iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 14篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 09:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Windows使用者介面爆零時差漏洞，傳出中國駭客組織Mustang Panda將其用於實際攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2月13日威脅情報業者ClearSky Cyber Security<a href="https://x.com/ClearskySec/status/1890056915230544224">提出警告</a>，他們發現Windows作業系統的圖形介面（GUI）存在零時差漏洞（尚未登記CVE編號），雖然通報後微軟評估為低風險弱點，但已出現遭中國駭客Mustang Panda積極利用的情況。</p> <p>這項弱點涉及檔案總管處理RAR壓縮檔的過程，由於微軟在2023年10月<a href="https://www.bleepingcomputer.com/news/microsoft/windows-11-adds-support-for-11-file-archives-including-7-zip-and-rar/">開始對Windows 11 22H2加入相關功能</a>，這代表曝險範圍可能是執行Windows 11及Windows Server 2025的工作站電腦及伺服器。</p> <p>ClearSky針對駭客如何利用這項弱點提出說明，指出攻擊者可利用RAR檔打包含有隱藏屬性的檔案，並透過命令列執行解壓縮到特定資料夾。</p> <p>而這個存放解壓縮檔案的資料夾，不僅在檔案總管因為隱藏屬性看不到，就連使用者透過命令提示字元下達dir指令，也不會出現。</p> <p>一旦攻擊者輸入完整的資料夾路徑，就能執行解開來的檔案。而在研究人員看到的攻擊行動裡，駭客執行了同時具備隱藏及系統保護屬性的檔案，導致產生未知屬性的ActiveX元件。</p> <p>雖然針對這項弱點透露的細節相當有限，但研究人員預告，他們將在部落格文章公布進一步的資訊。</p> </div></div></div>
2025/2/14 16:41作者周峻佑https://www.ithome.com.tw/news/167379
針對GitHub上個月修補的SAML身分驗證繞過漏洞，研究人員公布細節及概念驗證程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>1月21日GitHub發布<a href="https://docs.github.com/en/[email protected]/admin/release-notes#3.12.14">3.12.14</a>、<a href="https://docs.github.com/en/[email protected]/admin/release-notes#3.13.10">3.13.10</a>、<a href="https://docs.github.com/en/[email protected]/admin/release-notes#3.14.7">3.14.7</a>、<a href="https://docs.github.com/en/[email protected]/admin/release-notes#3.15.2">3.15.2</a>、3.16.0版Enterprise Server（GHES）更新，修補<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-23369">高風險漏洞CVE-2025-23369</a>，攻擊者可藉此對採用SAML單一簽入（SSO）的GHES主機下手，利用偽造的SAML回應存取具有管理員及特殊權限的使用者帳號，CVSS風險評為7.6。<a href="https://repzret.blogspot.com/2025/02/abusing-libxml2-quirks-to-bypass-saml.html">最近通報這項漏洞的研究人員公布細節</a>，並指出與程式庫libxml2有關。</p> <p>研究人員Hakivvi表示，他之所以發現這項漏洞，是因為調查去年底GitHub公布的SAML身分驗證繞過漏洞CVE-2024-4985、CVE-2024-9487，結果找到新的繞過方法。基本上，這項弱點出現於GitHub用於解析SAML回應的程式庫libxml2，導致攻擊者可以製造特製的SAML回應，就有機會繞過身分驗證檢查，而能存取任意帳號。</p> </div></div></div>
2025/2/14 15:06作者周峻佑https://www.ithome.com.tw/news/167374
資安廠商BeyondTrust產品漏洞事故有新發現！系統搭配的PostgreSQL有零時差漏洞、恐遭串連濫用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年12月中旬<a href="https://www.ithome.com.tw/news/166598">資安業者BeyondTrust發布資安公告</a>，指出旗下的遠端支援（Remote Support，RS）系統、特權遠端存取（Privileged Remote Access，PRA）系統存在重大層級的命令注入漏洞CVE-2024-12356，且有人用於攻擊SaaS環境用戶，並傳出其中一個受害的單位是美國財政部，攻擊者的身分是中國政府資助的駭客，如今又有新的消息揭露。</p> <p>資安業者Rapid7表示，<a href="https://attackerkb.com/topics/G5s8ZWAbYH/cve-2024-12356/rapid7-analysis">他們針對CVE-2024-12356進行分析</a>，結果成功重現了另一個漏洞CVE-2025-1094，並指出這項漏洞存在於關聯式資料庫PostgreSQL，一旦遭到利用，攻擊者就能在未經身分驗證的情況下，遠端執行任意程式碼（RCE），CVSS風險評為8.1。根據相關調查結果，Rapid7認為，攻擊者在利用CVE-2024-12356的過程裡，觸發了CVE-2025-1094而能發動RCE攻擊。</p> <p>針對新發現的CVE-2025-1094，1月底Rapid7向PostgreSQL開發團隊通報，<a href="https://www.postgresql.org/support/security/CVE-2025-1094/">2月13日開發團隊發布17.3、16.7、15.11、14.16、13.19版PostgreSQL修補</a>。</p> <p>對於漏洞形成的原因，Rapid7表示是PostgreSQL允許SQL指令的描述包含不可信任的輸入所致，使得PostgreSQL互動工具psql在讀取內容的過程裡，因為處理無效的UTF-8字元出現問題，從而產生SQL注入的現象。</p> <p>研究人員進一步指出，他們確認這項漏洞無需搭配CVE-2024-12356，就能用來對BeyondTrust RS發動攻擊。他們也提及BeyondTrust的修補程式並未完全緩解CVE-2025-1094，但已經能成功防堵CVE-2024-12356及CVE-2025-1094帶來的資安風險。</p> </div></div></div>
2025/2/14 15:55作者周峻佑https://www.ithome.com.tw/news/167376
開發AI代理和RPA大不同，企業如何上手？微軟業務型AI開發工具負責人這樣建議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著AI代理熱潮升溫，AI巨頭開始搶攻企業內部的辦公室AI應用需求，開始推廣自家AI代理技術和工具鏈，日前，微軟Dataverse全球資深副總裁Nirav Shah日前也來臺，向臺灣企業說明微軟在AI代理工具鏈上的布局。他負責產品包括了商用系統通用資料服務Dataverse，以及Power平臺用來打造業務型AI的AI Builder工具等。</p> <p>隨著這一波AI代理應用模式崛起，Nirav Shah指出，微軟的投資和支援策略是，協助企業充分運用GAI，來推動業務流程的進化，特別是透過Copilot和AI代理（agents），以及Azure公雲提供的AI技術架構（AI Stack）。</p> <p>過去，不同科技典範實際進入企業領域的時間很久，都需要一段時間的發酵期，例如主從式主機時代、網際網路時代、雲端時代或行動時代，企業才能真正理解到那些科技浪潮的價值與衝擊。「但，這一波AI變革極快，超過以往任何一次轉型。技術與演進速度，可以帶給企業非常大的推力。」</p> <h3><span style="color: rgb(255, 140, 0);"><strong>AI代理和傳統RPA工作流程典範大不同</strong></span></h3> <p>AI代理和企業常見的RPA自動化機器人有很大的不同，Nirav Shah認為，RPA的特色是「固定」，擅長處理有妥善定義、流程明確且靜態的系統化作業，用於支援企業流程優化，非常出色。但RPA這種系統化、固定的自動化流程，一旦遇到例外情況，或需要更多上下文資訊才能處理的業務流程，RPA就無法適用。「因為RPA的預設是，每一次執行的流程都會一模一樣。」</p> <p>RPA對企業帶來了很大的幫助，也會持續在特定類型流程中發揮效益。但是，AI代理打造出一套可以理解特定業務流程的專家系統，提供符合安全過濾規範的上下文資訊，AI就能推理，作出決策，來執行企業想要的結果。</p> <p>「自主AI代理，可以成為協同共存時代下的新型態應用。」他預言，未來，每一個業務流程，都能透過AI代理來支援，這些AI代理也能具備專業知識與演化能力，依據當下情況，動態地做決策。這正是AI代理與傳統RPA工作流程典範的區別。</p> <h3><span style="color: rgb(255, 140, 0);"><strong>AI代理開發門檻低，熟悉業務知識的IT素人也能開發</strong></span></h3> <p>就像RPA程式開發門檻越來越低一樣，AI代理開發工具一登場，同樣瞄準了非IT技術人員。