iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 21篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 05:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

印度Tata集團旗下汽車設計公司證實遭遇勒索軟體攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>汽車產業最近幾年也成為歹徒盯上的目標，駭客多半針對汽車製造商與零件供應商而來，如今傳出有汽車設計業者遭到攻擊的情況。</p> <p>隸屬於印度最大的公司塔塔集團的科技公司Tata Technologies，最近面臨網路攻擊的侵襲，1月31日他們<a href="https://www.documentcloud.org/documents/25510470-tata/#document/p1">向印度國家證券交易所通報</a>遭遇勒索軟體攻擊，導致部分IT資產受到影響。為了預防影響範圍擴大，該公司一度暫停部分IT服務。不過，對於交付客戶的業務並未受到影響，始終維持正常運作。</p> <p>他們與資安專家聯手調查事故發生的原因。但截至目前為止，尚未有勒索軟體駭客組織坦承犯案，攻擊者是否竊取Tata Technologies內部資料，也不得而知。</p> <p>由於Tata Technologies不只專注於汽車設計，也從事航太工程、重型機械的研發，這起資安事故的後續影響，有待進一步觀察。</p> </div></div></div>
2025/2/4 15:49作者周峻佑https://www.ithome.com.tw/news/167201
AMD Zen架構處理器存在微指令簽章驗證漏洞，影響SEV-SNP機密運算安全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google安全團隊<a href="https://github.com/google/security-research/security/advisories/GHSA-4xq7-4mgh-gp6w">發現</a>，部分基於Zen架構的AMD處理器存在微指令簽章驗證漏洞（CVE-2024-56161）。該漏洞可能使具備本地管理員權限的攻擊者注入惡意微指令，進而危及依賴AMD安全加密虛擬化（SEV-SNP）保護的機密工作負載安全。由於漏洞一旦被濫用，可能導致機密運算環境保護失效，相關修補措施已於去年12月中陸續發布，用戶應密切關注BIOS與微指令更新狀況。</p> <p>該漏洞影響Zen 1至Zen 4系列處理器，攻擊者在取得本地管理員權限後，可藉由注入惡意微指令直接影響處理器的核心運作機制。尤其是在使用AMD SEV-SNP技術保護機密工作負載的用例下，惡意微指令可能破壞工作負載的保密性與完整性，進而影響整個運算環境的安全基礎。</p> <p>針對此安全漏洞，Google於2024年9月底向AMD回報，AMD隨後在2024年12月中旬針對Naples、Rome、Milan與Genoa等平臺，推出微指令更新修補版本。</p> <p>根據<a href="https://www.amd.com/en/resources/product-security/bulletin/amd-sb-3019.html">AMD釋出的資料</a>，針對資料中心市場的AMD EPYC系列產品，Naples與Rome平臺分別於2024年12月13日發布修補版本，Milan系列也在同日完成更新，而Genoa系列則於2024年12月16日推出修補措施。更新後的平臺將禁止透過熱載入方式進行後續微指令更新；如在未更新平臺嘗試熱載入超出指定版本的微指令，可能導致系統觸發#GP錯誤（#GP Fault）。</p> <p>此外，針對使用AMD SEV技術的用戶，平臺也同步推送了SEV韌體更新，更新至新版本後，用戶可透過SEV-SNP驗證報告確認修補措施是否已成功啟用，以確保機密工作負載獲得有效保護。</p> <p>CVE-2024-56161漏洞被評為高風險，CVSS分數達7.2。該漏洞不僅牽涉到微指令更新機制的缺陷，同時影響SEV-ES與SEV-SNP功能，進一步擴大攻擊面。針對嵌入式產品市場，AMD也針對EPYC Embedded 7002、7003與9004系列推出相應的修補版本，並已於2024年12月底發布完成。</p> </div></div></div>
2025/2/4 16:37作者李建興https://www.ithome.com.tw/news/167207
Sophos宣布完成併購Secureworks，將著重MDR業務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年10月資安業者Sophos宣布，<a href="https://www.ithome.com.tw/news/165636">將耗費8.59億美元現金買下資安業者Secureworks</a>，如今這項併購案已經完成。Sophos表示，在完成併購後，他們成為了專注於代管偵測與回應（MDR）服務的網路安全業者。</p> <p>2月4日Sophos發布新聞稿<a href="https://www.sophos.com/en-us/press/press-releases/2025/02/sophos-completes-secureworks-acquisition">宣布這項消息</a>，並指出在併購後該公司將為2.8萬家企業提供MDR服務，能提供更為強大的安全營運平臺，其內建數百項整合功能，而能透過自適應保護，以及偵測與回應機制來緩解網路攻擊。Sophos X-Ops將借助Secureworks旗下資安研究團隊Counter Threat Unit的能量，延伸其威脅情報及資安服務的能力。</p> <p>雖然合併已經完成，但Sophos表示，短期內兩家公司仍維持原本的業務運作，繼續與全球通路合作夥伴、代管服務業者（MSP）、資安代管服務業者（MSSP）合作，推廣現有的資安服務與技術。他們也對於現在客戶提出承諾，Sophos與Secureworks將透過銷售與客戶體驗團隊持續提供支援，協助客戶續約並發展新的業務機會。</p> </div></div></div>
2025/2/4 15:04作者周峻佑https://www.ithome.com.tw/news/167191
美國與荷蘭聯手，摧毀39個用於兜售商業郵件詐騙作案工具的網域
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>1月30日<a href="https://www.justice.gov/opa/pr/justice-department-announces-seizure-cybercrime-websites-selling-hacking-tools-transnational">美國司法部（DOJ）宣布</a>，他們與荷蘭國家警察局合作從事執法行動Operation Heart Blocker，成功奪取39個巴基斯坦網域及有關伺服器，這些網域及伺服器被用於架設網路市集，專門用來兜售駭客及詐欺工具，駭客組織Saim Raza（或稱HeartSender）至少從2020年開始經營，向其他駭客販賣網釣工具包等作案工具，買家使用這些工具從事商業郵件詐騙（BEC），導致至少3百萬美元損失。</p> <p>Saim Raza提供的犯罪工具相當多元，涵蓋網釣工具包、詐欺網頁、電子郵件截取工具，而這些往往會被用於網路詐騙。這些駭客不光提供作案工具，還透過YouTube影片提供逐步操作的教學，使得缺乏相關技能的駭客也能使用。</p> <p>荷蘭國家警察局<a href="https://www.politie.nl/nieuws/2025/januari/27/09-verstoringsactie-deelt-klap-uit-aan-crimineel-cybernetwerk-heartsender.html">也對這次執法行動提出說明</a>，他們指出Saim Raza擁有數千名客戶，提供的工具能對網頁伺服器管理系統cPanel、SMTP寄信伺服器、WordPress帳號下手，使得買家能夠入侵受害組織的基礎設施。</p> <p>值得留意的是，荷蘭國家警察局也在Saim Raza的資料裡發現數百萬筆帳密資料，其中約有10萬筆來自荷蘭，他們也提供專屬網頁供民眾查詢，確認自己的帳號及密碼是否流入這些駭客的手裡。</p> </div></div></div>
2025/2/4 12:23作者周峻佑https://www.ithome.com.tw/news/167190
Microsoft Defender 2月底終止免費VPN功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟Microsoft 365今年起漲價，同時間<a href="https://support.microsoft.com/en-us/topic/end-of-support-privacy-protection-vpn-in-microsoft-defender-for-individuals-8b503da5-732a-4472-833a-e2ddca53036a#cw" target="_blank">宣布</a>免費Microsoft Defender 2月底將不再提供VPN服務，需要的用戶必須訂閱Microsoft 365。</p> <p>Windows Central首先<a href="https://www.windowscentral.com/microsoft/microsoft-is-killing-its-free-vpn-with-microsoft-365-subscriptions-just-days-after-increasing-prices" target="_blank">報導</a>，微軟近日公告，自2025年2月28日起，將從Microsoft Defender App移除VPN服務。</p> <p>微軟理由是，公司定期評估其功能的使用率和效果結果，使其決定移除此一隱私防護功能，而改投資於其他功能上。未來要使用VPN的消費者，必須訂閱Microsoft 365（M365）個人或家庭版方案。</p> <p>微軟強調M365提供信用卡資訊及60多種個資防護、24x7身份盜竊支援，及100萬美元身份盜竊保險，以及財物損失追訴的法律和專家費用最高10萬美元（上述皆只提供美國用戶）。</p> <p>2月28日一到，Defender Android版用戶會被要求移除裝置上的VPN檔案。微軟建議移除，雖然不移除不會怎麼樣，但在Defender App中也沒有用了。用戶可以在「設定」>「VPN」下找到「Microsoft Defender」，再點入「info」圖示移除。</p> <p>Windows、iOS及macOS用戶無需採取行動。此外，iOS裝置上，VPN網頁防護（釣魚網站防護）仍可持續使用。微軟解釋，iOS平臺上的VPN網頁防護和本機（loop-back）VPN和Defender App的VPN不同，因而不受影響。</p> <p>這項宣布顯然是為了鼓勵／迫使消費者用戶購買Microsoft 365。微軟去年底<a href="https://www.ithome.com.tw/news/165938" target="_blank">終止</a>支援免費的Windows Mail、Calendar、Contacts，要求需要的用戶訂閱M365。同時，微軟以增加了Copilot為由，調高Microsoft 365的訂閱費用，不需要Copilot的使用者必須自行到設定頁中<a href="https://www.ithome.com.tw/news/167015" target="_blank">調整</a>為傳統型M365方案，否則會被增加訂閱費。</p> </div></div></div>
2025/2/4 11:16作者林妍溱https://www.ithome.com.tw/news/167189
OpenAI o1模型將登上美國家實驗室超級電腦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國能源局下的洛斯阿拉莫斯國家實驗室（Los Alamos National Laboratory，LANL）與OpenAI<a href="https://www.lanl.gov/media/news/0130-open-ai" target="_blank">宣布合作</a>，將在超級電腦導入推理AI模型o1於能源與國家安全應用程式。</p> <p>LANL去年<a href="https://www.ithome.com.tw/news/162463" target="_blank">導入</a>使用2,560顆Nvidia GH200 Grace Hopper Superchip的HPE Cray EX伺服器，打造Venado超級電腦。最新合作則將在Venado上安裝OpenAI o系列模型，以執行國家安全研究，及能源相關的研究專案。</p> <p>去年春天美國政府號召AI民間業者加入促進國家安全計畫，有包括Google、微軟與OpenAI等公司響應。同年10月LANL先行和OpenAI合作推動改善o1模型的AI安全性，並評估其推理能力的專家。現在o1模型已經廣泛用於多座美國國家實驗室執行數百個應用，涵括能源任務、設計新材質，以及發展量子演算法。而o1用在機密系統則可促進國家安全。</p> <p>另一方面，Venado機器也將移往更安全的國家機密網路上，這個安全網路是由能源局下的實驗室包括LANL和勞倫斯利佛摩（Lawrence Livermore）國家實驗室，以及桑迪亞國家實驗室（Sandia National Labs）研究人員共用。</p> <p>上星期OpenAI也<a href="https://www.ithome.com.tw/news/167172" target="_blank">公布</a>ChatGPT Gov的政府AI服務，讓美國政府單位可在微軟Azure商用雲與政府雲中自行部署ChatGPT工具而不用擔心資料外洩。</p> </div></div></div>
2025/2/4 10:10作者林妍溱https://www.ithome.com.tw/news/167186
【資安日報】2月3日，蘋果針對旗下設備修補今年第一個零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在一月底農曆新年過年之前，蘋果對於旗下產品發布作業系統更新，範圍涵蓋電腦、行動裝置、穿戴裝置、影音播放裝置，但引起外界關注的是，其中已有一項漏洞被用於實際的攻擊行動。</p> <p>針對這項漏洞的資訊，蘋果並未透露太多資訊，僅表示遭到攻擊的裝置存在共通點，那就是它們搭配的作業系統早於iOS 17.2版。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167181"><strong style="font-size: 22px;">蘋果修補存在電腦與行動裝置的零時差漏洞，傳出已用於攻擊iPhone用戶</strong></a></p> <p>1月27日蘋果針對旗下電腦、行動裝置、穿戴裝置、影音播放裝置發布macOS Sequoia 15.3、iOS 18.3、iPadOS 18.3、watchOS 11.3、visionOS 2.3、tvOS 18.3作業系統更新，當中修補一項已被用於實際攻擊行動的高風險漏洞CVE-2025-24085而引起關注，因為這是蘋果今年首度修補的零時差漏洞。</p> <p>這項零時差漏洞出現在CoreMedia元件，屬於記憶體釋放後再被利用（Use After Free）類型的弱點，攻擊者有機會透過惡意應用程式觸發，從而提升權限，該公司表示已透過改善記憶體管理機制來緩解。此漏洞的CVSS風險評為7.8，位居高風險的威脅層級，美國網路安全暨基礎設施安全局（CISA）於1月29日將其加入已被利用的漏洞列表（KEV），並要求聯邦機構必須於2月19日前完成修補。</p> <p>值得留意的是，蘋果表示他們掌握這項弱點被用於攻擊iPhone的情況，這些被鎖定的目標有個共通點，它們搭配的iOS作業系統都是早於17.2版。至於究竟有多少用戶受害？該公司並未進一步說明。</p> <p><a href="https://www.ithome.com.tw/news/167183"><strong style="font-size: 22px;">合勤CPE設備存在零時差漏洞，傳出已被用於散布殭屍網路Mirai變種</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/67994153bf8f21608a6aa4df_67994148e9c3140e692128d0_Screenshot20atE2AFPM.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/67994153bf8f21608a6aa4df_67994148e9c3140e692128d0_Screenshot20atE2AFPM.png" style="float: right; width: 300px;" /></a></p> <p>去年7月底資安業者VulnCheck揭露一批可被用於作為初始入侵管道的漏洞，其中一個存在於合勤科技（Zyxel Communications）CPE通訊設備的漏洞CVE-2024-40891，引起資安業者GreyNoise的注意，因為這項漏洞迄今並未得到修補，也沒有公開相關細節，但他們近期察覺有人將其用於散布殭屍網路Mirai變種的情況。對此，我們也向合勤科技的關係企業兆勤科技（Zyxel Networks）詢問此事，該公司初步表示，此批受影響的設備生命週期已經結束（EOL）多年，現行產品線不受影響。</p> <p>針對這起攻擊行動發現的過程，GreyNoise安全研究暨偵測工程資深經理Glenn Thorpe表示，他們最初在1月21日發現這項漏洞被積極利用的現象，攻擊者利用這項重大層級的命令注入漏洞，針對合勤旗下的CPE系列網路設備發動攻擊，從而在這些設備執行任意命令，從而完全滲透系統、資料洩漏，或是入侵網路環境。GreyNoise研究團隊透過物聯網裝置搜尋引擎Censys尋找曝險裝置，結果他們找到超過1,500臺合勤設備，這些設備大部分位於菲律賓，但土耳其、英國、法國也有裝置曝險。</p> <p><a href="https://www.ithome.com.tw/news/167169"><strong style="font-size: 22px;">爆紅中國AI服務DeepSeek資料庫配置錯誤，機敏事件記錄資料外洩</strong></a></p> <p>中國人工智慧公司DeepSeek因其模型DeepSeek-R1表現亮眼而備受關注，不過，雲端資安公司Wiz研究團隊發現，DeepSeek服務存在重大資安漏洞，導致大量機密日誌資料外洩。研究人員在進行例行性安全評估時，發現DeepSeek的ClickHouse資料庫對外開放，未設定任何身分驗證機制，允許任何人存取內部資料，甚至掌握完整的資料庫控制權限。</p> <p>Wiz研究人員Gal Nagli表示，他們透過網域探測技術發現DeepSeek旗下多個公開網域，其中部分開放特定HTTP連接埠，進一步檢測後確認ClickHouse資料庫可透過9000及8123連接埠直接存取，且無需提供任何驗證資訊。這個資料庫包含超過百萬筆事件記錄資料，涵蓋聊天記錄、API金鑰、內部服務資訊、目錄結構與營運相關細節。更具風險的是，研究人員發現該ClickHouse資料庫允許透過HTTP介面執行任意SQL查詢，攻擊者不僅能存取內部資料，還可能透過特定查詢獲取機密資訊，進一步擴大攻擊影響範圍。</p> <p><strong style="font-size: 22px;">欣興電子、美亞鋼鐵、南亞電路板發布重大訊息，證實部分資訊系統遭遇網路攻擊</strong></p> <p>從上週末到今天，陸續有三家上市高科技製造業公司發布重大訊息，分別是：<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=213800&SPOKE_DATE=20250201&COMPANY_ID=3037">欣興電子</a>、<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=151432&SPOKE_DATE=20250202&COMPANY_ID=2020">美亞鋼鐵</a>、<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=62021&SPOKE_DATE=20250203&COMPANY_ID=8046">南亞電路板（南電）</a>，揭露有部分資訊系統遭遇網路攻擊的情況，並表示他們已啟動相關防禦機制因應，對於公司營運影響有限。</p> <p>值得一提的是，欣興電子與南亞電路板兩家PCB廠商之所以發布重訊，都是因為位於中國的子公司遭遇網路攻擊，欣興電子公告的部分，是子公司聯能科技遭受勒索軟體攻擊，另一家有資安事故的企業南亞電路板，則是揭露昆山子公司偵測到攻擊行為後，資訊部門啟動復原作業。兩起事故敘述方式雖然不同，但由於勒索軟體通常會造成企業資料遭綁架而必須執行資料復原作業，因此，很難不讓人聯想兩者可能是同類型的資安事故。</p> <p>美亞鋼鐵提及他們的網頁受到攻擊，並表示根據他們的初步評估，沒有個資或內部文件外洩的情況，依此判斷應該不是勒索軟體攻擊。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-syncjacking-attack-hijacks-devices-using-chrome-extensions/">資安業者揭露瀏覽器同步挾持手法Syncjacking，攻擊者可藉由惡意延伸套件控制電腦</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-aquabotv3-botnet-malware-targets-mitel-command-injection-flaw/">殭屍網路病毒Aquabot鎖定Mitel網路電話而來，利用命令注入漏洞滲透設備</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/indian-tech-giant-tata-technologies-hit-by-ransomware-attack/">印度科技龍頭Tata證實遭遇勒索軟體攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/mizuno-usa-says-hackers-stayed-in-its-network-for-two-months/">運動用品製造商Mizuno美國子公司證實遭到入侵，駭客在內部網路環境活動長達2個月</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/backdoor-found-in-two-healthcare-patient-monitors-linked-to-ip-in-china/">美國警告中國醫療設備恐存在後門，將病人資料外流</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167148"><strong style="font-size: 22px;">速霸陸車聯網存在重大漏洞，攻擊者恐遠端控制車輛</strong></a></p> <p>資安研究人員Shubham Shah與Sam Curry發現，速霸陸（Subaru）車聯網系統Starlink的管理面板存在重大安全漏洞，此漏洞允許攻擊者利用車主個人基本資訊對車輛進行遠端控制，包括啟動引擎、解鎖車門，以及查詢精確到5公尺內的車輛歷史位置記錄。該漏洞影響範圍廣泛，涵蓋所有美國、加拿大及日本連接Starlink的車輛。經研究人員回報後，速霸陸已在24小時內完成修補，並聲明未發現有惡意濫用的情況。</p> <p>此次安全事件的核心問題在於，攻擊者只需極少的車主資訊例如姓氏和郵遞區號，便能存取並控制特定車輛。此外，管理面板還可存取車主的個人資料，如地址、緊急聯絡人及帳單資訊，甚至能查詢過去一年車輛位置記錄。這些資訊的洩露不僅侵犯個人隱私，更可能被有心人士用於惡意目的，例如精確追蹤車輛位置。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167184"><strong style="font-size: 22px;">行政院要求公務機關全面禁用AI服務DeepSeek</strong></a></p> <p>近期受到外界關注的DeepSeek，行政院在今天宣布，基於國家資通安全考量，公務機關全面禁用DeepSeek AI服務。</p> <p>在農曆過年假期間，數位部就已緊急宣布全面禁用DeepSeek AI服務，以確保國家資通安全。今天為假期過後的開工第一天，行政院長卓榮泰召開政務會議，包括行政院副院長鄭麗君、秘書長龔明鑫、發言人李慧芝，以及陳時中、劉鏡清、吳誠文、陳金德、楊珍妮、季連成、史哲、林明昕等政務委員、國科會副主委陳炳宇等人與會，並就中國業者提供DeepSeek AI服務可能產生的資安疑慮討論，會後卓榮泰要求公務機關全面禁用Deepseek AI服務，以確保國家資通安全。</p> <p>卓榮泰在會議中表示，DeepSeek AI服務的資料來源取得有違反著作權法相關法規的疑慮，並且其在模型訓練上也有思考審查、限制資料的問題，此外，使用其服務可能使資料傳送至中國，在尚未釐清及排除疑慮之下，可能違反個資保護、侵害隱私，基於國家資通安全考量下，數位部已警示公務機關及關鍵基礎設施限制使用DeepSeek AI產品。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/167151"><strong>【1月24日】印度駭客組織DoNot假借提供即時通訊軟體的名義散布惡意程式</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167142"><strong>【1月23日】中國駭客入侵韓國VPN業者IPany發動供應鏈攻擊，竄改安裝程式散布後門</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167118"><strong>【1月22日】陞泰IP攝影機已知漏洞再傳遭到Mirai變種殭屍網路鎖定</strong></a></p> </div></div></div>
2025/2/3 18:05作者周峻佑https://www.ithome.com.tw/news/167185
合勤CPE設備存在零時差漏洞，傳出已被用於散布殭屍網路Mirai變種
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年7月底<a href="https://vulncheck.com/blog/initial-access-intelligence-july-2024">資安業者VulnCheck揭露一批</a>可被用於作為初始入侵管道的漏洞，其中一個存在於合勤科技（Zyxel Communications）CPE通訊設備的漏洞CVE-2024-40891，<a href="https://www.greynoise.io/blog/active-exploitation-of-zero-day-zyxel-cpe-vulnerability-cve-2024-40891">引起資安業者GreyNoise的注意</a>，因為這項漏洞迄今並未得到修補，也沒有公開相關細節，但他們近期察覺有人將其用於散布殭屍網路Mirai變種的情況。對此，我們也向合勤科技的關係企業兆勤科技（Zyxel Networks）詢問此事，該公司初步表示，此批受影響的設備生命週期已經結束（EOL）多年，現行產品線不受影響。</p> <p>針對這起攻擊行動發現的過程，GreyNoise安全研究暨偵測工程資深經理Glenn Thorpe表示，他們最初在1月21日發現這項漏洞被積極利用的現象，攻擊者利用這項重大層級的命令注入漏洞，針對合勤旗下的CPE系列網路設備發動攻擊，從而在這些設備執行任意命令，從而完全滲透系統、資料洩漏，或是入侵網路環境。GreyNoise研究團隊透過物聯網裝置搜尋引擎Censys尋找曝險裝置，結果他們找到超過1,500臺合勤設備，這些設備大部分位於菲律賓，但土耳其、英國、法國也有裝置曝險。</p> <p>對於這項弱點的揭露，Glenn Thorpe提及這項弱點起初並未登記CVE編號，去年VulnCheck首度公布時，他們是以Zyxel CPE Telnet Command Injection表示這項弱點，直到兩家資安業者合作調查攻擊事故，才確認GreyNoise觀察到的攻擊流量就是利用這項漏洞。由於已出現數量龐大的攻擊行動，兩家資安業者決定在沒有與合勤進行協調之下公開此事。</p> <p>針對攻擊行動的調查，Glenn Thorpe表示他們根據攻擊來源IP位址進行比對，確認是其中一種近期出現的Mirai變種，部分版本的殭屍網路病毒會利用CVE-2024-40891來入侵設備。</p> </div></div></div>
2025/2/3 17:02作者周峻佑https://www.ithome.com.tw/news/167183
行政院要求公務機關全面禁用DeepSeek AI服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期受到外界關注的DeepSeek，行政院在今天（2/3）宣布，基於國家資通安全考量，公務機關全面禁用Deepseek AI服務。</p> <p>在農曆過年假期間，數位部就已緊急宣布全面禁用Deepseek AI服務，以確保國家資通安全。今天為假期過後的開工第一天，行政院長卓榮泰召開政務會議，包括行政院副院長鄭麗君、秘書長龔明鑫、發言人李慧芝，以及陳時中、劉鏡清、吳誠文、陳金德、楊珍妮、季連成、史哲、林明昕等政務委員、國科會副主委陳炳宇等人與會，並就中國業者提供DeepSeek AI服務可能產生的資安疑慮討論，會後卓榮泰要求公務機關全面禁用Deepseek AI服務，以確保國家資通安全。</p> <p>卓榮泰在會議中表示，DeepSeek AI服務的資料來源取得有違反著作權法相關法規的疑慮，並且其在模型訓練上也有思考審查、限制資料的問題，此外，使用其服務可能使資料傳送至中國，在尚未釐清及排除疑慮之下，可能違反個資保護、侵害隱私，基於國家資通安全考量下，數位部已警示公務機關及關鍵基礎設施限制使用DeepSeek AI產品。</p> <p>行政院重申在2019年公布「各機關對危害國家資通安全產品限制使用原則」，要求中央及地方機關（構）、公立學校、公營事業、行政法人，以及自行或委外營運提供公眾活動或使用場地，限制使用危害國家資通安全產品。因此，要求公務機關原則全面禁用Deepseek AI服務。</p> <p>至於研究用途，數位部指出，公立大學及研究機構如有使用需求，依規定報准核可後則可使用。</p> <p>行政院政委暨國科會主委吳誠文建議，如果國內大學及研究機構有學術研究用途需求，可以不含個資及資料的電腦單機下載並斷網使用較為安全。</p> <p>行政院也要求中央目的事業主管機關督導資通安全管理法指定的關鍵基礎設施業者及政府捐助的財團法人參考辦理，確保國家資通安全。</p> <p>對於政府推動智慧國家2.0政策，擴大AI技術及應用，考量到AI技術及應用發展快速，卓榮泰也在政務會議中要求相關政務委員，加強補足AI基本法及資料治理相關法規，供公務機關、民間參考依據，以加速AI應用產業面發展。</p> </div></div></div>
2025/2/3 17:45作者蘇文彬https://www.ithome.com.tw/news/167184
蘋果修補存在電腦與行動裝置的零時差漏洞，傳出已用於攻擊iPhone用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>1月27日蘋果針對旗下電腦、行動裝置、穿戴裝置、影音播放裝置發布<a href="https://support.apple.com/zh-tw/122068">macOS Sequoia 15.3</a>、<a href="https://support.apple.com/zh-tw/122066">iOS 18.3、iPadOS 18.3</a>、<a href="https://support.apple.com/zh-tw/122071">watchOS 11.3</a>、<a href="https://support.apple.com/zh-tw/122073">visionOS 2.3</a>、<a href="https://support.apple.com/zh-tw/122072">tvOS 18.3</a>作業系統更新，當中修補一項已被用於實際攻擊行動的高風險漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-24085">CVE-2025-24085</a>而引起關注，因為這是蘋果今年首度修補的零時差漏洞。</p> <p>這項零時差漏洞出現在CoreMedia元件，屬於記憶體釋放後再被利用（Use After Free）類型的弱點，攻擊者有機會透過惡意應用程式觸發，從而提升權限，該公司表示已透過改善記憶體管理機制來緩解。此漏洞的CVSS風險評為7.8，位居高風險的威脅層級，美國網路安全暨基礎設施安全局（CISA）於1月29日<a href="https://www.cisa.gov/news-events/alerts/2025/01/29/cisa-adds-one-known-exploited-vulnerability-catalog">將其加入已被利用的漏洞列表（KEV）</a>，並要求聯邦機構必須於2月19日前完成修補。</p> <p>值得留意的是，蘋果表示他們掌握這項弱點被用於攻擊iPhone的情況，這些被鎖定的目標有個共通點，它們搭配的iOS作業系統都是早於17.2版。至於究竟有多少用戶受害？該公司並未進一步說明。</p> </div></div></div>
2025/2/3 15:17作者周峻佑https://www.ithome.com.tw/news/167181
Apple開源Xcode建置引擎Swift Build，目標統一跨平臺建置體驗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Apple<a href="https://www.swift.org/blog/the-next-chapter-in-swift-build-technologies/">宣布</a>Xcode內部使用多年的Swift Build建置引擎開源，並同步支援Linux與Windows平臺，讓Swift開發者在macOS之外的環境，也能使用相同的建置技術。這代表Swift語言的跨平臺生態系將獲得更一致的建置環境，開發者無論在何種作業系統或整合式開發環境下，都能獲得相同的開發體驗。</p> <p>Swift Build是Xcode主要的建置引擎，支援數百萬款在App Store上架的應用程式建置，也同時用於Apple自家作業系統的內部建置流程。隨著該工具以開放原始碼的形式釋出，未來將能與Swift編譯器進行更全面的協同運作，預期有助於鞏固Swift在各平臺上的應用基礎。</p> <p>Apple在宣告開源計畫的同時，也提到Swift Build其實是建立在llbuild專案的基礎之上，能夠與Swift編譯器深入協同運作。Swift Build擁有可擴充性高、產品類型支援廣泛等優勢，可以應付從函式庫到命令列工具、甚至GUI應用程式的建置需求，同時擁有較高的平行處理能力與穩定度。這些能力將讓開發者在大型專案中更有效率地進行建置，不但縮短反覆修改程式碼後的等待時間，也提升了開發專案整體的生產力。</p> <p>Swift Build的開源，最直接的影響是開發者將可直接存取與貢獻這個建置引擎的程式碼，有望在未來透過社群合作修正錯誤、最佳化以及擴充新的建置功能。對已在使用Swift的開發者而言，最大的好處在於，未來將不必再面臨Swift Package Manager（SwiftPM）與Xcode兩套建置邏輯不一致的混淆。SwiftPM在整合這套建置引擎之後，將帶來相同的建置行為與輸出結果，並減少跨平臺或跨開發工具時可能遇到的差異，也替部分過去只能在Xcode上運作的建置功能帶來更廣泛的適用性。</p> <p>Apple期望藉由社群力量推動Swift語言的進步與普及。開發團隊已釋出用以支援Swift Build的初始整合程式碼，並表示將透過拉取請求方式，在SwiftPM中逐步整合這套建置引擎。預計整合完成後，開發者將在各平臺上體驗到更一致的建置流程，之後也能以更快的速度取得新功能更新與修正。</p> <p>雖然目前仍有部分細節待完善，Apple也呼籲社群積極參與這項工作，並開放效能調校、錯誤修復以及新功能規畫等層面的討論。在社群自下而上的貢獻，Swift Build作為開放生態系的一環，也被視為串起Swift語言在伺服器端、桌面端與行動端的關鍵。</p> </div></div></div>
