iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 25篇
近 24 小時: 25篇
近 7 天: 122篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/9
最近更新: 11/9 16:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 122 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象5 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
彭博社1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

ChatGPT開放免登入搜尋恐直接威脅Google
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI<a href="https://x.com/OpenAI/status/1887224584539414983" target="_blank">宣布</a>ChatGPT Search現在起開放免登入使用，直接威脅搜尋霸主Google。</p> <p>現在所有人都可以直接在chatgpt.com進行網頁搜尋，再也無需登入帳號。不過在手機版上，用戶還是得先登入。</p> <p>ChatGPT搜尋去年11月僅提供Plus、Team及排隊名單的用戶使用。12月時<a href="https://www.ithome.com.tw/news/166543" target="_blank">擴大</a>提供給所有免費方案用戶，不過必須登入才能使用。免去登入要求後，使用者只要在提示列輸入想知道的問題，ChatGPT就能搜尋網頁，條理列出答案並提供資訊來源。</p> <p>這將使OpenAI ChatGPT搜尋直接與Google Search和Microsoft Bing競爭。其中又以Google和OpenAI最直接競爭。<a href="https://www.ithome.com.tw/news/166493" target="_blank">Google</a>和<a href="https://www.ithome.com.tw/news/167180" target="_blank">OpenAI</a>相繼推出深度研究（deep research）AI代理人功能，以便幫助用戶在網上搜尋完成報告及研究。</p> <p>其他AI新創公司如Perplexity提供的AI搜尋引擎，也允許使用者免登入，並透過聊天機器人回覆答案或搜尋結果，也會提供來源網站如TripAdvisor作為佐證。</p> </div></div></div>
2025/2/7 09:40作者林妍溱https://www.ithome.com.tw/news/167249
Go模組快取機制遭濫用，惡意後門套件潛伏多年未被察覺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安廠商Socket研究人員<a href="https://socket.dev/blog/malicious-package-exploits-go-module-proxy-caching-for-persistence">揭露</a>一起針對Go生態系的供應鏈攻擊，攻擊者透過套件名稱冒充攻擊（Typosquatting）手法，冒充廣受採用的BoltDB資料庫套件，並利用Go模組代理（Module Proxy）的快取機制，使惡意套件長期存在且未被偵測。此事件凸顯Go模組快取機制存在風險，即便原始儲存庫內容已被修改或移除，但惡意版本仍可由快取繼續發布。</p> <p>這起攻擊涉及的惡意套件名為<span style="color:#3333ff;">github.com/boltdb</span><span style="color:#B22222;">-go</span><span style="color:#3333ff;">/bolt</span>，其命名方式與合法的BoltDB套件<span style="color:#3333ff;">github.com/boltdb/bolt</span>極為相似，容易讓開發者因輸入錯誤或疏忽而誤用。惡意版本內建遠端控制後門，攻擊者可透過命令與控制伺服器執行遠端指令，取得受感染系統的存取權限。</p> <p>由於Go模組代理會自動快取其首次擷取的模組版本，並依設計禁止修改已發布的版本，因此即使攻擊者在GitHub上重新標記相同版本的標籤，使原始程式碼看似無害，代理仍會繼續提供首次快取的版本。當快取版本包含惡意程式碼，則在未來的下載請求中仍可能被開發者取得，導致潛在的安全風險。</p> <p>該套件最早於2021年11月上傳至GitHub，並經由Go模組代理快取。研究人員發現，攻擊者在惡意版本被快取後，修改Git標籤指向乾淨版本，使得手動審查GitHub原始碼時無法發現異常。但透過Go CLI下載模組時，依然會取得快取的惡意版本，導致惡意程式長期潛伏，直到最近才被發現。由於BoltDB本身已停止維護，許多開發者選擇改用不同的Fork版本，這使得冒充套件更容易混入開發環境。</p> <p>該惡意套件的後門機制透過隱藏的IP地址與遠端伺服器建立連線，一旦安裝並執行，攻擊者便可透過TCP連線發送指令，在受害系統上執行任意殼層命令，並回傳執行結果。此外，該程式內建持續運作機制，即使連線中斷或過程發生錯誤，仍會自動重新啟動，確保後門長時間維持運作。研究人員進一步分析其原始碼，發現攻擊者透過變數運算與字串取代等技術混淆命令與控制伺服器地址，使得靜態分析工具較難辨識其異常行為。</p> <p>Go模組代理的快取機制原本是為了提升軟體開發效率，確保開發者獲取一致且可重現的模組版本，避免因上游變更導致相依性破壞。而這個事件突顯了快取機制存在安全風險，由於Go模組機制不允許移除或修改已發布的版本，因此這類供應鏈攻擊也難以透過現有機制修復，開發者需要藉額外的安全工具來檢測出惡意套件。</p> </div></div></div>
2025/2/7 08:11作者李建興https://www.ithome.com.tw/news/167247
Stack Exchange測試AI回答機制，社群憂影響知識品質
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Stack Exchange啟動了一項<a href="https://meta.stackexchange.com/questions/406307/ai-generated-answers-experiment-on-stack-exchange-sites-that-volunteered-to-part">Answer Assistant實驗</a>，測試由人工智慧生成的回答是否能通過社群審核機制，成為公開的內容。然而，此舉在社群內部引發廣泛討論與爭議，部分用戶擔憂人工智慧內容可能影響平臺的知識品質，甚至改變Stack Exchange作為人類策畫知識庫的核心價值。對於Stack Exchange來說，這項實驗目的在於探索人工智慧技術，如何在維持人類維護的前提下，輔助使用者獲得解答，但目前的實施方式已讓不少資深貢獻者感到不安，擔憂這是否會削弱專家參與的動機。</p> <p>此次Answer Assistant實驗會在部分站點先行測試，包括Arts & Crafts、Raspberry Pi和User Experience。當符合特定條件的問題在72小時內未獲得讚賞或接受的回答時，系統將產生人工智慧建議的答案，但這些內容只有具有一定聲望分數的使用者可以看見，並標註為人工智慧生成，待社群成員評估正確性。若多位使用者認定答案有效，該回答將公開顯示，並由名為Answer Bot的帳號發表，若是人工智慧內容被判定為錯誤則會被刪除，避免影響整體知識庫品質。</p> <p>這項機制的目標是減少未獲解答的問題，並提供社群成員一個參考答案以進行編輯與補充。不過，部分社群成員對此持質疑態度，認為這與Stack Exchange長期以來強調的人類策畫知識原則相違背。批評者認為，Stack Exchange一直以來的價值在於匯聚專家知識，讓回答不只是正確，更是具有深度、完整性和可信度。而人工智慧生成的內容，即便經過人類審核，仍可能無法達到社群期望的水準，甚至增加專家審核的負擔，讓原本願意貢獻知識的使用者感到沮喪。</p> <p>此外，另一個爭議點在於審查機制是否足夠嚴謹。目前官方設定的最低審查門檻為50聲望分數，這遠低於其他審查機制的標準，像是部分內容審核隊列通常需要350、500甚至3,000以上的聲望才能參與。一些社群成員質疑，低門檻可能導致機械式審查，讓不具備足夠專業知識的使用者輕易將人工智慧內容標記為正確，進而影響最終公開內容的品質。</p> <p>還有一個引發社群不滿的問題，是人工智慧內容的可追溯性與透明度。Stack Exchange官方表示人工智慧內容的來源目前無法提供明確的引用與出處，這與Stack Exchange一直以來強調的可驗證資訊原則衝突。官方雖表示正在研究如何解決這個問題，但在沒有明確解決方案的情況下，仍選擇推動實驗，讓部分用戶認為Stack Exchange在來源不可妥協的原則上存在雙重標準。</p> </div></div></div>
2025/2/7 08:24作者李建興https://www.ithome.com.tw/news/167243
個人專案從零到一
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1220-itshu_zhai_-1p-gong_cheng_shi_qiu_zhi_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">博碩文化</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">以做專案的目標來說，都是希望可以藉由此專案來豐富自己的履歷表，因此會需要能夠持續地堅持兩、三個月把專案做完整，因此挑題目會至關重要，建議不要為了技術或功能特別去找一個題目來做。</p> <p dir="ltr">不這樣做的原因在於：若對於正在做的專案本身不感興趣，很有可能會做到一個段落後就覺得差不多了，少了迭代、優化的動力；再來也會因為本來就不感興趣，做久了就覺得無聊進而放棄；或者，可能有幸做完了，但在面試時無法說明為什麼要做這件事，因為用「學習」的角度來說明動機可能不是最加分的說法。</p> <p dir="ltr">因此建議這邊可以用三個步驟來挑選出適合自己的題目。</p> <p dir="ltr"><strong>1. 挑選有興趣的主題。</strong></p> <p dir="ltr"><strong>2. 針對類似的主題，尋找相關的服務或產品試用。</strong></p> <p dir="ltr"><strong>3. 針對既有的缺乏功能、痛點做優化。</strong></p> <p dir="ltr"><span style="color:#B22222;"><span style="font-size:28px;"><strong>打造產品的流程</strong></span></span></p> <p dir="ltr">個人專案建議可以用產品的角度來建立，會讓整個專案有一個具體的使用情境、脈絡甚至是使用者，不僅在說故事上變得更容易，在產品開發的過程中也可以依據使用者需求來做迭代和調整。</p> <p dir="ltr">因此在挑選完題目時，可以多想一個步驟：我現在要做的這個東西，誰會是使用者？建議這個使用者是你身邊可以觸及到的使用者，這樣就可以進一步去問問看他們對於即將要做的產品，有沒有過類似的使用經驗，讓產品在發想功能和做的時候會有更精準的方向。</p> <p dir="ltr">舉例來說，如果今天想要做一個AI客服機器人，我可能會對自己進行這樣一連串的靈魂拷問：</p> <p dir="ltr"><strong>1 .我的AI客服機器人是要運用在哪一個情境？</strong>（舉例：電商退換貨、銀行客服、交通資訊查找、美食推薦等）</p> <p dir="ltr"><strong>2. 我的AI客服機器人可以分成不同族群嗎？</strong>（舉例：小資族、12歲以下小朋友、不常使用3C產品的長輩等）</p> <p dir="ltr"><strong>3. 第二題的受眾，在第一題的狀況下，列出十點他們可能遇到的問題。</strong>（舉例：不常使用3C產品的長輩在使用電商時，如果退換貨遇到狀況想要諮詢客服時，會遇到哪些問題？）</p> <p dir="ltr"><strong>4. 我的AI客服機器人可以怎麼優化、做哪些功能，來改善第三題遇到的這些困難？</strong></p> <p dir="ltr"><span style="color:#B22222;"><span style="font-size:28px;"><strong>MVP概念</strong></span></span></p> <p dir="ltr">在開發產品之前，我們要先有最簡可行產品（minimum viable product，MVP）的概念，MVP用於快速驗證產品概念的有效性，同時最小化初期開發的時間和投入成本。MVP著重於建立一個具備核心功能的產品版本，這些功能足夠展示產品的基本概念並吸引早期使用者，但不包括額外的功能和修飾，這些可以在產品經過市場驗證後根據使用者回饋逐步添加。</p> <p dir="ltr">回到我們的專案來看，雖然不像真的做產品那樣，需要從驗證市場需求開始，但我們以技術的角度出發，我們並不是從一個一個模組、部件開始打造，最後打造一個超完整服務，而是先從最核心的功能開始做，舉例來說，如果我們今天想要做一個類似Facebook的社群平台，對我來說其最核心的功能就是「發貼文」和「交友」，而為了識別個體，會需要再多做「註冊」以及「登入」，這四個功能就是社群平台當中最核心的功能。</p> <p dir="ltr"><span style="color:#B22222;"><span style="font-size:28px;"><strong>增添亮點</strong></span></span></p> <p dir="ltr">為了足夠吸引面試官並且提升技術力，只做MVP是不夠的，MVP只能確保在開發的過程當中，產品都是完整的，但並非是有亮點的、也並非技術是多困難的。</p> <p dir="ltr">要創造具有吸引力的產品功能，首先可以參考市場上現有的成功產品來進行靈感啟發。以社群平台為例，MVP可能只包括交友、發貼文功能。然而，為了使產品更完整，更能吸引使用者，我們可以考慮增加如「按讚」、「留言」、「修改個人資料」等互動性強的功能。這些功能雖然在技術上可能不算特別困難，但能顯著提升使用者參與度和產品的吸引力。</p> <p dir="ltr">另一個角度是並非要從類似的產品找功能，可以從差異很大的產品找功能，像是從串流音樂平台當中找功能、從Podcast服務當中找功能，但在挑選功能時也不是亂挑的，建議可以從一開始設定的受眾出發，如果設定受眾與情境是，熱愛獨立音樂青年專屬的社群平台，那就可以放更多音樂的元素在產品當中，就會是一個很好的碰撞。</p> <p dir="ltr">在撰寫履歷時，有時候一些看似酷炫且有趣的功能，在技術層面上可能並不具有特別的挑戰性，因此這樣的功能未必能在履歷中凸顯你的技術實力。因此，建議從技術的角度出發，仔細思考如何整合並呈現這些技術，使之能在你的專案中發揮出更大的影響力。這不僅能夠提升你的專案在技術層面的深度，也能在履歷中顯示出你對技術應用的獨到見解和創新能力。</p> <p dir="ltr">如果你正在尋找靈感或不確定哪些技術可以加入你的專案，可以參考職位的職涯路線圖，例如<a href="https://roadmap.sh" target="_blank">https://roadmap.sh</a>網站提供了豐富的資源。這個平台詳細列出了不同職位從入門到精通的技術學習路徑，涵蓋了各種必須掌握的技術和工具。透過這些路線圖，你可以了解到目前業界對於特定職位所期望的技術標準和新興趨勢，從而選擇那些能夠顯著提升你專業技能的技術，將其融入你的專案中，以增強你的履歷競爭力。</p> <p dir="ltr">舉例來說，Docker通常是後端工程師需要學會的工具之一，也可以在職涯路線圖當中發現這個節點，就可以嘗試將自己的產品容器化，雖然在使用者的體驗上並沒有任何的改變，但在技術上卻是不相同的，這都是可以在履歷上增添的部分。</p> <p dir="ltr">如果是從使用者的角度出發，可以直接拿著你的產品，去找到你所設定的受眾進行一場易用性測試，而一場易用性測試該怎麼做呢？建議可以依照下面的步驟進行：</p> <p dir="ltr"><strong>1. 明確測試目的：</strong>這可能包括了解使用者對產品的第一印象、界面的直觀性、或是特定功能的操作流程是否容易理解。</p> <p dir="ltr"><strong>2. 設計任務：</strong>這些任務應涵蓋產品的主要功能和常用流程，以觀察參與者在自然狀態下如何與產品互動。</p> <p dir="ltr"><strong>3. 準備測試環境：</strong>建立一個控制的環境，讓參與者可以在不受外界干擾的情況下使用產品。</p> <p dir="ltr"><strong>4. 進行測試並記錄數據：</strong>在測試過程中，觀察並記錄參與者的行為反應和操作時間。可以使用錄影的方式記錄，可以事後幫助回顧測試過程並捕捉細節。</p> <p dir="ltr"><strong>5. 進行訪談：</strong>測試後，與參與者進行一對一訪談，深入了解他們的使用感受、遇到的問題以及改進建議。這一步是理解參與者實際體驗的關鍵。</p> <p dir="ltr"><strong>6. 分析結果並制定行動計劃：</strong>分析測試數據和訪談回饋，識別出產品的強項和弱點。根據這些資訊，制定具體的行動計劃來改進產品。</p> <p dir="ltr">透過易用性測試的結果，可以更進一步的優化產品功能，並且可以透過訪談的過程，去了解使用者還有什麼樣的需求還沒被滿足，藉由這樣真實的使用者回饋去迭代產品。<strong>（本文摘錄整理自《軟體工程師求職策略大全》，博碩文化提供）</strong></p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/1220-IT%E6%9B%B8%E6%91%98-1P-%E5%B7%A5%E7%A8%8B%E5%B8%AB%E6%B1%82%E8%81%B7-600.jpg" style="width: 600px;" /></p> <p dir="ltr"><span style="font-size:14px;"><span style="color:#696969;">圖片來源_博碩文化</span></span></p> <p dir="ltr"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> <span style="color:#3399ff;">軟體工程師求職策略大全</span></strong></p> <p dir="ltr">ExplainThis（王鵬傑、李俊廷、林品均）／著</p> <p dir="ltr">博碩文化出版</p> <p dir="ltr">定價：680元</p> <p dir="ltr"><a href="https://www.explainthis.io/zh-hant" target="_blank">圖片來源_ExplainThis.io</a></p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98_%E5%B7%A5%E7%A8%8B%E5%B8%AB%E6%B1%82%E8%81%B7_%E5%9C%962%20_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_ExplainThis_io.png" style="width: 250px;" /></p> <p dir="ltr"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p dir="ltr"><strong>ExplainThis（王鵬傑、李俊廷、林品均）</strong></p> <p dir="ltr">ExplainThis致力於將深澀難懂的概念，變成白話易懂的內容，讓新的科技不再離大眾那麼遠，讓每個人都能掌握AI時代的思維與能力。</p> <p dir="ltr">ExplainThis團隊曾開發了超過百萬人使用的《ChatGPT 指令大全》，受《哈佛商業評論》專訪；也在GitHub 開源生成式AI專案，並累積超過三千顆星星，同時出了一本超過九刷的ChatGPT技術專書《ChatGPT 指令大全與創新應用》。</p> <p dir="ltr">我們團隊多元組成，包含正在創業的軟體工程師，以及曾任職FAANG 等科技大廠工作的全端工程師。我們有在台灣、新加坡、日本、歐洲數國任職的經驗，因為多元的組成，我們相信不論你的背景為何，ExplainThis的內容都能在你的工程師轉職與求職路上，帶來一點幫助。</p> <p> </p> </div></div></div>
2025/2/7 06:00未署名https://www.ithome.com.tw/article/167173
黑色皮衣CEO的領導哲學
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1220-itshu_zhai_-1p-hui_da_zhi_dao_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">商業周刊</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">就在輝達成為全球市值最高公司的四天前，我的機會來了。輝達得知我正在寫一本書；2024年6月初，一位代表提議就在他對加州理工學院2024年畢業生發表畢業典禮演說之後，幫我安排一次見面。我欣然同意，於是6月14日星期五上午，我站在畢業典禮講台前，等黃仁勳現身。</p> <p dir="ltr">在黃仁勳說完結語後，我被帶往凱克太空研究中心，黃仁勳在那裡等我。我們閒聊了一會兒，我才開始提問事先準備好的問題。我解釋說我以前是電玩發燒友，從1990年代就開始自己組裝電腦。我是在研究顯示卡時頭一次接觸輝達，自此成為忠實用戶。我也提到在我職業生涯之初，效力華爾街一家基金公司時，投資輝達成了我人生頭一次重大勝利。</p> <p dir="ltr">「幹得好。」黃仁勳一本正經地說：「輝達也是我人生頭一次重大勝利。」</p> <p dir="ltr">我們開始天南地北討論輝達的歷史。黃仁勳知道他有很多前員工深深懷念輝達的草創時期。但他不願給予輝達的創業階段──還有他自己的失策──過於正面的評價。</p> <p dir="ltr">「我們還年輕的時候，搞砸了很多事。輝達不是從第一天就偉大的公司。我們花了三十一年才讓它變強。它以前不太妙。」他這麼說：「很強就不會造出NV1了。很強就不會造出NV2了。」他這麼說，指的是該公司前兩款晶片設計──都是差點毀掉輝達的賠錢貨。「我們戰勝自己，活了下來。我們是自己最大的敵人。」</p> <p dir="ltr">輝達有好幾次瀕臨破產的經驗。但每一次，在沉重的壓力下，它都能從自己所犯的錯誤中學習。它留住了一批核心的死忠員工，其中很多人待到今天。當然，也有人沒留下來，使輝達需要融入新血。「每一次危機都有人離開，每一次我們都重新振作起來。我們療傷止痛，讓它活下來，」他說。</p> <p dir="ltr">他突然轉成第三人稱。「要是公司頭十五年沒有黃仁勳參與，那就太好了。」他大笑，意味他並不以當時公司的治理方式或自己的一派天真和缺乏策略性思考為傲。</p> <p dir="ltr">結果我得站在一個奇怪的立場，向輝達的創辦人捍衛輝達的過往。我指出，那些早期的決策──我自己做過研究調查，對此有相當程度的認識──並非一無是處。就算犯錯，其中一些失敗也可歸咎於不可預期，或他和公司無法掌控的因素。事後來看，其中很多似乎無可避免。</p> <p dir="ltr">「好，你這樣講也可以。」黃仁勳說：「我不喜歡談我們的過去。」</p> <p dir="ltr"><span style="color:#B22222;"><span style="font-size:28px;"><strong>最純粹的「輝達之道」</strong></span></span></p> <p dir="ltr">故事將一路回到1993年──對任何在科技業工作的人來說，那是好幾輩子以前的事了──黃仁勳、克蒂斯．普里姆（Curtis Priem）和克里斯．馬拉科夫斯基（Chris Malachowsky）在一家丹尼餐廳（Denny’s）後排的小包廂創立輝達的經過。少了其中哪一人的貢獻，輝達就不可能誕生。黃仁勳的商業敏銳度和嚴格的管理風格固然是輝達初期成功的關鍵，但普里姆設計晶片架構的非凡造詣，以及馬拉科夫斯基的製造專業，同樣不可或缺。</p> <p dir="ltr">這是一個至今長達三十年的故事，為了說這個故事，我採訪了一百多人。其中許多是現任或前任輝達員工，深諳輝達的內部運作方式──受訪者包括黃仁勳、兩位共同創辦人，以及早期及現任高階管理團隊的多數成員。除此之外，還有兩位最早投資輝達的創業投資家、多名科技業的執行長、曾幫助輝達製造及銷售晶片的事業夥伴，以及其他和輝達同場較勁、十之八九不是對手的半導體公司。</p> <p dir="ltr">透過這些訪問，我開始了解輝達到底哪裡特別。它的獨特之處不在於它的技術造詣──這比較像是結果，而非根本原因。不是財務資源或新機會──這些是來自高市場評價。不是預見未來的神祕能力。不是運氣好。而是它獨特的組織設計和工作文化，也就是我所謂的「輝達之道」（Nvidia Way）。輝達文化結合了罕見的員工自主與最高標準；它鼓勵速度最快，又要求品質頂尖；它讓黃仁勳得以扮演策略師和執行者，又能直接看到公司裡的每一名員工和每一件事。最重要的是，它要求每個人都要有近乎超人等級的努力與心理韌性。輝達文化之所以特別，不只是因為在這裡工作極耗心力（雖然確實如此），更是因為黃仁勳的管理風格和美國企業截然不同。</p> <p dir="ltr">黃仁勳會以他獨特的方式經營公司，是因為他相信輝達最大的敵人不是競爭對手，而是它自己──更明確地說，是任何成功公司都會面臨的自滿，特別是像輝達這樣歷史悠久、紀錄輝煌的公司。擔任新聞記者時，我見到不少公司隨著發達興盛而出現組織渙散的現象，而主因就是辦公室政治：員工的焦點不是擺在推動創新或服務顧客，而是幫助主管升官發達。</p> <p dir="ltr">這分散了員工的注意力，使他們無法盡心盡力工作，得不斷回頭提防來自隔壁辦公室的威脅。這正是黃仁勳創立輝達組織架構要杜絕的現象。</p> <p dir="ltr">「這麼多年來，我了解事情會怎麼發生，人們會怎麼保護自己的地盤，會如何捍衛自己的想法。我建立了一個更扁平的組織，」黃仁勳說。他對抗暗箭傷人、表裡不一和鉤心鬥角的方法是公開問責──如有必要，也公開給人難堪。「如果我們有哪個領導者不為他人的成功而奮鬥，有哪個領導者剝奪了別人的機會，我會大聲說出來，」他說。「我不介意指責他人。你這樣做個一兩次，就沒人敢亂來了。」</p> <p dir="ltr">輝達這種獨樹一格的文化或許聽來怪異，甚至出奇苛刻──就算以科技業的標準來看也是如此。但我訪問了那麼多前輝達員工，卻很難找到不認同的人。他們全都指出，輝達基本上沒有大型組織常見的那種辦公室政治和優柔寡斷。他們提到自己很難適應其他公司的工作環境：既缺乏直接坦率的溝通，也沒什麼完成任務的急迫性。他們形容輝達不只是授權給他們，更要求他們履行專業使命，並以此作為必要的雇用條件。</p> <p dir="ltr">某種意義上，這就是最純粹的「輝達之道」。這是一種堅定不移、相信盡力做好工作就會獲得豐厚回報的信念；也是一種在逆境中堅持到底的動力。或者，如黃仁勳直視我的眼睛所說的：他的公司成功的祕訣，無非就是「純粹的意志力」。</p> <p dir="ltr"><span style="color:#B22222;"><span style="font-size:28px;"><strong>個人意志形塑了輝達</strong></span></span></p> <p dir="ltr">更確切地說，是黃仁勳的個人意志形塑了輝達。他一人做出輝達史上影響最鉅的幾個決定。他能夠正確地把重金押在新興技術，是因為他具有深厚的技術知識──他是擁有工程背景的創辦人。我試著在這本書裡將「輝達之道」提煉為一套任何人都可以從中學習的原則，就算沒辦法親自使用。不過，這一切的背後都潛伏著一個問題：你真的可以把輝達和它的執行長分開嗎？</p> <p dir="ltr">我寫這句話的時候，黃仁勳已經六十一歲。他管理輝達已經三十一年，超過半生。而今天輝達的規模比當年更大、更賺錢，對全球經濟的影響也更深遠。但它仍仰賴黃仁勳這位企業領袖兼定調者。</p> <p dir="ltr">輝達在後黃仁勳時代會變成什麼樣子──它的文化能否存續，能否維繫現有的動力──目前仍不明朗。</p> <p dir="ltr">說到底，白板有沒有用取決於拿筆的人。它可以反映天才，但無法創造天才。<span style="color:#696969;"><strong>（本文摘錄整理自《輝達之道》前言，商業周刊提供）</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1220-IT%E6%9B%B8%E6%91%98-1P-%E8%BC%9D%E9%81%94%E4%B9%8B%E9%81%93-600.jpg" style="width: 600px;" /></p> <p dir="ltr"><span style="color:#696969;"><span style="font-size:14px;">圖片來源_商業周刊</span></span></p> <p dir="ltr"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> <span style="color:#3399ff;">輝達之道（The Nvidia Way）</span></strong></p> <p dir="ltr">金泰（Tae Kim）／著；洪世民、鍾玉玨／譯</p> <p dir="ltr">商業周刊出版</p> <p dir="ltr">定價：450元</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E8%BC%9D%E9%81%94%E4%B9%8B%E9%81%93_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Amazon.png" style="width: 150px;" /></p> <p dir="ltr"><a href="https://www.amazon.com/stores/author/B0DHLSC67W?ingress=0&visitId=64b6f2b6-2e00-45e2-aa1d-89eb2c875c71&ref_=ap_rdr" target="_blank"><span style="color:#696969;"><span style="font-size:14px;">圖片來源_Amazon</span></span></a></p> <p dir="ltr"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p dir="ltr"><strong>金泰（Tae Kim）</strong></p> <p dir="ltr">《巴倫週刊》的資深撰稿人，曾任《彭博觀點》科技專欄作家，亦曾擔任CNBC Digital的投資記者，報導股票和市場，並擔任雅虎財經的線上編輯。他還曾在價值數十億美元的科技避險基金擔任投資分析師。職涯初期擔任企管顧問。</p> </div></div></div>
2025/2/7 06:00未署名https://www.ithome.com.tw/article/167175
如何管理日益複雜的IT系統？亞馬遜20年技術老將揭6大心法
