iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 32篇
近 7 天: 137篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/10
最近更新: 11/10 23:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 137 篇內文

4
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Google Gemini 2.0 Flash Thinking供所有用戶測試，新增Pro、Flash-Lite版
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google昨（5）日<a href="https://blog.google/technology/google-deepmind/gemini-model-updates-february-2025/" target="_blank">宣布</a>最新版旗艦模型Gemini 2.0多項訊息，包含Flash正式上線、思維模型Flash Thinking開放所有人測試，Google並公布新增Gemini 2.0進階版Pro和最小的Flash-Lite模型。</p> <p>去年12月Google首先<a href="https://www.ithome.com.tw/news/166480" target="_blank">宣布</a>Gemini 2.0 Flash實驗版，並接連公布2.0為基礎的Flash Thinking實驗版初始和<a href="https://www.ithome.com.tw/news/167131" target="_blank">更新</a>版本，後者更因具備推理能力而備受注目。而在最新宣布下，Gemini 2.0 Flash以正式版部署到桌機及行動版Gemini App開放所有用戶使用，今天也部署到Google AI Studio及Vertex AI，讓開發人員透過Gemini API存取Google 2.0 Flash以開發營運應用程式。另一方面，2.0 Flash Thinking實驗版今天開放所有桌機和行動版Gemini App使用，用戶可經由模型下拉式選單啟用。</p> <p>此外，Google也公布Gemini 2.0新增二個版本。首先是進階版模型Gemini 2.0 Pro實驗版，強調編程效能和可回答複雜提問。另一為最小的多模態模型版本Gemini 2.0 Flash-Lite。</p> <p>Gemini 2.0所有模型都具備多模態輸入及文字輸出能力，Google預告未來幾個月內會逐步增加新的模態能力。</p> <p><a href="https://developers.googleblog.com/en/gemini-2-family-expands/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0206-Gemini%202_0-Model%20features-FEB%2005%2C%202025.png" style="width: 600px;" /></a></p> <p>Google說，今天經由所有Google AI產品公布給所有人的Gemini 2.0 Flash，除了在各項標竿測試結果比之前版本更好，很快也會加入圖片生成和語音合成（text-to-speech）功能。</p> <p>新增模型方面，Gemini 2.0 Pro因應開發人員需求，強化編輯速度和處理複雜提示的能力，比之前模型更能理解和推論真實世界的知識。2.0 Pro具備200萬tokens的context windows，可分析和理解更多資訊，且具備工具使用能力如Google Search或執行程式。</p> <p>2.0 Flash-Lite是回應用戶對1.5 Flash的需求，包括以同樣速度和成本提供比1.5 Flash更好的回應品質。Google強調2.0 Flash-Lite在大部分標竿測試結果，都優於1.5 Flash。</p> <p>2.0 Flash-Lite和2.0 Flash都具備100萬tokens的context windows和多模態輸入能力。它可為4萬幀圖片生成一行的文字圖說，在AI Studio花不到1美元。</p> <p>2.0 Pro版現在已部署於Google AI Studio及Vertex AI給開發人員，以及提供付費方案Gemini Advanced用戶在Gemini中使用。2.0 Flash-Lite現在以公開預覽版登上AI Studio及Vertex AI。</p> <p>在<a href="https://developers.googleblog.com/en/gemini-2-family-expands/" target="_blank">價格</a>方面， 2.0 Flash-Lite價格等同1.5 Flash，文字/圖片/影片輸入為0.075美元（提示<=128k），音訊輸入也是0.075美元，文字輸入為0.30美元。2.0 Flash的價格則各為0.1、0.7及0.4美元。二個模型也即將推出快取功能。</p> <p><a href="https://developers.googleblog.com/en/gemini-2-family-expands/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0206-Gemini%202_0-Gemini%20Pricing-FEB%2005%2C%202025.png" style="width: 600px;" /></a></p> <p>Google強調Gemini 2.0 Flash及Flash-Lite所有資料型態輸入收單一價格，取消1.5 Flash長、短context的差別訂價，這使得2.0版在混合context的執行收費比前一代更低，但效能更提升。</p> <p>這是Google為了迎戰Meta、OpenAI，以及中國DeepSeek在2025年第一波重大宣布。Google執行長Sundar Pichai 在本周財報會議<a href="https://www.theverge.com/news/606242/google-q4-2024-earnings" target="_blank">上說</a>，今年該公司預估投入750億美元於AI競賽上。<span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> </div></div></div>
2025/2/6 10:31作者林妍溱https://www.ithome.com.tw/news/167229
Anthropic公開憲法式分類器，大幅降低AI越獄攻擊成功率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Anthropic公開名為<a href="https://www.anthropic.com/research/constitutional-classifiers">憲法式分類器（Constitutional Classifiers）</a>的新防護機制，專門用來抵禦通用型越獄攻擊（Universal Jailbreaks）。根據最新研究報告，這項技術透過憲法式原則的定義與分類器訓練，可偵測並攔截多數常見越獄手法，同時盡量降低拒絕合法查詢的比例。Anthropic現已開放臨時測試平臺，邀請攻擊測試人員進行實測，以進一步驗證系統的防護能力。</p> <p>大型語言模型經過嚴格的安全訓練，理論上應該能夠阻擋危險內容的生成，例如拒絕回答涉及化學或生物武器製作的方法。不過，越獄攻擊利用不同的技術手法，例如極長的提示詞、特定的排版方式或變形文字，誘導模型繞過內建的安全機制。</p> <p>Anthropic先前開發了一個原型版本的憲法式分類器，主要針對涉及化學、生物、放射性及核能相關的知識進行封鎖，並邀請外部專家參與越獄挑戰。最終在為期兩個月、合計超過三千小時的攻防實驗中，無人能以單一通用攻擊方法成功繞過所有限制。</p> <p>雖然原型系統防禦效果亮眼，但拒絕過多以及運算成本高昂等缺點，成為實際部署的阻礙。Anthropic現在發布的憲法式分類器，便是原型系統改良後的成果，並表示在合成測試（Synthetic Evaluations）時能將越獄成功率從未使用分類器的86％降至4.4％，拒絕率僅略增0.38%，運算成本也僅比基準模型多約23.7％。</p> <p>憲法式分類器的概念與Anthropic先前提出的Constitutional AI相似，皆是透過一套預先定義的憲法式原則，來決定模型需回應或拒絕的內容，像是例如允許模型回答關於芥末醬的配方，但禁止回應有關芥子毒氣（Mustard Gas）的製作方式。</p> <p>研究人員先利用大型語言模型如Claude，依照預先訂定的原則，合成大規模合法與不合法對話範例，並做多語言轉換及各種文字風格變形，以形成多元化的訓練集。隨後再以人工篩選的無害樣本進行補充，藉此減少對正常查詢的誤判。最終訓練完成的輸入與輸出分類器能自動偵測潛在的違規或危險內容，阻擋絕大多數嘗試繞過管制的手段。</p> <p>雖然憲法式分類器在測試中展現優異的防禦能力，但Anthropic仍強調這並非萬無一失的解決方案。目前的防護機制能夠大幅提高攻擊門檻，使越獄變得更困難，但無法完全排除未來可能出現的新型態攻擊，因此建議搭配其他輔助防禦措施，並透過持續更新憲法規則來應對新興的安全挑戰。</p> </div></div></div>
2025/2/6 08:14作者李建興https://www.ithome.com.tw/news/167228
【資安日報】2月5日，去年修補的7-Zip的MotW漏洞被用於攻擊烏克蘭企業與政府機關
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>7-Zip在2024年11月發布的24.09版當中，修補能繞過MotW防護機制的漏洞CVE-2025-0411，然而，由於這款解壓縮軟體並未內建自動更新機制，不少使用者可能因為仍在使用舊版而曝險，所以資安圈關注此事，另一個令人大家好奇的部分在於，CVE-2025-0411是如何被發現的？</p> <p>這個星期ZDI透露他們之所以察覺，是因為俄羅斯駭客利用釣魚郵件攻擊烏克蘭企業組織，過程曾運用這項漏洞，於受害電腦執行任意程式碼，從而散布惡意軟體。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167224"><strong style="font-size: 22px;">壓縮軟體7-Zip的MotW零時差漏洞被用於攻擊烏克蘭</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/7zip-fig6b.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/7zip-fig6b.png" style="width: 300px; float: right;" /></a>上個月趨勢科技旗下的漏洞懸賞專案Zero Day Initiative（ZDI）公布知名壓縮軟體7-Zip漏洞CVE-2025-0411，並指出攻擊者有機會遠端利用這項弱點，藉由與使用者進行互動，引誘他們存取惡意網頁或是檔案觸發，繞過Windows作業系統的Mark of the Web（MotW）防護機制，現在趨勢科技公布這項漏洞的發現經過，並指出去年有人將其用於攻擊烏克蘭。</p> <p>究竟ZDI如何發現這項漏洞？ZDI資深威脅研究員Peter Girnus表示，他們在去年9月25日察覺這項漏洞被實際用於攻擊，俄羅斯駭客針對烏克蘭政府機關與非政府組織下手，意圖於受害電腦植入惡意程式載入工具SmokeLoader。對於駭客的動機，ZDI認為很可能與尚在進行的烏克蘭戰爭有關。</p> <p>在這起漏洞利用攻擊行動裡，駭客利用外流的電子郵件帳號，假冒烏克蘭政府機關或是企業，對當地的企業組織發動攻擊。這些電子郵件存在共通點，歹徒都挾帶用來觸發漏洞的壓縮檔附件。</p> <p><a href="https://www.ithome.com.tw/news/167216"><strong style="font-size: 22px;">防範偽冒離線交易的新式詐騙手法，春節期間臺灣有商家暫停使用感應式行動支付</strong></a></p> <p>在2025年1月農曆春節期間，有台新銀行、聯邦銀行等多家金融機構向其特約商店示警，指出發現有不肖份子利用「刷卡機」的偽冒狀況，或是國際行動支付（Apple Pay、Google Pay、Samsung Pay）交易的詐騙情事，因此提醒這些與收單機構簽有協議提供刷卡服務的店家，需注意防範偽冒交易。</p> <p>由於這些消息看似涉及行動支付的安全，因此受到IT社群討論，不僅如此，年節期間我們也看到林口三井暢貨中心張貼相關公告，說明感應式行動支付（Apple Pay、Google Pay）暫停使用的狀況，很可能是受同一事件影響。</p> <p>究竟這次事件發生的原因為何？根據國內外金融機構及組織的回覆，目前我們研判主要是針對新式偽冒離線交易手法的預警，只是各家業者因應方式有所不同，所以才在過年期間會向特約商店示警，並非國際行動支付的狀況。</p> <p><strong style="font-size: 22px;">邑昇、尚立公告內部資訊系統遭受網路攻擊</strong></p> <p>今天下午<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=3&SPOKE_TIME=150944&SPOKE_DATE=20250205&COMPANY_ID=5291">印刷電路板業者邑昇實業</a>、<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=3&SPOKE_TIME=155935&SPOKE_DATE=20250205&COMPANY_ID=3360">半導體暨電子零組件業者尚立</a>於股市公開觀測站發布重大訊息，指出公司部分資訊系統遭到網路攻擊，並表示事發當下已啟動相關防禦機制因應，根據他們的初步評估，網路攻擊事故並未對營運造成影響。</p> <p>邑昇在重大訊息中提及，他們在確保資訊安全的情況下，就能使用日常備份資料恢復運作，根據這樣的說明，我們推測很有可能是勒索軟體攻擊；而尚立雖然在公告內容提及內容相當有限，但他們特別透露遭到攻擊範圍是電子郵件系統，這樣的情況在資安重訊相當罕見。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/chinese-cyberspies-use-new-ssh-backdoor-in-network-device-hacks/">中國駭客Evasive Panda透過SSH處理程序挾持網路設備，注入惡意程式</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/ransomware-gang-uses-ssh-tunnels-for-stealthy-vmware-esxi-access/">勒索軟體駭客利用SSH隧道鎖定VMware虛擬化平臺</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://socket.dev/blog/malicious-package-exploits-go-module-proxy-caching-for-persistence">惡意套件鎖定Go開發人員而來，假借提供代理伺服器工具散布</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/02/north-korean-hackers-deploy-ferret.html">北韓駭客假借徵才名義引誘macOS用戶上當，企圖散布惡意軟體Ferret</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167218"><strong style="font-size: 22px;">Google修補安卓作業系統核心的零時差漏洞</strong></a></p> <p>2月3日Google發布本月份安卓例行更新，總共修補、公布47個漏洞，值得留意的是，其中一項高風險層級的漏洞CVE-2024-53104，該公司表示，他們掌握某些跡象，研判可能有人專門利用這項漏洞從事目標式的攻擊。</p> <p>該漏洞最初是在去年12月由Linux核心開發團隊揭露，起因是uvc_parse_format在處理UVC_VS_UNDEFINED格式的影格時，會略過剖析的處理，使得系統計算處理串流的緩衝區大小時，此種影格不會被列入，從而導致記憶體越界寫入（OBW）的現象。</p> <p>對於這項漏洞用於攻擊行動的情況，行動裝置作業系統GrapheneOS開發團隊指出，很有可能是經由資料鑑識解析工具利用。</p> <p><a href="https://www.ithome.com.tw/news/167221"><strong style="font-size: 22px;">Netgear公布Wi-Fi無線基地臺、路由器重大層級漏洞，6款設備曝險</strong></a></p> <p>2月1日網路設備業者Netgear發布兩則資安公告，指出旗下6款產品存在兩項重大層級漏洞：PSV-2023-0039、PSV-2021-0117，該公司呼籲用戶儘速更新Wi-Fi無線路由器及基地臺設備韌體（但這兩項漏洞目前並未指派任何CVE編號）。</p> <p>根據CVSS風險評分，PSV-2023-0039較為嚴重，此為未經身分驗證的遠端程式碼執行（RCE）漏洞，影響XR1000、XR1000v2，以及XR500等3款無線路由器，風險評分達到9.8（滿分10分）。</p> <p>另一個漏洞PSV-2021-0117則為身分驗證繞過漏洞，影響WAX206、WAX220，以及WAX214v2共3款無線基地臺，CVSS風險評為9.6。</p> <p><a href="https://www.ithome.com.tw/news/167225"><strong style="font-size: 22px;">Azure AI臉部辨識服務與微軟帳號系統修補重大層級漏洞</strong></a></p> <p>1月29日微軟發布兩則資安公告，苦主是Azure AI臉部辨識服務、Microsoft Account這兩套系統，各自存在1個重大層級的漏洞，攻擊者可在特定條件下，藉機提升權限。</p> <p>根據CVSS風險評分，較為嚴重的是CVE-2025-21415，通過身分驗證的攻擊者可藉由欺騙Azure AI臉部辨識服務，從而達到繞過身分驗證的目的，風險評分達到9.9（滿分10分）。</p> <p>另一個存在於Microsoft Account的漏洞CVE-2025-21396，起因是缺乏授權，從而允許未經授權的攻擊者提升權限，CVSS風險評為7.5。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/01/palo-alto-firewalls-found-vulnerable-to.html">Palo Alto Networks防火牆韌體存在已知弱點，恐繞過安全開機防護機制</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/167208"><strong>【2月4日】美荷執法單位聯手，撤下提供商業郵件詐騙武器的地下市集</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167185"><strong>【2月3日】蘋果針對旗下設備修補今年第一個零時差漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167151"><strong>【1月24日】印度駭客組織DoNot假借提供即時通訊軟體的名義散布惡意程式</strong></a></p> </div></div></div>
2025/2/5 17:14作者周峻佑https://www.ithome.com.tw/news/167226
壓縮軟體7-Zip的MotW零時差漏洞被用於攻擊烏克蘭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上個月趨勢科技旗下的漏洞懸賞專案Zero Day Initiative（ZDI）公布<a href="https://www.zerodayinitiative.com/advisories/ZDI-25-045/">知名壓縮軟體7-Zip漏洞CVE-2025-0411</a>，並指出攻擊者有機會遠端利用這項弱點，藉由與使用者進行互動，引誘他們存取惡意網頁或是檔案觸發，繞過Windows作業系統的Mark of the Web（MotW）防護機制，<a href="https://www.trendmicro.com/en_us/research/25/a/cve-2025-0411-ukrainian-organizations-targeted.html">現在趨勢科技公布這項漏洞的發現經過</a>，並指出去年有人將其用於攻擊烏克蘭。</p> <p>針對這項漏洞發生的原因，ZDI指出是7-Zip處理壓縮檔的環節出包，當該應用程式從特製的壓縮檔（即經過雙重壓縮的檔案）嘗試解出檔案時，不會對部分解壓縮的檔案複製MotW標記，使得攻擊者有機會用來執行任意程式碼，CVSS風險為7.0分，7-Zip專案開發者Igor Pavlov於去年11月30日發布24.09版修補。</p> <p>但究竟ZDI如何發現這項漏洞？ZDI資深威脅研究員Peter Girnus表示，他們在去年9月25日察覺這項漏洞被實際用於攻擊，俄羅斯駭客針對烏克蘭政府機關與非政府組織下手，意圖於受害電腦植入惡意程式載入工具SmokeLoader。對於駭客的l動機，ZDI認為很可能與尚在進行的烏克蘭戰爭有關。</p> <p>在這起漏洞利用攻擊行動裡，駭客利用外流的電子郵件帳號，假冒烏克蘭政府機關或是企業，對當地的企業組織發動攻擊。這些電子郵件存在共通點，歹徒都挾帶用來觸發漏洞的壓縮檔附件。在其中一封郵件裡，駭客佯稱是烏克蘭國家行政服務局（SES），鎖定該國大型汽車製造商Zaporizhzhia Automobile Building Plant（PrJSC ZAZ）而來。</p> <p>值得留意的是，駭客在利用上述7-Zip漏洞之餘，他們也運用同形字（homoglyph）攻擊手法來欺騙收信人，使得收信人降低戒心並依照指示點選惡意檔案，或是存取惡意網站。</p> <p>目前有哪些漏洞攻擊的受害者？經過ZDI的調查，確認至少有9家烏克蘭企業與政府單位受害，這些是公共交通運輸服務、電子設備製造商、保險公司、地區藥局、水資源公司、汽車製造商，以及國家與地方政府機關。</p> </div></div></div>
2025/2/5 16:07作者周峻佑https://www.ithome.com.tw/news/167224
微軟修補Azure AI臉部辨識服務重大層級漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>1月29日微軟發布兩則資安公告，苦主是Azure AI臉部辨識服務、Microsoft Account這兩套系統，各自存在1個重大層級的漏洞，攻擊者可在特定條件下，藉機提升權限。</p> <p>根據CVSS風險評分，較為嚴重的是<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-21415">CVE-2025-21415</a>，通過身分驗證的攻擊者可藉由欺騙Azure AI臉部辨識服務，從而達到繞過身分驗證的目的，風險評分達到9.9（滿分10分）。</p> <p>另一個存在於Microsoft Account的漏洞<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-21396">CVE-2025-21396</a>，起因是缺乏授權，從而允許未經授權的攻擊者提升權限，CVSS風險評為7.5。</p> <p>微軟表示，他們已經完全緩解上述漏洞，使用者無須採取行動因應，發布這些資安公告的目的是維持漏洞資訊的透明，但也提及CVE-2025-21415有概念驗證程式（PoC）出現的情況，後續發展有待觀察。</p> </div></div></div>
2025/2/5 16:48作者周峻佑https://www.ithome.com.tw/news/167225
防範偽冒離線交易的新式詐騙手法，春節期間臺灣有商家暫停使用感應式行動支付
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>農曆年節因放假天數多，近年國內銀行經常向民眾與企業示警當心詐騙，像是<a href="https://www.ithome.com.tw/news/142711">2021年春節前夕，持續出現假冒國內多家金融機關的釣魚簡訊詐騙</a>，其攻擊目標是鎖定民眾騙取網路銀行帳密與OTP碼，今年2025年的春節期間，則有國內金融機構向特約商店示警的狀況，這類攻擊目標可能是鎖定收單機構、商家進行的偽冒交易詐騙。</p> <p>在2025年1月農曆春節期間，有台新銀行、聯邦銀行等多家金融機構向其特約商店示警，指出發現有不肖份子利用「刷卡機」的偽冒狀況，或是國際行動支付（Apple Pay、Google Pay、Samsung Pay）交易的詐騙情事，因此提醒這些與收單機構簽有協議提供刷卡服務的店家，需注意防範偽冒交易。</p> <p>由於這些消息看似涉及行動支付的安全，因此受到IT社群討論，不僅如此，年節期間我們也看到林口三井暢貨中心張貼相關公告，說明感應式行動支付（Apple Pay、Google Pay）暫停使用的狀況，很可能是受同一事件影響。</p> <p>究竟這次事件發生的原因為何？根據國內外金融機構及組織的回覆，目前我們研判主要是針對新式偽冒離線交易手法的預警，只是各家業者因應方式有所不同，所以才在過年期間會向特約商店示警，並非國際行動支付的狀況。</p> <h3><strong>出現新型偽冒刷卡交易的詐騙手法</strong></h3> <p>這起事件發生在農曆年假期間，最初我們是在臉書IT社群中一則關於<a href="https://www.facebook.com/groups/rayforum/posts/9049978761748868/">Apple Pay與Google Pay安全運作架構圖表的文章</a>中，看到有網友在下面的留言中，張貼了台新銀行發布公告提醒留意新式偽冒交易的截圖，隔日我們又在同一社群看到<a href="https://www.facebook.com/groups/rayforum/posts/9051685761578168/">另一則轉貼網友的文章</a>，當中除了張貼台新銀行的公告，還公布另一截圖是聯邦銀行也有相關示警，接著我們循線檢視這兩家銀行的網站，發現確實有這方面的公告。</p> <p>究竟此次多家金融機構示警的交易詐騙型態為何？是否涉及感應式行動支付或是其他環節？由於公告內容提及多款國際行動支付，而不只是一款，因此我們最初在追查時除了詢問台新銀行、聯邦銀行，同時也詢問了兩大國際發卡組織Visa與Mastercard。</p> <p>以台新銀行的公告而言，該收單機構對其合作夥伴表示，因近期發生多起以手機行動支付（如Apple Pay、Google Pay、Samsung Pay等）的交易詐騙案例，請引導持卡人以實體卡片執行交易。同時公告中說明，商家需注意簽單上的授權碼，如為Y1xxxx、Y3xxxx時，務必取消或刷退該筆交易。</p> <p>對此，台新銀行表示，他們主要是年假前收到國際組織通知發現新型態式的詐騙樣態，故提醒合作特約商店留意，公告內容可參考台新銀行的官網。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-02-03_123926.jpg" style="width: 600px;" /></p> <p>在聯邦銀行的公告中，該收單機構其合作特約商店表示，近日發現不法集團利用刷卡機進行偽冒情事，請特約商店特別留意信用卡簽單所記載的授權碼，當發現實體卡片及行動支付（如Apple Pay、Google Pay、Samsung Pay等）的任何感應交易，只要金額超過3,000元，且授權碼開頭若為Y1、Y2、Y3，請即刻取消該交易。</p> <p>對此，聯邦銀行表示，主要是年節前夕收到Visa的示警，通知有這樣的詐騙型態，雖然這次通知中沒有明確提及是發生在國內或國外，但適逢農曆年節，因此發布公告並提醒商家注意，年後恢復上班即恢復正常，而聯邦銀行本身目前尚未發現這樣的案例。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-02-03_123849.jpg" style="width: 600px;" /></p> <h3><strong>Visa提醒：留意惡意程式驅動刷卡機進行離線交易</strong></h3> <p>關於國際發卡組織對此事件的回應上，在截稿前我們尚未獲得Mastercard的回應，不過Visa已經針對這次威脅的提出詳細的說明。</p> <p>Visa台灣區風險管理負責人沈玫芳表示：「這次是針對商家的新型態詐欺手法，以惡意程式驅動刷卡機進行離線交易，Visa一直關注此趨勢在不同市場的發展，並立即示警呼籲發卡機構、收單機構和商家保持警惕，共同防守面對面支付相關的詐欺行為。」</p> <p>換言之，這次的Visa的威脅預警是關於惡意程式鎖定刷卡機，偽冒離線交易的手法，呼籲收單機構注意，因此這些收單機構也提醒商家注意。</p> <h3><strong>走訪實體店家，確實有暫時停用感應式行動支付的公告</strong></h3> <p>不只有銀行業者對特約廠商發布公告，我們在實體商家也看到對消費者的相關公告。在1月29日大年初三，個人在恰巧前往位於林口的三井暢貨中心購物，也特別留意這方面的資訊，發現三井確實張貼了這方面的公告：全館暫停使用感應式行動支付（Apple Pay、Google Pay），實際購物時，暢貨中心裡面的商家亦有配合宣導此事。</p> <p>由於三井與永豐銀行有合作發行聯名信用卡，因此該業者使用的刷卡POS機可能也是永豐銀行提供。換言之，該商場可能是收到永豐銀行通知所做的因應。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL2025-01-31.jpg" style="width: 600px;" /></p> <h3><strong>拒絕離線交易，聯合信用卡處理中心已從POS機端做好因應</strong></h3> <p>另一我們關注的焦點在於，是否有更多金融機構發布相關公告，提醒商家因應新式詐騙？</p> <p>這次在聯繫上述台新、聯邦、永豐時，3家業者都確認發布了相關公告，我們並了解還有其他銀行其實也會透過不同管道，傳達這方面資訊。為了進一步追查，我們詢問更多的收單機構。</p> <p>在追查過程中我們注意到，信用卡收單機構不只有銀行，還有聯合信用卡處理中心（NCCC），他們是全臺最大信用卡收單機構，也有提供POS機租借服務給銀行，因此我們也進一步詢問NCCC是否發布這方面的公告。</p> <p>根據NCCC的說明，他們指出這次收單機構示警內容指的是離線交易，不過NCCC早在7、8年前就已經拒絕離線交易，規範每一臺設備只允許連線交易，因此不受這方面的影響。</p> <p>綜觀上述多家業者的回應，NCCC與Visa都指出同樣的問題點，我們認為這次預警的風險，就是與偽冒離線交易有關。</p> <p>關於只有部分金融業者發布公告的情形，從上述回應來看，我們推測，可能是各家收單機構的作法不同，有些是從POS機規範禁止離線交易，有些可能是從授權部門去管控，加上年假期間可能人力較少，因此也請特約商家配合注意授權碼有Y1、Y2、Y3開頭，以共同應對可能的風險。</p> <p>至於國內是否已經遭遇這類新型態詐欺手法，目前詢問多家業者後，均表示尚未遭遇此一情形。</p> </div></div></div>
2025/2/5 11:11作者羅正漢https://www.ithome.com.tw/news/167216
Netgear公布Wi-Fi無線基地臺、路由器重大層級漏洞，6款設備曝險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2月1日網路設備業者Netgear發布兩則資安公告，指出旗下6款產品存在兩項重大層級漏洞：PSV-2023-0039、PSV-2021-0117，該公司呼籲用戶儘速更新Wi-Fi無線路由器及基地臺設備韌體（但這兩項漏洞目前並未指派任何CVE編號）。</p> <p>根據CVSS風險評分，PSV-2023-0039較為嚴重，<a href="https://kb.netgear.com/000066558/Security-Advisory-for-Unauthenticated-RCE-on-Some-WiFi-Routers-PSV-2023-0039">此為未經身分驗證的遠端程式碼執行（RCE）漏洞</a>，影響XR1000、XR1000v2，以及XR500等3款無線路由器，風險評分達到9.8（滿分10分）。</p> <p>另一個漏洞PSV-2021-0117<a href="https://kb.netgear.com/000066557/Security-Advisory-for-Authentication-Bypass-on-Some-Wireless-Access-Points-PSV-2024-0117">則為身分驗證繞過漏洞</a>，影響WAX206、WAX220，以及WAX214v2共3款無線基地臺，CVSS風險評為9.6。</p> <p>值得留意的是，Netgear並未透露這些漏洞的進一步細節，但有鑑於其CVSS分數都接近滿分，相當危險，用戶不能掉以輕心。</p> </div></div></div>
2025/2/5 14:15作者周峻佑https://www.ithome.com.tw/news/167221
Google修補安卓作業系統核心的零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2月3日Google<a href="https://source.android.com/docs/security/bulletin/2025-02-01?hl=zh-tw">發布本月份安卓例行更新</a>，總共修補、公布47個漏洞，值得留意的是，其中一項高風險層級的漏洞CVE-2024-53104，該公司表示，他們掌握某些跡象，研判可能有人專門利用這項漏洞從事目標式的攻擊。</p> <p>CVE-2024-53104存在於安卓作業系統的Linux核心，為權限提升漏洞，主要影響子元件是USB Video Class（UVC），<a href="https://nvd.nist.gov/vuln/detail/CVE-2024-53104">CVSS風險評分達到7.8</a>。</p> <p>該漏洞最初是在去年12月由Linux核心開發團隊揭露，起因是uvc_parse_format在處理UVC_VS_UNDEFINED格式的影格時，會略過剖析的處理，使得系統計算處理串流的緩衝區大小時，此種影格不會被列入，從而導致記憶體越界寫入（OBW）的現象。</p> <p>當時Linux核心開發團隊成員Greg Kroah-Hartman<a href="https://lore.kernel.org/linux-cve-announce/2024120232-CVE-2024-53104-d781@gregkh/">對此提出說明</a>，並指出該漏洞是2008年發布的2.6.26版Linux核心引入。</p> <p>對於這項漏洞用於攻擊行動的情況，<a href="http://x.com/GrapheneOS/status/1886639593430376958">行動裝置作業系統GrapheneOS開發團隊指出</a>，很有可能是經由資料鑑識解析工具利用。</p> </div></div></div>
