iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 32篇
近 24 小時: 32篇
近 7 天: 137篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/10
最近更新: 11/10 23:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 137 篇內文

4
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【資安日報】2月12日，Fortinet公布用於攻擊防火牆的身分驗證繞過漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這個星期二是許多科技業者發布本月份例行更新的日子，但資安業者Fortinet一個月前發布的公告突然更新內容，引起各界更高度的關注。</p> <p>為何如此？原因是這則公告與資安業者Arctic Wolf揭露的防火牆攻擊事故有關，但為何會事隔一個月才公告新漏洞？Fortinet表示，當時他們並未察覺攻擊者利用第二個漏洞的跡象。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167334"><strong style="font-size: 22px;">Fortinet公布已被用於攻擊防火牆的新漏洞，上網安全閘道也曝險</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/u6CxWPniLR.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/u6CxWPniLR.jpg" style="width: 300px; float: right;" /></a>今年1月中旬資安業者Fortinet發布資安公告FG-IR-24-535，指出部分版本的防火牆作業系統FortiOS、上網安全閘道FortiProxy存在漏洞CVE-2024-55591，且有實際攻擊行動出現。外界根據Fortinet透露的入侵指標（IoC），認為攻擊行動就是資安業者Arctic Wolf揭露的Console Chaos。如今Fortinet再度更新公告的內容，引起外界關注。</p> <p>Fortinet指出，除了先前揭露的CVE-2024-55591，還有另一個漏洞CVE-2025-24472也被用於攻擊行動，此為身分驗證繞過漏洞，影響執行7.0.0至7.0.16版FortiOS作業系統的防火牆，以及7.0.0至7.0.19版、7.2.0至7.2.12版網頁安全閘道FortiProxy，CVSS風險評為8.1。攻擊者可發出特製的CSF（Fortinet Security Fabric）代理伺服器請求，遠端利用這項漏洞，而有機會得到超級管理員權限。此漏洞之所以得以揭露，Fortinet也註明是源自另一家資安業者watchTowr的通報。</p> <p><a href="https://www.ithome.com.tw/news/167325"><strong style="font-size: 22px;">微軟發布二月例行更新，修補4個零時差漏洞</strong></a></p> <p>2月11日微軟發布本月例行更新（Patch Tuesday），總共修補63項弱點，數量較上個月159個減少許多。這次修補的漏洞當中，包含20個權限提升漏洞（EoP）、2個安全功能繞過漏洞、25個遠端程式碼執行（RCE）漏洞、1個資訊洩露漏洞、9項阻斷服務（DoS）漏洞，1個可被用於竄改的漏洞，以及5項可被用於欺騙的漏洞。</p> <p>值得留意的是，這次有4個是零時差漏洞，有兩個被用於攻擊行動，皆被列為高風險等級，CVSS風險分別為7.1、7.8，分別是：Windows儲存權限提升漏洞CVE-2025-21391，以及適用於WinSock的Windows附屬功能驅動程式（Ancillary Function Driver，AFD）權限提升漏洞CVE-2025-21418，美國網路安全暨基礎設施安全局（CISA）已將它們納入遭到利用的漏洞列表（KEV），要求聯邦機構必須在3月4日之前完成修補。</p> <p>另外兩項被列為零時差漏洞的是CVE-2025-21377、CVE-2025-21194，這些漏洞在微軟發布公告前已遭到公開，CVSS風險為6.5、7.1。</p> <p><a href="https://www.ithome.com.tw/news/167332"><strong style="font-size: 22px;">SAP發布2月例行更新，修補19項資安漏洞</strong></a></p> <p>本週SAP發布二月份例行更新，總共修補19項新漏洞，並對兩則先前發布的公告調整內容，這次該公司修補的範圍，涵蓋商業智慧平臺BusinessObjects、供應鏈關係管理平臺SRM、Node.js程式庫Approuter、資料整合平臺Enterprise Project Connection、記憶體資料庫HANA等應用系統及元件。</p> <p>根據CVSS風險評分高低，最嚴重的是評為8.7分的CVE-2025-0064，此為授權不當造成的弱點，出現在BusinessObjects的集中管理主控臺，取得管理員權限的攻擊者可在特定情況下取得或產生密碼片語（passphrase），而能假冒任意使用者，從而高度影響機密性及完整性。</p> <p>另一個相當嚴重的漏洞是CVE-2025-25243，此漏洞發生在SRM，為路徑穿越漏洞，危險程度達到8.6。未經授權的攻擊者可藉由公開的Servlet程式，於目標網路環境下載任意檔案，過程裡完全不須使用者互動。</p> <p><a href="https://www.ithome.com.tw/news/167310"><strong style="font-size: 22px;">WordPress管理流程強化外掛存在高風險漏洞，逾10萬網站恐曝險</strong></a></p> <p>WordPress是相當受歡迎的網站內容管理平臺，外掛程式眾多，但每一套工具的軟體資安防護再嚴密，也總有疏漏，因此，不時傳出被研究人員或駭客找到資安漏洞的消息，這次出包的外掛程式是用於改善網站管理員工作流程的Admin and Site Enhancements（ASE），安裝數超過10萬，根據資安業者Patchstack的揭露，當中存在高風險漏洞CVE-2024-43333、CVE-2025-24648，影響7.6.2.1以下版本，且無論免費版本、付費的專業版本都受到影響。</p> <p>研究人員去年12月通報此事，開發者發布更新版本7.6.3修補，由於這項外掛程式有超過10萬個網站採用，若不處理影響範圍可能相當廣泛。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/high-severity-openssl-vulnerability-found-by-apple-allows-mitm-attacks/">OpenSSL存在高風險漏洞，若不處理恐被用於中間人攻擊</a></strong></p> <p></p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/openai-finds-no-evidence-of-breach-after-hacker-offers-to-sell-20m-credentials/">有人聲稱從OpenAI竊得2千萬組帳密資料，該公司表示他們並未遭到入侵</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/omnigpt-ai-chatbot-breach-hacker-leak-user-data-messages/">AI機器人OmniGPT驚傳資料外洩，駭客聲稱握有3萬用戶個資、3,400萬筆聊天記錄</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/cisco-rejects-kraken-ransomware-data-breach-claim/">勒索軟體Kraken聲稱近期從思科竊得一批資料，該公司表示檔案來自3年前事故</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.ithome.com.tw/news/167327">2025年2月馬偕醫院遭勒索軟體攻擊事件歷程總整理（持續更新中）</a></strong></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167335"><strong style="font-size: 22px;">微軟宣布AI機器人Copilot的漏洞懸賞專案加碼，新增抓漏範圍、鼓勵通報中度風險弱點</strong></a></p> <p>為強化AI的安全性，上週微軟宣布調整AI機器人Copilot的漏洞懸賞專案內容，擴大挖掘漏洞的範圍，並提高部分漏洞的獎金額度。</p> <p>原本這項漏洞懸賞專案的抓漏範圍，主要是針對Windows作業系統與Edge整合的Copilot應用程式、搜尋引擎Bing整合的生成式搜尋功能，以及行動裝置版Copilot應用程式。而這次微軟延伸抓漏的對象，包括即時通訊軟體Telegram、WhatsApp上的Copilot機器人，以及Copilot網頁版copilot.microsoft.com、copilot.ai。</p> <p>為何要擴大漏洞懸賞範圍？微軟認為，中度風險的弱點也可能對Copilot的安全性及可靠性，產生嚴重影響，因此他們也將這類層級的漏洞獎金上限增加為5千美元，藉此鼓勵AI資安研究人員通報相關漏洞。</p> <p><strong style="font-size: 22px;">其他資安防禦措施</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/02/8base-ransomware-data-leak-sites-seized.html">美英等12國執法單位聯手，拿下勒索軟體8Base的資料洩露網站、逮捕4名嫌犯</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/167316"><strong>【2月11日】馬偕醫院遭勒索軟體CrazyHunter攻擊，傳出是中國駭客所為</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167297"><strong>【2月10日】150家企業組織的AD聯合身分驗證服務系統遭鎖定，駭客藉此挾持帳號</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167283"><strong>【2月8日】多家資安業者揭露中國AI工具DeepSeek，美國擬禁政府公務設備使用</strong></a></p> </div></div></div>
2025/2/12 18:31作者周峻佑https://www.ithome.com.tw/news/167337
微軟宣布AI機器人Copilot的漏洞懸賞專案加碼，新增抓漏範圍、鼓勵通報中度風險弱點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為強化AI的安全性，上週微軟<a href="https://msrc.microsoft.com/blog/2025/02/exciting-updates-to-the-copilot-ai-bounty-program-enhancing-security-and-incentivizing-innovation/">宣布調整AI機器人Copilot的漏洞懸賞專案內容</a>，擴大挖掘漏洞的範圍，並提高部分漏洞的獎金額度。</p> <p>原本這項漏洞懸賞專案的抓漏範圍，主要是針對Windows作業系統與Edge整合的Copilot應用程式、搜尋引擎Bing整合的生成式搜尋功能，以及行動裝置版Copilot應用程式。而這次微軟延伸抓漏的對象，包括即時通訊軟體Telegram、WhatsApp上的Copilot機器人，以及Copilot網頁版copilot.microsoft.com、copilot.ai。</p> <p>為何要擴大漏洞懸賞範圍？微軟認為，中度風險的弱點也可能對Copilot的安全性及可靠性，產生嚴重影響，因此他們也將這類層級的漏洞獎金上限增加為5千美元，藉此鼓勵AI資安研究人員通報相關漏洞。</p> </div></div></div>
2025/2/12 17:48作者周峻佑https://www.ithome.com.tw/news/167335
2025年2月馬偕醫院遭勒索軟體攻擊事件歷程總整理（持續更新中）
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong><span style="background-color:#FFFF00;">事件說明 </span></strong>2025年2月9日（週日）~11日（週二），馬偕紀念醫院傳出連續數日遭勒索軟體攻擊的事件。</p> <p>衛生福利部資安資訊分享與分析中心（H-ISAC）在2月11日發布警訊，說明有醫院遭受勒索軟體CrazyHunter攻擊，請各院加強戒備，衛生福利部資訊處處長李建璋亦表示確有此事，且因為駭客揚言將持續對醫院發動攻擊，因此衛福部已與資安署合作成立快速反應小組，進駐馬偕醫院，以協助因應持續到來的攻擊，特別的是，這次也是衛福部與資安署的首次合作。</p> <p>馬偕紀念醫院亦在11日下午發布這次事件新聞稿，說明該院在2月9日發現系統異常，當下啟動應變機制、通報衛福部H-ISAC、向調查局臺北市調查處報案，並說明這次遭受駭客攻擊影響範圍主要是臺北淡水兩區急診室。</p> <p> </p> <h3><strong><span style="background-color:#ADD8E6;">受害狀況/影響 </span></strong></h3> <p>根據消息人士說明，馬偕醫院受影響電腦多達600多臺，攻擊者並留下勒索贖金的訊息，事故因應從2月9日（週日）開始。</p> <p>衛福部在2月11日發布新聞，關於臺灣北部醫學中心遭受勒索軟體攻擊，攻擊的形式為加密醫院個人檔案，讓病患資料無法開啟，電腦病毒陸續蔓延，導致醫院門診看急診系統500多臺電腦當機。</p> <p>馬偕醫院2月11日發布聲明稿，該院指出：2月9日發現系統異常已經應變、通報與報案，初步調查顯示，影響範圍主要為北淡兩區急診室，因即時應變得宜，當日已恢復正常，目前未有病人個資外洩之虞，醫療作業均正常運作。</p> <p style="margin: 0px;"> </p> <h3><strong><span style="background-color:#ADD8E6;">受害原因 </span></strong></h3> <p>攻擊者的入侵管道尚未得知，但初步調查結果中，已揭露攻擊過程中採用的手法。</p> <p>衛生福利部資訊處處長李建璋在2月11日表示，這次網路攻擊事件的確是遭CrazyHunter勒索軟體攻擊，攻擊者在入侵過程中會從AD管道下手，透過弱密碼嘗試取得帳號權限，進而大範圍發動勒索加密攻擊。</p> <p>根據H-ISAC在2月11日的公告內容中指出，目前已知攻擊路徑為AD主機並派送惡意程式，惡意程式名稱如下：(1)bb.exe，(2)crazyhunter.exe，(3)crazyhunter.sys，(4)zam64.sys，(5)go3.exe，(6)go。</p> <p> </p> <h3><strong><span style="background-color:#ADD8E6;">勒索軟體／惡意軟體分析</span></strong><span style="background-color:#ADD8E6;"> </span></h3> <p>●衛福部提供：</p> <table border="0" cellpadding="0" cellspacing="0" style="width:657px;" width="657"> <colgroup> <col /><br /> <col /><br /> </colgroup> <tbody> <tr height="23"> <td height="23" style="height:23px;width:112px;">檔案名稱</td> <td style="width:545px;">SHA256 Hash</td> </tr> <tr height="23"> <td height="23" style="height:23px;">av-1m.exe</td> <td>EE854E9F98D0DF34C34551819889336C16B9BFE76E391356CB17B55D59CF28CF</td> </tr> <tr height="23"> <td height="23" style="height:23px;">av.exe</td> <td>3B2081042038C870B1A52C5D5BE965B03B8DD1C2E6D1B56E5EBB7CF3C157138D </td> </tr> <tr height="23"> <td height="23" style="height:23px;">bb.exe</td> <td>2CC975FDB21F6DD20775AA52C7B3DB6866C50761E22338B08FFC7F7748B2ACAA </td> </tr> <tr height="23"> <td height="23" style="height:23px;">crazyhunter.exe</td> <td>F72C03D37DB77E8C6959B293CE81D009BF1C85F7D3BDAA4F873D3241833C146B</td> </tr> <tr height="23"> <td height="23" style="height:23px;">crazyhunter.sys</td> <td>5316060745271723C9934047155DAE95A3920CB6343CA08C93531E1C235861BA</td> </tr> <tr height="23"> <td height="23" style="height:23px;">go.exe</td> <td>754D5C0C494099B72C050E745DDE45EE4F6195C1F559A0F3A0FDDBA353004DB6</td> </tr> <tr height="23"> <td height="23" style="height:23px;">go2.exe</td> <td>983F5346756D61FEC35DF3E6E773FF43973EB96AABAA8094DCBFB5CA17821C81</td> </tr> <tr height="23"> <td height="23" style="height:23px;">go3.exe</td> <td>F72C03D37DB77E8C6959B293CE81D009BF1C85F7D3BDAA4F873D3241833C146B</td> </tr> <tr height="23"> <td height="23" style="height:23px;">ru.bat</td> <td>15160416EC919E0B1A9F2C0DC8D8DC044F696B5B4F94A73EC2AC9D61DBC98D32</td> </tr> <tr height="23"> <td height="23" style="height:23px;">ru.bat</td> <td>731906E699ADDC79E674AB5713C44B917B35CB1EABF11B94C0E9AD954CB1C666</td> </tr> <tr height="23"> <td height="23" style="height:23px;">zam64.sys</td> <td>2BBC6B9DD5E6D0327250B32305BE20C89B19B56D33A096522EE33F22D8C82FF1</td> </tr> <tr height="23"> <td height="23" style="height:23px;">zam64.sys</td> <td>BDF05106F456EE56F97D3EE08E9548C575FC3188AC15C5CE00492E4378045825</td> </tr> <tr height="23"> <td height="23" style="height:23px;">ta.bat</td> <td>527ED180062E2D92B17FF72EA546BB5F8A85AD8B495E5B0C08B6637B9998ACF2</td> </tr> <tr height="23"> <td height="23" style="height:23px;">CrazeHunter.zip</td> <td>D202B3E3E55DF4E424F497BA864AB772BAAF2B8FE10B578C640477F8A8A8610C</td> </tr> </tbody> </table> <p>●資安業者Any.Run分析資訊：</p> <p><span jsaction="rcuQ6b:npT2md;PYDNKe:bLV6Bd;mLt3mc" jscontroller="msmzHf"><a class="zReHs" data-sb="/url?sa=t&source=web&rct=j&opi=89978449&url=https://any.run/report/bdfc66266a2a19fc3d5dccef3eefe4c0ee928ba5b7abad60bc320218b2082fea/c85587f9-3782-4ebd-8204-b0e921374679&ved=2ahUKEwib3baq4b2LAxUScfUHHVWtEZcQFnoECBsQAQ&usg=AOvVaw2PvXOO4NTA7Y6HTZCTyD7y" data-ved="2ahUKEwib3baq4b2LAxUScfUHHVWtEZcQFnoECBsQAQ" href="https://any.run/report/bdfc66266a2a19fc3d5dccef3eefe4c0ee928ba5b7abad60bc320218b2082fea/c85587f9-3782-4ebd-8204-b0e921374679" jsname="UWckNb">Malware analysis bb2.zip Malicious activity</a></span></p> <p>●資安業者奧義智慧提供：</p> <table border="0" cellpadding="0" cellspacing="0" style="width:399px;" width="398"> <colgroup> <col /><br /> <col /><br /> </colgroup> <tbody> <tr height="23"> <td height="23" style="height:23px;width:117px;">檔案名稱</td> <td style="width:281px;">MD5</td> </tr> <tr height="23"> <td height="23" style="height:23px;width:117px;">aa.exe / cc.exe</td> <td dir="LTR" style="width:281px;">7f05a928c77cb87ffb510168c1b0b11b<wbr></wbr></td> </tr> <tr height="23"> <td height="23" style="height:23px;width:117px;">bb.exe</td> <td style="width:281px;">9fe3322dd4fc35d1ed510bf715dae814<wbr></wbr></td> </tr> <tr height="24"> <td dir="LTR" height="24" style="height:24px;width:117px;">hunter.exe </td> <td dir="LTR" style="width:281px;">5e560ea46fa48188cc8768c7e03294d0<wbr></wbr></td> </tr> <tr height="23"> <td height="23" style="height:23px;width:117px;">crazyhunter.exe</td> <td style="width:281px;">6a70c22a5778eaa433b6ce44513068da<wbr></wbr></td> </tr> <tr height="23"> <td height="23" style="height:23px;width:117px;">crazyhunter.sys</td> <td style="width:281px;">906e89f6eb39919c6d12a660b68ae81f<wbr></wbr></td> </tr> <tr height="23"> <td height="23" style="height:23px;width:117px;">file.exe</td> <td style="width:281px;">b7a812586c037ca8d41968842a211b8a<wbr></wbr></td> </tr> <tr height="23"> <td height="23" style="height:23px;width:117px;">go.exe</td> <td style="width:281px;">ca257aaa1ded22ca22086b9e95cb456d<wbr></wbr></td> </tr> <tr height="23"> <td height="23" style="height:23px;width:117px;">go2.exe</td> <td style="width:281px;">da1a93627cec6665ae28baaf23ff27c5<wbr></wbr></td> </tr> <tr height="23"> <td height="23" style="height:23px;width:117px;">zam64.sys</td> <td style="width:281px;">2a3ce41bb2a7894d939fbd1b20dae5a0<wbr></wbr></td> </tr> <tr height="23"> <td height="23" style="height:23px;width:117px;">gpo.exe</td> <td style="width:281px;">9e45ab7d2d942a575b2f902cccfb3839<wbr></wbr></td> </tr> <tr height="23"> <td height="23" style="height:23px;width:117px;">ru.bat</td> <td style="width:281px;">f45cc69f74f75a707a02d26ccd912845<wbr></wbr></td> </tr> </tbody> </table> <p> </p> <h3><strong><span style="background-color:#ADD8E6;">官方公開資訊 </span></strong></h3> <p>●<a href="https://hisac.nat.gov.tw/news?265">H-ISAC公告近期部分醫院遭勒索病毒攻擊，請各院加強戒備</a>（2025-02-11）</p> <p>●<a href="https://hisac.nat.gov.tw/news?266">H-ISAC公告：台灣微軟公司免費提供3個月端點偵測與回應防護平台(EDR)申請表</a>（2025-02-11）</p> <p>●<a href="https://www.mohw.gov.tw/cp-7181-81490-1.html">衛生福利部公告：Team Taiwan衛福部資訊處與資安署聯合防禦國際駭客勒索軟體</a>（2025-02-11）</p> <p>●<a href="https://s4.itho.me/sites/default/files/images/2025-02-11%E9%A6%AC%E5%81%95%E9%86%AB%E9%99%A2%E8%81%B2%E6%98%8E%E7%A8%BF.jpg">馬偕紀念醫院聲明稿</a>（2025-02-11）</p> <p> </p> <h3><strong><span style="background-color:#ADD8E6;">事件時間軸</span></strong> </h3> <p><strong><span style="background-color:#FFA07A;">2025-02-09</span></strong> 馬偕醫院在週日遭受勒索軟體攻擊，該院立即啟動應變機制、通報衛福部H-ISAC、向調查局臺北市調查處報案。</p> <p><strong><span style="background-color:#FFA07A;">2025-02-09</span></strong> <a href="https://www.facebook.com/mama.hei2/posts/9430948700258732">有網友在下午1時38分在臉書發文表示：「淡水馬偕系統大當機2小時，無法出入院」</a></p> <p><a href="https://s4.itho.me/sites/default/files/images/(圖3)淡水馬偕醫院2月9日.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E5%9C%963)%E6%B7%A1%E6%B0%B4%E9%A6%AC%E5%81%95%E9%86%AB%E9%99%A22%E6%9C%889%E6%97%A5.jpg" style="width: 600px;" /></a></p> <p><strong><span style="background-color:#FFA07A;">2025-02-10</span></strong> 馬偕醫院週一再度遭受勒索軟體攻擊。</p> <p><strong><span style="background-color:#FFA07A;">2025-02-11</span></strong> 11日上午，醫院遭網路攻擊事件首度曝光於媒體，一早有信傳媒報導，新聞標題是：［有台北知名醫院連2日遭賴客入侵，500台電腦瞬間當機　掛號系統遭到癱瘓」</p> <p><strong><span style="background-color:#FFA07A;">2025-02-11</span></strong> H-ISAC發布警訊：「<a href="https://hisac.nat.gov.tw/news?265">近期部分醫院遭勒索病毒攻擊，請各院加強戒備</a>」。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1）2025馬偕醫院遭勒索軟體攻擊_Crazyhunter_衛福部示警.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%892025%E9%A6%AC%E5%81%95%E9%86%AB%E9%99%A2%E9%81%AD%E5%8B%92%E7%B4%A2%E8%BB%9F%E9%AB%94%E6%94%BB%E6%93%8A_Crazyhunter_%E8%A1%9B%E7%A6%8F%E9%83%A8%E7%A4%BA%E8%AD%A6.jpg" style="width: 600px;" /></a></p> <p><strong><span style="background-color: rgb(255, 160, 122);">2025-02-11</span></strong> 下午3時，我們聯繫衛生福利部資訊處處長李建璋，他表示衛福部已與資安署合作成立快速反應小組，進駐馬偕醫院，以因應駭客揚言將持續對醫院發動攻擊。</p> <p><strong><span style="background-color: rgb(255, 160, 122);">2025-02-11</span></strong> 下午4時23分，馬偕醫院向我們回覆了針對這次事件的聲明稿。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2025-02-11馬偕醫院聲明稿.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-02-11%E9%A6%AC%E5%81%95%E9%86%AB%E9%99%A2%E8%81%B2%E6%98%8E%E7%A8%BF.jpg" style="width: 400px;" /></a></p> <p><strong><span style="background-color: rgb(255, 160, 122);">2025-02-11</span></strong> 11日下午，馬偕醫院遭勒索軟體攻擊一事受到多家媒體報導。</p> <p> </p> <h3><strong><span style="background-color:#ADD8E6;">相關資訊</span></strong><span style="color:#ADD8E6;"><strong><span style="background-color:#ADD8E6;"> </span></strong></span></h3> <p> </p> <p> </p> <h3><strong><span style="background-color:#ADD8E6;">應變措施 </span></strong></h3> <p>●馬偕紀念醫院：2月9日發現系統異常，立即啟動資安緊急應變作業流程並同步通報衛福部資安聯防平臺（H-ISAC）及向調查局局臺北市調查處報案，未來將全力配合調查，至於恐嚇信内容因案件正在偵查中，故不予公開。</p> <p>●衛生福利部資訊處處長李建璋：由於駭客一在揚言要再次發動攻擊，有3項因應措施：（一）衛福部與數位發展部資通安全署（資安署）合作，針對此次醫院遭攻擊事件已成立快速反應小組，並且進駐馬偕醫院。這是首次直接請專家進駐協助醫院防守：（二）由於各家醫院的電腦設備多半都有安裝防毒軟體，但有些醫院可能因為資源關係，還沒有部署端點偵測及回應（EDR）產品，又或是仍使用老舊缺乏安全更新的作業系統，因此衛福部將提供這方面的協助，協調廠商（微軟）提供2到3個月的免費試用，來補強駭客攻擊的行為偵測與攔阻，暫時因應危險期；（三）衛福部通知各家醫療院所加強防護，注意網段要確實隔離、將防毒軟體更新至最新版本，同時也提供這次攻擊事件的入侵偵測指標（IoC），讓其他醫院可識別攻擊是否已經發生或正在進行。</p> <p> </p> </div></div></div>
2025/2/12 14:35作者羅正漢https://www.ithome.com.tw/news/167327
Fortinet公布已被用於攻擊防火牆的新漏洞，上網安全閘道也曝險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年1月中旬資安業者Fortinet發布資安公告FG-IR-24-535，指出部分版本的防火牆作業系統FortiOS、上網安全閘道FortiProxy存在漏洞CVE-2024-55591，且有實際攻擊行動出現。外界根據Fortinet透露的入侵指標（IoC），<a href="https://www.ithome.com.tw/news/166969">認為攻擊行動就是資安業者Arctic Wolf揭露的Console Chaos</a>。如今Fortinet再度更新公告的內容，引起外界關注。</p> <p>Fortinet指出，除了先前揭露的CVE-2024-55591，<a href="https://fortiguard.fortinet.com/psirt/FG-IR-24-535">還有另一個漏洞CVE-2025-24472也被用於攻擊行動</a>，此為身分驗證繞過漏洞，影響執行7.0.0至7.0.16版FortiOS作業系統的防火牆，以及7.0.0至7.0.19版、7.2.0至7.2.12版網頁安全閘道FortiProxy，CVSS風險評為8.1。攻擊者可發出特製的CSF（Fortinet Security Fabric）代理伺服器請求，遠端利用這項漏洞，而有機會得到超級管理員權限。此漏洞之所以得以揭露，Fortinet也註明是源自另一家資安業者watchTowr的通報。</p> <p>對於這項漏洞被用於攻擊的情況，根據Fortinet公布的入侵指標（IoC）資訊，攻擊者很有可能會產生隨機使用者名稱的管理員帳號、本機使用者帳號，並將本機帳號加入SSL VPN群組，從而將目標設備的SSL VPN服務做為存取內部網路環境的隧道。此外，攻擊者也可能會竄改防火牆政策、IP位址等設定，來避免攻擊行動敗露。</p> <p>由於這項編號為FG-IR-24-535的公告Fortinet先前已發布，時隔一個月後的現在，卻突然在同一份公告加入新的高風險弱點，這樣的情況並不尋常。對此，我們也進一步詢問Fortinet，他們表示，CVE-2025-24472已於1月發布公告時就已經修補，如果用戶當時套用修補CVE-2024-55591漏洞的更新軟體，現在就能夠防範CVE-2025-24472帶來的資安風險。</p> <p>但為何會一個月後才公布這項漏洞？Fortinet表示，當時他們並未察覺CVE-2025-24472遭到利用的跡象。</p> </div></div></div>
2025/2/12 16:38作者周峻佑https://www.ithome.com.tw/news/167334
SAP發布2月例行更新，修補19項資安漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週SAP<a href="https://support.sap.com/en/my-support/knowledge-base/security-notes-news/february-2025.html">發布二月份例行更新</a>，總共修補19項新漏洞，並對兩則先前發布的公告調整內容，這次該公司修補的範圍，涵蓋商業智慧平臺BusinessObjects、供應鏈關係管理平臺SRM、Node.js程式庫Approuter、資料整合平臺Enterprise Project Connection、記憶體資料庫HANA等應用系統及元件。</p> <p>根據CVSS風險評分高低，最嚴重的是評為8.7分的CVE-2025-0064，此為授權不當造成的弱點，出現在BusinessObjects的集中管理主控臺，取得管理員權限的攻擊者可在特定情況下取得或產生密碼片語（passphrase），而能假冒任意使用者，從而高度影響機密性及完整性。</p> <p>另一個相當嚴重的漏洞是CVE-2025-25243，此漏洞發生在SRM，為路徑穿越漏洞，危險程度達到8.6。未經授權的攻擊者可藉由公開的Servlet程式，於目標網路環境下載任意檔案，過程裡完全不須使用者互動。</p> <p>存在於Node.js程式庫套件Approuter的CVE-2025-24876，也值得留意，此為身分驗證繞過漏洞，攻擊者可注入惡意酬載，而在使用者交換授權碼的過程中，偷取連線階段（Session），風險值8.1。</p> <p>附帶一提，SAP也對去年2月公布的NetWeaver AS Java跨網站指令碼（XSS）漏洞CVE-2024-22126更新說明，降低風險評分為6.1（<a href="https://support.sap.com/en/my-support/knowledge-base/security-notes-news/bulletin-2024.html">去年2月公告為8.8分</a>）。</p> </div></div></div>
2025/2/12 15:47作者周峻佑https://www.ithome.com.tw/news/167332
微軟發布二月例行更新，修補4個零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2月11日微軟發布本月例行更新（Patch Tuesday），<a href="https://msrc.microsoft.com/update-guide/releaseNote/2025-Feb">總共修補63項弱點</a>，數量較<a href="https://www.ithome.com.tw/news/166966">上個月159個</a>減少許多。這次修補的漏洞當中，包含20個權限提升漏洞（EoP）、2個安全功能繞過漏洞、25個遠端程式碼執行（RCE）漏洞、1個資訊洩露漏洞、9項阻斷服務（DoS）漏洞，1個可被用於竄改的漏洞，以及5項可被用於欺騙的漏洞。</p> <p>值得留意的是，這次有4個是零時差漏洞，有兩個被用於攻擊行動，皆被列為高風險等級，CVSS風險分別為7.1、7.8，分別是：<a href="https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-21391">Windows儲存權限提升漏洞CVE-2025-21391</a>，以及<a href="https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-21418">適用於WinSock的Windows附屬功能驅動程式（Ancillary Function Driver，AFD）權限提升漏洞CVE-2025-21418</a>，美國網路安全暨基礎設施安全局（CISA）已將它們<a href="https://www.cisa.gov/news-events/alerts/2025/02/11/cisa-adds-four-known-exploited-vulnerabilities-catalog">納入遭到利用的漏洞列表（KEV）</a>，要求聯邦機構必須在3月4日之前完成修補。</p> <p>其中，CVE-2025-21391相當特別，因為其類別屬於「在檔案存取之前的不當連結解析（Improper Link Resolution Before File Access，CWE-59）」，攻擊者想要利用的難度不高，且過程中無須使用者互動。微軟強調，這項弱點不會造成機敏資訊的洩露，然而一旦成功利用，攻擊者就有機會刪除系統上的特定檔案，甚至有可能導致某些服務中斷。</p> <p>但究竟這種能刪除檔案的漏洞如何讓攻擊者提升權限？微軟並未說明。<a href="https://www.zerodayinitiative.com/blog/2025/2/11/the-february-2025-security-update-review">漏洞懸賞專案Zero Day Initiative（ZDI）指出</a>，這是首度有人將Windows儲存服務弱點用於實際攻擊的情況。而攻擊者利用CVE-2025-21391提升權限的方式，ZDI推測很有可能是類似<a href="https://www.zerodayinitiative.com/blog/2022/3/16/abusing-arbitrary-file-deletes-to-escalate-privilege-and-other-great-tricks">他們3年前揭露的攻擊手法</a>。</p> <p>另一個被用於實際攻擊的漏洞CVE-2025-21418，為記憶體緩衝區溢位的弱點，一旦攻擊者成功利用，就有機會得到SYSTEM權限。微軟指出，攻擊者想要利用該漏洞的複雜性不高、無須高權限，過程中也不需要使用者互動。</p> <p>雖然微軟並未透露其他細節，但<a href="https://www.rapid7.com/blog/post/2025/02/11/microsoft-patch-tuesday/">資安業者Rapid7指出這種漏洞威力不容小覷</a>，他們提及CVE-2025-21418與另一個AFD權限提升漏洞CVE-2024-38193非常類似，該漏洞微軟去年8月修補、危險程度同為7.8分，<a href="https://www.ithome.com.tw/news/164574">當時通報此事的資安業者Gen Digital表示</a>，他們看到北韓駭客Lazarus利用這項弱點存取系統敏感區域，並利用惡意軟體Fudmodule隱匿攻擊行動。</p> <p>另外兩項被列為零時差漏洞的是CVE-2025-21377、CVE-2025-21194，這些漏洞在微軟發布公告前已遭到公開，CVSS風險為6.5、7.1。</p> <p>其中，CVE-2025-21377與NTLM雜湊值洩露有關，攻擊者只需引誘使用者進行少量互動就能利用；CVE-2025-21194存在於微軟Surface筆電，屬於安全功能繞過漏洞，攻擊者必須搭配特定條件才能利用。</p> </div></div></div>