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著業務發展，IT系統越建越複雜，甚至不可避免地疊床架屋，一不注意就變成東拼西湊的違章建築了。如何簡化IT複雜性，一直是資訊長、技術長們的重要課題。日前，一位在全球龍頭電商磨練了20年的IT老將，不藏私分享他的6大管理心法。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>上任之初開始摸索管理方法</strong></span></span></p> <p>這位老將，就是Amazon技術長Werner Vogels。2005年，他剛進入Amazon沒多久，時任執行長Jeff Bezos和資訊長Rick Dalzell就問他，願不願意接任技術長這一職。</p> <p>他當時想：「怎麼能錯過打造全球最大分散式系統的機會？」於是接受了這份職務，雖然還不知道自己將面臨什麼挑戰。</p> <p>這20年來，「學習、學習和學習」是Werner Vogels不斷重複的事。他坦言，隨著組織業務擴大，IT系統不可避免地越來越複雜，比如AWS有許多以簡單（Simple）為名的服務，像是SimpleDB、Simple Storage Service（即Amazon S3雲端儲存服務）、Simple Queuing Service等，每年都在新增功能、服務規模越來越大，它們變得「不再簡單，反而很複雜。」</p> <p>這種「複雜性（Complexity）隨時會發生，你必須管理它。」Werner Vogels娓娓道來，團隊20年裡跌跌撞撞嘗試，最終摸索出一套方法，成功管理了複雜的IT系統。</p> <p>這套方法簡單、可靠又安全，Werner Vogels用「Simplexity」來形容，還總結出自己從中學到的6堂課。他希望分享這些經驗，來幫助資訊長、技術長們管理IT環境，確保日益複雜的系統不失控。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>第一堂課：系統要具備進化能力</strong></span></span></p> <p>分享第一堂課前，他先強調：「Simplexity需要紀律。」有了紀律，才能謹慎規畫IT系統的長期發展。</p> <p>在這個前提下，他領悟的第一課，就是在設計系統的第一天，融入系統的「進化能力」（Evolvability）。換句話說，系統未來幾年一定會面臨變動，資訊長和技術長必須制定一套因應系統複雜性的長期策略，無論未來發生什麼變化，例如規模擴展或功能增減，IT架構都能靈活調整、應對。</p> <p>Werner Vogels舉例，18年前，團隊打造Amazon S3服務的第一天，就清楚知道，1年後的架構一定和當下不一樣。</p> <p>於是，他們設計一套可控的架構，來因應未知需求，讓團隊新添功能或變更系統的同時，還能輕易管理。這也是他們每年新增S3功能，十多年來仍不影響客戶體驗的關鍵。</p> <p>具備進化能力的系統，乍聽之下很抽象，Werner Vogels進一步解釋，這類系統有幾個特點，比如要根據業務概念建置，或是以細緻的使用者介面來隱藏內部細節，以及採取智慧端點（Smart endpoints）設計概念，將業務邏輯放入服務內部，讓每個端點自主執行特定任務、降低對中央控制的依賴。</p> <p>再來，分散式設計和獨立可部署設計也很重要，如此才有足夠的彈性，讓系統隨著時間推移而更新。擁抱雲原生、確保系統高度可觀察和自動化，都是具備進化能力的做法。最後一個重點是，系統發生故障或錯誤時，要能被隔離在特定範圍內，確保單一故障不會引發連鎖反應、導致整個系統停止運作。</p> <p>這是Amazon團隊開發系統進化能力學到的第一堂課，也是Werner Vogels眼中最重要的一課。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>第二堂課：拆解複雜性</strong></span></span></p> <p>Werner Vogels學習到的第二課是拆解複雜系統，將其分解為一系列低耦合、小規模的元件（Component），將功能相關的元件或模組聚在一起，讓它們專門執行密切相關的任務，並以良好定義的API來溝通。</p> <p>Amazon CloudWatch就是一例，這是一款專門監控AWS應用程式和效能的服務，每天要處理665兆個指標觀察、消化440PB的大量日誌。</p> <p>原本，這個服務非常龐大且複雜。為簡化它的複雜性，Werner Vogels團隊把握3個核心原則：將系統解構，轉換為一系列高內聚且低耦合的元件，再透過妥善定義的API，讓這些元件互相溝通。</p> <p>現在，CloudWatch前端只處理核心功能，整個系統的複雜性則分散到個別元件上處理。如此一來，這些元件可以隨著時間推移不斷更新，不論更新的是功能、函式庫還是程式語言都可以，比如Amazon後來就將原本以C語言寫成的高容量資料儲存功能，以Rust語言改寫。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>第三堂課：組織要與架構一致</strong></span></span></p> <p>Werner Vogels學到的第三堂課，是組織的複雜度要與IT架構一致。當內部的系統越建越複雜，組織也該有對等的複雜性，反之亦然。</p> <p>舉例來說，大約6年前，Amazon S3團隊經歷快速成長期，開始大幅招募工程師，新來的工程師未必熟悉S3服務，尤其是如何確保S3服務的耐用性。於是，S3團隊幾位主管討論，借鏡安全工程的威脅模型優化模式，也就是盤點安全弱點，再用威脅模型評估風險，來檢查防禦措施是否做足。</p> <p>這個模式，後來成為S3提高耐久性風險模型的作法，每當團隊要更改S3時，就會寫下可預見的耐久性風險，以及採取的應對措施。</p> <p>這麼做，只需找來團隊中少數的資深工程師，擔任耐久性審查員就能確保服務的耐用性，不用擔心新手的經驗不足；甚至，團隊還可針對威脅模型深入討論、找出漏洞並改進，再以這個經驗進行教育訓練。</p> <p>這就是將組織規模對應IT架構的實例之一。Werner Vogels還提出另一個重點，也就是建立所有權（Ownership），賦予能完成任務的最小團隊權力，給予支持和時限壓力，來讓隊員在一定時間範圍內，授權完成任務，並為此負責。這是Amazon S3團隊的另一項實踐。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1220-CTO-%E6%8A%BD%E8%A8%80-V2.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／AWS</span></span></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>第四堂課：拆分為單元</strong></span></span></p> <p>解決了組織與IT架構的複雜性，接著要解決維運的複雜性。</p> <p>「在Amazon，我們的做法是將應用程式組成為單元（Cells），來解決維運的複雜性。」Werner Vogels說明，一支應用程式的架構包含前端、中層容器和後端儲存，只要任一環節出現問題，整支服務就會受到牽連，影響所有客戶的使用體驗。</p> <p>為解決這個問題，Amazon團隊將原本的大架構拆解為小單元，這些小單元可以獨立維運，就算發生故障，也不會影響其他單元的運作，降低故障帶來的衝擊範圍。</p> <p>在這種單元架構中，不同單元的系統可以獨立運作，互不影響。開發者再透過一套演算法，比如路由演算法，來將大量使用者對應到不同單元，分散負載。理想情況下，一個單元要足夠大到能處理最大工作負載，但也要足夠小到能進行全面測試，這是Werner Vogels學習到的第四堂課。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>第五堂課：設計可預測系統</strong></span></span></p> <p>設計可預測系統，是他學到的另一堂課。因為，維運的不確定性非常難處理，「所以必須在打造系統之初，就採取可預測性設計，才能避免維運的不確定性。」</p> <p>Werner Vogels舉例，一套處理數百萬家企業顧客負載配置異動需求的配置管理系統，通常採取事件驅動架構。這種架構先將顧客的配置異動請求，存入資料庫，再一一送到事件佇列，來觸發無伺服器負載平衡處理機制。但若顧客不斷提出重新配置的請求，負載平衡器的處理工作就會變得不可預測。</p> <p>於是，Amazon團隊採取一種相對簡單的做法，將所有的配置異動請求，寫入一個S3的檔案，負載平衡器固定每隔幾秒來讀取這個檔案，取得所有的異動，一口氣執行每一個異動請求。</p> <p>「如此一來，重新配置就變得完全可預測了！」Werner Vogels強調，這種可預測設計大幅降低了不確定性帶來的衝擊，也減低未知的影響力，是管理複雜系統的另一重要手段。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>第六堂課：自動化是標配</strong></span></span></p> <p>這位IT老將管理複雜系統的最後一課，是盡可能將複雜系統自動化，特別是大規模的複雜系統。Amazon自己就有不少自動化應用，Werner Vogels舉例，AWS靠自動化來維持服務的耐用性和容量，前述的負載平衡重新配置、甚至是區域的建立，也都靠自動化完成，幾乎沒有人工介入。</p> <p>然而，什麼事情該自動化？</p> <p>「這個問法不對，你應該要問『什麼不該自動化』！」Werner Vogels點出，只有在真正需要人類高度判斷的領域，才保留人工介入，「其餘一律自動化。」</p> <p>他還建議，企業或組織應該將自動化視為標準，人為參與視為例外。而且，不要只讓某一類職員做決策，應該還要納入監督者角色，才能確保人為錯誤不發生。</p> <p>舉例來說，AWS團隊就靠AI代理工作流程，來自動化工單分派。首先，AI代理會分析工單、產出執行計畫，接著挑選工具、自動執行任務。再來，代理會選用其他工具來驗證結果，完成後交由人工審核。Werner Vogels補充，團隊可以選擇由代理自動解決問題，也可以升級人工審核。在Amazon內部，還有許許多多這類自動化實例。</p> <p>「這就是我在Amazon工作20年來，管理複雜IT系統學習到的6堂課。」Werner Vogels說。</p> <p> </p> <p><span style="color:#FFFF00;"><span style="font-size:28px;"><strong><span style="background-color:#000000;"> CTO看2025年科技趨勢 </span></strong></span></span></p> <p><strong>Amazon技術長Werner Vogels前陣子發表2025年科技趨勢預測文章，一共給出5項預測。</strong></p> <p><strong>首先，未來的勞動力將以使命感為導向，也就是除了薪水和更好的職涯發展，未來勞動力還會想為世界帶來正面的改變；而認知到這一點的企業，將獲得長期成功。再來，能源效率將進入新時代，將推動創新，比如發展小型模組化反應器、重新設計資料中心的耗能方法等創新。</strong></p> <p><strong>第三，科技發展將大規模助長事實查核，新一波AI工具將出現，來幫助記者、研究員和熱心公民尋求真相。</strong></p> <p><strong>第四，開放資料將推動去中心化的自然災害韌性，尤其將資料和決策權交到社區手中，不但能改善災害應變，還能建立緊急預備的災害管理網。最後，有別於現行感官刺激來吸引點擊、造成分心的消費科技，講求斷開數位連結的目的導向消費科技將日益普及。</strong></p> <p> </p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CTO小檔案 </span></strong></span></p> <p><strong>Amazon技術長Werner Vogels</strong></p> <p>學歷：阿姆斯特丹自由大學電腦科學博士畢業</p> <p>經歷：2004年擔任康奈爾大學科學研究員並進入Amazon，隔年擔任技術長至今，負責推動雲端運算發展，另也致力協助年輕創業家擴大至全球規模、協助企業轉型為快速發展的數位化組織。他也著有多篇關於企業運算的分散式系統技術文章</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E5%85%AC%E5%8F%B8%E4%BB%8B%E7%B4%B9)amazon.jpg" style="width: 250px;" /></p> <p><strong>Amazon.com</strong></p> <p>●總部：美國西雅圖</p> <p>●成立時間：1995年</p> <p>●主要業務：最初為網路書店，後來擴展為電子商務平臺，並進軍雲端服務、AI、數位媒體等領域</p> <p>●員工數：約150萬人</p> <p>●營收：1,589億美元（2024年第三季）</p> <p>●董事長：Jeff Bezos</p> <p>●執行長：Andy Jassy</p> <p><span style="color:#ffffff;"><strong><span style="background-color:#3399ff;"> 公司大事紀 </span></strong></span></p> <p>●1997年：Amazon成立</p> <p>●2002年：推出AWS雲端運算服務平臺</p> <p>●2005年：Amazon Prime付費訂閱服務推出</p> <p>●2006年：AWS第一代Amazon S3公雲服務正式上線</p> <p>●2014年：Amazon智慧語音助理Alexa推出</p> <p>●2017年：併購Whole Foods，成為實體零售電商</p> <p>●2018年：Amazon資料庫從Oracle資料倉儲系統，改搬到AWS雲端資料倉儲</p> <p>●2023年：Amazon推出AVI自動貨車檢查系統；AWS揭AI訓練晶片Trainium2和Arm架構處理器Graviton4、正式上線生成式AI平臺Amazon Bedrock</p> <p>●2024年：Amazon推出生成式AI購物助理Rufus、6款Nova系列模型；Amazon加深與Anthropic合作、投資1.1億美元啟動Build on Trainium大學創新計畫；Amazon SageMaker機器學習平臺重新定位為AI統一大平臺；生成式AI助理Amazon Q正式上線</p> <p>●2025年：Amazon RMN廣告技術服務開放給第三方零售業者</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1220-cto-960.jpg" width="960" height="420" alt="" title="Amazon技術長Werner Vogels　（圖片來源／AWS）" /></div></div></div>
2025/2/7 06:00作者王若樸https://www.ithome.com.tw/people/167235
即知即行
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>電視臺的網路視訊頻道24小時不間斷播放中國宮鬥劇《後宮甄嬛傳》，已成為這幾年臺灣農曆春節的傳統，片頭曲《紅顏劫》的歌詞許多人都耳熟能詳，「拱手讓江山，低眉戀紅顏；禍福輪流轉，是劫還是緣；天機算不盡，交織悲與歡；古今癡男女，誰能過情關。」劇中各個角色的出場、退場，都使觀眾們感慨再三。</p> <p>而在現實世界中，悲歡離合的情節也總是不斷在我們的眼前一幕幕上演。就像最近藝人大S徐熙媛過世的消息，也令人不勝唏噓，在亞洲娛樂圈具有頗高知名度的她，在2月2日因感染流行性感冒併發肺炎而離世。</p> <p>回顧這幾年以來，大炳（余炳賢）、高以翔、劉真、羅霈穎、黃鴻升（小鬼）、李玟、汪建民等人的逝世，都讓人感到惋惜。</p> <p>大S的驟然離世，也敲醒國人對於流行性感冒的重視。去年10月、11月，衛生福利部疾病管制署陸續開放第一、二階段的公費流感疫苗施打，今年1月擴大提供6個月以上尚未接種之民眾接種，直到疫苗用完為止，不過，到了農曆春節過後，此事才受到顯著重視，多個地區的衛生醫療院所出現施打疫苗的排隊人潮，大家也開始關切公費流感疫苗剩餘數量。然而，數量終究有限，後續勢必有不少人想打卻打不到，屆時若要接種，就需要自費，而且，施打後需要等待一到兩個星期產生抗體，因此，無論你是否已經施打、最近施打，或尚未施打疫苗，過去在COVID-19疫情期間養成的各種衛生習慣，像是勤洗手、戴口罩，都要去做，設法預防自己遭到病毒感染仍然非常重要。</p> <p>其實不只是攸關個人健康的疾病，舉凡企業組織的營運危機、資安威脅，人們都需要盡快行動，當大家知道這件事很重要，請設法立即進行，因為「逝者如斯夫，不舍晝夜」，時間持續流逝，不因誰而停留片刻，我們只能盡量爭取時間完成必要的行動。</p> <p>以接種流感疫苗為例，我自己這幾年已經開始到診所自費施打，一旦得知醫療院所宣布可接種公費與自費流感疫苗，我會通知家人快施打，他們也都認知到疫苗重要性，去年底大部分家人都前往衛生所或醫院接種，因此現在不需要擔心疫苗能否打到的問題，也不用耗費許多時間尋找、預約與排隊。</p> <p>對於端點資安防護而言，以Windows個人電腦為例，不論微軟長期推動的每月安全性例行更新，或是突然出現的系統更新通知，我也很重視，雖然Windows作業系統本身會跳出通知訊息，但每個星期我至少會刻意執行Windows Update一次，確認是否有遺漏的軟體更新作業尚未進行；而在智慧型手機的使用上，我同樣每隔一段時間會去檢查是否有作業系統更新，並且關注各大媒體對於更新相容性議題的報導。</p> <p>而在身分防護上，幾年前我開始使用臺灣廠商生產的FIDO硬體金鑰，支援USB-A介面，強化多因素驗證防護，當時一支1千元有找，當時透過電商平臺買了幾十支分送同事親友，鼓勵大家一起使用；現在想再買同樣規格的產品，已買不到，因為廠商目前僅上架新款支援USB-C的FIDO硬體金鑰，價格提升到超過1千元。看來早點買還是值得的！</p> <p>今年農曆春節期間，我也向家人介紹近期覺得相當好用的資安防護機制：密碼管理員（Password Manager），並建議他們最好不要用瀏覽器內建的這類功能，另外尋求其他廠商的解決方案，因應記憶多組登入帳號密碼，以及經常需要產生高強度密碼的需求。</p> <p>除了關注系統更新與身分安全，每個人可能都需要去想想今年是否要汰舊換新既有的設備！為了確保資安與提升能源使用效率，這些工作與花費不能省。</p> <p>首先是Windows 10電腦，微軟將於今年10月14日終止支援，之後微軟不會提供每月例行的安全性更新，個人與企業都需要盡快處理升級或遷移事宜。</p> <p>另一個是家用或小型環境使用的Wi-Fi路由器，設置在用戶端的網路通訊設備（CPE），以及各種直接連上網際網路的視訊監控系統，它們是很容易被忽略、卻很重要的IT基礎設施，由於這類設備直接暴露在全球公開的網路、全天候連網運作，而且使用時間已超過廠商支援的最大年限而未汰換，這幾年來，不斷有許多資安研究人員提醒使用風險，也頻頻傳出攻擊者鎖定這些無法更新、卻被挖出資安漏洞的設備。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%AB%AF%E9%BB%9E%E9%98%B2%E8%AD%B7">端點防護</a></div><div class="field-item odd"><a href="/tags/%E8%BA%AB%E5%88%86%E9%98%B2%E8%AD%B7">身分防護</a></div><div class="field-item even"><a href="/tags/fido">FIDO</a></div><div class="field-item odd"><a href="/tags/%E7%A1%AC%E9%AB%94%E9%87%91%E9%91%B0">硬體金鑰</a></div><div class="field-item even"><a href="/tags/%E5%AF%86%E7%A2%BC%E7%AE%A1%E7%90%86%E5%93%A1">密碼管理員</a></div><div class="field-item odd"><a href="/tags/password-manager">Password Manager</a></div><div class="field-item even"><a href="/tags/%E7%B3%BB%E7%B5%B1%E6%9B%B4%E6%96%B0">系統更新</a></div><div class="field-item odd"><a href="/tags/%E8%BA%AB%E5%88%86%E5%AE%89%E5%85%A8">身分安全</a></div></div></div>
2025/2/7 06:00作者李宗翰https://www.ithome.com.tw/voice/167240
【資安日報】2月6日，HTTP用戶端軟體自動存取工具被駭客用於挾持M365帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門用來向網頁伺服器發出請求並接收回應的HTTP用戶端（HTTP cilent）應用程式及程式庫，使用者可藉此發出GET、POST、PUT等請求，與伺服器進行互動，然而這樣的工具，攻擊者將其用於網路犯罪的情況也越來越頻繁。</p> <p>資安業者Proofpoint發現，有人將這類工具用於挾持M365帳號，其中部分工具甚至能被用於對手中間人攻擊（AiTM），繞過多因素驗證的防護機制。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167233"><strong style="font-size: 22px;">HTTP用戶端工具遭濫用，駭客用來挾持M365帳號</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Screenshot 2025-01-29 at 9_14_49 AM.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot%202025-01-29%20at%209_14_49%E2%80%AFAM.png" style="width: 300px; float: right;" /></a></p> <p>用於發送HTTP請求及接收回應的用戶端（HTTP cilent）應用程式，例如：cURL、wget，以及程式庫像是：Axios、Go Resty、Node-fetch、OkHttp，執行向網頁伺服器發出請求並接收回應的工作，這類工具經常在開發及測試領域使用，但如今駭客也將其用於大規模攻擊，引起研究人員提出警告。</p> <p>資安業者Proofpoint指出，他們近期看到有人濫用合法的HTTP用戶端工具，企圖入侵Microsoft 365環境。值得留意的是，由於相關資源能從GitHub等公開的儲存庫取得，這種工具被用於暴力破解及對手中間人攻擊（AiTM）的情況顯著增加，導致帳號挾持（ATO）的資安事故不斷發生。</p> <p>這種利用合法HTTP用戶端工具的攻擊行動，最早可追溯到2018年2月，但去年1月Proofpoint威脅研究小組發現攻擊手法開始出現變化，駭客改用OkHttp的變種犯案，接著在3月又使用更為廣泛的HTTP用戶端工具，相關攻擊行動於5月達到高峰，攻擊者利用數百萬個遭到挾持的IP位址來攻擊雲端帳號。</p> <p><a href="https://www.ithome.com.tw/news/167244"><strong style="font-size: 22px;">木馬程式AsyncRAT濫用TryCloudflare服務散布</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/fig-6_bat-and-js-file-hosted-on-same-trycloudflare-site.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig-6_bat-and-js-file-hosted-on-same-trycloudflare-site.jpg" style="width: 300px; float: right;" /></a>資安業者Forcepoint揭露AsyncRAT最新一波攻擊行動，攻擊者利用TryCloudflare隧道與Python套件來散布惡意酬載，他們先是透過釣魚郵件與受害者接觸，一旦收信人點選信裡的連結，就會觸發一系列的攻擊流程，從而在電腦植入AsyncRAT等多種惡意程式。</p> <p>針對這起事故發生的過程，Forcepoint X-Labs威脅研究員Jyotika Singh指出，攻擊是透過釣魚郵件開始，而這些信件的共通點，就是含有連往Dropbox的連結，一旦收信人點選，電腦就會下載ZIP壓縮檔，其內容是網際網路捷徑檔（URL），假若開啟，電腦就會下載Windows捷徑檔（LNK），從而執行JavaScript檔案。</p> <p>而這個JavaScript指令碼，又會觸發BAT批次檔，然後下載另一個含有惡意內容的ZIP檔，該壓縮檔內含Python指令碼，會在受害電腦植入AsyncRAT。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/researchers-link-deepseeks-blockbuster-chatbot-to-chinese-telecom-banned-from-doing-business-in-us/">DeepSeek聊天機器人恐將資料傳送給中國國營電信業者</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/01/google-over-57-nation-state-threat.html">Google警告旗下AI機器人Gemini遭濫用，中國、俄羅斯、北韓國家級駭客企圖用於打造網路攻擊工具</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.darkreading.com/cyberattacks-data-breaches/attackers-education-sector-hijack-microsoft-accounts">150家企業組織遭到鎖定，駭客藉由AD聯邦服務繞過多因素驗證，從而挾持帳號</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/02/silent-lynx-using-powershell-golang-and.html">駭客組織Silent Lynx鎖定吉爾吉斯、土庫曼等中亞國家而來</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167236"><strong style="font-size: 22px;">合勤證實研究人員揭露的漏洞存在於12款DSL CPE設備，呼籲用戶應儘速汰換因應</strong></a></p> <p>資安業者GreyNoise一月下旬發現Mirai殭屍網路變種攻擊的行動，攻擊者利用去年7月底資安業者VulnCheck發現的漏洞CVE-2024-40891，該漏洞存在於存在於合勤科技（Zyxel Communications）CPE通訊設備，由於當時漏洞尚未修補，也沒有公開細節，引起資安界的關注。</p> <p>當時我們也向合勤科技的關係企業兆勤科技（Zyxel Networks）詢問，該公司初步表示此批受影響的設備生命週期已經結束（EOL）多年，但並未說明有那些設備存在相關漏洞，事隔兩天，我們發現有國外資安新聞媒體引述VulnCheck及合勤科技的公告，進行追蹤報導。</p> <p>在VulnCheck公布的細節與合勤、兆勤的資安公告裡，終於明確揭露有那些設備存在漏洞，當中列出的項目不只是去年找到的CVE-2024-40890、CVE-2024-40891，還包括一項重大層級的預設帳密弱點CVE-2025-0890。</p> <p><a href="https://www.ithome.com.tw/news/167241"><strong style="font-size: 22px;">Veeam修補本地端與雲端備份軟體漏洞，駭客可用中間人攻擊伎倆破壞系統</strong></a></p> <p>備份與資料保護軟體廠商Veeam，於2月4日揭露影響6款備份軟體的重大漏洞，並釋出修補。</p> <p>這個編號為CVE-2025-23114的漏洞，存在Veeam備份產品使用的Veeam Updater元件，攻擊者可趁機透過中間人攻擊的手法，以root權限在受影響伺服器上執行任意程式碼，嚴重性等級達到9.0。</p> <p>Veeam旗下使用Veeam Updater元件的產品，總共有6款備份軟體，目前只有Veeam Backup for Salesforce的3.1版與後續版本，仍受此漏洞影響，解決漏洞的辦法是將內含的Veeam Updater元件更新到7.9.0.1124版，用戶只需透過控制臺介面的Checking for Updates選項，讓系統自動執行更新即可。</p> <p><a href="https://www.ithome.com.tw/news/167207"><strong style="font-size: 22px;">AMD Zen架構處理器存在微指令簽章驗證漏洞，影響SEV-SNP機密運算安全</strong></a></p> <p>Google安全團隊發現，部分基於Zen架構的AMD處理器存在微指令簽章驗證漏洞CVE-2024-56161，該漏洞可能使具備本地管理員權限的攻擊者注入惡意微指令，進而危及依賴AMD安全加密虛擬化（SEV-SNP）保護的機密工作負載安全。由於漏洞一旦被濫用，可能導致機密運算環境保護失效，相關修補措施已於去年12月陸續發布，用戶應密切關注BIOS與微指令更新狀況。</p> <p>該漏洞影響Zen 1至Zen 4架構的處理器，攻擊者在取得本地管理員權限後，可藉由注入惡意微指令直接影響處理器的核心運作機制。尤其是在使用AMD SEV-SNP技術保護機密工作負載的用例下，惡意微指令可能破壞工作負載的保密性與完整性，進而影響整個運算環境的安全基礎。</p> <p>針對此安全漏洞，Google於2024年9月底向AMD回報，AMD隨後在2024年12月中旬針對Naples、Rome、Milan與Genoa等平臺，推出微指令更新修補版本。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/01/metas-llama-framework-flaw-exposes-ai.html">Meta大型語言模型框架Llama存在漏洞，恐導致AI系統曝露遠端程式碼執行風險</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167245"><strong style="font-size: 22px;">新任數位發展部資安署署長蔡福隆走馬上任，將迎接挑戰、積極對話，打造可信賴的資安環境</strong></a></p> <p>今日前金管會主任秘書蔡福隆正式升任數位發展部資通安全署（簡稱資安署）署長一職，各界都很關注臺灣資安未來走向。蔡福隆接受iThome電話專訪時表示，資安署肩負國家資安政策的推動與落實，他接任署長後，最重要的任務，就是打造一個「可信賴」的數位環境，並且積極和各方利害關係人溝通、對話，不只是要延續既有的政策，還要積極面對包括人力短缺、供應鏈安全甚至是生成式AI帶來的挑戰，而長期金融資安和相關監理的訓練和經驗，也為蔡福隆如何藉由公私協力，強化臺灣資安韌性奠定基礎。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/167226"><strong>【2月5日】去年修補的7-Zip的MotW漏洞被用於攻擊烏克蘭企業與政府機關</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167208"><strong>【2月4日】美荷執法單位聯手，撤下提供商業郵件詐騙武器的地下市集</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167185"><strong>【2月3日】蘋果針對旗下設備修補今年第一個零時差漏洞</strong></a></p> </div></div></div>
2025/2/6 18:09作者周峻佑https://www.ithome.com.tw/news/167246
HPE Aruba Networking新模組化交換器登場，採用第7代ASIC
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/hpe_aruba_networking_cx_5420_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>市面上的網路交換器幾乎都採用獨立的機架式機箱，僅有大型的核心與匯聚交換器採用8U尺寸以上的模組化機箱，用戶可在此插拔內建多個網路埠的線卡／Fabric模組／網路I/O模組，以及控管整臺交換器運作的管理模組，過去我們曾介紹這類產品，像是<a href="https://www.ithome.com.tw/review/121520">Aruba 8400系列</a>（現稱為HPE Aruba Networking CX 8400）、<a href="https://www.ithome.com.tw/review/150704">Cisco Catalyst 9600系列</a>。</p> <p>而對於HPE Aruba Networking這家網路設備廠商而言，除了上述CX 8400系列機型，其實他們還有另一款<a href="https://community.hpe.com/t5/hpe-aruba-networking-provision/switch-information/td-p/6970223">模組化交換器5400R系列機型</a>，這批產品源自HP時期的產品ProCurve 5400R系列，後來改名為Aruba 5400R系列，目前還可看到HPE Aruba Networking列出5400R zl2系列，包含兩款機型：5406R zl2採用4U尺寸機箱，可搭配6臺網路I/O模組、2臺電源供應器、1臺管理模組、1排風扇模組，網路交換容量為960 Gbps；5412R zl2採用7U尺寸機箱，可搭配12臺網路I/O模組、4臺電源供應器、1臺管理模組、1排風扇模組，網路交換容量為1,920 Gbps，運算組態均為兩顆Arm Cortex-A9（最大4核心）。</p> <p>到了2024年9月下半舉行的<a href="https://community.arubanetworks.com/discussion/hpe-aruba-networking-days-north-american-road-show">HPE Aruba Networking Days大會</a>，該公司推出新款模組化交換器CX 5420，採用4U尺寸機箱，可搭配6個網路I/O模組、2臺管理模組、4臺電源供應器、1排風扇模組，網路交換容量為960 Gb/s——每個網路I/O模組插槽最高可支援160 Gb/s傳輸速度，而且，設備的運算組態為AMD Ryzen Embedded V1500B（4核心8執行緒）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/new CX 5420 Switch at our HPE Aruba Networking Day Sacramento2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/new%20CX%205420%20Switch%20at%20our%20HPE%20Aruba%20Networking%20Day%20Sacramento2.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Security-First AI Powered CX Switching-2024-09-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Security-First%20AI%20Powered%20CX%20Switching-2024-09-2.jpg" style="width: 600px;" /></a> </p> <p>該公司強調這款交換器系列機型搭配模組化機箱，適用於存取交換器、小型核心交換器，或匯聚交換器的部署。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Security-First AI Powered CX Switching-2024-09-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Security-First%20AI%20Powered%20CX%20Switching-2024-09-1.jpg" style="width: 600px;" /></a></p> <p>若要運用硬體層級的媒體存取控制防護機制（MACsec），針對交換器對交換器、交換器對主機端的網路埠連接，使用標準加密與身分認證，HPE Aruba Networking既有的5406R zl2需搭配內建MACsec的v3模組，新推出的CX 5420則是本身已內建MACsec，同時具備動態的網路分割（dynamic segmentation），以及角色對角色（role-to-role）的資安政策強制實施等機制。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Security-First%20AI%20Powered%20CX%20Switching-2024-09-3.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/Security-First AI Powered CX Switching-2024-09-5.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Security-First%20AI%20Powered%20CX%20Switching-2024-09-5.jpg" style="width: 600px;" /></a></p> <p>CX 5420也提供功能更全面的資料分析功能，像是：連線個人端的洞察分析（Client insight）、內嵌HPE Aruba Networking發展的Network Analytics Engine（NAE），以及自動化處理（提供完整的REST API）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Security-First AI Powered CX Switching-2024-09-6.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Security-First%20AI%20Powered%20CX%20Switching-2024-09-6.jpg" style="width: 600px;" /></a></p> <p>在交換器的管理方式上，5406R zl2與CX 5420都可透過命令列、網頁介面，以及雲端平臺HPE Aruba Networking Central進行操作，不過，新推出的CX 5420額外支援該公司的交換器組態管理軟體NetEdit，可簡化整個網路的管理作業，提供進階設置組態的能力。</p> <p><a href="https://s4.itho.me/sites/default/files/images/HPE Aruba Networking 54XX switch comparison-2024-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20Aruba%20Networking%2054XX%20switch%20comparison-2024-2.png" style="width: 600px;" /></a></p> <p>後續（10月初）HPE Aruba Networking在他們的<a href="https://community.arubanetworks.com/discussion/new-hpe-aruba-networking-cx-5420-chassis-switch-1">社群部落格發布專文</a>，更深入介紹CX 5420的特色，並預告12月開始出貨，首批產品將送往澳洲。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20Aruba%20Networking%2054XX%20switch%20comparison-2024-1.png" style="width: 600px;" /></p> <p>例如，當中明確提到這款產品是繼承5400R zl系列而來，提供相同的6個半寬尺寸的模組插槽（但彼此的模組並不相容），以及彈性擴充多款網路介面模組的能力（支援25GbE網路埠、可供電90瓦的PoE，提供8種組態搭配，整臺最多可提供144個支援MACsec的網路埠），採用更新穎的<a href="https://www.linkedin.com/pulse/25-years-switching-silicon-heritage-yash-make-it-happen-one-life/">第7代ASIC晶片</a>（5400R zl系列採用第6代ASIC），而且，交換器機箱配置2臺半寬尺寸的管理模組、彼此備援，當中採用AMD的4核心、8個執行緒（vCPU）處理器。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-11-CX5420-4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-11-CX5420-4.jpg" style="width: 600px;" /></a></p> <p>CX 5420的電源供應器可搭配到4臺，風扇模組由4臺風扇組成1排，兩個元件均設置在交換器機箱的背部。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-10--5420-%20rear%20view.jpg" style="width: 600px;" /></p> <p>這款模組化交換器本身也支援大量的PoE埠部署需求，以30瓦的PoE網路埠而言，整臺CX 5420交換器最多可設置到144個（應該是搭配6臺S0U62A，此為24埠、支援PoE的網路I/O模組），而以60瓦的PoE網路埠而言，整臺CX 5420最多可設置到96個（應該是搭配6臺S0U66A，此為16埠、支援PoE的網路I/O模組）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-11-CX5420-5.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-11-CX5420-5.jpg" style="width: 600px;" /></a></p> <p>若企業需要更大量的網路埠，可運用虛擬交換器延伸（VSX）技術堆疊多臺CX 5420，或改用機箱內建10個模組插槽的CX 6400。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-11-CX5420-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-11-CX5420-3.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2024-11-CX5420-6.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-11-CX5420-6.jpg" style="width: 298px;" /></a></p> <p>截至目前為止，根據HPE網站公告的產品快速規格表文件，去年11月CX 5420第1版規格出爐，該公司也在Airheads Broadcasting技術社群的YouTube頻道釋出<a href="https://youtu.be/0eWsYK1_mZo?si=sClkpcpRaz7GtUhb">快速介紹產品的影片</a>，當中列出的網路交換器也涵蓋我們最近介紹的CX 8325H。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-11-CX5420-8.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-11-CX5420-8.jpg" style="width: 600px;" /></a></p> <p><strong><span style="color:#008080;">產品資訊</span></strong></p> <p><strong><span style="color:#0000FF;">HPE Aruba Networking CX 5420</span></strong><br /> ●原廠：HPE Aruba Networking<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：4U，提供6個插槽（每個插槽的網路轉送率為160 Gb/s）<br /> ●機箱名稱與規格：S0U60A，預設包含1臺管理模組S0U55A、1臺1600瓦電源供應器、1臺風扇模組S0U54A，機箱前側可安裝6臺網路I/O模組<br /> ●硬體組成架構：機箱（兩款，一款遵循TAA法規要求）、管理模組（兩款，一款遵循TAA法規要求）、I/O模組（16款，一半為遵循TAA法規要求）<br /> ●I/O模組網路埠配置：8埠（1至10G）、8埠（1 G）+1埠（1至10G，LRM接頭）、16埠（1至5G）、20埠（1G）+2埠（1至25G）、20埠（1G）+4埠（1至10G）、24埠（1G）、24埠（1G，支援PoE）、24埠（1G，SFP接頭）<br /> ●搭配ASIC晶片：HPE Aruba Networking Gen7 ASIC<br /> ●MAC位址數量：32,768個<br /> ●網路交換容量：960 Gbps（進出各為480 Gbps）<br /> ●緩衝記憶體：64 MB<br /> ●系統軟體：AOS-CX 10.15.0001<br /> ●硬體運算組態：管理模組搭配AMD Ryzen Embedded V1500B、16GB DDR4記憶體、32GB eMMC快閃儲存</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/2/6 18:53作者李宗翰https://www.ithome.com.tw/review/167187
