效果。</p> <p>資安研究人員指出，Cloudflare和應用程式開發商的應對措施尚不足以完全解決風險。Cloudflare認為這類去匿名化攻擊並非其系統漏洞，並表示應由使用其服務的應用程式開發者，或網站營運者自行關閉需要保護的資源快取功能，以避免隱私資訊的暴露。</p> <p>另一方面，Signal與Discord則將問題歸咎於Cloudflare的快取機制，並未針對潛在隱私洩露風險採取具體的防護措施。Signal對於被報告的隱私漏洞回應稱，隱藏身份是用戶的責任，並強調他們從未承諾提供網路層匿名功能，資安研究人員表示，相較之下Telegram因採用自建協定及未依賴雲端提供商的快取服務而未受影響。</p> <p>Discord則是一開始表示會調查並改進，但最終認為這是Cloudflare的問題，其他平臺也可能受到同樣的風險影響，因此未採取進一步行動。各方回應顯示出對責任劃分的分歧，以及在保護用戶隱私方面缺乏有效的協作機制。</p> </div></div></div>
2025/1/22 16:08作者李建興https://www.ithome.com.tw/news/167115
Perplexity推出Sonar Pro API，提供即時精準生成式搜尋功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Perplexity宣布<a href="https://www.perplexity.ai/hub/blog/introducing-the-sonar-pro-api">推出</a>全新API服務，提供即時生成式搜尋功能。其透過網路連線與可信來源的資訊檢索，提升生成式人工智慧結果的事實性（Factuality）與準確度。API具有兩個層級，Sonar API專注於輕量化設計與成本效益，而Sonar Pro API則針對需要處理複雜查詢的企業需求進行最佳化。</p> <p>Sonar API提供快速、即時的網頁搜尋結果，並附上參考文獻以提高資訊可信度。此服務適合基礎問答應用，例如行動應用程式內的查詢功能或客服系統。而Sonar Pro API則進一步提升性能，能處理多步驟查詢與長篇上下文，並結合來自多來源的資訊檢索，提供更深入、可靠的答案，其平均參考文獻數量是Sonar API的兩倍，特別適用於企業級應用場景，例如業務決策支持或高精度資訊檢索。</p> <p>語言模型事實性的基準測試工具SimpleQA，專門用於評估語言模型在回答簡短且事實性問題時的準確度表現。根據測試結果，Sonar API的F-score為0.773，而Sonar Pro API則在SimpleQA基準測試的F-score獲得0.858，展現其生成式搜尋的高性能與實用性。</p> <p>目前，該API服務可整合至不同應用，包括銷售、醫療和視訊會議等。Perplexity提供的案例包括，Zoom透過Sonar Pro API在視訊會議中提供即時查詢功能，讓用戶無需切換至其他應用程式即可快速獲取所需資訊。此外，Perplexity官方強調，Sonar和Sonar Pro API都嚴格遵守資料隱私原則，確保用戶資料不會用於模型訓練。</p> </div></div></div>
2025/1/22 14:44作者李建興https://www.ithome.com.tw/news/167112
Mistral AI計畫IPO，擴點亞洲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>法國新創AI公司Mistral AI本周<a href="https://techcrunch.com/2025/01/21/mistral-ai-plans-ipo/" target="_blank">表示</a>，公司計畫發行股票上市（IPO），並計畫在新加坡設立據點。</p> <p>在瑞士達沃斯（Davos）舉行的世界經濟論壇中，Mistral AI執行長Arthur Mensch接受<a href="https://www.bloomberg.com/news/articles/2025-01-21/french-ai-champion-mistral-isn-t-for-sale-ceo-mensch-says" target="_blank">彭博專訪</a>時說，經常被問到何時出售公司，但他們沒有出售計畫。而是朝IPO方向發展。Mensch表示他們遠離美國科技公司在歐洲創業，希望證明歐洲在AI能占有一席之地。</p> <p>Mistral是2023年由前Google DeepMind、Meta工程師所創。Mistral AI的AI技術引起科技巨擘和投資圈注意，先後獲得<a href="https://techcrunch.com/2024/02/27/microsoft-made-a-16-million-investment-in-mistral-ai/" target="_blank">微軟</a>、<a href="https://blogs.nvidia.com/blog/mistral-nvidia-ai-model/" target="_blank">Nvidia</a>、<a href="https://investor.cisco.com/news/news-details/2024/CISCO-LAUNCHES-1B-GLOBAL-AI-INVESTMENT-FUND/default.aspx" target="_blank">思科</a>、Salesforce等科技龍頭投資，去年底<a href="https://sifted.eu/articles/mistral-468m-round-news" target="_blank">市值</a>高達58億歐元。</p> <p>Mistral AI現在手上資金充裕，公司也正招兵買馬。Mensch說公司業務在歐美快速進展，也計畫在新加坡設立辦公室向亞洲進軍。</p> <p>Mistral AI的美國競爭者OpenAI除了微軟2019年投資百億美元，去年光是一輪又募資66億美元，市值達1,570億美元。Anthropic也獲得Amazon、Google等投資，市值600億美元。</p> </div></div></div>
2025/1/22 13:01作者林妍溱https://www.ithome.com.tw/news/167110
川普推動Stargate計畫，聯合OpenAI、甲骨文、軟銀投入5,000億美元發展AI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在上任第一天川普於昨日<a href="https://www.youtube.com/watch?v=IYUoANr3cMo" target="_blank">宣布Stargate計畫</a>（Project Stargate），將偕同OpenAI、甲骨文及軟銀等公司，投入至少5,000億美元發展AI。</p> <p>川普稱這項計畫是迄今史上最大的AI基礎架構計畫，旨在重振美國產業，並保障美國國家安全，擴大美國的AI領先優勢，並且創造10萬個美國人工作機會。他說將宣布緊急狀態，因為來自中國等國家的AI競爭已成緊急狀態。</p> <p>甲骨文創辦人暨技術長Larry Ellison、OpenAI執行長Sam Altman及軟銀（SoftBank）執行長孫正義，昨日皆參加川普發表Stargate計畫的記者會。</p> <p>在這項計畫中，甲骨文、OpenAI和<a href="https://group.softbank/en/news/press/20250122" target="_blank">軟銀</a>及投資公司MGX將成立合資公司Stargate。其中軟銀負擔財務，承諾4年內投入5,000億美元，OpenAI則負責營運。孫正義會擔任新公司董事長。大致規畫上，Stargate計畫將打造大型AI基礎架構，包括超大型資料中心、必要的供電設施及大型社區。微軟、Nvidia、Arm等也會以合作夥伴身分參加計畫。</p> <p>OpenAI<a href="https://openai.com/index/announcing-the-stargate-project/" target="_blank">說明</a>，新公司將立即開始投入1,000億美元於這項計畫。其中OpenAI、Nvidia和甲骨文將合作打造運算系統，這也是OpenAI和甲骨文的首次合作。Nvidia在2016年<a href="https://fortune.com/2016/08/15/elon-musk-artificial-intelligence-openai-nvidia-supercomputer/" target="_blank">捐贈</a>超級電腦 DGX-1 給OpenAI。</p> <p>目前Stargate已在德州規畫佔地50萬平方英呎的資料中心園區，開始打造第一座資料中心。團隊也正在評估在美國其他地方打造更多類似園區。</p> <p>雖然和甲骨文展開合作，但OpenAI強調和微軟關係不變。OpenAI還會擴大使用Microsoft Azure資源，利用新增資源訓練Stargate計畫的模型。</p> <p>Ellison則說明，Stargate推動的AI應用之一是醫療及生技領域，結合電子健康記錄（EHR）等健康記錄與AI分析，促進癌症早期檢測、疫苗研發、基因定序等。</p> <p>甲骨文的醫療IT能力來自於2021年收購電子病歷軟體供應商Cerner<a href="https://www.ithome.com.tw/news/151399" target="_blank">所得</a>，該公司計畫建立美國全國的電子病歷資料庫。甲骨文也是Nvidia Cloud的基礎架構供應商。</p> </div></div></div>
2025/1/22 11:27作者林妍溱https://www.ithome.com.tw/news/167107
川普簽署行政命令暫緩TikTok禁令75天
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一如承諾，川普周二上任第一天<a href="https://www.whitehouse.gov/presidential-actions/2025/01/application-of-protecting-americans-from-foreign-adversary-controlled-applications-act-to-tiktok/" target="_blank">簽署了</a>行政命令，延後執行TikTok不賣美國就禁用的法案75天。</p> <p>這項行政命令是針對拜登2024年3月簽署生效的《保護美國人免受外國對手控制應用程式法案》而來。該法案以中國威脅美國國家安全為由，要求TikTok母公司字節跳動（ByteDance）在2025年1月19日之前，將TikTok出售給一家非中國公司，否則將在美國禁用。另外，又禁止美國公司或人士提供TikTok傳布、維護和更新的服務供應商，違者將受到處份。</p> <p>字節跳動之後提出挑戰，認為該法案違反美國憲法對言論自由的保障。但川普上任前數日美國最高法院裁定該法案並未違憲，以及前總統拜登未明確說不實施禁令，TikTok主動下線，告知用戶它是「被迫停止營運」。</p> <p>川普行政命令指出，最高法院的判決干擾了他在法案生效之前評估TikTok對國家安全和外交政策影響的能力。時機點而言，也打亂了他談判解決TikTok問題的計畫。</p> <p>為了讓新政府有更多時間決定適當處置，川普透過行政命令，指示美國司法部長從周二起的75天內，不要採取任何行動執行該法案，即使期限屆滿，司法部也不得對任何在75天內或之前提供TikTok服務的實體施加任何處罰。川普也要求司法部長發布書面指導以實施禁令。</p> <p>至於何謂適當處置，川普在就任前透過社群平臺指出，他屬意TikTok美國業務未來由現有母公司字節跳動及新公司的合資公司持有，其中美國要在合資公司持股50%。</p> <p>The Verge<a href="https://www.theverge.com/2025/1/21/24349011/trump-elon-musk-larry-ellison-oracle-tiktok-ban" target="_blank">報導</a>，周一在發布Stargate計畫的白宮記者會上，川普說對馬斯克的X或甲骨文收購TikTok美國業務，並開玩笑對甲骨文創辦人Larry Ellison說在媒體前協商，Ellison則回答聽來很不錯。</p> <p>2020年甲骨文曾提議收購TikTok美國業務，但最終並未成真，TikTok和甲骨文之間只有<a href="https://www.ithome.com.tw/news/151518" target="_blank">合作</a>，TikTok美國流量都導向甲骨文在美國的資料中心，以避免美國用戶資料流向中國。</p> </div></div></div>
2025/1/22 11:58作者林妍溱https://www.ithome.com.tw/news/167108
中國DeepSeek開源其R1推論模型，數學、程式開發表現緊追OpenAI o1
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國DeepSeek公司宣布以MIT授權<a href="https://github.com/deepseek-ai/DeepSeek-R1?tab=readme-ov-file">開源</a>R1推論模型系列，該系列在數學與程式開發等相關測試中表現出色，部分領域已達到與OpenAI o1模型相當的水準。而R1模型系列的特別之處在於其以強化學習（Reinforcement Learning，RL）為核心訓練方法、不需要監督微調（Supervised Fine-Tuning，SFT），突破了傳統對大規模標註資料的依賴。</p> <p>DeepSeek-R1系列模型其訓練方法的突破，在DeepSeek-R1-Zero模型完全透過強化學習，展現出關聯思考（Chain of Thought，CoT）、自我驗證與反思能力等推理特性。與傳統仰賴大規模標註資料的模型不同，DeepSeek證明了僅憑強化學習即可激發大型語言模型的推理能力。</p> <p>只不過DeepSeek-R1-Zero模型的可讀性和語言一致性仍不足，為了克服該問題並提高推理效能，DeepSeek在強化學習之前，進一步採用冷啟動資料及多階段訓練策略，推出了改進版本DeepSeek-R1，成功提升了模型的整體性能。</p> <p>根據<a href="https://github.com/deepseek-ai/DeepSeek-R1/blob/main/DeepSeek_R1.pdf">DeepSeek公開的論文</a>，DeepSeek-R1模型在多項基準測試表現突出，在數學相關的MATH-500測試，其Pass@1準確率達到97.3％；在AIME 2024數學競賽測試中，達到79.8％的準確率，表現接近OpenAI o1模型。此外，DeepSeek-R1在Codeforces程式競賽平臺上的評分達到2029，勝過96.3％的參賽者，僅略低於OpenAI o1的96.6％，顯示其在程式開發領域的應用潛力。</p> <p>在開源策略上，DeepSeek釋出了完整模型，還推出多個經過蒸餾處理的模型版本，參數範圍從15億至700億不等，供不同資源需求的開發者或研究者使用。根據測試結果，蒸餾模型在AIME 2024、MATH-500與CodeForces等多項基準測試，超越像是GPT-4o與Claude-3.5-Sonnet等模型。</p> <p>雖然DeepSeek-R1表現出強大的能力，但仍存在一些限制，例如模型對提示詞的敏感性較高，尤其是當使用小樣本提示（Few-Shot Prompting）時，模型的性能會明顯下降，因此，建議用戶採用零樣本提示（Zero-Shot Prompting）的方式，也就是直接描述問題並明確說明輸出格式，而不提供任何範例。此外，目前該模型主要針對中英雙語最佳化，在處理其他語言的查詢時偶爾會出現語言混用現象。</p> <p>DeepSeek-R1也以<a href="https://api-docs.deepseek.com/quick_start/pricing">deepseek-reasoner API的形式提供服務</a>，輸入部分快取命中每百萬Token為0.14美元，未命中是0.55美元，輸出部分則按推理內容與最終答案的總Token數計價，每百萬Token收費2.19美元。與其他同等商業模型相比，DeepSeek-R1提供了極具競爭力的價格。</p> <p>不過，由於DeepSeek-R1模型來自中國公司，無論API服務與開源模型皆受中國政府言論審查，企業與個人使用仍應注意其潛在的內容生成規範與風險，特別是在敏感領域的應用。</p> </div></div></div>
