iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 1篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/7 22:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

OpenAI推出ChatGPT Gov，助美國政府安全部署AI提升行政效率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI宣布推出名為<a href="https://openai.com/global-affairs/introducing-chatgpt-gov/">ChatGPT Gov</a>的新服務，讓美國政府單位可在微軟Azure環境，包含商用雲與政府雲中自行部署對話式人工智慧工具，供政府單位在採用人工智慧模型提升行政效率與生產力的同時，仍可維持安全性、隱私性與符合法遵要求。此服務並非將資料放在公共雲端，而是採用自我部署（Self-hosting）的方式，讓情報、公共衛生、基礎建設等需處理高度敏感資訊的單位，能自行掌控系統環境，更順利落實資安策略與風險控管。</p> <p>ChatGPT Gov提供政府單位類似ChatGPT Enterprise的功能，包含文字解析、程式碼撰寫、影像解析，以及協助進行各類複雜運算的GPT-4o模型。另有專用的行政管理控制臺，方便IT團隊監控使用者與群組、單一登入（SSO）等環境設定。OpenAI也針對有需求的政府機關開放自訂GPT功能，讓相關單位能根據既有工作流程與資料類型調整語言模型回應方式。</p> <p>OpenAI指出，美國公部門員工累計已使用ChatGPT生成1,800萬筆訊息，顯示政府機構對此類人工智慧服務的實際需求。</p> <p>根據官方資料顯示，許多機構已先行測試並整合相關服務。美國空軍研究實驗室用其來簡化行政作業與程式碼產出；洛斯阿拉莫斯國家實驗室則嘗試將GPT-4o用於先進科學研究與驗證，並評估其應用在生物科學實驗的安全面向。明尼蘇達州翻譯部門藉由此對話式系統，改進多語言翻譯的速度與精確度，降低執行成本。賓州更在一項人工智慧試驗計畫中，觀察到公務員每天使用後可節省一個多小時的例行作業時間。</p> <p>OpenAI表示，除了提供這套服務，後續也將持續爭取美國政府常見的法遵與資安認證，包括FedRAMP中度（Moderate）與高度（High）認證，並評估部署至Azure機密區域的選項。官方強調，此舉是讓公部門在維護民主價值與公共利益的前提下，善用最新的人工智慧工具強化公共服務，同時降低國安及資訊風險。</p> </div></div></div>
2025/1/31 18:44作者李建興https://www.ithome.com.tw/news/167172
Hugging Face逆向工程DeepSeek-R1，將打造開放推理模型Open-R1
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國人工智慧公司所開發的DeepSeek-R1模型發布以來，相對低廉的硬體與訓練成本就能展現高水準推理能力，在市場引發極大震盪。Hugging Face現正根據DeepSeek所公布的研究內容進行逆向工程，試圖推出名為<a href="https://huggingface.co/blog/open-r1">Open-R1</a>的開放版本，期望在透明、可驗證的環境下讓研究社群能更深入了解該突破性技術。</p> <p>由於DeepSeek-R1以遠低於市場預期的成本達到與先進模型相近的推理表現，業界與學界都希望能了解技術全貌，但DeepSeek未公開完整的訓練資料集與程式碼，使得外界對其稱為開源模型的真實性存有疑慮。Hugging Face工程師認為，如果只釋出模型權重與部分技術報告，仍不足以滿足真正的開放標準，因而決定透過逆向工程與大規模協作，建置完整可供研究者自行驗證與調整語言模型，成為推理模型的開放訓練工作管線與資料集。</p> <p>深度學習社群之所以對此舉格外關注，主要是因為DeepSeek-R1在數學、程式開發與科學領域的推理能力，甚至能與知名的OpenAI o1模型一較高下，而開發成本卻聲稱僅有美國人工智慧公司花費的一小部分。一旦Hugging Face成功重現Open-R1，研究人員將可確切掌握其中關鍵架構、訓練步驟，以及在有限硬體資源下達到高效訓練的方法。</p> <p>目前Hugging Face團隊的做法，是先分析DeepSeek發布的技術報告與模型論文，並嘗試從現有權重中推斷其訓練配方與資料分布。由於DeepSeek並未開放完整的資料集與程式碼，Hugging Face 需要召集志願者，共同整理出可供公開使用的高品質推理資料，藉此復刻或接近DeepSeek-R1所使用的多階段訓練策略。</p> <p>當Open-R1順利出爐，將不只是一個DeepSeek-R1複製品，更可能在技術透明度與研究價值上進一步超越原始模型。Open-R1可供任何人檢閱並改良強化學習流程、語言模型結構以及推理邏輯。這對需要確保模型輸出精度與可控性的企業而言相當重要，也進一步突顯了開源社群在推動人工智慧產業發展時所扮演的關鍵角色。</p> <p>Open-R1模型的訓練將使用Hugging Face的<a href="https://huggingface.co/science">Science Cluster</a>運算資源，該叢集有96個節點，每個節點有8張顯示卡，共768顆Nvidia H100可用於密集訓練，Hugging Face預計在數周內推出第一個可公開測試的原型版本。</p> </div></div></div>
2025/1/31 16:02作者李建興https://www.ithome.com.tw/news/167171
加入公雲自研處理器行列，GCP推出高效能Arm執行個體
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/google_cloud_c4a-main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這7年來，全球三大公有雲相繼投入伺服器處理器的研發，最初是<a href="https://press.aboutamazon.com/2018/11/aws-announces-new-amazon-ec2-instances-and-networking-enhancements">AWS在2018年底基於首款自行研發的處理器Graviton</a>，推出執行個體服務A1，<a href="https://www.ithome.com.tw/review/165346">如今Graviton已發展到第四代</a>；<a href="https://azure.microsoft.com/en-us/blog/microsoft-azure-delivers-purpose-built-cloud-infrastructure-in-the-era-of-ai/">微軟2023年底宣布將自行研發Arm架構處理器Azure Cobalt 100</a>，2024年10月正式推出<a href="https://www.ithome.com.tw/review/166337">基於這款處理器的執行個體服務</a>；Google Cloud Platform （GCP）也在<a href="https://cloud.google.com/blog/products/compute/introducing-googles-new-arm-based-cpu">2024年4月宣布將自行研發Arm架構處理器Axion</a>，10月底正式推出<a href="https://cloud.google.com/blog/products/compute/try-c4a-the-first-google-axion-processor">基於這款處理器的執行個體服務C4A</a>，今年1月下半，他們宣布<a href="https://cloud.google.com/blog/products/compute/first-google-axion-processor-c4a-now-ga-with-titanium-ssd">C4A的儲存裝置可搭配Google Cloud自行設計的固態硬碟Titanium SSD</a>。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-08-12_Google_Cloud_Next_2024_w0BSeaK_max-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-08-12_Google_Cloud_Next_2024_w0BSeaK_max-web.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2024-04-image1_Ab4940U_max-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-04-image1_Ab4940U_max-web.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/GCP VM-202501.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GCP%20VM-202501.jpg" style="width: 600px;" /></a></p> <p>Google Cloud Axion處理器的研發，主要是建立在<a href="https://www.ithome.com.tw/tech/154357">Arm Neoverse V2平臺</a>而成，這套矽智財採用<a href="https://www.arm.com/zh-TW/products/silicon-ip-cpu/neoverse/neoverse-v2">Armv9架構</a>，鎖定最高等級運算效能的處理器設計需求。而在用於執行個體服務時，Axion也將搭配Google Cloud發展的Titanium系統架構，基本上，這套系統包含多個專屬微控制器，並且具備分層存取、橫向擴展執行規模的卸載能力，可幫忙分攤網路與資安防護負擔，促使Axion保留更多效能因應用戶的工作負載，Titanium也能將儲存I/O處理卸載至Google Cloud的區塊儲存服務Hyperdisk，以便將儲存效能的高低與執行個體規模的大小脫鉤，便於彈性擴充，也能動態即時產生、馬上搭配使用。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Arm Neoverse V2-2023-08-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Arm%20Neoverse%20V2-2023-08-1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Arm Neoverse V2-2023-08-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Arm%20Neoverse%20V2-2023-08-2.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Arm Neoverse V2-2024-05.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Arm%20Neoverse%20V2-2024-05.jpg" style="width: 600px;" /></a></p> <p>關於效能表現，Google Cloud根據2024年3月底的內部測試資料表示，相較於當前雲端領域運算速度最快的一般用途Arm執行個體，採用Axion的執行個體領先幅度可達30％；對比當前世代的x86執行個體，採用Axion的執行個體的效能領先幅度可達50％，能源使用效率改善幅度為60％。</p> <p>Google Cloud會在哪些服務採用Axion處理器？在4月發表時，該公司預告會用於Google Compute Engine（GCE）、Google Kubernetes Engine（GKE）、Dataproc、Dataflow、Batch等；<a href="https://cloud.google.com/blog/products/compute/introducing-googles-new-arm-based-cpu">BigTable、Spanner、BigQuery、 Blobstore、Pub/Sub、Google Earth Engine、YouTube影片廣告等服務，已經執行在Arm伺服器之上</a>，未來計畫擴大服務規模而將很快採用Axion。</p> <p>而在用戶工作負載的類型上，Google Cloud認為，Axion能為一般用途工作負載提供顯著的效能增長，可涵蓋多種IT系統，包含：網站與應用系統伺服器、容器化微服務、開放原始碼資料庫、採用記憶體內架構（in-memory）的快取系統、資料分析引擎、多媒體處理系統、純CPU的AI訓練與推論處理系統。</p> <p><a href="https://s4.itho.me/sites/default/files/images/GCP-GP-VM-202501.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GCP-GP-VM-202501.jpg" style="width: 600px;" /></a></p> <p>時至2024年10月底，Google Cloud首批採用Axion處理器的執行個體正式C4A上線，已在全球7個區域資料中心供應，包含：愛荷華州（us-central1）、北維吉尼亞州（us-east4）、南卡羅萊納州（us-east1）、比利時（europe-west1）、荷蘭（europe-west4）、法蘭克福（europe-west3）、新加坡（asia-southeast1）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/C4A-2024-10-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/C4A-2024-10-1.jpg" style="width: 600px;" /></a></p> <p>Google Cloud主打C4A提供哪些使用效益？比起其他雲端業者提供的Arm執行個體，C4A的性價比領先10％；若以現行世代的x86執行個體為基準，C4A的性價比增加65％，能源使用效率提升60％。</p> <p><a href="https://s4.itho.me/sites/default/files/images/C4A-2024-10-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/C4A-2024-10-2.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-10-1_k2AxCv3_max.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-10-1_k2AxCv3_max.jpg" style="width: 600px;" /></a></p> <p>此時Arm也揭露C4A多項AI效能測試數據。以Llama 3.1 8B這個大型語言模型推論而言，針對提示處理與詞元生成的應用，<a href="https://community.arm.com/arm-community-blogs/b/servers-and-cloud-computing-blog/posts/ai-inference-on-google-axion-cpu">比起現行的x86執行個體，可提供兩倍的效能。</a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-10-Arm-Llama CPP_Google Axion_Arm Inference Blog.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-10-Arm-Llama%20CPP_Google%20Axion_Arm%20Inference%20Blog.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2024-10-Arm-BERT_Google Axion_Arm Inference Blog.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-10-Arm-BERT_Google%20Axion_Arm%20Inference%20Blog.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-10-Arm-RESNET_Google Axion_Arm Inference Blog.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-10-Arm-RESNET_Google%20Axion_Arm%20Inference%20Blog.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2024-10-Arm-0576_XGBoost Prediction_Google Axion_Arm Inference Blog.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-10-Arm-0576_XGBoost%20Prediction_Google%20Axion_Arm%20Inference%20Blog.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2024-10-Arm-1781_XGBoost Training_Google Axion_Arm Inference Blog.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-10-Arm-1781_XGBoost%20Training_Google%20Axion_Arm%20Inference%20Blog.jpg" style="width: 198px;" /></a></p> <p>若要在Google Cloud經營的多種雲端服務使用C4A，除了依先前規畫能在GCE、GKE、Batch、Dataproc，Dataflow搭配C4A的使用進入預覽階段，CloudSQL、AlloyDB等服務的C4A支援很快就會推出。至於預告將導入Axion的Google多種服務，也已經開始將Axion伺服器用於正式環境。</p> <p><a href="https://s4.itho.me/sites/default/files/images/GCP C4A-list.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GCP%20C4A-list.jpg" style="width: 600px;" /></a></p> <p>關於網路的配置，C4A提供的標準（預設）頻寬為50 Gbps，最高可選擇搭配100 Gbps的Tier_1網路，支援高流量的應用系統；儲存的部分，可搭配Hyperdisk Balanced或Hyperdisk Extreme，最高可提供35萬IOPS與5 GB/s的吞吐量。</p> <p>今年1月下半，Google Cloud率先在C4A增設自研固態硬碟Titanium SSD的本機儲存選項，根據該公司的內部測試，在這樣的執行個體當中，<a href="https://cloud.google.com/blog/products/compute/first-google-axion-processor-c4a-now-ga-with-titanium-ssd">可提供240萬IOPS的隨機讀取效能，以及10.4 GiB/s的讀取吞吐量</a>；若對照前一代SSD，存取延遲可降低35％。而就目前Google Cloud可供應C4A的全球雲端區域資料中心而言，也增加1座：倫敦（europe-west2）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/GCPGP-202501-list.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GCPGP-202501-list.jpg" style="width: 600px;" /></a></p> <p><strong><span style="color:#008080;">產品資訊</span></strong></p> <p><strong><span style="color:#0000FF;">Google Cloud C4A</span></strong><br /> ●原廠：Google Cloud<br /> ●建議售價：c4a-standard-1，asia-southeast1（新加坡）區域預估每月費用為40.424376486美元<br /> ●採用處理器：Google Axion<br /> ●提供服務規模選擇與最大組態：<br /> C4A standard（每顆CPU對應4GB記憶體）、C4A highcpu（每顆CPU對應2GB記憶體）、C4A highmem（每顆CPU對應8GB記憶體），<br /> c4a-highmem-72-lssd，72顆虛擬處理器、576 GB記憶體、網路頻寬最高為50 Gbps，儲存搭配平衡Hyperdisk（每臺虛擬機器最多掛載32臺硬碟）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/1/31 00:08作者李宗翰https://www.ithome.com.tw/review/166989
Apple Silicon存在SLAP與FLOP側通道攻擊，恐洩漏用戶機敏資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>喬治亞理工學院研究團隊<a href="https://predictors.fail/">揭露</a>兩個針對Apple Silicon晶片的全新微架構側通道攻擊手法，分別命名為SLAP與FLOP，這兩個漏洞可能導致使用者在瀏覽網頁時，機敏資訊遭到未經授權的第三方竊取，影響範圍涵蓋近年推出的Mac、iPhone及iPad等產品。</p> <p>SLAP與FLOP攻擊的關鍵，在於利用Apple Silicon晶片中負責最佳化資料處理流程的預測機制。具體來說，SLAP濫用的是載入位址預測器（Load Address Predictor，LAP），該機制會根據過往的記憶體存取模式，預測CPU下一個可能讀取的記憶體位址，提高記憶體存取的效率。而FLOP則是濫用載入值預測器（Load Value Predictor，LVP），其會嘗試預測從記憶體讀取到的數值，來加速與該數值相關的運算。</p> <p>這兩個預測器用途在於加速資料處理速度、提升整體效能，不過研究人員發現，當預測發生錯誤時，綜合CPU的推測執行（Speculative Execution）機制，以及現行架構下對於錯誤預測的資料處理流程隔離不足，衍生出可被利用的資訊洩漏破口。</p> <p>在推測執行的狀態下，即使LAP或LVP的預測結果是錯誤的，CPU仍會基於這些錯誤的預測值，預先執行後續的指令。儘管這些基於錯誤預測而執行的運算最終會被捨棄，但過程中CPU存取到的錯誤記憶體位址或使用的錯誤資料，會在CPU微架構狀態留下痕跡，例如快取記憶體的狀態變化。而這些細微的變化，就可能被攻擊者利用特定的側通道手法，例如分析時間差異，來推斷出原本不應該被存取的資訊。</p> <p>在Safari瀏覽器，SLAP可讓攻擊者讀取受害者在Proton Mail收件匣中的郵件標題與寄件者資訊、瀏覽紀錄、行事曆活動，甚至信用卡資訊，因為這些資料可能與攻擊者的惡意網頁共用相同的處理程序。而FLOP更進一步擴大影響Chrome瀏覽器，透過操控JavaScript和WebAssembly的類型檢查機制，使攻擊者能繞過安全防護，讀取瀏覽器記憶體中的任意資料，可能包含網站登入憑證、支付資訊及其他機敏資料。</p> <p>這兩種攻擊可透過瀏覽器執行惡意JavaScript程式碼，即便使用者並未下載或安裝任何惡意軟體，只要存取了特定的惡意網頁，攻擊者便可利用包括M2、M3、A15、A16、A17等Apple Silicon處理器的推測執行機制竊取資料，甚至突破Chrome瀏覽器網站之間的隔離防護，影響Apple幾乎所有自2021年起推出的Mac、iPhone和iPad產品。</p> <p>儘管Apple已承諾釋出安全更新，但FLOP的部分緩解措施需要應用程式開發商修改軟體才能有效實施，這表示短期內仍存在相當大的風險。使用者應確保作業系統與瀏覽器保持最新版本，避免瀏覽不明來源的網站，並啟用Chrome網站隔離功能，以降低攻擊成功的可能性。</p> </div></div></div>
2025/1/30 18:38作者李建興https://www.ithome.com.tw/news/167168
爆紅中國AI服務DeepSeek資料庫配置錯誤導致機密日誌外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國人工智慧公司DeepSeek因其模型DeepSeek-R1表現亮眼而備受關注，不過，雲端資安公司Wiz Research研究團隊<a href="https://www.wiz.io/blog/wiz-research-uncovers-exposed-deepseek-database-leak">發現</a>，DeepSeek服務存在重大資安漏洞，導致大量機密日誌資料外洩。研究人員在進行例行性安全評估時，發現DeepSeek的ClickHouse資料庫對外開放，未設定任何身分驗證機制，允許任何人存取內部資料，甚至具備完整的資料庫控制權限。</p> <p>Wiz Research透過網域探測技術，發現DeepSeek旗下多個公開網域，其中部分開放了非標準的HTTP連接埠，進一步檢測後確認ClickHouse資料庫可透過9000及8123連接埠直接存取，且無需提供任何驗證資訊。這個資料庫包含超過百萬筆日誌紀錄，涵蓋聊天記錄、API金鑰、內部服務資訊、目錄結構與營運相關細節。更具風險的是，研究人員發現該ClickHouse資料庫允許透過HTTP介面執行任意SQL查詢，攻擊者不僅能存取內部資料，還可能透過特定查詢獲取機密資訊，進一步擴大攻擊影響範圍。</p> <p>ClickHouse是一款高效能的開源欄式資料庫，主要用於即時資料分析與日誌儲存。不過，由於其開放性及高度自訂能力，一旦配置不當，極可能成為潛在資安漏洞。DeepSeek未經身分驗證的ClickHouse伺服器，不僅洩漏人工智慧模型的內部運作細節，還能讓攻擊者取得敏感業務資料，甚至是人工智慧聊天機器人的使用者對話紀錄。</p> <p>Wiz Research在發現漏洞後，立即聯繫DeepSeek通報此問題，對方也迅速確認並修復相關安全設定。隨著越來越多新創公司與服務供應商推出人工智慧工具與服務，企業導入人工智慧技術的速度也在加快，研究人員提醒，這樣的過程本質上代表企業將敏感資料託付給人工智慧供應商管理，因此確保資料安全應是企業導入人工智慧服務時的首要考量。</p> <p>同時，研究人員也提醒人工智慧公司，隨著人工智慧技術已成為關鍵基礎設施，除了聚焦於模型效能與創新，基礎架構的安全性同樣至關重要。人工智慧供應商應加強基礎架構安全機制，特別是在處理敏感資料時，應比照公有雲與企業級IT基礎設施環境的安全標準，強化存取控制機制與監控管理。</p> </div></div></div>
2025/1/30 19:05作者李建興https://www.ithome.com.tw/news/167169
搶攻邊緣運算網路商機，HPE半寬尺寸交換器正式登場
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/hpe_aruba_networking_cx_8325h_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著數位轉型的持續推動，需要用到伺服器虛擬化與超融合基礎架構、軟體定義儲存系統、視訊監控系統、資安系統等解決方案，並不只是企業總部的資料中心，散落在多個地點的區域分公司、分支辦公室、廠區，可能也都需要建置小型IT基礎架構，因應有限的環境空間與電力配置條件，所以，一些IT系統廠商會設立體積小、高性能的產品線，以便針對邊緣資料中心的設置需求。</p> <p>而在網路交換器的部分，市面上也有這類型解決方案，大多數都採用1U標準機架式或桌上型機箱，只有少數廠商提供1U半寬尺寸的交換器畸機型，像是<a href="https://www.ithome.com.tw/review/114080">Netgear M4300系列</a>、<a href="https://buy.hpe.com/us/en/storage/storage-networking/m-series-switches/m-series-switches/hpe-storage-switch-m-series-sn2100m/p/1010209402">HPE Storage Switch M-series SN2100M</a>、<a href="https://www.engeniustech.com/engenius-products/ecs5512f-cloud-managed-12-port-10-gigabit-sfp-half-rack-aggregate-fiber-switch/">EnGenius ECS5512F</a>、<a href="https://www.qnap.com/en/product/qsw-m2106pr-2s2t">QNAP QSW-M2106R-2S2T</a>，<a href="https://community.hpe.com/t5/networking/small-sites-with-limited-racks-half-width-switches-have-your/ba-p/7227757">在2024年10月底，HPE Aruba Networking預告</a>將推出半寬尺寸的高效能網路交換器CX 8325H，並表明這是專為傳統小型資料中心園區網路，以及小型邊緣運算環境或主機代管站點而設計的產品，可因應有限的網路埠設置密度與機櫃空間。<a href="https://www.hpe.com/us/en/newsroom/press-release/2025/01/hpe-aruba-networking-doubles-down-on-security-first-ai-powered-networks-with-innovations-for-retailers-iot-data-collection-and-edge-processing.html">到了今年1月舉行的美國紐約零售展NRF 2025，該公司宣布</a>這款機型正式推出。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CX 8325H-2025-01-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CX%208325H-2025-01-1.jpg" style="width: 600px;" /></a></p> <p>CX 8325H可支援1GbE、10GbE、25GbE、40GbE、100GbE等多種網路介面，適合廣泛的伺服器運算與儲存網路用途，埠對埠之間的存取延遲可低於300奈秒，搭配相同的高效能ASIC晶片，以及具有完整功能的作業系統AOS-CX（10.15.1001）。AOS-CX能帶來哪些特色？像是進階的網路第二層（L2）與第三層（L3）功能組合，包含BGP、OSPF、 VRF-Lite、IPv6、動態VXLAN，以及搭配該公司發展的Aruba網路分析引擎（NAE），而能獲得的智慧型監控、網路流量與行為透視，以及矯正機制。 </p> <p><a href="https://s4.itho.me/sites/default/files/images/CX 8325H-Spec.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CX%208325H-Spec.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/CX 8325H-AOS CX.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CX%208325H-AOS%20CX.jpg" style="width: 298px;" /></a></p> <p>關於實際的產品機型，HPE Aruba Networking透露CX 8325H系列主要有兩款，分別是18個1GbE/10GbE/25GbE埠搭配4個40GbE/100GbE埠的CX 8325H-18Y4C，受益於ASIC晶片的幫忙，網路交換容量可達2.16 Tbps，</p> <p><a href="https://s4.itho.me/sites/default/files/images/CX-8325H-18P-4P-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CX-8325H-18P-4P-1.jpg" style="width: 600px;" /></a></p> <p>以及16個40GbE/100GbE埠的CX 8325H-16C，ASIC網路交換容量為4 Tbps。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CX 8325H-2025-01-16P.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CX%208325H-2025-01-16P.jpg" style="width: 600px;" /></a> </p> <p>在2025年1月，可能是為了配合NRF 2025大展的關係，HPE Aruba Networking強調CX 8325H適合零售店面架設的特色，因為這系列半寬尺寸產品可設置在空間狹窄的空間，供電與散熱需求不高（最大耗電量為500瓦），可用來連接<a href="https://www.ithome.com.tw/review/165187">HPE去年9月新推出的邊緣運算伺服器ProLiant DL145</a>，企業能透過這樣的產品組合，支援邊緣環境的AI推論，即時處理大量資料，在零售分支據點提供低延遲存取能力。</p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong><span style="color:#0000FF;">HPE Aruba Networking CX 8325H</span></strong><br /> ●原廠：HPE Aruba Networking<br /> ●建議售價：廠商未提供<br /> ●機型：CX 8325H-18Y4C front-to-back、CX 8325H-18Y4C back-to-front、CX 8325H-16C front-to-back、CX 8325H-16C back-to-front<br /> ●外形：1U半寬機箱，搭配2個固定式電源供應器（1+1）、4個固定式風扇（N+1）<br /> ●網路交換容量：CX 8325H-18Y4C front-to-back、CX 8325H-18Y4C back-to-front 為2.16 Tbps，CX 8325H-16C front-to-back、CX 8325H-16C back-to-front 為4 Tbps<br /> ●提供網路介面：<br /> CX 8325H-18Y4C front-to-back、CX 8325H-18Y4C back-to-front提供18個25GbE埠（SFP28埠）+4個40GbE/100GbE埠（QSFP28埠），<br /> CX 8325H-16C front-to-back、CX 8325H-16C back-to-front提供16個100GbE埠（QSFP28埠）<br /> ●封包緩衝記憶體容量：32 MB<br /> ●處理器：AMD 8核心<br /> ●記憶體：32 GB<br /> ●儲存裝置：128 GB固態硬碟</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/1/29 17:45作者李宗翰https://www.ithome.com.tw/review/167167
PowerEdge邁入第17代，Dell推出單路Xeon 6伺服器