木馬程式AsyncRAT濫用TryCloudflare服務散布
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客濫用TryCloudflare服務散布惡意程式的情況，去年<a href="https://www.ithome.com.tw/news/164275">8</a>至<a href="https://www.ithome.com.tw/news/164818">9月</a>曾出現相關事故，如今類似的攻擊行動再度傳出。</p> <p>TryCloudflare是資安業者Cloudflare提供的臨時隧道（Tunnel）服務，開發者無需設置DNS或是調整防火牆組態，就能藉此快速將應用程式或網站於網際網路公開，避免有人直接對伺服器上下其手。然而，這種服務也遭到駭客利用，將其用於埋藏攻擊來源。</p> <p>例如，資安業者Forcepoint揭露<a href="https://www.forcepoint.com/blog/x-labs/asyncrat-reloaded-python-trycloudflare-malware">AsyncRAT最新一波攻擊行動</a>，就是典型的例子。攻擊者利用TryCloudflare隧道與Python套件來散布惡意酬載，他們先是透過釣魚郵件與受害者接觸，一旦收信人點選信裡的連結，就會觸發一系列的攻擊流程，從而在電腦植入AsyncRAT等多種惡意程式。</p> <p>針對這起事故發生的過程，Forcepoint X-Labs威脅研究員Jyotika Singh指出，攻擊是透過釣魚郵件開始，而這些信件的共通點，就是含有連往Dropbox的連結，一旦收信人點選，電腦就會下載ZIP壓縮檔，其內容是網際網路捷徑檔（URL），假若開啟，電腦就會下載Windows捷徑檔（LNK），從而執行JavaScript檔案。</p> <p>而這個JavaScript指令碼，又會觸發BAT批次檔，然後下載另一個含有惡意內容的ZIP檔，該壓縮檔內含Python指令碼，會在受害電腦植入AsyncRAT。</p> <p>但究竟駭客如何利用TryCloudflare？具體而言，他們透過TryCloudflare隧道存放過程裡會使用的作案工具。Jyotika Singh指出，他們分析URL檔案的內容，發現攻擊者指向的LNK網址裡，該LNK檔就存放於TryCloudflare；而LNK檔的路徑當中，則是呼叫PowerShell從相同的TryCloudflare隧道下載JavaScript檔案。此JavaScript檔經過混淆處理，同樣是從前述的TryCloudflare隧道存取BAT檔，而這個BAT批次檔也經過混淆處理，用途是呼叫PowerShell下載、部署Python套件及AsyncRAT，過程裡還會開啟假的發票PDF檔案，目的是分散受害者的注意。</p> </div></div></div>
2025/2/6 17:13作者周峻佑https://www.ithome.com.tw/news/167244
專訪新任數位發展部資安署署長蔡福隆：迎接挑戰、積極對話，打造可信賴的資安環境
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今日（2月6日）前金管會主任秘書蔡福隆正式升任數位發展部資通安全署（簡稱資安署）署長一職，各界都很關注臺灣資安未來走向。蔡福隆接受iThome電話專訪時表示，資安署肩負國家資安政策的推動與落實，他接任署長後，最重要的任務，就是打造一個「可信賴」的數位環境，並且積極和各方利害關係人溝通、對話，不只是要延續既有的政策，還要積極面對包括人力短缺、供應鏈安全甚至是生成式AI帶來的挑戰，而長期金融資安和相關監理的訓練和經驗，也為蔡福隆如何藉由公私協力，強化臺灣資安韌性奠定基礎。</p> <h2><strong>署長新上任，立即面對的六大挑戰</strong></h2> <h3><strong>挑戰一：內部人力短缺——新創組織的現實困境</strong></h3> <p>蔡福隆上任後，首先面對的就是資安署內部人力不足的問題。根據現行規畫，資安署在兩年間需要補足160多位同仁，然而，實際執行困難重重。他說：「一個新創組織要在短時間內補滿這麼多人力，現實上是相當不容易的。」。</p> <p>畢竟，臺灣的資安專業人才本就供不應求，加上公部門薪資與待遇難以與民間企業競爭，這也導致資安署人力招募困難。「這不僅影響資安署內部的業務運作，也關係到政府整體資安防護的成效。」蔡福隆說道，因此，加速人力補充將是他上任後，內部要積極處理的首要任務。</p> <h3><strong>挑戰二：政策落實——數位國家2.0的資安環境建構</strong></h3> <p>在政府推動「數位國家2.0」的策略下，打造一個「可信賴的資安環境」成為資安署的重要目標。然而，要讓政策落地並非易事，如何兼顧國家資安防護與產業發展，考驗著政府官員的執行力。</p> <p>蔡福隆表示，關鍵基礎設施的資安防護，是目前最重要的挑戰之一，尤其是OT（營運技術）領域的防護相較於IT較為薄弱，要做到「安全」的挑戰更大。OT（Operational Technology）系統廣泛應用於電力、石化、交通等關鍵基礎設施（CI），相較於IT系統，其資安防護機制較少，許多設備甚至未有完整的資安防護機制。</p> <p>因此，資安署將強化關鍵基礎設施的OT安全列為重要挑戰，包括制定OT相關的資安標準與管理規範等，都有助於提升臺灣關鍵基礎設施的安全性。而資安政策的推動往往還涉及跨部門協作，他也指出，未來如何讓各部會、民間企業都能共同參與資安防護，都將是資安政策能否落實的關鍵。</p> <h3><strong>挑戰三：供應鏈資安——強化政府系統與產品安全性</strong></h3> <p>近年來，供應鏈攻擊成為全球資安威脅的重要議題，特別是在政府與企業的IT環境中，許多系統都仰賴外部供應商提供軟、硬體與維護服務。蔡福隆指出，政府所使用的資訊系統，許多來自同一家廠商，一旦發生資安漏洞，將導致多個機關同時受到影響。</p> <p>「過去有些共用系統是由單一供應商承包，可能有好幾個政府機關都在使用，這樣的風險相對較高。」蔡福隆解釋。所以，為了降低這類風險，資安署也會加強對相關供應鏈業者的資安審查，確保政府採購的資安產品符合更高的標準。</p> <h3><strong>挑戰四：資安產業發展——臺灣資安產業的國際競爭力</strong></h3> <p>臺灣資安產業雖然每年有600多億元的產值，但大部分仍來自代理國外產品，而臺灣自主研發的資安軟、硬體產品相對較少，蔡福隆認為，這也使得臺灣資安業者在國際市場上競爭力有限。</p> <p>「如果我們要走向國際，不能只靠代理別人的產品，必須發展自己的資安技術與解決方案。」蔡福隆強調。</p> <p>未來，他表示，資安署也將與業界合作，促進本土資安產業的發展，不僅協助業者可以尋求政府資源的支持，也會幫助臺灣資安產品進軍國際市場。</p> <h3><strong>挑戰五：生成式AI的資安風險與應用</strong></h3> <p>近年來，生成式AI（如ChatGPT）快速發展，除了帶來創新應用，也衍生出新的資安風險。例如，駭客開始利用AI技術發動自動化攻擊，甚至生成更能欺騙的釣魚郵件或惡意軟體。</p> <p>蔡福隆警告，駭客已經開始利用AI開發自動化攻擊工具，這對資安防護提出新的挑戰。因此，面對這一變局，他指出，資安署將積極研究如何將AI技術應用於防禦端，也積極發展更自動化的防禦機制，以應對日益精密的攻擊手法。</p> <h3><strong>挑戰六：預算縮減，國際合作受阻</strong></h3> <p>除了技術與政策挑戰，資安署還面臨現實層面的困境——預算被立法院大幅刪減，尤其是國際交流與合作的出國經費刪到0元，這都使得臺灣在國際資安合作上的推進變得更加困難。</p> <p>「見面三分情，有些國際關係的建立，不是單靠視訊會議可以解決的。」蔡福隆表示。但囿限於預算限制，資安署也會嘗試以其他方式彌補資源不足，例如：透過外交部爭取國際合作經費，協助外館進行資安檢測或防護；也會在一些會議單位許可的情況下，利用視訊會議來維持與國際夥伴的聯繫。</p> <p>雖然經費短缺是一大挑戰，但蔡福隆強調，資安署仍將努力在有限的資源內，尋求最有效的解決方案。</p> <h2><strong>重視利害關係人溝通，促進產官學各界的對話與互信</strong></h2> <p>過往，蔡福隆在金管會的工作經驗，同時經手相關的金融資安與金融監理，也對他接掌資安署帶來正面影響。</p> <p>不過，他認為，金融業屬於高度監理產業，監管方式嚴謹且成熟，而資安領域則面對更快速變化的威脅與更難預測的挑戰。因此，他無法簡單複製金管會的作法，而是要以更高的視角、更靈活的方式推動資安政策。</p> <p>過去，資安署在對外溝通上較為保守，導致外界對政府資安政策的方向，缺乏清楚的認知，甚至有「資安署長失蹤兩年」的說法。</p> <p>為了改變這種情況，蔡福隆強調，他上任後，也會借鏡他任職於金管會的經驗，積極與產、官、學各界建立更緊密的對話機制，透過積極溝通的方式，不僅讓各界可以表達對政府資安的觀點和期待；政府也可以利用這樣對話溝通的管道，更各界清楚政府的資安政策走向與相關產業、技術的發展重點等等。</p> <p>資安並非是「政府」能夠單獨解決的問題，公私協力是提升資安韌性的關鍵。蔡福隆表示，他將進一步整合資安領域累積的產、官、學資源，打造更強大的「臺灣隊」，以促進產業界與政府的緊密合作。</p> <p>他認為，政府的角色應該是協調者，透過政策引導企業進行有效的資安投資，讓學界的研究能夠貼近產業需求，從而提升臺灣整體的資安防護能力。此外，鑑於國際資安事件的頻繁發生，臺灣也必須積極尋求國際夥伴合作，確保在全球資安生態系中擁有一席之地。</p> <h2><strong>形塑團隊向心力，確保臺灣資安防線不斷裂</strong></h2> <p>在內部團隊建設方面，蔡福隆強調，他希望資安署的同仁不僅擁有高度的使命感，更能擁有歸屬感與榮譽感。他回憶起九十多歲的父親生病時，親眼見證醫護人員的辛勞，讓他深刻體會到專業服務的價值。</p> <p>他希望，能夠透過更健全的組織文化、完善的職涯發展機制與資源投入，讓資安署的團隊同仁能更有向心力，進而提升臺灣的整體資安防禦能力。</p> <p>資安領域的變化極快，挑戰日益嚴峻，蔡福隆深知自己所接下的這一棒責任重大。他認為，臺灣的資安發展在亞太地區已有一定的成就，但不能因此自滿，因為資安政策不能只是口號，而必須落實到每一個環節，確保資源能夠精準投入。他強調，所有的政策都必須真正解決問題，確保臺灣的資安競爭力能夠與國際接軌。</p> <p>展望未來，蔡福隆計畫持續推動法規與政策的健全發展，並加速強化資安產業鏈，吸引更多資源投入。他認為，資安的挑戰只會越來越大，但這也意味著有更多機會做出改變。他希望透過自身的經驗與團隊的努力，讓臺灣的資安環境更上層樓，確保資安防線不會斷裂，讓未來的資安發展能夠順利傳承。</p> <p>蔡福隆的上任，為資安署帶來新的視野與動能，他不僅帶來金融監理的嚴謹態度，更強調對話與合作的重要性。這也讓資安署在面對全球資安挑戰加劇的當下，可以為臺灣資安發展帶來不一樣的嶄新突破。</p> <p> </p> </div></div></div>
2025/2/6 17:45作者黃彥棻https://www.ithome.com.tw/news/167245
合勤證實研究人員揭露的漏洞存在於12款DSL CPE設備，呼籲用戶應儘速汰換因應
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者GreyNoise一月下旬<a href="https://www.ithome.com.tw/news/167183">發現Mirai殭屍網路變種攻擊的行動</a>，攻擊者利用去年7月底資安業者VulnCheck發現的漏洞CVE-2024-40891，該漏洞存在於存在於合勤科技（Zyxel Communications）CPE通訊設備，由於當時漏洞尚未修補，也沒有公開細節，引起資安界的關注。當時我們也向合勤科技的關係企業兆勤科技（Zyxel Networks）詢問，該公司初步表示此批受影響的設備生命週期已經結束（EOL）多年，但並未說明有那些設備存在相關漏洞，事隔兩天，我們發現有國外資安新聞媒體<a href="https://www.bleepingcomputer.com/news/security/zyxel-wont-patch-newly-exploited-flaws-in-end-of-life-routers/">引述VulnCheck及合勤科技的公告</a>，進行追蹤報導。</p> <p>在VulnCheck<a href="http://vulncheck.com/blog/zyxel-telnet-vulns">公布的細節</a>與<a href="https://www.zyxel.com/service-provider/apac/en/security-advisories/zyxel-security-advisory-command-injection-insecure-in-certain-legacy-dsl-cpe-02-04-2025">合勤</a>、<a href="https://www.zyxel.com/global/en/support/security-advisories/zyxel-security-advisory-for-command-injection-and-insecure-default-credentials-vulnerabilities-in-certain-legacy-dsl-cpe-02-04-2025">兆勤</a>的資安公告裡，終於明確揭露有那些設備存在漏洞，當中列出的項目不只是去年找到的CVE-2024-40890、CVE-2024-40891，還包括一項重大層級的預設帳密弱點CVE-2025-0890。整體而言，這些受到影響的設備型號如下：</p> <ul> <li>VMG1312-B10A</li> <li>VMG1312-B10B</li> <li>VMG1312-B10E</li> <li>VMG3312-B10A</li> <li>VMG3313-B10A</li> <li>VMG3926-B10B</li> <li>VMG4325-B10A</li> <li>VMG4380-B10A</li> <li>VMG8324-B10A</li> <li>VMG8924-B10A</li> <li>SBG3300</li> <li>SBG3500</li> </ul> <h3><strong>VulnCheck持續追蹤並於2月3日發布新消息</strong></h3> <p>這起事故引發的資安漏洞資訊，現在之所以有更多揭露，源自2月3日VulnCheck技術長Jacob Baines新公布的漏洞細節，當中提到VulnCheck至少確認有12款合勤CPE路由器存在漏洞，且產品狀態皆為生命週期已經結束（EOL），但他們仍能從物聯網搜尋引擎FOFA及Censys找到約1,500臺曝險設備，外界能透過Telnet介面存取它們。</p> <p>不僅如此，Jacob Baines發現仍有部分型號的路由器，可從Amazon網路商站買到，因此，曝險的範圍很有可能還會擴大。</p> <p>針對已被用於攻擊行動的CVE-2024-40891，VulnCheck也公布細節及概念驗證程式碼（PoC），並公布另一個預設帳密漏洞CVE-2025-0890。</p> <h3><strong>Zyxel於2月4日發布完整的資安公告</strong></h3> <p>此項消息揭露的隔日（2月4日），合勤與兆勤也發布資安公告證實這些弱點，並指出他們已確認這些設備都存在VulnCheck找到的CVE-2024-40890、CVE-2024-40891，以及CVE-2025-0890，並指出這些設備已不再受到支援，呼籲用戶應汰換設備來因應。</p> <p>而對於這些漏洞的影響，他們指出<a href="https://nvd.nist.gov/vuln/detail/CVE-2024-40890">CVE-2024-40890</a>、<a href="https://nvd.nist.gov/vuln/detail/CVE-2024-40891">CVE-2024-40891</a>皆為後身分驗證命令注入漏洞，通過身分驗證的攻擊者可觸發漏洞執行任意作業系統層級命令，CVSS風險評為8.8。但兩個漏洞觸發的管道有所不同，CVE-2024-40890是透過HTTP請求，CVE-2024-40891則是經由Telnet來進行。</p> <p>至於第三個漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-0890">CVE-2025-0890</a>，則是CPE設備Telnet功能當中不安全的預設密碼，若是管理員未曾修改，攻擊者就有機會登入管理介面，CVSS風險評分為9.8。</p> </div></div></div>
2025/2/6 15:22作者周峻佑https://www.ithome.com.tw/news/167236
政府加速AI算力建置，國科會估2029年我國公共算力可達480PF
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因應國內AI算力需求增加，政府正積極推動建置新一代AI超級電腦、AI雲端資料中心，國科會在行政院會議中指出，預期政府主導的公共AI算力建置，2029年將可達到480PF，如果加上民間建置的算力，公私部門合計算力可望超過1,200PF。 </p> <p>國科會今天(2/6)在行政院會議中報告我國高速運算系統建置計畫，國家實驗研究院院長蔡宏營表示，根據2024年公布的全球前500大超級電腦排名，統計各國算力排名，包括公私部門，我國總算力約為103PF，各國排名為第11位，為推動我國的AI主權及自主發展，推動大型算力、資料中心、繁中模型三個面向的工作。</p> <p>他表示，在大型算力方面，政府分期建置算力，未來可望達到480PF總算力；資料中心方面，推動建置大型雲端資料中心，作為AI算力機房及國家關鍵資料基地，可達60PB的儲存量；繁中模型方面，發展具有本土特色的繁體中文大型語言模型。</p> <p>蔡宏營指出，國研院國網中心在2024年建置的16PF算力超級電腦，在今年5月將可開放使用，而可供超級電腦進駐的大型雲端資料中心，其中南科的雲端資料中心預期在今年底可開放使用，在沙侖的AI運算資料中心預計在2029年開放使用。目前政府推動中的晶創臺灣計畫(2024到2028年，將建置280PF)，以及大南方新矽谷推動方案(2026年到2029年將建置200PF)，兩項計畫將使政府在2029年建置的AI總算力達到480PF，預期屆時加上民間投資建置的算力，公私部門合計總算力預估將可超過1,200PF。 </p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA0.jpg" style="width: 600px; height: 353px;" /></p> <p>除了建置算力作為發展AI的重要基礎建設，未來也會強化算力資源的管理、能源的運用效率、發展多元的算力應用。</p> <p>蔡宏營表示，在營運服務方面，未來將推動產學橋接發展多元AI應用服務，並且開發新的雲端服務，建立生成式AI雲端服務平臺，也會針對中小企業或新創產業需求，提供AI技術輔助及優惠方案費率，另外透過建立產業應用AI的典範案例，加速產業的採用。</p> <p>至於雲端服務，國科會計畫建立一站式的AI開發雲端服務平臺，其服務的特色強調會針對開發者痛點，降低軟硬體布署及開發成本，並且和資服業者的服務與技術介接，未來將雲端服務擴大到百工百業，預期帶動公私部門投資等等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA40.jpg" style="width: 600px; height: 352px;" /></p> <p><strong>數發部加速建立公私部門AI評測機制</strong></p> <p>數發部已在2024年推動AI評測機制，並成立AIEC評測中心，數發部數產署長林俊秀指出，參考國際如ISO標準、NIST AI RMF等，建立AI評測的公平性、準確性、可靠性、隱私、資安等5大評測項目。</p> <p>針對公部門，數發部計畫和各部會合作，針對各部會業務建立適合的評測機制，今年3月將邀請部會召開說明會，並發展適合公部門的AI評測題庫及工具；而針對私部門的民間企業，則希望透過AIEC、測試實驗室、驗證機構來協助企業建立AI產品的評測。</p> <p>數發部也計畫讓國內的評測機制能和國際接軌，例如邀請Open AI、Meta等業者參與合作，這方面正在進行中。</p> <p>針對公部門採用AI，數發部已在去年底公布公部門人工智慧應用參考手冊，同時也規畫建立政府語言模型試用環境及AI範例展示平臺，包括提供10個大型語言模型(包括TAIDE及全球排名前9的LLM)，還有以App市集為概念提供20個AI Bots，供行政院的二級機關人員試用。</p> <p>林俊秀也特別指出，依據可能危害國家資通安全產品的限制使用原則，機關如基於業務需要使用，且沒有其他替代方案，應說明理由，並獲機關的資安長及該機關的上級機關資安長同意，向數發部提出並經列冊管理，才能在限制條件下使用，例如特定區域、特定人員，在不含個資及資料的電腦單機下載斷網使用。</p> <p>在AI相關法制作業上，由國科會去年研擬的AI基本法，目前送交行政院審核中；目前行政院也就發展AI研擬相關的資料治理法規及著作權法等法規調適。</p> </div></div></div>
2025/2/6 14:02作者蘇文彬https://www.ithome.com.tw/news/167234
HTTP用戶端工具遭濫用，駭客用來挾持M365帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>用於發送HTTP請求及接收回應的用戶端（HTTP cilent）應用程式，例如：cURL、wget，以及程式庫像是：Axios、Go Resty、Node-fetch、OkHttp，執行向網頁伺服器發出請求並接收回應的工作，這類工具經常在開發及測試領域使用，但如今駭客也將其用於大規模攻擊，引起研究人員提出警告。</p> <p>資安業者Proofpoint指出，<a href="https://www.proofpoint.com/us/blog/threat-insight/http-client-tools-exploitation-account-takeover-attacks">他們近期看到有人濫用合法的HTTP用戶端工具</a>，企圖入侵Microsoft 365環境。值得留意的是，由於相關資源能從GitHub等公開的儲存庫取得，這種工具被用於暴力破解及對手中間人攻擊（AiTM）的情況顯著增加，導致帳號挾持（ATO）的資安事故不斷發生。</p> <p>Proofpoint資安研究員Anna Akselevich指出，這種利用合法HTTP用戶端工具的攻擊行動，最早可追溯到2018年2月，當時他們看到攻擊者運用名為OkHttp的工具發動攻擊，持續嘗試未經授權存取長達4年，主要目標是高階主管及具有特殊權限的使用者。根據進一步的調查指出，這些利用OkHttp的攻擊，只是整個攻擊鏈當中的初期階段。</p> <p>但到了去年1月，Proofpoint威脅研究小組發現攻擊手法開始出現變化，駭客改用OkHttp的變種犯案，接著在3月又使用更為廣泛的HTTP用戶端工具，相關攻擊行動於5月達到高峰，攻擊者利用數百萬個遭到挾持的IP位址來攻擊雲端帳號。</p> <p>從受害規模來看，2024年下半有78%企業組織遭遇相關攻擊事故，這樣的情況較半年前增加7%。</p> <p>為何這種攻擊過往較不引起注意？原因是攻擊者多半採行暴力破解的做法，成功率並不高，但Anna Akselevich表示，他們近期發現更有成效的攻擊手段，其中一種是採用名為Axios的工具，攻擊者精準鎖定目標，並使用AiTM攻擊突破多因素驗證（MFA）防護，根據該研究小組每個月的統計，這種作案手段的成功率高達38%。</p> <p>從去年6月到11月，駭客主要針對交通運輸、建築、金融、IT、醫療保健產業的高階主管、財務長、客戶經營、維運人員下手，總共有51%遭鎖定的企業組織受害、43%帳號被入侵。</p> <p>另一種濫用Node-fetch的攻擊行動，也相當值得留意，這種工具駭客主要用於暴力破解和密碼潑灑（Password Spraying）攻擊。Proofpoint自6月9日開始，總共發現超過1,300萬次的登入嘗試，平均每天有6.6萬次。</p> <p>他們確認有17.8萬個使用者帳號遭到鎖定，這些帳號橫跨超過3千個企業組織，攻擊者主要針對教育領域而來，尤其偏好學生的帳號，原因是這類帳號通常缺乏相關防護，一旦成功挾持，就能用於大規模垃圾郵件攻擊或其他網路犯罪。</p> <p>還有一種工具的濫用，也引起Proofpoint的注意。研究人員於去年8月發現利用Go語言開發的Go Resty相關攻擊，推測是由使用Node Fetch的攻擊者發起，原因是兩起攻擊駭客都使用相同的基礎架構，攻擊目標也一致。利用Go Resty的攻擊行動約在10月就停止，為何駭客不再使用Go Resty？研究人員並未說明。</p> </div></div></div>
2025/2/6 12:11作者周峻佑https://www.ithome.com.tw/news/167233
Google Gemini 2.0 Flash Thinking供所有用戶測試，新增Pro、Flash-Lite版
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google昨（5）日<a href="https://blog.google/technology/google-deepmind/gemini-model-updates-february-2025/" target="_blank">宣布</a>最新版旗艦模型Gemini 2.0多項訊息，包含Flash正式上線、思維模型Flash Thinking開放所有人測試，Google並公布新增Gemini 2.0進階版Pro和最小的Flash-Lite模型。</p> <p>去年12月Google首先<a href="https://www.ithome.com.tw/news/166480" target="_blank">宣布</a>Gemini 2.0 Flash實驗版，並接連公布2.0為基礎的Flash Thinking實驗版初始和<a href="https://www.ithome.com.tw/news/167131" target="_blank">更新</a>版本，後者更因具備推理能力而備受注目。而在最新宣布下，Gemini 2.0 Flash以正式版部署到桌機及行動版Gemini App開放所有用戶使用，今天也部署到Google AI Studio及Vertex AI，讓開發人員透過Gemini API存取Google 2.0 Flash以開發營運應用程式。另一方面，2.0 Flash Thinking實驗版今天開放所有桌機和行動版Gemini App使用，用戶可經由模型下拉式選單啟用。</p> <p>此外，Google也公布Gemini 2.0新增二個版本。首先是進階版模型Gemini 2.0 Pro實驗版，強調編程效能和可回答複雜提問。另一為最小的多模態模型版本Gemini 2.0 Flash-Lite。</p> <p>Gemini 2.0所有模型都具備多模態輸入及文字輸出能力，Google預告未來幾個月內會逐步增加新的模態能力。</p> <p><a href="https://developers.googleblog.com/en/gemini-2-family-expands/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0206-Gemini%202_0-Model%20features-FEB%2005%2C%202025.png" style="width: 600px;" /></a></p> <p>Google說，今天經由所有Google AI產品公布給所有人的Gemini 2.0 Flash，除了在各項標竿測試結果比之前版本更好，很快也會加入圖片生成和語音合成（text-to-speech）功能。</p> <p>新增模型方面，Gemini 2.0 Pro因應開發人員需求，強化編輯速度和處理複雜提示的能力，比之前模型更能理解和推論真實世界的知識。2.0 Pro具備200萬tokens的context windows，可分析和理解更多資訊，且具備工具使用能力如Google Search或執行程式。</p> <p>2.0 Flash-Lite是回應用戶對1.5 Flash的需求，包括以同樣速度和成本提供比1.5 Flash更好的回應品質。Google強調2.0 Flash-Lite在大部分標竿測試結果，都優於1.5 Flash。</p> <p>2.0 Flash-Lite和2.0 Flash都具備100萬tokens的context windows和多模態輸入能力。它可為4萬幀圖片生成一行的文字圖說，在AI Studio花不到1美元。</p> <p>2.0 Pro版現在已部署於Google AI Studio及Vertex AI給開發人員，以及提供付費方案Gemini Advanced用戶在Gemini中使用。2.0 Flash-Lite現在以公開預覽版登上AI Studio及Vertex AI。</p> <p>在<a href="https://developers.googleblog.com/en/gemini-2-family-expands/" target="_blank">價格</a>方面， 2.0 Flash-Lite價格等同1.5 Flash，文字/圖片/影片輸入為0.075美元（提示<=128k），音訊輸入也是0.075美元，文字輸入為0.30美元。2.0 Flash的價格則各為0.1、0.7及0.4美元。二個模型也即將推出快取功能。</p> <p><a href="https://developers.googleblog.com/en/gemini-2-family-expands/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0206-Gemini%202_0-Gemini%20Pricing-FEB%2005%2C%202025.png" style="width: 600px;" /></a></p> <p>Google強調Gemini 2.0 Flash及Flash-Lite所有資料型態輸入收單一價格，取消1.5 Flash長、短context的差別訂價，這使得2.0版在混合context的執行收費比前一代更低，但效能更提升。</p> <p>這是Google為了迎戰Meta、OpenAI，以及中國DeepSeek在2025年第一波重大宣布。Google執行長Sundar Pichai 在本周財報會議<a href="https://www.theverge.com/news/606242/google-q4-2024-earnings" target="_blank">上說</a>，今年該公司預估投入750億美元於AI競賽上。<span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> </div></div></div>
2025/2/6 10:31作者林妍溱https://www.ithome.com.tw/news/167229