2025/1/22 08:29作者李建興https://www.ithome.com.tw/news/167101
微軟已棄用的NTLMv1驗證機制，仍可能被啟動濫用於網攻
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟早已將NTLM（NT LAN Manager）列為過時的身分驗證機制，但Silverfort資安研究人員<a href="https://www.silverfort.com/blog/ntlmv1-bypass-in-active-directory-technical-deep-dive/">發現</a>，Active Directory群組原則用於限制NTLMv1的機制，在設計上因支援舊系統的需求，可能被攻擊者濫用以重新啟用NTLMv1，對企業資安帶來潛在風險。</p> <p>研究人員發現，部分應用程式可以透過名為ParameterControl的參數，來請求NTLMv1驗證訊息，即使系統規則已設置為只接受更安全的NTLMv2。該問題尤其影響非Windows用戶端環境，因為這些用戶端在應用程式的要求下，可能使用不安全的驗證資料，導致網路流量暴露於遭攻擊者攔截與破解的風險。</p> <p>NTLM是微軟在1990年代開發的一套身分驗證機制，廣泛用於當時的Windows網域中，但是隨著NTLM的加密演算法與驗證流程被發現許多弱點，包括NTLMv1只使用DES加密，挑戰回應機制也缺乏足夠的隨機性，使其容易被攻擊者透過中繼攻擊或離線破解取得用戶憑證。雖然NTLMv2改進了這些缺點，但在部分舊有系統或跨平臺應用，仍可能出於相容性需求而繼續使用NTLMv1。</p> <p>攻擊者可以攔截並破解NTLMv1流量，進而取得用戶憑證執行橫向移動或權限提升等進階攻擊行為。研究強調，僅依賴Active Directory群組原則並無法完全阻擋NTLMv1的使用，特別是當企業使用內部開發或第三方應用程式時，這些應用可能無意間允許或啟用不安全的驗證機制。</p> <p>微軟對此回應，NTLMv1的使用本身並非漏洞，因為其原本設計就需要相容於舊系統。不過微軟也計畫在Windows 11版本24H2與Windows Server 2025完全移除對NTLMv1的支援，該變更會逐步推行，促使企業過渡至更現代化且安全的驗證方式。</p> <p>以長期來說，雖然微軟的措施將減少NTLMv1的風險，但老舊應用程式仍可能使用NTLMv1。研究人員建議，企業需要重新檢視現有的網路基礎架構與身分驗證機制，淘汰不安全的技術，採取更現代化的安全協定，例如Kerberos或SSO，同時，對網路流量進行稽核與監控，檢查應用程式是否存在潛在漏洞，也是有效防範攻擊的重要措施。</p> </div></div></div>
2025/1/22 08:33作者李建興https://www.ithome.com.tw/news/167104
Google釋出OSV-SCALIBR函式庫，強化開源軟體漏洞檢測
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google發布名為<a href="https://security.googleblog.com/2025/01/osv-scalibr-library-for-software.html">OSV-SCALIBR（Software Composition Analysis Library）</a>的新工具，進一步提升開源軟體漏洞檢測和安全分析的能力。OSV-SCALIBR能夠執行安裝套件、程式碼及容器映像檔的掃描，同時支援多種主要程式語言和作業系統。</p> <p>OSV-SCALIBR是一個獨立的軟體組成分析函式庫，延續並擴展了Google在OSV-Scanner中的技術基礎。而OSV-Scanner是一款針對開源軟體相依性漏洞的掃描工具，目前支援11種程式語言和20種套件管理工具。OSV-SCALIBR在OSV-Scanner的基礎上，進一步加入了弱憑證檢測與軟體物料清單（SBOM）生成功能，並支援SPDX和CycloneDX格式。</p> <p>Google表示，OSV-SCALIBR已廣泛應用於自家主機、程式碼儲存庫及容器的安全分析，協助生成精準的軟體物料清單，並提升漏洞檢測效能以保護用戶資料安全。</p> <p>OSV-SCALIBR函式庫的特色在其模組化的設計，開發者可以根據需求擴充，執行特定的軟體擷取和漏洞檢測任務。OSV-SCALIBR以開源的Go函式庫形式提供，Google也計畫未來將其功能整合到OSV-Scanner中，擴大工具的應用範圍。</p> <p>OSV-SCALIBR的應用範疇非常廣泛，從掃描安裝套件與獨立執行檔到分析原始碼與容器映像檔，並支援Linux、Windows和macOS等主流作業系統，能滿足多種環境的安全分析需求。此外，其針對低效能硬體和嵌入式系統進行了專門最佳化，使其在資源有限的條件下仍能高效運作。</p> <p>Google表示，OSV-SCALIBR不僅是一款安全檢測工具，更希望透過開放社群的參與，持續擴展其功能。未來Google計畫加入更多功能，例如容器基礎映像檔辨識、漏洞可達性分析（Reachability Analysis）來降低誤報，以及更多針對弱憑證的檢測能力。</p> <p>對於需要CLI工具的用戶，OSV-SCALIBR的功能正逐步整合到OSV-Scanner，新版本預計於數月內推出。Google承諾全面維持向後相容性，確保既有工作流程不受影響，使現有用戶可以無縫過渡至新版工具。</p> </div></div></div>
2025/1/22 08:36作者李建興https://www.ithome.com.tw/news/167105
OpenAI揭露2025邁向通用人工智慧的技術布局
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在去年12月，OpenAI以12天馬拉松式的一系列線上產品發表會，揭露了多項新服務和新技術，也反映出OpenAI展開了下一階段的新挑戰。</p> <p>「我們已經知道如何打造通用人工智慧（Artificial General Intelligence，簡稱AGI）的作法，2025年將出現第一批進入勞動職場的AI代理，可以真正改變企業的產出。」OpenAI執行長Sam Altman在個人部落格上的新年回顧上透露。</p> <p>Sam Altman在1月6日發表了一篇「反思」為名的文章，回顧過去9年OpenAI的發展，從一間默默無名的研究室，投入一項「Chat With GPT-3.5 」專案開始，到2022年11月，隔空發表了震驚世界的ChatGPT，這一段激烈變革的過程。ChatGPT服務的每周活躍用戶，今年初達到驚人的3億人規模。尤其在過去兩年，OpenAI從一家研究機構，更以ChatGPT這項技術為核心重新組織，徹底變成了一家產品公司。</p> <p>OpenAI設立之初的願景，就想要打造通用人工智慧，也相信有一天可以打造出這樣的技術。</p> <p>「我們的願景沒有改變過，現在我們確定，已經知道如何打造傳統認知的通用人工智慧（AGI）。」Sam Altman如此強調，我們開始將目標轉向真正的超級智慧。他預告2025年將會出現第一波真正有勞動力，可以改變企業產出的AI代理。</p> <p>Sam Altman將如何實現這個願景？為何2025年是關鍵變化的一年？他沒有透露更多細節，但從去年底OpenAI馬拉松式的12天發表，可以看到新的技術、產品發表，反映出邁向通用人工智慧的各種布局。甚至在影片生成模型Sora服務上線的那一場發表中，Sam Altman就明言，AI生成影片是他們發展通用人工智慧藍圖的重要一環。因為「影片是AI學習的重要環境，可以從中學到人類在真實世界中的行為。」這正是他們推出Sora的目的。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961-%E6%96%B0%E5%B9%B4%E5%9B%9E%E9%A1%A7.png" style="width: 600px;" /></p> <p><span style="color: rgb(51, 102, 255);"><strong>「我們的願景沒有改變過，現在我們確定，已經知道如何打造傳統認知的通用人工智慧（AGI），2025出現第一批進入勞動職場的AI代理，可以真正改變企業的產出。」OpenAI執行長Sam Altman在個人部落格上的新年回顧上透露。從去年底OpenAI馬拉松式的12天發表，可以看到OpenAI邁向通用人工智慧的各種布局。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">（圖片來源／OpenAI）</span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962-12%E5%A4%A9%E7%99%BC%E5%B8%83-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-OpenAI(1).png" style="width: 600px;" /></p> <p><strong><span style="color: rgb(51, 102, 255);">OpenAI 在去年12月，舉辦了一場馬拉松式的12天線上發表會，揭露多項新服務和新技術，更反映出OpenAI在通用人工智慧的種種布局。包括了正式推出了新一代推理模型o1，預告了下一代o3推理模型的進展。今年也正式推出了影片生成模型服務Sora。ChatGPT也從文字對話介面，發展成支援影音、圖片多模態溝通的全新AI工具。</span></strong><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">（圖片來源／OpenAI）</span></span></p> <p>在去年這12天的系列發表中，包括了正式推出了新一代推理模型o1，預告了下一代o3推理模型的進展，也正式推出影片生成模型服務Sora等。</p> <p>ChatGPT則大變身，從文字對話介面，發展成支援影音、圖片多模態溝通，支援全新人機協同寫作（開發）、具有專案管理功能的全新AI工具。</p> <p>OpenAI產品更擴大了與第三方生態圈的整合，不只是可以與更多第三方應用程式的畫面內容互動，也開始與蘋果生態圈深度整合。</p> <p>OpenAI跨出了純AI產品領域，例如LLM模型服務、ChatGPT服務，提供更多AI應用類的服務，先從搜尋功能，這是與搜尋龍頭對戰的關鍵武器。</p> <p>我們將分兩期封面故事，來剖析GAI龍頭在2025年的產品和戰略布局，更從企業角度來思考，這些布局的影響。</p> <p>不過，在剖析每一天發表會的新產品之前，要先回顧OpenAI的服務條款，了解他們將會如何使用數億用戶上傳資料的政策，才可以真正了解OpenAI推出這些新服務或新功能，背後的意圖。</p> <p>不論是ChatGPT、DALL·E或任何OpenAI的服務，像是最新推出的Sora，都遵循同一套服務條款，不論是企業或一般使用者，都可以獲得輸出內容的所有權，包括模型生成的成果，但在資料再利用上，這個條款區分出兩種再利用模式，針對企業級的帳號，例如Team訂閱方案、Enterprise方案等，OpenAI承諾不會使用企業資料來進行模型訓練。</p> <p>然而，對於一般訂閱使用者，OpenAI將會使用到用戶們輸入的所有內容，包括文字，圖片，影音，以及生成的所有內容，來改善OpenAI自己的服務，也就是可以用來訓練更多的模型。用戶可以拒絕，但得自己另外向OpenAI申請撤銷使用，並非預設不用。</p> <p>換句話說，除了企業帳號外，任何人上傳的文字、圖片、影片、聲音，預設都會用來訓練新的模型，除非，我們主動去申請拒絕使用。從這個角度來看，OpenAI任何提供給一般用戶的新服務，都是一種累積更多資料的手段。有了這樣的認知，就可以來了解OpenAI十二天的產品發布。<strong><span style="color:#3366ff;">（後續報導內容請見：</span><a href="https://www.ithome.com.tw/news/167061" target="_blank"><span style="color:#3366ff;">從十二天發表來看OpenAI的2025戰略布局</span></a><span style="color:#3366ff;">、</span><a href="https://www.ithome.com.tw/news/167066" target="_blank"><span style="color:#3366ff;">OpenAI十二天發表會下半場聚焦團隊開發需求</span></a><span style="color:#3366ff;">）</span></strong></p> <p><a href="https://www.ithome.com.tw/article/167065" target="_blank"><span style="font-size:22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1217-feng_mian_gu_shi_-dou_zi_-p1-open-960x420_kao_bei_0.jpg?itok=mJezl9i4" style="width: 550px;" /></strong></span></a></p> </div></div></div>
2025/1/22 08:54作者王宏仁https://www.ithome.com.tw/news/167057
從十二天發表來看OpenAI的2025戰略布局