「強大的LLM模型，讓軟體開發的發展更進一步，能用多模態的形式，支援任何想解決業務問題的領域專家，都能進行開發，不限於擅長軟體開發的工程師。」他表示。</p> <p>舉例來說，Copilot Studio已經可以用類似自然語言方式來建立AI代理。領域專家打開這類工具，以自然語言來描述要解決的業務問題、這項業務流程的運作方式，以及想要實現的結果。接著要提供觸發流程的條件與相關資訊，還有用來推理這些業務流程時所需的知識，以及AI代理可選擇的下一步動作，以及任何輔助流程的上下文參考資料，就可以打造出一款解決特定業務問題的AI代理。</p> <p>「開發一套解決方案的門檻，能降低到前所未有的程度。甚至不用自己開發，用自然語言就能找到想要打造的代理。」Nirav Shah表示。</p> <p>Nirav Shah預告，微軟會持續在開發過程中增加抽象層級來簡化，讓人們更容易完成他們想要的工作。不僅針對素人開發者，專業開發者也能更有效率完成工作，解決他們在開發中所面臨的業務問題。</p> <p>越來越多科技巨頭打造各自的代理型AI開發工具鏈，加速這類工具更快演進，微軟也不例外。</p> <p>Nirav Shah表示，微軟特別重視「可信任的AI」的機制，確保AI安全機制能深度整合到我們的工具裡。也會持續在整個技術架構的每一層落實。微軟AI開發工具鏈的優先工作是，從安全性角度增加更多功能。</p> <p>微軟會持續改進負責任AI（Responsible AI）的原則，確保所提供的解決方案能以安全與負責任的方式應用。微軟也將自己打造AI產品功能的所有基礎組件與能力，放入Azure AI Foundry開發平臺上，讓企業打造和微軟同等級安全和信任的解決方案。</p> <p>長遠來看，Nirav Shah認為，GAI將從根本上改變企業的運作方式。AI優先企業，會整合人、Copilot和AI代理，三者互相配合來推動業務流程往前走。</p> <p>例如麥肯錫公司，運用Copilot工具打造出一款可以改善顧客接觸模式的自主式AI代理（Autonomous Agent）。這款AI代理會監聽來自新顧客電子郵件中的需求，根據麥肯錫與這名顧客往來紀錄、電子郵件中提到的需求，來判斷該由哪位合夥人接手這名顧客，不用等到真人讀信後來派工。這款AI不只大大縮短了顧客等待回覆的時間，也減少了3成的行政作業。</p> <p>不過，目前企業常見的業務運作方式，通常分散到許多不同又孤立的應用程式。使用者必須進入不同系統，理解各自的脈絡，自己在不同的應用程式間搬移資料和知識，才能讓業務流程順利推進。</p> <p>若改用Copilot作為AI介面，他指出，可以創造出一種無縫的體驗，將企業內部，所有層級的業務流程整合，從員工個人、部門，甚至整個企業都能串連。如此一來，所有的AI代理也都能在不同業務流程中共享並理解相同的脈絡。等到需要人工介入時，才把工作指派給相對應的員工或領域專家，讓業務流程能夠不斷推進。「員工、Copilot及代理間成為一個生態系，聯手讓業務流程更有效率。」他補充。他所負責的通用資料服務Dataverse產品，正是鎖定了這個生態圈的資料整合需求。</p> <h3><span style="color: rgb(255, 140, 0);"><strong>打造AI代理應用的第一步，明確找出適合自動化和AI優化的業務流程</strong></span></h3> <p>Nirav Shah建議，想要打造AI代理開發的企業，第一步要找出，哪一個業務流程最適合用自動化和AI來優化，鎖定一個非常明確的情境，清楚了解想要優化的目標，才能利用相應的技術來實現最佳化。「GAI進化速度飛快，先明確鎖定目標，再來善用技術，才能得到最佳成效。」</p> <p>如何運用工具，對這些代理提供明確的指令，引導它們往你真正想要的方向運作。Nirav Shah建議，不是讓系統無限制地存取企業任何資料或API，反而要針對一項明確的業務流程，來客製一套專家系統。可以有兩種客製化手段，一個是針對業務流程的特定指示，另一個是提供特定知識和資料作為決策之用，以及指定業務流程運作可用的特定行動。</p> <p>雖然不少人擔心AI代理的測試和除錯是一大挑戰，不過，目前像Copilot控制系統，提供了完整的分析報表功能，可以追蹤所有代理的運作情況，提供足夠的維運可見度與可控性。</p> <p>「AI代理真正的挑戰，不只是測試或除錯，而是如何讓業務流程的界定更加明確。」Nirav Shah指出，要解決什麼問題？達成什麼樣的商業目標？答案越明確，後續的開發、除錯及正式上線就會越簡單。</p> <p> </p> </div></div></div>
2025/2/14 17:24作者王宏仁https://www.ithome.com.tw/news/167380
亞馬遜如何向下貫徹領導力原則
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1222-itshu_zhai_-1p-ya_ma_xun_ling_dao_li_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">商業周刊</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>如何持續成長與創新，延緩或避免企業的衰敗？如何在數位顛覆時代競爭？貝佐斯曾這樣回答：「我預測亞馬遜有一天會跌落神壇、破產。你如果觀察大型企業的壽命，通常是三十年以上，但很少超過百年。我們必須努力嘗試延後那一天的到來。」</p> <p>避免公司衰敗的存在性問題是什麼？在數位顛覆時代發展策略、達成目標，創造創新與成長的持續工具，以及在疫情中存活和繁榮的共通主旋律又是什麼？這些問題的「簡單答案」為何？其實就是「領導力」。</p> <p>亞馬遜的十四條領導力原則（LPs）在亞馬遜的每天工作中占重要角色，所有員工會活用於每天的例會、每場面試、所有辯論和決策。</p> <p>我希望你能從這些原則中學習，並幫助你回答對組織和職業生涯至關重要的問題：我們的原則是什麼？我們的使命是什麼？我們對彼此的期望是什麼？我們如何相互負責？我們如何決策？我們如何成長和競爭？</p> <p>請不要急於將原則固定不變，它們應該像果凍一樣柔軟。實踐、磨合、嘗試活用它們，對它們加以辯論並持續讓它們更完善，但最重要的是讓這些原則真實且有意義的存在。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>發明與簡化原則</strong></span></span></p> <p>如果要我選出亞馬遜最重要、最具特色的領導力原則，我認為是「發明與簡化」。</p> <p><strong>簡化的典範：亞馬遜的平台業務</strong></p> <p>在商業界，「平台」（platform）是指機械順利運作，串聯複雜的流程和由不同單位執行的任務。亞馬遜就是平台，亞馬遜可以停留在販售書籍業務「圖書平台」，但相較於此它將服務範圍拓展至各式消費性商品，甚至進軍企業客戶領域。</p> <p>任職亞馬遜期間，我成了相信流程自動化力量的信奉者，進而希望讓工作流程更簡化和更具生產力。當流程自動化後，不僅易於提升規模，也更容易衡量。在此同時，即便是最微小的人工作業，也可能演變成昂貴、不能擴展和非即時性的服務。因此亞馬遜把自動化、演算法和科技架構，視為改變遊戲規則平台產業──包括電子書載具Kindle、第三方賣家、亞馬遜物流和雲端運算服務──的引擎。亞馬遜的業務平台催生、拓展了能力的良性循環，與亞馬遜的飛輪如出一轍。因此，如果你想了解亞馬遜對發明與簡化原則的看法，你需要先了解平台機會。</p> <p><strong>第三方平台</strong></p> <p>亞馬遜定下三大設計原則，對建立第三方線上商場業務非常重要：</p> <p>一、向客戶展示單一商品，並附上易於比較的同類型產品列表。我們把這項設計原則稱為「商品授權」（item authority）。為商品建立單一定義，讓亞馬遜在內的多位賣家提出報價，向客戶銷售這項產品。我們想要打造讓賣家相互競爭的商場，讓他們用對客戶有利的方式爭取訂單。</p> <p>二、讓客戶信賴第三方賣家，如同他們相信亞馬遜一樣。我們用多種方式實行「賣家信賴」的概念。</p> <p>三、提供精良的賣家工具，包括多樣的銷售方法和豐富的數據，協助商家在亞馬遜平台執行業務。小商家需要的是簡單的工具，但對複雜、銷量大的大型賣家，則應提供不同類型的整合工具。文件紀錄、營運指標、環境測試和專業服務夥伴皆應具備，協助賣家取得成功，同時維持亞馬遜的小型團隊規模。</p> <p>顯然這是一項雄心壯志的計畫，需要在第三方賣家和亞馬遜之間進行高度複雜的整合。我很清楚亞馬遜沒有充足的人力，我們必須讓第三方賣家能自我協助。為了維持客戶的高信賴度，我們得提供賣家簡單使用、高度直覺的工具，還有能夠以某種方式篩選出不良賣家的系統。</p> <p>我們很快就發現實現這一切的唯一方法，就是藉助外部人力處理單一詳細頁面。很幸運地，為擴大自助服務平台業務規模的計畫能得到貝佐斯微笑首肯。他最欣賞的技術之一是設立強制功能（forcing function），這是促使達成想要的成果卻不必管理所有細節的一組指引、限制或承諾。強制功能是亞馬遜推動策略或形成變革時強而有力的技術。</p> <p>「直接員工」和「間接員工」的概念可用來解釋強制功能。</p> <p>特定專案的直接員工通常包括：系統開發工程師、技術專案經理和負責洽談合約的人員，例如供應商管理經理。貝佐斯認為這些成員是建立可擴大規模公司的必要技能。所有其他不會直接創造更好客戶體驗的人員，則被視為間接員工。在強制功能之下，聘用直接人員相當容易獲得批准，但招聘間接人員則會受到限制，而且必須證明人數會隨著業務規模縮小而減少。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>堅持高標原則</strong></span></span></p> <p>亞馬遜領導力原則最重要的一點是，多數原則反映亞馬遜對領導者的期望。亞馬遜的期望傳遞了細微、但強而有力的訊息，促使每位亞馬遜員工像領導者一樣思考和行事。當每個人一舉一動都像領導者時，便形成無止境追求超高標準的強制力量。</p> <p><strong>服務水準協議</strong></p> <p>隨著組織的規模日益提升，貝佐斯無法親自執行他的高績效標準，他開發工具和指標來達成這個角色。