Anthropic公開憲法式分類器，大幅降低AI越獄攻擊成功率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Anthropic公開名為<a href="https://www.anthropic.com/research/constitutional-classifiers">憲法式分類器（Constitutional Classifiers）</a>的新防護機制，專門用來抵禦通用型越獄攻擊（Universal Jailbreaks）。根據最新研究報告，這項技術透過憲法式原則的定義與分類器訓練，可偵測並攔截多數常見越獄手法，同時盡量降低拒絕合法查詢的比例。Anthropic現已開放臨時測試平臺，邀請攻擊測試人員進行實測，以進一步驗證系統的防護能力。</p> <p>大型語言模型經過嚴格的安全訓練，理論上應該能夠阻擋危險內容的生成，例如拒絕回答涉及化學或生物武器製作的方法。不過，越獄攻擊利用不同的技術手法，例如極長的提示詞、特定的排版方式或變形文字，誘導模型繞過內建的安全機制。</p> <p>Anthropic先前開發了一個原型版本的憲法式分類器，主要針對涉及化學、生物、放射性及核能相關的知識進行封鎖，並邀請外部專家參與越獄挑戰。最終在為期兩個月、合計超過三千小時的攻防實驗中，無人能以單一通用攻擊方法成功繞過所有限制。</p> <p>雖然原型系統防禦效果亮眼，但拒絕過多以及運算成本高昂等缺點，成為實際部署的阻礙。Anthropic現在發布的憲法式分類器，便是原型系統改良後的成果，並表示在合成測試（Synthetic Evaluations）時能將越獄成功率從未使用分類器的86％降至4.4％，拒絕率僅略增0.38%，運算成本也僅比基準模型多約23.7％。</p> <p>憲法式分類器的概念與Anthropic先前提出的Constitutional AI相似，皆是透過一套預先定義的憲法式原則，來決定模型需回應或拒絕的內容，像是例如允許模型回答關於芥末醬的配方，但禁止回應有關芥子毒氣（Mustard Gas）的製作方式。</p> <p>研究人員先利用大型語言模型如Claude，依照預先訂定的原則，合成大規模合法與不合法對話範例，並做多語言轉換及各種文字風格變形，以形成多元化的訓練集。隨後再以人工篩選的無害樣本進行補充，藉此減少對正常查詢的誤判。最終訓練完成的輸入與輸出分類器能自動偵測潛在的違規或危險內容，阻擋絕大多數嘗試繞過管制的手段。</p> <p>雖然憲法式分類器在測試中展現優異的防禦能力，但Anthropic仍強調這並非萬無一失的解決方案。目前的防護機制能夠大幅提高攻擊門檻，使越獄變得更困難，但無法完全排除未來可能出現的新型態攻擊，因此建議搭配其他輔助防禦措施，並透過持續更新憲法規則來應對新興的安全挑戰。</p> </div></div></div>
2025/2/6 08:14作者李建興https://www.ithome.com.tw/news/167228
【資安日報】2月5日，去年修補的7-Zip的MotW漏洞被用於攻擊烏克蘭企業與政府機關
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>7-Zip在2024年11月發布的24.09版當中，修補能繞過MotW防護機制的漏洞CVE-2025-0411，然而，由於這款解壓縮軟體並未內建自動更新機制，不少使用者可能因為仍在使用舊版而曝險，所以資安圈關注此事，另一個令人大家好奇的部分在於，CVE-2025-0411是如何被發現的？</p> <p>這個星期ZDI透露他們之所以察覺，是因為俄羅斯駭客利用釣魚郵件攻擊烏克蘭企業組織，過程曾運用這項漏洞，於受害電腦執行任意程式碼，從而散布惡意軟體。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167224"><strong style="font-size: 22px;">壓縮軟體7-Zip的MotW零時差漏洞被用於攻擊烏克蘭</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/7zip-fig6b.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/7zip-fig6b.png" style="width: 300px; float: right;" /></a>上個月趨勢科技旗下的漏洞懸賞專案Zero Day Initiative（ZDI）公布知名壓縮軟體7-Zip漏洞CVE-2025-0411，並指出攻擊者有機會遠端利用這項弱點，藉由與使用者進行互動，引誘他們存取惡意網頁或是檔案觸發，繞過Windows作業系統的Mark of the Web（MotW）防護機制，現在趨勢科技公布這項漏洞的發現經過，並指出去年有人將其用於攻擊烏克蘭。</p> <p>究竟ZDI如何發現這項漏洞？ZDI資深威脅研究員Peter Girnus表示，他們在去年9月25日察覺這項漏洞被實際用於攻擊，俄羅斯駭客針對烏克蘭政府機關與非政府組織下手，意圖於受害電腦植入惡意程式載入工具SmokeLoader。對於駭客的動機，ZDI認為很可能與尚在進行的烏克蘭戰爭有關。</p> <p>在這起漏洞利用攻擊行動裡，駭客利用外流的電子郵件帳號，假冒烏克蘭政府機關或是企業，對當地的企業組織發動攻擊。這些電子郵件存在共通點，歹徒都挾帶用來觸發漏洞的壓縮檔附件。</p> <p><a href="https://www.ithome.com.tw/news/167216"><strong style="font-size: 22px;">防範偽冒離線交易的新式詐騙手法，春節期間臺灣有商家暫停使用感應式行動支付</strong></a></p> <p>在2025年1月農曆春節期間，有台新銀行、聯邦銀行等多家金融機構向其特約商店示警，指出發現有不肖份子利用「刷卡機」的偽冒狀況，或是國際行動支付（Apple Pay、Google Pay、Samsung Pay）交易的詐騙情事，因此提醒這些與收單機構簽有協議提供刷卡服務的店家，需注意防範偽冒交易。</p> <p>由於這些消息看似涉及行動支付的安全，因此受到IT社群討論，不僅如此，年節期間我們也看到林口三井暢貨中心張貼相關公告，說明感應式行動支付（Apple Pay、Google Pay）暫停使用的狀況，很可能是受同一事件影響。</p> <p>究竟這次事件發生的原因為何？根據國內外金融機構及組織的回覆，目前我們研判主要是針對新式偽冒離線交易手法的預警，只是各家業者因應方式有所不同，所以才在過年期間會向特約商店示警，並非國際行動支付的狀況。</p> <p><strong style="font-size: 22px;">邑昇、尚立公告內部資訊系統遭受網路攻擊</strong></p> <p>今天下午<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=3&SPOKE_TIME=150944&SPOKE_DATE=20250205&COMPANY_ID=5291">印刷電路板業者邑昇實業</a>、<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=3&SPOKE_TIME=155935&SPOKE_DATE=20250205&COMPANY_ID=3360">半導體暨電子零組件業者尚立</a>於股市公開觀測站發布重大訊息，指出公司部分資訊系統遭到網路攻擊，並表示事發當下已啟動相關防禦機制因應，根據他們的初步評估，網路攻擊事故並未對營運造成影響。</p> <p>邑昇在重大訊息中提及，他們在確保資訊安全的情況下，就能使用日常備份資料恢復運作，根據這樣的說明，我們推測很有可能是勒索軟體攻擊；而尚立雖然在公告內容提及內容相當有限，但他們特別透露遭到攻擊範圍是電子郵件系統，這樣的情況在資安重訊相當罕見。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/chinese-cyberspies-use-new-ssh-backdoor-in-network-device-hacks/">中國駭客Evasive Panda透過SSH處理程序挾持網路設備，注入惡意程式</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/ransomware-gang-uses-ssh-tunnels-for-stealthy-vmware-esxi-access/">勒索軟體駭客利用SSH隧道鎖定VMware虛擬化平臺</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://socket.dev/blog/malicious-package-exploits-go-module-proxy-caching-for-persistence">惡意套件鎖定Go開發人員而來，假借提供代理伺服器工具散布</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/02/north-korean-hackers-deploy-ferret.html">北韓駭客假借徵才名義引誘macOS用戶上當，企圖散布惡意軟體Ferret</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167218"><strong style="font-size: 22px;">Google修補安卓作業系統核心的零時差漏洞</strong></a></p> <p>2月3日Google發布本月份安卓例行更新，總共修補、公布47個漏洞，值得留意的是，其中一項高風險層級的漏洞CVE-2024-53104，該公司表示，他們掌握某些跡象，研判可能有人專門利用這項漏洞從事目標式的攻擊。</p> <p>該漏洞最初是在去年12月由Linux核心開發團隊揭露，起因是uvc_parse_format在處理UVC_VS_UNDEFINED格式的影格時，會略過剖析的處理，使得系統計算處理串流的緩衝區大小時，此種影格不會被列入，從而導致記憶體越界寫入（OBW）的現象。</p> <p>對於這項漏洞用於攻擊行動的情況，行動裝置作業系統GrapheneOS開發團隊指出，很有可能是經由資料鑑識解析工具利用。</p> <p><a href="https://www.ithome.com.tw/news/167221"><strong style="font-size: 22px;">Netgear公布Wi-Fi無線基地臺、路由器重大層級漏洞，6款設備曝險</strong></a></p> <p>2月1日網路設備業者Netgear發布兩則資安公告，指出旗下6款產品存在兩項重大層級漏洞：PSV-2023-0039、PSV-2021-0117，該公司呼籲用戶儘速更新Wi-Fi無線路由器及基地臺設備韌體（但這兩項漏洞目前並未指派任何CVE編號）。</p> <p>根據CVSS風險評分，PSV-2023-0039較為嚴重，此為未經身分驗證的遠端程式碼執行（RCE）漏洞，影響XR1000、XR1000v2，以及XR500等3款無線路由器，風險評分達到9.8（滿分10分）。</p> <p>另一個漏洞PSV-2021-0117則為身分驗證繞過漏洞，影響WAX206、WAX220，以及WAX214v2共3款無線基地臺，CVSS風險評為9.6。</p> <p><a href="https://www.ithome.com.tw/news/167225"><strong style="font-size: 22px;">Azure AI臉部辨識服務與微軟帳號系統修補重大層級漏洞</strong></a></p> <p>1月29日微軟發布兩則資安公告，苦主是Azure AI臉部辨識服務、Microsoft Account這兩套系統，各自存在1個重大層級的漏洞，攻擊者可在特定條件下，藉機提升權限。</p> <p>根據CVSS風險評分，較為嚴重的是CVE-2025-21415，通過身分驗證的攻擊者可藉由欺騙Azure AI臉部辨識服務，從而達到繞過身分驗證的目的，風險評分達到9.9（滿分10分）。</p> <p>另一個存在於Microsoft Account的漏洞CVE-2025-21396，起因是缺乏授權，從而允許未經授權的攻擊者提升權限，CVSS風險評為7.5。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/01/palo-alto-firewalls-found-vulnerable-to.html">Palo Alto Networks防火牆韌體存在已知弱點，恐繞過安全開機防護機制</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/167208"><strong>【2月4日】美荷執法單位聯手，撤下提供商業郵件詐騙武器的地下市集</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167185"><strong>【2月3日】蘋果針對旗下設備修補今年第一個零時差漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167151"><strong>【1月24日】印度駭客組織DoNot假借提供即時通訊軟體的名義散布惡意程式</strong></a></p> </div></div></div>
2025/2/5 17:14作者周峻佑https://www.ithome.com.tw/news/167226
壓縮軟體7-Zip的MotW零時差漏洞被用於攻擊烏克蘭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上個月趨勢科技旗下的漏洞懸賞專案Zero Day Initiative（ZDI）公布<a href="https://www.zerodayinitiative.com/advisories/ZDI-25-045/">知名壓縮軟體7-Zip漏洞CVE-2025-0411</a>，並指出攻擊者有機會遠端利用這項弱點，藉由與使用者進行互動，引誘他們存取惡意網頁或是檔案觸發，繞過Windows作業系統的Mark of the Web（MotW）防護機制，<a href="https://www.trendmicro.com/en_us/research/25/a/cve-2025-0411-ukrainian-organizations-targeted.html">現在趨勢科技公布這項漏洞的發現經過</a>，並指出去年有人將其用於攻擊烏克蘭。</p> <p>針對這項漏洞發生的原因，ZDI指出是7-Zip處理壓縮檔的環節出包，當該應用程式從特製的壓縮檔（即經過雙重壓縮的檔案）嘗試解出檔案時，不會對部分解壓縮的檔案複製MotW標記，使得攻擊者有機會用來執行任意程式碼，CVSS風險為7.0分，7-Zip專案開發者Igor Pavlov於去年11月30日發布24.09版修補。</p> <p>但究竟ZDI如何發現這項漏洞？ZDI資深威脅研究員Peter Girnus表示，他們在去年9月25日察覺這項漏洞被實際用於攻擊，俄羅斯駭客針對烏克蘭政府機關與非政府組織下手，意圖於受害電腦植入惡意程式載入工具SmokeLoader。對於駭客的l動機，ZDI認為很可能與尚在進行的烏克蘭戰爭有關。</p> <p>在這起漏洞利用攻擊行動裡，駭客利用外流的電子郵件帳號，假冒烏克蘭政府機關或是企業，對當地的企業組織發動攻擊。這些電子郵件存在共通點，歹徒都挾帶用來觸發漏洞的壓縮檔附件。在其中一封郵件裡，駭客佯稱是烏克蘭國家行政服務局（SES），鎖定該國大型汽車製造商Zaporizhzhia Automobile Building Plant（PrJSC ZAZ）而來。</p> <p>值得留意的是，駭客在利用上述7-Zip漏洞之餘，他們也運用同形字（homoglyph）攻擊手法來欺騙收信人，使得收信人降低戒心並依照指示點選惡意檔案，或是存取惡意網站。</p> <p>目前有哪些漏洞攻擊的受害者？經過ZDI的調查，確認至少有9家烏克蘭企業與政府單位受害，這些是公共交通運輸服務、電子設備製造商、保險公司、地區藥局、水資源公司、汽車製造商，以及國家與地方政府機關。</p> </div></div></div>
2025/2/5 16:07作者周峻佑https://www.ithome.com.tw/news/167224
微軟修補Azure AI臉部辨識服務重大層級漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>1月29日微軟發布兩則資安公告，苦主是Azure AI臉部辨識服務、Microsoft Account這兩套系統，各自存在1個重大層級的漏洞，攻擊者可在特定條件下，藉機提升權限。</p> <p>根據CVSS風險評分，較為嚴重的是<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-21415">CVE-2025-21415</a>，通過身分驗證的攻擊者可藉由欺騙Azure AI臉部辨識服務，從而達到繞過身分驗證的目的，風險評分達到9.9（滿分10分）。</p> <p>另一個存在於Microsoft Account的漏洞<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-21396">CVE-2025-21396</a>，起因是缺乏授權，從而允許未經授權的攻擊者提升權限，CVSS風險評為7.5。</p> <p>微軟表示，他們已經完全緩解上述漏洞，使用者無須採取行動因應，發布這些資安公告的目的是維持漏洞資訊的透明，但也提及CVE-2025-21415有概念驗證程式（PoC）出現的情況，後續發展有待觀察。</p> </div></div></div>
2025/2/5 16:48作者周峻佑https://www.ithome.com.tw/news/167225
防範偽冒離線交易的新式詐騙手法，春節期間臺灣有商家暫停使用感應式行動支付
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>農曆年節因放假天數多，近年國內銀行經常向民眾與企業示警當心詐騙，像是<a href="https://www.ithome.com.tw/news/142711">2021年春節前夕，持續出現假冒國內多家金融機關的釣魚簡訊詐騙</a>，其攻擊目標是鎖定民眾騙取網路銀行帳密與OTP碼，今年2025年的春節期間，則有國內金融機構向特約商店示警的狀況，這類攻擊目標可能是鎖定收單機構、商家進行的偽冒交易詐騙。</p> <p>在2025年1月農曆春節期間，有台新銀行、聯邦銀行等多家金融機構向其特約商店示警，指出發現有不肖份子利用「刷卡機」的偽冒狀況，或是國際行動支付（Apple Pay、Google Pay、Samsung Pay）交易的詐騙情事，因此提醒這些與收單機構簽有協議提供刷卡服務的店家，需注意防範偽冒交易。</p> <p>由於這些消息看似涉及行動支付的安全，因此受到IT社群討論，不僅如此，年節期間我們也看到林口三井暢貨中心張貼相關公告，說明感應式行動支付（Apple Pay、Google Pay）暫停使用的狀況，很可能是受同一事件影響。</p> <p>究竟這次事件發生的原因為何？根據國內外金融機構及組織的回覆，目前我們研判主要是針對新式偽冒離線交易手法的預警，只是各家業者因應方式有所不同，所以才在過年期間會向特約商店示警，並非國際行動支付的狀況。</p> <h3><strong>出現新型偽冒刷卡交易的詐騙手法</strong></h3> <p>這起事件發生在農曆年假期間，最初我們是在臉書IT社群中一則關於<a href="https://www.facebook.com/groups/rayforum/posts/9049978761748868/">Apple Pay與Google Pay安全運作架構圖表的文章</a>中，看到有網友在下面的留言中，張貼了台新銀行發布公告提醒留意新式偽冒交易的截圖，隔日我們又在同一社群看到<a href="https://www.facebook.com/groups/rayforum/posts/9051685761578168/">另一則轉貼網友的文章</a>，當中除了張貼台新銀行的公告，還公布另一截圖是聯邦銀行也有相關示警，接著我們循線檢視這兩家銀行的網站，發現確實有這方面的公告。</p> <p>究竟此次多家金融機構示警的交易詐騙型態為何？是否涉及感應式行動支付或是其他環節？由於公告內容提及多款國際行動支付，而不只是一款，因此我們最初在追查時除了詢問台新銀行、聯邦銀行，同時也詢問了兩大國際發卡組織Visa與Mastercard。</p> <p>以台新銀行的公告而言，該收單機構對其合作夥伴表示，因近期發生多起以手機行動支付（如Apple Pay、Google Pay、Samsung Pay等）的交易詐騙案例，請引導持卡人以實體卡片執行交易。同時公告中說明，商家需注意簽單上的授權碼，如為Y1xxxx、Y3xxxx時，務必取消或刷退該筆交易。</p> <p>對此，台新銀行表示，他們主要是年假前收到國際組織通知發現新型態式的詐騙樣態，故提醒合作特約商店留意，公告內容可參考台新銀行的官網。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-02-03_123926.jpg" style="width: 600px;" /></p> <p>在聯邦銀行的公告中，該收單機構其合作特約商店表示，近日發現不法集團利用刷卡機進行偽冒情事，請特約商店特別留意信用卡簽單所記載的授權碼，當發現實體卡片及行動支付（如Apple Pay、Google Pay、Samsung Pay等）的任何感應交易，只要金額超過3,000元，且授權碼開頭若為Y1、Y2、Y3，請即刻取消該交易。</p> <p>對此，聯邦銀行表示，主要是年節前夕收到Visa的示警，通知有這樣的詐騙型態，雖然這次通知中沒有明確提及是發生在國內或國外，但適逢農曆年節，因此發布公告並提醒商家注意，年後恢復上班即恢復正常，而聯邦銀行本身目前尚未發現這樣的案例。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-02-03_123849.jpg" style="width: 600px;" /></p> <h3><strong>Visa提醒：留意惡意程式驅動刷卡機進行離線交易</strong></h3> <p>關於國際發卡組織對此事件的回應上，在截稿前我們尚未獲得Mastercard的回應，不過Visa已經針對這次威脅的提出詳細的說明。</p> <p>Visa台灣區風險管理負責人沈玫芳表示：「這次是針對商家的新型態詐欺手法，以惡意程式驅動刷卡機進行離線交易，Visa一直關注此趨勢在不同市場的發展，並立即示警呼籲發卡機構、收單機構和商家保持警惕，共同防守面對面支付相關的詐欺行為。」</p> <p>換言之，這次的Visa的威脅預警是關於惡意程式鎖定刷卡機，偽冒離線交易的手法，呼籲收單機構注意，因此這些收單機構也提醒商家注意。</p> <h3><strong>走訪實體店家，確實有暫時停用感應式行動支付的公告</strong></h3> <p>不只有銀行業者對特約廠商發布公告，我們在實體商家也看到對消費者的相關公告。在1月29日大年初三，個人在恰巧前往位於林口的三井暢貨中心購物，也特別留意這方面的資訊，發現三井確實張貼了這方面的公告：全館暫停使用感應式行動支付（Apple Pay、Google Pay），實際購物時，暢貨中心裡面的商家亦有配合宣導此事。</p> <p>由於三井與永豐銀行有合作發行聯名信用卡，因此該業者使用的刷卡POS機可能也是永豐銀行提供。換言之，該商場可能是收到永豐銀行通知所做的因應。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL2025-01-31.jpg" style="width: 600px;" /></p> <h3><strong>拒絕離線交易，聯合信用卡處理中心已從POS機端做好因應</strong></h3> <p>另一我們關注的焦點在於，是否有更多金融機構發布相關公告，提醒商家因應新式詐騙？</p> <p>這次在聯繫上述台新、聯邦、永豐時，3家業者都確認發布了相關公告，我們並了解還有其他銀行其實也會透過不同管道，傳達這方面資訊。為了進一步追查，我們詢問更多的收單機構。</p> <p>在追查過程中我們注意到，信用卡收單機構不只有銀行，還有聯合信用卡處理中心（NCCC），他們是全臺最大信用卡收單機構，也有提供POS機租借服務給銀行，因此我們也進一步詢問NCCC是否發布這方面的公告。</p> <p>根據NCCC的說明，他們指出這次收單機構示警內容指的是離線交易，不過NCCC早在7、8年前就已經拒絕離線交易，規範每一臺設備只允許連線交易，因此不受這方面的影響。</p> <p>綜觀上述多家業者的回應，NCCC與Visa都指出同樣的問題點，我們認為這次預警的風險，就是與偽冒離線交易有關。</p> <p>關於只有部分金融業者發布公告的情形，從上述回應來看，我們推測，可能是各家收單機構的作法不同，有些是從POS機規範禁止離線交易，有些可能是從授權部門去管控，加上年假期間可能人力較少，因此也請特約商家配合注意授權碼有Y1、Y2、Y3開頭，以共同應對可能的風險。</p> <p>至於國內是否已經遭遇這類新型態詐欺手法，目前詢問多家業者後，均表示尚未遭遇此一情形。</p> </div></div></div>
2025/2/5 11:11作者羅正漢https://www.ithome.com.tw/news/167216
Netgear公布Wi-Fi無線基地臺、路由器重大層級漏洞，6款設備曝險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2月1日網路設備業者Netgear發布兩則資安公告，指出旗下6款產品存在兩項重大層級漏洞：PSV-2023-0039、PSV-2021-0117，該公司呼籲用戶儘速更新Wi-Fi無線路由器及基地臺設備韌體（但這兩項漏洞目前並未指派任何CVE編號）。</p> <p>根據CVSS風險評分，PSV-2023-0039較為嚴重，<a href="https://kb.netgear.com/000066558/Security-Advisory-for-Unauthenticated-RCE-on-Some-WiFi-Routers-PSV-2023-0039">此為未經身分驗證的遠端程式碼執行（RCE）漏洞</a>，影響XR1000、XR1000v2，以及XR500等3款無線路由器，風險評分達到9.8（滿分10分）。</p> <p>另一個漏洞PSV-2021-0117<a href="https://kb.netgear.com/000066557/Security-Advisory-for-Authentication-Bypass-on-Some-Wireless-Access-Points-PSV-2024-0117">則為身分驗證繞過漏洞</a>，影響WAX206、WAX220，以及WAX214v2共3款無線基地臺，CVSS風險評為9.6。</p> <p>值得留意的是，Netgear並未透露這些漏洞的進一步細節，但有鑑於其CVSS分數都接近滿分，相當危險，用戶不能掉以輕心。</p> </div></div></div>
2025/2/5 14:15作者周峻佑https://www.ithome.com.tw/news/167221
Google修補安卓作業系統核心的零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2月3日Google<a href="https://source.android.com/docs/security/bulletin/2025-02-01?hl=zh-tw">發布本月份安卓例行更新</a>，總共修補、公布47個漏洞，值得留意的是，其中一項高風險層級的漏洞CVE-2024-53104，該公司表示，他們掌握某些跡象，研判可能有人專門利用這項漏洞從事目標式的攻擊。</p> <p>CVE-2024-53104存在於安卓作業系統的Linux核心，為權限提升漏洞，主要影響子元件是USB Video Class（UVC），<a href="https://nvd.nist.gov/vuln/detail/CVE-2024-53104">CVSS風險評分達到7.8</a>。</p> <p>該漏洞最初是在去年12月由Linux核心開發團隊揭露，起因是uvc_parse_format在處理UVC_VS_UNDEFINED格式的影格時，會略過剖析的處理，使得系統計算處理串流的緩衝區大小時，此種影格不會被列入，從而導致記憶體越界寫入（OBW）的現象。</p> <p>當時Linux核心開發團隊成員Greg Kroah-Hartman<a href="https://lore.kernel.org/linux-cve-announce/2024120232-CVE-2024-53104-d781@gregkh/">對此提出說明</a>，並指出該漏洞是2008年發布的2.6.26版Linux核心引入。</p> <p>對於這項漏洞用於攻擊行動的情況，<a href="http://x.com/GrapheneOS/status/1886639593430376958">行動裝置作業系統GrapheneOS開發團隊指出</a>，很有可能是經由資料鑑識解析工具利用。</p> </div></div></div>
2025/2/5 12:47作者周峻佑https://www.ithome.com.tw/news/167218
微軟悄悄移除舊PC升級Windows 11的說明
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著Windows 10終止支援的日期只剩8個月，媒體<a href="https://www.neowin.net/news/microsoft-quietly-removes-official-windows-11-cputpm-bypass-for-unsupported-pcs/" target="_blank">發現</a>微軟悄悄移除曾說明如何在規格較舊的PC上執行Windows 11的官網說明文字。</p> <p>早在2021年10月Windows 11剛剛釋出時，雖然微軟強烈建議用戶在較新PC上執行Windows 11，但仍在官網上公布如何在不具備TPM 2.0處理器的PC上安裝Windows 11。但是Neowin報導，現在網頁已經編輯過，相關說明已被刪除。時間可能在去年12月Windows 11 24H2推出之時。</p> <p>根據Web Archive留存的<a href="https://web.archive.org/web/20240929145620/https://support.microsoft.com/en-us/windows/ways-to-install-windows-11-e0edbbfb-cfc5-4011-868b-2ce77ac7c70e" target="_blank">紀錄</a>，微軟提供繞過規格限制的方法包括變更機碼以繞過對TPM 2.0的檢查，但微軟警告，若操作不當會導致嚴重問題，後果需由用戶自負。</p> <p>Windows 11的PC規格要求最令用戶反彈的，是系統需支援信賴平臺模組（TPM）2.0的晶片，對許多用戶而言意謂必須再買一臺電腦。網路上也有眾多用戶<a href="https://www.pcworld.com/article/2103104/windows-11-simple-trick-bypasses-cpu-tpm-lockout.html" target="_blank">分享</a>繞過這限制安裝Windows 11的方法。去年微軟再度重申不會放鬆要求，而允許規格不足的PC執行Windows 11。</p> </div></div></div>
2025/2/5 11:29作者林妍溱https://www.ithome.com.tw/news/167217
Google對美國平臺與裝置部門啟動自願離職方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>媒體<a href="https://9to5google.com/2025/01/30/pixel-android-voluntary-exit-employees/" target="_blank">報導</a>，Google本周對生產Pixel手機及開發Android的部門員工啟動自願離職方案</p> <p>媒體取得Google資深副總裁Rick Osterloh發給平臺暨裝置（Platform and Devices）部門的內部訊息報導，此消息也獲得Google證實。</p> <p>Osterloh在內部信件中指出，去年4月整併裝置和平臺部門後，當員工已經工作上手一段時間，這項安排是提供給對組織變動不適應，或對現有角色及工作、以及混合式辦公沒有熱情或無法積極投入的員工。去年Google整併了生產Pixel、Nest和Fitbit的裝置部門，以及開發Android、Chrome、Google Play、ChromeOS、Google Photos與Google One的平臺部門。他說，在合併後公司接到員工詢問是否有自願離職選項，因此決定在裁員前提供員工這項選擇。</p> <p>自願離職的員工將可獲得一筆資遣費用，詳情會於日後公布。報導指出，本方案並非適用所有Google部門，像搜尋、AI或其他部門就沒有這項方案。本方案也只適用於美國的裝置及平臺部門員工。</p> <p>Google主管對留下的員工表示，該部門現在「蓄勢待發」，眼前有很多重要工作，要求員工應「全力投入使命，專注於打造優質產品，兼顧速度與效能。」</p> <p>去年以來美國軟體大廠相繼精簡人事以因應AI投資的龐大開銷，另外，媒體<a href="https://abcnews.go.com/US/wireStory/us-businesses-brace-trumps-tariffs-canada-mexico-china-118356449" target="_blank">分析</a>川普調高關稅亦導致能源與其他進口商品漲價，增加企業營運成本。Meta和微軟今年將<a href="https://www.ithome.com.tw/news/166967" target="_blank">裁減</a>過去一年無法符合期望的員工，占比分別為5%及1%。</p> <p>本周Salesforce也傳<a href="https://www.fastcompany.com/91272368/tech-layoffs-2025-salesforce-meta-amazon-add-to-list-of-job-cuts" target="_blank">裁減</a>了1,000多個員額。其他裁員的還包括Amazon、Stripe、Placer.ai等。</p> </div></div></div>
2025/2/5 11:08作者林妍溱https://www.ithome.com.tw/news/167215
Alphabet獨立出農業AI子公司Heritable Agriculture
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Alphabet X實驗室（X Labs）<a href="https://x.company/blog/posts/heritable-agriculture/" target="_blank">宣布</a>獨立出農業AI子公司Heritable Agriculture，為Moonshot Factory孵化出的最新成果，目的在以AI改良作物，以提升作物生產、降低種植成本及對環境的衝擊。</p> <p>Heritable Agriculture公司<a href="https://heritable.ag/" target="_blank">網站描述</a>，該公司旨在提供AI和基因編輯技術幫助改造農作物。目前該公司和農業及森林業夥伴合作，以便將其AI技術用於農林業。這家新創公司發展的演算法使用單一細胞多體學（Multi-omics）資料，能比傳統方法更準確找出作物的致病基因，其DNA語言模型可精準辨識出遺傳因子，並配合基因編輯以做出滿足法規的變更。該公司技術也能蒐集天氣、長期氣候、土壤和基因序列資料預測作物在新環境，或是新基因型態的成長能力，藉此在對的環境下種植對的作物，並減少試錯投入成本，以及加速作物生成上市的時程。</p> <p>根據該公司的Linkedin<a href="https://www.linkedin.com/company/heritable-agriculture/about/" target="_blank">檔案</a>，Heritable Agriculture員工6人。以背景來看，團隊成員涵括生物學家、工程師、遺傳學家及作物科學家。公司執行長Brad Zamft有合成生物學研究協會、哈佛醫學院及美國能源部的工作經歷。雖然成立於2024年，但在Google內磨練技術已經長達5年。</p> <p>這不是Alphabet獨立出來的第一家農業AI公司。2020年Alphabet也<a href="https://ithome.com.tw/news/140495" target="_blank">分拆</a>出智慧農業公司Mineral，計畫推出整合AI、電腦視覺和感測器的無人電動車，可在作物之間穿梭並拍攝作物細部照片，詳盡蒐集作物從幼苗到結果的整個生命週期的影像資料，以減輕農家巡田水的勞動負擔。此外還有為養殖漁業開發的AI魚類追蹤辨識系統<a href="https://www.ithome.com.tw/news/136115" target="_blank">Tidal</a>。</p> </div></div></div>