2025/2/3 15:35作者李建興https://www.ithome.com.tw/news/167182
OpenAI也推可自動執行多步驟線上研究的Deep Research
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI<a href="https://openai.com/index/introducing-deep-research/">推出</a>Deep Research功能，能夠整合網路上大量分散資訊，自動執行多步驟研究，最後產出報告結果。根據官方資料，該系統利用端對端的強化學習技術，經由大量針對困難瀏覽與推理任務的訓練，學會自主規畫並執行多步驟資訊搜尋流程。藉由與內建Python工具的整合，Deep Research不僅能夠繪製圖表、嵌入網站圖片，還能精確引用來源文字，以滿足研究報告對技術性與細節的需求。</p> <p>從技術層面來看，Deep Research採用了強化學習與多模態推理相結合的方法，使得系統能夠根據使用者的提示自動調整搜尋策略。該模型可以在需要時主動回溯與調整搜尋路徑，進而應對網路上資訊量龐大且複雜的內容彙整挑戰。此外，其內建的Python工具能夠動態生成與迭代圖形，並將分析結果嵌入最終的報告中。Deep Research不僅可提供資料視覺化效果，也大幅降低了人力整理資訊的負擔。</p> <p>根據OpenAI內部評估結果，在Humanity's Last Exam這項涵蓋多領域專家級問題的測試中，Deep Research取得了26.6％的準確率，相較於其他先進的語言模型，諸如OpenAI o3-mini_high 13.0％、DeepSeek-R1 9.4％與OpenAI o1 9.1％，Deep Research具有高精確的優勢。</p> <p>另一項在GAIA基準測試平臺進行的試驗顯示，在面對3個不同難度等級的問題時，Deep Research在pass@1測試中，準確率分別達到74.29％、69.06％與47.6％，平均分67.36％，而在更密集的cons@64測試下，其各難度平均準確率更達到72.57％，這些資料呈現出Deep Research在多步驟推理、網頁瀏覽與工具運用上的綜合能力。</p> <p>Deep Research目前主要提供給Pro用戶使用，未來將逐步擴展至Plus、Team與Enterprise等更多使用者。OpenAI表示，除了目前能夠存取的開放網路資料外，未來Deep Research還將連接更多專業訂閱資源與內部資料庫，以進一步提升報告資訊的豐富性與精準性。</p> <p>在去年底時，Google就在其Gemini服務中<a href="https://www.ithome.com.tw/news/166493">加入</a>了的Deep Research功能，採用Gemini 1.5 Pro模型，代使用者上網搜尋並深入研究複雜主題，生成條理清晰的報告，並支援直接匯出至Google Docs。史丹佛大學也推出類似Deep Research的研究計畫，稱之為<a href="https://storm.genie.stanford.edu">STORM</a>，採用Bing搜尋引擎尋找網路資料，助使用者編寫類似維基百科的文章。</p> </div></div></div>
2025/2/3 12:46作者李建興https://www.ithome.com.tw/news/167180
傳蘋果取消AR眼鏡計畫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>彭博<a href="https://www.bloomberg.com/news/articles/2025-01-31/apple-scraps-work-on-mac-connected-augmented-reality-glasses" target="_blank">報導</a>，蘋果可能又取消了一個AR眼鏡開發專案，使蘋果智慧眼鏡之路再添變數。</p> <p>報導指出，蘋果取消的是一個代號為N107的計畫，據說原欲用於對抗Meta的輕量型智慧眼鏡。N107細節不明，主要是外型和一般眼鏡類似，有個顯示螢幕可連結Mac電腦，但可能不含攝影機，也沒有混合實境功能。N107輕巧外型解決了Vision Pro體積龐大及3,499美元高價格的不利因素，但它不僅如此，還有個變色鏡片發揮類似Vision Pro的Eye Sight，可在偵測到使用者前方有人時顯示用戶的「數位化眼睛」，讓他人得以「看到」用戶的眼神以便用戶和外界互動。</p> <p>根據報導，N107原本設計是要連接到iPhone上執行，卻因過於耗電，不得已才改為連結Mac電腦。然而新設計在測試階段未獲得管理階層同意。</p> <p>稍早The Information<a href="https://www.ithome.com.tw/news/166804" target="_blank">報導</a>蘋果可能取消Vision Pro第二代的計畫，而改開發較低價的版本，因為定價過高及欠缺殺手級應用影響銷售量，迫使蘋果下修Vision Pro銷售預測，代工廠去年就已生產出今年需要的數量，報導指出蘋果去年底已暫停生產第一代Vision Pro（下圖），以轉為生產較低價版的Vision Pro。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0203-Apple-Vision-Pro.png" style="width: 450px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／蘋果</span></span></p> <p>如果蘋果真的未在今年公布智慧眼鏡，可能要更加落後競爭者。Meta以Quest系列站穩VR眼鏡領先者地位後，2021年<a href="https://www.ithome.com.tw/news/146641" target="_blank">推出</a>和一般眼鏡類似的智慧眼鏡Ray-Ban Stories。去年10月<a href="https://www.ithome.com.tw/news/165199" target="_blank">公布</a>的Orion（下圖）重僅100公克、更接近理想中的AR眼鏡。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0203-meta%20quest%20orion.png" style="width: 433px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Meta</span></span></p> <p>Google屢敗屢戰，專注發展智慧眼鏡作業系統Android XR，和三星<a href="https://www.ithome.com.tw/news/166517" target="_blank">合作開發</a>XR裝置Project Moohan，並在今年CES<a href="https://mashable.com/article/samsung-unpacked-xr-headset-project-moohan-teased" target="_blank">展示</a>（下圖）。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0203-samsung%20ces%2025-android%20xr-project%20moohan.png" style="width: 390px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／三星</span></span></p> </div></div></div>
2025/2/3 11:44作者林妍溱https://www.ithome.com.tw/news/167179
Mistral開源Mistral Small 3 24B，稱效能超越3倍大的Llama 3.3
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>法國AI新創公司Mistral AI上周<a href="https://mistral.ai/news/mistral-small-3/" target="_blank">公布</a>開源高速、低延遲的模型Mistral Small 3 24B，效能超越參數量3倍大的Llama 3.3 70B。</p> <p>Mistral Small 3是為了能完成80%生成式AI任務而以指令預訓練的模型，參數量240億，以便在本地部署且仍能提供強大效能。Mistral表示，Mistral Small 3比競爭模型少很多層，大幅縮短每次前向傳遞（forward pass）的時間。它在MMLU測試精準度達81%，延遲性為150 token/s。Mistral Small也是目前同類別中最有效率的模型。</p> <p>以標竿測試表現而言，Mistral Small 3在MMLU、Math、GPQA Main都超越Llama 3.1 70B和Google Gemma 2 27B，而在不同語言的MMLU測試中，Mistral Small也都超越Llama 3.1 70B及Gemma 2 27B（但落後於Qwen 2.5-32B）。</p> <p>這家新創公司指出，Mistral Small 3 24B模型適用場景包括反應快速的口語協助、低延遲的函式呼叫、微調後自建特定領域專家、以及在PC或Mac平臺上執行本地推論。經過量化（quantized）壓縮的Mistral Small 3可執行在單一顆RTX 4090或一臺具32GB RAM的MacBook上。該公司稱Mistral Small 3已有金融、醫療、機器人/自動化/製造業客戶評估中。水平使用場景則包含客服和情感與回饋分析。</p> <p>Mistral以Apache 2.0授權開源預訓練和指令微調的check point版本。這些checkpoint版本可作為其他開發人員改進的基礎。業者相信，和最近爆紅的開源推理模型像是DeepSeek類似，Small 3也可促進AI推理能力的演進。</p> <p>但Mistral提醒，Mistral Small 3不是以強化學習和合成資料訓練，因此在AI模型產製上屬於較前期結果，不像新興的DeepSeek R1那麼成熟。</p> <p>Small 3 24B模型已以Apache 2.0授權在la Plateforme開源，顯示名稱為mistral-small-latest或mistral-small-2501。Mistral AI同時也公告，該公司逐漸捨棄非傳統開源MRL授權，因而其通用模型也將改用Apache 2.0授權。因此連同Mistral Small 3，其模型權重也可開放下載於本地供自由修改和使用，或在la Plateforme開放Mistral AI本地部署及VPC環境、客製化和協同平臺、以及其推論與雲端合作夥伴平臺上以serverless API存取。需要特殊能力（像是加快速度和加大context、特定領域知識、特殊任務能力如完成程式撰寫等）的企業和開發人員，也可以在Mistral Small 3之外再使用額外的商用模型補強。</p> <p>Mistral AI也和AI平臺包括Hugging Face、Ollama、Kaggle、Together AI、IBM watsonx和Fireworks AI等合作上架Small 3模型。不久之後也會在Nvidia NIM、Amazon SageMaker、Groq、Databricks和Snowflake上架。</p> </div></div></div>
2025/2/3 10:58作者林妍溱https://www.ithome.com.tw/news/167178
OpenAI具推理能力的模型o3-mini正式推出
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼兩周前執行長Sam Altman<a href="https://www.ithome.com.tw/news/167048" target="_blank">預告</a>，OpenAI上周<a href="https://openai.com/index/openai-o3-mini/" target="_blank">宣布</a>具推理能力的小型AI模型OpenAI o3-mini，已部署到ChatGPT及API供付費方案用戶及開發人員使用。</p> <p>OpenAI是於去年12月新消息12連發中，<a href="https://www.ithome.com.tw/news/166617" target="_blank">公布</a>最新一代具推理能力的旗艦模型o3，並預告o3-mini將是最先推出的同系列模型。</p> <p>OpenAI指出，o3-mini保有OpenAI o1-mini的低成本及低延遲性，但進一步拓展小模型的效能及速度，具備優異的STEM（科學、數學和程式撰寫）能力。o1仍是OpenAI最主要的通用知識推理模型，但是在需要精準和速度的STEM領域o3-mini提供另類選擇。在ChatGPT中，o3-mini使用中等推理能力，兼顧速度和答案的精準性。</p> <p>對開發人員而言，o3 mini也是OpenAI第一個提供高呼聲開發功能的小型模型，像是函式呼叫、結構式輸入及開發人員訊息等。和o1-mini相同，o3-mini也支援串流。開發人員有低、中、高三種推理能力，可以選擇用於不同使用場景。這種彈性讓o3-mini可以在解決複雜任務時更積極思考，或是在考量延遲性時優化速度。</p> <p>根據OpenAI提供的數據，在AIME 2024數學標竿測試中，o3-mini-high推理能力等級模型得分在87.3，優於o1-preview的56.7及o1-mini的63.6。科學解題的GPQA Diamond測試中，o3-mini-high（79.7）也高於o1-preview（78.3）及o1-mini（60.0）。程式競賽測試（Codeforces）及軟體工程（SWE-bench Verified）測試中，o3-mini-high也都高過另二個前代模型。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0203-OpenAI%20o3-mini_Competition%20Math%20(AIME%202024).png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／OpenAI</span></span></p> <p>o3-mini現在也能整合搜尋功能，可提供即時網頁答案及連結。OpenAI說致力於將搜尋整合至所有推理模型，o3-mini是早期原型。</p> <p>不過目前o3並不支援視覺功能，需要的用戶還是得繼續使用o1-mini。</p> <p>o3-mini現在已部署到ChatGPT及API。API部分，即日起o3-mini已經部署到API使用層級3到5特定開發人員的Chat Completions API、Assistants API及Batch API。</p> <p>在ChatGPT部分，Plus、Team和Pro用戶現在就可以存取o3-mini，企業方案用戶2月可以開始使用。在模型選擇器中的o1-mini將由o3-mini取代，提供更高速限和更低延遲性。Plus和Team用戶每天互動訊息，由o1-mini的50則提高為o3-mini的150則。所有付費用戶都可以在模型選擇器，選擇回應時間耗時較久的o3-mini-high，Pro用戶則可以無上限選擇o3-mini及o3-mini-high。</p> <p>免費方案用戶也可以試用o3-mini，方法是選擇訊息輸入列的「Reason」圖示。o3也是第一個提供給免費ChatGPT用戶的推理模型。</p> <p>OpenAI指出，由於持續提升模型數理推理能力，和GPT-4相比，現在OpenAI的模型每字詞使用價格已降低95%，未來該公司會持續朝此發展。</p> <p>OpenAI此舉顯然部分是回應橫空出世的中國新興開源模型DeepSeek。DeepSeek V3模型多項效能測試超越Meta Llama，令美國AI科技公司繃緊神經，加快研發及推出作業。</p> </div></div></div>
2025/2/3 10:09作者林妍溱https://www.ithome.com.tw/news/167177
功率達1,250瓩，施耐德電機增設佔地1.2平方公尺的三相UPS
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/shi_nai_de_galaxy_vxl_ups_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼2021年上半施耐德電機（Schneider Electric）推出三相不斷電系統（3 Phase UPS）<a href="https://www.ithome.com.tw/review/145010">Galaxy VL系列</a>，2024年12月初該公司終於發表新款產品Galaxy VXL系列，這批解決方案主打高效率、體型緊緻、延展性、備援，可涵蓋500至1,250瓩（千瓦，kW）的電力，提供強化的資安、軟體與安全性特色，僅需1.2平方公尺的佔地面積，就供電功率密度而言，每平方公尺可達1,042瓩，而且，在世界各地設置時，均可供應400伏特的電壓，具有最高等級的電力傳輸效能，可因應AI、主機代管、超大型資料中心，以及商業建築物與工業廠區的巨型關鍵基礎設施、電力系統環境的營運需求。</p> <p>就最大供電能力而言，比起施耐德電機既有的資料中心三相UPS產品，Galaxy VXL系列僅次於<a href="https://www.ithome.com.tw/review/113818">2017年推出的Galaxy VX系列（500至1,500瓩）</a>。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Galaxy VXL-2024-12-announced.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Galaxy%20VXL-2024-12-announced.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-Galaxy%20V%20Series.jpg" style="width: 298px;" /> <a href="https://s4.itho.me/sites/default/files/images/2024-12-Galaxy V Series.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-12-Galaxy%20V%20Series.jpg" style="width: 298px;" /></a></p> <p>在擴充能力與負載容錯的設計上，Galaxy VXL系列能透過置入3U機架高度、配備125瓩（12.5萬瓦）的供電模組（Power Module），逐步增加UPS電量，而且支援熱插拔（Live Swap）；</p> <p><a href="https://s4.itho.me/sites/default/files/images/Ga%3Baxy VXL-Power Modules.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Ga%3Baxy%20VXL-Power%20Modules.jpg" style="width: 298px;" /></a><a href="https://s4.itho.me/sites/default/files/images/Galaxy VXL UPS 125 kW Power Module%2C 400V.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Galaxy%20VXL%20UPS%20125%20kW%20Power%20Module%2C%20400V.jpg" style="width: 298px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-12-10-Galaxy%20VXL.jpg" style="width: 298px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/Galaxy%20VXL-Power%20Modules.jpg" style="width: 298px;" /></p> <p>若以單座UPS機櫃而言，Galaxy VXL系列可供應125萬瓦的電力（可置入10臺供電模組），最大可並聯運行（Paralleling）4座UPS機櫃（佔地面積4.8平方公尺），供應500萬瓦電力。</p> <p>關於確保UPS持續運作的機制上，Galaxy VXL系列可支援N+1備援可將系統可用性的層級提升至10倍。除此之外，這套產品採用模組化擴充架構，企業可添購所需的電力模組而能減少資本支出（CapEx），而能獲得能源使用效率，並且依據需求增長而加入更多電力模組。</p> <p>相較於業界平均尺寸而言，Galaxy VXL系列小了52％，施耐德電機表示，就典型的1250萬電力需求的資料中心運作，而且是以2N備援架構設置UPS時，Galaxy VXL系列比起其他競爭產品可節省26平方公尺的佔地面積，潛在的基礎設施成本節省金額可達25萬美元。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Galaxy%20VXL-floor.jpg" style="width: 400px;" /></p> <p>Galaxy VXL系列的採用，也能增進電力運轉與能源使用效率，有助於降低用戶的總體持有成本。舉例來說，若使用三相UPS預設的雙轉換模式，電力供應效率為97.5％，由於這套UPS還支援施耐德電機特有的<a href="https://www.se.com/tw/zh/work/products/product-launch/econversion-high-efficiency-ups-mode/">經濟轉換模式（eConversion mode）</a>，此時電力供應效率可達99％，能提供1級電力保護能力，而且碳排放量減少幅度可提升至兩倍。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/SE-UPS-MODE.jpg" style="width: 298px;" /> <a href="https://s4.itho.me/sites/default/files/images/Galaxy VXL-efficiency.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Galaxy%20VXL-efficiency.jpg" style="width: 298px;" /></a></p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/G3uU5loDBx8?si=IphH5_OBijTBYP_-" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p><a href="https://s4.itho.me/sites/default/files/images/SE UPS eConversion savings over 10 years.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SE%20UPS%20eConversion%20savings%20over%2010%20years.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong><span style="color:#0000FF;">施耐德電機Galaxy VXL</span></strong><br /> ●原廠：施耐德電機<br /> ●建議售價：廠商未提供<br /> ●供電能力：50萬瓦、62.5萬瓦、75萬瓦、87.5萬瓦、100萬瓦、112.5萬瓦、125萬瓦<br /> ●輸出入電壓：380/400/415 V<br /> ●連接方式：4線，3相+中性線+接地<br /> ●電池規格：480到576V，閥控鉛酸電池、鋰離子電池<br /> ●電源效率：雙轉換模式為97.5%，經濟轉換模式為99%，經濟模式為99%<br /> ●擴充性：從50萬瓦起，能以12.5萬瓦為單位擴充至112.5萬瓦，可設置112.5萬瓦（N+1備援）<br /> ●外形：白色機櫃，寬高深為120 x 197 x 100公分</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/2/2 22:39作者李宗翰https://www.ithome.com.tw/review/167170
OpenAI推出ChatGPT Gov，助美國政府安全部署AI提升行政效率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI宣布推出名為<a href="https://openai.com/global-affairs/introducing-chatgpt-gov/">ChatGPT Gov</a>的新服務，讓美國政府單位可在微軟Azure環境，包含商用雲與政府雲中自行部署對話式人工智慧工具，供政府單位在採用人工智慧模型提升行政效率與生產力的同時，仍可維持安全性、隱私性與符合法遵要求。此服務並非將資料放在公共雲端，而是採用自我部署（Self-hosting）的方式，讓情報、公共衛生、基礎建設等需處理高度敏感資訊的單位，能自行掌控系統環境，更順利落實資安策略與風險控管。</p> <p>ChatGPT Gov提供政府單位類似ChatGPT Enterprise的功能，包含文字解析、程式碼撰寫、影像解析，以及協助進行各類複雜運算的GPT-4o模型。另有專用的行政管理控制臺，方便IT團隊監控使用者與群組、單一登入（SSO）等環境設定。OpenAI也針對有需求的政府機關開放自訂GPT功能，讓相關單位能根據既有工作流程與資料類型調整語言模型回應方式。</p> <p>OpenAI指出，美國公部門員工累計已使用ChatGPT生成1,800萬筆訊息，顯示政府機構對此類人工智慧服務的實際需求。</p> <p>根據官方資料顯示，許多機構已先行測試並整合相關服務。美國空軍研究實驗室用其來簡化行政作業與程式碼產出；洛斯阿拉莫斯國家實驗室則嘗試將GPT-4o用於先進科學研究與驗證，並評估其應用在生物科學實驗的安全面向。明尼蘇達州翻譯部門藉由此對話式系統，改進多語言翻譯的速度與精確度，降低執行成本。賓州更在一項人工智慧試驗計畫中，觀察到公務員每天使用後可節省一個多小時的例行作業時間。</p> <p>OpenAI表示，除了提供這套服務，後續也將持續爭取美國政府常見的法遵與資安認證，包括FedRAMP中度（Moderate）與高度（High）認證，並評估部署至Azure機密區域的選項。官方強調，此舉是讓公部門在維護民主價值與公共利益的前提下，善用最新的人工智慧工具強化公共服務，同時降低國安及資訊風險。</p> </div></div></div>
2025/1/31 18:44作者李建興https://www.ithome.com.tw/news/167172
Hugging Face逆向工程DeepSeek-R1，將打造開放推理模型Open-R1
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國人工智慧公司所開發的DeepSeek-R1模型發布以來，相對低廉的硬體與訓練成本就能展現高水準推理能力，在市場引發極大震盪。Hugging Face現正根據DeepSeek所公布的研究內容進行逆向工程，試圖推出名為<a href="https://huggingface.co/blog/open-r1">Open-R1</a>的開放版本，期望在透明、可驗證的環境下讓研究社群能更深入了解該突破性技術。</p> <p>由於DeepSeek-R1以遠低於市場預期的成本達到與先進模型相近的推理表現，業界與學界都希望能了解技術全貌，但DeepSeek未公開完整的訓練資料集與程式碼，使得外界對其稱為開源模型的真實性存有疑慮。Hugging Face工程師認為，如果只釋出模型權重與部分技術報告，仍不足以滿足真正的開放標準，因而決定透過逆向工程與大規模協作，建置完整可供研究者自行驗證與調整語言模型，成為推理模型的開放訓練工作管線與資料集。</p> <p>深度學習社群之所以對此舉格外關注，主要是因為DeepSeek-R1在數學、程式開發與科學領域的推理能力，甚至能與知名的OpenAI o1模型一較高下，而開發成本卻聲稱僅有美國人工智慧公司花費的一小部分。一旦Hugging Face成功重現Open-R1，研究人員將可確切掌握其中關鍵架構、訓練步驟，以及在有限硬體資源下達到高效訓練的方法。</p> <p>目前Hugging Face團隊的做法，是先分析DeepSeek發布的技術報告與模型論文，並嘗試從現有權重中推斷其訓練配方與資料分布。由於DeepSeek並未開放完整的資料集與程式碼，Hugging Face 需要召集志願者，共同整理出可供公開使用的高品質推理資料，藉此復刻或接近DeepSeek-R1所使用的多階段訓練策略。</p> <p>當Open-R1順利出爐，將不只是一個DeepSeek-R1複製品，更可能在技術透明度與研究價值上進一步超越原始模型。Open-R1可供任何人檢閱並改良強化學習流程、語言模型結構以及推理邏輯。這對需要確保模型輸出精度與可控性的企業而言相當重要，也進一步突顯了開源社群在推動人工智慧產業發展時所扮演的關鍵角色。</p> <p>Open-R1模型的訓練將使用Hugging Face的<a href="https://huggingface.co/science">Science Cluster</a>運算資源，該叢集有96個節點，每個節點有8張顯示卡，共768顆Nvidia H100可用於密集訓練，Hugging Face預計在數周內推出第一個可公開測試的原型版本。</p> </div></div></div>
2025/1/31 16:02作者李建興https://www.ithome.com.tw/news/167171
加入公雲自研處理器行列，GCP推出高效能Arm執行個體