2025/2/5 12:47作者周峻佑https://www.ithome.com.tw/news/167218
微軟悄悄移除舊PC升級Windows 11的說明
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著Windows 10終止支援的日期只剩8個月，媒體<a href="https://www.neowin.net/news/microsoft-quietly-removes-official-windows-11-cputpm-bypass-for-unsupported-pcs/" target="_blank">發現</a>微軟悄悄移除曾說明如何在規格較舊的PC上執行Windows 11的官網說明文字。</p> <p>早在2021年10月Windows 11剛剛釋出時，雖然微軟強烈建議用戶在較新PC上執行Windows 11，但仍在官網上公布如何在不具備TPM 2.0處理器的PC上安裝Windows 11。但是Neowin報導，現在網頁已經編輯過，相關說明已被刪除。時間可能在去年12月Windows 11 24H2推出之時。</p> <p>根據Web Archive留存的<a href="https://web.archive.org/web/20240929145620/https://support.microsoft.com/en-us/windows/ways-to-install-windows-11-e0edbbfb-cfc5-4011-868b-2ce77ac7c70e" target="_blank">紀錄</a>，微軟提供繞過規格限制的方法包括變更機碼以繞過對TPM 2.0的檢查，但微軟警告，若操作不當會導致嚴重問題，後果需由用戶自負。</p> <p>Windows 11的PC規格要求最令用戶反彈的，是系統需支援信賴平臺模組（TPM）2.0的晶片，對許多用戶而言意謂必須再買一臺電腦。網路上也有眾多用戶<a href="https://www.pcworld.com/article/2103104/windows-11-simple-trick-bypasses-cpu-tpm-lockout.html" target="_blank">分享</a>繞過這限制安裝Windows 11的方法。去年微軟再度重申不會放鬆要求，而允許規格不足的PC執行Windows 11。</p> </div></div></div>
2025/2/5 11:29作者林妍溱https://www.ithome.com.tw/news/167217
Google對美國平臺與裝置部門啟動自願離職方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>媒體<a href="https://9to5google.com/2025/01/30/pixel-android-voluntary-exit-employees/" target="_blank">報導</a>，Google本周對生產Pixel手機及開發Android的部門員工啟動自願離職方案</p> <p>媒體取得Google資深副總裁Rick Osterloh發給平臺暨裝置（Platform and Devices）部門的內部訊息報導，此消息也獲得Google證實。</p> <p>Osterloh在內部信件中指出，去年4月整併裝置和平臺部門後，當員工已經工作上手一段時間，這項安排是提供給對組織變動不適應，或對現有角色及工作、以及混合式辦公沒有熱情或無法積極投入的員工。去年Google整併了生產Pixel、Nest和Fitbit的裝置部門，以及開發Android、Chrome、Google Play、ChromeOS、Google Photos與Google One的平臺部門。他說，在合併後公司接到員工詢問是否有自願離職選項，因此決定在裁員前提供員工這項選擇。</p> <p>自願離職的員工將可獲得一筆資遣費用，詳情會於日後公布。報導指出，本方案並非適用所有Google部門，像搜尋、AI或其他部門就沒有這項方案。本方案也只適用於美國的裝置及平臺部門員工。</p> <p>Google主管對留下的員工表示，該部門現在「蓄勢待發」，眼前有很多重要工作，要求員工應「全力投入使命，專注於打造優質產品，兼顧速度與效能。」</p> <p>去年以來美國軟體大廠相繼精簡人事以因應AI投資的龐大開銷，另外，媒體<a href="https://abcnews.go.com/US/wireStory/us-businesses-brace-trumps-tariffs-canada-mexico-china-118356449" target="_blank">分析</a>川普調高關稅亦導致能源與其他進口商品漲價，增加企業營運成本。Meta和微軟今年將<a href="https://www.ithome.com.tw/news/166967" target="_blank">裁減</a>過去一年無法符合期望的員工，占比分別為5%及1%。</p> <p>本周Salesforce也傳<a href="https://www.fastcompany.com/91272368/tech-layoffs-2025-salesforce-meta-amazon-add-to-list-of-job-cuts" target="_blank">裁減</a>了1,000多個員額。其他裁員的還包括Amazon、Stripe、Placer.ai等。</p> </div></div></div>
2025/2/5 11:08作者林妍溱https://www.ithome.com.tw/news/167215
Alphabet獨立出農業AI子公司Heritable Agriculture
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Alphabet X實驗室（X Labs）<a href="https://x.company/blog/posts/heritable-agriculture/" target="_blank">宣布</a>獨立出農業AI子公司Heritable Agriculture，為Moonshot Factory孵化出的最新成果，目的在以AI改良作物，以提升作物生產、降低種植成本及對環境的衝擊。</p> <p>Heritable Agriculture公司<a href="https://heritable.ag/" target="_blank">網站描述</a>，該公司旨在提供AI和基因編輯技術幫助改造農作物。目前該公司和農業及森林業夥伴合作，以便將其AI技術用於農林業。這家新創公司發展的演算法使用單一細胞多體學（Multi-omics）資料，能比傳統方法更準確找出作物的致病基因，其DNA語言模型可精準辨識出遺傳因子，並配合基因編輯以做出滿足法規的變更。該公司技術也能蒐集天氣、長期氣候、土壤和基因序列資料預測作物在新環境，或是新基因型態的成長能力，藉此在對的環境下種植對的作物，並減少試錯投入成本，以及加速作物生成上市的時程。</p> <p>根據該公司的Linkedin<a href="https://www.linkedin.com/company/heritable-agriculture/about/" target="_blank">檔案</a>，Heritable Agriculture員工6人。以背景來看，團隊成員涵括生物學家、工程師、遺傳學家及作物科學家。公司執行長Brad Zamft有合成生物學研究協會、哈佛醫學院及美國能源部的工作經歷。雖然成立於2024年，但在Google內磨練技術已經長達5年。</p> <p>這不是Alphabet獨立出來的第一家農業AI公司。2020年Alphabet也<a href="https://ithome.com.tw/news/140495" target="_blank">分拆</a>出智慧農業公司Mineral，計畫推出整合AI、電腦視覺和感測器的無人電動車，可在作物之間穿梭並拍攝作物細部照片，詳盡蒐集作物從幼苗到結果的整個生命週期的影像資料，以減輕農家巡田水的勞動負擔。此外還有為養殖漁業開發的AI魚類追蹤辨識系統<a href="https://www.ithome.com.tw/news/136115" target="_blank">Tidal</a>。</p> </div></div></div>
2025/2/5 08:24作者林妍溱https://www.ithome.com.tw/news/167212
多家歐洲研究機構啟動OpenEuroLLM專案，獲歐盟資助推動AI透明度與多語言支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歐盟也積極推動人工智慧發展，強化語言模型技術透明度與多語言研究，由歐洲多家頂尖研究機構及企業組成的<a href="https://openeurollm.eu/" target="_blank">OpenEuroLLM專案</a>，在歐盟Digital Europe Programme資助下<a href="https://openeurollm.eu/launch-press-release" target="_blank">正式展開</a>。該專案目標是打造新一代開源大型語言模型，期望藉此鞏固歐洲在人工智慧領域的競爭力，同時維持法遵與技術透明度，回應歐盟在人工智慧技術自主與數位主權上的需求。</p> <p>OpenEuroLLM由捷克查理大學（Charles University）與芬蘭AMD Silo AI等單位共同帶領，包含多家歐洲高等院校、人工智慧研究機構及EuroHPC超級計算機中心。專案內容特別強調兩個方向，其一是對外完全透明，也就是從資料收集、模型訓練到評估指標都遵循歐盟隱私與安全標準，並盡可能向社群開放；其二是聚焦多語言能力，除了歐盟官方語言，也涵蓋歐洲內部其他常被忽略但同樣重要的區域性語種，並考慮在經貿或文化層面具備潛力的語言，期望降低當地產業或公共單位導入人工智慧的門檻。</p> <p>在開源方向上，OpenEuroLLM提出真正開放的目標，強調會公開訓練與測試程式碼、資料處理過程、評估方法及中間成果，並同時號召社群參與。這種合作模式可擴大開發者基礎，也替未來人工智慧應用提供更透明與法遵環境。由於歐盟正推動人工智慧法案（AI Act）等法規，專案也強調將遵守法規要求，設置安全評估、使用者隱私保護及其他配套措施，在技術與監管之間取得平衡。</p> <p>歐洲多個國家已具備超級運算、自然語言處理與深度學習的豐富研究能力，像是德國的Fraunhofer研究機構、義大利Cineca高效能運算中心、西班牙巴塞隆納超級運算中心等，都已在各自領域具有相當基礎。這次歐洲多方共同投入OpenEuroLLM專案，試圖在硬體資源與技術上合作，以更大規模的資源來訓練語言模型。同時，歐盟Digital Europe Programme也承諾投入資金與政策支援，包括資料開放、運算力強化、模型安全檢測等領域。</p> <p>依照OpenEuroLLM的計畫，未來這些基礎模型都能透過開源管道被微調或擴充，適用於專業領域如醫療文本處理、法律諮詢等，同時也會保留對隱私與資料保護的設計，以符合歐盟強調的隱私原則。開發者與企業得以在不違反歐盟法規的前提下，取得高品質的多語言模型基礎，並進一步客製化出符合自身需求的人工智慧解決方案。</p> </div></div></div>
2025/2/5 08:11作者李建興https://www.ithome.com.tw/news/167211
駭客假借提供AI工具DeepSeek的名義，在PyPI散布惡意軟體，不到一小時就有逾200人上當
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國AI工具DeepSeek爆紅引起各界關注，有歹徒趁機利用其名號來散布惡意軟體，鎖定想要借助AI的力量加速開發的人士下手。</p> <p>資安業者Positive Technologies指出，<a href="https://global.ptsecurity.com/analytics/pt-esc-threat-intelligence/malicious-packages-deepseeek-and-deepseekai-published-in-python-package-index">他們發現一名PyPI使用者在1月29日上傳惡意套件deepseeek、deepseekai</a>，一旦開發人員安裝這些套件，歹徒就有可能偷走系統環境變數資料，以及使用者與電腦的其他資料。</p> <p>研究人員分析這些惡意套件，只要使用者透過命令列執行deepseeek或deepseekai指令，惡意酬載就有可能隨之啟動，開始搜括敏感資料，像是S3儲存桶的API金鑰、資料庫帳密，以及其他能存取基礎設施及資源的資料。</p> <p>為了隱匿行蹤，歹徒濫用開發整合平臺Pipedream充當C2伺服器，並用來接收竊得的資料。</p> <p>附帶一提的是，Positive Technologies根據程式碼的註解內容，發現這些套件的指令碼，很有可能是借助AI助理來產生。</p> <p>研究人員通報此事，PyPI維護團隊隨即將套件下架，但在上架不到一個小時的時間仍有222次下載，其中超過半數來自美國（117次），但中國、俄羅斯、香港也有受害者。</p> </div></div></div>
2025/2/4 16:06作者周峻佑https://www.ithome.com.tw/news/167206
【資安日報】2月4日，美荷執法單位聯手，撤下提供商業郵件詐騙武器的地下市集
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過去一年全球跨國執法行動有不少斬獲，像是歐洲刑警組織（Europol）與全球15國執法單位通力合作，<a href="https://www.ithome.com.tw/news/166477">一口氣關閉27個DDoS租用平臺</a>，或是國際刑警組織（Interpol）與40個國家及地區的執法單位聯手，<a href="https://www.ithome.com.tw/news/166326">逮捕超過5,500名從事金融犯罪的嫌犯</a>並沒收不法所得。而對於專門提供作案工具買賣的網站，最近也有進展。</p> <p>美國、荷蘭在一月底聯手，控制用來架設銷售商業郵件詐騙（BEC）工具網站的39個網域，破壞相關伺服器的運作，並公布相關調查成果。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167201"><strong style="font-size: 22px;">印度Tata集團旗下汽車設計公司證實遭遇勒索軟體攻擊</strong></a></p> <p>汽車產業最近幾年也成為歹徒盯上的目標，駭客多半針對汽車製造商與零件供應商而來，如今傳出有汽車設計業者遭到攻擊的情況。</p> <p>隸屬於印度最大的公司塔塔集團的科技公司Tata Technologies，最近面臨網路攻擊的侵襲，1月31日他們向印度國家證券交易所通報遭遇勒索軟體攻擊，導致部分IT資產受到影響。為了預防影響範圍擴大，該公司一度暫停部分IT服務。不過，對於交付客戶的業務並未受到影響，始終維持正常運作。</p> <p>他們與資安專家聯手調查事故發生的原因。但截至目前為止，尚未有勒索軟體駭客組織坦承犯案，攻擊者是否竊取Tata Technologies內部資料，也不得而知。</p> <p><a href="https://www.ithome.com.tw/news/167206"><strong style="font-size: 22px;">駭客假借提供AI工具DeepSeek的名義，在PyPI散布惡意軟體，不到一小時就有逾200人上當</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure_4_d7c18e7ff9.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure_4_d7c18e7ff9.png" style="float: right; width: 300px;" /></a></p> <p>中國AI工具DeepSeek爆紅引起各界關注，有歹徒趁機利用其名號來散布惡意軟體，鎖定想要借助AI的力量加速開發的人士下手。</p> <p>資安業者Positive Technologies指出，他們發現一名PyPI使用者在1月29日上傳惡意套件deepseeek、deepseekai，一旦開發人員安裝這些套件，歹徒就有可能偷走系統環境變數資料，以及使用者與電腦的其他資料。</p> <p>研究人員通報此事，PyPI維護團隊隨即將套件下架，但在上架不到一個小時的時間仍有222次下載，其中超過半數來自美國（117次），但中國、俄羅斯、香港也有受害者。</p> <p><a href="https://www.ithome.com.tw/news/167159"><strong style="font-size: 22px;">兆勤防火牆應用程式簽章年前更新出包，USG FLEX、ATP系列需人工到場修復</strong></a></p> <p>1月24日兆勤科技（Zyxel Networks）發布公告指出，USG Flex與ATP系列防火牆設備因當日晚間發布的應用程式簽章更新錯誤，導致部分設備出現不停重啟等異常現象。該公司強調，此次問題並非因韌體升級造成，也與任何已知的CVE或安全漏洞無關，但影響的設備需透過現場操作才能完整修復。Zyxel已緊急停用伺服器上的應用程式簽章更新功能，避免問題進一步擴大。</p> <p>此問題起因於應用程式簽章版本1.0.0.20250123.0的更新錯誤，該版本在1月24日晚間發布並自動安裝於部分設備。一旦設備套用更新，就有可能導致重啟迴圈、ZySH處理程序當機、無法登入等問題。</p> <p>對此，有部分用戶試圖藉由管理主控臺試圖重新開機、變更磁碟分割、簽章降級將裝置恢復正常，但兆勤表示，IT人員親自到現場修復是他們唯一驗證有效的解決方法，原因是受影響設備產生大量系統事件記錄，無法透過遠端上傳韌體或執行其他作業。</p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=171652&SPOKE_DATE=20250203&COMPANY_ID=3362"><strong style="font-size: 22px;">先進光電部分資訊系統遭受網路攻擊</strong></a></p> <p></p> <p>2月3日傍晚，研發製造光學鏡頭的先進光電在股市公開觀測站發布重大訊息，指出他們有部分資訊系統遭到網路攻擊，事發當下該公司已在第一時間啟動防護機制，並進行復原作業。</p> <p>針對這起事故可能會帶來的損失或是影響，先進光電表示，根據他們初步評估，對於營運沒有影響。該公司後續將持續密集監控，確保資訊安全。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/02/meta-confirms-zero-click-whatsapp.html">90名記者、社會運動人士遭鎖定，攻擊者發動WhatsApp零點擊間諜軟體攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/casio-16-websites-double-entry-web-skimming-attack">英國卡西歐網站遭植入信用卡側錄工具</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/hackers-use-windows-rid-hijacking-to-create-hidden-admin-account/">北韓駭客利用RID挾持手法，在Windows電腦建立隱藏的管理員帳號</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/02/beyondtrust-zero-day-breach-exposes-17.html">針對12月發生的零時差漏洞攻擊事故，BeyondTrust證實有17個SaaS客戶受害</a></strong></p> <p></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167190"><strong style="font-size: 22px;">美國與荷蘭聯手，奪下39個用於兜售商業郵件詐騙作案工具的網域</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/saim_raza_seizure_banner_0.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/saim_raza_seizure_banner_0.jpg" style="width: 300px; float: right;" /></a>1月30日美國司法部（DOJ）宣布，他們與荷蘭國家警察局合作從事執法行動Operation Heart Blocker，成功奪取39個巴基斯坦網域及有關伺服器，這些網域及伺服器被用於架設網路市集，專門用來兜售駭客及詐欺工具，駭客組織Saim Raza（或稱HeartSender）至少從2020年開始經營，向其他駭客販賣網釣工具包等作案工具，買家使用這些工具從事商業郵件詐騙（BEC），導致至少3百萬美元損失。</p> <p>荷蘭國家警察局也對這次執法行動提出說明，他們指出Saim Raza擁有數千名客戶，提供的工具能對網頁伺服器管理系統cPanel、SMTP寄信伺服器、WordPress帳號下手，使得買家能夠入侵受害組織的基礎設施。</p> <p>值得留意的是，荷蘭國家警察局也在Saim Raza的資料裡發現數百萬筆帳密資料，其中約有10萬筆來自荷蘭，他們也提供專屬網頁供民眾查詢，確認自己的帳號及密碼是否流入這些駭客的手裡。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167191"><strong style="font-size: 22px;">Sophos宣布完成併購Secureworks，將著重MDR業務</strong></a></p> <p>去年10月資安業者Sophos宣布，將耗費8.59億美元現金買下資安業者Secureworks，如今這項併購案已經完成。Sophos表示，在完成併購後，他們成為了專注於代管偵測與回應（MDR）服務的網路安全業者。</p> <p>2月4日Sophos發布新聞稿宣布這項消息，並指出在併購後該公司將為2.8萬家企業提供MDR服務，能提供更為強大的安全營運平臺，其內建數百項整合功能，而能透過自適應保護，以及偵測與回應機制來緩解網路攻擊。Sophos X-Ops將借助Secureworks旗下資安研究團隊Counter Threat Unit的能量，延伸其威脅情報及資安服務的能力。</p> <p>雖然合併已經完成，但Sophos表示，短期內兩家公司仍維持原本的業務運作，繼續與全球通路合作夥伴、代管服務業者（MSP）、資安代管服務業者（MSSP）合作，推廣現有的資安服務與技術。他們也對於現在客戶提出承諾，Sophos與Secureworks將透過銷售與客戶體驗團隊持續提供支援，協助客戶續約並發展新的業務機會。</p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/tenable-to-acquire-vulcan-cyber-for-150-million/">漏洞管理解決方案業者Tenable以1.5億美元買下曝險管理新創Vulcan Cyber</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/167185"><strong>【2月3日】蘋果針對旗下設備修補今年第一個零時差漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167151"><strong>【1月24日】印度駭客組織DoNot假借提供即時通訊軟體的名義散布惡意程式</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167142"><strong>【1月23日】中國駭客入侵韓國VPN業者IPany發動供應鏈攻擊，竄改安裝程式散布後門</strong></a></p> </div></div></div>
2025/2/4 16:26作者周峻佑https://www.ithome.com.tw/news/167208
印度Tata集團旗下汽車設計公司證實遭遇勒索軟體攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>汽車產業最近幾年也成為歹徒盯上的目標，駭客多半針對汽車製造商與零件供應商而來，如今傳出有汽車設計業者遭到攻擊的情況。</p> <p>隸屬於印度最大的公司塔塔集團的科技公司Tata Technologies，最近面臨網路攻擊的侵襲，1月31日他們<a href="https://www.documentcloud.org/documents/25510470-tata/#document/p1">向印度國家證券交易所通報</a>遭遇勒索軟體攻擊，導致部分IT資產受到影響。為了預防影響範圍擴大，該公司一度暫停部分IT服務。不過，對於交付客戶的業務並未受到影響，始終維持正常運作。</p> <p>他們與資安專家聯手調查事故發生的原因。但截至目前為止，尚未有勒索軟體駭客組織坦承犯案，攻擊者是否竊取Tata Technologies內部資料，也不得而知。</p> <p>由於Tata Technologies不只專注於汽車設計，也從事航太工程、重型機械的研發，這起資安事故的後續影響，有待進一步觀察。</p> </div></div></div>
2025/2/4 15:49作者周峻佑https://www.ithome.com.tw/news/167201
AMD Zen架構處理器存在微指令簽章驗證漏洞，影響SEV-SNP機密運算安全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google安全團隊<a href="https://github.com/google/security-research/security/advisories/GHSA-4xq7-4mgh-gp6w">發現</a>，部分基於Zen架構的AMD處理器存在微指令簽章驗證漏洞（CVE-2024-56161）。該漏洞可能使具備本地管理員權限的攻擊者注入惡意微指令，進而危及依賴AMD安全加密虛擬化（SEV-SNP）保護的機密工作負載安全。由於漏洞一旦被濫用，可能導致機密運算環境保護失效，相關修補措施已於去年12月中陸續發布，用戶應密切關注BIOS與微指令更新狀況。</p> <p>該漏洞影響Zen 1至Zen 4系列處理器，攻擊者在取得本地管理員權限後，可藉由注入惡意微指令直接影響處理器的核心運作機制。尤其是在使用AMD SEV-SNP技術保護機密工作負載的用例下，惡意微指令可能破壞工作負載的保密性與完整性，進而影響整個運算環境的安全基礎。</p> <p>針對此安全漏洞，Google於2024年9月底向AMD回報，AMD隨後在2024年12月中旬針對Naples、Rome、Milan與Genoa等平臺，推出微指令更新修補版本。</p> <p>根據<a href="https://www.amd.com/en/resources/product-security/bulletin/amd-sb-3019.html">AMD釋出的資料</a>，針對資料中心市場的AMD EPYC系列產品，Naples與Rome平臺分別於2024年12月13日發布修補版本，Milan系列也在同日完成更新，而Genoa系列則於2024年12月16日推出修補措施。更新後的平臺將禁止透過熱載入方式進行後續微指令更新；如在未更新平臺嘗試熱載入超出指定版本的微指令，可能導致系統觸發#GP錯誤（#GP Fault）。</p> <p>此外，針對使用AMD SEV技術的用戶，平臺也同步推送了SEV韌體更新，更新至新版本後，用戶可透過SEV-SNP驗證報告確認修補措施是否已成功啟用，以確保機密工作負載獲得有效保護。</p> <p>CVE-2024-56161漏洞被評為高風險，CVSS分數達7.2。該漏洞不僅牽涉到微指令更新機制的缺陷，同時影響SEV-ES與SEV-SNP功能，進一步擴大攻擊面。針對嵌入式產品市場，AMD也針對EPYC Embedded 7002、7003與9004系列推出相應的修補版本，並已於2024年12月底發布完成。</p> </div></div></div>
2025/2/4 16:37作者李建興https://www.ithome.com.tw/news/167207
Sophos宣布完成併購Secureworks，將著重MDR業務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年10月資安業者Sophos宣布，<a href="https://www.ithome.com.tw/news/165636">將耗費8.59億美元現金買下資安業者Secureworks</a>，如今這項併購案已經完成。Sophos表示，在完成併購後，他們成為了專注於代管偵測與回應（MDR）服務的網路安全業者。</p> <p>2月4日Sophos發布新聞稿<a href="https://www.sophos.com/en-us/press/press-releases/2025/02/sophos-completes-secureworks-acquisition">宣布這項消息</a>，並指出在併購後該公司將為2.8萬家企業提供MDR服務，能提供更為強大的安全營運平臺，其內建數百項整合功能，而能透過自適應保護，以及偵測與回應機制來緩解網路攻擊。Sophos X-Ops將借助Secureworks旗下資安研究團隊Counter Threat Unit的能量，延伸其威脅情報及資安服務的能力。</p> <p>雖然合併已經完成，但Sophos表示，短期內兩家公司仍維持原本的業務運作，繼續與全球通路合作夥伴、代管服務業者（MSP）、資安代管服務業者（MSSP）合作，推廣現有的資安服務與技術。他們也對於現在客戶提出承諾，Sophos與Secureworks將透過銷售與客戶體驗團隊持續提供支援，協助客戶續約並發展新的業務機會。</p> </div></div></div>
2025/2/4 15:04作者周峻佑https://www.ithome.com.tw/news/167191
美國與荷蘭聯手，摧毀39個用於兜售商業郵件詐騙作案工具的網域
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>1月30日<a href="https://www.justice.gov/opa/pr/justice-department-announces-seizure-cybercrime-websites-selling-hacking-tools-transnational">美國司法部（DOJ）宣布</a>，他們與荷蘭國家警察局合作從事執法行動Operation Heart Blocker，成功奪取39個巴基斯坦網域及有關伺服器，這些網域及伺服器被用於架設網路市集，專門用來兜售駭客及詐欺工具，駭客組織Saim Raza（或稱HeartSender）至少從2020年開始經營，向其他駭客販賣網釣工具包等作案工具，買家使用這些工具從事商業郵件詐騙（BEC），導致至少3百萬美元損失。</p> <p>Saim Raza提供的犯罪工具相當多元，涵蓋網釣工具包、詐欺網頁、電子郵件截取工具，而這些往往會被用於網路詐騙。這些駭客不光提供作案工具，還透過YouTube影片提供逐步操作的教學，使得缺乏相關技能的駭客也能使用。</p> <p>荷蘭國家警察局<a href="https://www.politie.nl/nieuws/2025/januari/27/09-verstoringsactie-deelt-klap-uit-aan-crimineel-cybernetwerk-heartsender.html">也對這次執法行動提出說明</a>，他們指出Saim Raza擁有數千名客戶，提供的工具能對網頁伺服器管理系統cPanel、SMTP寄信伺服器、WordPress帳號下手，使得買家能夠入侵受害組織的基礎設施。</p> <p>值得留意的是，荷蘭國家警察局也在Saim Raza的資料裡發現數百萬筆帳密資料，其中約有10萬筆來自荷蘭，他們也提供專屬網頁供民眾查詢，確認自己的帳號及密碼是否流入這些駭客的手裡。</p> </div></div></div>
2025/2/4 12:23作者周峻佑https://www.ithome.com.tw/news/167190
Microsoft Defender 2月底終止免費VPN功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟Microsoft 365今年起漲價，同時間<a href="https://support.microsoft.com/en-us/topic/end-of-support-privacy-protection-vpn-in-microsoft-defender-for-individuals-8b503da5-732a-4472-833a-e2ddca53036a#cw" target="_blank">宣布</a>免費Microsoft Defender 2月底將不再提供VPN服務，需要的用戶必須訂閱Microsoft 365。</p> <p>Windows Central首先<a href="https://www.windowscentral.com/microsoft/microsoft-is-killing-its-free-vpn-with-microsoft-365-subscriptions-just-days-after-increasing-prices" target="_blank">報導</a>，微軟近日公告，自2025年2月28日起，將從Microsoft Defender App移除VPN服務。</p> <p>微軟理由是，公司定期評估其功能的使用率和效果結果，使其決定移除此一隱私防護功能，而改投資於其他功能上。未來要使用VPN的消費者，必須訂閱Microsoft 365（M365）個人或家庭版方案。</p> <p>微軟強調M365提供信用卡資訊及60多種個資防護、24x7身份盜竊支援，及100萬美元身份盜竊保險，以及財物損失追訴的法律和專家費用最高10萬美元（上述皆只提供美國用戶）。</p> <p>2月28日一到，Defender Android版用戶會被要求移除裝置上的VPN檔案。微軟建議移除，雖然不移除不會怎麼樣，但在Defender App中也沒有用了。用戶可以在「設定」>「VPN」下找到「Microsoft Defender」，再點入「info」圖示移除。</p> <p>Windows、iOS及macOS用戶無需採取行動。此外，iOS裝置上，VPN網頁防護（釣魚網站防護）仍可持續使用。微軟解釋，iOS平臺上的VPN網頁防護和本機（loop-back）VPN和Defender App的VPN不同，因而不受影響。</p> <p>這項宣布顯然是為了鼓勵／迫使消費者用戶購買Microsoft 365。微軟去年底<a href="https://www.ithome.com.tw/news/165938" target="_blank">終止</a>支援免費的Windows Mail、Calendar、Contacts，要求需要的用戶訂閱M365。同時，微軟以增加了Copilot為由，調高Microsoft 365的訂閱費用，不需要Copilot的使用者必須自行到設定頁中<a href="https://www.ithome.com.tw/news/167015" target="_blank">調整</a>為傳統型M365方案，否則會被增加訂閱費。</p> </div></div></div>