2025/2/5 08:24作者林妍溱https://www.ithome.com.tw/news/167212
多家歐洲研究機構啟動OpenEuroLLM專案，獲歐盟資助推動AI透明度與多語言支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歐盟也積極推動人工智慧發展，強化語言模型技術透明度與多語言研究，由歐洲多家頂尖研究機構及企業組成的<a href="https://openeurollm.eu/" target="_blank">OpenEuroLLM專案</a>，在歐盟Digital Europe Programme資助下<a href="https://openeurollm.eu/launch-press-release" target="_blank">正式展開</a>。該專案目標是打造新一代開源大型語言模型，期望藉此鞏固歐洲在人工智慧領域的競爭力，同時維持法遵與技術透明度，回應歐盟在人工智慧技術自主與數位主權上的需求。</p> <p>OpenEuroLLM由捷克查理大學（Charles University）與芬蘭AMD Silo AI等單位共同帶領，包含多家歐洲高等院校、人工智慧研究機構及EuroHPC超級計算機中心。專案內容特別強調兩個方向，其一是對外完全透明，也就是從資料收集、模型訓練到評估指標都遵循歐盟隱私與安全標準，並盡可能向社群開放；其二是聚焦多語言能力，除了歐盟官方語言，也涵蓋歐洲內部其他常被忽略但同樣重要的區域性語種，並考慮在經貿或文化層面具備潛力的語言，期望降低當地產業或公共單位導入人工智慧的門檻。</p> <p>在開源方向上，OpenEuroLLM提出真正開放的目標，強調會公開訓練與測試程式碼、資料處理過程、評估方法及中間成果，並同時號召社群參與。這種合作模式可擴大開發者基礎，也替未來人工智慧應用提供更透明與法遵環境。由於歐盟正推動人工智慧法案（AI Act）等法規，專案也強調將遵守法規要求，設置安全評估、使用者隱私保護及其他配套措施，在技術與監管之間取得平衡。</p> <p>歐洲多個國家已具備超級運算、自然語言處理與深度學習的豐富研究能力，像是德國的Fraunhofer研究機構、義大利Cineca高效能運算中心、西班牙巴塞隆納超級運算中心等，都已在各自領域具有相當基礎。這次歐洲多方共同投入OpenEuroLLM專案，試圖在硬體資源與技術上合作，以更大規模的資源來訓練語言模型。同時，歐盟Digital Europe Programme也承諾投入資金與政策支援，包括資料開放、運算力強化、模型安全檢測等領域。</p> <p>依照OpenEuroLLM的計畫，未來這些基礎模型都能透過開源管道被微調或擴充，適用於專業領域如醫療文本處理、法律諮詢等，同時也會保留對隱私與資料保護的設計，以符合歐盟強調的隱私原則。開發者與企業得以在不違反歐盟法規的前提下，取得高品質的多語言模型基礎，並進一步客製化出符合自身需求的人工智慧解決方案。</p> </div></div></div>
2025/2/5 08:11作者李建興https://www.ithome.com.tw/news/167211
駭客假借提供AI工具DeepSeek的名義，在PyPI散布惡意軟體，不到一小時就有逾200人上當
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國AI工具DeepSeek爆紅引起各界關注，有歹徒趁機利用其名號來散布惡意軟體，鎖定想要借助AI的力量加速開發的人士下手。</p> <p>資安業者Positive Technologies指出，<a href="https://global.ptsecurity.com/analytics/pt-esc-threat-intelligence/malicious-packages-deepseeek-and-deepseekai-published-in-python-package-index">他們發現一名PyPI使用者在1月29日上傳惡意套件deepseeek、deepseekai</a>，一旦開發人員安裝這些套件，歹徒就有可能偷走系統環境變數資料，以及使用者與電腦的其他資料。</p> <p>研究人員分析這些惡意套件，只要使用者透過命令列執行deepseeek或deepseekai指令，惡意酬載就有可能隨之啟動，開始搜括敏感資料，像是S3儲存桶的API金鑰、資料庫帳密，以及其他能存取基礎設施及資源的資料。</p> <p>為了隱匿行蹤，歹徒濫用開發整合平臺Pipedream充當C2伺服器，並用來接收竊得的資料。</p> <p>附帶一提的是，Positive Technologies根據程式碼的註解內容，發現這些套件的指令碼，很有可能是借助AI助理來產生。</p> <p>研究人員通報此事，PyPI維護團隊隨即將套件下架，但在上架不到一個小時的時間仍有222次下載，其中超過半數來自美國（117次），但中國、俄羅斯、香港也有受害者。</p> </div></div></div>
2025/2/4 16:06作者周峻佑https://www.ithome.com.tw/news/167206
【資安日報】2月4日，美荷執法單位聯手，撤下提供商業郵件詐騙武器的地下市集
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過去一年全球跨國執法行動有不少斬獲，像是歐洲刑警組織（Europol）與全球15國執法單位通力合作，<a href="https://www.ithome.com.tw/news/166477">一口氣關閉27個DDoS租用平臺</a>，或是國際刑警組織（Interpol）與40個國家及地區的執法單位聯手，<a href="https://www.ithome.com.tw/news/166326">逮捕超過5,500名從事金融犯罪的嫌犯</a>並沒收不法所得。而對於專門提供作案工具買賣的網站，最近也有進展。</p> <p>美國、荷蘭在一月底聯手，控制用來架設銷售商業郵件詐騙（BEC）工具網站的39個網域，破壞相關伺服器的運作，並公布相關調查成果。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167201"><strong style="font-size: 22px;">印度Tata集團旗下汽車設計公司證實遭遇勒索軟體攻擊</strong></a></p> <p>汽車產業最近幾年也成為歹徒盯上的目標，駭客多半針對汽車製造商與零件供應商而來，如今傳出有汽車設計業者遭到攻擊的情況。</p> <p>隸屬於印度最大的公司塔塔集團的科技公司Tata Technologies，最近面臨網路攻擊的侵襲，1月31日他們向印度國家證券交易所通報遭遇勒索軟體攻擊，導致部分IT資產受到影響。為了預防影響範圍擴大，該公司一度暫停部分IT服務。不過，對於交付客戶的業務並未受到影響，始終維持正常運作。</p> <p>他們與資安專家聯手調查事故發生的原因。但截至目前為止，尚未有勒索軟體駭客組織坦承犯案，攻擊者是否竊取Tata Technologies內部資料，也不得而知。</p> <p><a href="https://www.ithome.com.tw/news/167206"><strong style="font-size: 22px;">駭客假借提供AI工具DeepSeek的名義，在PyPI散布惡意軟體，不到一小時就有逾200人上當</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure_4_d7c18e7ff9.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure_4_d7c18e7ff9.png" style="float: right; width: 300px;" /></a></p> <p>中國AI工具DeepSeek爆紅引起各界關注，有歹徒趁機利用其名號來散布惡意軟體，鎖定想要借助AI的力量加速開發的人士下手。</p> <p>資安業者Positive Technologies指出，他們發現一名PyPI使用者在1月29日上傳惡意套件deepseeek、deepseekai，一旦開發人員安裝這些套件，歹徒就有可能偷走系統環境變數資料，以及使用者與電腦的其他資料。</p> <p>研究人員通報此事，PyPI維護團隊隨即將套件下架，但在上架不到一個小時的時間仍有222次下載，其中超過半數來自美國（117次），但中國、俄羅斯、香港也有受害者。</p> <p><a href="https://www.ithome.com.tw/news/167159"><strong style="font-size: 22px;">兆勤防火牆應用程式簽章年前更新出包，USG FLEX、ATP系列需人工到場修復</strong></a></p> <p>1月24日兆勤科技（Zyxel Networks）發布公告指出，USG Flex與ATP系列防火牆設備因當日晚間發布的應用程式簽章更新錯誤，導致部分設備出現不停重啟等異常現象。該公司強調，此次問題並非因韌體升級造成，也與任何已知的CVE或安全漏洞無關，但影響的設備需透過現場操作才能完整修復。Zyxel已緊急停用伺服器上的應用程式簽章更新功能，避免問題進一步擴大。</p> <p>此問題起因於應用程式簽章版本1.0.0.20250123.0的更新錯誤，該版本在1月24日晚間發布並自動安裝於部分設備。一旦設備套用更新，就有可能導致重啟迴圈、ZySH處理程序當機、無法登入等問題。</p> <p>對此，有部分用戶試圖藉由管理主控臺試圖重新開機、變更磁碟分割、簽章降級將裝置恢復正常，但兆勤表示，IT人員親自到現場修復是他們唯一驗證有效的解決方法，原因是受影響設備產生大量系統事件記錄，無法透過遠端上傳韌體或執行其他作業。</p> <p><a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=171652&SPOKE_DATE=20250203&COMPANY_ID=3362"><strong style="font-size: 22px;">先進光電部分資訊系統遭受網路攻擊</strong></a></p> <p></p> <p>2月3日傍晚，研發製造光學鏡頭的先進光電在股市公開觀測站發布重大訊息，指出他們有部分資訊系統遭到網路攻擊，事發當下該公司已在第一時間啟動防護機制，並進行復原作業。</p> <p>針對這起事故可能會帶來的損失或是影響，先進光電表示，根據他們初步評估，對於營運沒有影響。該公司後續將持續密集監控，確保資訊安全。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/02/meta-confirms-zero-click-whatsapp.html">90名記者、社會運動人士遭鎖定，攻擊者發動WhatsApp零點擊間諜軟體攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/casio-16-websites-double-entry-web-skimming-attack">英國卡西歐網站遭植入信用卡側錄工具</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/hackers-use-windows-rid-hijacking-to-create-hidden-admin-account/">北韓駭客利用RID挾持手法，在Windows電腦建立隱藏的管理員帳號</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/02/beyondtrust-zero-day-breach-exposes-17.html">針對12月發生的零時差漏洞攻擊事故，BeyondTrust證實有17個SaaS客戶受害</a></strong></p> <p></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167190"><strong style="font-size: 22px;">美國與荷蘭聯手，奪下39個用於兜售商業郵件詐騙作案工具的網域</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/saim_raza_seizure_banner_0.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/saim_raza_seizure_banner_0.jpg" style="width: 300px; float: right;" /></a>1月30日美國司法部（DOJ）宣布，他們與荷蘭國家警察局合作從事執法行動Operation Heart Blocker，成功奪取39個巴基斯坦網域及有關伺服器，這些網域及伺服器被用於架設網路市集，專門用來兜售駭客及詐欺工具，駭客組織Saim Raza（或稱HeartSender）至少從2020年開始經營，向其他駭客販賣網釣工具包等作案工具，買家使用這些工具從事商業郵件詐騙（BEC），導致至少3百萬美元損失。</p> <p>荷蘭國家警察局也對這次執法行動提出說明，他們指出Saim Raza擁有數千名客戶，提供的工具能對網頁伺服器管理系統cPanel、SMTP寄信伺服器、WordPress帳號下手，使得買家能夠入侵受害組織的基礎設施。</p> <p>值得留意的是，荷蘭國家警察局也在Saim Raza的資料裡發現數百萬筆帳密資料，其中約有10萬筆來自荷蘭，他們也提供專屬網頁供民眾查詢，確認自己的帳號及密碼是否流入這些駭客的手裡。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167191"><strong style="font-size: 22px;">Sophos宣布完成併購Secureworks，將著重MDR業務</strong></a></p> <p>去年10月資安業者Sophos宣布，將耗費8.59億美元現金買下資安業者Secureworks，如今這項併購案已經完成。Sophos表示，在完成併購後，他們成為了專注於代管偵測與回應（MDR）服務的網路安全業者。</p> <p>2月4日Sophos發布新聞稿宣布這項消息，並指出在併購後該公司將為2.8萬家企業提供MDR服務，能提供更為強大的安全營運平臺，其內建數百項整合功能，而能透過自適應保護，以及偵測與回應機制來緩解網路攻擊。Sophos X-Ops將借助Secureworks旗下資安研究團隊Counter Threat Unit的能量，延伸其威脅情報及資安服務的能力。</p> <p>雖然合併已經完成，但Sophos表示，短期內兩家公司仍維持原本的業務運作，繼續與全球通路合作夥伴、代管服務業者（MSP）、資安代管服務業者（MSSP）合作，推廣現有的資安服務與技術。他們也對於現在客戶提出承諾，Sophos與Secureworks將透過銷售與客戶體驗團隊持續提供支援，協助客戶續約並發展新的業務機會。</p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/tenable-to-acquire-vulcan-cyber-for-150-million/">漏洞管理解決方案業者Tenable以1.5億美元買下曝險管理新創Vulcan Cyber</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/167185"><strong>【2月3日】蘋果針對旗下設備修補今年第一個零時差漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167151"><strong>【1月24日】印度駭客組織DoNot假借提供即時通訊軟體的名義散布惡意程式</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167142"><strong>【1月23日】中國駭客入侵韓國VPN業者IPany發動供應鏈攻擊，竄改安裝程式散布後門</strong></a></p> </div></div></div>
2025/2/4 16:26作者周峻佑https://www.ithome.com.tw/news/167208
印度Tata集團旗下汽車設計公司證實遭遇勒索軟體攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>汽車產業最近幾年也成為歹徒盯上的目標，駭客多半針對汽車製造商與零件供應商而來，如今傳出有汽車設計業者遭到攻擊的情況。</p> <p>隸屬於印度最大的公司塔塔集團的科技公司Tata Technologies，最近面臨網路攻擊的侵襲，1月31日他們<a href="https://www.documentcloud.org/documents/25510470-tata/#document/p1">向印度國家證券交易所通報</a>遭遇勒索軟體攻擊，導致部分IT資產受到影響。為了預防影響範圍擴大，該公司一度暫停部分IT服務。不過，對於交付客戶的業務並未受到影響，始終維持正常運作。</p> <p>他們與資安專家聯手調查事故發生的原因。但截至目前為止，尚未有勒索軟體駭客組織坦承犯案，攻擊者是否竊取Tata Technologies內部資料，也不得而知。</p> <p>由於Tata Technologies不只專注於汽車設計，也從事航太工程、重型機械的研發，這起資安事故的後續影響，有待進一步觀察。</p> </div></div></div>
2025/2/4 15:49作者周峻佑https://www.ithome.com.tw/news/167201
AMD Zen架構處理器存在微指令簽章驗證漏洞，影響SEV-SNP機密運算安全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google安全團隊<a href="https://github.com/google/security-research/security/advisories/GHSA-4xq7-4mgh-gp6w">發現</a>，部分基於Zen架構的AMD處理器存在微指令簽章驗證漏洞（CVE-2024-56161）。該漏洞可能使具備本地管理員權限的攻擊者注入惡意微指令，進而危及依賴AMD安全加密虛擬化（SEV-SNP）保護的機密工作負載安全。由於漏洞一旦被濫用，可能導致機密運算環境保護失效，相關修補措施已於去年12月中陸續發布，用戶應密切關注BIOS與微指令更新狀況。</p> <p>該漏洞影響Zen 1至Zen 4系列處理器，攻擊者在取得本地管理員權限後，可藉由注入惡意微指令直接影響處理器的核心運作機制。尤其是在使用AMD SEV-SNP技術保護機密工作負載的用例下，惡意微指令可能破壞工作負載的保密性與完整性，進而影響整個運算環境的安全基礎。</p> <p>針對此安全漏洞，Google於2024年9月底向AMD回報，AMD隨後在2024年12月中旬針對Naples、Rome、Milan與Genoa等平臺，推出微指令更新修補版本。</p> <p>根據<a href="https://www.amd.com/en/resources/product-security/bulletin/amd-sb-3019.html">AMD釋出的資料</a>，針對資料中心市場的AMD EPYC系列產品，Naples與Rome平臺分別於2024年12月13日發布修補版本，Milan系列也在同日完成更新，而Genoa系列則於2024年12月16日推出修補措施。更新後的平臺將禁止透過熱載入方式進行後續微指令更新；如在未更新平臺嘗試熱載入超出指定版本的微指令，可能導致系統觸發#GP錯誤（#GP Fault）。</p> <p>此外，針對使用AMD SEV技術的用戶，平臺也同步推送了SEV韌體更新，更新至新版本後，用戶可透過SEV-SNP驗證報告確認修補措施是否已成功啟用，以確保機密工作負載獲得有效保護。</p> <p>CVE-2024-56161漏洞被評為高風險，CVSS分數達7.2。該漏洞不僅牽涉到微指令更新機制的缺陷，同時影響SEV-ES與SEV-SNP功能，進一步擴大攻擊面。針對嵌入式產品市場，AMD也針對EPYC Embedded 7002、7003與9004系列推出相應的修補版本，並已於2024年12月底發布完成。</p> </div></div></div>
2025/2/4 16:37作者李建興https://www.ithome.com.tw/news/167207
Sophos宣布完成併購Secureworks，將著重MDR業務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年10月資安業者Sophos宣布，<a href="https://www.ithome.com.tw/news/165636">將耗費8.59億美元現金買下資安業者Secureworks</a>，如今這項併購案已經完成。Sophos表示，在完成併購後，他們成為了專注於代管偵測與回應（MDR）服務的網路安全業者。</p> <p>2月4日Sophos發布新聞稿<a href="https://www.sophos.com/en-us/press/press-releases/2025/02/sophos-completes-secureworks-acquisition">宣布這項消息</a>，並指出在併購後該公司將為2.8萬家企業提供MDR服務，能提供更為強大的安全營運平臺，其內建數百項整合功能，而能透過自適應保護，以及偵測與回應機制來緩解網路攻擊。Sophos X-Ops將借助Secureworks旗下資安研究團隊Counter Threat Unit的能量，延伸其威脅情報及資安服務的能力。</p> <p>雖然合併已經完成，但Sophos表示，短期內兩家公司仍維持原本的業務運作，繼續與全球通路合作夥伴、代管服務業者（MSP）、資安代管服務業者（MSSP）合作，推廣現有的資安服務與技術。他們也對於現在客戶提出承諾，Sophos與Secureworks將透過銷售與客戶體驗團隊持續提供支援，協助客戶續約並發展新的業務機會。</p> </div></div></div>
2025/2/4 15:04作者周峻佑https://www.ithome.com.tw/news/167191
美國與荷蘭聯手，摧毀39個用於兜售商業郵件詐騙作案工具的網域
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>1月30日<a href="https://www.justice.gov/opa/pr/justice-department-announces-seizure-cybercrime-websites-selling-hacking-tools-transnational">美國司法部（DOJ）宣布</a>，他們與荷蘭國家警察局合作從事執法行動Operation Heart Blocker，成功奪取39個巴基斯坦網域及有關伺服器，這些網域及伺服器被用於架設網路市集，專門用來兜售駭客及詐欺工具，駭客組織Saim Raza（或稱HeartSender）至少從2020年開始經營，向其他駭客販賣網釣工具包等作案工具，買家使用這些工具從事商業郵件詐騙（BEC），導致至少3百萬美元損失。</p> <p>Saim Raza提供的犯罪工具相當多元，涵蓋網釣工具包、詐欺網頁、電子郵件截取工具，而這些往往會被用於網路詐騙。這些駭客不光提供作案工具，還透過YouTube影片提供逐步操作的教學，使得缺乏相關技能的駭客也能使用。</p> <p>荷蘭國家警察局<a href="https://www.politie.nl/nieuws/2025/januari/27/09-verstoringsactie-deelt-klap-uit-aan-crimineel-cybernetwerk-heartsender.html">也對這次執法行動提出說明</a>，他們指出Saim Raza擁有數千名客戶，提供的工具能對網頁伺服器管理系統cPanel、SMTP寄信伺服器、WordPress帳號下手，使得買家能夠入侵受害組織的基礎設施。</p> <p>值得留意的是，荷蘭國家警察局也在Saim Raza的資料裡發現數百萬筆帳密資料，其中約有10萬筆來自荷蘭，他們也提供專屬網頁供民眾查詢，確認自己的帳號及密碼是否流入這些駭客的手裡。</p> </div></div></div>
2025/2/4 12:23作者周峻佑https://www.ithome.com.tw/news/167190
Microsoft Defender 2月底終止免費VPN功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟Microsoft 365今年起漲價，同時間<a href="https://support.microsoft.com/en-us/topic/end-of-support-privacy-protection-vpn-in-microsoft-defender-for-individuals-8b503da5-732a-4472-833a-e2ddca53036a#cw" target="_blank">宣布</a>免費Microsoft Defender 2月底將不再提供VPN服務，需要的用戶必須訂閱Microsoft 365。</p> <p>Windows Central首先<a href="https://www.windowscentral.com/microsoft/microsoft-is-killing-its-free-vpn-with-microsoft-365-subscriptions-just-days-after-increasing-prices" target="_blank">報導</a>，微軟近日公告，自2025年2月28日起，將從Microsoft Defender App移除VPN服務。</p> <p>微軟理由是，公司定期評估其功能的使用率和效果結果，使其決定移除此一隱私防護功能，而改投資於其他功能上。未來要使用VPN的消費者，必須訂閱Microsoft 365（M365）個人或家庭版方案。</p> <p>微軟強調M365提供信用卡資訊及60多種個資防護、24x7身份盜竊支援，及100萬美元身份盜竊保險，以及財物損失追訴的法律和專家費用最高10萬美元（上述皆只提供美國用戶）。</p> <p>2月28日一到，Defender Android版用戶會被要求移除裝置上的VPN檔案。微軟建議移除，雖然不移除不會怎麼樣，但在Defender App中也沒有用了。用戶可以在「設定」>「VPN」下找到「Microsoft Defender」，再點入「info」圖示移除。</p> <p>Windows、iOS及macOS用戶無需採取行動。此外，iOS裝置上，VPN網頁防護（釣魚網站防護）仍可持續使用。微軟解釋，iOS平臺上的VPN網頁防護和本機（loop-back）VPN和Defender App的VPN不同，因而不受影響。</p> <p>這項宣布顯然是為了鼓勵／迫使消費者用戶購買Microsoft 365。微軟去年底<a href="https://www.ithome.com.tw/news/165938" target="_blank">終止</a>支援免費的Windows Mail、Calendar、Contacts，要求需要的用戶訂閱M365。同時，微軟以增加了Copilot為由，調高Microsoft 365的訂閱費用，不需要Copilot的使用者必須自行到設定頁中<a href="https://www.ithome.com.tw/news/167015" target="_blank">調整</a>為傳統型M365方案，否則會被增加訂閱費。</p> </div></div></div>
2025/2/4 11:16作者林妍溱https://www.ithome.com.tw/news/167189
OpenAI o1模型將登上美國家實驗室超級電腦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國能源局下的洛斯阿拉莫斯國家實驗室（Los Alamos National Laboratory，LANL）與OpenAI<a href="https://www.lanl.gov/media/news/0130-open-ai" target="_blank">宣布合作</a>，將在超級電腦導入推理AI模型o1於能源與國家安全應用程式。</p> <p>LANL去年<a href="https://www.ithome.com.tw/news/162463" target="_blank">導入</a>使用2,560顆Nvidia GH200 Grace Hopper Superchip的HPE Cray EX伺服器，打造Venado超級電腦。最新合作則將在Venado上安裝OpenAI o系列模型，以執行國家安全研究，及能源相關的研究專案。</p> <p>去年春天美國政府號召AI民間業者加入促進國家安全計畫，有包括Google、微軟與OpenAI等公司響應。同年10月LANL先行和OpenAI合作推動改善o1模型的AI安全性，並評估其推理能力的專家。現在o1模型已經廣泛用於多座美國國家實驗室執行數百個應用，涵括能源任務、設計新材質，以及發展量子演算法。而o1用在機密系統則可促進國家安全。</p> <p>另一方面，Venado機器也將移往更安全的國家機密網路上，這個安全網路是由能源局下的實驗室包括LANL和勞倫斯利佛摩（Lawrence Livermore）國家實驗室，以及桑迪亞國家實驗室（Sandia National Labs）研究人員共用。</p> <p>上星期OpenAI也<a href="https://www.ithome.com.tw/news/167172" target="_blank">公布</a>ChatGPT Gov的政府AI服務，讓美國政府單位可在微軟Azure商用雲與政府雲中自行部署ChatGPT工具而不用擔心資料外洩。</p> </div></div></div>
2025/2/4 10:10作者林妍溱https://www.ithome.com.tw/news/167186
【資安日報】2月3日，蘋果針對旗下設備修補今年第一個零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在一月底農曆新年過年之前，蘋果對於旗下產品發布作業系統更新，範圍涵蓋電腦、行動裝置、穿戴裝置、影音播放裝置，但引起外界關注的是，其中已有一項漏洞被用於實際的攻擊行動。</p> <p>針對這項漏洞的資訊，蘋果並未透露太多資訊，僅表示遭到攻擊的裝置存在共通點，那就是它們搭配的作業系統早於iOS 17.2版。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167181"><strong style="font-size: 22px;">蘋果修補存在電腦與行動裝置的零時差漏洞，傳出已用於攻擊iPhone用戶</strong></a></p> <p>1月27日蘋果針對旗下電腦、行動裝置、穿戴裝置、影音播放裝置發布macOS Sequoia 15.3、iOS 18.3、iPadOS 18.3、watchOS 11.3、visionOS 2.3、tvOS 18.3作業系統更新，當中修補一項已被用於實際攻擊行動的高風險漏洞CVE-2025-24085而引起關注，因為這是蘋果今年首度修補的零時差漏洞。</p> <p>這項零時差漏洞出現在CoreMedia元件，屬於記憶體釋放後再被利用（Use After Free）類型的弱點，攻擊者有機會透過惡意應用程式觸發，從而提升權限，該公司表示已透過改善記憶體管理機制來緩解。此漏洞的CVSS風險評為7.8，位居高風險的威脅層級，美國網路安全暨基礎設施安全局（CISA）於1月29日將其加入已被利用的漏洞列表（KEV），並要求聯邦機構必須於2月19日前完成修補。</p> <p>值得留意的是，蘋果表示他們掌握這項弱點被用於攻擊iPhone的情況，這些被鎖定的目標有個共通點，它們搭配的iOS作業系統都是早於17.2版。至於究竟有多少用戶受害？該公司並未進一步說明。</p> <p><a href="https://www.ithome.com.tw/news/167183"><strong style="font-size: 22px;">合勤CPE設備存在零時差漏洞，傳出已被用於散布殭屍網路Mirai變種</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/67994153bf8f21608a6aa4df_67994148e9c3140e692128d0_Screenshot20atE2AFPM.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/67994153bf8f21608a6aa4df_67994148e9c3140e692128d0_Screenshot20atE2AFPM.png" style="float: right; width: 300px;" /></a></p> <p>去年7月底資安業者VulnCheck揭露一批可被用於作為初始入侵管道的漏洞，其中一個存在於合勤科技（Zyxel Communications）CPE通訊設備的漏洞CVE-2024-40891，引起資安業者GreyNoise的注意，因為這項漏洞迄今並未得到修補，也沒有公開相關細節，但他們近期察覺有人將其用於散布殭屍網路Mirai變種的情況。對此，我們也向合勤科技的關係企業兆勤科技（Zyxel Networks）詢問此事，該公司初步表示，此批受影響的設備生命週期已經結束（EOL）多年，現行產品線不受影響。</p> <p>針對這起攻擊行動發現的過程，GreyNoise安全研究暨偵測工程資深經理Glenn Thorpe表示，他們最初在1月21日發現這項漏洞被積極利用的現象，攻擊者利用這項重大層級的命令注入漏洞，針對合勤旗下的CPE系列網路設備發動攻擊，從而在這些設備執行任意命令，從而完全滲透系統、資料洩漏，或是入侵網路環境。GreyNoise研究團隊透過物聯網裝置搜尋引擎Censys尋找曝險裝置，結果他們找到超過1,500臺合勤設備，這些設備大部分位於菲律賓，但土耳其、英國、法國也有裝置曝險。</p> <p><a href="https://www.ithome.com.tw/news/167169"><strong style="font-size: 22px;">爆紅中國AI服務DeepSeek資料庫配置錯誤，機敏事件記錄資料外洩</strong></a></p> <p>中國人工智慧公司DeepSeek因其模型DeepSeek-R1表現亮眼而備受關注，不過，雲端資安公司Wiz研究團隊發現，DeepSeek服務存在重大資安漏洞，導致大量機密日誌資料外洩。研究人員在進行例行性安全評估時，發現DeepSeek的ClickHouse資料庫對外開放，未設定任何身分驗證機制，允許任何人存取內部資料，甚至掌握完整的資料庫控制權限。</p> <p>Wiz研究人員Gal Nagli表示，他們透過網域探測技術發現DeepSeek旗下多個公開網域，其中部分開放特定HTTP連接埠，進一步檢測後確認ClickHouse資料庫可透過9000及8123連接埠直接存取，且無需提供任何驗證資訊。這個資料庫包含超過百萬筆事件記錄資料，涵蓋聊天記錄、API金鑰、內部服務資訊、目錄結構與營運相關細節。更具風險的是，研究人員發現該ClickHouse資料庫允許透過HTTP介面執行任意SQL查詢，攻擊者不僅能存取內部資料，還可能透過特定查詢獲取機密資訊，進一步擴大攻擊影響範圍。</p> <p><strong style="font-size: 22px;">欣興電子、美亞鋼鐵、南亞電路板發布重大訊息，證實部分資訊系統遭遇網路攻擊</strong></p> <p>從上週末到今天，陸續有三家上市高科技製造業公司發布重大訊息，分別是：<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=213800&SPOKE_DATE=20250201&COMPANY_ID=3037">欣興電子</a>、<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=151432&SPOKE_DATE=20250202&COMPANY_ID=2020">美亞鋼鐵</a>、<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=62021&SPOKE_DATE=20250203&COMPANY_ID=8046">南亞電路板（南電）</a>，揭露有部分資訊系統遭遇網路攻擊的情況，並表示他們已啟動相關防禦機制因應，對於公司營運影響有限。</p> <p>值得一提的是，欣興電子與南亞電路板兩家PCB廠商之所以發布重訊，都是因為位於中國的子公司遭遇網路攻擊，欣興電子公告的部分，是子公司聯能科技遭受勒索軟體攻擊，另一家有資安事故的企業南亞電路板，則是揭露昆山子公司偵測到攻擊行為後，資訊部門啟動復原作業。兩起事故敘述方式雖然不同，但由於勒索軟體通常會造成企業資料遭綁架而必須執行資料復原作業，因此，很難不讓人聯想兩者可能是同類型的資安事故。</p> <p>美亞鋼鐵提及他們的網頁受到攻擊，並表示根據他們的初步評估，沒有個資或內部文件外洩的情況，依此判斷應該不是勒索軟體攻擊。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-syncjacking-attack-hijacks-devices-using-chrome-extensions/">資安業者揭露瀏覽器同步挾持手法Syncjacking，攻擊者可藉由惡意延伸套件控制電腦</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-aquabotv3-botnet-malware-targets-mitel-command-injection-flaw/">殭屍網路病毒Aquabot鎖定Mitel網路電話而來，利用命令注入漏洞滲透設備</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/indian-tech-giant-tata-technologies-hit-by-ransomware-attack/">印度科技龍頭Tata證實遭遇勒索軟體攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/mizuno-usa-says-hackers-stayed-in-its-network-for-two-months/">運動用品製造商Mizuno美國子公司證實遭到入侵，駭客在內部網路環境活動長達2個月</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/backdoor-found-in-two-healthcare-patient-monitors-linked-to-ip-in-china/">美國警告中國醫療設備恐存在後門，將病人資料外流</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167148"><strong style="font-size: 22px;">速霸陸車聯網存在重大漏洞，攻擊者恐遠端控制車輛</strong></a></p> <p>資安研究人員Shubham Shah與Sam Curry發現，速霸陸（Subaru）車聯網系統Starlink的管理面板存在重大安全漏洞，此漏洞允許攻擊者利用車主個人基本資訊對車輛進行遠端控制，包括啟動引擎、解鎖車門，以及查詢精確到5公尺內的車輛歷史位置記錄。該漏洞影響範圍廣泛，涵蓋所有美國、加拿大及日本連接Starlink的車輛。經研究人員回報後，速霸陸已在24小時內完成修補，並聲明未發現有惡意濫用的情況。</p> <p>此次安全事件的核心問題在於，攻擊者只需極少的車主資訊例如姓氏和郵遞區號，便能存取並控制特定車輛。此外，管理面板還可存取車主的個人資料，如地址、緊急聯絡人及帳單資訊，甚至能查詢過去一年車輛位置記錄。這些資訊的洩露不僅侵犯個人隱私，更可能被有心人士用於惡意目的，例如精確追蹤車輛位置。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167184"><strong style="font-size: 22px;">行政院要求公務機關全面禁用AI服務DeepSeek</strong></a></p> <p>近期受到外界關注的DeepSeek，行政院在今天宣布，基於國家資通安全考量，公務機關全面禁用DeepSeek AI服務。</p> <p>在農曆過年假期間，數位部就已緊急宣布全面禁用DeepSeek AI服務，以確保國家資通安全。今天為假期過後的開工第一天，行政院長卓榮泰召開政務會議，包括行政院副院長鄭麗君、秘書長龔明鑫、發言人李慧芝，以及陳時中、劉鏡清、吳誠文、陳金德、楊珍妮、季連成、史哲、林明昕等政務委員、國科會副主委陳炳宇等人與會，並就中國業者提供DeepSeek AI服務可能產生的資安疑慮討論，會後卓榮泰要求公務機關全面禁用Deepseek AI服務，以確保國家資通安全。</p> <p>卓榮泰在會議中表示，DeepSeek AI服務的資料來源取得有違反著作權法相關法規的疑慮，並且其在模型訓練上也有思考審查、限制資料的問題，此外，使用其服務可能使資料傳送至中國，在尚未釐清及排除疑慮之下，可能違反個資保護、侵害隱私，基於國家資通安全考量下，數位部已警示公務機關及關鍵基礎設施限制使用DeepSeek AI產品。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/167151"><strong>【1月24日】印度駭客組織DoNot假借提供即時通訊軟體的名義散布惡意程式</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167142"><strong>【1月23日】中國駭客入侵韓國VPN業者IPany發動供應鏈攻擊，竄改安裝程式散布後門</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167118"><strong>【1月22日】陞泰IP攝影機已知漏洞再傳遭到Mirai變種殭屍網路鎖定</strong></a></p> </div></div></div>