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/google_cloud_c4a-main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這7年來，全球三大公有雲相繼投入伺服器處理器的研發，最初是<a href="https://press.aboutamazon.com/2018/11/aws-announces-new-amazon-ec2-instances-and-networking-enhancements">AWS在2018年底基於首款自行研發的處理器Graviton</a>，推出執行個體服務A1，<a href="https://www.ithome.com.tw/review/165346">如今Graviton已發展到第四代</a>；<a href="https://azure.microsoft.com/en-us/blog/microsoft-azure-delivers-purpose-built-cloud-infrastructure-in-the-era-of-ai/">微軟2023年底宣布將自行研發Arm架構處理器Azure Cobalt 100</a>，2024年10月正式推出<a href="https://www.ithome.com.tw/review/166337">基於這款處理器的執行個體服務</a>；Google Cloud Platform （GCP）也在<a href="https://cloud.google.com/blog/products/compute/introducing-googles-new-arm-based-cpu">2024年4月宣布將自行研發Arm架構處理器Axion</a>，10月底正式推出<a href="https://cloud.google.com/blog/products/compute/try-c4a-the-first-google-axion-processor">基於這款處理器的執行個體服務C4A</a>，今年1月下半，他們宣布<a href="https://cloud.google.com/blog/products/compute/first-google-axion-processor-c4a-now-ga-with-titanium-ssd">C4A的儲存裝置可搭配Google Cloud自行設計的固態硬碟Titanium SSD</a>。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-08-12_Google_Cloud_Next_2024_w0BSeaK_max-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-08-12_Google_Cloud_Next_2024_w0BSeaK_max-web.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2024-04-image1_Ab4940U_max-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-04-image1_Ab4940U_max-web.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/GCP VM-202501.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GCP%20VM-202501.jpg" style="width: 600px;" /></a></p> <p>Google Cloud Axion處理器的研發，主要是建立在<a href="https://www.ithome.com.tw/tech/154357">Arm Neoverse V2平臺</a>而成，這套矽智財採用<a href="https://www.arm.com/zh-TW/products/silicon-ip-cpu/neoverse/neoverse-v2">Armv9架構</a>，鎖定最高等級運算效能的處理器設計需求。而在用於執行個體服務時，Axion也將搭配Google Cloud發展的Titanium系統架構，基本上，這套系統包含多個專屬微控制器，並且具備分層存取、橫向擴展執行規模的卸載能力，可幫忙分攤網路與資安防護負擔，促使Axion保留更多效能因應用戶的工作負載，Titanium也能將儲存I/O處理卸載至Google Cloud的區塊儲存服務Hyperdisk，以便將儲存效能的高低與執行個體規模的大小脫鉤，便於彈性擴充，也能動態即時產生、馬上搭配使用。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Arm Neoverse V2-2023-08-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Arm%20Neoverse%20V2-2023-08-1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Arm Neoverse V2-2023-08-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Arm%20Neoverse%20V2-2023-08-2.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Arm Neoverse V2-2024-05.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Arm%20Neoverse%20V2-2024-05.jpg" style="width: 600px;" /></a></p> <p>關於效能表現，Google Cloud根據2024年3月底的內部測試資料表示，相較於當前雲端領域運算速度最快的一般用途Arm執行個體，採用Axion的執行個體領先幅度可達30％；對比當前世代的x86執行個體，採用Axion的執行個體的效能領先幅度可達50％，能源使用效率改善幅度為60％。</p> <p>Google Cloud會在哪些服務採用Axion處理器？在4月發表時，該公司預告會用於Google Compute Engine（GCE）、Google Kubernetes Engine（GKE）、Dataproc、Dataflow、Batch等；<a href="https://cloud.google.com/blog/products/compute/introducing-googles-new-arm-based-cpu">BigTable、Spanner、BigQuery、 Blobstore、Pub/Sub、Google Earth Engine、YouTube影片廣告等服務，已經執行在Arm伺服器之上</a>，未來計畫擴大服務規模而將很快採用Axion。</p> <p>而在用戶工作負載的類型上，Google Cloud認為，Axion能為一般用途工作負載提供顯著的效能增長，可涵蓋多種IT系統，包含：網站與應用系統伺服器、容器化微服務、開放原始碼資料庫、採用記憶體內架構（in-memory）的快取系統、資料分析引擎、多媒體處理系統、純CPU的AI訓練與推論處理系統。</p> <p><a href="https://s4.itho.me/sites/default/files/images/GCP-GP-VM-202501.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GCP-GP-VM-202501.jpg" style="width: 600px;" /></a></p> <p>時至2024年10月底，Google Cloud首批採用Axion處理器的執行個體正式C4A上線，已在全球7個區域資料中心供應，包含：愛荷華州（us-central1）、北維吉尼亞州（us-east4）、南卡羅萊納州（us-east1）、比利時（europe-west1）、荷蘭（europe-west4）、法蘭克福（europe-west3）、新加坡（asia-southeast1）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/C4A-2024-10-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/C4A-2024-10-1.jpg" style="width: 600px;" /></a></p> <p>Google Cloud主打C4A提供哪些使用效益？比起其他雲端業者提供的Arm執行個體，C4A的性價比領先10％；若以現行世代的x86執行個體為基準，C4A的性價比增加65％，能源使用效率提升60％。</p> <p><a href="https://s4.itho.me/sites/default/files/images/C4A-2024-10-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/C4A-2024-10-2.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-10-1_k2AxCv3_max.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-10-1_k2AxCv3_max.jpg" style="width: 600px;" /></a></p> <p>此時Arm也揭露C4A多項AI效能測試數據。以Llama 3.1 8B這個大型語言模型推論而言，針對提示處理與詞元生成的應用，<a href="https://community.arm.com/arm-community-blogs/b/servers-and-cloud-computing-blog/posts/ai-inference-on-google-axion-cpu">比起現行的x86執行個體，可提供兩倍的效能。</a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-10-Arm-Llama CPP_Google Axion_Arm Inference Blog.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-10-Arm-Llama%20CPP_Google%20Axion_Arm%20Inference%20Blog.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2024-10-Arm-BERT_Google Axion_Arm Inference Blog.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-10-Arm-BERT_Google%20Axion_Arm%20Inference%20Blog.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-10-Arm-RESNET_Google Axion_Arm Inference Blog.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-10-Arm-RESNET_Google%20Axion_Arm%20Inference%20Blog.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2024-10-Arm-0576_XGBoost Prediction_Google Axion_Arm Inference Blog.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-10-Arm-0576_XGBoost%20Prediction_Google%20Axion_Arm%20Inference%20Blog.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2024-10-Arm-1781_XGBoost Training_Google Axion_Arm Inference Blog.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-10-Arm-1781_XGBoost%20Training_Google%20Axion_Arm%20Inference%20Blog.jpg" style="width: 198px;" /></a></p> <p>若要在Google Cloud經營的多種雲端服務使用C4A，除了依先前規畫能在GCE、GKE、Batch、Dataproc，Dataflow搭配C4A的使用進入預覽階段，CloudSQL、AlloyDB等服務的C4A支援很快就會推出。至於預告將導入Axion的Google多種服務，也已經開始將Axion伺服器用於正式環境。</p> <p><a href="https://s4.itho.me/sites/default/files/images/GCP C4A-list.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GCP%20C4A-list.jpg" style="width: 600px;" /></a></p> <p>關於網路的配置，C4A提供的標準（預設）頻寬為50 Gbps，最高可選擇搭配100 Gbps的Tier_1網路，支援高流量的應用系統；儲存的部分，可搭配Hyperdisk Balanced或Hyperdisk Extreme，最高可提供35萬IOPS與5 GB/s的吞吐量。</p> <p>今年1月下半，Google Cloud率先在C4A增設自研固態硬碟Titanium SSD的本機儲存選項，根據該公司的內部測試，在這樣的執行個體當中，<a href="https://cloud.google.com/blog/products/compute/first-google-axion-processor-c4a-now-ga-with-titanium-ssd">可提供240萬IOPS的隨機讀取效能，以及10.4 GiB/s的讀取吞吐量</a>；若對照前一代SSD，存取延遲可降低35％。而就目前Google Cloud可供應C4A的全球雲端區域資料中心而言，也增加1座：倫敦（europe-west2）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/GCPGP-202501-list.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GCPGP-202501-list.jpg" style="width: 600px;" /></a></p> <p><strong><span style="color:#008080;">產品資訊</span></strong></p> <p><strong><span style="color:#0000FF;">Google Cloud C4A</span></strong><br /> ●原廠：Google Cloud<br /> ●建議售價：c4a-standard-1，asia-southeast1（新加坡）區域預估每月費用為40.424376486美元<br /> ●採用處理器：Google Axion<br /> ●提供服務規模選擇與最大組態：<br /> C4A standard（每顆CPU對應4GB記憶體）、C4A highcpu（每顆CPU對應2GB記憶體）、C4A highmem（每顆CPU對應8GB記憶體），<br /> c4a-highmem-72-lssd，72顆虛擬處理器、576 GB記憶體、網路頻寬最高為50 Gbps，儲存搭配平衡Hyperdisk（每臺虛擬機器最多掛載32臺硬碟）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/1/31 00:08作者李宗翰https://www.ithome.com.tw/review/166989
Apple Silicon存在SLAP與FLOP側通道攻擊，恐洩漏用戶機敏資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>喬治亞理工學院研究團隊<a href="https://predictors.fail/">揭露</a>兩個針對Apple Silicon晶片的全新微架構側通道攻擊手法，分別命名為SLAP與FLOP，這兩個漏洞可能導致使用者在瀏覽網頁時，機敏資訊遭到未經授權的第三方竊取，影響範圍涵蓋近年推出的Mac、iPhone及iPad等產品。</p> <p>SLAP與FLOP攻擊的關鍵，在於利用Apple Silicon晶片中負責最佳化資料處理流程的預測機制。具體來說，SLAP濫用的是載入位址預測器（Load Address Predictor，LAP），該機制會根據過往的記憶體存取模式，預測CPU下一個可能讀取的記憶體位址，提高記憶體存取的效率。而FLOP則是濫用載入值預測器（Load Value Predictor，LVP），其會嘗試預測從記憶體讀取到的數值，來加速與該數值相關的運算。</p> <p>這兩個預測器用途在於加速資料處理速度、提升整體效能，不過研究人員發現，當預測發生錯誤時，綜合CPU的推測執行（Speculative Execution）機制，以及現行架構下對於錯誤預測的資料處理流程隔離不足，衍生出可被利用的資訊洩漏破口。</p> <p>在推測執行的狀態下，即使LAP或LVP的預測結果是錯誤的，CPU仍會基於這些錯誤的預測值，預先執行後續的指令。儘管這些基於錯誤預測而執行的運算最終會被捨棄，但過程中CPU存取到的錯誤記憶體位址或使用的錯誤資料，會在CPU微架構狀態留下痕跡，例如快取記憶體的狀態變化。而這些細微的變化，就可能被攻擊者利用特定的側通道手法，例如分析時間差異，來推斷出原本不應該被存取的資訊。</p> <p>在Safari瀏覽器，SLAP可讓攻擊者讀取受害者在Proton Mail收件匣中的郵件標題與寄件者資訊、瀏覽紀錄、行事曆活動，甚至信用卡資訊，因為這些資料可能與攻擊者的惡意網頁共用相同的處理程序。而FLOP更進一步擴大影響Chrome瀏覽器，透過操控JavaScript和WebAssembly的類型檢查機制，使攻擊者能繞過安全防護，讀取瀏覽器記憶體中的任意資料，可能包含網站登入憑證、支付資訊及其他機敏資料。</p> <p>這兩種攻擊可透過瀏覽器執行惡意JavaScript程式碼，即便使用者並未下載或安裝任何惡意軟體，只要存取了特定的惡意網頁，攻擊者便可利用包括M2、M3、A15、A16、A17等Apple Silicon處理器的推測執行機制竊取資料，甚至突破Chrome瀏覽器網站之間的隔離防護，影響Apple幾乎所有自2021年起推出的Mac、iPhone和iPad產品。</p> <p>儘管Apple已承諾釋出安全更新，但FLOP的部分緩解措施需要應用程式開發商修改軟體才能有效實施，這表示短期內仍存在相當大的風險。使用者應確保作業系統與瀏覽器保持最新版本，避免瀏覽不明來源的網站，並啟用Chrome網站隔離功能，以降低攻擊成功的可能性。</p> </div></div></div>
2025/1/30 18:38作者李建興https://www.ithome.com.tw/news/167168
爆紅中國AI服務DeepSeek資料庫配置錯誤導致機密日誌外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國人工智慧公司DeepSeek因其模型DeepSeek-R1表現亮眼而備受關注，不過，雲端資安公司Wiz Research研究團隊<a href="https://www.wiz.io/blog/wiz-research-uncovers-exposed-deepseek-database-leak">發現</a>，DeepSeek服務存在重大資安漏洞，導致大量機密日誌資料外洩。研究人員在進行例行性安全評估時，發現DeepSeek的ClickHouse資料庫對外開放，未設定任何身分驗證機制，允許任何人存取內部資料，甚至具備完整的資料庫控制權限。</p> <p>Wiz Research透過網域探測技術，發現DeepSeek旗下多個公開網域，其中部分開放了非標準的HTTP連接埠，進一步檢測後確認ClickHouse資料庫可透過9000及8123連接埠直接存取，且無需提供任何驗證資訊。這個資料庫包含超過百萬筆日誌紀錄，涵蓋聊天記錄、API金鑰、內部服務資訊、目錄結構與營運相關細節。更具風險的是，研究人員發現該ClickHouse資料庫允許透過HTTP介面執行任意SQL查詢，攻擊者不僅能存取內部資料，還可能透過特定查詢獲取機密資訊，進一步擴大攻擊影響範圍。</p> <p>ClickHouse是一款高效能的開源欄式資料庫，主要用於即時資料分析與日誌儲存。不過，由於其開放性及高度自訂能力，一旦配置不當，極可能成為潛在資安漏洞。DeepSeek未經身分驗證的ClickHouse伺服器，不僅洩漏人工智慧模型的內部運作細節，還能讓攻擊者取得敏感業務資料，甚至是人工智慧聊天機器人的使用者對話紀錄。</p> <p>Wiz Research在發現漏洞後，立即聯繫DeepSeek通報此問題，對方也迅速確認並修復相關安全設定。隨著越來越多新創公司與服務供應商推出人工智慧工具與服務，企業導入人工智慧技術的速度也在加快，研究人員提醒，這樣的過程本質上代表企業將敏感資料託付給人工智慧供應商管理，因此確保資料安全應是企業導入人工智慧服務時的首要考量。</p> <p>同時，研究人員也提醒人工智慧公司，隨著人工智慧技術已成為關鍵基礎設施，除了聚焦於模型效能與創新，基礎架構的安全性同樣至關重要。人工智慧供應商應加強基礎架構安全機制，特別是在處理敏感資料時，應比照公有雲與企業級IT基礎設施環境的安全標準，強化存取控制機制與監控管理。</p> </div></div></div>
2025/1/30 19:05作者李建興https://www.ithome.com.tw/news/167169
搶攻邊緣運算網路商機，HPE半寬尺寸交換器正式登場
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/hpe_aruba_networking_cx_8325h_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著數位轉型的持續推動，需要用到伺服器虛擬化與超融合基礎架構、軟體定義儲存系統、視訊監控系統、資安系統等解決方案，並不只是企業總部的資料中心，散落在多個地點的區域分公司、分支辦公室、廠區，可能也都需要建置小型IT基礎架構，因應有限的環境空間與電力配置條件，所以，一些IT系統廠商會設立體積小、高性能的產品線，以便針對邊緣資料中心的設置需求。</p> <p>而在網路交換器的部分，市面上也有這類型解決方案，大多數都採用1U標準機架式或桌上型機箱，只有少數廠商提供1U半寬尺寸的交換器畸機型，像是<a href="https://www.ithome.com.tw/review/114080">Netgear M4300系列</a>、<a href="https://buy.hpe.com/us/en/storage/storage-networking/m-series-switches/m-series-switches/hpe-storage-switch-m-series-sn2100m/p/1010209402">HPE Storage Switch M-series SN2100M</a>、<a href="https://www.engeniustech.com/engenius-products/ecs5512f-cloud-managed-12-port-10-gigabit-sfp-half-rack-aggregate-fiber-switch/">EnGenius ECS5512F</a>、<a href="https://www.qnap.com/en/product/qsw-m2106pr-2s2t">QNAP QSW-M2106R-2S2T</a>，<a href="https://community.hpe.com/t5/networking/small-sites-with-limited-racks-half-width-switches-have-your/ba-p/7227757">在2024年10月底，HPE Aruba Networking預告</a>將推出半寬尺寸的高效能網路交換器CX 8325H，並表明這是專為傳統小型資料中心園區網路，以及小型邊緣運算環境或主機代管站點而設計的產品，可因應有限的網路埠設置密度與機櫃空間。<a href="https://www.hpe.com/us/en/newsroom/press-release/2025/01/hpe-aruba-networking-doubles-down-on-security-first-ai-powered-networks-with-innovations-for-retailers-iot-data-collection-and-edge-processing.html">到了今年1月舉行的美國紐約零售展NRF 2025，該公司宣布</a>這款機型正式推出。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CX 8325H-2025-01-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CX%208325H-2025-01-1.jpg" style="width: 600px;" /></a></p> <p>CX 8325H可支援1GbE、10GbE、25GbE、40GbE、100GbE等多種網路介面，適合廣泛的伺服器運算與儲存網路用途，埠對埠之間的存取延遲可低於300奈秒，搭配相同的高效能ASIC晶片，以及具有完整功能的作業系統AOS-CX（10.15.1001）。AOS-CX能帶來哪些特色？像是進階的網路第二層（L2）與第三層（L3）功能組合，包含BGP、OSPF、 VRF-Lite、IPv6、動態VXLAN，以及搭配該公司發展的Aruba網路分析引擎（NAE），而能獲得的智慧型監控、網路流量與行為透視，以及矯正機制。 </p> <p><a href="https://s4.itho.me/sites/default/files/images/CX 8325H-Spec.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CX%208325H-Spec.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/CX 8325H-AOS CX.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CX%208325H-AOS%20CX.jpg" style="width: 298px;" /></a></p> <p>關於實際的產品機型，HPE Aruba Networking透露CX 8325H系列主要有兩款，分別是18個1GbE/10GbE/25GbE埠搭配4個40GbE/100GbE埠的CX 8325H-18Y4C，受益於ASIC晶片的幫忙，網路交換容量可達2.16 Tbps，</p> <p><a href="https://s4.itho.me/sites/default/files/images/CX-8325H-18P-4P-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CX-8325H-18P-4P-1.jpg" style="width: 600px;" /></a></p> <p>以及16個40GbE/100GbE埠的CX 8325H-16C，ASIC網路交換容量為4 Tbps。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CX 8325H-2025-01-16P.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CX%208325H-2025-01-16P.jpg" style="width: 600px;" /></a> </p> <p>在2025年1月，可能是為了配合NRF 2025大展的關係，HPE Aruba Networking強調CX 8325H適合零售店面架設的特色，因為這系列半寬尺寸產品可設置在空間狹窄的空間，供電與散熱需求不高（最大耗電量為500瓦），可用來連接<a href="https://www.ithome.com.tw/review/165187">HPE去年9月新推出的邊緣運算伺服器ProLiant DL145</a>，企業能透過這樣的產品組合，支援邊緣環境的AI推論，即時處理大量資料，在零售分支據點提供低延遲存取能力。</p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong><span style="color:#0000FF;">HPE Aruba Networking CX 8325H</span></strong><br /> ●原廠：HPE Aruba Networking<br /> ●建議售價：廠商未提供<br /> ●機型：CX 8325H-18Y4C front-to-back、CX 8325H-18Y4C back-to-front、CX 8325H-16C front-to-back、CX 8325H-16C back-to-front<br /> ●外形：1U半寬機箱，搭配2個固定式電源供應器（1+1）、4個固定式風扇（N+1）<br /> ●網路交換容量：CX 8325H-18Y4C front-to-back、CX 8325H-18Y4C back-to-front 為2.16 Tbps，CX 8325H-16C front-to-back、CX 8325H-16C back-to-front 為4 Tbps<br /> ●提供網路介面：<br /> CX 8325H-18Y4C front-to-back、CX 8325H-18Y4C back-to-front提供18個25GbE埠（SFP28埠）+4個40GbE/100GbE埠（QSFP28埠），<br /> CX 8325H-16C front-to-back、CX 8325H-16C back-to-front提供16個100GbE埠（QSFP28埠）<br /> ●封包緩衝記憶體容量：32 MB<br /> ●處理器：AMD 8核心<br /> ●記憶體：32 GB<br /> ●儲存裝置：128 GB固態硬碟</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/1/29 17:45作者李宗翰https://www.ithome.com.tw/review/167167
PowerEdge邁入第17代，Dell推出單路Xeon 6伺服器
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/dell_poweredge_r470_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2024年下半，適逢英特爾與AMD推出新世代伺服器處理器，最大熱設計功耗（TDP）達到500瓦，Dell陸續推出新款Dell PowerEdge機型，像是率先登場的英特爾Xeon 6雙路伺服器<a href="https://www.ithome.com.tw/review/164102">R670 CSP Edition</a>、R770 CSP Edition，AMD EPYC 9005單路伺服器R6715、R7715，以及雙路伺服器<a href="https://www.ithome.com.tw/review/166897">R6725</a>、R7725。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Dell-17G-Single way server-2025-01.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell-17G-Single%20way%20server-2025-01.jpg" style="width: 600px;" /></a></p> <p>到了年底，他們再度宣布推出兩款新機型：R470、R570，皆為英特爾Xeon 6單路伺服器，目前先上市的會是1U尺寸的機型R470，Dell已公布產品規格表與技術指南，2U尺寸的機型R570預計2025年初登場。而這些機型的推出，也正式揭開Dell PowerEdge第17代伺服器產品的序幕。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Dell 17G-2025-01.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%2017G-2025-01.jpg" style="width: 600px;" /></a></p> <p>R470鎖定網站、應用程式微服務、資料服務、虛擬化，以及橫向擴展執行規模的資料庫應用系統，能針對效能最佳化考量用戶，提供升級的選擇彈性。</p> <p>相較於Dell既有的1U雙路伺服器，像是R660整臺最大提供56核心（第五代Xeon Scalable處理器，最大可提供64核心，但此款機型僅能搭配到28核心）或64核心（第四代Xeon Scalable處理器，最大可提供6核心，但此款機型僅能搭配到32核心），R450提供48核心（第三代Xeon Scalable處理器），同為1U尺寸的R470，僅憑單路架構的運算配置，整臺最大就能提供144核心，而在運算冷卻機制的搭配上，Dell針對300瓦以上的處理器款式，採用高效能銀級風扇與遠程散熱座，250瓦以下的處理器款式，採用標準風扇與延伸散熱座。</p> <p><a href="https://s4.itho.me/sites/default/files/images/dell-r470-10x2-5-internal.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/dell-r470-10x2-5-internal.jpg" style="width: 600px;" /></a></p> <p>記憶體規格的升級，也是R470這類單路Xeon 6伺服器的一大亮點，現在最大可支援6,400 MT/s的DDR5記憶體，存取速度領先既有伺服器產品的幅度最高可達2.18倍──R450搭配2,933 MT/s的DDR4記憶體，R660搭配4,800 MT/s的DDR5記憶體。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Dell R470 Spec-Comparison.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20R470%20Spec-Comparison.jpg" style="width: 500px;" /></a></p> <p>關於伺服器產業標準的支援，包含R470在內的第17代PowerEdge機型，均遵循開放運算計畫（OCP）訂定的標準，當中也涵蓋OCP推動的資料中心模組化硬體系統（DC-MHS）子計畫，以此簡化IT基礎架構，也能經得起未來投入營運的考驗，可促成既有基礎架構的重複使用。</p> <p>以R470為例，Dell在兩個元件導入OCP的DC-MHS，其中一個是內部RAID控制器採用<a href="https://www.dell.com/support/manuals/en-us/perc-h965i-front/perc12/dell-technologies-poweredge-raid-controller-12?guid=guid-5889415d-b297-43a0-9197-113a56c33c79&lang=en-us">PERC H965i DC-MHS</a>，這屬於PowerEdge RAID Controller 12（第12代PERC）系列的硬體配件；另一個是Dell伺服器特有的系統開機儲存子系統（Boot Optimized Storage Subsystem，BOSS），採用BOSS-N1 DC-MHS。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Dell 17G-R470-R670.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%2017G-R470-R670.jpg" style="width: 600px;" /></a></p> <p>值得注意的是，Dell這批伺服器搭配的系統遠端管理平臺，也從沿用多年的<a href="https://www.dell.com/support/kbdoc/zh-cn/000178115/idrac9-versions-and-release-notes?lang=en">iDRAC9</a>換成iDRAC10，IT人員可透過這個平臺，執行PowerEdge伺服器的部署、資產管理、更新、監控，以及維護作業。</p> <p>iDRAC10有那些新特色？根據Dell公布的使用者指南文件，新版系統管理平臺配備專屬安全處理器，可因此改善伺服器安全效能，整合信任根（RoT）、具備裝置等級的見證機制與加密防護，以及運用更強韌的加密演算法。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Dell 17G-iDRAC10-2025-01.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%2017G-iDRAC10-2025-01.jpg" style="width: 600px;" /></a></p> <p><strong><span style="color:#008080;">產品資訊</span></strong></p> <p><strong><span style="color:#0000FF;">Dell PowerEdge R470</span></strong><br /> ●原廠：Dell<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：1U（482 x 42.8 x 816.92公釐）<br /> ●處理器：單顆，Intel Xeon 6系列（單顆最多144核心）<br /> ●記憶體：16個DDR5插槽，RDIMM可支援32支6400 MT/s（最大總共1 TB）<br /> ●儲存配置：8臺E3.S外形NVMe固態硬碟（最大總共122.4 TB）、2臺M.2外形NVMe固態硬碟（BOSS-N1 DC-MHS）<br /> ●I/O介面：PCIe 5.0 x16（2個全高半長）<br /> ●電源供應器：2臺800瓦/1500瓦（1+1備援）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/1/28 18:22作者李宗翰https://www.ithome.com.tw/review/167158