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在去年底的十二天發表會期間，OpenAI以新一代推理模型o1正式上線啟用揭開序幕。執行長Sam Altman表示，OpenAI的模型技術，開始從通用型的LLM，轉向具有複雜推理能力的新一代模型系列。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>第一天：新一代推理模型o1正式上線</strong></span></span></p> <p>正式版的o1比先前的預覽版本更強大，開始支援多模態的輸入，不只文字，還可以輸入圖片。</p> <p>o1也能支援結構化輸出，可以指定輸出JSON格式的內容，可以保證產生有效的JSON，但不一定會依據使用者透過推斷 API 呼叫提供的JSON 結構描述定義來生成。</p> <p>OpenAI採取了一套人工評估作法，發現o1正式版比o1預覽版的錯誤率，減少了34%，平均回答速度也快了50%。預覽版回應太慢的問題也獲得不少改善，現在輸入第一句話後，只需要10秒就可以獲得回應，甚至會依據問題難易度，簡單問題的回應快，而複雜問題回應速度才會較慢。</p> <p>在推理能力上，OpenAI特別在意o1模型對於輔助開發的成效，以全球程式競賽平臺Codeforces的得分來說，GPT-4o可以得到11%（解出11%的問題），o1預覽版62%，但是正式版o1達到89%的高分，可以解答近9成的程式問題。</p> <p>不只是推出了新一代推理模型，OpenAI還發表了要價高達每月200美元的ChatGPT Pro訂閱模式，在這個模式下可以取得o1 Pro Mode，用更多算力來提高難題的回答準確度。</p> <p>也就是說，ChatGPT可以按算力提供分級服務，意味著，這款o1模型是一款可以增加算力，來提高準確度的模型，因此，未來是可以購買更多算力，來提高o1的推理能力。</p> <p>目前，微軟Azure AI也開始提供o1推理模型，目前在美國和瑞典各有一個雲端區域提供這項模型。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>第二天：全新的模型客製化作法RFT</strong></span></span></p> <p>正式推出o1模型的發表會之後，OpenAI研究副總裁Mark Chen緊接著登場，公布了新的模型客製新功能，增強式微調（Reinforcement Fine-tuning，RFT），可以讓企業用自己的資料來微調o1模型，但不只是過去的標準微調作法，而是新的增強式微調作法。Mark強調，RFT作法可以讓高中生的能力，變成博士等級的模型。微軟Azure AI已經開始提供o1模型，同時也開始提供新的增強式微調模式。</p> <p>Mark Chen強調，RFT適合用於特定領域的任務，透過增強式學習模式，來建立專家級的模型，像是法務，金融，工程，保險，都可以適用。</p> <p>增強學習微調的原理是，提供一個問題讓模型回答，依據不同的思考路線產生一系列的多個答案，針對每一個答案的正確程度，來提供獎勵分數，針對得到正確答案的思考線路進行增強，而同時抑制得到錯誤答案的思考線路。不過，使用者不用考慮背後的運作過程，只需要上傳訓練資料和驗證資料集即可。「這讓模型用一種全新的方式，也是更有效的方式，來學會特定領域的推理方式。」Mark解釋，增強式學習不是優化模型的輸出，而是讓模型學會「推理」方法，只要十幾個訓練案例，就可以有效果。這也是OpenAI用來訓練GPT4o和o1模型的訓練方式，變成一項平臺功能。</p> <p>進行RFT微調時，企業需要先上傳JSON格式的訓練資料集，每一行是一筆資料，也可以加入提示工程的指令，產生推論結果後，還要上傳一份驗證用的資料。透過一個評分器機制，將推論產生的答案和正確答案比較，模型會回傳0到1的分數，1代表完全正確，0則代表完全錯誤。</p> <p>OpenAI將會提供不同類型的評分器，作為增強式微調使用，也開放企業可以自己用Python來定義自己的評分器，上傳使用。目前執行一次RFT的時間，可能從數小時到數天不等。</p> <p>微軟Azure AI服務在12月18日也新增了這項功能，先提供給9月釋出的o1-mini可以用RFT，也先在美國North Central US和瑞典 Sweden Central這兩個區域提供，支援UI介面操作。 </p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964-RFT-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%BE%AE%E8%BB%9F.png" style="width: 600px;" /></p> <p><strong><span style="color:#3366ff;">微軟Azure AI服務在去年12月18日開始提供新的增強式微調RFT功能，先開放對9月釋出的o1-mini模型使用RFT，目前先在美國North Central US和瑞典 Sweden Central這兩個區域提供。</span></strong><span style="font-size:14px;"><span style="color:#696969;">（圖片來源／微軟）</span></span></p> <p>目前已有搶先試用RFT的大型企業，例如Thomson Reuter法律顧問公司用RFT來微調o1-mini模型，用於自家GAI 法務助理Co-Counsel。Thomson Reuter公司在2024年2月發表了用GPT-4打造的法務助理Co-Counsel，更在2024年11月時，宣布開始測試客製化版的o1-mini。這個客製化就是用了RFT來客製化法律事務專門的推理能力。</p> <p>Thomson Reuter這款AI助理混用了三家公司的LLM模型，處理不同任務。用Google的Gemini處理超長上下文的大型法律文件整合。</p> <p>用Anthropic的Claude處理稅務和合規等需要高度流程客製化的作業，最後則是用客製化版的o1-mini來處理法院訴訟案件摘要中，需要專業人員才能辨識的細微用語差異。</p> <p>根據他們目前的POC測試結果，RFT微調後的o1-mini模型，可以辨識出律師與當事人往來的保密信件中的用語差異，這是連GPT-4都無法辨識的細節，甚至，過去得靠專門律師才能判斷的用詞，這也加速了他們文件審查，法律研究，訴訟申請等作業。</p> <p>OpenAI線上發表時揭露了一項遺傳基因研究的RFT應用案例，用了1,100個案例微調o1-mini的正確率達到31%，比單純用o1-mini的17%高了不少，甚至比沒有微調的o1模型的25%還要高。這也反映出微調的效果。微軟官網上也介紹了另一個適合RFT的場景是物理學量子光學數學方程式的生成。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>第三天，Sora正式上線，開放付費用戶使用</strong></span></span></p> <p>Sam Altman親自主持第三場發表，也就是影片生成服務Sora的上線，開放所有付費用戶使用。他指出，AI影片工具是新型態的共同創造模式，他們希望AI可以理解影片，「生成影片將會深深地改變人們使用電腦的方式。」</p> <p>不只如此，Sora服務對OpenAI有更大的戰略意義，Sam Altman強調，AI生成影片是通用人工智慧藍圖的重要一環。他表示「因為影片是AI學習的重要環境，可以讓AI從中學到人類在真實世界中的行為。」</p> <p>目前正式推出的影片生成模型不是去年2月公布的預覽版，而是新的進階版Sora Turbo，可以提供文字生成影片，圖片生成影片，影片生成影片等，可選擇生成480P到1080P不等影片畫質，5秒到20秒長度的影片。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963-6SORA_com-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-OpenAI.png" style="width: 600px;" /></p> <p><span style="color:#3366ff;"><strong>影片生成服務Sora服務採用了新的進階版Sora Turbo模型，可提供文字生成影片、圖片生成影片、影片生成影片等，也能選擇生成480P到1080P不等影片畫質，或是5到20秒長度的影片。</strong></span><span style="font-size:14px;"><span style="color:#696969;">（圖片來源／OpenAI）</span></span></p> <p>另外在Sora服務中也推出故事版功能，可以讓使用者像是導演般的設計和安排一整個影片的生成，像是描述角色，也可以下提示指令來建立一系列的行為。生成的影片可以用來重新編輯和混合，或是跟另一部影片後製成一個新影片。</p> <p>特別的是，因為這些是AI生成的影片，使用者可以透過提示，來改變影片中的角色。在發表會的展示中，直接把影片中在沙漠中移動的猛瑪象，要Sora模型替換成了機器人在沙漠中的移動，場景和移動方式都一樣，但是影片主角變成了類似大象的四腳機器人。目前Plus版訂閱用戶每個月可以生成50次影片，而Pro版訂閱者才能夠更多使用量，另外，Sora服務也搭配了避免生成影片濫用的控管機制。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>第四到六天：ChatGPT大升級，全新人機協作，深度整合蘋果生態</strong></span></span></p> <p>接著連續三場，從第四天到第六天，主要聚焦在ChatGPT產品的大升級，將原本以對話形式為主的功能，發展成多型態的人機協作平臺，也跨入更大的蘋果產品生態圈。</p> <p>第四天正式推出了ChatGPT的人機協作新工具Canvas，讓使用者與ChatGPT對話，來生成和編輯一篇文章，Canvas讓ChatGPT變成了以文件寫作為主的創作工具，可以一邊和AI討論和修改，並行畫面中的文件內容，提供了新的人機協同寫作方式。</p> <p>不只用於文件寫作，甚至可以用來撰寫Python程式碼，Canvas提供了Python直譯器，可以直接在線上執行這段Python程式碼，甚至呼叫常用的函式庫，繪製圖表等。ChatGPT也能補齊程式碼的註解，甚至是進行除錯，提供建議修改的正確程式碼段落，只要同意就可以套用。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%965-Canvas-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-OpenAI.png" style="width: 600px;" /></p> <p>在GPT商店中，有許多客製化GPTs，使用特定提示和設計，打造的GPT機器人，可以與其他人分享。現在可以將Canvas模式，加入到客製化GPTs中，讓使用這款客製GPTs的其他人，不用刻意打開Canvas，也能使用。換句話說，客製GPT可以把人機協作寫作工具Canvas加入到GPTs的生成結果，直接生成一份可以人機共同編輯的文件。</p> <p>與蘋果生態圈的整合上，ChatGPT提供了三種整合方式。第一種是與Siri整合。使用者向Siri提出要求後，Siri會自動建議是否更適合使用ChatGPT，詢問使用者同意後就會自動換手來處理。第二項整合ChatGPT和蘋果系統內建寫作工具，可以套用到全系統各處的寫作功能，對文件內容進行修改、摘要或畫重點等。第三項整合是相機控制，ChatGPT現在可以控制iPhone 16的相機功能，將畫面和聲音傳到ChatGPT上，讓ChatGPT了解使用者的世界，使用者可以自己控制要不要讓ChatGPT取得鏡頭控制權。</p> <p>蘋果則在公布與ChatGPT深度整合計畫的同時宣布，蘋果智慧服務將開始支援更多地區和語言，一方面在澳洲、加拿大、愛爾蘭、紐西蘭、南非和英國等國提供在地化英語支持，另一方面也在語言支援上，將會支援中文、印度英語、新加坡英語、法語、德語、義大利語、日語、韓語、葡萄牙語、西班牙語和越南語等，預計2025年4月開始透過軟體更新陸續升級這些支援。</p> <p>ChatGPT另外一項重要的大升級，則是進階語音對話功能，開始支援影音對話，這是第六天發表會的重點。這項具備影音能力的進階語音對話功能，使用了4o模型，可以支援50種語言，以更自然的方式與人對話，現在更可以支援即時影音，也能將使用者的螢幕分享給ChatGPT來剖析。這項功能也開啟了全新的人與ChatGPT互動的方式，從文字互動，跨入了影音互動的模式，在第六天的線上發表會中，OpenAI工程師用手機拍攝自己沖咖啡的過程，ChatGPT可以監看手沖咖啡的過程，一步步指示，現在要倒多少咖啡粉，如何移動熱水壺來倒水的過程，就像旁邊有一位資深咖啡師的指導一般。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1217-coverP2-600-1.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">（圖片來源／OpenAI）</span></p> <p>在OpenAI十二天發表中的前半段，大多聚焦在全新的模型，全新的ChatGPT服務，這些服務不只是增強原本的服務，而是讓人與GAI的互動，從文字互動模式，進入了影音互動，甚至可以說是彷彿是人與機器在真實世界中互動的新典範。</p> <p>變革關鍵是多模態模型（Large Multimodal Model，簡稱LMM）技術的成熟，去年還只是一項熱門的前瞻技術，到了今年，則變成了人人可用的新型態GAI產品。<a href="https://www.ithome.com.tw/news/167066" target="_blank"><strong><span style="color:#3366ff;">我們將在下一期繼續剖析十二天發表會的下半場。</span></strong></a></p> <p><a href="https://www.ithome.com.tw/article/167065" target="_blank"><span style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1217-feng_mian_gu_shi_-dou_zi_-p1-open-960x420_kao_bei_0.jpg?itok=mJezl9i4" style="width: 550px;" /></strong></span></a></p> </div></div></div>
2025/1/22 08:56作者王宏仁https://www.ithome.com.tw/news/167061
【資安日報】1月21日，駭客聲稱握有IT大廠HPE的內部資料，該公司正在著手調查