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/dell_poweredge_r470_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2024年下半，適逢英特爾與AMD推出新世代伺服器處理器，最大熱設計功耗（TDP）達到500瓦，Dell陸續推出新款Dell PowerEdge機型，像是率先登場的英特爾Xeon 6雙路伺服器<a href="https://www.ithome.com.tw/review/164102">R670 CSP Edition</a>、R770 CSP Edition，AMD EPYC 9005單路伺服器R6715、R7715，以及雙路伺服器<a href="https://www.ithome.com.tw/review/166897">R6725</a>、R7725。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Dell-17G-Single way server-2025-01.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell-17G-Single%20way%20server-2025-01.jpg" style="width: 600px;" /></a></p> <p>到了年底，他們再度宣布推出兩款新機型：R470、R570，皆為英特爾Xeon 6單路伺服器，目前先上市的會是1U尺寸的機型R470，Dell已公布產品規格表與技術指南，2U尺寸的機型R570預計2025年初登場。而這些機型的推出，也正式揭開Dell PowerEdge第17代伺服器產品的序幕。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Dell 17G-2025-01.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%2017G-2025-01.jpg" style="width: 600px;" /></a></p> <p>R470鎖定網站、應用程式微服務、資料服務、虛擬化，以及橫向擴展執行規模的資料庫應用系統，能針對效能最佳化考量用戶，提供升級的選擇彈性。</p> <p>相較於Dell既有的1U雙路伺服器，像是R660整臺最大提供56核心（第五代Xeon Scalable處理器，最大可提供64核心，但此款機型僅能搭配到28核心）或64核心（第四代Xeon Scalable處理器，最大可提供6核心，但此款機型僅能搭配到32核心），R450提供48核心（第三代Xeon Scalable處理器），同為1U尺寸的R470，僅憑單路架構的運算配置，整臺最大就能提供144核心，而在運算冷卻機制的搭配上，Dell針對300瓦以上的處理器款式，採用高效能銀級風扇與遠程散熱座，250瓦以下的處理器款式，採用標準風扇與延伸散熱座。</p> <p><a href="https://s4.itho.me/sites/default/files/images/dell-r470-10x2-5-internal.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/dell-r470-10x2-5-internal.jpg" style="width: 600px;" /></a></p> <p>記憶體規格的升級，也是R470這類單路Xeon 6伺服器的一大亮點，現在最大可支援6,400 MT/s的DDR5記憶體，存取速度領先既有伺服器產品的幅度最高可達2.18倍──R450搭配2,933 MT/s的DDR4記憶體，R660搭配4,800 MT/s的DDR5記憶體。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Dell R470 Spec-Comparison.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20R470%20Spec-Comparison.jpg" style="width: 500px;" /></a></p> <p>關於伺服器產業標準的支援，包含R470在內的第17代PowerEdge機型，均遵循開放運算計畫（OCP）訂定的標準，當中也涵蓋OCP推動的資料中心模組化硬體系統（DC-MHS）子計畫，以此簡化IT基礎架構，也能經得起未來投入營運的考驗，可促成既有基礎架構的重複使用。</p> <p>以R470為例，Dell在兩個元件導入OCP的DC-MHS，其中一個是內部RAID控制器採用<a href="https://www.dell.com/support/manuals/en-us/perc-h965i-front/perc12/dell-technologies-poweredge-raid-controller-12?guid=guid-5889415d-b297-43a0-9197-113a56c33c79&lang=en-us">PERC H965i DC-MHS</a>，這屬於PowerEdge RAID Controller 12（第12代PERC）系列的硬體配件；另一個是Dell伺服器特有的系統開機儲存子系統（Boot Optimized Storage Subsystem，BOSS），採用BOSS-N1 DC-MHS。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Dell 17G-R470-R670.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%2017G-R470-R670.jpg" style="width: 600px;" /></a></p> <p>值得注意的是，Dell這批伺服器搭配的系統遠端管理平臺，也從沿用多年的<a href="https://www.dell.com/support/kbdoc/zh-cn/000178115/idrac9-versions-and-release-notes?lang=en">iDRAC9</a>換成iDRAC10，IT人員可透過這個平臺，執行PowerEdge伺服器的部署、資產管理、更新、監控，以及維護作業。</p> <p>iDRAC10有那些新特色？根據Dell公布的使用者指南文件，新版系統管理平臺配備專屬安全處理器，可因此改善伺服器安全效能，整合信任根（RoT）、具備裝置等級的見證機制與加密防護，以及運用更強韌的加密演算法。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Dell 17G-iDRAC10-2025-01.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%2017G-iDRAC10-2025-01.jpg" style="width: 600px;" /></a></p> <p><strong><span style="color:#008080;">產品資訊</span></strong></p> <p><strong><span style="color:#0000FF;">Dell PowerEdge R470</span></strong><br /> ●原廠：Dell<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：1U（482 x 42.8 x 816.92公釐）<br /> ●處理器：單顆，Intel Xeon 6系列（單顆最多144核心）<br /> ●記憶體：16個DDR5插槽，RDIMM可支援32支6400 MT/s（最大總共1 TB）<br /> ●儲存配置：8臺E3.S外形NVMe固態硬碟（最大總共122.4 TB）、2臺M.2外形NVMe固態硬碟（BOSS-N1 DC-MHS）<br /> ●I/O介面：PCIe 5.0 x16（2個全高半長）<br /> ●電源供應器：2臺800瓦/1500瓦（1+1備援）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/1/28 18:22作者李宗翰https://www.ithome.com.tw/review/167158
組態管理工具Puppet開源替代方案OpenVox 8.11正式登場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由社群主導的開源專案<a href="https://voxpupuli.org/blog/2025/01/21/openvox-release/">OpenVox正式發布8.11版本</a>，該版本被定位為組態管理工具Puppet的替代方案，提供使用者與原始版本功能相當的組態管理工具。OpenVox專案的發起源於2024年下半年，當時Perforce宣布不再支援Puppet開源軟體套件，並將未來的開發專注於內部商業版本，該決策在業界引發廣泛關注。</p> <p>長期以來Puppet為備受信任的開源組態管理工具，是許多企業和開發團隊的基本選擇，但其從開源模式轉向封閉的商業軟體模式，使許多仰賴該工具的開發者感到失望，並開始尋求其他替代方案。作為回應開源社群的需求，開源軟體公司Overlook InfraTech領導的社群開始維護Puppet軟體套件，最終發展成現在的OpenVox專案。新推出的OpenVox 8.11版本，功能設計上與Puppet相容，允許使用相同的指令、模組與設定。</p> <p>不過，OpenVox雖提供類似的功能，但OpenVox尚未按照與Puppet相同的標準進行測試。開發團隊特別提醒使用者，除非能夠接受潛在錯誤並積極提供回饋，否則不建議將OpenVox部署於重要的生產環境。目前OpenVox套件仍放在Overlook InfraTech的儲存庫，但未來可能搬遷至專屬的Vox Pupuli命名空間。</p> <p>根據OpenVox開發團隊的說法，這是一個被定位成「軟分叉」的專案，目的是盡可能長期維持與Puppet的下游相容性。為此，專案已與Perforce合作成立Puppet標準指導委員會，試圖在功能與語言發展方向尋求共識。</p> <p>OpenVox專案開放社群參與，允許開發者針對其平臺需求直接貢獻。OpenVox專案的長期目標包括支援更現代化的作業系統，最佳化整體程式碼結構，並支援開源社群活動。</p> </div></div></div>
2025/1/28 18:59作者李建興https://www.ithome.com.tw/news/167166
Android 16 Beta強化應用螢幕適應性，預告API等級37將強制支援大螢幕
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://android-developers.googleblog.com/2025/01/first-beta-android16.html?m=1">Android 16第一個Beta版本正式推出</a>，針對開發者與早期使用者開放測試，帶來應用適應性與即時更新（Live Updates）等新功能，更新重點除了提升大型螢幕裝置的使用體驗，還進一步強化更即時的通知應用場景，支援多樣化裝置與互動需求。</p> <p>Android 16應用適應性功能解決過去應用程式，在大螢幕裝置上無法有效調整視窗大小與方向的問題。新版本引入的變更，逐步解除非遊戲類應用程式，在對大螢幕裝置上的方向與縮放限制，並要求目標API等級36以上的應用程式，支援寬度超過600dp的大型螢幕自適應能力，而在未來的API等級37，所有應用程式將不得限制視窗大小，並強制支援大螢幕裝置的彈性顯示模式。為此，開發者需要重新檢視現有的UI設計，確保應用在不同螢幕尺寸與方向下都能提供一致的使用體驗。</p> <p>在通知功能更新方面，Android 16引入了名為即時更新的新類型通知模板，針對進度型應用案例，如共乘服務、外送平臺與導航應用等，提供更直覺且一致的用戶體驗。新模板允許開發者以圖示和分段進度的方式顯示即時資訊，例如車輛位置或訂單狀態，強調資訊視覺化與即時性，進一步縮短用戶在重要任務中的反應時間。</p> <p>此外，Android 16還針對多媒體處理進行全面升級，加入進階專業影像格式（Advanced Professional Video，APV）支援，提供專業影音創作者接近原始品質的錄製與後製能力。該格式不僅支援高位元速率和HDR10，還支援多視角影像與額外輔助影片資料的編碼（Encoding）需求，例如景深資訊、透明度圖層或預覽影像，這些輔助資料可用於提升影像的後製效果與多視角應用體驗。</p> <p>新版本Android也添加低階API的垂直文字渲染功能，更好地支援特定語言需求，特別適用於日文等垂直書寫語言。儘管該功能目前僅限於低階API，未延伸至Jetpack Compose或TextView等高階文字處理框架，但仍替未來的文字顯示功能奠定技術基礎。</p> <p>Android版本更新伴隨內部機制改變，對應用程式的相容性提出了更高要求，例如預測式返回功能的啟用以及廣播優先順序的限制，可能會影響部分應用的現有設計，開發者需進行詳細測試找出潛在問題。此外，Android 16強化ART模組的性能，對仰賴ART內部結構的應用程式提出了更新需求，而這對於長期未維護或更新的應用可能造成挑戰。</p> <p>Google預計在2025年第二季正式發表Android 16，並將這一版本作為當年度唯一包含行為變更的主要更新，同時計畫在第四季推出新增功能的次要版本。</p> </div></div></div>
2025/1/28 15:58作者李建興https://www.ithome.com.tw/news/167165
Anthropic 計畫為Claude 加入雙向語音模式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AI新創公司Anthropic持續強化AI聊天機器人Claude，計畫接下來加入雙向語音模式及個人化及等功能。</p> <p>Anthropic執行長Dario Amodei 上週在瑞士達沃斯（Davos）世界經濟論壇時，<a href="https://www.wsj.com/livecoverage/stock-market-today-dow-sp500-nasdaq-live-01-21-2025/card/anthropic-ceo-says-ai-could-surpass-human-intelligence-by-2027-9tka9tjLKLalkXX8IgKA">接受華爾街日報（WSJ）訪問</a>時說明Claude的開發計畫。Amodei說Claude過去幾個月市場反應熱烈，未來幾個月公司將致力於推出「更智慧」的AI模型，他們預計為Claude增加雙向語音模式，允許使用者對Claude口說輸入問題或提示並聽取其回應。</p> <p>雙向語音模型可望使Claude AI聊天機器人營造像ChatGPT進階語音模式一樣流暢的互動經驗。至於新的Claude功能是否會賦予極似真人的音質則不清楚。</p> <p>另一方面，Anthropic計畫加強Claude的記憶力功能，藉此賦予其個人化能力。更強的記憶力可讓Claude記得和用戶的互動內容，例如對某項運動或織毛線的喜愛，並用於下一次用戶的對話中。長時間使用下來能形塑Claude生成依使用者而異的個人化互動經驗。</p> <p>Anthropic作為OpenAI以外最受矚目的新創公司，以大型語言模型Claude聞名。<a href="https://www.anthropic.com/research/building-effective-agents">去年12月Anthropic 推出</a>將企業流程自動化的代理人開發功能，還早於OpenAI。</p> <p>Claude先後獲得Amazon和Google 40和20億美元投資，迄今已募得137億美元資金。<a href="https://www.cnbc.com/2025/01/22/google-agrees-to-new-1-billion-investment-in-anthropic.html">CNBC</a>報導，在現有持股10%的基礎上，Google已經同意再對Anthropic挹注10億美元。</p> </div></div></div>
2025/1/28 00:07作者林妍溱https://www.ithome.com.tw/news/167164
JetBrains推出全新程式開發AI代理Junie，可自動執行任務並提升程式碼品質
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>JetBrains推出了一項名為<a href="https://blog.jetbrains.com/junie/2025/01/meet-junie-your-coding-agent-by-jetbrains/">Junie</a>的全新人工智慧程式開發代理，透過整合大型語言模型與JetBrains整合開發環境的技術，協助開發者處理日常任務並提升程式碼品質。官方表示，Junie人工智慧程式開發代理可從執行基礎任務到更複雜的專案協作，提供有效的支援。</p> <p>根據SWEBench Verified基準測試結果，Junie能在單次執行完成53.6％的程式開發任務，涵蓋多種層級的複雜性需求。JetBrains認為，該結果顯示Junie已具備足夠的實用性，能應對現今開發環境的高強度與多樣性挑戰。從簡單的程式碼生成與檢查，到編寫測試、驗證結果，JetBrains目標將Junie設計成開發者的虛擬合作夥伴，而非僅是輔助工具。</p> <p>Junie目前支援IntelliJ IDEA Ultimate和PyCharm Professional，之後還將擴展至WebStorm。開發者只需安裝相關擴充套件，即可在熟悉的IDE啟用Junie。JetBrains表示，這樣的設計確保開發者無需大幅調整現有的工作流程，能快速上手。透過逐步將重複性或繁瑣的工作委派給Junie，開發者得以專注於更具創造性或策略性的任務，進一步提高整體工作效率。</p> <p>Junie特別強調開發者對程式碼的掌控，每次程式碼修改與建議都可受開發者審查，並與專案上下文保持一致。此外，Junie能遵循團隊程式碼風格與規範，生成具一致性的程式碼。JetBrains已開放Early Access Program允許開發者申請試用Junie，目前僅支援macOS和Linux平臺，之後還會加入Windows系統的支援，並進一步拓展應用場景。</p> <p>先前JetBrains就已推整合IntelliJ IDEA、PyCharm、PhpStorm與ReSharper等IDE的程式開發人工智慧助理。JetBrains則強調Junie是人工智慧程式開發代理，從原本提供特定功能的工具，轉變成可解決完整開發任務的代理。</p> <p>開發者在JetBrains Marketplace中<a href="https://plugins.jetbrains.com/plugin/22282-jetbrains-ai-assistant/reviews">普遍對先前的人工智慧助理評價不佳</a>，該套件獲得大量的一星評價，甚至有不少開發者稱其為最糟的程式碼完成工具。現在JetBrains推出Junie，以新品牌出發，試圖在人工智慧開發應用扳回一城。</p> </div></div></div>
2025/1/27 17:41作者李建興https://www.ithome.com.tw/news/167162
川普預告TikTok歸屬30天內決定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>川普上周簽署行政命令暫緩執行TikTok的禁令75天以尋求出售，<a href="https://www.reuters.com/markets/deals/white-house-talks-have-oracle-us-investors-take-over-tiktok-npr-reports-2025-01-25/">路透社報導</a>，川普昨（27）日表示大約30天將決定它未來何去何從。</p> <p>1月20日美國新上任總統川普簽署的行政命令，讓美國和TikTok母公司字節跳動（ByteDance）有時間協調如何在不損及美國國家安全情況下允許TikTok的營運，條件正是將TikTok出售給美國。川普本周對媒體說有很多對收購TikTok有興趣的人士和他接觸，包括一些重量級人物，他將在30天內做出決定。即使30天談不成，美國國會也提供了90天時間。川普對解救TikTok樂見其成。</p> <p>但他否認和甲骨文討論過收購TikTok一事，駁斥本周稍早的報導。<a href="https://www.ithome.com.tw/news/167157">NPR引述消息人士報導</a>，白宮居間協調由甲骨文和其他美國公司收購TikTok全球業務過半股權，使母公司字節跳動成為少數持股人。報導也稱， TikTok的軟體、演算法和資料蒐集將由甲骨文監管，以確保真正控制這家中國應用程式。微軟也在洽談的成員名單中。</p> <p>稍早之前<a href="https://www.theverge.com/2025/1/21/24349011/trump-elon-musk-larry-ellison-oracle-tiktok-ban">The Verge</a>也報導，不是甲骨文或馬斯克的X出手併購TikTok，川普都抱持開放態度。AI搜尋業者Perplexity也曾表達收購的興趣，以便整合其搜尋和社群平台能力。</p> <p>TikTok的交易攸關美中是否能緩和貿易緊張情勢。川普揚言不出售TikTok就會對中國徵收100%關稅。原本反對出售TikTok的<a href="https://finance.sina.com.cn/chanjing/gsnews/2025-01-22/doc-inefutkn9198966.shtml">中國政府也在近日表示</a>民間公司的營運和收購應自行決定，但涉及中國公司的交易應符合中國法規。媒體報導，中國政府較屬意X的幕後老闆馬斯克。</p> </div></div></div>
2025/1/27 23:38作者林妍溱https://www.ithome.com.tw/news/167163
ChatGPT Canvas擴及macOS版程式，底層模型升級到o1
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI本周<a href="https://x.com/OpenAI/status/1882876172339757392">宣布</a>將o1模型部署到ChatGPT工作區介面Canvas，並且可在macOS版本應用程式中使用。</p> <p><a href="https://www.ithome.com.tw/news/165325">Canvas</a>是ChatGPT中的互動式工作介面，可提供文件或程式碼寫作。ChatGPT不但能生成內容，也能讓用戶參與編輯，同時為文章和程式碼提供建議、審查或潤飾功能。去年10月宣布時，Canvas是使用GPT 4o模型。</p> <p>o1是最多ChatGPT用戶對Canvas提出的需求之一。o1是具備推理能力的模型，能處理複雜任務，像是解決高深的數學問題或撰寫程式。現在用戶可以在ChatGPT模型選擇器中選擇o1，或是運用/canvas指令啟用。</p> <p>Canvas現在也能渲染HTML和React 程式碼，這也是用戶呼聲很高的功能。在此之前，Cavas支援JavaScript、TypeScript、Python、Java、C++及 PHP。</p> <p>此外OpenAI正式將Canvas推向macOS應用程式，之前只能在行動版應用程式使用Canvas。</p> <p>在三項新宣布的消息中，o1提供給Pro、 Plus和Team用戶，HTML和React程式碼渲染功能及macOS中使用Canvas提供給所有層級方案，包括免費版也能使用。Enterprise和Edu方案用戶再幾個星期，也能獲得o1和HTML/React渲染功能。</p> </div></div></div>
2025/1/27 16:43作者林妍溱https://www.ithome.com.tw/news/167161
Meta將打造130萬顆GPU的AI資料中心
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在OpenAI以Star Gate計畫搶盡媒體版面同時，Meta也<a href="https://www.facebook.com/photo/?fbid=10116307989350411&set=a.612287952871">宣布</a>重大AI投資計畫，今年將投入至少600億美元打造130萬顆GPU的AI資料中心。</p> <p>Meta執行長祖克柏（Mark Zuckerberg）說，2025年將是AI決定性的一年。他希望Meta AI今年可以成為服務10億用戶的AI助理龍頭，而Llama 4成為領導性的SoTA（state of the art）模型。Meta計畫打造一套「AI工程師」以協助其R&D撰寫更多程式碼。該公司目前正在興建一座能供電2 Gigawatt的資料中心，佔地之廣可涵括一大部份曼哈頓。今年內將有1 Gigawatt的運算量上線，到年底就會有超過130萬顆GPU。祖克柏貼文貼出的地圖顯示，新資料中心位於路易西安那州的理奇蘭郡（Richland Parish）。</p> <p>今年Meta將在AI投入600到650億美元資料支出，也大幅擴展AI團隊，未來幾年還會持續增加。祖克柏說，這大型計畫將推動來年公司的核心產品及業務成長。</p> <p>Meta似乎是為了不讓OpenAI團隊的Star Gate計畫專美於前。OpenAI、甲骨文與軟銀上周宣佈<a href="https://www.ithome.com.tw/news/167107">合資</a>，計畫4年投入5000億美元建立AI基礎架構。根據彭博<a href="https://www.bloomberg.com/news/articles/2025-01-23/stargate-s-first-data-center-to-be-located-in-texas-with-at-least-57-jobs">報導</a>，Star Gate計畫已著手在德州阿比林（Abilene）市興建10座資料中心，總佔地875英畝。</p> </div></div></div>
2025/1/27 15:46作者林妍溱https://www.ithome.com.tw/news/167160
Zyxel防火牆應用程式簽章年前更新出包，USG FLEX、ATP系列需現場修復
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Zyxel<a href="https://support.zyxel.eu/hc/en-us/articles/24159250192658-USG-FLEX-ATP-Series-Recovery-Steps-for-Application-Signature-Issue-on-January-24th-2025#h_01JJEK9E05X7RZ2S75KYEHCMKF">通報</a>其USG FLEX與ATP系列防火牆設備，因1月24日晚間發布的應用程式簽章更新錯誤，導致部分設備不停重啟等異常。此次問題並非因韌體升級造成，也與任何已知的CVE或安全漏洞無關，但影響的設備需透過現場操作才能完整修復。Zyxel已緊急停用伺服器上的應用程式簽章更新功能，避免問題進一步擴大。</p> <p>根據Zyxel的說明，此問題起因於應用程式簽章版本1.0.0.20250123.0的更新錯誤，該版本在1月24日晚間發布並自動安裝於部分設備。當設備更新該版本後，可能導致重啟迴圈、ZySH守護程式失敗、無法登入，或系統LED閃爍等問題。受影響的設備為啟用了安全授權（Security License），且簽章更新模式設定為獨立模式（Standalone Mode），並已更新至簽章版本1.0.0.20250123.0的USG FLEX或ATP系列防火牆。</p> <p>使用Nebula雲端平臺管理、USG FLEX H系列或未啟用安全授權的設備則不在影響範圍。官方提到，USG FLEX H採用不同的uOS韌體版本，內建更嚴格的簽章驗證機制，而Nebula雲端平臺則透過進階的遠端管理功能，降低簽章更新過程可能出現的風險。</p> <p>Zyxel表示，親至現場處理（on-site）修復是唯一經驗證有效的解決方案。受影響的設備因產生大量系統日誌，占據內部儲存空間，導致無法透過遠端上傳修復韌體或執行其他操作。此外，遠端操作可能衍伸出其他問題，例如未來可能無法使用磁碟分割或進行韌體上傳功能。</p> <p>部分用戶嘗試透過GUI重新開機、變更分割區或是降級簽章方法恢復裝置，但Zyxel提到這些方法成功率極低，不僅無法保證設備正常運作，還可能造成組態檔案遺失。而且若不安裝修復韌體，即便設備短期內恢復運行，未來仍可能因備用分割區無法使用而出現其他問題。</p> <p>Zyxel建議用戶採取現場修復方式，並強調IT人員的電腦需使用Console/RS232纜線連接防火牆設備進行操作，透過設備重置、設定檔案備份、下載修復韌體及重新安裝簽章等步驟，才能有效解決問題，使設備恢復穩定運作。</p> </div></div></div>
2025/1/27 13:37作者李建興https://www.ithome.com.tw/news/167159
Bun 1.2大更新強化Node.js相容性，原生支援S3與PostgreSQL
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>輕量級JavaScript執行環境<a href="https://bun.sh/blog/bun-v1.2">Bun發布1.2版本</a>，大幅提升對Node.js的相容性，使開發者更容易移植現有專案。新版本更原生支援Amazon S3與PostgreSQL，簡化了存取S3儲存桶和PostgreSQL資料庫的流程，並提升相關操作的效能，進一步加速雲端應用程式的開發。</p> <p>在Node.js相容性方面，Bun 1.2採用了Node.js的官方測試套件來驗證其相容性。這項改變讓Bun 1.2在執行fs、path、events、string_decoder與stream等Node.js模組時，可通過90％的Node.js官方測試案例，因此開發者在將依賴這些核心模組的Node.js專案，移植到Bun環境時，將會更加順利。</p> <p>而Bun 1.2現在也新增node:http2、node:dgram、node:cluster與node:zlib等模組的支援，在功能上更進一步拉近與Node.js生態系的差距，同時又能提供更快地執行速度，以node:zlib測試來說（下圖），Node.js吞吐量為171 mb/s，而Bun 1.2則為205 mb/s。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/404054420-cc3760d5-352c-4f7a-a75b-2f48fec52dfa.png" style="width: 580px; height: 270px;" /></p> <p>由於Node.js與Bun的JavaScript引擎不同，Node.js採用Chrome V8，Bun則使用Safari的JavaScriptCore，而Bun開發團隊現在於JavaScriptCore中實作了V8的公開C++ API，讓原本依賴這些API的C++套件，也能在Bun環境運作。</p> <p>除了Node.js相容性外，Bun 1.2原生支援S3與Postgres也是這次更新的一大亮點。Bun 1.2新增了Bun.s3 API，讓開發者能直接操作S3，支援讀取、寫入、刪除檔案，以及產生預簽章URL等操作。開發團隊表示，因為Bun.s3 API採用原生程式碼編寫，讀取效能為使用JavaScript SDK的5倍。此外，Bun 1.2更進一步將S3整合進現有的Bun.file() API中，開發者透過使用s3://協定，就可直接存取S3上的檔案，簡化了開發流程。</p> <p>而對於PostgreSQL資料庫，Bun 1.2也提供了內建的Bun.sql客戶端，支援以標籤模板語法執行SQL查詢，並自動處理字串跳脫（Escape），避免SQL注入風險。Bun.sql同樣以原生程式碼開發，並針對效能進行最佳化，因此Bun.sql可比其他PostgreSQL客戶端快50％（下圖）。官方還預告，他們很快也會支援MySQL。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/404444688-09066ce9-aacd-439c-ab28-f2640c0ce814.png" style="width: 580px; height: 251px;" /></p> <p>在套件管理方面，Bun 1.2將預設的鎖定檔（Lockfile）格式從二進位的bun.lockb改為文字格式的bun.lock。新的bun.lock採用JSONC格式，支援註解與尾逗號（Trailing commas），更易於人工閱讀與版本控制系統比對差異。不過，Bun 1.2仍將維持向下相容支援bun.lockb。開發團隊強調，即使bun.lock是文字格式，但bun install的效能仍比前一版本提升30％。</p> </div></div></div>
2025/1/26 20:31作者李建興https://www.ithome.com.tw/news/167156
群聯推首款122.88 TB的PCIe 5 SSD，提供領先的讀寫效能