組態管理工具Puppet開源替代方案OpenVox 8.11正式登場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由社群主導的開源專案<a href="https://voxpupuli.org/blog/2025/01/21/openvox-release/">OpenVox正式發布8.11版本</a>，該版本被定位為組態管理工具Puppet的替代方案，提供使用者與原始版本功能相當的組態管理工具。OpenVox專案的發起源於2024年下半年，當時Perforce宣布不再支援Puppet開源軟體套件，並將未來的開發專注於內部商業版本，該決策在業界引發廣泛關注。</p> <p>長期以來Puppet為備受信任的開源組態管理工具，是許多企業和開發團隊的基本選擇，但其從開源模式轉向封閉的商業軟體模式，使許多仰賴該工具的開發者感到失望，並開始尋求其他替代方案。作為回應開源社群的需求，開源軟體公司Overlook InfraTech領導的社群開始維護Puppet軟體套件，最終發展成現在的OpenVox專案。新推出的OpenVox 8.11版本，功能設計上與Puppet相容，允許使用相同的指令、模組與設定。</p> <p>不過，OpenVox雖提供類似的功能，但OpenVox尚未按照與Puppet相同的標準進行測試。開發團隊特別提醒使用者，除非能夠接受潛在錯誤並積極提供回饋，否則不建議將OpenVox部署於重要的生產環境。目前OpenVox套件仍放在Overlook InfraTech的儲存庫，但未來可能搬遷至專屬的Vox Pupuli命名空間。</p> <p>根據OpenVox開發團隊的說法，這是一個被定位成「軟分叉」的專案，目的是盡可能長期維持與Puppet的下游相容性。為此，專案已與Perforce合作成立Puppet標準指導委員會，試圖在功能與語言發展方向尋求共識。</p> <p>OpenVox專案開放社群參與，允許開發者針對其平臺需求直接貢獻。OpenVox專案的長期目標包括支援更現代化的作業系統，最佳化整體程式碼結構，並支援開源社群活動。</p> </div></div></div>
2025/1/28 18:59作者李建興https://www.ithome.com.tw/news/167166
Android 16 Beta強化應用螢幕適應性，預告API等級37將強制支援大螢幕
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://android-developers.googleblog.com/2025/01/first-beta-android16.html?m=1">Android 16第一個Beta版本正式推出</a>，針對開發者與早期使用者開放測試，帶來應用適應性與即時更新（Live Updates）等新功能，更新重點除了提升大型螢幕裝置的使用體驗，還進一步強化更即時的通知應用場景，支援多樣化裝置與互動需求。</p> <p>Android 16應用適應性功能解決過去應用程式，在大螢幕裝置上無法有效調整視窗大小與方向的問題。新版本引入的變更，逐步解除非遊戲類應用程式，在對大螢幕裝置上的方向與縮放限制，並要求目標API等級36以上的應用程式，支援寬度超過600dp的大型螢幕自適應能力，而在未來的API等級37，所有應用程式將不得限制視窗大小，並強制支援大螢幕裝置的彈性顯示模式。為此，開發者需要重新檢視現有的UI設計，確保應用在不同螢幕尺寸與方向下都能提供一致的使用體驗。</p> <p>在通知功能更新方面，Android 16引入了名為即時更新的新類型通知模板，針對進度型應用案例，如共乘服務、外送平臺與導航應用等，提供更直覺且一致的用戶體驗。新模板允許開發者以圖示和分段進度的方式顯示即時資訊，例如車輛位置或訂單狀態，強調資訊視覺化與即時性，進一步縮短用戶在重要任務中的反應時間。</p> <p>此外，Android 16還針對多媒體處理進行全面升級，加入進階專業影像格式（Advanced Professional Video，APV）支援，提供專業影音創作者接近原始品質的錄製與後製能力。該格式不僅支援高位元速率和HDR10，還支援多視角影像與額外輔助影片資料的編碼（Encoding）需求，例如景深資訊、透明度圖層或預覽影像，這些輔助資料可用於提升影像的後製效果與多視角應用體驗。</p> <p>新版本Android也添加低階API的垂直文字渲染功能，更好地支援特定語言需求，特別適用於日文等垂直書寫語言。儘管該功能目前僅限於低階API，未延伸至Jetpack Compose或TextView等高階文字處理框架，但仍替未來的文字顯示功能奠定技術基礎。</p> <p>Android版本更新伴隨內部機制改變，對應用程式的相容性提出了更高要求，例如預測式返回功能的啟用以及廣播優先順序的限制，可能會影響部分應用的現有設計，開發者需進行詳細測試找出潛在問題。此外，Android 16強化ART模組的性能，對仰賴ART內部結構的應用程式提出了更新需求，而這對於長期未維護或更新的應用可能造成挑戰。</p> <p>Google預計在2025年第二季正式發表Android 16，並將這一版本作為當年度唯一包含行為變更的主要更新，同時計畫在第四季推出新增功能的次要版本。</p> </div></div></div>
2025/1/28 15:58作者李建興https://www.ithome.com.tw/news/167165
Anthropic 計畫為Claude 加入雙向語音模式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AI新創公司Anthropic持續強化AI聊天機器人Claude，計畫接下來加入雙向語音模式及個人化及等功能。</p> <p>Anthropic執行長Dario Amodei 上週在瑞士達沃斯（Davos）世界經濟論壇時，<a href="https://www.wsj.com/livecoverage/stock-market-today-dow-sp500-nasdaq-live-01-21-2025/card/anthropic-ceo-says-ai-could-surpass-human-intelligence-by-2027-9tka9tjLKLalkXX8IgKA">接受華爾街日報（WSJ）訪問</a>時說明Claude的開發計畫。Amodei說Claude過去幾個月市場反應熱烈，未來幾個月公司將致力於推出「更智慧」的AI模型，他們預計為Claude增加雙向語音模式，允許使用者對Claude口說輸入問題或提示並聽取其回應。</p> <p>雙向語音模型可望使Claude AI聊天機器人營造像ChatGPT進階語音模式一樣流暢的互動經驗。至於新的Claude功能是否會賦予極似真人的音質則不清楚。</p> <p>另一方面，Anthropic計畫加強Claude的記憶力功能，藉此賦予其個人化能力。更強的記憶力可讓Claude記得和用戶的互動內容，例如對某項運動或織毛線的喜愛，並用於下一次用戶的對話中。長時間使用下來能形塑Claude生成依使用者而異的個人化互動經驗。</p> <p>Anthropic作為OpenAI以外最受矚目的新創公司，以大型語言模型Claude聞名。<a href="https://www.anthropic.com/research/building-effective-agents">去年12月Anthropic 推出</a>將企業流程自動化的代理人開發功能，還早於OpenAI。</p> <p>Claude先後獲得Amazon和Google 40和20億美元投資，迄今已募得137億美元資金。<a href="https://www.cnbc.com/2025/01/22/google-agrees-to-new-1-billion-investment-in-anthropic.html">CNBC</a>報導，在現有持股10%的基礎上，Google已經同意再對Anthropic挹注10億美元。</p> </div></div></div>
2025/1/28 00:07作者林妍溱https://www.ithome.com.tw/news/167164
JetBrains推出全新程式開發AI代理Junie，可自動執行任務並提升程式碼品質
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>JetBrains推出了一項名為<a href="https://blog.jetbrains.com/junie/2025/01/meet-junie-your-coding-agent-by-jetbrains/">Junie</a>的全新人工智慧程式開發代理，透過整合大型語言模型與JetBrains整合開發環境的技術，協助開發者處理日常任務並提升程式碼品質。官方表示，Junie人工智慧程式開發代理可從執行基礎任務到更複雜的專案協作，提供有效的支援。</p> <p>根據SWEBench Verified基準測試結果，Junie能在單次執行完成53.6％的程式開發任務，涵蓋多種層級的複雜性需求。JetBrains認為，該結果顯示Junie已具備足夠的實用性，能應對現今開發環境的高強度與多樣性挑戰。從簡單的程式碼生成與檢查，到編寫測試、驗證結果，JetBrains目標將Junie設計成開發者的虛擬合作夥伴，而非僅是輔助工具。</p> <p>Junie目前支援IntelliJ IDEA Ultimate和PyCharm Professional，之後還將擴展至WebStorm。開發者只需安裝相關擴充套件，即可在熟悉的IDE啟用Junie。JetBrains表示，這樣的設計確保開發者無需大幅調整現有的工作流程，能快速上手。透過逐步將重複性或繁瑣的工作委派給Junie，開發者得以專注於更具創造性或策略性的任務，進一步提高整體工作效率。</p> <p>Junie特別強調開發者對程式碼的掌控，每次程式碼修改與建議都可受開發者審查，並與專案上下文保持一致。此外，Junie能遵循團隊程式碼風格與規範，生成具一致性的程式碼。JetBrains已開放Early Access Program允許開發者申請試用Junie，目前僅支援macOS和Linux平臺，之後還會加入Windows系統的支援，並進一步拓展應用場景。</p> <p>先前JetBrains就已推整合IntelliJ IDEA、PyCharm、PhpStorm與ReSharper等IDE的程式開發人工智慧助理。JetBrains則強調Junie是人工智慧程式開發代理，從原本提供特定功能的工具，轉變成可解決完整開發任務的代理。</p> <p>開發者在JetBrains Marketplace中<a href="https://plugins.jetbrains.com/plugin/22282-jetbrains-ai-assistant/reviews">普遍對先前的人工智慧助理評價不佳</a>，該套件獲得大量的一星評價，甚至有不少開發者稱其為最糟的程式碼完成工具。現在JetBrains推出Junie，以新品牌出發，試圖在人工智慧開發應用扳回一城。</p> </div></div></div>
2025/1/27 17:41作者李建興https://www.ithome.com.tw/news/167162
川普預告TikTok歸屬30天內決定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>川普上周簽署行政命令暫緩執行TikTok的禁令75天以尋求出售，<a href="https://www.reuters.com/markets/deals/white-house-talks-have-oracle-us-investors-take-over-tiktok-npr-reports-2025-01-25/">路透社報導</a>，川普昨（27）日表示大約30天將決定它未來何去何從。</p> <p>1月20日美國新上任總統川普簽署的行政命令，讓美國和TikTok母公司字節跳動（ByteDance）有時間協調如何在不損及美國國家安全情況下允許TikTok的營運，條件正是將TikTok出售給美國。川普本周對媒體說有很多對收購TikTok有興趣的人士和他接觸，包括一些重量級人物，他將在30天內做出決定。即使30天談不成，美國國會也提供了90天時間。川普對解救TikTok樂見其成。</p> <p>但他否認和甲骨文討論過收購TikTok一事，駁斥本周稍早的報導。<a href="https://www.ithome.com.tw/news/167157">NPR引述消息人士報導</a>，白宮居間協調由甲骨文和其他美國公司收購TikTok全球業務過半股權，使母公司字節跳動成為少數持股人。報導也稱， TikTok的軟體、演算法和資料蒐集將由甲骨文監管，以確保真正控制這家中國應用程式。微軟也在洽談的成員名單中。</p> <p>稍早之前<a href="https://www.theverge.com/2025/1/21/24349011/trump-elon-musk-larry-ellison-oracle-tiktok-ban">The Verge</a>也報導，不是甲骨文或馬斯克的X出手併購TikTok，川普都抱持開放態度。AI搜尋業者Perplexity也曾表達收購的興趣，以便整合其搜尋和社群平台能力。</p> <p>TikTok的交易攸關美中是否能緩和貿易緊張情勢。川普揚言不出售TikTok就會對中國徵收100%關稅。原本反對出售TikTok的<a href="https://finance.sina.com.cn/chanjing/gsnews/2025-01-22/doc-inefutkn9198966.shtml">中國政府也在近日表示</a>民間公司的營運和收購應自行決定，但涉及中國公司的交易應符合中國法規。媒體報導，中國政府較屬意X的幕後老闆馬斯克。</p> </div></div></div>
2025/1/27 23:38作者林妍溱https://www.ithome.com.tw/news/167163
ChatGPT Canvas擴及macOS版程式，底層模型升級到o1
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI本周<a href="https://x.com/OpenAI/status/1882876172339757392">宣布</a>將o1模型部署到ChatGPT工作區介面Canvas，並且可在macOS版本應用程式中使用。</p> <p><a href="https://www.ithome.com.tw/news/165325">Canvas</a>是ChatGPT中的互動式工作介面，可提供文件或程式碼寫作。ChatGPT不但能生成內容，也能讓用戶參與編輯，同時為文章和程式碼提供建議、審查或潤飾功能。去年10月宣布時，Canvas是使用GPT 4o模型。</p> <p>o1是最多ChatGPT用戶對Canvas提出的需求之一。o1是具備推理能力的模型，能處理複雜任務，像是解決高深的數學問題或撰寫程式。現在用戶可以在ChatGPT模型選擇器中選擇o1，或是運用/canvas指令啟用。</p> <p>Canvas現在也能渲染HTML和React 程式碼，這也是用戶呼聲很高的功能。在此之前，Cavas支援JavaScript、TypeScript、Python、Java、C++及 PHP。</p> <p>此外OpenAI正式將Canvas推向macOS應用程式，之前只能在行動版應用程式使用Canvas。</p> <p>在三項新宣布的消息中，o1提供給Pro、 Plus和Team用戶，HTML和React程式碼渲染功能及macOS中使用Canvas提供給所有層級方案，包括免費版也能使用。Enterprise和Edu方案用戶再幾個星期，也能獲得o1和HTML/React渲染功能。</p> </div></div></div>
2025/1/27 16:43作者林妍溱https://www.ithome.com.tw/news/167161
Meta將打造130萬顆GPU的AI資料中心
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在OpenAI以Star Gate計畫搶盡媒體版面同時，Meta也<a href="https://www.facebook.com/photo/?fbid=10116307989350411&set=a.612287952871">宣布</a>重大AI投資計畫，今年將投入至少600億美元打造130萬顆GPU的AI資料中心。</p> <p>Meta執行長祖克柏（Mark Zuckerberg）說，2025年將是AI決定性的一年。他希望Meta AI今年可以成為服務10億用戶的AI助理龍頭，而Llama 4成為領導性的SoTA（state of the art）模型。Meta計畫打造一套「AI工程師」以協助其R&D撰寫更多程式碼。該公司目前正在興建一座能供電2 Gigawatt的資料中心，佔地之廣可涵括一大部份曼哈頓。今年內將有1 Gigawatt的運算量上線，到年底就會有超過130萬顆GPU。祖克柏貼文貼出的地圖顯示，新資料中心位於路易西安那州的理奇蘭郡（Richland Parish）。</p> <p>今年Meta將在AI投入600到650億美元資料支出，也大幅擴展AI團隊，未來幾年還會持續增加。祖克柏說，這大型計畫將推動來年公司的核心產品及業務成長。</p> <p>Meta似乎是為了不讓OpenAI團隊的Star Gate計畫專美於前。OpenAI、甲骨文與軟銀上周宣佈<a href="https://www.ithome.com.tw/news/167107">合資</a>，計畫4年投入5000億美元建立AI基礎架構。根據彭博<a href="https://www.bloomberg.com/news/articles/2025-01-23/stargate-s-first-data-center-to-be-located-in-texas-with-at-least-57-jobs">報導</a>，Star Gate計畫已著手在德州阿比林（Abilene）市興建10座資料中心，總佔地875英畝。</p> </div></div></div>
2025/1/27 15:46作者林妍溱https://www.ithome.com.tw/news/167160
Zyxel防火牆應用程式簽章年前更新出包，USG FLEX、ATP系列需現場修復
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Zyxel<a href="https://support.zyxel.eu/hc/en-us/articles/24159250192658-USG-FLEX-ATP-Series-Recovery-Steps-for-Application-Signature-Issue-on-January-24th-2025#h_01JJEK9E05X7RZ2S75KYEHCMKF">通報</a>其USG FLEX與ATP系列防火牆設備，因1月24日晚間發布的應用程式簽章更新錯誤，導致部分設備不停重啟等異常。此次問題並非因韌體升級造成，也與任何已知的CVE或安全漏洞無關，但影響的設備需透過現場操作才能完整修復。Zyxel已緊急停用伺服器上的應用程式簽章更新功能，避免問題進一步擴大。</p> <p>根據Zyxel的說明，此問題起因於應用程式簽章版本1.0.0.20250123.0的更新錯誤，該版本在1月24日晚間發布並自動安裝於部分設備。當設備更新該版本後，可能導致重啟迴圈、ZySH守護程式失敗、無法登入，或系統LED閃爍等問題。受影響的設備為啟用了安全授權（Security License），且簽章更新模式設定為獨立模式（Standalone Mode），並已更新至簽章版本1.0.0.20250123.0的USG FLEX或ATP系列防火牆。</p> <p>使用Nebula雲端平臺管理、USG FLEX H系列或未啟用安全授權的設備則不在影響範圍。官方提到，USG FLEX H採用不同的uOS韌體版本，內建更嚴格的簽章驗證機制，而Nebula雲端平臺則透過進階的遠端管理功能，降低簽章更新過程可能出現的風險。</p> <p>Zyxel表示，親至現場處理（on-site）修復是唯一經驗證有效的解決方案。受影響的設備因產生大量系統日誌，占據內部儲存空間，導致無法透過遠端上傳修復韌體或執行其他操作。此外，遠端操作可能衍伸出其他問題，例如未來可能無法使用磁碟分割或進行韌體上傳功能。</p> <p>部分用戶嘗試透過GUI重新開機、變更分割區或是降級簽章方法恢復裝置，但Zyxel提到這些方法成功率極低，不僅無法保證設備正常運作，還可能造成組態檔案遺失。而且若不安裝修復韌體，即便設備短期內恢復運行，未來仍可能因備用分割區無法使用而出現其他問題。</p> <p>Zyxel建議用戶採取現場修復方式，並強調IT人員的電腦需使用Console/RS232纜線連接防火牆設備進行操作，透過設備重置、設定檔案備份、下載修復韌體及重新安裝簽章等步驟，才能有效解決問題，使設備恢復穩定運作。</p> </div></div></div>
2025/1/27 13:37作者李建興https://www.ithome.com.tw/news/167159
Bun 1.2大更新強化Node.js相容性，原生支援S3與PostgreSQL
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>輕量級JavaScript執行環境<a href="https://bun.sh/blog/bun-v1.2">Bun發布1.2版本</a>，大幅提升對Node.js的相容性，使開發者更容易移植現有專案。新版本更原生支援Amazon S3與PostgreSQL，簡化了存取S3儲存桶和PostgreSQL資料庫的流程，並提升相關操作的效能，進一步加速雲端應用程式的開發。</p> <p>在Node.js相容性方面，Bun 1.2採用了Node.js的官方測試套件來驗證其相容性。這項改變讓Bun 1.2在執行fs、path、events、string_decoder與stream等Node.js模組時，可通過90％的Node.js官方測試案例，因此開發者在將依賴這些核心模組的Node.js專案，移植到Bun環境時，將會更加順利。</p> <p>而Bun 1.2現在也新增node:http2、node:dgram、node:cluster與node:zlib等模組的支援，在功能上更進一步拉近與Node.js生態系的差距，同時又能提供更快地執行速度，以node:zlib測試來說（下圖），Node.js吞吐量為171 mb/s，而Bun 1.2則為205 mb/s。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/404054420-cc3760d5-352c-4f7a-a75b-2f48fec52dfa.png" style="width: 580px; height: 270px;" /></p> <p>由於Node.js與Bun的JavaScript引擎不同，Node.js採用Chrome V8，Bun則使用Safari的JavaScriptCore，而Bun開發團隊現在於JavaScriptCore中實作了V8的公開C++ API，讓原本依賴這些API的C++套件，也能在Bun環境運作。</p> <p>除了Node.js相容性外，Bun 1.2原生支援S3與Postgres也是這次更新的一大亮點。Bun 1.2新增了Bun.s3 API，讓開發者能直接操作S3，支援讀取、寫入、刪除檔案，以及產生預簽章URL等操作。開發團隊表示，因為Bun.s3 API採用原生程式碼編寫，讀取效能為使用JavaScript SDK的5倍。此外，Bun 1.2更進一步將S3整合進現有的Bun.file() API中，開發者透過使用s3://協定，就可直接存取S3上的檔案，簡化了開發流程。</p> <p>而對於PostgreSQL資料庫，Bun 1.2也提供了內建的Bun.sql客戶端，支援以標籤模板語法執行SQL查詢，並自動處理字串跳脫（Escape），避免SQL注入風險。Bun.sql同樣以原生程式碼開發，並針對效能進行最佳化，因此Bun.sql可比其他PostgreSQL客戶端快50％（下圖）。官方還預告，他們很快也會支援MySQL。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/404444688-09066ce9-aacd-439c-ab28-f2640c0ce814.png" style="width: 580px; height: 251px;" /></p> <p>在套件管理方面，Bun 1.2將預設的鎖定檔（Lockfile）格式從二進位的bun.lockb改為文字格式的bun.lock。新的bun.lock採用JSONC格式，支援註解與尾逗號（Trailing commas），更易於人工閱讀與版本控制系統比對差異。不過，Bun 1.2仍將維持向下相容支援bun.lockb。開發團隊強調，即使bun.lock是文字格式，但bun install的效能仍比前一版本提升30％。</p> </div></div></div>
2025/1/26 20:31作者李建興https://www.ithome.com.tw/news/167156
群聯推首款122.88 TB的PCIe 5 SSD，提供領先的讀寫效能
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/phison_pascari_d205v_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年5月中，群聯電子（Phison）發布企業級產品品牌PASCARI，這其實是7個詞彙的縮寫，包含Performance、AI、Security、Capacity、Acceleration of applications、Reliability、Innovation，代表該公司對這7大領域的品質要求，率先推出該公司第一款<a href="https://www.ithome.com.tw/review/162973">PCIe 5.0企業級固態硬碟X200系列</a>，採用TLC快閃記憶體。</p> <p>相隔半個月後登場的台北國際電腦展期間，群聯正式發表5大系列固態硬碟產品，分別是主打高效能、企業等級的X系列，提供多種外形、資料中心等級的D系列，用於伺服器與工作站系統開機儲存裝置的B系列、支援SATA儲存介面的S系列，以及針對AI模型調校應用需求的AI系列。</p> <p>在8月舉行的未來記憶體與儲存年度高峰會（FMS 2024），<a href="https://www.ithome.com.tw/review/164407">群聯在Pascari D系列產品線當中，宣布推出D200V</a>，採用QLC快閃記憶體Kioxia BiCS8（鎧俠第8代BiCS Flash記憶體），當時最大可提供的儲存容量為61.44 TB，他們預告D200V最大將提供122.88 TB。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Kioxia BiCS Generation-2024-08.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Kioxia%20BiCS%20Generation-2024-08.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Kioxia BiCS Generation-2024-08-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Kioxia%20BiCS%20Generation-2024-08-2.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Kioxia BiCS Generation 8.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Kioxia%20BiCS%20Generation%208.jpg" style="width: 500px;" /></a></p> <p>到了11月美國年度超級電腦大會SC24，Solidigm與群聯均發表具備122.88 TB容量的機型，其中，<a href="https://news.solidigm.com/en-WW/243441-solidigm-extends-ai-portfolio-leadership-with-the-introduction-of-122tb-drive-the-world-s-highest-capacity-pcie-ssd">Solidigm是在既有PCIe 4.0機型D5-P5336</a>擴充122.88 TB容量的款式，<a href="https://www.solidigm.com/products/technology/solidigm-path-to-122tb-ssd.html">預計2025年第一季供應</a>，群聯推出專屬機型Pascari D205V，宣布開放預先訂購，預計2025年第二季出貨，將提供U.2與E3.L等兩種外形。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-11-28-468051863_1104048048397577_5930461710651222027_n.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-11-28-468051863_1104048048397577_5930461710651222027_n.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2024-11-22-467845903_1099248352210880_6157387719457182279_n.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-11-22-467845903_1099248352210880_6157387719457182279_n.jpg" style="width: 198px;" /></a></p> <p>到了今年1月的美國年度消費電子展（CES），Pascari D205V也是活動現場主打的產品之一。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2025-01-10-1736401724109-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-01-10-1736401724109-web.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/D205V-2025-01-13.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/D205V-2025-01-13.jpg" style="width: 600px;" /></a></p> <p>相較於既有產品，群聯強調Pascari D205V採用該公司發展的X2控制器，以及最新的<a href="https://apac.kioxia.com/en-apac/about/news/2024/20240703-1.html">2 Tb單位儲存容量的3D QLC快閃記憶體技術</a>（Kioxia BiCS8），屬於專攻讀取密集型工作負載的固態硬碟產品，提供14,600 MB/s循序讀取效能，以及3百萬IOPS隨機讀取效能，相較於市面上的PCIe 4.0介面的61.44 TB固態硬碟產品，可提供兩倍的讀取效能與最大儲存容量。</p> <p>若與早幾個月前推出的Pascari D200V相比，Pascari D205V有何共通點？兩種款式均支援PCIe 5.0與雙埠、採用Kioxia BiCS8、每日寫入量0.3，隨機讀取效能皆為3百萬IOPS。</p> <p>以儲存容量而言，Pascari D200V提供30.72 TB、61.44 TB、122.88 TB等三種組態，Pascari D205V僅提供122.88 TB；在產品外形上，Pascari D200V有U.2、E3.S、E3.L等三種選擇，Pascari D205V提供U.2、E3.L。</p> <p><a href="https://s4.itho.me/sites/default/files/images/14320_PhisonEnterprise_Label_D205V_74x50_RGB_Horizontal_IsometricView.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/14320_PhisonEnterprise_Label_D205V_74x50_RGB_Horizontal_IsometricView.jpg" style="width: 198px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/14320_PhisonEnterprise_Label_D205V_63x25_RGB_Portrait_IsometrictView.jpg" style="width: 198px;" /></p> <p>就儲存效能而言，Pascari D205V略勝一籌。Pascari D200V的循序讀寫效能為14,000 MB/s、2,100 MB/s，Pascari D205V略勝一籌，可達到14,600 MB/s、3,200 MB/s；Pascari D200V的16K隨機讀寫效能為3百萬IOPS 、1.56萬IOPS，Pascari D205V為3百萬IOPS、3.5萬IOPS。</p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong><span style="color:#0000FF;">Phison Pascari D205V</span></strong><br /> ●原廠：群聯電子<br /> ●建議售價：廠商未提供<br /> ●儲存容量：122.88 TB<br /> ●外形：U.2、E3.L<br /> ●儲存媒體：3D NAND，QLC<br /> ●最高讀寫速度：循序14,600 MB/s與3,200 MB/s，隨機300萬IOPS（4K）與3.5萬IOPS（16K）<br /> ●使用介面：PCIe 5.0單埠（x4）或雙埠（2x2）<br /> ●耐用度：每日寫入量為0.3<br /> ●耗電量：25瓦</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/1/26 21:02作者李宗翰https://www.ithome.com.tw/review/167093