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年底初始入侵管道掮客IntelBroker先後於<a href="https://www.ithome.com.tw/news/166719">10月</a>、<a href="https://www.ithome.com.tw/news/166757">12月</a>兩度公布思科的內部資料，而在今年初這些駭客又有動作，他們聲稱手上有伺服器大廠HPE的內部檔案。</p> <p>值得留意的是，這些駭客並非首次表明竊得HPE內部的資料，去年2月，<a href="https://www.bleepingcomputer.com/news/security/hpe-investigates-new-breach-after-data-for-sale-on-hacking-forum/">他們號稱從HPE開發環境取得內部資料</a>。究竟這次駭客兜售的資料是否與之前有關？有待進一步釐清。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167091"><strong style="font-size: 22px;">初始入侵管道掮客IntelBroker聲稱握有HPE帳密、存取憑證、產品原始碼，在駭客論壇兜售</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/IntelBroker-HPE-breach-claims.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/IntelBroker-HPE-breach-claims.jpg" style="width: 300px; float: right;" /></a></p> <p>曾經涉嫌駭入思科、AMD等大廠的駭客IntelBroker本月稍早在駭客論壇，兜售據稱是駭入伺服器大廠HPE的敏感資料，包括內部系統憑證、軟體產品程式碼以及部分人員個資。HPE已著手調查。</p> <p>根據資安新聞網站Bleeping Computer報導，IntelBroker宣稱這批資料是竊自HPE公司網路，這群駭客存取該公司API、支付閘道WePay，以及公、私GitHub儲存庫，至少為期2天，得手了公私金鑰憑證、Zerto及iLO等軟體程式碼、一些軟體版本，以及部分舊客戶個資。</p> <p>HPE對媒體表示已得知此事，該公司立即啟動網路回應作業、關閉相關憑證，並展開調查確認駭客宣稱真確性。HPE說此事目前未影響該公司營運，也沒有客戶資訊受影響的證據。</p> <p><a href="https://www.ithome.com.tw/news/167099"><strong style="font-size: 22px;">惡意程式PNGPlug、ValleyRAT鎖定臺灣、香港、中國地區而來</strong></a></p> <p>臺海局勢緊張，中國駭客針對臺灣發動攻擊的情況不時傳出，但也有駭客組織同時對兩岸使用者下手的情況。</p> <p>資安業者Intezer揭露專門針對臺灣、香港、中國等使用中文的國家而來的攻擊行動，駭客組織Silver Fox先是利用釣魚網頁，佯稱提供應用程式的名義散布惡意的MSI安裝程式。</p> <p>一旦使用者依照指示安裝，電腦在安裝應用程式的過程裡，也會一併載入內含惡意酬載的壓縮檔，該壓縮檔受到密碼保護。接下來攻擊者使用特定的密碼解開壓縮檔，當中包含惡意程式載入工具PNGPlug（libcef.dll），最終於受害電腦部署ValleyRAT。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.trendmicro.com/en_us/research/25/a/iot-botnet-linked-to-ddos-attacks.html">物聯網裝置遭綁架，被用於散布殭屍網路病毒Mirai和Bashlite變種</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/01/donot-team-linked-to-new-tanzeem.html">駭客組織DoNot Team鎖定安卓用戶，散布惡意軟體Tanzeem</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/01/hackers-deploy-malicious-npm-packages.html">駭客意圖透過惡意NPM套件竊取加密貨幣錢包，並濫用Gmail通訊協定藏匿行蹤</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167090"><strong style="font-size: 22px;">HPE修補網路設備作業系統ArubaOS高風險漏洞</strong></a></p> <p>1月14日HPE Aruba Networking發布資安公告，指出他們旗下的網路設備作業系統ArubaOS（AOS）存在高風險漏洞CVE-2025-23051、CVE-2025-23052，一旦遭到利用，攻擊者有機會遠端執行任何程式碼（RCE）或命令、竄改任何檔案，或是未經授權的資料注入，影響Mobility Conductor、Mobility Controller，以及由HPE Aruba Networking Central雲端平臺管理的WLAN設備和SD-WAN閘道。</p> <p>這兩個弱點分別可被遠端用於執行各種程式碼，或是發動命令注入攻擊，共同點是攻擊者都必須通過身分驗證才能利用，危險程度都被評為7.2分，影響執行AOS-10.4.1.4、AOS-8.12.0.2、AOS-8.10.0.14以下版本作業系統的網路設備，該公司已發布新版修補。</p> <p><a href="https://www.ithome.com.tw/news/167089"><strong style="font-size: 22px;">Veeam修補本地端與Azure備份軟體多個漏洞，包括提升權限的重大漏洞</strong></a></p> <p>備份與資料保護軟體廠商Veeam，自去年12月到今年1月中，接連發布旗下Veeam Backup & Replication備份軟體的9個漏洞，與Veeam Backup for Microsoft Azure備份軟體的1個漏洞，並釋出修補版本。</p> <p>在Veeam Backup & Replication方面，包括影響備份伺服器的8個漏洞，其中最嚴重的是嚴重性評分均為8.8的4個漏洞：CVE-2024-40717、CVE-2024-42452、CVE-2024-42453與CVE-2024-42456，分別會導致攻擊者透過指令碼提升權限、藉由提升權限將檔案上傳ESXi主機，控制與修改虛擬化環境配置，以及提升權限獲得存取權與控制關鍵服務等問題，其餘4個漏洞則會導致存取憑證、刪除帳戶、外洩憑證NTLM 雜湊值等問題。</p> <p>在Veeam Backup for Microsoft Azure方面，則是一個評分7.2分的漏洞，會導致攻擊者利用伺服器請求偽造（SSRF），從系統發出未授權的請求，從而發起進一步攻擊。</p> <p><a href="https://www.ithome.com.tw/news/167097"><strong style="font-size: 22px;">Moxa工業交換器存在重大層級漏洞，攻擊者有機會繞過身分驗證機制</strong></a></p> <p>1月15日臺灣工控設備製造商四零四科技（Moxa）發布資安公告，指出旗下的EDS-508A系列交換器存在重大漏洞CVE-2024-12297，這項弱點存在於3.11版之前的韌體，而有機會讓攻擊者繞過身分驗證機制，CVSS風險評為9.2，對此，該公司呼籲用戶儘速向他們的客服聯繫，取得相關修補程式。</p> <p>這項弱點發生的原因，在於授權機制存在缺陷。該公司提及身分驗證的處理流程涉及用戶端及伺服器後臺，一旦攻擊者觸發這項漏洞，就有機會藉由暴力破解猜出有效的憑證，或是進行MD5資料碰撞攻擊，從而偽造身分驗證對應的雜湊資料，繞過驗證機制。</p> <p><a href="https://www.ithome.com.tw/news/167094"><strong style="font-size: 22px;">普萊德一款工業交換器存在重大漏洞，攻擊者有機會用來遠端執行任意程式碼</strong></a></p> <p>1月16日資安業者Claroty指出，他們在臺廠普萊德科技（Planet Technology）的工業交換器WGS-804HPT找到3項弱點，引起許多資安新聞網站報導，使得這些弱點很有可能接下來會有駭客嘗試利用，用戶應儘速處理。這些漏洞是：CVE-2024-48871、CVE-2024-52320、CVE-2024-52558，一旦遭到利用，攻擊者有機會遠端執行各式程式碼，根據漏洞的類型，有兩項涉及記憶體緩衝區溢位，另一項則是作業系統命令注入弱點。</p> <p>針對這些漏洞的處理過程，我們也向普萊德進一步了解，該公司表示在去年11月發布1.305b241111版韌體修補並於公司網站公開，同時也通知美國網路安全暨基礎設施安全局（CISA）已修補完成，CISA也在12月發布資安公告。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/oracles-january-2025-critical-patch-update-addressing-320-security-vulnerabilities/">Oracle發布2025年第一季例行更新，修補320個資安弱點</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2024-53691-poc-exploit-released-for-severe-qnap-rce-flaw/">針對威聯通9月修補的NAS漏洞，研究人員公布概念驗證程式碼</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/167064"><strong>【1月20日】駭客綁架MikroTik路由器從事網釣攻擊，意圖散布惡意軟體</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167028"><strong>【1月17日】駭客公布1.5萬臺Fortinet防火牆的詳細組態配置資料、VPN帳密</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167008"><strong>【1月16日】勒索軟體駭客將AWS S3儲存桶加密，並向受害者索討贖金</strong></a></p> </div></div></div>
2025/1/21 17:40作者周峻佑https://www.ithome.com.tw/news/167100
Moxa工業交換器存在重大層級漏洞，攻擊者有機會繞過身分驗證機制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>1月15日臺灣工控設備製造商四零四科技（Moxa）<a href="https://www.moxa.com/en/support/product-support/security-advisory/mpsa-241407-cve-2024-12297-frontend-authorization-logic-disclosure-vulnerability-in-eds-508a-series">發布資安公告</a>，指出旗下的EDS-508A系列交換器存在重大漏洞CVE-2024-12297，這項弱點存在於3.11版之前的韌體，而有機會讓攻擊者繞過身分驗證機制，CVSS風險評為9.2，對此，該公司呼籲用戶儘速向他們的客服聯繫，取得相關修補程式。</p> <p>這項弱點發生的原因，在於授權機制存在缺陷。該公司提及身分驗證的處理流程涉及用戶端及伺服器後臺，一旦攻擊者觸發這項漏洞，就有機會藉由暴力破解猜出有效的憑證，或是進行MD5資料碰撞攻擊，從而偽造身分驗證對應的雜湊資料，繞過驗證機制。</p> <p>假如無法及時套用新版韌體，Moxa也提出緩解措施，包括確保該交換器無法直接從網際網路存取、僅能透過受信任IP位址存取，並透過入侵偵測系統（IDS）、入侵防禦系統（IPS）監控是否有嘗試利用漏洞的跡象。</p> </div></div></div>
2025/1/21 16:15作者周峻佑https://www.ithome.com.tw/news/167097
惡意程式PNGPlug、ValleyRAT鎖定臺灣、香港、中國地區而來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺海局勢緊張，中國駭客針對臺灣發動攻擊的情況不時傳出，但也有駭客組織同時對兩岸使用者下手的情況。</p> <p>資安業者Intezer揭露<a href="https://intezer.com/blog/malware-analysis/weaponized-software-targets-chinese/">專門針對臺灣、香港、中國等使用中文的國家而來的攻擊行動</a>，駭客組織Silver Fox先是利用釣魚網頁，佯稱提供應用程式的名義散布惡意的MSI安裝程式。</p> <p>一旦使用者依照指示安裝，電腦在安裝應用程式的過程裡，也會一併載入內含惡意酬載的壓縮檔，該壓縮檔受到密碼保護。接下來攻擊者使用特定的密碼解開壓縮檔，當中包含惡意程式載入工具PNGPlug（libcef.dll）。Intezer惡意軟體分析師暨逆向工程師Nicole Fishbein提及，為了迴避資安系統偵測，攻擊者有可能將PNGPlug檔案大小增加至220 MB。</p> <p>攻擊者利用PNGPlug竄改ntdll.dll，而能在記憶體注入處理程序，並把用來掩飾攻擊行動的應用程式檔案down.exe路徑寫入登錄檔，然後將挾帶惡意酬載的圖檔aut.png注入記憶體內。</p> <p>此惡意程式載入工具還會搜尋電腦是否安裝了中國防毒軟體360安全衛士，將另一個惡意圖檔view.png在記憶體內載入，並建立新的處理程序，而此惡意程式就是ValleyRAT。</p> <p>根據受害者感染媒介及有效酬載，Nicole Fishbein指出，他們認為這起攻擊行動就是Silver Fox所為。</p> </div></div></div>
2025/1/21 17:03作者周峻佑https://www.ithome.com.tw/news/167099
GovTech月報第37期：數發部公布AI應用參考手冊草案，助公務機關認識、評估導入AI；英國AI新戰略擬打造20倍算…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(2024年1220~2025年0120)</span></p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">指引</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><span style="font-size:22px;"><strong>數發部發布AI應用參考手冊草案，助公部門評估導入AI</strong></span></p> <p>數位發展部近期發表「公部門人工智慧應用參考手冊」草案，以協助公務機關評估導入應用AI，手冊內容涵蓋AI概念介紹、服務評估、服務導入、營運管理等等。</p> <p>行政院在2023年8月通過「行政院及所屬機關（構）使用生成式AI參考指引」，確立公務機關採用生成式AI的大原則，但是公務機關導入AI可能缺乏應有的認識、指引手冊，因此推動政府轉型的數發部，為讓公務機關能夠評估AI效果、哪些服務或業務適合導入，參考國外相關AI指引研擬參考手冊草案，供公務機關參考。</p> <p>該手冊也介紹AI導入生命周期的5個階段，包括AI場景評估、AI專案啟動、資料探索與模型建立、模型迭代與部署、風險控制和AI專案啟動追蹤，另外，也提醒公務機關導入AI的12個注意事項，包括可信任度、公平性、隱私、安全性、可靠性等等。數發部預計手冊試辦為期1年，從今年1月1日開始到12月31日止，供各機關參考，例如評估哪些服務適合應用AI，各公務機關在試辦期間可提出建議，讓數發部滾動調整手冊。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%96-600(6).jpg" style="width: 600px; height: 354px;" /></p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">超級電腦</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><span style="font-size: 22px;"><strong>英國公布國家AI新戰略，擬打造提升20倍算力的全新超級電腦</strong></span></p> <p>正當各國致力於發展AI，英國政府近期也宣布新的國家AI戰略，稱為人工智慧行動計畫(AI Opportunities Action Plan)，目標為使英國成為全球AI的領先國家，以改善民眾的生活及英國的產業經濟發展。</p> <p>英國首相Keir Starmer表示，AI正為國家帶來新的機會，從教師提供學生個人化的課程，到支援小型企業的資料紀錄保存、加速規畫應用，並且有潛力改變人們的工作方式。</p> <p>英國政府規畫人工智慧成長區(AI Growth Zone)，作為加速提案及人工智慧基礎設施，首個人工智慧成長區為英國牛津郡的Culham；另外，鑑於發展AI所需要的龐大算力需求，英國準備打造全新超級電腦，公共算力提升20倍，以滿足AI所需的處理能力。