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/phison_pascari_d205v_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年5月中，群聯電子（Phison）發布企業級產品品牌PASCARI，這其實是7個詞彙的縮寫，包含Performance、AI、Security、Capacity、Acceleration of applications、Reliability、Innovation，代表該公司對這7大領域的品質要求，率先推出該公司第一款<a href="https://www.ithome.com.tw/review/162973">PCIe 5.0企業級固態硬碟X200系列</a>，採用TLC快閃記憶體。</p> <p>相隔半個月後登場的台北國際電腦展期間，群聯正式發表5大系列固態硬碟產品，分別是主打高效能、企業等級的X系列，提供多種外形、資料中心等級的D系列，用於伺服器與工作站系統開機儲存裝置的B系列、支援SATA儲存介面的S系列，以及針對AI模型調校應用需求的AI系列。</p> <p>在8月舉行的未來記憶體與儲存年度高峰會（FMS 2024），<a href="https://www.ithome.com.tw/review/164407">群聯在Pascari D系列產品線當中，宣布推出D200V</a>，採用QLC快閃記憶體Kioxia BiCS8（鎧俠第8代BiCS Flash記憶體），當時最大可提供的儲存容量為61.44 TB，他們預告D200V最大將提供122.88 TB。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Kioxia BiCS Generation-2024-08.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Kioxia%20BiCS%20Generation-2024-08.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Kioxia BiCS Generation-2024-08-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Kioxia%20BiCS%20Generation-2024-08-2.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Kioxia BiCS Generation 8.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Kioxia%20BiCS%20Generation%208.jpg" style="width: 500px;" /></a></p> <p>到了11月美國年度超級電腦大會SC24，Solidigm與群聯均發表具備122.88 TB容量的機型，其中，<a href="https://news.solidigm.com/en-WW/243441-solidigm-extends-ai-portfolio-leadership-with-the-introduction-of-122tb-drive-the-world-s-highest-capacity-pcie-ssd">Solidigm是在既有PCIe 4.0機型D5-P5336</a>擴充122.88 TB容量的款式，<a href="https://www.solidigm.com/products/technology/solidigm-path-to-122tb-ssd.html">預計2025年第一季供應</a>，群聯推出專屬機型Pascari D205V，宣布開放預先訂購，預計2025年第二季出貨，將提供U.2與E3.L等兩種外形。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-11-28-468051863_1104048048397577_5930461710651222027_n.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-11-28-468051863_1104048048397577_5930461710651222027_n.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2024-11-22-467845903_1099248352210880_6157387719457182279_n.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-11-22-467845903_1099248352210880_6157387719457182279_n.jpg" style="width: 198px;" /></a></p> <p>到了今年1月的美國年度消費電子展（CES），Pascari D205V也是活動現場主打的產品之一。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2025-01-10-1736401724109-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-01-10-1736401724109-web.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/D205V-2025-01-13.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/D205V-2025-01-13.jpg" style="width: 600px;" /></a></p> <p>相較於既有產品，群聯強調Pascari D205V採用該公司發展的X2控制器，以及最新的<a href="https://apac.kioxia.com/en-apac/about/news/2024/20240703-1.html">2 Tb單位儲存容量的3D QLC快閃記憶體技術</a>（Kioxia BiCS8），屬於專攻讀取密集型工作負載的固態硬碟產品，提供14,600 MB/s循序讀取效能，以及3百萬IOPS隨機讀取效能，相較於市面上的PCIe 4.0介面的61.44 TB固態硬碟產品，可提供兩倍的讀取效能與最大儲存容量。</p> <p>若與早幾個月前推出的Pascari D200V相比，Pascari D205V有何共通點？兩種款式均支援PCIe 5.0與雙埠、採用Kioxia BiCS8、每日寫入量0.3，隨機讀取效能皆為3百萬IOPS。</p> <p>以儲存容量而言，Pascari D200V提供30.72 TB、61.44 TB、122.88 TB等三種組態，Pascari D205V僅提供122.88 TB；在產品外形上，Pascari D200V有U.2、E3.S、E3.L等三種選擇，Pascari D205V提供U.2、E3.L。</p> <p><a href="https://s4.itho.me/sites/default/files/images/14320_PhisonEnterprise_Label_D205V_74x50_RGB_Horizontal_IsometricView.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/14320_PhisonEnterprise_Label_D205V_74x50_RGB_Horizontal_IsometricView.jpg" style="width: 198px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/14320_PhisonEnterprise_Label_D205V_63x25_RGB_Portrait_IsometrictView.jpg" style="width: 198px;" /></p> <p>就儲存效能而言，Pascari D205V略勝一籌。Pascari D200V的循序讀寫效能為14,000 MB/s、2,100 MB/s，Pascari D205V略勝一籌，可達到14,600 MB/s、3,200 MB/s；Pascari D200V的16K隨機讀寫效能為3百萬IOPS 、1.56萬IOPS，Pascari D205V為3百萬IOPS、3.5萬IOPS。</p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong><span style="color:#0000FF;">Phison Pascari D205V</span></strong><br /> ●原廠：群聯電子<br /> ●建議售價：廠商未提供<br /> ●儲存容量：122.88 TB<br /> ●外形：U.2、E3.L<br /> ●儲存媒體：3D NAND，QLC<br /> ●最高讀寫速度：循序14,600 MB/s與3,200 MB/s，隨機300萬IOPS（4K）與3.5萬IOPS（16K）<br /> ●使用介面：PCIe 5.0單埠（x4）或雙埠（2x2）<br /> ●耐用度：每日寫入量為0.3<br /> ●耗電量：25瓦</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/1/26 21:02作者李宗翰https://www.ithome.com.tw/review/167093
【資安月報】2025年1月，國家級駭客的網路間諜攻擊事件不斷，海纜與國家通訊韌性也受到考驗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>回顧2025年1月資安新聞，國家級駭客發動的網路間諜行動是主要焦點，在多起攻擊事件被資安界揭露之際，我們年初也特別以封面故事報導這方面的最新威脅態勢與重要變化。</p> <p>還有其他重要網路安全議題與事件同樣值得重視，包括海纜安全與通訊服務韌性，臺灣9家上市櫃發布資安重大訊息，DDoS攻擊衝擊臺灣、日本與全球等，在此我們整理出5大重要威脅態勢，幫助大家快速回顧。</p> <p><span style="color:#FF0000;"><strong>（一）國家級駭客網路間諜攻擊加劇</strong></span></p> <p>受政府資助駭客組織發動的網路間諜行動，危害持續升級，本月封面故事我們報導了這類組織近年的重要變化，例如，從受國家指揮的軍事單位，政府資助的半獨立團體，現也涵蓋到國家支持的民間企業與承包商，而其攻擊手法上，也變得更常以供應鏈攻擊、邊緣裝置漏洞來入侵滲透。</p> <p>同時，我們還整理出多項國家級駭客攻擊的現況與最新態勢，包括：<br /> ●微軟2024年度數位防禦報告中，揭露了國家級駭客鎖定攻擊的前7大目標，依序是：美國、以色列、烏克蘭、阿拉伯聯合大公國，以及英國、臺灣。<br /> ●國家級駭客鎖定電信業的情況已持續多年，在2024年呈現爆發的態勢，不只美國、東南亞的電信業有重大事故揭露，多國網路安全機構也特別真對中國駭客組織對電信業攻擊的威脅示警。<br /> ●臺灣國家安全局揭露過去一年中共網駭手法分析報告，指出我國遭受攻擊成長最多的產業，是電信業為主的通訊傳播領域，遭受攻擊比之前增長6.5倍，其次為交通、國防供應鏈，分別增長70%與57%。</p> <p>此外，後續還有一起新聞事件也呈現這方面威脅的嚴重性。日本警方也在1月上旬發布中國駭客MirrorFace（Earth Kasha）入侵警報，指出該組織在近5年對日本發動逾200起攻擊，目的是竊取日本的國家安全及先進技術的資料，並公開3波攻擊樣態與防範措施，希望促進企業組織更積極因應。</p> <p><span style="color:#FF0000;"><strong>（二）海纜安全與國家網路數位韌性受挑戰</strong></span></p> <p>本月臺灣多起海底電纜事故的新聞，持續引發國人對於通訊網路及服務韌性的關注，從1月3日中華電信海底電纜遭貨輪破壞，到1月22日發生臺馬二號海纜疑似芯線老化導致服務中斷，數位發展部在當日也緊急召開記者會說明。</p> <p>當中提到不少國人關心的重點，例如：我國目前有14條國際海纜、10條國內海纜，國際海纜方面由國際業者籌組聯盟共同投資，因此修復也是共同分擔，在國內海纜方面，雖然主要由中華電信包辦，但如今全都已經列為國家關鍵基礎設施，因此政府會監督與協助關鍵CI民間業者強化這方面的防護。</p> <p>對於近期國內海底電纜事故的狀況，數位部指出，2025年1月已經發生4次，超過2024全年的3次，的確呈現今年密集暴增的情形。而在海纜斷裂的事故原因，除了人為破壞，也有天然因素，像是最新一次的「臺馬二號海纜」是芯線老化造成。</p> <p>至於因應上，由於先前政府推動關鍵CI防護計畫，已請中華電信在2024年完成微波通訊備援，因此能在一小時內通知中華電信，啟動微波備援方案，確保民生相關的服務不致出現中斷的現象。另外也通知受補助單位電信技術中心，啟用非同步衛星站點，作為微波之備援。另外，在微波通訊、非同步衛星的網路備援機制之外，數位部也補助中華電信建置臺馬四號海纜，預計在2026年6月完工。</p> <p>此外，關於年初貨輪海纜安全事故的新聞中，還有國內學者呼籲政府重視中國對臺資訊封鎖的風險，曾擔任NCC電信普及服務基金委員的成大電機系教授李忠憲指出，國內欠缺對大規模網路中斷的應變演練，需提高對緊急狀態下的網路韌性演習。</p> <p><span style="color:#FF0000;"><strong>（三）臺灣重大資安事件</strong></span></p> <p>根據公開資訊觀測站的重大訊息公告，本月9家上市櫃公司發布資安重訊。<br /> ●第一週有4起，包含：易飛網遭遇供應鏈攻擊及資料竊取，新海瓦斯伺服器檔案遭受勒索軟體加密，悠泰科技、華航公布官網遭DDoS攻擊。<br /> ●第二週有2起，泰藝電子表示有部分資訊系統遭到網路攻擊；遠東新表示重要資通訊合作廠商遭網路攻擊，導致自家資料外洩疑慮。<br /> ●第三週有3起，聯鈞表示資訊系統遭受勒索病毒攻擊；所羅門與集團旗下新門科技在同日表示資訊系統遭受駭客攻擊。</p> <p>還有1起與臺灣有關的威脅揭露，同樣值得留意，資安業者Recorded Future針對中國駭客組織RedDelta（Earth Preta、Mustang Panda、TA416）的攻擊行動提出警告，這些駭客兩年前因中國政府聲援俄羅斯，主要攻擊鎖定歐洲各國，但自2023年下半其攻擊目標有了明顯調整，開始轉向蒙古、其他東南亞國家，還有臺灣。</p> <p><span style="color:#FF0000;"><strong>（四）DDoS攻擊威脅再度侵襲各國</strong></span></p> <p>DDoS攻擊威脅依然持續，有3則新聞成為主要焦點。</p> <p>首先，2025年一開始親俄駭客NoName057的DDoS攻擊再成焦點，臺灣已遭遇第三波攻擊，包括上市公司台塑、大眾電腦等公司發布資安重訊，根據駭客宣稱的攻擊目標，還包括主計總處、櫃買中心與20多個交通運輸、地方政府的網站。</p> <p>特別的是，遭受NoName057攻擊的國家也增加，除了之前攻擊過英國、瑞士、烏克蘭，1月還擴及印尼、加拿大、德國、義大利。這些國家均有數十個政府機關、關鍵CI與企業網站被攻擊。</p> <p>其次，日本也面臨一波未知攻擊者的DDoS攻擊，自12月底至1月上旬期間，先是傳出日本航空（JAL）因此造成航班延誤，接著三菱UFJ、瑞穗等銀行也遭攻擊，趨勢科技向當地媒體表示這期間共46起DDoS事件，都是來自同一個殭屍網路的攻擊。</p> <p>第三件新聞，則是關於巨量DDoS攻擊的揭露。Cloudflare公布最新一季DDoS攻擊態勢，指出一家東亞ISP客戶在3個月前遭遇的UDP DDoS攻擊達到5.6 Tbps，再次突破先前的記錄，並也說明攻擊是來自1.3萬臺IoT裝置。另要注意的，超過1Tbps的攻擊數量，也比前一季大增18倍。</p> <p><span style="color:#FF0000;"><strong>（五）攻擊者持續</strong></span><strong style="color: rgb(255, 0, 0);">挖掘新漏洞與</strong><span style="color:#FF0000;"><strong>發展新攻擊手法</strong></span></p> <p>關於重要網路攻擊與威脅的揭露方面，以零時差漏洞利用攻擊而言，本月新聞涵蓋Ivanti（CVE-2025-0282），微軟（CVE-2025-21333、CVE-2025-21334、CVE-2025-21335），以及Fortinet（CVE-2024-55591）。值得注意的是，在Ivanti漏洞攻擊調查的新聞中，研究人員指出發現攻擊者還會利用假裝系統升級成功的手法，包括攔截升級流程、製作假的升級進度條，並繞過系統完整性檢查，這點相當特別。</p> <p>在勒索軟體威脅上，除了注意12月新出現的勒索軟體FunkSec的消息，還有另一勒索攻擊手法揭露的新聞值得留意，是針對雲端環境而來，攻擊者先利用外流或曝險的AWS金鑰，進而濫用AWS提供的用戶端資料保護措施SSE-C，將客戶資料加密並勒索。</p> <p> </p> <h2><a href="https://www.ithome.com.tw/news/166911"><strong><span style="color: rgb(178, 34, 34);">【資安週報】0106~0110，臺灣電信業遭受中共網駭情形在2024年暴增6.5倍，交通與國防供應鏈也成被針對的重點日</span></strong></a></h2> <p>在2025年第一星期資安新聞的主要焦點是，臺灣國家安全局於1月5日發布中共網駭手法分析報告，指出2024年國安情報團隊掌握我國政府及民間網駭案中，最嚴峻是以電信業者為主的資通訊領域，遭受攻擊是前一年度的6.5倍，其次是交通與國防供應鏈，遭受攻擊也比前一年度增長，顯示這些領域已是中共新興網駭重點。</p> <p>此外，日本警方於1月8日發布中國駭客MirrorFace（Earth Kasha）入侵警報，揭露該組織5年間對日本發動逾200起攻擊。事實上，趨勢科技兩個月前已警告該組織利用多家品牌SSL VPN設備漏洞入侵。不僅日本企業受害，臺灣與印度也遭波及。因此日本警方此次公布的攻擊手法與偵測措施，也可供我國企業組織參考。</p> <p>在資安事件方面，這一星期國內多家上市櫃公司發布資安事件重訊，其遭遇事故類型涵蓋供應鏈攻擊、勒索軟體攻擊，以及DDoS攻擊事件。</p> <p>●易飛網在1月7日說明遭遇供應鏈攻擊及資料竊取，致有個資外洩。<br /> ●新海瓦斯1月9日揭露伺服器內部檔案遭受勒索軟體加密。<br /> ●悠泰科技、華航在1月7日與8日分別公布官網遭受網路DDoS攻擊。<br /> ●針對中華電信海底電纜遭貨輪破壞的事故，數位發展部表示中華電信當日已通報並啟動其他海纜備援，之後將配合海巡署、法務部、NCC與司法機關加強執法。<br /> ●資安業者Tenable傳出外掛程式更新出錯的意外事故，造成端點代理程式停擺。</p> <p>在資安威脅的攻擊技術態勢上，有1則重要消息，是關於雙點擊劫持（DoubleClickjacking）手法的揭露，研究人員提醒，多數網站已能透過「X-Frame-Options header」、「SameSite: Lax/Strict」來防範點擊劫持攻擊手法，但無法因應這種新的變種手法，研究人員闡釋攻擊原理，同時建議可藉由用戶端保護方式來緩解。</p> <p>還有不同資安業者公布其發現的最新攻擊手法，有3則同樣值得我們留意，包括：出現新型態的惡意JavaScript、Python、Ruby套件，顯示攻擊者正濫用oastify.com、oast.fun等新興應用程式安全測試OAST檢測服務；發現針對蘋果電腦用戶的新型竊資軟體Banshee，會冒用內建防毒XProtect的字串加密演算法來迴避偵測；俄羅斯網路犯罪論壇正兜售名為PhishWP的惡意WordPress外掛程式，可用於建立幾可亂真的付款網頁。</p> <p>在漏洞利用消息方面，以Ivanti的零時差漏洞利用情形最受關注，Google旗下資安公司Mandiant在漏洞公布隔日的1月10日，發布相關研究報告，研判中國駭客組織利用此漏洞進行網路間諜活動，並揭露其攻擊手法的特殊之處是假裝系統升級成功，包括：插入惡意程式碼攔截升級執行流程，製作假的升級進度條來迷惑管理員，並繞過系統完整性檢查，假裝成為升級後的版本。</p> <p>●Ivanti針對Ivanti Connect Secure等設備修補已遭利用零時差漏洞CVE-2025-0282，隔日Mandiant公布研究報告，指出該漏洞2024年12月中旬已遭利用。<br /> ●加拿大電信業者Mitel在前幾個月陸續修補MiCollab整合通訊平臺的漏洞CVE-2024-41713、CVE-2024-55550，如今被發現遭駭客鎖定利用於攻擊活動。<br /> ●Oracle於5年前修補WebLogic Server的漏洞CVE-2020-2883，當時已有資安業者指出遭駭客鎖定利用，最近美CISA將其列入限期修補的已知被利用漏洞清單。</p> <p>至於資安防禦動向上，有兩則重要新聞，一是歷經18個月討論的美國物聯網裝置網路安全標章U.S. Cyber Trust Mark正式發布；通訊軟體Telegram宣布將推出業界首創的第三方驗證機制，採更主動式防護來打擊假消息與詐騙行為。<br /> </p> <h2><a href="https://www.ithome.com.tw/news/167030"><strong><span style="color: rgb(178, 34, 34);">【資安週報】0113~0117，中國駭客RedDelta持續散布惡意程式PlugX，臺灣、東南亞與蒙古頻遭鎖定</span></strong></a></h2> <p>在2025年第二星期的資安新聞，適逢多家IT大廠每月例行安全更新發布，其中微軟與Fortinet的修補是重要焦點。微軟本月修補159個漏洞中，包含了8個零時差漏洞，其中5個已經公開揭露，另外3個更為嚴重，因為已出現實際利用狀況；資安業者Arctic Wolf在1月10日揭露一起Console Chaos攻擊行動，指出有攻擊者從去年11月針對Fortinet FortiGate防火牆設備發動零時差漏洞利用攻擊，4天後Fortinet發布相關修補資安公告。</p> <p>●微軟修補8個零時差漏洞，其中3個已遭利用，分別是：CVE-2025-21333、CVE-2025-21334、CVE-2025-21335，皆涉及Hyper-NT核心整合VSP的漏洞。<br /> ●Fortinet修補FortiOS零時差漏洞CVE-2024-55591，並表示該漏洞已遭廣泛利用。雖然Fortinet未提及漏洞是由Arctic Wolf通報，但Fortinet資安公告列出的IoC指標與Arctic Wolf的報告吻合。<br /> ●互動式BI系統Qlik Sense在2023年修補的漏洞CVE-2023-48365，最近美CISA將其列入限期修補的已知被利用漏洞清單。</p> <p>另還傳出有駭客公布1.5萬臺Fortinet防火牆的詳細組態配置資料、VPN帳密，研究人員推測可能是駭客透過2年前的零時差漏洞取得，雖然許多防火牆可能早已修補，但因這批資料包含防火牆規則的完整資料，因此研究人員提醒不要忽略這些能夠防範的風險。</p> <p>在威脅態勢上，使用PlugX惡意程式的中國駭客威脅，是資安界與國家網路安全機構關注的重點，不僅有資安業者揭露攻擊態勢，後續我們還發現，有國家執法單位正設法積極移除這類威脅的消息。</p> <p>首先，資安業者Recorded Future揭露中國駭客RedDelta（也叫做Earth Preta、Mustang Panda、TA416）自2023年中旬將網路攻擊目標轉向蒙古、臺灣與東南亞，主要是配合中國外交政策，而且近半年更是擴大攻擊範圍，鎖定馬來西亞、日本、美國、衣索比亞、巴西、澳洲、印度。</p> <p>其次，美國FBI在1月14日宣布，在與法國執法單位及資安公司Sekoia合作下，經美國法院授權，遠端刪除美國境內4,200電腦上被感染的中國駭客散布的PlugX惡意軟體，並通知受影響使用者。</p> <p>在其他重要威脅態勢與事件上，有兩起是鎖定開發人員與資安研究人員的揭露，包括攻擊者假借提供漏洞偵測工具，或是漏洞驗證工具，但實則暗藏惡意程式；有兩起是勒索軟體威脅的最新動向，其中專門針對AWS S3儲存桶的勒索軟體攻擊值得留意，因為攻擊者濫用了AWS本身提供的資料保護措施。<br /> ●有攻擊者提供偽裝成以太坊智慧合約漏洞偵測工具的NPM套件，宣稱能找出潛在漏洞，實際上該套件暗藏遠端存取木馬Quasar RAT。<br /> ●有駭客假借提供去年12月LDAPNightmare漏洞的概念驗證程式碼，意圖對資安研究人員散布竊資軟體。資安專家提醒，若要研究PoC應從原始揭露來源取得。<br /> ●新興勒索軟體FunkSec出現值得留意，資安業者Check Point指出這是去年12月，不僅會發動雙重勒索，並研判該組織運用了AI輔助開發相關工具。<br /> ●新發現有勒索軟體駭客的攻擊手法，是利用外流或是不慎曝光的AWS金鑰，接著濫用了AWS提供的資料保護措施SSE-C將客戶資料加密，再向使用者勒索。</p> <p>此外，還有兩起關於臺灣上市櫃公司的資安事件，專注於石英頻率控制元件的泰藝電子在1月12日發布重訊，說明有部分資訊系統遭到網路攻擊；國內老牌紡織纖維業者遠東新世紀〈原遠東紡織〉在1月16日發布重訊，說明他們接獲重要資通訊合作廠商通報，與自家公司合作的相關系統有資料外洩疑慮。</p> <p style="margin: 0px;"> </p> <h2><a href="https://www.ithome.com.tw/news/167152"><strong><span style="color: rgb(178, 34, 34);">【資安週報】0120~0124，國家級駭客攻擊全球，網路間諜攻擊威脅大增，電信產業成2024年重災區</span></strong></a></h2> <p>適逢農曆年節前夕，在2025年第三星期資安新聞的主要焦點，是國家級駭客的最新進展，顯現電信業在2024已成駭客攻擊頭號目標的態勢，不只最近美國9家電信業遭中國駭客滲透的事故，還有多國電信業近年持續被發現遭中國駭客入侵。</p> <p>此次報導亦整理出最新威脅態勢，突顯這些組織不只直接攻擊企業組織，更聚焦於邊緣裝置漏洞利用等方式滲透，而且供應鏈攻擊也深入臺灣發展的軟體與服務，像是近年一起資安事故就是透過ERP入侵，並且真正攻擊目標是臺灣無人機產業。</p> <p>在資安事件方面，這一星期國內多家上市櫃公司發布資安事件重訊，最大焦點是以AI機器視覺與機器人當紅的所羅門，因為這又是一起同集團均受影響的狀況；韓國VPN業者IPany遭入侵所引發的供應鏈攻擊事件亦受關注，資安業者指出是中國駭客PlushDaemon所為。<br /> ●上市公司聯鈞光電1月19日說明部分資訊系統遭遇勒索軟體攻擊。<br /> ●上市公司所羅門在1月23日說明資訊系統遭受駭客攻擊，同日所羅門集團旗下的上櫃公司新門科技，亦發布相同資安重訊內容。目前所羅門集團官網無法連線。<br /> ●韓國VPN業者IPany遭駭，攻擊者在原廠提供的安裝檔加料散布惡意程式SlowStepper，這起供應鏈攻擊目標包含韓國半導體、軟體業，日本用戶也受害。<br /> ●HPE內部系統憑證、產品原始碼疑遭竊取，知名初始入侵管道掮客IntelBroker在駭客論壇上兜售。HPE表示已著手調查。</p> <p>在威脅態勢與事件上，殭屍網路的威脅揭露是一大焦點，因為有4起消息與之有關，佔據本星期新聞事件不少版面。<br /> ●1.3萬臺MikroTik路由器被駭客綁架組成殭屍網路，藉此發送垃圾郵件並散布木馬，特殊之處是駭客利用DNS記錄設定不良來通過SPF的驗證，2萬網域遭利用。<br /> ●駭客透過Mirai變種殭屍網路發動創下新高的5.6 Tbps的UDP DDoS攻擊，Cloudflare一家東亞ISP的客戶成為目標，且攻擊時間是2024萬聖夜期間。<br /> ●cnPilot路由器被殭屍網路Airashi利用零時差漏洞綁架，攻擊者不只用於發動DDoS攻擊，也藉此提供非法代理伺服器服務。<br /> ●Mirai變種殭屍網路Murdoc的攻擊活動被揭露，主要鎖定陞泰IP攝影機、華為路由器。</p> <p>在漏洞消息方面，有兩則漏洞利用的消息，一是今年1月初，專為多雲環境設計的雲端網路控制平臺Aviatrix Controllers，修補CVSS評分10分的重大漏洞CVE-2024-50603，在1月23日美國CISA將其列入已知被利用漏洞清單（KEV），對當地機構要求限期修補；另一是2020年JQuery的老舊漏洞CVE-2020-11023，同樣在當日被列入KEV清單。</p> <p>另外，我們觀察到2個研究人員發現的新資安問題，值得大家留意，一是資安研究人員發現可濫用Cloudflare快取，進而推測用戶地理位置的手法；另一是發現群組原則已設定只接受NTLMv2的情況下，仍有部分應用程式可透過ParameterControl的參數，來請求NTLMv1驗證訊息。</p> <p>至於資安防禦發展新聞中，有一項重要消息是，Google釋出新的軟體組成分析函式庫OSV-SCALIBR，將有助於協助生成精準的SBOM，並提升漏洞檢測效能。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/166878">【2024年12月資安月報，美國9家電信業遭中國駭客Salt Typhoon滲透，政府呼籲使用全程加密的即時通訊App】</a></h3> <h3><a href="https://www.ithome.com.tw/news/166394">【2024年11月資安月報，身分安全與AI成資安熱點，電信業滲透事件敲響警鐘】</a></h3> <h3><a href="https://www.ithome.com.tw/news/165787">【2024年10月資安月報】關切資安法修法、零信任、CMMC 2.0與資訊作戰，迎向不斷變化的資安威脅考驗</a></h3> <h3><a href="https://www.ithome.com.tw/news/165258">【2024年9月資安月報】數十個臺灣政府機關、企業的網站服務遭受DDoS攻擊</a></h3> <h3><a href="https://www.ithome.com.tw/news/165169">【2024年8月資安月報】</a></h3> <h3><a href="https://www.ithome.com.tw/news/164223">【2024年7月資安月報】</a></h3> <p> </p> </div></div></div>
2025/1/26 21:17作者羅正漢https://www.ithome.com.tw/news/167154
Hugging Face釋出號稱業界最小多模態語言模型，推論單一圖片不用1GB RAM
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">AI資源平臺Hugging Face上周<a href="https://HuggingFace.co/blog/smolervlm" target="_blank">公布SmolVLM二款新多模態模型</a>，SmolVLM-256M及SmolVLM-500M，前者號稱是全球最小的多模態及影片語言模型（video language model，VML）。</p> <p dir="ltr">Hugging Face團隊去年訓練2款80B參數的VLM，再縮成8B模型，然後縮小成SmolVLM 2B模型。然後他們決定再進一步縮小，著重效率、混合資料以及在不同需求間取得折衷。成果是強大但體積極小的多模態模型，包括SmolVLM 256M與SmolVLM 500M，各有基礎模型和指令微調模型。這些模型可以直接載入到transformer MLX和ONNX上。</p> <p dir="ltr">作為SmolVLM家族的新成員，256M及500M都是使用SigLIP為圖片編碼器，以SmolLM2為文字編碼器。他們在多項標竿測試超越一年半前才釋出的Idefics 80B模型。其中<a href="https://HuggingFace.co/HuggingFaceTB/SmolVLM-256M-Instruct" target="_blank">256M</a>是最小型的VLM及多模態模型，它能接受任何序列的圖片和文字，生成文字輸出。SmolVLM能勝任多種多模態任務，包括生成圖片描述或短影片字幕、PDF或掃瞄文件問答，以及回答關於圖表的問題。輕巧架構的架構讓它適合行動裝置上應用，同時維持強大效能。它以不到1GB的GPU RAM就能在單一圖片上執行推論。</p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/0126-smoller_benchmarks_Hugging%20Face_SmolVLM.png" style="width: 600px;" /></p> <p dir="ltr"><span style="color:#696969;"><span style="font-size:14px;">圖片來源／Hugging Face</span></span></p> <p dir="ltr">需要更高效能的組織可以選擇<a href="https://HuggingFace.co/HuggingFaceTB/SmolVLM-500M-Instruct" target="_blank">SmolVLM-500M</a>模型。500M在文件理解DocVQA和多模態推理標竿測試MMMU的表現不輸之前的2B。這模型對提示回應能力更佳，適用部署於組織營運環境。500M模型也是相當輕巧高效的模型，在單一圖片上推論僅需1.23GB的GPU RAM。二款模型微調後表現更佳。</p> <p dir="ltr">兩款模型都是以Apache 2.0授權開源。研究團隊提供了transformer和WebGU二種示範。所有模型和示範<a href="https://HuggingFace.co/collections/HuggingFaceTB/smolvlm-256m-and-500m-6791fafc5bb0ab8acc960fb0" target="_blank">都公布於此</a>。</p> </div></div></div>
2025/1/26 19:56作者林妍溱https://www.ithome.com.tw/news/167155
傳美國政府協調甲骨文等公司洽談收購TikTok
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">非營利組織<a href="https://www.npr.org/2025/01/25/g-s1-44779/tiktok-ban-deal-trump-oracle" target="_blank">NPR報導</a>，美國川普政府正在和甲骨文及其他美國科技業者商討收購短影片應用程式TikTok。</p> <p dir="ltr">報導引述消息人士指出，美國政府正在斡旋TikTok中國母公司字節跳動（ByteDance）和美國公司的交易。美方計畫是字節跳動（ByteDance）持有50%以下的股權，而由美國科技公司取得TikTok全球業務的過半股權，而其中甲骨文將監管TikTok的軟體、演算法及資料蒐集。這意謂著TikTok營運未來將實質掌握在美國手中。</p> <p dir="ltr">消息人士並指出，微軟也在洽談收購TikTok出資者之列。</p> <p dir="ltr">這發展將實現川普對TikTok的計畫。川普在上任前，承諾將解救TikTok被拜登政府生效的法案禁用的命運。在上任頭一天他簽署行政命令，要求司法部暫緩執行法律75天，但前提是TikTok必須賣給美國。他當時屬意中國和美國科技公司以合資持有TikTok，而美國公司持股50%。</p> <p dir="ltr">上任第一天川普在和甲骨文、軟銀、OpenAI發布Stargate計畫的記者會上，川普也曾和甲骨文技術長Larry Ellison非正式<a href="https://www.ithome.com.tw/news/167108" target="_blank">談到</a>讓甲骨文收購TikTok。</p> <p dir="ltr">此前彭博<a href="https://www.cnbc.com/2025/01/13/china-considers-selling-tiktok-us-operations-to-musk-bloomberg-.html" target="_blank">報導</a>中國政府屬意TikTok出售給馬斯克。而川普似乎不反對。官方表態上，中國外交部上周一反之前反對意見，<a href="https://www.axios.com/2025/01/20/china-tiktok-sale-willing" target="_blank">表示</a>私人企業有權決定要出售給誰或和誰合併。</p> <p dir="ltr">媒體<a href="https://www.voachinese.com/a/donald-trump-says-china-tariffs-could-hinge-on-tiktok-deal-20250121/7944495.html?utm_source=chatgpt.com" target="_blank">分析</a>，中國之所以同意，原因可能來自，以出售TitTok緩解美國威脅調高關稅的壓力，甚至換取其他領域，例如臺灣問題的談判籌碼，而且與美國公司合併至少能維持中國企業在美國的經濟利益，當然也能搏得自由開放的名聲。</p> <p dir="ltr">甲骨文於2020年川普第一任期曾提議收購TikTok美國業務，但最終並未成真。但甲骨文仍然是TikTok美國流量的代理資料中心唯一合作夥伴，藉此解決美國政府的國安疑慮。</p> </div></div></div>
2025/1/26 20:13作者林妍溱https://www.ithome.com.tw/news/167157
【資安週報】0120~0124，國家級駭客攻擊全球，網路間諜攻擊威脅大增，電信產業成2024年重災區