2025/2/3 18:05作者周峻佑https://www.ithome.com.tw/news/167185
合勤CPE設備存在零時差漏洞，傳出已被用於散布殭屍網路Mirai變種
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年7月底<a href="https://vulncheck.com/blog/initial-access-intelligence-july-2024">資安業者VulnCheck揭露一批</a>可被用於作為初始入侵管道的漏洞，其中一個存在於合勤科技（Zyxel Communications）CPE通訊設備的漏洞CVE-2024-40891，<a href="https://www.greynoise.io/blog/active-exploitation-of-zero-day-zyxel-cpe-vulnerability-cve-2024-40891">引起資安業者GreyNoise的注意</a>，因為這項漏洞迄今並未得到修補，也沒有公開相關細節，但他們近期察覺有人將其用於散布殭屍網路Mirai變種的情況。對此，我們也向合勤科技的關係企業兆勤科技（Zyxel Networks）詢問此事，該公司初步表示，此批受影響的設備生命週期已經結束（EOL）多年，現行產品線不受影響。</p> <p>針對這起攻擊行動發現的過程，GreyNoise安全研究暨偵測工程資深經理Glenn Thorpe表示，他們最初在1月21日發現這項漏洞被積極利用的現象，攻擊者利用這項重大層級的命令注入漏洞，針對合勤旗下的CPE系列網路設備發動攻擊，從而在這些設備執行任意命令，從而完全滲透系統、資料洩漏，或是入侵網路環境。GreyNoise研究團隊透過物聯網裝置搜尋引擎Censys尋找曝險裝置，結果他們找到超過1,500臺合勤設備，這些設備大部分位於菲律賓，但土耳其、英國、法國也有裝置曝險。</p> <p>對於這項弱點的揭露，Glenn Thorpe提及這項弱點起初並未登記CVE編號，去年VulnCheck首度公布時，他們是以Zyxel CPE Telnet Command Injection表示這項弱點，直到兩家資安業者合作調查攻擊事故，才確認GreyNoise觀察到的攻擊流量就是利用這項漏洞。由於已出現數量龐大的攻擊行動，兩家資安業者決定在沒有與合勤進行協調之下公開此事。</p> <p>針對攻擊行動的調查，Glenn Thorpe表示他們根據攻擊來源IP位址進行比對，確認是其中一種近期出現的Mirai變種，部分版本的殭屍網路病毒會利用CVE-2024-40891來入侵設備。</p> </div></div></div>
2025/2/3 17:02作者周峻佑https://www.ithome.com.tw/news/167183
行政院要求公務機關全面禁用DeepSeek AI服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期受到外界關注的DeepSeek，行政院在今天（2/3）宣布，基於國家資通安全考量，公務機關全面禁用Deepseek AI服務。</p> <p>在農曆過年假期間，數位部就已緊急宣布全面禁用Deepseek AI服務，以確保國家資通安全。今天為假期過後的開工第一天，行政院長卓榮泰召開政務會議，包括行政院副院長鄭麗君、秘書長龔明鑫、發言人李慧芝，以及陳時中、劉鏡清、吳誠文、陳金德、楊珍妮、季連成、史哲、林明昕等政務委員、國科會副主委陳炳宇等人與會，並就中國業者提供DeepSeek AI服務可能產生的資安疑慮討論，會後卓榮泰要求公務機關全面禁用Deepseek AI服務，以確保國家資通安全。</p> <p>卓榮泰在會議中表示，DeepSeek AI服務的資料來源取得有違反著作權法相關法規的疑慮，並且其在模型訓練上也有思考審查、限制資料的問題，此外，使用其服務可能使資料傳送至中國，在尚未釐清及排除疑慮之下，可能違反個資保護、侵害隱私，基於國家資通安全考量下，數位部已警示公務機關及關鍵基礎設施限制使用DeepSeek AI產品。</p> <p>行政院重申在2019年公布「各機關對危害國家資通安全產品限制使用原則」，要求中央及地方機關（構）、公立學校、公營事業、行政法人，以及自行或委外營運提供公眾活動或使用場地，限制使用危害國家資通安全產品。因此，要求公務機關原則全面禁用Deepseek AI服務。</p> <p>至於研究用途，數位部指出，公立大學及研究機構如有使用需求，依規定報准核可後則可使用。</p> <p>行政院政委暨國科會主委吳誠文建議，如果國內大學及研究機構有學術研究用途需求，可以不含個資及資料的電腦單機下載並斷網使用較為安全。</p> <p>行政院也要求中央目的事業主管機關督導資通安全管理法指定的關鍵基礎設施業者及政府捐助的財團法人參考辦理，確保國家資通安全。</p> <p>對於政府推動智慧國家2.0政策，擴大AI技術及應用，考量到AI技術及應用發展快速，卓榮泰也在政務會議中要求相關政務委員，加強補足AI基本法及資料治理相關法規，供公務機關、民間參考依據，以加速AI應用產業面發展。</p> </div></div></div>
2025/2/3 17:45作者蘇文彬https://www.ithome.com.tw/news/167184
蘋果修補存在電腦與行動裝置的零時差漏洞，傳出已用於攻擊iPhone用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>1月27日蘋果針對旗下電腦、行動裝置、穿戴裝置、影音播放裝置發布<a href="https://support.apple.com/zh-tw/122068">macOS Sequoia 15.3</a>、<a href="https://support.apple.com/zh-tw/122066">iOS 18.3、iPadOS 18.3</a>、<a href="https://support.apple.com/zh-tw/122071">watchOS 11.3</a>、<a href="https://support.apple.com/zh-tw/122073">visionOS 2.3</a>、<a href="https://support.apple.com/zh-tw/122072">tvOS 18.3</a>作業系統更新，當中修補一項已被用於實際攻擊行動的高風險漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-24085">CVE-2025-24085</a>而引起關注，因為這是蘋果今年首度修補的零時差漏洞。</p> <p>這項零時差漏洞出現在CoreMedia元件，屬於記憶體釋放後再被利用（Use After Free）類型的弱點，攻擊者有機會透過惡意應用程式觸發，從而提升權限，該公司表示已透過改善記憶體管理機制來緩解。此漏洞的CVSS風險評為7.8，位居高風險的威脅層級，美國網路安全暨基礎設施安全局（CISA）於1月29日<a href="https://www.cisa.gov/news-events/alerts/2025/01/29/cisa-adds-one-known-exploited-vulnerability-catalog">將其加入已被利用的漏洞列表（KEV）</a>，並要求聯邦機構必須於2月19日前完成修補。</p> <p>值得留意的是，蘋果表示他們掌握這項弱點被用於攻擊iPhone的情況，這些被鎖定的目標有個共通點，它們搭配的iOS作業系統都是早於17.2版。至於究竟有多少用戶受害？該公司並未進一步說明。</p> </div></div></div>
2025/2/3 15:17作者周峻佑https://www.ithome.com.tw/news/167181
Apple開源Xcode建置引擎Swift Build，目標統一跨平臺建置體驗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Apple<a href="https://www.swift.org/blog/the-next-chapter-in-swift-build-technologies/">宣布</a>Xcode內部使用多年的Swift Build建置引擎開源，並同步支援Linux與Windows平臺，讓Swift開發者在macOS之外的環境，也能使用相同的建置技術。這代表Swift語言的跨平臺生態系將獲得更一致的建置環境，開發者無論在何種作業系統或整合式開發環境下，都能獲得相同的開發體驗。</p> <p>Swift Build是Xcode主要的建置引擎，支援數百萬款在App Store上架的應用程式建置，也同時用於Apple自家作業系統的內部建置流程。隨著該工具以開放原始碼的形式釋出，未來將能與Swift編譯器進行更全面的協同運作，預期有助於鞏固Swift在各平臺上的應用基礎。</p> <p>Apple在宣告開源計畫的同時，也提到Swift Build其實是建立在llbuild專案的基礎之上，能夠與Swift編譯器深入協同運作。Swift Build擁有可擴充性高、產品類型支援廣泛等優勢，可以應付從函式庫到命令列工具、甚至GUI應用程式的建置需求，同時擁有較高的平行處理能力與穩定度。這些能力將讓開發者在大型專案中更有效率地進行建置，不但縮短反覆修改程式碼後的等待時間，也提升了開發專案整體的生產力。</p> <p>Swift Build的開源，最直接的影響是開發者將可直接存取與貢獻這個建置引擎的程式碼，有望在未來透過社群合作修正錯誤、最佳化以及擴充新的建置功能。對已在使用Swift的開發者而言，最大的好處在於，未來將不必再面臨Swift Package Manager（SwiftPM）與Xcode兩套建置邏輯不一致的混淆。SwiftPM在整合這套建置引擎之後，將帶來相同的建置行為與輸出結果，並減少跨平臺或跨開發工具時可能遇到的差異，也替部分過去只能在Xcode上運作的建置功能帶來更廣泛的適用性。</p> <p>Apple期望藉由社群力量推動Swift語言的進步與普及。開發團隊已釋出用以支援Swift Build的初始整合程式碼，並表示將透過拉取請求方式，在SwiftPM中逐步整合這套建置引擎。預計整合完成後，開發者將在各平臺上體驗到更一致的建置流程，之後也能以更快的速度取得新功能更新與修正。</p> <p>雖然目前仍有部分細節待完善，Apple也呼籲社群積極參與這項工作，並開放效能調校、錯誤修復以及新功能規畫等層面的討論。在社群自下而上的貢獻，Swift Build作為開放生態系的一環，也被視為串起Swift語言在伺服器端、桌面端與行動端的關鍵。</p> </div></div></div>
2025/2/3 15:35作者李建興https://www.ithome.com.tw/news/167182
OpenAI也推可自動執行多步驟線上研究的Deep Research
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI<a href="https://openai.com/index/introducing-deep-research/">推出</a>Deep Research功能，能夠整合網路上大量分散資訊，自動執行多步驟研究，最後產出報告結果。根據官方資料，該系統利用端對端的強化學習技術，經由大量針對困難瀏覽與推理任務的訓練，學會自主規畫並執行多步驟資訊搜尋流程。藉由與內建Python工具的整合，Deep Research不僅能夠繪製圖表、嵌入網站圖片，還能精確引用來源文字，以滿足研究報告對技術性與細節的需求。</p> <p>從技術層面來看，Deep Research採用了強化學習與多模態推理相結合的方法，使得系統能夠根據使用者的提示自動調整搜尋策略。該模型可以在需要時主動回溯與調整搜尋路徑，進而應對網路上資訊量龐大且複雜的內容彙整挑戰。此外，其內建的Python工具能夠動態生成與迭代圖形，並將分析結果嵌入最終的報告中。Deep Research不僅可提供資料視覺化效果，也大幅降低了人力整理資訊的負擔。</p> <p>根據OpenAI內部評估結果，在Humanity's Last Exam這項涵蓋多領域專家級問題的測試中，Deep Research取得了26.6％的準確率，相較於其他先進的語言模型，諸如OpenAI o3-mini_high 13.0％、DeepSeek-R1 9.4％與OpenAI o1 9.1％，Deep Research具有高精確的優勢。</p> <p>另一項在GAIA基準測試平臺進行的試驗顯示，在面對3個不同難度等級的問題時，Deep Research在pass@1測試中，準確率分別達到74.29％、69.06％與47.6％，平均分67.36％，而在更密集的cons@64測試下，其各難度平均準確率更達到72.57％，這些資料呈現出Deep Research在多步驟推理、網頁瀏覽與工具運用上的綜合能力。</p> <p>Deep Research目前主要提供給Pro用戶使用，未來將逐步擴展至Plus、Team與Enterprise等更多使用者。OpenAI表示，除了目前能夠存取的開放網路資料外，未來Deep Research還將連接更多專業訂閱資源與內部資料庫，以進一步提升報告資訊的豐富性與精準性。</p> <p>在去年底時，Google就在其Gemini服務中<a href="https://www.ithome.com.tw/news/166493">加入</a>了的Deep Research功能，採用Gemini 1.5 Pro模型，代使用者上網搜尋並深入研究複雜主題，生成條理清晰的報告，並支援直接匯出至Google Docs。史丹佛大學也推出類似Deep Research的研究計畫，稱之為<a href="https://storm.genie.stanford.edu">STORM</a>，採用Bing搜尋引擎尋找網路資料，助使用者編寫類似維基百科的文章。</p> </div></div></div>
2025/2/3 12:46作者李建興https://www.ithome.com.tw/news/167180
傳蘋果取消AR眼鏡計畫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>彭博<a href="https://www.bloomberg.com/news/articles/2025-01-31/apple-scraps-work-on-mac-connected-augmented-reality-glasses" target="_blank">報導</a>，蘋果可能又取消了一個AR眼鏡開發專案，使蘋果智慧眼鏡之路再添變數。</p> <p>報導指出，蘋果取消的是一個代號為N107的計畫，據說原欲用於對抗Meta的輕量型智慧眼鏡。N107細節不明，主要是外型和一般眼鏡類似，有個顯示螢幕可連結Mac電腦，但可能不含攝影機，也沒有混合實境功能。N107輕巧外型解決了Vision Pro體積龐大及3,499美元高價格的不利因素，但它不僅如此，還有個變色鏡片發揮類似Vision Pro的Eye Sight，可在偵測到使用者前方有人時顯示用戶的「數位化眼睛」，讓他人得以「看到」用戶的眼神以便用戶和外界互動。</p> <p>根據報導，N107原本設計是要連接到iPhone上執行，卻因過於耗電，不得已才改為連結Mac電腦。然而新設計在測試階段未獲得管理階層同意。</p> <p>稍早The Information<a href="https://www.ithome.com.tw/news/166804" target="_blank">報導</a>蘋果可能取消Vision Pro第二代的計畫，而改開發較低價的版本，因為定價過高及欠缺殺手級應用影響銷售量，迫使蘋果下修Vision Pro銷售預測，代工廠去年就已生產出今年需要的數量，報導指出蘋果去年底已暫停生產第一代Vision Pro（下圖），以轉為生產較低價版的Vision Pro。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0203-Apple-Vision-Pro.png" style="width: 450px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／蘋果</span></span></p> <p>如果蘋果真的未在今年公布智慧眼鏡，可能要更加落後競爭者。Meta以Quest系列站穩VR眼鏡領先者地位後，2021年<a href="https://www.ithome.com.tw/news/146641" target="_blank">推出</a>和一般眼鏡類似的智慧眼鏡Ray-Ban Stories。去年10月<a href="https://www.ithome.com.tw/news/165199" target="_blank">公布</a>的Orion（下圖）重僅100公克、更接近理想中的AR眼鏡。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0203-meta%20quest%20orion.png" style="width: 433px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Meta</span></span></p> <p>Google屢敗屢戰，專注發展智慧眼鏡作業系統Android XR，和三星<a href="https://www.ithome.com.tw/news/166517" target="_blank">合作開發</a>XR裝置Project Moohan，並在今年CES<a href="https://mashable.com/article/samsung-unpacked-xr-headset-project-moohan-teased" target="_blank">展示</a>（下圖）。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0203-samsung%20ces%2025-android%20xr-project%20moohan.png" style="width: 390px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／三星</span></span></p> </div></div></div>
2025/2/3 11:44作者林妍溱https://www.ithome.com.tw/news/167179
Mistral開源Mistral Small 3 24B，稱效能超越3倍大的Llama 3.3
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>法國AI新創公司Mistral AI上周<a href="https://mistral.ai/news/mistral-small-3/" target="_blank">公布</a>開源高速、低延遲的模型Mistral Small 3 24B，效能超越參數量3倍大的Llama 3.3 70B。</p> <p>Mistral Small 3是為了能完成80%生成式AI任務而以指令預訓練的模型，參數量240億，以便在本地部署且仍能提供強大效能。Mistral表示，Mistral Small 3比競爭模型少很多層，大幅縮短每次前向傳遞（forward pass）的時間。它在MMLU測試精準度達81%，延遲性為150 token/s。Mistral Small也是目前同類別中最有效率的模型。</p> <p>以標竿測試表現而言，Mistral Small 3在MMLU、Math、GPQA Main都超越Llama 3.1 70B和Google Gemma 2 27B，而在不同語言的MMLU測試中，Mistral Small也都超越Llama 3.1 70B及Gemma 2 27B（但落後於Qwen 2.5-32B）。</p> <p>這家新創公司指出，Mistral Small 3 24B模型適用場景包括反應快速的口語協助、低延遲的函式呼叫、微調後自建特定領域專家、以及在PC或Mac平臺上執行本地推論。經過量化（quantized）壓縮的Mistral Small 3可執行在單一顆RTX 4090或一臺具32GB RAM的MacBook上。該公司稱Mistral Small 3已有金融、醫療、機器人/自動化/製造業客戶評估中。水平使用場景則包含客服和情感與回饋分析。</p> <p>Mistral以Apache 2.0授權開源預訓練和指令微調的check point版本。這些checkpoint版本可作為其他開發人員改進的基礎。業者相信，和最近爆紅的開源推理模型像是DeepSeek類似，Small 3也可促進AI推理能力的演進。</p> <p>但Mistral提醒，Mistral Small 3不是以強化學習和合成資料訓練，因此在AI模型產製上屬於較前期結果，不像新興的DeepSeek R1那麼成熟。</p> <p>Small 3 24B模型已以Apache 2.0授權在la Plateforme開源，顯示名稱為mistral-small-latest或mistral-small-2501。Mistral AI同時也公告，該公司逐漸捨棄非傳統開源MRL授權，因而其通用模型也將改用Apache 2.0授權。因此連同Mistral Small 3，其模型權重也可開放下載於本地供自由修改和使用，或在la Plateforme開放Mistral AI本地部署及VPC環境、客製化和協同平臺、以及其推論與雲端合作夥伴平臺上以serverless API存取。需要特殊能力（像是加快速度和加大context、特定領域知識、特殊任務能力如完成程式撰寫等）的企業和開發人員，也可以在Mistral Small 3之外再使用額外的商用模型補強。</p> <p>Mistral AI也和AI平臺包括Hugging Face、Ollama、Kaggle、Together AI、IBM watsonx和Fireworks AI等合作上架Small 3模型。不久之後也會在Nvidia NIM、Amazon SageMaker、Groq、Databricks和Snowflake上架。</p> </div></div></div>
2025/2/3 10:58作者林妍溱https://www.ithome.com.tw/news/167178
OpenAI具推理能力的模型o3-mini正式推出
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼兩周前執行長Sam Altman<a href="https://www.ithome.com.tw/news/167048" target="_blank">預告</a>，OpenAI上周<a href="https://openai.com/index/openai-o3-mini/" target="_blank">宣布</a>具推理能力的小型AI模型OpenAI o3-mini，已部署到ChatGPT及API供付費方案用戶及開發人員使用。</p> <p>OpenAI是於去年12月新消息12連發中，<a href="https://www.ithome.com.tw/news/166617" target="_blank">公布</a>最新一代具推理能力的旗艦模型o3，並預告o3-mini將是最先推出的同系列模型。</p> <p>OpenAI指出，o3-mini保有OpenAI o1-mini的低成本及低延遲性，但進一步拓展小模型的效能及速度，具備優異的STEM（科學、數學和程式撰寫）能力。o1仍是OpenAI最主要的通用知識推理模型，但是在需要精準和速度的STEM領域o3-mini提供另類選擇。在ChatGPT中，o3-mini使用中等推理能力，兼顧速度和答案的精準性。</p> <p>對開發人員而言，o3 mini也是OpenAI第一個提供高呼聲開發功能的小型模型，像是函式呼叫、結構式輸入及開發人員訊息等。和o1-mini相同，o3-mini也支援串流。開發人員有低、中、高三種推理能力，可以選擇用於不同使用場景。這種彈性讓o3-mini可以在解決複雜任務時更積極思考，或是在考量延遲性時優化速度。</p> <p>根據OpenAI提供的數據，在AIME 2024數學標竿測試中，o3-mini-high推理能力等級模型得分在87.3，優於o1-preview的56.7及o1-mini的63.6。科學解題的GPQA Diamond測試中，o3-mini-high（79.7）也高於o1-preview（78.3）及o1-mini（60.0）。程式競賽測試（Codeforces）及軟體工程（SWE-bench Verified）測試中，o3-mini-high也都高過另二個前代模型。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0203-OpenAI%20o3-mini_Competition%20Math%20(AIME%202024).png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／OpenAI</span></span></p> <p>o3-mini現在也能整合搜尋功能，可提供即時網頁答案及連結。OpenAI說致力於將搜尋整合至所有推理模型，o3-mini是早期原型。</p> <p>不過目前o3並不支援視覺功能，需要的用戶還是得繼續使用o1-mini。</p> <p>o3-mini現在已部署到ChatGPT及API。API部分，即日起o3-mini已經部署到API使用層級3到5特定開發人員的Chat Completions API、Assistants API及Batch API。</p> <p>在ChatGPT部分，Plus、Team和Pro用戶現在就可以存取o3-mini，企業方案用戶2月可以開始使用。在模型選擇器中的o1-mini將由o3-mini取代，提供更高速限和更低延遲性。Plus和Team用戶每天互動訊息，由o1-mini的50則提高為o3-mini的150則。所有付費用戶都可以在模型選擇器，選擇回應時間耗時較久的o3-mini-high，Pro用戶則可以無上限選擇o3-mini及o3-mini-high。</p> <p>免費方案用戶也可以試用o3-mini，方法是選擇訊息輸入列的「Reason」圖示。o3也是第一個提供給免費ChatGPT用戶的推理模型。</p> <p>OpenAI指出，由於持續提升模型數理推理能力，和GPT-4相比，現在OpenAI的模型每字詞使用價格已降低95%，未來該公司會持續朝此發展。</p> <p>OpenAI此舉顯然部分是回應橫空出世的中國新興開源模型DeepSeek。DeepSeek V3模型多項效能測試超越Meta Llama，令美國AI科技公司繃緊神經，加快研發及推出作業。</p> </div></div></div>
2025/2/3 10:09作者林妍溱https://www.ithome.com.tw/news/167177
功率達1,250瓩，施耐德電機增設佔地1.2平方公尺的三相UPS
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/shi_nai_de_galaxy_vxl_ups_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼2021年上半施耐德電機（Schneider Electric）推出三相不斷電系統（3 Phase UPS）<a href="https://www.ithome.com.tw/review/145010">Galaxy VL系列</a>，2024年12月初該公司終於發表新款產品Galaxy VXL系列，這批解決方案主打高效率、體型緊緻、延展性、備援，可涵蓋500至1,250瓩（千瓦，kW）的電力，提供強化的資安、軟體與安全性特色，僅需1.2平方公尺的佔地面積，就供電功率密度而言，每平方公尺可達1,042瓩，而且，在世界各地設置時，均可供應400伏特的電壓，具有最高等級的電力傳輸效能，可因應AI、主機代管、超大型資料中心，以及商業建築物與工業廠區的巨型關鍵基礎設施、電力系統環境的營運需求。</p> <p>就最大供電能力而言，比起施耐德電機既有的資料中心三相UPS產品，Galaxy VXL系列僅次於<a href="https://www.ithome.com.tw/review/113818">2017年推出的Galaxy VX系列（500至1,500瓩）</a>。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Galaxy VXL-2024-12-announced.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Galaxy%20VXL-2024-12-announced.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-Galaxy%20V%20Series.jpg" style="width: 298px;" /> <a href="https://s4.itho.me/sites/default/files/images/2024-12-Galaxy V Series.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-12-Galaxy%20V%20Series.jpg" style="width: 298px;" /></a></p> <p>在擴充能力與負載容錯的設計上，Galaxy VXL系列能透過置入3U機架高度、配備125瓩（12.5萬瓦）的供電模組（Power Module），逐步增加UPS電量，而且支援熱插拔（Live Swap）；</p> <p><a href="https://s4.itho.me/sites/default/files/images/Ga%3Baxy VXL-Power Modules.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Ga%3Baxy%20VXL-Power%20Modules.jpg" style="width: 298px;" /></a><a href="https://s4.itho.me/sites/default/files/images/Galaxy VXL UPS 125 kW Power Module%2C 400V.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Galaxy%20VXL%20UPS%20125%20kW%20Power%20Module%2C%20400V.jpg" style="width: 298px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-12-10-Galaxy%20VXL.jpg" style="width: 298px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/Galaxy%20VXL-Power%20Modules.jpg" style="width: 298px;" /></p> <p>若以單座UPS機櫃而言，Galaxy VXL系列可供應125萬瓦的電力（可置入10臺供電模組），最大可並聯運行（Paralleling）4座UPS機櫃（佔地面積4.8平方公尺），供應500萬瓦電力。</p> <p>關於確保UPS持續運作的機制上，Galaxy VXL系列可支援N+1備援可將系統可用性的層級提升至10倍。除此之外，這套產品採用模組化擴充架構，企業可添購所需的電力模組而能減少資本支出（CapEx），而能獲得能源使用效率，並且依據需求增長而加入更多電力模組。</p> <p>相較於業界平均尺寸而言，Galaxy VXL系列小了52％，施耐德電機表示，就典型的1250萬電力需求的資料中心運作，而且是以2N備援架構設置UPS時，Galaxy VXL系列比起其他競爭產品可節省26平方公尺的佔地面積，潛在的基礎設施成本節省金額可達25萬美元。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Galaxy%20VXL-floor.jpg" style="width: 400px;" /></p> <p>Galaxy VXL系列的採用，也能增進電力運轉與能源使用效率，有助於降低用戶的總體持有成本。舉例來說，若使用三相UPS預設的雙轉換模式，電力供應效率為97.5％，由於這套UPS還支援施耐德電機特有的<a href="https://www.se.com/tw/zh/work/products/product-launch/econversion-high-efficiency-ups-mode/">經濟轉換模式（eConversion mode）</a>，此時電力供應效率可達99％，能提供1級電力保護能力，而且碳排放量減少幅度可提升至兩倍。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/SE-UPS-MODE.jpg" style="width: 298px;" /> <a href="https://s4.itho.me/sites/default/files/images/Galaxy VXL-efficiency.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Galaxy%20VXL-efficiency.jpg" style="width: 298px;" /></a></p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/G3uU5loDBx8?si=IphH5_OBijTBYP_-" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p><a href="https://s4.itho.me/sites/default/files/images/SE UPS eConversion savings over 10 years.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SE%20UPS%20eConversion%20savings%20over%2010%20years.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong><span style="color:#0000FF;">施耐德電機Galaxy VXL</span></strong><br /> ●原廠：施耐德電機<br /> ●建議售價：廠商未提供<br /> ●供電能力：50萬瓦、62.5萬瓦、75萬瓦、87.5萬瓦、100萬瓦、112.5萬瓦、125萬瓦<br /> ●輸出入電壓：380/400/415 V<br /> ●連接方式：4線，3相+中性線+接地<br /> ●電池規格：480到576V，閥控鉛酸電池、鋰離子電池<br /> ●電源效率：雙轉換模式為97.5%，經濟轉換模式為99%，經濟模式為99%<br /> ●擴充性：從50萬瓦起，能以12.5萬瓦為單位擴充至112.5萬瓦，可設置112.5萬瓦（N+1備援）<br /> ●外形：白色機櫃，寬高深為120 x 197 x 100公分</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/2/2 22:39作者李宗翰https://www.ithome.com.tw/review/167170