英國政府還任命英國知名創投人士Matt Clifford擔任首相的AI機會顧問，整合相關資訊及人力，研議AI機會並發展英國主權，英國政府並同意Matt所提50項建議。</p> <p>英國也宣布Vantage Data Centres、Nscale 和、Kyndryl三家科技業者承諾將加重對英國的投資，合計價值140億英鎊的投資，包括人工智慧基礎建設的投資，可望創造超過1.3萬個工作機會。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">野火</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><span style="font-size: 22px;"><strong>加州洛杉磯地區野火燒不停，擴大無人機、AI技術投入防救災工作</strong></span></p> <p>加州洛杉磯地區發生的野火持續延燒，造成當地民眾生命及財產莫大損失，引起全球對於野火問題的重視，為因應野火問題，加州政府近期強化科技防救災作法，例如擴大無人機的採用，協助控制災情，並利用AI試圖更快的發現野火，結合災情即時通報系統，產生野火的即時地圖。</p> <p>面對野火問題，加州政府增加該州消防部門的經費，決定在未來幾年增加更多消防人力，此外，州政府也提高新科技的投資，例如增加1倍的無人機數量，利用無人機執行空中點火、空拍影像協助救災單位評估火勢，另外他們也與學校合作，利用AI攝影機來協助監控偏遠空曠地區森林是否發生火災，希望更快發現森林中發生火災及早處理，並透過即時情報系統建立野火即時地圖。</p> <p>加州也和美國國防部合作，利用衛星來探測發現野火，爭取儘早發現野火，並建立3D地圖，方便消防人員了解和導航。加州消防單位還強化事件通報機制，包括消防飛機活動的即時訊息，結合3D地圖呈現各地避難所位置、道路封閉等資訊。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位身分</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">政府</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><span style="font-size:22px;"><strong>英國可望在今年推出數位駕照</strong></span></p> <p>英國政府計畫今年推出數位駕照，以科技來來帶動政府服務的創新，未來英國民眾將可透過手機上的應用程式來使用數位駕照，在某些情形下可提供身分識別，例如購買酒精類飲料、投票或是飛機登機證明。</p> <p>考慮到高年齡者的數位落差問題，實體的駕照仍會繼續發行，數位駕照並不會強制使用，而是作為英國民眾數位生活的一種選項，英國政府計畫將以Wallet的方式提供數位駕照，如同現今民眾在手機上習慣使用的銀行App，以生物特徵或是多因子驗證方式，確保本人才能使用。</p> <p>除了在某些場合可利用數位駕照證明身分，該Wallet App可能整合其他政府服務，例如稅費支付或是公布社會福利資訊。在此之前，澳洲、丹麥、冰島、挪威等已推出數位證件，美國也有幾個州推動數位駕照，歐盟則是要求會員國在2026年提供歐盟公民至少一種數位身分服務。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">衛星</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">通訊韌性</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><span style="font-size:22px;"><strong>國科會主委吳誠文：政府也和Amazon Kuiper低軌衛星計畫談合作</strong></span></p> <p>為避免發生戰爭等緊急狀況，導致國內網路遭到破壞而失去對外通訊，數位部積極驗證以衛星通訊提升我國網路韌性，去年展示以衛星通訊服務，模擬在緊急狀態建立網路通訊，近期國科會主委吳誠文指出，政府正和Amazon的 Kuiper計畫商談合作的可能性。</p> <p>吳誠文在接受媒體訪問時指出，目前在臺灣的OneWeb衛星通訊頻寬不足，且目前因財務問題而延後開發第二代衛星，加拿大、北美、歐洲尚有其他衛星通訊服務商，其中Amazon Kuiper在開發階段比較成熟，政府正與Amazon Kuiper討論合作的可能性。</p> <p>去年數位部分別展示SES中軌衛星、OneWeb低軌衛星提供緊急通訊的應用，未來如果再和Amazon Kuiper合作，顯示在緊急狀態下分散風險，以多種國際衛星通訊服務來大幅強化臺灣的通訊韌性。</p> <p>數位部從2023年推動衛星通訊提升通訊網路韌性驗證計畫，以中、低軌衛星通訊服務作為我國在緊急狀態下，當固定網路基礎設施遭到破壞下，利用中低軌衛星維繫政府基本的通訊指揮系統。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">預防</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><span style="font-size:22px;"><strong>嘉義市用AI辨識人形結合大聲公示警，降低民眾落水事件</strong></span></p> <p> </p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/8-600.jpg" style="width: 600px; height: 338px;" /></p> <p>位於嘉義的蘭潭水庫，每年吸引不少人前往遊覽，甚至有遊客戲水導致憾事發生，嘉義市政府去年開發水域型AI人形辨識系統，在幾個遊客的熱點處建置攝影鏡頭，自動辨識進入水域的人形物體，再透過大聲公從遠端勸離，避免意外發生。</p> <p>根據嘉義市政府消防局統計，過去4年來，共發生35件落水救援案件，光是2022年就發生16件，市政府利用科技，在蘭潭水庫的6處熱點，建置19支鏡頭，以AI監測水域是否有人形物體，再由保全人員監看，宣導勸離民眾，該系統自去年4月啟用後到5月中，偵測事件數1,600多件，而到8月底，累計偵測事件數僅達1,800餘件，在AI示警、大聲公勸阻之下，確實減少民眾進入水域的事件發生，並減輕警方巡邏人力。</p> <p>嘉義市政府表示，該系統曾勸離在水域周邊的小朋友或是不慎誤入的民眾，警報得以即時發送，透過事前的預防減少憾事的發生，並且減少公務人員監看系統的壓力。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">救災</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><strong><span style="font-size:22px;">彰化縣科技救災再添利器，以無人機、救災機器人提升救災效率及人員安全</span></strong></p> <p>消防單位在第一線救災，不僅工作辛苦，更時常面臨高度危險。彰化縣政府近期增加無人機、救災機器人投入消防救災工作，透過無人機空中蒐集災區情況，結合救災機器人進入高溫火場射水滅火，協助消防救災工作，並降低人員傷亡風險。</p> <p>彰化縣政府先前在數發部的補助下，開發AI監控影像防災辨識、無線電AI監聽系統，可自動辨識火災、水災、交通事故等即時影像，再搭配41組穿戴式影像傳輸設備，隨救災人員深入現場，回傳現場即時影像，讓救災指揮中心掌握現場狀況、應變決策。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/savingliferobot-600.jpg" style="width: 600px; height: 291px;" /></p> <p>此次新加入4具救災機器人、4組無人機，其中救災機器人可取代消防員深入現場，除了協助射水滅火，可偵測有毒氣體，回傳熱顯像，結合AIoT將訊息回傳指揮中心，不只是一般火災，也能用於特殊的火災，例如化學工廠、高科技廠房失火等救災場景。至於無人機可用於火災現場、水域、山區搜救，提供即時影像，提高救災效率。</p> <p> </p> <p>圖片來源／數發部、嘉義市政府、彰化縣政府</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多GovTech動態 </span></strong></span></p> <p><strong>1.荷蘭將與Nvidia聯手打造新AI超級電腦</strong></p> <p><strong>2.拜登卸任前頒布行政命令，強化數位身分及第三方網路安全</strong></p> <p>資料來源：iThome整理，2025年1月</p> </div></div></div>
2025/1/21 17:23作者蘇文彬https://www.ithome.com.tw/news/167096
普萊德一款工業交換器存在重大漏洞，攻擊者有機會用來遠端執行任意程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>1月16日資安業者Claroty指出，他們在<a href="https://claroty.com/team82/research/hack-the-emulated-planet-vulnerability-hunting-planet-wgs-804hpt-industrial-switch">臺廠普萊德科技（Planet Technology）的工業交換器WGS-804HPT找到3項弱點</a>，引起許多資安新聞網站報導，使得這些弱點很有可能接下來會有駭客嘗試利用，用戶應儘速處理。這些漏洞是：CVE-2024-48871、CVE-2024-52320、CVE-2024-52558，一旦遭到利用，攻擊者有機會遠端執行各式程式碼，根據漏洞的類型，有兩項涉及記憶體緩衝區溢位，另一項則是作業系統命令注入弱點。</p> <p>針對這些漏洞的處理過程，我們也向普萊德進一步了解，該公司表示在去年11月<a href="https://www.planet.com.tw/en/support/downloads?method=keyword&keyword=v1.305b241111">發布1.305b241111版韌體修補</a>並於公司網站公開，同時也通知美國網路安全暨基礎設施安全局（CISA）已修補完成，CISA<a href="https://www.cisa.gov/news-events/ics-advisories/icsa-24-340-02">也在12月發布資安公告</a>。</p> <p>對於漏洞的研究經過，Claroty資安研究員Tomer Goldschmidt提及，他們從交換器的網頁伺服器元件boa當中，用於發出身分驗證請求的模組dispatcher.cgi找到弱點。根據CVSS風險評分，被評為重大層級的CVE-2024-48871、CVE-2024-52320特別值得留意，這些漏洞的CVSS風險皆達到9.8（4.0版CVSS評分為9.3），相當嚴重。</p> <p>究竟這些漏洞會帶來那些影響？Tomer Goldschmidt表示，CVE-2024-48871為記憶體緩衝區溢位漏洞，未經身分驗證的攻擊者可藉由發送惡意HTTP請求，就有機會導致網頁伺服器在複製資料到記憶體之前，無法正確檢查輸入大小，使得攻擊者能遠端執行各式的程式碼。</p> <p>另一個重大層級漏洞CVE-2024-52320，Tomer Goldschmidt解釋命令注入有關。攻擊者可在未通過身分驗證的狀態下，藉由惡意HTTP請求發送命令，從而達到遠端執行任何程式碼的目的。</p> </div></div></div>
2025/1/21 14:39作者周峻佑https://www.ithome.com.tw/news/167094
PCIe 7.0規格即將完成，支援AI/ML、雲端和HPC
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>PCI特別興趣小組（Special Interest Group，SIG）上周<a href="https://pcisig.com/blog/progressing-track-pcie-70-specification-version-07-now-available-member-review" target="_blank">公告</a>PCIe 7.0規格草案進展，使電腦資料傳輸標準量較PCIe 5.0的8 GB/s大增4倍，目標在今年年底正式釋出。</p> <p>PCIe 7.0規格0.7版已經制訂完成，已交由成員審查。這個版本包含成員對2024年4月的0.5版的意見，PCI SIG希望在2025年底之前完成PCIe 7.0版。</p> <p>PCIe 7.0規格目標包括將PCIe 6.0原始位元率（raw bit rate）由64GT/s提升到128GT/s，而在x16配置可達到512GB/s的雙向傳輸速度。新版規格使用PAM4（Pulse Amplitude Modulation with level4，脈衝幅度調變）信令，在維持高穩定性、低延遲性的同時也將提升能源效率，此外也會回溯相容前代規格。</p> <p>PCIe 7.0的每條通道的有效吞吐量為32 GB/s，為2019年5月公布的PCIe 5.0（每條通道的有效吞吐量可達8 GB/s）的4倍。PCIe 6.0於2022年1月公布，每條通道的有效吞吐量可達約16 GB/s。</p> <p>PCIe 7.0為高頻寬、低延遲I/O互連技術，目標在支援資料密集的新興應用，包括800GB Ethernet、AI/ML、雲端和量子運算、超大規模資料中心、高效能運算（HPC）和軍事／航太應用。</p> </div></div></div>
2025/1/21 14:15作者林妍溱https://www.ithome.com.tw/news/167092
微軟修補Outlook寫信會當的Windows Server臭蟲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟上周修補一個造成Microsoft 365及傳統Outlook應用程式掛掉的臭蟲，影響Windows Server 2016、2019等版本。</p> <p class="rtecenter"><a href="https://support.microsoft.com/en-us/office/classic-outlook-and-microsoft-365-applications-crashing-on-windows-server-2016-856d4ee3-5fc4-4ae4-b8e4-81625d703b8d" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0121-Classic%20Outlook%20and%20Microsoft%20365%20applications%20crashing%20on%20Windows%20Server%202016_0117.png" style="width: 500px;" /></a></p> <p>這個臭蟲是在一月間Windows <a href="https://answers.microsoft.com/en-us/outlook_com/forum/all/outlook-version-2412-crashing-when-new-email-reply/f497d55b-54f3-4776-87a6-f485c558c2f0" target="_blank">Server 2016</a>、<a href="https://answers.microsoft.com/en-us/msoffice/forum/all/outlook-is-crashing-in-windows-server-2019/30f31d5f-5fb9-4d4a-920e-9ea1871cc8d1" target="_blank">2019</a>用戶安裝Version 2412（Build 18324.20168）或Version 2412（Build 18324.20190）後發生。一名用戶反映，這個臭蟲造成用戶試圖以Outlook發信、回信及轉寄信件時，Outlook會崩潰掛掉。只要一開啟新視窗，游標就會閃不停之後Outlook自行閃退，並出現0xc0000005錯誤碼。用戶重新安裝Windows 11 24H2、使用安全模式、移除防毒軟體或重灌Office都無法解決。</p> <p>在最新的公告中，微軟說明，在Windows事件檢視器的應用記錄（Application Log）會看到crash event 1000或1001。</p> <p>在此之前，微軟建議用戶移除更新，回到不受影響的Version 2411（Build 18227.20152）。但微軟也說本臭蟲已經修復，修補程式已在上周釋出的Version 2412（Build 18324.20194），可在Current通道下載。</p> </div></div></div>