2025/2/4 11:16作者林妍溱https://www.ithome.com.tw/news/167189
OpenAI o1模型將登上美國家實驗室超級電腦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國能源局下的洛斯阿拉莫斯國家實驗室（Los Alamos National Laboratory，LANL）與OpenAI<a href="https://www.lanl.gov/media/news/0130-open-ai" target="_blank">宣布合作</a>，將在超級電腦導入推理AI模型o1於能源與國家安全應用程式。</p> <p>LANL去年<a href="https://www.ithome.com.tw/news/162463" target="_blank">導入</a>使用2,560顆Nvidia GH200 Grace Hopper Superchip的HPE Cray EX伺服器，打造Venado超級電腦。最新合作則將在Venado上安裝OpenAI o系列模型，以執行國家安全研究，及能源相關的研究專案。</p> <p>去年春天美國政府號召AI民間業者加入促進國家安全計畫，有包括Google、微軟與OpenAI等公司響應。同年10月LANL先行和OpenAI合作推動改善o1模型的AI安全性，並評估其推理能力的專家。現在o1模型已經廣泛用於多座美國國家實驗室執行數百個應用，涵括能源任務、設計新材質，以及發展量子演算法。而o1用在機密系統則可促進國家安全。</p> <p>另一方面，Venado機器也將移往更安全的國家機密網路上，這個安全網路是由能源局下的實驗室包括LANL和勞倫斯利佛摩（Lawrence Livermore）國家實驗室，以及桑迪亞國家實驗室（Sandia National Labs）研究人員共用。</p> <p>上星期OpenAI也<a href="https://www.ithome.com.tw/news/167172" target="_blank">公布</a>ChatGPT Gov的政府AI服務，讓美國政府單位可在微軟Azure商用雲與政府雲中自行部署ChatGPT工具而不用擔心資料外洩。</p> </div></div></div>
2025/2/4 10:10作者林妍溱https://www.ithome.com.tw/news/167186
【資安日報】2月3日，蘋果針對旗下設備修補今年第一個零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在一月底農曆新年過年之前，蘋果對於旗下產品發布作業系統更新，範圍涵蓋電腦、行動裝置、穿戴裝置、影音播放裝置，但引起外界關注的是，其中已有一項漏洞被用於實際的攻擊行動。</p> <p>針對這項漏洞的資訊，蘋果並未透露太多資訊，僅表示遭到攻擊的裝置存在共通點，那就是它們搭配的作業系統早於iOS 17.2版。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167181"><strong style="font-size: 22px;">蘋果修補存在電腦與行動裝置的零時差漏洞，傳出已用於攻擊iPhone用戶</strong></a></p> <p>1月27日蘋果針對旗下電腦、行動裝置、穿戴裝置、影音播放裝置發布macOS Sequoia 15.3、iOS 18.3、iPadOS 18.3、watchOS 11.3、visionOS 2.3、tvOS 18.3作業系統更新，當中修補一項已被用於實際攻擊行動的高風險漏洞CVE-2025-24085而引起關注，因為這是蘋果今年首度修補的零時差漏洞。</p> <p>這項零時差漏洞出現在CoreMedia元件，屬於記憶體釋放後再被利用（Use After Free）類型的弱點，攻擊者有機會透過惡意應用程式觸發，從而提升權限，該公司表示已透過改善記憶體管理機制來緩解。此漏洞的CVSS風險評為7.8，位居高風險的威脅層級，美國網路安全暨基礎設施安全局（CISA）於1月29日將其加入已被利用的漏洞列表（KEV），並要求聯邦機構必須於2月19日前完成修補。</p> <p>值得留意的是，蘋果表示他們掌握這項弱點被用於攻擊iPhone的情況，這些被鎖定的目標有個共通點，它們搭配的iOS作業系統都是早於17.2版。至於究竟有多少用戶受害？該公司並未進一步說明。</p> <p><a href="https://www.ithome.com.tw/news/167183"><strong style="font-size: 22px;">合勤CPE設備存在零時差漏洞，傳出已被用於散布殭屍網路Mirai變種</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/67994153bf8f21608a6aa4df_67994148e9c3140e692128d0_Screenshot20atE2AFPM.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/67994153bf8f21608a6aa4df_67994148e9c3140e692128d0_Screenshot20atE2AFPM.png" style="float: right; width: 300px;" /></a></p> <p>去年7月底資安業者VulnCheck揭露一批可被用於作為初始入侵管道的漏洞，其中一個存在於合勤科技（Zyxel Communications）CPE通訊設備的漏洞CVE-2024-40891，引起資安業者GreyNoise的注意，因為這項漏洞迄今並未得到修補，也沒有公開相關細節，但他們近期察覺有人將其用於散布殭屍網路Mirai變種的情況。對此，我們也向合勤科技的關係企業兆勤科技（Zyxel Networks）詢問此事，該公司初步表示，此批受影響的設備生命週期已經結束（EOL）多年，現行產品線不受影響。</p> <p>針對這起攻擊行動發現的過程，GreyNoise安全研究暨偵測工程資深經理Glenn Thorpe表示，他們最初在1月21日發現這項漏洞被積極利用的現象，攻擊者利用這項重大層級的命令注入漏洞，針對合勤旗下的CPE系列網路設備發動攻擊，從而在這些設備執行任意命令，從而完全滲透系統、資料洩漏，或是入侵網路環境。GreyNoise研究團隊透過物聯網裝置搜尋引擎Censys尋找曝險裝置，結果他們找到超過1,500臺合勤設備，這些設備大部分位於菲律賓，但土耳其、英國、法國也有裝置曝險。</p> <p><a href="https://www.ithome.com.tw/news/167169"><strong style="font-size: 22px;">爆紅中國AI服務DeepSeek資料庫配置錯誤，機敏事件記錄資料外洩</strong></a></p> <p>中國人工智慧公司DeepSeek因其模型DeepSeek-R1表現亮眼而備受關注，不過，雲端資安公司Wiz研究團隊發現，DeepSeek服務存在重大資安漏洞，導致大量機密日誌資料外洩。研究人員在進行例行性安全評估時，發現DeepSeek的ClickHouse資料庫對外開放，未設定任何身分驗證機制，允許任何人存取內部資料，甚至掌握完整的資料庫控制權限。</p> <p>Wiz研究人員Gal Nagli表示，他們透過網域探測技術發現DeepSeek旗下多個公開網域，其中部分開放特定HTTP連接埠，進一步檢測後確認ClickHouse資料庫可透過9000及8123連接埠直接存取，且無需提供任何驗證資訊。這個資料庫包含超過百萬筆事件記錄資料，涵蓋聊天記錄、API金鑰、內部服務資訊、目錄結構與營運相關細節。更具風險的是，研究人員發現該ClickHouse資料庫允許透過HTTP介面執行任意SQL查詢，攻擊者不僅能存取內部資料，還可能透過特定查詢獲取機密資訊，進一步擴大攻擊影響範圍。</p> <p><strong style="font-size: 22px;">欣興電子、美亞鋼鐵、南亞電路板發布重大訊息，證實部分資訊系統遭遇網路攻擊</strong></p> <p>從上週末到今天，陸續有三家上市高科技製造業公司發布重大訊息，分別是：<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=213800&SPOKE_DATE=20250201&COMPANY_ID=3037">欣興電子</a>、<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=151432&SPOKE_DATE=20250202&COMPANY_ID=2020">美亞鋼鐵</a>、<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=62021&SPOKE_DATE=20250203&COMPANY_ID=8046">南亞電路板（南電）</a>，揭露有部分資訊系統遭遇網路攻擊的情況，並表示他們已啟動相關防禦機制因應，對於公司營運影響有限。</p> <p>值得一提的是，欣興電子與南亞電路板兩家PCB廠商之所以發布重訊，都是因為位於中國的子公司遭遇網路攻擊，欣興電子公告的部分，是子公司聯能科技遭受勒索軟體攻擊，另一家有資安事故的企業南亞電路板，則是揭露昆山子公司偵測到攻擊行為後，資訊部門啟動復原作業。兩起事故敘述方式雖然不同，但由於勒索軟體通常會造成企業資料遭綁架而必須執行資料復原作業，因此，很難不讓人聯想兩者可能是同類型的資安事故。</p> <p>美亞鋼鐵提及他們的網頁受到攻擊，並表示根據他們的初步評估，沒有個資或內部文件外洩的情況，依此判斷應該不是勒索軟體攻擊。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-syncjacking-attack-hijacks-devices-using-chrome-extensions/">資安業者揭露瀏覽器同步挾持手法Syncjacking，攻擊者可藉由惡意延伸套件控制電腦</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-aquabotv3-botnet-malware-targets-mitel-command-injection-flaw/">殭屍網路病毒Aquabot鎖定Mitel網路電話而來，利用命令注入漏洞滲透設備</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/indian-tech-giant-tata-technologies-hit-by-ransomware-attack/">印度科技龍頭Tata證實遭遇勒索軟體攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/mizuno-usa-says-hackers-stayed-in-its-network-for-two-months/">運動用品製造商Mizuno美國子公司證實遭到入侵，駭客在內部網路環境活動長達2個月</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/backdoor-found-in-two-healthcare-patient-monitors-linked-to-ip-in-china/">美國警告中國醫療設備恐存在後門，將病人資料外流</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167148"><strong style="font-size: 22px;">速霸陸車聯網存在重大漏洞，攻擊者恐遠端控制車輛</strong></a></p> <p>資安研究人員Shubham Shah與Sam Curry發現，速霸陸（Subaru）車聯網系統Starlink的管理面板存在重大安全漏洞，此漏洞允許攻擊者利用車主個人基本資訊對車輛進行遠端控制，包括啟動引擎、解鎖車門，以及查詢精確到5公尺內的車輛歷史位置記錄。該漏洞影響範圍廣泛，涵蓋所有美國、加拿大及日本連接Starlink的車輛。經研究人員回報後，速霸陸已在24小時內完成修補，並聲明未發現有惡意濫用的情況。</p> <p>此次安全事件的核心問題在於，攻擊者只需極少的車主資訊例如姓氏和郵遞區號，便能存取並控制特定車輛。此外，管理面板還可存取車主的個人資料，如地址、緊急聯絡人及帳單資訊，甚至能查詢過去一年車輛位置記錄。這些資訊的洩露不僅侵犯個人隱私，更可能被有心人士用於惡意目的，例如精確追蹤車輛位置。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167184"><strong style="font-size: 22px;">行政院要求公務機關全面禁用AI服務DeepSeek</strong></a></p> <p>近期受到外界關注的DeepSeek，行政院在今天宣布，基於國家資通安全考量，公務機關全面禁用DeepSeek AI服務。</p> <p>在農曆過年假期間，數位部就已緊急宣布全面禁用DeepSeek AI服務，以確保國家資通安全。今天為假期過後的開工第一天，行政院長卓榮泰召開政務會議，包括行政院副院長鄭麗君、秘書長龔明鑫、發言人李慧芝，以及陳時中、劉鏡清、吳誠文、陳金德、楊珍妮、季連成、史哲、林明昕等政務委員、國科會副主委陳炳宇等人與會，並就中國業者提供DeepSeek AI服務可能產生的資安疑慮討論，會後卓榮泰要求公務機關全面禁用Deepseek AI服務，以確保國家資通安全。</p> <p>卓榮泰在會議中表示，DeepSeek AI服務的資料來源取得有違反著作權法相關法規的疑慮，並且其在模型訓練上也有思考審查、限制資料的問題，此外，使用其服務可能使資料傳送至中國，在尚未釐清及排除疑慮之下，可能違反個資保護、侵害隱私，基於國家資通安全考量下，數位部已警示公務機關及關鍵基礎設施限制使用DeepSeek AI產品。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/167151"><strong>【1月24日】印度駭客組織DoNot假借提供即時通訊軟體的名義散布惡意程式</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167142"><strong>【1月23日】中國駭客入侵韓國VPN業者IPany發動供應鏈攻擊，竄改安裝程式散布後門</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167118"><strong>【1月22日】陞泰IP攝影機已知漏洞再傳遭到Mirai變種殭屍網路鎖定</strong></a></p> </div></div></div>
2025/2/3 18:05作者周峻佑https://www.ithome.com.tw/news/167185
合勤CPE設備存在零時差漏洞，傳出已被用於散布殭屍網路Mirai變種
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年7月底<a href="https://vulncheck.com/blog/initial-access-intelligence-july-2024">資安業者VulnCheck揭露一批</a>可被用於作為初始入侵管道的漏洞，其中一個存在於合勤科技（Zyxel Communications）CPE通訊設備的漏洞CVE-2024-40891，<a href="https://www.greynoise.io/blog/active-exploitation-of-zero-day-zyxel-cpe-vulnerability-cve-2024-40891">引起資安業者GreyNoise的注意</a>，因為這項漏洞迄今並未得到修補，也沒有公開相關細節，但他們近期察覺有人將其用於散布殭屍網路Mirai變種的情況。對此，我們也向合勤科技的關係企業兆勤科技（Zyxel Networks）詢問此事，該公司初步表示，此批受影響的設備生命週期已經結束（EOL）多年，現行產品線不受影響。</p> <p>針對這起攻擊行動發現的過程，GreyNoise安全研究暨偵測工程資深經理Glenn Thorpe表示，他們最初在1月21日發現這項漏洞被積極利用的現象，攻擊者利用這項重大層級的命令注入漏洞，針對合勤旗下的CPE系列網路設備發動攻擊，從而在這些設備執行任意命令，從而完全滲透系統、資料洩漏，或是入侵網路環境。GreyNoise研究團隊透過物聯網裝置搜尋引擎Censys尋找曝險裝置，結果他們找到超過1,500臺合勤設備，這些設備大部分位於菲律賓，但土耳其、英國、法國也有裝置曝險。</p> <p>對於這項弱點的揭露，Glenn Thorpe提及這項弱點起初並未登記CVE編號，去年VulnCheck首度公布時，他們是以Zyxel CPE Telnet Command Injection表示這項弱點，直到兩家資安業者合作調查攻擊事故，才確認GreyNoise觀察到的攻擊流量就是利用這項漏洞。由於已出現數量龐大的攻擊行動，兩家資安業者決定在沒有與合勤進行協調之下公開此事。</p> <p>針對攻擊行動的調查，Glenn Thorpe表示他們根據攻擊來源IP位址進行比對，確認是其中一種近期出現的Mirai變種，部分版本的殭屍網路病毒會利用CVE-2024-40891來入侵設備。</p> </div></div></div>
2025/2/3 17:02作者周峻佑https://www.ithome.com.tw/news/167183
行政院要求公務機關全面禁用DeepSeek AI服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期受到外界關注的DeepSeek，行政院在今天（2/3）宣布，基於國家資通安全考量，公務機關全面禁用Deepseek AI服務。</p> <p>在農曆過年假期間，數位部就已緊急宣布全面禁用Deepseek AI服務，以確保國家資通安全。今天為假期過後的開工第一天，行政院長卓榮泰召開政務會議，包括行政院副院長鄭麗君、秘書長龔明鑫、發言人李慧芝，以及陳時中、劉鏡清、吳誠文、陳金德、楊珍妮、季連成、史哲、林明昕等政務委員、國科會副主委陳炳宇等人與會，並就中國業者提供DeepSeek AI服務可能產生的資安疑慮討論，會後卓榮泰要求公務機關全面禁用Deepseek AI服務，以確保國家資通安全。</p> <p>卓榮泰在會議中表示，DeepSeek AI服務的資料來源取得有違反著作權法相關法規的疑慮，並且其在模型訓練上也有思考審查、限制資料的問題，此外，使用其服務可能使資料傳送至中國，在尚未釐清及排除疑慮之下，可能違反個資保護、侵害隱私，基於國家資通安全考量下，數位部已警示公務機關及關鍵基礎設施限制使用DeepSeek AI產品。</p> <p>行政院重申在2019年公布「各機關對危害國家資通安全產品限制使用原則」，要求中央及地方機關（構）、公立學校、公營事業、行政法人，以及自行或委外營運提供公眾活動或使用場地，限制使用危害國家資通安全產品。因此，要求公務機關原則全面禁用Deepseek AI服務。</p> <p>至於研究用途，數位部指出，公立大學及研究機構如有使用需求，依規定報准核可後則可使用。</p> <p>行政院政委暨國科會主委吳誠文建議，如果國內大學及研究機構有學術研究用途需求，可以不含個資及資料的電腦單機下載並斷網使用較為安全。</p> <p>行政院也要求中央目的事業主管機關督導資通安全管理法指定的關鍵基礎設施業者及政府捐助的財團法人參考辦理，確保國家資通安全。</p> <p>對於政府推動智慧國家2.0政策，擴大AI技術及應用，考量到AI技術及應用發展快速，卓榮泰也在政務會議中要求相關政務委員，加強補足AI基本法及資料治理相關法規，供公務機關、民間參考依據，以加速AI應用產業面發展。</p> </div></div></div>
2025/2/3 17:45作者蘇文彬https://www.ithome.com.tw/news/167184
蘋果修補存在電腦與行動裝置的零時差漏洞，傳出已用於攻擊iPhone用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>1月27日蘋果針對旗下電腦、行動裝置、穿戴裝置、影音播放裝置發布<a href="https://support.apple.com/zh-tw/122068">macOS Sequoia 15.3</a>、<a href="https://support.apple.com/zh-tw/122066">iOS 18.3、iPadOS 18.3</a>、<a href="https://support.apple.com/zh-tw/122071">watchOS 11.3</a>、<a href="https://support.apple.com/zh-tw/122073">visionOS 2.3</a>、<a href="https://support.apple.com/zh-tw/122072">tvOS 18.3</a>作業系統更新，當中修補一項已被用於實際攻擊行動的高風險漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-24085">CVE-2025-24085</a>而引起關注，因為這是蘋果今年首度修補的零時差漏洞。</p> <p>這項零時差漏洞出現在CoreMedia元件，屬於記憶體釋放後再被利用（Use After Free）類型的弱點，攻擊者有機會透過惡意應用程式觸發，從而提升權限，該公司表示已透過改善記憶體管理機制來緩解。此漏洞的CVSS風險評為7.8，位居高風險的威脅層級，美國網路安全暨基礎設施安全局（CISA）於1月29日<a href="https://www.cisa.gov/news-events/alerts/2025/01/29/cisa-adds-one-known-exploited-vulnerability-catalog">將其加入已被利用的漏洞列表（KEV）</a>，並要求聯邦機構必須於2月19日前完成修補。</p> <p>值得留意的是，蘋果表示他們掌握這項弱點被用於攻擊iPhone的情況，這些被鎖定的目標有個共通點，它們搭配的iOS作業系統都是早於17.2版。至於究竟有多少用戶受害？該公司並未進一步說明。</p> </div></div></div>
2025/2/3 15:17作者周峻佑https://www.ithome.com.tw/news/167181
Apple開源Xcode建置引擎Swift Build，目標統一跨平臺建置體驗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Apple<a href="https://www.swift.org/blog/the-next-chapter-in-swift-build-technologies/">宣布</a>Xcode內部使用多年的Swift Build建置引擎開源，並同步支援Linux與Windows平臺，讓Swift開發者在macOS之外的環境，也能使用相同的建置技術。這代表Swift語言的跨平臺生態系將獲得更一致的建置環境，開發者無論在何種作業系統或整合式開發環境下，都能獲得相同的開發體驗。</p> <p>Swift Build是Xcode主要的建置引擎，支援數百萬款在App Store上架的應用程式建置，也同時用於Apple自家作業系統的內部建置流程。隨著該工具以開放原始碼的形式釋出，未來將能與Swift編譯器進行更全面的協同運作，預期有助於鞏固Swift在各平臺上的應用基礎。</p> <p>Apple在宣告開源計畫的同時，也提到Swift Build其實是建立在llbuild專案的基礎之上，能夠與Swift編譯器深入協同運作。Swift Build擁有可擴充性高、產品類型支援廣泛等優勢，可以應付從函式庫到命令列工具、甚至GUI應用程式的建置需求，同時擁有較高的平行處理能力與穩定度。這些能力將讓開發者在大型專案中更有效率地進行建置，不但縮短反覆修改程式碼後的等待時間，也提升了開發專案整體的生產力。</p> <p>Swift Build的開源，最直接的影響是開發者將可直接存取與貢獻這個建置引擎的程式碼，有望在未來透過社群合作修正錯誤、最佳化以及擴充新的建置功能。對已在使用Swift的開發者而言，最大的好處在於，未來將不必再面臨Swift Package Manager（SwiftPM）與Xcode兩套建置邏輯不一致的混淆。SwiftPM在整合這套建置引擎之後，將帶來相同的建置行為與輸出結果，並減少跨平臺或跨開發工具時可能遇到的差異，也替部分過去只能在Xcode上運作的建置功能帶來更廣泛的適用性。</p> <p>Apple期望藉由社群力量推動Swift語言的進步與普及。開發團隊已釋出用以支援Swift Build的初始整合程式碼，並表示將透過拉取請求方式，在SwiftPM中逐步整合這套建置引擎。預計整合完成後，開發者將在各平臺上體驗到更一致的建置流程，之後也能以更快的速度取得新功能更新與修正。</p> <p>雖然目前仍有部分細節待完善，Apple也呼籲社群積極參與這項工作，並開放效能調校、錯誤修復以及新功能規畫等層面的討論。在社群自下而上的貢獻，Swift Build作為開放生態系的一環，也被視為串起Swift語言在伺服器端、桌面端與行動端的關鍵。</p> </div></div></div>
2025/2/3 15:35作者李建興https://www.ithome.com.tw/news/167182
OpenAI也推可自動執行多步驟線上研究的Deep Research
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI<a href="https://openai.com/index/introducing-deep-research/">推出</a>Deep Research功能，能夠整合網路上大量分散資訊，自動執行多步驟研究，最後產出報告結果。根據官方資料，該系統利用端對端的強化學習技術，經由大量針對困難瀏覽與推理任務的訓練，學會自主規畫並執行多步驟資訊搜尋流程。藉由與內建Python工具的整合，Deep Research不僅能夠繪製圖表、嵌入網站圖片，還能精確引用來源文字，以滿足研究報告對技術性與細節的需求。</p> <p>從技術層面來看，Deep Research採用了強化學習與多模態推理相結合的方法，使得系統能夠根據使用者的提示自動調整搜尋策略。該模型可以在需要時主動回溯與調整搜尋路徑，進而應對網路上資訊量龐大且複雜的內容彙整挑戰。此外，其內建的Python工具能夠動態生成與迭代圖形，並將分析結果嵌入最終的報告中。Deep Research不僅可提供資料視覺化效果，也大幅降低了人力整理資訊的負擔。</p> <p>根據OpenAI內部評估結果，在Humanity's Last Exam這項涵蓋多領域專家級問題的測試中，Deep Research取得了26.6％的準確率，相較於其他先進的語言模型，諸如OpenAI o3-mini_high 13.0％、DeepSeek-R1 9.4％與OpenAI o1 9.1％，Deep Research具有高精確的優勢。</p> <p>另一項在GAIA基準測試平臺進行的試驗顯示，在面對3個不同難度等級的問題時，Deep Research在pass@1測試中，準確率分別達到74.29％、69.06％與47.6％，平均分67.36％，而在更密集的cons@64測試下，其各難度平均準確率更達到72.57％，這些資料呈現出Deep Research在多步驟推理、網頁瀏覽與工具運用上的綜合能力。</p> <p>Deep Research目前主要提供給Pro用戶使用，未來將逐步擴展至Plus、Team與Enterprise等更多使用者。OpenAI表示，除了目前能夠存取的開放網路資料外，未來Deep Research還將連接更多專業訂閱資源與內部資料庫，以進一步提升報告資訊的豐富性與精準性。</p> <p>在去年底時，Google就在其Gemini服務中<a href="https://www.ithome.com.tw/news/166493">加入</a>了的Deep Research功能，採用Gemini 1.5 Pro模型，代使用者上網搜尋並深入研究複雜主題，生成條理清晰的報告，並支援直接匯出至Google Docs。史丹佛大學也推出類似Deep Research的研究計畫，稱之為<a href="https://storm.genie.stanford.edu">STORM</a>，採用Bing搜尋引擎尋找網路資料，助使用者編寫類似維基百科的文章。</p> </div></div></div>
2025/2/3 12:46作者李建興https://www.ithome.com.tw/news/167180
傳蘋果取消AR眼鏡計畫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>彭博<a href="https://www.bloomberg.com/news/articles/2025-01-31/apple-scraps-work-on-mac-connected-augmented-reality-glasses" target="_blank">報導</a>，蘋果可能又取消了一個AR眼鏡開發專案，使蘋果智慧眼鏡之路再添變數。</p> <p>報導指出，蘋果取消的是一個代號為N107的計畫，據說原欲用於對抗Meta的輕量型智慧眼鏡。N107細節不明，主要是外型和一般眼鏡類似，有個顯示螢幕可連結Mac電腦，但可能不含攝影機，也沒有混合實境功能。N107輕巧外型解決了Vision Pro體積龐大及3,499美元高價格的不利因素，但它不僅如此，還有個變色鏡片發揮類似Vision Pro的Eye Sight，可在偵測到使用者前方有人時顯示用戶的「數位化眼睛」，讓他人得以「看到」用戶的眼神以便用戶和外界互動。</p> <p>根據報導，N107原本設計是要連接到iPhone上執行，卻因過於耗電，不得已才改為連結Mac電腦。然而新設計在測試階段未獲得管理階層同意。</p> <p>稍早The Information<a href="https://www.ithome.com.tw/news/166804" target="_blank">報導</a>蘋果可能取消Vision Pro第二代的計畫，而改開發較低價的版本，因為定價過高及欠缺殺手級應用影響銷售量，迫使蘋果下修Vision Pro銷售預測，代工廠去年就已生產出今年需要的數量，報導指出蘋果去年底已暫停生產第一代Vision Pro（下圖），以轉為生產較低價版的Vision Pro。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0203-Apple-Vision-Pro.png" style="width: 450px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／蘋果</span></span></p> <p>如果蘋果真的未在今年公布智慧眼鏡，可能要更加落後競爭者。Meta以Quest系列站穩VR眼鏡領先者地位後，2021年<a href="https://www.ithome.com.tw/news/146641" target="_blank">推出</a>和一般眼鏡類似的智慧眼鏡Ray-Ban Stories。去年10月<a href="https://www.ithome.com.tw/news/165199" target="_blank">公布</a>的Orion（下圖）重僅100公克、更接近理想中的AR眼鏡。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0203-meta%20quest%20orion.png" style="width: 433px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Meta</span></span></p> <p>Google屢敗屢戰，專注發展智慧眼鏡作業系統Android XR，和三星<a href="https://www.ithome.com.tw/news/166517" target="_blank">合作開發</a>XR裝置Project Moohan，並在今年CES<a href="https://mashable.com/article/samsung-unpacked-xr-headset-project-moohan-teased" target="_blank">展示</a>（下圖）。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0203-samsung%20ces%2025-android%20xr-project%20moohan.png" style="width: 390px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／三星</span></span></p> </div></div></div>
2025/2/3 11:44作者林妍溱https://www.ithome.com.tw/news/167179
Mistral開源Mistral Small 3 24B，稱效能超越3倍大的Llama 3.3
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>法國AI新創公司Mistral AI上周<a href="https://mistral.ai/news/mistral-small-3/" target="_blank">公布</a>開源高速、低延遲的模型Mistral Small 3 24B，效能超越參數量3倍大的Llama 3.3 70B。</p> <p>Mistral Small 3是為了能完成80%生成式AI任務而以指令預訓練的模型，參數量240億，以便在本地部署且仍能提供強大效能。Mistral表示，Mistral Small 3比競爭模型少很多層，大幅縮短每次前向傳遞（forward pass）的時間。它在MMLU測試精準度達81%，延遲性為150 token/s。Mistral Small也是目前同類別中最有效率的模型。</p> <p>以標竿測試表現而言，Mistral Small 3在MMLU、Math、GPQA Main都超越Llama 3.1 70B和Google Gemma 2 27B，而在不同語言的MMLU測試中，Mistral Small也都超越Llama 3.1 70B及Gemma 2 27B（但落後於Qwen 2.5-32B）。</p> <p>這家新創公司指出，Mistral Small 3 24B模型適用場景包括反應快速的口語協助、低延遲的函式呼叫、微調後自建特定領域專家、以及在PC或Mac平臺上執行本地推論。經過量化（quantized）壓縮的Mistral Small 3可執行在單一顆RTX 4090或一臺具32GB RAM的MacBook上。該公司稱Mistral Small 3已有金融、醫療、機器人/自動化/製造業客戶評估中。水平使用場景則包含客服和情感與回饋分析。</p> <p>Mistral以Apache 2.0授權開源預訓練和指令微調的check point版本。這些checkpoint版本可作為其他開發人員改進的基礎。業者相信，和最近爆紅的開源推理模型像是DeepSeek類似，Small 3也可促進AI推理能力的演進。</p> <p>但Mistral提醒，Mistral Small 3不是以強化學習和合成資料訓練，因此在AI模型產製上屬於較前期結果，不像新興的DeepSeek R1那麼成熟。</p> <p>Small 3 24B模型已以Apache 2.0授權在la Plateforme開源，顯示名稱為mistral-small-latest或mistral-small-2501。Mistral AI同時也公告，該公司逐漸捨棄非傳統開源MRL授權，因而其通用模型也將改用Apache 2.0授權。因此連同Mistral Small 3，其模型權重也可開放下載於本地供自由修改和使用，或在la Plateforme開放Mistral AI本地部署及VPC環境、客製化和協同平臺、以及其推論與雲端合作夥伴平臺上以serverless API存取。需要特殊能力（像是加快速度和加大context、特定領域知識、特殊任務能力如完成程式撰寫等）的企業和開發人員，也可以在Mistral Small 3之外再使用額外的商用模型補強。</p> <p>Mistral AI也和AI平臺包括Hugging Face、Ollama、Kaggle、Together AI、IBM watsonx和Fireworks AI等合作上架Small 3模型。不久之後也會在Nvidia NIM、Amazon SageMaker、Groq、Databricks和Snowflake上架。</p> </div></div></div>