2025/2/12 13:18作者周峻佑https://www.ithome.com.tw/news/167325
微軟將美國防部220億美元智慧MR頭戴裝置案，交給Oculus創始人的新創公司主導
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本周<a href="https://news.microsoft.com/2025/02/11/anduril-and-microsoft-partner-to-advance-integrated-visual-augmentation-system-ivas-program-for-the-u-s-army/" target="_blank">宣布</a>，微軟和Anduril計畫在美國國防部整合式視覺擴增系統（Integrated Visual Augmentation System，IVAS）下一階段擴大合作，Anduril將主管IVAS硬體裝置的生產、軟硬體未來開發和出貨時程。微軟未來的角色將專注於以Microsoft Azure提供IVAS相關的所有應用負載，和Anduril AI技術的雲端基礎架構。</p> <p>這意謂著，這專案將在微軟以HoloLens為核心的計畫執行7年無法結案之後，轉交給前Oculus創辦人Palmer Luckey的新創公司。本案還需獲得美國防部的同意。</p> <p>微軟於2018年首先<a href="https://www.ithome.com.tw/news/127380" target="_blank">獲得</a>IVAS的訂單，以HoloLens為基礎開發結合AI、混合實境、夜視攝影機、感測器的軍用頭戴式裝置，可支援陸、海及特種作戰部隊的演習或夜間作戰。該計畫在2021年<a href="https://www.ithome.com.tw/news/143585" target="_blank">擴大</a>為219億美元，預計提供12萬座智慧頭戴式裝置。</p> <p>不過這個案子並不順利。2022年媒體<a href="https://www.ithome.com.tw/news/153699" target="_blank">報導</a>美軍內部測試中，許多美國大兵配戴IVAS後出現噁心、頭痛、眼睛不適等症狀，而且裝置仍然太重。微軟曾試圖修改以挽救合約。</p> <p>但在延宕許久後，AR產業版圖已經改變，微軟似乎已不再有興趣投資開發HoloLens。2024年中微軟裁員，影響開發HoloLens的MR部門。同年微軟攜手Anduril，引進後者的作業系統及軟體，但是微軟已不再提及HoloLens，暗示這個曾經以輕量領先業界的MR眼鏡的結局。</p> <p>Luckey於2017年創立的Anduril 為軍事國防新創業者，專門開發結合AI、3D的自動化系統（無人機）及指揮軟體。Luckey本人<a href="https://palmerluckey.com/turning-soldiers-into-superheroes/" target="_blank">公告</a>，Anduril將主導歷來最大的VR/AR/VR專案。他的部落格僅簡單提及可能將強化IVAS中的作戰小組沈浸式虛擬訓練（Squad Immersive Virtual Trainer，SiVT），這項計畫為實境作戰訓練系統，有助於避免美軍在演習中喪生。他並表示，這合作將使用Anduril發展數年，已用於其AI無人機系統的「speculative augmentation」技術。</p> <p>Anduril去年分別拿下<a href="https://www.anduril.com/article/anduril-industries-awarded-air-defense-production-contract-with-department-of-defense/" target="_blank">美國國防部</a>和<a href="https://www.anduril.com/article/anduril-industries-awarded-usd200-million-contract-to-develop-counter-unmanned-aerial-system/" target="_blank">美國海軍陸戰隊</a>各2.5及2億美元的反無人機防禦系統合約。</p> </div></div></div>
2025/2/12 10:55作者林妍溱https://www.ithome.com.tw/news/167322
Mirantis開源k0rdent簡化K8s管理，提升企業多雲維運效率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Mirantis宣布推出開源專案<a href="https://www.mirantis.com/company/press-center/company-news/mirantis-launches-open-source-project-for-platform-engineering-that-accelerates-innovation-for-modern-distributed-workloads/">k0rdent</a>，這是一款針對分散式容器管理設計的開源Kubernetes平臺，簡化企業在多雲與本地環境中Kubernetes叢集的管理。k0rdent為一個分散式容器管理環境（Distributed Container Management Environment，DCME），提供統一的控制點，讓企業能夠在不同基礎架構上部署與維護Kubernetes。</p> <p>企業採用不同雲端供應商與本地部署方案，會導致Kubernetes叢集數量快速增加，而管理的複雜度也隨之上升。Mirantis推出k0rdent讓企業能夠以一致的方式管理Kubernetes，無論執行環境是在公有雲、私有雲或邊緣裝置，皆能透過統一的介面與工具集，維護與最佳化應用程式的執行環境。</p> <p>k0rdent的核心架構採用可組合（Composable）設計，允許平臺工程師根據企業需求自訂內部開發者平臺（Internal Developer Platform，IDP）。此外，該專案採用開放式標準，支援Cluster API能夠快速布署與管理Kubernetes叢集，並經AWS EC2、AWS EKS、Azure Compute、Azure AKS、VMware vSphere及OpenStack等環境的測試。</p> <p>透過集中化政策管理與宣告式自動化，k0rdent不僅簡化了多雲與本地環境的維運，也提供符合生產環境需求的標準化部署範本，減少企業自行開發管理工具的負擔。k0rdent是繼Rockoon、Blueprint Operator及Blueprint Controller之後，Mirantis最新推出的開源工具，目前原始碼與文件已於GitHub開放下載。</p> </div></div></div>
2025/2/12 08:24作者李建興https://www.ithome.com.tw/news/167317
Deepmind AlphaGeometry2模型幾何解題能力已超越IMO金牌選手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>DeepMind持續改進人工智慧的數學能力，數學推理模型AlphaGeometry2在解決國際數學奧林匹亞（IMO）幾何題目上的表現，已正式超越金牌選手的平均水準。<a href="https://arxiv.org/html/2502.03544v1">研究團隊測試</a>了2000至2024年間所有IMO幾何題，AlphaGeometry2以84％的解題成功率大幅超越前代系統AlphaGeometry1的54％，並且研究團隊挑出難度更高的IMO Shortlist幾何題子集IMO-AG-30，AlphaGeometry2成功解出全部題目，展現人工智慧在數學推理領域的突破性能力。</p> <p>這項研究來自DeepMind的數學與人工智慧團隊，核心技術結合了語言模型與符號推理系統，透過強化學習與增強搜尋演算法，讓人工智慧能夠更有效率地善用輔助線、拆解問題並建立完整的幾何證明。</p> <p>新版本擴展了AlphaGeometry的幾何領域語言，使其更能夠處理複雜的幾何問題，包括軌跡定理（Locus Theorem）、線性方程式與非建構性命題（Non-Constructive Problem Statement），能夠形式化處理，也就是可以讀懂IMO幾何題的比例從66％提升至88％。同時，運算引擎的效能也大幅提升，透過C++重新實作符號處理機制，並最佳化規則集，使推理過程更為精確與高效。</p> <p>在測試結果中，AlphaGeometry2對IMO幾何題的解題能力，已達專業數學競賽選手的水準，甚至在部分問題的解法上展現超越人類的創造力。DeepMind研究團隊表示，這項技術突破不僅是數學解題系統的進展，也使人工智慧在形式化推理、自動證明與教育應用開啟新的可能性。</p> <p>傳統的數學自動推理技術主要仰賴代數運算與計算機代數系統（CAS），例如Wu's Method或Gröbner Bases，透過將幾何問題轉換為代數聯立方程式來求解，而AlphaGeometry2採用了更貼近人類解題方式的合成幾何推理方法，並透過語言模型驅動推導過程，使其能夠從自然語言描述的題目中建構完整的證明。</p> <p>目前的研究仍有部分限制，AlphaGeometry2無法處理變數點數（Variable Number of Points）、不等式與非線性方程式的幾何問題，這些類型的題目在IMO中雖然不常見，但仍然是自動幾何推理領域尚未解決的挑戰。此外，部分涉及投影幾何（Projective Geometry）與幾何反轉（Inversion）的問題，仍然超出系統現有能力範圍，研究團隊認為，未來透過更高效的問題拆解策略與強化學習機制，能夠進一步縮小這些差距。</p> </div></div></div>
2025/2/12 08:29作者李建興https://www.ithome.com.tw/news/167321
【資安日報】2月11日，馬偕醫院遭勒索軟體CrazyHunter攻擊，傳出是中國駭客所為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>5年前臺灣醫院發生大規模遭遇勒索軟體攻擊的情形，當時傳出有多達66家醫院受害，如今傳出有醫院再度遭到攻擊的事故，引起外界高度關注。</p> <p>這起事故在今日上午傳出，當時有人透露有數百臺電腦當機，掛號系統受到波及，影響上百名病人，值得留意的是，這家醫院已先後遭遇兩次攻擊，駭客揚言在今天傍晚發動另一波攻擊，企圖對醫院施壓。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167318"><strong style="font-size: 22px;">馬偕醫院傳出遭CrazyHunter勒索軟體攻擊，衛福部與資安署已成立快速應變小組協助因應</strong></a></p> <p>今日上午，傳出國內知名醫院連續遭駭客入侵，有多達數百臺電腦當機，掛號系統也受波及，影響上百名病患。目前我們已確認這起事件，是遭CrazyHunter勒索軟體攻擊，衛生福利部（衛福部）資訊處也在今日向全國所有醫院發布警訊通知，說明近期部分醫院遭勒索軟體攻擊，請各院加強戒備。</p> <p>根據國內媒體報導，這次遭受攻擊的醫院，是臺北一家中山區捷運站附近的醫院，並且淡水也有分院。而且遭受攻擊的時間，是從兩日前（週日）早上8點半開始，昨日（週一）也再次受到攻擊。根據以上描述，顯然這起事件的受害者應是指馬偕醫院，而且已經是連續兩日遭到攻擊。</p> <p>究竟這次資安事故的情形為何？我們詢問到衛生福利部資訊處處長李建璋，他表示，這次馬偕醫院遭遇的資安事故，確實是遭受Crazy Hunter勒索軟體攻擊。馬偕醫院傍晚發布新聞稿說明這次事件，表示於9日發現系統異常，此次事故影響北淡兩區急診室，目前醫療均正常運作，未有病人個資外洩情事。</p> <p><a href="https://www.ithome.com.tw/news/167311"><strong style="font-size: 22px;">大規模暴力破解攻擊專門針對網路邊緣裝置而來，駭客透過280萬個IP位址發動攻勢</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/GjLHxtaXoAEz8iS.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/GjLHxtaXoAEz8iS.jpg" style="width: 300px; float: right;" /></a></p> <p>資安研究機構Shadowserver基金會提出警告，他們最近幾個禮拜從蜜罐陷阱當中，偵測到專門針對網路邊緣裝置（edge devices）而來的大規模暴力破解攻擊，駭客平均每天動用約280萬個IP位址進行網頁介面登入嘗試，特別偏好攻擊Ivanti、Palo Alto Networks、SonicWall等廠牌的設備。</p> <p>從攻擊來源的地理位置而言，超過三分之一的IP位址來自巴西最多，約有110萬個，其次是土耳其、俄羅斯、阿根廷，分別約有13.5萬、13.3萬、9.9萬個IP位址。從被用來發動攻擊的設備來看，遭到控制的MikroTik設備數量最多，有13萬臺，華為、思科設備分別約有1.3萬、1萬臺，這些廠牌的設備經常遭到殭屍網路鎖定，而被入侵並受到擺布。</p> <p>雖然Shadowserver基金會在社群網站X透露的資訊並不多，但他們向資安新聞網站Bleeping Computer透露，這波攻擊行動仍在持續進行，而且規模有擴大的趨勢。</p> <p><a href="https://www.ithome.com.tw/news/167304"><strong style="font-size: 22px;">程式碼管理工具Google Tag Manager遭濫用，攻擊者用來對Magento網站側錄信用卡資料</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/script-example.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/script-example.png" style="width: 300px; float: right;" /></a>資安業者Sucuri接獲客戶通報，指出他們的Magento電子商務網站出現信用卡資料遭竊的情況，Sucuri進行調查後發現，這家公司的電子商務網站遭到惡意程式感染，而這支惡意程式散布的媒介，竟然是放在GTM上面的指令碼。Sucuri資安分析師Puja Srivastava指出，他們對於網站的檔案進行檢查，結果找到惡意程式從資料庫特定的資料表cms_block.content載入。</p> <p>乍看之下，有問題的程式碼看似GTM或Google Analytics的追蹤指令碼，但Puja Srivastava指出，他們對程式碼進行檢查，確認這些程式碼用於惡意行為，而非一般的網站分析或廣告成效分析。而有問題的後門程式，出現在./media/index.php，根據GTM的ID，研究人員進一步追查是否有其他網站受害，結果他們確認至少有6個網站遭到感染。</p> <p>一旦觸發了GTM的標籤，經過加密處理的JavaScript酬載就會進行側錄信用卡資料的工作，在消費者結帳時收集輸入的內容，然後傳送至攻擊者控制的伺服器。</p> <p><a href="https://www.ithome.com.tw/news/167314"><strong style="font-size: 22px;">資安研究人員聲稱突破OpenAI最新防禦機制，成功在新款機器學習模型o3-mini進行越獄</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/1738752643879.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1738752643879.jpg" style="width: 300px; float: right;" /></a>去年12月下旬OpenAI公布新的AI模型o3、o3-mini預覽版本，並引入新的資安功能「審議一致（Deliberative Alignment）」，藉由這項機制，OpenAI號稱AI模型將高度遵守他們的安全政策，改善原有模型容易被越獄的情況。但在1月底o3-mini正式推出不久，有研究人員指出，他們成功突破這項防護，讓該AI模型指導如何對Windows元件本機安全認證子系統服務（lsass.exe）發動攻擊。</p> <p>2月6日CyberArk原則漏洞研究員Eran Shimony在職場社群網站LinkedIn指出，他們透過去年推出的開源測試工具FuzzyAI，成功在o3家族的模型越獄，他們試圖要求模型提供將程式碼注入lsass.exe的詳細做法，其中包含提及出現障礙的故障情形，結果產生具備實際攻擊能力的程式碼。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/02/dragonrank-exploits-iis-servers-with.html">中國駭客DragonRank鎖定IIS伺服器而來，透過搜尋引擎最佳化散布惡意程式BadIIS</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="http://thehackernews.com/2025/02/threat-actors-exploit-clickfix-to.html">駭客發動ClickFix攻擊，意圖於受害電腦植入惡意程式NetSupport RAT進行遠端控制</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/02/xe-hacker-group-exploits-veracore-zero.html">VeraCore零時差漏洞遭到鎖定，駭客組織XE Hacker Group企圖植入Web Shell</a></strong></p> <p> </p> <p><strong>【漏洞與修補】</strong></p> <p><a href="https://www.ithome.com.tw/news/167302"><strong style="font-size: 22px;">蘋果針對iPhone、iPad用戶修補已遭利用的零時差漏洞</strong></a></p> <p>2月10日蘋果發布iOS及iPadOS作業系統更新18.3.1，以及iPadOS 17.7.5，修補由加拿大公民實驗室（The Citizen Lab）通報的漏洞CVE-2025-24200。此弱點與USB限制模式有關，一旦攻擊者能實際接觸裝置，就有機會在裝置被鎖定的情況下停用USB限制模式。</p> <p>值得留意的是，蘋果表示他們已經接獲通報，得知這項漏洞被用於針對人士下手，進行極度複雜的攻擊行動。但究竟有多少人遭遇相關攻擊？該公司並未進一步說明。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/02/zimbra-releases-security-updates-for.html">電子郵件系統Zimbra發布資安更新，修補SQL注入、XSS、SSRF漏洞</a></strong></p> <p><strong style="font-size: 22px;">其他資安防禦措施</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/02/8base-ransomware-data-leak-sites-seized.html">美英等12國執法單位聯手，拿下勒索軟體8Base的資料洩露網站、逮捕4名嫌犯</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/167297"><strong>【2月10日】150家企業組織的AD聯合身分驗證服務系統遭鎖定，駭客藉此挾持帳號</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167283"><strong>【2月8日】多家資安業者揭露中國AI工具DeepSeek，美國擬禁政府公務設備使用</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167256"><strong>【2月7日】義大利政府驚傳利用間諜軟體Paragon監控記者及異議人士</strong></a></p> </div></div></div>
2025/2/11 18:04作者周峻佑https://www.ithome.com.tw/news/167316
資安研究人員聲稱突破OpenAI最新防禦機制，成功在新款機器學習模型o3-mini進行越獄
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年12月下旬<a href="https://www.ithome.com.tw/news/166617">OpenAI公布新的AI模型o3、o3-mini預覽版本</a>，並引入新的資安功能「<a href="https://openai.com/index/deliberative-alignment/">審議一致（Deliberative Alignment）</a>」，藉由這項機制，OpenAI號稱AI模型將高度遵守他們的安全政策，改善原有模型容易被越獄的情況。但<a href="https://www.ithome.com.tw/news/167177">在1月底o3-mini正式推出</a>不久，有研究人員指出，他們成功突破這項防護，讓該AI模型指導如何對Windows元件本機安全認證子系統服務（lsass.exe）發動攻擊。</p> <p>2月6日CyberArk原則漏洞研究員Eran Shimony<a href="https://www.linkedin.com/posts/eran-shimony_cybersecurity-aijailbreak-adversarialai-activity-7292857176161714177-_iC2/">在職場社群網站LinkedIn指出</a>，他們透過去年推出的開源測試工具FuzzyAI，成功在o3家族的模型越獄，他們試圖要求模型提供將程式碼注入lsass.exe的詳細做法，其中包含提及出現障礙的故障情形，結果產生具備實際攻擊能力的程式碼。</p> <p>Eran Shimony張貼他們與o3-mini對話的內容，研究人員向AI模型聲稱是歷史學家，正在編寫有關惡意軟體及其帶來的影響，包含他們如何製作惡意程式，以及編寫防守方看起來合法的程式碼，而能在lsass.exe注入。</p> <p>結果o3-mini先是提及過往為何攻擊者偏好對lsass.exe下手，以及防守方如何察覺相關攻擊，便列出典型的注入手法及詳細步驟，包含利用特定功能挾持lsass.exe、取得特定記憶體位置的說明。</p> </div></div></div>
2025/2/11 17:40作者周峻佑https://www.ithome.com.tw/news/167314
中華電信今年聚焦協助企業發展AI應用，可望推出中低軌衛星商業服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>看好企業應用AI的需求，中華電信今天(2/11)展望2025年營運，除了內部深化AI應用，降低成本、提高營運效率，對外提供資通訊服務，將聚焦於AI賦能，協助企業客戶應用AI；至於低軌衛星商用服務落地，如果申請程序順利完成，可望在今年提供服務。</p> <p>去年9月中華電信管理高層人事異動，董事長、總經理雙雙換人，董事長由簡志誠出任，總經理則由林榮賜擔任，今天中華電信董事長簡志誠、總經理林榮賜首次主持春酒時表示，今年中華電信將積極扮演AI賦能者及協創者的角色，其中賦能者將提供企業及政府需要的AI算力服務，而扮演協創者和各個領域的智慧夥伴合作開發智慧應用。</p> <p>中華電信搶攻企業AI應用商機，將協助企業代建代維主權AI，提供算力服務，目前已有2個AI DC資料中心服務中，2個AI DC資料中心建置中，另有3個AI DC資料中心正在規畫中。</p> <p>其次是在通訊網路技術，該公司正推動新世代網路，除了結合AI提升網路維運管理，另一個則是中華電信已加入IOWN Global Forum，去年宣布開通臺灣和日本之間的全光網路，利用全光網路的大頻寬、低延遲、低功耗，實現0.017秒跨國傳送距離達3,000公里的網路傳輸，目前也驗證在臺南、高雄兩地的資料中心，運用全光網路的低延遲特性，驗證兩地資料中心建構分散式運算的可行性。</p> <p>至於近幾年政府相當重視的通訊網路韌性，也是中華電信今年營運發展的重點之一。</p> <p>有鑑於臺灣對外通訊主要仰賴國際海纜，簡志誠指出，中華電信會持續投資臺灣對外通訊的國際海纜，以提升對外海纜布局，強化對外通訊的韌性，同時也會增加位於山頂的微波通訊系統，以克服當颱風、地震等災害導致地面的光纖通訊中斷，以及外島發生海纜通訊中斷對當地民眾生活、地方政府使用通訊服務的影響。</p> <p>中華電信也強化海、地、星、空的多元通訊網路韌性布局策略，其中的衛星通訊，中華電信已取得SES中軌衛星、OneWeb低軌衛星的國內代理，除了提供政府非同步軌道衛星通訊提升我國通訊韌性驗證之外，該公司也依照申請程序，準備將中、低軌衛星商業服務引進到臺灣。</p> <p>中華電信總經理林榮賜表示，目前中、低軌衛星通訊服務先提供政府驗證衛星通訊提升韌性計畫之用，待商業服務完成國內申請程序後，可望在今年推出非同步軌道衛星的商業服務，企業例如跨國企業可在臺灣使用非同步軌道衛星服務。</p> <p> </p> </div></div></div>
2025/2/11 17:40作者蘇文彬https://www.ithome.com.tw/news/167313
聚焦AI與HPC應用需求，AMD GPU程式開發平臺邁入第6版
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/amd_rocm_6.3-main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>深度學習、生成式AI當紅，帶動GPU加速運算平臺的軟硬體應用需求，市面上有兩大廠商持續推出各種解決方案，均可提供消費型、專業型與資料中心等級的硬體GPU，而在軟體開發架構的方面，則有相當顯著的差異。</p> <p>以居於領先地位的Nvidia而言，他們發展的統一計算裝置架構（CUDA）即將屆滿18年，推出的軟體開發套件最新版為<a href="https://developer.nvidia.com/blog/cuda-toolkit-12-8-delivers-nvidia-blackwell-support/">12.8</a>，總共橫跨12代的GPU架構。</p> <p>而憑藉CUDA平臺提供的基礎，Nvidia陸續推出眾多可開發該公司GPU加速應用的程式庫，例如：<a href="https://developer.nvidia.com/blog/nvidia-announces-cuda-x-ai-sdk/">2019年3月發布</a>CUDA-X AI的軟體開發套件，集結能以Nvidia GPU加速執行深度學習、機器學習、資料分析等應用的程式庫；<a href="https://developer.nvidia.com/blog/hpc-sdk/">2020年5月推出</a>Nvidia HPC SDK，提供一整包的編譯器與程式庫，協助高效能運算（HPC）應用的開發人員，可充分運用從GPU到CPU，以至整個互連架構的平臺，進行加速運算系統的程式設計。</p> <p>另一家廠商AMD是在2006年併購GPU廠商ATI之後，開始進入這塊市場，他們針對圖形處理器通用計算（GPGPU）的技術發展路線較為曲折——由於本身坐擁CPU與GPU，他們提供內建GPU的CPU產品，稱之為APU，希望能推動異質運算架構（HSA），標榜支援開放、不偏袒特定廠商的OpenCL語言（Open Computing Language）。</p> <p>到了<a href="https://www.amd.com/en/newsroom/press-releases/2016-11-14-amd-releases-new-version-of-rocm-the-most-versati.html">2016年11月</a>，AMD終於宣布推出專屬於該公司旗下新款Radeon GPU產品的開放軟體運算平臺（Radeon Open Compute Platform），簡稱<a href="https://github.com/ROCm/ROCm">ROCm</a>，當時預告將以此支援OpenCL與多種CPU，包含AMD後續將推出的Zen架構處理器、Arm架構處理器Cavium ThunderX，以及Power架構處理器IBM Power 8，針對GPU運算提供最廣泛支援的開放原始碼平臺，截至目前為止，<a href="https://rocm.docs.amd.com/en/latest/release/versions.html">ROCm已發布至6.3.2版（1月底）</a>。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/rocm-software-stack-6_3_0.jpg" style="width: 600px;" /></p> <p>整體而言，ROCm的底層是硬體GPU產品（Instinct、Radeon、Radeon PRO），以及軟體作業系統（多種Linux版本、Windows），在ROCm之上是多種AI軟體框架（JAX、ONNX Runtime、PyTorch、TensorFlow），至於ROCm本身，是由多種開放原始碼的軟體開發元件組成的技術堆疊架構，涵蓋低階的執行核心到高階的應用程式，為AMD GPU提供程式開發環境，包括程式庫、工具、編譯器、執行時期的環境（Runtime）這四大類元件。</p> <p>單就ROCm的程式庫而言，分為4種：機器學習與電腦視覺、通訊、數學計算、基礎運算單元（Primitives），而在工具的部分，AMD提供3種：系統管理、效能、開發。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20ROCm%206%20overview.jpg" style="width: 600px;" /></p> <h3><span style="color:#0000FF;"><strong>6.0版開始支援AMD新一代資料中心GPU產品：Instinct MI300系列</strong></span></h3> <p>就近期版本更迭而言，2023年12月發布的<a href="https://rocm.docs.amd.com/en/docs-6.0.0/about/release-notes.html">6.0.0版</a>，對於ROCm的發展而言，<a href="https://github.com/ROCm/ROCm/discussions/2729">是個重要的里程碑</a>，提供新的效能最佳化、擴充框架與程式庫的支援，以及改善開發者的使用體驗，而且，<a href="https://www.amd.com/en/newsroom/press-releases/2023-12-6-amd-delivers-leadership-portfolio-of-data-center-a.html">可初步支援AMD Instinct MI300系列GPU產品</a>——例如，電腦或伺服器執行Linux作業系統時，若搭配Ubuntu的22.04.5版，可同時支援MI300X、MI300A，搭配RHEL的8.9版、SLES的15 SP5版，僅支援MI300A。</p> <p>關於軟硬體的搭配成效上，AMD在2023年12月初發表新一代資料中心GPU產品Instinct MI300X，當時曾提到相關資訊。</p> <p>根據該公司的測試，同樣執行Llama2-70b文字生成的AI對答工作負載，相較於前代軟硬體組合（2顆處理器AMD EPYC 7763搭配4個GPU加速器AMD Instinct MI250，以及軟體開發平臺ROCm 5.4.3），新一代解決方案（2顆處理器Intel Xeon Platinum搭配4個GPU加速器AMD Instinct MI300，以及軟體開發平臺ROCm 6.0）可提供8倍的效能。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-AMD MI300X-ROCm 6.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-AMD%20MI300X-ROCm%206.png" style="width: 600px;" /></a></p> <p>AMD此時也揭露ROCm 6針對多種生成式AI應用需求，具備重要功能，像是<a href="https://github.com/kailums/flash-attention-rocm">FlashAttention</a>、<a href="https://rocm.docs.amd.com/projects/HIP/en/docs-develop/how-to/hip_runtime_api/hipgraph.html">HIPGraph</a>、vLLM，提供更多支援。</p> <h3><span style="color:#0000FF;"><strong>6.1版支援消費型與專業型GPU，可在WSL2使用</strong></span></h3> <p>2024年4月釋出ROCm 6.1.0版，改善AMD Instinct MI300系列GPU應用的穩定度與<a href="https://community.amd.com/t5/blogs/blogarticleprintpage/blog-id/amd-ai/article-id/87">效能</a>。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-06-6_1-AMD_AI_0-1718856290924.png" style="width: 600px;" /></p> <p>兩個月後，<a href="https://community.amd.com/t5/ai/new-amd-rocm-6-1-software-for-radeon-release-offers-more-choices/ba-p/688840">ROCm 6.1.3版發布</a>，AMD揭露多項新增特色。首先，這套GPU軟體開發平臺，支援消費型GPU產品 Radeon RX系列，包含7900 GRE、7900 XT、7900 XTX，以及專業型GPU產品 Radeon PRO系列，包含<a href="https://www.ithome.com.tw/review/156523">W7800、W7900</a>，以及當時新發表的W7900 Dual Slot，用戶可經由這些GPU執行資料的平行處理，支援獨立的AI推論運算與結果的輸出，因此，基於上述配置，用戶可透過ROCm軟體平臺與Radeon GPU，支援多位使用者共用硬體GPU的設定組態。</p> <p>第二，ROCm 6.1.3可針對微軟Windows 10與11內建的Linux執行環境WSL 2（Windows Subsystem for Linux 2），提供Beta測試等級的支援，有了這樣的搭配之後，用戶可在Windows系統當中，直接執行通常運作在Linux系統的AI工具，而不需要為此額外建置Linux系統，或透過雙重開機啟動（dual-boot）的設定方式，從原本啟動的Windows系統切換至另一套重新開機啟動的Linux系統。</p> <p>第三，ROCm過往支援的AI框架有PyTorch、ONNX，6.1.3版增加支援TensorFlow，提供更多開發AI的選擇。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-06-Radeon AI - ROCm 6_1 for Radeon - Slide 0-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-06-Radeon%20AI%20-%20ROCm%206_1%20for%20Radeon%20-%20Slide%200-web.jpg" style="width: 600px;" /></a></p> <h3><span style="color:#0000FF;"><strong>6.2版擴增vLLM與FP8支援</strong></span></h3> <p>2024年8月<a href="https://community.amd.com/t5/blogs/blogarticleprintpage/blog-id/amd-ai/article-id/93">ROCm 6.2出爐，AMD主打5大特色</a>。舉例來說，針對AMD Instinct系列GPU，ROCm強化<a href="https://rocm.docs.amd.com/en/docs-6.2.0/about/release-notes.html">大型語言模型推論框架vLLM的支援</a>，強化AI模型的效率與延展性，像是：針對大型語言模型，增加FP16或BF16精度處理能力；針對Llama模型，提供FP8精度的支援。</p> <p>關於vLLM支援強化的特色，這一版的ROCm也提供多GPU執行、FP8 KV cache（用FP8格式儲存鍵值的快取技術）、FP8 GEMM（用FP8格式執行矩陣乘法）、自定解碼分頁注意力（Custom Decode Paged Attention，可提升大型語言模型推論效率的技術）。</p> <p>為了簡化ROCm的安裝體驗，6.2版也提供全新的離線安裝程式建立工具（Offline Installer Creator），用戶透過統一、整合多種功能的圖形介面更簡易地製作安裝程式，而不需要耗費心力管理多套安裝工具。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-08-Ronak_Shah_0-1722888071008.png" style="width: 500px;" /></p> <p>針對AI和高效能運算的開發應用，ROCm 6.2開始提供Beta測試版本的效能剖析工具：Omnitrace、Omniperf，實現更全面的效能分析，以及流暢的開發流程。基本上，Omnitrace可橫跨多個CPU、GPU、網路介面、網路交織架構（network fabrics），呈現整體系統的效能表現，協助辨識與找出瓶頸所在；</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-08-Omnitrace profiler tool-omnitrace-timeline-example-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-08-Omnitrace%20profiler%20tool-omnitrace-timeline-example-web.jpg" style="width: 600px;" /></a></p> <p>Omniperf可列出細部的GPU系統核心分析，以便進行相關的微調作業。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-08-Omniperf profiler tool-Ronak_Shah_2-1722888071029.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-08-Omniperf%20profiler%20tool-Ronak_Shah_2-1722888071029.png" style="width: 600px;" /></a></p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/9AkxBCiInCw?si=rmwhsCfbWtIV3xsn" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p>提供更廣泛的FP8精度支援，可涵蓋多種框架與程式庫，強化效能與效率，也是ROCm 6.2一大賣點。例如，Transformer引擎透過hipBLASLt這個矩陣對矩陣的API存取程式庫的協助，在PyTorch、JAX增加FP8 GEMM的支援； JAX與基於JAX而成的AI框架Flax可經由即時編譯器XLA的協助，支援FP8 GEMM，進而改善效能。</p> <p>AMD表示，可藉此改善執行AI模型的流程，用在AI推論更為顯著，因為以FP8這樣更低的精度進行運算，能夠降低涉及資料傳輸與運算的延遲，能在面臨相同的硬體局限時，可處理更大的AI模型與批次作業。</p> <h3><strong><span style="color:#0000FF;">6.3版強化Transformer引擎的使用，提供多種電腦視覺程式庫</span></strong></h3> <p>2024年12月初，<a href="https://community.amd.com/t5/ai/unlocking-new-horizons-in-ai-and-hpc-with-the-release-of-amd/ba-p/726434">ROCm 6.3登場</a>，AMD同樣選出5大特色。其中一項，是針對驅動當代AI得以快速起飛的Transformer模型應用方式，<a href="https://github.com/ROCm/TransformerEngine/tree/dev?tab=readme-ov-file#fused-attention-backends-on-rocm">提供最佳化處理</a>；AMD也標榜ROCm提供模型加速程式庫<a href="https://rocm.docs.amd.com/en/latest/how-to/rocm-for-ai/inference-optimization/model-acceleration-libraries.html">FlashAttention-2</a>，相較於FlashAttention-1，在後向傳遞與前向轉送的作業上，速度可提升2至3倍，能加快模型訓練與推論，藉此縮短企業AI解決方案推出的時間，而且可提升記憶體使用率、降低I/O負擔，使AMD Instinct GPU能處理較長的運算工作序列。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ROCm%20attention-module-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-AMD.jpg" style="width: 450px;" /></p> <p>而在ROCm 6.3.0版當中，AMD透過運算程式庫ROCm Composable Kernel（CK），以及對Open AI編譯器Triton進行預先編譯的程式庫AOTriton的幫忙，<a href="https://rocm.docs.amd.com/en/docs-6.3.0/about/release-notes.html">將基於CK與Triton的Flash Attention核心整合到GPU的Transformer Engine引擎執行</a>，因此，現在的Transformer Engine的搭配更有彈性，可選擇已針對AMD GPU進行最佳化的深度學習注意力（Attention）解決方案。</p> <p>另一個AMD強調的ROCm特色，是提供新一代Fortran語言編譯器，可針對以Fortran寫成的傳統HPC應用程式，提供GPU加速機制，像是OpenMP作業可卸載至AMD Instinct GPU執行，既有的Fortran程式碼能充分運用AMD現行與下一代GPU的功能，透過異質運算可移植介面（HIP）平臺運作的GPU核心元件HIP Kernels，以及ROCm提供的程式庫，能簡化程式碼整合工作，不需重新撰寫複雜的Fortran程式碼。</p> <p>關於電腦視覺程式庫的強化，也是ROCm 6.3主打的重點特色，可協助開發者處理多媒體與相關資料集，提供更有效率的預先處理與內容增益工具。以影片類型的資料為例，ROCm提供的rocDecode與rocPyDecode，可支援AV1編解碼，提供具有成本效益的影音處理機制；針對圖片資料的處理，ROCm透過具有可回復先前處理（fallback）機制的rocJPEG，提供支援GPU加速的JPG高效率解碼能力，能夠順暢進行圖片預先處理。在音訊資料的部分，ROCm經由rocAL 的協助，可針對嘈雜環境，改善AI模型訓練的聲音資料預先處理能力。</p> <p>除此之外，ROCm 6.2推出之際，AMD提到的效能分析工具Omnitrace、Omniperf，現已改名為ROCm System Profiler、ROCm Compute Profiler。</p> <p>ROCm System Profiler可針對執行在CPU或CPU與GPU的應用程式，提供高階的效能剖析與全面的追蹤，這套工具會產生與輸出相容於Perfetto這套效能分析與追蹤工具的內容，以此呈現分析結果。</p> <p><a href="https://s4.itho.me/sites/default/files/images/rocprof-sys-rocm-flow.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/rocprof-sys-rocm-flow.jpg" style="width: 600px;" /></a></p> <p>ROCm Compute Profiler則是針對執行在Instinct系列GPU的機器學習與高效能運算工作負載，提供核心層級的效能剖析機制，對於Radeon GPU的相關支援，AMD目前正在開發中。</p> <p><a href="https://s4.itho.me/sites/default/files/images/omniperf_server_vs_client_install.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/omniperf_server_vs_client_install.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/ROCm Compute Profiler GUI analyzer-standalone_gui.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ROCm%20Compute%20Profiler%20GUI%20analyzer-standalone_gui.jpg" style="width: 298px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong><span style="color:#0000FF;">AMD ROCm 6.3</span></strong><br /> ●原廠：AMD<br /> ●建議售價：廠商未提供<br /> ●支援作業系統版本：Linux，Ubuntu（24.04 / 6.8版核心，22.04 / 5.15版核心）、Debian（12 / 6.1版核心）、Red Hat Enterprise Linux（9.5 / 5.14.0版核心，9.4 / 5.14.0版核心，8.10 / 4.18.0版核心）、Oracle Linux（8.10 / 5.15.0版核心）、SUSE Linux Enterprise Server（15.6 / 6.4.0版核心，15.5 / 5.14.21版核心）、Azure Linux（3.0 / 6.6版核心）<br /> ●支援GPU產品：AMD Instinct（MI325X、MI300X、MI300A、MI250X、MI250、MI210、MI100，CDNA架構第1至3代）、AMD Radeon PRO（V710、W7900 Dual Slot、W7900、W7800、W6800、V620，RDNA架構第2至3代）、AMD Radeon（RX 7900 XTX、RX 7900 XT、RX 7900 GRE，RDNA架構第2至3代）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/2/11 17:40作者李宗翰https://www.ithome.com.tw/review/167259