2025/1/21 15:08作者林妍溱https://www.ithome.com.tw/news/167095
HPE Aruba公布網路設備作業系統ArubaOS高風險漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>1月14日HPE<a href="https://support.hpe.com/hpesc/public/docDisplay?docId=hpesbnw04723en_us&docLocale=en_US">發布資安公告</a>，指出他們旗下的網路設備作業系統ArubaOS（AOS）存在高風險漏洞CVE-2025-23051、CVE-2025-23052，一旦遭到利用，攻擊者有機會遠端執行任何程式碼（RCE）或命令、竄改任何檔案，或是未經授權的資料注入，影響Mobility Conductor、Mobility Controller，以及由HPE Aruba Networking Central雲端平臺管理的WLAN設備和SD-WAN閘道。</p> <p>這兩個弱點分別可被遠端用於執行各種程式碼，或是發動命令注入攻擊，共同點是攻擊者都必須通過身分驗證才能利用，危險程度都被評為7.2分，影響執行AOS-10.4.1.4、AOS-8.12.0.2、AOS-8.10.0.14以下版本作業系統的網路設備，該公司已發布新版修補。</p> <p>其中，CVE-2025-23051存在網頁管理介面，屬於通過身分驗證的參數注入弱點。一旦攻擊者成功利用，攻擊者就有機會藉由參數注入來覆寫任意系統檔案。</p> <p>第二個漏洞CVE-2025-23052則與命令列介面（CLI）有關，為命令注入弱點，一旦攻擊者成功利用，就有機會以特殊權限於作業系統底層執行任意命令。</p> <p>對此，HPE呼籲用戶儘速套用更新，若是無法即時修補的用戶，該公司也提出了緩解措施，用戶應透過防火牆政策或是網路第2層的隔離措施，來限縮存取網頁管理介面及CLI的管道。</p> </div></div></div>
2025/1/21 11:33作者周峻佑https://www.ithome.com.tw/news/167090
知名駭客兜售取得HPE憑證、產品原始碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>曾經涉嫌駭入思科、AMD等大廠的駭客IntelBroker本月稍早在駭客論壇，兜售據稱是駭入伺服器大廠HPE的敏感資料，包括內部系統憑證、軟體產品程式碼以及部分人員個資。HPE已著手調查。</p> <p>Bleeping Computer<a href="https://www.bleepingcomputer.com/news/security/hewlett-packard-enterprise-investigates-new-breach-claims/" target="_blank">報導</a>，IntelBroker宣稱這批資料是竊自HPE公司網路，這群駭客存取該公司API、WePay及公、私GitHub儲存庫至少2天，得手了公私金鑰憑證、Zerto及iLO等軟體程式碼、一些軟體版本，以及部分舊客戶個資。</p> <p>HPE對媒體表示已得知此事，該公司立即啟動網路回應作業、關閉相關憑證，並展開調查確認駭客宣稱真確性。HPE說此事目前未影響該公司營運，也沒有客戶資訊受影響的證據。</p> <p>IntelBroker去年二月也曾試圖販賣據稱來自HPE的資料。</p> <p>IntelBroker曾涉入多家大廠資料外洩事件，光是去年他就曾欲出售據稱來自<a href="https://www.ithome.com.tw/news/165858" target="_blank">Nokia</a>、<a href="https://www.ithome.com.tw/news/163539" target="_blank">AMD</a>、<a href="https://www.ithome.com.tw/news/166757" target="_blank">思科</a>、<a href="https://www.ithome.com.tw/news/166108" target="_blank">福特汽車</a>、<a href="https://www.ithome.com.tw/news/162839" target="_blank">Zscaler</a>的公司資料。</p> </div></div></div>
2025/1/21 11:57作者林妍溱https://www.ithome.com.tw/news/167091
微軟更新AI多代理開發框架AutoGen，強化多語言支援和開發工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟釋出新版本人工智慧多代理開發框架<a href="https://devblogs.microsoft.com/autogen/autogen-reimagined-launching-autogen-0-4/">AutoGen v0.4</a>，開發團隊在這次更新重新設計了核心架構，把焦點放在解決架構靈活性、多語言支援以及可觀測性不足的問題。新版框架強化了多語言互通功能，現階段支援Python與.NET程式語言，並提供多項開發者工具，提升開發者建構多代理系統的效率。</p> <p>AutoGen是開源人工智慧代理開發框架，其目標讓開發人員透過組合多個代理程式，建立生成式人工智慧應用程式，讓代理程式能夠彼此對話完成任務。AutoGen的應用領域涵蓋數學、程式開發、問題解答、供應鏈最佳化和即時決策等。</p> <p>AutoGen v0.4採用全新的分層架構設計，包含核心API、任務導向的高層框架AgentChat，還內建模組並支援社群開發的擴充功能。核心API提供了穩健的事件驅動基礎，讓開發者能設計靈活的多代理工作流程。AgentChat可簡化互動式應用的開發，新增串流訊息處理、任務狀態保存與恢復等功能，並保持與AutoGen v0.2的相容性。此外，擴充模組支援整合Azure執行器和OpenAI模型等工具，使系統更具彈性以滿足不同需求。</p> <p>針對開發者對系統可觀察性和除錯功能的需求，AutoGen v0.4提供了內建的度量指標追蹤、訊息追蹤和除錯工具，並支援OpenTelemetry標準，讓開發者能更簡單地掌握代理間的互動細節和問題。框架的非同步訊息傳遞和事件驅動設計，則可支援長時間運作或高複雜度任務的應用，使代理系統的運作效率更好。</p> <p>微軟也重新設計了AutoGen Studio，這是一個針對快速設計應用原型而打造的低程式碼開發介面。新版工具提供即時代理更新、執行過程控制和訊息流程視覺化等功能，並加入拖放式設計介面，讓開發者能以簡單的方式建置和管理多代理系統。</p> <p>微軟強調，雖然AutoGen v0.4進行全面的架構調整，但仍保留與前一版本的相容性，開發者可簡單升級現有應用。微軟計畫拓展更多程式語言的支援，推出更多內建應用和擴充模組，同時鼓勵社群參與擴充模組開發，促進開放生態系的發展。</p> </div></div></div>
2025/1/20 22:30作者李建興https://www.ithome.com.tw/news/167060
美國制裁中國資安業者，理由是參與Salt Typhoon攻擊電信業者及關鍵基礎設施
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年12月、今年1月初美國財政部外國資產控制辦公室（OFAC）兩度宣布制裁，對從事網路攻擊的中國資安業者下手，並指出這些公司不僅參與重大攻擊事故，也聽令於中國政府，甚至是協助或主導駭客的攻擊行動。如今OFAC再度出手，值得留意的是，這次與去年下旬傳出攻擊美國電信業者的事件有關。</p> <p>1月17日<a href="https://home.treasury.gov/news/press-releases/jy2792">OFAC針對參與網路攻擊的中國人士祭出制裁處份</a>，其中一組人馬就是位於四川的中國網路資安公司四川聚信和（Sichuan Juxinhe Network Technology Co., LTD.），以及於上海活動的駭客尹克成（Yin Kecheng）。</p> <p>其中，最引起關注的是聚信和，原因是他們涉嫌參與<a href="https://www.ithome.com.tw/tags/salt-typhoon">中國駭客組織Salt Typhoon</a>攻擊美國電信業者的攻擊行動，OFAC指出，根據他們的調查，這家中國資安業者不僅直接參加Salt Typhoon活動，而且與中國國家安全部（MSS）保持密切聯繫。</p> <p>對於尹克成的部分，OFAC則是指出他參與了攻擊美國財政部的事故。雖然OFAC沒有進一步說明，但根據<a href="https://thehackernews.com/2025/01/us-sanctions-chinese-cybersecurity-firm.html">資安新聞網站The Hacker News的報導</a>，這起事故很有可能就是<a href="https://www.ithome.com.tw/news/166598">BeyondTrust零時差漏洞的攻擊</a>，而此事唯一公開的受害美國聯邦機構，就是財政部。</p> <p>針對從事網路攻擊的中國資安業者，OFAC近期頻頻祭出制裁。去年12月，<a href="https://www.ithome.com.tw/news/166456">他們對中國網路資安業者四川無聲信息技術（Sichuan Silence）與其員工關天峰（Guan Tianfeng）發動制裁</a>，理由是關天峰挖掘Sophos XG防火牆零時差漏洞並其用於從事大規模勒索軟體攻擊；今年1月初，<a href="https://www.ithome.com.tw/news/166829">他們對另一家中國資安業者永信至誠科技（Integrity Technology Group）發出制裁令</a>，理由是該公司多次下令駭客組織Flax Typhoon攻擊美國關鍵基礎設施。</p> </div></div></div>
2025/1/20 18:07作者周峻佑https://www.ithome.com.tw/news/167063
【資安日報】1月20日，駭客綁架MikroTik路由器從事網釣攻擊，意圖散布惡意軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>攻擊者看上路由器將其綁架組成殭屍網路，多半是為了用來從事DDoS攻擊，近期有人卻將其用於規畫更為複雜的網路攻擊行動，使得相關手法更難防範。</p> <p>這起資安事故特別之處在於，攻擊者也搭配了DNS的不當組態，而能藉此假冒合法的網域名稱寄送釣魚信，使得信件不會被郵件安全系統視為有害。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167059"><strong style="font-size: 22px;">1.3萬臺MikroTik路由器被綁架組成殭屍網路，駭客搭配DNS弱點與SPF不當設定散布惡意軟體</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/one-mikro-typo-how-a-simple-dns-misconfiguration-enables-malware-delivery-by-a-russian-botnet-figure-1.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/one-mikro-typo-how-a-simple-dns-misconfiguration-enables-malware-delivery-by-a-russian-botnet-figure-1.jpg" style="width: 300px; float: right;" /></a></p> <p>駭客綁架網路設備架設殭屍網路，以便進行其他攻擊活動，行之有年，近期這種手法也經常用於幫忙攻擊者躲過資安系統的偵測，並且從事大規模的行動。</p> <p>資安業者Infoblox本月14日揭露的新一波殭屍網路攻擊，就是典型的例子。駭客綁架MikroTik路由器，利用它們組成殭屍網路，目的是用來發送垃圾郵件，然後散布木馬程式。這波攻擊行動的特別之處，在於駭客利用DNS記錄設定不良，從而逃過電子郵件防護措施的偵測。</p> <p>Infoblox威脅研究員David Brunsdon指出，由於攻擊者濫用這些路由器寄信，使得這些信件看似來自合法網域，使得郵件防護系統可能會因此放行，研究人員是透過DNS進行調查，而能發現整起攻擊行動的行蹤。</p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=3&SPOKE_TIME=65931&SPOKE_DATE=20250120&COMPANY_ID=3450"><strong style="font-size: 22px;">聯鈞光電資訊系統遭遇勒索軟體攻擊</strong></a></p> <p></p> <p>1月19日早上聯鈞光電於股市公開觀測站發布重大訊息，表示他們在上午偵測到部分資訊系統遭遇勒索軟體攻擊，事發當下已啟動相關防禦機制及復原作業，所有的資訊系統正在復原。</p> <p>針對這起事故可能帶來的損常或是影響，聯鈞表示根據他們初步評估，對於公司營運無重大影響。