OpenAI推出ChatGPT Gov，助美國政府安全部署AI提升行政效率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI宣布推出名為<a href="https://openai.com/global-affairs/introducing-chatgpt-gov/">ChatGPT Gov</a>的新服務，讓美國政府單位可在微軟Azure環境，包含商用雲與政府雲中自行部署對話式人工智慧工具，供政府單位在採用人工智慧模型提升行政效率與生產力的同時，仍可維持安全性、隱私性與符合法遵要求。此服務並非將資料放在公共雲端，而是採用自我部署（Self-hosting）的方式，讓情報、公共衛生、基礎建設等需處理高度敏感資訊的單位，能自行掌控系統環境，更順利落實資安策略與風險控管。</p> <p>ChatGPT Gov提供政府單位類似ChatGPT Enterprise的功能，包含文字解析、程式碼撰寫、影像解析，以及協助進行各類複雜運算的GPT-4o模型。另有專用的行政管理控制臺，方便IT團隊監控使用者與群組、單一登入（SSO）等環境設定。OpenAI也針對有需求的政府機關開放自訂GPT功能，讓相關單位能根據既有工作流程與資料類型調整語言模型回應方式。</p> <p>OpenAI指出，美國公部門員工累計已使用ChatGPT生成1,800萬筆訊息，顯示政府機構對此類人工智慧服務的實際需求。</p> <p>根據官方資料顯示，許多機構已先行測試並整合相關服務。美國空軍研究實驗室用其來簡化行政作業與程式碼產出；洛斯阿拉莫斯國家實驗室則嘗試將GPT-4o用於先進科學研究與驗證，並評估其應用在生物科學實驗的安全面向。明尼蘇達州翻譯部門藉由此對話式系統，改進多語言翻譯的速度與精確度，降低執行成本。賓州更在一項人工智慧試驗計畫中，觀察到公務員每天使用後可節省一個多小時的例行作業時間。</p> <p>OpenAI表示，除了提供這套服務，後續也將持續爭取美國政府常見的法遵與資安認證，包括FedRAMP中度（Moderate）與高度（High）認證，並評估部署至Azure機密區域的選項。官方強調，此舉是讓公部門在維護民主價值與公共利益的前提下，善用最新的人工智慧工具強化公共服務，同時降低國安及資訊風險。</p> </div></div></div>
2025/1/31 18:44作者李建興https://www.ithome.com.tw/news/167172
Hugging Face逆向工程DeepSeek-R1，將打造開放推理模型Open-R1
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國人工智慧公司所開發的DeepSeek-R1模型發布以來，相對低廉的硬體與訓練成本就能展現高水準推理能力，在市場引發極大震盪。Hugging Face現正根據DeepSeek所公布的研究內容進行逆向工程，試圖推出名為<a href="https://huggingface.co/blog/open-r1">Open-R1</a>的開放版本，期望在透明、可驗證的環境下讓研究社群能更深入了解該突破性技術。</p> <p>由於DeepSeek-R1以遠低於市場預期的成本達到與先進模型相近的推理表現，業界與學界都希望能了解技術全貌，但DeepSeek未公開完整的訓練資料集與程式碼，使得外界對其稱為開源模型的真實性存有疑慮。Hugging Face工程師認為，如果只釋出模型權重與部分技術報告，仍不足以滿足真正的開放標準，因而決定透過逆向工程與大規模協作，建置完整可供研究者自行驗證與調整語言模型，成為推理模型的開放訓練工作管線與資料集。</p> <p>深度學習社群之所以對此舉格外關注，主要是因為DeepSeek-R1在數學、程式開發與科學領域的推理能力，甚至能與知名的OpenAI o1模型一較高下，而開發成本卻聲稱僅有美國人工智慧公司花費的一小部分。一旦Hugging Face成功重現Open-R1，研究人員將可確切掌握其中關鍵架構、訓練步驟，以及在有限硬體資源下達到高效訓練的方法。</p> <p>目前Hugging Face團隊的做法，是先分析DeepSeek發布的技術報告與模型論文，並嘗試從現有權重中推斷其訓練配方與資料分布。由於DeepSeek並未開放完整的資料集與程式碼，Hugging Face 需要召集志願者，共同整理出可供公開使用的高品質推理資料，藉此復刻或接近DeepSeek-R1所使用的多階段訓練策略。</p> <p>當Open-R1順利出爐，將不只是一個DeepSeek-R1複製品，更可能在技術透明度與研究價值上進一步超越原始模型。Open-R1可供任何人檢閱並改良強化學習流程、語言模型結構以及推理邏輯。這對需要確保模型輸出精度與可控性的企業而言相當重要，也進一步突顯了開源社群在推動人工智慧產業發展時所扮演的關鍵角色。</p> <p>Open-R1模型的訓練將使用Hugging Face的<a href="https://huggingface.co/science">Science Cluster</a>運算資源，該叢集有96個節點，每個節點有8張顯示卡，共768顆Nvidia H100可用於密集訓練，Hugging Face預計在數周內推出第一個可公開測試的原型版本。</p> </div></div></div>
2025/1/31 16:02作者李建興https://www.ithome.com.tw/news/167171
加入公雲自研處理器行列，GCP推出高效能Arm執行個體
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/google_cloud_c4a-main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這7年來，全球三大公有雲相繼投入伺服器處理器的研發，最初是<a href="https://press.aboutamazon.com/2018/11/aws-announces-new-amazon-ec2-instances-and-networking-enhancements">AWS在2018年底基於首款自行研發的處理器Graviton</a>，推出執行個體服務A1，<a href="https://www.ithome.com.tw/review/165346">如今Graviton已發展到第四代</a>；<a href="https://azure.microsoft.com/en-us/blog/microsoft-azure-delivers-purpose-built-cloud-infrastructure-in-the-era-of-ai/">微軟2023年底宣布將自行研發Arm架構處理器Azure Cobalt 100</a>，2024年10月正式推出<a href="https://www.ithome.com.tw/review/166337">基於這款處理器的執行個體服務</a>；Google Cloud Platform （GCP）也在<a href="https://cloud.google.com/blog/products/compute/introducing-googles-new-arm-based-cpu">2024年4月宣布將自行研發Arm架構處理器Axion</a>，10月底正式推出<a href="https://cloud.google.com/blog/products/compute/try-c4a-the-first-google-axion-processor">基於這款處理器的執行個體服務C4A</a>，今年1月下半，他們宣布<a href="https://cloud.google.com/blog/products/compute/first-google-axion-processor-c4a-now-ga-with-titanium-ssd">C4A的儲存裝置可搭配Google Cloud自行設計的固態硬碟Titanium SSD</a>。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-08-12_Google_Cloud_Next_2024_w0BSeaK_max-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-08-12_Google_Cloud_Next_2024_w0BSeaK_max-web.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2024-04-image1_Ab4940U_max-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-04-image1_Ab4940U_max-web.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/GCP VM-202501.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GCP%20VM-202501.jpg" style="width: 600px;" /></a></p> <p>Google Cloud Axion處理器的研發，主要是建立在<a href="https://www.ithome.com.tw/tech/154357">Arm Neoverse V2平臺</a>而成，這套矽智財採用<a href="https://www.arm.com/zh-TW/products/silicon-ip-cpu/neoverse/neoverse-v2">Armv9架構</a>，鎖定最高等級運算效能的處理器設計需求。而在用於執行個體服務時，Axion也將搭配Google Cloud發展的Titanium系統架構，基本上，這套系統包含多個專屬微控制器，並且具備分層存取、橫向擴展執行規模的卸載能力，可幫忙分攤網路與資安防護負擔，促使Axion保留更多效能因應用戶的工作負載，Titanium也能將儲存I/O處理卸載至Google Cloud的區塊儲存服務Hyperdisk，以便將儲存效能的高低與執行個體規模的大小脫鉤，便於彈性擴充，也能動態即時產生、馬上搭配使用。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Arm Neoverse V2-2023-08-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Arm%20Neoverse%20V2-2023-08-1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Arm Neoverse V2-2023-08-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Arm%20Neoverse%20V2-2023-08-2.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Arm Neoverse V2-2024-05.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Arm%20Neoverse%20V2-2024-05.jpg" style="width: 600px;" /></a></p> <p>關於效能表現，Google Cloud根據2024年3月底的內部測試資料表示，相較於當前雲端領域運算速度最快的一般用途Arm執行個體，採用Axion的執行個體領先幅度可達30％；對比當前世代的x86執行個體，採用Axion的執行個體的效能領先幅度可達50％，能源使用效率改善幅度為60％。</p> <p>Google Cloud會在哪些服務採用Axion處理器？在4月發表時，該公司預告會用於Google Compute Engine（GCE）、Google Kubernetes Engine（GKE）、Dataproc、Dataflow、Batch等；<a href="https://cloud.google.com/blog/products/compute/introducing-googles-new-arm-based-cpu">BigTable、Spanner、BigQuery、 Blobstore、Pub/Sub、Google Earth Engine、YouTube影片廣告等服務，已經執行在Arm伺服器之上</a>，未來計畫擴大服務規模而將很快採用Axion。</p> <p>而在用戶工作負載的類型上，Google Cloud認為，Axion能為一般用途工作負載提供顯著的效能增長，可涵蓋多種IT系統，包含：網站與應用系統伺服器、容器化微服務、開放原始碼資料庫、採用記憶體內架構（in-memory）的快取系統、資料分析引擎、多媒體處理系統、純CPU的AI訓練與推論處理系統。</p> <p><a href="https://s4.itho.me/sites/default/files/images/GCP-GP-VM-202501.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GCP-GP-VM-202501.jpg" style="width: 600px;" /></a></p> <p>時至2024年10月底，Google Cloud首批採用Axion處理器的執行個體正式C4A上線，已在全球7個區域資料中心供應，包含：愛荷華州（us-central1）、北維吉尼亞州（us-east4）、南卡羅萊納州（us-east1）、比利時（europe-west1）、荷蘭（europe-west4）、法蘭克福（europe-west3）、新加坡（asia-southeast1）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/C4A-2024-10-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/C4A-2024-10-1.jpg" style="width: 600px;" /></a></p> <p>Google Cloud主打C4A提供哪些使用效益？比起其他雲端業者提供的Arm執行個體，C4A的性價比領先10％；若以現行世代的x86執行個體為基準，C4A的性價比增加65％，能源使用效率提升60％。</p> <p><a href="https://s4.itho.me/sites/default/files/images/C4A-2024-10-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/C4A-2024-10-2.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-10-1_k2AxCv3_max.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-10-1_k2AxCv3_max.jpg" style="width: 600px;" /></a></p> <p>此時Arm也揭露C4A多項AI效能測試數據。以Llama 3.1 8B這個大型語言模型推論而言，針對提示處理與詞元生成的應用，<a href="https://community.arm.com/arm-community-blogs/b/servers-and-cloud-computing-blog/posts/ai-inference-on-google-axion-cpu">比起現行的x86執行個體，可提供兩倍的效能。</a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-10-Arm-Llama CPP_Google Axion_Arm Inference Blog.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-10-Arm-Llama%20CPP_Google%20Axion_Arm%20Inference%20Blog.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2024-10-Arm-BERT_Google Axion_Arm Inference Blog.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-10-Arm-BERT_Google%20Axion_Arm%20Inference%20Blog.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-10-Arm-RESNET_Google Axion_Arm Inference Blog.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-10-Arm-RESNET_Google%20Axion_Arm%20Inference%20Blog.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2024-10-Arm-0576_XGBoost Prediction_Google Axion_Arm Inference Blog.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-10-Arm-0576_XGBoost%20Prediction_Google%20Axion_Arm%20Inference%20Blog.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2024-10-Arm-1781_XGBoost Training_Google Axion_Arm Inference Blog.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-10-Arm-1781_XGBoost%20Training_Google%20Axion_Arm%20Inference%20Blog.jpg" style="width: 198px;" /></a></p> <p>若要在Google Cloud經營的多種雲端服務使用C4A，除了依先前規畫能在GCE、GKE、Batch、Dataproc，Dataflow搭配C4A的使用進入預覽階段，CloudSQL、AlloyDB等服務的C4A支援很快就會推出。至於預告將導入Axion的Google多種服務，也已經開始將Axion伺服器用於正式環境。</p> <p><a href="https://s4.itho.me/sites/default/files/images/GCP C4A-list.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GCP%20C4A-list.jpg" style="width: 600px;" /></a></p> <p>關於網路的配置，C4A提供的標準（預設）頻寬為50 Gbps，最高可選擇搭配100 Gbps的Tier_1網路，支援高流量的應用系統；儲存的部分，可搭配Hyperdisk Balanced或Hyperdisk Extreme，最高可提供35萬IOPS與5 GB/s的吞吐量。</p> <p>今年1月下半，Google Cloud率先在C4A增設自研固態硬碟Titanium SSD的本機儲存選項，根據該公司的內部測試，在這樣的執行個體當中，<a href="https://cloud.google.com/blog/products/compute/first-google-axion-processor-c4a-now-ga-with-titanium-ssd">可提供240萬IOPS的隨機讀取效能，以及10.4 GiB/s的讀取吞吐量</a>；若對照前一代SSD，存取延遲可降低35％。而就目前Google Cloud可供應C4A的全球雲端區域資料中心而言，也增加1座：倫敦（europe-west2）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/GCPGP-202501-list.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/GCPGP-202501-list.jpg" style="width: 600px;" /></a></p> <p><strong><span style="color:#008080;">產品資訊</span></strong></p> <p><strong><span style="color:#0000FF;">Google Cloud C4A</span></strong><br /> ●原廠：Google Cloud<br /> ●建議售價：c4a-standard-1，asia-southeast1（新加坡）區域預估每月費用為40.424376486美元<br /> ●採用處理器：Google Axion<br /> ●提供服務規模選擇與最大組態：<br /> C4A standard（每顆CPU對應4GB記憶體）、C4A highcpu（每顆CPU對應2GB記憶體）、C4A highmem（每顆CPU對應8GB記憶體），<br /> c4a-highmem-72-lssd，72顆虛擬處理器、576 GB記憶體、網路頻寬最高為50 Gbps，儲存搭配平衡Hyperdisk（每臺虛擬機器最多掛載32臺硬碟）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/1/31 00:08作者李宗翰https://www.ithome.com.tw/review/166989
Apple Silicon存在SLAP與FLOP側通道攻擊，恐洩漏用戶機敏資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>喬治亞理工學院研究團隊<a href="https://predictors.fail/">揭露</a>兩個針對Apple Silicon晶片的全新微架構側通道攻擊手法，分別命名為SLAP與FLOP，這兩個漏洞可能導致使用者在瀏覽網頁時，機敏資訊遭到未經授權的第三方竊取，影響範圍涵蓋近年推出的Mac、iPhone及iPad等產品。</p> <p>SLAP與FLOP攻擊的關鍵，在於利用Apple Silicon晶片中負責最佳化資料處理流程的預測機制。具體來說，SLAP濫用的是載入位址預測器（Load Address Predictor，LAP），該機制會根據過往的記憶體存取模式，預測CPU下一個可能讀取的記憶體位址，提高記憶體存取的效率。而FLOP則是濫用載入值預測器（Load Value Predictor，LVP），其會嘗試預測從記憶體讀取到的數值，來加速與該數值相關的運算。</p> <p>這兩個預測器用途在於加速資料處理速度、提升整體效能，不過研究人員發現，當預測發生錯誤時，綜合CPU的推測執行（Speculative Execution）機制，以及現行架構下對於錯誤預測的資料處理流程隔離不足，衍生出可被利用的資訊洩漏破口。</p> <p>在推測執行的狀態下，即使LAP或LVP的預測結果是錯誤的，CPU仍會基於這些錯誤的預測值，預先執行後續的指令。儘管這些基於錯誤預測而執行的運算最終會被捨棄，但過程中CPU存取到的錯誤記憶體位址或使用的錯誤資料，會在CPU微架構狀態留下痕跡，例如快取記憶體的狀態變化。而這些細微的變化，就可能被攻擊者利用特定的側通道手法，例如分析時間差異，來推斷出原本不應該被存取的資訊。</p> <p>在Safari瀏覽器，SLAP可讓攻擊者讀取受害者在Proton Mail收件匣中的郵件標題與寄件者資訊、瀏覽紀錄、行事曆活動，甚至信用卡資訊，因為這些資料可能與攻擊者的惡意網頁共用相同的處理程序。而FLOP更進一步擴大影響Chrome瀏覽器，透過操控JavaScript和WebAssembly的類型檢查機制，使攻擊者能繞過安全防護，讀取瀏覽器記憶體中的任意資料，可能包含網站登入憑證、支付資訊及其他機敏資料。</p> <p>這兩種攻擊可透過瀏覽器執行惡意JavaScript程式碼，即便使用者並未下載或安裝任何惡意軟體，只要存取了特定的惡意網頁，攻擊者便可利用包括M2、M3、A15、A16、A17等Apple Silicon處理器的推測執行機制竊取資料，甚至突破Chrome瀏覽器網站之間的隔離防護，影響Apple幾乎所有自2021年起推出的Mac、iPhone和iPad產品。</p> <p>儘管Apple已承諾釋出安全更新，但FLOP的部分緩解措施需要應用程式開發商修改軟體才能有效實施，這表示短期內仍存在相當大的風險。使用者應確保作業系統與瀏覽器保持最新版本，避免瀏覽不明來源的網站，並啟用Chrome網站隔離功能，以降低攻擊成功的可能性。</p> </div></div></div>
2025/1/30 18:38作者李建興https://www.ithome.com.tw/news/167168
爆紅中國AI服務DeepSeek資料庫配置錯誤導致機密日誌外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國人工智慧公司DeepSeek因其模型DeepSeek-R1表現亮眼而備受關注，不過，雲端資安公司Wiz Research研究團隊<a href="https://www.wiz.io/blog/wiz-research-uncovers-exposed-deepseek-database-leak">發現</a>，DeepSeek服務存在重大資安漏洞，導致大量機密日誌資料外洩。研究人員在進行例行性安全評估時，發現DeepSeek的ClickHouse資料庫對外開放，未設定任何身分驗證機制，允許任何人存取內部資料，甚至具備完整的資料庫控制權限。</p> <p>Wiz Research透過網域探測技術，發現DeepSeek旗下多個公開網域，其中部分開放了非標準的HTTP連接埠，進一步檢測後確認ClickHouse資料庫可透過9000及8123連接埠直接存取，且無需提供任何驗證資訊。這個資料庫包含超過百萬筆日誌紀錄，涵蓋聊天記錄、API金鑰、內部服務資訊、目錄結構與營運相關細節。更具風險的是，研究人員發現該ClickHouse資料庫允許透過HTTP介面執行任意SQL查詢，攻擊者不僅能存取內部資料，還可能透過特定查詢獲取機密資訊，進一步擴大攻擊影響範圍。</p> <p>ClickHouse是一款高效能的開源欄式資料庫，主要用於即時資料分析與日誌儲存。不過，由於其開放性及高度自訂能力，一旦配置不當，極可能成為潛在資安漏洞。DeepSeek未經身分驗證的ClickHouse伺服器，不僅洩漏人工智慧模型的內部運作細節，還能讓攻擊者取得敏感業務資料，甚至是人工智慧聊天機器人的使用者對話紀錄。</p> <p>Wiz Research在發現漏洞後，立即聯繫DeepSeek通報此問題，對方也迅速確認並修復相關安全設定。隨著越來越多新創公司與服務供應商推出人工智慧工具與服務，企業導入人工智慧技術的速度也在加快，研究人員提醒，這樣的過程本質上代表企業將敏感資料託付給人工智慧供應商管理，因此確保資料安全應是企業導入人工智慧服務時的首要考量。</p> <p>同時，研究人員也提醒人工智慧公司，隨著人工智慧技術已成為關鍵基礎設施，除了聚焦於模型效能與創新，基礎架構的安全性同樣至關重要。人工智慧供應商應加強基礎架構安全機制，特別是在處理敏感資料時，應比照公有雲與企業級IT基礎設施環境的安全標準，強化存取控制機制與監控管理。</p> </div></div></div>
2025/1/30 19:05作者李建興https://www.ithome.com.tw/news/167169
搶攻邊緣運算網路商機，HPE半寬尺寸交換器正式登場
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/hpe_aruba_networking_cx_8325h_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著數位轉型的持續推動，需要用到伺服器虛擬化與超融合基礎架構、軟體定義儲存系統、視訊監控系統、資安系統等解決方案，並不只是企業總部的資料中心，散落在多個地點的區域分公司、分支辦公室、廠區，可能也都需要建置小型IT基礎架構，因應有限的環境空間與電力配置條件，所以，一些IT系統廠商會設立體積小、高性能的產品線，以便針對邊緣資料中心的設置需求。</p> <p>而在網路交換器的部分，市面上也有這類型解決方案，大多數都採用1U標準機架式或桌上型機箱，只有少數廠商提供1U半寬尺寸的交換器畸機型，像是<a href="https://www.ithome.com.tw/review/114080">Netgear M4300系列</a>、<a href="https://buy.hpe.com/us/en/storage/storage-networking/m-series-switches/m-series-switches/hpe-storage-switch-m-series-sn2100m/p/1010209402">HPE Storage Switch M-series SN2100M</a>、<a href="https://www.engeniustech.com/engenius-products/ecs5512f-cloud-managed-12-port-10-gigabit-sfp-half-rack-aggregate-fiber-switch/">EnGenius ECS5512F</a>、<a href="https://www.qnap.com/en/product/qsw-m2106pr-2s2t">QNAP QSW-M2106R-2S2T</a>，<a href="https://community.hpe.com/t5/networking/small-sites-with-limited-racks-half-width-switches-have-your/ba-p/7227757">在2024年10月底，HPE Aruba Networking預告</a>將推出半寬尺寸的高效能網路交換器CX 8325H，並表明這是專為傳統小型資料中心園區網路，以及小型邊緣運算環境或主機代管站點而設計的產品，可因應有限的網路埠設置密度與機櫃空間。<a href="https://www.hpe.com/us/en/newsroom/press-release/2025/01/hpe-aruba-networking-doubles-down-on-security-first-ai-powered-networks-with-innovations-for-retailers-iot-data-collection-and-edge-processing.html">到了今年1月舉行的美國紐約零售展NRF 2025，該公司宣布</a>這款機型正式推出。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CX 8325H-2025-01-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CX%208325H-2025-01-1.jpg" style="width: 600px;" /></a></p> <p>CX 8325H可支援1GbE、10GbE、25GbE、40GbE、100GbE等多種網路介面，適合廣泛的伺服器運算與儲存網路用途，埠對埠之間的存取延遲可低於300奈秒，搭配相同的高效能ASIC晶片，以及具有完整功能的作業系統AOS-CX（10.15.1001）。AOS-CX能帶來哪些特色？像是進階的網路第二層（L2）與第三層（L3）功能組合，包含BGP、OSPF、 VRF-Lite、IPv6、動態VXLAN，以及搭配該公司發展的Aruba網路分析引擎（NAE），而能獲得的智慧型監控、網路流量與行為透視，以及矯正機制。 </p> <p><a href="https://s4.itho.me/sites/default/files/images/CX 8325H-Spec.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CX%208325H-Spec.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/CX 8325H-AOS CX.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CX%208325H-AOS%20CX.jpg" style="width: 298px;" /></a></p> <p>關於實際的產品機型，HPE Aruba Networking透露CX 8325H系列主要有兩款，分別是18個1GbE/10GbE/25GbE埠搭配4個40GbE/100GbE埠的CX 8325H-18Y4C，受益於ASIC晶片的幫忙，網路交換容量可達2.16 Tbps，</p> <p><a href="https://s4.itho.me/sites/default/files/images/CX-8325H-18P-4P-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CX-8325H-18P-4P-1.jpg" style="width: 600px;" /></a></p> <p>以及16個40GbE/100GbE埠的CX 8325H-16C，ASIC網路交換容量為4 Tbps。</p> <p><a href="https://s4.itho.me/sites/default/files/images/CX 8325H-2025-01-16P.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/CX%208325H-2025-01-16P.jpg" style="width: 600px;" /></a> </p> <p>在2025年1月，可能是為了配合NRF 2025大展的關係，HPE Aruba Networking強調CX 8325H適合零售店面架設的特色，因為這系列半寬尺寸產品可設置在空間狹窄的空間，供電與散熱需求不高（最大耗電量為500瓦），可用來連接<a href="https://www.ithome.com.tw/review/165187">HPE去年9月新推出的邊緣運算伺服器ProLiant DL145</a>，企業能透過這樣的產品組合，支援邊緣環境的AI推論，即時處理大量資料，在零售分支據點提供低延遲存取能力。</p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong><span style="color:#0000FF;">HPE Aruba Networking CX 8325H</span></strong><br /> ●原廠：HPE Aruba Networking<br /> ●建議售價：廠商未提供<br /> ●機型：CX 8325H-18Y4C front-to-back、CX 8325H-18Y4C back-to-front、CX 8325H-16C front-to-back、CX 8325H-16C back-to-front<br /> ●外形：1U半寬機箱，搭配2個固定式電源供應器（1+1）、4個固定式風扇（N+1）<br /> ●網路交換容量：CX 8325H-18Y4C front-to-back、CX 8325H-18Y4C back-to-front 為2.16 Tbps，CX 8325H-16C front-to-back、CX 8325H-16C back-to-front 為4 Tbps<br /> ●提供網路介面：<br /> CX 8325H-18Y4C front-to-back、CX 8325H-18Y4C back-to-front提供18個25GbE埠（SFP28埠）+4個40GbE/100GbE埠（QSFP28埠），<br /> CX 8325H-16C front-to-back、CX 8325H-16C back-to-front提供16個100GbE埠（QSFP28埠）<br /> ●封包緩衝記憶體容量：32 MB<br /> ●處理器：AMD 8核心<br /> ●記憶體：32 GB<br /> ●儲存裝置：128 GB固態硬碟</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/1/29 17:45作者李宗翰https://www.ithome.com.tw/review/167167