其中一個標準強制工具便是服務水準協議。服務水準協議是載明希望特定服務達到精確標準的合約。內容完善的服務水準協議明確規定：輸入、產出和衡量品質和績效是否過關的指標。在亞馬遜，服務水準協議是用來界定提供給外部與內部客戶的服務水準期望。</p> <p>亞馬遜完全不接受糟糕的客戶體驗，所以才定下標準超高的服務水準協議，也因此就算是在亞馬遜發生的最差體驗，與同業相比仍然是出類拔萃。當你勉強接受一般水準，便埋下了平庸的種子，這也是許多公司誤解服務水準協議之處。</p> <p>貝佐斯不厭其煩地讓團隊明白，就算是微小的服務缺失也非同小可。例如，亞馬遜有項指標顯示，網頁載入速度即便只慢○‧一秒，就可能讓客戶活動下降一％。有鑑於此，亞馬遜服務水準協議明確規定，網頁載入時間的最差表現必須控制在三秒內或更短。這些服務水準協議是經過深度談判所定奪的。每週的指標檢討有部分時間是在討論與了解，造成服務水準協議失敗的根本原因與補救辦法。</p> <p>最令人嘆為觀止的是亞馬遜為所有大小事設立服務水準協議，做到滴水不漏。例如，圖片上傳至顯示在網頁上的時間，第三方賣家的庫存從十個改到八個所需的時間。</p> <p>凡是能夠衡量的事情，亞馬遜便會為它設下極高的服務標準。</p> <p>致力於執行即時指標和服務水準協議，是亞馬遜最特殊之處之一。大多數公司沒有能力收集和管理接近即時的資料，無力堅持實施服務水準協議的工具和達成相關協議或投入心力實現服務水準協議。</p> <p>這麼做並不容易，但衡量工具是亞馬遜推出任何新計畫不可協商的規定。</p> <p>所以，貝佐斯和領導團隊總是能清楚掌握組織的狀況。如果你的績效數字不能反映貝佐斯的期望，不用說，你很快就會得到上級的關切。<strong>（本文摘錄整理自《亞馬遜領導力》，商業周刊提供）</strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600_%E5%9C%961_%E4%BA%9E%E9%A6%AC%E9%81%9C%E9%A0%98%E5%B0%8E%E5%8A%9B_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%95%86%E6%A5%AD%E5%91%A8%E5%88%8A.png" style="width: 600px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 書名 </span></strong></span> <strong>亞馬遜領導力：亞馬遜14條最強管理與領導原則（THE AMAZON WAY）</strong></p> <p>約翰‧羅斯曼（John Rossman）／著；顏嘉南／譯</p> <p>商業周刊出版</p> <p>定價：380元</p> <p><a href="https://rossmanpartners.com/our-team/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/250_%E4%BA%9E%E9%A6%AC%E9%81%9C%E9%A0%98%E5%B0%8E%E5%8A%9B_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_the-amazon-way.png" style="width: 150px;" /></a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><strong>約翰‧羅斯曼（John Rossman）</strong></p> <p>曾位居亞馬遜的高階管理者，擔任商家整合總監（Director of Merchant Integration）期間，創建並擴展了第三方賣家：亞馬遜商城（Amazon marketplace business）業務，此業務如今占亞馬遜所有出貨單位的50%以上。此外，他還領導亞馬遜的企業服務業務，負責頂級品牌的合作。</p> <p>後成為奧邁企業顧問公司（Alvarez & Marsal）合夥人兼總經理，協助企業開發和執行創新商業模式、技術策略和營運改善，客戶遍及《財富》（Fortune）五百大企業中的高科技、慈善和零售等產業。</p> <p>現職為羅斯曼夥伴諮詢公司（Rossman Partners）負責人，專注於幫助客戶創新與成長。<span style="font-size:14px;"><a href="https://rossmanpartners.com/our-team/" target="_blank"><span style="color:#696969;">圖片來源／theamazonway.com</span></a></span></p> </div></div></div>
2025/2/14 16:23未署名https://www.ithome.com.tw/article/167377
第一銀行數據分析雲端平臺正式上線，未來還要建立數據湖平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>第一銀行近期揭露，因應金融機構上雲政策，他們建置了數據分析雲端平臺，並在今年2月正式上線。</p> <p>第一銀行表示，這套平臺第一階段將先聚焦在分析開放資料，且未來會規畫運用無伺服器運算服務來蒐集公開資料。</p> <p>到了第二階段，第一銀行表示，他們會逐步完善雲地同步機制，並整合內部和外部資料，建立完整的數據湖平臺，為AI驅動和數據決策的目標建立基礎。</p> <p>第一銀行表示，早在2022年，他們就運用雲端廠商提供的CDN服務，提升公開網站對外反應速度和使用者體驗。未來，他們也將規畫應用生成式AI基礎模型託管服務，來建立LLM實驗環境，探索AI代理在業務流程優畫或提供金融創新服務的可能性。</p> <p></p> <p>第一銀行曾在2023年揭露「2025數位轉型策略」，他們不僅要在AI智慧驅動、協作共創和數位敏捷力等議題持續投入人力培育，以提升數位成熟度，及數位產品的市佔率，更要開始全面地將數位轉型規模做大做深，讓每個單位和員工，都能以客戶需求為導向，應用科技推出商品和服務。</p> </div></div></div>
2025/2/14 16:03作者李昀璇https://www.ithome.com.tw/news/167378
Palo Alto Networks修補防火牆作業系統身分驗證繞過漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2月13日資安業者Palo Alto Networks<a href="https://securityadvisories.paloaltonetworks.com/CVE-2025-0108">發布資安公告</a>，公布存在於網頁管理介面的高風險身分驗證繞過漏洞CVE-2025-0108，未經授權的攻擊者能藉由防火牆作業系統PAN-OS的網頁管理介面，並搭配特定的PHP指令碼，繞過部分驗證流程，影響執行10.1至11.2版PAN-OS的防火牆，CVSS風險為7.8。值得留意的是，通報此事的研究人員指出，已出現這個零時差漏洞被利用的跡象。</p> <p>對此，該公司發布11.2.4-h4、11.1.6-h1、10.2.13-h3、10.1.14-h9版更新修補，雲端版防火牆Cloud NGFW、安全服務邊緣系統Prisma Access不受影響。</p> <p>關於這項漏洞可能造成的危險，Palo Alto Networks指出，前述用來觸發漏洞的PHP指令碼無法讓攻擊者遠端執行任意程式碼（RCE），但會顯著影響防火牆作業系統的完整性及機密性。對此，該公司呼籲用戶遵循最佳實作部署的指引，將網頁管理介面的存取管道，限縮為只能透過受到信任的內部IP位址存取，漏洞的危險程度可因此降為5.1分。</p> <p>值得留意的是，雖然Palo Alto Networks強調他們並未察覺漏洞遭到利用的跡象，但通報此事的Searchlight Cyber資安研究員Adam Kues表示，<a href="https://slcyber.io/blog/nginx-apache-path-confusion-to-auth-bypass-in-pan-os/">他們偵測這項弱點已被用於實際攻擊行動</a>，發生的原因與Nginx及Apache元件的路徑混淆有關，由於兩者之間處理傳入的請求存在差異，而有機會造成路徑穿越的現象。</p> </div></div></div>
2025/2/14 11:15作者周峻佑https://www.ithome.com.tw/news/167368
新興AI生產力平臺OmniGPT驚傳資料外洩，駭客聲稱握有3萬用戶個資、3,400萬筆聊天記錄
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AI工具當紅，安全性也隨之受到關注，相關帳密資料、對話內容的保護，成為外界關注的焦點，最近一起資料外洩事故引起注意，尤其是該平臺能夠搭配時下多種知名的大型語言模型（LLM）運用，而有可能涉及大量的資料。</p> <p>根據<a href="https://hackread.com/omnigpt-ai-chatbot-breach-hacker-leak-user-data-messages/">資安新聞網站HackRead的報導</a>，名為Gloomer的人士於駭客論壇BreachForums聲稱握有AI生產力平臺OmniGPT的資料，內含3萬個使用者電子郵件信箱、電話號碼，以及34,270,455筆對話記錄。該平臺整合了ChatGPT-4o、Claude 3.5、Perplexity、Google Gemini等模型，以及團隊協作工具、資料管理、圖片分析等應用模組，而有可能吸引一些人想要嘗試。</p> <p>HackRead的調查團隊分析駭客公布的內容，包含用戶與聊天機器人之間的訊息、上傳檔案的連結，其中部分拿有帳密資料、帳單資訊、API金鑰。研究人員看到逾8千個電子郵件信箱在對話內容提供給聊天機器人。</p> <p>根據對話內容的事件記錄檔案，這批外洩資料還包括存放於OmniGPT伺服器的檔案，其中包含敏感內容的PDF檔案與其他格式的文件，研究人員確認包含了專案文件、大學文憑、市場分析報告、WhatsApp對話截圖、警察刑事紀錄證明（Police Verification Certificate）。</p> <p>究竟駭客如何竊得這批資料？HackRead表示並不清楚，但可以確認的是這些資料來自全球各地的OmniGPT用戶，南美洲主要是來自巴西、歐洲以義大利最多、亞洲則有印度、巴基斯坦、中國、沙烏地阿拉伯。面對範圍如此廣泛的資料外洩事故，OmniGPT很有可能將面臨嚴重的個資保護法規挑戰。而對於使用者而言，很有可能因為有人濫用這些資料，而將面臨各式的身分詐欺或是網路釣魚攻擊。</p> </div></div></div>