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/01/new-sneaky-2fa-phishing-kit-targets.html">網釣工具包Sneaky 2FA鎖定M365帳號而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://socket.dev/blog/malicious-pypi-package-targets-discord-developers-with-token-theft-and-backdoor">惡意PyPI套件pycord-self鎖定Discord開發人員而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/01/researchers-find-exploit-allowing.html">微軟已棄用的舊版NTLM身分驗證機制，資安業者發現能重新啟用</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167051"><strong style="font-size: 22px;">Nvidia公告容器工具套件及GPU Operator高風險弱點</strong></a></p> <p>1月13日Nvidia發布資安公告，指出旗下的容器工具套件（Container Toolkit）及GPU Operator存在3項漏洞CVE-2024-0135、CVE-2024-0136、CVE-2024-0137，有可能導致阻斷服務（DoS）、權限提升、資訊洩露、資料竄改，或是任意程式碼執行的情況，他們發布1.17.1版Container Toolkit、24.9.1版GPU Operator修補上述弱點。</p> <p>根據CVSS風險評分，評為高風險層級的CVE-2024-0135、CVE-2024-0136值得留意。其中CVE-2024-0135為隔離不當產生造成的弱點，因為攻擊者藉由偽造的容器映像檔，可能竄改主機的二進位程式，CVSS風險評為7.6。</p> <p>另一個漏洞CVE-2024-0136同樣涉及隔離不當，一旦攻擊者利用偽造的容器映像檔，就有可能導致不受信任的程式碼可被植入主機，且可被讀取，CVSS風險為7.6。</p> <p><a href="https://www.ithome.com.tw/news/167053"><strong style="font-size: 22px;">開源檔案同步工具Rsync存在重大漏洞，攻擊者有機會越界寫入，66萬臺伺服器恐曝險</strong></a></p> <p>駭客針對特定平臺發動攻擊，往往可能會鎖定預設安裝的元件而來，一旦這些元件存在弱點，就會導致搭配該作業系統的工作站或伺服器曝露於相關風險。最近公告有資安漏洞的檔案同步伺服器Rsync，由於廣泛運用於許多Linux作業系統，因此受到高度關注。</p> <p>1月14日Red Hat產品安全工程師Nick Tait在Openwall資安社群討論區指出，經滲透測試員Aleksei Gorban與3名Google研究人員通報，Rsync存在6項漏洞，並指出其中最嚴重的弱點相當危險，因為攻擊者只要能匿名存取Rsync伺服器，就有機會執行任意程式碼，開發團隊同日發布3.4.0版修補上述漏洞。這些漏洞很可能會波及全球66萬臺伺服器，影響範圍將會相當廣泛。</p> <p>根據CVSS風險評分，最嚴重的漏洞是由Google研究員Simon Scannell、Pedro Gallegos、Jasiel Spelman找到的CVE-2024-12084，這項弱點存在於3.2.7版以上的Rsync，發生的原因在於Rsync處理程序對檢查碼（checksum）的長度驗證不當，導致記體緩衝區溢位，CVSS風險評為9.8分（滿分10分）。</p> <p><a href="https://www.ithome.com.tw/news/167033"><strong style="font-size: 22px;">W3 Total Cache修補高風險漏洞，百萬WordPress網站曝攻擊風險</strong></a></p> <p>WordPress知名快取套件W3 Total Cache被發現存在CVE-2024-12365高風險的安全漏洞，可能有超過100萬個網站面臨資料洩露和伺服器資源濫用的威脅。雖然開發者已在2.8.2版本中修補漏洞，但大部分網站尚未更新。</p> <p>該漏洞影響所有2.8.1及更早版本的套件，W3 Total Cache開發者已經在最新的2.8.2版本中修補了CVE-2024-12365。但是根據官方套件的統計資料顯示，尚有近6成網站使用2.7.7以下版本，換言之，大量網站仍暴露於風險之中。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/hpe-aruba-networking-addresses-security-vulnerabilities-in-aos-systems/">HPE Aruba公布網路設備作業系統AOS高風險漏洞</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/yubico-addresses-authentication-bypass-vulnerability-cve-2025-23013-in-pam-u2f-package/">Yubiko針對開源身分驗證套件pam-u2f發布資安公告，攻擊者有機會藉由重大漏洞繞過身分驗證</a></strong></p> <p></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167063"><strong style="font-size: 22px;">美國制裁中國資安業者，理由是參與Salt Typhoon攻擊電信業者及關鍵基礎設施</strong></a></p> <p>去年12月、今年1月初美國財政部外國資產控制辦公室（OFAC）兩度宣布制裁，對從事網路攻擊的中國資安業者下手，並指出這些公司不僅參與重大攻擊事故，也聽令於中國政府，甚至是協助或主導駭客的攻擊行動。如今OFAC再度出手，值得留意的是，這次與去年下旬傳出攻擊美國電信業者的事件有關。</p> <p>1月17日OFAC針對參與網路攻擊的中國人士祭出制裁處份，其中一組人馬就是位於四川的中國網路資安公司四川聚信和（Sichuan Juxinhe Network Technology Co., LTD.），以及於上海活動的駭客尹克成（Yin Kecheng）。</p> <p>其中，最引起關注的是聚信和，原因是他們涉嫌參與中國駭客組織Salt Typhoon攻擊美國電信業者的攻擊行動，OFAC指出，根據他們的調查，這家中國資安業者不僅直接參加Salt Typhoon活動，而且與中國國家安全部（MSS）保持密切聯繫。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/167028"><strong>【1月17日】駭客公布1.5萬臺Fortinet防火牆的詳細組態配置資料、VPN帳密</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167008"><strong>【1月16日】勒索軟體駭客將AWS S3儲存桶加密，並向受害者索討贖金</strong></a></p> <p><a href="https://www.ithome.com.tw/news/166980"><strong>【1月15日】多組人馬利用零時差漏洞繞過身分驗證，攻擊Fortinet防火牆設備</strong></a></p> </div></div></div>
2025/1/20 18:21作者周峻佑https://www.ithome.com.tw/news/167064
1.3萬臺MikroTik路由器被綁架組成殭屍網路，駭客搭配DNS弱點與SPF不當設定散布惡意軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客綁架網路設備架設殭屍網路，以便進行其他攻擊活動，行之有年，近期這種手法也經常用於幫忙攻擊者躲過資安系統的偵測，並且從事大規模的行動。</p> <p>資安業者Infoblox本月14日揭露的<a href="https://blogs.infoblox.com/threat-intelligence/one-mikro-typo-how-a-simple-dns-misconfiguration-enables-malware-delivery-by-a-russian-botnet/">新一波殭屍網路攻擊</a>，就是典型的例子。駭客綁架MikroTik路由器，利用它們組成殭屍網路，目的是用來發送垃圾郵件，然後散布木馬程式。這波攻擊行動的特別之處，在於駭客利用DNS記錄設定不良，從而逃過電子郵件防護措施的偵測。</p> <p>Infoblox威脅研究員David Brunsdon指出，由於攻擊者濫用這些路由器寄信，使得這些信件看似來自合法網域，使得郵件防護系統可能會因此放行，研究人員是透過DNS進行調查，而能發現整起攻擊行動的行蹤。</p> <p>他們最初察覺這起事故情況，來自去年11月發現的垃圾郵件攻擊，這些郵件存在共通之處，在於內容都與貨物發票有關，而且都挾帶ZIP壓縮檔，其內容就含有惡意酬載。David Brunsdon舉出其中一封假冒DHL的垃圾郵件為例，寄件者聲稱收信人的包裹已準備寄送，要求依照附件指示儘速付款，以免貨物會延後送達。</p> <p>值得留意的是，這些郵件對方運用了配置不當的DNS網域的記錄，藉此通過Sender Policy Framework（SPF）的驗證，這些遭利用的網域大約有2萬個。</p> <p>攻擊者如何突破SPF這類防護機制？答案就是藉由網域的SPF記錄的配置錯誤來達成。一般而言，當使用者寄送電子郵件，接收端的郵件伺服器便會檢查SPF記錄，從而驗證郵件來自合法的伺服器，假若沒有通過，電子郵件就有可能被標記為垃圾郵件，甚至遭到封鎖。值得留意的是，這種SPF資訊存在於網域DNS記錄當中，使得攻擊者有機可乘。</p> <p>至於這些DNS組態配置不當發生的原因為何，研究人員認為有可能是意外所致，或是攻擊者設法取得網域註冊者的帳號進行更動，無論原因為何，結果都是讓任意裝置都能冒用電子郵件的合法網域。</p> <p>研究人員表示，正確組態的SPF記錄通常會包含「-all」，代表其他郵件伺服器無法冒用企業組織登記的網域寄信（例如：v=spf1 include:example.com -all）；而他們發現遭到利用的網域，SPF記錄都會改成「+all」，代表任何郵件伺服器都能以該網域的名義寄送信件。</p> <p>值得一提的是，這些惡意郵件的源頭，是路由器組成的殭屍網路。研究人員根據附件ZIP檔著手調查，內含經混淆處理的JavaScript檔案，若是執行就會建立PowerShell指令碼並執行，然後與C2進行連接。他們根據垃圾郵件的標頭透露的SMTP寄信伺服器IP位址進行分析，結果找到約由1.3萬臺遭駭的MikroTik路由器形成的殭屍網路。</p> <p>究竟駭客如何入侵路由器？David Brunsdon推測很有可能是利用已知或未知漏洞而得逞，因為他們在這些路由器找到多項重大層級的弱點，其中一項是<a href="https://vulncheck.com/blog/mikrotik-foisted-revisited">前年資安業者VulnCheck揭露的CVE-2023-30799</a>（CVSS風險為9.1）。</p> <p>攻擊者會將指令碼存放於啟用SOCKS的裝置上，並將這些裝置當作TCP重新導向的設備，或是代理伺服器，而能掩蓋惡意流量的實際來源。</p> </div></div></div>
2025/1/20 16:26作者周峻佑https://www.ithome.com.tw/news/167059
Google發表新Titans模型融合長短期記憶與注意力機制，突破200萬上下文Token限制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google研究院<a href="https://arxiv.org/abs/2501.00663">發表</a>了一項稱為Titans模型架構的突破性研究，整合了短期記憶、長期記憶與注意力機制，突破現有生成式人工智慧上下文處理瓶頸，支援超過200萬Token的上下文長度，對語言建模與長序列生成任務帶來顯著改進。 Google計畫將Titans的相關技術開源，這將加速長上下文生成技術在學術與產業領域的發展，並推動相關應用的創新。</p> <p>目前生成式人工智慧模型，例如Transformer及其衍生模型，雖然在多數應用領域表現出色，但其上下文窗口（Window）長度的限制，通常僅為幾千到幾萬個Token，這使其在處理長文本、多輪對話或需要大規模上下文記憶的應用中，可能無法保持語意連貫性與資訊準確性。Google的Titans架構透過引入深度神經長期記憶模組（Neural Long-Term Memory Module），有效解決了這個挑戰，能在更長的上下文中保持高效且精確的推理能力。</p> <p>研究團隊表示Titans的設計靈感來自於人類記憶系統，結合短期記憶的快速回應與長期記憶的持久特性，並透過注意力機制專注於當前上下文。傳統Transformer模型因為需要計算所有Token之間的配對相關性，所以計算成本隨上下文長度平方增加，而Titans則藉由深層化與非線性化的記憶模組設計，以及遺忘機制等技術，大幅提升記憶管理效率。</p> <p>Titans具有三種架構設計變體，分別是Memory as a Context（MAC）、Memory as a Gate（MAG）和Memory as a Layer（MAL），針對不同的任務需求來整合短期與長期記憶。MAC將長期記憶作為上下文的一部分，讓注意力機制能夠動態結合歷史資訊與當前資料，適合需要處理詳細歷史上下文的任務。而MAG則會根據任務需求，調整即時資料與歷史資訊的重要性比例，專注於當前最相關的資訊。</p> <p>MAL則是將記憶模組設計為深度網路的一層，壓縮過去與當前上下文，然後交由注意力模組處理，具備較高效率，但整體表現可能略受限制。與傳統Transformers相比，Titans結合了多層次記憶模組與動態記憶更新能力，不僅突破了上下文長度的限制，還能在測試階段持續學習，顯著提升推理能力與適應性。</p> <p>在語言建模、常識推論、時間序列分析及基因資料建模等多個領域，Titans展示遠超過現有基準模型的性能，特別是在超長序列處理方面的表現。在實驗中，Titans架構在長序列處理任務中的表現，明顯優於現有模型。無論是語言建模還是時間序列預測，Titans在準確性與效率都展現了壓倒性優勢，甚至在部分場景中超越如GPT-4等具有數十倍參數的超大型生成式模型。</p> <p>除了Google在生成式人工智慧長上下文的研究突破之外，中國人工智慧公司MiniMax推出的MiniMax-01系列模型，也主打其超長上下文處理和多模態理解能力，其最新的<a href="https://www.ithome.com.tw/news/167013">MiniMax-Text-01模型</a>支援長達400萬Token的上下文處理能力。</p> </div></div></div>
2025/1/20 17:25作者李建興https://www.ithome.com.tw/news/167056