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>適逢農曆年節前夕，在2025年第三星期資安新聞的主要焦點，是國家級駭客的最新進展，顯現電信業在2024已成駭客攻擊頭號目標的態勢，不只最近美國9家電信業遭中國駭客滲透的事故，還有多國電信業近年持續被發現遭中國駭客入侵。</p> <p>此次報導亦整理出最新威脅態勢，突顯這些組織不只直接攻擊企業組織，更聚焦於邊緣裝置漏洞利用等方式滲透，而且供應鏈攻擊也深入臺灣發展的軟體與服務，像是近年一起資安事故就是透過ERP入侵，並且真正攻擊目標是臺灣無人機產業。</p> <p>在資安事件方面，這一星期國內多家上市櫃公司發布資安事件重訊，最大焦點是以AI機器視覺與機器人當紅的所羅門，因為這又是一起同集團均受影響的狀況；韓國VPN業者IPany遭入侵所引發的供應鏈攻擊事件亦受關注，資安業者指出是中國駭客PlushDaemon所為。<br /> ●上市公司聯鈞光電1月19日說明部分資訊系統遭遇勒索軟體攻擊。<br /> ●上市公司所羅門在1月23日說明資訊系統遭受駭客攻擊，同日所羅門集團旗下的上櫃公司新門科技，亦發布相同資安重訊內容。目前所羅門集團官網無法連線。<br /> ●韓國VPN業者IPany遭駭，攻擊者在原廠提供的安裝檔加料散布惡意程式SlowStepper，這起供應鏈攻擊目標包含韓國半導體、軟體業，日本用戶也受害。<br /> ●HPE內部系統憑證、產品原始碼疑遭竊取，知名初始入侵管道掮客IntelBroker在駭客論壇上兜售。HPE表示已著手調查。</p> <p>在威脅態勢與事件上，殭屍網路的威脅揭露是一大焦點，因為有4起消息與之有關，佔據本星期新聞事件不少版面。<br /> ●1.3萬臺MikroTik路由器被駭客綁架組成殭屍網路，藉此發送垃圾郵件並散布木馬，特殊之處是駭客利用DNS記錄設定不良來通過SPF的驗證，2萬網域遭利用。<br /> ●駭客透過Mirai變種殭屍網路發動創下新高的5.6 Tbps的UDP DDoS攻擊，Cloudflare一家東亞ISP的客戶成為目標，且攻擊時間是2024萬聖夜期間。<br /> ●cnPilot路由器被殭屍網路Airashi利用零時差漏洞綁架，攻擊者不只用於發動DDoS攻擊，也藉此提供非法代理伺服器服務。<br /> ●Mirai變種殭屍網路Murdoc的攻擊活動被揭露，主要鎖定陞泰IP攝影機、華為路由器。</p> <p>在漏洞消息方面，有兩則漏洞利用的消息，一是今年1月初，專為多雲環境設計的雲端網路控制平臺Aviatrix Controllers，修補CVSS評分10分的重大漏洞CVE-2024-50603，在1月23日美國CISA將其列入已知被利用漏洞清單（KEV），對當地機構要求限期修補；另一是2020年JQuery的老舊漏洞CVE-2020-11023，同樣在當日被列入KEV清單。</p> <p>另外，我們觀察到2個研究人員發現的新資安問題，值得大家留意，一是資安研究人員發現可濫用Cloudflare快取，進而推測用戶地理位置的手法；另一是發現群組原則已設定只接受NTLMv2的情況下，仍有部分應用程式可透過ParameterControl的參數，來請求NTLMv1驗證訊息。</p> <p>至於資安防禦發展新聞中，有一項重要消息是，Google釋出新的軟體組成分析函式庫OSV-SCALIBR，將有助於協助生成精準的SBOM，並提升漏洞檢測效能。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/167064"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月20日】駭客綁架MikroTik路由器從事網釣攻擊，意圖散布惡意軟體</span></strong></a></h3> <p>攻擊者看上路由器將其綁架組成殭屍網路，多半是為了用來從事DDoS攻擊，近期有人卻將其用於規畫更為複雜的網路攻擊行動，使得相關手法更難防範。</p> <p>這起資安事故特別之處在於，攻擊者也搭配了DNS的不當組態，而能藉此假冒合法的網域名稱寄送釣魚信，使得信件不會被郵件安全系統視為有害。</p> <h3><a href="https://www.ithome.com.tw/news/167100"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月21日】駭客聲稱握有IT大廠HPE的內部資料，該公司正在著手調查</span></strong></a></h3> <p>去年底初始入侵管道掮客IntelBroker先後於<a href="https://www.ithome.com.tw/news/166719">10月</a>、<a href="https://www.ithome.com.tw/news/166757">12月</a>兩度公布思科的內部資料，而在今年初這些駭客又有動作，他們聲稱手上有伺服器大廠HPE的內部檔案。</p> <p>值得留意的是，這些駭客並非首次表明竊得HPE內部的資料，去年2月，<a href="https://www.bleepingcomputer.com/news/security/hpe-investigates-new-breach-after-data-for-sale-on-hacking-forum/">他們號稱從HPE開發環境取得內部資料</a>。究竟這次駭客兜售的資料是否與之前有關？有待進一步釐清。</p> <p><a href="https://www.ithome.com.tw/news/167118"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月22日】陞泰IP攝影機已知漏洞再傳遭到Mirai變種殭屍網路鎖定</span></strong></a></p> <p>去年美國網路安全暨基礎設施安全局（CISA）、資安業者Akamai揭露陞泰科技（Avtech）的IP攝影機漏洞CVE-2024-7029，並表示已有攻擊行動出現，如今有資安業者發現，可能還有其他駭客用於殭屍網路攻擊。</p> <p>資安業者Qualys揭露綁架超過5,500臺裝置的殭屍網路Murdoc，並提及攻擊者運用已知漏洞對裝置散布惡意軟體，其中一個就是CVE-2024-7029。</p> <h3><a href="https://www.ithome.com.tw/news/167142"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月23日】中國駭客入侵韓國VPN業者IPany發動供應鏈攻擊，竄改安裝程式散布後門</span></strong></a></h3> <p>駭客入侵軟體開發業者，並在正式發布的軟體裡加入惡意程式碼的情況，不時有事故傳出，最近一起針對韓國VPN業者的攻擊事故揭露，引起外界的關注。</p> <p>值得留意的是，發動這起事故的中國駭客組織PlushDaemon，開發了具備超過30種功能的後門程式來從事攻擊，但資安業者ESET發現，這些駭客也著手開發威力更加強大的版本。</p> <h3><a href=" https://www.ithome.com.tw/news/167151"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月24日】印度駭客組織DoNot假借提供即時通訊軟體的名義散布惡意程式</span></strong></a></h3> <p>駭客鎖定安卓手機收集資料的情況，隨著全球國際局勢的緊張，這種攻擊也不斷出現，其中，最常見的就是要受害者授予各式的存取權限，從而大肆搜刮手機的資料並監控使用者，如今這樣的手法出現變化。</p> <p>資安業者Cyfirma揭露印度駭客組織DoNot（APT-C-35）近期的攻擊行動當中，駭客的惡意App在取得輔助功能權限後，竟是透過訊息推播的方式，發動第二波網釣攻擊</p> <p> </p> </div></div></div>
2025/1/25 17:46作者羅正漢https://www.ithome.com.tw/news/167152
2025年全球風險報告出爐，錯假訊息、網路間諜戰是短期10大風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>世界經濟論壇（WEF）在1月15日發布了《<a href="https://reports.weforum.org/docs/WEF_Global_Risks_Report_2025.pdf">2025年全球風險報告</a>》，此次剛好是該報告發布的第20周年。在今年短期風險中，第一名是科技類型風險，這已是連續兩年有此狀況，長期風險仍以多項環境風險為主、科技風險次之。</p> <p>基本上，WEF將風險分成五大類，包括經濟、環境、地緣政治、社會，以及科技風險。</p> <p>根據2025報告內容指出，未來2年全球十大風險而言，科技風險居於第1名與第5名，最值得優先關注，分別是錯誤資訊與假訊息，以及網路間諜與戰爭。</p> <p>其他重要風險包括：環境風險居於第2名、第6名，分別是極端氣候、污染；地緣風險居於第3名、第9名，分別是國家武裝衝突、地緣經濟對抗；社會風險佔據第4、7、8、10名，最高是排第4的社會兩極化。</p> <p>值得我們關注的是，關於「錯誤資訊與假訊息」一項，已是連續兩年居於短期10大風險之首。</p> <p>對此狀況，報告中特別強調生成式AI在大規模產生虛假或誤導性內容方面的作用，以及與另一項風險社會兩極化的關聯。</p> <p>同時，WEF也直截了當指出，社會接觸到的虛假或誤導性內容數量是持續增加，讓公民、企業與政府辨識真實資訊的挑戰更加艱難。</p> <p>更關鍵的是，在錯誤資訊、社會及政治兩極化這兩者的交互作用下，進一步加劇演算法偏見的風險。而且，演算法偏見也成為加劇錯誤資訊的推手，在這樣的態勢下也讓威脅者有機可趁，利用演算法偏見上的漏洞來擴大影響力。</p> <p>此外，還要加上全球數據治理與監管政策各異，這也造成公民數位足跡面臨隱私保護與監控風險的兩難局面。</p> <p>面對社會分裂感日益增強的狀況，在一個分裂世界中是否可能達成共識是否可能？WEF列出幾項建議，例如：企業需加強技術與倫理培訓，減少演算法偏見，政府與社會應推動公民數位素養教育，提升隱私保護與辨識假訊息的能力，同時建立AI使用的透明框架，才能讓數位生態重建信任基礎。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E5%9C%962)WEF%E7%99%BC%E5%B8%832025%E5%B9%B4%E5%85%A8%E7%90%83%E9%A2%A8%E9%9A%AA%E5%A0%B1%E5%91%8A_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90WEF.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(128, 128, 128);"><strong>在世界經濟論壇（WEF）發布的2025年全球風險報告中，</strong></span><span style="color: rgb(128, 0, 128);"><strong>科技類型風險</strong></span><span style="color: rgb(128, 128, 128);"><strong>成全球最大挑戰，錯誤資訊與假訊息（Misinformation and disinformation）</strong></span><span style="color: rgb(128, 128, 128);"><strong>連兩年居於首要風險，網路間諜與戰爭（Cyber espionage and warfare）</strong></span><span style="color: rgb(128, 128, 128);"><strong>排第五；至於長期風險排名第一仍是環境類型風險的極端氣候事件。</strong></span></p> <p>另一項不可輕忽的科技風險是排名第五的「網路間諜與戰爭」。這項風險日益嚴峻的原因，同樣與其他風險項目有所連動。WEF提到多項重點，例如，虛假或誤導內容的氾濫，導致地緣政治環境更加複雜化，地緣經濟對抗的這項風險，從前一年度的第14名攀升至第9名，在這種局勢下，政府主導的商業網路間諜活動也可能會變得更加頻繁。而且，上述這些也都是與國家武裝衝突高度相關的風險。</p> <p>換個角度，從未來10年的十大風險來看，WEF指出最主要還是環境風險，涵蓋第1到第4名與第10名，科技風險也不容小覷，居於第5、6、9名，當中不僅是包含錯誤資訊與假訊息、網路間諜與戰爭，還有一項是「AI技術的不良後果」。WEF指出，這項風險在短期風險排名仍低，但在長期風險卻是上升幅度最大的風險之一。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E5%9C%962)WEF%E7%99%BC%E5%B8%832025%E5%B9%B4%E5%85%A8%E7%90%83%E7%B6%B2%E8%B7%AF%E5%AE%89%E5%85%A8%E5%B1%95_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90WEF.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(128, 128, 128);"><strong>WEF在1月13日還有發布一份《 <a href="https://www.weforum.org/publications/global-cybersecurity-outlook-2025/">2025年全球網路安全展望</a>》報告，當中指出地緣政治緊張、技術快速發展，使得網路安全複雜度超越以往，不論是地緣政治緊張局勢升級、供應鏈的日益複雜、新興科技的快速採用，以及不斷增加的法規要求，都加劇了這種複雜性。</strong></span><strong style="color: rgb(128, 128, 128);">而這樣的複雜性，也導致了網路安全的不平等現象變得日益嚴重，資源較少的組織更難以應對不斷變化的威脅。</strong></p> </div></div></div>
2025/1/25 18:00作者羅正漢https://www.ithome.com.tw/news/167153
零售IT雙周報第50期：Walmart大力投資門市內OMO訂單履行能力，要在400間門市增設自動化物流設備
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#0000ff;"><strong>重點新聞(0112~0125)</strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#自動化物流 #門市內訂單履行</span></strong></span><br /> <strong>Walmart計畫在400家門市內增設自動化設備，支援電商與BOPIS訂單履行</strong></p> <p>零售龍頭Walmart將旗下先進系統與機器人技術部門，賣給智慧倉儲系統商Symbotic，同時簽署專屬供應契約，12年內，後者開發的自動化倉儲技術，只能提供給Walmart。</p> <p>Walmart將相關部門賣給Symbotic，是希望強化後者開發能量，並為Walmart 400間門市打造自動化訂單履行設備，包括軟體面的AI機器人管理技術，以及硬體面的自動化物流機器人。這些設備會用來支援門市出貨的電商訂單，以及線上下單線下取貨（BOPIS）等OMO訂單履行模式。此計畫中，Walmart預計分期支付共5.2億美元給Symbotic。</p> <p>這是Walmart自從發展電商以來，持續大力投資智慧倉儲與物流的又一步。2024年，他們不只持續開設大型智慧物流中心，也<a href="https://www.ithome.com.tw/news/166270">利用大數據技術</a>大幅改善物流效率，降低高達40%的物流成本。近月，<a href="https://www.ithome.com.tw/news/166033">他們更開設了新型OMO門市，有一般門市4倍大的電商訂單履行和則2倍多的BOPIS專用停車位。</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#GCP #生成式AI #搜尋功能</span></strong></span><br /> <strong>GCP推出一系列針對零售業者打造的生成式AI與AI代理人功能</strong></p> <p><a href="https://www.googlecloudpresscorner.com/2025-01-09-Google-Cloud-Unveils-New-Retail-Solutions-for-the-Agentic-AI-Era">GCP宣布一系列零售業生成式AI新功能與既有功能強化。</a>首先是AI代理人平臺Google Agentspace，開始支援零售業應用場景，例如可以打造目錄管理員，自動整合商品目錄數據，並回答關於商品的問題。</p> <p>AI搜尋功能Vertex AI Search for Commerce，則新增對話式商務（Conversational commerce）功能，這是一個結合原有Vertex AI Search搜尋功能的聊天機器人，可以整合進零售業者數位通路，用自然語言和顧客互動、提供搜尋商品，以及回答問題。</p> <p>另一個重要新功能是，利用生成式AI來補齊和豐富產品目錄數據的功能。此功能利用Gemini 1.5 Pro、Gemini 1.5 Flash和Imagen 3等多模態模型，來提升產品目錄的數據準確性，並能豐富更多圖片、描述等商品資訊。<a href="https://www.ithome.com.tw/news/165047">這個功能類似於Walmart先前用來提升百倍生產力的生成式AI應用方法。</a></p> <p>另外，GCP聯網門市類的解決方案，開始能使用最新圖像生成影片模型Veo，以及文字生成圖像模型Imagen 3，進一步強化商家運用多模態生成式AI的能力。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#AI代理人 #生成式AI #智慧POS #訂單履行</span></strong></span><br /> <strong>Salesforce推出零售用AI代理人功能，同時升級POS系統來支援更多購物場景</strong></p> <p>無獨有偶的，Salesforce也針對零售業推出<a href="https://www.salesforce.com/news/press-releases/2025/01/10/agentforce-retail-cloud-pos-announcement/">新AI代理人功能</a>。他們於代理人平臺Agentforce中新增零售專用代理人技能庫，包含訂單管理、預約排程、導購服務和忠誠度管理等。訂單管理可以讓顧客以對話形式更改付款或送貨等訂單細節；導購服務可以用自然語言對顧客推薦商品後，根據對話內容自動幫顧客完成下單與結帳；預約排程則可以協助顧客根據商家實際有的空檔，來安排送貨、安裝和諮詢等現場服務；忠誠度管理功能，則是透過對話來執行促銷活動和會員經營。</p> <p>Salesforce升級Retail Cloud產品線中的POS系統，整合線上和線下庫存數據，並能建立顧客檔案，紀錄購物行為、偏好和忠誠度狀態。這個POS還支援「混合購物車」功能，為購物車中的每個商品獨立設定訂單履行模式，如BOPIS、宅配等。此POS系統以在行動裝置執行為前提設計，將店員從櫃檯解放。新POS系統也和Commerce Cloud、Service Cloud和Order Management等其他Salesforce產品線的功能原生整合。</p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color:#0099ff;">#RMN3.0 #微軟 #AWS</span></strong><br /> <strong>微軟與AWS相繼推出RMN 3.0服務，提供零售業者經營RMN的IT支援</strong></p> <p>AWS和微軟相繼推出RMN 3.0相關服務，提供零售業者經營RMN所需的IT支援，CSP自己則作為平臺方，整合更多來源的數據和更多行銷通路。</p> <p><a href="https://advertising.amazon.com/library/news/retail-ad-service-announcement">AWS做法是提供自家RMN用的廣告科技</a>，讓零售商能夠在搜尋頁面、瀏覽頁面及商品頁面上展示Amazon廣告，經營RMN。利用此服務搭建的廣告系統，會結合庫存狀態和價格資訊，以及情境化資料，確保顧客所見廣告為適合且有現貨的商品。投放廣告後，廣告數據分析會在AWS數據無塵室（DCR）中進行，於加密執行環境中，為零售商及其廣告主產生去識別化的行銷成效報告。</p> <p><a href="https://about.ads.microsoft.com/en/blog/post/january-2025/microsoft-advertisings-new-commerce-media-innovations-unlock-growth-for-brands-and-retailers">微軟則對是開放零售商串接數據及廣告版位到Micosoft Advertising平臺。</a>零售業者可以直接用微軟平臺一站式處理數據分析、廣告交易及專案管理。不過，微軟並沒有解釋技術細節，例如零售業者如何導入或整合所需的Adtech技術，以及零售業者對於廣告操作的選項。</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#ERP #生成式AI #會員經營</span></strong></span><br /> <strong>SAP推出零售業專用ERP等多種零售新解決方案</strong></p> <p><a href="https://news.sap.com/2025/01/sap-nrf-2025-retail-public-cloud-erp-ai-shopping-assistant/">ERP大廠SAP推出一系列零售業新解決方案。</a>首先是專門為零售業設計的ERP，強調針對零售商品銷售、供應鏈整合、門市營運與OMO通路管理設計功能。</p> <p>這個新ERP及其他既有產品線中，還新增了多種會員經營功能，包括連結顧客檔案到支付工具的精準行銷、跨品牌及跨企業的會員黏著度管理、提供全通路促銷規畫功能、會員旅程規畫功能，以及結合財務系統來衡量這些行銷投資報酬率的功能。</p> <p>另外，他們將於2025年上半年正式推出AI購物助理，透過SAP CX AI Toolkit提供。此功能以SAP Commerce Cloud現有的AI功能為基礎打造，可以透過自然語言對話，協助顧客客戶快速找到他們所需的產品。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#數位孿生 #門市管理 #行銷素材製作 #生成式AI</span></strong></span><br /> <strong>L'Oreal和Lowe's如何應用數位孿生</strong></p> <p>在近期全美零售聯合會年會中，美妝品牌L'Oreal和家居品牌Lowe's各自揭露自家應用數位孿生的方法。</p> <p>L'Oreal為自家商品製作3D數位孿生，並將檔案提供給行銷代理商，支援他們用生成式AI來製作行銷素材。這是因為，3D數位孿生能精確捕捉產品的幾何形狀、比例和細節，且能3D模型可以從任何角度或視角進行渲染，利用Stable Diffusion等圖像生成式AI製作行銷圖時，能更靈活調整內容，同時保留商品細節。</p> <p>Lowe's則是為旗下1,700間門市製作數位孿生，並每天根據庫存及營運數據更新。這是為了持續分析門市狀態，並模擬、調整不同的店鋪布局模式，來強化顧客購物體驗。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多零售IT動態</span></strong></span></p> <p>Momo旗下RMN已經有超過萬家品牌客戶，雙11廣告投放金額較前一年的總廣告營收成長3.5倍</p> <p>富士通鎖定零售業等產業，提供數據與系統整合搭配數位顧問的服務平臺</p> <p>大型連鎖藥局Walgreens CEO表示將貨架上鎖的防盜措施，造成的銷售下滑反而得不償失</p> <p><a href="https://corporate.bestbuy.com/2025/best-buy-marketplace/">大型連鎖3C零售商Best Buy推出第三方市集，並整合自家RMN服務</a></p> <p><a href="https://corporate.lowes.com/newsroom/stories/fresh-thinking/5-tech-savvy-ways-lowes-simplifying-homeownership">Lowe's的會員資訊與家具管理平臺將加入生成式AI功能，進一步支援會員的家具組裝與維修</a></p> <p>資料來源：iThome整理，2025年1月</p> <p>責任編輯：郭又華</p> <p>圖片來源：Walmart</p> <p></p> </div></div></div>
2025/1/24 12:31作者郭又華https://www.ithome.com.tw/news/167147
【資安日報】1月24日，印度駭客組織DoNot假借提供即時通訊軟體的名義散布惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客鎖定安卓手機收集資料的情況，隨著全球國際局勢的緊張，這種攻擊也不斷出現，其中，最常見的就是要受害者授予各式的存取權限，從而大肆搜刮手機的資料並監控使用者，如今這樣的手法出現變化。</p> <p>資安業者Cyfirma揭露印度駭客組織DoNot（APT-C-35）近期的攻擊行動當中，駭客的惡意App在取得輔助功能權限後，竟是透過訊息推播的方式，發動第二波網釣攻擊。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167150"><strong style="font-size: 22px;">印度駭客組織DoNot鎖定安卓用戶，散布惡意軟體Tanzeem</strong></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/android17-3.jpg" style="width: 300px; float: right;" /></p> <p>隨著全球國際局勢日益緊張，駭客鎖定特定人士手機收集情報的事故，最近兩年有越來越繁的現象，而且，在手法上也有所變化。</p> <p>資安業者Cyfirma指出，被稱為DoNot、APT-C-35的印度駭客組織，假借提供聲稱可進行網路聊天的程式Tanzeem、Tanzeem Update，意圖對於特定組織及個人的安卓手機發動攻擊。</p> <p>根據Cyfirma對惡意App的分析，他們發現內含OneSignal訊息推送平臺的元件，由於此平臺廣泛被行動App及網頁應用程式推送通知、電子郵件、簡訊，因此研究人員認為，駭客很有可能是濫用OneSignal推送含有釣魚連結的通知，從而發動進一步的攻擊。</p> <p><a href="https://www.ithome.com.tw/news/167130"><strong style="font-size: 22px;">Mirai殭屍網路攻擊規模再創新高，資安業者Cloudflare攔下規模5.6 Tbps的DDoS攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/0123-cloudflare-ddos report-mirai.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0123-cloudflare-ddos%20report-mirai.png" style="float: right; width: 300px;" /></a></p> <p>資安業者Cloudflare本周公布2024年第4季DDoS攻擊活動的統計報告，指出在引發網路層DDoS攻擊的殭屍網路中，Mirai占6%，季增131%相當值得留意。</p> <p>該公司提及在10月29日出現史上規模最大的DDoS攻擊，一家東亞ISP客戶遭到流量高達5.6 Tbps的攻擊事故，流量來自1.3萬臺物聯網（IoT）裝置，歷時約80秒。這些裝置遭到Mirai變種程式感染後，集體發動的DDoS攻擊。</p> <p>論及攻擊來源與受害國家，印尼、香港、新加坡、烏克蘭和阿根廷是最大來源。臺灣、香港、中國、菲律賓和德國是最主要攻擊目標；Cloudflare臺灣客戶發生7起DDoS攻擊，由前季的第7名躍升到第3名。</p> <p><a href="https://www.ithome.com.tw/news/167104"><strong style="font-size: 22px;">微軟已棄用的NTLMv1驗證機制，仍可能被啟動用於攻擊</strong></a></p> <p>微軟早已將NTLM（NT LAN Manager）列為過時的身分驗證機制，但資安業者Silverfort發現，Active Directory群組原則用於限制NTLMv1的機制，在設計上因支援舊系統的需求，可能被攻擊者濫用以重新啟用NTLMv1，對企業資安帶來潛在風險。</p> <p>研究人員發現，部分應用程式可以透過名為ParameterControl的參數，來請求NTLMv1驗證訊息，即使系統規則已設置為只接受更安全的NTLMv2。該問題尤其影響非Windows用戶端環境，因為這些用戶端在應用程式的要求下，可能使用不安全的驗證資料，導致網路流量暴露於遭攻擊者攔截與破解的風險。</p> <p>攻擊者可以攔截並破解NTLMv1流量，進而取得用戶憑證執行橫向移動或權限提升等進階攻擊行為。研究人員強調，僅依賴Active Directory群組原則並無法完全阻擋NTLMv1的使用，特別是當企業使用內部開發或第三方應用程式時，這些應用可能無意間允許或啟用不安全的驗證機制。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/sonicwall-warns-of-sma1000-rce-flaw-exploited-in-zero-day-attacks/">SonicWall防火牆設備SMA 1000系列存在重大漏洞，已傳出被用於攻擊行動</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.ithome.com.tw/news/166898">【電信業屢遭國家級駭客鎖定】美國多家電信業遭駭成2024最大網路間諜事故</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167149"><strong style="font-size: 22px;">供房地產網站使用的WordPress佈景主題、外掛存在重大漏洞，攻擊者有機會得到3萬個網站的管理權限</strong></a></p> <p>鎖定WordPress外掛程式的漏洞攻擊事故頻傳，因此相關漏洞的通報與揭露也相當值得網站管理員留意，若是外掛程式開發團隊沒有修補漏洞，管理員還是要採取相關措施因應，以免網站成為歹徒下手的目標。</p> <p>資安業者Patchstack表示在去年9月，發現WordPress佈景主題RealHome和外掛程式Easy Real Estate存在重大層級的漏洞CVE-2024-32444、CVE-2024-32445，他們向開發商InspiryThemes通報此事，迄今尚未得到回覆，因此他們呼籲網站管理員在廠商沒有提供修補之前，應停用佈景主題及外掛程式因應。</p> <p>這兩種延伸套件提供那些功能？RealHome是專為房仲網站設計的佈景主題，提供相關樣式設計，具備高度客製功能，甚至開發團隊外掛程式支援，而能擴充它的能力，其中一款就是本次揭露的社群網帳號登入模組Easy Real Estate。此佈景主題的付費版本已賣出近3.2萬套，因此漏洞影響的範圍可能相當廣泛。</p> <p><a href="https://www.ithome.com.tw/news/167139"><strong style="font-size: 22px;">思科修補防毒軟體ClamAV阻斷服務漏洞，防止攻擊者中斷防毒掃描</strong></a></p> <p>思科（Cisco）釋出1.4.2和1.0.8版開源防毒軟體ClamAV，其中一項重要安全更新是修補可能導致拒絕服務（DoS）攻擊的漏洞CVE-2025-20128。該漏洞存在於OLE2檔案格式解析的過程，攻擊者可以利用經過特殊設計的檔案，使ClamAV防毒掃描功能崩潰，進一步影響其運作。用戶目前可以在ClamAV官網、GitHub Release頁面以及Docker Hub上找到更新檔案。</p> <p>CVE-2025-20128漏洞由Google的OSS-Fuzz專案發現，主要問題出在OLE2檔案解密過程出現緩衝區溢出讀取錯誤。該問題自ClamAV 1.0.0版本就已存在，影響所有目前仍在支援範圍內的版本，攻擊者一旦成功濫用此漏洞，就可能導致防毒掃描中斷，雖然不會直接影響整體系統的穩定性，但卻會對用戶安全防護構成威脅。</p> <p>儘管目前沒有發現針對CVE-2025-20128漏洞的攻擊案例，但官方特別強調，已經有公開的概念性驗證程式碼流傳。這代表該漏洞可能成為攻擊的目標，思科敦促企業應立即檢查現有環境並套用相關更新。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/researcher-says-abb-building-control-products-affected-by-1000-vulnerabilities/">研究人員指出ABB大樓控制系統存在超過1千項弱點</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/aws-patches-vulnerabilities-in-workspaces-appstream-2-0-and-dcv-clients/">AWS修補WorkSpaces、AppStream、DCV高風險漏洞</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/qnap-fixes-six-rsync-vulnerabilities-in-hbs-nas-backup-recovery-app/">威聯通為NAS設備修補檔案同步工具Rsync弱點</a></strong></p> <p></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167141"><strong style="font-size: 22px;">預算遭大砍4成，數位部表示將影響打詐、通訊韌性基礎建設及資通安全</strong></a></p> <p>針對預算被刪減近36億元，佔整體預算編列4成，數位部重申，受衝擊的業務包括通訊韌性基礎建設、打詐、產業發展，資安方面，好不容易建立的資通安全團隊可能面臨人才流失，另外，資安管理工作AI化發展受阻，也將使得風險增加。</p> <p>針對立法院刪減114年度預算一事，數位部次長林宜敬近期表示，立院在野黨大幅刪減數位部的預算，對於臺灣的韌性及產業發展將帶來重大的影響。其中韌性基礎建設，數位部已在全臺警、消、軍部署773個非同步衛星網路，確保在天災及緊急危難時，對外網路通訊的順暢，去年也展示高空氣球緊急通訊設計，預算被刪減將造成韌性建設發展受阻，使臺灣面臨巨大的風險。</p> <p>在資安方面，臺灣地處地緣政治，每天平均受到240萬次的境外資安攻擊，數位部為水、電、電信、金融等關鍵基礎設施，以及政府機關、醫療院所提供24小時資安監控及防護，預算刪減將危及關鍵基礎設施的資安防護能力，威脅風險增加。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167020"><strong style="font-size: 22px;">推動AI代理人應用，Nvidia提供AI護欄微服務、內容安全防範工具</strong></a></p> <p>Nvidia宣布推出NIM AI護欄微服務，以解決企業對AI代理人的資料安全或違反法令的疑慮。此服務是Nvidia NeMo護欄（NeMo Guardrails）軟體工具集的一部分，都是以NIM微服務提供，包含內容安全、主題控管及越獄偵測。NeMo Guardrails是Nvidia開源的工具套件，可讓開發人員為LLM應用程式加入可程式化的護欄（Guardrails）或管理規則。</p> <p>新推出的內容安全微服務可防止AI生成有偏見或有害的輸出，確保符合倫理標準。主題控管微服務則確保對話內容的主題在許可範圍內，避免離題或不適當內容。越獄偵測微服務則防範使用者越獄（jailbreak），以免AI遭到不當利用的攻擊。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/167142"><strong>【1月23日】中國駭客入侵韓國VPN業者IPany發動供應鏈攻擊，竄改安裝程式散布後門</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167118"><strong>【1月22日】陞泰IP攝影機已知漏洞再傳遭到Mirai變種殭屍網路鎖定</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167100"><strong>【1月21日】駭客聲稱握有IT大廠HPE的內部資料，該公司正在著手調查</strong></a></p> </div></div></div>
2025/1/24 17:28作者周峻佑https://www.ithome.com.tw/news/167151
Subaru車聯網爆重大漏洞，攻擊者可遠端控制車輛、追蹤位置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安研究人員Shubham Shah與Sam Curry<a href="https://samcurry.net/hacking-subaru#visualizing-a-year-of-subaru-location-history">發現</a>，Subaru車聯網系統STARLINK（非SpaceX星鏈服務Starlink）管理面板存在一項重大安全漏洞，此漏洞允許攻擊者利用車主個人基本資訊對車輛進行遠端控制，包括啟動引擎、解鎖車門，以及查詢精確到5公尺內的車輛歷史位置記錄。該漏洞影響範圍廣泛，涵蓋所有美國、加拿大及日本連接STARLINK的車輛。經研究人員回報後，Subaru已在24小時內完成修補，並聲明未發現有惡意濫用的情況。</p> <p>此次安全事件的核心問題在於，攻擊者只需極少的車主資訊例如姓氏和郵遞區號，便能存取並控制特定車輛。此外，管理面板還可存取車主的個人資料，如地址、緊急聯絡人及帳單資訊，甚至能查詢過去一年車輛位置記錄。這些資訊的洩露不僅侵犯個人隱私，更可能被有心人士用於惡意目的，例如精確追蹤車輛位置。</p> <p>STARLINK系統的漏洞源於管理面板的多項設計缺陷。其中，密碼重設功能在沒有任何驗證機制，如確認信或一次性密碼的情況下，允許任何人僅憑電子郵件地址即可重設帳戶密碼。此外，儘管系統有實作雙因素驗證（2FA），但其驗證流程僅在客戶端執行。攻擊者發現，透過移除網頁程式碼中觸發雙因素驗證彈出視窗的JavaScript函式，即可完全繞過驗證，直接取得後端系統的完整操作權限。</p> <p>系統對管理面板使用者的電子郵件存取也缺乏嚴格限制，攻擊者可利用API介面，像是安全問題查詢功能，透過提交不同的電子郵件地址測試其有效性，列舉出合法的員工帳戶資訊，進一步接管帳戶並繞過身分驗證。</p> <p>廠商雖然迅速修復了漏洞，但該事件暴露出STARLINK車聯網系統存在權限管理與資料保護的結構性問題，包括過於寬鬆的員工權限設計、缺乏完善的API安全防護機制等。研究人員指出，Subaru員工擁有相當大的資料存取權限，例如一個18歲員工可以跨州查詢車主的敏感資訊，而且不會觸發任何警報。</p> </div></div></div>
2025/1/24 16:52作者李建興https://www.ithome.com.tw/news/167148
印度駭客組織DoNot鎖定安卓用戶，散布惡意軟體Tanzeem