2025/2/14 12:03作者周峻佑https://www.ithome.com.tw/news/167370
南山人壽揭加速轉型秘訣，靠企業架構有序轉型
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年8月，南山人壽公開一款名為法遵AI助理的生成式AI應用。這款GAI助理，專為法遵人員設計，只要輸入提示詞，就能快速取得案件資訊和判讀說明，減少大量人工檢索判例的作業時間，還能解讀保險裁罰案件，自動生成案件事實摘要和統計圖表。南山人壽已正式啟用這款法遵AI助理，這是他們2年數位轉型的成果之一。</p> <p>2023年是南山人壽的數位賦能元年，跨入新的轉型加速階段，以服務賦能、數位賦能為核心，展開一系列組織改造。轉變為資訊長、數位長、體驗長、資安長四大職能角色分工、協作，「這是一個完整且具有相互協作的轉型模式，可體現出策略和執行的結合。」呂新科說。</p> <p>南山人壽找來了前臺北市資訊局局長呂新科擔任數位長。他在大學任職長達23年，擔任過資訊長、教育長等，2019年進入臺北市府，曾以架構工法，成功推動了臺北市的數位轉型。</p> <p>進入南山人壽，呂新科除了負責擬訂數位策略和發展企業架構，也統轄管理南山人壽的數位生態中心、科技創研中心、數位科技中心和數據研析中心。並且透過數位治理框架，來整合南山人壽客戶生態圈、業務生態圈，和員工生態圈的發展計畫，來賦能服務、業務與營運發展。</p> <p>「數位轉型是長期進化的過程，必須有數位治理框架協助定錨、對焦組織的策略。」呂新科指出，透過制定框架，有助於指引公司發展方向、目標及資源配置等重點決策。另一方面，框架也能加強組織內各資訊專案計畫與策略的對齊程度，讓轉型更有序和聚焦。</p> <p>「如何做得更快、更好？資源如何聚焦、團隊如何分工？」都是他關注的轉型議題。呂新科給自己的目標是，系統化加速南山的數位轉型，關鍵作法就是，他熟悉的架構工法。打造企業框架，是實踐架構工法的第一步。</p> <p><span style="color: rgb(178, 34, 34);"><span style="font-size: 28px;"><strong>運用架構工法制定南山人壽企業架構</strong></span></span></p> <p>呂新科解釋，企業框架就像建築設計藍圖，包含平面圖、立面圖和水電圖，幫助工程團隊理解建築結構。有了這些參考指引，工程團隊才能展開規畫並改造建物。同樣道理，企業打造數位生態系，也需要建立各種層面的架構圖，確保組織內各部門能聚焦在共同基準上描繪生態系樣貌，進而有序地相互協作。</p> <p>所以，他一上任便開始擬定南山人壽的企業架構框架。為了讓數位策略與企業策略對齊，落實到顧客、員工、業務員和業務單位的流程上，呂新科借鏡了國際慣用的標準TOGAF（The Open Group Architecture Framework）架構開發方法，搭配UML統一塑模語言、業務流程模型標記方法（BPMN），來發展南山需要的企業架構方法論。</p> <p>南山企業架構框架共有六大架構，分為四層，第一層和第二層分別為策略架構和業務架構，第三層包含了三項架構，應用架構、數據架構和技術架構，最底層則是資安架構，這套框架也正是南山人壽的數位轉型藍圖。</p> <p>呂新科表示，這個架構框架下，南山人壽內部可以進一步展開討論，確定各層架構的關鍵組成因素。例如，什麼是業務架構？業務架構需要具備哪些元素？什麼是應用系統？是否需要包含資料邏輯結構元素？這些內部討論，不僅是建立框架的過程，更是對齊跨單位的數位目標。如此一來，「能確保集團內所有部門的策略和發展方向一致，讓組織的數位轉型發展更具系統性。」呂新科說。</p> <p>「企業架構，能讓組織有序地推動數位轉型。」呂新科強調。</p> <p><span style="color: rgb(178, 34, 34);"><span style="font-size: 28px;"><strong>用最小可行性架構法導入企業架構</strong></span></span></p> <p>實踐架構工法的第二步，是要開始導入企業架構。呂新科採用循序漸進的方式，先鎖定其中一層架構，從業務架構開始建置。</p> <p>這套推動方法是最小可行性企業架構（MVEA，Minimum Viable Enterprise Architecture）的概念，類似最小可行性產品（MVP）概念，從單一切入點，慢慢導入整套企業架構。南山人壽先將TOGAF ADM的業務架構，客製化為簡單的業務與應用系統流程架構，暫時忽略其他架構。透過大量教育訓練和工作坊，讓員工熟悉用BPMN來描述自己的業務流程。再安排業務架構師和業務分析師，與專案開發團隊協作，來產生業務架構。</p> <p>選擇從業務面切入，因為，呂新科認為：「所有的技術改變，都是要提供更優質的業務流程。」南山人壽加速數位轉型的關鍵，並非是技術本身，而要聚焦流程。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1222-%E6%95%B8%E4%BD%8D%E9%95%B7_600.jpg" style="text-align: center; width: 600px;" /></p> <p><span style="color: rgb(178, 34, 34);"><span style="font-size: 28px;"><strong>建立Beyond Lab和蒲公英計畫梳理流程</strong></span></span></p> <p>為了梳理流程，呂新科借鏡國際顧問公司Gartner提出的超自動化（Hyperautomation）概念，成立了一支重塑企業文化的推動團隊，名為Beyond Lab，專門協助公司內部單位，從營運分析、流程盤點、梳理到塑模步驟，挖掘流程改善的機會點，來設計出流程優化方案。法遵 AI 助理便是Beyond Lab與法遵單位合作成果之一。</p> <p>不只法遵AI助理，呂新科也透露，去年年底，Beyond Lab針對內部核保、理賠流程推出一項工具，能快速根據保戶的理賠紀錄、投保狀況和醫務風險等資料，提供保戶的疾病弱體代碼建議，可以加速核保人員或理賠人員的作業。</p> <p>另外，Beyond Lab也和業務單位合作，開發出能快速判斷保戶職業代碼的工具，來輔助新進的核保人員。</p> <p>Beyond Lab會將這些解決方案，發展成外掛式的AI智能模組，整合至AI平臺。例如，疾病弱體代碼建議和職業代碼建議，可以成為一支支可重複運用的外掛元件。這個AI平臺提供了一套API，讓內部各資訊系統用來呼叫不同的AI智能模組。</p> <p>除了要協助業務單位打造工具，Beyond Lab成員也擔任推廣角色，負責將技術專業和數位轉型方法論結合，推廣創新的觀念和文化。</p> <p>去年，Beyond Lab展開一項蒲公英計畫，來提升不同層級員工的數位技能，進一步激發他們創新管理思維，並將這套思維內化到企業文化中。透過線上課程和實作工作坊，教導各部門的種子學員學習流程梳理和業務架構建模。呂新科解釋，每個業務單位都會派出種子學員，來學習業務流程分析的BPMN方法論和RPA技術。</p> <p>在2024年，南山人壽內部已涵蓋至少8個部門、166名員工參與BPMN業務流程建模方法訓練，並完成建立91項業務架構文件。而經過開辦RPA自動化培訓計畫，南山人壽透過跨部門開發完成了51個RPA業務應用腳本，應用在核保、理賠等業務流程。</p> <p>呂新科解釋，當種子學員學成回到業務部門，就能更快彙整自己的業務流程，將技術能力推廣到各業務單位，「這群人是全集團共同推動數位轉型的重要種子。」</p> <p><span style="color: rgb(178, 34, 34);"><span style="font-size: 28px;"><strong>中樞化工程：整合垂直型專案與水平型專案</strong></span></span></p> <p>實踐架構工法的第三步，是導入中樞化工程，發展水平型專案，減少技術重複投資。</p> <p>南山開始實施企業架構後，透過梳理單一流程，建立不少以特定業務流程為主的專案。例如，梳理法遵單位的特定流程，開發法遵AI助理，或是梳理核保流程，開發疾病弱體代碼建議工具。呂新科稱這一類專案是垂直型專案。</p> <p>數位轉型過程中，企業常會同時發起多個垂直型專案，這種專案各自獨立運作，有些功能類似的模組，往往會重複打造，導致技術重複投資，並衍生維護管理問題。因此，呂新科認為，企業需要積極建立另一種類型的水平型專案。他解釋，水平型專案專指複用性高的共同模組，「類似大樓的共用管道。」</p> <p>南山人壽正在執行的水平型專案有七項，包含支付模組、單一登入（SSO）模組、身份核驗模組、公告與內容中心模組，以及會員中心模組。這些模組都是各專案經常運用到的技術模組。他們將這七項水平型專案稱為七大中樞工程，也反映出，這些模組都是南山轉型的重要支柱。</p> <p>「透過水平型專案，我們能以架構驅動的方式重整基礎建設，建立一套共用基礎建設的架構來支持每個數位生態系。」呂新科說。</p> <p><span style="color: rgb(178, 34, 34);"><span style="font-size: 28px;"><strong>AI三大發展策略：AI擴增分析、AI智能模組、AI智能助理</strong></span></span></p> <p>不只聚焦數位轉型計畫，面對全球AI浪潮，南山人壽對AI也訂定了一整套的新計畫，包括了三大類AI的發展策略，分別是AI擴增分析（Decision Augment）、AI智能模組（AI Bot），和AI智能助理（AI Agent）。