開源檔案同步工具Rsync存在重大漏洞，攻擊者有機會越界寫入，66萬臺伺服器恐曝險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>1月14日Red Hat產品安全工程師Nick Tait<a href="https://www.openwall.com/lists/oss-security/2025/01/14/3">在Openwall資安社群討論區指出</a>，經滲透測試員Aleksei Gorban與3名Google研究人員通報，檔案同步伺服器Rsync存在6項漏洞，並指出其中最嚴重的弱點相當危險，因為攻擊者只要能匿名存取Rsync伺服器，就有機會執行任意程式碼，<a href="https://download.samba.org/pub/rsync/NEWS#3.4.0">開發團隊同日發布3.4.0版修補上述漏洞</a>。這些漏洞很可能會波及全球66萬臺伺服器，影響範圍將會相當廣泛。</p> <p>Rsync是Unix、Linux作業系統裡相當常見的檔案同步工具，標榜透過增量傳輸的方式來減少需要使用的網路流量，此檔案同步系統不僅許多類Unix作業系統內建，也有多套備份系統以Rsync為基礎開發，例如：Rclone、DeltaCopy、ChronoSync，因此採用Rsync開發的應用程式也可能受到波及。</p> <p>根據CVSS風險評分，最嚴重的漏洞是由Google研究員Simon Scannell、Pedro Gallegos、Jasiel Spelman找到的CVE-2024-12084，這項弱點存在於3.2.7版以上的Rsync，發生的原因在於Rsync處理程序對檢查碼（checksum）的長度驗證不當，導致記體緩衝區溢位，CVSS風險評為9.8分（滿分10分）。</p> <p>研究人員指出，一旦攻擊者讓MAX_DIGEST_LEN欄位超過SUM_LENGTH固定的16位元組長度，就有機會越界寫入sum2緩衝區。</p> <p>另一項Rsync高風險層級的漏洞CVE-2024-12085也值得注意，此為資訊洩露漏洞，出現在Rsync處理程式比對檔案檢查碼過程，攻擊者藉由操弄檢查碼的長度，就有機會導致該程式比對檢查碼及未初始化記憶體，從而洩露部分未初始化的堆疊資料，CVSS風險為7.5。</p> <p>究竟這批弱點的影響範圍有多廣？<a href="https://kb.cert.org/vuls/id/952657">卡內基美隆大學所屬的電腦網路危機處理暨協調中心（CERT/CC）指出</a>，Arch、Gentoo、NixOS、Red Hat、SUSE等多個版本Linux作業系統已確認受到影響；資安新聞網站Bleeping Computer透過物聯網搜尋引擎Shodan進行調查，<a href="https://www.bleepingcomputer.com/news/security/over-660-000-rsync-servers-exposed-to-code-execution-attacks/">結果發現有超過66萬臺伺服器可能曝險</a>，這些伺服器大部分位於中國，有52.1萬臺，美國、香港居次，分別有4.8萬、2.2萬臺。</p> </div></div></div>
2025/1/20 12:43作者周峻佑https://www.ithome.com.tw/news/167053
Nvidia新世代資料中心GPU雲端先行
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2024年6月台北國際電腦展，GPU大廠Nvidia偕同多家伺服器廠商，展出整櫃型AI伺服器GB200 NVL72，吸引多家公有雲業者與大型科技公司採購建置，然而，在同年<a href="https://ec.ltn.com.tw/article/breakingnews/4739584" target="_blank"><span style="color:#3366ff;">7月下半</span></a>、<a href="https://www.theinformation.com/articles/nvidia-customers-worry-about-snag-with-new-ai-chip-servers?rc=5xvgzc" target="_blank"><span style="color:#3366ff;">11月下半</span></a>，有媒體報導可能有過熱問題的傳聞，令外界擔憂影響出貨。當時陸續有多家廠商力挺，例如，鴻海、廣達均一再強調不受影響； Dell創辦人暨執行長Michael Dell <a href="https://x.com/MichaelDell/status/1858306164775379268" target="_blank"><span style="color:#3366ff;">11月18日</span></a>宣布，<a href="https://www.linkedin.com/posts/mdell_the-1st-in-the-world-nvidia-gb200-nvl72-server-activity-7264072317113118720-0hxo/" target="_blank"><span style="color:#3366ff;">全球第一臺GB200 NVL72正式出貨</span></a>。</p> <p>而對於採購這些硬體設備的公有雲業者而言，他們如何看待與Nvidia的合作？</p> <p>微軟2024年<a href="https://x.com/Azure/status/1843637745186484406" target="_blank"><span style="color:#3366ff;">10月8日表示</span></a>，Azure會是首家用GB200的AI伺服器營運Blackwell的雲業者，<a href="https://techcommunity.microsoft.com/blog/azurehighperformancecomputingblog/microsoft-adopts-nvidia-blackwell-to-power-the-next-frontier-of-ai-supercomputin/4303541" target="_blank"><span style="color:#3366ff;">11月19日宣布將推出基於GB200 NVL72的雲端虛擬機器服務</span></a>，名為Azure ND GB200 V6系列，開放內部預覽測試，<a href="https://x.com/satyanadella/status/1876669948912861497" target="_blank"><span style="color:#3366ff;">2025年1月8日微軟執行長Satya Nadella表示</span></a>，他們的第一座NVL72叢集系統已經在Azure環境運作。</p> <p><a href="https://x.com/googlecloud/status/1846266770367434934" target="_blank"><span style="color:#3366ff;">Google Cloud在2024年10月16日表示</span></a>，他們正與Nvidia合作組建GB200 NVL機櫃，秀出機櫃設置於資料中心的照片；<a href="https://www.oracle.com/news/announcement/ocw24-oracle-offers-first-zettascale-cloud-computing-cluster-2024-09-11/" target="_blank"><span style="color:#3366ff;">Oracle 9月預告</span></a>將建造雲端服務領域最大的<a href="https://blogs.nvidia.com/blog/oracle-ai-data-processing/" target="_blank"><span style="color:#3366ff;">AI超級電腦</span></a>，在這座OCI Supercluster，最多供應131,072個Nvidia Blackwell GPU，運算效能規模達2.4 zettaFLOPS，<a href="https://x.com/Oracle/status/1858948593765236881" target="_blank"><span style="color:#3366ff;">11月20日他們宣布</span></a>在全球雲端區域中心，率先啟用第一座有完整配備的Nvidia GB200 NVL72機櫃，支援客戶使用。</p> <p>至於AWS，2023年11月底與Nvidia<a href="https://nvidianews.nvidia.com/news/aws-nvidia-strategic-collaboration-for-generative-ai" target="_blank"><span style="color:#3366ff;">宣布</span></a>合作發展全球最快GPU架構AI超級電腦Project Ceiba；2024年3月Nvidia<a href="https://nvidianews.nvidia.com/news/aws-nvidia-generative-ai-innovation" target="_blank"><span style="color:#3366ff;">表示</span></a>，這套AI超級電腦將以Nvidia GB200 NVL72組建而成，將配置20,736個B200 GPU與10,368個Grace CPU，AI效能達414 EFLOPS；到了12月，<a href="https://youtu.be/LY7m5LQliAo?si=P19lFCXORu2abqMg&t=1282" target="_blank"><span style="color:#3366ff;">AWS預告2025年將推出採用Blackwell的執行個體服務P6</span></a>，相較現行GPU，速度增2.5倍。</p> <p>Nvidia面對市場強烈期待，以及每隔一段時間的出貨進度質疑聲浪，他們如何回應？</p> <p>今年1月6日舉行的CES美國消費電子展期間，Nvidia創辦人暨執行長黃仁勳在開幕主題演講強調，Blackwell已全面量產，每家雲端服務商都有這樣的系統，而且正在使用，目前有15家系統製造商推出近200款機型與組態，當中有採用液冷或氣冷的系統，基於x86或Arm架構的系統，以及兩臺GB200 NVL36、1臺GB200 NVL72，這些會在45座工廠生產。</p> <p>正當大家以為新世代GPU整櫃型系統的生產製造進度符合預期，並且熱烈討論Nvidia本次在CES發表多項產品與技術的背後意義與趨勢之際，沒想到，<a href="https://www.theinformation.com/articles/nvidias-top-customers-face-delays-from-glitchy-ai-chip-racks" target="_blank"><span style="color:#3366ff;">1月13日</span></a>系統過熱傳聞再度出現，引發全球關切。到了1月16日，黃仁勳來臺參加封測廠商矽品精密的潭科廠啟用揭牌儀式，媒體追問Blackwell現況。</p> <p>他表示，Blackwell採用CoWoS-L封裝，將兩個非常大的裸晶（die）連接成1個大晶片，Nvidia現行Hopper架構GPU採用CoWoS-S封裝，他們會逐漸轉移、增加CoWoS-L採用，這麼做並非為了減少容量，而是增加容量。</p> <p>關於散熱，黃仁勳強調Blackwell是非常複雜的技術，是全球有史以來製作方式最複雜的電腦，每一臺Blackwell系統重達3千磅，裡面總共包含60萬個元件，數量相當於一輛汽車的30倍，接著他重申Blackwell已進入全面生產狀態，這麼複雜的產品在工程的初期階段面臨許多挑戰，其實是相當正常的，而且他們已經開始將相關產品出貨到全世界。</p> <p>面對相關的爭議與傳聞，Blackwell平臺的發展、部署，以及後續推廣，顯然還需要持續克服技術、應用、商業模式等層面的挑戰，這次要處理的硬體環節相當廣泛，包含GPU的升級、CPU與GPU的融合，從一臺臺伺服器機架的設置躍升到單座與多座機櫃，散熱方式也從發展多年、成熟的氣冷，改為過去只在特定環境使用的液冷，這些議題都要在有限的時間之內盡速解決。</p> <p>一旦成功，IT產業勢必能夠以更順利的方式與高效能運算（HPC）領域的發展接軌，過渡到下個階段，走向更多元的未來科技發展，若無法成功，蒙受強烈衝擊的對象，絕對不只是Nvidia目前強勢主導的技術與商業生態體系，而可能是整個IT生態，因為其他運算平臺業者都各自有發展隱患，Nvidia若敗下陣來，競爭廠商未必能吃下這塊市場，因為他們可能更無法有效掌握這股機會衝刺。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/gpu">GPU</a></div><div class="field-item odd"><a href="/tags/nvidia">Nvidia</a></div><div class="field-item even"><a href="/tags/gb200-nvl72">GB200 NVL72</a></div><div class="field-item odd"><a href="/tags/gb200">GB200</a></div><div class="field-item even"><a href="/tags/blackwell">Blackwell</a></div><div class="field-item odd"><a href="/tags/ai%E8%B6%85%E7%B4%9A%E9%9B%BB%E8%85%A6">AI超級電腦</a></div><div class="field-item even"><a href="/tags/%E8%B3%87%E6%96%99%E4%B8%AD%E5%BF%83gpu">資料中心GPU</a></div></div></div>
2025/1/20 13:44作者李宗翰https://www.ithome.com.tw/voice/167054
GitHub Issues加入子議題、分類與進階搜尋，提升議題組織與追蹤效率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>GitHub<a href="https://github.blog/changelog/2025-01-13-evolving-github-issues-public-preview/">更新</a>Issues功能，新增子議題（Sub-issues）、議題類型（Issue Types）以及進階搜尋（Advanced Search）功能，提升開發者的專案管理效率與議題追蹤能力。同時，GitHub也針對使用者介面進行多項改進，使操作更直覺順暢。</p> <p>子議題功能讓開發團隊將主要議題細分為多層次的子議題，建構出父子層級的結構，更清楚地呈現出專案的工作分解與進度安排。GitHub透過結構化的方式，讓開發團隊不僅能追蹤子議題的完成情況，還能檢視整體專案的剩餘工作量，協助管理者更有效地分配資源，並確保專案按時程進行。</p> <p>議題類型功能則提供標準化的議題分類方式，供團隊在跨專案、跨團隊的情境的議題管理更一致，例如開發人員可以快速檢視臭蟲修復的進度、掌握團隊正在處理的策略性議題，或檢視專案中各項工作的分工情況。</p> <p>GitHub強化了議題的檢索能力，新增進階搜尋功能，用戶可使用AND、OR布林運算子以及括號，建立複雜的搜尋條件來精確篩選議題。開發者可以搜尋特定類型的議題，例如臭蟲或任務的開放狀態，或篩選由特定用戶建立的議題，快速找到所需資訊。這對管理龐大議題庫的團隊特別實用，能有效縮短搜尋時間並提高工作效率。</p> <p>除了新增功能，GitHub也改善Issues前端介面，介面新增篩選列的自動完成功能和語法突出顯示，讓搜尋條件設定更直覺。同時，議題表單的範本依檔案名稱字母順序排列，方便快速檢索。用戶在創建多個議題時，現在可以方便地選擇「快速創建更多」選項。</p> <p>在早前，GitHub正式宣布程式碼安全分析工具CodeQL Action v2已於GitHub Enterprise Server 3.11停止支援後正式退役，不再提供更新或技術支援，雖然在無安全漏洞的情況下可使用，但既有的工作流程可能會逐漸失效。官方還是建議所有用戶升級至CodeQL Action v3，該版本採用Node.js 20並包含最新的分析功能。</p> </div></div></div>
2025/1/20 13:48作者李建興https://www.ithome.com.tw/news/167055