PowerEdge邁入第17代，Dell推出單路Xeon 6伺服器
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/dell_poweredge_r470_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2024年下半，適逢英特爾與AMD推出新世代伺服器處理器，最大熱設計功耗（TDP）達到500瓦，Dell陸續推出新款Dell PowerEdge機型，像是率先登場的英特爾Xeon 6雙路伺服器<a href="https://www.ithome.com.tw/review/164102">R670 CSP Edition</a>、R770 CSP Edition，AMD EPYC 9005單路伺服器R6715、R7715，以及雙路伺服器<a href="https://www.ithome.com.tw/review/166897">R6725</a>、R7725。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Dell-17G-Single way server-2025-01.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell-17G-Single%20way%20server-2025-01.jpg" style="width: 600px;" /></a></p> <p>到了年底，他們再度宣布推出兩款新機型：R470、R570，皆為英特爾Xeon 6單路伺服器，目前先上市的會是1U尺寸的機型R470，Dell已公布產品規格表與技術指南，2U尺寸的機型R570預計2025年初登場。而這些機型的推出，也正式揭開Dell PowerEdge第17代伺服器產品的序幕。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Dell 17G-2025-01.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%2017G-2025-01.jpg" style="width: 600px;" /></a></p> <p>R470鎖定網站、應用程式微服務、資料服務、虛擬化，以及橫向擴展執行規模的資料庫應用系統，能針對效能最佳化考量用戶，提供升級的選擇彈性。</p> <p>相較於Dell既有的1U雙路伺服器，像是R660整臺最大提供56核心（第五代Xeon Scalable處理器，最大可提供64核心，但此款機型僅能搭配到28核心）或64核心（第四代Xeon Scalable處理器，最大可提供6核心，但此款機型僅能搭配到32核心），R450提供48核心（第三代Xeon Scalable處理器），同為1U尺寸的R470，僅憑單路架構的運算配置，整臺最大就能提供144核心，而在運算冷卻機制的搭配上，Dell針對300瓦以上的處理器款式，採用高效能銀級風扇與遠程散熱座，250瓦以下的處理器款式，採用標準風扇與延伸散熱座。</p> <p><a href="https://s4.itho.me/sites/default/files/images/dell-r470-10x2-5-internal.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/dell-r470-10x2-5-internal.jpg" style="width: 600px;" /></a></p> <p>記憶體規格的升級，也是R470這類單路Xeon 6伺服器的一大亮點，現在最大可支援6,400 MT/s的DDR5記憶體，存取速度領先既有伺服器產品的幅度最高可達2.18倍──R450搭配2,933 MT/s的DDR4記憶體，R660搭配4,800 MT/s的DDR5記憶體。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Dell R470 Spec-Comparison.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20R470%20Spec-Comparison.jpg" style="width: 500px;" /></a></p> <p>關於伺服器產業標準的支援，包含R470在內的第17代PowerEdge機型，均遵循開放運算計畫（OCP）訂定的標準，當中也涵蓋OCP推動的資料中心模組化硬體系統（DC-MHS）子計畫，以此簡化IT基礎架構，也能經得起未來投入營運的考驗，可促成既有基礎架構的重複使用。</p> <p>以R470為例，Dell在兩個元件導入OCP的DC-MHS，其中一個是內部RAID控制器採用<a href="https://www.dell.com/support/manuals/en-us/perc-h965i-front/perc12/dell-technologies-poweredge-raid-controller-12?guid=guid-5889415d-b297-43a0-9197-113a56c33c79&lang=en-us">PERC H965i DC-MHS</a>，這屬於PowerEdge RAID Controller 12（第12代PERC）系列的硬體配件；另一個是Dell伺服器特有的系統開機儲存子系統（Boot Optimized Storage Subsystem，BOSS），採用BOSS-N1 DC-MHS。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Dell 17G-R470-R670.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%2017G-R470-R670.jpg" style="width: 600px;" /></a></p> <p>值得注意的是，Dell這批伺服器搭配的系統遠端管理平臺，也從沿用多年的<a href="https://www.dell.com/support/kbdoc/zh-cn/000178115/idrac9-versions-and-release-notes?lang=en">iDRAC9</a>換成iDRAC10，IT人員可透過這個平臺，執行PowerEdge伺服器的部署、資產管理、更新、監控，以及維護作業。</p> <p>iDRAC10有那些新特色？根據Dell公布的使用者指南文件，新版系統管理平臺配備專屬安全處理器，可因此改善伺服器安全效能，整合信任根（RoT）、具備裝置等級的見證機制與加密防護，以及運用更強韌的加密演算法。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Dell 17G-iDRAC10-2025-01.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%2017G-iDRAC10-2025-01.jpg" style="width: 600px;" /></a></p> <p><strong><span style="color:#008080;">產品資訊</span></strong></p> <p><strong><span style="color:#0000FF;">Dell PowerEdge R470</span></strong><br /> ●原廠：Dell<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：1U（482 x 42.8 x 816.92公釐）<br /> ●處理器：單顆，Intel Xeon 6系列（單顆最多144核心）<br /> ●記憶體：16個DDR5插槽，RDIMM可支援32支6400 MT/s（最大總共1 TB）<br /> ●儲存配置：8臺E3.S外形NVMe固態硬碟（最大總共122.4 TB）、2臺M.2外形NVMe固態硬碟（BOSS-N1 DC-MHS）<br /> ●I/O介面：PCIe 5.0 x16（2個全高半長）<br /> ●電源供應器：2臺800瓦/1500瓦（1+1備援）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/1/28 18:22作者李宗翰https://www.ithome.com.tw/review/167158
組態管理工具Puppet開源替代方案OpenVox 8.11正式登場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由社群主導的開源專案<a href="https://voxpupuli.org/blog/2025/01/21/openvox-release/">OpenVox正式發布8.11版本</a>，該版本被定位為組態管理工具Puppet的替代方案，提供使用者與原始版本功能相當的組態管理工具。OpenVox專案的發起源於2024年下半年，當時Perforce宣布不再支援Puppet開源軟體套件，並將未來的開發專注於內部商業版本，該決策在業界引發廣泛關注。</p> <p>長期以來Puppet為備受信任的開源組態管理工具，是許多企業和開發團隊的基本選擇，但其從開源模式轉向封閉的商業軟體模式，使許多仰賴該工具的開發者感到失望，並開始尋求其他替代方案。作為回應開源社群的需求，開源軟體公司Overlook InfraTech領導的社群開始維護Puppet軟體套件，最終發展成現在的OpenVox專案。新推出的OpenVox 8.11版本，功能設計上與Puppet相容，允許使用相同的指令、模組與設定。</p> <p>不過，OpenVox雖提供類似的功能，但OpenVox尚未按照與Puppet相同的標準進行測試。開發團隊特別提醒使用者，除非能夠接受潛在錯誤並積極提供回饋，否則不建議將OpenVox部署於重要的生產環境。目前OpenVox套件仍放在Overlook InfraTech的儲存庫，但未來可能搬遷至專屬的Vox Pupuli命名空間。</p> <p>根據OpenVox開發團隊的說法，這是一個被定位成「軟分叉」的專案，目的是盡可能長期維持與Puppet的下游相容性。為此，專案已與Perforce合作成立Puppet標準指導委員會，試圖在功能與語言發展方向尋求共識。</p> <p>OpenVox專案開放社群參與，允許開發者針對其平臺需求直接貢獻。OpenVox專案的長期目標包括支援更現代化的作業系統，最佳化整體程式碼結構，並支援開源社群活動。</p> </div></div></div>
2025/1/28 18:59作者李建興https://www.ithome.com.tw/news/167166
Android 16 Beta強化應用螢幕適應性，預告API等級37將強制支援大螢幕
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://android-developers.googleblog.com/2025/01/first-beta-android16.html?m=1">Android 16第一個Beta版本正式推出</a>，針對開發者與早期使用者開放測試，帶來應用適應性與即時更新（Live Updates）等新功能，更新重點除了提升大型螢幕裝置的使用體驗，還進一步強化更即時的通知應用場景，支援多樣化裝置與互動需求。</p> <p>Android 16應用適應性功能解決過去應用程式，在大螢幕裝置上無法有效調整視窗大小與方向的問題。新版本引入的變更，逐步解除非遊戲類應用程式，在對大螢幕裝置上的方向與縮放限制，並要求目標API等級36以上的應用程式，支援寬度超過600dp的大型螢幕自適應能力，而在未來的API等級37，所有應用程式將不得限制視窗大小，並強制支援大螢幕裝置的彈性顯示模式。為此，開發者需要重新檢視現有的UI設計，確保應用在不同螢幕尺寸與方向下都能提供一致的使用體驗。</p> <p>在通知功能更新方面，Android 16引入了名為即時更新的新類型通知模板，針對進度型應用案例，如共乘服務、外送平臺與導航應用等，提供更直覺且一致的用戶體驗。新模板允許開發者以圖示和分段進度的方式顯示即時資訊，例如車輛位置或訂單狀態，強調資訊視覺化與即時性，進一步縮短用戶在重要任務中的反應時間。</p> <p>此外，Android 16還針對多媒體處理進行全面升級，加入進階專業影像格式（Advanced Professional Video，APV）支援，提供專業影音創作者接近原始品質的錄製與後製能力。該格式不僅支援高位元速率和HDR10，還支援多視角影像與額外輔助影片資料的編碼（Encoding）需求，例如景深資訊、透明度圖層或預覽影像，這些輔助資料可用於提升影像的後製效果與多視角應用體驗。</p> <p>新版本Android也添加低階API的垂直文字渲染功能，更好地支援特定語言需求，特別適用於日文等垂直書寫語言。儘管該功能目前僅限於低階API，未延伸至Jetpack Compose或TextView等高階文字處理框架，但仍替未來的文字顯示功能奠定技術基礎。</p> <p>Android版本更新伴隨內部機制改變，對應用程式的相容性提出了更高要求，例如預測式返回功能的啟用以及廣播優先順序的限制，可能會影響部分應用的現有設計，開發者需進行詳細測試找出潛在問題。此外，Android 16強化ART模組的性能，對仰賴ART內部結構的應用程式提出了更新需求，而這對於長期未維護或更新的應用可能造成挑戰。</p> <p>Google預計在2025年第二季正式發表Android 16，並將這一版本作為當年度唯一包含行為變更的主要更新，同時計畫在第四季推出新增功能的次要版本。</p> </div></div></div>
2025/1/28 15:58作者李建興https://www.ithome.com.tw/news/167165
Anthropic 計畫為Claude 加入雙向語音模式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AI新創公司Anthropic持續強化AI聊天機器人Claude，計畫接下來加入雙向語音模式及個人化及等功能。</p> <p>Anthropic執行長Dario Amodei 上週在瑞士達沃斯（Davos）世界經濟論壇時，<a href="https://www.wsj.com/livecoverage/stock-market-today-dow-sp500-nasdaq-live-01-21-2025/card/anthropic-ceo-says-ai-could-surpass-human-intelligence-by-2027-9tka9tjLKLalkXX8IgKA">接受華爾街日報（WSJ）訪問</a>時說明Claude的開發計畫。Amodei說Claude過去幾個月市場反應熱烈，未來幾個月公司將致力於推出「更智慧」的AI模型，他們預計為Claude增加雙向語音模式，允許使用者對Claude口說輸入問題或提示並聽取其回應。</p> <p>雙向語音模型可望使Claude AI聊天機器人營造像ChatGPT進階語音模式一樣流暢的互動經驗。至於新的Claude功能是否會賦予極似真人的音質則不清楚。</p> <p>另一方面，Anthropic計畫加強Claude的記憶力功能，藉此賦予其個人化能力。更強的記憶力可讓Claude記得和用戶的互動內容，例如對某項運動或織毛線的喜愛，並用於下一次用戶的對話中。長時間使用下來能形塑Claude生成依使用者而異的個人化互動經驗。</p> <p>Anthropic作為OpenAI以外最受矚目的新創公司，以大型語言模型Claude聞名。<a href="https://www.anthropic.com/research/building-effective-agents">去年12月Anthropic 推出</a>將企業流程自動化的代理人開發功能，還早於OpenAI。</p> <p>Claude先後獲得Amazon和Google 40和20億美元投資，迄今已募得137億美元資金。<a href="https://www.cnbc.com/2025/01/22/google-agrees-to-new-1-billion-investment-in-anthropic.html">CNBC</a>報導，在現有持股10%的基礎上，Google已經同意再對Anthropic挹注10億美元。</p> </div></div></div>
2025/1/28 00:07作者林妍溱https://www.ithome.com.tw/news/167164
JetBrains推出全新程式開發AI代理Junie，可自動執行任務並提升程式碼品質
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>JetBrains推出了一項名為<a href="https://blog.jetbrains.com/junie/2025/01/meet-junie-your-coding-agent-by-jetbrains/">Junie</a>的全新人工智慧程式開發代理，透過整合大型語言模型與JetBrains整合開發環境的技術，協助開發者處理日常任務並提升程式碼品質。官方表示，Junie人工智慧程式開發代理可從執行基礎任務到更複雜的專案協作，提供有效的支援。</p> <p>根據SWEBench Verified基準測試結果，Junie能在單次執行完成53.6％的程式開發任務，涵蓋多種層級的複雜性需求。JetBrains認為，該結果顯示Junie已具備足夠的實用性，能應對現今開發環境的高強度與多樣性挑戰。從簡單的程式碼生成與檢查，到編寫測試、驗證結果，JetBrains目標將Junie設計成開發者的虛擬合作夥伴，而非僅是輔助工具。</p> <p>Junie目前支援IntelliJ IDEA Ultimate和PyCharm Professional，之後還將擴展至WebStorm。開發者只需安裝相關擴充套件，即可在熟悉的IDE啟用Junie。JetBrains表示，這樣的設計確保開發者無需大幅調整現有的工作流程，能快速上手。透過逐步將重複性或繁瑣的工作委派給Junie，開發者得以專注於更具創造性或策略性的任務，進一步提高整體工作效率。</p> <p>Junie特別強調開發者對程式碼的掌控，每次程式碼修改與建議都可受開發者審查，並與專案上下文保持一致。此外，Junie能遵循團隊程式碼風格與規範，生成具一致性的程式碼。JetBrains已開放Early Access Program允許開發者申請試用Junie，目前僅支援macOS和Linux平臺，之後還會加入Windows系統的支援，並進一步拓展應用場景。</p> <p>先前JetBrains就已推整合IntelliJ IDEA、PyCharm、PhpStorm與ReSharper等IDE的程式開發人工智慧助理。JetBrains則強調Junie是人工智慧程式開發代理，從原本提供特定功能的工具，轉變成可解決完整開發任務的代理。</p> <p>開發者在JetBrains Marketplace中<a href="https://plugins.jetbrains.com/plugin/22282-jetbrains-ai-assistant/reviews">普遍對先前的人工智慧助理評價不佳</a>，該套件獲得大量的一星評價，甚至有不少開發者稱其為最糟的程式碼完成工具。現在JetBrains推出Junie，以新品牌出發，試圖在人工智慧開發應用扳回一城。</p> </div></div></div>
2025/1/27 17:41作者李建興https://www.ithome.com.tw/news/167162
川普預告TikTok歸屬30天內決定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>川普上周簽署行政命令暫緩執行TikTok的禁令75天以尋求出售，<a href="https://www.reuters.com/markets/deals/white-house-talks-have-oracle-us-investors-take-over-tiktok-npr-reports-2025-01-25/">路透社報導</a>，川普昨（27）日表示大約30天將決定它未來何去何從。</p> <p>1月20日美國新上任總統川普簽署的行政命令，讓美國和TikTok母公司字節跳動（ByteDance）有時間協調如何在不損及美國國家安全情況下允許TikTok的營運，條件正是將TikTok出售給美國。川普本周對媒體說有很多對收購TikTok有興趣的人士和他接觸，包括一些重量級人物，他將在30天內做出決定。即使30天談不成，美國國會也提供了90天時間。川普對解救TikTok樂見其成。</p> <p>但他否認和甲骨文討論過收購TikTok一事，駁斥本周稍早的報導。<a href="https://www.ithome.com.tw/news/167157">NPR引述消息人士報導</a>，白宮居間協調由甲骨文和其他美國公司收購TikTok全球業務過半股權，使母公司字節跳動成為少數持股人。報導也稱， TikTok的軟體、演算法和資料蒐集將由甲骨文監管，以確保真正控制這家中國應用程式。微軟也在洽談的成員名單中。</p> <p>稍早之前<a href="https://www.theverge.com/2025/1/21/24349011/trump-elon-musk-larry-ellison-oracle-tiktok-ban">The Verge</a>也報導，不是甲骨文或馬斯克的X出手併購TikTok，川普都抱持開放態度。AI搜尋業者Perplexity也曾表達收購的興趣，以便整合其搜尋和社群平台能力。</p> <p>TikTok的交易攸關美中是否能緩和貿易緊張情勢。川普揚言不出售TikTok就會對中國徵收100%關稅。原本反對出售TikTok的<a href="https://finance.sina.com.cn/chanjing/gsnews/2025-01-22/doc-inefutkn9198966.shtml">中國政府也在近日表示</a>民間公司的營運和收購應自行決定，但涉及中國公司的交易應符合中國法規。媒體報導，中國政府較屬意X的幕後老闆馬斯克。</p> </div></div></div>
2025/1/27 23:38作者林妍溱https://www.ithome.com.tw/news/167163
ChatGPT Canvas擴及macOS版程式，底層模型升級到o1
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI本周<a href="https://x.com/OpenAI/status/1882876172339757392">宣布</a>將o1模型部署到ChatGPT工作區介面Canvas，並且可在macOS版本應用程式中使用。</p> <p><a href="https://www.ithome.com.tw/news/165325">Canvas</a>是ChatGPT中的互動式工作介面，可提供文件或程式碼寫作。ChatGPT不但能生成內容，也能讓用戶參與編輯，同時為文章和程式碼提供建議、審查或潤飾功能。去年10月宣布時，Canvas是使用GPT 4o模型。</p> <p>o1是最多ChatGPT用戶對Canvas提出的需求之一。o1是具備推理能力的模型，能處理複雜任務，像是解決高深的數學問題或撰寫程式。現在用戶可以在ChatGPT模型選擇器中選擇o1，或是運用/canvas指令啟用。</p> <p>Canvas現在也能渲染HTML和React 程式碼，這也是用戶呼聲很高的功能。在此之前，Cavas支援JavaScript、TypeScript、Python、Java、C++及 PHP。</p> <p>此外OpenAI正式將Canvas推向macOS應用程式，之前只能在行動版應用程式使用Canvas。</p> <p>在三項新宣布的消息中，o1提供給Pro、 Plus和Team用戶，HTML和React程式碼渲染功能及macOS中使用Canvas提供給所有層級方案，包括免費版也能使用。Enterprise和Edu方案用戶再幾個星期，也能獲得o1和HTML/React渲染功能。</p> </div></div></div>
2025/1/27 16:43作者林妍溱https://www.ithome.com.tw/news/167161
Meta將打造130萬顆GPU的AI資料中心
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在OpenAI以Star Gate計畫搶盡媒體版面同時，Meta也<a href="https://www.facebook.com/photo/?fbid=10116307989350411&set=a.612287952871">宣布</a>重大AI投資計畫，今年將投入至少600億美元打造130萬顆GPU的AI資料中心。</p> <p>Meta執行長祖克柏（Mark Zuckerberg）說，2025年將是AI決定性的一年。他希望Meta AI今年可以成為服務10億用戶的AI助理龍頭，而Llama 4成為領導性的SoTA（state of the art）模型。Meta計畫打造一套「AI工程師」以協助其R&D撰寫更多程式碼。該公司目前正在興建一座能供電2 Gigawatt的資料中心，佔地之廣可涵括一大部份曼哈頓。今年內將有1 Gigawatt的運算量上線，到年底就會有超過130萬顆GPU。祖克柏貼文貼出的地圖顯示，新資料中心位於路易西安那州的理奇蘭郡（Richland Parish）。</p> <p>今年Meta將在AI投入600到650億美元資料支出，也大幅擴展AI團隊，未來幾年還會持續增加。祖克柏說，這大型計畫將推動來年公司的核心產品及業務成長。</p> <p>Meta似乎是為了不讓OpenAI團隊的Star Gate計畫專美於前。OpenAI、甲骨文與軟銀上周宣佈<a href="https://www.ithome.com.tw/news/167107">合資</a>，計畫4年投入5000億美元建立AI基礎架構。根據彭博<a href="https://www.bloomberg.com/news/articles/2025-01-23/stargate-s-first-data-center-to-be-located-in-texas-with-at-least-57-jobs">報導</a>，Star Gate計畫已著手在德州阿比林（Abilene）市興建10座資料中心，總佔地875英畝。</p> </div></div></div>
2025/1/27 15:46作者林妍溱https://www.ithome.com.tw/news/167160
Zyxel防火牆應用程式簽章年前更新出包，USG FLEX、ATP系列需現場修復
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Zyxel<a href="https://support.zyxel.eu/hc/en-us/articles/24159250192658-USG-FLEX-ATP-Series-Recovery-Steps-for-Application-Signature-Issue-on-January-24th-2025#h_01JJEK9E05X7RZ2S75KYEHCMKF">通報</a>其USG FLEX與ATP系列防火牆設備，因1月24日晚間發布的應用程式簽章更新錯誤，導致部分設備不停重啟等異常。此次問題並非因韌體升級造成，也與任何已知的CVE或安全漏洞無關，但影響的設備需透過現場操作才能完整修復。Zyxel已緊急停用伺服器上的應用程式簽章更新功能，避免問題進一步擴大。</p> <p>根據Zyxel的說明，此問題起因於應用程式簽章版本1.0.0.20250123.0的更新錯誤，該版本在1月24日晚間發布並自動安裝於部分設備。當設備更新該版本後，可能導致重啟迴圈、ZySH守護程式失敗、無法登入，或系統LED閃爍等問題。受影響的設備為啟用了安全授權（Security License），且簽章更新模式設定為獨立模式（Standalone Mode），並已更新至簽章版本1.0.0.20250123.0的USG FLEX或ATP系列防火牆。</p> <p>使用Nebula雲端平臺管理、USG FLEX H系列或未啟用安全授權的設備則不在影響範圍。官方提到，USG FLEX H採用不同的uOS韌體版本，內建更嚴格的簽章驗證機制，而Nebula雲端平臺則透過進階的遠端管理功能，降低簽章更新過程可能出現的風險。</p> <p>Zyxel表示，親至現場處理（on-site）修復是唯一經驗證有效的解決方案。受影響的設備因產生大量系統日誌，占據內部儲存空間，導致無法透過遠端上傳修復韌體或執行其他操作。此外，遠端操作可能衍伸出其他問題，例如未來可能無法使用磁碟分割或進行韌體上傳功能。</p> <p>部分用戶嘗試透過GUI重新開機、變更分割區或是降級簽章方法恢復裝置，但Zyxel提到這些方法成功率極低，不僅無法保證設備正常運作，還可能造成組態檔案遺失。而且若不安裝修復韌體，即便設備短期內恢復運行，未來仍可能因備用分割區無法使用而出現其他問題。</p> <p>Zyxel建議用戶採取現場修復方式，並強調IT人員的電腦需使用Console/RS232纜線連接防火牆設備進行操作，透過設備重置、設定檔案備份、下載修復韌體及重新安裝簽章等步驟，才能有效解決問題，使設備恢復穩定運作。</p> </div></div></div>
2025/1/27 13:37作者李建興https://www.ithome.com.tw/news/167159
Bun 1.2大更新強化Node.js相容性，原生支援S3與PostgreSQL
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>輕量級JavaScript執行環境<a href="https://bun.sh/blog/bun-v1.2">Bun發布1.2版本</a>，大幅提升對Node.js的相容性，使開發者更容易移植現有專案。新版本更原生支援Amazon S3與PostgreSQL，簡化了存取S3儲存桶和PostgreSQL資料庫的流程，並提升相關操作的效能，進一步加速雲端應用程式的開發。</p> <p>在Node.js相容性方面，Bun 1.2採用了Node.js的官方測試套件來驗證其相容性。這項改變讓Bun 1.2在執行fs、path、events、string_decoder與stream等Node.js模組時，可通過90％的Node.js官方測試案例，因此開發者在將依賴這些核心模組的Node.js專案，移植到Bun環境時，將會更加順利。</p> <p>而Bun 1.2現在也新增node:http2、node:dgram、node:cluster與node:zlib等模組的支援，在功能上更進一步拉近與Node.js生態系的差距，同時又能提供更快地執行速度，以node:zlib測試來說（下圖），Node.js吞吐量為171 mb/s，而Bun 1.2則為205 mb/s。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/404054420-cc3760d5-352c-4f7a-a75b-2f48fec52dfa.png" style="width: 580px; height: 270px;" /></p> <p>由於Node.js與Bun的JavaScript引擎不同，Node.js採用Chrome V8，Bun則使用Safari的JavaScriptCore，而Bun開發團隊現在於JavaScriptCore中實作了V8的公開C++ API，讓原本依賴這些API的C++套件，也能在Bun環境運作。</p> <p>除了Node.js相容性外，Bun 1.2原生支援S3與Postgres也是這次更新的一大亮點。Bun 1.2新增了Bun.s3 API，讓開發者能直接操作S3，支援讀取、寫入、刪除檔案，以及產生預簽章URL等操作。開發團隊表示，因為Bun.s3 API採用原生程式碼編寫，讀取效能為使用JavaScript SDK的5倍。此外，Bun 1.2更進一步將S3整合進現有的Bun.file() API中，開發者透過使用s3://協定，就可直接存取S3上的檔案，簡化了開發流程。</p> <p>而對於PostgreSQL資料庫，Bun 1.2也提供了內建的Bun.sql客戶端，支援以標籤模板語法執行SQL查詢，並自動處理字串跳脫（Escape），避免SQL注入風險。Bun.sql同樣以原生程式碼開發，並針對效能進行最佳化，因此Bun.sql可比其他PostgreSQL客戶端快50％（下圖）。官方還預告，他們很快也會支援MySQL。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/404444688-09066ce9-aacd-439c-ab28-f2640c0ce814.png" style="width: 580px; height: 251px;" /></p> <p>在套件管理方面，Bun 1.2將預設的鎖定檔（Lockfile）格式從二進位的bun.lockb改為文字格式的bun.lock。新的bun.lock採用JSONC格式，支援註解與尾逗號（Trailing commas），更易於人工閱讀與版本控制系統比對差異。不過，Bun 1.2仍將維持向下相容支援bun.lockb。開發團隊強調，即使bun.lock是文字格式，但bun install的效能仍比前一版本提升30％。</p> </div></div></div>
2025/1/26 20:31作者李建興https://www.ithome.com.tw/news/167156