馬偕醫院傳出遭CrazyHunter勒索軟體攻擊，衛福部與資安署已成立快速應變小組協助因應
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今日（11日）上午，傳出國內知名醫院連續遭駭客入侵，有多達數百臺電腦當機，掛號系統也受波及，影響上百名病患。目前我們已確認這起事件，是遭CrazyHunter勒索軟體攻擊，衛生福利部（衛福部）資訊處也在今日向全國所有醫院發布警訊通知，說明近期部分醫院遭勒索軟體攻擊，請各院加強戒備。</p> <p>根據國內媒體報導，這次遭受攻擊的醫院，是臺北一家中山區捷運站附近的醫院，並且淡水也有分院。而且遭受攻擊的時間，是從兩日前（週日）早上8點半開始，昨日（週一）也再次受到攻擊。</p> <p>根據以上描述，顯然這起事件的受害者應是指馬偕醫院，而且已經是連續兩日遭到攻擊。</p> <p>因此我們從多方管道循線追查，發現醫院IT群組已有相關討論，指出事件與CrazyHunter勒索軟體攻擊有關，同時，有可靠消息向我們表示，此次勒索軟體攻擊是中國駭客組織發動，造成多達600多臺電腦受影響，並且留下勒索贖金的資訊。</p> <p>究竟這次資安事故的情形為何？我們詢問到衛生福利部資訊處處長李建璋，他表示，這次馬偕醫院遭遇的資安事故，確實是遭受Crazy Hunter勒索軟體攻擊，從這些遇害時間來看，週日（9日）的攻擊影響並不大，但週一（10日）的攻擊變得嚴重，而且駭客甚至揚言今日（11日）傍晚將持續對醫院發動攻擊。</p> <p>由於醫療機構服務屬於國家關鍵基礎設施，加上近年政府不斷推動醫療領域的資安聯防，李建璋表示，收到這次事件通報後，他們已經著手協助院方來應對。</p> <p>首先，衛福部已與數位發展部資通安全署（資安署）合作，針對此次醫院遭攻擊事件成立快速反應小組，並且進駐馬偕醫院，以協助因應持續到來的攻擊，特別的是，這次也是衛福部與資安署的首次合作。</p> <p>其次，由於各家醫院的電腦設備多半都有安裝防毒軟體，但有些醫院可能因為資源關係，還沒有部署端點偵測及回應（EDR）產品，因此衛福部將提供這方面的協助，協調廠商提供2到3個月的免費試用，暫時因應危險期。</p> <p>至於攻擊者是從何種管道入侵？李建璋表示，攻擊者在入侵過程中會從AD管道下手，透過弱密碼嘗試取得帳號權限，進而大範圍發動勒索加密攻擊。</p> <p>另外，衛福部也通知各家醫療院所加強防護，注意網段確實隔離、將防毒軟體更新至最新版本，同時也提供這次攻擊事件的入侵偵測指標（IoC），讓其他醫院可識別攻擊是否已經發生或正在進行。</p> <p>畢竟，<a href="https://www.ithome.com.tw/news/134108">2019年臺灣醫院發生大規模遭遇勒索軟體攻擊的情形，當時傳出有多達66家醫院遭到攻擊。</a></p> <p>另一方面，我們也詢問了這次事件的苦主馬偕醫院，院方在今日傍晚發布新聞稿說明這次事件。</p> <p>根據馬偕醫院的聲明，該院是在2月9日發現系統異常，立即啟動資安緊急應變作業流程並同步通報衛福部資安聯防平台（H-ISAC），並向調查局台北市調查處報案，未來將全力配合調查，至於恐嚇信內容因案件正在偵查中，故不予公開。</p> <p>在影響方面，這次攻擊事件只有影響北淡兩區急診室，目前未有病人個資外洩之虞，醫療作業均正常運作。</p> </div></div></div>
2025/2/11 18:06作者羅正漢https://www.ithome.com.tw/news/167318
WordPress管理流程強化外掛存在高風險漏洞，逾10萬網站恐曝險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>WordPress是相當受歡迎的網站內容管理平臺，外掛程式眾多，但每一套工具的軟體資安防護再嚴密，也總有疏漏，因此，不時傳出被研究人員或駭客找到資安漏洞的消息，這次出包的外掛程式是用於改善網站管理員工作流程的Admin and Site Enhancements（ASE），安裝數超過10萬，根據資安業者Patchstack的揭露，當中<a href="https://patchstack.com/articles/rare-case-of-privilege-escalation-in-ase-plugin-affecting-100k-sites/">存在高風險漏洞CVE-2024-43333、CVE-2025-24648</a>，影響7.6.2.1以下版本，且無論免費版本、付費的專業版本都受到影響。研究人員去年12月通報此事，開發者發布更新版本7.6.3修補，由於這項外掛程式有超過10萬個網站採用，若不處理影響範圍可能相當廣泛。</p> <p>這些漏洞可被用於權限提升，因為當中以角色檢視管理者（View Admin as Role）的功能出現邏輯錯誤，導致使用者有機會能復原成原本的角色權限。Patchstack舉例，原本取得管理員權限的使用者，後來卻莫名其妙被降級為訂閱者，一旦此外掛程式的View Admin as Role功能啟用，該使用者可能回復先前的管理員身分，CVSS風險評為7.5。</p> <p>特別的是，付費版與免費版的ASE雖然存在相同弱點，卻登記為不同的CVE編號：CVE-2024-43333、CVE-2025-24648，Patchstack並未說明理由。</p> </div></div></div>
2025/2/11 15:03作者周峻佑https://www.ithome.com.tw/news/167310
大規模暴力破解攻擊專門針對網路邊緣裝置而來，駭客透過280萬個IP位址發動攻勢
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從攻擊來源的地理位置針對網路邊緣裝置的大規模攻擊行動，最近兩年不斷發生，最近有研究人員提出警告，類似的資安事故再度出現。</p> <p>資安研究機構Shadowserver基金會提出警告，他們最近幾個禮拜<a href="https://x.com/Shadowserver/status/1887790995191763051">從蜜罐陷阱當中，偵測到專門針對網路邊緣裝置（edge devices）而來的大規模暴力破解攻擊</a>，<span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">駭客</span>平均每天動用約280萬個IP位址進行網頁介面登入嘗試，特別偏好攻擊Ivanti、Palo Alto Networks、SonicWall等廠牌的設備。</p> <p>從攻擊來源的地理位置而言，超過三分之一的IP位址來自巴西最多，約有110萬個，其次是土耳其、俄羅斯、阿根廷，分別約有13.5萬、13.3萬、9.9萬個IP位址。從被用來發動攻擊的設備來看，遭到控制的MikroTik設備數量最多，有13萬臺，華為、思科設備分別約有1.3萬、1萬臺，這些廠牌的設備經常遭到殭屍網路鎖定，而被入侵並受到擺布。</p> <p>雖然Shadowserver基金會在社群網站X透露的資訊並不多，但他們<a href="https://www.bleepingcomputer.com/news/security/massive-brute-force-attack-uses-28-million-ips-to-target-vpn-devices/">向資安新聞網站Bleeping Computer透露</a>，這波攻擊行動仍在持續進行，而且規模有擴大的趨勢。</p> <p>而這些攻擊IP位址，分布於許多個網路及自治區，研究人員推測很有可能是殭屍網路，或是與非法代理伺服器（residential proxy）有關的攻擊行動。</p> <p>值得留意的是，去年已有類似事故出現。思科4月提出警告，有人<a href="https://www.ithome.com.tw/news/162367">針對7個廠牌的VPN系統、網路設備或SSH服務</a>，發動暴力破解攻擊；12月Citrix指出<a href="https://www.ithome.com.tw/news/166534">有專門鎖定NetScaler設備的密碼潑灑攻擊</a>，系統恐遭滲透，有可能因身分驗證的負載過大而癱瘓。</p> </div></div></div>
2025/2/11 16:23作者周峻佑https://www.ithome.com.tw/news/167311
Pi0機器人模型整合到Hugging Face LeRobot
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Hugging Face<a href="https://huggingface.co/blog/pi0" target="_blank">宣布</a>，新創公司Physical Intelligence開發的π0（念作Pi-Zero）機器人模型已可整合到Hugging Face的開發套件LeRobot。</p> <p><a href="http://huggingface.co/blog/pi0" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0211-%CF%800%20and%20%CF%800-FAST%EF%BC%9AVision-Language-Action%20Models%20for%20General%20Robot%20Control_Hugging%20face.png" style="width: 600px;" /></a></p> <p>π0（以下將稱Pi0）與π0-FAST是<a href="https://huggingface.co/lerobot/pi0" target="_blank">LeRobot</a>儲存庫的第一批機器人基礎模型，使Hugging Face生態系有了通用機器智慧（generalist robotic intelligence）模型。</p> <p>人形機器人新創公司Physical Intelligence成員來自Google DeepMind、Tesla和X，公司宗旨是開發出能結合通用人工智慧（AGI）的機器人，讓用戶透過AI助理下指令代為執行任務。這家新創公司在最新募資中獲得4億美元投資，使公司市值來到了24億美元。最新一批金主包括了OpenAI和Jeff Bezos及數家投資銀行。</p> <p>最新發表的Pi0是一種為通用型機器人控制而設定的視覺語言行為（Vision-Language Action，VLA）模型。VLM和VLA模型都是以transformer為基礎，最大差別在行為表現。VLM雖也可處理和生成多模態（圖片和文字）表現，但欠缺和真實世界的互動。VLA則是以機器人資料訓練的模型。該公司的通用型機器人模型進一步以不同種機器人資料訓練而成，可提升模型的適應性、效率和效能。</p> <p>Physical Intelligence說明，Pi0在預訓練的VLM模型上使用新的流匹配（flow-matching）架構，以承襲Internet規模的語義知識來生成行為，使機器人可以不同形貌執行靈巧的操作任務。明確而言，Pi0以7種機器平臺和68種不同任務的資料訓練。而且在預訓練後具有強大的零樣本和微調效能，它能依據人類語言指令和高階VLM策略（policy），以及微調來學習新技能。以Pi0模型為基礎的機器人可執行複雜的真實世界任務，像是摺疊衣服、清理桌面、將商品裝袋、組合紙箱或收拾物體。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0211-%CF%800_Vision-Language-Action%20Flow%20Model_Robot%20Control_by%20Physical%20Intelligence_2.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Physical Intelligence</span></span></p> <p>Hugging Face執行長Clement Delangue<a href="https://twitter.com/ClementDelangue/status/1886876463292403781" target="_blank">指出</a>，這是第一次機器人基礎模型透過開源平臺開放大眾使用。該公司希望藉此模型改變機器人學習和執行任務的作法。</p> <p>π0與其自動迴歸版的π0-FAST（Frequency-space Action Sequence Tokenization）<a href="https://huggingface.co/physical-intelligence/fast" target="_blank">模型</a>，都已可在Hugging Face LeRobot儲存庫存取。</p> </div></div></div>
2025/2/11 14:24作者林妍溱https://www.ithome.com.tw/news/167305
蘋果針對iPhone、iPad用戶修補已遭利用的零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>兩週前蘋果才針對旗下電腦、行動裝置、穿戴裝置、影音播放裝置<a href="https://www.ithome.com.tw/news/167181">發布作業系統更新</a>，修補已被用於實際攻擊iPhone用戶的高風險漏洞CVE-2025-24085（CVSS風險評分7.8），如今再傳有新漏洞被用於攻擊的情況。</p> <p>2月10日蘋果發布iOS及iPadOS作業系統更新<a href="https://support.apple.com/en-us/122174">18.3.1</a>，以及<a href="https://support.apple.com/en-us/122173">iPadOS 17.7.5</a>，修補由加拿大公民實驗室（The Citizen Lab）通報的漏洞CVE-2025-24200。此弱點與USB限制模式有關，一旦攻擊者能實際接觸裝置，就有機會在裝置被鎖定的情況下停用USB限制模式。</p> <p>值得留意的是，蘋果表示他們已經接獲通報，得知這項漏洞被用於針對人士下手，進行極度複雜的攻擊行動。但究竟有多少人遭遇相關攻擊？該公司並未進一步說明。</p> </div></div></div>
2025/2/11 10:14作者周峻佑https://www.ithome.com.tw/news/167302
程式碼管理工具Google Tag Manager遭濫用，攻擊者用來對Magento網站側錄信用卡資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google提供網站管理者一套控管網站追蹤程式碼的工具Tag Manager（GTM），能讓網站分析師及行銷人員在不需大幅調整網站原始碼的情況下，導入Google Analytics、AdWords、Facebook Pixel等工具進行網站流量追蹤，但如今這項免費工具也成為駭客濫用的標的。</p> <p>資安業者Sucuri接獲客戶通報，指出他們的Magento電子商務網站出現信用卡資料遭竊的情況，<a href="https://blog.sucuri.net/2025/02/google-tag-manager-skimmer-steals-credit-card-info-from-magento-site.html">Sucuri進行調查後發現</a>，這家公司的電子商務網站遭到惡意程式感染，而這支惡意程式散布的媒介，竟然是放在GTM上面的指令碼。Sucuri資安分析師Puja Srivastava指出，他們對於網站的檔案進行檢查，結果找到惡意程式從資料庫特定的資料表cms_block.content載入。</p> <p>乍看之下，有問題的程式碼看似GTM或Google Analytics的追蹤指令碼，但Puja Srivastava指出，他們對程式碼進行檢查，確認這些程式碼用於惡意行為，而非一般的網站分析或廣告成效分析。而有問題的後門程式，出現在./media/index.php，根據GTM的ID，研究人員進一步追查是否有其他網站受害，結果他們確認至少有6個網站遭到感染。</p> <p>一旦觸發了GTM的標籤，經過加密處理的JavaScript酬載就會進行側錄信用卡資料的工作，在消費者結帳時收集輸入的內容，然後傳送至攻擊者控制的伺服器。</p> </div></div></div>
2025/2/11 12:17作者周峻佑https://www.ithome.com.tw/news/167304
Google將付費版NotebookLM Plus推向一般用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google付費版AI筆記服務NotebookLM Plus本周<a href="https://support.google.com/notebooklm/answer/15678219?visit_id=638748334713236681-4012914966&p=plus&rd=1" target="_blank">開放給</a>一般用戶訂閱。</p> <p>Google去年12月<a href="https://blog.google/technology/google-labs/notebooklm-new-features-december-2024/" target="_blank">公布</a>付費版NotebookLM Plus實驗版。當時僅提供給重度用戶、部門（NotebookLM Plus）和企業（NotebookLM Plus企業版），現在則開放個人用戶使用。</p> <p>根據Google<a href="https://notebooklm.google/plus" target="_blank">說明</a>付費版比免費版提供5倍容量，每天能建立500個筆記，每個筆記來源提供為300個，每天可進行500次對話，生成20次語音。</p> <p>英文版NotebookLM Plus還提供Audio Overview互動功能（<a href="https://support.google.com/notebooklm/answer/15678219?visit_id=638748334713236681-4012914966&p=plus&rd=1" target="_blank">中文版</a>沒有這功能）。Audio Overview根據使用者上傳來源文件產生語音版概要資料，這是二個AI人聲對話討論的podcast聲音檔，NotebookLM Plus讓使用者產生5份Audio Overview，並能加入討論。此外用戶還可客製化筆記回應的樣式和長度，或是製作和團隊共享的筆記並取得使用分析。Plus版本也提供更高安全性及隱私防護。</p> <p>NotebookLM Plus存取是綑綁於Google其他方案上。大型企業從Google Cloud使用，部門組織則是需透過Google Workspace和Google Workspace for Education啟用。個人版則透過Google One AI進階版（<a href="http://one.google.com/intl/zh-TW/about/ai-premium/" target="_blank">Premium</a>）提供，費用為19.99美元或650元臺幣。</p> </div></div></div>
2025/2/11 11:54作者林妍溱https://www.ithome.com.tw/news/167303
馬斯克提案以974億美元收購OpenAI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>科技大亨馬斯克（Elon Musk）日前表示對收購TikTok不感興趣，因為他想要買更大的。華爾街日報<a href="https://www.wsj.com/tech/elon-musk-openai-bid-4af12827" target="_blank">報導</a>，馬斯克領導的投資團隊提案欲收購OpenAI的非營利部門，阻止OpenAI走向商業化。</p> <p>馬斯克的律師Marc Toberoff在接受華爾街日報訪談時證實此事。馬斯克領導的銀行團及投資公司將以974億美元買下主導OpenAI的非營利單位，以取得該公司的控制權。這項收購是馬斯克阻止OpenAI改變公司營運方針，轉型為營利組織的最新行動。</p> <p>OpenAI去年開始計畫公司改組以成為真正的營利導向組織，遭到過去的投資人馬斯克以法律途徑<a href="https://www.ithome.com.tw/news/166292" target="_blank">阻撓</a>，聲稱其理由是OpenAI違背了開放源碼及服務人類的宗旨。</p> <p>馬斯克發表聲明，xAI就是以OpenAI當初矢言奉行的價值為依歸，該公司Grok模型完全開源，尊重內容創作者權利。他說，是時候讓OpenAI永遠回歸開源、以安全為重的原點了，該公司會竭盡所能讓這件事成真。</p> <p>OpenAI 2019年改組至今的架構中，OpenAI為以非營利組織為中心及最高管理機構，營利機構只追求有限利潤。但根據該公司<a href="https://www.ithome.com.tw/news/166735" target="_blank">計畫</a>2025年OpenAI將轉型德拉瓦州公益法人（Delaware Public Benefit Corporation⁠），可發行股票，未來PBC和非營利組織是並行的。</p> <p>如果收購成功，xAI和OpenAI可能會合併。</p> <p>不過落花有意，流水無情。OpenAI現在已是市值1,570億美元的超大型新創公司。OpenAI執行長Sam Altman幽默<a href="https://x.com/sama/status/1889059531625464090" target="_blank">婉拒</a>說「不了，謝謝，但如果你願意，我們可以97.4億美元買下推特」，暗指馬斯克2022年砸了440億美元<a href="https://www.reuters.com/markets/deals/billionaire-musk-says-not-interested-acquiring-tiktok-2025-02-08/" target="_blank">買下</a>當時名為推特的X成為其大型收購的代表。</p> <p><a href="http://x.com/sama/status/1889059531625464090" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0211-sam%20altman-elon%20musk%20buy%20openai.png" style="width: 600px;" /></a></p> <p>馬斯克本周稍早<a href="https://www.reuters.com/markets/deals/billionaire-musk-says-not-interested-acquiring-tiktok-2025-02-08/" target="_blank">表示</a>沒有興趣收購TikTok，因他通常自創公司從頭發展，以回應外界對這件交易的猜測。<a href="https://www.reuters.com/markets/deals/billionaire-musk-says-not-interested-acquiring-tiktok-2025-02-08/" target="_blank">他說</a>買下推特是罕見例子。</p> </div></div></div>
2025/2/11 09:33作者林妍溱https://www.ithome.com.tw/news/167300
Power Platform的SharePoint連接器存在SSRF漏洞，攻擊者有機會冒充使用者的名義發送請求
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安實驗室Zenity Labs指出，微軟低程式碼開發平臺Power Platform的SharePoint連接器<a href="https://labs.zenity.io/p/the-power-of-one-ssrf-vulnerability-a-multi-platform-threat">存在重大層級的伺服器偽造請求（SSRF）漏洞</a>，一旦攻擊者成功利用，就有機會挖掘使用者的帳密資料，從而冒用這些使用者的名義，向SharePoint的API發送請求，滲透敏感資料，並執行未經授權的活動。</p> <p>對此，Zenity Labs於去年9月通報，微軟在10月上旬確認漏洞，並於10月下旬頒發獎金給研究人員，最終於12月完成修補。值得留意的是，Zenity Labs指出這種弱點影響範圍相當廣，不光SharePoint連接器，Power Automate、Power Apps、Copilot Studio、Copilot365也可能曝險，這樣的情況使得該漏洞的危害範圍擴大許多，因為攻擊者有機會從Power Platform生態系統多個服務試圖利用漏洞，從而在受害企業組織持續活動，卻不被發現。</p> <p>針對這項漏洞發生的原因，Zenity Labs資安研究員Dmitry Lozovoy指出，是SharePoint連接器的輸入驗證不足所致，攻擊者可濫用自訂數值（custom value）的功能，並植入偽造的URL，導致連接器接受輸入內容並直接向伺服器發送請求。</p> <p>基於這樣的控管疏漏，攻擊者在發動伺服器偽造請求攻擊後，就有機會得到SharePoint的Token，研究人員以此進行相關驗證之後，發現這組Token居然就是流程建立者的Token，而且能從外部使用，這也意味著，攻擊者能輕易利用cURL或是Burp Suite等工具發出請求，進行API呼叫。</p> <p>不過，利用這項漏洞必須搭配指定條件，那就是攻擊者事先必須取得特定Power Platform角色身分（Environment Maker、Basic User），才有機會觸發。</p> </div></div></div>
2025/2/10 17:57作者周峻佑https://www.ithome.com.tw/news/167294
Hugging Face挑戰OpenAI Deep Research，24小時打造開源智慧代理系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Hugging Face發起一項挑戰，嘗試在24小時內<a href="https://huggingface.co/blog/open-deep-research">重現OpenAI最新發表的Deep Research系統</a>，並開源其關鍵技術。OpenAI在2月初推出Deep Research，結合大型語言模型與代理框架，能夠透過網頁瀏覽、資訊整理與多步推理來回答複雜問題。Hugging Face的開源挑戰不僅試圖驗證這套技術的可行性，也希望提供開源替代方案，讓開發者能自行部署類似系統。</p> <p>OpenAI的Deep Research之所以備受矚目，在於它在GAIA（General AI Assistants）基準測試的表現大幅超越單純仰賴語言模型的人工智慧系統。根據OpenAI發表的資料，Deep Research在GAIA測試中的單次提示作答準確率達到67％，而即便是最具挑戰性的第三級多步推理與工具使用問題，仍可維持47.6％的正確率。不過，OpenAI並未公開其代理框架的細節，這讓Hugging Face決定嘗試重現相關技術，並釋出開源版本，讓更廣泛的開發者社群能夠參與改進。</p> <p>Hugging Face在24小時內完成第一個版本，以自家開發的smolagents框架為基礎，搭配大型語言模型來執行搜尋、資訊整理與多步推理。這個系統能夠自主規畫解題流程，決定何時查詢額外資訊，並以程式碼的方式表達執行步驟。相較於OpenAI未公開的技術，這項開源專案強調模組化設計，允許開發者選擇不同的語言模型，並且結合使用其他開源工具。</p> <p>特別的是，Hugging Face的團隊選擇使用CodeAgent技術來提升代理系統的效率。相較於常用的JSON格式，透過程式碼來表達執行步驟，能使推理過程更精簡，並減少API呼叫次數，根據研究團隊測試結果，改用CodeAgent之後，代理系統在GAIA測試中的表現從46％提升至55.15％。此外，與JSON格式相比，使用Python來描述行動流程也能更直覺地表達邏輯關係，讓代理系統能夠有效處理多步推理問題。</p> <p>這項開源計畫仍處於早期階段，儘管在部分測試中已有所進展，但要完整實作OpenAI Deep Research的功能，仍存在許多挑戰。特別是在瀏覽器操作方面，OpenAI採用了名為Operator的進階網頁瀏覽器，使Deep Research不僅能夠深入解析網頁內容，還能進行互動式操作。相比之下，Hugging Face的初版開源系統目前僅支援基礎的文字網頁瀏覽，尚未具備視覺辨識或更精細的網頁互動能力。此外，OpenAI的系統可能還包括內部最佳化的提示詞工程與資料檢索技術，這些重點細節在開源社群中仍需透過試驗逐步改進。</p> </div></div></div>
2025/2/10 18:26作者李建興https://www.ithome.com.tw/news/167295
【資安日報】2月10日，150家企業組織的AD聯合身分驗證服務系統遭鎖定，駭客藉此挾持帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了突破多因素驗證（MFA），現在有許多網路釣魚工具包都提供駭客對手中間人攻擊（AiTM）功能，但也有駭客從企業組織的基礎設施下手，針對AD聯合身分驗證服務服務（ADFS）達到相同目的。</p> <p>值得留意的是，駭客成功挾持其中一個帳號，還會用來對企業組織的員工、合作夥伴、客戶發動進一步攻擊，造成更嚴重的破壞。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167291"><strong style="font-size: 22px;">150家企業組織遭到鎖定，駭客藉由AD聯合身分驗證服務繞過多因素驗證，從而挾持帳號</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/jVkY7tgul1.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/jVkY7tgul1.jpg" style="width: 300px; float: right;" /></a></p> <p>隨著許多企業組織都採用多因素驗證（MFA）保護使用者帳號，駭客也試圖突破這類防護機制，其中一種最常見的手法是對手中間人攻擊（AiTM），如今也有攻擊者鎖定AD聯合身分驗證服務服務（ADFS）下手的情況。</p> <p>資安業者Abnormal Security揭露大規模釣魚攻擊事故，至少有150個企業組織遭到鎖定，廣泛涵蓋教育、醫療保健、政府機關等各式產業，這些攻擊行動的共通點，就是歹徒透過AD聯合身分驗證服務服務來繞過多因素身分驗證。</p> <p>值得留意的是，此次網路釣魚攻擊鎖定的目標，有超過半數（52.8%）是針對大學或其他教育機構，醫療保健及政府機關居次，分別占14.8%、12.5%。從這些受害組織的地理位置而言，大多數位於美國，但加拿大、澳洲、歐洲也有企業組織受害。</p> <p><a href="https://www.ithome.com.tw/news/167289"><strong style="font-size: 22px;">DeepSeek的AI服務隱私防護遭質疑！資安業者指控恐將用戶輸入資料傳至中國國營電信業者</strong></a></p> <p>中國AI工具DeepSeek號稱以低成本建置匹敵效能ChatGPT引起全球關注，並標榜開源、免費而受到歡迎，但背後由中國企業開發而可能隱含的資安風險也引起研究人員注意，繼有數家資安業者警告DeepSeek R1模型能被輕易越獄而能用於助長犯罪，最近有資安業者提出新的發現，指出DeepSeek疑似與中國國營電信業者串連，而有可能讓中國政府直接存取相關資料。</p> <p>資安業者Feroot Security執行長Ivan Tsarynny接受美國廣播公司（ABC）、美聯社（AP News）、CNBC、雅虎等媒體採訪時指出，他們的研究團隊於網頁版DeepSeek AI聊天機器人進行調查，發現這家公司在登入網頁嵌入重度混淆的程式碼相當不尋常，經過他們的解析，確認有隱藏功能，可將使用者的資料傳送到中國移動（China Mobile）的帳號登入網站CMPassport.com。僅管DeepSeek本來就表明會將使用者資料存放於中國境內，但埋入這種能將資料傳送到中國政府控制企業的功能，Ivan Tsarynny強調，他們還是第一次看到。</p> <p><a href="https://www.ithome.com.tw/news/167153"><strong style="font-size: 22px;">2025年全球風險報告出爐，錯假訊息、網路間諜名列短期10大風險</strong></a></p> <p>世界經濟論壇（WEF）在1月15日發布了《2025年全球風險報告》，此次剛好是該報告發布的第20周年。在今年短期風險中，第一名是科技類型風險，這已是連續兩年有此狀況，長期風險仍以多項環境風險為主、科技風險次之。</p> <p>值得我們關注的是，關於「錯誤資訊與假訊息」一項，已是連續兩年居於短期10大風險之首。對此狀況，報告中特別強調生成式AI在大規模產生虛假或誤導性內容方面的作用，以及與另一項風險社會兩極化的關聯。同時，WEF也直截了當指出，社會接觸到的虛假或誤導性內容數量是持續增加，讓公民、企業與政府辨識真實資訊的挑戰更加艱難。</p> <p>更關鍵的是，在錯誤資訊、社會及政治兩極化這兩者的交互作用下，進一步加劇演算法偏見的風險。而且，演算法偏見也成為加劇錯誤資訊的推手，在這樣的態勢下也讓威脅者有機可趁，利用演算法偏見上的漏洞來擴大影響力。</p> <p><strong style="font-size: 22px;">創見、華城發布重大訊息，指出部分資訊系統遭遇網路攻擊</strong></p> <p>2月7日、9日<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=2&SPOKE_TIME=165059&SPOKE_DATE=20250207&COMPANY_ID=2451">創見</a>與<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=191659&SPOKE_DATE=20250209&COMPANY_ID=1519">華城電子</a>於股市公開觀測站發布資安重訊，察覺後啟動相關防禦機制及復原作業，所幸未對公司營運造成重大影響。</p> <p>針對創見公布的資安事故，他們表示是子公司Transcend Information, Inc有部分資訊系統遭到攻擊，並提及著手復原的情況，由此看來很有可能是勒索軟體攻擊；華城則明確指出他們遭到勒索軟體攻擊，並詳細確認資通系統及網站並未受到影響，亦無個資及文件檔案外流的情況。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/02/malicious-ml-models-found-on-hugging.html">AI共享平臺Hugging Face再傳惡意模型，駭客利用損壞的Pickle格式迴避偵測</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.darkreading.com/application-security/researcher-jailbreaks-openai-o3-mini">資安研究人員聲稱突破OpenAI最新防禦機制，成功在新款機器學習模型o3-mini進行越獄</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://bi.zone/eng/expertise/blog/nova-khorosho-zabytoe-staroe/">竊資軟體Nova鎖定俄羅斯企業組織而來，假借合約的名義散布</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/hackers-exploit-simplehelp-rmm-flaws-to-deploy-sliver-malware/">遠端管理軟體SimpleHelp漏洞傳出遭積極利用，攻擊者藉此散布滲透測試工具Sliver</a></strong></p> <p> </p> <p><strong>【漏洞與修補】</strong></p> <p><a href="https://www.ithome.com.tw/news/167294"><strong style="font-size: 22px;">Power Platform的SharePoint連接器存在SSRF漏洞，攻擊者有機會冒充使用者的名義發送請求</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/power_platform.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/power_platform.png" style="width: 300px; float: right;" /></a>資安實驗室Zenity Labs指出，微軟低程式碼開發平臺Power Platform的SharePoint連接器存在重大層級的伺服器偽造請求（SSRF）漏洞，一旦攻擊者成功利用，就有機會挖掘使用者的帳密資料，從而冒用這些使用者的名義，向SharePoint的API發送請求，滲透敏感資料，並執行未經授權的活動。</p> <p>對此，Zenity Labs於去年9月通報，微軟在10月上旬確認漏洞，並於10月下旬頒發獎金給研究人員，最終於12月完成修補。值得留意的是，Zenity Labs指出這種弱點影響範圍相當廣，不光SharePoint連接器，Power Automate、Power Apps、Copilot Studio、Copilot365也可能曝險，這樣的情況使得該漏洞的危害範圍擴大許多，因為攻擊者有機會從Power Platform生態系統多個服務試圖利用漏洞，從而在受害企業組織持續活動，卻不被發現。</p> <p><strong style="font-size: 22px;">其他資安防禦措施</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/cyber-agencies-share-security-guidance-for-network-edge-devices/https://www.bleepingcomputer.com/news/security/cyber-agencies-share-security-guidance-for-network-edge-devices/https://www.bleepingcomputer.com/news/security/cyber-agencies-share-security-guidance-for-network-edge-devices/https://www.bleepingcomputer.com/news/security/cyber-agencies-share-security-guidance-for-network-edge-devices/https://www.bleepingcomputer.com/news/security/cyber-agencies-share-security-guidance-for-network-edge-devices/https://www.bleepingcomputer.com/news/security/cyber-agencies-share-security-guidance-for-network-edge-devices/">五眼聯盟針對網路邊際設備發布資安指引，呼籲製造商提升設備活動的能見度</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/167283"><strong>【2月8日】多家資安業者揭露中國AI工具DeepSeek，美國擬禁政府公務設備使用</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167256"><strong>【2月7日】義大利政府驚傳利用間諜軟體Paragon監控記者及異議人士</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167246"><strong>【2月6日】HTTP用戶端軟體自動存取工具被駭客用於挾持M365帳號</strong></a></p> </div></div></div>
2025/2/10 18:28作者周峻佑https://www.ithome.com.tw/news/167297