【資安月報】2025年1月，國家級駭客的網路間諜攻擊事件不斷，海纜與國家通訊韌性也受到考驗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>回顧2025年1月資安新聞，國家級駭客發動的網路間諜行動是主要焦點，在多起攻擊事件被資安界揭露之際，我們年初也特別以封面故事報導這方面的最新威脅態勢與重要變化。</p> <p>還有其他重要網路安全議題與事件同樣值得重視，包括海纜安全與通訊服務韌性，臺灣9家上市櫃發布資安重大訊息，DDoS攻擊衝擊臺灣、日本與全球等，在此我們整理出5大重要威脅態勢，幫助大家快速回顧。</p> <p><span style="color:#FF0000;"><strong>（一）國家級駭客網路間諜攻擊加劇</strong></span></p> <p>受政府資助駭客組織發動的網路間諜行動，危害持續升級，本月封面故事我們報導了這類組織近年的重要變化，例如，從受國家指揮的軍事單位，政府資助的半獨立團體，現也涵蓋到國家支持的民間企業與承包商，而其攻擊手法上，也變得更常以供應鏈攻擊、邊緣裝置漏洞來入侵滲透。</p> <p>同時，我們還整理出多項國家級駭客攻擊的現況與最新態勢，包括：<br /> ●微軟2024年度數位防禦報告中，揭露了國家級駭客鎖定攻擊的前7大目標，依序是：美國、以色列、烏克蘭、阿拉伯聯合大公國，以及英國、臺灣。<br /> ●國家級駭客鎖定電信業的情況已持續多年，在2024年呈現爆發的態勢，不只美國、東南亞的電信業有重大事故揭露，多國網路安全機構也特別真對中國駭客組織對電信業攻擊的威脅示警。<br /> ●臺灣國家安全局揭露過去一年中共網駭手法分析報告，指出我國遭受攻擊成長最多的產業，是電信業為主的通訊傳播領域，遭受攻擊比之前增長6.5倍，其次為交通、國防供應鏈，分別增長70%與57%。</p> <p>此外，後續還有一起新聞事件也呈現這方面威脅的嚴重性。日本警方也在1月上旬發布中國駭客MirrorFace（Earth Kasha）入侵警報，指出該組織在近5年對日本發動逾200起攻擊，目的是竊取日本的國家安全及先進技術的資料，並公開3波攻擊樣態與防範措施，希望促進企業組織更積極因應。</p> <p><span style="color:#FF0000;"><strong>（二）海纜安全與國家網路數位韌性受挑戰</strong></span></p> <p>本月臺灣多起海底電纜事故的新聞，持續引發國人對於通訊網路及服務韌性的關注，從1月3日中華電信海底電纜遭貨輪破壞，到1月22日發生臺馬二號海纜疑似芯線老化導致服務中斷，數位發展部在當日也緊急召開記者會說明。</p> <p>當中提到不少國人關心的重點，例如：我國目前有14條國際海纜、10條國內海纜，國際海纜方面由國際業者籌組聯盟共同投資，因此修復也是共同分擔，在國內海纜方面，雖然主要由中華電信包辦，但如今全都已經列為國家關鍵基礎設施，因此政府會監督與協助關鍵CI民間業者強化這方面的防護。</p> <p>對於近期國內海底電纜事故的狀況，數位部指出，2025年1月已經發生4次，超過2024全年的3次，的確呈現今年密集暴增的情形。而在海纜斷裂的事故原因，除了人為破壞，也有天然因素，像是最新一次的「臺馬二號海纜」是芯線老化造成。</p> <p>至於因應上，由於先前政府推動關鍵CI防護計畫，已請中華電信在2024年完成微波通訊備援，因此能在一小時內通知中華電信，啟動微波備援方案，確保民生相關的服務不致出現中斷的現象。另外也通知受補助單位電信技術中心，啟用非同步衛星站點，作為微波之備援。另外，在微波通訊、非同步衛星的網路備援機制之外，數位部也補助中華電信建置臺馬四號海纜，預計在2026年6月完工。</p> <p>此外，關於年初貨輪海纜安全事故的新聞中，還有國內學者呼籲政府重視中國對臺資訊封鎖的風險，曾擔任NCC電信普及服務基金委員的成大電機系教授李忠憲指出，國內欠缺對大規模網路中斷的應變演練，需提高對緊急狀態下的網路韌性演習。</p> <p><span style="color:#FF0000;"><strong>（三）臺灣重大資安事件</strong></span></p> <p>根據公開資訊觀測站的重大訊息公告，本月9家上市櫃公司發布資安重訊。<br /> ●第一週有4起，包含：易飛網遭遇供應鏈攻擊及資料竊取，新海瓦斯伺服器檔案遭受勒索軟體加密，悠泰科技、華航公布官網遭DDoS攻擊。<br /> ●第二週有2起，泰藝電子表示有部分資訊系統遭到網路攻擊；遠東新表示重要資通訊合作廠商遭網路攻擊，導致自家資料外洩疑慮。<br /> ●第三週有3起，聯鈞表示資訊系統遭受勒索病毒攻擊；所羅門與集團旗下新門科技在同日表示資訊系統遭受駭客攻擊。</p> <p>還有1起與臺灣有關的威脅揭露，同樣值得留意，資安業者Recorded Future針對中國駭客組織RedDelta（Earth Preta、Mustang Panda、TA416）的攻擊行動提出警告，這些駭客兩年前因中國政府聲援俄羅斯，主要攻擊鎖定歐洲各國，但自2023年下半其攻擊目標有了明顯調整，開始轉向蒙古、其他東南亞國家，還有臺灣。</p> <p><span style="color:#FF0000;"><strong>（四）DDoS攻擊威脅再度侵襲各國</strong></span></p> <p>DDoS攻擊威脅依然持續，有3則新聞成為主要焦點。</p> <p>首先，2025年一開始親俄駭客NoName057的DDoS攻擊再成焦點，臺灣已遭遇第三波攻擊，包括上市公司台塑、大眾電腦等公司發布資安重訊，根據駭客宣稱的攻擊目標，還包括主計總處、櫃買中心與20多個交通運輸、地方政府的網站。</p> <p>特別的是，遭受NoName057攻擊的國家也增加，除了之前攻擊過英國、瑞士、烏克蘭，1月還擴及印尼、加拿大、德國、義大利。這些國家均有數十個政府機關、關鍵CI與企業網站被攻擊。</p> <p>其次，日本也面臨一波未知攻擊者的DDoS攻擊，自12月底至1月上旬期間，先是傳出日本航空（JAL）因此造成航班延誤，接著三菱UFJ、瑞穗等銀行也遭攻擊，趨勢科技向當地媒體表示這期間共46起DDoS事件，都是來自同一個殭屍網路的攻擊。</p> <p>第三件新聞，則是關於巨量DDoS攻擊的揭露。Cloudflare公布最新一季DDoS攻擊態勢，指出一家東亞ISP客戶在3個月前遭遇的UDP DDoS攻擊達到5.6 Tbps，再次突破先前的記錄，並也說明攻擊是來自1.3萬臺IoT裝置。另要注意的，超過1Tbps的攻擊數量，也比前一季大增18倍。</p> <p><span style="color:#FF0000;"><strong>（五）攻擊者持續</strong></span><strong style="color: rgb(255, 0, 0);">挖掘新漏洞與</strong><span style="color:#FF0000;"><strong>發展新攻擊手法</strong></span></p> <p>關於重要網路攻擊與威脅的揭露方面，以零時差漏洞利用攻擊而言，本月新聞涵蓋Ivanti（CVE-2025-0282），微軟（CVE-2025-21333、CVE-2025-21334、CVE-2025-21335），以及Fortinet（CVE-2024-55591）。值得注意的是，在Ivanti漏洞攻擊調查的新聞中，研究人員指出發現攻擊者還會利用假裝系統升級成功的手法，包括攔截升級流程、製作假的升級進度條，並繞過系統完整性檢查，這點相當特別。</p> <p>在勒索軟體威脅上，除了注意12月新出現的勒索軟體FunkSec的消息，還有另一勒索攻擊手法揭露的新聞值得留意，是針對雲端環境而來，攻擊者先利用外流或曝險的AWS金鑰，進而濫用AWS提供的用戶端資料保護措施SSE-C，將客戶資料加密並勒索。</p> <p> </p> <h2><a href="https://www.ithome.com.tw/news/166911"><strong><span style="color: rgb(178, 34, 34);">【資安週報】0106~0110，臺灣電信業遭受中共網駭情形在2024年暴增6.5倍，交通與國防供應鏈也成被針對的重點日</span></strong></a></h2> <p>在2025年第一星期資安新聞的主要焦點是，臺灣國家安全局於1月5日發布中共網駭手法分析報告，指出2024年國安情報團隊掌握我國政府及民間網駭案中，最嚴峻是以電信業者為主的資通訊領域，遭受攻擊是前一年度的6.5倍，其次是交通與國防供應鏈，遭受攻擊也比前一年度增長，顯示這些領域已是中共新興網駭重點。</p> <p>此外，日本警方於1月8日發布中國駭客MirrorFace（Earth Kasha）入侵警報，揭露該組織5年間對日本發動逾200起攻擊。事實上，趨勢科技兩個月前已警告該組織利用多家品牌SSL VPN設備漏洞入侵。不僅日本企業受害，臺灣與印度也遭波及。因此日本警方此次公布的攻擊手法與偵測措施，也可供我國企業組織參考。</p> <p>在資安事件方面，這一星期國內多家上市櫃公司發布資安事件重訊，其遭遇事故類型涵蓋供應鏈攻擊、勒索軟體攻擊，以及DDoS攻擊事件。</p> <p>●易飛網在1月7日說明遭遇供應鏈攻擊及資料竊取，致有個資外洩。<br /> ●新海瓦斯1月9日揭露伺服器內部檔案遭受勒索軟體加密。<br /> ●悠泰科技、華航在1月7日與8日分別公布官網遭受網路DDoS攻擊。<br /> ●針對中華電信海底電纜遭貨輪破壞的事故，數位發展部表示中華電信當日已通報並啟動其他海纜備援，之後將配合海巡署、法務部、NCC與司法機關加強執法。<br /> ●資安業者Tenable傳出外掛程式更新出錯的意外事故，造成端點代理程式停擺。</p> <p>在資安威脅的攻擊技術態勢上，有1則重要消息，是關於雙點擊劫持（DoubleClickjacking）手法的揭露，研究人員提醒，多數網站已能透過「X-Frame-Options header」、「SameSite: Lax/Strict」來防範點擊劫持攻擊手法，但無法因應這種新的變種手法，研究人員闡釋攻擊原理，同時建議可藉由用戶端保護方式來緩解。</p> <p>還有不同資安業者公布其發現的最新攻擊手法，有3則同樣值得我們留意，包括：出現新型態的惡意JavaScript、Python、Ruby套件，顯示攻擊者正濫用oastify.com、oast.fun等新興應用程式安全測試OAST檢測服務；發現針對蘋果電腦用戶的新型竊資軟體Banshee，會冒用內建防毒XProtect的字串加密演算法來迴避偵測；俄羅斯網路犯罪論壇正兜售名為PhishWP的惡意WordPress外掛程式，可用於建立幾可亂真的付款網頁。</p> <p>在漏洞利用消息方面，以Ivanti的零時差漏洞利用情形最受關注，Google旗下資安公司Mandiant在漏洞公布隔日的1月10日，發布相關研究報告，研判中國駭客組織利用此漏洞進行網路間諜活動，並揭露其攻擊手法的特殊之處是假裝系統升級成功，包括：插入惡意程式碼攔截升級執行流程，製作假的升級進度條來迷惑管理員，並繞過系統完整性檢查，假裝成為升級後的版本。</p> <p>●Ivanti針對Ivanti Connect Secure等設備修補已遭利用零時差漏洞CVE-2025-0282，隔日Mandiant公布研究報告，指出該漏洞2024年12月中旬已遭利用。<br /> ●加拿大電信業者Mitel在前幾個月陸續修補MiCollab整合通訊平臺的漏洞CVE-2024-41713、CVE-2024-55550，如今被發現遭駭客鎖定利用於攻擊活動。<br /> ●Oracle於5年前修補WebLogic Server的漏洞CVE-2020-2883，當時已有資安業者指出遭駭客鎖定利用，最近美CISA將其列入限期修補的已知被利用漏洞清單。</p> <p>至於資安防禦動向上，有兩則重要新聞，一是歷經18個月討論的美國物聯網裝置網路安全標章U.S. Cyber Trust Mark正式發布；通訊軟體Telegram宣布將推出業界首創的第三方驗證機制，採更主動式防護來打擊假消息與詐騙行為。<br /> </p> <h2><a href="https://www.ithome.com.tw/news/167030"><strong><span style="color: rgb(178, 34, 34);">【資安週報】0113~0117，中國駭客RedDelta持續散布惡意程式PlugX，臺灣、東南亞與蒙古頻遭鎖定</span></strong></a></h2> <p>在2025年第二星期的資安新聞，適逢多家IT大廠每月例行安全更新發布，其中微軟與Fortinet的修補是重要焦點。微軟本月修補159個漏洞中，包含了8個零時差漏洞，其中5個已經公開揭露，另外3個更為嚴重，因為已出現實際利用狀況；資安業者Arctic Wolf在1月10日揭露一起Console Chaos攻擊行動，指出有攻擊者從去年11月針對Fortinet FortiGate防火牆設備發動零時差漏洞利用攻擊，4天後Fortinet發布相關修補資安公告。</p> <p>●微軟修補8個零時差漏洞，其中3個已遭利用，分別是：CVE-2025-21333、CVE-2025-21334、CVE-2025-21335，皆涉及Hyper-NT核心整合VSP的漏洞。<br /> ●Fortinet修補FortiOS零時差漏洞CVE-2024-55591，並表示該漏洞已遭廣泛利用。雖然Fortinet未提及漏洞是由Arctic Wolf通報，但Fortinet資安公告列出的IoC指標與Arctic Wolf的報告吻合。<br /> ●互動式BI系統Qlik Sense在2023年修補的漏洞CVE-2023-48365，最近美CISA將其列入限期修補的已知被利用漏洞清單。</p> <p>另還傳出有駭客公布1.5萬臺Fortinet防火牆的詳細組態配置資料、VPN帳密，研究人員推測可能是駭客透過2年前的零時差漏洞取得，雖然許多防火牆可能早已修補，但因這批資料包含防火牆規則的完整資料，因此研究人員提醒不要忽略這些能夠防範的風險。</p> <p>在威脅態勢上，使用PlugX惡意程式的中國駭客威脅，是資安界與國家網路安全機構關注的重點，不僅有資安業者揭露攻擊態勢，後續我們還發現，有國家執法單位正設法積極移除這類威脅的消息。</p> <p>首先，資安業者Recorded Future揭露中國駭客RedDelta（也叫做Earth Preta、Mustang Panda、TA416）自2023年中旬將網路攻擊目標轉向蒙古、臺灣與東南亞，主要是配合中國外交政策，而且近半年更是擴大攻擊範圍，鎖定馬來西亞、日本、美國、衣索比亞、巴西、澳洲、印度。</p> <p>其次，美國FBI在1月14日宣布，在與法國執法單位及資安公司Sekoia合作下，經美國法院授權，遠端刪除美國境內4,200電腦上被感染的中國駭客散布的PlugX惡意軟體，並通知受影響使用者。</p> <p>在其他重要威脅態勢與事件上，有兩起是鎖定開發人員與資安研究人員的揭露，包括攻擊者假借提供漏洞偵測工具，或是漏洞驗證工具，但實則暗藏惡意程式；有兩起是勒索軟體威脅的最新動向，其中專門針對AWS S3儲存桶的勒索軟體攻擊值得留意，因為攻擊者濫用了AWS本身提供的資料保護措施。<br /> ●有攻擊者提供偽裝成以太坊智慧合約漏洞偵測工具的NPM套件，宣稱能找出潛在漏洞，實際上該套件暗藏遠端存取木馬Quasar RAT。<br /> ●有駭客假借提供去年12月LDAPNightmare漏洞的概念驗證程式碼，意圖對資安研究人員散布竊資軟體。資安專家提醒，若要研究PoC應從原始揭露來源取得。<br /> ●新興勒索軟體FunkSec出現值得留意，資安業者Check Point指出這是去年12月，不僅會發動雙重勒索，並研判該組織運用了AI輔助開發相關工具。<br /> ●新發現有勒索軟體駭客的攻擊手法，是利用外流或是不慎曝光的AWS金鑰，接著濫用了AWS提供的資料保護措施SSE-C將客戶資料加密，再向使用者勒索。</p> <p>此外，還有兩起關於臺灣上市櫃公司的資安事件，專注於石英頻率控制元件的泰藝電子在1月12日發布重訊，說明有部分資訊系統遭到網路攻擊；國內老牌紡織纖維業者遠東新世紀〈原遠東紡織〉在1月16日發布重訊，說明他們接獲重要資通訊合作廠商通報，與自家公司合作的相關系統有資料外洩疑慮。</p> <p style="margin: 0px;"> </p> <h2><a href="https://www.ithome.com.tw/news/167152"><strong><span style="color: rgb(178, 34, 34);">【資安週報】0120~0124，國家級駭客攻擊全球，網路間諜攻擊威脅大增，電信產業成2024年重災區</span></strong></a></h2> <p>適逢農曆年節前夕，在2025年第三星期資安新聞的主要焦點，是國家級駭客的最新進展，顯現電信業在2024已成駭客攻擊頭號目標的態勢，不只最近美國9家電信業遭中國駭客滲透的事故，還有多國電信業近年持續被發現遭中國駭客入侵。</p> <p>此次報導亦整理出最新威脅態勢，突顯這些組織不只直接攻擊企業組織，更聚焦於邊緣裝置漏洞利用等方式滲透，而且供應鏈攻擊也深入臺灣發展的軟體與服務，像是近年一起資安事故就是透過ERP入侵，並且真正攻擊目標是臺灣無人機產業。</p> <p>在資安事件方面，這一星期國內多家上市櫃公司發布資安事件重訊，最大焦點是以AI機器視覺與機器人當紅的所羅門，因為這又是一起同集團均受影響的狀況；韓國VPN業者IPany遭入侵所引發的供應鏈攻擊事件亦受關注，資安業者指出是中國駭客PlushDaemon所為。<br /> ●上市公司聯鈞光電1月19日說明部分資訊系統遭遇勒索軟體攻擊。<br /> ●上市公司所羅門在1月23日說明資訊系統遭受駭客攻擊，同日所羅門集團旗下的上櫃公司新門科技，亦發布相同資安重訊內容。目前所羅門集團官網無法連線。<br /> ●韓國VPN業者IPany遭駭，攻擊者在原廠提供的安裝檔加料散布惡意程式SlowStepper，這起供應鏈攻擊目標包含韓國半導體、軟體業，日本用戶也受害。<br /> ●HPE內部系統憑證、產品原始碼疑遭竊取，知名初始入侵管道掮客IntelBroker在駭客論壇上兜售。HPE表示已著手調查。</p> <p>在威脅態勢與事件上，殭屍網路的威脅揭露是一大焦點，因為有4起消息與之有關，佔據本星期新聞事件不少版面。<br /> ●1.3萬臺MikroTik路由器被駭客綁架組成殭屍網路，藉此發送垃圾郵件並散布木馬，特殊之處是駭客利用DNS記錄設定不良來通過SPF的驗證，2萬網域遭利用。<br /> ●駭客透過Mirai變種殭屍網路發動創下新高的5.6 Tbps的UDP DDoS攻擊，Cloudflare一家東亞ISP的客戶成為目標，且攻擊時間是2024萬聖夜期間。<br /> ●cnPilot路由器被殭屍網路Airashi利用零時差漏洞綁架，攻擊者不只用於發動DDoS攻擊，也藉此提供非法代理伺服器服務。<br /> ●Mirai變種殭屍網路Murdoc的攻擊活動被揭露，主要鎖定陞泰IP攝影機、華為路由器。</p> <p>在漏洞消息方面，有兩則漏洞利用的消息，一是今年1月初，專為多雲環境設計的雲端網路控制平臺Aviatrix Controllers，修補CVSS評分10分的重大漏洞CVE-2024-50603，在1月23日美國CISA將其列入已知被利用漏洞清單（KEV），對當地機構要求限期修補；另一是2020年JQuery的老舊漏洞CVE-2020-11023，同樣在當日被列入KEV清單。</p> <p>另外，我們觀察到2個研究人員發現的新資安問題，值得大家留意，一是資安研究人員發現可濫用Cloudflare快取，進而推測用戶地理位置的手法；另一是發現群組原則已設定只接受NTLMv2的情況下，仍有部分應用程式可透過ParameterControl的參數，來請求NTLMv1驗證訊息。</p> <p>至於資安防禦發展新聞中，有一項重要消息是，Google釋出新的軟體組成分析函式庫OSV-SCALIBR，將有助於協助生成精準的SBOM，並提升漏洞檢測效能。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/166878">【2024年12月資安月報，美國9家電信業遭中國駭客Salt Typhoon滲透，政府呼籲使用全程加密的即時通訊App】</a></h3> <h3><a href="https://www.ithome.com.tw/news/166394">【2024年11月資安月報，身分安全與AI成資安熱點，電信業滲透事件敲響警鐘】</a></h3> <h3><a href="https://www.ithome.com.tw/news/165787">【2024年10月資安月報】關切資安法修法、零信任、CMMC 2.0與資訊作戰，迎向不斷變化的資安威脅考驗</a></h3> <h3><a href="https://www.ithome.com.tw/news/165258">【2024年9月資安月報】數十個臺灣政府機關、企業的網站服務遭受DDoS攻擊</a></h3> <h3><a href="https://www.ithome.com.tw/news/165169">【2024年8月資安月報】</a></h3> <h3><a href="https://www.ithome.com.tw/news/164223">【2024年7月資安月報】</a></h3> <p> </p> </div></div></div>
2025/1/26 21:17作者羅正漢https://www.ithome.com.tw/news/167154
Hugging Face釋出號稱業界最小多模態語言模型，推論單一圖片不用1GB RAM
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">AI資源平臺Hugging Face上周<a href="https://HuggingFace.co/blog/smolervlm" target="_blank">公布SmolVLM二款新多模態模型</a>，SmolVLM-256M及SmolVLM-500M，前者號稱是全球最小的多模態及影片語言模型（video language model，VML）。</p> <p dir="ltr">Hugging Face團隊去年訓練2款80B參數的VLM，再縮成8B模型，然後縮小成SmolVLM 2B模型。然後他們決定再進一步縮小，著重效率、混合資料以及在不同需求間取得折衷。成果是強大但體積極小的多模態模型，包括SmolVLM 256M與SmolVLM 500M，各有基礎模型和指令微調模型。這些模型可以直接載入到transformer MLX和ONNX上。</p> <p dir="ltr">作為SmolVLM家族的新成員，256M及500M都是使用SigLIP為圖片編碼器，以SmolLM2為文字編碼器。他們在多項標竿測試超越一年半前才釋出的Idefics 80B模型。其中<a href="https://HuggingFace.co/HuggingFaceTB/SmolVLM-256M-Instruct" target="_blank">256M</a>是最小型的VLM及多模態模型，它能接受任何序列的圖片和文字，生成文字輸出。SmolVLM能勝任多種多模態任務，包括生成圖片描述或短影片字幕、PDF或掃瞄文件問答，以及回答關於圖表的問題。輕巧架構的架構讓它適合行動裝置上應用，同時維持強大效能。它以不到1GB的GPU RAM就能在單一圖片上執行推論。</p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/0126-smoller_benchmarks_Hugging%20Face_SmolVLM.png" style="width: 600px;" /></p> <p dir="ltr"><span style="color:#696969;"><span style="font-size:14px;">圖片來源／Hugging Face</span></span></p> <p dir="ltr">需要更高效能的組織可以選擇<a href="https://HuggingFace.co/HuggingFaceTB/SmolVLM-500M-Instruct" target="_blank">SmolVLM-500M</a>模型。500M在文件理解DocVQA和多模態推理標竿測試MMMU的表現不輸之前的2B。這模型對提示回應能力更佳，適用部署於組織營運環境。500M模型也是相當輕巧高效的模型，在單一圖片上推論僅需1.23GB的GPU RAM。二款模型微調後表現更佳。</p> <p dir="ltr">兩款模型都是以Apache 2.0授權開源。研究團隊提供了transformer和WebGU二種示範。所有模型和示範<a href="https://HuggingFace.co/collections/HuggingFaceTB/smolvlm-256m-and-500m-6791fafc5bb0ab8acc960fb0" target="_blank">都公布於此</a>。</p> </div></div></div>
2025/1/26 19:56作者林妍溱https://www.ithome.com.tw/news/167155
傳美國政府協調甲骨文等公司洽談收購TikTok
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">非營利組織<a href="https://www.npr.org/2025/01/25/g-s1-44779/tiktok-ban-deal-trump-oracle" target="_blank">NPR報導</a>，美國川普政府正在和甲骨文及其他美國科技業者商討收購短影片應用程式TikTok。</p> <p dir="ltr">報導引述消息人士指出，美國政府正在斡旋TikTok中國母公司字節跳動（ByteDance）和美國公司的交易。美方計畫是字節跳動（ByteDance）持有50%以下的股權，而由美國科技公司取得TikTok全球業務的過半股權，而其中甲骨文將監管TikTok的軟體、演算法及資料蒐集。這意謂著TikTok營運未來將實質掌握在美國手中。</p> <p dir="ltr">消息人士並指出，微軟也在洽談收購TikTok出資者之列。</p> <p dir="ltr">這發展將實現川普對TikTok的計畫。川普在上任前，承諾將解救TikTok被拜登政府生效的法案禁用的命運。在上任頭一天他簽署行政命令，要求司法部暫緩執行法律75天，但前提是TikTok必須賣給美國。他當時屬意中國和美國科技公司以合資持有TikTok，而美國公司持股50%。</p> <p dir="ltr">上任第一天川普在和甲骨文、軟銀、OpenAI發布Stargate計畫的記者會上，川普也曾和甲骨文技術長Larry Ellison非正式<a href="https://www.ithome.com.tw/news/167108" target="_blank">談到</a>讓甲骨文收購TikTok。</p> <p dir="ltr">此前彭博<a href="https://www.cnbc.com/2025/01/13/china-considers-selling-tiktok-us-operations-to-musk-bloomberg-.html" target="_blank">報導</a>中國政府屬意TikTok出售給馬斯克。而川普似乎不反對。官方表態上，中國外交部上周一反之前反對意見，<a href="https://www.axios.com/2025/01/20/china-tiktok-sale-willing" target="_blank">表示</a>私人企業有權決定要出售給誰或和誰合併。</p> <p dir="ltr">媒體<a href="https://www.voachinese.com/a/donald-trump-says-china-tariffs-could-hinge-on-tiktok-deal-20250121/7944495.html?utm_source=chatgpt.com" target="_blank">分析</a>，中國之所以同意，原因可能來自，以出售TitTok緩解美國威脅調高關稅的壓力，甚至換取其他領域，例如臺灣問題的談判籌碼，而且與美國公司合併至少能維持中國企業在美國的經濟利益，當然也能搏得自由開放的名聲。</p> <p dir="ltr">甲骨文於2020年川普第一任期曾提議收購TikTok美國業務，但最終並未成真。但甲骨文仍然是TikTok美國流量的代理資料中心唯一合作夥伴，藉此解決美國政府的國安疑慮。</p> </div></div></div>
2025/1/26 20:13作者林妍溱https://www.ithome.com.tw/news/167157
【資安週報】0120~0124，國家級駭客攻擊全球，網路間諜攻擊威脅大增，電信產業成2024年重災區
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>適逢農曆年節前夕，在2025年第三星期資安新聞的主要焦點，是國家級駭客的最新進展，顯現電信業在2024已成駭客攻擊頭號目標的態勢，不只最近美國9家電信業遭中國駭客滲透的事故，還有多國電信業近年持續被發現遭中國駭客入侵。</p> <p>此次報導亦整理出最新威脅態勢，突顯這些組織不只直接攻擊企業組織，更聚焦於邊緣裝置漏洞利用等方式滲透，而且供應鏈攻擊也深入臺灣發展的軟體與服務，像是近年一起資安事故就是透過ERP入侵，並且真正攻擊目標是臺灣無人機產業。</p> <p>在資安事件方面，這一星期國內多家上市櫃公司發布資安事件重訊，最大焦點是以AI機器視覺與機器人當紅的所羅門，因為這又是一起同集團均受影響的狀況；韓國VPN業者IPany遭入侵所引發的供應鏈攻擊事件亦受關注，資安業者指出是中國駭客PlushDaemon所為。<br /> ●上市公司聯鈞光電1月19日說明部分資訊系統遭遇勒索軟體攻擊。<br /> ●上市公司所羅門在1月23日說明資訊系統遭受駭客攻擊，同日所羅門集團旗下的上櫃公司新門科技，亦發布相同資安重訊內容。目前所羅門集團官網無法連線。<br /> ●韓國VPN業者IPany遭駭，攻擊者在原廠提供的安裝檔加料散布惡意程式SlowStepper，這起供應鏈攻擊目標包含韓國半導體、軟體業，日本用戶也受害。<br /> ●HPE內部系統憑證、產品原始碼疑遭竊取，知名初始入侵管道掮客IntelBroker在駭客論壇上兜售。HPE表示已著手調查。</p> <p>在威脅態勢與事件上，殭屍網路的威脅揭露是一大焦點，因為有4起消息與之有關，佔據本星期新聞事件不少版面。<br /> ●1.3萬臺MikroTik路由器被駭客綁架組成殭屍網路，藉此發送垃圾郵件並散布木馬，特殊之處是駭客利用DNS記錄設定不良來通過SPF的驗證，2萬網域遭利用。<br /> ●駭客透過Mirai變種殭屍網路發動創下新高的5.6 Tbps的UDP DDoS攻擊，Cloudflare一家東亞ISP的客戶成為目標，且攻擊時間是2024萬聖夜期間。<br /> ●cnPilot路由器被殭屍網路Airashi利用零時差漏洞綁架，攻擊者不只用於發動DDoS攻擊，也藉此提供非法代理伺服器服務。<br /> ●Mirai變種殭屍網路Murdoc的攻擊活動被揭露，主要鎖定陞泰IP攝影機、華為路由器。</p> <p>在漏洞消息方面，有兩則漏洞利用的消息，一是今年1月初，專為多雲環境設計的雲端網路控制平臺Aviatrix Controllers，修補CVSS評分10分的重大漏洞CVE-2024-50603，在1月23日美國CISA將其列入已知被利用漏洞清單（KEV），對當地機構要求限期修補；另一是2020年JQuery的老舊漏洞CVE-2020-11023，同樣在當日被列入KEV清單。</p> <p>另外，我們觀察到2個研究人員發現的新資安問題，值得大家留意，一是資安研究人員發現可濫用Cloudflare快取，進而推測用戶地理位置的手法；另一是發現群組原則已設定只接受NTLMv2的情況下，仍有部分應用程式可透過ParameterControl的參數，來請求NTLMv1驗證訊息。</p> <p>至於資安防禦發展新聞中，有一項重要消息是，Google釋出新的軟體組成分析函式庫OSV-SCALIBR，將有助於協助生成精準的SBOM，並提升漏洞檢測效能。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/167064"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月20日】駭客綁架MikroTik路由器從事網釣攻擊，意圖散布惡意軟體</span></strong></a></h3> <p>攻擊者看上路由器將其綁架組成殭屍網路，多半是為了用來從事DDoS攻擊，近期有人卻將其用於規畫更為複雜的網路攻擊行動，使得相關手法更難防範。</p> <p>這起資安事故特別之處在於，攻擊者也搭配了DNS的不當組態，而能藉此假冒合法的網域名稱寄送釣魚信，使得信件不會被郵件安全系統視為有害。</p> <h3><a href="https://www.ithome.com.tw/news/167100"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月21日】駭客聲稱握有IT大廠HPE的內部資料，該公司正在著手調查</span></strong></a></h3> <p>去年底初始入侵管道掮客IntelBroker先後於<a href="https://www.ithome.com.tw/news/166719">10月</a>、<a href="https://www.ithome.com.tw/news/166757">12月</a>兩度公布思科的內部資料，而在今年初這些駭客又有動作，他們聲稱手上有伺服器大廠HPE的內部檔案。</p> <p>值得留意的是，這些駭客並非首次表明竊得HPE內部的資料，去年2月，<a href="https://www.bleepingcomputer.com/news/security/hpe-investigates-new-breach-after-data-for-sale-on-hacking-forum/">他們號稱從HPE開發環境取得內部資料</a>。究竟這次駭客兜售的資料是否與之前有關？有待進一步釐清。</p> <p><a href="https://www.ithome.com.tw/news/167118"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月22日】陞泰IP攝影機已知漏洞再傳遭到Mirai變種殭屍網路鎖定</span></strong></a></p> <p>去年美國網路安全暨基礎設施安全局（CISA）、資安業者Akamai揭露陞泰科技（Avtech）的IP攝影機漏洞CVE-2024-7029，並表示已有攻擊行動出現，如今有資安業者發現，可能還有其他駭客用於殭屍網路攻擊。</p> <p>資安業者Qualys揭露綁架超過5,500臺裝置的殭屍網路Murdoc，並提及攻擊者運用已知漏洞對裝置散布惡意軟體，其中一個就是CVE-2024-7029。</p> <h3><a href="https://www.ithome.com.tw/news/167142"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月23日】中國駭客入侵韓國VPN業者IPany發動供應鏈攻擊，竄改安裝程式散布後門</span></strong></a></h3> <p>駭客入侵軟體開發業者，並在正式發布的軟體裡加入惡意程式碼的情況，不時有事故傳出，最近一起針對韓國VPN業者的攻擊事故揭露，引起外界的關注。</p> <p>值得留意的是，發動這起事故的中國駭客組織PlushDaemon，開發了具備超過30種功能的後門程式來從事攻擊，但資安業者ESET發現，這些駭客也著手開發威力更加強大的版本。</p> <h3><a href=" https://www.ithome.com.tw/news/167151"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月24日】印度駭客組織DoNot假借提供即時通訊軟體的名義散布惡意程式</span></strong></a></h3> <p>駭客鎖定安卓手機收集資料的情況，隨著全球國際局勢的緊張，這種攻擊也不斷出現，其中，最常見的就是要受害者授予各式的存取權限，從而大肆搜刮手機的資料並監控使用者，如今這樣的手法出現變化。</p> <p>資安業者Cyfirma揭露印度駭客組織DoNot（APT-C-35）近期的攻擊行動當中，駭客的惡意App在取得輔助功能權限後，竟是透過訊息推播的方式，發動第二波網釣攻擊</p> <p> </p> </div></div></div>
2025/1/25 17:46作者羅正漢https://www.ithome.com.tw/news/167152