</p> <p>呂新科解釋，以往大量累積的資料，通常具高維結構且來源複雜，很難用單一統計方法有效地解析其內涵。而南山人壽的AI擴增分析則是結合了統計技術和AI技術，以機器學習來強化資料分析與綜整能力，像是用AI增強複雜圖表解析能力，將難以解讀的數據圖表轉譯成易讀性高的決策資訊。</p> <p>例如，南山人壽透過導入GNN圖網絡分析，用AI建構客戶數位軌跡的脈絡，再透過提示工程，讓生成式AI解讀非結構化的網絡圖資料庫，萃取客戶的行為根因與健康意識接觸機會點，提供民眾相關的健康新知與服務。</p> <p>第二類智能模組則是透過一套模組外掛平臺的架構，一個AI模組就像是一隻外掛程式，可用於單一任務，也可以嵌入至各項服務。例如，南山人壽建置了ICD Code智能模組，能根據保戶歷史投保狀況、理賠紀錄及醫務核保風險進行分析，自動提供疾病弱體代碼建議，幫助核保人員更快速進行風險評估。</p> <p>最後一類AI智能助則是以生成式AI為基礎，開發可用自然語言對話，扮演輔助角色的智慧助理，南山人壽去年正式上線的法遵智能助理，便是由Beyond Lab研發打造的AI Agent應用。這款應用能解析大量裁處文本，將處理時間從數小時縮短至10分鐘內。</p> <p>南山人壽從2023年開始規畫和建置AI基礎架構，2024年展開重點專案的探索，預計2025年推廣到業務、保險核心流程的應用。</p> <p><span style="color: rgb(178, 34, 34);"><span style="font-size: 28px;"><strong>架構工法：有序推動數位轉型的秘訣</strong></span></span></p> <p>組織推動數位轉型時，最具挑戰性的往往不是零散的實驗性專案，而是如何確保每個專案可以快速擴展。因此，不論是推動數位轉型，還是發展AI，呂新科都十分強調延續性和可複用性，要讓每項解決方案和技術成果都能快速擴大規模，而藉由架構工法，能讓組織更有序地推動數位轉型，呂新科說，這正是南山人壽加速轉型的秘訣。</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> CDO小檔案 </span></strong></span></p> <p><strong>南山人壽數位長呂新科</strong></p> <p>學歷：臺灣大學資訊管理系博士</p> <p>經歷：曾於大學教職多年，並於2019年接任臺北市資訊局局長，而後2023年2月接任南山人壽數位長一職。資訊局長任內曾推動臺北市的數位轉型工程，曾取得IMD SCI全球智慧城市排名第四的佳績，他個人也獲得2022年IDC年度資訊長的肯定。</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 公司檔案 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1222-%E6%95%B8%E4%BD%8D%E9%95%B7-250.jpg" style="width: 450px;" /></p> <p><strong>南山人壽</strong></p> <p>●地址：臺北市信義區莊敬路168 號</p> <p>●成立時間：1963年7月</p> <p>●主要業務：人壽保險、健康保險、傷害保險及年金保險</p> <p>●員工數：截至113年3月31日內勤員工合計4,216人</p> <p>●年營收：2023年營業收入共4,676億元</p> <p>●董事長：尹崇堯</p> <p>●總經理：范文偉</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 公司大事紀 </span></strong></span></p> <p>●1963年7月：設立經營人身保險業務，業務範圍包含人壽保險、健康保險、傷害保險及年金保險</p> <p>●1972年：成立團險部門，推出業界第一張團險保單</p> <p>●2011年8月：潤成投資控股股份有限公司引進專業管理成為南山人壽最大股東</p> <p>●2012年7月：取得主管機關核准，成為公開發行公司</p> <p>●2023年：南山人壽成立60周年，啟動數位賦能和服務賦能兩大轉型核心。成立「Beyond Lab」導入超自動化的概念，促進各部門跨領域協作，實現持續業務流程優化與自動化工程。成立科技創研、數據研析、數位生態三大中心，發展南山人壽的數位轉型藍圖。</p> <p>●2024年：Beyond Lab推動RPA培訓計畫、BPMN種子培育計畫</p> <p>●2024年7月：成立數位科技中心</p> <p>●2024年8月：對外發表法遵AI智能助理</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1222_shu_wei_chang_960.jpg" width="960" height="420" alt="" title="南山人壽數位長呂新科" /></div></div></div>
2025/2/14 13:03作者李昀璇https://www.ithome.com.tw/people/167371
馬斯克向OpenAI正式提議收購，OpenAI認目的在消滅競爭對手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>馬斯克（Elon Musk）偕同投資團隊周三向OpenAI董事會<a href="https://x.com/mikeisaac/status/1889498810008912039" target="_blank">提交</a>收購意向書（Letter of Intent），說明提案效力到5月10日前，除非OpenAI以書面拒絕。但OpenAI方面認為馬斯克提案是玩假的，目的只是想消滅競爭者。</p> <p>這是馬斯克本周稍早拋出收購OpenAI的提案後的實際行動。根據提案文件，馬斯克團隊計畫收購OpenAI所有資產。依據其對OpenAI財報及其未來預期，團隊計畫以全現金97,375,000,000美元收購這家AI公司。本提案效力直到5月10日，但在雙方書面同意終止談判，或是OpenAI以書面拒絕，同時雙方簽定協議後得以提前失效。</p> <p>該團隊並提出，收購相關的盡職調查中，他們可以讀取OpenAI的財務與稅務文件，及書本和紀錄，進出任何和業務設施及存取設備，或是和與業務有關的人員交談。</p> <p>OpenAI對馬斯克方面行動不以為然。OpenAI執行長Sam Altman已在X上拒絕，且公開<a href="https://www.bbc.com/news/articles/cpdx75zgg88o" target="_blank">表示</a>OpenAI絕不會出售；公司使命是以通用AI（AGI）造福全人類，絕對會持續下去。OpenAI董事會律師<a href="https://x.com/mikeisaac/status/1889498810008912039" target="_blank">指出</a>，OpenAI非營利機構它存在理由是確保實現AGI造福全人類的使命，由不得一個競爭者單方面定價，並決定OpenAI使命的最大利益。</p> <p>OpenAI本周向法院遞交<a href="https://www.documentcloud.org/documents/25524554-116/" target="_blank">文件</a>表達對收購案的反對意見。該公司指出，去年12月馬斯克為反對OpenAI轉型向營利組織，而向法院<a href="https://www.ithome.com.tw/news/166292" target="_blank">提出</a>禁制令動議。當時馬斯克的理由是OpenAI的資產不得為私人利益而轉讓。但這和馬斯克欲收購OpenAI的行動自相矛盾。</p> <p>OpenAI相信，只要馬斯克擁有OpenAI，就會將其資產全數移轉到其名下，為他個人、其AI公司及其挑選的私人投資公司帶來經濟利益。馬斯克陣營本周的提案，只是進一步突顯他去年的禁制令動議只是想消滅競爭者。</p> <p>馬斯克<a href="https://techcrunch.com/2025/02/12/elon-musk-will-withdraw-bid-for-openais-nonprofit-if-its-board-agrees-to-terms/" target="_blank">表示</a>只要OpenAI停止轉為營利組織，就會撤回提議。</p> </div></div></div>
2025/2/14 12:01作者林妍溱https://www.ithome.com.tw/news/167369
零售IT雙周報第51期：不在站上也查得到！Amazon開始支援搜尋品牌官網商品，還能支援訂單履行
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#0000FF;"><strong>重點新聞(0202~0215)</strong></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#商品搜尋引擎 #第三方網站連結 #訂單履行</span></span></strong><br /> <strong>Amazon開始能搜尋到站外商品，更支援站外商品的訂單履行</strong></p> <p><a href="https://www.aboutamazon.com/news/retail/search-products-amazon-shopping-feature">Amazon進一步強化自身作為網購入口網站功能，開始在搜尋結果顯示站外商品。</a>這些搜尋結果會和Amazon站上商品一同顯示，當顧客選擇站外商品，則會被導向品牌自身網站。</p> <p>品牌還可以開放選項，讓Amazon負責履行官網訂單。顧客在這些品牌網站直接購買商品時，就能享有Buy with Prime會員功能，包括免費選擇用Amazon物流送貨、退貨，以及24小時顧客服務等。</p> <p>Amazon沒有提及，技術上是如何收錄這些外部網站商品數據，用於商品搜尋及推薦功能，也未提及品牌如何在外部網站啟用Buy with Prime功能。