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著全球國際局勢日益緊張，駭客鎖定特定人士手機收集情報的事故，最近兩年有越來越繁的現象，而且，在手法上也有所變化。</p> <p><a href="https://www.cyfirma.com/research/android-malware-in-donot-apt-operations/">資安業者Cyfirma指出</a>，被稱為DoNot、APT-C-35的印度駭客組織，假借提供聲稱可進行網路聊天的程式Tanzeem、Tanzeem Update，意圖對於特定組織及個人的安卓手機發動攻擊。</p> <p>研究人員先後於去年10月、12月看到兩個版本的惡意程式檔案，兩個版本檔案功能大致相同，差別在於對介面進行些微調整。</p> <p>一旦使用者依照指示安裝，手機就會出現Tanzeem App的歡迎畫面，然後顯示開始聊天的按鈕，一旦使用者點選，就會出現彈出式訊息，要求授予輔助功能權限。然而若是使用者照做，不會進入聊天的畫面，原因是惡意程式並未具備相關功能。</p> <p>根據Cyfirma對惡意App的分析，他們發現內含OneSignal訊息推送平臺的元件，由於此平臺廣泛被行動App及網頁應用程式推送通知、電子郵件、簡訊，因此研究人員認為，駭客很有可能是濫用OneSignal推送含有釣魚連結的通知，從而發動進一步的攻擊。</p> </div></div></div>
2025/1/24 17:05作者周峻佑https://www.ithome.com.tw/news/167150
供房地產網站使用的WordPress佈景主題、外掛存在重大漏洞，攻擊者有機會得到3萬個網站的管理權限
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>鎖定WordPress外掛程式的漏洞攻擊事故頻傳，因此相關漏洞的通報與揭露也相當值得網站管理員留意，若是外掛程式開發團隊沒有修補漏洞，管理員還是要採取相關措施因應，以免網站成為歹徒下手的目標。</p> <p>資安業者Patchstack表示在去年9月，發現<a href="https://patchstack.com/articles/unauthenticated-privilege-escalation-vulnerability-patched-in-real-home-theme/">WordPress佈景主題RealHome和外掛程式Easy Real Estate存在重大層級的漏洞</a>，他們向開發商InspiryThemes通報此事，迄今尚未得到回覆，因此他們呼籲網站管理員在廠商沒有提供修補之前，應停用佈景主題及外掛程式因應。</p> <p>這兩種延伸套件提供那些功能？RealHome是專為房仲網站設計的佈景主題，提供相關樣式設計，具備高度客製功能，甚至開發團隊外掛程式支援，而能擴充它的能力，其中一款就是本次揭露的社群網帳號登入模組Easy Real Estate。此佈景主題的付費版本已賣出近3.2萬套，因此漏洞影響的範圍可能相當廣泛。</p> <p>Patchstack揭露存在於RealHome的漏洞，登記為CVE-2024-32444，這是未經身分驗證的權限提升漏洞，起因是此佈景主題的程式碼在處理使用者輸入的內容時，並未進行授權或是檢查，一旦網站啟用使用者註冊的功能，攻擊者就有機會接管網站，CVSS風險評為9.8。此外，該佈景主題並未檢查使用者是否呼叫特定功能函數inspiry_ajax_register，攻擊者可使用$user_role變數建立管理員角色的帳號。</p> <p>另一個出現在Easy Real Estate的漏洞是CVE-2024-32445，Patchstack指出該漏洞形成的原因與CVE-2024-32444類似，攻擊者只要知道管理者的電子郵件信箱，就能在無須掌握對應密碼的情況下，登入任何使用者的帳號，CVSS風險評分同樣達到9.8。研究人員指出，這項漏洞發生的原因，在於該外掛程式並未驗證電子郵件信箱發出的POST請求。</p> </div></div></div>
2025/1/24 15:55作者周峻佑https://www.ithome.com.tw/news/167149
蘋果iOS 18.3、macOS 15.3將自動啟用Apple Intelligence
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果本周釋出iOS 18.3、iPadOS 18.3以及macOS 15.3，將讓新款iPhone、iPad及Mac電腦自動啟用Apple Intelligence。</p> <p>根據<a href="https://developer.apple.com/documentation/ios-ipados-release-notes/ios-ipados-18_3-release-notes#New-Features" target="_blank">iOS/iPadOS 18.3</a>及<a href="https://developer.apple.com/documentation/macos-release-notes/macos-15_3-release-notes" target="_blank">macOS Sequoia 15.3</a>網頁，新安裝或更新到最新OS版本的用戶，其設備會在重開機時自動啟用Apple Intelligence。啟用後裝置才會連網下載Apple Intelligence模型。</p> <p>在此之前，用戶必須在「設定」下的「Apple Intelligence & Siri」中，選擇「取得Apple Intelligence」來啟用這項功能。</p> <p>更新後Apple Intelligence成為預設啟動。要關閉Apple Intelligence，用戶就必須反過來，在「設定」下的「Apple Intelligence & Siri」中選擇「關閉Apple Intelligence」。</p> <p>想獲得蘋果AI功能的用戶，必須具備iPhone 16系列、iPhone 15 Pro、iPhone 15 Pro Max、搭載A17 Pro或M1晶片以上版本的iPad，或是M1晶片以上版本的Mac電腦。</p> </div></div></div>
2025/1/24 11:23作者林妍溱https://www.ithome.com.tw/news/167145
Anthropic推出Claude Citations功能，強化AI回應的來源驗證與可信度
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>人工智慧新創公司Anthropic宣布推出<a href="https://www.anthropic.com/news/introducing-citations-api">Claude Citations</a>功能，允許其大型語言模型Claude在生成的回覆中直接引用資料來源，藉此提升人工智慧回應的可信度和可驗證性。此功能已正式整合至Anthropic API和Google雲端的Vertex AI平臺，供開發者用於建置人工智慧應用程式。</p> <p>以往開發者需要透過複雜的提示詞工程，引導Claude提供資料來源，過程耗時且效果不一。現在，透過Citations功能，開發者只需將PDF和純文字檔來源文件提交給模型，Claude便會自動在回覆中標註引用內容的出處，精確到句子層級。根據Anthropic內部測試顯示，Citations功能的準確度比用戶自行設計的提示詞方法提升15％。</p> <p>Citations功能的運作機制，是將來源文件切分成句子片段，或是由用戶提供已分段文本，再與使用者輸入的上下文資訊一起傳遞給Claude模型。模型在生成結果時，會比對這些片段，並在引用相關資訊時自動加上註釋，指向對應的來源文件。此機制無需額外的檔案儲存空間，並與現有的Messages API整合。</p> <p>該功能有助於解決人工智慧生成內容的可信度問題，讓開發者更容易地建構具備可靠資訊來源的人工智慧應用，例如文件摘要、複雜問答系統和客戶支援等，並提升使用者對人工智慧應用的信任。Citations功能計費方式維持既有的Token計價模式，使用者僅需支付輸入的Token費用，引用來源輸出的標註文字則不收費，僅需為其他生成的內容付費。</p> </div></div></div>
2025/1/24 12:11作者李建興https://www.ithome.com.tw/news/167146
OpenAI公布AI代理人Operator，美國Pro方案用戶先試用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI昨（23）日公布自有代理人Operator，可代用戶上網搜尋、打字及執行其他任務。Operator目前以研究預覽版形式提供給美國的Pro付費用戶試用，未來會逐步推向其他國家及方案。</p> <p><a href="https://operator.chatgpt.com/" target="_blank">Operator網頁</a>已經上線。Operator具有自己的瀏覽器，若用戶需要它查詢或操作網頁，它可以和人類一樣讀取網頁並在網頁上打字、點擊或下拉卷軸。它會代用戶搜尋、提供建議，並在用戶同意下代為執行如下單等任務。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0124-opeanai-operator-2.jpg" style="width: 600px;" /></p> <p>Operator網頁正上方有一行ChatGPT的提示輸入列，下方有多項類別標籤，包括餐飲、快遞/外送、旅遊、購物等，每類標籤提供建議的網頁以及預設的提示。例如OpenTable下預設了預訂餐廳座位、或請它建議提供4.5星以上評價的餐廳等。用戶也可以直接輸入搜尋提示。根據執行長Sam Altman和其他OpenAI員工<a href="https://www.youtube.com/watch?v=CSE77wAdDLg" target="_blank">示範Operator的影片</a>，Operator在OpenTable上打字搜尋到數家符合要求餐廳、回覆用戶請求決定，並詢問用戶是否代為訂位。</p> <p>目前Operator為研究預覽版，今天起已提供月費200美元的Pro方案美國用戶使用。OpenAI表示這項服務會再推向其他地區，也會提供給Plus、Teams及Enterprise方案用戶。而歐盟地區也必須再等等。</p> <p>技術上，Operator使用的是名為使用電腦的代理人（Computer-Using Agent，CUA）。CUA結合GPT-4o的視覺能力及以強化式學習（reinforcement learning）訓練出的進階推理能力。CUA旨在和螢幕上的圖形化使用者介面（graphical user interfaces，GUI）如按鍵、選單和文字欄位互動。</p> <p>Operator的「觀看」能力來自螢幕擷圖，其螢幕互動能力是滑鼠和鍵盤允許的行為，因而它不需使用API整合就能在網頁上執行任務。如果Operator遭遇困難或犯錯，它會運用推理能力自行修正。而當卡住需要協助時，就會將控制權丟回給用戶。</p> <p>OpenAI表示CUA雖然還在開發階段，但在<a href="https://openai.com/index/computer-using-agent/" target="_blank">標竿測試</a>如WebArena及WebYoyager中，瀏覽器使用表現超過之前的SOTA（state of the art）模型。此外CUA在OSWorld標竿測試，也展現出比之前SOTA模型更好的電腦使用能力。</p> <p>Operator使用很容易，用戶可以在提示鍵中輸入自然語言描述想做的任務。在任何網站上，用戶都可加入客製指令建立個人化作業流程，像是Booking.com上設定偏好的航空公司，也能在特定網頁上儲存提示以加速日後使用，例如在eBay上添購日常用品。Operator還能像瀏覽器一樣多工作業，可允許另起對話執行新的任務，像是一邊訂房、一邊訂機票。不過OpenAI強調在任何作業上，用戶都可隨時接手主控權。</p> <p>目前OpenAI和多家電商或線上服務業者合作，包括DoorDash、Instacart、OpenTable、Priceline、StubHub、Thumbtack、Uber、eBay、路透社等，以提供更流暢的自動化服務。</p> <p>另一方面，OpenAI強調安全與隱私。除了加入護欄確保模型不被濫用，OpenAI為Operator加入行為限制以確保隱私。例如在需要登入、支付資訊或解決CAPTCHA時，會主動要求用戶自行輸入付款資訊或密碼。在完成重要任務，如送出email或下單前，Operator要求用戶許可。尤其在高度敏感站像是電子郵件或銀行網站，它會要求用戶檢查。它也會拒絕高度敏感任務，例如轉帳或投遞履歷。</p> <p>OpenAI允許用戶在ChatGPT設定中關閉「為所有人改進模型」，以防止Operator對話被用於訓練模型。用戶也可以在Operator設定的「隱私」頁中，刪除所有上網資料及登出網站。不過<a href="https://techcrunch.com/2025/01/23/openai-says-it-may-store-deleted-operator-data-for-up-to-90-days/" target="_blank">Techcrunch</a>報導，即使用戶刪除，資料還是會在系統內保存90天，超過ChatGPT的30天。</p> </div></div></div>
2025/1/24 11:11作者林妍溱https://www.ithome.com.tw/news/167143
Cisco修補防毒軟體ClamAV DoS漏洞，防止攻擊者中斷防毒掃描
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>思科（Cisco）釋出開源防毒軟體<a href="https://blog.clamav.net/2025/01/clamav-142-and-108-security-patch.html">ClamAV 1.4.2和1.0.8版本</a>，其中一項重要安全更新是修補可能導致拒絕服務（DoS）攻擊的漏洞CVE-2025-20128。該漏洞存在於OLE2檔案格式解析的過程，攻擊者可以利用經過特殊設計的檔案，使ClamAV防毒掃描功能崩潰，進一步影響其運作。用戶目前可以在ClamAV官網、GitHub Release頁面以及Docker Hub上找到更新檔案。</p> <p>CVE-2025-20128漏洞由Google的OSS-Fuzz專案發現，主要問題出在OLE2檔案解密過程出現緩衝區溢出讀取錯誤。該問題自ClamAV 1.0.0版本就已存在，影響所有目前仍在支援範圍內的版本，攻擊者一旦成功濫用此漏洞，就可能導致防毒掃描中斷，雖然不會直接影響整體系統的穩定性，但卻會對用戶安全防護構成威脅。</p> <p>拒絕服務攻擊是一種常見的攻擊手法，發生於防毒系統這類重要的應用影響重大，特別是ClamAV為一款被廣泛使用的開源防毒工具。Cisco特別強調，此漏洞沒有臨時替代方案，只有升級至最新的修補版本才能完全解決問題。</p> <p>儘管目前沒有發現針對CVE-2025-20128漏洞的攻擊案例，但官方特別強調，已經有公開的概念性驗證程式碼流傳。這代表該漏洞可能成為攻擊的目標，Cisco敦促企業應立即檢查現有環境，確保ClamAV的版本已更新至1.4.2或1.0.8。</p> </div></div></div>
2025/1/24 08:21作者李建興https://www.ithome.com.tw/news/167139
【資安日報】1月23日，中國駭客入侵韓國VPN業者IPany發動供應鏈攻擊，竄改安裝程式散布後門
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客入侵軟體開發業者，並在正式發布的軟體裡加入惡意程式碼的情況，不時有事故傳出，最近一起針對韓國VPN業者的攻擊事故揭露，引起外界的關注。</p> <p>值得留意的是，發動這起事故的中國駭客組織PlushDaemon，開發了具備超過30種功能的後門程式來從事攻擊，但資安業者ESET發現，這些駭客也著手開發威力更加強大的版本。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167133"><strong style="font-size: 22px;">韓國VPN業者IPany遭駭，攻擊者在原廠提供安裝檔上加料以散布惡意程式SlowStepper</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/IPany-figure-6.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/IPany-figure-6.png" style="width: 300px; float: right;" /></a></p> <p>近年來鎖定軟體業者而來的供應鏈攻擊不時傳出，其中一種就是在公司正式提供用戶下載的網站上，提供含有惡意內容的安裝程式，使得毫無戒心的使用者可能會因此中招。</p> <p>資安業者ESET揭露針對韓國VPN服務業者IPany的軟體供應鏈攻擊事故，中國駭客組織PlushDaemon從2023年發動攻擊，並在該公司VPN軟體的安裝程式植入後門程式SlowStepper，此為具備超過30種元件的多功能惡意軟體，用途是廣泛監控使用者並收集資料。</p> <p>對於這起事故的受害範圍，ESET惡意軟體研究員Facundo Muñoz指出，他們根據遙測的資料，在去年11月、12月，發現有日本及中國使用者受害，此外，ESET也確認有使用者於韓國半導體公司、尚未確認身分的軟體開發業者的網路環境裡，發現用戶電腦試圖安裝木馬程式的跡象。</p> <p><a href="https://www.ithome.com.tw/news/167138"><strong style="font-size: 22px;">殭屍網路Airashi利用零時差漏洞綁架cnPilot路由器，不只發動DDoS攻擊，也打算提供非法代理伺服器服務</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/aisuru_powerproof_2025-01-15-11_08_01-1-1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/aisuru_powerproof_2025-01-15-11_08_01-1-1.png" style="float: right; width: 300px;" /></a></p> <p>去年8月下旬電玩平臺Steam發生大規模DDoS攻擊，傳出與當時推出不久的大型電玩遊戲黑神話：悟空有關，中國資安業者奇安信指出，駭客動用多達60個殭屍網路，對全球Steam伺服器發動4波攻擊，其中號稱是攻擊主力的殭屍網路Aisuru，如今出現新的變種攻擊行動。</p> <p>奇安信X實驗室Alex.Turing、Wang Hao等4名研究人員指出，Aisuru在上述攻擊行動曝光後，9月短暫停止攻擊行動，但背後的駭客組織在利益的驅動下，先後在10月、11月對殭屍網路進行翻新，其中11月底出現的殭屍網路Aisuru變種，駭客稱為Airashi。</p> <p>新的殭屍網路變種更換主要綁架的網路設備，駭客針對美國網路設備業者Cambium Networks提供的無線基地臺cnPilot而來，利用零時差漏洞散布惡意程式；再者，並指出攻擊者有意提供非法代理伺服器的新服務。</p> <p><a href="https://www.ithome.com.tw/news/167115"><strong style="font-size: 22px;">Cloudflare快取被濫用於零點擊攻擊，Signal與Discord用戶地理位置遭洩露</strong></a></p> <p>資安研究人員Daniel（@hackermondev）在GitHub揭露一個新型零點擊攻擊，利用Cloudflare的快取機制推測用戶的地理位置，對Signal和Discord等廣泛使用快取的應用程式造成威脅。此攻擊不需用戶執行任何操作，只要日常的推播通知或附件下載即可觸發，在GitHub引發開發者社群對隱私與安全風險的關注。</p> <p>這項攻擊的核心原理，是利用Cloudflare快取回傳的HTTP標頭中包含的地理相關資訊，例如cf-cache-status和cf-ray參數。當用戶裝置存取啟用快取的資源時，攻擊者可以分析這些參數，推斷資源被快取的資料中心位置，進而估算出用戶的物理位置。</p> <p>零點擊攻擊的特性使其難以偵測，尤其對記者、異議人士及其他隱私敏感群體構成威脅。研究人員指出，雖然Cloudflare已修補部分漏洞，例如阻止攻擊者透過其內部網路進行資料中心的直接定位，但攻擊者仍可藉助VPN等替代方法，繞過修補措施並重現攻擊效果。</p> <p><a href="https://www.ithome.com.tw/news/167140"><strong style="font-size: 22px;">川普下令解除所有美國國土安全部顧問委員會成員職務，恐波及Salt Typhoon攻擊電信業者事故調查</strong></a></p> <p>根據Dark Reading、SecurityWeek、The Hacker News、The Register等多家新聞網站報導，美國總統川普宣布解除所有國土安全部（DoH）顧問委員會的成員，其中包含了組成網路安全暨基礎設施安全局（CISA）與網路安全審查委員會（Cyber Safety Review Board，CSRB）的人員。由於CSRB尚在調查中國駭客Salt Typhoon大規模攻擊美國電信業者的資安事故，這項人事命令很可能對相關調查造成衝擊。</p> <p>1月20日國土安全部代理秘書Benjamine C. Huffman宣布此事，並指出理由是為了消除資源遭到濫用的情況，確保他們行動的優先順序會以國家安全為考量。未來該委員會的工作，將會完全集中在保護國家及國土安全部的重點戰略任務。</p> <p>Benjamine C. Huffman在信裡並未提及新的顧問委員會成員，但表示原本的成員可重新申請回鍋。</p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=150945&SPOKE_DATE=20250123&COMPANY_ID=2359"><strong style="font-size: 22px;">所羅門資訊系統遭受攻擊</strong></a></p> <p>1月23日下午3時電子零件業者所羅門於股市公開觀測站發布重大訊息，指出他們偵測到資訊系統遭受攻擊的情況，該公司資訊部門第一時間執行斷網阻隔處理，避免事故影響範圍擴大，並全面啟動防禦機制，邀集外部資安公司技術專家協同處理。</p> <p>而對於這起事故可能會帶來的影響，所羅門表示目前營運一切正常，根據他們的初步評估，對公司財務及業務無影響。</p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=160603&SPOKE_DATE=20250123&COMPANY_ID=5432"><strong style="font-size: 22px;">新門資訊系統遭受攻擊</strong></a></p> <p>繼電子零件業者所羅門發布重大訊息後，下午4時太陽能系統零組件業者新門也於股市公開觀測站發布重大訊息，證實資訊系統遭受攻擊，為避免事故影響範圍擴大，該公司資訊部門第一時間切斷網路連線處理，並全面啟動防禦機制，邀集外部資安公司技術專家協同處理。</p> <p>而對於這起事故可能會帶來的影響，根據新門的初步評估，對公司財務及業務無影響，目前營運也一切正常。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/powerschool-hacker-claims-they-stole-data-of-62-million-students/">雲端校園管理系統PowerSchool遭供應鏈攻擊，駭客聲稱竊得逾6千萬學生資料</a></strong></p> <p><strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/powerschool-hacker-claims-they-stole-data-of-62-million-students/"></a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.ithome.com.tw/news/166903">【2025最新國家級駭客攻擊與威脅變化】邊緣裝置成駭客主要滲透媒介，軟體與服務供應鏈的風險加劇</a></strong></p> <p></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/critical-zero-days-impact-premium-wordpress-real-estate-plugins/">供房地產網站使用的WordPress外掛存在重大漏洞，攻擊者有機會得到管理權限</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/7-zip-fixes-bug-that-bypasses-the-windows-motw-security-mechanism-patch-now/">7-Zip存在高風險MoTW漏洞，揭露此事的資安業者趨勢科技公布細節</a></strong></p> <p></p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/hackers-exploit-16-zero-days-on-first-day-of-pwn2own-automotive-2025/">汽車漏洞挖掘競賽Pwn2Own Automotive 2025於日本東京舉行</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167032"><strong style="font-size: 22px;">微軟於Windows Insider Canary頻道擴大測試管理員防護功能</strong></a></p> <p>微軟在Windows 11 Canary頻道開始推送Windows 11 Insider Preview 27774版本，擴大測試管理員防護（Administrator Protection）功能，並新增了讓用戶可直接透過Windows安全性設定啟用的選項。該功能藉由即時權限提升機制及強化的身分驗證流程，降低管理員權限遭到濫用的風險，同時提升整體系統安全性。</p> <p>微軟於2024年10月首次公開管理員防護功能，這是一個專門針對惡意軟體與攻擊者濫用管理員權限攻擊而設計。管理員用戶登入系統時，預設僅具有標準用戶的權限，當需要執行高權限操作時，像是安裝軟體或修改系統設定，用戶需經由Windows Hello驗證身分，包括輸入PIN碼或使用生物辨識。在驗證完成後，系統會以隔離的會話短暫授權該操作。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/167118"><strong>【1月22日】陞泰IP攝影機已知漏洞再傳遭到Mirai變種殭屍網路鎖定</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167100"><strong>【1月21日】駭客聲稱握有IT大廠HPE的內部資料，該公司正在著手調查</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167064"><strong>【1月20日】駭客綁架MikroTik路由器從事網釣攻擊，意圖散布惡意軟體</strong></a></p> </div></div></div>
2025/1/23 18:14作者周峻佑https://www.ithome.com.tw/news/167142
預算遭大砍4成，數位部：將影響打詐、通訊韌性基礎建設及資通安全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對預算被刪減近36億元，佔整體預算編列4成，數位部今天（1/23）重申，受衝擊的業務包括通訊韌性基礎建設、打詐、產業發展，資安方面，好不容易建立的資通安全團隊可能面臨人才流失，另外，資安管理工作AI化發展受阻，也將使得風險增加。</p> <p>數位部近期針對立法院刪減114年度預算一事，數位部次長林宜敬近期表示，立院在野黨大幅刪減數位部的預算，對於臺灣的韌性及產業發展將帶來重大的影響。其中韌性基礎建設，數位部已在全臺警、消、軍部署773個非同步衛星網路，確保在天災及緊急危難時，對外網路通訊的順暢，去年也展示高空氣球緊急通訊設計，預算被刪減將造成韌性建設發展受阻，使臺灣面臨巨大的風險。</p> <p>在資安方面，臺灣地處地緣政治，每天平均受到240萬次的境外資安攻擊，數位部為水、電、電信、金融等關鍵基礎設施，以及政府機關、醫療院所提供24小時資安監控及防護，預算刪減將危及關鍵基礎設施的資安防護能力，威脅風險增加。</p> <p>至於產業發展方面，一方面數位部鼓勵AI新創，帶動各產業的數位轉型發展，另一方面積極響應政府政策，推動打詐業務，建立廣告平臺廣告刊登者的實名機制，以及通報平臺。</p> <p><span style="color:#B22222;"><strong>預算遭砍4成，衝擊通訊基礎建設韌性、產業經濟發展、資安</strong></span></p> <p>數位部也在今天年終媒體座談中大吐苦水，主祕胡貝蒂表示，數位部如同臺灣網路的國防部，強化臺灣對網路攻擊、詐騙的抵擋，並負責網路治理及基礎建設韌性，此次數位部編列預算為87億元，被刪減共35.8億元，其中數位部的獎補助經費約8.2億元，補助法人單位如電信技術中心、資安院的經費，數位產業署被刪減約20億元，數位政府司被刪減1.16億元、資安署的國外旅費被刪減0.3億元，其他費用約6.16億元。大幅減刪預算對於推動的打詐、韌性基礎建設、資安等業務的量能帶來影響，希望外界給予支持，讓數位部得以繼續推動各項重要業務。</p> <p>以韌性建設為例，數位部韌性建設司表示，對於海纜通訊中斷的問題，數位部補助電信業者建立異質通訊網路，例如增加海纜路由及登陸站點，並助補助業者擴大微波通訊備援，還建立非同步軌道衛星備援，補助經費的減少將衝擊補助電信業者強化海纜登陸站韌性，以及驗證救災單位使用的公共安全與救難應變（PPDR）系統，將會削弱在緊急狀況下，政府的指揮通訊、災情資訊傳遞，影響國內的通訊韌性基礎建設。</p> <p>被刪減超過20億元的數位產業署，正在盤點可能受影響的業務，重新調整資源，但數位產業署預期署內正推動的數位經濟產業發展，例如5G專網、政府軟體共同供應契約採購、打詐、電子簽章法等推動可能受影響。另外，補助業者AI技術研發，以及推動各產業數位轉型的方案也受將到影響，其他如數位公共基礎建設，如AI算力池、城市建模、地方公共服務也將受到衝擊。</p> <p>在資安方面，國家資通安全研究院院長林盈達指出，資安院兩項計畫經費受到影響，其中強化政府系統的數位韌性，從1,7億元減少為3,400萬元，政府的資訊系統需要持續強化韌性，補助減少將推展受阻，將使系統面臨駭客攻擊的風險增加。他舉例說明嚴重的情形，原本一年可檢查20個系統，未來可能減少至5個系統。</p> <p>另一項計畫則是資安維運管理的AI化，經費從8,600萬元減少至2,700萬元，該計畫是讓資安管理發展AI化，以智慧化、自動化避免人工管理容易發生疏漏、出錯的問題，預算刪減將使得AI防禦技術研發受阻。</p> <p>林盈達表示，兩項計畫經費如果沒有補強，資安院被迫只能減少業務，甚至不排除裁人力，他認為資安是專業技術，技術人力被裁是很嚴重的事，一方面各產業競爭資安人才，資安人才不易取得，一方面裁減技術人員，恐將影響民間、美國對臺灣強化資安的決心，其中資安管理的AI發展，現在已建立一支15人的AI團隊，經費減少、裁員，可能讓好不容易吸引的人才流失，對團隊帶來很大的影響。</p> <p>至於資安署方面，資安署長謝翠娟表示，因資安署的出國經費被減至0元，今年好不容易爭取到一些國家擔任藍軍，與其他國家交流學習，如何加強關鍵基礎設施的資安防護，因出國經費被刪減為0元，可能因此錯失機會。此外，還有參加一些國際資安會議也將受到預算刪減的影響。</p> <p>去年數位部推動數位公共基礎建設，其中之一是公共程式平臺，也因為預減的減少，數位部數位國際司在有限資源下，將暫緩公共程式平臺的新功能研發計畫，將資源集中在另一項數位公共基礎建設數位皮夾，仍以今年底推出數位皮夾為目標。</p> </div></div></div>
2025/1/23 18:30作者蘇文彬https://www.ithome.com.tw/news/167141
川普下令解除所有美國國土安全部顧問委員會成員，恐波及Salt Typhoon攻擊電信業者事故調查
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據<a href="https://www.darkreading.com/threat-intelligence/trump-fires-cyber-safety-board-salt-typhoon-hackers">Dark Reading</a>、<a href="https://www.securityweek.com/dhs-disbands-cyber-safety-review-board-ending-one-of-cisas-few-bright-spots/">SecurityWeek</a>、<a href="https://thehackernews.com/2025/01/trump-terminates-dhs-advisory-committee.html">The Hacker News</a>、<a href="https://www.theregister.com/2025/01/22/dhs_axes_cyber_advisory_boards/">The Registe</a>r等多家新聞網站報導，美國總統川普宣布解除所有國土安全部（DoH）顧問委員會的成員，其中包含了組成網路安全暨基礎設施安全局（CISA）與網路安全審查委員會（Cyber Safety Review Board，CSRB）的人員。由於CSRB尚在調查中國駭客Salt Typhoon大規模攻擊美國電信業者的資安事故，這項人事命令很可能對相關調查造成衝擊。</p> <p>1月20日國土安全部代理秘書Benjamine C. Huffman<a href="https://www.documentcloud.org/documents/25500093-dhs-advisory-boards-termination-letter/">宣布此事</a>，並指出理由是為了消除資源遭到濫用的情況，確保他們行動的優先順序會以國家安全為考量。未來該委員會的工作，將會完全集中在保護國家及國土安全部的重點戰略任務。</p> <p>Benjamine C. Huffman在信裡並未提及新的顧問委員會成員，但表示原本的成員可重新申請回鍋。</p> <p>值得留意的是，這項公告在1月18日前CISA負責人Chris Krebs宣布請辭CSRB職務後發出，後續效應有待觀察。</p> </div></div></div>
2025/1/23 18:05作者周峻佑https://www.ithome.com.tw/news/167140
殭屍網路Airashi利用零時差漏洞綁架cnPilot路由器，不只發動DDoS攻擊，也打算提供非法代理伺服器服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年8月下旬電玩平臺Steam發生大規模DDoS攻擊，傳出與當時推出不久的大型電玩遊戲黑神話：悟空有關，<a href="https://www.ithome.com.tw/news/164748">中國資安業者奇安信指出</a>，駭客動用多達60個殭屍網路，對全球Steam伺服器發動4波攻擊，其中號稱是攻擊主力的殭屍網路Aisuru，如今<a href="https://blog.xlab.qianxin.com/large-scale-botnet-airashi-en/">出現新的變種攻擊行動</a>。</p> <p>奇安信X實驗室Alex.Turing、Wang Hao等4名研究人員指出，Aisuru在上述攻擊行動曝光後，9月短暫停止攻擊行動，但背後的駭客組織在利益的驅動下，先後在10月、11月對殭屍網路進行翻新，其中11月底出現的殭屍網路Aisuru變種，駭客稱為Airashi。</p> <p>新的殭屍網路變種更換主要綁架的網路設備，駭客針對美國網路設備業者Cambium Networks提供的無線基地臺cnPilot而來，利用零時差漏洞散布惡意程式；再者，為避免C2通訊內容被察覺異常，駭客運用RC4演算法處理字串，其通訊協定導入HMAC-SHA256雜湊值檢驗，並經由演算法ChaCha20進行處理。</p> <p>而對於這些設備發動攻擊的威力，奇安信指出具有穩定的TB等級DDoS攻擊輸出。此外，下達命令的C2後臺也具備更充足的IP位址資源，他們根據網域進行分析，有近60IP位址，分散於不同國家及服務供應商。研究人員認為，駭客這麼做的目的，可能是為了能夠控制更多機器人，並增加研究人員及執法單位摧毀殭屍網路的難度。</p> <p>附帶一提的是，駭客似乎也對於奇安信揭露他們上回的攻擊事故耿耿於懷，在C2的網域名稱使用帶有XLab的字串，或是其他針對該公司而來的名稱。</p> <p>奇安信將收集到的殭屍網路病毒歸納為3種類型：Airashi-DDoS、Go-Proxisdk、Airashi-Proxy，並指出攻擊者有意拓張DDoS攻擊以外的業務。</p> <p>首先是最早在10月底出現的Airashi-DDoS，主要功能就是發動DDoS攻擊，也支援執行任意指令，或是搭配反向Shell運作。</p> <p>接著就是在11月底開始出現的Go-Proxisdk，這是以muxado為基礎打造的Go代理伺服器工具。</p> <p>第三種是12月初出現的Airashi-Proxy，這也是代理伺服器工具，但不同的是駭客以Airashi-DDoS的原始碼打造而成，並使用專屬的通訊協定運作。<br /> <br /> 值得一提的是，奇安信提及駭客使用的cnPilot零時差漏洞，他們在去年6月進行通報，但迄今尚未得到回應，為了避免漏洞遭到更多人利用，研究人員並未透露相關資訊。</p> </div></div></div>