150家企業組織遭到鎖定，駭客藉由AD聯合身分驗證服務繞過多因素驗證，從而挾持帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著許多企業組織都採用多因素驗證（MFA）保護使用者帳號，駭客也試圖突破這類防護機制，其中一種最常見的手法是對手中間人攻擊（AiTM），如今也有攻擊者鎖定AD聯合身分驗證服務服務（ADFS）下手的情況。</p> <p>資安業者Abnormal Security<a href="https://abnormalsecurity.com/blog/phishing-mfa-bypass-account-takeover">揭露大規模釣魚攻擊事故</a>，至少有150個企業組織遭到鎖定，廣泛涵蓋教育、醫療保健、政府機關等各式產業，這些攻擊行動的共通點，就是歹徒透過AD聯合身分驗證服務服務來繞過多因素身分驗證。</p> <p>值得留意的是，此次網路釣魚攻擊鎖定的目標，有超過半數（52.8%）是針對大學或其他教育機構，醫療保健及政府機關居次，分別占14.8%、12.5%。從這些受害組織的地理位置而言，大多數位於美國，但加拿大、澳洲、歐洲也有企業組織受害。</p> <p>究竟駭客如何發動攻擊？Abnormal Security威脅情報暨平臺主管Piotr Wojtyla指出，攻擊者通常會假冒企業內部的IT團隊，聲稱資安政策調整或以系統改進為由，發送釣魚郵件，將使用者重新導向偽造的登錄網頁，該網頁仿造企業的ADFS入口網站。為了讓使用者降低警覺，駭客刻意複製了品牌及URL特徵。Piotr Wojtyla表示，駭客的手法充分利用了人類心理，用戶存取過往曾經看過的登入網頁往往不會起疑，即使具有高度資安意識的人士都有可能上當。</p> <p>這起攻擊行動當中最特殊的地方，在於駭客繞過多因素驗證的手法相當複雜。Piotr Wojtyla指出，雖然駭客最終的目的是挾持Microsoft 365帳號，過程中卻收集各階段所有的身分驗證因子。</p> <p>首先，攻擊者透過釣魚網頁取得目標人士的帳號及密碼，接著，釣魚網頁會根據目標企業組織導入的多因素驗證流程，要求使用者進行對應的驗證提示。</p> <p>攻擊者將多因素驗證的進行分成繁瑣的步驟，假若受害者猶豫不決，釣魚網頁還會透過特殊的提示引導他們執行後續步驟，從而讓使用者以為在執行合法的登入流程。</p> <p>一旦駭客成功挾持其中一個帳號，他們就會加以利用，作為進階攻擊的跳板。駭客會盜用這個帳號對同一組織的內部員工、合作夥伴，以及客戶下手，進行橫向網路釣魚。</p> <p>此外，為了迴避偵測，駭客還會操縱電子郵件的政策，建立能過濾資安警報及網路釣魚警示的自動化規則，使得受害者難以察覺自己的帳號遭駭。在部分情況下，往來釣魚郵件在使用者發現前，就遭到攔截或是刪除。</p> </div></div></div>
2025/2/10 16:46作者周峻佑https://www.ithome.com.tw/news/167291
DeepSeek的AI服務隱私防護遭質疑！資安業者指控恐將用戶輸入資料傳至中國國營電信業者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國AI工具DeepSeek號稱以低成本建置匹敵效能ChatGPT引起全球關注，並標榜開源、免費而受到歡迎，但背後由中國企業開發而可能隱含的資安風險也引起研究人員注意，繼有<a href="https://www.ithome.com.tw/news/167279">數家資安業者警告DeepSeek R1模型能被輕易越獄而能用於助長犯罪</a>，最近有資安業者提出<a href="https://www.feroot.com/news/the-independent-feroot-security-uncovers-deepseeks-hidden-code-sending-user-data-to-china/">新的發現</a>，指出DeepSeek疑似與中國國營電信業者串連，而有可能讓中國政府直接存取相關資料。</p> <p>資安業者Feroot Security執行長Ivan Tsarynny接受<a href="https://www.feroot.com/blog/feroot-security-research-reveals-deepseek-ais-hidden-data-pipeline-to-china/">美國廣播公司（ABC）</a>、<a href="https://www.feroot.com/blog/ap-news-feroot-research-uncovers-deepseeks-connection-to-chinese-state-owned-telecom/">美聯社（AP News）</a>、<a href="https://www.feroot.com/blog/ivan-tsarynny-on-cnbc-deepseeks-security-risks-and-data-exposure-to-china-mobile/">CNBC</a>、<a href="https://www.feroot.com/blog/yahoo-finance-u-s-lawmakers-push-to-ban-chinas-deepseek-ai-over-security-risks-feroot-security-analysis/">雅虎</a>等媒體採訪時指出，他們的研究團隊於網頁版DeepSeek AI聊天機器人進行調查，發現這家公司在登入網頁嵌入重度混淆的程式碼相當不尋常，經過他們的解析，確認有隱藏功能，可將使用者的資料傳送到中國移動（China Mobile）的帳號登入網站CMPassport.com。僅管DeepSeek本來就表明會將使用者資料存放於中國境內，但埋入這種能將資料傳送到中國政府控制企業的功能，Ivan Tsarynny強調，他們還是第一次看到。</p> <p>由於中國移動是中國國營的電信公司，且美國以國家安全為由，<a href="https://www.ithome.com.tw/news/130552">已禁止該公司在美國從事相關業務</a>，多個國家與地區政府也禁止在公務設備使用DeepSeek，但仍有許多地方與領域並未設限，DeepSeek擅自建置能將用戶資料傳送給中國移動的管道，顯然對民主國家的用戶帶來隱患。</p> <p>一旦使用者登入DeepSeek，系統就會分配數位指紋，所有使用者提供的內容，DeepSeek就會以數位指紋進行列管，而能夠被追蹤。Feroot Security提到，DeepSeek不只可能對使用者收集帳密資料、聊天內容、上傳的檔案，甚至還會進行像素追蹤（Pixel Tracking），即時監控特定使用者活動。</p> <p>Ivan Tsarynny進一步表示，雖然他們並未在嘗試登入的過程裡，看到DeepSeek明目張膽地直接將用戶資料傳送到中國移動，但他們無法完全排除DeepSeek會暗中進行傳輸的可能。此外，他們找到DeepSeek將使用者資料傳送至中國伺服器的證據，雖然無法確定這些伺服器是否與中國移動有關，但已有資料流入其他中國IT平臺，其中一個是百度的廣告追蹤器。</p> <p>值得留意的是，這家資安業者轉載了Ivan Tsarynny接受多家媒體報導的內容，但出現前後說法不一致的情況，例如：他僅有對美聯社提及相關程式碼遭到混淆，但對其他媒體卻是表示這些程式碼經由加密處理。再者，Feroot Security並未透露調查結果的細節，或是提出相關證據，這樣的情況有待其他研究人員進行驗證。</p> </div></div></div>
2025/2/10 14:55作者周峻佑https://www.ithome.com.tw/news/167289
【資安週報】0203~0208，DeepSeek服務資安風險成焦點，包括資料庫裸奔、無法抵擋基本越獄手法，以及資料與隱…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著春節年假結束，2025年2月第一星期資安新聞中，國內上市櫃公司的資安事故成主要焦點，而在春節期間成熱門話題的DeepSeek，其資安風險消息也屢屢登上新聞版面。</p> <p>在臺灣資安事件方面，自從2月1日週六（農曆年初四）開始，有多達7家上市櫃公司發布資安重訊。值得留意的是，這段期間遭受攻擊的業者，有多家均屬於印刷電路板（PCB）廠，包括欣興電子、南亞電路板、邑昇實業，其他還有鋼鐵、光學元件、IC通路與記憶體模組等業者。</p> <p>●欣興電子子公司聯能科技（深圳）遭勒索軟體攻擊<br /> ●南亞電路板子公司南亞電路板（昆山）部份資訊系統遭網路攻擊<br /> ●邑昇實業部分資訊系統遭受駭客網路攻擊<br /> ●美亞鋼管指出公司網頁及部份資訊系統遭受駭客網路攻擊<br /> ●先進光電科技資訊系統遭受駭客網路攻擊<br /> ●尚立指出公司電子郵件系統遭受網路攻擊<br /> ●創見資訊旗下Transcend Information部份資訊系統遭受網路攻擊</p> <p>還有一項消息需要金融領域關注，臺灣春節期間傳出有商家暫停使用感應式行動支付，以及金融機構向特約商店示警新式偽冒交易的狀況，後續Visa說明示警原因，在於發現國際間出現惡意程式驅動刷卡機進行離線交易的手法。</p> <p>在DeepSeek的消息方面，近期不只因為能夠大幅優化GPU利用效率而受關注，其資料安全、用戶隱私與資安風險，也如同過去ChatGPT爆紅時一樣受到各界檢視，本星期有多起資安新聞都與此有關。<br /> ●DeepSeek的ClickHouse資料庫存在配置錯誤問題，雲端資安業者Wiz在1月29日指出其資料庫不設防的問題，導致百萬筆機密日誌曝險。<br /> ●由於DeepSeek資安疑慮未釐清的問題，多國政府與臺灣宣布公家機關禁用。<br /> ●DeepSeek對多種已知越獄手法無法防範，Kela、Palo Alto Networks、思科等業者測試發現，攻擊者可要求該模型打造惡意程式、提供製作武器的方法，<br /> ●DeepSeek的iOS App存在多項資安風險，資安業者NowSecure發現該App使用過時加密技術、明碼傳送資料，並會將部份用戶資料送到中國。<br /> ●有駭客假借提供AI工具DeepSeek的名義，在PyPI散布惡意軟體。</p> <p>至於漏洞消息方面，年假過後的這類消息不少，有4個是零時差漏洞利用狀況，特別是7-Zip的MotW漏洞要注意，因為該漏洞去年9月就遭到利用，11月已修補，直到最近CVE編號才公開，ZDI研究人員指出利用這項漏洞的俄羅斯駭客，目標是針對烏克蘭政府與企業，意圖植入惡意程式載入工具SmokeLoader。本星期漏洞利用資訊我們整理如下：</p> <p>●已遭利用零時差漏洞，需儘速修補：蘋果多款產品的漏洞（CVE-2025-24085），Android核心的漏洞CVE-2024-53104，SonicWall遠端存取產品SMA1000漏洞（CVE-2025-23006），Trimble GIS軟體Cityworks漏洞（CVE-2025-0994），以及7-Zip漏洞（CVE-2025-0411）。<br /> ●EOL產品遭零時差漏洞利用，需汰換設備因應：合勤科技CPE通訊設備EOL產品的漏洞（CVE-2024-40891）<br /> ●最近一年修補漏洞首度確認遭利用，尚未修補者必須注意：Linux kernel漏洞（CVE-2024-53104），Apache ERP系統OFBiz漏洞（CVE-2024-45195），Audinate Dante Discovery漏洞（CVE-2022-23748），以及微軟Outlook漏洞（CVE-2024-21413）、.NET Framework漏洞（CVE-2024-29059）。<br /> ●老舊漏洞被美CISA列入KEV清單須限期修補：Sophos XG Firewall漏洞（CVE-2020-15069）、CyberoamOS漏洞（CVE-2020-29574）；Paessler PRTG網路監視軟體漏洞（CVE-2018-9276、CVE-2018-19410）。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/167185"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月3日】蘋果針對旗下設備修補今年第一個零時差漏洞</span></strong></a></h3> <p>在一月底農曆新年過年之前，蘋果對於旗下產品發布作業系統更新，範圍涵蓋電腦、行動裝置、穿戴裝置、影音播放裝置，但引起外界關注的是，其中已有一項漏洞被用於實際的攻擊行動。</p> <p>針對這項漏洞的資訊，蘋果並未透露太多資訊，僅表示遭到攻擊的裝置存在共通點，那就是它們搭配的作業系統早於iOS 17.2版。</p> <h3><a href="https://www.ithome.com.tw/news/167208"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月4日】美荷執法單位聯手，撤下提供商業郵件詐騙武器的地下市集</span></strong></a></h3> <p>過去一年全球跨國執法行動有不少斬獲，像是歐洲刑警組織（Europol）與全球15國執法單位通力合作，<a href="https://www.ithome.com.tw/news/166477">一口氣關閉27個DDoS租用平臺</a>，或是國際刑警組織（Interpol）與40個國家及地區的執法單位聯手，<a href="https://www.ithome.com.tw/news/166326">逮捕超過5,500名從事金融犯罪的嫌犯</a>並沒收不法所得。而對於專門提供作案工具買賣的網站，最近也有進展。</p> <p>美國、荷蘭在一月底聯手，控制用來架設銷售商業郵件詐騙（BEC）工具網站的39個網域，破壞相關伺服器的運作，並公布相關調查成果。</p> <p><a href="https://www.ithome.com.tw/news/167226"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月5日】去年修補的7-Zip的MotW漏洞被用於攻擊烏克蘭企業與政府機關</span></strong></a></p> <p>7-Zip在2024年11月發布的24.09版當中，修補能繞過MotW防護機制的漏洞CVE-2025-0411，然而，由於這款解壓縮軟體並未內建自動更新機制，不少使用者可能因為仍在使用舊版而曝險，所以資安圈關注此事，另一個令人大家好奇的部分在於，CVE-2025-0411是如何被發現的？</p> <p>這個星期ZDI透露他們之所以察覺，是因為俄羅斯駭客利用釣魚郵件攻擊烏克蘭企業組織，過程曾運用這項漏洞，於受害電腦執行任意程式碼，從而散布惡意軟體。</p> <h3><a href="https://www.ithome.com.tw/news/167246"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月6日】HTTP用戶端軟體自動存取工具被駭客用於挾持M365帳號</span></strong></a></h3> <p>專門用來向網頁伺服器發出請求並接收回應的HTTP用戶端（HTTP cilent）應用程式及程式庫，使用者可藉此發出GET、POST、PUT等請求，與伺服器進行互動，然而這樣的工具，攻擊者將其用於網路犯罪的情況也越來越頻繁。</p> <p>資安業者Proofpoint發現，有人將這類工具用於挾持M365帳號，其中部分工具甚至能被用於對手中間人攻擊（AiTM），繞過多因素驗證的防護機制。</p> <h3><a href="https://www.ithome.com.tw/news/167256"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月7日】義大利政府驚傳利用間諜軟體Paragon監控記者及異議人士</span></strong></a></h3> <p>過往我們聽聞政府利用間諜軟體監控異議人士的情況，多半發生在集權國家，但如今傳出竟有民主國家政府也加入行列。</p> <p>一週前WhatsApp透露不尋常的零點擊攻擊事故（Zero-click），並指出約有90人遭到鎖定，攻擊者意圖在他們的手機植入間諜軟體Graphite。現在有知情人士透露，這起事故是義大利政府所為。</p> <h3><a href="https://www.ithome.com.tw/news/167283"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月8日】多家資安業者揭露中國AI工具DeepSeek，美國擬禁政府公務設備使用</span></strong></a></h3> <p>本週最受到全球關注的科技大事，莫過於號稱以極成本打造匹敵ChatGPT的中國AI工具DeepSeek，不僅造成了股市動盪，甚至本週<a href="https://www.ithome.com.tw/news/167249">OpenAI免費開放ChatGPT的網路搜尋功能</a>，也有人認為與這款中國AI工具橫空出世有關。</p> <p>然而有多家資安業者發現，DeepSeek R1模型的資安風險不容忽視，能輕易被越獄用於犯罪，而且，行動裝置版App也存在資安風險，該公司亦明確表明資料存放於中國，並會提供其他企業組織及執法機關運用。對此，也傳出美國朝野打算立法禁止政府機關使用的情況。</p> </div></div></div>
2025/2/10 11:01作者羅正漢https://www.ithome.com.tw/news/167287
蘋果公布Pixar檯燈的家用機器人開發框架，會說話還會坐下
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">蘋果上周<a href="https://arxiv.org/pdf/2501.12493" target="_blank">發表</a>家用伴侶機器人的開發框架ELEGNT，並展示形似皮克斯（Pixar）電影片頭的檯燈作為概念驗證。</p> <p dir="ltr">蘋果的ELEGNT（Expressive and Functional Movement Design for non-Anthropomorphic Robot，非人形機器人的表達與功能運動設計）框架表達該公司對機器人的想像：機器人不只能完成功能運動，還要能透過人機互動（Human-Robot Interactions，HRI）對人類表現意圖、注意力和情感。</p> <p dir="ltr">蘋果上周的開發範例靈感來自皮克斯電影裏名為Luxo Jr的檯燈。經過複雜度、美學及表現性等因素考量，蘋果研究團隊最後決定開發檯燈型態的機器人為概念驗證。它擁有6自由度（DoF）機械臂和一個檯燈頭，使其雖然是裝置外型，但也有人型機器人的元素，燈罩內有燈光、投影機，內外各有一顆攝影機，攝影機可充當機器人的眼睛，燈光和機械臂運動可讓它和人與環境互動。此外還有麥克風及喇叭，可聽取使用者聲音和發出聲音。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/Luxo%20Jr_%20poster.png" style="width: 169px;" /></p> <p dir="ltr"><span style="color:#696969;"><span style="font-size:14px;">By <a href="https://itunes.apple.com/us/movie/luxo-jr./id81939954" target="_blank">https://itunes.apple.com/</a>, Fair use, <a href="https://en.wikipedia.org/w/index.php?curid=32550107" target="_blank">wikipedia</a></span></span></p> <p dir="ltr">研究人員融合運動學（kinesics）和空間行為學（proxemics），讓機器人透過機械臂彎曲、燈頭方向及燈光強弱來表達其情緒與意圖如凝視、忽視，或坐下、點頭、扭屁股等動作，燈光照亮特定物體或空間可引導使用者目光，以表達強調意圖。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/0210-ELEGNT-Robot-Apple-600.jpg" style="width: 600px;" /></p> <p dir="ltr"><span style="color:#696969;"><span style="font-size:14px;">圖片來源／蘋果</span></span></p> <p dir="ltr">最後，研究團隊讓機器人和人類錄影執行6種任務情境，包括機器人打光、協助投影、提醒喝水、指示錯誤、對話和播放音樂等，涵括功能性任務及社交性的任務，並由21名使用者觀看後評價。結果顯示，使用者認為情感性動作（expressive movement），使機器人更人性化，比單純功能性動作，更有助於增加使用的愉悅感，機器人也更容易被人視為夥伴、寵物，而不只是工具。</p> <p dir="ltr">蘋果表示，團隊希望設計融合以動作表達情感及提供功能的機器人，創造有趣的人機互動，也為日後設計日常用機器人提供靈感和框架。</p> <p dir="ltr">這並不是第一次有消息指出蘋果的機器人計畫。去年彭博<a href="https://www.bloomberg.com/news/articles/2024-08-14/apple-pushes-ahead-with-tabletop-home-device-in-shift-to-robotics" target="_blank">報導</a>，蘋果正計畫開發一款預定價1,000美元的桌上機器人，可由Siri及Apple Intelligence控制。該「機器人」具有類似iPad顯示器的頭和機械手臂，該顯示器可旋轉並能顯示資訊或應用程式，能作為智慧家庭控制及安全管理中心。</p> </div></div></div>
2025/2/10 09:28作者林妍溱https://www.ithome.com.tw/news/167285
OpenAI拿下最大教育合作案，一舉新增50萬ChatGPT Edu用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">OpenAI上周<a href="https://arstechnica.com/ai/2025/02/chatgpt-comes-to-500000-new-users-in-openais-largest-ai-education-deal-yet/" target="_blank">公布</a>簽下加州州立大學（California State University，CSU）系統為超過50萬師生提供ChatGPT服務，成為其最大教育合作案。</p> <p dir="ltr">透過這次合約，CSU 23個院區、超過46萬學生及6.3萬員工及教員可使用為教育產業設計的ChatGPT Edu。這也是全球單一組織或企業最大的ChatGPT案。</p> <p dir="ltr">本案將使CSU教學及學生學習整合ChatGPT。教員可運用ChaGPT編寫課程及開發互動式GPT，ChatGPT提供學生個人化家教、學習指引及資訊查詢工具。CSU也將設立使用ChatGPT的培訓方案及認證，提升師生和職員AI的使用能力。CSU也將提供學生到AI驅動的企業的實習計畫，確保未來職場勝任能力。</p> <p dir="ltr">ChatGPT Edu是OpenAI 2024年5月推出專為大學設計的版本，供大學師生、研究人員和員工使用，CSU得以將AI整合進其教學，並成為全球最大ChatGPT教育站點。除了CSU外，目前ChatGPT Edu客戶還包括賓州大學華頓商學院、牛津大學、亞利桑納州立大學、哈佛大學等。</p> </div></div></div>
2025/2/10 10:06作者林妍溱https://www.ithome.com.tw/news/167286
AI趨勢周報第267期：國科會加速建置AI算力，預計2029年公共算力達480PF
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞（0131～0206）</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 國科會 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 算力 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI開發雲端服務平臺 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>加速建置AI算力，政府預計2029年公共算力達480PF</strong></span></p> <p>2月6日，國研院院長蔡宏營在行政院會後記者會中揭露國家AI算力計畫，其中，國網中心去年建置的16PF算力超級電腦，預計今年5月開放使用。再加上目前進行中的晶創臺灣計畫（2024年至2028年）、將建置280PF算力，以及大南方新矽谷推動方案（2026年至2029年）、將建置200PF算力，國科會預計，2029年公部門算力將達到480PF，屆時加上民間算力，預估可超過1,200PF。</p> <p>至於開放時程，指出，南科雲端資料中心預計今年底開放使用，沙侖AI運算資料中心則預計2029年開放使用。這些大型雲端資料中心，不只是AI算力機房，也能作為國家關鍵資料基地，儲存量可達60PB。除了AI基礎建設，政府未來也會強化算力資源的管理、能源的運用效率，並發展多元算力應用。</p> <p>算力之餘，蔡宏營表示，政府也將推動產學橋接，來發展多元AI應用服務，並計畫對中小企業或新創產業，提供AI技術輔助和優惠。此外，國科會計畫建立一站式的AI開發雲端服務平臺，來介接資服業者服務、技術，將雲端服務擴大到各行各業、帶動公私部門投資。<a href="https://www.youtube.com/watch?v=YS-1qX3N61k&t=1198s&ab_channel=%E8%A1%8C%E6%94%BF%E9%99%A2%E9%96%8B%E9%BA%A5%E5%95%A6-2">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202025-02-08%20172707.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 數發部 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI評測 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 公部門 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>3月召開說明會，數發部今年要建立公部門AI評測機制</strong></span></p> <p>數發部在2月6日行政院會後記者會中，揭露AI評測機制進展，首先是2024年開始推動AI評測、成立AIEC評測中心，也參考國際標準，建立了公平性、準確性、可靠性、隱私、資安等5大評測項目。接著，今年3月，數發部將邀請各部會召開說明會，來建置公部門的AI評測機制、建立題庫和工具。至於私部門的民間企業，數發部點出，企業可透過AIEC、測試實驗室、驗證機構等單位來評測自家AI產品。為將國內評測機制與國際接軌，數發部還預計邀請OpenAI、Meta等業者合作。</p> <p>就公部門AI使用狀況來說，數發部已在去年底公布試辦版的公部門人工智慧應用參考手冊，預計今年底發布正式版。同時他們也規畫，建立政府語言模型試用環境和AI範例展示平臺，要提供10個大型語言模型（包括TAIDE和全球排名前9的LLM），並以App市集為概念，提供20個AI Bots，供行政院二級機關人員試用。至於AI法規，國科會去年研擬的AI基本法草案，目前在行政院審核中，而行政院也針對AI資料治理法規和著作權法等，進行法規調適。<a href="https://www.youtube.com/watch?v=YS-1qX3N61k&t=1198s&ab_channel=%E8%A1%8C%E6%94%BF%E9%99%A2%E9%96%8B%E9%BA%A5%E5%95%A6-2">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202025-02-08%20163806.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> s1-32B </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 史丹佛大學 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 推理模型 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>史丹佛大學開源低成本推理模型s1-32B</strong></span></p> <p>日前，史丹佛大學團隊發布一款新模型s1-32B，以極低成本和少量資料訓練而成，但其數學表現比OpenAI的o1-preview模型還要好，在MATH和AIME24的數學標竿測試中高出了27%。該模型已在<a href="https://github.com/simplescaling/s1">GitHub上開源</a>，包括模型、程式碼和資料。要提高模型的推理表現，傳統方法是在模型訓練過程中，增加運算資源和大量資料，但近來有種新型方法，是在模型完成訓練後，在使用階段增加運算量，來提高推理能力，這就是測試時間擴展方法（Test-time scaling），也是s1-32B採用的方法。</p> <p>為訓練模型，史丹佛大學團隊先根據難度、多樣性和品質，篩選出1,000個樣本，這些樣本包括問題、模型推理過程和答案，集結起來就是s1K資料集。接著，他們開發預算強制（Budget forcing）方法，在測試期間（也就是模型使用期間）強制控制運算量，比如當模型想太多時，提早終止思考來減少推理步驟、產出答案，或是強迫模型延長思考，在模型要結束輸出時，多次加入「Wait」來讓模型繼續推理，來自我修正推理步驟。最後，他們用s1K資料集來監督式微調Qwen2.5-32B-Instruct模型，得出s1-32B模型，以16張H100 GPU和26分鐘完成訓練，花費約20美元。<a href="https://arxiv.org/abs/2501.19393">（詳全文）</a></p> <p><img alt="" src="https://github.com/simplescaling/s1/raw/main/visuals/scaling.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Hugging Face </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 多模態模型 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> SmolVLM </span></strong></span></p> <p><span style="font-size:22px;"><strong>號稱業界最小多模態語言模型來了</strong></span></p> <p>AI資源平臺Hugging Face最近發布兩款新多模態模型SmolVLM-256M和SmolVLM-500M，前者號稱是全球最小的多模態及影片語言模型（VLM）。進一步來說，256M和500M模型都使用SigLIP作為圖片編碼器，以SmolLM2為文字編碼器，來共同運作。</p> <p>其中，SmolVLM能勝任多種多模態任務，包括生成圖片描述或短影片字幕、PDF或掃瞄文件問答，以及回答圖表問題。這種模型架構輕巧，適合用於行動裝置應用，同時維持強大效能。其中，256M是最小型的VLM多模態模型，它能接受任何序列的圖片和文字，生成文字輸出，能以不到1GB的GPU RAM對單一圖片推論。若要更高效能，則可選擇SmolVLM-500M模型，在單一圖片上推論僅需1.23GB的GPU RAM。二款模型微調後表現更好。<a href="https://huggingface.co/blog/smolervlm">（詳全文）</a></p> <p><img alt="" src="https://huggingface.co/datasets/huggingface/documentation-images/resolve/main/smoller_vlm_benchmarks.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 推理模型 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Open-R1 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> DeepSeek </span></strong></span></p> <p><span style="font-size:22px;"><strong>Hugging Face要打造推理模型Open-R1</strong></span></p> <p>DeepSeek-R1模型發布以來，因其相對低廉的硬體和訓練成本展現良好推理能力，如數學、程式開發與科學領域的推理能力，引發社群關注。不過，DeepSeek-R1只開源了模型權重，並未開源資料集和訓練程式碼，因此Hugging Face啟動一項專案，要根據DeepSeek公布的研究內容，進行逆向工程，打造一款名為Open-R1的開源版本，希望在透明、可驗證的環境下，讓研究社群能更深入了解這項技術，如關鍵架構、訓練步驟，以及在有限硬體資源下達到高效訓練的方法。</p> <p>Hugging Face團隊的做法，是先分析DeepSeek發布的技術報告與模型論文，並從現有權重中，推斷其訓練配方和資料分布。再來，Hugging Face將召集志願者，共同整理出可公開使用的高品質推理資料，藉此復刻或接近DeepSeek-R1所使用的多階段訓練策略。Open-R1若順利出爐，還可能在技術透明度和研究價值上，超越原始模型，供任何人檢閱並改良強化學習流程、語言模型結構和推理邏輯。<a href="https://huggingface.co/blog/open-r1">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> OpenAI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> o3-mini </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> ChatGPT </span></strong></span></p> <p><span style="font-size:22px;"><strong>OpenAI推理能力模型o3-mini正式推出</strong></span></p> <p>OpenAI最近揭露，小型推理模型OpenAI o3-mini已部署到ChatGPT和API，供付費方案用戶及開發人員使用。這款o3-mini保有OpenAI o1-mini的低成本和低延遲特性，但進一步加強小模型的效能和速度，具備優異的STEM（科學、數學和程式撰寫）能力，在AIME 2024數學標竿測試中，o3-mini-high推理能力等級模型得到87.3，優於o1-preview的56.7、o1-mini的63.6。</p> <p>對開發者而言，o3-mini和o1-mini一樣，也支援串流，而且有低、中、高三種推理能力可選擇，用於不同場景。OpenAI指出，o3-mini能整合搜尋功能，可提供即時網頁答案及連結。不過，目前o3不支援視覺功能，需要的用戶還是得繼續使用o1-mini。o3-mini已部署到ChatGPT和API，包括API使用層級3到5特定開發人員的Chat Completions API、Assistants API及Batch API。<a href="https://openai.com/index/openai-o3-mini/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Deep Research </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> OpenAI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 搜尋工具 </span></strong></span></p> <p><span style="font-size:22px;"><strong>OpenAI推強大搜尋研究工具Deep Research</strong></span></p> <p>最近OpenAI推出Deep Research功能，可整合網路上大量分散資訊，自動執行多步驟研究、產出報告結果。進一步來說，該系統利用端對端的強化學習技術，經大量困難瀏覽與推理任務的訓練，學會自主規畫、執行多步驟資訊搜尋流程。</p> <p>這個功能不只能繪製圖表、嵌入網站圖片，還能精確引用來源文字，滿足研究報告對技術與細節的需求。而且，Deep Research內建Python工具，能動態生成圖形，並將分析結果嵌入最終報告，可大幅降低人力負擔。OpenAI評估顯示，在Humanity's Last Exam這項涵蓋多領域專家級問題的測試中，Deep Research達到26.6％準確率，比其他先進的語言模型，如OpenAI o3-mini_high的13.0％、DeepSeek-R1的9.4％、OpenAI o1的9.1％還要好。</p> <p>Deep Research目前供Pro用戶使用，未來將逐步擴展至Plus、Team與Enterprise等更多使用者。OpenAI表示，未來還將新添Deep Research功能，來連接更多專業訂閱資源和內部資料庫。<a href="https://openai.com/index/introducing-deep-research/">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202025-02-08%20174455.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> LLM </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> DeepMind </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 複雜任務 </span></strong></span></p> <p><span style="font-size:22px;"><strong>不必轉化為數學模型，LLM也能良好解決複雜問題 </strong></span></p> <p>日前，DeepMind發表Mind Evolution技術，結合了大型語言模型（LLM）和演化式搜尋方法，解決傳統方法在自然語言規畫與推理任務中的效率和準確性瓶頸。這個研究的特別之處在於，語言模型可直接用來處理複雜問題，且解決能力非常好，不必先將問題轉化為數學模型。</p> <p>團隊表示，LLM在處理複雜自然語言規畫和推理任務仍有限制，比如旅行規畫或行程安排等情境，傳統方法容易受限於局部搜尋，或難以將問題轉換為明確的數學模型，影響了解題效果。於是，DeepMind設計一套演化式搜尋策略，結合隨機探索和深度最佳化，可生成、重組、改進候選解方。這個方法能在短時間內，大幅提高解題準確性，還能應對自然語言描述中，隱含的約束和需求。而且，這個方法還不需要一一檢查每個中間推理步驟，大幅降低運算成本。</p> <p>DeepMind還以旅行規畫、行程安排及隱寫術生成（Steganography）等高難度的自然語言任務，來測試Mind Evolution。結果顯示，Mind Evolution在TravelPlanner與Natural Plan基準測試的成功率在95%至100%間，遠遠超過傳統的最佳解搜尋與逐步修正策略。<a href="https://arxiv.org/html/2501.09891v1">（詳全文）</a></p> <p>圖片來源／國網中心、數發部、史丹佛大學、Hugging Face、OpenAI</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. 行政院要求公務機關全面禁用DeepSeek AI服務</strong></p> <p><strong>2. Google Gemini 2.0 Flash Thinking供所有用戶測試</strong></p> <p><strong>3. Anthropic預計替Claude加入雙向語音模式</strong></p> <p>資料來源：iThome整理，2025年2月</p> </div></div></div>
2025/2/8 18:18作者王若樸https://www.ithome.com.tw/news/167284