2025/2/3 10:58作者林妍溱https://www.ithome.com.tw/news/167178
OpenAI具推理能力的模型o3-mini正式推出
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼兩周前執行長Sam Altman<a href="https://www.ithome.com.tw/news/167048" target="_blank">預告</a>，OpenAI上周<a href="https://openai.com/index/openai-o3-mini/" target="_blank">宣布</a>具推理能力的小型AI模型OpenAI o3-mini，已部署到ChatGPT及API供付費方案用戶及開發人員使用。</p> <p>OpenAI是於去年12月新消息12連發中，<a href="https://www.ithome.com.tw/news/166617" target="_blank">公布</a>最新一代具推理能力的旗艦模型o3，並預告o3-mini將是最先推出的同系列模型。</p> <p>OpenAI指出，o3-mini保有OpenAI o1-mini的低成本及低延遲性，但進一步拓展小模型的效能及速度，具備優異的STEM（科學、數學和程式撰寫）能力。o1仍是OpenAI最主要的通用知識推理模型，但是在需要精準和速度的STEM領域o3-mini提供另類選擇。在ChatGPT中，o3-mini使用中等推理能力，兼顧速度和答案的精準性。</p> <p>對開發人員而言，o3 mini也是OpenAI第一個提供高呼聲開發功能的小型模型，像是函式呼叫、結構式輸入及開發人員訊息等。和o1-mini相同，o3-mini也支援串流。開發人員有低、中、高三種推理能力，可以選擇用於不同使用場景。這種彈性讓o3-mini可以在解決複雜任務時更積極思考，或是在考量延遲性時優化速度。</p> <p>根據OpenAI提供的數據，在AIME 2024數學標竿測試中，o3-mini-high推理能力等級模型得分在87.3，優於o1-preview的56.7及o1-mini的63.6。科學解題的GPQA Diamond測試中，o3-mini-high（79.7）也高於o1-preview（78.3）及o1-mini（60.0）。程式競賽測試（Codeforces）及軟體工程（SWE-bench Verified）測試中，o3-mini-high也都高過另二個前代模型。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0203-OpenAI%20o3-mini_Competition%20Math%20(AIME%202024).png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／OpenAI</span></span></p> <p>o3-mini現在也能整合搜尋功能，可提供即時網頁答案及連結。OpenAI說致力於將搜尋整合至所有推理模型，o3-mini是早期原型。</p> <p>不過目前o3並不支援視覺功能，需要的用戶還是得繼續使用o1-mini。</p> <p>o3-mini現在已部署到ChatGPT及API。API部分，即日起o3-mini已經部署到API使用層級3到5特定開發人員的Chat Completions API、Assistants API及Batch API。</p> <p>在ChatGPT部分，Plus、Team和Pro用戶現在就可以存取o3-mini，企業方案用戶2月可以開始使用。在模型選擇器中的o1-mini將由o3-mini取代，提供更高速限和更低延遲性。Plus和Team用戶每天互動訊息，由o1-mini的50則提高為o3-mini的150則。所有付費用戶都可以在模型選擇器，選擇回應時間耗時較久的o3-mini-high，Pro用戶則可以無上限選擇o3-mini及o3-mini-high。</p> <p>免費方案用戶也可以試用o3-mini，方法是選擇訊息輸入列的「Reason」圖示。o3也是第一個提供給免費ChatGPT用戶的推理模型。</p> <p>OpenAI指出，由於持續提升模型數理推理能力，和GPT-4相比，現在OpenAI的模型每字詞使用價格已降低95%，未來該公司會持續朝此發展。</p> <p>OpenAI此舉顯然部分是回應橫空出世的中國新興開源模型DeepSeek。DeepSeek V3模型多項效能測試超越Meta Llama，令美國AI科技公司繃緊神經，加快研發及推出作業。</p> </div></div></div>
2025/2/3 10:09作者林妍溱https://www.ithome.com.tw/news/167177
功率達1,250瓩，施耐德電機增設佔地1.2平方公尺的三相UPS
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/shi_nai_de_galaxy_vxl_ups_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼2021年上半施耐德電機（Schneider Electric）推出三相不斷電系統（3 Phase UPS）<a href="https://www.ithome.com.tw/review/145010">Galaxy VL系列</a>，2024年12月初該公司終於發表新款產品Galaxy VXL系列，這批解決方案主打高效率、體型緊緻、延展性、備援，可涵蓋500至1,250瓩（千瓦，kW）的電力，提供強化的資安、軟體與安全性特色，僅需1.2平方公尺的佔地面積，就供電功率密度而言，每平方公尺可達1,042瓩，而且，在世界各地設置時，均可供應400伏特的電壓，具有最高等級的電力傳輸效能，可因應AI、主機代管、超大型資料中心，以及商業建築物與工業廠區的巨型關鍵基礎設施、電力系統環境的營運需求。</p> <p>就最大供電能力而言，比起施耐德電機既有的資料中心三相UPS產品，Galaxy VXL系列僅次於<a href="https://www.ithome.com.tw/review/113818">2017年推出的Galaxy VX系列（500至1,500瓩）</a>。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Galaxy VXL-2024-12-announced.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Galaxy%20VXL-2024-12-announced.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-Galaxy%20V%20Series.jpg" style="width: 298px;" /> <a href="https://s4.itho.me/sites/default/files/images/2024-12-Galaxy V Series.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-12-Galaxy%20V%20Series.jpg" style="width: 298px;" /></a></p> <p>在擴充能力與負載容錯的設計上，Galaxy VXL系列能透過置入3U機架高度、配備125瓩（12.5萬瓦）的供電模組（Power Module），逐步增加UPS電量，而且支援熱插拔（Live Swap）；</p> <p><a href="https://s4.itho.me/sites/default/files/images/Ga%3Baxy VXL-Power Modules.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Ga%3Baxy%20VXL-Power%20Modules.jpg" style="width: 298px;" /></a><a href="https://s4.itho.me/sites/default/files/images/Galaxy VXL UPS 125 kW Power Module%2C 400V.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Galaxy%20VXL%20UPS%20125%20kW%20Power%20Module%2C%20400V.jpg" style="width: 298px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-12-10-Galaxy%20VXL.jpg" style="width: 298px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/Galaxy%20VXL-Power%20Modules.jpg" style="width: 298px;" /></p> <p>若以單座UPS機櫃而言，Galaxy VXL系列可供應125萬瓦的電力（可置入10臺供電模組），最大可並聯運行（Paralleling）4座UPS機櫃（佔地面積4.8平方公尺），供應500萬瓦電力。</p> <p>關於確保UPS持續運作的機制上，Galaxy VXL系列可支援N+1備援可將系統可用性的層級提升至10倍。除此之外，這套產品採用模組化擴充架構，企業可添購所需的電力模組而能減少資本支出（CapEx），而能獲得能源使用效率，並且依據需求增長而加入更多電力模組。</p> <p>相較於業界平均尺寸而言，Galaxy VXL系列小了52％，施耐德電機表示，就典型的1250萬電力需求的資料中心運作，而且是以2N備援架構設置UPS時，Galaxy VXL系列比起其他競爭產品可節省26平方公尺的佔地面積，潛在的基礎設施成本節省金額可達25萬美元。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Galaxy%20VXL-floor.jpg" style="width: 400px;" /></p> <p>Galaxy VXL系列的採用，也能增進電力運轉與能源使用效率，有助於降低用戶的總體持有成本。舉例來說，若使用三相UPS預設的雙轉換模式，電力供應效率為97.5％，由於這套UPS還支援施耐德電機特有的<a href="https://www.se.com/tw/zh/work/products/product-launch/econversion-high-efficiency-ups-mode/">經濟轉換模式（eConversion mode）</a>，此時電力供應效率可達99％，能提供1級電力保護能力，而且碳排放量減少幅度可提升至兩倍。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/SE-UPS-MODE.jpg" style="width: 298px;" /> <a href="https://s4.itho.me/sites/default/files/images/Galaxy VXL-efficiency.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Galaxy%20VXL-efficiency.jpg" style="width: 298px;" /></a></p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/G3uU5loDBx8?si=IphH5_OBijTBYP_-" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p><a href="https://s4.itho.me/sites/default/files/images/SE UPS eConversion savings over 10 years.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SE%20UPS%20eConversion%20savings%20over%2010%20years.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong><span style="color:#0000FF;">施耐德電機Galaxy VXL</span></strong><br /> ●原廠：施耐德電機<br /> ●建議售價：廠商未提供<br /> ●供電能力：50萬瓦、62.5萬瓦、75萬瓦、87.5萬瓦、100萬瓦、112.5萬瓦、125萬瓦<br /> ●輸出入電壓：380/400/415 V<br /> ●連接方式：4線，3相+中性線+接地<br /> ●電池規格：480到576V，閥控鉛酸電池、鋰離子電池<br /> ●電源效率：雙轉換模式為97.5%，經濟轉換模式為99%，經濟模式為99%<br /> ●擴充性：從50萬瓦起，能以12.5萬瓦為單位擴充至112.5萬瓦，可設置112.5萬瓦（N+1備援）<br /> ●外形：白色機櫃，寬高深為120 x 197 x 100公分</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/2/2 22:39作者李宗翰https://www.ithome.com.tw/review/167170
OpenAI推出ChatGPT Gov，助美國政府安全部署AI提升行政效率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI宣布推出名為<a href="https://openai.com/global-affairs/introducing-chatgpt-gov/">ChatGPT Gov</a>的新服務，讓美國政府單位可在微軟Azure環境，包含商用雲與政府雲中自行部署對話式人工智慧工具，供政府單位在採用人工智慧模型提升行政效率與生產力的同時，仍可維持安全性、隱私性與符合法遵要求。此服務並非將資料放在公共雲端，而是採用自我部署（Self-hosting）的方式，讓情報、公共衛生、基礎建設等需處理高度敏感資訊的單位，能自行掌控系統環境，更順利落實資安策略與風險控管。</p> <p>ChatGPT Gov提供政府單位類似ChatGPT Enterprise的功能，包含文字解析、程式碼撰寫、影像解析，以及協助進行各類複雜運算的GPT-4o模型。另有專用的行政管理控制臺，方便IT團隊監控使用者與群組、單一登入（SSO）等環境設定。OpenAI也針對有需求的政府機關開放自訂GPT功能，讓相關單位能根據既有工作流程與資料類型調整語言模型回應方式。</p> <p>OpenAI指出，美國公部門員工累計已使用ChatGPT生成1,800萬筆訊息，顯示政府機構對此類人工智慧服務的實際需求。</p> <p>根據官方資料顯示，許多機構已先行測試並整合相關服務。美國空軍研究實驗室用其來簡化行政作業與程式碼產出；洛斯阿拉莫斯國家實驗室則嘗試將GPT-4o用於先進科學研究與驗證，並評估其應用在生物科學實驗的安全面向。明尼蘇達州翻譯部門藉由此對話式系統，改進多語言翻譯的速度與精確度，降低執行成本。賓州更在一項人工智慧試驗計畫中，觀察到公務員每天使用後可節省一個多小時的例行作業時間。</p> <p>OpenAI表示，除了提供這套服務，後續也將持續爭取美國政府常見的法遵與資安認證，包括FedRAMP中度（Moderate）與高度（High）認證，並評估部署至Azure機密區域的選項。官方強調，此舉是讓公部門在維護民主價值與公共利益的前提下，善用最新的人工智慧工具強化公共服務，同時降低國安及資訊風險。</p> </div></div></div>
2025/1/31 18:44作者李建興https://www.ithome.com.tw/news/167172
Hugging Face逆向工程DeepSeek-R1，將打造開放推理模型Open-R1
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國人工智慧公司所開發的DeepSeek-R1模型發布以來，相對低廉的硬體與訓練成本就能展現高水準推理能力，在市場引發極大震盪。Hugging Face現正根據DeepSeek所公布的研究內容進行逆向工程，試圖推出名為<a href="https://huggingface.co/blog/open-r1">Open-R1</a>的開放版本，期望在透明、可驗證的環境下讓研究社群能更深入了解該突破性技術。</p> <p>由於DeepSeek-R1以遠低於市場預期的成本達到與先進模型相近的推理表現，業界與學界都希望能了解技術全貌，但DeepSeek未公開完整的訓練資料集與程式碼，使得外界對其稱為開源模型的真實性存有疑慮。Hugging Face工程師認為，如果只釋出模型權重與部分技術報告，仍不足以滿足真正的開放標準，因而決定透過逆向工程與大規模協作，建置完整可供研究者自行驗證與調整語言模型，成為推理模型的開放訓練工作管線與資料集。</p> <p>深度學習社群之所以對此舉格外關注，主要是因為DeepSeek-R1在數學、程式開發與科學領域的推理能力，甚至能與知名的OpenAI o1模型一較高下，而開發成本卻聲稱僅有美國人工智慧公司花費的一小部分。一旦Hugging Face成功重現Open-R1，研究人員將可確切掌握其中關鍵架構、訓練步驟，以及在有限硬體資源下達到高效訓練的方法。</p> <p>目前Hugging Face團隊的做法，是先分析DeepSeek發布的技術報告與模型論文，並嘗試從現有權重中推斷其訓練配方與資料分布。由於DeepSeek並未開放完整的資料集與程式碼，Hugging Face 需要召集志願者，共同整理出可供公開使用的高品質推理資料，藉此復刻或接近DeepSeek-R1所使用的多階段訓練策略。</p> <p>當Open-R1順利出爐，將不只是一個DeepSeek-R1複製品，更可能在技術透明度與研究價值上進一步超越原始模型。Open-R1可供任何人檢閱並改良強化學習流程、語言模型結構以及推理邏輯。這對需要確保模型輸出精度與可控性的企業而言相當重要，也進一步突顯了開源社群在推動人工智慧產業發展時所扮演的關鍵角色。</p> <p>Open-R1模型的訓練將使用Hugging Face的<a href="https://huggingface.co/science">Science Cluster</a>運算資源，該叢集有96個節點，每個節點有8張顯示卡，共768顆Nvidia H100可用於密集訓練，Hugging Face預計在數周內推出第一個可公開測試的原型版本。</p> </div></div></div>
2025/1/31 16:02作者李建興https://www.ithome.com.tw/news/167171
加入公雲自研處理器行列，GCP推出高效能Arm執行個體
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/google_cloud_c4a-main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這7年來，全球三大公有雲相繼投入伺服器處理器的研發，最初是<a href="https://press.aboutamazon.com/2018/11/aws-announces-new-amazon-ec2-instances-and-networking-enhancements">AWS在2018年底基於首款自行研發的處理器Graviton</a>，推出執行個體服務A1，<a href="https://www.ithome.com.tw/review/165346">如今Graviton已發展到第四代</a>；<a href="https://azure.microsoft.com/en-us/blog/microsoft-azure-delivers-purpose-built-cloud-infrastructure-in-the-era-of-ai/">微軟2023年底宣布將自行研發Arm架構處理器Azure Cobalt 100</a>，2024年10月正式推出<a href="https://www.ithome.com.tw/review/166337">基於這款處理器的執行個體服務</a>；Google Cloud Platform （GCP）也在<a href="https://cloud.google.com/blog/products/compute/introducing-googles-new-arm-based-cpu">2024年4月宣布將自行研發Arm架構處理器Axion</a>，10月底正式推出<a href="https://cloud.google.com/blog/products/compute/try-c4a-the-first-google-axion-processor">基於這款處理器的執行個體服務C4A</a>，今年1月下半，他們宣布<a href="https://cloud.google.com/blog/products/compute/first-google-axion-processor-c4a-now-ga-with-titanium-ssd">C4A的儲存裝置可搭配Google Cloud自行設計的固態硬碟Titanium SSD</a>。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-08-12_Google_Cloud_Next_2024_w0BSeaK_max-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-08-12_Google_Cloud_Next_2024_w0BSeaK_max-web.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2024-04-image1_Ab4940U_max-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-04-image1_Ab4940U_max-web.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/GCP VM-202501.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GCP%20VM-202501.jpg" style="width: 600px;" /></a></p> <p>Google Cloud Axion處理器的研發，主要是建立在<a href="https://www.ithome.com.tw/tech/154357">Arm Neoverse V2平臺</a>而成，這套矽智財採用<a href="https://www.arm.com/zh-TW/products/silicon-ip-cpu/neoverse/neoverse-v2">Armv9架構</a>，鎖定最高等級運算效能的處理器設計需求。而在用於執行個體服務時，Axion也將搭配Google Cloud發展的Titanium系統架構，基本上，這套系統包含多個專屬微控制器，並且具備分層存取、橫向擴展執行規模的卸載能力，可幫忙分攤網路與資安防護負擔，促使Axion保留更多效能因應用戶的工作負載，Titanium也能將儲存I/O處理卸載至Google Cloud的區塊儲存服務Hyperdisk，以便將儲存效能的高低與執行個體規模的大小脫鉤，便於彈性擴充，也能動態即時產生、馬上搭配使用。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Arm Neoverse V2-2023-08-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Arm%20Neoverse%20V2-2023-08-1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Arm Neoverse V2-2023-08-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Arm%20Neoverse%20V2-2023-08-2.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Arm Neoverse V2-2024-05.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Arm%20Neoverse%20V2-2024-05.jpg" style="width: 600px;" /></a></p> <p>關於效能表現，Google Cloud根據2024年3月底的內部測試資料表示，相較於當前雲端領域運算速度最快的一般用途Arm執行個體，採用Axion的執行個體領先幅度可達30％；對比當前世代的x86執行個體，採用Axion的執行個體的效能領先幅度可達50％，能源使用效率改善幅度為60％。</p> <p>Google Cloud會在哪些服務採用Axion處理器？在4月發表時，該公司預告會用於Google Compute Engine（GCE）、Google Kubernetes Engine（GKE）、Dataproc、Dataflow、Batch等；<a href="https://cloud.google.com/blog/products/compute/introducing-googles-new-arm-based-cpu">BigTable、Spanner、BigQuery、 Blobstore、Pub/Sub、Google Earth Engine、YouTube影片廣告等服務，已經執行在Arm伺服器之上</a>，未來計畫擴大服務規模而將很快採用Axion。</p> <p>而在用戶工作負載的類型上，Google Cloud認為，Axion能為一般用途工作負載提供顯著的效能增長，可涵蓋多種IT系統，包含：網站與應用系統伺服器、容器化微服務、開放原始碼資料庫、採用記憶體內架構（in-memory）的快取系統、資料分析引擎、多媒體處理系統、純CPU的AI訓練與推論處理系統。</p> <p><a href="https://s4.itho.me/sites/default/files/images/GCP-GP-VM-202501.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GCP-GP-VM-202501.jpg" style="width: 600px;" /></a></p> <p>時至2024年10月底，Google Cloud首批採用Axion處理器的執行個體正式C4A上線，已在全球7個區域資料中心供應，包含：愛荷華州（us-central1）、北維吉尼亞州（us-east4）、南卡羅萊納州（us-east1）、比利時（europe-west1）、荷蘭（europe-west4）、法蘭克福（europe-west3）、新加坡（asia-southeast1）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/C4A-2024-10-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/C4A-2024-10-1.jpg" style="width: 600px;" /></a></p> <p>Google Cloud主打C4A提供哪些使用效益？比起其他雲端業者提供的Arm執行個體，C4A的性價比領先10％；若以現行世代的x86執行個體為基準，C4A的性價比增加65％，能源使用效率提升60％。</p> <p><a href="https://s4.itho.me/sites/default/files/images/C4A-2024-10-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/C4A-2024-10-2.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-10-1_k2AxCv3_max.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-10-1_k2AxCv3_max.jpg" style="width: 600px;" /></a></p> <p>此時Arm也揭露C4A多項AI效能測試數據。以Llama 3.1 8B這個大型語言模型推論而言，針對提示處理與詞元生成的應用，<a href="https://community.arm.com/arm-community-blogs/b/servers-and-cloud-computing-blog/posts/ai-inference-on-google-axion-cpu">比起現行的x86執行個體，可提供兩倍的效能。</a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-10-Arm-Llama CPP_Google Axion_Arm Inference Blog.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-10-Arm-Llama%20CPP_Google%20Axion_Arm%20Inference%20Blog.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2024-10-Arm-BERT_Google Axion_Arm Inference Blog.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-10-Arm-BERT_Google%20Axion_Arm%20Inference%20Blog.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-10-Arm-RESNET_Google Axion_Arm Inference Blog.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-10-Arm-RESNET_Google%20Axion_Arm%20Inference%20Blog.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2024-10-Arm-0576_XGBoost Prediction_Google Axion_Arm Inference Blog.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-10-Arm-0576_XGBoost%20Prediction_Google%20Axion_Arm%20Inference%20Blog.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2024-10-Arm-1781_XGBoost Training_Google Axion_Arm Inference Blog.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-10-Arm-1781_XGBoost%20Training_Google%20Axion_Arm%20Inference%20Blog.jpg" style="width: 198px;" /></a></p> <p>若要在Google Cloud經營的多種雲端服務使用C4A，除了依先前規畫能在GCE、GKE、Batch、Dataproc，Dataflow搭配C4A的使用進入預覽階段，CloudSQL、AlloyDB等服務的C4A支援很快就會推出。至於預告將導入Axion的Google多種服務，也已經開始將Axion伺服器用於正式環境。</p> <p><a href="https://s4.itho.me/sites/default/files/images/GCP C4A-list.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GCP%20C4A-list.jpg" style="width: 600px;" /></a></p> <p>關於網路的配置，C4A提供的標準（預設）頻寬為50 Gbps，最高可選擇搭配100 Gbps的Tier_1網路，支援高流量的應用系統；儲存的部分，可搭配Hyperdisk Balanced或Hyperdisk Extreme，最高可提供35萬IOPS與5 GB/s的吞吐量。</p> <p>今年1月下半，Google Cloud率先在C4A增設自研固態硬碟Titanium SSD的本機儲存選項，根據該公司的內部測試，在這樣的執行個體當中，<a href="https://cloud.google.com/blog/products/compute/first-google-axion-processor-c4a-now-ga-with-titanium-ssd">可提供240萬IOPS的隨機讀取效能，以及10.4 GiB/s的讀取吞吐量</a>；若對照前一代SSD，存取延遲可降低35％。而就目前Google Cloud可供應C4A的全球雲端區域資料中心而言，也增加1座：倫敦（europe-west2）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/GCPGP-202501-list.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GCPGP-202501-list.jpg" style="width: 600px;" /></a></p> <p><strong><span style="color:#008080;">產品資訊</span></strong></p> <p><strong><span style="color:#0000FF;">Google Cloud C4A</span></strong><br /> ●原廠：Google Cloud<br /> ●建議售價：c4a-standard-1，asia-southeast1（新加坡）區域預估每月費用為40.424376486美元<br /> ●採用處理器：Google Axion<br /> ●提供服務規模選擇與最大組態：<br /> C4A standard（每顆CPU對應4GB記憶體）、C4A highcpu（每顆CPU對應2GB記憶體）、C4A highmem（每顆CPU對應8GB記憶體），<br /> c4a-highmem-72-lssd，72顆虛擬處理器、576 GB記憶體、網路頻寬最高為50 Gbps，儲存搭配平衡Hyperdisk（每臺虛擬機器最多掛載32臺硬碟）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/1/31 00:08作者李宗翰https://www.ithome.com.tw/review/166989