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#RMN #門市管理 #外送App</span></span><br /> </strong><strong>外送平臺Instacart推出店內任務功能，CPG品牌可以委託外送員紀錄實體門市中的行銷或存貨情況</strong></p> <p>難以接觸第一線零售通路，觀察商品銷售情況，一直是CPG製造商痛點。美國生鮮雜貨外送平臺Instacart鎖定此痛點，推出店內任務功能。CPG品牌可以出價委託外送員進行一系列門市內工作，例如紀錄自家商品貨架情況、拍攝門市內行銷素材展示情況等。外送員可以視報酬和任務內容，自由選擇接案。</p> <p>Instacart作為外送平臺，可以透過外送員，接觸上千家零售企業的近十萬間門市。他們正是利用此優勢，打造出店內任務這一獨特功能。這也符合他們這一兩年來，積極發展RMN及對CPG製造商服務的策略方向。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#家居電商 #生成式AI #模擬裝潢</span></span></strong><br /> <strong>Wayfair推出視覺化家居購物功能，即時生成裝潢示範，並用消費者提供的照片來模擬裝潢</strong></p> <p>家居類電商Wayfair推出視覺化購物功能Muse，利用多模態生成式AI技術理解自然語言搜尋，即時根據Wayfair商品目錄生成示範裝潢圖片。使用者可以瀏覽生成圖片中的商品，甚至上傳自家空間的照片，利用Muse將這些商品融入自家空間中，來模擬裝潢。Muse仍包括電商常見的其他功能，例如相似商品推薦、個人化推薦等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/wayfarimuse.png" style="width: 600px;" /></p> <p>過往，這類功能都會只限於固定風格模板，例如臺灣的創業家兄弟，或Wayfair自家既有功能，都是會基於「北歐風」、「工業風」等少數模板來生成，生成內容缺乏多元性。Muse則是根據輸入內容，例如「有點Emo的1920年代客廳」，來生成影像內容。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#門市管理 #行動應用</span></span></strong><br /> <strong>CVS藥局開始測試在會員App中打開上鎖貨架的功能</strong></p> <p><a href="https://www.prnewswire.com/news-releases/introducing-the-cvs-health-app-your-go-to-companion-for-health--wellness-302361313.html">美國藥妝店龍頭CVS推出新版會員App</a>，開始測試透過App就能解鎖門市內藥架的功能，不過CVS沒有提供具體操作方法。</p> <p>零售業在門市中將高價值、高風險商品上鎖來防止盜竊等意外，是常見做法。不過，增加顧客拿取商品難度，也伴隨著降低購買意願的代價。近日，Walgreens藥局CEO才剛表示上鎖貨架的防盜措施，造成銷售下滑反而得不償失。CVS利用實名制會員App來提供自助解鎖功能，是利用IT來折衷開放與上鎖貨架的一個嘗試。</p> <p>CVS會員App其他功能包括藥局電商、個人化健康管理及建議、疫苗預約、領藥輔助、AI藥物及健康產品搜尋、健康教育、生成式AI藥品購買助理、個人化保健資源推薦等。</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#RMN #3D全息圖廣告 #互動式行銷 #DOOH #AR廣告</span></span></strong><br /> <strong>西蒙地產集團在旗下30間百貨推出3D全息圖廣告聯播網</strong></p> <p><a href="https://www.globenewswire.com/news-release/2025/02/04/3020708/0/en/World-s-First-Holographic-3D-Ad-Network-Launches-at-Simon-Malls-Nationwide.html">美國最大零售業地主西蒙地產集團於旗下30間百貨公司推出全息圖廣告聯播網。</a>行銷型態是，在人流密集區設置3D全息投影箱播放廣告，搭配AR行銷內容，讓路過觀眾掃碼了解更多。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1739445587923.jpg" style="width: 600px;" /></p> <p>根據統計，觀眾平均與全息影像互動時間長達24秒。AR行銷內容在兩週內，吸引數千名顧客參與，掃碼率高達35%。儘管可以預見，隨著新鮮感減少，這些互動數據會降低，不過目前來說仍非常驚人，是一般數位影音廣告的數倍到數十倍。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#AI致電 #生成式AI</span></span></strong><br /> <strong>Google開始實驗讓AI幫忙打電話到店家預約的功能</strong></p> <p><a href="https://x.com/dozenrose/status/1885006631752364249">Google開始實驗由AI幫忙消費者致電店家的功能，AI可以代為詢問商品或服務相關問題、預約時間，並告知店家如何回覆消費者。</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/gasm.png" style="height: 450px;" /></p> <p>致電前，AI會先詢問消費者所需資訊，例如致電修車廠前，詢問要更換機油還是輪胎、車款為何，希望預約時間、電子郵件或電話號碼等。店家接起電話時，Google會先告知店家，這通電話是由AI代替消費者本人撥出。</p> <p>目前，此功能只支援部分地區的車廠及指甲沙龍，預計逐步開放更多類型的商家。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#電腦視覺 #生成式AI #服飾零售</span></span></strong><br /> <strong>服飾電商平臺Poshmark推出生成式AI商品刊登功能，靠單張照片就能自動填入商品資訊</strong></p> <p><a href="https://www.prnewswire.com/news-releases/poshmark-marks-milestone-with-debut-of-smart-list-ai-ushering-in-the-next-chapter-of-ai-powered-resale-302363942.html">有超過8千萬使用者、2億件商品的跨國服飾電商平臺Poshmark推出生成式AI商品刊登功能Smart List AI。</a>商家最少只需上傳單張照片，此功能即可自動生成各類商品資訊，如商品標題、描述、建議售價與分類等，並引導賣家逐步完成刊登流程。初步測試結果顯示，商家平均刊登時間縮短48%。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/poshwr.png" style="height: 450px;" /></p> <p>Poshmark與eBay類似，會販售全新及二手商品。這意味著有大量第三方賣家、許多非規格化商品，以及完整度不一的商品敘述。去年，eBay就推出了生成式AI上架輔助工具。如今，規模較小的Poshmark也跟上巨頭腳步，用GAI工具來降低第三方中小型賣家上架商品的門檻，並提升站上商品描述品質。</p> <p> </p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多零售IT動態：</span></strong></span></p> <p><a href="https://newsroom.transunion.com/att-and-transunion-launch-the-industrys-first-in-network-branded-call-display-with-logos/">環聯信貸報告和AT&T合作推出可以顯示致電品牌與致電原因的安卓手機功能，有望降低外送和客服等陌生來電被掛斷的情況</a></p> <p><a href="https://www.nikkei.com/article/DGXZQOUC180ZI0Y5A110C2000000/">日本7-Eleven開始淘汰門市內大型電腦，改用行動裝置進行門店管理、查看銷售數據及訂貨</a></p> <p><a href="https://www.nvidia.com/en-us/ai-data-science/ai-workflows/retail-shopping-advisor/">NVIDIA推出零售業AI Blueprint服務，提供開發GAI購物助手的流程模板及相關IT支援</a></p> <p><a href="https://www.wsj.com/articles/how-tech-helped-levis-ride-the-baggy-jeans-trend-f290721d">Levi’s如何整合跨國跨通路顧客數據，來協助產品開發決策</a></p> <p>資料來源：iThome整理，2025年2月</p> <p>責任編輯：郭又華</p> <p>圖片來源：Amazon、Wayfair、Poshmark、Hologram Media Network</p> <p></p> </div></div></div>
2025/2/14 10:29作者郭又華https://www.ithome.com.tw/news/167367
Go 1.24推出泛型型別別名與WebAssembly強化，效能再提升