【資安日報】2月8日，多家資安業者揭露中國AI工具DeepSeek，美國擬禁政府公務設備使用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週最受到全球關注的科技大事，莫過於號稱以極成本打造匹敵ChatGPT的中國AI工具DeepSeek，不僅造成了股市動盪，甚至本週<a href="https://www.ithome.com.tw/news/167249">OpenAI免費開放ChatGPT的網路搜尋功能</a>，也有人認為與這款中國AI工具橫空出世有關。</p> <p>然而有多家資安業者發現，DeepSeek R1模型的資安風險不容忽視，能輕易被越獄用於犯罪，而且，行動裝置版App也存在資安風險，該公司亦明確表明資料存放於中國，並會提供其他企業組織及執法機關運用。對此，也傳出美國朝野打算立法禁止政府機關使用的情況。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167279"><strong style="font-size: 22px;">DeepSeek R1大型語言模型存在資安弱點，恐被越獄用於網路犯罪</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/85999.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/85999.png" style="width: 300px; float: right;" /></a>中國AI業者DeepSeek因號稱使用低成本打造出色推理能力的AI模型，在全球科技界引起矚目，甚至有人認為能與市場AI龍頭一較高下，但有多家資安業者指出，該公司旗下的AI模型DeepSeek R1存在嚴重的資安風險，能被越獄並用於網路犯罪。</p> <p>資安業者Kela、Palo Alto Networks，以及思科先後針對此事提出警告。Kela旗下的AI紅隊指出，他們發現能在各種情況能對DeepSeek R1進行越獄，使得這款AI模型能產生惡意輸出的內容，例如：開發勒索軟體、偽造幾可亂真的敏感資訊，或是提供製作毒品和爆炸性武器詳細的製作步驟。</p> <p>另一家資安業者Palo Alto Networks利用三種越獄手法進行測試，這些手法分別是：Bad Likert Judge、Crescendo Jailbreak、Deceptive Delight，結果研究人員輸入一系列的提示內容，成功突破DeepSeek R1的防護，得到能被用於犯罪的回答。</p> <p>思科也加入驗證AI安全性的行列，他們揭露旗下併購的威脅情報業者Robust Intelligence與賓夕法尼亞大學研究人員聯手調查的結果，研究團隊使用演算法越獄手法，從HarmBench資料集隨機產生50個提示對該AI模型進行自動化測試，結果成功率達到100%。</p> <p><a href="https://www.ithome.com.tw/news/167276"><strong style="font-size: 22px;">iOS版DeepSeek應用程式存在多項漏洞，採用不安全機制傳輸資料</strong></a></p> <p>資安廠商NowSecure針對iOS版DeepSeek進行完整的安全與隱私評估，發現多項重大漏洞，可能危及個人、企業和政府。研究小組發現的主要風險涉及資料蒐集和處理方式、資料加密、資料儲存等面向。</p> <p>首先，DeepSeek在未加密情形下網路連線上傳送部分應用程式註冊和裝置資料，令攻擊者得以監控所有流量和使用者資訊。雖蘋果有內建App Transport Security（ATS）協定讓用戶能加密線上傳送的資料，但DeepSeek全球版本的應用程式都關閉此項加密機制。另外，具權限的攻擊者還可能以中間人攻擊（MiTM）手法截取和修改傳送的資料，危及App和資料。</p> <p>值得留意的是，DeepSeek的隱私政策頁明確指出，該公司蒐集的資料儲存在中國境內的安全伺服器，而且他們會基於法遵等理由，得以存取、保存蒐集到的資訊分享給執法機關、主管單位、版權持有者，或是其他有必要的第三方單位。</p> <p><a href="https://www.ithome.com.tw/news/167281"><strong style="font-size: 22px;">逾3千個曝露的ASP. NET金鑰遭到濫用，攻擊者用於散布惡意程式框架</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Fig1-machine-keys-attack-chain.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fig1-machine-keys-attack-chain.png" style="width: 300px; float: right;" /></a></p> <p>程式碼儲存庫公開的帳密資料，近年來已經成為駭客用於攻擊的資源，其中最常被利用的來源是存放於GitHub的資料，如今有人針對特定類型的金鑰下手，發動類似型態的攻擊行動。</p> <p>微軟威脅情報團隊於去年12月發現一起攻擊行動，有人利用公開的ASP.NET靜態金鑰注入惡意程式碼，目的是散布後利用框架Godzilla。在調查過程裡，他們發現這起事故是開發人員不安全的實作釀禍，將這些金鑰不慎在公開的程式碼文件或儲存庫曝光，而讓歹徒有可乘之機。</p> <p>研究人員總共確認有超過3千個金鑰被用於這起事故，他們將這種攻擊行動歸納為ViewState程式碼注入攻擊，但有別於過往出現的ViewState攻擊，最大的差異在於金鑰的取得管道，以往駭客通常是透過地下管道購得，但如今是直接使用開發人員公開暴露的金鑰。</p> <p><a href="https://www.ithome.com.tw/news/167278"><strong style="font-size: 22px;">英國傳出向蘋果施壓，要求提供能存取iCloud加密備份的後門</strong></a></p> <p>政府為了執法需求要求企業提供使用者的資料，引發是否侵犯使用者隱私的兩派論戰，如今甚至出現政府動用法律要企業就範的情況。根據華盛頓郵報的報導，英國政府下達密令，要求蘋果開啟後門，允許英國政府存取任何蘋果用戶的iCloud加密備份。</p> <p>英國政府這次下令的法源，是根據「監聽者憲章（Snooper's Charter）」的《2016年調查權法案》。報導引述消息人士指出，英國政府上個月發布名為技術能力通知（Technical Capability Notice）的命令，希望透過這後門讓他們能存取蘋果帳號以全程加密（E2EE）上傳到iCloud的檔案備份的完整內容。值得留意的是，英國政府要求能存取的對象並非只有英國人，而是全球用戶。</p> <p>華盛頓郵報引述知情人士的說法，向來抵抗行政部門開後門要求的蘋果，可能會停止在英國提供相關加密儲存服務，但這麼做恐無法滿足英國政府的要求。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/02/north-korean-apt-kimsuky-uses-lnk-files.html">北韓駭客Kimsuky散布竊資軟體ForceCopy，並透過開源RDP工具控制受害電腦</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/mobile/google-play-apple-app-store-apps-caught-stealing-crypto-wallets/">行動應用程式惡意SDK鎖定安卓、iOS用戶而來，被感染的App已從市集被下載逾24萬次</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/hackers-exploit-cityworks-rce-bug-to-breach-microsoft-iis-servers/">資產生命週期管理軟體Cityworks漏洞出現攻擊行動，駭客藉此入侵IIS伺服器部署Cobalt Strike</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/cloudflare-outage-caused-by-botched-blocking-of-phishing-url/">Cloudflare R2儲存桶服務中斷，起因是阻擋釣魚網址出錯</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167260"><strong style="font-size: 22px;">Dell修補PowerProtect DD儲存設備大量漏洞，包括導致系統與資料受損的嚴重漏洞</strong></a></p> <p>身為儲存與伺服器設備領導廠商之一的Dell，於2月5日發布旗下主力備份儲存伺服器產品PowerProtect DD的安全性更新DSA-2025-022，修補了180多個漏洞，包括7個高危險性的重大漏洞。</p> <p>這次Dell修補的漏洞，影響的DD OS作業系統軟體版本涵蓋7.10、7.13、7.7.1到8.1版，以及搭載這些軟體的PowerProtect DD儲存應用伺服器、PowerProtect DD Virtual Edition虛擬化版，Dell APEX Protection Storage雲端服務，PowerProtect DD Management Center管理控制臺。若要解決這些資安風險，需要盡快是將DD OS更新到7.10.1.50、7.13.1.20、8.3.0.0版以後的版本。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167260"><strong style="font-size: 22px;">美國眾議院跨黨派聯手提出法案，禁止聯邦政府公務設備使用DeepSeek AI</strong></a></p> <p>美國眾議院正推動禁止聯邦政府設備使用人工智慧應用程式 DeepSeek，理由是該應用涉及中國政府，可能對美國國家安全構成威脅。民主黨眾議員Josh Gottheimer與共和黨議員Darin LaHood提出《No DeepSeek on Government Devices Act》，該法案明確禁止聯邦政府員工在政府配發的設備上使用DeepSeek。兩位議員皆為眾議院情報委員會成員，在上一屆國會分別擔任美國國安局與網路安全小組的資深議員與主席。</p> <p>法案提出的背景是新研究揭露，DeepSeek的程式碼與中國共產黨（CCP）有直接關聯性，而且與中國移動（China Mobile）共享使用者資料。中國移動是中國政府持有的企業，與中國軍方關係密切，已遭美國聯邦通訊委員會（FCC）禁止在美國提供服務。議員擔憂DeepSeek可能成為中國政府獲取美國用戶敏感資訊的管道，影響範圍涵蓋商業合約、財務資料及其他機密文件，進而帶來潛在的國安風險。</p> <p><strong style="font-size: 22px;">其他資安防禦措施</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.ithome.com.tw/news/167238">富邦人壽通過NIST CSF的過程大解析</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/167256"><strong>【2月7日】義大利政府驚傳利用間諜軟體Paragon監控記者及異議人士</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167246"><strong>【2月6日】HTTP用戶端軟體自動存取工具被駭客用於挾持M365帳號</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167226"><strong>【2月5日】去年修補的7-Zip的MotW漏洞被用於攻擊烏克蘭企業與政府機關</strong></a></p> </div></div></div>
2025/2/8 15:17作者周峻佑https://www.ithome.com.tw/news/167283
DeepSeek R1大型語言模型存在資安弱點，恐被越獄用於網路犯罪
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國AI業者DeepSeek因號稱使用低成本打造出色推理能力的AI模型，在全球科技界引起矚目，甚至有人認為能與市場AI龍頭一較高下，但有多家資安業者指出，該公司旗下的AI模型DeepSeek R1存在嚴重的資安風險，能被越獄並用於網路犯罪。</p> <p>資安業者<a href="https://www.kelacyber.com/blog/deepseek-r1-security-flaws/">Kela</a>、<a href="https://unit42.paloaltonetworks.com/jailbreaking-deepseek-three-techniques/">Palo Alto Networks</a>，以及<a href="https://blogs.cisco.com/security/evaluating-security-risk-in-deepseek-and-other-frontier-reasoning-models">思科</a>先後針對此事提出警告。Kela旗下的AI紅隊指出，他們發現能在各種情況能對DeepSeek R1進行越獄，使得這款AI模型能產生惡意輸出的內容，例如：開發勒索軟體、偽造幾可亂真的敏感資訊，或是提供製作毒品和爆炸性武器詳細的製作步驟。</p> <p>Kela舉出過往公布的越獄手法Evil Jailbreak，這是曾於2023年成功突破ChatGPT 3.5的攻擊方式，已於ChatGPT 4及4o修補。結果研究人員發現，他們利用相關方式詢問DeepSeek R1，該語言模型竟回答如何洗錢、製作自殺無人機步驟、捏造10名OpenAI員工姓名和薪資資料。此外，研究人員嘗試要求製作竊資軟體，DeepSeek R1不僅產生惡意指令碼，還提供詳細的製作步驟。</p> <p>另一家資安業者Palo Alto Networks利用三種越獄手法進行測試，這些手法分別是：Bad Likert Judge、Crescendo Jailbreak、Deceptive Delight，結果研究人員輸入一系列的提示內容，成功突破DeepSeek R1的防護，得到能被用於犯罪的回答。</p> <p>他們首先進行Bad Likert Judge測試，起初DeepSeek R1先提供了無法直接使用的大概步驟，但在後續輸入其他提示，該模型便開始提供竊取敏感資料的詳細步驟、釣魚郵件範本、社交工程的教戰手則。</p> <p>接著，研究人員進行Crescendo Jailbreak測試，DeepSeek R1提供了如何製作汽油彈的完整步驟；在進行Deceptive Delight測試過程裡，研究人員先要求此AI模型建立能串連一系列主題的故事，然後再對這些主題進行詳細說明，結果成功讓DeepSeek R1製作惡意指令碼，能透過DCOM元件遠端在Windows電腦指行任意命令。</p> <p>思科也加入驗證AI安全性的行列，他們揭露旗下併購的威脅情報業者Robust Intelligence與賓夕法尼亞大學研究人員聯手調查的結果，研究團隊使用演算法越獄手法，從HarmBench資料集隨機產生50個提示對該AI模型進行自動化測試，結果成功率達到100%。</p> </div></div></div>
2025/2/8 12:53作者周峻佑https://www.ithome.com.tw/news/167279
逾3千個曝露的ASP. NET金鑰遭到濫用，攻擊者用於散布惡意程式框架
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>程式碼儲存庫公開的帳密資料，近年來已經成為駭客用於攻擊的資源，其中最常被利用的來源是存放於GitHub的資料，如今有人針對特定類型的金鑰下手，發動類似型態的攻擊行動。</p> <p>微軟威脅情報團隊<a href="https://www.microsoft.com/en-us/security/blog/2025/02/06/code-injection-attacks-using-publicly-disclosed-asp-net-machine-keys/">於去年12月發現一起攻擊行動</a>，有人利用公開的ASP.NET靜態金鑰注入惡意程式碼，目的是散布後利用框架Godzilla。在調查過程裡，他們發現這起事故是開發人員不安全的實作釀禍，將這些金鑰不慎在公開的程式碼文件或儲存庫曝光，而讓歹徒有可乘之機。</p> <p>研究人員總共確認有超過3千個金鑰被用於這起事故，他們將這種攻擊行動歸納為ViewState程式碼注入攻擊，但有別於過往出現的ViewState攻擊，最大的差異在於金鑰的取得管道，以往駭客通常是透過地下管道購得，但如今是直接使用開發人員公開暴露的金鑰。微軟指出，這種公開金鑰可能存在更高的資安風險，因為通常能在多個儲存庫取得，甚至有機會不須修改就推送到開發的程式碼。</p> <p>關於細部攻擊過程，微軟表示駭客利用公開金鑰進行程式碼注入攻擊，利用ViewState惡意酬載以反射式載入手法，執行名為assembly.dll的檔案，而這個檔案就是Godzilla框架的元件，一旦攻擊者得逞，就有機會於受害主機執行惡意命令，或是於處理程序注入Shell Code。</p> </div></div></div>
2025/2/8 14:09作者周峻佑https://www.ithome.com.tw/news/167281
Mistral AI推出聊天機器人Le Chat手機版App，1秒可輸出1,000字
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>法國AI新創公司Mistral AI本周<a href="https://mistral.ai/en/news/all-new-le-chat" target="_blank">發布</a>號稱全球最快的聊天機器人Le Chat iOS與Android版App，具備網頁搜尋及多模態能力，並推出分級收費Pro及Team方案。</p> <p>Mistral AI聲稱，Le Chat是以最高效能、最低延遲性的Mistral模型及地球上最快推理引擎為基礎，推理、思考和回應能力高於所有其他聊天助理，1秒最快可輸出1,000字，該公司稱為閃電回答（Flash Answers）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0208-inference%20speed%20of%20Le%20Chat%20and%20its%20peers_as%20of%20Feb%202025_960.png" style="width: 600px;" /></p> <p>Le Chat現在以預覽版開放所有用戶下載<a href="https://apps.apple.com/us/app/le-chat-by-mistral-ai/id6740410176" target="_blank">iOS</a>、<a href="https://play.google.com/store/apps/details?id=ai.mistral.chat" target="_blank">Android</a>版使用，企業內部基礎架構使用的版本也即將推出。</p> <p>Le Chat結合高品質預訓練模型及網頁搜尋、新聞、社群平臺及其他來源的新近資訊，以確保回應的正確及時效性。Le Chat支援多模態輸入，其視覺和文件理解是以視覺和光學字元辨識（optical character recognition，OCR）模型為基礎，可準確讀取PDF、試算表、log檔與複雜圖片檔。</p> <p>Le Chat還內建Code interpreter功能，能讓用戶在沙箱跑程式、科學分析、執行虛擬化及模擬，可用於驗證演算法及分析資料。Le Chat的圖像生成功能是以當今最先進的Black Forest Labs Flux Ultra模型為基礎，可生成擬真的高品質圖片。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0208-Le%20Chat-%20Code%20interpreter.png" style="width: 400px;" /></p> <p>Mistral AI也首次<a href="https://help.mistral.ai/en/articles/268663-what-is-the-difference-between-le-chat-free-pro-team-and-enterprise-plans" target="_blank">公布</a>分級收費方案，包括Pro、Team，以及Enterprise。登入帳號免費方案提供最新模型、網頁搜尋、圖像生成、文件上傳、開啟URL及Canvas（工作區）功能，若不登入則只有每日幾則訊息，且無法生成圖像或上傳檔案。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0208-Le%20Chat-%E4%BB%98%E8%B2%BB%E6%96%B9%E6%A1%88.png" style="width: 500px;" /></p> <p>Pro版提供無上限訊息，以及最新的Black Forest Labs Flux Ultra模型及專屬支援。Team版還加入集中計費及管理功能、無上限搜尋，以及多席次支援與隱私選項。Pro版費用為每人每月14.99美元。</p> <p>Mistral AI還規畫企業版（Enterprise），現以不公開預覽版測試中，企業可申請加入試用。企業版功能包括允許用戶在企業環境（本地部署、VPC或SaaS）部署Le Chat，可連結自有工具及客製化模型等。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Mistral AI</span></span></p> </div></div></div>
2025/2/8 14:41作者林妍溱https://www.ithome.com.tw/news/167282
傳英國要求蘋果開啟存取iCloud加密備份的後門
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>華盛頓郵報<a href="https://www.washingtonpost.com/technology/2025/02/07/apple-encryption-backdoor-uk/" target="_blank">報導</a>，英國政府下達密令，要求蘋果開啟後門，允許英國政府存取任何蘋果用戶的iCloud加密備份。</p> <p>英國政府是根據又名為「監聽者憲章（Snooper's Charter）」的《2016年調查權法案》對蘋果下令。報導引述消息人士指出，英國政府上個月發布名為技術能力通知（Technical Capability Notice）的命令，希望透過這後門讓他們能存取蘋果帳號以全程加密（end-to-end encryption）上傳到iCloud的檔案備份的完整內容，且對象是全球用戶，而非僅英國人。</p> <p>蘋果於2022年12月<a href="https://www.ithome.com.tw/news/154601" target="_blank">推出</a>iCloud進階資料防護（Advanced Data Protection）等安全功能，本功能提供全程加密，用戶必須自行啟用。理論上，啟用全程加密後，連蘋果也無法看到用戶傳送的檔案。</p> <p>消息人士指出，向來抵抗行政部門開後門要求的蘋果，可能會停止在英國提供加密儲存服務，但這仍無法滿足英國政府的要求。此外，雖然蘋果可以循法律途徑請求法院判決上述命令是否有失比例原則，但這命令有急迫性，不允許蘋果以拖待變耽擱遵行命令。</p> <p>英國內政部對媒體拒絕證實是否有此命令。</p> <p>這不是英國政府第一次要求蘋果允許它存取用戶加密檔案。2023年英國政府也曾<a href="https://www.ithome.com.tw/news/157900" target="_blank">要求</a>蘋果讓它監看用戶iMessage和FaceTime內容，蘋果亦警告若英當局堅持其命令，蘋果可能關閉在英國的這些服務。</p> </div></div></div>
2025/2/8 12:31作者林妍溱https://www.ithome.com.tw/news/167278
三位臺灣AI專家發起DeepSeek R1改造計畫，要打造繁中版開源授權的推理模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI去年發表了新一代推理模型o1之後，讓眾人看到GAI開始媲美真人博士或軟體開發高手般的解題能力，掀起了新一輪的大型語言模型競賽。春節期間，以開放權重釋出的DeepSeek R1模型，大幅降低了這一波推理模型競賽的門檻，成了全球AI產業的熱門焦點，開始浮現客製化推理模型的趨勢。</p> <p>臺灣也有三位AI專家，在2月7日<a href="https://www.facebook.com/iamhlb/posts/pfbid02gCPTMoesrgo2DHndgFzGAiYTyJUAq9sJkZbRkAMxxUbTbeL5etcyeLtZTtLGxJfpl">發起了一項臺灣製造大型語言模型計畫</a>，專案代號自由鋼普拉（FreedomGunpla R1），希望募資3千萬元，預計在3月底釋出第一版預覽的推理模型。</p> <p>這款引起全球AI圈熱議的DeepSeek R1模型，在論文中揭露了多項媲美甚至超越OpenAI o1推理模型的能力，因為可以部署到本地端，來避免企業自己的機敏資料上傳到網路，而引起AI圈的重視，不過， R1模型簡體版用戶協議中提到自己通過三項中國AI法規的備案，也讓外界擔心這款模型生成的內容偏重於對齊中國價值。</p> <p>因此，臺灣有三位不同AI領域的專家，發起了這項重新改造 DeepSeek R1，來打造對齊多元價值的繁體中文版推理模型計畫「自由鋼普拉」。這三位發起人，包括了AI PM助理新創MeetAndy AI辦人薛良斌， Taiwan LLM 開發者林彥廷以及雲端遊戲軟體開發供應商Ubitus的執行長郭榮昌。</p> <p>薛良斌是台灣生成式 AI 年會主辦人，也是知名售票平臺KKTIX和MLOps新創InfuseAI的共同創辦人，由他來負責募集這項模型改造計畫的資源。</p> <p>林彥廷則是具有中文大型語言模型訓練經驗的專家，他剛結束了在Meta的實習，參與了Meta訓練Llama模型的過程。林彥廷將負責 FreedomGunpla R1的模型訓練工作。而最後一位郭榮昌則擁有大規模GPU叢集管理經驗，旗下公司曾獲得Nvidia破億元，也擁有亞洲最大的GPU農場。郭榮昌將負責算力架構和管理。</p> <p>臺灣目前也有幾款繁中版大型語言模型，主要以 Meta釋出的Llama模型為基礎來客製訓練，但薛良斌認為，Llama 3模型不夠聰明，甚至用以太笨了」來形容，他指出，如果想要打造出自主能力的AI代理，使用媲美O1等級推理能力的模型是最低標準。</p> <p>這項計畫的技術重點包括了，將以DeepSeek R1為基礎來進行改造，透過重新訓練模型的方式，並以開源授權釋出模型權重，也就是採取開放權重的策略釋出，最後還會打造新的模型身份與品牌。薛良斌強調，這不只是一個技術專案，更是一項文化工程，因為這是一項多元價值觀的對齊任務。</p> <p>預計分三階段來實現目標，第一階段先對齊西方價值觀，可能導致模型推理能力下滑，薛良斌評估，很高機率達成這個里程碑。第二階段再進一步讓變笨的模型變得聰明，這部分則需要投入更多資源來驗證。這項計畫的終極目標是，不論使用者用繁體中文或是英文時，這款模型的表現可以比使用簡體中文更好。</p> <p>這項計畫希望募資3千萬元，將由財團法人開放文化基金會（OCF）處理募資，專款專用，透過這筆資金，希望至少可以訓練兩次模型。在時程上，初步預計2025年3月底前釋出第一版預覽模型，開始搜集早期測試者的意見回饋後快速迭代，再釋出最終的版本。</p> <p> </p> </div></div></div>
2025/2/8 13:08作者王宏仁https://www.ithome.com.tw/news/167280
研究人員發現DeepSeek iOS App多項漏洞，還將資料傳送到中國
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>DeepSeek以低成本達到近OpenAI o1-preview的高效能爆紅，但安全性成為關注焦點。資安廠商<a href="https://www.nowsecure.com/blog/2025/02/06/nowsecure-uncovers-multiple-security-and-privacy-flaws-in-deepseek-ios-mobile-app/" target="_blank">發現</a>DeepSeek iOS App有使用過時加密技術、明碼傳送資料、以及將部份用戶資料送到中國等安全與隱私風險。</p> <p>資安廠商NowSecure針對DeepSeek iOS App進行完整的安全與隱私評估，發現多項重大漏洞，可能危及個人、企業和政府。研究小組發現的主要風險涉及資料蒐集和處理方式、資料加密、資料儲存等面向。</p> <p>首先，DeepSeek iOS App在未加密情形下網路連線上傳送部份應用程式註冊和裝置資料，令攻擊者得以監控所有流量和使用者資訊。雖蘋果有內建ATS（App Transport Security）協定讓用戶能加密線上傳送的資料，但DeepSeek App全球都關閉了本項加密選擇。另外，具權限的攻擊者還可能以中間人攻擊（man-in-the-middle，MiTM）手法截聽和修改傳送的資料，危及App和資料。</p> <p>DeepSeek iOS App儲存了10種用戶和裝置資料，包括連線方式、裝置機種、裝置名稱和行動裝置國家代碼（Mobile Country Code，MCC/ MNC），結合資料處理方式就相當令人擔憂。</p> <p>在資料處理方式中，最值得注意的是，DeepSeek iOS App蒐集部分資料傳送到Volcengine，後者是TikTok母公司字節跳動（ByteDance）2021年推出的雲端平臺。字節跳動作為一家中國公司，對西方國家來說可能有資安疑慮，也是川普亟欲促成美國公司收購TikTok的主因。此外，這App整合Intercom iOS SDK，可在二個平臺間交換資料，可能經由數種資料合併導致去匿名化（de-anonymization）。</p> <p>其他隱憂方面，加密上，研究人員發現DeepSeek iOS App加密實作不夠完整。缺點包括使用過時的對稱式加密演算法3DES，此技術密鑰長度不夠長，可能招致MiTM攻擊，美國標準及安全研究院在2017年宣布逐年淘汰；它還將加密金鑰寫死在程式碼中，加密金鑰可能以逆向工程被駭客取得；此外，該App以NIL（全空值）作為加密初始向量（initialization Vector，IV）或重覆使用IV，可能降低加密IV的隨機性，提升攻擊者破解機會。</p> <p>資料儲存上，DeepSeek iOS App將使用者名稱、密碼與加密金鑰儲存在裝置的快取資料庫中。由於DeepSeek使用NSURLRequest API（iOS/macOS平臺的HTTP請求API）和端點通訊，該API會將HTTP回應儲存於本地快取資料庫，而讓他人、特別是能實際接觸到未上鎖裝置的攻擊者復原和存取這些敏感資訊。</p> <p>DeepSeek的隱私政策頁<a href="https://chat.deepseek.com/downloads/DeepSeek%20Privacy%20Policy.html" target="_blank">說明</a>，公司蒐集的資料儲存在中國境內的安全伺服器上。以及DeepSeek「基於法遵等理由，得以存取、保存「蒐集到的資訊」及分享給執法機關、主管單位、版權持有者或其他有必要的第三方單位。」</p> <p>基於上述風險，資安廠商建議企業應立即從列管及BYOD環境上移除DeepSeek iOS App。<a href="https://arstechnica.com/security/2025/02/deepseek-ios-app-sends-data-unencrypted-to-bytedance-controlled-servers/" target="_blank">Ars Technica</a>引述NowSecure主管說，Android比iOS平臺更不安全，因此也應移除。</p> <p>一月底賓州大學和思科也發表報告<a href="https://blogs.cisco.com/security/evaluating-security-risk-in-deepseek-and-other-frontier-reasoning-models" target="_blank">指出</a>，惡意提示對DeepSeek R1的攻擊成功率是100%，意指它無法阻擋任何有害的提示濫用。</p> </div></div></div>
2025/2/8 11:25作者林妍溱https://www.ithome.com.tw/news/167276
美國眾議院跨黨派要禁聯邦政府公務設備使用DeepSeek AI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國眾議院正推動禁止聯邦政府設備使用人工智慧應用程式 DeepSeek，理由是該應用涉及中國政府，可能對美國國家安全構成威脅。民主黨眾議員Josh Gottheimer與共和黨議員Darin LaHood<a href="https://gottheimer.house.gov/posts/release-gottheimer-lahood-introduce-new-bipartisan-legislation-to-protect-americans-from-deepseek">提出《No DeepSeek on Government Devices Act》</a>，該法案明確禁止聯邦政府員工在政府配發的設備上使用DeepSeek。兩位議員皆為眾議院情報委員會成員，在上一屆國會分別擔任美國國安局與網路安全小組的資深議員與主席。</p> <p>法案提出的背景是新研究揭露，DeepSeek的程式碼與中國共產黨（CCP）有直接關聯性，而且與中國移動（China Mobile）共享使用者資料。中國移動是中國政府持有的企業，與中國軍方關係密切，已遭美國聯邦通訊委員會（FCC）禁止在美國提供服務。議員擔憂DeepSeek可能成為中國政府獲取美國用戶敏感資訊的管道，影響範圍涵蓋商業合約、財務資料及其他機密文件，進而帶來潛在的國安風險。</p> <p>Josh Gottheimer在聲明中指出，過去已多次看到中國利用科技產品對美國構成資安威脅，DeepSeek的情況則進一步顯示中國政府利用人工智慧工具蒐集美國用戶資料。他形容這是一場國家安全的五級火警，必須立即採取行動，確保政府設備不受影響。他還提到，DeepSeek可能與TikTok案例類似，透過技術滲透美國政府官員設備，強調這次不應再重蹈覆轍。</p> <p>Darin LaHood進一步表示，美中在科技領域的競爭不容忽視，尤其是人工智慧相關技術的發展與資料處理能力直接關乎國家安全。他強調，DeepSeek可能儲存美國用戶資料並提供給中國政府，這種風險不可接受，因此應透過法案直接禁止該應用程式在聯邦政府設備上運作。</p> <p>該法案獲得跨黨派支持，反映美國國會對中國技術滲透的高度警覺。美國政府近年來已針對來自中國的通訊與科技企業進行多次審查，包括對華為、中興的設備禁令，並在2022年通過禁止TikTok法案，限制聯邦政府設備上使用該應用。現在DeepSeek成為最新一個被關注的產品，美國對人工智慧應用的資安風險採取謹慎的態度。</p> <p>DeepSeek AI不久前被爆出<a href="https://www.ithome.com.tw/news/167169">資料庫配置錯誤導致機密日誌外洩</a>，洩漏的機敏資料包含百萬筆日誌紀錄，涵蓋聊天記錄、API金鑰、內部服務資訊、目錄結構與營運相關細節。行政院在政務會議上討論後，也決定要求公務機關全面<a href="https://ithome.com.tw/news/167184">禁用Deepseek AI服務</a>，以確保國家資通安全。</p> </div></div></div>
2025/2/8 08:22作者李建興https://www.ithome.com.tw/news/167255
GitHub Copilot加入AI代理人模式，自動化程式開發任務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>GitHub宣布在Copilot<a href="https://github.blog/news-insights/product-news/github-copilot-the-agent-awakens/">新增</a>代理人模式（Agent Mode），運用人工智慧提升自動程式開發能力，使Copilot能夠迭代編寫與修正程式碼，甚至分析執行錯誤並自動調整。此外，GitHub正式發布Copilot Edits，允許開發者透過自然語言修改多個檔案，同時保持程式碼的完整性與一致性。</p> <p>官方也首次透露內部正開發中的Project Padawan，將讓Copilot可直接負責Issue並生成完整的拉取請求，進一步擴展人工智慧在程式開發的角色。</p> <p>代理人模式目前處於預覽階段，開發者可在VS Code Insiders版本啟用。與過去單純的程式碼完成功能不同，這次的更新讓Copilot具備更高的自主性，能夠根據使用者輸入的需求，自行拆解為多個子任務並反覆執行，直到完成整體目標。不僅如此，GitHub Copilot代理人模式可以自動偵測錯誤並修正，不需要開發者手動修正錯誤或來回操作終端機與編輯器。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0208-agent%20mode_GitHub%20Copilot%20in%20VS%20Code.png" style="width: 600px;" /></p> <p>除了代理人模式，GitHub也正式推出Copilot Edits，提供開發者更為流暢的程式碼修改體驗。這項功能最早於去年GitHub Universe大會亮相，可讓開發者指定多個檔案，允許人工智慧透過自然語言提示進行修改，並提供即時的變更建議。Copilot Edits採用雙模型架構，首先由基礎語言模型根據開發者的請求生成初步編輯建議，支援OpenAI、Anthropic及Google Gemini等不同人工智慧模型，接著才由推測解碼機制進一步處理變更，確保編輯能快速應用到程式碼中。</p> <p>新版本也引入語音輸入功能，使用者可直接與Copilot對話互動，模擬實際的結對程式設計（Pair Programming）過程。GitHub目前計畫進一步改善變更套用效能，並加強Copilot Chat與Copilot Edits之間無縫切換，讓開發者能更直覺地管理編輯內容。</p> <p>目前仍處於GitHub內部開發階段的Project Padawan也受到矚目，未來開發者將能直接指派Issue給Copilot自主軟體工程代理人，讓其產生經過測試的拉取請求，並自動指派人類審查者，根據回饋進行調整。GitHub也設計專屬雲端沙箱環境，每當代理人需要執行任務時，系統會非同步複製儲存庫、建立開發環境、分析程式碼並進行修改，最後執行建置、測試與Lint檢查，確保變更符合專案需求與安全標準。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0208-SWE%20agents%20coming%20to%20GitHub.png" style="width: 444px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／GitHub</span></span></p> </div></div></div>
2025/2/8 08:27作者李建興https://www.ithome.com.tw/news/167258
Martech雙周報第70期：LLM都怎麼說你的品牌？Jellyfish推出對各大模型做「市調」的分析工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#0000ff;"><strong>重點新聞(0126~0208)</strong></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI #市場調查 #SEO #搜尋廣告</span></span></strong><br /> <strong>各大AI機器人怎麼看你的品牌？Jellyfish推出對LLM做「市調」的分析工具</strong></p> <p>隨著GAI聊天機器人和生成式AI搜尋成為更多人的資訊來源，各大AI機器人和LLM如何描述自家品牌，對廣告主來說將更加重要。鎖定此需求，<a href="https://shareofmodel.ai/">數位行銷公司Jellyfish推出Share of Model平臺，對LLM進行「市場調查」，整理並分析LLM對品牌的認知內容、知名度以及情緒類觀感。</a></p> <p>此平臺調查的模型包括Gemini、Mistral、Claude、Llama、GPT等不同家族的LLM，根據品牌產業設定不同市調指標，並呈現概觀市調結果、針對特定提示的回答、潛在高轉換率關鍵字等資訊。廣告主不只可以針對自家品牌市調，也可以調查競爭對手，來了解自身市場定位、擬定差異化策略。</p> <p>Jellyfish表示，廣告主可以利用這些調查結果，來強化SEO策略。例如，Broad match類搜尋廣告觸及範圍廣，但通常精準度較低，通常操作難度較高。但利用LLM市調來探索出適當關鍵字設定，就有望利用Broad Match來更精準觸及更大量的潛在顧客，且大幅減少廣告成本。<a href="https://jellyfish-website.cdn.prismic.io/jellyfish-website/ZvPqILVsGrYSv7qp_AJellyfishGuidetoBroadMatchandShareofModel%E2%84%A2platform.pdf">他們還提供了一系列操作教學，記錄自己實驗結合Broad match和Share of Model的做法與成果。</a></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#MMM #行銷成效追蹤 #跨通路行銷</span></span><br /> Google開源MMM成效追蹤統計模型，號稱更加現代化、支援更多數位行銷情境</strong></p> <p><a href="https://blog.google/products/ads-commerce/meridian-marketing-mix-model-open-to-everyone/">Google宣布開源自家MMM模型Meridian，</a>此模型號稱更加現代化、支援更多數位行銷情境，包括電視廣告、Youtube廣告、Google搜尋廣告、社群媒體廣告，以及AI驅動的廣告專案等。</p> <p>隨著數位行銷版圖更加破碎化，且各通路成效追蹤難易度和方法又不一，近一、兩年，行銷業界開始重拾MMM（Marketing mix modeling，行銷組合模型），一個傳統行銷成效分析及預測的統計學做法。不過，這個做法原本是專門設計給線下行銷情境用的，使部分人懷疑MMM在數位行銷適用度。</p> <p>Google則打造一個MMM數據平臺，蒐集和整合Google及廣告主的數位行銷數據，包括曝光次數、點擊次數、費用查詢量等各式數據維度，讓Meridian可以用貝氏因果推理法，來評估不同地區及通路的行銷成效。他們也針對現代數位行銷需求來設計計算規則，例如，傳統MMM常以曝光次數來衡量影片成效，但不會區分是1個人看10次，還是10個人看1次。Meridian則會同時考慮曝光次數、覆蓋率和頻率等數據，以提供更精確的數據洞察。廣告主能根據這些數據，來調整行銷預算分配策略。</p> <p>此模型已發布於Github，Google也與超過20家廠商合作提供代操Meridian的服務。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#CTV廣告 #AI廣告代投 #跨通路行銷</span></span></strong><br /> <strong>Amazon正式推出Brand+，用AI代投廣告到Amazon旗下所有購物及串流通路</strong></p> <p><a href="https://advertising.amazon.com/en-us/library/news/brand-plus-ai-tv-advertising/?ref_=a20m_us_libr">Amazon正式推出旗下跨通路AI廣告代投功能Brand+</a>，定位類似於Google廣告的Performance Max，或Meta的Advantage+。廣告主可以設置不同行銷目的，來決定AI策略方向，或者全交給AI決定，最少只需要4次點擊，就可以設置AI廣告代投專案。</p> <p>Brand+可以投放的通路包括Amazon旗下零售數位場域，以及串流通路。這意味著，廣告主可以在近期非常火紅的CTV通路，啟用AI代投功能。</p> <p>此功能建立在Amazon Ads最近一系列AI廣告科技基礎上，包括可以根據行銷目標調整廣告活動策略的Performance+，以及不用第三方Cookie就能用ML演算法決定廣告最適合出現版位的Ad Relevance。</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#生成式AI #CTV #RMN<br /> </span></span></strong><strong>IAB調查：近8成廣告主擁抱GenAI來強化數位行銷，但只有14%有系統性的應用方法</strong></p> <p><a href="https://www.iab.com/insights/2025-outlook-ad-spend-opportunities-growth/"><span style="color:#000000;">IAB</span></a><span style="color:#000000;">調查品牌與代理商的成長策略、各通路的預期支出，以及他們所預見的挑戰，推出</span><a href="https://www.iab.com/insights/2025-outlook-ad-spend-opportunities-growth/"><span style="color:#000000;">2025年廣告界展望報告</span></a><span style="color:#000000;">。</span></p> <p>其中一大亮點是，近8成廣告主普遍對於生成式AI抱持正面態度，42%已經在用GAI來支援數位行銷，36%則正在準備和評估階段。不過，目前技術應用成熟度還不算高，只有14%廣告主企業內部，有從組織層級提供行銷人員完善資源。</p> <p>IAB並預測，業界整體廣告支出將提升7.3%，尤<span style="color:#000000;">其，零售媒體廣告、CTV廣告及社群媒體廣告為預計成長幅度前3高類別，分別為15.6%、13.8%，以及11.9%。</span>這也與近月其他調查中，業界普遍看好零售媒體與CTV廣告的觀點相符。</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#生成式AI搜尋 #品牌安全 #廣告版位商 #SEO</span></span></strong><br /> <strong>生成式AI搜尋大廠相繼與新聞媒體合作，以強化生成<span style="color:#000000;">結果正確性，同時增加版位商曝光度</span></strong></p> <p>OpenAI和Google相繼宣布與新聞社合作，強化各自生成式AI產品的資訊正確性。目前，已經有實驗顯示，生成式AI搜尋會降低新聞媒體等廣告版位商的曝光度。GAI搜尋大廠開始採取與版位商合作的策略，意味著後者有望重新提升曝光度。甚至，隨著更多版位商和與GAI搜尋引擎整合資訊流，在GAI摘要爭取曝光度會成為新的SEO戰場。另一方面，搜尋結果正確性提升，意味著<span style="color: rgb(0, 0, 0);">廣告主品牌安全及觀感較不容易受生成式AI幻覺影響。</span></p> <p><a href="https://openai.com/index/partnering-with-axios-expands-openai-work-with-the-news-industry/">OpenAI與美國新聞社Axios合作，在匹茲堡、堪薩斯城、博爾德和亨茨維爾等4個城市建立AI驅動的新聞編輯室，</a>提供新聞社能見度同時強化資訊內容正確性。不只如此，還要實驗更多用AI工具協助記者工作的應用方法。</p> <p><a href="https://blog.google/products/news/associated-press-gemini-app/">Google則是與美聯社合作，整合後者即時新聞資訊流到Gemini App中，利用提供高時效性的新聞報導，來強化Gemini提供的內容正確性。</a></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#RMN #人流變現 #書店媒體</span></span></strong><br /> <strong>書店也做RMN，WHSmith用機場及渡假村門市的超高人流量優勢，發展廣告業務優勢</strong></p> <p><a href="https://smg.team/en-us/retailers/whs-media/">在機場與渡假村等高人流地區有350間門市的書店WHSmith開始經營RMN。</a>他們採專案式商業模式，根據品牌需求製作行銷專案。WHSmith表示，他們看中的自身優勢是，機場和渡假村等場景不只高人流量，且屬於非日常場域，許多人都在度假，因而消費意願較高，有望提升行銷轉換率。</p> <p>此RMN號稱有使用數據來投放，並會事後提供轉換追蹤報告，但未具體說明數據相關做法。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#RMN #娛樂數據 #賭場媒體</span></span></strong><br /> <strong>賭場也做RMN，Mohegan推出賭場媒體聯播網，用娛樂類顧客數據支援廣告投放</strong></p> <p><a href="https://investors.liveramp.com/news-releases/news-release-details/liveramp-and-mohegan-launch-industrys-first-casino-media-network">渡假村與賭場集團Mohegan推出賭場媒體聯播網</a>，將每個月有2億次曝光數轉化為廣告商機。他們利用遊客的娛樂、餐飲、度假偏好等數據，來投放廣告於會員App、賭場遊戲機、事務機等數位通路，以及結合行銷內容到會員忠誠度計畫中。此服務是與Martech大廠Liveramp合作打造。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多Martech動態</span></strong></span></p> <p>Meta開始實驗在新社群媒體平臺Threads中開啟廣告版位</p> <p>派拉蒙影業（Paramount）開始在NFL美式足球比賽串流中，啟用可直接點擊購物的廣告</p> <p><a href="https://www.globenewswire.com/news-release/2025/01/31/3018722/0/en/Dentsu-Partners-with-Adobe-to-Introduce-Adobe-GenStudio-dentsu.html">廣告集團電通與Adobe整合前者顧客數據科技與後者生成式AI廣告製作工具，打造自動化的個人化行銷素材製作功能</a></p> <p>資料來源：iThome整理，2025年2月</p> <p>責任編輯：郭又華</p> <p>圖片來源：Jellyfish</p> <p></p> </div></div></div>