Apple Silicon存在SLAP與FLOP側通道攻擊，恐洩漏用戶機敏資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>喬治亞理工學院研究團隊<a href="https://predictors.fail/">揭露</a>兩個針對Apple Silicon晶片的全新微架構側通道攻擊手法，分別命名為SLAP與FLOP，這兩個漏洞可能導致使用者在瀏覽網頁時，機敏資訊遭到未經授權的第三方竊取，影響範圍涵蓋近年推出的Mac、iPhone及iPad等產品。</p> <p>SLAP與FLOP攻擊的關鍵，在於利用Apple Silicon晶片中負責最佳化資料處理流程的預測機制。具體來說，SLAP濫用的是載入位址預測器（Load Address Predictor，LAP），該機制會根據過往的記憶體存取模式，預測CPU下一個可能讀取的記憶體位址，提高記憶體存取的效率。而FLOP則是濫用載入值預測器（Load Value Predictor，LVP），其會嘗試預測從記憶體讀取到的數值，來加速與該數值相關的運算。</p> <p>這兩個預測器用途在於加速資料處理速度、提升整體效能，不過研究人員發現，當預測發生錯誤時，綜合CPU的推測執行（Speculative Execution）機制，以及現行架構下對於錯誤預測的資料處理流程隔離不足，衍生出可被利用的資訊洩漏破口。</p> <p>在推測執行的狀態下，即使LAP或LVP的預測結果是錯誤的，CPU仍會基於這些錯誤的預測值，預先執行後續的指令。儘管這些基於錯誤預測而執行的運算最終會被捨棄，但過程中CPU存取到的錯誤記憶體位址或使用的錯誤資料，會在CPU微架構狀態留下痕跡，例如快取記憶體的狀態變化。而這些細微的變化，就可能被攻擊者利用特定的側通道手法，例如分析時間差異，來推斷出原本不應該被存取的資訊。</p> <p>在Safari瀏覽器，SLAP可讓攻擊者讀取受害者在Proton Mail收件匣中的郵件標題與寄件者資訊、瀏覽紀錄、行事曆活動，甚至信用卡資訊，因為這些資料可能與攻擊者的惡意網頁共用相同的處理程序。而FLOP更進一步擴大影響Chrome瀏覽器，透過操控JavaScript和WebAssembly的類型檢查機制，使攻擊者能繞過安全防護，讀取瀏覽器記憶體中的任意資料，可能包含網站登入憑證、支付資訊及其他機敏資料。</p> <p>這兩種攻擊可透過瀏覽器執行惡意JavaScript程式碼，即便使用者並未下載或安裝任何惡意軟體，只要存取了特定的惡意網頁，攻擊者便可利用包括M2、M3、A15、A16、A17等Apple Silicon處理器的推測執行機制竊取資料，甚至突破Chrome瀏覽器網站之間的隔離防護，影響Apple幾乎所有自2021年起推出的Mac、iPhone和iPad產品。</p> <p>儘管Apple已承諾釋出安全更新，但FLOP的部分緩解措施需要應用程式開發商修改軟體才能有效實施，這表示短期內仍存在相當大的風險。使用者應確保作業系統與瀏覽器保持最新版本，避免瀏覽不明來源的網站，並啟用Chrome網站隔離功能，以降低攻擊成功的可能性。</p> </div></div></div>
2025/1/30 18:38作者李建興https://www.ithome.com.tw/news/167168
爆紅中國AI服務DeepSeek資料庫配置錯誤導致機密日誌外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國人工智慧公司DeepSeek因其模型DeepSeek-R1表現亮眼而備受關注，不過，雲端資安公司Wiz Research研究團隊<a href="https://www.wiz.io/blog/wiz-research-uncovers-exposed-deepseek-database-leak">發現</a>，DeepSeek服務存在重大資安漏洞，導致大量機密日誌資料外洩。研究人員在進行例行性安全評估時，發現DeepSeek的ClickHouse資料庫對外開放，未設定任何身分驗證機制，允許任何人存取內部資料，甚至具備完整的資料庫控制權限。</p> <p>Wiz Research透過網域探測技術，發現DeepSeek旗下多個公開網域，其中部分開放了非標準的HTTP連接埠，進一步檢測後確認ClickHouse資料庫可透過9000及8123連接埠直接存取，且無需提供任何驗證資訊。這個資料庫包含超過百萬筆日誌紀錄，涵蓋聊天記錄、API金鑰、內部服務資訊、目錄結構與營運相關細節。更具風險的是，研究人員發現該ClickHouse資料庫允許透過HTTP介面執行任意SQL查詢，攻擊者不僅能存取內部資料，還可能透過特定查詢獲取機密資訊，進一步擴大攻擊影響範圍。</p> <p>ClickHouse是一款高效能的開源欄式資料庫，主要用於即時資料分析與日誌儲存。不過，由於其開放性及高度自訂能力，一旦配置不當，極可能成為潛在資安漏洞。DeepSeek未經身分驗證的ClickHouse伺服器，不僅洩漏人工智慧模型的內部運作細節，還能讓攻擊者取得敏感業務資料，甚至是人工智慧聊天機器人的使用者對話紀錄。</p> <p>Wiz Research在發現漏洞後，立即聯繫DeepSeek通報此問題，對方也迅速確認並修復相關安全設定。隨著越來越多新創公司與服務供應商推出人工智慧工具與服務，企業導入人工智慧技術的速度也在加快，研究人員提醒，這樣的過程本質上代表企業將敏感資料託付給人工智慧供應商管理，因此確保資料安全應是企業導入人工智慧服務時的首要考量。</p> <p>同時，研究人員也提醒人工智慧公司，隨著人工智慧技術已成為關鍵基礎設施，除了聚焦於模型效能與創新，基礎架構的安全性同樣至關重要。人工智慧供應商應加強基礎架構安全機制，特別是在處理敏感資料時，應比照公有雲與企業級IT基礎設施環境的安全標準，強化存取控制機制與監控管理。</p> </div></div></div>
2025/1/30 19:05作者李建興https://www.ithome.com.tw/news/167169
搶攻邊緣運算網路商機，HPE半寬尺寸交換器正式登場
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/hpe_aruba_networking_cx_8325h_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著數位轉型的持續推動，需要用到伺服器虛擬化與超融合基礎架構、軟體定義儲存系統、視訊監控系統、資安系統等解決方案，並不只是企業總部的資料中心，散落在多個地點的區域分公司、分支辦公室、廠區，可能也都需要建置小型IT基礎架構，因應有限的環境空間與電力配置條件，所以，一些IT系統廠商會設立體積小、高性能的產品線，以便針對邊緣資料中心的設置需求。</p> <p>而在網路交換器的部分，市面上也有這類型解決方案，大多數都採用1U標準機架式或桌上型機箱，只有少數廠商提供1U半寬尺寸的交換器畸機型，像是<a href="https://www.ithome.com.tw/review/114080">Netgear M4300系列</a>、<a href="https://buy.hpe.com/us/en/storage/storage-networking/m-series-switches/m-series-switches/hpe-storage-switch-m-series-sn2100m/p/1010209402">HPE Storage Switch M-series SN2100M</a>、<a href="https://www.engeniustech.com/engenius-products/ecs5512f-cloud-managed-12-port-10-gigabit-sfp-half-rack-aggregate-fiber-switch/">EnGenius ECS5512F</a>、<a href="https://www.qnap.com/en/product/qsw-m2106pr-2s2t">QNAP QSW-M2106R-2S2T</a>，<a href="https://community.hpe.com/t5/networking/small-sites-with-limited-racks-half-width-switches-have-your/ba-p/7227757">在2024年10月底，HPE Aruba Networking預告</a>將推出半寬尺寸的高效能網路交換器CX 8325H，並表明這是專為傳統小型資料中心園區網路，以及小型邊緣運算環境或主機代管站點而設計的產品，可因應有限的網路埠設置密度與機櫃空間。<a href="https://www.hpe.com/us/en/newsroom/press-release/2025/01/hpe-aruba-networking-doubles-down-on-security-first-ai-powered-networks-with-innovations-for-retailers-iot-data-collection-and-edge-processing.html">到了今年1月舉行的美國紐約零售展NRF 2025，該公司宣布</a>這款機型正式推出。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CX 8325H-2025-01-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CX%208325H-2025-01-1.jpg" style="width: 600px;" /></a></p> <p>CX 8325H可支援1GbE、10GbE、25GbE、40GbE、100GbE等多種網路介面，適合廣泛的伺服器運算與儲存網路用途，埠對埠之間的存取延遲可低於300奈秒，搭配相同的高效能ASIC晶片，以及具有完整功能的作業系統AOS-CX（10.15.1001）。AOS-CX能帶來哪些特色？像是進階的網路第二層（L2）與第三層（L3）功能組合，包含BGP、OSPF、 VRF-Lite、IPv6、動態VXLAN，以及搭配該公司發展的Aruba網路分析引擎（NAE），而能獲得的智慧型監控、網路流量與行為透視，以及矯正機制。 </p> <p><a href="https://s4.itho.me/sites/default/files/images/CX 8325H-Spec.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CX%208325H-Spec.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/CX 8325H-AOS CX.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CX%208325H-AOS%20CX.jpg" style="width: 298px;" /></a></p> <p>關於實際的產品機型，HPE Aruba Networking透露CX 8325H系列主要有兩款，分別是18個1GbE/10GbE/25GbE埠搭配4個40GbE/100GbE埠的CX 8325H-18Y4C，受益於ASIC晶片的幫忙，網路交換容量可達2.16 Tbps，</p> <p><a href="https://s4.itho.me/sites/default/files/images/CX-8325H-18P-4P-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CX-8325H-18P-4P-1.jpg" style="width: 600px;" /></a></p> <p>以及16個40GbE/100GbE埠的CX 8325H-16C，ASIC網路交換容量為4 Tbps。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CX 8325H-2025-01-16P.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CX%208325H-2025-01-16P.jpg" style="width: 600px;" /></a> </p> <p>在2025年1月，可能是為了配合NRF 2025大展的關係，HPE Aruba Networking強調CX 8325H適合零售店面架設的特色，因為這系列半寬尺寸產品可設置在空間狹窄的空間，供電與散熱需求不高（最大耗電量為500瓦），可用來連接<a href="https://www.ithome.com.tw/review/165187">HPE去年9月新推出的邊緣運算伺服器ProLiant DL145</a>，企業能透過這樣的產品組合，支援邊緣環境的AI推論，即時處理大量資料，在零售分支據點提供低延遲存取能力。</p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong><span style="color:#0000FF;">HPE Aruba Networking CX 8325H</span></strong><br /> ●原廠：HPE Aruba Networking<br /> ●建議售價：廠商未提供<br /> ●機型：CX 8325H-18Y4C front-to-back、CX 8325H-18Y4C back-to-front、CX 8325H-16C front-to-back、CX 8325H-16C back-to-front<br /> ●外形：1U半寬機箱，搭配2個固定式電源供應器（1+1）、4個固定式風扇（N+1）<br /> ●網路交換容量：CX 8325H-18Y4C front-to-back、CX 8325H-18Y4C back-to-front 為2.16 Tbps，CX 8325H-16C front-to-back、CX 8325H-16C back-to-front 為4 Tbps<br /> ●提供網路介面：<br /> CX 8325H-18Y4C front-to-back、CX 8325H-18Y4C back-to-front提供18個25GbE埠（SFP28埠）+4個40GbE/100GbE埠（QSFP28埠），<br /> CX 8325H-16C front-to-back、CX 8325H-16C back-to-front提供16個100GbE埠（QSFP28埠）<br /> ●封包緩衝記憶體容量：32 MB<br /> ●處理器：AMD 8核心<br /> ●記憶體：32 GB<br /> ●儲存裝置：128 GB固態硬碟</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/1/29 17:45作者李宗翰https://www.ithome.com.tw/review/167167
PowerEdge邁入第17代，Dell推出單路Xeon 6伺服器
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/dell_poweredge_r470_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2024年下半，適逢英特爾與AMD推出新世代伺服器處理器，最大熱設計功耗（TDP）達到500瓦，Dell陸續推出新款Dell PowerEdge機型，像是率先登場的英特爾Xeon 6雙路伺服器<a href="https://www.ithome.com.tw/review/164102">R670 CSP Edition</a>、R770 CSP Edition，AMD EPYC 9005單路伺服器R6715、R7715，以及雙路伺服器<a href="https://www.ithome.com.tw/review/166897">R6725</a>、R7725。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Dell-17G-Single way server-2025-01.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell-17G-Single%20way%20server-2025-01.jpg" style="width: 600px;" /></a></p> <p>到了年底，他們再度宣布推出兩款新機型：R470、R570，皆為英特爾Xeon 6單路伺服器，目前先上市的會是1U尺寸的機型R470，Dell已公布產品規格表與技術指南，2U尺寸的機型R570預計2025年初登場。而這些機型的推出，也正式揭開Dell PowerEdge第17代伺服器產品的序幕。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Dell 17G-2025-01.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%2017G-2025-01.jpg" style="width: 600px;" /></a></p> <p>R470鎖定網站、應用程式微服務、資料服務、虛擬化，以及橫向擴展執行規模的資料庫應用系統，能針對效能最佳化考量用戶，提供升級的選擇彈性。</p> <p>相較於Dell既有的1U雙路伺服器，像是R660整臺最大提供56核心（第五代Xeon Scalable處理器，最大可提供64核心，但此款機型僅能搭配到28核心）或64核心（第四代Xeon Scalable處理器，最大可提供6核心，但此款機型僅能搭配到32核心），R450提供48核心（第三代Xeon Scalable處理器），同為1U尺寸的R470，僅憑單路架構的運算配置，整臺最大就能提供144核心，而在運算冷卻機制的搭配上，Dell針對300瓦以上的處理器款式，採用高效能銀級風扇與遠程散熱座，250瓦以下的處理器款式，採用標準風扇與延伸散熱座。</p> <p><a href="https://s4.itho.me/sites/default/files/images/dell-r470-10x2-5-internal.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/dell-r470-10x2-5-internal.jpg" style="width: 600px;" /></a></p> <p>記憶體規格的升級，也是R470這類單路Xeon 6伺服器的一大亮點，現在最大可支援6,400 MT/s的DDR5記憶體，存取速度領先既有伺服器產品的幅度最高可達2.18倍──R450搭配2,933 MT/s的DDR4記憶體，R660搭配4,800 MT/s的DDR5記憶體。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Dell R470 Spec-Comparison.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20R470%20Spec-Comparison.jpg" style="width: 500px;" /></a></p> <p>關於伺服器產業標準的支援，包含R470在內的第17代PowerEdge機型，均遵循開放運算計畫（OCP）訂定的標準，當中也涵蓋OCP推動的資料中心模組化硬體系統（DC-MHS）子計畫，以此簡化IT基礎架構，也能經得起未來投入營運的考驗，可促成既有基礎架構的重複使用。</p> <p>以R470為例，Dell在兩個元件導入OCP的DC-MHS，其中一個是內部RAID控制器採用<a href="https://www.dell.com/support/manuals/en-us/perc-h965i-front/perc12/dell-technologies-poweredge-raid-controller-12?guid=guid-5889415d-b297-43a0-9197-113a56c33c79&lang=en-us">PERC H965i DC-MHS</a>，這屬於PowerEdge RAID Controller 12（第12代PERC）系列的硬體配件；另一個是Dell伺服器特有的系統開機儲存子系統（Boot Optimized Storage Subsystem，BOSS），採用BOSS-N1 DC-MHS。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Dell 17G-R470-R670.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%2017G-R470-R670.jpg" style="width: 600px;" /></a></p> <p>值得注意的是，Dell這批伺服器搭配的系統遠端管理平臺，也從沿用多年的<a href="https://www.dell.com/support/kbdoc/zh-cn/000178115/idrac9-versions-and-release-notes?lang=en">iDRAC9</a>換成iDRAC10，IT人員可透過這個平臺，執行PowerEdge伺服器的部署、資產管理、更新、監控，以及維護作業。</p> <p>iDRAC10有那些新特色？根據Dell公布的使用者指南文件，新版系統管理平臺配備專屬安全處理器，可因此改善伺服器安全效能，整合信任根（RoT）、具備裝置等級的見證機制與加密防護，以及運用更強韌的加密演算法。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Dell 17G-iDRAC10-2025-01.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%2017G-iDRAC10-2025-01.jpg" style="width: 600px;" /></a></p> <p><strong><span style="color:#008080;">產品資訊</span></strong></p> <p><strong><span style="color:#0000FF;">Dell PowerEdge R470</span></strong><br /> ●原廠：Dell<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：1U（482 x 42.8 x 816.92公釐）<br /> ●處理器：單顆，Intel Xeon 6系列（單顆最多144核心）<br /> ●記憶體：16個DDR5插槽，RDIMM可支援32支6400 MT/s（最大總共1 TB）<br /> ●儲存配置：8臺E3.S外形NVMe固態硬碟（最大總共122.4 TB）、2臺M.2外形NVMe固態硬碟（BOSS-N1 DC-MHS）<br /> ●I/O介面：PCIe 5.0 x16（2個全高半長）<br /> ●電源供應器：2臺800瓦/1500瓦（1+1備援）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/1/28 18:22作者李宗翰https://www.ithome.com.tw/review/167158
組態管理工具Puppet開源替代方案OpenVox 8.11正式登場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由社群主導的開源專案<a href="https://voxpupuli.org/blog/2025/01/21/openvox-release/">OpenVox正式發布8.11版本</a>，該版本被定位為組態管理工具Puppet的替代方案，提供使用者與原始版本功能相當的組態管理工具。OpenVox專案的發起源於2024年下半年，當時Perforce宣布不再支援Puppet開源軟體套件，並將未來的開發專注於內部商業版本，該決策在業界引發廣泛關注。</p> <p>長期以來Puppet為備受信任的開源組態管理工具，是許多企業和開發團隊的基本選擇，但其從開源模式轉向封閉的商業軟體模式，使許多仰賴該工具的開發者感到失望，並開始尋求其他替代方案。作為回應開源社群的需求，開源軟體公司Overlook InfraTech領導的社群開始維護Puppet軟體套件，最終發展成現在的OpenVox專案。新推出的OpenVox 8.11版本，功能設計上與Puppet相容，允許使用相同的指令、模組與設定。</p> <p>不過，OpenVox雖提供類似的功能，但OpenVox尚未按照與Puppet相同的標準進行測試。開發團隊特別提醒使用者，除非能夠接受潛在錯誤並積極提供回饋，否則不建議將OpenVox部署於重要的生產環境。目前OpenVox套件仍放在Overlook InfraTech的儲存庫，但未來可能搬遷至專屬的Vox Pupuli命名空間。</p> <p>根據OpenVox開發團隊的說法，這是一個被定位成「軟分叉」的專案，目的是盡可能長期維持與Puppet的下游相容性。為此，專案已與Perforce合作成立Puppet標準指導委員會，試圖在功能與語言發展方向尋求共識。</p> <p>OpenVox專案開放社群參與，允許開發者針對其平臺需求直接貢獻。OpenVox專案的長期目標包括支援更現代化的作業系統，最佳化整體程式碼結構，並支援開源社群活動。</p> </div></div></div>
2025/1/28 18:59作者李建興https://www.ithome.com.tw/news/167166
Android 16 Beta強化應用螢幕適應性，預告API等級37將強制支援大螢幕
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://android-developers.googleblog.com/2025/01/first-beta-android16.html?m=1">Android 16第一個Beta版本正式推出</a>，針對開發者與早期使用者開放測試，帶來應用適應性與即時更新（Live Updates）等新功能，更新重點除了提升大型螢幕裝置的使用體驗，還進一步強化更即時的通知應用場景，支援多樣化裝置與互動需求。</p> <p>Android 16應用適應性功能解決過去應用程式，在大螢幕裝置上無法有效調整視窗大小與方向的問題。新版本引入的變更，逐步解除非遊戲類應用程式，在對大螢幕裝置上的方向與縮放限制，並要求目標API等級36以上的應用程式，支援寬度超過600dp的大型螢幕自適應能力，而在未來的API等級37，所有應用程式將不得限制視窗大小，並強制支援大螢幕裝置的彈性顯示模式。為此，開發者需要重新檢視現有的UI設計，確保應用在不同螢幕尺寸與方向下都能提供一致的使用體驗。</p> <p>在通知功能更新方面，Android 16引入了名為即時更新的新類型通知模板，針對進度型應用案例，如共乘服務、外送平臺與導航應用等，提供更直覺且一致的用戶體驗。新模板允許開發者以圖示和分段進度的方式顯示即時資訊，例如車輛位置或訂單狀態，強調資訊視覺化與即時性，進一步縮短用戶在重要任務中的反應時間。</p> <p>此外，Android 16還針對多媒體處理進行全面升級，加入進階專業影像格式（Advanced Professional Video，APV）支援，提供專業影音創作者接近原始品質的錄製與後製能力。該格式不僅支援高位元速率和HDR10，還支援多視角影像與額外輔助影片資料的編碼（Encoding）需求，例如景深資訊、透明度圖層或預覽影像，這些輔助資料可用於提升影像的後製效果與多視角應用體驗。</p> <p>新版本Android也添加低階API的垂直文字渲染功能，更好地支援特定語言需求，特別適用於日文等垂直書寫語言。儘管該功能目前僅限於低階API，未延伸至Jetpack Compose或TextView等高階文字處理框架，但仍替未來的文字顯示功能奠定技術基礎。</p> <p>Android版本更新伴隨內部機制改變，對應用程式的相容性提出了更高要求，例如預測式返回功能的啟用以及廣播優先順序的限制，可能會影響部分應用的現有設計，開發者需進行詳細測試找出潛在問題。此外，Android 16強化ART模組的性能，對仰賴ART內部結構的應用程式提出了更新需求，而這對於長期未維護或更新的應用可能造成挑戰。</p> <p>Google預計在2025年第二季正式發表Android 16，並將這一版本作為當年度唯一包含行為變更的主要更新，同時計畫在第四季推出新增功能的次要版本。</p> </div></div></div>
2025/1/28 15:58作者李建興https://www.ithome.com.tw/news/167165
Anthropic 計畫為Claude 加入雙向語音模式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AI新創公司Anthropic持續強化AI聊天機器人Claude，計畫接下來加入雙向語音模式及個人化及等功能。</p> <p>Anthropic執行長Dario Amodei 上週在瑞士達沃斯（Davos）世界經濟論壇時，<a href="https://www.wsj.com/livecoverage/stock-market-today-dow-sp500-nasdaq-live-01-21-2025/card/anthropic-ceo-says-ai-could-surpass-human-intelligence-by-2027-9tka9tjLKLalkXX8IgKA">接受華爾街日報（WSJ）訪問</a>時說明Claude的開發計畫。Amodei說Claude過去幾個月市場反應熱烈，未來幾個月公司將致力於推出「更智慧」的AI模型，他們預計為Claude增加雙向語音模式，允許使用者對Claude口說輸入問題或提示並聽取其回應。</p> <p>雙向語音模型可望使Claude AI聊天機器人營造像ChatGPT進階語音模式一樣流暢的互動經驗。至於新的Claude功能是否會賦予極似真人的音質則不清楚。</p> <p>另一方面，Anthropic計畫加強Claude的記憶力功能，藉此賦予其個人化能力。更強的記憶力可讓Claude記得和用戶的互動內容，例如對某項運動或織毛線的喜愛，並用於下一次用戶的對話中。長時間使用下來能形塑Claude生成依使用者而異的個人化互動經驗。</p> <p>Anthropic作為OpenAI以外最受矚目的新創公司，以大型語言模型Claude聞名。<a href="https://www.anthropic.com/research/building-effective-agents">去年12月Anthropic 推出</a>將企業流程自動化的代理人開發功能，還早於OpenAI。</p> <p>Claude先後獲得Amazon和Google 40和20億美元投資，迄今已募得137億美元資金。<a href="https://www.cnbc.com/2025/01/22/google-agrees-to-new-1-billion-investment-in-anthropic.html">CNBC</a>報導，在現有持股10%的基礎上，Google已經同意再對Anthropic挹注10億美元。</p> </div></div></div>
2025/1/28 00:07作者林妍溱https://www.ithome.com.tw/news/167164
JetBrains推出全新程式開發AI代理Junie，可自動執行任務並提升程式碼品質
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>JetBrains推出了一項名為<a href="https://blog.jetbrains.com/junie/2025/01/meet-junie-your-coding-agent-by-jetbrains/">Junie</a>的全新人工智慧程式開發代理，透過整合大型語言模型與JetBrains整合開發環境的技術，協助開發者處理日常任務並提升程式碼品質。官方表示，Junie人工智慧程式開發代理可從執行基礎任務到更複雜的專案協作，提供有效的支援。</p> <p>根據SWEBench Verified基準測試結果，Junie能在單次執行完成53.6％的程式開發任務，涵蓋多種層級的複雜性需求。JetBrains認為，該結果顯示Junie已具備足夠的實用性，能應對現今開發環境的高強度與多樣性挑戰。從簡單的程式碼生成與檢查，到編寫測試、驗證結果，JetBrains目標將Junie設計成開發者的虛擬合作夥伴，而非僅是輔助工具。</p> <p>Junie目前支援IntelliJ IDEA Ultimate和PyCharm Professional，之後還將擴展至WebStorm。開發者只需安裝相關擴充套件，即可在熟悉的IDE啟用Junie。JetBrains表示，這樣的設計確保開發者無需大幅調整現有的工作流程，能快速上手。透過逐步將重複性或繁瑣的工作委派給Junie，開發者得以專注於更具創造性或策略性的任務，進一步提高整體工作效率。</p> <p>Junie特別強調開發者對程式碼的掌控，每次程式碼修改與建議都可受開發者審查，並與專案上下文保持一致。此外，Junie能遵循團隊程式碼風格與規範，生成具一致性的程式碼。JetBrains已開放Early Access Program允許開發者申請試用Junie，目前僅支援macOS和Linux平臺，之後還會加入Windows系統的支援，並進一步拓展應用場景。</p> <p>先前JetBrains就已推整合IntelliJ IDEA、PyCharm、PhpStorm與ReSharper等IDE的程式開發人工智慧助理。JetBrains則強調Junie是人工智慧程式開發代理，從原本提供特定功能的工具，轉變成可解決完整開發任務的代理。</p> <p>開發者在JetBrains Marketplace中<a href="https://plugins.jetbrains.com/plugin/22282-jetbrains-ai-assistant/reviews">普遍對先前的人工智慧助理評價不佳</a>，該套件獲得大量的一星評價，甚至有不少開發者稱其為最糟的程式碼完成工具。現在JetBrains推出Junie，以新品牌出發，試圖在人工智慧開發應用扳回一城。</p> </div></div></div>