2025/1/23 16:47作者周峻佑https://www.ithome.com.tw/news/167138
DeepMind公開Mind Evolution研究，結合LLM提升自然語言問題求解效能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>DeepMind發表了一項名為<a href="https://arxiv.org/html/2501.09891v1">Mind Evolution</a>的技術，透過結合大型語言模型與演化式搜尋方法，解決傳統方法在自然語言規畫與推理任務，所存在的效率與準確性瓶頸。該研究展示在不需將問題形式化（Formalize）為數學模型的前提下，運用語言模型直接處理複雜問題，並獲得極佳的解決能力。</p> <p>目前大型語言模型在處理複雜自然語言規畫與推理任務存在限制，特別是在需要滿足多重約束或隱含條件的情境中，例如旅行規畫或行程安排。傳統方法如單次生成（1-Pass）、最佳解搜尋（Best-of-N）或逐步修正（Sequential Revision），雖能提供一定程度的解法，但往往受限於局部搜尋的瓶頸，同時，許多問題很難形式化為明確的數學模型，進一步限制了傳統求解器的應用範圍。</p> <p>Mind Evolution研究特別針對如旅行規畫、行程安排及隱寫術生成（Steganography）等高難度的自然語言任務進行測試。結果顯示，Mind Evolution技術在TravelPlanner與Natural Plan基準測試的成功率在95%至100%間，遠遠超過傳統的最佳解搜尋與逐步修正策略。而且Mind Evolution在處理這些問題時，不需要透過專門的數學求解器或手動格式化問題描述，展現其應用的靈活性與實用性。</p> <p>Mind Evolution的核心在於其類基因演算法的演化式搜尋策略，結合隨機探索與深度最佳化，完成候選解的生成、重組與改進。該方法不僅能在短時間內大幅提升解決問題的準確性，還能應對自然語言描述中隱含的約束與需求。DeepMind研究團隊強調，此技術的優勢在於可藉由一個全域的解答評估器對解法進行全面評估，不需要逐步檢查每個中間推理步驟，進而大幅降低了運算成本。</p> <p>在技術細節上，Mind Evolution採用了類基因演算法的概念，包括候選方案的生成與改進、多次迭代的全域評估，以及模擬島嶼模型以維持候選方案的多樣性。研究結果顯示，結合語言模型的方法能有效改進候選方案，並透過模型間的互動提升整體解法品質。</p> <p>此外，這篇研究還提出了一個新的基準測試任務StegPoet，用以檢測在自然語言生成中隱藏資訊的能力。該任務要求生成一段故事或詩句，同時將訊息隱藏於其中，經實驗證明，Mind Evolution在此類高度創造性的任務中，也展現出色的效能。</p> <p>語言模型複雜推理與自然語言規畫的能力仍有巨大的進步空間，而Mind Evolution結合演化式搜尋與語言模型的方式，不僅能克服局部最佳解的挑戰，還能在不依賴問題形式化的前提下，大幅提升解決複雜自然語言任務的效率與成功率，為語言模型推理能力的提升提供新的研究方向。</p> </div></div></div>
2025/1/23 16:49作者李建興https://www.ithome.com.tw/news/167135
韓國VPN業者IPany遭駭，攻擊者在原廠提供安裝檔上加料以散布惡意程式SlowStepper
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來鎖定軟體業者而來的供應鏈攻擊不時傳出，其中一種就是在公司正式提供用戶下載的網站上，提供含有惡意內容的安裝程式，使得毫無戒心的使用者可能會因此中招。</p> <p>資安業者ESET揭露<a href="https://www.welivesecurity.com/en/eset-research/plushdaemon-compromises-supply-chain-korean-vpn-service/">針對韓國VPN服務業者IPany的軟體供應鏈攻擊事故</a>，中國駭客組織PlushDaemon從2023年發動攻擊，並在該公司VPN軟體的安裝程式植入後門程式SlowStepper，此為具備超過30種元件的多功能惡意軟體，用途是廣泛監控使用者並收集資料。</p> <p>這起事故的發現，ESET惡意軟體研究員Facundo Muñoz表示，他們在去年5月發現帶有惡意程式碼的NSIS安裝程式，而這個檔案來自IPany的網站，他們通報此事，IPany也移除了網站上有問題的安裝程式。</p> <p>針對發起攻擊的駭客身分，研究人員提及PlushDaemon至少從2019就開始活動，攻擊目標涵蓋臺灣、香港、中國、韓國、美國、紐西蘭的個人或企業組織。這些駭客主要取得初始入侵的管道，是將流量重新導向到他們控制的伺服器，而能夠挾持合法的更新管道。此外，研究人員也看到駭客利用網頁伺服器弱點入侵企業組織的現象。</p> <p>對於這起事故的受害範圍，Facundo Muñoz指出，他們根據遙測的資料，在去年11月、12月，發現有日本及中國使用者受害，此外，ESET也確認有使用者於韓國半導體公司、尚未確認身分的軟體開發業者的網路環境裡，發現用戶電腦試圖安裝木馬程式的跡象。</p> <p>一旦使用者執行惡意安裝程式，就會在電腦裡建立多個資料夾，同時部署合法軟體及惡意程式。</p> <p>對於駭客在這波攻擊行動使用的後門程式SlowStepper，Facundo Muñoz指出主程式是以C++開發而成，根據找到的惡意程式版本，最早是在2019年開發，目前最新是於去年6月開發，功能也最完整，他們根據程式碼找到有數百種功能，但特別的是，針對IPany而來的後門程式是僅保留約30項功能的精簡版（Lite）。</p> <p>無論新舊版SlowStepper，駭客都利用Python或Go語言等一系列工具打造，主要用途就是進行網路間諜活動，收集受害者資料，透過錄音或是錄影進行監控。</p> <p>而對於該後門程式接收攻擊者命令的管道，駭客並非將C2伺服器的IP位址寫入組態檔案，而是透過DNS查詢含有特定網域的TXT記錄資料來取得。</p> </div></div></div>
2025/1/23 14:36作者周峻佑https://www.ithome.com.tw/news/167133
Google更新Gemini 2.0 Flash Thinking實驗模型，可撰寫和執行程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google昨（22）日<a href="https://x.com/OfficialLoganK/status/1881844579751874930" target="_blank">宣布釋出</a>具推理能力的Gemini 2.0 Flash Thinking AI模型最新實驗版（Experimental），不但數學和科學推理效能上升，也會撰寫和執行程式。</p> <p>最新釋出的模型為Gemini 2.0 Flash Thinking Experimental 01-21（Exp 01-21），以去年12月公布的Gemini 2.0 Flash Thinking為基礎開發，為挑戰OpenAI的o3模型。名稱中的Thinking代表相對於Gemini Flash，這家族模型具有解決複雜問題的推理能力，以及新穎的思考能力，它對用戶詢問會先經過「思考」再做出回應。</p> <p>Gemini 2.0 Flash Thinking具備100萬字詞的context windows，可支援大量文字的深度分析，且思考和答案更具一致性（較少矛盾），能產生更長字詞的回應，數學和科學解題能力也更提升。最新Exp 01-21版和前一個實驗版（Exp 1219）的標竿測試比較中，數學標竿測試AIME 2024，Exp 01-21和Exp 1219跑分分別為73% vs. 70%、科學標竿測試GPQA Diamond分別為74% vs. 66%，標竿測試分別為74% vs. 66%。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0123-Gemini%202_0%20Flash%20Thinking%20Exp-01-21%20(1).png" style="width: 448px;" /></p> <p>Google員工還<a href="https://t.co/j8wNp8Yn27" target="_blank">補充</a>，最新版本加入使用和評估程式碼的能力，因此模型可以在回應時決定寫或執行程式。DeepMind執行長<a href="https://x.com/demishassabis/status/1881844417746632910" target="_blank">Demis Hassabis說</a>，這顯示光在12月Gemini 2.0 Flash Thinking就展現極快進展。</p> <p>現在Exp 01-21版Gemini 2.0 Flash Thinking模型已部署到AI Studio，開發人員可以在AI Studio側邊欄啟用，也可直接使用Gemini API在程式碼中使用實驗模型。</p> <p>另一方面，OpenAI也在加緊趕工，目前正在測試o3 mini，OpenAI<a href="https://www.ithome.com.tw/news/167048" target="_blank">預告</a>再幾個星期就會推出。</p> </div></div></div>
2025/1/23 12:34作者林妍溱https://www.ithome.com.tw/news/167131
SEC宣布成立加密資產任務小組，推動制定清晰監管框架
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國證券交易委員會（SEC）代理主席Mark Uyeda宣布<a href="https://www.sec.gov/newsroom/press-releases/2025-30">成立加密資產任務小組</a>，目標是建立一套清晰且全面的監管框架，解決當前加密貨幣產業在法律模糊與監管上的挑戰。這項措施被視為SEC首次系統性地針對加密資產推動改革，有助提升市場透明度與可信度。</p> <p>任務小組由SEC委員Hester Peirce領導，並由代理主席的高級顧問Richard Gabbert和政策顧問Taylor Asher分別擔任幕僚長與政策顧問。這支匯聚SEC各部門專家的團隊，將專注於界定加密資產相關的法律邊界，並提供企業和投資者確實可行的註冊指引。</p> <p>SEC的聲明指出，過去的監管政策主要仰賴執法行動，缺乏一致性與前瞻性，這種模式不僅增加了法律規範的不確定性，也阻礙了產業創新，甚至留給不法行為存在的空間。此次政策轉向顯示SEC希望擺脫以往被動執法模式，轉而專注於更積極的框架建立。未來，任務小組將優先制定明確的註冊標準，設計合理的資訊披露要求，並透過更具策略性的方式部署執法資源。</p> <p>另外，該小組也將與其他聯邦部門、州政府及國際機構協作，確保監管政策的統一性和執行效果。代理主席Mark Uyeda強調，這次改革的核心在於改善當前的監管困境，建立更穩定的法律環境，進而降低市場不確定性。</p> <p>Hester Peirce指出，當前基於執法的監管方式並未充分滿足加密貨幣產業的需求，反而加劇市場混亂和不確定性。他表示，任務小組的成功將仰賴廣泛的產業參與和意見收集，未來將舉行公聽會，邀請投資者、業界人士及學者共同討論政策方向，確保監管框架既能保護投資者，又能支持創新與發展。</p> <p>此次政策變化與川普政府的立場一致，美國總統Donald Trump在競選期間曾承諾為加密貨幣產業創造更友善的政策環境，這次任務小組的成立被視為實現該承諾的一步。</p> </div></div></div>
2025/1/23 13:02作者李建興https://www.ithome.com.tw/news/167124
馬斯克批評Stargate計畫是騙局、與Altman隔空交戰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>科技大亨馬斯克昨日重話批評OpenAI、軟銀主導的Stargate計畫是騙局，並且和OpenAI執行長Sam Altman在X上隔空對話。</p> <p>Stargate計畫是OpenAI、軟銀及甲骨文合資名為Stargate的公司，其中軟銀提供資金，OpenAI、甲骨文和其他業者提供AI及基礎架構技術。這項計畫將在4年投入至少5,000億美元，打造超大型資料中心等AI基礎架構，並引入AI預測分析能力，支援癌症治療、藥物開發等任務。這項計畫<a href="https://www.ithome.com.tw/news/167107" target="_blank">獲得川普背書</a>，稱Stargate計畫能擴大美國的AI領先優勢、保障美國國家安全，並且創造10萬個美國人工作機會。這些科技公司執行長說Stargate計畫將立即投入1,000億美元，目前已在德州興建第一座資料中心。</p> <p>不過因公司策略問題和OpenAI公開決裂的馬斯克昨日<a href="https://x.com/elonmusk/status/1881944244480565497" target="_blank">批評</a>這是一場騙局，<a href="https://x.com/elonmusk/status/1882130053632512249" target="_blank">又稱</a>Altman是詐騙份子（swindler）。他聲稱掌握權威消息，軟銀手上的資金不到1,000億。</p> <p>被點名的Altman透過X<a href="https://x.com/sama/status/1882106524090482701" target="_blank">回應</a>，請馬斯克實地到興建中的資料中心一瞧。他說這個計畫是對美國有益的計畫，他了解對國家好的不見得是符合馬斯克公司利益，但以馬斯克現在新身分，希望他將美國放在第一位。</p> <p>馬斯克被川普任命為新成立的政府效率部（Department of Government Efficiency，DOGE）主管，正式進入行政團隊。這位科技首富近來因OpenAI宣布將轉型為營利組織而槓上Altman，馬斯克還控告OpenAI和Altman違反了OpenAI創立的初衷，還要求法院介入阻止OpenAI的企圖。</p> <p>但在回應馬斯克的批評同時，Altman不忘表達對馬斯克的敬意，說他真的尊敬後者的成就，認為他是當代最能啟發人的企業家。</p> </div></div></div>
2025/1/23 13:19作者林妍溱https://www.ithome.com.tw/news/167132
Mirai殭屍網路發動史上最高的5.6Tbps DDoS攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>內容遞送網路（CDN）暨資安業者Cloudflare 最近平息了一波，由Mirai變種殭屍網路發動的5.6 Tbps的DDoS攻擊，創下有紀錄以來流量最大的紀錄。</p> <p>Cloudflare<a href="https://blog.cloudflare.com/ddos-threat-report-for-2024-q4/" target="_blank">本周公布</a>2024年第4季該公司客戶防護網路的DDoS攻擊活動的統計報告，指出去年第4季在所有引發網路層DDoS攻擊的殭屍網路中，Mirai占6%，季增131%。值得一提的是，在10月29日，Cloudflare一家東亞ISP客戶遭到一起流量高達5.6 Tbps的UDP DDoS攻擊，是已知記錄中流量最大的。這攻擊是來自1.3萬臺物聯網（IoT）裝置遭到Mirai變種程式感染後，集體發動的UDP DDoS攻擊，歷時僅80秒。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0123-cloudflare-ddos%20report-mirai.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Cloudflare</span></p> <p>這只是Cloudflare去年平息的2,130萬起DDoS攻擊之一，2024年的DDoS攻擊總量較前一年增加了53%。其中2024年第4季有420起為流量每秒鐘超越10億封包（pps）及1Tbps的超大流量攻擊。該季中，超越1Tbps的攻擊數量比前一季大增1885%。</p> <p>去年第4季統計報告其他分析包括，從攻擊管道來看，HTTP DDoS攻擊73%來自已知殭屍網路。11%經由冒充的合法瀏覽器發送。其中Chrome為主流；最多被用於發動攻擊的瀏覽器是Chrome 118到129。目前PC及手機版Chrome最新版已來到version 132，顯示眾多用戶仍未更新。</p> <p>以攻擊時間長度來看，大約72%的HTTPS DDoS攻擊，以及91%的網路層DDoS攻擊時間長度都短於10分鐘。有近22%超過一小時，還有11%可超過24小時。而網路層DDoS則有91%不到10分鐘，僅2%超過一小時。</p> <p>論及攻擊來源與受害國家，去年第4季，印尼、香港、新加坡、烏克蘭和阿根廷是DDoS最大來源國。中國、菲律賓、臺灣、香港和德國是最主要攻擊目標；Cloudflare臺灣客戶上季發生7起DDoS攻擊，由前季的第7名躍升到第3名。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0123-cloudflare-ddos%20report-4.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Cloudflare</span></span></p> <p>以受害者產業分布而言，依序是電信業、網際網路、行銷廣告、資訊科技業與博奕產業。而金融與銀行業，則從第1降到第8位。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0123-cloudflare-ddos%20report-5.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Cloudflare</span></p> </div></div></div>
2025/1/23 12:07作者林妍溱https://www.ithome.com.tw/news/167130
JDK 24進入Rampdown第二階段，新版更新重點聚焦語言現代化與後量子安全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Java開發團隊<a href="https://mail.openjdk.org/pipermail/jdk-dev/2025-January/009675.html">宣布</a>，<a href="https://openjdk.org/projects/jdk/24/">JDK 24</a>已正式進入Rampdown第二階段，這代表版本功能開發完成，新版進入穩定性測試及高優先順位錯誤修復階段。JDK 24的核心更新集中於語言現代化和後量子安全技術的加入，替開發者帶來更高效且安全的開發工具。</p> <p>Rampdown第二階段是JDK開發流程中的重要階段，代表此版本的功能集已凍結，所有新功能的開發已經結束，並且不會再接受任何新的功能提案或JEP（JDK Enhancement Proposal）。此階段的重點轉移到版本的穩定性上，開發團隊主要處理高優先順位的錯誤，確保系統穩定性。</p> <p>本次更新的一大亮點是JEP 483提前載入與連結類別（Ahead-of-Time Class Loading & Linking），藉由記錄應用啟動時載入的類別，並將其已載入和連結的形式儲存在快取中，大幅縮短後續執行的啟動時間。</p> <p>同時，JDK 24還引入了針對後量子計算安全性的兩項新技術，分別是JEP 496金鑰封裝機制ML-KEM（Module-Lattice-Based Key Encapsulation Mechanism），在不安全的通道保護對稱金鑰的安全性，而JEP 497數位簽章演算法ML-DSA（Module-Lattice-Based Digital Signature Algorithm）則提供更加強大的數位簽章方法，避免未授權的資料修改。這兩項技術均符合NIST標準，用於強化未來抵禦量子計算攻擊的能力。</p> <p>語言功能的改進也是此次JDK 24更新的重點，例如JEP 488在模式比對與switch表示式中，支援如int、long等基礎型別，進一步擴展語言的靈活性，JEP 499結構化並行API則為開發者提供更直覺的多執行緒管理方法。JEP 495單一檔案與實例主方法功能，簡化了小型應用的撰寫流程，提升了程式開發效率。</p> <p>安全性管理方面，JDK 24還在JEP 472準備限制JNI使用添加警告機制，提醒開發者注意未來版本將預設禁用JNI，以及外部函式與記憶體API。這項改變的目的在於加強平臺的安全性，並為生態系向更現代化的開發模式過渡做準備。</p> <p>JDK 24預計於2025年2月推出第一個候選版本，最終正式版本將於2025年3月18日發布。Java開發團隊建議企業及早測試新版本，確保能平穩過渡。</p> </div></div></div>
2025/1/23 08:11作者李建興https://www.ithome.com.tw/news/167119
金融科技產業聯盟2月成軍、VASP專法草案3月底預告！金管會揭露今年金融科技重要推動事項
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>金管會主委彭金隆今日出席新春記者會，揭露今年多項金融科技推動事項，涵蓋虛擬資產、數位保險、金融Fast-ID、成立金融科技產業聯盟等議題。對照去年八月公布的五大金融科技策略，有多項推動措施列入今年政策重點。</p> <h3>金融科技產業聯盟2月成軍</h3> <p>延續金融科技五大策略中鼓勵金融業者打團體戰的策略，金管會預計在今年正式成立金融科技產業聯盟。金管會創新處處長胡則華也預告，將在今年2月19日舉辦金融科技產業聯盟成立儀式。</p> <p>胡則華說明，這個產業聯盟包括四個工作小組，期望能透過合作，將資源共同投入在應用研發、實務指引，和資金投入上。</p> <p>目前，金管會已請四間科技領先金控擔任各工作小組的召集人。這四個工作小組中，有一組是專注在提升金融產業的應用研發，一組則是和跨產業合作，打造金融業跨業生態系。另外有一組專注在資金投入，例如和國發會討論成立科技創投基金等事項。最後一組則是針對雲端、AI等多項技術進一步訂定實務手冊和指引。</p> <h3>VASP專法草案預計3月底預告、6月底出爐</h3> <p>去年，VASP公會正式成立，並訂定6份自律規範，同時加入了罰則以強化自律。今年，金管會的目標則是研訂VASP專法。證期局局長張振山今日表示，預計在今年2月邀請專家學者、VASP公會及相關單位代表針對VASP專法進行公聽會討論，並於3月辦理VASP專法法規預告，6月底前將專法草案陳報行政院。</p> <h3>持續評估調整監理沙盒機制，預計4月完成修法可行性研議</h3> <p>金管會曾在2023年8月發布金融科技發展路徑圖2.0，包含共65項推動事項，其中一項推動事項便是要研議「金融科技發展與創新實驗條例」修法可行性。從2023年9月起，金管會便開始針對「金融科技發展與創新實驗條例」修法可行性辦理委外研究，議題範圍包含研究各國監理沙盒涵蓋範圍、運作方式及落地機制等。這項研究案也已在2024年8月完成期末報告。</p> <p>針對監理沙盒機制調整，今年的進展，是預計在4月完成修法可行性研議。金管會也在113年金融建言白皮書結案報告中表示，未來將參考委外研究案建議，評估調整監理沙盒機制，以增加創新實驗案件數、提升實驗案件落地的可行性。</p> <h3>推動RWA代幣化和虛擬資產保管業務的業務試辦</h3> <p>RWA代幣化推動在今年也會有新的進展。</p> <p>去年六月，集保公司和六家金融機構成立「現實世界資產代幣化小組」（簡稱RWA小組），分為基金組和債券組，共同實驗相關技術和推動事宜。</p> <p>胡則華今日表示，預計今年九月會進行RWA代幣化實證。另外，集保公司已開始研究RWA牽涉的相關法規，證交所也正在研議相關交易事項。</p> <p>另外，金管會也在今年開始受理金融機構申請虛擬資產保管業務試辦。胡則華透露，目前已有三家業者申請輔導，並有一家業者已完成一次輔導，不過，目前尚未有業者正式申請業務試辦。</p> <h3>持續推動金融Fast-ID</h3> <p>金融Fast-ID也被列入金管會今年的重要推動事項。</p> <p>2023年8月，金管會公布的金融科技路徑圖2.0中，明訂將建置跨體系的金融Fast-ID驗證轉接中心（簡稱驗轉中心）。今年1月初，金管會則開始受理先導金融機構能針對驗轉中心申請試辦，或提出輔導諮詢。預計今年6月，金融Fast-ID驗轉中心便會正式上線。</p> <h3>開放數位保險公司</h3> <p>彭金隆在去年年底就已宣布數位保險六大政策方向，包括要放寬數位保險業務範圍與營運模式，並對數位保險公司開發的創新型保險商品或服務給予創新保護，還有調降設立數位保險公司的最低實收資本額、放寬發起人條件等措施。而開放數位保險公司，也被列入今年保險局的重要推動事項。</p> <p></p> </div></div></div>
2025/1/22 19:23作者李昀璇https://www.ithome.com.tw/news/167129
【資安日報】1月22日，陞泰IP攝影機已知漏洞再傳遭到Mirai變種殭屍網路鎖定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年美國網路安全暨基礎設施安全局（CISA）、資安業者Akamai揭露陞泰科技（Avtech）的IP攝影機漏洞CVE-2024-7029，並表示已有攻擊行動出現，如今有資安業者發現，可能還有其他駭客用於殭屍網路攻擊。</p> <p>資安業者Qualys揭露綁架超過5,500臺裝置的殭屍網路Murdoc，並提及攻擊者運用已知漏洞對裝置散布惡意軟體，其中一個就是CVE-2024-7029。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167106"><strong style="font-size: 22px;">Mirai變種殭屍網路Murdoc鎖定陞泰IP攝影機、華為路由器而來</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/murdoc2.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/murdoc2.jpg" style="width: 300px; float: right;" /></a></p> <p>資安業者Qualys發現大規模的殭屍網路Murdoc攻擊行動，此惡意程式為Mirai的變種，主要鎖定陞泰科技（Avtech）的IP攝影機及華為路由器而來，利用已知弱點入侵設備，包括陞泰網路攝影機AVM1203的命令注入漏洞CVE-2024-7029，以及華為路由器HG532任意命令執行漏洞CVE-2017-17215，CVSS風險評為9.8、8.8。</p> <p>針對攻擊發生的經過，Qualys資深資安研究員Shilpesh Trivedi指出，這波攻擊行動從去年7月開始，他們透過物聯網搜尋引擎FOFA查詢，被感染的裝置來自1,377個IP位址、數量有5,513臺，其中有2,029臺是陞泰的裝置。</p> <p>根據受害設備分布的地區，馬來西亞、泰國最多，分別有3,196臺、776臺，但墨西哥、印尼、越南也有遭到感染的情況。</p> <p><a href="https://www.ithome.com.tw/news/167113"><strong style="font-size: 22px;">俄羅斯駭客Star Blizzard鎖定政府官員與研究人士而來，意圖透過網釣挾持他們的WhatsApp帳號竊密</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-3_-Malicious-Star-Blizzard-phish-attempt-using-WhatsApp-linking-QR-code.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-3_-Malicious-Star-Blizzard-phish-attempt-using-WhatsApp-linking-QR-code.png" style="float: right; width: 300px;" /></a>代號為TA446、TAG-53或UNC4057的俄羅斯駭客Star Blizzard，從2023年至2024年8月從事大規模網路釣魚攻擊，美國司法部與微軟2024年10月聯手，破壞該組織用來攻擊的網站，但傳出不久這些駭客又死灰復燃。</p> <p>微軟威脅情報團隊指出，Star Blizzard從去年11月中旬開始，發起新一波的攻擊行動，他們近期發現該駭客組織的戰術、手段、流程（TTP）出現了重大變化，那就是駭客開始要求受害者加入即時通訊軟體WhatsApp的群組。</p> <p>一旦收信人依照指示照做，攻擊者就有可能透過他們的帳號存取對話內容，並利用瀏覽器延伸套件的匯出功能，外洩相關資料。</p> <p><a href="https://www.ithome.com.tw/news/167117"><strong style="font-size: 22px;">烏克蘭電腦緊急應變團隊提出警告，有人假冒他們的名義要求透過AnyDesk存取用戶電腦</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/CERT-UA-AnyDesk.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/CERT-UA-AnyDesk.png" style="width: 300px; float: right;" /></a>駭客假扮知名機構引誘使用者上當的情況不時傳出，其中最常見的是冒充政府機關，也有佯稱是資安業者的情況，但如今也有聲稱是網路安全機構的事故傳出。</p> <p>烏克蘭電腦緊急應變團隊（CERT-UA）近期提出警告，有人冒用他們的名義，表示要進行審核及評估安全層級為由，要求使用者開放遠端桌面軟體AnyDesk的存取權限，呼籲使用者必須提高警覺。</p> <p>針對這起事故，CERT-UA也呼籲使用者必須經由其他管道確認後，才能提供對方遠端存取電腦；再者，遠端管理工具及遠端桌面軟體在沒有使用的時候，不應開啟常駐在系統。</p> <p><a href="https://www.ithome.com.tw/news/167006"><strong style="font-size: 22px;">攻擊者偽造Google Ads官方廣告，釣魚攻擊廣告主竊取預算</strong></a></p> <p>Malwarebytes Labs資安研究人員揭露近期一場針對Google Ads廣告主的大規模釣魚攻擊，攻擊者藉由惡意假冒Google Ads的廣告，成功竊取多個廣告帳戶的登入憑證，並利用被盜帳戶挪用廣告預算，進一步擴大其惡意活動範圍。</p> <p>根據資安研究人員的調查，這些惡意廣告偽裝為Google Ads服務的官方廣告，出現在Google搜尋結果中的贊助廣告欄位，誘使用戶點擊並進入假登入頁面。假登入頁面大多託管於Google Sites，利用與Google官方網站類似的域名設計來誘騙受害者，進而繞過廣告顯示URL與最終URL域名必須相符的規定。</p> <p>一旦受害者在假頁面中輸入帳戶憑證，攻擊者便可取得帳戶的完整控制權，進而更改帳戶設定，甚至將自己的電子郵件地址添加為帳戶管理員。</p> <p><a href="https://www.ithome.com.tw/news/167116"><strong style="font-size: 22px;">臺馬海纜服務中斷，數發部表示已啟用備援機制微波通訊因應</strong></a></p> <p>本月初中華電信海底電纜遭貨輪破壞，數位發展部後來證實此事，表示會配合加強執法避免類似事故再度發生。但除了人為破壞，海底電纜也有可能因為天候等其他因素損壞，而造成服務中斷的情形。</p> <p>今天上午11時數位發展部召開記者會，說明臺馬海纜再度出現斷線狀況。他們在清晨5時34分接獲通報，臺馬二號海纜疑似斷裂，且臺馬三號也是全面中斷的狀態，對此他們已請求中華電信啟用微波通訊進行備援，並儘速協調海纜船修復海纜。而對於臺馬二號斷裂的原因，他們表示根據初步分析，很可能是芯線老化所致。</p> <p>數發部收到通報後，要求中華電信根據關鍵基礎設施（CI）安全防護計畫啟動備援，以12.6Gbps的微波頻寬，優先提供政府、銀行、醫院等關鍵基礎設施通訊服務，確保民生相關的服務不致出現間斷的現象。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/ransomware-groups-abuse-microsoft-services-for-initial-access/">勒索軟體駭客藉由電子郵件轟炸、鎖定微軟Teams網釣入侵受害組織</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/fake-homebrew-google-ads-target-mac-users-with-malware/">冒牌套件管理Homebrew透過惡意廣告散布，意圖對macOS用戶散布竊資軟體AmosStealer</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/01/python-based-bots-exploiting-php.html">駭客利用PHP後門及連線工具GSocket打造印尼非法賭博平臺</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cl-unk-0979-exploit-zero-day-flaw-in-ivanti-connect-secure-to-gain-access-to-networks/">針對Ivanti SSL VPN零時差漏洞攻擊事故，資安業者Palo Alto Networks揭露新的調查結果</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.ithome.com.tw/news/166901">【重新認識國家級駭客威脅】全民資安風險倍增！國家支持的網路間諜攻擊升級</a></strong></p> <p></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/chatgpt-crawler-vulnerability-ddos-attacks-via-http-requests/">研究人員揭露ChatGPT漏洞，攻擊者有機會藉由HTTP請求發動DDoS攻擊</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167105"><strong style="font-size: 22px;">Google釋出OSV-SCALIBR程式庫，強化開源軟體漏洞檢測</strong></a></p> <p>Google發布名為OSV-SCALIBR（Software Composition Analysis Library）的新工具，進一步提升開源軟體漏洞檢測和安全分析的能力。OSV-SCALIBR能夠執行安裝套件、程式碼及容器映像檔的掃描，同時支援多種主要程式語言和作業系統。</p> <p>OSV-SCALIBR是獨立的軟體組成分析程式庫，延續並擴展了Google在開源軟體相依性漏洞掃描工具OSV-Scanner中的技術基礎。在OSV-Scanner的基礎上，OSV-SCALIBR進一步加入了弱帳密檢測與軟體物料清單（SBOM）的產生功能，並支援SPDX和CycloneDX格式。</p> <p>此程式庫的特色在其模組化的設計，開發者可以根據需求擴充，執行特定的軟體擷取和漏洞檢測任務。OSV-SCALIBR以開源的Go程式庫形式提供，Google也計畫未來將其功能整合到OSV-Scanner中，擴大工具的應用範圍。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/167100"><strong>【1月21日】駭客聲稱握有IT大廠HPE的內部資料，該公司正在著手調查</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167064"><strong>【1月20日】駭客綁架MikroTik路由器從事網釣攻擊，意圖散布惡意軟體</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167028"><strong>【1月17日】駭客公布1.5萬臺Fortinet防火牆的詳細組態配置資料、VPN帳密</strong></a></p> </div></div></div>