2025年全球風險報告出爐，錯假訊息、網路間諜戰是短期10大風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>世界經濟論壇（WEF）在1月15日發布了《<a href="https://reports.weforum.org/docs/WEF_Global_Risks_Report_2025.pdf">2025年全球風險報告</a>》，此次剛好是該報告發布的第20周年。在今年短期風險中，第一名是科技類型風險，這已是連續兩年有此狀況，長期風險仍以多項環境風險為主、科技風險次之。</p> <p>基本上，WEF將風險分成五大類，包括經濟、環境、地緣政治、社會，以及科技風險。</p> <p>根據2025報告內容指出，未來2年全球十大風險而言，科技風險居於第1名與第5名，最值得優先關注，分別是錯誤資訊與假訊息，以及網路間諜與戰爭。</p> <p>其他重要風險包括：環境風險居於第2名、第6名，分別是極端氣候、污染；地緣風險居於第3名、第9名，分別是國家武裝衝突、地緣經濟對抗；社會風險佔據第4、7、8、10名，最高是排第4的社會兩極化。</p> <p>值得我們關注的是，關於「錯誤資訊與假訊息」一項，已是連續兩年居於短期10大風險之首。</p> <p>對此狀況，報告中特別強調生成式AI在大規模產生虛假或誤導性內容方面的作用，以及與另一項風險社會兩極化的關聯。</p> <p>同時，WEF也直截了當指出，社會接觸到的虛假或誤導性內容數量是持續增加，讓公民、企業與政府辨識真實資訊的挑戰更加艱難。</p> <p>更關鍵的是，在錯誤資訊、社會及政治兩極化這兩者的交互作用下，進一步加劇演算法偏見的風險。而且，演算法偏見也成為加劇錯誤資訊的推手，在這樣的態勢下也讓威脅者有機可趁，利用演算法偏見上的漏洞來擴大影響力。</p> <p>此外，還要加上全球數據治理與監管政策各異，這也造成公民數位足跡面臨隱私保護與監控風險的兩難局面。</p> <p>面對社會分裂感日益增強的狀況，在一個分裂世界中是否可能達成共識是否可能？WEF列出幾項建議，例如：企業需加強技術與倫理培訓，減少演算法偏見，政府與社會應推動公民數位素養教育，提升隱私保護與辨識假訊息的能力，同時建立AI使用的透明框架，才能讓數位生態重建信任基礎。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E5%9C%962)WEF%E7%99%BC%E5%B8%832025%E5%B9%B4%E5%85%A8%E7%90%83%E9%A2%A8%E9%9A%AA%E5%A0%B1%E5%91%8A_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90WEF.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(128, 128, 128);"><strong>在世界經濟論壇（WEF）發布的2025年全球風險報告中，</strong></span><span style="color: rgb(128, 0, 128);"><strong>科技類型風險</strong></span><span style="color: rgb(128, 128, 128);"><strong>成全球最大挑戰，錯誤資訊與假訊息（Misinformation and disinformation）</strong></span><span style="color: rgb(128, 128, 128);"><strong>連兩年居於首要風險，網路間諜與戰爭（Cyber espionage and warfare）</strong></span><span style="color: rgb(128, 128, 128);"><strong>排第五；至於長期風險排名第一仍是環境類型風險的極端氣候事件。</strong></span></p> <p>另一項不可輕忽的科技風險是排名第五的「網路間諜與戰爭」。這項風險日益嚴峻的原因，同樣與其他風險項目有所連動。WEF提到多項重點，例如，虛假或誤導內容的氾濫，導致地緣政治環境更加複雜化，地緣經濟對抗的這項風險，從前一年度的第14名攀升至第9名，在這種局勢下，政府主導的商業網路間諜活動也可能會變得更加頻繁。而且，上述這些也都是與國家武裝衝突高度相關的風險。</p> <p>換個角度，從未來10年的十大風險來看，WEF指出最主要還是環境風險，涵蓋第1到第4名與第10名，科技風險也不容小覷，居於第5、6、9名，當中不僅是包含錯誤資訊與假訊息、網路間諜與戰爭，還有一項是「AI技術的不良後果」。WEF指出，這項風險在短期風險排名仍低，但在長期風險卻是上升幅度最大的風險之一。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E5%9C%962)WEF%E7%99%BC%E5%B8%832025%E5%B9%B4%E5%85%A8%E7%90%83%E7%B6%B2%E8%B7%AF%E5%AE%89%E5%85%A8%E5%B1%95_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90WEF.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(128, 128, 128);"><strong>WEF在1月13日還有發布一份《 <a href="https://www.weforum.org/publications/global-cybersecurity-outlook-2025/">2025年全球網路安全展望</a>》報告，當中指出地緣政治緊張、技術快速發展，使得網路安全複雜度超越以往，不論是地緣政治緊張局勢升級、供應鏈的日益複雜、新興科技的快速採用，以及不斷增加的法規要求，都加劇了這種複雜性。</strong></span><strong style="color: rgb(128, 128, 128);">而這樣的複雜性，也導致了網路安全的不平等現象變得日益嚴重，資源較少的組織更難以應對不斷變化的威脅。</strong></p> </div></div></div>
2025/1/25 18:00作者羅正漢https://www.ithome.com.tw/news/167153
零售IT雙周報第50期：Walmart大力投資門市內OMO訂單履行能力，要在400間門市增設自動化物流設備
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#0000ff;"><strong>重點新聞(0112~0125)</strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#自動化物流 #門市內訂單履行</span></strong></span><br /> <strong>Walmart計畫在400家門市內增設自動化設備，支援電商與BOPIS訂單履行</strong></p> <p>零售龍頭Walmart將旗下先進系統與機器人技術部門，賣給智慧倉儲系統商Symbotic，同時簽署專屬供應契約，12年內，後者開發的自動化倉儲技術，只能提供給Walmart。</p> <p>Walmart將相關部門賣給Symbotic，是希望強化後者開發能量，並為Walmart 400間門市打造自動化訂單履行設備，包括軟體面的AI機器人管理技術，以及硬體面的自動化物流機器人。這些設備會用來支援門市出貨的電商訂單，以及線上下單線下取貨（BOPIS）等OMO訂單履行模式。此計畫中，Walmart預計分期支付共5.2億美元給Symbotic。</p> <p>這是Walmart自從發展電商以來，持續大力投資智慧倉儲與物流的又一步。2024年，他們不只持續開設大型智慧物流中心，也<a href="https://www.ithome.com.tw/news/166270">利用大數據技術</a>大幅改善物流效率，降低高達40%的物流成本。近月，<a href="https://www.ithome.com.tw/news/166033">他們更開設了新型OMO門市，有一般門市4倍大的電商訂單履行和則2倍多的BOPIS專用停車位。</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#GCP #生成式AI #搜尋功能</span></strong></span><br /> <strong>GCP推出一系列針對零售業者打造的生成式AI與AI代理人功能</strong></p> <p><a href="https://www.googlecloudpresscorner.com/2025-01-09-Google-Cloud-Unveils-New-Retail-Solutions-for-the-Agentic-AI-Era">GCP宣布一系列零售業生成式AI新功能與既有功能強化。</a>首先是AI代理人平臺Google Agentspace，開始支援零售業應用場景，例如可以打造目錄管理員，自動整合商品目錄數據，並回答關於商品的問題。</p> <p>AI搜尋功能Vertex AI Search for Commerce，則新增對話式商務（Conversational commerce）功能，這是一個結合原有Vertex AI Search搜尋功能的聊天機器人，可以整合進零售業者數位通路，用自然語言和顧客互動、提供搜尋商品，以及回答問題。</p> <p>另一個重要新功能是，利用生成式AI來補齊和豐富產品目錄數據的功能。此功能利用Gemini 1.5 Pro、Gemini 1.5 Flash和Imagen 3等多模態模型，來提升產品目錄的數據準確性，並能豐富更多圖片、描述等商品資訊。<a href="https://www.ithome.com.tw/news/165047">這個功能類似於Walmart先前用來提升百倍生產力的生成式AI應用方法。</a></p> <p>另外，GCP聯網門市類的解決方案，開始能使用最新圖像生成影片模型Veo，以及文字生成圖像模型Imagen 3，進一步強化商家運用多模態生成式AI的能力。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#AI代理人 #生成式AI #智慧POS #訂單履行</span></strong></span><br /> <strong>Salesforce推出零售用AI代理人功能，同時升級POS系統來支援更多購物場景</strong></p> <p>無獨有偶的，Salesforce也針對零售業推出<a href="https://www.salesforce.com/news/press-releases/2025/01/10/agentforce-retail-cloud-pos-announcement/">新AI代理人功能</a>。他們於代理人平臺Agentforce中新增零售專用代理人技能庫，包含訂單管理、預約排程、導購服務和忠誠度管理等。訂單管理可以讓顧客以對話形式更改付款或送貨等訂單細節；導購服務可以用自然語言對顧客推薦商品後，根據對話內容自動幫顧客完成下單與結帳；預約排程則可以協助顧客根據商家實際有的空檔，來安排送貨、安裝和諮詢等現場服務；忠誠度管理功能，則是透過對話來執行促銷活動和會員經營。</p> <p>Salesforce升級Retail Cloud產品線中的POS系統，整合線上和線下庫存數據，並能建立顧客檔案，紀錄購物行為、偏好和忠誠度狀態。這個POS還支援「混合購物車」功能，為購物車中的每個商品獨立設定訂單履行模式，如BOPIS、宅配等。此POS系統以在行動裝置執行為前提設計，將店員從櫃檯解放。新POS系統也和Commerce Cloud、Service Cloud和Order Management等其他Salesforce產品線的功能原生整合。</p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color:#0099ff;">#RMN3.0 #微軟 #AWS</span></strong><br /> <strong>微軟與AWS相繼推出RMN 3.0服務，提供零售業者經營RMN的IT支援</strong></p> <p>AWS和微軟相繼推出RMN 3.0相關服務，提供零售業者經營RMN所需的IT支援，CSP自己則作為平臺方，整合更多來源的數據和更多行銷通路。</p> <p><a href="https://advertising.amazon.com/library/news/retail-ad-service-announcement">AWS做法是提供自家RMN用的廣告科技</a>，讓零售商能夠在搜尋頁面、瀏覽頁面及商品頁面上展示Amazon廣告，經營RMN。利用此服務搭建的廣告系統，會結合庫存狀態和價格資訊，以及情境化資料，確保顧客所見廣告為適合且有現貨的商品。投放廣告後，廣告數據分析會在AWS數據無塵室（DCR）中進行，於加密執行環境中，為零售商及其廣告主產生去識別化的行銷成效報告。</p> <p><a href="https://about.ads.microsoft.com/en/blog/post/january-2025/microsoft-advertisings-new-commerce-media-innovations-unlock-growth-for-brands-and-retailers">微軟則對是開放零售商串接數據及廣告版位到Micosoft Advertising平臺。</a>零售業者可以直接用微軟平臺一站式處理數據分析、廣告交易及專案管理。不過，微軟並沒有解釋技術細節，例如零售業者如何導入或整合所需的Adtech技術，以及零售業者對於廣告操作的選項。</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#ERP #生成式AI #會員經營</span></strong></span><br /> <strong>SAP推出零售業專用ERP等多種零售新解決方案</strong></p> <p><a href="https://news.sap.com/2025/01/sap-nrf-2025-retail-public-cloud-erp-ai-shopping-assistant/">ERP大廠SAP推出一系列零售業新解決方案。</a>首先是專門為零售業設計的ERP，強調針對零售商品銷售、供應鏈整合、門市營運與OMO通路管理設計功能。</p> <p>這個新ERP及其他既有產品線中，還新增了多種會員經營功能，包括連結顧客檔案到支付工具的精準行銷、跨品牌及跨企業的會員黏著度管理、提供全通路促銷規畫功能、會員旅程規畫功能，以及結合財務系統來衡量這些行銷投資報酬率的功能。</p> <p>另外，他們將於2025年上半年正式推出AI購物助理，透過SAP CX AI Toolkit提供。此功能以SAP Commerce Cloud現有的AI功能為基礎打造，可以透過自然語言對話，協助顧客客戶快速找到他們所需的產品。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#數位孿生 #門市管理 #行銷素材製作 #生成式AI</span></strong></span><br /> <strong>L'Oreal和Lowe's如何應用數位孿生</strong></p> <p>在近期全美零售聯合會年會中，美妝品牌L'Oreal和家居品牌Lowe's各自揭露自家應用數位孿生的方法。</p> <p>L'Oreal為自家商品製作3D數位孿生，並將檔案提供給行銷代理商，支援他們用生成式AI來製作行銷素材。這是因為，3D數位孿生能精確捕捉產品的幾何形狀、比例和細節，且能3D模型可以從任何角度或視角進行渲染，利用Stable Diffusion等圖像生成式AI製作行銷圖時，能更靈活調整內容，同時保留商品細節。</p> <p>Lowe's則是為旗下1,700間門市製作數位孿生，並每天根據庫存及營運數據更新。這是為了持續分析門市狀態，並模擬、調整不同的店鋪布局模式，來強化顧客購物體驗。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多零售IT動態</span></strong></span></p> <p>Momo旗下RMN已經有超過萬家品牌客戶，雙11廣告投放金額較前一年的總廣告營收成長3.5倍</p> <p>富士通鎖定零售業等產業，提供數據與系統整合搭配數位顧問的服務平臺</p> <p>大型連鎖藥局Walgreens CEO表示將貨架上鎖的防盜措施，造成的銷售下滑反而得不償失</p> <p><a href="https://corporate.bestbuy.com/2025/best-buy-marketplace/">大型連鎖3C零售商Best Buy推出第三方市集，並整合自家RMN服務</a></p> <p><a href="https://corporate.lowes.com/newsroom/stories/fresh-thinking/5-tech-savvy-ways-lowes-simplifying-homeownership">Lowe's的會員資訊與家具管理平臺將加入生成式AI功能，進一步支援會員的家具組裝與維修</a></p> <p>資料來源：iThome整理，2025年1月</p> <p>責任編輯：郭又華</p> <p>圖片來源：Walmart</p> <p></p> </div></div></div>
2025/1/24 12:31作者郭又華https://www.ithome.com.tw/news/167147
【資安日報】1月24日，印度駭客組織DoNot假借提供即時通訊軟體的名義散布惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客鎖定安卓手機收集資料的情況，隨著全球國際局勢的緊張，這種攻擊也不斷出現，其中，最常見的就是要受害者授予各式的存取權限，從而大肆搜刮手機的資料並監控使用者，如今這樣的手法出現變化。</p> <p>資安業者Cyfirma揭露印度駭客組織DoNot（APT-C-35）近期的攻擊行動當中，駭客的惡意App在取得輔助功能權限後，竟是透過訊息推播的方式，發動第二波網釣攻擊。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167150"><strong style="font-size: 22px;">印度駭客組織DoNot鎖定安卓用戶，散布惡意軟體Tanzeem</strong></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/android17-3.jpg" style="width: 300px; float: right;" /></p> <p>隨著全球國際局勢日益緊張，駭客鎖定特定人士手機收集情報的事故，最近兩年有越來越繁的現象，而且，在手法上也有所變化。</p> <p>資安業者Cyfirma指出，被稱為DoNot、APT-C-35的印度駭客組織，假借提供聲稱可進行網路聊天的程式Tanzeem、Tanzeem Update，意圖對於特定組織及個人的安卓手機發動攻擊。</p> <p>根據Cyfirma對惡意App的分析，他們發現內含OneSignal訊息推送平臺的元件，由於此平臺廣泛被行動App及網頁應用程式推送通知、電子郵件、簡訊，因此研究人員認為，駭客很有可能是濫用OneSignal推送含有釣魚連結的通知，從而發動進一步的攻擊。</p> <p><a href="https://www.ithome.com.tw/news/167130"><strong style="font-size: 22px;">Mirai殭屍網路攻擊規模再創新高，資安業者Cloudflare攔下規模5.6 Tbps的DDoS攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/0123-cloudflare-ddos report-mirai.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0123-cloudflare-ddos%20report-mirai.png" style="float: right; width: 300px;" /></a></p> <p>資安業者Cloudflare本周公布2024年第4季DDoS攻擊活動的統計報告，指出在引發網路層DDoS攻擊的殭屍網路中，Mirai占6%，季增131%相當值得留意。</p> <p>該公司提及在10月29日出現史上規模最大的DDoS攻擊，一家東亞ISP客戶遭到流量高達5.6 Tbps的攻擊事故，流量來自1.3萬臺物聯網（IoT）裝置，歷時約80秒。這些裝置遭到Mirai變種程式感染後，集體發動的DDoS攻擊。</p> <p>論及攻擊來源與受害國家，印尼、香港、新加坡、烏克蘭和阿根廷是最大來源。臺灣、香港、中國、菲律賓和德國是最主要攻擊目標；Cloudflare臺灣客戶發生7起DDoS攻擊，由前季的第7名躍升到第3名。</p> <p><a href="https://www.ithome.com.tw/news/167104"><strong style="font-size: 22px;">微軟已棄用的NTLMv1驗證機制，仍可能被啟動用於攻擊</strong></a></p> <p>微軟早已將NTLM（NT LAN Manager）列為過時的身分驗證機制，但資安業者Silverfort發現，Active Directory群組原則用於限制NTLMv1的機制，在設計上因支援舊系統的需求，可能被攻擊者濫用以重新啟用NTLMv1，對企業資安帶來潛在風險。</p> <p>研究人員發現，部分應用程式可以透過名為ParameterControl的參數，來請求NTLMv1驗證訊息，即使系統規則已設置為只接受更安全的NTLMv2。該問題尤其影響非Windows用戶端環境，因為這些用戶端在應用程式的要求下，可能使用不安全的驗證資料，導致網路流量暴露於遭攻擊者攔截與破解的風險。</p> <p>攻擊者可以攔截並破解NTLMv1流量，進而取得用戶憑證執行橫向移動或權限提升等進階攻擊行為。研究人員強調，僅依賴Active Directory群組原則並無法完全阻擋NTLMv1的使用，特別是當企業使用內部開發或第三方應用程式時，這些應用可能無意間允許或啟用不安全的驗證機制。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/sonicwall-warns-of-sma1000-rce-flaw-exploited-in-zero-day-attacks/">SonicWall防火牆設備SMA 1000系列存在重大漏洞，已傳出被用於攻擊行動</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.ithome.com.tw/news/166898">【電信業屢遭國家級駭客鎖定】美國多家電信業遭駭成2024最大網路間諜事故</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167149"><strong style="font-size: 22px;">供房地產網站使用的WordPress佈景主題、外掛存在重大漏洞，攻擊者有機會得到3萬個網站的管理權限</strong></a></p> <p>鎖定WordPress外掛程式的漏洞攻擊事故頻傳，因此相關漏洞的通報與揭露也相當值得網站管理員留意，若是外掛程式開發團隊沒有修補漏洞，管理員還是要採取相關措施因應，以免網站成為歹徒下手的目標。</p> <p>資安業者Patchstack表示在去年9月，發現WordPress佈景主題RealHome和外掛程式Easy Real Estate存在重大層級的漏洞CVE-2024-32444、CVE-2024-32445，他們向開發商InspiryThemes通報此事，迄今尚未得到回覆，因此他們呼籲網站管理員在廠商沒有提供修補之前，應停用佈景主題及外掛程式因應。</p> <p>這兩種延伸套件提供那些功能？RealHome是專為房仲網站設計的佈景主題，提供相關樣式設計，具備高度客製功能，甚至開發團隊外掛程式支援，而能擴充它的能力，其中一款就是本次揭露的社群網帳號登入模組Easy Real Estate。此佈景主題的付費版本已賣出近3.2萬套，因此漏洞影響的範圍可能相當廣泛。</p> <p><a href="https://www.ithome.com.tw/news/167139"><strong style="font-size: 22px;">思科修補防毒軟體ClamAV阻斷服務漏洞，防止攻擊者中斷防毒掃描</strong></a></p> <p>思科（Cisco）釋出1.4.2和1.0.8版開源防毒軟體ClamAV，其中一項重要安全更新是修補可能導致拒絕服務（DoS）攻擊的漏洞CVE-2025-20128。該漏洞存在於OLE2檔案格式解析的過程，攻擊者可以利用經過特殊設計的檔案，使ClamAV防毒掃描功能崩潰，進一步影響其運作。用戶目前可以在ClamAV官網、GitHub Release頁面以及Docker Hub上找到更新檔案。</p> <p>CVE-2025-20128漏洞由Google的OSS-Fuzz專案發現，主要問題出在OLE2檔案解密過程出現緩衝區溢出讀取錯誤。該問題自ClamAV 1.0.0版本就已存在，影響所有目前仍在支援範圍內的版本，攻擊者一旦成功濫用此漏洞，就可能導致防毒掃描中斷，雖然不會直接影響整體系統的穩定性，但卻會對用戶安全防護構成威脅。</p> <p>儘管目前沒有發現針對CVE-2025-20128漏洞的攻擊案例，但官方特別強調，已經有公開的概念性驗證程式碼流傳。這代表該漏洞可能成為攻擊的目標，思科敦促企業應立即檢查現有環境並套用相關更新。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/researcher-says-abb-building-control-products-affected-by-1000-vulnerabilities/">研究人員指出ABB大樓控制系統存在超過1千項弱點</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/aws-patches-vulnerabilities-in-workspaces-appstream-2-0-and-dcv-clients/">AWS修補WorkSpaces、AppStream、DCV高風險漏洞</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/qnap-fixes-six-rsync-vulnerabilities-in-hbs-nas-backup-recovery-app/">威聯通為NAS設備修補檔案同步工具Rsync弱點</a></strong></p> <p></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167141"><strong style="font-size: 22px;">預算遭大砍4成，數位部表示將影響打詐、通訊韌性基礎建設及資通安全</strong></a></p> <p>針對預算被刪減近36億元，佔整體預算編列4成，數位部重申，受衝擊的業務包括通訊韌性基礎建設、打詐、產業發展，資安方面，好不容易建立的資通安全團隊可能面臨人才流失，另外，資安管理工作AI化發展受阻，也將使得風險增加。</p> <p>針對立法院刪減114年度預算一事，數位部次長林宜敬近期表示，立院在野黨大幅刪減數位部的預算，對於臺灣的韌性及產業發展將帶來重大的影響。其中韌性基礎建設，數位部已在全臺警、消、軍部署773個非同步衛星網路，確保在天災及緊急危難時，對外網路通訊的順暢，去年也展示高空氣球緊急通訊設計，預算被刪減將造成韌性建設發展受阻，使臺灣面臨巨大的風險。</p> <p>在資安方面，臺灣地處地緣政治，每天平均受到240萬次的境外資安攻擊，數位部為水、電、電信、金融等關鍵基礎設施，以及政府機關、醫療院所提供24小時資安監控及防護，預算刪減將危及關鍵基礎設施的資安防護能力，威脅風險增加。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167020"><strong style="font-size: 22px;">推動AI代理人應用，Nvidia提供AI護欄微服務、內容安全防範工具</strong></a></p> <p>Nvidia宣布推出NIM AI護欄微服務，以解決企業對AI代理人的資料安全或違反法令的疑慮。此服務是Nvidia NeMo護欄（NeMo Guardrails）軟體工具集的一部分，都是以NIM微服務提供，包含內容安全、主題控管及越獄偵測。NeMo Guardrails是Nvidia開源的工具套件，可讓開發人員為LLM應用程式加入可程式化的護欄（Guardrails）或管理規則。</p> <p>新推出的內容安全微服務可防止AI生成有偏見或有害的輸出，確保符合倫理標準。主題控管微服務則確保對話內容的主題在許可範圍內，避免離題或不適當內容。越獄偵測微服務則防範使用者越獄（jailbreak），以免AI遭到不當利用的攻擊。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/167142"><strong>【1月23日】中國駭客入侵韓國VPN業者IPany發動供應鏈攻擊，竄改安裝程式散布後門</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167118"><strong>【1月22日】陞泰IP攝影機已知漏洞再傳遭到Mirai變種殭屍網路鎖定</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167100"><strong>【1月21日】駭客聲稱握有IT大廠HPE的內部資料，該公司正在著手調查</strong></a></p> </div></div></div>
2025/1/24 17:28作者周峻佑https://www.ithome.com.tw/news/167151
Subaru車聯網爆重大漏洞，攻擊者可遠端控制車輛、追蹤位置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安研究人員Shubham Shah與Sam Curry<a href="https://samcurry.net/hacking-subaru#visualizing-a-year-of-subaru-location-history">發現</a>，Subaru車聯網系統STARLINK（非SpaceX星鏈服務Starlink）管理面板存在一項重大安全漏洞，此漏洞允許攻擊者利用車主個人基本資訊對車輛進行遠端控制，包括啟動引擎、解鎖車門，以及查詢精確到5公尺內的車輛歷史位置記錄。該漏洞影響範圍廣泛，涵蓋所有美國、加拿大及日本連接STARLINK的車輛。經研究人員回報後，Subaru已在24小時內完成修補，並聲明未發現有惡意濫用的情況。</p> <p>此次安全事件的核心問題在於，攻擊者只需極少的車主資訊例如姓氏和郵遞區號，便能存取並控制特定車輛。此外，管理面板還可存取車主的個人資料，如地址、緊急聯絡人及帳單資訊，甚至能查詢過去一年車輛位置記錄。這些資訊的洩露不僅侵犯個人隱私，更可能被有心人士用於惡意目的，例如精確追蹤車輛位置。</p> <p>STARLINK系統的漏洞源於管理面板的多項設計缺陷。其中，密碼重設功能在沒有任何驗證機制，如確認信或一次性密碼的情況下，允許任何人僅憑電子郵件地址即可重設帳戶密碼。此外，儘管系統有實作雙因素驗證（2FA），但其驗證流程僅在客戶端執行。攻擊者發現，透過移除網頁程式碼中觸發雙因素驗證彈出視窗的JavaScript函式，即可完全繞過驗證，直接取得後端系統的完整操作權限。</p> <p>系統對管理面板使用者的電子郵件存取也缺乏嚴格限制，攻擊者可利用API介面，像是安全問題查詢功能，透過提交不同的電子郵件地址測試其有效性，列舉出合法的員工帳戶資訊，進一步接管帳戶並繞過身分驗證。</p> <p>廠商雖然迅速修復了漏洞，但該事件暴露出STARLINK車聯網系統存在權限管理與資料保護的結構性問題，包括過於寬鬆的員工權限設計、缺乏完善的API安全防護機制等。研究人員指出，Subaru員工擁有相當大的資料存取權限，例如一個18歲員工可以跨州查詢車主的敏感資訊，而且不會觸發任何警報。</p> </div></div></div>
2025/1/24 16:52作者李建興https://www.ithome.com.tw/news/167148
印度駭客組織DoNot鎖定安卓用戶，散布惡意軟體Tanzeem
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著全球國際局勢日益緊張，駭客鎖定特定人士手機收集情報的事故，最近兩年有越來越繁的現象，而且，在手法上也有所變化。</p> <p><a href="https://www.cyfirma.com/research/android-malware-in-donot-apt-operations/">資安業者Cyfirma指出</a>，被稱為DoNot、APT-C-35的印度駭客組織，假借提供聲稱可進行網路聊天的程式Tanzeem、Tanzeem Update，意圖對於特定組織及個人的安卓手機發動攻擊。</p> <p>研究人員先後於去年10月、12月看到兩個版本的惡意程式檔案，兩個版本檔案功能大致相同，差別在於對介面進行些微調整。</p> <p>一旦使用者依照指示安裝，手機就會出現Tanzeem App的歡迎畫面，然後顯示開始聊天的按鈕，一旦使用者點選，就會出現彈出式訊息，要求授予輔助功能權限。然而若是使用者照做，不會進入聊天的畫面，原因是惡意程式並未具備相關功能。</p> <p>根據Cyfirma對惡意App的分析，他們發現內含OneSignal訊息推送平臺的元件，由於此平臺廣泛被行動App及網頁應用程式推送通知、電子郵件、簡訊，因此研究人員認為，駭客很有可能是濫用OneSignal推送含有釣魚連結的通知，從而發動進一步的攻擊。</p> </div></div></div>
2025/1/24 17:05作者周峻佑https://www.ithome.com.tw/news/167150
供房地產網站使用的WordPress佈景主題、外掛存在重大漏洞，攻擊者有機會得到3萬個網站的管理權限
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>鎖定WordPress外掛程式的漏洞攻擊事故頻傳，因此相關漏洞的通報與揭露也相當值得網站管理員留意，若是外掛程式開發團隊沒有修補漏洞，管理員還是要採取相關措施因應，以免網站成為歹徒下手的目標。</p> <p>資安業者Patchstack表示在去年9月，發現<a href="https://patchstack.com/articles/unauthenticated-privilege-escalation-vulnerability-patched-in-real-home-theme/">WordPress佈景主題RealHome和外掛程式Easy Real Estate存在重大層級的漏洞</a>，他們向開發商InspiryThemes通報此事，迄今尚未得到回覆，因此他們呼籲網站管理員在廠商沒有提供修補之前，應停用佈景主題及外掛程式因應。</p> <p>這兩種延伸套件提供那些功能？RealHome是專為房仲網站設計的佈景主題，提供相關樣式設計，具備高度客製功能，甚至開發團隊外掛程式支援，而能擴充它的能力，其中一款就是本次揭露的社群網帳號登入模組Easy Real Estate。此佈景主題的付費版本已賣出近3.2萬套，因此漏洞影響的範圍可能相當廣泛。</p> <p>Patchstack揭露存在於RealHome的漏洞，登記為CVE-2024-32444，這是未經身分驗證的權限提升漏洞，起因是此佈景主題的程式碼在處理使用者輸入的內容時，並未進行授權或是檢查，一旦網站啟用使用者註冊的功能，攻擊者就有機會接管網站，CVSS風險評為9.8。此外，該佈景主題並未檢查使用者是否呼叫特定功能函數inspiry_ajax_register，攻擊者可使用$user_role變數建立管理員角色的帳號。</p> <p>另一個出現在Easy Real Estate的漏洞是CVE-2024-32445，Patchstack指出該漏洞形成的原因與CVE-2024-32444類似，攻擊者只要知道管理者的電子郵件信箱，就能在無須掌握對應密碼的情況下，登入任何使用者的帳號，CVSS風險評分同樣達到9.8。研究人員指出，這項漏洞發生的原因，在於該外掛程式並未驗證電子郵件信箱發出的POST請求。</p> </div></div></div>
2025/1/24 15:55作者周峻佑https://www.ithome.com.tw/news/167149