2025/1/27 17:41作者李建興https://www.ithome.com.tw/news/167162
川普預告TikTok歸屬30天內決定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>川普上周簽署行政命令暫緩執行TikTok的禁令75天以尋求出售，<a href="https://www.reuters.com/markets/deals/white-house-talks-have-oracle-us-investors-take-over-tiktok-npr-reports-2025-01-25/">路透社報導</a>，川普昨（27）日表示大約30天將決定它未來何去何從。</p> <p>1月20日美國新上任總統川普簽署的行政命令，讓美國和TikTok母公司字節跳動（ByteDance）有時間協調如何在不損及美國國家安全情況下允許TikTok的營運，條件正是將TikTok出售給美國。川普本周對媒體說有很多對收購TikTok有興趣的人士和他接觸，包括一些重量級人物，他將在30天內做出決定。即使30天談不成，美國國會也提供了90天時間。川普對解救TikTok樂見其成。</p> <p>但他否認和甲骨文討論過收購TikTok一事，駁斥本周稍早的報導。<a href="https://www.ithome.com.tw/news/167157">NPR引述消息人士報導</a>，白宮居間協調由甲骨文和其他美國公司收購TikTok全球業務過半股權，使母公司字節跳動成為少數持股人。報導也稱， TikTok的軟體、演算法和資料蒐集將由甲骨文監管，以確保真正控制這家中國應用程式。微軟也在洽談的成員名單中。</p> <p>稍早之前<a href="https://www.theverge.com/2025/1/21/24349011/trump-elon-musk-larry-ellison-oracle-tiktok-ban">The Verge</a>也報導，不是甲骨文或馬斯克的X出手併購TikTok，川普都抱持開放態度。AI搜尋業者Perplexity也曾表達收購的興趣，以便整合其搜尋和社群平台能力。</p> <p>TikTok的交易攸關美中是否能緩和貿易緊張情勢。川普揚言不出售TikTok就會對中國徵收100%關稅。原本反對出售TikTok的<a href="https://finance.sina.com.cn/chanjing/gsnews/2025-01-22/doc-inefutkn9198966.shtml">中國政府也在近日表示</a>民間公司的營運和收購應自行決定，但涉及中國公司的交易應符合中國法規。媒體報導，中國政府較屬意X的幕後老闆馬斯克。</p> </div></div></div>
2025/1/27 23:38作者林妍溱https://www.ithome.com.tw/news/167163
ChatGPT Canvas擴及macOS版程式，底層模型升級到o1
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI本周<a href="https://x.com/OpenAI/status/1882876172339757392">宣布</a>將o1模型部署到ChatGPT工作區介面Canvas，並且可在macOS版本應用程式中使用。</p> <p><a href="https://www.ithome.com.tw/news/165325">Canvas</a>是ChatGPT中的互動式工作介面，可提供文件或程式碼寫作。ChatGPT不但能生成內容，也能讓用戶參與編輯，同時為文章和程式碼提供建議、審查或潤飾功能。去年10月宣布時，Canvas是使用GPT 4o模型。</p> <p>o1是最多ChatGPT用戶對Canvas提出的需求之一。o1是具備推理能力的模型，能處理複雜任務，像是解決高深的數學問題或撰寫程式。現在用戶可以在ChatGPT模型選擇器中選擇o1，或是運用/canvas指令啟用。</p> <p>Canvas現在也能渲染HTML和React 程式碼，這也是用戶呼聲很高的功能。在此之前，Cavas支援JavaScript、TypeScript、Python、Java、C++及 PHP。</p> <p>此外OpenAI正式將Canvas推向macOS應用程式，之前只能在行動版應用程式使用Canvas。</p> <p>在三項新宣布的消息中，o1提供給Pro、 Plus和Team用戶，HTML和React程式碼渲染功能及macOS中使用Canvas提供給所有層級方案，包括免費版也能使用。Enterprise和Edu方案用戶再幾個星期，也能獲得o1和HTML/React渲染功能。</p> </div></div></div>
2025/1/27 16:43作者林妍溱https://www.ithome.com.tw/news/167161
Meta將打造130萬顆GPU的AI資料中心
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在OpenAI以Star Gate計畫搶盡媒體版面同時，Meta也<a href="https://www.facebook.com/photo/?fbid=10116307989350411&set=a.612287952871">宣布</a>重大AI投資計畫，今年將投入至少600億美元打造130萬顆GPU的AI資料中心。</p> <p>Meta執行長祖克柏（Mark Zuckerberg）說，2025年將是AI決定性的一年。他希望Meta AI今年可以成為服務10億用戶的AI助理龍頭，而Llama 4成為領導性的SoTA（state of the art）模型。Meta計畫打造一套「AI工程師」以協助其R&D撰寫更多程式碼。該公司目前正在興建一座能供電2 Gigawatt的資料中心，佔地之廣可涵括一大部份曼哈頓。今年內將有1 Gigawatt的運算量上線，到年底就會有超過130萬顆GPU。祖克柏貼文貼出的地圖顯示，新資料中心位於路易西安那州的理奇蘭郡（Richland Parish）。</p> <p>今年Meta將在AI投入600到650億美元資料支出，也大幅擴展AI團隊，未來幾年還會持續增加。祖克柏說，這大型計畫將推動來年公司的核心產品及業務成長。</p> <p>Meta似乎是為了不讓OpenAI團隊的Star Gate計畫專美於前。OpenAI、甲骨文與軟銀上周宣佈<a href="https://www.ithome.com.tw/news/167107">合資</a>，計畫4年投入5000億美元建立AI基礎架構。根據彭博<a href="https://www.bloomberg.com/news/articles/2025-01-23/stargate-s-first-data-center-to-be-located-in-texas-with-at-least-57-jobs">報導</a>，Star Gate計畫已著手在德州阿比林（Abilene）市興建10座資料中心，總佔地875英畝。</p> </div></div></div>
2025/1/27 15:46作者林妍溱https://www.ithome.com.tw/news/167160
Zyxel防火牆應用程式簽章年前更新出包，USG FLEX、ATP系列需現場修復
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Zyxel<a href="https://support.zyxel.eu/hc/en-us/articles/24159250192658-USG-FLEX-ATP-Series-Recovery-Steps-for-Application-Signature-Issue-on-January-24th-2025#h_01JJEK9E05X7RZ2S75KYEHCMKF">通報</a>其USG FLEX與ATP系列防火牆設備，因1月24日晚間發布的應用程式簽章更新錯誤，導致部分設備不停重啟等異常。此次問題並非因韌體升級造成，也與任何已知的CVE或安全漏洞無關，但影響的設備需透過現場操作才能完整修復。Zyxel已緊急停用伺服器上的應用程式簽章更新功能，避免問題進一步擴大。</p> <p>根據Zyxel的說明，此問題起因於應用程式簽章版本1.0.0.20250123.0的更新錯誤，該版本在1月24日晚間發布並自動安裝於部分設備。當設備更新該版本後，可能導致重啟迴圈、ZySH守護程式失敗、無法登入，或系統LED閃爍等問題。受影響的設備為啟用了安全授權（Security License），且簽章更新模式設定為獨立模式（Standalone Mode），並已更新至簽章版本1.0.0.20250123.0的USG FLEX或ATP系列防火牆。</p> <p>使用Nebula雲端平臺管理、USG FLEX H系列或未啟用安全授權的設備則不在影響範圍。官方提到，USG FLEX H採用不同的uOS韌體版本，內建更嚴格的簽章驗證機制，而Nebula雲端平臺則透過進階的遠端管理功能，降低簽章更新過程可能出現的風險。</p> <p>Zyxel表示，親至現場處理（on-site）修復是唯一經驗證有效的解決方案。受影響的設備因產生大量系統日誌，占據內部儲存空間，導致無法透過遠端上傳修復韌體或執行其他操作。此外，遠端操作可能衍伸出其他問題，例如未來可能無法使用磁碟分割或進行韌體上傳功能。</p> <p>部分用戶嘗試透過GUI重新開機、變更分割區或是降級簽章方法恢復裝置，但Zyxel提到這些方法成功率極低，不僅無法保證設備正常運作，還可能造成組態檔案遺失。而且若不安裝修復韌體，即便設備短期內恢復運行，未來仍可能因備用分割區無法使用而出現其他問題。</p> <p>Zyxel建議用戶採取現場修復方式，並強調IT人員的電腦需使用Console/RS232纜線連接防火牆設備進行操作，透過設備重置、設定檔案備份、下載修復韌體及重新安裝簽章等步驟，才能有效解決問題，使設備恢復穩定運作。</p> </div></div></div>
2025/1/27 13:37作者李建興https://www.ithome.com.tw/news/167159
Bun 1.2大更新強化Node.js相容性，原生支援S3與PostgreSQL
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>輕量級JavaScript執行環境<a href="https://bun.sh/blog/bun-v1.2">Bun發布1.2版本</a>，大幅提升對Node.js的相容性，使開發者更容易移植現有專案。新版本更原生支援Amazon S3與PostgreSQL，簡化了存取S3儲存桶和PostgreSQL資料庫的流程，並提升相關操作的效能，進一步加速雲端應用程式的開發。</p> <p>在Node.js相容性方面，Bun 1.2採用了Node.js的官方測試套件來驗證其相容性。這項改變讓Bun 1.2在執行fs、path、events、string_decoder與stream等Node.js模組時，可通過90％的Node.js官方測試案例，因此開發者在將依賴這些核心模組的Node.js專案，移植到Bun環境時，將會更加順利。</p> <p>而Bun 1.2現在也新增node:http2、node:dgram、node:cluster與node:zlib等模組的支援，在功能上更進一步拉近與Node.js生態系的差距，同時又能提供更快地執行速度，以node:zlib測試來說（下圖），Node.js吞吐量為171 mb/s，而Bun 1.2則為205 mb/s。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/404054420-cc3760d5-352c-4f7a-a75b-2f48fec52dfa.png" style="width: 580px; height: 270px;" /></p> <p>由於Node.js與Bun的JavaScript引擎不同，Node.js採用Chrome V8，Bun則使用Safari的JavaScriptCore，而Bun開發團隊現在於JavaScriptCore中實作了V8的公開C++ API，讓原本依賴這些API的C++套件，也能在Bun環境運作。</p> <p>除了Node.js相容性外，Bun 1.2原生支援S3與Postgres也是這次更新的一大亮點。Bun 1.2新增了Bun.s3 API，讓開發者能直接操作S3，支援讀取、寫入、刪除檔案，以及產生預簽章URL等操作。開發團隊表示，因為Bun.s3 API採用原生程式碼編寫，讀取效能為使用JavaScript SDK的5倍。此外，Bun 1.2更進一步將S3整合進現有的Bun.file() API中，開發者透過使用s3://協定，就可直接存取S3上的檔案，簡化了開發流程。</p> <p>而對於PostgreSQL資料庫，Bun 1.2也提供了內建的Bun.sql客戶端，支援以標籤模板語法執行SQL查詢，並自動處理字串跳脫（Escape），避免SQL注入風險。Bun.sql同樣以原生程式碼開發，並針對效能進行最佳化，因此Bun.sql可比其他PostgreSQL客戶端快50％（下圖）。官方還預告，他們很快也會支援MySQL。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/404444688-09066ce9-aacd-439c-ab28-f2640c0ce814.png" style="width: 580px; height: 251px;" /></p> <p>在套件管理方面，Bun 1.2將預設的鎖定檔（Lockfile）格式從二進位的bun.lockb改為文字格式的bun.lock。新的bun.lock採用JSONC格式，支援註解與尾逗號（Trailing commas），更易於人工閱讀與版本控制系統比對差異。不過，Bun 1.2仍將維持向下相容支援bun.lockb。開發團隊強調，即使bun.lock是文字格式，但bun install的效能仍比前一版本提升30％。</p> </div></div></div>
2025/1/26 20:31作者李建興https://www.ithome.com.tw/news/167156
群聯推首款122.88 TB的PCIe 5 SSD，提供領先的讀寫效能
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/phison_pascari_d205v_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年5月中，群聯電子（Phison）發布企業級產品品牌PASCARI，這其實是7個詞彙的縮寫，包含Performance、AI、Security、Capacity、Acceleration of applications、Reliability、Innovation，代表該公司對這7大領域的品質要求，率先推出該公司第一款<a href="https://www.ithome.com.tw/review/162973">PCIe 5.0企業級固態硬碟X200系列</a>，採用TLC快閃記憶體。</p> <p>相隔半個月後登場的台北國際電腦展期間，群聯正式發表5大系列固態硬碟產品，分別是主打高效能、企業等級的X系列，提供多種外形、資料中心等級的D系列，用於伺服器與工作站系統開機儲存裝置的B系列、支援SATA儲存介面的S系列，以及針對AI模型調校應用需求的AI系列。</p> <p>在8月舉行的未來記憶體與儲存年度高峰會（FMS 2024），<a href="https://www.ithome.com.tw/review/164407">群聯在Pascari D系列產品線當中，宣布推出D200V</a>，採用QLC快閃記憶體Kioxia BiCS8（鎧俠第8代BiCS Flash記憶體），當時最大可提供的儲存容量為61.44 TB，他們預告D200V最大將提供122.88 TB。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Kioxia BiCS Generation-2024-08.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Kioxia%20BiCS%20Generation-2024-08.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Kioxia BiCS Generation-2024-08-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Kioxia%20BiCS%20Generation-2024-08-2.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Kioxia BiCS Generation 8.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Kioxia%20BiCS%20Generation%208.jpg" style="width: 500px;" /></a></p> <p>到了11月美國年度超級電腦大會SC24，Solidigm與群聯均發表具備122.88 TB容量的機型，其中，<a href="https://news.solidigm.com/en-WW/243441-solidigm-extends-ai-portfolio-leadership-with-the-introduction-of-122tb-drive-the-world-s-highest-capacity-pcie-ssd">Solidigm是在既有PCIe 4.0機型D5-P5336</a>擴充122.88 TB容量的款式，<a href="https://www.solidigm.com/products/technology/solidigm-path-to-122tb-ssd.html">預計2025年第一季供應</a>，群聯推出專屬機型Pascari D205V，宣布開放預先訂購，預計2025年第二季出貨，將提供U.2與E3.L等兩種外形。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-11-28-468051863_1104048048397577_5930461710651222027_n.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-11-28-468051863_1104048048397577_5930461710651222027_n.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2024-11-22-467845903_1099248352210880_6157387719457182279_n.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-11-22-467845903_1099248352210880_6157387719457182279_n.jpg" style="width: 198px;" /></a></p> <p>到了今年1月的美國年度消費電子展（CES），Pascari D205V也是活動現場主打的產品之一。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2025-01-10-1736401724109-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-01-10-1736401724109-web.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/D205V-2025-01-13.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/D205V-2025-01-13.jpg" style="width: 600px;" /></a></p> <p>相較於既有產品，群聯強調Pascari D205V採用該公司發展的X2控制器，以及最新的<a href="https://apac.kioxia.com/en-apac/about/news/2024/20240703-1.html">2 Tb單位儲存容量的3D QLC快閃記憶體技術</a>（Kioxia BiCS8），屬於專攻讀取密集型工作負載的固態硬碟產品，提供14,600 MB/s循序讀取效能，以及3百萬IOPS隨機讀取效能，相較於市面上的PCIe 4.0介面的61.44 TB固態硬碟產品，可提供兩倍的讀取效能與最大儲存容量。</p> <p>若與早幾個月前推出的Pascari D200V相比，Pascari D205V有何共通點？兩種款式均支援PCIe 5.0與雙埠、採用Kioxia BiCS8、每日寫入量0.3，隨機讀取效能皆為3百萬IOPS。</p> <p>以儲存容量而言，Pascari D200V提供30.72 TB、61.44 TB、122.88 TB等三種組態，Pascari D205V僅提供122.88 TB；在產品外形上，Pascari D200V有U.2、E3.S、E3.L等三種選擇，Pascari D205V提供U.2、E3.L。</p> <p><a href="https://s4.itho.me/sites/default/files/images/14320_PhisonEnterprise_Label_D205V_74x50_RGB_Horizontal_IsometricView.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/14320_PhisonEnterprise_Label_D205V_74x50_RGB_Horizontal_IsometricView.jpg" style="width: 198px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/14320_PhisonEnterprise_Label_D205V_63x25_RGB_Portrait_IsometrictView.jpg" style="width: 198px;" /></p> <p>就儲存效能而言，Pascari D205V略勝一籌。Pascari D200V的循序讀寫效能為14,000 MB/s、2,100 MB/s，Pascari D205V略勝一籌，可達到14,600 MB/s、3,200 MB/s；Pascari D200V的16K隨機讀寫效能為3百萬IOPS 、1.56萬IOPS，Pascari D205V為3百萬IOPS、3.5萬IOPS。</p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong><span style="color:#0000FF;">Phison Pascari D205V</span></strong><br /> ●原廠：群聯電子<br /> ●建議售價：廠商未提供<br /> ●儲存容量：122.88 TB<br /> ●外形：U.2、E3.L<br /> ●儲存媒體：3D NAND，QLC<br /> ●最高讀寫速度：循序14,600 MB/s與3,200 MB/s，隨機300萬IOPS（4K）與3.5萬IOPS（16K）<br /> ●使用介面：PCIe 5.0單埠（x4）或雙埠（2x2）<br /> ●耐用度：每日寫入量為0.3<br /> ●耗電量：25瓦</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/1/26 21:02作者李宗翰https://www.ithome.com.tw/review/167093
【資安月報】2025年1月，國家級駭客的網路間諜攻擊事件不斷，海纜與國家通訊韌性也受到考驗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>回顧2025年1月資安新聞，國家級駭客發動的網路間諜行動是主要焦點，在多起攻擊事件被資安界揭露之際，我們年初也特別以封面故事報導這方面的最新威脅態勢與重要變化。</p> <p>還有其他重要網路安全議題與事件同樣值得重視，包括海纜安全與通訊服務韌性，臺灣9家上市櫃發布資安重大訊息，DDoS攻擊衝擊臺灣、日本與全球等，在此我們整理出5大重要威脅態勢，幫助大家快速回顧。</p> <p><span style="color:#FF0000;"><strong>（一）國家級駭客網路間諜攻擊加劇</strong></span></p> <p>受政府資助駭客組織發動的網路間諜行動，危害持續升級，本月封面故事我們報導了這類組織近年的重要變化，例如，從受國家指揮的軍事單位，政府資助的半獨立團體，現也涵蓋到國家支持的民間企業與承包商，而其攻擊手法上，也變得更常以供應鏈攻擊、邊緣裝置漏洞來入侵滲透。</p> <p>同時，我們還整理出多項國家級駭客攻擊的現況與最新態勢，包括：<br /> ●微軟2024年度數位防禦報告中，揭露了國家級駭客鎖定攻擊的前7大目標，依序是：美國、以色列、烏克蘭、阿拉伯聯合大公國，以及英國、臺灣。<br /> ●國家級駭客鎖定電信業的情況已持續多年，在2024年呈現爆發的態勢，不只美國、東南亞的電信業有重大事故揭露，多國網路安全機構也特別真對中國駭客組織對電信業攻擊的威脅示警。<br /> ●臺灣國家安全局揭露過去一年中共網駭手法分析報告，指出我國遭受攻擊成長最多的產業，是電信業為主的通訊傳播領域，遭受攻擊比之前增長6.5倍，其次為交通、國防供應鏈，分別增長70%與57%。</p> <p>此外，後續還有一起新聞事件也呈現這方面威脅的嚴重性。日本警方也在1月上旬發布中國駭客MirrorFace（Earth Kasha）入侵警報，指出該組織在近5年對日本發動逾200起攻擊，目的是竊取日本的國家安全及先進技術的資料，並公開3波攻擊樣態與防範措施，希望促進企業組織更積極因應。</p> <p><span style="color:#FF0000;"><strong>（二）海纜安全與國家網路數位韌性受挑戰</strong></span></p> <p>本月臺灣多起海底電纜事故的新聞，持續引發國人對於通訊網路及服務韌性的關注，從1月3日中華電信海底電纜遭貨輪破壞，到1月22日發生臺馬二號海纜疑似芯線老化導致服務中斷，數位發展部在當日也緊急召開記者會說明。</p> <p>當中提到不少國人關心的重點，例如：我國目前有14條國際海纜、10條國內海纜，國際海纜方面由國際業者籌組聯盟共同投資，因此修復也是共同分擔，在國內海纜方面，雖然主要由中華電信包辦，但如今全都已經列為國家關鍵基礎設施，因此政府會監督與協助關鍵CI民間業者強化這方面的防護。</p> <p>對於近期國內海底電纜事故的狀況，數位部指出，2025年1月已經發生4次，超過2024全年的3次，的確呈現今年密集暴增的情形。而在海纜斷裂的事故原因，除了人為破壞，也有天然因素，像是最新一次的「臺馬二號海纜」是芯線老化造成。</p> <p>至於因應上，由於先前政府推動關鍵CI防護計畫，已請中華電信在2024年完成微波通訊備援，因此能在一小時內通知中華電信，啟動微波備援方案，確保民生相關的服務不致出現中斷的現象。另外也通知受補助單位電信技術中心，啟用非同步衛星站點，作為微波之備援。另外，在微波通訊、非同步衛星的網路備援機制之外，數位部也補助中華電信建置臺馬四號海纜，預計在2026年6月完工。</p> <p>此外，關於年初貨輪海纜安全事故的新聞中，還有國內學者呼籲政府重視中國對臺資訊封鎖的風險，曾擔任NCC電信普及服務基金委員的成大電機系教授李忠憲指出，國內欠缺對大規模網路中斷的應變演練，需提高對緊急狀態下的網路韌性演習。</p> <p><span style="color:#FF0000;"><strong>（三）臺灣重大資安事件</strong></span></p> <p>根據公開資訊觀測站的重大訊息公告，本月9家上市櫃公司發布資安重訊。<br /> ●第一週有4起，包含：易飛網遭遇供應鏈攻擊及資料竊取，新海瓦斯伺服器檔案遭受勒索軟體加密，悠泰科技、華航公布官網遭DDoS攻擊。<br /> ●第二週有2起，泰藝電子表示有部分資訊系統遭到網路攻擊；遠東新表示重要資通訊合作廠商遭網路攻擊，導致自家資料外洩疑慮。<br /> ●第三週有3起，聯鈞表示資訊系統遭受勒索病毒攻擊；所羅門與集團旗下新門科技在同日表示資訊系統遭受駭客攻擊。</p> <p>還有1起與臺灣有關的威脅揭露，同樣值得留意，資安業者Recorded Future針對中國駭客組織RedDelta（Earth Preta、Mustang Panda、TA416）的攻擊行動提出警告，這些駭客兩年前因中國政府聲援俄羅斯，主要攻擊鎖定歐洲各國，但自2023年下半其攻擊目標有了明顯調整，開始轉向蒙古、其他東南亞國家，還有臺灣。</p> <p><span style="color:#FF0000;"><strong>（四）DDoS攻擊威脅再度侵襲各國</strong></span></p> <p>DDoS攻擊威脅依然持續，有3則新聞成為主要焦點。</p> <p>首先，2025年一開始親俄駭客NoName057的DDoS攻擊再成焦點，臺灣已遭遇第三波攻擊，包括上市公司台塑、大眾電腦等公司發布資安重訊，根據駭客宣稱的攻擊目標，還包括主計總處、櫃買中心與20多個交通運輸、地方政府的網站。</p> <p>特別的是，遭受NoName057攻擊的國家也增加，除了之前攻擊過英國、瑞士、烏克蘭，1月還擴及印尼、加拿大、德國、義大利。這些國家均有數十個政府機關、關鍵CI與企業網站被攻擊。</p> <p>其次，日本也面臨一波未知攻擊者的DDoS攻擊，自12月底至1月上旬期間，先是傳出日本航空（JAL）因此造成航班延誤，接著三菱UFJ、瑞穗等銀行也遭攻擊，趨勢科技向當地媒體表示這期間共46起DDoS事件，都是來自同一個殭屍網路的攻擊。</p> <p>第三件新聞，則是關於巨量DDoS攻擊的揭露。Cloudflare公布最新一季DDoS攻擊態勢，指出一家東亞ISP客戶在3個月前遭遇的UDP DDoS攻擊達到5.6 Tbps，再次突破先前的記錄，並也說明攻擊是來自1.3萬臺IoT裝置。另要注意的，超過1Tbps的攻擊數量，也比前一季大增18倍。</p> <p><span style="color:#FF0000;"><strong>（五）攻擊者持續</strong></span><strong style="color: rgb(255, 0, 0);">挖掘新漏洞與</strong><span style="color:#FF0000;"><strong>發展新攻擊手法</strong></span></p> <p>關於重要網路攻擊與威脅的揭露方面，以零時差漏洞利用攻擊而言，本月新聞涵蓋Ivanti（CVE-2025-0282），微軟（CVE-2025-21333、CVE-2025-21334、CVE-2025-21335），以及Fortinet（CVE-2024-55591）。值得注意的是，在Ivanti漏洞攻擊調查的新聞中，研究人員指出發現攻擊者還會利用假裝系統升級成功的手法，包括攔截升級流程、製作假的升級進度條，並繞過系統完整性檢查，這點相當特別。</p> <p>在勒索軟體威脅上，除了注意12月新出現的勒索軟體FunkSec的消息，還有另一勒索攻擊手法揭露的新聞值得留意，是針對雲端環境而來，攻擊者先利用外流或曝險的AWS金鑰，進而濫用AWS提供的用戶端資料保護措施SSE-C，將客戶資料加密並勒索。</p> <p> </p> <h2><a href="https://www.ithome.com.tw/news/166911"><strong><span style="color: rgb(178, 34, 34);">【資安週報】0106~0110，臺灣電信業遭受中共網駭情形在2024年暴增6.5倍，交通與國防供應鏈也成被針對的重點日</span></strong></a></h2> <p>在2025年第一星期資安新聞的主要焦點是，臺灣國家安全局於1月5日發布中共網駭手法分析報告，指出2024年國安情報團隊掌握我國政府及民間網駭案中，最嚴峻是以電信業者為主的資通訊領域，遭受攻擊是前一年度的6.5倍，其次是交通與國防供應鏈，遭受攻擊也比前一年度增長，顯示這些領域已是中共新興網駭重點。</p> <p>此外，日本警方於1月8日發布中國駭客MirrorFace（Earth Kasha）入侵警報，揭露該組織5年間對日本發動逾200起攻擊。事實上，趨勢科技兩個月前已警告該組織利用多家品牌SSL VPN設備漏洞入侵。不僅日本企業受害，臺灣與印度也遭波及。因此日本警方此次公布的攻擊手法與偵測措施，也可供我國企業組織參考。</p> <p>在資安事件方面，這一星期國內多家上市櫃公司發布資安事件重訊，其遭遇事故類型涵蓋供應鏈攻擊、勒索軟體攻擊，以及DDoS攻擊事件。</p> <p>●易飛網在1月7日說明遭遇供應鏈攻擊及資料竊取，致有個資外洩。<br /> ●新海瓦斯1月9日揭露伺服器內部檔案遭受勒索軟體加密。<br /> ●悠泰科技、華航在1月7日與8日分別公布官網遭受網路DDoS攻擊。<br /> ●針對中華電信海底電纜遭貨輪破壞的事故，數位發展部表示中華電信當日已通報並啟動其他海纜備援，之後將配合海巡署、法務部、NCC與司法機關加強執法。<br /> ●資安業者Tenable傳出外掛程式更新出錯的意外事故，造成端點代理程式停擺。</p> <p>在資安威脅的攻擊技術態勢上，有1則重要消息，是關於雙點擊劫持（DoubleClickjacking）手法的揭露，研究人員提醒，多數網站已能透過「X-Frame-Options header」、「SameSite: Lax/Strict」來防範點擊劫持攻擊手法，但無法因應這種新的變種手法，研究人員闡釋攻擊原理，同時建議可藉由用戶端保護方式來緩解。</p> <p>還有不同資安業者公布其發現的最新攻擊手法，有3則同樣值得我們留意，包括：出現新型態的惡意JavaScript、Python、Ruby套件，顯示攻擊者正濫用oastify.com、oast.fun等新興應用程式安全測試OAST檢測服務；發現針對蘋果電腦用戶的新型竊資軟體Banshee，會冒用內建防毒XProtect的字串加密演算法來迴避偵測；俄羅斯網路犯罪論壇正兜售名為PhishWP的惡意WordPress外掛程式，可用於建立幾可亂真的付款網頁。</p> <p>在漏洞利用消息方面，以Ivanti的零時差漏洞利用情形最受關注，Google旗下資安公司Mandiant在漏洞公布隔日的1月10日，發布相關研究報告，研判中國駭客組織利用此漏洞進行網路間諜活動，並揭露其攻擊手法的特殊之處是假裝系統升級成功，包括：插入惡意程式碼攔截升級執行流程，製作假的升級進度條來迷惑管理員，並繞過系統完整性檢查，假裝成為升級後的版本。</p> <p>●Ivanti針對Ivanti Connect Secure等設備修補已遭利用零時差漏洞CVE-2025-0282，隔日Mandiant公布研究報告，指出該漏洞2024年12月中旬已遭利用。<br /> ●加拿大電信業者Mitel在前幾個月陸續修補MiCollab整合通訊平臺的漏洞CVE-2024-41713、CVE-2024-55550，如今被發現遭駭客鎖定利用於攻擊活動。<br /> ●Oracle於5年前修補WebLogic Server的漏洞CVE-2020-2883，當時已有資安業者指出遭駭客鎖定利用，最近美CISA將其列入限期修補的已知被利用漏洞清單。</p> <p>至於資安防禦動向上，有兩則重要新聞，一是歷經18個月討論的美國物聯網裝置網路安全標章U.S. Cyber Trust Mark正式發布；通訊軟體Telegram宣布將推出業界首創的第三方驗證機制，採更主動式防護來打擊假消息與詐騙行為。