2025/1/22 16:54作者周峻佑https://www.ithome.com.tw/news/167118
自由系統與華碩合推商用電腦訂閱制服務，不只租電腦更提供新機設定、故障排除與裝置監控等IT支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資訊託管服務商自由系統和華碩電腦聯合推出「訂閱制電腦服務（DaaS，Device as a Service）」方案，整合前者資訊託管服務和後者商用電腦，為企業提供從電腦租賃、新機前置系統與網路設定到及後續維修、監控、顧問、系統加裝等服務。</p> <p>自由系統主力業務是IT as a Service（ITaaS），提供基礎建設、資訊安全、雲端服務等領域的綜合SI和顧問服務。他們有200至300家企業客戶，包括榮總、長庚等大型醫療機構，多家上市櫃公司，以及中小企業。</p> <p>自由系統推出DaaS，則是進一步整合軟硬體服務，服務內容包括電腦新機租賃、備用機支援、新機前置設定、提供設備管理服務、初階故障排除、提供即時設備狀態追蹤平臺、設備淘汰報廢等。自由系統也希望藉此讓企業能加購客服、顧問、系統導入等，其他ITaaS的服務。自由系統執行長俞伯翰指出，企業採用DaaS模式，能將資本支出轉為營運支出，可優化財務結構、增加企業支出分配的彈性。</p> <p>華碩系統事業總經理廖逸翔指出，現在正處於企業換機較熱絡的時期。以華碩為例，連以往買氣較差的桌機，在2024年12月都出現17%業績成長。他分析，汰換疫情期間因應WFH需求購入的筆電、AI PC熱潮、Windows 10預計於2025年10月停止支援等因素，都是帶動企業換機潮原因。自由系統與華碩合推DaaS服務想搶攻這波換機潮。</p> <p>散熱廠商訊凱國際CIO吳家賢直言：「Device as a Service，對訊凱的價值在於Service。」他進一步說明，配置新機時，由SI專人從頭協助AD、資安、網路等設定，甚至能主動監控資料傳輸過程，並在有資安疑慮時主動通報，對資安管理非常有幫助。</p> <p>「在IT與資安人才不易尋的局勢下，這種服務尤其有價值。」吳家賢說。由熟悉自家軟硬體系統的團隊提供即時IT支援服務，意味著IT團隊有了一個強力Helpdesk。像是有緊急排錯需求，例如主管電腦故障，或海外時差地區出差時，也能迅速獲得廠商支援人力。</p> <p>吳家賢表示，採用DaaS服務，再加上人力節省、效率增加、簡化工作流程後，預計讓訊凱省下200萬元成本。</p> <p></p> </div></div></div>
2025/1/22 18:09作者郭又華https://www.ithome.com.tw/news/167127
俄羅斯駭客Star Blizzard鎖定政府官員與研究人士而來，意圖透過網釣挾持他們的WhatsApp帳號竊密
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>代號為TA446、TAG-53或UNC4057的俄羅斯駭客Star Blizzard，從2023年至2024年8月從事大規模網路釣魚攻擊，<a href="https://www.justice.gov/opa/pr/justice-department-disrupts-russian-intelligence-spear-phishing-efforts">美國司法部與微軟2024年10月聯手</a>，破壞該組織用來攻擊的網站，但傳出不久這些駭客又死灰復燃。</p> <p>微軟威脅情報團隊指出，<a href="https://www.microsoft.com/en-us/security/blog/2025/01/16/new-star-blizzard-spear-phishing-campaign-targets-whatsapp-accounts/">Star Blizzard從去年11月中旬開始</a>，發起新一波的攻擊行動，但這次不同的是，他們開始要求受害者加入即時通訊軟體WhatsApp的群組。研究人員表示，這是他們近期發現該駭客組織的戰術、手段、流程（TTP）出現了重大變化。</p> <p>這些駭客的主要目標，是參與政府機關、外交單位，以及研究國防政策、國際關係的人士，而這些目標人士往往與俄羅斯或烏克蘭戰爭有關。</p> <p>究竟駭客如何發動攻擊？微軟表示，他們先假冒美國政府官員，透過電子郵件聯繫所要攻擊的目標對象，引誘收信人上當，然後再透過第二封信寄送惡意連結。</p> <p>特別的是，第一封信內含QR Code，聲稱是為了支持烏克蘭的非政府組織，邀請收信人加入特定的WhatsApp群組，但實際上此條碼沒有作用，收信人若是用手機掃描，不會被導向信中提及的群組。研究人員認為，這個QR Code用途，其實是要降低使用者的戒心。</p> <p>一旦收信人向駭客回信確認，對方就會寄出第二封信，表示可直接提供加入群組的URL，假如收信人點選，就會被重新導向號稱可以加入群組的網頁，要求掃描網頁上的QR Code進行，不過，這個條碼的真正功能，是將裝置或網頁版WhatsApp與帳號進行連結。</p> <p>這代表收信人照做後，攻擊者就有可能透過他們的帳號存取對話內容，並利用瀏覽器延伸套件的匯出功能，外洩相關資料。</p> </div></div></div>
2025/1/22 15:10作者周峻佑https://www.ithome.com.tw/news/167113
臺馬海纜服務中斷，數發部表示已啟用備援機制微波通訊因應
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本月初中華電信海底電纜遭貨輪破壞，<a href="https://www.ithome.com.tw/news/166871">數位發展部後來證實此事</a>，表示會配合加強執法避免類似事故再度發生。但除了人為破壞，海底電纜也有可能因為天候等其他因素損壞，而造成服務中斷的情形。</p> <p>今天上午11時數位發展部召開記者會，<a href="http://moda.gov.tw/press/press-releases/15082">說明臺馬海纜再度出現斷線狀況</a>。他們在清晨5時34分接獲通報，臺馬二號海纜疑似斷裂，且臺馬三號也是全面中斷的狀態，對此他們已請求中華電信啟用微波通訊進行備援，並儘速協調海纜船修復海纜。而對於臺馬二號斷裂的原因，他們表示根據初步分析，很可能是芯線老化所致。</p> <p>數發部收到通報後，要求中華電信根據關鍵基礎設施（CI）安全防護計畫啟動備援，以12.6Gbps的微波頻寬，優先提供政府、銀行、醫院等關鍵基礎設施通訊服務，確保民生相關的服務不致出現間斷的現象。</p> <p>針對海纜的備援，目前可透過中華電信去年擴充容量的微波通訊備援，數發部也補助中華電信建置臺馬四號海纜，預計在2026年6月完工。</p> </div></div></div>
2025/1/22 16:06作者周峻佑https://www.ithome.com.tw/news/167116
烏克蘭電腦緊急應變團隊提出警告，有人假冒他們的名義要求透過AnyDesk存取用戶電腦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客假扮知名機構引誘使用者上當的情況不時傳出，其中最常見的是冒充政府機關，也有佯稱是資安業者的情況，但如今也有聲稱是網路安全機構的事故傳出。</p> <p>烏克蘭電腦緊急應變團隊（CERT-UA）<a href="https://cert.gov.ua/article/6282069">近期提出警告</a>，有人冒用他們的名義，表示要進行審核及評估安全層級為由，要求使用者開放遠端桌面軟體AnyDesk的存取權限，呼籲使用者必須提高警覺。</p> <p>他們也坦承在某些情況下，會透過遠端管理工具為網路管理者提供協助，進行事件預防、檢測，以及清理。但CERT-UA強調，他們只會在事先經過特定管道完成溝通後才會這麼做。</p> <p>針對這起事故，CERT-UA也呼籲使用者必須經由其他管道確認後，才能提供對方遠端存取電腦；再者，遠端管理工具及遠端桌面軟體在沒有使用的時候，不應開啟常駐在系統。</p> </div></div></div>
2025/1/22 16:33作者周峻佑https://www.ithome.com.tw/news/167117
91APP如何自建大數據模型與生成式AI，來強化會員經營和商品推薦機制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>零售系統解決方案商91APP產品長李昆謀回顧了近8、9年來，他們如何利用一系列數據技術來打造零售應用。尤其是，如何打造專屬臺灣零售業的生成式AI，並將技術應用打造成可規模化的商用產品。</p> <p><strong>利用統計方法與傳統AI/ML來應用數據</strong></p> <p>自2017年來，他們陸續推出NAPL、DCIU、PAVO等統計與機器學習模型，來分析會員數位足跡，進而強化零售業會員經營。在生成式AI時代到來的如今，這些模型依然是有效且重要的會員經營工具。</p> <p>NAPL最早推出，是以交易數據為基礎的數據分析模型，將一年內有消費的會員分為不同活躍度分類，包括首購（New）、活躍（Active）、沈睡（Potentiall），以及流失（Lost）。至於如何定義N、A、P、L的會員分類，他們根據回購周期、回購貢獻金額、整體活躍度等指標算出，以3倍購買周期時間為調整會員分類的分水嶺，對於分眾行銷效果最佳。</p> <p>李昆謀表示，這種分類方法下，通常一年內有消費的會員，也就是NAPL類會員，只有品牌約30%。其他會員包括超過一年沒有購物的封存會員（Sealed），占人數40%，還有註冊後未消費的會員（Ready to buy），占總人數30%。業績占比來說，NAP三類會員只占2成人數，卻能帶來80%業績。「有效辨別出活躍、高貢獻分類的會員，對精準行銷幫助很大。」他說。</p> <p>DCIU則是以行為數據為基礎的ML模型。91APP會蒐集一系列顧客旅程中的行為，用ML演算法將顧客購買意圖分類為最高購買意圖（Decided）、高購買意圖（Considering）、低購買意圖（Interested），以及無購買意圖（Un-interested）。</p> <p>DCIU模式下，D類會員人數不到2%，卻能貢獻5成業績，C類會員則占5%人數，貢獻近2成業績。李昆謀說，理論上，零售業者能鎖定僅7%的高消費意圖會員人口，來集中行銷資源。</p> <p>他並將NAPL和DCIU分別比喻為CRM模型和CDP模型。前者是在顧客購物後，用歸納的方法來觀察顧客位於「整體生命周期」的哪個階段，後者則是在顧客購物前，根據行為模式預測顧客位於「單次購買周期」的哪個階段。兩者交叉運用，還能更細緻的分析顧客族群，並找出更精準的行銷方法。</p> <p>舉例來說，流失會員挽回是一件困難的事，但透過NAPL和DCIU模型，可以鎖定較有可能挽回的族群。利用NAPL模型找出即將流失的會員（L），再放到DCIU模型來看，找出少數具備高購買意圖（D或C）的族群。</p> <p>隨著OMO零售浪潮到來，他們還推出分析OMO足跡來判斷會員類型的PAVO統計模型，把會員分類為單通路、跨通路，以及線下瀏覽線上購物、線上瀏覽線下購物等，為會員購物模式分析增加更多維度。</p> <p><strong>開始發展零售業專屬生成式AI技術</strong></p> <p>2022年底，ChatGPT橫空出世，91APP緊急重寫2023年度計畫，決心在3個月內做出GAI應用。初期做法是，串接OpenAI API，打造商品文案生成、行銷訊息文案生成、Email生成、數據洞察報告生成、消費者商品評論模板生成等，一系列基礎的生成式AI應用。</p> <p>儘管客戶對於這些GAI應用的回饋良好，李昆謀仍希望能打造專屬91APP的零售GAI技術。2023年6月，他看到OpenAI將文章轉成嵌入向量（Embedding Vector），來進行關聯性比較，進而強化搜尋和資料整理等功能，決定如法炮製，將零售商品特徵轉成向量。初步實驗發現，「我們原本分群模型有幾十個辛苦抽取的特徵維度，結果用Embedding Model（嵌入模型）一口氣提取出上百個數據維度之後，不用改其他技術，馬上提升了效果。」</p> <p>於是，數據科學家團隊捨棄原本打造傳統ML模型的計畫，開始從頭研究生成式AI技術，嘗試打造一個ChatGPT外掛，結合嵌入向量來搜尋出高相關性資訊，再讓ChatGPT來生成零售相關問題的回應。</p> <p>歷時3個月，研究2、30篇論文，資料科學家團隊打造出ChatGPT外掛商店中，第一個來自亞洲的電商類外掛Jooii能提供購物推薦。年底，檢索增強生成（RAG，Retrieval-Augmented Generation）技術獲得更多關注時，李昆謀才驚覺，這正是他們過往幾個月在做的事情。</p> <p>確定技術發展方向正確後，他們打算將Jooii從ChatGPT外掛，升級為一整套建構在自家環境的零售生成式AI機制，搭配可用自然語言操作的對話介面，串接91APP不同電商系統和資料庫，以及公有雲平臺上Gemini、GPT及Claude系列的LLM。</p> <p>為了讓LLM能利用RAG來更準確檢索數據，並應用於各式各樣的推薦場景，91APP數據科學團隊自行打造出一個「三塔模型」。</p> <p>傳統的推薦系統，常常使用雙塔模型，比較兩個分類的特徵值，找出相似性較高的配對。以零售業而言，兩座塔的數據分類通常是「顧客」與「商品」。三塔模型則增加一個了「標籤」分類，讓RAG機制可以檢索出更符合購物情境的標籤數據，來生成回答。</p> <p>李昆謀進一步解釋，「標籤」分類包含語言以及商品產業別等情境標籤。舉例來說，「巧克力」在食品產業的語境是食物，在服飾業的語境則是顏色，這些資訊需要用標籤來告訴模型。91APP於向量空間中濃縮了2、3千種特徵維度，來輔助人與商品的配對。他坦言，產生這些標籤，是相當繁雜的半人工作業，多是根據零售專業知識和統計學做法，或者是根據一條條規則式算法，從顧客與商品數據計算出具有情境意義的標籤。</p> <p>產出這些標籤，還不能直接放進三塔模型中比較。這是因為，標籤量太龐大、種類又多元，會導致計算時間過長，且雜訊過多。經過一番研究，他們才成功將不同維度有效整合到3座塔的向量空間。再經過反覆實驗，研發出一套降維演算法，在幾乎不影響準確度的情況下，將3座塔的標籤統一降到512維度，再進行相似度比較。李昆謀表示，這套算法已經超出零售專業知識，而是他們在數學領域努力實驗出的成果，目前已經用專利保護。</p> <p><strong>將生成式AI技術化為商品來規模化經營</strong></p> <p>李昆謀表示，91APP有著許多大型零售客戶，把應用設計成可以承受大規模瞬間流量，已經是標準開發做法。打造生成式AI應用時，當然不例外。</p> <p>突然有幾萬人要呼叫Jooii背後的推薦模型時，系統如何撐住？李昆謀直言：「通常撐不住。更何況，模型也需要時間計算，很難給出毫秒等級的回應。」</p> <p>「標準解法是，預先產生資料來讓系統快取。」91APP的做法是，預先產出大量的三塔模型配對成果，儲存在數據倉儲中，用來回應較為常見的購物推薦情境，以消化瞬間大量請求。同時，模型會根據新匯入的顧客行為數據，不斷重新運算配對結果，回傳到資料倉儲中。</p> <p>也就是說，當顧客看到預處理的推薦結果後，會產生點擊或未點擊等反應。模型則會根據反應重新運算。至於一名顧客要多久才能看到最新運算、更符合自己近期行為的推薦結果？這取決於顧客本身活躍程度。</p> <p>這是因為，模型必須排續重新運算配對結果的優先程度，當顧客最近來訪頻率高，模型會優先重算。反之，當顧客不常到站，優先度就會較低。李昆謀坦言，重算優先度的規則，確實不容易掌握，他們仍在不斷調整。</p> <p>現在，他們已經將Jooii用於許多不同應用，包括行銷受眾圈選、商品貼標、個人化推薦、商品文案生成等。他們更用Jooii來支援RMN的廣告業務，根據廣告行銷所需情境，來配對顧客、商品及標籤。</p> <p>舉例來說，根據顧客和標籤數據，對已知顧客推薦特定類型商品。或是當廣告主希望獲得新客，Jooii會根據顧客和商品數據，配對出情境標籤，再根據這些標籤，匹配外部通路的顧客數據，找到相似受眾（Look-alike），並估算出受眾的消費力、愛用金流、價格敏感度等特徵。</p> <p>也正因為他們擅長將技術打造成可規模化的商品，未來，他們計畫把Jooii作為一個IaaS產品，開放零售業客戶上傳自家訓練數據，來支援各自的GAI零售應用。</p> <p></p> </div></div></div>
2025/1/22 15:21作者郭又華https://www.ithome.com.tw/news/167114
Cloudflare快取被濫用於零點擊攻擊，Signal與Discord用戶地理位置遭洩露
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安研究人員Daniel（@hackermondev）在GitHub<a href="https://gist.github.com/hackermondev/45a3cdfa52246f1d1201c1e8cdef6117">揭露</a>一個新型零點擊攻擊，利用Cloudflare的快取機制推測用戶的地理位置，對Signal和Discord等廣泛使用快取的應用程式造成威脅。此攻擊不需用戶執行任何操作，只要日常的推播通知或附件下載即可觸發，在GitHub引發開發者社群對隱私與安全風險的關注。</p> <p>這項攻擊的核心原理，是利用Cloudflare快取回傳的HTTP標頭中包含的地理相關資訊，例如cf-cache-status和cf-ray參數。當用戶裝置存取啟用快取的資源時，攻擊者可以分析這些參數，推斷資源被快取的資料中心位置，進而估算出用戶的物理位置。研究顯示，Cloudflare廣泛分布的全球資料中心進一步增強了攻擊的精準度，用戶位置的推算範圍可縮小至約240至480公里。</p> <p>在實際應用中，強調隱私性通訊服務Signal和Discord則可能成為攻擊目標。Signal的附件快取設定使攻擊者能透過推播通知或訊息附件觸發快取機制，進而推算用戶位置。而Discord的用戶頭像快取也成為攻擊切入點，攻擊者甚至能利用API進行攻擊自動化，大幅降低執行門檻並提升效率。</p> <p>以Discord為例的攻擊流程，從攻擊者改變自己的Discord用戶頭像為隨機生成圖片開始，此舉避免干擾既有的快取記錄。接著向目標用戶發送好友請求，觸發推播通知，使目標裝置自動下載並快取攻擊者的頭像圖片。</p> <p>隨後，攻擊者使用分析工具檢視Cloudflare的快取記錄，辨識觸發的資料中心位置。當用戶在多裝置上綁定帳號，就可能取得不只一個最近的資料中心座標。透過繪製這些座標並計算中點，攻擊者可以精確推測目標用戶的大致地理位置範圍，誤差通常在約480公里內。整個攻擊過程僅需不到一分鐘，而目標用戶完全不會察覺。</p> <p>零點擊攻擊的特性使其難以偵測，尤其對記者、異議人士及其他隱私敏感群體構成威脅。研究人員指出，雖然Cloudflare已修補部分漏洞，例如阻止攻擊者透過其內部網路進行資料中心的直接定位，但攻擊者仍可藉助VPN等替代方法，繞過修補措施並重現攻擊效果。</p> <p>資安研究人員指出，Cloudflare和應用程式開發商的應對措施尚不足以完全解決風險。Cloudflare認為這類去匿名化攻擊並非其系統漏洞，並表示應由使用其服務的應用程式開發者，或網站營運者自行關閉需要保護的資源快取功能，以避免隱私資訊的暴露。</p> <p>另一方面，Signal與Discord則將問題歸咎於Cloudflare的快取機制，並未針對潛在隱私洩露風險採取具體的防護措施。Signal對於被報告的隱私漏洞回應稱，隱藏身份是用戶的責任，並強調他們從未承諾提供網路層匿名功能，資安研究人員表示，相較之下Telegram因採用自建協定及未依賴雲端提供商的快取服務而未受影響。</p> <p>Discord則是一開始表示會調查並改進，但最終認為這是Cloudflare的問題，其他平臺也可能受到同樣的風險影響，因此未採取進一步行動。各方回應顯示出對責任劃分的分歧，以及在保護用戶隱私方面缺乏有效的協作機制。</p> </div></div></div>
2025/1/22 16:08作者李建興https://www.ithome.com.tw/news/167115
Perplexity推出Sonar Pro API，提供即時精準生成式搜尋功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Perplexity宣布<a href="https://www.perplexity.ai/hub/blog/introducing-the-sonar-pro-api">推出</a>全新API服務，提供即時生成式搜尋功能。其透過網路連線與可信來源的資訊檢索，提升生成式人工智慧結果的事實性（Factuality）與準確度。API具有兩個層級，Sonar API專注於輕量化設計與成本效益，而Sonar Pro API則針對需要處理複雜查詢的企業需求進行最佳化。</p> <p>Sonar API提供快速、即時的網頁搜尋結果，並附上參考文獻以提高資訊可信度。此服務適合基礎問答應用，例如行動應用程式內的查詢功能或客服系統。而Sonar Pro API則進一步提升性能，能處理多步驟查詢與長篇上下文，並結合來自多來源的資訊檢索，提供更深入、可靠的答案，其平均參考文獻數量是Sonar API的兩倍，特別適用於企業級應用場景，例如業務決策支持或高精度資訊檢索。</p> <p>語言模型事實性的基準測試工具SimpleQA，專門用於評估語言模型在回答簡短且事實性問題時的準確度表現。根據測試結果，Sonar API的F-score為0.773，而Sonar Pro API則在SimpleQA基準測試的F-score獲得0.858，展現其生成式搜尋的高性能與實用性。</p> <p>目前，該API服務可整合至不同應用，包括銷售、醫療和視訊會議等。Perplexity提供的案例包括，Zoom透過Sonar Pro API在視訊會議中提供即時查詢功能，讓用戶無需切換至其他應用程式即可快速獲取所需資訊。此外，Perplexity官方強調，Sonar和Sonar Pro API都嚴格遵守資料隱私原則，確保用戶資料不會用於模型訓練。</p> </div></div></div>
2025/1/22 14:44作者李建興https://www.ithome.com.tw/news/167112
Mistral AI計畫IPO，擴點亞洲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>法國新創AI公司Mistral AI本周<a href="https://techcrunch.com/2025/01/21/mistral-ai-plans-ipo/" target="_blank">表示</a>，公司計畫發行股票上市（IPO），並計畫在新加坡設立據點。</p> <p>在瑞士達沃斯（Davos）舉行的世界經濟論壇中，Mistral AI執行長Arthur Mensch接受<a href="https://www.bloomberg.com/news/articles/2025-01-21/french-ai-champion-mistral-isn-t-for-sale-ceo-mensch-says" target="_blank">彭博專訪</a>時說，經常被問到何時出售公司，但他們沒有出售計畫。而是朝IPO方向發展。Mensch表示他們遠離美國科技公司在歐洲創業，希望證明歐洲在AI能占有一席之地。</p> <p>Mistral是2023年由前Google DeepMind、Meta工程師所創。Mistral AI的AI技術引起科技巨擘和投資圈注意，先後獲得<a href="https://techcrunch.com/2024/02/27/microsoft-made-a-16-million-investment-in-mistral-ai/" target="_blank">微軟</a>、<a href="https://blogs.nvidia.com/blog/mistral-nvidia-ai-model/" target="_blank">Nvidia</a>、<a href="https://investor.cisco.com/news/news-details/2024/CISCO-LAUNCHES-1B-GLOBAL-AI-INVESTMENT-FUND/default.aspx" target="_blank">思科</a>、Salesforce等科技龍頭投資，去年底<a href="https://sifted.eu/articles/mistral-468m-round-news" target="_blank">市值</a>高達58億歐元。</p> <p>Mistral AI現在手上資金充裕，公司也正招兵買馬。Mensch說公司業務在歐美快速進展，也計畫在新加坡設立辦公室向亞洲進軍。</p> <p>Mistral AI的美國競爭者OpenAI除了微軟2019年投資百億美元，去年光是一輪又募資66億美元，市值達1,570億美元。Anthropic也獲得Amazon、Google等投資，市值600億美元。</p> </div></div></div>
2025/1/22 13:01作者林妍溱https://www.ithome.com.tw/news/167110
川普推動Stargate計畫，聯合OpenAI、甲骨文、軟銀投入5,000億美元發展AI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在上任第一天川普於昨日<a href="https://www.youtube.com/watch?v=IYUoANr3cMo" target="_blank">宣布Stargate計畫</a>（Project Stargate），將偕同OpenAI、甲骨文及軟銀等公司，投入至少5,000億美元發展AI。</p> <p>川普稱這項計畫是迄今史上最大的AI基礎架構計畫，旨在重振美國產業，並保障美國國家安全，擴大美國的AI領先優勢，並且創造10萬個美國人工作機會。他說將宣布緊急狀態，因為來自中國等國家的AI競爭已成緊急狀態。</p> <p>甲骨文創辦人暨技術長Larry Ellison、OpenAI執行長Sam Altman及軟銀（SoftBank）執行長孫正義，昨日皆參加川普發表Stargate計畫的記者會。</p> <p>在這項計畫中，甲骨文、OpenAI和<a href="https://group.softbank/en/news/press/20250122" target="_blank">軟銀</a>及投資公司MGX將成立合資公司Stargate。其中軟銀負擔財務，承諾4年內投入5,000億美元，OpenAI則負責營運。孫正義會擔任新公司董事長。大致規畫上，Stargate計畫將打造大型AI基礎架構，包括超大型資料中心、必要的供電設施及大型社區。微軟、Nvidia、Arm等也會以合作夥伴身分參加計畫。</p> <p>OpenAI<a href="https://openai.com/index/announcing-the-stargate-project/" target="_blank">說明</a>，新公司將立即開始投入1,000億美元於這項計畫。其中OpenAI、Nvidia和甲骨文將合作打造運算系統，這也是OpenAI和甲骨文的首次合作。Nvidia在2016年<a href="https://fortune.com/2016/08/15/elon-musk-artificial-intelligence-openai-nvidia-supercomputer/" target="_blank">捐贈</a>超級電腦 DGX-1 給OpenAI。</p> <p>目前Stargate已在德州規畫佔地50萬平方英呎的資料中心園區，開始打造第一座資料中心。團隊也正在評估在美國其他地方打造更多類似園區。</p> <p>雖然和甲骨文展開合作，但OpenAI強調和微軟關係不變。OpenAI還會擴大使用Microsoft Azure資源，利用新增資源訓練Stargate計畫的模型。</p> <p>Ellison則說明，Stargate推動的AI應用之一是醫療及生技領域，結合電子健康記錄（EHR）等健康記錄與AI分析，促進癌症早期檢測、疫苗研發、基因定序等。</p> <p>甲骨文的醫療IT能力來自於2021年收購電子病歷軟體供應商Cerner<a href="https://www.ithome.com.tw/news/151399" target="_blank">所得</a>，該公司計畫建立美國全國的電子病歷資料庫。甲骨文也是Nvidia Cloud的基礎架構供應商。</p> </div></div></div>
2025/1/22 11:27作者林妍溱https://www.ithome.com.tw/news/167107
川普簽署行政命令暫緩TikTok禁令75天
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一如承諾，川普周二上任第一天<a href="https://www.whitehouse.gov/presidential-actions/2025/01/application-of-protecting-americans-from-foreign-adversary-controlled-applications-act-to-tiktok/" target="_blank">簽署了</a>行政命令，延後執行TikTok不賣美國就禁用的法案75天。</p> <p>這項行政命令是針對拜登2024年3月簽署生效的《保護美國人免受外國對手控制應用程式法案》而來。該法案以中國威脅美國國家安全為由，要求TikTok母公司字節跳動（ByteDance）在2025年1月19日之前，將TikTok出售給一家非中國公司，否則將在美國禁用。另外，又禁止美國公司或人士提供TikTok傳布、維護和更新的服務供應商，違者將受到處份。</p> <p>字節跳動之後提出挑戰，認為該法案違反美國憲法對言論自由的保障。但川普上任前數日美國最高法院裁定該法案並未違憲，以及前總統拜登未明確說不實施禁令，TikTok主動下線，告知用戶它是「被迫停止營運」。</p> <p>川普行政命令指出，最高法院的判決干擾了他在法案生效之前評估TikTok對國家安全和外交政策影響的能力。時機點而言，也打亂了他談判解決TikTok問題的計畫。</p> <p>為了讓新政府有更多時間決定適當處置，川普透過行政命令，指示美國司法部長從周二起的75天內，不要採取任何行動執行該法案，即使期限屆滿，司法部也不得對任何在75天內或之前提供TikTok服務的實體施加任何處罰。川普也要求司法部長發布書面指導以實施禁令。</p> <p>至於何謂適當處置，川普在就任前透過社群平臺指出，他屬意TikTok美國業務未來由現有母公司字節跳動及新公司的合資公司持有，其中美國要在合資公司持股50%。</p> <p>The Verge<a href="https://www.theverge.com/2025/1/21/24349011/trump-elon-musk-larry-ellison-oracle-tiktok-ban" target="_blank">報導</a>，周一在發布Stargate計畫的白宮記者會上，川普說對馬斯克的X或甲骨文收購TikTok美國業務，並開玩笑對甲骨文創辦人Larry Ellison說在媒體前協商，Ellison則回答聽來很不錯。</p> <p>2020年甲骨文曾提議收購TikTok美國業務，但最終並未成真，TikTok和甲骨文之間只有<a href="https://www.ithome.com.tw/news/151518" target="_blank">合作</a>，TikTok美國流量都導向甲骨文在美國的資料中心，以避免美國用戶資料流向中國。</p> </div></div></div>
2025/1/22 11:58作者林妍溱https://www.ithome.com.tw/news/167108
中國DeepSeek開源其R1推論模型，數學、程式開發表現緊追OpenAI o1
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國DeepSeek公司宣布以MIT授權<a href="https://github.com/deepseek-ai/DeepSeek-R1?tab=readme-ov-file">開源</a>R1推論模型系列，該系列在數學與程式開發等相關測試中表現出色，部分領域已達到與OpenAI o1模型相當的水準。而R1模型系列的特別之處在於其以強化學習（Reinforcement Learning，RL）為核心訓練方法、不需要監督微調（Supervised Fine-Tuning，SFT），突破了傳統對大規模標註資料的依賴。</p> <p>DeepSeek-R1系列模型其訓練方法的突破，在DeepSeek-R1-Zero模型完全透過強化學習，展現出關聯思考（Chain of Thought，CoT）、自我驗證與反思能力等推理特性。與傳統仰賴大規模標註資料的模型不同，DeepSeek證明了僅憑強化學習即可激發大型語言模型的推理能力。</p> <p>只不過DeepSeek-R1-Zero模型的可讀性和語言一致性仍不足，為了克服該問題並提高推理效能，DeepSeek在強化學習之前，進一步採用冷啟動資料及多階段訓練策略，推出了改進版本DeepSeek-R1，成功提升了模型的整體性能。</p> <p>根據<a href="https://github.com/deepseek-ai/DeepSeek-R1/blob/main/DeepSeek_R1.pdf">DeepSeek公開的論文</a>，DeepSeek-R1模型在多項基準測試表現突出，在數學相關的MATH-500測試，其Pass@1準確率達到97.3％；在AIME 2024數學競賽測試中，達到79.8％的準確率，表現接近OpenAI o1模型。此外，DeepSeek-R1在Codeforces程式競賽平臺上的評分達到2029，勝過96.3％的參賽者，僅略低於OpenAI o1的96.6％，顯示其在程式開發領域的應用潛力。</p> <p>在開源策略上，DeepSeek釋出了完整模型，還推出多個經過蒸餾處理的模型版本，參數範圍從15億至700億不等，供不同資源需求的開發者或研究者使用。根據測試結果，蒸餾模型在AIME 2024、MATH-500與CodeForces等多項基準測試，超越像是GPT-4o與Claude-3.5-Sonnet等模型。</p> <p>雖然DeepSeek-R1表現出強大的能力，但仍存在一些限制，例如模型對提示詞的敏感性較高，尤其是當使用小樣本提示（Few-Shot Prompting）時，模型的性能會明顯下降，因此，建議用戶採用零樣本提示（Zero-Shot Prompting）的方式，也就是直接描述問題並明確說明輸出格式，而不提供任何範例。此外，目前該模型主要針對中英雙語最佳化，在處理其他語言的查詢時偶爾會出現語言混用現象。</p> <p>DeepSeek-R1也以<a href="https://api-docs.deepseek.com/quick_start/pricing">deepseek-reasoner API的形式提供服務</a>，輸入部分快取命中每百萬Token為0.14美元，未命中是0.55美元，輸出部分則按推理內容與最終答案的總Token數計價，每百萬Token收費2.19美元。與其他同等商業模型相比，DeepSeek-R1提供了極具競爭力的價格。</p> <p>不過，由於DeepSeek-R1模型來自中國公司，無論API服務與開源模型皆受中國政府言論審查，企業與個人使用仍應注意其潛在的內容生成規範與風險，特別是在敏感領域的應用。</p> </div></div></div>
2025/1/22 08:29作者李建興https://www.ithome.com.tw/news/167101
微軟已棄用的NTLMv1驗證機制，仍可能被啟動濫用於網攻
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟早已將NTLM（NT LAN Manager）列為過時的身分驗證機制，但Silverfort資安研究人員<a href="https://www.silverfort.com/blog/ntlmv1-bypass-in-active-directory-technical-deep-dive/">發現</a>，Active Directory群組原則用於限制NTLMv1的機制，在設計上因支援舊系統的需求，可能被攻擊者濫用以重新啟用NTLMv1，對企業資安帶來潛在風險。</p> <p>研究人員發現，部分應用程式可以透過名為ParameterControl的參數，來請求NTLMv1驗證訊息，即使系統規則已設置為只接受更安全的NTLMv2。該問題尤其影響非Windows用戶端環境，因為這些用戶端在應用程式的要求下，可能使用不安全的驗證資料，導致網路流量暴露於遭攻擊者攔截與破解的風險。</p> <p>NTLM是微軟在1990年代開發的一套身分驗證機制，廣泛用於當時的Windows網域中，但是隨著NTLM的加密演算法與驗證流程被發現許多弱點，包括NTLMv1只使用DES加密，挑戰回應機制也缺乏足夠的隨機性，使其容易被攻擊者透過中繼攻擊或離線破解取得用戶憑證。雖然NTLMv2改進了這些缺點，但在部分舊有系統或跨平臺應用，仍可能出於相容性需求而繼續使用NTLMv1。</p> <p>攻擊者可以攔截並破解NTLMv1流量，進而取得用戶憑證執行橫向移動或權限提升等進階攻擊行為。研究強調，僅依賴Active Directory群組原則並無法完全阻擋NTLMv1的使用，特別是當企業使用內部開發或第三方應用程式時，這些應用可能無意間允許或啟用不安全的驗證機制。</p> <p>微軟對此回應，NTLMv1的使用本身並非漏洞，因為其原本設計就需要相容於舊系統。不過微軟也計畫在Windows 11版本24H2與Windows Server 2025完全移除對NTLMv1的支援，該變更會逐步推行，促使企業過渡至更現代化且安全的驗證方式。</p> <p>以長期來說，雖然微軟的措施將減少NTLMv1的風險，但老舊應用程式仍可能使用NTLMv1。研究人員建議，企業需要重新檢視現有的網路基礎架構與身分驗證機制，淘汰不安全的技術，採取更現代化的安全協定，例如Kerberos或SSO，同時，對網路流量進行稽核與監控，檢查應用程式是否存在潛在漏洞，也是有效防範攻擊的重要措施。</p> </div></div></div>