蘋果iOS 18.3、macOS 15.3將自動啟用Apple Intelligence
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果本周釋出iOS 18.3、iPadOS 18.3以及macOS 15.3，將讓新款iPhone、iPad及Mac電腦自動啟用Apple Intelligence。</p> <p>根據<a href="https://developer.apple.com/documentation/ios-ipados-release-notes/ios-ipados-18_3-release-notes#New-Features" target="_blank">iOS/iPadOS 18.3</a>及<a href="https://developer.apple.com/documentation/macos-release-notes/macos-15_3-release-notes" target="_blank">macOS Sequoia 15.3</a>網頁，新安裝或更新到最新OS版本的用戶，其設備會在重開機時自動啟用Apple Intelligence。啟用後裝置才會連網下載Apple Intelligence模型。</p> <p>在此之前，用戶必須在「設定」下的「Apple Intelligence & Siri」中，選擇「取得Apple Intelligence」來啟用這項功能。</p> <p>更新後Apple Intelligence成為預設啟動。要關閉Apple Intelligence，用戶就必須反過來，在「設定」下的「Apple Intelligence & Siri」中選擇「關閉Apple Intelligence」。</p> <p>想獲得蘋果AI功能的用戶，必須具備iPhone 16系列、iPhone 15 Pro、iPhone 15 Pro Max、搭載A17 Pro或M1晶片以上版本的iPad，或是M1晶片以上版本的Mac電腦。</p> </div></div></div>
2025/1/24 11:23作者林妍溱https://www.ithome.com.tw/news/167145
Anthropic推出Claude Citations功能，強化AI回應的來源驗證與可信度
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>人工智慧新創公司Anthropic宣布推出<a href="https://www.anthropic.com/news/introducing-citations-api">Claude Citations</a>功能，允許其大型語言模型Claude在生成的回覆中直接引用資料來源，藉此提升人工智慧回應的可信度和可驗證性。此功能已正式整合至Anthropic API和Google雲端的Vertex AI平臺，供開發者用於建置人工智慧應用程式。</p> <p>以往開發者需要透過複雜的提示詞工程，引導Claude提供資料來源，過程耗時且效果不一。現在，透過Citations功能，開發者只需將PDF和純文字檔來源文件提交給模型，Claude便會自動在回覆中標註引用內容的出處，精確到句子層級。根據Anthropic內部測試顯示，Citations功能的準確度比用戶自行設計的提示詞方法提升15％。</p> <p>Citations功能的運作機制，是將來源文件切分成句子片段，或是由用戶提供已分段文本，再與使用者輸入的上下文資訊一起傳遞給Claude模型。模型在生成結果時，會比對這些片段，並在引用相關資訊時自動加上註釋，指向對應的來源文件。此機制無需額外的檔案儲存空間，並與現有的Messages API整合。</p> <p>該功能有助於解決人工智慧生成內容的可信度問題，讓開發者更容易地建構具備可靠資訊來源的人工智慧應用，例如文件摘要、複雜問答系統和客戶支援等，並提升使用者對人工智慧應用的信任。Citations功能計費方式維持既有的Token計價模式，使用者僅需支付輸入的Token費用，引用來源輸出的標註文字則不收費，僅需為其他生成的內容付費。</p> </div></div></div>
2025/1/24 12:11作者李建興https://www.ithome.com.tw/news/167146
OpenAI公布AI代理人Operator，美國Pro方案用戶先試用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI昨（23）日公布自有代理人Operator，可代用戶上網搜尋、打字及執行其他任務。Operator目前以研究預覽版形式提供給美國的Pro付費用戶試用，未來會逐步推向其他國家及方案。</p> <p><a href="https://operator.chatgpt.com/" target="_blank">Operator網頁</a>已經上線。Operator具有自己的瀏覽器，若用戶需要它查詢或操作網頁，它可以和人類一樣讀取網頁並在網頁上打字、點擊或下拉卷軸。它會代用戶搜尋、提供建議，並在用戶同意下代為執行如下單等任務。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0124-opeanai-operator-2.jpg" style="width: 600px;" /></p> <p>Operator網頁正上方有一行ChatGPT的提示輸入列，下方有多項類別標籤，包括餐飲、快遞/外送、旅遊、購物等，每類標籤提供建議的網頁以及預設的提示。例如OpenTable下預設了預訂餐廳座位、或請它建議提供4.5星以上評價的餐廳等。用戶也可以直接輸入搜尋提示。根據執行長Sam Altman和其他OpenAI員工<a href="https://www.youtube.com/watch?v=CSE77wAdDLg" target="_blank">示範Operator的影片</a>，Operator在OpenTable上打字搜尋到數家符合要求餐廳、回覆用戶請求決定，並詢問用戶是否代為訂位。</p> <p>目前Operator為研究預覽版，今天起已提供月費200美元的Pro方案美國用戶使用。OpenAI表示這項服務會再推向其他地區，也會提供給Plus、Teams及Enterprise方案用戶。而歐盟地區也必須再等等。</p> <p>技術上，Operator使用的是名為使用電腦的代理人（Computer-Using Agent，CUA）。CUA結合GPT-4o的視覺能力及以強化式學習（reinforcement learning）訓練出的進階推理能力。CUA旨在和螢幕上的圖形化使用者介面（graphical user interfaces，GUI）如按鍵、選單和文字欄位互動。</p> <p>Operator的「觀看」能力來自螢幕擷圖，其螢幕互動能力是滑鼠和鍵盤允許的行為，因而它不需使用API整合就能在網頁上執行任務。如果Operator遭遇困難或犯錯，它會運用推理能力自行修正。而當卡住需要協助時，就會將控制權丟回給用戶。</p> <p>OpenAI表示CUA雖然還在開發階段，但在<a href="https://openai.com/index/computer-using-agent/" target="_blank">標竿測試</a>如WebArena及WebYoyager中，瀏覽器使用表現超過之前的SOTA（state of the art）模型。此外CUA在OSWorld標竿測試，也展現出比之前SOTA模型更好的電腦使用能力。</p> <p>Operator使用很容易，用戶可以在提示鍵中輸入自然語言描述想做的任務。在任何網站上，用戶都可加入客製指令建立個人化作業流程，像是Booking.com上設定偏好的航空公司，也能在特定網頁上儲存提示以加速日後使用，例如在eBay上添購日常用品。Operator還能像瀏覽器一樣多工作業，可允許另起對話執行新的任務，像是一邊訂房、一邊訂機票。不過OpenAI強調在任何作業上，用戶都可隨時接手主控權。</p> <p>目前OpenAI和多家電商或線上服務業者合作，包括DoorDash、Instacart、OpenTable、Priceline、StubHub、Thumbtack、Uber、eBay、路透社等，以提供更流暢的自動化服務。</p> <p>另一方面，OpenAI強調安全與隱私。除了加入護欄確保模型不被濫用，OpenAI為Operator加入行為限制以確保隱私。例如在需要登入、支付資訊或解決CAPTCHA時，會主動要求用戶自行輸入付款資訊或密碼。在完成重要任務，如送出email或下單前，Operator要求用戶許可。尤其在高度敏感站像是電子郵件或銀行網站，它會要求用戶檢查。它也會拒絕高度敏感任務，例如轉帳或投遞履歷。</p> <p>OpenAI允許用戶在ChatGPT設定中關閉「為所有人改進模型」，以防止Operator對話被用於訓練模型。用戶也可以在Operator設定的「隱私」頁中，刪除所有上網資料及登出網站。不過<a href="https://techcrunch.com/2025/01/23/openai-says-it-may-store-deleted-operator-data-for-up-to-90-days/" target="_blank">Techcrunch</a>報導，即使用戶刪除，資料還是會在系統內保存90天，超過ChatGPT的30天。</p> </div></div></div>
2025/1/24 11:11作者林妍溱https://www.ithome.com.tw/news/167143
Cisco修補防毒軟體ClamAV DoS漏洞，防止攻擊者中斷防毒掃描
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>思科（Cisco）釋出開源防毒軟體<a href="https://blog.clamav.net/2025/01/clamav-142-and-108-security-patch.html">ClamAV 1.4.2和1.0.8版本</a>，其中一項重要安全更新是修補可能導致拒絕服務（DoS）攻擊的漏洞CVE-2025-20128。該漏洞存在於OLE2檔案格式解析的過程，攻擊者可以利用經過特殊設計的檔案，使ClamAV防毒掃描功能崩潰，進一步影響其運作。用戶目前可以在ClamAV官網、GitHub Release頁面以及Docker Hub上找到更新檔案。</p> <p>CVE-2025-20128漏洞由Google的OSS-Fuzz專案發現，主要問題出在OLE2檔案解密過程出現緩衝區溢出讀取錯誤。該問題自ClamAV 1.0.0版本就已存在，影響所有目前仍在支援範圍內的版本，攻擊者一旦成功濫用此漏洞，就可能導致防毒掃描中斷，雖然不會直接影響整體系統的穩定性，但卻會對用戶安全防護構成威脅。</p> <p>拒絕服務攻擊是一種常見的攻擊手法，發生於防毒系統這類重要的應用影響重大，特別是ClamAV為一款被廣泛使用的開源防毒工具。Cisco特別強調，此漏洞沒有臨時替代方案，只有升級至最新的修補版本才能完全解決問題。</p> <p>儘管目前沒有發現針對CVE-2025-20128漏洞的攻擊案例，但官方特別強調，已經有公開的概念性驗證程式碼流傳。這代表該漏洞可能成為攻擊的目標，Cisco敦促企業應立即檢查現有環境，確保ClamAV的版本已更新至1.4.2或1.0.8。</p> </div></div></div>
2025/1/24 08:21作者李建興https://www.ithome.com.tw/news/167139
【資安日報】1月23日，中國駭客入侵韓國VPN業者IPany發動供應鏈攻擊，竄改安裝程式散布後門
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客入侵軟體開發業者，並在正式發布的軟體裡加入惡意程式碼的情況，不時有事故傳出，最近一起針對韓國VPN業者的攻擊事故揭露，引起外界的關注。</p> <p>值得留意的是，發動這起事故的中國駭客組織PlushDaemon，開發了具備超過30種功能的後門程式來從事攻擊，但資安業者ESET發現，這些駭客也著手開發威力更加強大的版本。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167133"><strong style="font-size: 22px;">韓國VPN業者IPany遭駭，攻擊者在原廠提供安裝檔上加料以散布惡意程式SlowStepper</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/IPany-figure-6.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/IPany-figure-6.png" style="width: 300px; float: right;" /></a></p> <p>近年來鎖定軟體業者而來的供應鏈攻擊不時傳出，其中一種就是在公司正式提供用戶下載的網站上，提供含有惡意內容的安裝程式，使得毫無戒心的使用者可能會因此中招。</p> <p>資安業者ESET揭露針對韓國VPN服務業者IPany的軟體供應鏈攻擊事故，中國駭客組織PlushDaemon從2023年發動攻擊，並在該公司VPN軟體的安裝程式植入後門程式SlowStepper，此為具備超過30種元件的多功能惡意軟體，用途是廣泛監控使用者並收集資料。</p> <p>對於這起事故的受害範圍，ESET惡意軟體研究員Facundo Muñoz指出，他們根據遙測的資料，在去年11月、12月，發現有日本及中國使用者受害，此外，ESET也確認有使用者於韓國半導體公司、尚未確認身分的軟體開發業者的網路環境裡，發現用戶電腦試圖安裝木馬程式的跡象。</p> <p><a href="https://www.ithome.com.tw/news/167138"><strong style="font-size: 22px;">殭屍網路Airashi利用零時差漏洞綁架cnPilot路由器，不只發動DDoS攻擊，也打算提供非法代理伺服器服務</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/aisuru_powerproof_2025-01-15-11_08_01-1-1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/aisuru_powerproof_2025-01-15-11_08_01-1-1.png" style="float: right; width: 300px;" /></a></p> <p>去年8月下旬電玩平臺Steam發生大規模DDoS攻擊，傳出與當時推出不久的大型電玩遊戲黑神話：悟空有關，中國資安業者奇安信指出，駭客動用多達60個殭屍網路，對全球Steam伺服器發動4波攻擊，其中號稱是攻擊主力的殭屍網路Aisuru，如今出現新的變種攻擊行動。</p> <p>奇安信X實驗室Alex.Turing、Wang Hao等4名研究人員指出，Aisuru在上述攻擊行動曝光後，9月短暫停止攻擊行動，但背後的駭客組織在利益的驅動下，先後在10月、11月對殭屍網路進行翻新，其中11月底出現的殭屍網路Aisuru變種，駭客稱為Airashi。</p> <p>新的殭屍網路變種更換主要綁架的網路設備，駭客針對美國網路設備業者Cambium Networks提供的無線基地臺cnPilot而來，利用零時差漏洞散布惡意程式；再者，並指出攻擊者有意提供非法代理伺服器的新服務。</p> <p><a href="https://www.ithome.com.tw/news/167115"><strong style="font-size: 22px;">Cloudflare快取被濫用於零點擊攻擊，Signal與Discord用戶地理位置遭洩露</strong></a></p> <p>資安研究人員Daniel（@hackermondev）在GitHub揭露一個新型零點擊攻擊，利用Cloudflare的快取機制推測用戶的地理位置，對Signal和Discord等廣泛使用快取的應用程式造成威脅。此攻擊不需用戶執行任何操作，只要日常的推播通知或附件下載即可觸發，在GitHub引發開發者社群對隱私與安全風險的關注。</p> <p>這項攻擊的核心原理，是利用Cloudflare快取回傳的HTTP標頭中包含的地理相關資訊，例如cf-cache-status和cf-ray參數。當用戶裝置存取啟用快取的資源時，攻擊者可以分析這些參數，推斷資源被快取的資料中心位置，進而估算出用戶的物理位置。</p> <p>零點擊攻擊的特性使其難以偵測，尤其對記者、異議人士及其他隱私敏感群體構成威脅。研究人員指出，雖然Cloudflare已修補部分漏洞，例如阻止攻擊者透過其內部網路進行資料中心的直接定位，但攻擊者仍可藉助VPN等替代方法，繞過修補措施並重現攻擊效果。</p> <p><a href="https://www.ithome.com.tw/news/167140"><strong style="font-size: 22px;">川普下令解除所有美國國土安全部顧問委員會成員職務，恐波及Salt Typhoon攻擊電信業者事故調查</strong></a></p> <p>根據Dark Reading、SecurityWeek、The Hacker News、The Register等多家新聞網站報導，美國總統川普宣布解除所有國土安全部（DoH）顧問委員會的成員，其中包含了組成網路安全暨基礎設施安全局（CISA）與網路安全審查委員會（Cyber Safety Review Board，CSRB）的人員。由於CSRB尚在調查中國駭客Salt Typhoon大規模攻擊美國電信業者的資安事故，這項人事命令很可能對相關調查造成衝擊。</p> <p>1月20日國土安全部代理秘書Benjamine C. Huffman宣布此事，並指出理由是為了消除資源遭到濫用的情況，確保他們行動的優先順序會以國家安全為考量。未來該委員會的工作，將會完全集中在保護國家及國土安全部的重點戰略任務。</p> <p>Benjamine C. Huffman在信裡並未提及新的顧問委員會成員，但表示原本的成員可重新申請回鍋。</p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=150945&SPOKE_DATE=20250123&COMPANY_ID=2359"><strong style="font-size: 22px;">所羅門資訊系統遭受攻擊</strong></a></p> <p>1月23日下午3時電子零件業者所羅門於股市公開觀測站發布重大訊息，指出他們偵測到資訊系統遭受攻擊的情況，該公司資訊部門第一時間執行斷網阻隔處理，避免事故影響範圍擴大，並全面啟動防禦機制，邀集外部資安公司技術專家協同處理。</p> <p>而對於這起事故可能會帶來的影響，所羅門表示目前營運一切正常，根據他們的初步評估，對公司財務及業務無影響。</p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=160603&SPOKE_DATE=20250123&COMPANY_ID=5432"><strong style="font-size: 22px;">新門資訊系統遭受攻擊</strong></a></p> <p>繼電子零件業者所羅門發布重大訊息後，下午4時太陽能系統零組件業者新門也於股市公開觀測站發布重大訊息，證實資訊系統遭受攻擊，為避免事故影響範圍擴大，該公司資訊部門第一時間切斷網路連線處理，並全面啟動防禦機制，邀集外部資安公司技術專家協同處理。</p> <p>而對於這起事故可能會帶來的影響，根據新門的初步評估，對公司財務及業務無影響，目前營運也一切正常。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/powerschool-hacker-claims-they-stole-data-of-62-million-students/">雲端校園管理系統PowerSchool遭供應鏈攻擊，駭客聲稱竊得逾6千萬學生資料</a></strong></p> <p><strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/powerschool-hacker-claims-they-stole-data-of-62-million-students/"></a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.ithome.com.tw/news/166903">【2025最新國家級駭客攻擊與威脅變化】邊緣裝置成駭客主要滲透媒介，軟體與服務供應鏈的風險加劇</a></strong></p> <p></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/critical-zero-days-impact-premium-wordpress-real-estate-plugins/">供房地產網站使用的WordPress外掛存在重大漏洞，攻擊者有機會得到管理權限</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/7-zip-fixes-bug-that-bypasses-the-windows-motw-security-mechanism-patch-now/">7-Zip存在高風險MoTW漏洞，揭露此事的資安業者趨勢科技公布細節</a></strong></p> <p></p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/hackers-exploit-16-zero-days-on-first-day-of-pwn2own-automotive-2025/">汽車漏洞挖掘競賽Pwn2Own Automotive 2025於日本東京舉行</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167032"><strong style="font-size: 22px;">微軟於Windows Insider Canary頻道擴大測試管理員防護功能</strong></a></p> <p>微軟在Windows 11 Canary頻道開始推送Windows 11 Insider Preview 27774版本，擴大測試管理員防護（Administrator Protection）功能，並新增了讓用戶可直接透過Windows安全性設定啟用的選項。該功能藉由即時權限提升機制及強化的身分驗證流程，降低管理員權限遭到濫用的風險，同時提升整體系統安全性。</p> <p>微軟於2024年10月首次公開管理員防護功能，這是一個專門針對惡意軟體與攻擊者濫用管理員權限攻擊而設計。管理員用戶登入系統時，預設僅具有標準用戶的權限，當需要執行高權限操作時，像是安裝軟體或修改系統設定，用戶需經由Windows Hello驗證身分，包括輸入PIN碼或使用生物辨識。在驗證完成後，系統會以隔離的會話短暫授權該操作。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/167118"><strong>【1月22日】陞泰IP攝影機已知漏洞再傳遭到Mirai變種殭屍網路鎖定</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167100"><strong>【1月21日】駭客聲稱握有IT大廠HPE的內部資料，該公司正在著手調查</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167064"><strong>【1月20日】駭客綁架MikroTik路由器從事網釣攻擊，意圖散布惡意軟體</strong></a></p> </div></div></div>
2025/1/23 18:14作者周峻佑https://www.ithome.com.tw/news/167142
預算遭大砍4成，數位部：將影響打詐、通訊韌性基礎建設及資通安全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對預算被刪減近36億元，佔整體預算編列4成，數位部今天（1/23）重申，受衝擊的業務包括通訊韌性基礎建設、打詐、產業發展，資安方面，好不容易建立的資通安全團隊可能面臨人才流失，另外，資安管理工作AI化發展受阻，也將使得風險增加。</p> <p>數位部近期針對立法院刪減114年度預算一事，數位部次長林宜敬近期表示，立院在野黨大幅刪減數位部的預算，對於臺灣的韌性及產業發展將帶來重大的影響。其中韌性基礎建設，數位部已在全臺警、消、軍部署773個非同步衛星網路，確保在天災及緊急危難時，對外網路通訊的順暢，去年也展示高空氣球緊急通訊設計，預算被刪減將造成韌性建設發展受阻，使臺灣面臨巨大的風險。</p> <p>在資安方面，臺灣地處地緣政治，每天平均受到240萬次的境外資安攻擊，數位部為水、電、電信、金融等關鍵基礎設施，以及政府機關、醫療院所提供24小時資安監控及防護，預算刪減將危及關鍵基礎設施的資安防護能力，威脅風險增加。</p> <p>至於產業發展方面，一方面數位部鼓勵AI新創，帶動各產業的數位轉型發展，另一方面積極響應政府政策，推動打詐業務，建立廣告平臺廣告刊登者的實名機制，以及通報平臺。</p> <p><span style="color:#B22222;"><strong>預算遭砍4成，衝擊通訊基礎建設韌性、產業經濟發展、資安</strong></span></p> <p>數位部也在今天年終媒體座談中大吐苦水，主祕胡貝蒂表示，數位部如同臺灣網路的國防部，強化臺灣對網路攻擊、詐騙的抵擋，並負責網路治理及基礎建設韌性，此次數位部編列預算為87億元，被刪減共35.8億元，其中數位部的獎補助經費約8.2億元，補助法人單位如電信技術中心、資安院的經費，數位產業署被刪減約20億元，數位政府司被刪減1.16億元、資安署的國外旅費被刪減0.3億元，其他費用約6.16億元。大幅減刪預算對於推動的打詐、韌性基礎建設、資安等業務的量能帶來影響，希望外界給予支持，讓數位部得以繼續推動各項重要業務。</p> <p>以韌性建設為例，數位部韌性建設司表示，對於海纜通訊中斷的問題，數位部補助電信業者建立異質通訊網路，例如增加海纜路由及登陸站點，並助補助業者擴大微波通訊備援，還建立非同步軌道衛星備援，補助經費的減少將衝擊補助電信業者強化海纜登陸站韌性，以及驗證救災單位使用的公共安全與救難應變（PPDR）系統，將會削弱在緊急狀況下，政府的指揮通訊、災情資訊傳遞，影響國內的通訊韌性基礎建設。</p> <p>被刪減超過20億元的數位產業署，正在盤點可能受影響的業務，重新調整資源，但數位產業署預期署內正推動的數位經濟產業發展，例如5G專網、政府軟體共同供應契約採購、打詐、電子簽章法等推動可能受影響。另外，補助業者AI技術研發，以及推動各產業數位轉型的方案也受將到影響，其他如數位公共基礎建設，如AI算力池、城市建模、地方公共服務也將受到衝擊。</p> <p>在資安方面，國家資通安全研究院院長林盈達指出，資安院兩項計畫經費受到影響，其中強化政府系統的數位韌性，從1,7億元減少為3,400萬元，政府的資訊系統需要持續強化韌性，補助減少將推展受阻，將使系統面臨駭客攻擊的風險增加。他舉例說明嚴重的情形，原本一年可檢查20個系統，未來可能減少至5個系統。</p> <p>另一項計畫則是資安維運管理的AI化，經費從8,600萬元減少至2,700萬元，該計畫是讓資安管理發展AI化，以智慧化、自動化避免人工管理容易發生疏漏、出錯的問題，預算刪減將使得AI防禦技術研發受阻。</p> <p>林盈達表示，兩項計畫經費如果沒有補強，資安院被迫只能減少業務，甚至不排除裁人力，他認為資安是專業技術，技術人力被裁是很嚴重的事，一方面各產業競爭資安人才，資安人才不易取得，一方面裁減技術人員，恐將影響民間、美國對臺灣強化資安的決心，其中資安管理的AI發展，現在已建立一支15人的AI團隊，經費減少、裁員，可能讓好不容易吸引的人才流失，對團隊帶來很大的影響。</p> <p>至於資安署方面，資安署長謝翠娟表示，因資安署的出國經費被減至0元，今年好不容易爭取到一些國家擔任藍軍，與其他國家交流學習，如何加強關鍵基礎設施的資安防護，因出國經費被刪減為0元，可能因此錯失機會。此外，還有參加一些國際資安會議也將受到預算刪減的影響。</p> <p>去年數位部推動數位公共基礎建設，其中之一是公共程式平臺，也因為預減的減少，數位部數位國際司在有限資源下，將暫緩公共程式平臺的新功能研發計畫，將資源集中在另一項數位公共基礎建設數位皮夾，仍以今年底推出數位皮夾為目標。</p> </div></div></div>
2025/1/23 18:30作者蘇文彬https://www.ithome.com.tw/news/167141
川普下令解除所有美國國土安全部顧問委員會成員，恐波及Salt Typhoon攻擊電信業者事故調查
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據<a href="https://www.darkreading.com/threat-intelligence/trump-fires-cyber-safety-board-salt-typhoon-hackers">Dark Reading</a>、<a href="https://www.securityweek.com/dhs-disbands-cyber-safety-review-board-ending-one-of-cisas-few-bright-spots/">SecurityWeek</a>、<a href="https://thehackernews.com/2025/01/trump-terminates-dhs-advisory-committee.html">The Hacker News</a>、<a href="https://www.theregister.com/2025/01/22/dhs_axes_cyber_advisory_boards/">The Registe</a>r等多家新聞網站報導，美國總統川普宣布解除所有國土安全部（DoH）顧問委員會的成員，其中包含了組成網路安全暨基礎設施安全局（CISA）與網路安全審查委員會（Cyber Safety Review Board，CSRB）的人員。由於CSRB尚在調查中國駭客Salt Typhoon大規模攻擊美國電信業者的資安事故，這項人事命令很可能對相關調查造成衝擊。</p> <p>1月20日國土安全部代理秘書Benjamine C. Huffman<a href="https://www.documentcloud.org/documents/25500093-dhs-advisory-boards-termination-letter/">宣布此事</a>，並指出理由是為了消除資源遭到濫用的情況，確保他們行動的優先順序會以國家安全為考量。未來該委員會的工作，將會完全集中在保護國家及國土安全部的重點戰略任務。</p> <p>Benjamine C. Huffman在信裡並未提及新的顧問委員會成員，但表示原本的成員可重新申請回鍋。</p> <p>值得留意的是，這項公告在1月18日前CISA負責人Chris Krebs宣布請辭CSRB職務後發出，後續效應有待觀察。</p> </div></div></div>
2025/1/23 18:05作者周峻佑https://www.ithome.com.tw/news/167140
殭屍網路Airashi利用零時差漏洞綁架cnPilot路由器，不只發動DDoS攻擊，也打算提供非法代理伺服器服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年8月下旬電玩平臺Steam發生大規模DDoS攻擊，傳出與當時推出不久的大型電玩遊戲黑神話：悟空有關，<a href="https://www.ithome.com.tw/news/164748">中國資安業者奇安信指出</a>，駭客動用多達60個殭屍網路，對全球Steam伺服器發動4波攻擊，其中號稱是攻擊主力的殭屍網路Aisuru，如今<a href="https://blog.xlab.qianxin.com/large-scale-botnet-airashi-en/">出現新的變種攻擊行動</a>。</p> <p>奇安信X實驗室Alex.Turing、Wang Hao等4名研究人員指出，Aisuru在上述攻擊行動曝光後，9月短暫停止攻擊行動，但背後的駭客組織在利益的驅動下，先後在10月、11月對殭屍網路進行翻新，其中11月底出現的殭屍網路Aisuru變種，駭客稱為Airashi。</p> <p>新的殭屍網路變種更換主要綁架的網路設備，駭客針對美國網路設備業者Cambium Networks提供的無線基地臺cnPilot而來，利用零時差漏洞散布惡意程式；再者，為避免C2通訊內容被察覺異常，駭客運用RC4演算法處理字串，其通訊協定導入HMAC-SHA256雜湊值檢驗，並經由演算法ChaCha20進行處理。</p> <p>而對於這些設備發動攻擊的威力，奇安信指出具有穩定的TB等級DDoS攻擊輸出。此外，下達命令的C2後臺也具備更充足的IP位址資源，他們根據網域進行分析，有近60IP位址，分散於不同國家及服務供應商。研究人員認為，駭客這麼做的目的，可能是為了能夠控制更多機器人，並增加研究人員及執法單位摧毀殭屍網路的難度。</p> <p>附帶一提的是，駭客似乎也對於奇安信揭露他們上回的攻擊事故耿耿於懷，在C2的網域名稱使用帶有XLab的字串，或是其他針對該公司而來的名稱。</p> <p>奇安信將收集到的殭屍網路病毒歸納為3種類型：Airashi-DDoS、Go-Proxisdk、Airashi-Proxy，並指出攻擊者有意拓張DDoS攻擊以外的業務。</p> <p>首先是最早在10月底出現的Airashi-DDoS，主要功能就是發動DDoS攻擊，也支援執行任意指令，或是搭配反向Shell運作。</p> <p>接著就是在11月底開始出現的Go-Proxisdk，這是以muxado為基礎打造的Go代理伺服器工具。</p> <p>第三種是12月初出現的Airashi-Proxy，這也是代理伺服器工具，但不同的是駭客以Airashi-DDoS的原始碼打造而成，並使用專屬的通訊協定運作。<br /> <br /> 值得一提的是，奇安信提及駭客使用的cnPilot零時差漏洞，他們在去年6月進行通報，但迄今尚未得到回應，為了避免漏洞遭到更多人利用，研究人員並未透露相關資訊。</p> </div></div></div>
2025/1/23 16:47作者周峻佑https://www.ithome.com.tw/news/167138