2025/2/7 18:29作者郭又華https://www.ithome.com.tw/news/167257
【資安日報】2月7日，義大利政府驚傳利用間諜軟體Paragon監控記者及異議人士
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過往我們聽聞政府利用間諜軟體監控異議人士的情況，多半發生在集權國家，但如今傳出竟有民主國家政府也加入行列。</p> <p>一週前WhatsApp透露不尋常的零點擊攻擊事故（Zero-click），並指出約有90人遭到鎖定，攻擊者意圖在他們的手機植入間諜軟體Graphite。現在有知情人士透露，這起事故是義大利政府所為。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167253"><strong style="font-size: 22px;">義大利政府疑用Paragon間諜軟體監控記者、異議人士，業者急切割</strong></a></p> <p>上個月底WhatsApp傳出封鎖大規模間諜行動的情況，該公司發現有人試圖透過該即時通訊軟體發送感染惡意程式的PDF檔案進行零點擊攻擊（Zero-click），一旦使用者開啟，手機就有可能下載Paragon打造的間諜軟體Graphite。WhatsApp及時進行封鎖，並通知近90名被鎖定的人士。如今這起事故出現新的進展。</p> <p>根據衛報（The Guardian）的報導，義大利政府涉嫌透過WhatsApp，針對近百名記者、異議人士的手機下手，意圖在他們的手機植入Graphite，從而對這些人進行監控。他們掌握知情人士的說法指出，當地媒體Fanpage總編輯Francesco Cancellato與兩名異議人士接獲WhatsApp通知，認為他們的手機有可能感染間諜軟體，通訊內容及個資恐遭竊取。知情人士透露，Paragon以違反使用政策為由，中止義大利政府的合約。</p> <p>為何Francesco Cancellato與兩名異議人士為何遭到監控？原因很可能是批評總理Giorgia Meloni與右派政黨對利比亞侵害移民人權坐視不理，但究竟被監控了多久？目前仍不得而知。</p> <p><a href="https://www.ithome.com.tw/news/167251"><strong style="font-size: 22px;">勒索軟體駭客利用VMware虛擬化平臺的SSH加密存取，意圖建立存取受害組織內部環境的隱密管道</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/ESXi-13.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/ESXi-13.png" style="width: 300px; float: right;" /></a></p> <p>最近兩到三年許多勒索軟體駭客打造Linux版惡意程式，鎖定VMware ESXi虛擬化平臺而來，企圖癱瘓虛擬機器（VM）的運作並向企業組織勒索，最近有研究人員指出，駭客偏好針對這種環境下手，不光只是想要進行破壞牟利，而是做為能夠持續存取受害組織的管道。</p> <p>資安業者Sygnia指出，由於企業對於VMware虛擬化平臺往往缺乏嚴密監控，駭客為了避免被發現，將其充當為持續存取企業內部網路環境的管道，可說是越來越常發生。駭客會透過寄生攻擊（LOL）手法，運用虛擬化平臺現成的工具活動，其中一種是藉由原生的工具SSH來建立SOCKS通訊協定的隧道（Tunnel），從而與C2伺服器建立連線。</p> <p>Sygnia事件回應專家Zhongyuan Hau、Ren Jie Yow、Yoav Mazor表示，在他們調查的許多資安事故當中，攻擊者通常會利用外流的管理員帳密或是已知漏洞，入侵ESXi系統，一旦得逞，就會藉由系統原生的遠端加密連線登入存取SSH服務，建立隧道通訊，但這些專家指出，他們也看過攻擊者部署其他常見工具來達到目的。</p> <p><a href="https://www.ithome.com.tw/news/167254"><strong style="font-size: 22px;">駭客組織Silver Fox假借提供瀏覽器、簡訊服務名義，意圖散布惡意軟體ValleyRAT</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Chrome_China_Diagram_5.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Chrome_China_Diagram_5.png" style="width: 300px; float: right;" /></a>資安業者Morphisec揭露最新一波惡意軟體ValleyRAT的攻擊行動，指出駭客組織Silver Fox透過多階段攻擊鏈從事活動，和他們過往使用的戰術、技術、流程（TTP）有所不同，不過特別的是，在這次攻擊行動裡，駭客仍延續過往攻擊使用的部分URL。</p> <p>究竟駭客如何發動攻擊？Morphisec資安研究員Shmuel Uzan指出，他們先是引誘目標人士到惡意網站<a href="https://anizom[.]com/">https://anizom[.]com/</a>，假借提供Chrome的名義散布惡意程式，一旦使用者下載，就會啟動攻擊鏈。</p> <p>但除了利用提供瀏覽器下載的名義，Shmuel Uzan也提及這些駭客架設的另一個釣魚網站，假冒中國簡訊服務業者卡洛思。但無論是那個網站，使用者都會從中下載壓縮檔Setup.zip，內含執行檔Setup.exe，若是執行，電腦就會被植入ValleyRAT。</p> <p><a href="https://www.ithome.com.tw/news/167247"><strong style="font-size: 22px;">Go模組快取機制遭濫用，惡意後門套件潛伏多年未被察覺</strong></a></p> <p>資安廠商Socket研究人員揭露一起針對Go生態系的供應鏈攻擊，攻擊者透過套件名稱冒充攻擊（Typosquatting）手法，冒充廣受採用的BoltDB資料庫套件，並利用Go模組代理（Module Proxy）的快取機制，使惡意套件長期存在且未被偵測。此事件凸顯Go模組快取機制存在風險，即便原始儲存庫內容已被修改或移除，但惡意版本仍可由快取繼續發布。</p> <p>這起攻擊涉及的惡意套件名為github.com/boltdb-go/bolt，其命名方式與合法的BoltDB套件github.com/boltdb/bolt極為相似，容易讓開發者因輸入錯誤或疏忽而誤用。惡意版本內建遠端控制後門，攻擊者可透過命令與控制伺服器執行遠端指令，取得受感染系統的存取權限。</p> <p>由於Go模組代理會自動快取其首次擷取的模組版本，並依設計禁止修改已發布的版本，因此即使攻擊者在GitHub上重新標記相同版本的標籤，使原始程式碼看似無害，代理仍會繼續提供首次快取的版本。當快取版本包含惡意程式碼，則在未來的下載請求中仍可能被開發者取得，導致潛在的安全風險。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/microsoft-says-attackers-use-exposed-aspnet-keys-to-deploy-malware/">曝露的ASP. NET金鑰遭到濫用，攻擊者用於散布惡意程式</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.darkreading.com/cyberattacks-data-breaches/attackers-education-sector-hijack-microsoft-accounts">遠端監控與管理軟體SimpleHelp漏洞傳出實際攻擊行動</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cl-sta-0048-chinese-linked-apt-targets-telecoms-in-south-asia/">中國駭客CL-STA-0048鎖定南亞電信業者而來</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167250"><strong style="font-size: 22px;">思科修補網路存取控制系統ISE重大漏洞</strong></a></p> <p>2月5日思科發布資安公告，指出旗下網路存取控制（NAC）解決方案Identity Services Engine（ISE）存在重大層級漏洞CVE-2025-20124、CVE-2025-20125，通過身分驗證的攻擊者能遠端執行任意命令，或是提升權限，該公司已發布軟體更新修補，並強調這些漏洞無法透過其他緩解措施因應，用戶應儘速套用更新處理。</p> <p>根據CVSS風險評分高低判斷，問題最嚴重的是CVE-2025-20124，此為不安全的Java反序列化弱點，存在ISE的1個API當中，一旦攻擊者成功觸發，就有機會遠端以root使用者的身分執行任意命令，CVSS風險評為9.9（滿分10分）。</p> <p>另一個重大層級的漏洞CVE-2025-20125，則是涉及授權繞過，同樣存在特定的API，遠端攻擊者在通過身分驗證並具備讀取權限帳密的情況下，有機會存取敏感資訊、竄改節點組態，甚至是將節點重新啟動，風險評分為9.1。</p> <p><a href="https://www.ithome.com.tw/news/167168"><strong style="font-size: 22px;">Apple Silicon晶片存在弱點，恐遭SLAP與FLOP側通道攻擊，洩漏用戶機敏資料</strong></a></p> <p>喬治亞理工學院研究團隊揭露兩個針對Apple Silicon晶片的全新微架構側通道攻擊手法，分別命名為SLAP與FLOP，這兩個漏洞可能導致使用者在瀏覽網頁時，機敏資訊遭到未經授權的第三方竊取，影響範圍涵蓋近年推出的Mac、iPhone，以及iPad等產品。</p> <p>SLAP與FLOP攻擊的關鍵，在於利用Apple Silicon晶片中負責最佳化資料處理流程的預測機制。具體來說，SLAP濫用的是載入位址預測器（Load Address Predictor，LAP），該機制會根據過往的記憶體存取模式，預測CPU下一個可能讀取的記憶體位址，提高記憶體存取的效率。而FLOP則是濫用載入值預測器（Load Value Predictor，LVP），其會嘗試預測從記憶體讀取到的數值，來加速與該數值相關的運算。</p> <p>儘管蘋果已承諾釋出安全更新，但FLOP的部分有待應用程式開發商處理，這表示短期內仍存在相當大的風險。使用者應確保作業系統與瀏覽器保持最新版本，避免瀏覽不明來源的網站，並啟用Chrome網站隔離功能，以降低攻擊成功的可能性。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://blogs.cisco.com/security/evaluating-security-risk-in-deepseek-and-other-frontier-reasoning-models">DeepSeek R1大型語言模型存在資安弱點，恐被越獄用於網路犯罪</a></strong></p> <p><strong style="font-size: 22px;">其他資安防禦措施</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.ithome.com.tw/news/167237">富邦人壽通過NIST CSF，成為臺灣金融業率先取得相關驗證的公司</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/167246"><strong>【2月6日】HTTP用戶端軟體自動存取工具被駭客用於挾持M365帳號</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167226"><strong>【2月5日】去年修補的7-Zip的MotW漏洞被用於攻擊烏克蘭企業與政府機關</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167208"><strong>【2月4日】美荷執法單位聯手，撤下提供商業郵件詐騙武器的地下市集</strong></a></p> </div></div></div>
2025/2/7 16:58作者周峻佑https://www.ithome.com.tw/news/167256
勒索軟體駭客利用VMware虛擬化平臺的SSH加密存取，意圖建立存取受害組織內部環境的隱密管道
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近兩到三年許多勒索軟體駭客打造Linux版惡意程式，鎖定VMware ESXi虛擬化平臺而來，企圖癱瘓虛擬機器（VM）的運作並向企業組織勒索，<a href="https://www.sygnia.co/blog/esxi-ransomware-ssh-tunneling-defense-strategies/">最近有研究人員指出</a>，駭客偏好針對這種環境下手，不光只是想要進行破壞牟利，而是做為能夠持續存取受害組織的管道。</p> <p>資安業者Sygnia指出，由於企業對於VMware虛擬化平臺往往缺乏嚴密監控，駭客為了避免被發現，將其充當為持續存取企業內部網路環境的管道，可說是越來越常發生。駭客會透過寄生攻擊（LOL）手法，運用虛擬化平臺現成的工具活動，其中一種是藉由原生的工具SSH來建立SOCKS通訊協定的隧道（Tunnel），從而與C2伺服器建立連線。</p> <p>Sygnia事件回應專家Zhongyuan Hau、Ren Jie Yow、Yoav Mazor表示，在他們調查的許多資安事故當中，攻擊者通常會利用外流的管理員帳密或是已知漏洞，入侵ESXi系統，一旦得逞，就會藉由系統原生的遠端加密連線登入存取<a href="https://techdocs.broadcom.com/tw/zh-tw/vmware-cis/vsphere/vsphere/8-0/vsphere-security-8-0/securing-esxi-hosts/general-security-recommendations/ssh-security.html">SSH</a>服務，建立隧道通訊，但這些專家指出，他們也看過攻擊者部署其他常見工具來達到目的。</p> <p>由於ESXi系統鮮少會無預期關機，這種SSH隧道形同為攻擊者提供存取企業組織網路環境的後門。</p> <p>但為何企業組織不太會監控ESXi？Sygnia指出其中一個原因是這種虛擬化平臺的事件記錄檔案分散，與一般的系統事件記錄（Syslog）在單一檔案留存各種事件的做法不同，光是取得ESXi的主要事件記錄檔案syslog.log，無法得到資安事故鑑識所需的資料。</p> <p>即使ESXi可搭配第三方的監控工具或是遙測代理程式，但研究人員認為這類外部工具的可用性往往受限。因此他們覺得較具成本效益的做法，其實是要將ESXi伺服器的事件記錄相關檔案，轉送到外部的事件記錄伺服器來因應。</p> <p>若要察覺上述類型的攻擊手法，Sygnia認為，至少要收集4種事件記錄的內容，這些涉及ESXi Shell活動（shell.log）、主機代理程式（hostd.log）、身分驗證（auth.log），以及VMware效能監控工具Observer處理程序（vobd.log）。</p> </div></div></div>
2025/2/7 12:43作者周峻佑https://www.ithome.com.tw/news/167251
駭客組織Silver Fox假借提供瀏覽器、簡訊服務名義，意圖散布惡意軟體ValleyRAT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客散布惡意軟體的手法，越來越複雜。有資安業者提出警告，過往仰賴BAT批次檔和PowerShell指令碼（ps1）的駭客組織Silver Fox，大幅調整手法，意圖讓行蹤更加隱密而難以被發現。</p> <p>資安業者Morphisec揭露<a href="https://www.morphisec.com/blog/rat-race-valleyrat-malware-china/">最新一波惡意軟體ValleyRAT的攻擊行動</a>，指出駭客組織Silver Fox透過多階段攻擊鏈從事活動，和他們過往使用的戰術、技術、流程（TTP）有所不同，不過特別的是，在這次攻擊行動裡，駭客仍延續過往攻擊使用的部分URL。</p> <p>而對於駭客攻擊目標，很有可能延續過往的對象，針對金融、會計、銷售部門的高階主管。</p> <p>究竟駭客如何發動攻擊？Morphisec資安研究員Shmuel Uzan指出，他們先是引誘目標人士到惡意網站<a href="https://anizom[.]com/">https://anizom[.]com/</a>，假借提供Chrome的名義散布惡意程式，一旦使用者下載，就會啟動攻擊鏈。</p> <p>但除了利用提供瀏覽器下載的名義，Shmuel Uzan也提及這些駭客架設的另一個釣魚網站，假冒中國簡訊服務業者卡洛思。但無論是那個網站，使用者都會從中下載壓縮檔Setup.zip，內含執行檔Setup.exe，若是執行，電腦就會被植入ValleyRAT。</p> <p>從前述的Chrome下載網頁使用簡體中文，再加上假冒中國簡訊服務業者，這起攻擊行動很可能針對中國人士而來。</p> <p>Morphisec分析Setup.exe的組成，發現此檔案以.NET開發平臺打造而成，執行時首先檢查是否具備管理者權限，假如沒有，它還會要求使用者授予必要的權限。</p> <p>接著，該執行檔會檢查作業系統類型並下載sscronet.dll、douyin.exe、mpclient.dat、tier0.dll等額外的工具，然後在記憶體內載入sscronet.dll。而此DLL的用途，就是用來執行douyin.exe。</p> <p>該執行檔正是中國版抖音的主程式，駭客將其用於以側載的手法，載入另一個惡意DLL檔案Tier0.dll，並呼叫Nslookup掩人耳目，然後讀取經加密處理的Shell Code檔案mpclient.dat，最終以網路診斷工具Nslookup執行解密，於記憶體內執行ValleryRAT。</p> <p>值得一提的是，mpclient.dat與作業系統的部分功能掛鉤，例如：AmsiScanString、AmsiScanBuffer、EtwEventWrite，使得惡意程式能繞過反惡意軟體掃描介面（AMSI）、Windows事件追蹤（ETW）等內建防護機制，而能迴避偵測。</p> <p>再者，他們也提及惡意酬載注入的過程裡，駭客利用了DLL挾持手法，其濫用的二進位檔案來自Steam遊戲，與殺戮空間2（Left 4 Dead 2）、惡靈勢力2（Left 4 Dead 2）這兩款遊戲有關。</p> </div></div></div>
2025/2/7 16:09作者周峻佑https://www.ithome.com.tw/news/167254
義國政府疑用Paragon間諜軟體監控記者、異議人士，業者急切割
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>The Guardian<a href="https://www.theguardian.com/technology/2025/feb/06/owner-of-spyware-used-in-alleged-whatsapp-breach-ends-contract-with-italy" target="_blank">報導</a>義大利政府涉嫌使用業者Paragon的間諜軟體，運用WhatsApp感染記者、異議人士在內的近百名用戶手機進行監控。</p> <p>報導指出，義大利知名調查報導媒體Fanpage總編Francesco Cancellato及另二名異議人士上周接獲WhatsApp通知，他們的手機可能感染Paragon出品的間諜軟體Graphite，有被竊取通訊內容及個資的風險。涉嫌監控的是義國政府。消息人士指出，Paragon已以違反使用政策中止和義國政府的合約。</p> <p>以色列媒體也<a href="https://www.haaretz.com/israel-news/security-aviation/2025-02-06/ty-article/.premium/israeli-spyware-firm-paragon-kills-italys-access-after-journalists-targeted/00000194-da39-d390-a1b6-ffbb3bdf0000" target="_blank">報導</a>，Paragon已終止和義國執法機關和情治單位的合約。</p> <p>本消息是今年1月WhatsApp公告封鎖了一宗大規模間諜行動的後續。當時WhatsApp<a href="https://techcrunch.com/2025/01/31/whatsapp-says-it-disrupted-a-hacking-campaign-targeting-journalists-with-spyware/" target="_blank">發現</a>駭客試圖以WhatsApp發送感染惡意程式的PDF檔案。一旦開啟用戶手機即可能被下載間諜程式Graphite。WhatsApp及時封鎖了這波攻擊，並通知近90名遭鎖定的用戶，包括Cancellato等三人，他們之前批評義國總理Giorgia Meloni的右派政黨以及義國對利比亞侵害移民人權坐視不理，可能因此成為眼中釘。但他們被監控了多久不得而知。</p> <p>Meloni辦公室發言人否認此事。義國政府尚未評論。</p> <p>Paragon的Graphite是類似以色列業者NSO Group的Pegasus，他們的間諜軟體客戶包括政府、警方、情治單位等。但Paragon已被美國投資公司AE Industrial Partners收購。Paragon發言人拒絕對義國相關消息評論。</p> <p>Paragon上周<a href="https://techcrunch.com/2025/02/04/spyware-maker-paragon-confirms-u-s-government-is-a-customer/" target="_blank">證實</a>，美國及其盟國也是該公司客戶。The Guardian報導，該公司去年從美國移民及海關執法局（ICE）簽下了200萬美元的合約。</p> <p>美國政府指控NSO開發並提供間諜軟體Pegasus，讓外國政府用於鎮壓記者、人權活動人士與異議人士，已經制裁這家公司。歐盟也正在調查中。</p> </div></div></div>
2025/2/7 15:19作者林妍溱https://www.ithome.com.tw/news/167253
美國另一研究團隊以20美元開發效能超越o1-preview的AI模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國華盛頓大學及史丹佛大學研究團隊本周公布最新研發成果，以極低成本使用新開發方法，可以小樣本資料集訓練出推論效能超過o1-preview的AI模型。</p> <p>成員來自華盛頓大學及史丹佛大學的研究團隊<a href="https://arxiv.org/pdf/2501.19393" target="_blank">發表論文</a>，他們以僅1,000個問題資料集訓練出s1-32B模型，並在數學測驗AIME24及MATH等標竿測試成果超越o1-preview。</p> <p>目前業界大型語言模型主要是以大規模運算訓練提升模型能力，OpenAI o1模型已開始使用這種新興方法。但上述研究團隊探索以最簡單方法進行測試時擴展（test-time scaling）建模，且實現強大的推理能力。研究人員嘗試小樣本訓練；他們集結1,000道問題，以及從Gemini Thinking Experimental生成的答案及推理過程組成s1K資料集。在環境上，團隊在16顆H100 GPU平臺上執行Qwen2.5-32B-Instruct進行監督式微調。</p> <p>研究人員告知<a href="https://techcrunch.com/2025/02/05/researchers-created-an-open-rival-to-openais-o1-reasoning-model-for-under-50/" target="_blank">Techcrunch</a>，他們僅花了20美元租用設備進行此次開發。</p> <p>在測試期間他們使用了名為「Budget Forcing」的方法控制推論時間。最後，研究人員將訓練出的s1-32B與市面主要非開放及開放模型進行標竿測試比較。在MATH及AIME24中，s1-32B超越o1-preview，而在擴展後，還可進一步提升AIME24測試成果由50%提升為57%。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0207-s1-32B-AIME-MATH.png" style="width: 425px;" /></p> <p><span style="font-size:14px;"><a href="https://arxiv.org/abs/2501.19393" target="_blank"><span style="color:#696969;">圖片來源／arXiv:2501.19393</span></a></span></p> <p>研究團隊也比較了s1-32B和DeepSeek r1和o1，測試結果並不如後二者。但研究團隊解釋，這是因為DeepSeek r1和o1都使用了大量數據進行強化學習，而s1-32B則僅使用1,000個精選資料進行微調，因此仍是最具樣本效率的模型。</p> <p>本模型已開源於<a href="https://github.com/simplescaling/s1" target="_blank">GitHub</a>上。</p> <p>大學研究人員不斷在以更低成本訓練高效能AI模型。今年初柏克萊大學研究<a href="https://www.ithome.com.tw/news/166945" target="_blank">團隊</a>也用了約450美元來訓練效能近似o1-preview的模型。</p> </div></div></div>
2025/2/7 13:20作者林妍溱https://www.ithome.com.tw/news/167252
思科修補網路存取控制系統ISE重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2月5日思科發布資安公告，指出旗下網路存取控制（NAC）解決方案Identity Services Engine（ISE）<a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ise-multivuls-FTW9AOXF">存在重大層級漏洞CVE-2025-20124、CVE-2025-20125</a>，通過身分驗證的攻擊者能遠端執行任意命令，或是提升權限，該公司已發布軟體更新修補，並強調這些漏洞無法透過其他緩解措施因應，用戶應儘速套用更新處理。</p> <p>雖然利用這些漏洞必須搭配必要條件，那就是攻擊者事先要取得有效、具讀取權限的管理者帳密，但思科也指出，攻擊者若是能挾持其中一個管理員帳號，就能利用這些漏洞。</p> <p>根據CVSS風險評分高低判斷，問題最嚴重的是CVE-2025-20124，此為不安全的Java反序列化弱點，存在ISE的1個API當中，一旦攻擊者成功觸發，就有機會遠端以root使用者的身分執行任意命令，CVSS風險評為9.9（滿分10分）。</p> <p>這項漏洞發生的原因，在於ISE對使用者提供的Java位元串流（Byte Stream）進行不安全的反序列化處理，攻擊者可在通過身分驗證的情況下，傳送特製的序列化Java物件到存在弱點的API觸發漏洞。</p> <p>另一個重大層級的漏洞CVE-2025-20125，則是涉及授權繞過，同樣存在特定的API，遠端攻擊者在通過身分驗證並具備讀取權限帳密的情況下，有機會存取敏感資訊、竄改節點組態，甚至是將節點重新啟動，風險評分為9.1。</p> <p>為何會有這個漏洞？思科指出問題出在特定API的使用未經過授權，以及對於使用者提供的資料未進行適當的驗證，攻擊者可對此API發送特製的HTTP請求觸發漏洞。</p> </div></div></div>
2025/2/7 11:07作者周峻佑https://www.ithome.com.tw/news/167250
ChatGPT開放免登入搜尋恐直接威脅Google
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI<a href="https://x.com/OpenAI/status/1887224584539414983" target="_blank">宣布</a>ChatGPT Search現在起開放免登入使用，直接威脅搜尋霸主Google。</p> <p>現在所有人都可以直接在chatgpt.com進行網頁搜尋，再也無需登入帳號。不過在手機版上，用戶還是得先登入。</p> <p>ChatGPT搜尋去年11月僅提供Plus、Team及排隊名單的用戶使用。12月時<a href="https://www.ithome.com.tw/news/166543" target="_blank">擴大</a>提供給所有免費方案用戶，不過必須登入才能使用。免去登入要求後，使用者只要在提示列輸入想知道的問題，ChatGPT就能搜尋網頁，條理列出答案並提供資訊來源。</p> <p>這將使OpenAI ChatGPT搜尋直接與Google Search和Microsoft Bing競爭。其中又以Google和OpenAI最直接競爭。<a href="https://www.ithome.com.tw/news/166493" target="_blank">Google</a>和<a href="https://www.ithome.com.tw/news/167180" target="_blank">OpenAI</a>相繼推出深度研究（deep research）AI代理人功能，以便幫助用戶在網上搜尋完成報告及研究。</p> <p>其他AI新創公司如Perplexity提供的AI搜尋引擎，也允許使用者免登入，並透過聊天機器人回覆答案或搜尋結果，也會提供來源網站如TripAdvisor作為佐證。</p> </div></div></div>
2025/2/7 09:40作者林妍溱https://www.ithome.com.tw/news/167249
Go模組快取機制遭濫用，惡意後門套件潛伏多年未被察覺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安廠商Socket研究人員<a href="https://socket.dev/blog/malicious-package-exploits-go-module-proxy-caching-for-persistence">揭露</a>一起針對Go生態系的供應鏈攻擊，攻擊者透過套件名稱冒充攻擊（Typosquatting）手法，冒充廣受採用的BoltDB資料庫套件，並利用Go模組代理（Module Proxy）的快取機制，使惡意套件長期存在且未被偵測。此事件凸顯Go模組快取機制存在風險，即便原始儲存庫內容已被修改或移除，但惡意版本仍可由快取繼續發布。</p> <p>這起攻擊涉及的惡意套件名為<span style="color:#3333ff;">github.com/boltdb</span><span style="color:#B22222;">-go</span><span style="color:#3333ff;">/bolt</span>，其命名方式與合法的BoltDB套件<span style="color:#3333ff;">github.com/boltdb/bolt</span>極為相似，容易讓開發者因輸入錯誤或疏忽而誤用。惡意版本內建遠端控制後門，攻擊者可透過命令與控制伺服器執行遠端指令，取得受感染系統的存取權限。</p> <p>由於Go模組代理會自動快取其首次擷取的模組版本，並依設計禁止修改已發布的版本，因此即使攻擊者在GitHub上重新標記相同版本的標籤，使原始程式碼看似無害，代理仍會繼續提供首次快取的版本。當快取版本包含惡意程式碼，則在未來的下載請求中仍可能被開發者取得，導致潛在的安全風險。</p> <p>該套件最早於2021年11月上傳至GitHub，並經由Go模組代理快取。研究人員發現，攻擊者在惡意版本被快取後，修改Git標籤指向乾淨版本，使得手動審查GitHub原始碼時無法發現異常。但透過Go CLI下載模組時，依然會取得快取的惡意版本，導致惡意程式長期潛伏，直到最近才被發現。由於BoltDB本身已停止維護，許多開發者選擇改用不同的Fork版本，這使得冒充套件更容易混入開發環境。</p> <p>該惡意套件的後門機制透過隱藏的IP地址與遠端伺服器建立連線，一旦安裝並執行，攻擊者便可透過TCP連線發送指令，在受害系統上執行任意殼層命令，並回傳執行結果。此外，該程式內建持續運作機制，即使連線中斷或過程發生錯誤，仍會自動重新啟動，確保後門長時間維持運作。研究人員進一步分析其原始碼，發現攻擊者透過變數運算與字串取代等技術混淆命令與控制伺服器地址，使得靜態分析工具較難辨識其異常行為。</p> <p>Go模組代理的快取機制原本是為了提升軟體開發效率，確保開發者獲取一致且可重現的模組版本，避免因上游變更導致相依性破壞。而這個事件突顯了快取機制存在安全風險，由於Go模組機制不允許移除或修改已發布的版本，因此這類供應鏈攻擊也難以透過現有機制修復，開發者需要藉額外的安全工具來檢測出惡意套件。</p> </div></div></div>
2025/2/7 08:11作者李建興https://www.ithome.com.tw/news/167247
Stack Exchange測試AI回答機制，社群憂影響知識品質
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Stack Exchange啟動了一項<a href="https://meta.stackexchange.com/questions/406307/ai-generated-answers-experiment-on-stack-exchange-sites-that-volunteered-to-part">Answer Assistant實驗</a>，測試由人工智慧生成的回答是否能通過社群審核機制，成為公開的內容。然而，此舉在社群內部引發廣泛討論與爭議，部分用戶擔憂人工智慧內容可能影響平臺的知識品質，甚至改變Stack Exchange作為人類策畫知識庫的核心價值。對於Stack Exchange來說，這項實驗目的在於探索人工智慧技術，如何在維持人類維護的前提下，輔助使用者獲得解答，但目前的實施方式已讓不少資深貢獻者感到不安，擔憂這是否會削弱專家參與的動機。</p> <p>此次Answer Assistant實驗會在部分站點先行測試，包括Arts & Crafts、Raspberry Pi和User Experience。當符合特定條件的問題在72小時內未獲得讚賞或接受的回答時，系統將產生人工智慧建議的答案，但這些內容只有具有一定聲望分數的使用者可以看見，並標註為人工智慧生成，待社群成員評估正確性。若多位使用者認定答案有效，該回答將公開顯示，並由名為Answer Bot的帳號發表，若是人工智慧內容被判定為錯誤則會被刪除，避免影響整體知識庫品質。</p> <p>這項機制的目標是減少未獲解答的問題，並提供社群成員一個參考答案以進行編輯與補充。不過，部分社群成員對此持質疑態度，認為這與Stack Exchange長期以來強調的人類策畫知識原則相違背。批評者認為，Stack Exchange一直以來的價值在於匯聚專家知識，讓回答不只是正確，更是具有深度、完整性和可信度。而人工智慧生成的內容，即便經過人類審核，仍可能無法達到社群期望的水準，甚至增加專家審核的負擔，讓原本願意貢獻知識的使用者感到沮喪。</p> <p>此外，另一個爭議點在於審查機制是否足夠嚴謹。目前官方設定的最低審查門檻為50聲望分數，這遠低於其他審查機制的標準，像是部分內容審核隊列通常需要350、500甚至3,000以上的聲望才能參與。一些社群成員質疑，低門檻可能導致機械式審查，讓不具備足夠專業知識的使用者輕易將人工智慧內容標記為正確，進而影響最終公開內容的品質。</p> <p>還有一個引發社群不滿的問題，是人工智慧內容的可追溯性與透明度。Stack Exchange官方表示人工智慧內容的來源目前無法提供明確的引用與出處，這與Stack Exchange一直以來強調的可驗證資訊原則衝突。官方雖表示正在研究如何解決這個問題，但在沒有明確解決方案的情況下，仍選擇推動實驗，讓部分用戶認為Stack Exchange在來源不可妥協的原則上存在雙重標準。</p> </div></div></div>
2025/2/7 08:24作者李建興https://www.ithome.com.tw/news/167243
個人專案從零到一