<br /> </p> <h2><a href="https://www.ithome.com.tw/news/167030"><strong><span style="color: rgb(178, 34, 34);">【資安週報】0113~0117，中國駭客RedDelta持續散布惡意程式PlugX，臺灣、東南亞與蒙古頻遭鎖定</span></strong></a></h2> <p>在2025年第二星期的資安新聞，適逢多家IT大廠每月例行安全更新發布，其中微軟與Fortinet的修補是重要焦點。微軟本月修補159個漏洞中，包含了8個零時差漏洞，其中5個已經公開揭露，另外3個更為嚴重，因為已出現實際利用狀況；資安業者Arctic Wolf在1月10日揭露一起Console Chaos攻擊行動，指出有攻擊者從去年11月針對Fortinet FortiGate防火牆設備發動零時差漏洞利用攻擊，4天後Fortinet發布相關修補資安公告。</p> <p>●微軟修補8個零時差漏洞，其中3個已遭利用，分別是：CVE-2025-21333、CVE-2025-21334、CVE-2025-21335，皆涉及Hyper-NT核心整合VSP的漏洞。<br /> ●Fortinet修補FortiOS零時差漏洞CVE-2024-55591，並表示該漏洞已遭廣泛利用。雖然Fortinet未提及漏洞是由Arctic Wolf通報，但Fortinet資安公告列出的IoC指標與Arctic Wolf的報告吻合。<br /> ●互動式BI系統Qlik Sense在2023年修補的漏洞CVE-2023-48365，最近美CISA將其列入限期修補的已知被利用漏洞清單。</p> <p>另還傳出有駭客公布1.5萬臺Fortinet防火牆的詳細組態配置資料、VPN帳密，研究人員推測可能是駭客透過2年前的零時差漏洞取得，雖然許多防火牆可能早已修補，但因這批資料包含防火牆規則的完整資料，因此研究人員提醒不要忽略這些能夠防範的風險。</p> <p>在威脅態勢上，使用PlugX惡意程式的中國駭客威脅，是資安界與國家網路安全機構關注的重點，不僅有資安業者揭露攻擊態勢，後續我們還發現，有國家執法單位正設法積極移除這類威脅的消息。</p> <p>首先，資安業者Recorded Future揭露中國駭客RedDelta（也叫做Earth Preta、Mustang Panda、TA416）自2023年中旬將網路攻擊目標轉向蒙古、臺灣與東南亞，主要是配合中國外交政策，而且近半年更是擴大攻擊範圍，鎖定馬來西亞、日本、美國、衣索比亞、巴西、澳洲、印度。</p> <p>其次，美國FBI在1月14日宣布，在與法國執法單位及資安公司Sekoia合作下，經美國法院授權，遠端刪除美國境內4,200電腦上被感染的中國駭客散布的PlugX惡意軟體，並通知受影響使用者。</p> <p>在其他重要威脅態勢與事件上，有兩起是鎖定開發人員與資安研究人員的揭露，包括攻擊者假借提供漏洞偵測工具，或是漏洞驗證工具，但實則暗藏惡意程式；有兩起是勒索軟體威脅的最新動向，其中專門針對AWS S3儲存桶的勒索軟體攻擊值得留意，因為攻擊者濫用了AWS本身提供的資料保護措施。<br /> ●有攻擊者提供偽裝成以太坊智慧合約漏洞偵測工具的NPM套件，宣稱能找出潛在漏洞，實際上該套件暗藏遠端存取木馬Quasar RAT。<br /> ●有駭客假借提供去年12月LDAPNightmare漏洞的概念驗證程式碼，意圖對資安研究人員散布竊資軟體。資安專家提醒，若要研究PoC應從原始揭露來源取得。<br /> ●新興勒索軟體FunkSec出現值得留意，資安業者Check Point指出這是去年12月，不僅會發動雙重勒索，並研判該組織運用了AI輔助開發相關工具。<br /> ●新發現有勒索軟體駭客的攻擊手法，是利用外流或是不慎曝光的AWS金鑰，接著濫用了AWS提供的資料保護措施SSE-C將客戶資料加密，再向使用者勒索。</p> <p>此外，還有兩起關於臺灣上市櫃公司的資安事件，專注於石英頻率控制元件的泰藝電子在1月12日發布重訊，說明有部分資訊系統遭到網路攻擊；國內老牌紡織纖維業者遠東新世紀〈原遠東紡織〉在1月16日發布重訊，說明他們接獲重要資通訊合作廠商通報，與自家公司合作的相關系統有資料外洩疑慮。</p> <p style="margin: 0px;"> </p> <h2><a href="https://www.ithome.com.tw/news/167152"><strong><span style="color: rgb(178, 34, 34);">【資安週報】0120~0124，國家級駭客攻擊全球，網路間諜攻擊威脅大增，電信產業成2024年重災區</span></strong></a></h2> <p>適逢農曆年節前夕，在2025年第三星期資安新聞的主要焦點，是國家級駭客的最新進展，顯現電信業在2024已成駭客攻擊頭號目標的態勢，不只最近美國9家電信業遭中國駭客滲透的事故，還有多國電信業近年持續被發現遭中國駭客入侵。</p> <p>此次報導亦整理出最新威脅態勢，突顯這些組織不只直接攻擊企業組織，更聚焦於邊緣裝置漏洞利用等方式滲透，而且供應鏈攻擊也深入臺灣發展的軟體與服務，像是近年一起資安事故就是透過ERP入侵，並且真正攻擊目標是臺灣無人機產業。</p> <p>在資安事件方面，這一星期國內多家上市櫃公司發布資安事件重訊，最大焦點是以AI機器視覺與機器人當紅的所羅門，因為這又是一起同集團均受影響的狀況；韓國VPN業者IPany遭入侵所引發的供應鏈攻擊事件亦受關注，資安業者指出是中國駭客PlushDaemon所為。<br /> ●上市公司聯鈞光電1月19日說明部分資訊系統遭遇勒索軟體攻擊。<br /> ●上市公司所羅門在1月23日說明資訊系統遭受駭客攻擊，同日所羅門集團旗下的上櫃公司新門科技，亦發布相同資安重訊內容。目前所羅門集團官網無法連線。<br /> ●韓國VPN業者IPany遭駭，攻擊者在原廠提供的安裝檔加料散布惡意程式SlowStepper，這起供應鏈攻擊目標包含韓國半導體、軟體業，日本用戶也受害。<br /> ●HPE內部系統憑證、產品原始碼疑遭竊取，知名初始入侵管道掮客IntelBroker在駭客論壇上兜售。HPE表示已著手調查。</p> <p>在威脅態勢與事件上，殭屍網路的威脅揭露是一大焦點，因為有4起消息與之有關，佔據本星期新聞事件不少版面。<br /> ●1.3萬臺MikroTik路由器被駭客綁架組成殭屍網路，藉此發送垃圾郵件並散布木馬，特殊之處是駭客利用DNS記錄設定不良來通過SPF的驗證，2萬網域遭利用。<br /> ●駭客透過Mirai變種殭屍網路發動創下新高的5.6 Tbps的UDP DDoS攻擊，Cloudflare一家東亞ISP的客戶成為目標，且攻擊時間是2024萬聖夜期間。<br /> ●cnPilot路由器被殭屍網路Airashi利用零時差漏洞綁架，攻擊者不只用於發動DDoS攻擊，也藉此提供非法代理伺服器服務。<br /> ●Mirai變種殭屍網路Murdoc的攻擊活動被揭露，主要鎖定陞泰IP攝影機、華為路由器。</p> <p>在漏洞消息方面，有兩則漏洞利用的消息，一是今年1月初，專為多雲環境設計的雲端網路控制平臺Aviatrix Controllers，修補CVSS評分10分的重大漏洞CVE-2024-50603，在1月23日美國CISA將其列入已知被利用漏洞清單（KEV），對當地機構要求限期修補；另一是2020年JQuery的老舊漏洞CVE-2020-11023，同樣在當日被列入KEV清單。</p> <p>另外，我們觀察到2個研究人員發現的新資安問題，值得大家留意，一是資安研究人員發現可濫用Cloudflare快取，進而推測用戶地理位置的手法；另一是發現群組原則已設定只接受NTLMv2的情況下，仍有部分應用程式可透過ParameterControl的參數，來請求NTLMv1驗證訊息。</p> <p>至於資安防禦發展新聞中，有一項重要消息是，Google釋出新的軟體組成分析函式庫OSV-SCALIBR，將有助於協助生成精準的SBOM，並提升漏洞檢測效能。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/166878">【2024年12月資安月報，美國9家電信業遭中國駭客Salt Typhoon滲透，政府呼籲使用全程加密的即時通訊App】</a></h3> <h3><a href="https://www.ithome.com.tw/news/166394">【2024年11月資安月報，身分安全與AI成資安熱點，電信業滲透事件敲響警鐘】</a></h3> <h3><a href="https://www.ithome.com.tw/news/165787">【2024年10月資安月報】關切資安法修法、零信任、CMMC 2.0與資訊作戰，迎向不斷變化的資安威脅考驗</a></h3> <h3><a href="https://www.ithome.com.tw/news/165258">【2024年9月資安月報】數十個臺灣政府機關、企業的網站服務遭受DDoS攻擊</a></h3> <h3><a href="https://www.ithome.com.tw/news/165169">【2024年8月資安月報】</a></h3> <h3><a href="https://www.ithome.com.tw/news/164223">【2024年7月資安月報】</a></h3> <p> </p> </div></div></div>
2025/1/26 21:17作者羅正漢https://www.ithome.com.tw/news/167154
Hugging Face釋出號稱業界最小多模態語言模型，推論單一圖片不用1GB RAM
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">AI資源平臺Hugging Face上周<a href="https://HuggingFace.co/blog/smolervlm" target="_blank">公布SmolVLM二款新多模態模型</a>，SmolVLM-256M及SmolVLM-500M，前者號稱是全球最小的多模態及影片語言模型（video language model，VML）。</p> <p dir="ltr">Hugging Face團隊去年訓練2款80B參數的VLM，再縮成8B模型，然後縮小成SmolVLM 2B模型。然後他們決定再進一步縮小，著重效率、混合資料以及在不同需求間取得折衷。成果是強大但體積極小的多模態模型，包括SmolVLM 256M與SmolVLM 500M，各有基礎模型和指令微調模型。這些模型可以直接載入到transformer MLX和ONNX上。</p> <p dir="ltr">作為SmolVLM家族的新成員，256M及500M都是使用SigLIP為圖片編碼器，以SmolLM2為文字編碼器。他們在多項標竿測試超越一年半前才釋出的Idefics 80B模型。其中<a href="https://HuggingFace.co/HuggingFaceTB/SmolVLM-256M-Instruct" target="_blank">256M</a>是最小型的VLM及多模態模型，它能接受任何序列的圖片和文字，生成文字輸出。SmolVLM能勝任多種多模態任務，包括生成圖片描述或短影片字幕、PDF或掃瞄文件問答，以及回答關於圖表的問題。輕巧架構的架構讓它適合行動裝置上應用，同時維持強大效能。它以不到1GB的GPU RAM就能在單一圖片上執行推論。</p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/0126-smoller_benchmarks_Hugging%20Face_SmolVLM.png" style="width: 600px;" /></p> <p dir="ltr"><span style="color:#696969;"><span style="font-size:14px;">圖片來源／Hugging Face</span></span></p> <p dir="ltr">需要更高效能的組織可以選擇<a href="https://HuggingFace.co/HuggingFaceTB/SmolVLM-500M-Instruct" target="_blank">SmolVLM-500M</a>模型。500M在文件理解DocVQA和多模態推理標竿測試MMMU的表現不輸之前的2B。這模型對提示回應能力更佳，適用部署於組織營運環境。500M模型也是相當輕巧高效的模型，在單一圖片上推論僅需1.23GB的GPU RAM。二款模型微調後表現更佳。</p> <p dir="ltr">兩款模型都是以Apache 2.0授權開源。研究團隊提供了transformer和WebGU二種示範。所有模型和示範<a href="https://HuggingFace.co/collections/HuggingFaceTB/smolvlm-256m-and-500m-6791fafc5bb0ab8acc960fb0" target="_blank">都公布於此</a>。</p> </div></div></div>
2025/1/26 19:56作者林妍溱https://www.ithome.com.tw/news/167155
傳美國政府協調甲骨文等公司洽談收購TikTok
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">非營利組織<a href="https://www.npr.org/2025/01/25/g-s1-44779/tiktok-ban-deal-trump-oracle" target="_blank">NPR報導</a>，美國川普政府正在和甲骨文及其他美國科技業者商討收購短影片應用程式TikTok。</p> <p dir="ltr">報導引述消息人士指出，美國政府正在斡旋TikTok中國母公司字節跳動（ByteDance）和美國公司的交易。美方計畫是字節跳動（ByteDance）持有50%以下的股權，而由美國科技公司取得TikTok全球業務的過半股權，而其中甲骨文將監管TikTok的軟體、演算法及資料蒐集。這意謂著TikTok營運未來將實質掌握在美國手中。</p> <p dir="ltr">消息人士並指出，微軟也在洽談收購TikTok出資者之列。</p> <p dir="ltr">這發展將實現川普對TikTok的計畫。川普在上任前，承諾將解救TikTok被拜登政府生效的法案禁用的命運。在上任頭一天他簽署行政命令，要求司法部暫緩執行法律75天，但前提是TikTok必須賣給美國。他當時屬意中國和美國科技公司以合資持有TikTok，而美國公司持股50%。</p> <p dir="ltr">上任第一天川普在和甲骨文、軟銀、OpenAI發布Stargate計畫的記者會上，川普也曾和甲骨文技術長Larry Ellison非正式<a href="https://www.ithome.com.tw/news/167108" target="_blank">談到</a>讓甲骨文收購TikTok。</p> <p dir="ltr">此前彭博<a href="https://www.cnbc.com/2025/01/13/china-considers-selling-tiktok-us-operations-to-musk-bloomberg-.html" target="_blank">報導</a>中國政府屬意TikTok出售給馬斯克。而川普似乎不反對。官方表態上，中國外交部上周一反之前反對意見，<a href="https://www.axios.com/2025/01/20/china-tiktok-sale-willing" target="_blank">表示</a>私人企業有權決定要出售給誰或和誰合併。</p> <p dir="ltr">媒體<a href="https://www.voachinese.com/a/donald-trump-says-china-tariffs-could-hinge-on-tiktok-deal-20250121/7944495.html?utm_source=chatgpt.com" target="_blank">分析</a>，中國之所以同意，原因可能來自，以出售TitTok緩解美國威脅調高關稅的壓力，甚至換取其他領域，例如臺灣問題的談判籌碼，而且與美國公司合併至少能維持中國企業在美國的經濟利益，當然也能搏得自由開放的名聲。</p> <p dir="ltr">甲骨文於2020年川普第一任期曾提議收購TikTok美國業務，但最終並未成真。但甲骨文仍然是TikTok美國流量的代理資料中心唯一合作夥伴，藉此解決美國政府的國安疑慮。</p> </div></div></div>
2025/1/26 20:13作者林妍溱https://www.ithome.com.tw/news/167157
【資安週報】0120~0124，國家級駭客攻擊全球，網路間諜攻擊威脅大增，電信產業成2024年重災區
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>適逢農曆年節前夕，在2025年第三星期資安新聞的主要焦點，是國家級駭客的最新進展，顯現電信業在2024已成駭客攻擊頭號目標的態勢，不只最近美國9家電信業遭中國駭客滲透的事故，還有多國電信業近年持續被發現遭中國駭客入侵。</p> <p>此次報導亦整理出最新威脅態勢，突顯這些組織不只直接攻擊企業組織，更聚焦於邊緣裝置漏洞利用等方式滲透，而且供應鏈攻擊也深入臺灣發展的軟體與服務，像是近年一起資安事故就是透過ERP入侵，並且真正攻擊目標是臺灣無人機產業。</p> <p>在資安事件方面，這一星期國內多家上市櫃公司發布資安事件重訊，最大焦點是以AI機器視覺與機器人當紅的所羅門，因為這又是一起同集團均受影響的狀況；韓國VPN業者IPany遭入侵所引發的供應鏈攻擊事件亦受關注，資安業者指出是中國駭客PlushDaemon所為。<br /> ●上市公司聯鈞光電1月19日說明部分資訊系統遭遇勒索軟體攻擊。<br /> ●上市公司所羅門在1月23日說明資訊系統遭受駭客攻擊，同日所羅門集團旗下的上櫃公司新門科技，亦發布相同資安重訊內容。目前所羅門集團官網無法連線。<br /> ●韓國VPN業者IPany遭駭，攻擊者在原廠提供的安裝檔加料散布惡意程式SlowStepper，這起供應鏈攻擊目標包含韓國半導體、軟體業，日本用戶也受害。<br /> ●HPE內部系統憑證、產品原始碼疑遭竊取，知名初始入侵管道掮客IntelBroker在駭客論壇上兜售。HPE表示已著手調查。</p> <p>在威脅態勢與事件上，殭屍網路的威脅揭露是一大焦點，因為有4起消息與之有關，佔據本星期新聞事件不少版面。<br /> ●1.3萬臺MikroTik路由器被駭客綁架組成殭屍網路，藉此發送垃圾郵件並散布木馬，特殊之處是駭客利用DNS記錄設定不良來通過SPF的驗證，2萬網域遭利用。<br /> ●駭客透過Mirai變種殭屍網路發動創下新高的5.6 Tbps的UDP DDoS攻擊，Cloudflare一家東亞ISP的客戶成為目標，且攻擊時間是2024萬聖夜期間。<br /> ●cnPilot路由器被殭屍網路Airashi利用零時差漏洞綁架，攻擊者不只用於發動DDoS攻擊，也藉此提供非法代理伺服器服務。<br /> ●Mirai變種殭屍網路Murdoc的攻擊活動被揭露，主要鎖定陞泰IP攝影機、華為路由器。</p> <p>在漏洞消息方面，有兩則漏洞利用的消息，一是今年1月初，專為多雲環境設計的雲端網路控制平臺Aviatrix Controllers，修補CVSS評分10分的重大漏洞CVE-2024-50603，在1月23日美國CISA將其列入已知被利用漏洞清單（KEV），對當地機構要求限期修補；另一是2020年JQuery的老舊漏洞CVE-2020-11023，同樣在當日被列入KEV清單。</p> <p>另外，我們觀察到2個研究人員發現的新資安問題，值得大家留意，一是資安研究人員發現可濫用Cloudflare快取，進而推測用戶地理位置的手法；另一是發現群組原則已設定只接受NTLMv2的情況下，仍有部分應用程式可透過ParameterControl的參數，來請求NTLMv1驗證訊息。</p> <p>至於資安防禦發展新聞中，有一項重要消息是，Google釋出新的軟體組成分析函式庫OSV-SCALIBR，將有助於協助生成精準的SBOM，並提升漏洞檢測效能。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/167064"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月20日】駭客綁架MikroTik路由器從事網釣攻擊，意圖散布惡意軟體</span></strong></a></h3> <p>攻擊者看上路由器將其綁架組成殭屍網路，多半是為了用來從事DDoS攻擊，近期有人卻將其用於規畫更為複雜的網路攻擊行動，使得相關手法更難防範。</p> <p>這起資安事故特別之處在於，攻擊者也搭配了DNS的不當組態，而能藉此假冒合法的網域名稱寄送釣魚信，使得信件不會被郵件安全系統視為有害。</p> <h3><a href="https://www.ithome.com.tw/news/167100"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月21日】駭客聲稱握有IT大廠HPE的內部資料，該公司正在著手調查</span></strong></a></h3> <p>去年底初始入侵管道掮客IntelBroker先後於<a href="https://www.ithome.com.tw/news/166719">10月</a>、<a href="https://www.ithome.com.tw/news/166757">12月</a>兩度公布思科的內部資料，而在今年初這些駭客又有動作，他們聲稱手上有伺服器大廠HPE的內部檔案。</p> <p>值得留意的是，這些駭客並非首次表明竊得HPE內部的資料，去年2月，<a href="https://www.bleepingcomputer.com/news/security/hpe-investigates-new-breach-after-data-for-sale-on-hacking-forum/">他們號稱從HPE開發環境取得內部資料</a>。究竟這次駭客兜售的資料是否與之前有關？有待進一步釐清。</p> <p><a href="https://www.ithome.com.tw/news/167118"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月22日】陞泰IP攝影機已知漏洞再傳遭到Mirai變種殭屍網路鎖定</span></strong></a></p> <p>去年美國網路安全暨基礎設施安全局（CISA）、資安業者Akamai揭露陞泰科技（Avtech）的IP攝影機漏洞CVE-2024-7029，並表示已有攻擊行動出現，如今有資安業者發現，可能還有其他駭客用於殭屍網路攻擊。</p> <p>資安業者Qualys揭露綁架超過5,500臺裝置的殭屍網路Murdoc，並提及攻擊者運用已知漏洞對裝置散布惡意軟體，其中一個就是CVE-2024-7029。</p> <h3><a href="https://www.ithome.com.tw/news/167142"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月23日】中國駭客入侵韓國VPN業者IPany發動供應鏈攻擊，竄改安裝程式散布後門</span></strong></a></h3> <p>駭客入侵軟體開發業者，並在正式發布的軟體裡加入惡意程式碼的情況，不時有事故傳出，最近一起針對韓國VPN業者的攻擊事故揭露，引起外界的關注。</p> <p>值得留意的是，發動這起事故的中國駭客組織PlushDaemon，開發了具備超過30種功能的後門程式來從事攻擊，但資安業者ESET發現，這些駭客也著手開發威力更加強大的版本。</p> <h3><a href=" https://www.ithome.com.tw/news/167151"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【1月24日】印度駭客組織DoNot假借提供即時通訊軟體的名義散布惡意程式</span></strong></a></h3> <p>駭客鎖定安卓手機收集資料的情況，隨著全球國際局勢的緊張，這種攻擊也不斷出現，其中，最常見的就是要受害者授予各式的存取權限，從而大肆搜刮手機的資料並監控使用者，如今這樣的手法出現變化。</p> <p>資安業者Cyfirma揭露印度駭客組織DoNot（APT-C-35）近期的攻擊行動當中，駭客的惡意App在取得輔助功能權限後，竟是透過訊息推播的方式，發動第二波網釣攻擊</p> <p> </p> </div></div></div>
2025/1/25 17:46作者羅正漢https://www.ithome.com.tw/news/167152
2025年全球風險報告出爐，錯假訊息、網路間諜戰是短期10大風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>世界經濟論壇（WEF）在1月15日發布了《<a href="https://reports.weforum.org/docs/WEF_Global_Risks_Report_2025.pdf">2025年全球風險報告</a>》，此次剛好是該報告發布的第20周年。在今年短期風險中，第一名是科技類型風險，這已是連續兩年有此狀況，長期風險仍以多項環境風險為主、科技風險次之。</p> <p>基本上，WEF將風險分成五大類，包括經濟、環境、地緣政治、社會，以及科技風險。</p> <p>根據2025報告內容指出，未來2年全球十大風險而言，科技風險居於第1名與第5名，最值得優先關注，分別是錯誤資訊與假訊息，以及網路間諜與戰爭。</p> <p>其他重要風險包括：環境風險居於第2名、第6名，分別是極端氣候、污染；地緣風險居於第3名、第9名，分別是國家武裝衝突、地緣經濟對抗；社會風險佔據第4、7、8、10名，最高是排第4的社會兩極化。</p> <p>值得我們關注的是，關於「錯誤資訊與假訊息」一項，已是連續兩年居於短期10大風險之首。</p> <p>對此狀況，報告中特別強調生成式AI在大規模產生虛假或誤導性內容方面的作用，以及與另一項風險社會兩極化的關聯。</p> <p>同時，WEF也直截了當指出，社會接觸到的虛假或誤導性內容數量是持續增加，讓公民、企業與政府辨識真實資訊的挑戰更加艱難。</p> <p>更關鍵的是，在錯誤資訊、社會及政治兩極化這兩者的交互作用下，進一步加劇演算法偏見的風險。而且，演算法偏見也成為加劇錯誤資訊的推手，在這樣的態勢下也讓威脅者有機可趁，利用演算法偏見上的漏洞來擴大影響力。</p> <p>此外，還要加上全球數據治理與監管政策各異，這也造成公民數位足跡面臨隱私保護與監控風險的兩難局面。</p> <p>面對社會分裂感日益增強的狀況，在一個分裂世界中是否可能達成共識是否可能？WEF列出幾項建議，例如：企業需加強技術與倫理培訓，減少演算法偏見，政府與社會應推動公民數位素養教育，提升隱私保護與辨識假訊息的能力，同時建立AI使用的透明框架，才能讓數位生態重建信任基礎。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E5%9C%962)WEF%E7%99%BC%E5%B8%832025%E5%B9%B4%E5%85%A8%E7%90%83%E9%A2%A8%E9%9A%AA%E5%A0%B1%E5%91%8A_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90WEF.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(128, 128, 128);"><strong>在世界經濟論壇（WEF）發布的2025年全球風險報告中，</strong></span><span style="color: rgb(128, 0, 128);"><strong>科技類型風險</strong></span><span style="color: rgb(128, 128, 128);"><strong>成全球最大挑戰，錯誤資訊與假訊息（Misinformation and disinformation）</strong></span><span style="color: rgb(128, 128, 128);"><strong>連兩年居於首要風險，網路間諜與戰爭（Cyber espionage and warfare）</strong></span><span style="color: rgb(128, 128, 128);"><strong>排第五；至於長期風險排名第一仍是環境類型風險的極端氣候事件。</strong></span></p> <p>另一項不可輕忽的科技風險是排名第五的「網路間諜與戰爭」。這項風險日益嚴峻的原因，同樣與其他風險項目有所連動。WEF提到多項重點，例如，虛假或誤導內容的氾濫，導致地緣政治環境更加複雜化，地緣經濟對抗的這項風險，從前一年度的第14名攀升至第9名，在這種局勢下，政府主導的商業網路間諜活動也可能會變得更加頻繁。而且，上述這些也都是與國家武裝衝突高度相關的風險。</p> <p>換個角度，從未來10年的十大風險來看，WEF指出最主要還是環境風險，涵蓋第1到第4名與第10名，科技風險也不容小覷，居於第5、6、9名，當中不僅是包含錯誤資訊與假訊息、網路間諜與戰爭，還有一項是「AI技術的不良後果」。WEF指出，這項風險在短期風險排名仍低，但在長期風險卻是上升幅度最大的風險之一。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E5%9C%962)WEF%E7%99%BC%E5%B8%832025%E5%B9%B4%E5%85%A8%E7%90%83%E7%B6%B2%E8%B7%AF%E5%AE%89%E5%85%A8%E5%B1%95_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90WEF.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(128, 128, 128);"><strong>WEF在1月13日還有發布一份《 <a href="https://www.weforum.org/publications/global-cybersecurity-outlook-2025/">2025年全球網路安全展望</a>》報告，當中指出地緣政治緊張、技術快速發展，使得網路安全複雜度超越以往，不論是地緣政治緊張局勢升級、供應鏈的日益複雜、新興科技的快速採用，以及不斷增加的法規要求，都加劇了這種複雜性。</strong></span><strong style="color: rgb(128, 128, 128);">而這樣的複雜性，也導致了網路安全的不平等現象變得日益嚴重，資源較少的組織更難以應對不斷變化的威脅。</strong></p> </div></div></div>
2025/1/25 18:00作者羅正漢https://www.ithome.com.tw/news/167153
零售IT雙周報第50期：Walmart大力投資門市內OMO訂單履行能力，要在400間門市增設自動化物流設備