DeepMind公開Mind Evolution研究，結合LLM提升自然語言問題求解效能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>DeepMind發表了一項名為<a href="https://arxiv.org/html/2501.09891v1">Mind Evolution</a>的技術，透過結合大型語言模型與演化式搜尋方法，解決傳統方法在自然語言規畫與推理任務，所存在的效率與準確性瓶頸。該研究展示在不需將問題形式化（Formalize）為數學模型的前提下，運用語言模型直接處理複雜問題，並獲得極佳的解決能力。</p> <p>目前大型語言模型在處理複雜自然語言規畫與推理任務存在限制，特別是在需要滿足多重約束或隱含條件的情境中，例如旅行規畫或行程安排。傳統方法如單次生成（1-Pass）、最佳解搜尋（Best-of-N）或逐步修正（Sequential Revision），雖能提供一定程度的解法，但往往受限於局部搜尋的瓶頸，同時，許多問題很難形式化為明確的數學模型，進一步限制了傳統求解器的應用範圍。</p> <p>Mind Evolution研究特別針對如旅行規畫、行程安排及隱寫術生成（Steganography）等高難度的自然語言任務進行測試。結果顯示，Mind Evolution技術在TravelPlanner與Natural Plan基準測試的成功率在95%至100%間，遠遠超過傳統的最佳解搜尋與逐步修正策略。而且Mind Evolution在處理這些問題時，不需要透過專門的數學求解器或手動格式化問題描述，展現其應用的靈活性與實用性。</p> <p>Mind Evolution的核心在於其類基因演算法的演化式搜尋策略，結合隨機探索與深度最佳化，完成候選解的生成、重組與改進。該方法不僅能在短時間內大幅提升解決問題的準確性，還能應對自然語言描述中隱含的約束與需求。DeepMind研究團隊強調，此技術的優勢在於可藉由一個全域的解答評估器對解法進行全面評估，不需要逐步檢查每個中間推理步驟，進而大幅降低了運算成本。</p> <p>在技術細節上，Mind Evolution採用了類基因演算法的概念，包括候選方案的生成與改進、多次迭代的全域評估，以及模擬島嶼模型以維持候選方案的多樣性。研究結果顯示，結合語言模型的方法能有效改進候選方案，並透過模型間的互動提升整體解法品質。</p> <p>此外，這篇研究還提出了一個新的基準測試任務StegPoet，用以檢測在自然語言生成中隱藏資訊的能力。該任務要求生成一段故事或詩句，同時將訊息隱藏於其中，經實驗證明，Mind Evolution在此類高度創造性的任務中，也展現出色的效能。</p> <p>語言模型複雜推理與自然語言規畫的能力仍有巨大的進步空間，而Mind Evolution結合演化式搜尋與語言模型的方式，不僅能克服局部最佳解的挑戰，還能在不依賴問題形式化的前提下，大幅提升解決複雜自然語言任務的效率與成功率，為語言模型推理能力的提升提供新的研究方向。</p> </div></div></div>
2025/1/23 16:49作者李建興https://www.ithome.com.tw/news/167135
韓國VPN業者IPany遭駭，攻擊者在原廠提供安裝檔上加料以散布惡意程式SlowStepper
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來鎖定軟體業者而來的供應鏈攻擊不時傳出，其中一種就是在公司正式提供用戶下載的網站上，提供含有惡意內容的安裝程式，使得毫無戒心的使用者可能會因此中招。</p> <p>資安業者ESET揭露<a href="https://www.welivesecurity.com/en/eset-research/plushdaemon-compromises-supply-chain-korean-vpn-service/">針對韓國VPN服務業者IPany的軟體供應鏈攻擊事故</a>，中國駭客組織PlushDaemon從2023年發動攻擊，並在該公司VPN軟體的安裝程式植入後門程式SlowStepper，此為具備超過30種元件的多功能惡意軟體，用途是廣泛監控使用者並收集資料。</p> <p>這起事故的發現，ESET惡意軟體研究員Facundo Muñoz表示，他們在去年5月發現帶有惡意程式碼的NSIS安裝程式，而這個檔案來自IPany的網站，他們通報此事，IPany也移除了網站上有問題的安裝程式。</p> <p>針對發起攻擊的駭客身分，研究人員提及PlushDaemon至少從2019就開始活動，攻擊目標涵蓋臺灣、香港、中國、韓國、美國、紐西蘭的個人或企業組織。這些駭客主要取得初始入侵的管道，是將流量重新導向到他們控制的伺服器，而能夠挾持合法的更新管道。此外，研究人員也看到駭客利用網頁伺服器弱點入侵企業組織的現象。</p> <p>對於這起事故的受害範圍，Facundo Muñoz指出，他們根據遙測的資料，在去年11月、12月，發現有日本及中國使用者受害，此外，ESET也確認有使用者於韓國半導體公司、尚未確認身分的軟體開發業者的網路環境裡，發現用戶電腦試圖安裝木馬程式的跡象。</p> <p>一旦使用者執行惡意安裝程式，就會在電腦裡建立多個資料夾，同時部署合法軟體及惡意程式。</p> <p>對於駭客在這波攻擊行動使用的後門程式SlowStepper，Facundo Muñoz指出主程式是以C++開發而成，根據找到的惡意程式版本，最早是在2019年開發，目前最新是於去年6月開發，功能也最完整，他們根據程式碼找到有數百種功能，但特別的是，針對IPany而來的後門程式是僅保留約30項功能的精簡版（Lite）。</p> <p>無論新舊版SlowStepper，駭客都利用Python或Go語言等一系列工具打造，主要用途就是進行網路間諜活動，收集受害者資料，透過錄音或是錄影進行監控。</p> <p>而對於該後門程式接收攻擊者命令的管道，駭客並非將C2伺服器的IP位址寫入組態檔案，而是透過DNS查詢含有特定網域的TXT記錄資料來取得。</p> </div></div></div>
2025/1/23 14:36作者周峻佑https://www.ithome.com.tw/news/167133
Google更新Gemini 2.0 Flash Thinking實驗模型，可撰寫和執行程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google昨（22）日<a href="https://x.com/OfficialLoganK/status/1881844579751874930" target="_blank">宣布釋出</a>具推理能力的Gemini 2.0 Flash Thinking AI模型最新實驗版（Experimental），不但數學和科學推理效能上升，也會撰寫和執行程式。</p> <p>最新釋出的模型為Gemini 2.0 Flash Thinking Experimental 01-21（Exp 01-21），以去年12月公布的Gemini 2.0 Flash Thinking為基礎開發，為挑戰OpenAI的o3模型。名稱中的Thinking代表相對於Gemini Flash，這家族模型具有解決複雜問題的推理能力，以及新穎的思考能力，它對用戶詢問會先經過「思考」再做出回應。</p> <p>Gemini 2.0 Flash Thinking具備100萬字詞的context windows，可支援大量文字的深度分析，且思考和答案更具一致性（較少矛盾），能產生更長字詞的回應，數學和科學解題能力也更提升。最新Exp 01-21版和前一個實驗版（Exp 1219）的標竿測試比較中，數學標竿測試AIME 2024，Exp 01-21和Exp 1219跑分分別為73% vs. 70%、科學標竿測試GPQA Diamond分別為74% vs. 66%，標竿測試分別為74% vs. 66%。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0123-Gemini%202_0%20Flash%20Thinking%20Exp-01-21%20(1).png" style="width: 448px;" /></p> <p>Google員工還<a href="https://t.co/j8wNp8Yn27" target="_blank">補充</a>，最新版本加入使用和評估程式碼的能力，因此模型可以在回應時決定寫或執行程式。DeepMind執行長<a href="https://x.com/demishassabis/status/1881844417746632910" target="_blank">Demis Hassabis說</a>，這顯示光在12月Gemini 2.0 Flash Thinking就展現極快進展。</p> <p>現在Exp 01-21版Gemini 2.0 Flash Thinking模型已部署到AI Studio，開發人員可以在AI Studio側邊欄啟用，也可直接使用Gemini API在程式碼中使用實驗模型。</p> <p>另一方面，OpenAI也在加緊趕工，目前正在測試o3 mini，OpenAI<a href="https://www.ithome.com.tw/news/167048" target="_blank">預告</a>再幾個星期就會推出。</p> </div></div></div>
2025/1/23 12:34作者林妍溱https://www.ithome.com.tw/news/167131
SEC宣布成立加密資產任務小組，推動制定清晰監管框架
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國證券交易委員會（SEC）代理主席Mark Uyeda宣布<a href="https://www.sec.gov/newsroom/press-releases/2025-30">成立加密資產任務小組</a>，目標是建立一套清晰且全面的監管框架，解決當前加密貨幣產業在法律模糊與監管上的挑戰。這項措施被視為SEC首次系統性地針對加密資產推動改革，有助提升市場透明度與可信度。</p> <p>任務小組由SEC委員Hester Peirce領導，並由代理主席的高級顧問Richard Gabbert和政策顧問Taylor Asher分別擔任幕僚長與政策顧問。這支匯聚SEC各部門專家的團隊，將專注於界定加密資產相關的法律邊界，並提供企業和投資者確實可行的註冊指引。</p> <p>SEC的聲明指出，過去的監管政策主要仰賴執法行動，缺乏一致性與前瞻性，這種模式不僅增加了法律規範的不確定性，也阻礙了產業創新，甚至留給不法行為存在的空間。此次政策轉向顯示SEC希望擺脫以往被動執法模式，轉而專注於更積極的框架建立。未來，任務小組將優先制定明確的註冊標準，設計合理的資訊披露要求，並透過更具策略性的方式部署執法資源。</p> <p>另外，該小組也將與其他聯邦部門、州政府及國際機構協作，確保監管政策的統一性和執行效果。代理主席Mark Uyeda強調，這次改革的核心在於改善當前的監管困境，建立更穩定的法律環境，進而降低市場不確定性。</p> <p>Hester Peirce指出，當前基於執法的監管方式並未充分滿足加密貨幣產業的需求，反而加劇市場混亂和不確定性。他表示，任務小組的成功將仰賴廣泛的產業參與和意見收集，未來將舉行公聽會，邀請投資者、業界人士及學者共同討論政策方向，確保監管框架既能保護投資者，又能支持創新與發展。</p> <p>此次政策變化與川普政府的立場一致，美國總統Donald Trump在競選期間曾承諾為加密貨幣產業創造更友善的政策環境，這次任務小組的成立被視為實現該承諾的一步。</p> </div></div></div>
2025/1/23 13:02作者李建興https://www.ithome.com.tw/news/167124
馬斯克批評Stargate計畫是騙局、與Altman隔空交戰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>科技大亨馬斯克昨日重話批評OpenAI、軟銀主導的Stargate計畫是騙局，並且和OpenAI執行長Sam Altman在X上隔空對話。</p> <p>Stargate計畫是OpenAI、軟銀及甲骨文合資名為Stargate的公司，其中軟銀提供資金，OpenAI、甲骨文和其他業者提供AI及基礎架構技術。這項計畫將在4年投入至少5,000億美元，打造超大型資料中心等AI基礎架構，並引入AI預測分析能力，支援癌症治療、藥物開發等任務。這項計畫<a href="https://www.ithome.com.tw/news/167107" target="_blank">獲得川普背書</a>，稱Stargate計畫能擴大美國的AI領先優勢、保障美國國家安全，並且創造10萬個美國人工作機會。這些科技公司執行長說Stargate計畫將立即投入1,000億美元，目前已在德州興建第一座資料中心。</p> <p>不過因公司策略問題和OpenAI公開決裂的馬斯克昨日<a href="https://x.com/elonmusk/status/1881944244480565497" target="_blank">批評</a>這是一場騙局，<a href="https://x.com/elonmusk/status/1882130053632512249" target="_blank">又稱</a>Altman是詐騙份子（swindler）。他聲稱掌握權威消息，軟銀手上的資金不到1,000億。</p> <p>被點名的Altman透過X<a href="https://x.com/sama/status/1882106524090482701" target="_blank">回應</a>，請馬斯克實地到興建中的資料中心一瞧。他說這個計畫是對美國有益的計畫，他了解對國家好的不見得是符合馬斯克公司利益，但以馬斯克現在新身分，希望他將美國放在第一位。</p> <p>馬斯克被川普任命為新成立的政府效率部（Department of Government Efficiency，DOGE）主管，正式進入行政團隊。這位科技首富近來因OpenAI宣布將轉型為營利組織而槓上Altman，馬斯克還控告OpenAI和Altman違反了OpenAI創立的初衷，還要求法院介入阻止OpenAI的企圖。</p> <p>但在回應馬斯克的批評同時，Altman不忘表達對馬斯克的敬意，說他真的尊敬後者的成就，認為他是當代最能啟發人的企業家。</p> </div></div></div>
2025/1/23 13:19作者林妍溱https://www.ithome.com.tw/news/167132
Mirai殭屍網路發動史上最高的5.6Tbps DDoS攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>內容遞送網路（CDN）暨資安業者Cloudflare 最近平息了一波，由Mirai變種殭屍網路發動的5.6 Tbps的DDoS攻擊，創下有紀錄以來流量最大的紀錄。</p> <p>Cloudflare<a href="https://blog.cloudflare.com/ddos-threat-report-for-2024-q4/" target="_blank">本周公布</a>2024年第4季該公司客戶防護網路的DDoS攻擊活動的統計報告，指出去年第4季在所有引發網路層DDoS攻擊的殭屍網路中，Mirai占6%，季增131%。值得一提的是，在10月29日，Cloudflare一家東亞ISP客戶遭到一起流量高達5.6 Tbps的UDP DDoS攻擊，是已知記錄中流量最大的。這攻擊是來自1.3萬臺物聯網（IoT）裝置遭到Mirai變種程式感染後，集體發動的UDP DDoS攻擊，歷時僅80秒。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0123-cloudflare-ddos%20report-mirai.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Cloudflare</span></p> <p>這只是Cloudflare去年平息的2,130萬起DDoS攻擊之一，2024年的DDoS攻擊總量較前一年增加了53%。其中2024年第4季有420起為流量每秒鐘超越10億封包（pps）及1Tbps的超大流量攻擊。該季中，超越1Tbps的攻擊數量比前一季大增1885%。</p> <p>去年第4季統計報告其他分析包括，從攻擊管道來看，HTTP DDoS攻擊73%來自已知殭屍網路。11%經由冒充的合法瀏覽器發送。其中Chrome為主流；最多被用於發動攻擊的瀏覽器是Chrome 118到129。目前PC及手機版Chrome最新版已來到version 132，顯示眾多用戶仍未更新。</p> <p>以攻擊時間長度來看，大約72%的HTTPS DDoS攻擊，以及91%的網路層DDoS攻擊時間長度都短於10分鐘。有近22%超過一小時，還有11%可超過24小時。而網路層DDoS則有91%不到10分鐘，僅2%超過一小時。</p> <p>論及攻擊來源與受害國家，去年第4季，印尼、香港、新加坡、烏克蘭和阿根廷是DDoS最大來源國。中國、菲律賓、臺灣、香港和德國是最主要攻擊目標；Cloudflare臺灣客戶上季發生7起DDoS攻擊，由前季的第7名躍升到第3名。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0123-cloudflare-ddos%20report-4.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Cloudflare</span></span></p> <p>以受害者產業分布而言，依序是電信業、網際網路、行銷廣告、資訊科技業與博奕產業。而金融與銀行業，則從第1降到第8位。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0123-cloudflare-ddos%20report-5.png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Cloudflare</span></p> </div></div></div>
2025/1/23 12:07作者林妍溱https://www.ithome.com.tw/news/167130
JDK 24進入Rampdown第二階段，新版更新重點聚焦語言現代化與後量子安全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Java開發團隊<a href="https://mail.openjdk.org/pipermail/jdk-dev/2025-January/009675.html">宣布</a>，<a href="https://openjdk.org/projects/jdk/24/">JDK 24</a>已正式進入Rampdown第二階段，這代表版本功能開發完成，新版進入穩定性測試及高優先順位錯誤修復階段。JDK 24的核心更新集中於語言現代化和後量子安全技術的加入，替開發者帶來更高效且安全的開發工具。</p> <p>Rampdown第二階段是JDK開發流程中的重要階段，代表此版本的功能集已凍結，所有新功能的開發已經結束，並且不會再接受任何新的功能提案或JEP（JDK Enhancement Proposal）。此階段的重點轉移到版本的穩定性上，開發團隊主要處理高優先順位的錯誤，確保系統穩定性。</p> <p>本次更新的一大亮點是JEP 483提前載入與連結類別（Ahead-of-Time Class Loading & Linking），藉由記錄應用啟動時載入的類別，並將其已載入和連結的形式儲存在快取中，大幅縮短後續執行的啟動時間。</p> <p>同時，JDK 24還引入了針對後量子計算安全性的兩項新技術，分別是JEP 496金鑰封裝機制ML-KEM（Module-Lattice-Based Key Encapsulation Mechanism），在不安全的通道保護對稱金鑰的安全性，而JEP 497數位簽章演算法ML-DSA（Module-Lattice-Based Digital Signature Algorithm）則提供更加強大的數位簽章方法，避免未授權的資料修改。這兩項技術均符合NIST標準，用於強化未來抵禦量子計算攻擊的能力。</p> <p>語言功能的改進也是此次JDK 24更新的重點，例如JEP 488在模式比對與switch表示式中，支援如int、long等基礎型別，進一步擴展語言的靈活性，JEP 499結構化並行API則為開發者提供更直覺的多執行緒管理方法。JEP 495單一檔案與實例主方法功能，簡化了小型應用的撰寫流程，提升了程式開發效率。</p> <p>安全性管理方面，JDK 24還在JEP 472準備限制JNI使用添加警告機制，提醒開發者注意未來版本將預設禁用JNI，以及外部函式與記憶體API。這項改變的目的在於加強平臺的安全性，並為生態系向更現代化的開發模式過渡做準備。</p> <p>JDK 24預計於2025年2月推出第一個候選版本，最終正式版本將於2025年3月18日發布。Java開發團隊建議企業及早測試新版本，確保能平穩過渡。</p> </div></div></div>
2025/1/23 08:11作者李建興https://www.ithome.com.tw/news/167119
金融科技產業聯盟2月成軍、VASP專法草案3月底預告！金管會揭露今年金融科技重要推動事項
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>金管會主委彭金隆今日出席新春記者會，揭露今年多項金融科技推動事項，涵蓋虛擬資產、數位保險、金融Fast-ID、成立金融科技產業聯盟等議題。對照去年八月公布的五大金融科技策略，有多項推動措施列入今年政策重點。</p> <h3>金融科技產業聯盟2月成軍</h3> <p>延續金融科技五大策略中鼓勵金融業者打團體戰的策略，金管會預計在今年正式成立金融科技產業聯盟。金管會創新處處長胡則華也預告，將在今年2月19日舉辦金融科技產業聯盟成立儀式。</p> <p>胡則華說明，這個產業聯盟包括四個工作小組，期望能透過合作，將資源共同投入在應用研發、實務指引，和資金投入上。</p> <p>目前，金管會已請四間科技領先金控擔任各工作小組的召集人。這四個工作小組中，有一組是專注在提升金融產業的應用研發，一組則是和跨產業合作，打造金融業跨業生態系。另外有一組專注在資金投入，例如和國發會討論成立科技創投基金等事項。最後一組則是針對雲端、AI等多項技術進一步訂定實務手冊和指引。</p> <h3>VASP專法草案預計3月底預告、6月底出爐</h3> <p>去年，VASP公會正式成立，並訂定6份自律規範，同時加入了罰則以強化自律。今年，金管會的目標則是研訂VASP專法。證期局局長張振山今日表示，預計在今年2月邀請專家學者、VASP公會及相關單位代表針對VASP專法進行公聽會討論，並於3月辦理VASP專法法規預告，6月底前將專法草案陳報行政院。</p> <h3>持續評估調整監理沙盒機制，預計4月完成修法可行性研議</h3> <p>金管會曾在2023年8月發布金融科技發展路徑圖2.0，包含共65項推動事項，其中一項推動事項便是要研議「金融科技發展與創新實驗條例」修法可行性。從2023年9月起，金管會便開始針對「金融科技發展與創新實驗條例」修法可行性辦理委外研究，議題範圍包含研究各國監理沙盒涵蓋範圍、運作方式及落地機制等。這項研究案也已在2024年8月完成期末報告。</p> <p>針對監理沙盒機制調整，今年的進展，是預計在4月完成修法可行性研議。金管會也在113年金融建言白皮書結案報告中表示，未來將參考委外研究案建議，評估調整監理沙盒機制，以增加創新實驗案件數、提升實驗案件落地的可行性。</p> <h3>推動RWA代幣化和虛擬資產保管業務的業務試辦</h3> <p>RWA代幣化推動在今年也會有新的進展。</p> <p>去年六月，集保公司和六家金融機構成立「現實世界資產代幣化小組」（簡稱RWA小組），分為基金組和債券組，共同實驗相關技術和推動事宜。</p> <p>胡則華今日表示，預計今年九月會進行RWA代幣化實證。另外，集保公司已開始研究RWA牽涉的相關法規，證交所也正在研議相關交易事項。</p> <p>另外，金管會也在今年開始受理金融機構申請虛擬資產保管業務試辦。胡則華透露，目前已有三家業者申請輔導，並有一家業者已完成一次輔導，不過，目前尚未有業者正式申請業務試辦。</p> <h3>持續推動金融Fast-ID</h3> <p>金融Fast-ID也被列入金管會今年的重要推動事項。</p> <p>2023年8月，金管會公布的金融科技路徑圖2.0中，明訂將建置跨體系的金融Fast-ID驗證轉接中心（簡稱驗轉中心）。今年1月初，金管會則開始受理先導金融機構能針對驗轉中心申請試辦，或提出輔導諮詢。預計今年6月，金融Fast-ID驗轉中心便會正式上線。</p> <h3>開放數位保險公司</h3> <p>彭金隆在去年年底就已宣布數位保險六大政策方向，包括要放寬數位保險業務範圍與營運模式，並對數位保險公司開發的創新型保險商品或服務給予創新保護，還有調降設立數位保險公司的最低實收資本額、放寬發起人條件等措施。而開放數位保險公司，也被列入今年保險局的重要推動事項。</p> <p></p> </div></div></div>
2025/1/22 19:23作者李昀璇https://www.ithome.com.tw/news/167129
【資安日報】1月22日，陞泰IP攝影機已知漏洞再傳遭到Mirai變種殭屍網路鎖定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年美國網路安全暨基礎設施安全局（CISA）、資安業者Akamai揭露陞泰科技（Avtech）的IP攝影機漏洞CVE-2024-7029，並表示已有攻擊行動出現，如今有資安業者發現，可能還有其他駭客用於殭屍網路攻擊。</p> <p>資安業者Qualys揭露綁架超過5,500臺裝置的殭屍網路Murdoc，並提及攻擊者運用已知漏洞對裝置散布惡意軟體，其中一個就是CVE-2024-7029。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167106"><strong style="font-size: 22px;">Mirai變種殭屍網路Murdoc鎖定陞泰IP攝影機、華為路由器而來</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/murdoc2.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/murdoc2.jpg" style="width: 300px; float: right;" /></a></p> <p>資安業者Qualys發現大規模的殭屍網路Murdoc攻擊行動，此惡意程式為Mirai的變種，主要鎖定陞泰科技（Avtech）的IP攝影機及華為路由器而來，利用已知弱點入侵設備，包括陞泰網路攝影機AVM1203的命令注入漏洞CVE-2024-7029，以及華為路由器HG532任意命令執行漏洞CVE-2017-17215，CVSS風險評為9.8、8.8。</p> <p>針對攻擊發生的經過，Qualys資深資安研究員Shilpesh Trivedi指出，這波攻擊行動從去年7月開始，他們透過物聯網搜尋引擎FOFA查詢，被感染的裝置來自1,377個IP位址、數量有5,513臺，其中有2,029臺是陞泰的裝置。</p> <p>根據受害設備分布的地區，馬來西亞、泰國最多，分別有3,196臺、776臺，但墨西哥、印尼、越南也有遭到感染的情況。</p> <p><a href="https://www.ithome.com.tw/news/167113"><strong style="font-size: 22px;">俄羅斯駭客Star Blizzard鎖定政府官員與研究人士而來，意圖透過網釣挾持他們的WhatsApp帳號竊密</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-3_-Malicious-Star-Blizzard-phish-attempt-using-WhatsApp-linking-QR-code.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-3_-Malicious-Star-Blizzard-phish-attempt-using-WhatsApp-linking-QR-code.png" style="float: right; width: 300px;" /></a>代號為TA446、TAG-53或UNC4057的俄羅斯駭客Star Blizzard，從2023年至2024年8月從事大規模網路釣魚攻擊，美國司法部與微軟2024年10月聯手，破壞該組織用來攻擊的網站，但傳出不久這些駭客又死灰復燃。</p> <p>微軟威脅情報團隊指出，Star Blizzard從去年11月中旬開始，發起新一波的攻擊行動，他們近期發現該駭客組織的戰術、手段、流程（TTP）出現了重大變化，那就是駭客開始要求受害者加入即時通訊軟體WhatsApp的群組。</p> <p>一旦收信人依照指示照做，攻擊者就有可能透過他們的帳號存取對話內容，並利用瀏覽器延伸套件的匯出功能，外洩相關資料。</p> <p><a href="https://www.ithome.com.tw/news/167117"><strong style="font-size: 22px;">烏克蘭電腦緊急應變團隊提出警告，有人假冒他們的名義要求透過AnyDesk存取用戶電腦</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/CERT-UA-AnyDesk.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/CERT-UA-AnyDesk.png" style="width: 300px; float: right;" /></a>駭客假扮知名機構引誘使用者上當的情況不時傳出，其中最常見的是冒充政府機關，也有佯稱是資安業者的情況，但如今也有聲稱是網路安全機構的事故傳出。</p> <p>烏克蘭電腦緊急應變團隊（CERT-UA）近期提出警告，有人冒用他們的名義，表示要進行審核及評估安全層級為由，要求使用者開放遠端桌面軟體AnyDesk的存取權限，呼籲使用者必須提高警覺。</p> <p>針對這起事故，CERT-UA也呼籲使用者必須經由其他管道確認後，才能提供對方遠端存取電腦；再者，遠端管理工具及遠端桌面軟體在沒有使用的時候，不應開啟常駐在系統。</p> <p><a href="https://www.ithome.com.tw/news/167006"><strong style="font-size: 22px;">攻擊者偽造Google Ads官方廣告，釣魚攻擊廣告主竊取預算</strong></a></p> <p>Malwarebytes Labs資安研究人員揭露近期一場針對Google Ads廣告主的大規模釣魚攻擊，攻擊者藉由惡意假冒Google Ads的廣告，成功竊取多個廣告帳戶的登入憑證，並利用被盜帳戶挪用廣告預算，進一步擴大其惡意活動範圍。</p> <p>根據資安研究人員的調查，這些惡意廣告偽裝為Google Ads服務的官方廣告，出現在Google搜尋結果中的贊助廣告欄位，誘使用戶點擊並進入假登入頁面。假登入頁面大多託管於Google Sites，利用與Google官方網站類似的域名設計來誘騙受害者，進而繞過廣告顯示URL與最終URL域名必須相符的規定。</p> <p>一旦受害者在假頁面中輸入帳戶憑證，攻擊者便可取得帳戶的完整控制權，進而更改帳戶設定，甚至將自己的電子郵件地址添加為帳戶管理員。</p> <p><a href="https://www.ithome.com.tw/news/167116"><strong style="font-size: 22px;">臺馬海纜服務中斷，數發部表示已啟用備援機制微波通訊因應</strong></a></p> <p>本月初中華電信海底電纜遭貨輪破壞，數位發展部後來證實此事，表示會配合加強執法避免類似事故再度發生。但除了人為破壞，海底電纜也有可能因為天候等其他因素損壞，而造成服務中斷的情形。</p> <p>今天上午11時數位發展部召開記者會，說明臺馬海纜再度出現斷線狀況。他們在清晨5時34分接獲通報，臺馬二號海纜疑似斷裂，且臺馬三號也是全面中斷的狀態，對此他們已請求中華電信啟用微波通訊進行備援，並儘速協調海纜船修復海纜。而對於臺馬二號斷裂的原因，他們表示根據初步分析，很可能是芯線老化所致。</p> <p>數發部收到通報後，要求中華電信根據關鍵基礎設施（CI）安全防護計畫啟動備援，以12.6Gbps的微波頻寬，優先提供政府、銀行、醫院等關鍵基礎設施通訊服務，確保民生相關的服務不致出現間斷的現象。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/ransomware-groups-abuse-microsoft-services-for-initial-access/">勒索軟體駭客藉由電子郵件轟炸、鎖定微軟Teams網釣入侵受害組織</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/fake-homebrew-google-ads-target-mac-users-with-malware/">冒牌套件管理Homebrew透過惡意廣告散布，意圖對macOS用戶散布竊資軟體AmosStealer</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/01/python-based-bots-exploiting-php.html">駭客利用PHP後門及連線工具GSocket打造印尼非法賭博平臺</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cl-unk-0979-exploit-zero-day-flaw-in-ivanti-connect-secure-to-gain-access-to-networks/">針對Ivanti SSL VPN零時差漏洞攻擊事故，資安業者Palo Alto Networks揭露新的調查結果</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.ithome.com.tw/news/166901">【重新認識國家級駭客威脅】全民資安風險倍增！國家支持的網路間諜攻擊升級</a></strong></p> <p></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/chatgpt-crawler-vulnerability-ddos-attacks-via-http-requests/">研究人員揭露ChatGPT漏洞，攻擊者有機會藉由HTTP請求發動DDoS攻擊</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167105"><strong style="font-size: 22px;">Google釋出OSV-SCALIBR程式庫，強化開源軟體漏洞檢測</strong></a></p> <p>Google發布名為OSV-SCALIBR（Software Composition Analysis Library）的新工具，進一步提升開源軟體漏洞檢測和安全分析的能力。OSV-SCALIBR能夠執行安裝套件、程式碼及容器映像檔的掃描，同時支援多種主要程式語言和作業系統。</p> <p>OSV-SCALIBR是獨立的軟體組成分析程式庫，延續並擴展了Google在開源軟體相依性漏洞掃描工具OSV-Scanner中的技術基礎。在OSV-Scanner的基礎上，OSV-SCALIBR進一步加入了弱帳密檢測與軟體物料清單（SBOM）的產生功能，並支援SPDX和CycloneDX格式。</p> <p>此程式庫的特色在其模組化的設計，開發者可以根據需求擴充，執行特定的軟體擷取和漏洞檢測任務。OSV-SCALIBR以開源的Go程式庫形式提供，Google也計畫未來將其功能整合到OSV-Scanner中，擴大工具的應用範圍。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/167100"><strong>【1月21日】駭客聲稱握有IT大廠HPE的內部資料，該公司正在著手調查</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167064"><strong>【1月20日】駭客綁架MikroTik路由器從事網釣攻擊，意圖散布惡意軟體</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167028"><strong>【1月17日】駭客公布1.5萬臺Fortinet防火牆的詳細組態配置資料、VPN帳密</strong></a></p> </div></div></div>
2025/1/22 16:54作者周峻佑https://www.ithome.com.tw/news/167118