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1220-itshu_zhai_-1p-gong_cheng_shi_qiu_zhi_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">博碩文化</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">以做專案的目標來說，都是希望可以藉由此專案來豐富自己的履歷表，因此會需要能夠持續地堅持兩、三個月把專案做完整，因此挑題目會至關重要，建議不要為了技術或功能特別去找一個題目來做。</p> <p dir="ltr">不這樣做的原因在於：若對於正在做的專案本身不感興趣，很有可能會做到一個段落後就覺得差不多了，少了迭代、優化的動力；再來也會因為本來就不感興趣，做久了就覺得無聊進而放棄；或者，可能有幸做完了，但在面試時無法說明為什麼要做這件事，因為用「學習」的角度來說明動機可能不是最加分的說法。</p> <p dir="ltr">因此建議這邊可以用三個步驟來挑選出適合自己的題目。</p> <p dir="ltr"><strong>1. 挑選有興趣的主題。</strong></p> <p dir="ltr"><strong>2. 針對類似的主題，尋找相關的服務或產品試用。</strong></p> <p dir="ltr"><strong>3. 針對既有的缺乏功能、痛點做優化。</strong></p> <p dir="ltr"><span style="color:#B22222;"><span style="font-size:28px;"><strong>打造產品的流程</strong></span></span></p> <p dir="ltr">個人專案建議可以用產品的角度來建立，會讓整個專案有一個具體的使用情境、脈絡甚至是使用者，不僅在說故事上變得更容易，在產品開發的過程中也可以依據使用者需求來做迭代和調整。</p> <p dir="ltr">因此在挑選完題目時，可以多想一個步驟：我現在要做的這個東西，誰會是使用者？建議這個使用者是你身邊可以觸及到的使用者，這樣就可以進一步去問問看他們對於即將要做的產品，有沒有過類似的使用經驗，讓產品在發想功能和做的時候會有更精準的方向。</p> <p dir="ltr">舉例來說，如果今天想要做一個AI客服機器人，我可能會對自己進行這樣一連串的靈魂拷問：</p> <p dir="ltr"><strong>1 .我的AI客服機器人是要運用在哪一個情境？</strong>（舉例：電商退換貨、銀行客服、交通資訊查找、美食推薦等）</p> <p dir="ltr"><strong>2. 我的AI客服機器人可以分成不同族群嗎？</strong>（舉例：小資族、12歲以下小朋友、不常使用3C產品的長輩等）</p> <p dir="ltr"><strong>3. 第二題的受眾，在第一題的狀況下，列出十點他們可能遇到的問題。</strong>（舉例：不常使用3C產品的長輩在使用電商時，如果退換貨遇到狀況想要諮詢客服時，會遇到哪些問題？）</p> <p dir="ltr"><strong>4. 我的AI客服機器人可以怎麼優化、做哪些功能，來改善第三題遇到的這些困難？</strong></p> <p dir="ltr"><span style="color:#B22222;"><span style="font-size:28px;"><strong>MVP概念</strong></span></span></p> <p dir="ltr">在開發產品之前，我們要先有最簡可行產品（minimum viable product，MVP）的概念，MVP用於快速驗證產品概念的有效性，同時最小化初期開發的時間和投入成本。MVP著重於建立一個具備核心功能的產品版本，這些功能足夠展示產品的基本概念並吸引早期使用者，但不包括額外的功能和修飾，這些可以在產品經過市場驗證後根據使用者回饋逐步添加。</p> <p dir="ltr">回到我們的專案來看，雖然不像真的做產品那樣，需要從驗證市場需求開始，但我們以技術的角度出發，我們並不是從一個一個模組、部件開始打造，最後打造一個超完整服務，而是先從最核心的功能開始做，舉例來說，如果我們今天想要做一個類似Facebook的社群平台，對我來說其最核心的功能就是「發貼文」和「交友」，而為了識別個體，會需要再多做「註冊」以及「登入」，這四個功能就是社群平台當中最核心的功能。</p> <p dir="ltr"><span style="color:#B22222;"><span style="font-size:28px;"><strong>增添亮點</strong></span></span></p> <p dir="ltr">為了足夠吸引面試官並且提升技術力，只做MVP是不夠的，MVP只能確保在開發的過程當中，產品都是完整的，但並非是有亮點的、也並非技術是多困難的。</p> <p dir="ltr">要創造具有吸引力的產品功能，首先可以參考市場上現有的成功產品來進行靈感啟發。以社群平台為例，MVP可能只包括交友、發貼文功能。然而，為了使產品更完整，更能吸引使用者，我們可以考慮增加如「按讚」、「留言」、「修改個人資料」等互動性強的功能。這些功能雖然在技術上可能不算特別困難，但能顯著提升使用者參與度和產品的吸引力。</p> <p dir="ltr">另一個角度是並非要從類似的產品找功能，可以從差異很大的產品找功能，像是從串流音樂平台當中找功能、從Podcast服務當中找功能，但在挑選功能時也不是亂挑的，建議可以從一開始設定的受眾出發，如果設定受眾與情境是，熱愛獨立音樂青年專屬的社群平台，那就可以放更多音樂的元素在產品當中，就會是一個很好的碰撞。</p> <p dir="ltr">在撰寫履歷時，有時候一些看似酷炫且有趣的功能，在技術層面上可能並不具有特別的挑戰性，因此這樣的功能未必能在履歷中凸顯你的技術實力。因此，建議從技術的角度出發，仔細思考如何整合並呈現這些技術，使之能在你的專案中發揮出更大的影響力。這不僅能夠提升你的專案在技術層面的深度，也能在履歷中顯示出你對技術應用的獨到見解和創新能力。</p> <p dir="ltr">如果你正在尋找靈感或不確定哪些技術可以加入你的專案，可以參考職位的職涯路線圖，例如<a href="https://roadmap.sh" target="_blank">https://roadmap.sh</a>網站提供了豐富的資源。這個平台詳細列出了不同職位從入門到精通的技術學習路徑，涵蓋了各種必須掌握的技術和工具。透過這些路線圖，你可以了解到目前業界對於特定職位所期望的技術標準和新興趨勢，從而選擇那些能夠顯著提升你專業技能的技術，將其融入你的專案中，以增強你的履歷競爭力。</p> <p dir="ltr">舉例來說，Docker通常是後端工程師需要學會的工具之一，也可以在職涯路線圖當中發現這個節點，就可以嘗試將自己的產品容器化，雖然在使用者的體驗上並沒有任何的改變，但在技術上卻是不相同的，這都是可以在履歷上增添的部分。</p> <p dir="ltr">如果是從使用者的角度出發，可以直接拿著你的產品，去找到你所設定的受眾進行一場易用性測試，而一場易用性測試該怎麼做呢？建議可以依照下面的步驟進行：</p> <p dir="ltr"><strong>1. 明確測試目的：</strong>這可能包括了解使用者對產品的第一印象、界面的直觀性、或是特定功能的操作流程是否容易理解。</p> <p dir="ltr"><strong>2. 設計任務：</strong>這些任務應涵蓋產品的主要功能和常用流程，以觀察參與者在自然狀態下如何與產品互動。</p> <p dir="ltr"><strong>3. 準備測試環境：</strong>建立一個控制的環境，讓參與者可以在不受外界干擾的情況下使用產品。</p> <p dir="ltr"><strong>4. 進行測試並記錄數據：</strong>在測試過程中，觀察並記錄參與者的行為反應和操作時間。可以使用錄影的方式記錄，可以事後幫助回顧測試過程並捕捉細節。</p> <p dir="ltr"><strong>5. 進行訪談：</strong>測試後，與參與者進行一對一訪談，深入了解他們的使用感受、遇到的問題以及改進建議。這一步是理解參與者實際體驗的關鍵。</p> <p dir="ltr"><strong>6. 分析結果並制定行動計劃：</strong>分析測試數據和訪談回饋，識別出產品的強項和弱點。根據這些資訊，制定具體的行動計劃來改進產品。</p> <p dir="ltr">透過易用性測試的結果，可以更進一步的優化產品功能，並且可以透過訪談的過程，去了解使用者還有什麼樣的需求還沒被滿足，藉由這樣真實的使用者回饋去迭代產品。<strong>（本文摘錄整理自《軟體工程師求職策略大全》，博碩文化提供）</strong></p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/1220-IT%E6%9B%B8%E6%91%98-1P-%E5%B7%A5%E7%A8%8B%E5%B8%AB%E6%B1%82%E8%81%B7-600.jpg" style="width: 600px;" /></p> <p dir="ltr"><span style="font-size:14px;"><span style="color:#696969;">圖片來源_博碩文化</span></span></p> <p dir="ltr"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> <span style="color:#3399ff;">軟體工程師求職策略大全</span></strong></p> <p dir="ltr">ExplainThis（王鵬傑、李俊廷、林品均）／著</p> <p dir="ltr">博碩文化出版</p> <p dir="ltr">定價：680元</p> <p dir="ltr"><a href="https://www.explainthis.io/zh-hant" target="_blank">圖片來源_ExplainThis.io</a></p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98_%E5%B7%A5%E7%A8%8B%E5%B8%AB%E6%B1%82%E8%81%B7_%E5%9C%962%20_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_ExplainThis_io.png" style="width: 250px;" /></p> <p dir="ltr"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p dir="ltr"><strong>ExplainThis（王鵬傑、李俊廷、林品均）</strong></p> <p dir="ltr">ExplainThis致力於將深澀難懂的概念，變成白話易懂的內容，讓新的科技不再離大眾那麼遠，讓每個人都能掌握AI時代的思維與能力。</p> <p dir="ltr">ExplainThis團隊曾開發了超過百萬人使用的《ChatGPT 指令大全》，受《哈佛商業評論》專訪；也在GitHub 開源生成式AI專案，並累積超過三千顆星星，同時出了一本超過九刷的ChatGPT技術專書《ChatGPT 指令大全與創新應用》。</p> <p dir="ltr">我們團隊多元組成，包含正在創業的軟體工程師，以及曾任職FAANG 等科技大廠工作的全端工程師。我們有在台灣、新加坡、日本、歐洲數國任職的經驗，因為多元的組成，我們相信不論你的背景為何，ExplainThis的內容都能在你的工程師轉職與求職路上，帶來一點幫助。</p> <p> </p> </div></div></div>
2025/2/7 06:00未署名https://www.ithome.com.tw/article/167173
黑色皮衣CEO的領導哲學
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1220-itshu_zhai_-1p-hui_da_zhi_dao_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">商業周刊</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">就在輝達成為全球市值最高公司的四天前，我的機會來了。輝達得知我正在寫一本書；2024年6月初，一位代表提議就在他對加州理工學院2024年畢業生發表畢業典禮演說之後，幫我安排一次見面。我欣然同意，於是6月14日星期五上午，我站在畢業典禮講台前，等黃仁勳現身。</p> <p dir="ltr">在黃仁勳說完結語後，我被帶往凱克太空研究中心，黃仁勳在那裡等我。我們閒聊了一會兒，我才開始提問事先準備好的問題。我解釋說我以前是電玩發燒友，從1990年代就開始自己組裝電腦。我是在研究顯示卡時頭一次接觸輝達，自此成為忠實用戶。我也提到在我職業生涯之初，效力華爾街一家基金公司時，投資輝達成了我人生頭一次重大勝利。</p> <p dir="ltr">「幹得好。」黃仁勳一本正經地說：「輝達也是我人生頭一次重大勝利。」</p> <p dir="ltr">我們開始天南地北討論輝達的歷史。黃仁勳知道他有很多前員工深深懷念輝達的草創時期。但他不願給予輝達的創業階段──還有他自己的失策──過於正面的評價。</p> <p dir="ltr">「我們還年輕的時候，搞砸了很多事。輝達不是從第一天就偉大的公司。我們花了三十一年才讓它變強。它以前不太妙。」他這麼說：「很強就不會造出NV1了。很強就不會造出NV2了。」他這麼說，指的是該公司前兩款晶片設計──都是差點毀掉輝達的賠錢貨。「我們戰勝自己，活了下來。我們是自己最大的敵人。」</p> <p dir="ltr">輝達有好幾次瀕臨破產的經驗。但每一次，在沉重的壓力下，它都能從自己所犯的錯誤中學習。它留住了一批核心的死忠員工，其中很多人待到今天。當然，也有人沒留下來，使輝達需要融入新血。「每一次危機都有人離開，每一次我們都重新振作起來。我們療傷止痛，讓它活下來，」他說。</p> <p dir="ltr">他突然轉成第三人稱。「要是公司頭十五年沒有黃仁勳參與，那就太好了。」他大笑，意味他並不以當時公司的治理方式或自己的一派天真和缺乏策略性思考為傲。</p> <p dir="ltr">結果我得站在一個奇怪的立場，向輝達的創辦人捍衛輝達的過往。我指出，那些早期的決策──我自己做過研究調查，對此有相當程度的認識──並非一無是處。就算犯錯，其中一些失敗也可歸咎於不可預期，或他和公司無法掌控的因素。事後來看，其中很多似乎無可避免。</p> <p dir="ltr">「好，你這樣講也可以。」黃仁勳說：「我不喜歡談我們的過去。」</p> <p dir="ltr"><span style="color:#B22222;"><span style="font-size:28px;"><strong>最純粹的「輝達之道」</strong></span></span></p> <p dir="ltr">故事將一路回到1993年──對任何在科技業工作的人來說，那是好幾輩子以前的事了──黃仁勳、克蒂斯．普里姆（Curtis Priem）和克里斯．馬拉科夫斯基（Chris Malachowsky）在一家丹尼餐廳（Denny’s）後排的小包廂創立輝達的經過。少了其中哪一人的貢獻，輝達就不可能誕生。黃仁勳的商業敏銳度和嚴格的管理風格固然是輝達初期成功的關鍵，但普里姆設計晶片架構的非凡造詣，以及馬拉科夫斯基的製造專業，同樣不可或缺。</p> <p dir="ltr">這是一個至今長達三十年的故事，為了說這個故事，我採訪了一百多人。其中許多是現任或前任輝達員工，深諳輝達的內部運作方式──受訪者包括黃仁勳、兩位共同創辦人，以及早期及現任高階管理團隊的多數成員。除此之外，還有兩位最早投資輝達的創業投資家、多名科技業的執行長、曾幫助輝達製造及銷售晶片的事業夥伴，以及其他和輝達同場較勁、十之八九不是對手的半導體公司。</p> <p dir="ltr">透過這些訪問，我開始了解輝達到底哪裡特別。它的獨特之處不在於它的技術造詣──這比較像是結果，而非根本原因。不是財務資源或新機會──這些是來自高市場評價。不是預見未來的神祕能力。不是運氣好。而是它獨特的組織設計和工作文化，也就是我所謂的「輝達之道」（Nvidia Way）。輝達文化結合了罕見的員工自主與最高標準；它鼓勵速度最快，又要求品質頂尖；它讓黃仁勳得以扮演策略師和執行者，又能直接看到公司裡的每一名員工和每一件事。最重要的是，它要求每個人都要有近乎超人等級的努力與心理韌性。輝達文化之所以特別，不只是因為在這裡工作極耗心力（雖然確實如此），更是因為黃仁勳的管理風格和美國企業截然不同。</p> <p dir="ltr">黃仁勳會以他獨特的方式經營公司，是因為他相信輝達最大的敵人不是競爭對手，而是它自己──更明確地說，是任何成功公司都會面臨的自滿，特別是像輝達這樣歷史悠久、紀錄輝煌的公司。擔任新聞記者時，我見到不少公司隨著發達興盛而出現組織渙散的現象，而主因就是辦公室政治：員工的焦點不是擺在推動創新或服務顧客，而是幫助主管升官發達。</p> <p dir="ltr">這分散了員工的注意力，使他們無法盡心盡力工作，得不斷回頭提防來自隔壁辦公室的威脅。這正是黃仁勳創立輝達組織架構要杜絕的現象。</p> <p dir="ltr">「這麼多年來，我了解事情會怎麼發生，人們會怎麼保護自己的地盤，會如何捍衛自己的想法。我建立了一個更扁平的組織，」黃仁勳說。他對抗暗箭傷人、表裡不一和鉤心鬥角的方法是公開問責──如有必要，也公開給人難堪。「如果我們有哪個領導者不為他人的成功而奮鬥，有哪個領導者剝奪了別人的機會，我會大聲說出來，」他說。「我不介意指責他人。你這樣做個一兩次，就沒人敢亂來了。」</p> <p dir="ltr">輝達這種獨樹一格的文化或許聽來怪異，甚至出奇苛刻──就算以科技業的標準來看也是如此。但我訪問了那麼多前輝達員工，卻很難找到不認同的人。他們全都指出，輝達基本上沒有大型組織常見的那種辦公室政治和優柔寡斷。他們提到自己很難適應其他公司的工作環境：既缺乏直接坦率的溝通，也沒什麼完成任務的急迫性。他們形容輝達不只是授權給他們，更要求他們履行專業使命，並以此作為必要的雇用條件。</p> <p dir="ltr">某種意義上，這就是最純粹的「輝達之道」。這是一種堅定不移、相信盡力做好工作就會獲得豐厚回報的信念；也是一種在逆境中堅持到底的動力。或者，如黃仁勳直視我的眼睛所說的：他的公司成功的祕訣，無非就是「純粹的意志力」。</p> <p dir="ltr"><span style="color:#B22222;"><span style="font-size:28px;"><strong>個人意志形塑了輝達</strong></span></span></p> <p dir="ltr">更確切地說，是黃仁勳的個人意志形塑了輝達。他一人做出輝達史上影響最鉅的幾個決定。他能夠正確地把重金押在新興技術，是因為他具有深厚的技術知識──他是擁有工程背景的創辦人。我試著在這本書裡將「輝達之道」提煉為一套任何人都可以從中學習的原則，就算沒辦法親自使用。不過，這一切的背後都潛伏著一個問題：你真的可以把輝達和它的執行長分開嗎？</p> <p dir="ltr">我寫這句話的時候，黃仁勳已經六十一歲。他管理輝達已經三十一年，超過半生。而今天輝達的規模比當年更大、更賺錢，對全球經濟的影響也更深遠。但它仍仰賴黃仁勳這位企業領袖兼定調者。</p> <p dir="ltr">輝達在後黃仁勳時代會變成什麼樣子──它的文化能否存續，能否維繫現有的動力──目前仍不明朗。</p> <p dir="ltr">說到底，白板有沒有用取決於拿筆的人。它可以反映天才，但無法創造天才。<span style="color:#696969;"><strong>（本文摘錄整理自《輝達之道》前言，商業周刊提供）</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1220-IT%E6%9B%B8%E6%91%98-1P-%E8%BC%9D%E9%81%94%E4%B9%8B%E9%81%93-600.jpg" style="width: 600px;" /></p> <p dir="ltr"><span style="color:#696969;"><span style="font-size:14px;">圖片來源_商業周刊</span></span></p> <p dir="ltr"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> <span style="color:#3399ff;">輝達之道（The Nvidia Way）</span></strong></p> <p dir="ltr">金泰（Tae Kim）／著；洪世民、鍾玉玨／譯</p> <p dir="ltr">商業周刊出版</p> <p dir="ltr">定價：450元</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%962_%E8%BC%9D%E9%81%94%E4%B9%8B%E9%81%93_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Amazon.png" style="width: 150px;" /></p> <p dir="ltr"><a href="https://www.amazon.com/stores/author/B0DHLSC67W?ingress=0&visitId=64b6f2b6-2e00-45e2-aa1d-89eb2c875c71&ref_=ap_rdr" target="_blank"><span style="color:#696969;"><span style="font-size:14px;">圖片來源_Amazon</span></span></a></p> <p dir="ltr"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p dir="ltr"><strong>金泰（Tae Kim）</strong></p> <p dir="ltr">《巴倫週刊》的資深撰稿人，曾任《彭博觀點》科技專欄作家，亦曾擔任CNBC Digital的投資記者，報導股票和市場，並擔任雅虎財經的線上編輯。他還曾在價值數十億美元的科技避險基金擔任投資分析師。職涯初期擔任企管顧問。</p> </div></div></div>
2025/2/7 06:00未署名https://www.ithome.com.tw/article/167175
如何管理日益複雜的IT系統？亞馬遜20年技術老將揭6大心法
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著業務發展，IT系統越建越複雜，甚至不可避免地疊床架屋，一不注意就變成東拼西湊的違章建築了。如何簡化IT複雜性，一直是資訊長、技術長們的重要課題。日前，一位在全球龍頭電商磨練了20年的IT老將，不藏私分享他的6大管理心法。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>上任之初開始摸索管理方法</strong></span></span></p> <p>這位老將，就是Amazon技術長Werner Vogels。2005年，他剛進入Amazon沒多久，時任執行長Jeff Bezos和資訊長Rick Dalzell就問他，願不願意接任技術長這一職。</p> <p>他當時想：「怎麼能錯過打造全球最大分散式系統的機會？」於是接受了這份職務，雖然還不知道自己將面臨什麼挑戰。</p> <p>這20年來，「學習、學習和學習」是Werner Vogels不斷重複的事。他坦言，隨著組織業務擴大，IT系統不可避免地越來越複雜，比如AWS有許多以簡單（Simple）為名的服務，像是SimpleDB、Simple Storage Service（即Amazon S3雲端儲存服務）、Simple Queuing Service等，每年都在新增功能、服務規模越來越大，它們變得「不再簡單，反而很複雜。」</p> <p>這種「複雜性（Complexity）隨時會發生，你必須管理它。」Werner Vogels娓娓道來，團隊20年裡跌跌撞撞嘗試，最終摸索出一套方法，成功管理了複雜的IT系統。</p> <p>這套方法簡單、可靠又安全，Werner Vogels用「Simplexity」來形容，還總結出自己從中學到的6堂課。他希望分享這些經驗，來幫助資訊長、技術長們管理IT環境，確保日益複雜的系統不失控。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>第一堂課：系統要具備進化能力</strong></span></span></p> <p>分享第一堂課前，他先強調：「Simplexity需要紀律。」有了紀律，才能謹慎規畫IT系統的長期發展。</p> <p>在這個前提下，他領悟的第一課，就是在設計系統的第一天，融入系統的「進化能力」（Evolvability）。換句話說，系統未來幾年一定會面臨變動，資訊長和技術長必須制定一套因應系統複雜性的長期策略，無論未來發生什麼變化，例如規模擴展或功能增減，IT架構都能靈活調整、應對。</p> <p>Werner Vogels舉例，18年前，團隊打造Amazon S3服務的第一天，就清楚知道，1年後的架構一定和當下不一樣。</p> <p>於是，他們設計一套可控的架構，來因應未知需求，讓團隊新添功能或變更系統的同時，還能輕易管理。這也是他們每年新增S3功能，十多年來仍不影響客戶體驗的關鍵。</p> <p>具備進化能力的系統，乍聽之下很抽象，Werner Vogels進一步解釋，這類系統有幾個特點，比如要根據業務概念建置，或是以細緻的使用者介面來隱藏內部細節，以及採取智慧端點（Smart endpoints）設計概念，將業務邏輯放入服務內部，讓每個端點自主執行特定任務、降低對中央控制的依賴。</p> <p>再來，分散式設計和獨立可部署設計也很重要，如此才有足夠的彈性，讓系統隨著時間推移而更新。擁抱雲原生、確保系統高度可觀察和自動化，都是具備進化能力的做法。最後一個重點是，系統發生故障或錯誤時，要能被隔離在特定範圍內，確保單一故障不會引發連鎖反應、導致整個系統停止運作。</p> <p>這是Amazon團隊開發系統進化能力學到的第一堂課，也是Werner Vogels眼中最重要的一課。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>第二堂課：拆解複雜性</strong></span></span></p> <p>Werner Vogels學習到的第二課是拆解複雜系統，將其分解為一系列低耦合、小規模的元件（Component），將功能相關的元件或模組聚在一起，讓它們專門執行密切相關的任務，並以良好定義的API來溝通。</p> <p>Amazon CloudWatch就是一例，這是一款專門監控AWS應用程式和效能的服務，每天要處理665兆個指標觀察、消化440PB的大量日誌。</p> <p>原本，這個服務非常龐大且複雜。為簡化它的複雜性，Werner Vogels團隊把握3個核心原則：將系統解構，轉換為一系列高內聚且低耦合的元件，再透過妥善定義的API，讓這些元件互相溝通。</p> <p>現在，CloudWatch前端只處理核心功能，整個系統的複雜性則分散到個別元件上處理。如此一來，這些元件可以隨著時間推移不斷更新，不論更新的是功能、函式庫還是程式語言都可以，比如Amazon後來就將原本以C語言寫成的高容量資料儲存功能，以Rust語言改寫。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>第三堂課：組織要與架構一致</strong></span></span></p> <p>Werner Vogels學到的第三堂課，是組織的複雜度要與IT架構一致。當內部的系統越建越複雜，組織也該有對等的複雜性，反之亦然。</p> <p>舉例來說，大約6年前，Amazon S3團隊經歷快速成長期，開始大幅招募工程師，新來的工程師未必熟悉S3服務，尤其是如何確保S3服務的耐用性。於是，S3團隊幾位主管討論，借鏡安全工程的威脅模型優化模式，也就是盤點安全弱點，再用威脅模型評估風險，來檢查防禦措施是否做足。</p> <p>這個模式，後來成為S3提高耐久性風險模型的作法，每當團隊要更改S3時，就會寫下可預見的耐久性風險，以及採取的應對措施。</p> <p>這麼做，只需找來團隊中少數的資深工程師，擔任耐久性審查員就能確保服務的耐用性，不用擔心新手的經驗不足；甚至，團隊還可針對威脅模型深入討論、找出漏洞並改進，再以這個經驗進行教育訓練。</p> <p>這就是將組織規模對應IT架構的實例之一。Werner Vogels還提出另一個重點，也就是建立所有權（Ownership），賦予能完成任務的最小團隊權力，給予支持和時限壓力，來讓隊員在一定時間範圍內，授權完成任務，並為此負責。這是Amazon S3團隊的另一項實踐。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1220-CTO-%E6%8A%BD%E8%A8%80-V2.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／AWS</span></span></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>第四堂課：拆分為單元</strong></span></span></p> <p>解決了組織與IT架構的複雜性，接著要解決維運的複雜性。</p> <p>「在Amazon，我們的做法是將應用程式組成為單元（Cells），來解決維運的複雜性。」Werner Vogels說明，一支應用程式的架構包含前端、中層容器和後端儲存，只要任一環節出現問題，整支服務就會受到牽連，影響所有客戶的使用體驗。</p> <p>為解決這個問題，Amazon團隊將原本的大架構拆解為小單元，這些小單元可以獨立維運，就算發生故障，也不會影響其他單元的運作，降低故障帶來的衝擊範圍。</p> <p>在這種單元架構中，不同單元的系統可以獨立運作，互不影響。開發者再透過一套演算法，比如路由演算法，來將大量使用者對應到不同單元，分散負載。理想情況下，一個單元要足夠大到能處理最大工作負載，但也要足夠小到能進行全面測試，這是Werner Vogels學習到的第四堂課。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>第五堂課：設計可預測系統</strong></span></span></p> <p>設計可預測系統，是他學到的另一堂課。因為，維運的不確定性非常難處理，「所以必須在打造系統之初，就採取可預測性設計，才能避免維運的不確定性。」</p> <p>Werner Vogels舉例，一套處理數百萬家企業顧客負載配置異動需求的配置管理系統，通常採取事件驅動架構。這種架構先將顧客的配置異動請求，存入資料庫，再一一送到事件佇列，來觸發無伺服器負載平衡處理機制。但若顧客不斷提出重新配置的請求，負載平衡器的處理工作就會變得不可預測。</p> <p>於是，Amazon團隊採取一種相對簡單的做法，將所有的配置異動請求，寫入一個S3的檔案，負載平衡器固定每隔幾秒來讀取這個檔案，取得所有的異動，一口氣執行每一個異動請求。</p> <p>「如此一來，重新配置就變得完全可預測了！」Werner Vogels強調，這種可預測設計大幅降低了不確定性帶來的衝擊，也減低未知的影響力，是管理複雜系統的另一重要手段。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>第六堂課：自動化是標配</strong></span></span></p> <p>這位IT老將管理複雜系統的最後一課，是盡可能將複雜系統自動化，特別是大規模的複雜系統。Amazon自己就有不少自動化應用，Werner Vogels舉例，AWS靠自動化來維持服務的耐用性和容量，前述的負載平衡重新配置、甚至是區域的建立，也都靠自動化完成，幾乎沒有人工介入。</p> <p>然而，什麼事情該自動化？</p> <p>「這個問法不對，你應該要問『什麼不該自動化』！」Werner Vogels點出，只有在真正需要人類高度判斷的領域，才保留人工介入，「其餘一律自動化。」</p> <p>他還建議，企業或組織應該將自動化視為標準，人為參與視為例外。而且，不要只讓某一類職員做決策，應該還要納入監督者角色，才能確保人為錯誤不發生。</p> <p>舉例來說，AWS團隊就靠AI代理工作流程，來自動化工單分派。首先，AI代理會分析工單、產出執行計畫，接著挑選工具、自動執行任務。再來，代理會選用其他工具來驗證結果，完成後交由人工審核。Werner Vogels補充，團隊可以選擇由代理自動解決問題，也可以升級人工審核。在Amazon內部，還有許許多多這類自動化實例。</p> <p>「這就是我在Amazon工作20年來，管理複雜IT系統學習到的6堂課。」Werner Vogels說。</p> <p> </p> <p><span style="color:#FFFF00;"><span style="font-size:28px;"><strong><span style="background-color:#000000;"> CTO看2025年科技趨勢 </span></strong></span></span></p> <p><strong>Amazon技術長Werner Vogels前陣子發表2025年科技趨勢預測文章，一共給出5項預測。</strong></p> <p><strong>首先，未來的勞動力將以使命感為導向，也就是除了薪水和更好的職涯發展，未來勞動力還會想為世界帶來正面的改變；而認知到這一點的企業，將獲得長期成功。再來，能源效率將進入新時代，將推動創新，比如發展小型模組化反應器、重新設計資料中心的耗能方法等創新。</strong></p> <p><strong>第三，科技發展將大規模助長事實查核，新一波AI工具將出現，來幫助記者、研究員和熱心公民尋求真相。</strong></p> <p><strong>第四，開放資料將推動去中心化的自然災害韌性，尤其將資料和決策權交到社區手中，不但能改善災害應變，還能建立緊急預備的災害管理網。最後，有別於現行感官刺激來吸引點擊、造成分心的消費科技，講求斷開數位連結的目的導向消費科技將日益普及。</strong></p> <p> </p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CTO小檔案 </span></strong></span></p> <p><strong>Amazon技術長Werner Vogels</strong></p> <p>學歷：阿姆斯特丹自由大學電腦科學博士畢業</p> <p>經歷：2004年擔任康奈爾大學科學研究員並進入Amazon，隔年擔任技術長至今，負責推動雲端運算發展，另也致力協助年輕創業家擴大至全球規模、協助企業轉型為快速發展的數位化組織。他也著有多篇關於企業運算的分散式系統技術文章</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E5%85%AC%E5%8F%B8%E4%BB%8B%E7%B4%B9)amazon.jpg" style="width: 250px;" /></p> <p><strong>Amazon.com</strong></p> <p>●總部：美國西雅圖</p> <p>●成立時間：1995年</p> <p>●主要業務：最初為網路書店，後來擴展為電子商務平臺，並進軍雲端服務、AI、數位媒體等領域</p> <p>●員工數：約150萬人</p> <p>●營收：1,589億美元（2024年第三季）</p> <p>●董事長：Jeff Bezos</p> <p>●執行長：Andy Jassy</p> <p><span style="color:#ffffff;"><strong><span style="background-color:#3399ff;"> 公司大事紀 </span></strong></span></p> <p>●1997年：Amazon成立</p> <p>●2002年：推出AWS雲端運算服務平臺</p> <p>●2005年：Amazon Prime付費訂閱服務推出</p> <p>●2006年：AWS第一代Amazon S3公雲服務正式上線</p> <p>●2014年：Amazon智慧語音助理Alexa推出</p> <p>●2017年：併購Whole Foods，成為實體零售電商</p> <p>●2018年：Amazon資料庫從Oracle資料倉儲系統，改搬到AWS雲端資料倉儲</p> <p>●2023年：Amazon推出AVI自動貨車檢查系統；AWS揭AI訓練晶片Trainium2和Arm架構處理器Graviton4、正式上線生成式AI平臺Amazon Bedrock</p> <p>●2024年：Amazon推出生成式AI購物助理Rufus、6款Nova系列模型；Amazon加深與Anthropic合作、投資1.1億美元啟動Build on Trainium大學創新計畫；Amazon SageMaker機器學習平臺重新定位為AI統一大平臺；生成式AI助理Amazon Q正式上線</p> <p>●2025年：Amazon RMN廣告技術服務開放給第三方零售業者</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1220-cto-960.jpg" width="960" height="420" alt="" title="Amazon技術長Werner Vogels　（圖片來源／AWS）" /></div></div></div>
2025/2/7 06:00作者王若樸https://www.ithome.com.tw/people/167235
即知即行
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>電視臺的網路視訊頻道24小時不間斷播放中國宮鬥劇《後宮甄嬛傳》，已成為這幾年臺灣農曆春節的傳統，片頭曲《紅顏劫》的歌詞許多人都耳熟能詳，「拱手讓江山，低眉戀紅顏；禍福輪流轉，是劫還是緣；天機算不盡，交織悲與歡；古今癡男女，誰能過情關。」劇中各個角色的出場、退場，都使觀眾們感慨再三。</p> <p>而在現實世界中，悲歡離合的情節也總是不斷在我們的眼前一幕幕上演。就像最近藝人大S徐熙媛過世的消息，也令人不勝唏噓，在亞洲娛樂圈具有頗高知名度的她，在2月2日因感染流行性感冒併發肺炎而離世。</p> <p>回顧這幾年以來，大炳（余炳賢）、高以翔、劉真、羅霈穎、黃鴻升（小鬼）、李玟、汪建民等人的逝世，都讓人感到惋惜。</p> <p>大S的驟然離世，也敲醒國人對於流行性感冒的重視。去年10月、11月，衛生福利部疾病管制署陸續開放第一、二階段的公費流感疫苗施打，今年1月擴大提供6個月以上尚未接種之民眾接種，直到疫苗用完為止，不過，到了農曆春節過後，此事才受到顯著重視，多個地區的衛生醫療院所出現施打疫苗的排隊人潮，大家也開始關切公費流感疫苗剩餘數量。然而，數量終究有限，後續勢必有不少人想打卻打不到，屆時若要接種，就需要自費，而且，施打後需要等待一到兩個星期產生抗體，因此，無論你是否已經施打、最近施打，或尚未施打疫苗，過去在COVID-19疫情期間養成的各種衛生習慣，像是勤洗手、戴口罩，都要去做，設法預防自己遭到病毒感染仍然非常重要。</p> <p>其實不只是攸關個人健康的疾病，舉凡企業組織的營運危機、資安威脅，人們都需要盡快行動，當大家知道這件事很重要，請設法立即進行，因為「逝者如斯夫，不舍晝夜」，時間持續流逝，不因誰而停留片刻，我們只能盡量爭取時間完成必要的行動。</p> <p>以接種流感疫苗為例，我自己這幾年已經開始到診所自費施打，一旦得知醫療院所宣布可接種公費與自費流感疫苗，我會通知家人快施打，他們也都認知到疫苗重要性，去年底大部分家人都前往衛生所或醫院接種，因此現在不需要擔心疫苗能否打到的問題，也不用耗費許多時間尋找、預約與排隊。</p> <p>對於端點資安防護而言，以Windows個人電腦為例，不論微軟長期推動的每月安全性例行更新，或是突然出現的系統更新通知，我也很重視，雖然Windows作業系統本身會跳出通知訊息，但每個星期我至少會刻意執行Windows Update一次，確認是否有遺漏的軟體更新作業尚未進行；而在智慧型手機的使用上，我同樣每隔一段時間會去檢查是否有作業系統更新，並且關注各大媒體對於更新相容性議題的報導。</p> <p>而在身分防護上，幾年前我開始使用臺灣廠商生產的FIDO硬體金鑰，支援USB-A介面，強化多因素驗證防護，當時一支1千元有找，當時透過電商平臺買了幾十支分送同事親友，鼓勵大家一起使用；現在想再買同樣規格的產品，已買不到，因為廠商目前僅上架新款支援USB-C的FIDO硬體金鑰，價格提升到超過1千元。看來早點買還是值得的！</p> <p>今年農曆春節期間，我也向家人介紹近期覺得相當好用的資安防護機制：密碼管理員（Password Manager），並建議他們最好不要用瀏覽器內建的這類功能，另外尋求其他廠商的解決方案，因應記憶多組登入帳號密碼，以及經常需要產生高強度密碼的需求。</p> <p>除了關注系統更新與身分安全，每個人可能都需要去想想今年是否要汰舊換新既有的設備！為了確保資安與提升能源使用效率，這些工作與花費不能省。</p> <p>首先是Windows 10電腦，微軟將於今年10月14日終止支援，之後微軟不會提供每月例行的安全性更新，個人與企業都需要盡快處理升級或遷移事宜。</p> <p>另一個是家用或小型環境使用的Wi-Fi路由器，設置在用戶端的網路通訊設備（CPE），以及各種直接連上網際網路的視訊監控系統，它們是很容易被忽略、卻很重要的IT基礎設施，由於這類設備直接暴露在全球公開的網路、全天候連網運作，而且使用時間已超過廠商支援的最大年限而未汰換，這幾年來，不斷有許多資安研究人員提醒使用風險，也頻頻傳出攻擊者鎖定這些無法更新、卻被挖出資安漏洞的設備。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%AB%AF%E9%BB%9E%E9%98%B2%E8%AD%B7">端點防護</a></div><div class="field-item odd"><a href="/tags/%E8%BA%AB%E5%88%86%E9%98%B2%E8%AD%B7">身分防護</a></div><div class="field-item even"><a href="/tags/fido">FIDO</a></div><div class="field-item odd"><a href="/tags/%E7%A1%AC%E9%AB%94%E9%87%91%E9%91%B0">硬體金鑰</a></div><div class="field-item even"><a href="/tags/%E5%AF%86%E7%A2%BC%E7%AE%A1%E7%90%86%E5%93%A1">密碼管理員</a></div><div class="field-item odd"><a href="/tags/password-manager">Password Manager</a></div><div class="field-item even"><a href="/tags/%E7%B3%BB%E7%B5%B1%E6%9B%B4%E6%96%B0">系統更新</a></div><div class="field-item odd"><a href="/tags/%E8%BA%AB%E5%88%86%E5%AE%89%E5%85%A8">身分安全</a></div></div></div>
2025/2/7 06:00作者李宗翰https://www.ithome.com.tw/voice/167240
【資安日報】2月6日，HTTP用戶端軟體自動存取工具被駭客用於挾持M365帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門用來向網頁伺服器發出請求並接收回應的HTTP用戶端（HTTP cilent）應用程式及程式庫，使用者可藉此發出GET、POST、PUT等請求，與伺服器進行互動，然而這樣的工具，攻擊者將其用於網路犯罪的情況也越來越頻繁。</p> <p>資安業者Proofpoint發現，有人將這類工具用於挾持M365帳號，其中部分工具甚至能被用於對手中間人攻擊（AiTM），繞過多因素驗證的防護機制。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167233"><strong style="font-size: 22px;">HTTP用戶端工具遭濫用，駭客用來挾持M365帳號</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Screenshot 2025-01-29 at 9_14_49 AM.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot%202025-01-29%20at%209_14_49%E2%80%AFAM.png" style="width: 300px; float: right;" /></a></p> <p>用於發送HTTP請求及接收回應的用戶端（HTTP cilent）應用程式，例如：cURL、wget，以及程式庫像是：Axios、Go Resty、Node-fetch、OkHttp，執行向網頁伺服器發出請求並接收回應的工作，這類工具經常在開發及測試領域使用，但如今駭客也將其用於大規模攻擊，引起研究人員提出警告。</p> <p>資安業者Proofpoint指出，他們近期看到有人濫用合法的HTTP用戶端工具，企圖入侵Microsoft 365環境。值得留意的是，由於相關資源能從GitHub等公開的儲存庫取得，這種工具被用於暴力破解及對手中間人攻擊（AiTM）的情況顯著增加，導致帳號挾持（ATO）的資安事故不斷發生。</p> <p>這種利用合法HTTP用戶端工具的攻擊行動，最早可追溯到2018年2月，但去年1月Proofpoint威脅研究小組發現攻擊手法開始出現變化，駭客改用OkHttp的變種犯案，接著在3月又使用更為廣泛的HTTP用戶端工具，相關攻擊行動於5月達到高峰，攻擊者利用數百萬個遭到挾持的IP位址來攻擊雲端帳號。</p> <p><a href="https://www.ithome.com.tw/news/167244"><strong style="font-size: 22px;">木馬程式AsyncRAT濫用TryCloudflare服務散布</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/fig-6_bat-and-js-file-hosted-on-same-trycloudflare-site.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig-6_bat-and-js-file-hosted-on-same-trycloudflare-site.jpg" style="width: 300px; float: right;" /></a>資安業者Forcepoint揭露AsyncRAT最新一波攻擊行動，攻擊者利用TryCloudflare隧道與Python套件來散布惡意酬載，他們先是透過釣魚郵件與受害者接觸，一旦收信人點選信裡的連結，就會觸發一系列的攻擊流程，從而在電腦植入AsyncRAT等多種惡意程式。</p> <p>針對這起事故發生的過程，Forcepoint X-Labs威脅研究員Jyotika Singh指出，攻擊是透過釣魚郵件開始，而這些信件的共通點，就是含有連往Dropbox的連結，一旦收信人點選，電腦就會下載ZIP壓縮檔，其內容是網際網路捷徑檔（URL），假若開啟，電腦就會下載Windows捷徑檔（LNK），從而執行JavaScript檔案。</p> <p>而這個JavaScript指令碼，又會觸發BAT批次檔，然後下載另一個含有惡意內容的ZIP檔，該壓縮檔內含Python指令碼，會在受害電腦植入AsyncRAT。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/researchers-link-deepseeks-blockbuster-chatbot-to-chinese-telecom-banned-from-doing-business-in-us/">DeepSeek聊天機器人恐將資料傳送給中國國營電信業者</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/01/google-over-57-nation-state-threat.html">Google警告旗下AI機器人Gemini遭濫用，中國、俄羅斯、北韓國家級駭客企圖用於打造網路攻擊工具</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.darkreading.com/cyberattacks-data-breaches/attackers-education-sector-hijack-microsoft-accounts">150家企業組織遭到鎖定，駭客藉由AD聯邦服務繞過多因素驗證，從而挾持帳號</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/02/silent-lynx-using-powershell-golang-and.html">駭客組織Silent Lynx鎖定吉爾吉斯、土庫曼等中亞國家而來</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167236"><strong style="font-size: 22px;">合勤證實研究人員揭露的漏洞存在於12款DSL CPE設備，呼籲用戶應儘速汰換因應</strong></a></p> <p>資安業者GreyNoise一月下旬發現Mirai殭屍網路變種攻擊的行動，攻擊者利用去年7月底資安業者VulnCheck發現的漏洞CVE-2024-40891，該漏洞存在於存在於合勤科技（Zyxel Communications）CPE通訊設備，由於當時漏洞尚未修補，也沒有公開細節，引起資安界的關注。</p> <p>當時我們也向合勤科技的關係企業兆勤科技（Zyxel Networks）詢問，該公司初步表示此批受影響的設備生命週期已經結束（EOL）多年，但並未說明有那些設備存在相關漏洞，事隔兩天，我們發現有國外資安新聞媒體引述VulnCheck及合勤科技的公告，進行追蹤報導。</p> <p>在VulnCheck公布的細節與合勤、兆勤的資安公告裡，終於明確揭露有那些設備存在漏洞，當中列出的項目不只是去年找到的CVE-2024-40890、CVE-2024-40891，還包括一項重大層級的預設帳密弱點CVE-2025-0890。</p> <p><a href="https://www.ithome.com.tw/news/167241"><strong style="font-size: 22px;">Veeam修補本地端與雲端備份軟體漏洞，駭客可用中間人攻擊伎倆破壞系統</strong></a></p> <p>備份與資料保護軟體廠商Veeam，於2月4日揭露影響6款備份軟體的重大漏洞，並釋出修補。</p> <p>這個編號為CVE-2025-23114的漏洞，存在Veeam備份產品使用的Veeam Updater元件，攻擊者可趁機透過中間人攻擊的手法，以root權限在受影響伺服器上執行任意程式碼，嚴重性等級達到9.0。</p> <p>Veeam旗下使用Veeam Updater元件的產品，總共有6款備份軟體，目前只有Veeam Backup for Salesforce的3.1版與後續版本，仍受此漏洞影響，解決漏洞的辦法是將內含的Veeam Updater元件更新到7.9.0.1124版，用戶只需透過控制臺介面的Checking for Updates選項，讓系統自動執行更新即可。</p> <p><a href="https://www.ithome.com.tw/news/167207"><strong style="font-size: 22px;">AMD Zen架構處理器存在微指令簽章驗證漏洞，影響SEV-SNP機密運算安全</strong></a></p> <p>Google安全團隊發現，部分基於Zen架構的AMD處理器存在微指令簽章驗證漏洞CVE-2024-56161，該漏洞可能使具備本地管理員權限的攻擊者注入惡意微指令，進而危及依賴AMD安全加密虛擬化（SEV-SNP）保護的機密工作負載安全。由於漏洞一旦被濫用，可能導致機密運算環境保護失效，相關修補措施已於去年12月陸續發布，用戶應密切關注BIOS與微指令更新狀況。</p> <p>該漏洞影響Zen 1至Zen 4架構的處理器，攻擊者在取得本地管理員權限後，可藉由注入惡意微指令直接影響處理器的核心運作機制。尤其是在使用AMD SEV-SNP技術保護機密工作負載的用例下，惡意微指令可能破壞工作負載的保密性與完整性，進而影響整個運算環境的安全基礎。</p> <p>針對此安全漏洞，Google於2024年9月底向AMD回報，AMD隨後在2024年12月中旬針對Naples、Rome、Milan與Genoa等平臺，推出微指令更新修補版本。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/01/metas-llama-framework-flaw-exposes-ai.html">Meta大型語言模型框架Llama存在漏洞，恐導致AI系統曝露遠端程式碼執行風險</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167245"><strong style="font-size: 22px;">新任數位發展部資安署署長蔡福隆走馬上任，將迎接挑戰、積極對話，打造可信賴的資安環境</strong></a></p> <p>今日前金管會主任秘書蔡福隆正式升任數位發展部資通安全署（簡稱資安署）署長一職，各界都很關注臺灣資安未來走向。蔡福隆接受iThome電話專訪時表示，資安署肩負國家資安政策的推動與落實，他接任署長後，最重要的任務，就是打造一個「可信賴」的數位環境，並且積極和各方利害關係人溝通、對話，不只是要延續既有的政策，還要積極面對包括人力短缺、供應鏈安全甚至是生成式AI帶來的挑戰，而長期金融資安和相關監理的訓練和經驗，也為蔡福隆如何藉由公私協力，強化臺灣資安韌性奠定基礎。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/167226"><strong>【2月5日】去年修補的7-Zip的MotW漏洞被用於攻擊烏克蘭企業與政府機關</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167208"><strong>【2月4日】美荷執法單位聯手，撤下提供商業郵件詐騙武器的地下市集</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167185"><strong>【2月3日】蘋果針對旗下設備修補今年第一個零時差漏洞</strong></a></p> </div></div></div>