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#0000ff;"><strong>重點新聞(0112~0125)</strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#自動化物流 #門市內訂單履行</span></strong></span><br /> <strong>Walmart計畫在400家門市內增設自動化設備，支援電商與BOPIS訂單履行</strong></p> <p>零售龍頭Walmart將旗下先進系統與機器人技術部門，賣給智慧倉儲系統商Symbotic，同時簽署專屬供應契約，12年內，後者開發的自動化倉儲技術，只能提供給Walmart。</p> <p>Walmart將相關部門賣給Symbotic，是希望強化後者開發能量，並為Walmart 400間門市打造自動化訂單履行設備，包括軟體面的AI機器人管理技術，以及硬體面的自動化物流機器人。這些設備會用來支援門市出貨的電商訂單，以及線上下單線下取貨（BOPIS）等OMO訂單履行模式。此計畫中，Walmart預計分期支付共5.2億美元給Symbotic。</p> <p>這是Walmart自從發展電商以來，持續大力投資智慧倉儲與物流的又一步。2024年，他們不只持續開設大型智慧物流中心，也<a href="https://www.ithome.com.tw/news/166270">利用大數據技術</a>大幅改善物流效率，降低高達40%的物流成本。近月，<a href="https://www.ithome.com.tw/news/166033">他們更開設了新型OMO門市，有一般門市4倍大的電商訂單履行和則2倍多的BOPIS專用停車位。</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#GCP #生成式AI #搜尋功能</span></strong></span><br /> <strong>GCP推出一系列針對零售業者打造的生成式AI與AI代理人功能</strong></p> <p><a href="https://www.googlecloudpresscorner.com/2025-01-09-Google-Cloud-Unveils-New-Retail-Solutions-for-the-Agentic-AI-Era">GCP宣布一系列零售業生成式AI新功能與既有功能強化。</a>首先是AI代理人平臺Google Agentspace，開始支援零售業應用場景，例如可以打造目錄管理員，自動整合商品目錄數據，並回答關於商品的問題。</p> <p>AI搜尋功能Vertex AI Search for Commerce，則新增對話式商務（Conversational commerce）功能，這是一個結合原有Vertex AI Search搜尋功能的聊天機器人，可以整合進零售業者數位通路，用自然語言和顧客互動、提供搜尋商品，以及回答問題。</p> <p>另一個重要新功能是，利用生成式AI來補齊和豐富產品目錄數據的功能。此功能利用Gemini 1.5 Pro、Gemini 1.5 Flash和Imagen 3等多模態模型，來提升產品目錄的數據準確性，並能豐富更多圖片、描述等商品資訊。<a href="https://www.ithome.com.tw/news/165047">這個功能類似於Walmart先前用來提升百倍生產力的生成式AI應用方法。</a></p> <p>另外，GCP聯網門市類的解決方案，開始能使用最新圖像生成影片模型Veo，以及文字生成圖像模型Imagen 3，進一步強化商家運用多模態生成式AI的能力。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#AI代理人 #生成式AI #智慧POS #訂單履行</span></strong></span><br /> <strong>Salesforce推出零售用AI代理人功能，同時升級POS系統來支援更多購物場景</strong></p> <p>無獨有偶的，Salesforce也針對零售業推出<a href="https://www.salesforce.com/news/press-releases/2025/01/10/agentforce-retail-cloud-pos-announcement/">新AI代理人功能</a>。他們於代理人平臺Agentforce中新增零售專用代理人技能庫，包含訂單管理、預約排程、導購服務和忠誠度管理等。訂單管理可以讓顧客以對話形式更改付款或送貨等訂單細節；導購服務可以用自然語言對顧客推薦商品後，根據對話內容自動幫顧客完成下單與結帳；預約排程則可以協助顧客根據商家實際有的空檔，來安排送貨、安裝和諮詢等現場服務；忠誠度管理功能，則是透過對話來執行促銷活動和會員經營。</p> <p>Salesforce升級Retail Cloud產品線中的POS系統，整合線上和線下庫存數據，並能建立顧客檔案，紀錄購物行為、偏好和忠誠度狀態。這個POS還支援「混合購物車」功能，為購物車中的每個商品獨立設定訂單履行模式，如BOPIS、宅配等。此POS系統以在行動裝置執行為前提設計，將店員從櫃檯解放。新POS系統也和Commerce Cloud、Service Cloud和Order Management等其他Salesforce產品線的功能原生整合。</p> <p><strong style="color: rgb(255, 255, 255);"><span style="background-color:#0099ff;">#RMN3.0 #微軟 #AWS</span></strong><br /> <strong>微軟與AWS相繼推出RMN 3.0服務，提供零售業者經營RMN的IT支援</strong></p> <p>AWS和微軟相繼推出RMN 3.0相關服務，提供零售業者經營RMN所需的IT支援，CSP自己則作為平臺方，整合更多來源的數據和更多行銷通路。</p> <p><a href="https://advertising.amazon.com/library/news/retail-ad-service-announcement">AWS做法是提供自家RMN用的廣告科技</a>，讓零售商能夠在搜尋頁面、瀏覽頁面及商品頁面上展示Amazon廣告，經營RMN。利用此服務搭建的廣告系統，會結合庫存狀態和價格資訊，以及情境化資料，確保顧客所見廣告為適合且有現貨的商品。投放廣告後，廣告數據分析會在AWS數據無塵室（DCR）中進行，於加密執行環境中，為零售商及其廣告主產生去識別化的行銷成效報告。</p> <p><a href="https://about.ads.microsoft.com/en/blog/post/january-2025/microsoft-advertisings-new-commerce-media-innovations-unlock-growth-for-brands-and-retailers">微軟則對是開放零售商串接數據及廣告版位到Micosoft Advertising平臺。</a>零售業者可以直接用微軟平臺一站式處理數據分析、廣告交易及專案管理。不過，微軟並沒有解釋技術細節，例如零售業者如何導入或整合所需的Adtech技術，以及零售業者對於廣告操作的選項。</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(0, 153, 255);">#ERP #生成式AI #會員經營</span></strong></span><br /> <strong>SAP推出零售業專用ERP等多種零售新解決方案</strong></p> <p><a href="https://news.sap.com/2025/01/sap-nrf-2025-retail-public-cloud-erp-ai-shopping-assistant/">ERP大廠SAP推出一系列零售業新解決方案。</a>首先是專門為零售業設計的ERP，強調針對零售商品銷售、供應鏈整合、門市營運與OMO通路管理設計功能。</p> <p>這個新ERP及其他既有產品線中，還新增了多種會員經營功能，包括連結顧客檔案到支付工具的精準行銷、跨品牌及跨企業的會員黏著度管理、提供全通路促銷規畫功能、會員旅程規畫功能，以及結合財務系統來衡量這些行銷投資報酬率的功能。</p> <p>另外，他們將於2025年上半年正式推出AI購物助理，透過SAP CX AI Toolkit提供。此功能以SAP Commerce Cloud現有的AI功能為基礎打造，可以透過自然語言對話，協助顧客客戶快速找到他們所需的產品。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">#數位孿生 #門市管理 #行銷素材製作 #生成式AI</span></strong></span><br /> <strong>L'Oreal和Lowe's如何應用數位孿生</strong></p> <p>在近期全美零售聯合會年會中，美妝品牌L'Oreal和家居品牌Lowe's各自揭露自家應用數位孿生的方法。</p> <p>L'Oreal為自家商品製作3D數位孿生，並將檔案提供給行銷代理商，支援他們用生成式AI來製作行銷素材。這是因為，3D數位孿生能精確捕捉產品的幾何形狀、比例和細節，且能3D模型可以從任何角度或視角進行渲染，利用Stable Diffusion等圖像生成式AI製作行銷圖時，能更靈活調整內容，同時保留商品細節。</p> <p>Lowe's則是為旗下1,700間門市製作數位孿生，並每天根據庫存及營運數據更新。這是為了持續分析門市狀態，並模擬、調整不同的店鋪布局模式，來強化顧客購物體驗。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多零售IT動態</span></strong></span></p> <p>Momo旗下RMN已經有超過萬家品牌客戶，雙11廣告投放金額較前一年的總廣告營收成長3.5倍</p> <p>富士通鎖定零售業等產業，提供數據與系統整合搭配數位顧問的服務平臺</p> <p>大型連鎖藥局Walgreens CEO表示將貨架上鎖的防盜措施，造成的銷售下滑反而得不償失</p> <p><a href="https://corporate.bestbuy.com/2025/best-buy-marketplace/">大型連鎖3C零售商Best Buy推出第三方市集，並整合自家RMN服務</a></p> <p><a href="https://corporate.lowes.com/newsroom/stories/fresh-thinking/5-tech-savvy-ways-lowes-simplifying-homeownership">Lowe's的會員資訊與家具管理平臺將加入生成式AI功能，進一步支援會員的家具組裝與維修</a></p> <p>資料來源：iThome整理，2025年1月</p> <p>責任編輯：郭又華</p> <p>圖片來源：Walmart</p> <p></p> </div></div></div>
2025/1/24 12:31作者郭又華https://www.ithome.com.tw/news/167147
【資安日報】1月24日，印度駭客組織DoNot假借提供即時通訊軟體的名義散布惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客鎖定安卓手機收集資料的情況，隨著全球國際局勢的緊張，這種攻擊也不斷出現，其中，最常見的就是要受害者授予各式的存取權限，從而大肆搜刮手機的資料並監控使用者，如今這樣的手法出現變化。</p> <p>資安業者Cyfirma揭露印度駭客組織DoNot（APT-C-35）近期的攻擊行動當中，駭客的惡意App在取得輔助功能權限後，竟是透過訊息推播的方式，發動第二波網釣攻擊。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167150"><strong style="font-size: 22px;">印度駭客組織DoNot鎖定安卓用戶，散布惡意軟體Tanzeem</strong></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/android17-3.jpg" style="width: 300px; float: right;" /></p> <p>隨著全球國際局勢日益緊張，駭客鎖定特定人士手機收集情報的事故，最近兩年有越來越繁的現象，而且，在手法上也有所變化。</p> <p>資安業者Cyfirma指出，被稱為DoNot、APT-C-35的印度駭客組織，假借提供聲稱可進行網路聊天的程式Tanzeem、Tanzeem Update，意圖對於特定組織及個人的安卓手機發動攻擊。</p> <p>根據Cyfirma對惡意App的分析，他們發現內含OneSignal訊息推送平臺的元件，由於此平臺廣泛被行動App及網頁應用程式推送通知、電子郵件、簡訊，因此研究人員認為，駭客很有可能是濫用OneSignal推送含有釣魚連結的通知，從而發動進一步的攻擊。</p> <p><a href="https://www.ithome.com.tw/news/167130"><strong style="font-size: 22px;">Mirai殭屍網路攻擊規模再創新高，資安業者Cloudflare攔下規模5.6 Tbps的DDoS攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/0123-cloudflare-ddos report-mirai.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0123-cloudflare-ddos%20report-mirai.png" style="float: right; width: 300px;" /></a></p> <p>資安業者Cloudflare本周公布2024年第4季DDoS攻擊活動的統計報告，指出在引發網路層DDoS攻擊的殭屍網路中，Mirai占6%，季增131%相當值得留意。</p> <p>該公司提及在10月29日出現史上規模最大的DDoS攻擊，一家東亞ISP客戶遭到流量高達5.6 Tbps的攻擊事故，流量來自1.3萬臺物聯網（IoT）裝置，歷時約80秒。這些裝置遭到Mirai變種程式感染後，集體發動的DDoS攻擊。</p> <p>論及攻擊來源與受害國家，印尼、香港、新加坡、烏克蘭和阿根廷是最大來源。臺灣、香港、中國、菲律賓和德國是最主要攻擊目標；Cloudflare臺灣客戶發生7起DDoS攻擊，由前季的第7名躍升到第3名。</p> <p><a href="https://www.ithome.com.tw/news/167104"><strong style="font-size: 22px;">微軟已棄用的NTLMv1驗證機制，仍可能被啟動用於攻擊</strong></a></p> <p>微軟早已將NTLM（NT LAN Manager）列為過時的身分驗證機制，但資安業者Silverfort發現，Active Directory群組原則用於限制NTLMv1的機制，在設計上因支援舊系統的需求，可能被攻擊者濫用以重新啟用NTLMv1，對企業資安帶來潛在風險。</p> <p>研究人員發現，部分應用程式可以透過名為ParameterControl的參數，來請求NTLMv1驗證訊息，即使系統規則已設置為只接受更安全的NTLMv2。該問題尤其影響非Windows用戶端環境，因為這些用戶端在應用程式的要求下，可能使用不安全的驗證資料，導致網路流量暴露於遭攻擊者攔截與破解的風險。</p> <p>攻擊者可以攔截並破解NTLMv1流量，進而取得用戶憑證執行橫向移動或權限提升等進階攻擊行為。研究人員強調，僅依賴Active Directory群組原則並無法完全阻擋NTLMv1的使用，特別是當企業使用內部開發或第三方應用程式時，這些應用可能無意間允許或啟用不安全的驗證機制。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/sonicwall-warns-of-sma1000-rce-flaw-exploited-in-zero-day-attacks/">SonicWall防火牆設備SMA 1000系列存在重大漏洞，已傳出被用於攻擊行動</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.ithome.com.tw/news/166898">【電信業屢遭國家級駭客鎖定】美國多家電信業遭駭成2024最大網路間諜事故</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167149"><strong style="font-size: 22px;">供房地產網站使用的WordPress佈景主題、外掛存在重大漏洞，攻擊者有機會得到3萬個網站的管理權限</strong></a></p> <p>鎖定WordPress外掛程式的漏洞攻擊事故頻傳，因此相關漏洞的通報與揭露也相當值得網站管理員留意，若是外掛程式開發團隊沒有修補漏洞，管理員還是要採取相關措施因應，以免網站成為歹徒下手的目標。</p> <p>資安業者Patchstack表示在去年9月，發現WordPress佈景主題RealHome和外掛程式Easy Real Estate存在重大層級的漏洞CVE-2024-32444、CVE-2024-32445，他們向開發商InspiryThemes通報此事，迄今尚未得到回覆，因此他們呼籲網站管理員在廠商沒有提供修補之前，應停用佈景主題及外掛程式因應。</p> <p>這兩種延伸套件提供那些功能？RealHome是專為房仲網站設計的佈景主題，提供相關樣式設計，具備高度客製功能，甚至開發團隊外掛程式支援，而能擴充它的能力，其中一款就是本次揭露的社群網帳號登入模組Easy Real Estate。此佈景主題的付費版本已賣出近3.2萬套，因此漏洞影響的範圍可能相當廣泛。</p> <p><a href="https://www.ithome.com.tw/news/167139"><strong style="font-size: 22px;">思科修補防毒軟體ClamAV阻斷服務漏洞，防止攻擊者中斷防毒掃描</strong></a></p> <p>思科（Cisco）釋出1.4.2和1.0.8版開源防毒軟體ClamAV，其中一項重要安全更新是修補可能導致拒絕服務（DoS）攻擊的漏洞CVE-2025-20128。該漏洞存在於OLE2檔案格式解析的過程，攻擊者可以利用經過特殊設計的檔案，使ClamAV防毒掃描功能崩潰，進一步影響其運作。用戶目前可以在ClamAV官網、GitHub Release頁面以及Docker Hub上找到更新檔案。</p> <p>CVE-2025-20128漏洞由Google的OSS-Fuzz專案發現，主要問題出在OLE2檔案解密過程出現緩衝區溢出讀取錯誤。該問題自ClamAV 1.0.0版本就已存在，影響所有目前仍在支援範圍內的版本，攻擊者一旦成功濫用此漏洞，就可能導致防毒掃描中斷，雖然不會直接影響整體系統的穩定性，但卻會對用戶安全防護構成威脅。</p> <p>儘管目前沒有發現針對CVE-2025-20128漏洞的攻擊案例，但官方特別強調，已經有公開的概念性驗證程式碼流傳。這代表該漏洞可能成為攻擊的目標，思科敦促企業應立即檢查現有環境並套用相關更新。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/researcher-says-abb-building-control-products-affected-by-1000-vulnerabilities/">研究人員指出ABB大樓控制系統存在超過1千項弱點</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/aws-patches-vulnerabilities-in-workspaces-appstream-2-0-and-dcv-clients/">AWS修補WorkSpaces、AppStream、DCV高風險漏洞</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/qnap-fixes-six-rsync-vulnerabilities-in-hbs-nas-backup-recovery-app/">威聯通為NAS設備修補檔案同步工具Rsync弱點</a></strong></p> <p></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167141"><strong style="font-size: 22px;">預算遭大砍4成，數位部表示將影響打詐、通訊韌性基礎建設及資通安全</strong></a></p> <p>針對預算被刪減近36億元，佔整體預算編列4成，數位部重申，受衝擊的業務包括通訊韌性基礎建設、打詐、產業發展，資安方面，好不容易建立的資通安全團隊可能面臨人才流失，另外，資安管理工作AI化發展受阻，也將使得風險增加。</p> <p>針對立法院刪減114年度預算一事，數位部次長林宜敬近期表示，立院在野黨大幅刪減數位部的預算，對於臺灣的韌性及產業發展將帶來重大的影響。其中韌性基礎建設，數位部已在全臺警、消、軍部署773個非同步衛星網路，確保在天災及緊急危難時，對外網路通訊的順暢，去年也展示高空氣球緊急通訊設計，預算被刪減將造成韌性建設發展受阻，使臺灣面臨巨大的風險。</p> <p>在資安方面，臺灣地處地緣政治，每天平均受到240萬次的境外資安攻擊，數位部為水、電、電信、金融等關鍵基礎設施，以及政府機關、醫療院所提供24小時資安監控及防護，預算刪減將危及關鍵基礎設施的資安防護能力，威脅風險增加。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167020"><strong style="font-size: 22px;">推動AI代理人應用，Nvidia提供AI護欄微服務、內容安全防範工具</strong></a></p> <p>Nvidia宣布推出NIM AI護欄微服務，以解決企業對AI代理人的資料安全或違反法令的疑慮。此服務是Nvidia NeMo護欄（NeMo Guardrails）軟體工具集的一部分，都是以NIM微服務提供，包含內容安全、主題控管及越獄偵測。NeMo Guardrails是Nvidia開源的工具套件，可讓開發人員為LLM應用程式加入可程式化的護欄（Guardrails）或管理規則。</p> <p>新推出的內容安全微服務可防止AI生成有偏見或有害的輸出，確保符合倫理標準。主題控管微服務則確保對話內容的主題在許可範圍內，避免離題或不適當內容。越獄偵測微服務則防範使用者越獄（jailbreak），以免AI遭到不當利用的攻擊。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/167142"><strong>【1月23日】中國駭客入侵韓國VPN業者IPany發動供應鏈攻擊，竄改安裝程式散布後門</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167118"><strong>【1月22日】陞泰IP攝影機已知漏洞再傳遭到Mirai變種殭屍網路鎖定</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167100"><strong>【1月21日】駭客聲稱握有IT大廠HPE的內部資料，該公司正在著手調查</strong></a></p> </div></div></div>
2025/1/24 17:28作者周峻佑https://www.ithome.com.tw/news/167151
Subaru車聯網爆重大漏洞，攻擊者可遠端控制車輛、追蹤位置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安研究人員Shubham Shah與Sam Curry<a href="https://samcurry.net/hacking-subaru#visualizing-a-year-of-subaru-location-history">發現</a>，Subaru車聯網系統STARLINK（非SpaceX星鏈服務Starlink）管理面板存在一項重大安全漏洞，此漏洞允許攻擊者利用車主個人基本資訊對車輛進行遠端控制，包括啟動引擎、解鎖車門，以及查詢精確到5公尺內的車輛歷史位置記錄。該漏洞影響範圍廣泛，涵蓋所有美國、加拿大及日本連接STARLINK的車輛。經研究人員回報後，Subaru已在24小時內完成修補，並聲明未發現有惡意濫用的情況。</p> <p>此次安全事件的核心問題在於，攻擊者只需極少的車主資訊例如姓氏和郵遞區號，便能存取並控制特定車輛。此外，管理面板還可存取車主的個人資料，如地址、緊急聯絡人及帳單資訊，甚至能查詢過去一年車輛位置記錄。這些資訊的洩露不僅侵犯個人隱私，更可能被有心人士用於惡意目的，例如精確追蹤車輛位置。</p> <p>STARLINK系統的漏洞源於管理面板的多項設計缺陷。其中，密碼重設功能在沒有任何驗證機制，如確認信或一次性密碼的情況下，允許任何人僅憑電子郵件地址即可重設帳戶密碼。此外，儘管系統有實作雙因素驗證（2FA），但其驗證流程僅在客戶端執行。攻擊者發現，透過移除網頁程式碼中觸發雙因素驗證彈出視窗的JavaScript函式，即可完全繞過驗證，直接取得後端系統的完整操作權限。</p> <p>系統對管理面板使用者的電子郵件存取也缺乏嚴格限制，攻擊者可利用API介面，像是安全問題查詢功能，透過提交不同的電子郵件地址測試其有效性，列舉出合法的員工帳戶資訊，進一步接管帳戶並繞過身分驗證。</p> <p>廠商雖然迅速修復了漏洞，但該事件暴露出STARLINK車聯網系統存在權限管理與資料保護的結構性問題，包括過於寬鬆的員工權限設計、缺乏完善的API安全防護機制等。研究人員指出，Subaru員工擁有相當大的資料存取權限，例如一個18歲員工可以跨州查詢車主的敏感資訊，而且不會觸發任何警報。</p> </div></div></div>
2025/1/24 16:52作者李建興https://www.ithome.com.tw/news/167148
印度駭客組織DoNot鎖定安卓用戶，散布惡意軟體Tanzeem
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著全球國際局勢日益緊張，駭客鎖定特定人士手機收集情報的事故，最近兩年有越來越繁的現象，而且，在手法上也有所變化。</p> <p><a href="https://www.cyfirma.com/research/android-malware-in-donot-apt-operations/">資安業者Cyfirma指出</a>，被稱為DoNot、APT-C-35的印度駭客組織，假借提供聲稱可進行網路聊天的程式Tanzeem、Tanzeem Update，意圖對於特定組織及個人的安卓手機發動攻擊。</p> <p>研究人員先後於去年10月、12月看到兩個版本的惡意程式檔案，兩個版本檔案功能大致相同，差別在於對介面進行些微調整。</p> <p>一旦使用者依照指示安裝，手機就會出現Tanzeem App的歡迎畫面，然後顯示開始聊天的按鈕，一旦使用者點選，就會出現彈出式訊息，要求授予輔助功能權限。然而若是使用者照做，不會進入聊天的畫面，原因是惡意程式並未具備相關功能。</p> <p>根據Cyfirma對惡意App的分析，他們發現內含OneSignal訊息推送平臺的元件，由於此平臺廣泛被行動App及網頁應用程式推送通知、電子郵件、簡訊，因此研究人員認為，駭客很有可能是濫用OneSignal推送含有釣魚連結的通知，從而發動進一步的攻擊。</p> </div></div></div>
2025/1/24 17:05作者周峻佑https://www.ithome.com.tw/news/167150
供房地產網站使用的WordPress佈景主題、外掛存在重大漏洞，攻擊者有機會得到3萬個網站的管理權限
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>鎖定WordPress外掛程式的漏洞攻擊事故頻傳，因此相關漏洞的通報與揭露也相當值得網站管理員留意，若是外掛程式開發團隊沒有修補漏洞，管理員還是要採取相關措施因應，以免網站成為歹徒下手的目標。</p> <p>資安業者Patchstack表示在去年9月，發現<a href="https://patchstack.com/articles/unauthenticated-privilege-escalation-vulnerability-patched-in-real-home-theme/">WordPress佈景主題RealHome和外掛程式Easy Real Estate存在重大層級的漏洞</a>，他們向開發商InspiryThemes通報此事，迄今尚未得到回覆，因此他們呼籲網站管理員在廠商沒有提供修補之前，應停用佈景主題及外掛程式因應。</p> <p>這兩種延伸套件提供那些功能？RealHome是專為房仲網站設計的佈景主題，提供相關樣式設計，具備高度客製功能，甚至開發團隊外掛程式支援，而能擴充它的能力，其中一款就是本次揭露的社群網帳號登入模組Easy Real Estate。此佈景主題的付費版本已賣出近3.2萬套，因此漏洞影響的範圍可能相當廣泛。</p> <p>Patchstack揭露存在於RealHome的漏洞，登記為CVE-2024-32444，這是未經身分驗證的權限提升漏洞，起因是此佈景主題的程式碼在處理使用者輸入的內容時，並未進行授權或是檢查，一旦網站啟用使用者註冊的功能，攻擊者就有機會接管網站，CVSS風險評為9.8。此外，該佈景主題並未檢查使用者是否呼叫特定功能函數inspiry_ajax_register，攻擊者可使用$user_role變數建立管理員角色的帳號。</p> <p>另一個出現在Easy Real Estate的漏洞是CVE-2024-32445，Patchstack指出該漏洞形成的原因與CVE-2024-32444類似，攻擊者只要知道管理者的電子郵件信箱，就能在無須掌握對應密碼的情況下，登入任何使用者的帳號，CVSS風險評分同樣達到9.8。研究人員指出，這項漏洞發生的原因，在於該外掛程式並未驗證電子郵件信箱發出的POST請求。</p> </div></div></div>
2025/1/24 15:55作者周峻佑https://www.ithome.com.tw/news/167149
蘋果iOS 18.3、macOS 15.3將自動啟用Apple Intelligence
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果本周釋出iOS 18.3、iPadOS 18.3以及macOS 15.3，將讓新款iPhone、iPad及Mac電腦自動啟用Apple Intelligence。</p> <p>根據<a href="https://developer.apple.com/documentation/ios-ipados-release-notes/ios-ipados-18_3-release-notes#New-Features" target="_blank">iOS/iPadOS 18.3</a>及<a href="https://developer.apple.com/documentation/macos-release-notes/macos-15_3-release-notes" target="_blank">macOS Sequoia 15.3</a>網頁，新安裝或更新到最新OS版本的用戶，其設備會在重開機時自動啟用Apple Intelligence。啟用後裝置才會連網下載Apple Intelligence模型。</p> <p>在此之前，用戶必須在「設定」下的「Apple Intelligence & Siri」中，選擇「取得Apple Intelligence」來啟用這項功能。</p> <p>更新後Apple Intelligence成為預設啟動。要關閉Apple Intelligence，用戶就必須反過來，在「設定」下的「Apple Intelligence & Siri」中選擇「關閉Apple Intelligence」。</p> <p>想獲得蘋果AI功能的用戶，必須具備iPhone 16系列、iPhone 15 Pro、iPhone 15 Pro Max、搭載A17 Pro或M1晶片以上版本的iPad，或是M1晶片以上版本的Mac電腦。</p> </div></div></div>
2025/1/24 11:23作者林妍溱https://www.ithome.com.tw/news/167145
Anthropic推出Claude Citations功能，強化AI回應的來源驗證與可信度
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>人工智慧新創公司Anthropic宣布推出<a href="https://www.anthropic.com/news/introducing-citations-api">Claude Citations</a>功能，允許其大型語言模型Claude在生成的回覆中直接引用資料來源，藉此提升人工智慧回應的可信度和可驗證性。此功能已正式整合至Anthropic API和Google雲端的Vertex AI平臺，供開發者用於建置人工智慧應用程式。</p> <p>以往開發者需要透過複雜的提示詞工程，引導Claude提供資料來源，過程耗時且效果不一。現在，透過Citations功能，開發者只需將PDF和純文字檔來源文件提交給模型，Claude便會自動在回覆中標註引用內容的出處，精確到句子層級。根據Anthropic內部測試顯示，Citations功能的準確度比用戶自行設計的提示詞方法提升15％。</p> <p>Citations功能的運作機制，是將來源文件切分成句子片段，或是由用戶提供已分段文本，再與使用者輸入的上下文資訊一起傳遞給Claude模型。模型在生成結果時，會比對這些片段，並在引用相關資訊時自動加上註釋，指向對應的來源文件。此機制無需額外的檔案儲存空間，並與現有的Messages API整合。</p> <p>該功能有助於解決人工智慧生成內容的可信度問題，讓開發者更容易地建構具備可靠資訊來源的人工智慧應用，例如文件摘要、複雜問答系統和客戶支援等，並提升使用者對人工智慧應用的信任。Citations功能計費方式維持既有的Token計價模式，使用者僅需支付輸入的Token費用，引用來源輸出的標註文字則不收費，僅需為其他生成的內容付費。</p> </div></div></div>
2025/1/24 12:11作者李建興https://www.ithome.com.tw/news/167146
OpenAI公布AI代理人Operator，美國Pro方案用戶先試用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI昨（23）日公布自有代理人Operator，可代用戶上網搜尋、打字及執行其他任務。Operator目前以研究預覽版形式提供給美國的Pro付費用戶試用，未來會逐步推向其他國家及方案。</p> <p><a href="https://operator.chatgpt.com/" target="_blank">Operator網頁</a>已經上線。Operator具有自己的瀏覽器，若用戶需要它查詢或操作網頁，它可以和人類一樣讀取網頁並在網頁上打字、點擊或下拉卷軸。它會代用戶搜尋、提供建議，並在用戶同意下代為執行如下單等任務。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0124-opeanai-operator-2.jpg" style="width: 600px;" /></p> <p>Operator網頁正上方有一行ChatGPT的提示輸入列，下方有多項類別標籤，包括餐飲、快遞/外送、旅遊、購物等，每類標籤提供建議的網頁以及預設的提示。例如OpenTable下預設了預訂餐廳座位、或請它建議提供4.5星以上評價的餐廳等。用戶也可以直接輸入搜尋提示。根據執行長Sam Altman和其他OpenAI員工<a href="https://www.youtube.com/watch?v=CSE77wAdDLg" target="_blank">示範Operator的影片</a>，Operator在OpenTable上打字搜尋到數家符合要求餐廳、回覆用戶請求決定，並詢問用戶是否代為訂位。</p> <p>目前Operator為研究預覽版，今天起已提供月費200美元的Pro方案美國用戶使用。OpenAI表示這項服務會再推向其他地區，也會提供給Plus、Teams及Enterprise方案用戶。而歐盟地區也必須再等等。</p> <p>技術上，Operator使用的是名為使用電腦的代理人（Computer-Using Agent，CUA）。CUA結合GPT-4o的視覺能力及以強化式學習（reinforcement learning）訓練出的進階推理能力。CUA旨在和螢幕上的圖形化使用者介面（graphical user interfaces，GUI）如按鍵、選單和文字欄位互動。</p> <p>Operator的「觀看」能力來自螢幕擷圖，其螢幕互動能力是滑鼠和鍵盤允許的行為，因而它不需使用API整合就能在網頁上執行任務。如果Operator遭遇困難或犯錯，它會運用推理能力自行修正。而當卡住需要協助時，就會將控制權丟回給用戶。</p> <p>OpenAI表示CUA雖然還在開發階段，但在<a href="https://openai.com/index/computer-using-agent/" target="_blank">標竿測試</a>如WebArena及WebYoyager中，瀏覽器使用表現超過之前的SOTA（state of the art）模型。此外CUA在OSWorld標竿測試，也展現出比之前SOTA模型更好的電腦使用能力。</p> <p>Operator使用很容易，用戶可以在提示鍵中輸入自然語言描述想做的任務。在任何網站上，用戶都可加入客製指令建立個人化作業流程，像是Booking.com上設定偏好的航空公司，也能在特定網頁上儲存提示以加速日後使用，例如在eBay上添購日常用品。Operator還能像瀏覽器一樣多工作業，可允許另起對話執行新的任務，像是一邊訂房、一邊訂機票。不過OpenAI強調在任何作業上，用戶都可隨時接手主控權。</p> <p>目前OpenAI和多家電商或線上服務業者合作，包括DoorDash、Instacart、OpenTable、Priceline、StubHub、Thumbtack、Uber、eBay、路透社等，以提供更流暢的自動化服務。</p> <p>另一方面，OpenAI強調安全與隱私。除了加入護欄確保模型不被濫用，OpenAI為Operator加入行為限制以確保隱私。例如在需要登入、支付資訊或解決CAPTCHA時，會主動要求用戶自行輸入付款資訊或密碼。在完成重要任務，如送出email或下單前，Operator要求用戶許可。尤其在高度敏感站像是電子郵件或銀行網站，它會要求用戶檢查。它也會拒絕高度敏感任務，例如轉帳或投遞履歷。</p> <p>OpenAI允許用戶在ChatGPT設定中關閉「為所有人改進模型」，以防止Operator對話被用於訓練模型。用戶也可以在Operator設定的「隱私」頁中，刪除所有上網資料及登出網站。不過<a href="https://techcrunch.com/2025/01/23/openai-says-it-may-store-deleted-operator-data-for-up-to-90-days/" target="_blank">Techcrunch</a>報導，即使用戶刪除，資料還是會在系統內保存90天，超過ChatGPT的30天。</p> </div></div></div>
2025/1/24 11:11作者林妍溱https://www.ithome.com.tw/news/167143