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://go.dev/blog/go1.24">Go 1.24</a>正式發布，這次更新涵蓋語言特性擴展、執行環境最佳化，以及工具與標準函式庫的改進。開發人員已能夠使用泛型型別別名（Generic Type Alias），而WebAssembly相關功能更新，則讓Go程式能夠更方便地匯出函式到WebAssembly環境。除此之外，Go 1.24在執行效能上也有顯著提升，多項最佳化使CPU開銷平均降低2％至3％。</p> <p>這次在語言層面的更新，主要是對泛型型別別名的完整支援。之前Go在加入泛型後，雖然已能夠對型別定義型別參數，但型別別名仍然受到限制，無法像普通型別一樣接受型別參數。Go 1.24解決了這個問題，開發者現在可以使用型別別名來建立更靈活的泛型結構，提高程式碼的可讀性與重用性。</p> <p>效能提升則是Go 1.24另一個更新重點，尤其是新的內建map實作方式改採Swiss Tables技術。這種方法透過壓縮索引與更高效的查找機制，降低了記憶體使用量並提高查詢速度。Go 1.24也針對小型物件的記憶體分配做了最佳化，減少分配開銷。此外，內部互斥鎖機制的改進減少了執行緒爭用的情況，提升了整體執行效率，根據官方測試資料，這些調整可使Go程式在大多數應用場景，減少2％到3％的CPU負擔。</p> <p>官方對標準函式庫進行擴充，以滿足FIPS 140-3標準，Go 1.24導入了一系列符合該標準的安全機制，應用程式無需修改程式碼即可使用這些通過認證的加密演算法。同時，部分x/crypto函式庫正式納入標準函式庫，使其更易於存取與管理。在基準測試方面，Go 1.24推出了testing.B.Loop方法，取代傳統的b.N迴圈，提高測試的準確性與可讀性。</p> <p>此外，新的os.Root型別讓開發者能夠限定檔案系統操作的根目錄，提升應用程式的安全性與隔離能力。而在物件終結（Finalization）方面，Go 1.24推出了新的runtime.AddCleanup機制，以取代原本的runtime.SetFinalizer，使終結行為更高效且更不易出錯。</p> <p>WebAssembly支援的強化進一步擴展Go在前端與雲端運算場景的應用。新的go:wasmexport指令讓開發者可將Go函式直接匯出到WebAssembly環境，減少手動編寫JavaScript介面橋接程式的工作。此外，Go 1.24支援將程式建置為WASI reactor或函式庫，使其在WebAssembly執行環境中的適應性更強，特別適合需要與外部系統互通的應用情境，例如伺服器端運算或雲端無伺服器架構。</p> </div></div></div>
2025/2/14 08:25作者李建興https://www.ithome.com.tw/news/167366
Anthropic執行長警告AI發展速度超過預期，各國須加速應對安全與經濟衝擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Anthropic執行長Dario Amodei在巴黎人工智慧行動高峰會（AI Action Summit）後發表<a href="https://www.anthropic.com/news/paris-ai-summit">聲明</a>，警告人工智慧發展速度遠超預期，可能在2026至2030年間達到資料中心裡的天才國度（Country of Geniuses in a Datacenter）等級，意思是，他認為未來人工智慧系統的智慧，可能等同於一個由無數天才組成的虛擬國度，運作在資料中心中，而這對全球經濟、社會與安全將帶來重大衝擊。</p> <p>Dario Amodei呼籲各國加速行動，因應人工智慧技術競爭、安全風險與勞動市場的變化，強調「時間緊迫，必須加速行動，以追趕人工智慧的發展速度。」</p> <p>他指出，當民主國家無法掌握人工智慧供應鏈，恐將讓威權國家藉此強化軍事與政治影響力，晶片、半導體製造設備與人工智慧訓練資源的管控，應成為政府優先事項。此外，他還警告，人工智慧的安全風險正迅速擴大，高度自主的人工智慧可能具備隱瞞意圖的能力，甚至規避限制，這對金融、網路安全與軍事應用構成潛在威脅。非國家主體（Non-State Actors）可能利用人工智慧技術，開發生化武器或進行網路攻擊，解決這類風險比人工智慧偏見或隱私問題更為迫切。</p> <p>雖然多家人工智慧企業承諾落實安全措施，Dario Amodei認為僅靠企業自律並不足夠，政府應推動人工智慧安全標準透明化，並允許獨立機構評估技術風險，包括人工智慧在自動決策、資安與軍事領域的應用。</p> <p>他特別強調人工智慧對勞動市場的顛覆性影響，形容其將如同一群超高智商的個體突然湧入市場，改變傳統職業結構，甚至影響創意與決策型工作。Anthropic推出的<a href="http://www.anthropic.com/news/the-anthropic-economic-index">人工智慧經濟指數</a>（Anthropic Economic Index）顯示，人工智慧已逐步從輔助人類作業轉向更高程度的自動化，政府應加強監測，確保技術紅利公平分配。</p> <p>Dario Amodei認為，全球應將焦點放在人工智慧帶來的安全與經濟挑戰，而不只是技術創新或監管框架的討論。他警示，未來幾年內，人工智慧不再只是輔助工具，而將成為具備自主決策能力的智慧系統，各國必須提前準備，以免被技術浪潮推著走。</p> <p>本次巴黎人工智慧行動高峰會呈現了各國人工智慧的發展方向與分歧。法國總統Emmanuel Macron宣布，未來數年內將投資1,090億歐元發展人工智慧，強化歐洲在技術發展的自主性，並強調法國的核能供應可提供人工智慧產業穩定的低碳電力。歐盟委員會主席Ursula von der Leyen也宣布InvestAI計畫，要投資2,000億歐元，加強歐洲在人工智慧領域的競爭力。</p> <p>此外，美國與英國未簽署由法國主導的包容與永續人工智慧宣言，該宣言獲得61個國家的支持，強調以開放、包容、透明、安全與可靠的方式推動人工智慧技術發展。Emmanuel Macron在開幕致詞中強調，未來會減少對人工智慧產業的監管障礙，以提升歐洲企業的競爭力。美國副總統JD Vance則進一步批評歐盟對美國科技公司的監管政策，限制人工智慧的自由發展與全球競爭力，並警告不要與獨裁國家在人工智慧領域合作。</p> </div></div></div>
2025/2/14 08:20作者李建興https://www.ithome.com.tw/news/167363
良好資料架構的原則
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1220-itshu_zhai_-1p-zi_liao_gong_cheng_ji_chu_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">碁峰資訊</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">架構原則可以幫助我們評估重大的架構決策和實踐方法，並以此基礎從整體的角度來討論良好的架構。我們會從多個來源尋找架構原則的靈感，尤其是AWS Well-Architected Framework和Google Cloud之 Cloud-Native Architecture的五項原則。</p> <p dir="ltr">AWS Well-Architected Framework由六大支柱組成：卓越的運營（Operational excellence）、安全性（Security）、可靠性（Reliability）、性能成效（Performance efficiency）、成本優化（Cost optimization）、可持續性（Sustainability）。</p> <p dir="ltr">Google Cloud之雲端原生架構的五項原則如下：設計自動化、善於處理狀態、偏好託管服務、實踐深度防禦、始終保持架構思維。</p> <p dir="ltr">我們建議你仔細研究這兩個框架，找出有價值的想法，並確定分歧點。我們想用以下資料工程架構原則來擴展或闡述這些支柱：</p> <p dir="ltr"><span style="color:#B22222;"><span style="font-size:28px;"><strong>原則1：明智地選擇常用組件</strong></span></span></p> <p dir="ltr">資料工程師的主要工作之一，是選擇可在整個組織中廣泛使用的常見組件和實踐方法。當架構師選擇得當並有效領導時，通用組件將成為促進團隊協作和打破隔閡的基礎。通用組件與共享的知識和技能結合，可以在團隊內部和團隊之間實現敏捷性。</p> <p dir="ltr">通用組件可以是在組織內具有廣泛適用性的任何東西。常見組件包括物件儲存、版本控制系統、可觀測性、監控和編排系統以及處理引擎。具有適當使用案例的每個人都應該可以取用通用組件，並鼓勵團隊依賴已在使用的通用組件，而不是重新發明輪子。通用組件必須支援強大的許可權和安全性，以便在團隊之間共享資產，同時防止未經授權的取用。</p> <p dir="ltr">選擇通用組件是一種平衡的過程。一方面，你需要關注整個資料工程生命週期和團隊的需求，利用對個別專案有用的通用組件，同時促進互通性和協作。另一方面，架構師應避免其強制使用通用技術解決方案的決策，阻礙工程師處理特定領域問題時的工作效率。</p> <p dir="ltr"><span style="color:#B22222;"><span style="font-size:28px;"><strong>原則2：為失敗做規劃</strong></span></span></p> <p dir="ltr">要建構高度可靠的資料系統，必須在設計中考慮到故障問題。以下是幾個評估故障場景的關鍵術語：</p> <p dir="ltr"><strong>可用性：</strong>IT服務或組件處於可運行狀態的時間百分比。</p> <p dir="ltr"><strong>可靠性：</strong>系統在指定的時間間隔內，執行其預期功能並符合定義標準的概率。</p> <p dir="ltr"><strong>恢復時間目標：</strong>服務或系統中斷（outage）的最大可接受時間。恢復時間目標（recovery time objective，RTO）通常是透過評估中斷對業務的影響來確定的。對於內部報告系統來說，一天的RTO可能是可接受的。但對線上零售商來說，僅僅五分鐘的網站中斷就可能會對業務產生重大不利的影響。