2025/1/22 08:33作者李建興https://www.ithome.com.tw/news/167104
Google釋出OSV-SCALIBR函式庫，強化開源軟體漏洞檢測
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google發布名為<a href="https://security.googleblog.com/2025/01/osv-scalibr-library-for-software.html">OSV-SCALIBR（Software Composition Analysis Library）</a>的新工具，進一步提升開源軟體漏洞檢測和安全分析的能力。OSV-SCALIBR能夠執行安裝套件、程式碼及容器映像檔的掃描，同時支援多種主要程式語言和作業系統。</p> <p>OSV-SCALIBR是一個獨立的軟體組成分析函式庫，延續並擴展了Google在OSV-Scanner中的技術基礎。而OSV-Scanner是一款針對開源軟體相依性漏洞的掃描工具，目前支援11種程式語言和20種套件管理工具。OSV-SCALIBR在OSV-Scanner的基礎上，進一步加入了弱憑證檢測與軟體物料清單（SBOM）生成功能，並支援SPDX和CycloneDX格式。</p> <p>Google表示，OSV-SCALIBR已廣泛應用於自家主機、程式碼儲存庫及容器的安全分析，協助生成精準的軟體物料清單，並提升漏洞檢測效能以保護用戶資料安全。</p> <p>OSV-SCALIBR函式庫的特色在其模組化的設計，開發者可以根據需求擴充，執行特定的軟體擷取和漏洞檢測任務。OSV-SCALIBR以開源的Go函式庫形式提供，Google也計畫未來將其功能整合到OSV-Scanner中，擴大工具的應用範圍。</p> <p>OSV-SCALIBR的應用範疇非常廣泛，從掃描安裝套件與獨立執行檔到分析原始碼與容器映像檔，並支援Linux、Windows和macOS等主流作業系統，能滿足多種環境的安全分析需求。此外，其針對低效能硬體和嵌入式系統進行了專門最佳化，使其在資源有限的條件下仍能高效運作。</p> <p>Google表示，OSV-SCALIBR不僅是一款安全檢測工具，更希望透過開放社群的參與，持續擴展其功能。未來Google計畫加入更多功能，例如容器基礎映像檔辨識、漏洞可達性分析（Reachability Analysis）來降低誤報，以及更多針對弱憑證的檢測能力。</p> <p>對於需要CLI工具的用戶，OSV-SCALIBR的功能正逐步整合到OSV-Scanner，新版本預計於數月內推出。Google承諾全面維持向後相容性，確保既有工作流程不受影響，使現有用戶可以無縫過渡至新版工具。</p> </div></div></div>
2025/1/22 08:36作者李建興https://www.ithome.com.tw/news/167105
OpenAI揭露2025邁向通用人工智慧的技術布局
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在去年12月，OpenAI以12天馬拉松式的一系列線上產品發表會，揭露了多項新服務和新技術，也反映出OpenAI展開了下一階段的新挑戰。</p> <p>「我們已經知道如何打造通用人工智慧（Artificial General Intelligence，簡稱AGI）的作法，2025年將出現第一批進入勞動職場的AI代理，可以真正改變企業的產出。」OpenAI執行長Sam Altman在個人部落格上的新年回顧上透露。</p> <p>Sam Altman在1月6日發表了一篇「反思」為名的文章，回顧過去9年OpenAI的發展，從一間默默無名的研究室，投入一項「Chat With GPT-3.5 」專案開始，到2022年11月，隔空發表了震驚世界的ChatGPT，這一段激烈變革的過程。ChatGPT服務的每周活躍用戶，今年初達到驚人的3億人規模。尤其在過去兩年，OpenAI從一家研究機構，更以ChatGPT這項技術為核心重新組織，徹底變成了一家產品公司。</p> <p>OpenAI設立之初的願景，就想要打造通用人工智慧，也相信有一天可以打造出這樣的技術。</p> <p>「我們的願景沒有改變過，現在我們確定，已經知道如何打造傳統認知的通用人工智慧（AGI）。」Sam Altman如此強調，我們開始將目標轉向真正的超級智慧。他預告2025年將會出現第一波真正有勞動力，可以改變企業產出的AI代理。</p> <p>Sam Altman將如何實現這個願景？為何2025年是關鍵變化的一年？他沒有透露更多細節，但從去年底OpenAI馬拉松式的12天發表，可以看到新的技術、產品發表，反映出邁向通用人工智慧的各種布局。甚至在影片生成模型Sora服務上線的那一場發表中，Sam Altman就明言，AI生成影片是他們發展通用人工智慧藍圖的重要一環。因為「影片是AI學習的重要環境，可以從中學到人類在真實世界中的行為。」這正是他們推出Sora的目的。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961-%E6%96%B0%E5%B9%B4%E5%9B%9E%E9%A1%A7.png" style="width: 600px;" /></p> <p><span style="color: rgb(51, 102, 255);"><strong>「我們的願景沒有改變過，現在我們確定，已經知道如何打造傳統認知的通用人工智慧（AGI），2025出現第一批進入勞動職場的AI代理，可以真正改變企業的產出。」OpenAI執行長Sam Altman在個人部落格上的新年回顧上透露。從去年底OpenAI馬拉松式的12天發表，可以看到OpenAI邁向通用人工智慧的各種布局。</strong></span><span style="color: rgb(105, 105, 105); font-size: 14px;">（圖片來源／OpenAI）</span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962-12%E5%A4%A9%E7%99%BC%E5%B8%83-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-OpenAI(1).png" style="width: 600px;" /></p> <p><strong><span style="color: rgb(51, 102, 255);">OpenAI 在去年12月，舉辦了一場馬拉松式的12天線上發表會，揭露多項新服務和新技術，更反映出OpenAI在通用人工智慧的種種布局。包括了正式推出了新一代推理模型o1，預告了下一代o3推理模型的進展。今年也正式推出了影片生成模型服務Sora。ChatGPT也從文字對話介面，發展成支援影音、圖片多模態溝通的全新AI工具。</span></strong><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">（圖片來源／OpenAI）</span></span></p> <p>在去年這12天的系列發表中，包括了正式推出了新一代推理模型o1，預告了下一代o3推理模型的進展，也正式推出影片生成模型服務Sora等。</p> <p>ChatGPT則大變身，從文字對話介面，發展成支援影音、圖片多模態溝通，支援全新人機協同寫作（開發）、具有專案管理功能的全新AI工具。</p> <p>OpenAI產品更擴大了與第三方生態圈的整合，不只是可以與更多第三方應用程式的畫面內容互動，也開始與蘋果生態圈深度整合。</p> <p>OpenAI跨出了純AI產品領域，例如LLM模型服務、ChatGPT服務，提供更多AI應用類的服務，先從搜尋功能，這是與搜尋龍頭對戰的關鍵武器。</p> <p>我們將分兩期封面故事，來剖析GAI龍頭在2025年的產品和戰略布局，更從企業角度來思考，這些布局的影響。</p> <p>不過，在剖析每一天發表會的新產品之前，要先回顧OpenAI的服務條款，了解他們將會如何使用數億用戶上傳資料的政策，才可以真正了解OpenAI推出這些新服務或新功能，背後的意圖。</p> <p>不論是ChatGPT、DALL·E或任何OpenAI的服務，像是最新推出的Sora，都遵循同一套服務條款，不論是企業或一般使用者，都可以獲得輸出內容的所有權，包括模型生成的成果，但在資料再利用上，這個條款區分出兩種再利用模式，針對企業級的帳號，例如Team訂閱方案、Enterprise方案等，OpenAI承諾不會使用企業資料來進行模型訓練。</p> <p>然而，對於一般訂閱使用者，OpenAI將會使用到用戶們輸入的所有內容，包括文字，圖片，影音，以及生成的所有內容，來改善OpenAI自己的服務，也就是可以用來訓練更多的模型。用戶可以拒絕，但得自己另外向OpenAI申請撤銷使用，並非預設不用。</p> <p>換句話說，除了企業帳號外，任何人上傳的文字、圖片、影片、聲音，預設都會用來訓練新的模型，除非，我們主動去申請拒絕使用。從這個角度來看，OpenAI任何提供給一般用戶的新服務，都是一種累積更多資料的手段。有了這樣的認知，就可以來了解OpenAI十二天的產品發布。<strong><span style="color:#3366ff;">（後續報導內容請見：</span><a href="https://www.ithome.com.tw/news/167061" target="_blank"><span style="color:#3366ff;">從十二天發表來看OpenAI的2025戰略布局</span></a><span style="color:#3366ff;">、</span><a href="https://www.ithome.com.tw/news/167066" target="_blank"><span style="color:#3366ff;">OpenAI十二天發表會下半場聚焦團隊開發需求</span></a><span style="color:#3366ff;">）</span></strong></p> <p><a href="https://www.ithome.com.tw/article/167065" target="_blank"><span style="font-size:22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1217-feng_mian_gu_shi_-dou_zi_-p1-open-960x420_kao_bei_0.jpg?itok=mJezl9i4" style="width: 550px;" /></strong></span></a></p> </div></div></div>
2025/1/22 08:54作者王宏仁https://www.ithome.com.tw/news/167057
從十二天發表來看OpenAI的2025戰略布局
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在去年底的十二天發表會期間，OpenAI以新一代推理模型o1正式上線啟用揭開序幕。執行長Sam Altman表示，OpenAI的模型技術，開始從通用型的LLM，轉向具有複雜推理能力的新一代模型系列。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>第一天：新一代推理模型o1正式上線</strong></span></span></p> <p>正式版的o1比先前的預覽版本更強大，開始支援多模態的輸入，不只文字，還可以輸入圖片。</p> <p>o1也能支援結構化輸出，可以指定輸出JSON格式的內容，可以保證產生有效的JSON，但不一定會依據使用者透過推斷 API 呼叫提供的JSON 結構描述定義來生成。</p> <p>OpenAI採取了一套人工評估作法，發現o1正式版比o1預覽版的錯誤率，減少了34%，平均回答速度也快了50%。預覽版回應太慢的問題也獲得不少改善，現在輸入第一句話後，只需要10秒就可以獲得回應，甚至會依據問題難易度，簡單問題的回應快，而複雜問題回應速度才會較慢。</p> <p>在推理能力上，OpenAI特別在意o1模型對於輔助開發的成效，以全球程式競賽平臺Codeforces的得分來說，GPT-4o可以得到11%（解出11%的問題），o1預覽版62%，但是正式版o1達到89%的高分，可以解答近9成的程式問題。</p> <p>不只是推出了新一代推理模型，OpenAI還發表了要價高達每月200美元的ChatGPT Pro訂閱模式，在這個模式下可以取得o1 Pro Mode，用更多算力來提高難題的回答準確度。</p> <p>也就是說，ChatGPT可以按算力提供分級服務，意味著，這款o1模型是一款可以增加算力，來提高準確度的模型，因此，未來是可以購買更多算力，來提高o1的推理能力。</p> <p>目前，微軟Azure AI也開始提供o1推理模型，目前在美國和瑞典各有一個雲端區域提供這項模型。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>第二天：全新的模型客製化作法RFT</strong></span></span></p> <p>正式推出o1模型的發表會之後，OpenAI研究副總裁Mark Chen緊接著登場，公布了新的模型客製新功能，增強式微調（Reinforcement Fine-tuning，RFT），可以讓企業用自己的資料來微調o1模型，但不只是過去的標準微調作法，而是新的增強式微調作法。Mark強調，RFT作法可以讓高中生的能力，變成博士等級的模型。微軟Azure AI已經開始提供o1模型，同時也開始提供新的增強式微調模式。</p> <p>Mark Chen強調，RFT適合用於特定領域的任務，透過增強式學習模式，來建立專家級的模型，像是法務，金融，工程，保險，都可以適用。</p> <p>增強學習微調的原理是，提供一個問題讓模型回答，依據不同的思考路線產生一系列的多個答案，針對每一個答案的正確程度，來提供獎勵分數，針對得到正確答案的思考線路進行增強，而同時抑制得到錯誤答案的思考線路。不過，使用者不用考慮背後的運作過程，只需要上傳訓練資料和驗證資料集即可。「這讓模型用一種全新的方式，也是更有效的方式，來學會特定領域的推理方式。」Mark解釋，增強式學習不是優化模型的輸出，而是讓模型學會「推理」方法，只要十幾個訓練案例，就可以有效果。這也是OpenAI用來訓練GPT4o和o1模型的訓練方式，變成一項平臺功能。</p> <p>進行RFT微調時，企業需要先上傳JSON格式的訓練資料集，每一行是一筆資料，也可以加入提示工程的指令，產生推論結果後，還要上傳一份驗證用的資料。透過一個評分器機制，將推論產生的答案和正確答案比較，模型會回傳0到1的分數，1代表完全正確，0則代表完全錯誤。</p> <p>OpenAI將會提供不同類型的評分器，作為增強式微調使用，也開放企業可以自己用Python來定義自己的評分器，上傳使用。目前執行一次RFT的時間，可能從數小時到數天不等。</p> <p>微軟Azure AI服務在12月18日也新增了這項功能，先提供給9月釋出的o1-mini可以用RFT，也先在美國North Central US和瑞典 Sweden Central這兩個區域提供，支援UI介面操作。 </p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%964-RFT-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E5%BE%AE%E8%BB%9F.png" style="width: 600px;" /></p> <p><strong><span style="color:#3366ff;">微軟Azure AI服務在去年12月18日開始提供新的增強式微調RFT功能，先開放對9月釋出的o1-mini模型使用RFT，目前先在美國North Central US和瑞典 Sweden Central這兩個區域提供。</span></strong><span style="font-size:14px;"><span style="color:#696969;">（圖片來源／微軟）</span></span></p> <p>目前已有搶先試用RFT的大型企業，例如Thomson Reuter法律顧問公司用RFT來微調o1-mini模型，用於自家GAI 法務助理Co-Counsel。Thomson Reuter公司在2024年2月發表了用GPT-4打造的法務助理Co-Counsel，更在2024年11月時，宣布開始測試客製化版的o1-mini。這個客製化就是用了RFT來客製化法律事務專門的推理能力。</p> <p>Thomson Reuter這款AI助理混用了三家公司的LLM模型，處理不同任務。用Google的Gemini處理超長上下文的大型法律文件整合。</p> <p>用Anthropic的Claude處理稅務和合規等需要高度流程客製化的作業，最後則是用客製化版的o1-mini來處理法院訴訟案件摘要中，需要專業人員才能辨識的細微用語差異。</p> <p>根據他們目前的POC測試結果，RFT微調後的o1-mini模型，可以辨識出律師與當事人往來的保密信件中的用語差異，這是連GPT-4都無法辨識的細節，甚至，過去得靠專門律師才能判斷的用詞，這也加速了他們文件審查，法律研究，訴訟申請等作業。</p> <p>OpenAI線上發表時揭露了一項遺傳基因研究的RFT應用案例，用了1,100個案例微調o1-mini的正確率達到31%，比單純用o1-mini的17%高了不少，甚至比沒有微調的o1模型的25%還要高。這也反映出微調的效果。微軟官網上也介紹了另一個適合RFT的場景是物理學量子光學數學方程式的生成。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>第三天，Sora正式上線，開放付費用戶使用</strong></span></span></p> <p>Sam Altman親自主持第三場發表，也就是影片生成服務Sora的上線，開放所有付費用戶使用。他指出，AI影片工具是新型態的共同創造模式，他們希望AI可以理解影片，「生成影片將會深深地改變人們使用電腦的方式。」</p> <p>不只如此，Sora服務對OpenAI有更大的戰略意義，Sam Altman強調，AI生成影片是通用人工智慧藍圖的重要一環。他表示「因為影片是AI學習的重要環境，可以讓AI從中學到人類在真實世界中的行為。」</p> <p>目前正式推出的影片生成模型不是去年2月公布的預覽版，而是新的進階版Sora Turbo，可以提供文字生成影片，圖片生成影片，影片生成影片等，可選擇生成480P到1080P不等影片畫質，5秒到20秒長度的影片。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%963-6SORA_com-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-OpenAI.png" style="width: 600px;" /></p> <p><span style="color:#3366ff;"><strong>影片生成服務Sora服務採用了新的進階版Sora Turbo模型，可提供文字生成影片、圖片生成影片、影片生成影片等，也能選擇生成480P到1080P不等影片畫質，或是5到20秒長度的影片。</strong></span><span style="font-size:14px;"><span style="color:#696969;">（圖片來源／OpenAI）</span></span></p> <p>另外在Sora服務中也推出故事版功能，可以讓使用者像是導演般的設計和安排一整個影片的生成，像是描述角色，也可以下提示指令來建立一系列的行為。生成的影片可以用來重新編輯和混合，或是跟另一部影片後製成一個新影片。</p> <p>特別的是，因為這些是AI生成的影片，使用者可以透過提示，來改變影片中的角色。在發表會的展示中，直接把影片中在沙漠中移動的猛瑪象，要Sora模型替換成了機器人在沙漠中的移動，場景和移動方式都一樣，但是影片主角變成了類似大象的四腳機器人。目前Plus版訂閱用戶每個月可以生成50次影片，而Pro版訂閱者才能夠更多使用量，另外，Sora服務也搭配了避免生成影片濫用的控管機制。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>第四到六天：ChatGPT大升級，全新人機協作，深度整合蘋果生態</strong></span></span></p> <p>接著連續三場，從第四天到第六天，主要聚焦在ChatGPT產品的大升級，將原本以對話形式為主的功能，發展成多型態的人機協作平臺，也跨入更大的蘋果產品生態圈。</p> <p>第四天正式推出了ChatGPT的人機協作新工具Canvas，讓使用者與ChatGPT對話，來生成和編輯一篇文章，Canvas讓ChatGPT變成了以文件寫作為主的創作工具，可以一邊和AI討論和修改，並行畫面中的文件內容，提供了新的人機協同寫作方式。</p> <p>不只用於文件寫作，甚至可以用來撰寫Python程式碼，Canvas提供了Python直譯器，可以直接在線上執行這段Python程式碼，甚至呼叫常用的函式庫，繪製圖表等。ChatGPT也能補齊程式碼的註解，甚至是進行除錯，提供建議修改的正確程式碼段落，只要同意就可以套用。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%965-Canvas-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-OpenAI.png" style="width: 600px;" /></p> <p>在GPT商店中，有許多客製化GPTs，使用特定提示和設計，打造的GPT機器人，可以與其他人分享。現在可以將Canvas模式，加入到客製化GPTs中，讓使用這款客製GPTs的其他人，不用刻意打開Canvas，也能使用。換句話說，客製GPT可以把人機協作寫作工具Canvas加入到GPTs的生成結果，直接生成一份可以人機共同編輯的文件。</p> <p>與蘋果生態圈的整合上，ChatGPT提供了三種整合方式。第一種是與Siri整合。使用者向Siri提出要求後，Siri會自動建議是否更適合使用ChatGPT，詢問使用者同意後就會自動換手來處理。第二項整合ChatGPT和蘋果系統內建寫作工具，可以套用到全系統各處的寫作功能，對文件內容進行修改、摘要或畫重點等。第三項整合是相機控制，ChatGPT現在可以控制iPhone 16的相機功能，將畫面和聲音傳到ChatGPT上，讓ChatGPT了解使用者的世界，使用者可以自己控制要不要讓ChatGPT取得鏡頭控制權。</p> <p>蘋果則在公布與ChatGPT深度整合計畫的同時宣布，蘋果智慧服務將開始支援更多地區和語言，一方面在澳洲、加拿大、愛爾蘭、紐西蘭、南非和英國等國提供在地化英語支持，另一方面也在語言支援上，將會支援中文、印度英語、新加坡英語、法語、德語、義大利語、日語、韓語、葡萄牙語、西班牙語和越南語等，預計2025年4月開始透過軟體更新陸續升級這些支援。</p> <p>ChatGPT另外一項重要的大升級，則是進階語音對話功能，開始支援影音對話，這是第六天發表會的重點。這項具備影音能力的進階語音對話功能，使用了4o模型，可以支援50種語言，以更自然的方式與人對話，現在更可以支援即時影音，也能將使用者的螢幕分享給ChatGPT來剖析。這項功能也開啟了全新的人與ChatGPT互動的方式，從文字互動，跨入了影音互動的模式，在第六天的線上發表會中，OpenAI工程師用手機拍攝自己沖咖啡的過程，ChatGPT可以監看手沖咖啡的過程，一步步指示，現在要倒多少咖啡粉，如何移動熱水壺來倒水的過程，就像旁邊有一位資深咖啡師的指導一般。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1217-coverP2-600-1.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">（圖片來源／OpenAI）</span></p> <p>在OpenAI十二天發表中的前半段，大多聚焦在全新的模型，全新的ChatGPT服務，這些服務不只是增強原本的服務，而是讓人與GAI的互動，從文字互動模式，進入了影音互動，甚至可以說是彷彿是人與機器在真實世界中互動的新典範。</p> <p>變革關鍵是多模態模型（Large Multimodal Model，簡稱LMM）技術的成熟，去年還只是一項熱門的前瞻技術，到了今年，則變成了人人可用的新型態GAI產品。<a href="https://www.ithome.com.tw/news/167066" target="_blank"><strong><span style="color:#3366ff;">我們將在下一期繼續剖析十二天發表會的下半場。</span></strong></a></p> <p><a href="https://www.ithome.com.tw/article/167065" target="_blank"><span style="font-size: 22px;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1217-feng_mian_gu_shi_-dou_zi_-p1-open-960x420_kao_bei_0.jpg?itok=mJezl9i4" style="width: 550px;" /></strong></span></a></p> </div></div></div>
2025/1/22 08:56作者王宏仁https://www.ithome.com.tw/news/167061
【資安日報】1月21日，駭客聲稱握有IT大廠HPE的內部資料，該公司正在著手調查
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年底初始入侵管道掮客IntelBroker先後於<a href="https://www.ithome.com.tw/news/166719">10月</a>、<a href="https://www.ithome.com.tw/news/166757">12月</a>兩度公布思科的內部資料，而在今年初這些駭客又有動作，他們聲稱手上有伺服器大廠HPE的內部檔案。</p> <p>值得留意的是，這些駭客並非首次表明竊得HPE內部的資料，去年2月，<a href="https://www.bleepingcomputer.com/news/security/hpe-investigates-new-breach-after-data-for-sale-on-hacking-forum/">他們號稱從HPE開發環境取得內部資料</a>。究竟這次駭客兜售的資料是否與之前有關？有待進一步釐清。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167091"><strong style="font-size: 22px;">初始入侵管道掮客IntelBroker聲稱握有HPE帳密、存取憑證、產品原始碼，在駭客論壇兜售</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/IntelBroker-HPE-breach-claims.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/IntelBroker-HPE-breach-claims.jpg" style="width: 300px; float: right;" /></a></p> <p>曾經涉嫌駭入思科、AMD等大廠的駭客IntelBroker本月稍早在駭客論壇，兜售據稱是駭入伺服器大廠HPE的敏感資料，包括內部系統憑證、軟體產品程式碼以及部分人員個資。HPE已著手調查。</p> <p>根據資安新聞網站Bleeping Computer報導，IntelBroker宣稱這批資料是竊自HPE公司網路，這群駭客存取該公司API、支付閘道WePay，以及公、私GitHub儲存庫，至少為期2天，得手了公私金鑰憑證、Zerto及iLO等軟體程式碼、一些軟體版本，以及部分舊客戶個資。</p> <p>HPE對媒體表示已得知此事，該公司立即啟動網路回應作業、關閉相關憑證，並展開調查確認駭客宣稱真確性。HPE說此事目前未影響該公司營運，也沒有客戶資訊受影響的證據。</p> <p><a href="https://www.ithome.com.tw/news/167099"><strong style="font-size: 22px;">惡意程式PNGPlug、ValleyRAT鎖定臺灣、香港、中國地區而來</strong></a></p> <p>臺海局勢緊張，中國駭客針對臺灣發動攻擊的情況不時傳出，但也有駭客組織同時對兩岸使用者下手的情況。</p> <p>資安業者Intezer揭露專門針對臺灣、香港、中國等使用中文的國家而來的攻擊行動，駭客組織Silver Fox先是利用釣魚網頁，佯稱提供應用程式的名義散布惡意的MSI安裝程式。</p> <p>一旦使用者依照指示安裝，電腦在安裝應用程式的過程裡，也會一併載入內含惡意酬載的壓縮檔，該壓縮檔受到密碼保護。接下來攻擊者使用特定的密碼解開壓縮檔，當中包含惡意程式載入工具PNGPlug（libcef.dll），最終於受害電腦部署ValleyRAT。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.trendmicro.com/en_us/research/25/a/iot-botnet-linked-to-ddos-attacks.html">物聯網裝置遭綁架，被用於散布殭屍網路病毒Mirai和Bashlite變種</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/01/donot-team-linked-to-new-tanzeem.html">駭客組織DoNot Team鎖定安卓用戶，散布惡意軟體Tanzeem</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/01/hackers-deploy-malicious-npm-packages.html">駭客意圖透過惡意NPM套件竊取加密貨幣錢包，並濫用Gmail通訊協定藏匿行蹤</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167090"><strong style="font-size: 22px;">HPE修補網路設備作業系統ArubaOS高風險漏洞</strong></a></p> <p>1月14日HPE Aruba Networking發布資安公告，指出他們旗下的網路設備作業系統ArubaOS（AOS）存在高風險漏洞CVE-2025-23051、CVE-2025-23052，一旦遭到利用，攻擊者有機會遠端執行任何程式碼（RCE）或命令、竄改任何檔案，或是未經授權的資料注入，影響Mobility Conductor、Mobility Controller，以及由HPE Aruba Networking Central雲端平臺管理的WLAN設備和SD-WAN閘道。</p> <p>這兩個弱點分別可被遠端用於執行各種程式碼，或是發動命令注入攻擊，共同點是攻擊者都必須通過身分驗證才能利用，危險程度都被評為7.2分，影響執行AOS-10.4.1.4、AOS-8.12.0.2、AOS-8.10.0.14以下版本作業系統的網路設備，該公司已發布新版修補。</p> <p><a href="https://www.ithome.com.tw/news/167089"><strong style="font-size: 22px;">Veeam修補本地端與Azure備份軟體多個漏洞，包括提升權限的重大漏洞</strong></a></p> <p>備份與資料保護軟體廠商Veeam，自去年12月到今年1月中，接連發布旗下Veeam Backup & Replication備份軟體的9個漏洞，與Veeam Backup for Microsoft Azure備份軟體的1個漏洞，並釋出修補版本。</p> <p>在Veeam Backup & Replication方面，包括影響備份伺服器的8個漏洞，其中最嚴重的是嚴重性評分均為8.8的4個漏洞：CVE-2024-40717、CVE-2024-42452、CVE-2024-42453與CVE-2024-42456，分別會導致攻擊者透過指令碼提升權限、藉由提升權限將檔案上傳ESXi主機，控制與修改虛擬化環境配置，以及提升權限獲得存取權與控制關鍵服務等問題，其餘4個漏洞則會導致存取憑證、刪除帳戶、外洩憑證NTLM 雜湊值等問題。</p> <p>在Veeam Backup for Microsoft Azure方面，則是一個評分7.2分的漏洞，會導致攻擊者利用伺服器請求偽造（SSRF），從系統發出未授權的請求，從而發起進一步攻擊。</p> <p><a href="https://www.ithome.com.tw/news/167097"><strong style="font-size: 22px;">Moxa工業交換器存在重大層級漏洞，攻擊者有機會繞過身分驗證機制</strong></a></p> <p>1月15日臺灣工控設備製造商四零四科技（Moxa）發布資安公告，指出旗下的EDS-508A系列交換器存在重大漏洞CVE-2024-12297，這項弱點存在於3.11版之前的韌體，而有機會讓攻擊者繞過身分驗證機制，CVSS風險評為9.2，對此，該公司呼籲用戶儘速向他們的客服聯繫，取得相關修補程式。</p> <p>這項弱點發生的原因，在於授權機制存在缺陷。該公司提及身分驗證的處理流程涉及用戶端及伺服器後臺，一旦攻擊者觸發這項漏洞，就有機會藉由暴力破解猜出有效的憑證，或是進行MD5資料碰撞攻擊，從而偽造身分驗證對應的雜湊資料，繞過驗證機制。</p> <p><a href="https://www.ithome.com.tw/news/167094"><strong style="font-size: 22px;">普萊德一款工業交換器存在重大漏洞，攻擊者有機會用來遠端執行任意程式碼</strong></a></p> <p>1月16日資安業者Claroty指出，他們在臺廠普萊德科技（Planet Technology）的工業交換器WGS-804HPT找到3項弱點，引起許多資安新聞網站報導，使得這些弱點很有可能接下來會有駭客嘗試利用，用戶應儘速處理。這些漏洞是：CVE-2024-48871、CVE-2024-52320、CVE-2024-52558，一旦遭到利用，攻擊者有機會遠端執行各式程式碼，根據漏洞的類型，有兩項涉及記憶體緩衝區溢位，另一項則是作業系統命令注入弱點。</p> <p>針對這些漏洞的處理過程，我們也向普萊德進一步了解，該公司表示在去年11月發布1.305b241111版韌體修補並於公司網站公開，同時也通知美國網路安全暨基礎設施安全局（CISA）已修補完成，CISA也在12月發布資安公告。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/oracles-january-2025-critical-patch-update-addressing-320-security-vulnerabilities/">Oracle發布2025年第一季例行更新，修補320個資安弱點</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2024-53691-poc-exploit-released-for-severe-qnap-rce-flaw/">針對威聯通9月修補的NAS漏洞，研究人員公布概念驗證程式碼</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/167064"><strong>【1月20日】駭客綁架MikroTik路由器從事網釣攻擊，意圖散布惡意軟體</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167028"><strong>【1月17日】駭客公布1.5萬臺Fortinet防火牆的詳細組態配置資料、VPN帳密</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167008"><strong>【1月16日】勒索軟體駭客將AWS S3儲存桶加密，並向受害者索討贖金</strong></a></p> </div></div></div>
2025/1/21 17:40作者周峻佑https://www.ithome.com.tw/news/167100