2025/2/6 18:09作者周峻佑https://www.ithome.com.tw/news/167246
HPE Aruba Networking新模組化交換器登場，採用第7代ASIC
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/hpe_aruba_networking_cx_5420_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>市面上的網路交換器幾乎都採用獨立的機架式機箱，僅有大型的核心與匯聚交換器採用8U尺寸以上的模組化機箱，用戶可在此插拔內建多個網路埠的線卡／Fabric模組／網路I/O模組，以及控管整臺交換器運作的管理模組，過去我們曾介紹這類產品，像是<a href="https://www.ithome.com.tw/review/121520">Aruba 8400系列</a>（現稱為HPE Aruba Networking CX 8400）、<a href="https://www.ithome.com.tw/review/150704">Cisco Catalyst 9600系列</a>。</p> <p>而對於HPE Aruba Networking這家網路設備廠商而言，除了上述CX 8400系列機型，其實他們還有另一款<a href="https://community.hpe.com/t5/hpe-aruba-networking-provision/switch-information/td-p/6970223">模組化交換器5400R系列機型</a>，這批產品源自HP時期的產品ProCurve 5400R系列，後來改名為Aruba 5400R系列，目前還可看到HPE Aruba Networking列出5400R zl2系列，包含兩款機型：5406R zl2採用4U尺寸機箱，可搭配6臺網路I/O模組、2臺電源供應器、1臺管理模組、1排風扇模組，網路交換容量為960 Gbps；5412R zl2採用7U尺寸機箱，可搭配12臺網路I/O模組、4臺電源供應器、1臺管理模組、1排風扇模組，網路交換容量為1,920 Gbps，運算組態均為兩顆Arm Cortex-A9（最大4核心）。</p> <p>到了2024年9月下半舉行的<a href="https://community.arubanetworks.com/discussion/hpe-aruba-networking-days-north-american-road-show">HPE Aruba Networking Days大會</a>，該公司推出新款模組化交換器CX 5420，採用4U尺寸機箱，可搭配6個網路I/O模組、2臺管理模組、4臺電源供應器、1排風扇模組，網路交換容量為960 Gb/s——每個網路I/O模組插槽最高可支援160 Gb/s傳輸速度，而且，設備的運算組態為AMD Ryzen Embedded V1500B（4核心8執行緒）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/new CX 5420 Switch at our HPE Aruba Networking Day Sacramento2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/new%20CX%205420%20Switch%20at%20our%20HPE%20Aruba%20Networking%20Day%20Sacramento2.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Security-First AI Powered CX Switching-2024-09-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Security-First%20AI%20Powered%20CX%20Switching-2024-09-2.jpg" style="width: 600px;" /></a> </p> <p>該公司強調這款交換器系列機型搭配模組化機箱，適用於存取交換器、小型核心交換器，或匯聚交換器的部署。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Security-First AI Powered CX Switching-2024-09-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Security-First%20AI%20Powered%20CX%20Switching-2024-09-1.jpg" style="width: 600px;" /></a></p> <p>若要運用硬體層級的媒體存取控制防護機制（MACsec），針對交換器對交換器、交換器對主機端的網路埠連接，使用標準加密與身分認證，HPE Aruba Networking既有的5406R zl2需搭配內建MACsec的v3模組，新推出的CX 5420則是本身已內建MACsec，同時具備動態的網路分割（dynamic segmentation），以及角色對角色（role-to-role）的資安政策強制實施等機制。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Security-First%20AI%20Powered%20CX%20Switching-2024-09-3.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/Security-First AI Powered CX Switching-2024-09-5.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Security-First%20AI%20Powered%20CX%20Switching-2024-09-5.jpg" style="width: 600px;" /></a></p> <p>CX 5420也提供功能更全面的資料分析功能，像是：連線個人端的洞察分析（Client insight）、內嵌HPE Aruba Networking發展的Network Analytics Engine（NAE），以及自動化處理（提供完整的REST API）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Security-First AI Powered CX Switching-2024-09-6.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Security-First%20AI%20Powered%20CX%20Switching-2024-09-6.jpg" style="width: 600px;" /></a></p> <p>在交換器的管理方式上，5406R zl2與CX 5420都可透過命令列、網頁介面，以及雲端平臺HPE Aruba Networking Central進行操作，不過，新推出的CX 5420額外支援該公司的交換器組態管理軟體NetEdit，可簡化整個網路的管理作業，提供進階設置組態的能力。</p> <p><a href="https://s4.itho.me/sites/default/files/images/HPE Aruba Networking 54XX switch comparison-2024-2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20Aruba%20Networking%2054XX%20switch%20comparison-2024-2.png" style="width: 600px;" /></a></p> <p>後續（10月初）HPE Aruba Networking在他們的<a href="https://community.arubanetworks.com/discussion/new-hpe-aruba-networking-cx-5420-chassis-switch-1">社群部落格發布專文</a>，更深入介紹CX 5420的特色，並預告12月開始出貨，首批產品將送往澳洲。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20Aruba%20Networking%2054XX%20switch%20comparison-2024-1.png" style="width: 600px;" /></p> <p>例如，當中明確提到這款產品是繼承5400R zl系列而來，提供相同的6個半寬尺寸的模組插槽（但彼此的模組並不相容），以及彈性擴充多款網路介面模組的能力（支援25GbE網路埠、可供電90瓦的PoE，提供8種組態搭配，整臺最多可提供144個支援MACsec的網路埠），採用更新穎的<a href="https://www.linkedin.com/pulse/25-years-switching-silicon-heritage-yash-make-it-happen-one-life/">第7代ASIC晶片</a>（5400R zl系列採用第6代ASIC），而且，交換器機箱配置2臺半寬尺寸的管理模組、彼此備援，當中採用AMD的4核心、8個執行緒（vCPU）處理器。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-11-CX5420-4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-11-CX5420-4.jpg" style="width: 600px;" /></a></p> <p>CX 5420的電源供應器可搭配到4臺，風扇模組由4臺風扇組成1排，兩個元件均設置在交換器機箱的背部。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-10--5420-%20rear%20view.jpg" style="width: 600px;" /></p> <p>這款模組化交換器本身也支援大量的PoE埠部署需求，以30瓦的PoE網路埠而言，整臺CX 5420交換器最多可設置到144個（應該是搭配6臺S0U62A，此為24埠、支援PoE的網路I/O模組），而以60瓦的PoE網路埠而言，整臺CX 5420最多可設置到96個（應該是搭配6臺S0U66A，此為16埠、支援PoE的網路I/O模組）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-11-CX5420-5.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-11-CX5420-5.jpg" style="width: 600px;" /></a></p> <p>若企業需要更大量的網路埠，可運用虛擬交換器延伸（VSX）技術堆疊多臺CX 5420，或改用機箱內建10個模組插槽的CX 6400。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-11-CX5420-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-11-CX5420-3.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2024-11-CX5420-6.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-11-CX5420-6.jpg" style="width: 298px;" /></a></p> <p>截至目前為止，根據HPE網站公告的產品快速規格表文件，去年11月CX 5420第1版規格出爐，該公司也在Airheads Broadcasting技術社群的YouTube頻道釋出<a href="https://youtu.be/0eWsYK1_mZo?si=sClkpcpRaz7GtUhb">快速介紹產品的影片</a>，當中列出的網路交換器也涵蓋我們最近介紹的CX 8325H。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-11-CX5420-8.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-11-CX5420-8.jpg" style="width: 600px;" /></a></p> <p><strong><span style="color:#008080;">產品資訊</span></strong></p> <p><strong><span style="color:#0000FF;">HPE Aruba Networking CX 5420</span></strong><br /> ●原廠：HPE Aruba Networking<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：4U，提供6個插槽（每個插槽的網路轉送率為160 Gb/s）<br /> ●機箱名稱與規格：S0U60A，預設包含1臺管理模組S0U55A、1臺1600瓦電源供應器、1臺風扇模組S0U54A，機箱前側可安裝6臺網路I/O模組<br /> ●硬體組成架構：機箱（兩款，一款遵循TAA法規要求）、管理模組（兩款，一款遵循TAA法規要求）、I/O模組（16款，一半為遵循TAA法規要求）<br /> ●I/O模組網路埠配置：8埠（1至10G）、8埠（1 G）+1埠（1至10G，LRM接頭）、16埠（1至5G）、20埠（1G）+2埠（1至25G）、20埠（1G）+4埠（1至10G）、24埠（1G）、24埠（1G，支援PoE）、24埠（1G，SFP接頭）<br /> ●搭配ASIC晶片：HPE Aruba Networking Gen7 ASIC<br /> ●MAC位址數量：32,768個<br /> ●網路交換容量：960 Gbps（進出各為480 Gbps）<br /> ●緩衝記憶體：64 MB<br /> ●系統軟體：AOS-CX 10.15.0001<br /> ●硬體運算組態：管理模組搭配AMD Ryzen Embedded V1500B、16GB DDR4記憶體、32GB eMMC快閃儲存</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/2/6 18:53作者李宗翰https://www.ithome.com.tw/review/167187
木馬程式AsyncRAT濫用TryCloudflare服務散布
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客濫用TryCloudflare服務散布惡意程式的情況，去年<a href="https://www.ithome.com.tw/news/164275">8</a>至<a href="https://www.ithome.com.tw/news/164818">9月</a>曾出現相關事故，如今類似的攻擊行動再度傳出。</p> <p>TryCloudflare是資安業者Cloudflare提供的臨時隧道（Tunnel）服務，開發者無需設置DNS或是調整防火牆組態，就能藉此快速將應用程式或網站於網際網路公開，避免有人直接對伺服器上下其手。然而，這種服務也遭到駭客利用，將其用於埋藏攻擊來源。</p> <p>例如，資安業者Forcepoint揭露<a href="https://www.forcepoint.com/blog/x-labs/asyncrat-reloaded-python-trycloudflare-malware">AsyncRAT最新一波攻擊行動</a>，就是典型的例子。攻擊者利用TryCloudflare隧道與Python套件來散布惡意酬載，他們先是透過釣魚郵件與受害者接觸，一旦收信人點選信裡的連結，就會觸發一系列的攻擊流程，從而在電腦植入AsyncRAT等多種惡意程式。</p> <p>針對這起事故發生的過程，Forcepoint X-Labs威脅研究員Jyotika Singh指出，攻擊是透過釣魚郵件開始，而這些信件的共通點，就是含有連往Dropbox的連結，一旦收信人點選，電腦就會下載ZIP壓縮檔，其內容是網際網路捷徑檔（URL），假若開啟，電腦就會下載Windows捷徑檔（LNK），從而執行JavaScript檔案。</p> <p>而這個JavaScript指令碼，又會觸發BAT批次檔，然後下載另一個含有惡意內容的ZIP檔，該壓縮檔內含Python指令碼，會在受害電腦植入AsyncRAT。</p> <p>但究竟駭客如何利用TryCloudflare？具體而言，他們透過TryCloudflare隧道存放過程裡會使用的作案工具。Jyotika Singh指出，他們分析URL檔案的內容，發現攻擊者指向的LNK網址裡，該LNK檔就存放於TryCloudflare；而LNK檔的路徑當中，則是呼叫PowerShell從相同的TryCloudflare隧道下載JavaScript檔案。此JavaScript檔經過混淆處理，同樣是從前述的TryCloudflare隧道存取BAT檔，而這個BAT批次檔也經過混淆處理，用途是呼叫PowerShell下載、部署Python套件及AsyncRAT，過程裡還會開啟假的發票PDF檔案，目的是分散受害者的注意。</p> </div></div></div>
2025/2/6 17:13作者周峻佑https://www.ithome.com.tw/news/167244
專訪新任數位發展部資安署署長蔡福隆：迎接挑戰、積極對話，打造可信賴的資安環境
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今日（2月6日）前金管會主任秘書蔡福隆正式升任數位發展部資通安全署（簡稱資安署）署長一職，各界都很關注臺灣資安未來走向。蔡福隆接受iThome電話專訪時表示，資安署肩負國家資安政策的推動與落實，他接任署長後，最重要的任務，就是打造一個「可信賴」的數位環境，並且積極和各方利害關係人溝通、對話，不只是要延續既有的政策，還要積極面對包括人力短缺、供應鏈安全甚至是生成式AI帶來的挑戰，而長期金融資安和相關監理的訓練和經驗，也為蔡福隆如何藉由公私協力，強化臺灣資安韌性奠定基礎。</p> <h2><strong>署長新上任，立即面對的六大挑戰</strong></h2> <h3><strong>挑戰一：內部人力短缺——新創組織的現實困境</strong></h3> <p>蔡福隆上任後，首先面對的就是資安署內部人力不足的問題。根據現行規畫，資安署在兩年間需要補足160多位同仁，然而，實際執行困難重重。他說：「一個新創組織要在短時間內補滿這麼多人力，現實上是相當不容易的。」。</p> <p>畢竟，臺灣的資安專業人才本就供不應求，加上公部門薪資與待遇難以與民間企業競爭，這也導致資安署人力招募困難。「這不僅影響資安署內部的業務運作，也關係到政府整體資安防護的成效。」蔡福隆說道，因此，加速人力補充將是他上任後，內部要積極處理的首要任務。</p> <h3><strong>挑戰二：政策落實——數位國家2.0的資安環境建構</strong></h3> <p>在政府推動「數位國家2.0」的策略下，打造一個「可信賴的資安環境」成為資安署的重要目標。然而，要讓政策落地並非易事，如何兼顧國家資安防護與產業發展，考驗著政府官員的執行力。</p> <p>蔡福隆表示，關鍵基礎設施的資安防護，是目前最重要的挑戰之一，尤其是OT（營運技術）領域的防護相較於IT較為薄弱，要做到「安全」的挑戰更大。OT（Operational Technology）系統廣泛應用於電力、石化、交通等關鍵基礎設施（CI），相較於IT系統，其資安防護機制較少，許多設備甚至未有完整的資安防護機制。</p> <p>因此，資安署將強化關鍵基礎設施的OT安全列為重要挑戰，包括制定OT相關的資安標準與管理規範等，都有助於提升臺灣關鍵基礎設施的安全性。而資安政策的推動往往還涉及跨部門協作，他也指出，未來如何讓各部會、民間企業都能共同參與資安防護，都將是資安政策能否落實的關鍵。</p> <h3><strong>挑戰三：供應鏈資安——強化政府系統與產品安全性</strong></h3> <p>近年來，供應鏈攻擊成為全球資安威脅的重要議題，特別是在政府與企業的IT環境中，許多系統都仰賴外部供應商提供軟、硬體與維護服務。蔡福隆指出，政府所使用的資訊系統，許多來自同一家廠商，一旦發生資安漏洞，將導致多個機關同時受到影響。</p> <p>「過去有些共用系統是由單一供應商承包，可能有好幾個政府機關都在使用，這樣的風險相對較高。」蔡福隆解釋。所以，為了降低這類風險，資安署也會加強對相關供應鏈業者的資安審查，確保政府採購的資安產品符合更高的標準。</p> <h3><strong>挑戰四：資安產業發展——臺灣資安產業的國際競爭力</strong></h3> <p>臺灣資安產業雖然每年有600多億元的產值，但大部分仍來自代理國外產品，而臺灣自主研發的資安軟、硬體產品相對較少，蔡福隆認為，這也使得臺灣資安業者在國際市場上競爭力有限。</p> <p>「如果我們要走向國際，不能只靠代理別人的產品，必須發展自己的資安技術與解決方案。」蔡福隆強調。</p> <p>未來，他表示，資安署也將與業界合作，促進本土資安產業的發展，不僅協助業者可以尋求政府資源的支持，也會幫助臺灣資安產品進軍國際市場。</p> <h3><strong>挑戰五：生成式AI的資安風險與應用</strong></h3> <p>近年來，生成式AI（如ChatGPT）快速發展，除了帶來創新應用，也衍生出新的資安風險。例如，駭客開始利用AI技術發動自動化攻擊，甚至生成更能欺騙的釣魚郵件或惡意軟體。</p> <p>蔡福隆警告，駭客已經開始利用AI開發自動化攻擊工具，這對資安防護提出新的挑戰。因此，面對這一變局，他指出，資安署將積極研究如何將AI技術應用於防禦端，也積極發展更自動化的防禦機制，以應對日益精密的攻擊手法。</p> <h3><strong>挑戰六：預算縮減，國際合作受阻</strong></h3> <p>除了技術與政策挑戰，資安署還面臨現實層面的困境——預算被立法院大幅刪減，尤其是國際交流與合作的出國經費刪到0元，這都使得臺灣在國際資安合作上的推進變得更加困難。</p> <p>「見面三分情，有些國際關係的建立，不是單靠視訊會議可以解決的。」蔡福隆表示。但囿限於預算限制，資安署也會嘗試以其他方式彌補資源不足，例如：透過外交部爭取國際合作經費，協助外館進行資安檢測或防護；也會在一些會議單位許可的情況下，利用視訊會議來維持與國際夥伴的聯繫。</p> <p>雖然經費短缺是一大挑戰，但蔡福隆強調，資安署仍將努力在有限的資源內，尋求最有效的解決方案。</p> <h2><strong>重視利害關係人溝通，促進產官學各界的對話與互信</strong></h2> <p>過往，蔡福隆在金管會的工作經驗，同時經手相關的金融資安與金融監理，也對他接掌資安署帶來正面影響。</p> <p>不過，他認為，金融業屬於高度監理產業，監管方式嚴謹且成熟，而資安領域則面對更快速變化的威脅與更難預測的挑戰。因此，他無法簡單複製金管會的作法，而是要以更高的視角、更靈活的方式推動資安政策。</p> <p>過去，資安署在對外溝通上較為保守，導致外界對政府資安政策的方向，缺乏清楚的認知，甚至有「資安署長失蹤兩年」的說法。</p> <p>為了改變這種情況，蔡福隆強調，他上任後，也會借鏡他任職於金管會的經驗，積極與產、官、學各界建立更緊密的對話機制，透過積極溝通的方式，不僅讓各界可以表達對政府資安的觀點和期待；政府也可以利用這樣對話溝通的管道，更各界清楚政府的資安政策走向與相關產業、技術的發展重點等等。</p> <p>資安並非是「政府」能夠單獨解決的問題，公私協力是提升資安韌性的關鍵。蔡福隆表示，他將進一步整合資安領域累積的產、官、學資源，打造更強大的「臺灣隊」，以促進產業界與政府的緊密合作。</p> <p>他認為，政府的角色應該是協調者，透過政策引導企業進行有效的資安投資，讓學界的研究能夠貼近產業需求，從而提升臺灣整體的資安防護能力。此外，鑑於國際資安事件的頻繁發生，臺灣也必須積極尋求國際夥伴合作，確保在全球資安生態系中擁有一席之地。</p> <h2><strong>形塑團隊向心力，確保臺灣資安防線不斷裂</strong></h2> <p>在內部團隊建設方面，蔡福隆強調，他希望資安署的同仁不僅擁有高度的使命感，更能擁有歸屬感與榮譽感。他回憶起九十多歲的父親生病時，親眼見證醫護人員的辛勞，讓他深刻體會到專業服務的價值。</p> <p>他希望，能夠透過更健全的組織文化、完善的職涯發展機制與資源投入，讓資安署的團隊同仁能更有向心力，進而提升臺灣的整體資安防禦能力。</p> <p>資安領域的變化極快，挑戰日益嚴峻，蔡福隆深知自己所接下的這一棒責任重大。他認為，臺灣的資安發展在亞太地區已有一定的成就，但不能因此自滿，因為資安政策不能只是口號，而必須落實到每一個環節，確保資源能夠精準投入。他強調，所有的政策都必須真正解決問題，確保臺灣的資安競爭力能夠與國際接軌。</p> <p>展望未來，蔡福隆計畫持續推動法規與政策的健全發展，並加速強化資安產業鏈，吸引更多資源投入。他認為，資安的挑戰只會越來越大，但這也意味著有更多機會做出改變。他希望透過自身的經驗與團隊的努力，讓臺灣的資安環境更上層樓，確保資安防線不會斷裂，讓未來的資安發展能夠順利傳承。</p> <p>蔡福隆的上任，為資安署帶來新的視野與動能，他不僅帶來金融監理的嚴謹態度，更強調對話與合作的重要性。這也讓資安署在面對全球資安挑戰加劇的當下，可以為臺灣資安發展帶來不一樣的嶄新突破。</p> <p> </p> </div></div></div>
2025/2/6 17:45作者黃彥棻https://www.ithome.com.tw/news/167245
合勤證實研究人員揭露的漏洞存在於12款DSL CPE設備，呼籲用戶應儘速汰換因應
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者GreyNoise一月下旬<a href="https://www.ithome.com.tw/news/167183">發現Mirai殭屍網路變種攻擊的行動</a>，攻擊者利用去年7月底資安業者VulnCheck發現的漏洞CVE-2024-40891，該漏洞存在於存在於合勤科技（Zyxel Communications）CPE通訊設備，由於當時漏洞尚未修補，也沒有公開細節，引起資安界的關注。當時我們也向合勤科技的關係企業兆勤科技（Zyxel Networks）詢問，該公司初步表示此批受影響的設備生命週期已經結束（EOL）多年，但並未說明有那些設備存在相關漏洞，事隔兩天，我們發現有國外資安新聞媒體<a href="https://www.bleepingcomputer.com/news/security/zyxel-wont-patch-newly-exploited-flaws-in-end-of-life-routers/">引述VulnCheck及合勤科技的公告</a>，進行追蹤報導。</p> <p>在VulnCheck<a href="http://vulncheck.com/blog/zyxel-telnet-vulns">公布的細節</a>與<a href="https://www.zyxel.com/service-provider/apac/en/security-advisories/zyxel-security-advisory-command-injection-insecure-in-certain-legacy-dsl-cpe-02-04-2025">合勤</a>、<a href="https://www.zyxel.com/global/en/support/security-advisories/zyxel-security-advisory-for-command-injection-and-insecure-default-credentials-vulnerabilities-in-certain-legacy-dsl-cpe-02-04-2025">兆勤</a>的資安公告裡，終於明確揭露有那些設備存在漏洞，當中列出的項目不只是去年找到的CVE-2024-40890、CVE-2024-40891，還包括一項重大層級的預設帳密弱點CVE-2025-0890。整體而言，這些受到影響的設備型號如下：</p> <ul> <li>VMG1312-B10A</li> <li>VMG1312-B10B</li> <li>VMG1312-B10E</li> <li>VMG3312-B10A</li> <li>VMG3313-B10A</li> <li>VMG3926-B10B</li> <li>VMG4325-B10A</li> <li>VMG4380-B10A</li> <li>VMG8324-B10A</li> <li>VMG8924-B10A</li> <li>SBG3300</li> <li>SBG3500</li> </ul> <h3><strong>VulnCheck持續追蹤並於2月3日發布新消息</strong></h3> <p>這起事故引發的資安漏洞資訊，現在之所以有更多揭露，源自2月3日VulnCheck技術長Jacob Baines新公布的漏洞細節，當中提到VulnCheck至少確認有12款合勤CPE路由器存在漏洞，且產品狀態皆為生命週期已經結束（EOL），但他們仍能從物聯網搜尋引擎FOFA及Censys找到約1,500臺曝險設備，外界能透過Telnet介面存取它們。</p> <p>不僅如此，Jacob Baines發現仍有部分型號的路由器，可從Amazon網路商站買到，因此，曝險的範圍很有可能還會擴大。</p> <p>針對已被用於攻擊行動的CVE-2024-40891，VulnCheck也公布細節及概念驗證程式碼（PoC），並公布另一個預設帳密漏洞CVE-2025-0890。</p> <h3><strong>Zyxel於2月4日發布完整的資安公告</strong></h3> <p>此項消息揭露的隔日（2月4日），合勤與兆勤也發布資安公告證實這些弱點，並指出他們已確認這些設備都存在VulnCheck找到的CVE-2024-40890、CVE-2024-40891，以及CVE-2025-0890，並指出這些設備已不再受到支援，呼籲用戶應汰換設備來因應。</p> <p>而對於這些漏洞的影響，他們指出<a href="https://nvd.nist.gov/vuln/detail/CVE-2024-40890">CVE-2024-40890</a>、<a href="https://nvd.nist.gov/vuln/detail/CVE-2024-40891">CVE-2024-40891</a>皆為後身分驗證命令注入漏洞，通過身分驗證的攻擊者可觸發漏洞執行任意作業系統層級命令，CVSS風險評為8.8。但兩個漏洞觸發的管道有所不同，CVE-2024-40890是透過HTTP請求，CVE-2024-40891則是經由Telnet來進行。</p> <p>至於第三個漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-0890">CVE-2025-0890</a>，則是CPE設備Telnet功能當中不安全的預設密碼，若是管理員未曾修改，攻擊者就有機會登入管理介面，CVSS風險評分為9.8。</p> </div></div></div>
2025/2/6 15:22作者周峻佑https://www.ithome.com.tw/news/167236
政府加速AI算力建置，國科會估2029年我國公共算力可達480PF
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因應國內AI算力需求增加，政府正積極推動建置新一代AI超級電腦、AI雲端資料中心，國科會在行政院會議中指出，預期政府主導的公共AI算力建置，2029年將可達到480PF，如果加上民間建置的算力，公私部門合計算力可望超過1,200PF。 </p> <p>國科會今天(2/6)在行政院會議中報告我國高速運算系統建置計畫，國家實驗研究院院長蔡宏營表示，根據2024年公布的全球前500大超級電腦排名，統計各國算力排名，包括公私部門，我國總算力約為103PF，各國排名為第11位，為推動我國的AI主權及自主發展，推動大型算力、資料中心、繁中模型三個面向的工作。</p> <p>他表示，在大型算力方面，政府分期建置算力，未來可望達到480PF總算力；資料中心方面，推動建置大型雲端資料中心，作為AI算力機房及國家關鍵資料基地，可達60PB的儲存量；繁中模型方面，發展具有本土特色的繁體中文大型語言模型。</p> <p>蔡宏營指出，國研院國網中心在2024年建置的16PF算力超級電腦，在今年5月將可開放使用，而可供超級電腦進駐的大型雲端資料中心，其中南科的雲端資料中心預期在今年底可開放使用，在沙侖的AI運算資料中心預計在2029年開放使用。目前政府推動中的晶創臺灣計畫(2024到2028年，將建置280PF)，以及大南方新矽谷推動方案(2026年到2029年將建置200PF)，兩項計畫將使政府在2029年建置的AI總算力達到480PF，預期屆時加上民間投資建置的算力，公私部門合計總算力預估將可超過1,200PF。 </p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA0.jpg" style="width: 600px; height: 353px;" /></p> <p>除了建置算力作為發展AI的重要基礎建設，未來也會強化算力資源的管理、能源的運用效率、發展多元的算力應用。</p> <p>蔡宏營表示，在營運服務方面，未來將推動產學橋接發展多元AI應用服務，並且開發新的雲端服務，建立生成式AI雲端服務平臺，也會針對中小企業或新創產業需求，提供AI技術輔助及優惠方案費率，另外透過建立產業應用AI的典範案例，加速產業的採用。</p> <p>至於雲端服務，國科會計畫建立一站式的AI開發雲端服務平臺，其服務的特色強調會針對開發者痛點，降低軟硬體布署及開發成本，並且和資服業者的服務與技術介接，未來將雲端服務擴大到百工百業，預期帶動公私部門投資等等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA40.jpg" style="width: 600px; height: 352px;" /></p> <p><strong>數發部加速建立公私部門AI評測機制</strong></p> <p>數發部已在2024年推動AI評測機制，並成立AIEC評測中心，數發部數產署長林俊秀指出，參考國際如ISO標準、NIST AI RMF等，建立AI評測的公平性、準確性、可靠性、隱私、資安等5大評測項目。</p> <p>針對公部門，數發部計畫和各部會合作，針對各部會業務建立適合的評測機制，今年3月將邀請部會召開說明會，並發展適合公部門的AI評測題庫及工具；而針對私部門的民間企業，則希望透過AIEC、測試實驗室、驗證機構來協助企業建立AI產品的評測。</p> <p>數發部也計畫讓國內的評測機制能和國際接軌，例如邀請Open AI、Meta等業者參與合作，這方面正在進行中。</p> <p>針對公部門採用AI，數發部已在去年底公布公部門人工智慧應用參考手冊，同時也規畫建立政府語言模型試用環境及AI範例展示平臺，包括提供10個大型語言模型(包括TAIDE及全球排名前9的LLM)，還有以App市集為概念提供20個AI Bots，供行政院的二級機關人員試用。</p> <p>林俊秀也特別指出，依據可能危害國家資通安全產品的限制使用原則，機關如基於業務需要使用，且沒有其他替代方案，應說明理由，並獲機關的資安長及該機關的上級機關資安長同意，向數發部提出並經列冊管理，才能在限制條件下使用，例如特定區域、特定人員，在不含個資及資料的電腦單機下載斷網使用。</p> <p>在AI相關法制作業上，由國科會去年研擬的AI基本法，目前送交行政院審核中；目前行政院也就發展AI研擬相關的資料治理法規及著作權法等法規調適。</p> </div></div></div>
2025/2/6 14:02作者蘇文彬https://www.ithome.com.tw/news/167234
HTTP用戶端工具遭濫用，駭客用來挾持M365帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>用於發送HTTP請求及接收回應的用戶端（HTTP cilent）應用程式，例如：cURL、wget，以及程式庫像是：Axios、Go Resty、Node-fetch、OkHttp，執行向網頁伺服器發出請求並接收回應的工作，這類工具經常在開發及測試領域使用，但如今駭客也將其用於大規模攻擊，引起研究人員提出警告。</p> <p>資安業者Proofpoint指出，<a href="https://www.proofpoint.com/us/blog/threat-insight/http-client-tools-exploitation-account-takeover-attacks">他們近期看到有人濫用合法的HTTP用戶端工具</a>，企圖入侵Microsoft 365環境。值得留意的是，由於相關資源能從GitHub等公開的儲存庫取得，這種工具被用於暴力破解及對手中間人攻擊（AiTM）的情況顯著增加，導致帳號挾持（ATO）的資安事故不斷發生。</p> <p>Proofpoint資安研究員Anna Akselevich指出，這種利用合法HTTP用戶端工具的攻擊行動，最早可追溯到2018年2月，當時他們看到攻擊者運用名為OkHttp的工具發動攻擊，持續嘗試未經授權存取長達4年，主要目標是高階主管及具有特殊權限的使用者。根據進一步的調查指出，這些利用OkHttp的攻擊，只是整個攻擊鏈當中的初期階段。</p> <p>但到了去年1月，Proofpoint威脅研究小組發現攻擊手法開始出現變化，駭客改用OkHttp的變種犯案，接著在3月又使用更為廣泛的HTTP用戶端工具，相關攻擊行動於5月達到高峰，攻擊者利用數百萬個遭到挾持的IP位址來攻擊雲端帳號。</p> <p>從受害規模來看，2024年下半有78%企業組織遭遇相關攻擊事故，這樣的情況較半年前增加7%。</p> <p>為何這種攻擊過往較不引起注意？原因是攻擊者多半採行暴力破解的做法，成功率並不高，但Anna Akselevich表示，他們近期發現更有成效的攻擊手段，其中一種是採用名為Axios的工具，攻擊者精準鎖定目標，並使用AiTM攻擊突破多因素驗證（MFA）防護，根據該研究小組每個月的統計，這種作案手段的成功率高達38%。</p> <p>從去年6月到11月，駭客主要針對交通運輸、建築、金融、IT、醫療保健產業的高階主管、財務長、客戶經營、維運人員下手，總共有51%遭鎖定的企業組織受害、43%帳號被入侵。</p> <p>另一種濫用Node-fetch的攻擊行動，也相當值得留意，這種工具駭客主要用於暴力破解和密碼潑灑（Password Spraying）攻擊。Proofpoint自6月9日開始，總共發現超過1,300萬次的登入嘗試，平均每天有6.6萬次。</p> <p>他們確認有17.8萬個使用者帳號遭到鎖定，這些帳號橫跨超過3千個企業組織，攻擊者主要針對教育領域而來，尤其偏好學生的帳號，原因是這類帳號通常缺乏相關防護，一旦成功挾持，就能用於大規模垃圾郵件攻擊或其他網路犯罪。</p> <p>還有一種工具的濫用，也引起Proofpoint的注意。研究人員於去年8月發現利用Go語言開發的Go Resty相關攻擊，推測是由使用Node Fetch的攻擊者發起，原因是兩起攻擊駭客都使用相同的基礎架構，攻擊目標也一致。利用Go Resty的攻擊行動約在10月就停止，為何駭客不再使用Go Resty？研究人員並未說明。</p> </div></div></div>
2025/2/6 12:11作者周峻佑https://www.ithome.com.tw/news/167233