</p> <p dir="ltr"><strong>恢復點目標：</strong>恢復後的可接受狀態。在資料系統中，經常在中斷期間丟失資料。在此情況下，恢復點目標（recovery point objective，RPO）指的是可接受的最大資料丟失量。</p> <p dir="ltr">工程師在設計失敗容忍性時，需要考慮可接受的可靠性、可用性、恢復時間目標（RTO）和恢復點目標（RPO）。這將影響他們在評估可能的故障場景時所做的架構決策。</p> <p dir="ltr"><span style="color:#B22222;"><span style="font-size:28px;"><strong>原則3：為可擴展性進行架構設計</strong></span></span></p> <p dir="ltr">在資料系統中，可擴展性包括兩個主要能力。首先，可擴展的系統能夠擴展以處理大量資料。我們可能需要啟動一個大型叢集（large cluster）來訓練一個PB級的客戶資料模型，或者擴展一個串流攝取系統（streaming ingestion system）來處理短暫的負載峰值。我們的擴展能力使我們能夠暫時處理極端負載。其次，可擴展的系統能夠縮小規模。一旦負載峰值消退，我們應該自動移除容量以降低成本。一個彈性系統（elastic system）可以根據負載動態調整規模，理想情況下是以自動化方式實現。</p> <p dir="ltr">有些可擴展的系統也可以被調整成零規模（scale to zero）：在不使用時完全關閉。一旦大型模型訓練作業完成後，我們可以刪除該叢集。許多無伺服器系統（例如，無伺服器函數（serverless functions）和無伺服器（serverless）線上分析處理（online analytical processing，OLAP）資料庫），可以自動調整成零規模。</p> <p dir="ltr">請注意，部署不適當的擴展策略可能會導致系統過於複雜及成本高昂。對於某些應用程式而言，一個具有故障轉移節點的簡單關聯式資料庫，可能比一個複雜的叢集配置更合適。測量當前負載，估算負載峰值，並估計未來幾年的負載，以確定你的資料庫架構是否合適。如果你的初創公司的成長速度遠遠超過預期，那麼這種成長也應該帶來更多的可用資源，可以用來重新設計系統架構以實現更好的擴充性。</p> <p dir="ltr"><span style="color:#B22222;"><span style="font-size:28px;"><strong>原則4：架構就是領導力</strong></span></span></p> <p dir="ltr">資料架構師負責技術決策和架構描述，並透過有效的領導和培訓來傳播這些選擇。資料架構師應該具有很高的技術能力，但大多數的具體工作可以委派給其他人。強大的領導能力和高度的技術能力相結合是罕見且極其有價值的。最好的資料架構師會認真對待這種雙重角色。</p> <p dir="ltr">馬丁．福勒（Martin Fowler）描述了理想軟體架構師的具體原型，這個原型在他的同事戴夫．賴斯（Dave Rice）身上得到了很好的體現：在許多方面，Architectus Oryzus最重要的活動之一是指導開發團隊，提高他們的水準，讓他們能夠處理更複雜的問題。提高開發團隊的能力為架構師提供了比「成為唯一決策者」更大的影響力，進而避免了成為架構瓶頸的風險。</p> <p dir="ltr">理想的資料架構師也具有類似的特徵。他們擁有資料工程師的技能，但不再每天從事資料工程；他們會指導當前的資料工程師，與組織協商做出謹慎的技術選擇，並透過培訓和領導力傳播專業知識。他們培訓工程師遵循最佳實踐方法，並將公司的工程資源整合在一起，以追求技術和業務方面的共同目標。</p> <p dir="ltr">作為一名資料工程師，你應該實踐架構領導力，並尋求架構師的指導。最終，你很可能會自己擔任架構師的角色。</p> <p dir="ltr"><span style="color:#B22222;"><span style="font-size:28px;"><strong>原則5：始終保持架構思維</strong></span></span></p> <p dir="ltr">我們直接從Google Cloud之雲端原生架構的五項原則中借用此一原則。資料架構師的角色不僅僅是為了維護現有狀態；相反地，他們不斷根據業務和技術的變化設計令人興奮的新東西。根據EABOK（<a href="https://oreil.ly/i58Az">https://oreil.ly/i58Az</a>）的說法，架構師的工作是深入瞭解基本架構（baseline architecture）（現狀），開發目標架構（target architecture），並制定一個有序計畫（sequencing plan）來確定優先順序和架構變更的順序。</p> <p dir="ltr">以下是我們的補充：現代架構不應該是命令和控制（command-and-control）或瀑布式（waterfall）的，而應該是協作和敏捷的。資料架構師維護著一個隨時間變化的目標架構（target architecture）和有序計畫（sequencing plans）。目標架構成為一個不斷變動的目標，根據內部和全球的業務和技術變化進行調整。有序計畫確定了交付的即時優先順序。<strong>（本文摘錄整理自《資料工程基礎》，碁峰資訊提供）</strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1220-IT%E6%9B%B8%E6%91%98-1P-%E8%B3%87%E6%96%99%E5%B7%A5%E7%A8%8B%E5%9F%BA%E7%A4%8E-600.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源_碁峰資訊</span></span></p> <p dir="ltr"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> <span style="color:#3399ff;">資料工程基礎（Fundamentals of Data Engineering）</span></strong></p> <p dir="ltr">Joe Reis, Matt Housley／著；蔣大偉／譯</p> <p dir="ltr">碁峰資訊出版</p> <p dir="ltr">定價：980元</p> <p dir="ltr"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%9B%B8%E6%91%98_%E5%9C%962_%E8%B3%87%E6%96%99%E5%B7%A5%E7%A8%8B%E5%9F%BA%E7%A4%8E_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Ternary%20Data.png" style="width: 150px;" /></p> <p dir="ltr"><a href="https://www.ternarydata.com/about-us" target="_blank"><span style="color:#696969;"><span style="font-size:14px;">圖片來源_Ternary Data</span></span></a></p> <p dir="ltr"><strong>Joe Reis</strong></p> <p dir="ltr">是一位具有商業頭腦的資料狂熱者，已在資料行業工作了20年，職責範圍包括統計建模、預測、機器學習、資料工程、資料架構等幾乎所有相關領域。Joe是Ternary Data的CEO和共同創辦人，這是一家位於猶他州鹽湖城的資料工程和架構諮詢公司。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%9B%B8%E6%91%98_%E5%9C%963_%E8%B3%87%E6%96%99%E5%B7%A5%E7%A8%8B%E5%9F%BA%E7%A4%8E_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Ternary%20Data.png" style="width: 150px;" /></p> <p dir="ltr"><a href="https://www.ternarydata.com/about-us" target="_blank"><span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;">圖片來源_Ternary Data</span></span></a></p> <p dir="ltr"><strong>Matt Housley</strong></p> <p dir="ltr">是一位資料工程顧問和雲端專家。在早年學習過Logo、Basic和6502組合語言及其程式設計經驗，之後他在猶他大學獲得了數學博士學位。Matt隨後開始從事資料科學工作，最終專攻基於雲端的資料工程。他與Joe Reis共同創立了Ternary Data公司。</p> </div></div></div>
2025/2/14 06:00未署名https://www.ithome.com.tw/article/167174
每秒上萬筆交易，摩根大通如何打造又快又省錢的即時詐欺偵測平臺？
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>百年金融集團摩根大通（JPMorgen Chase）是全球最大金融機構之一，每秒處理數萬筆交易、每日交易金額超過10兆美元。這麼龐大的交易量，他們如何知道每一筆交易是不是詐欺？Karthik Devarapalli是摩根大通首席軟體工程師，他和同事Jimit Raithatha在去年12月<a href="https://www.youtube.com/watch?v=p_OGzemxyBA&ab_channel=BBCWorldService">一場會議中</a>，揭露摩根大通支付服務團隊如何設計雲端金融詐欺即時偵測平臺，來快速判斷每筆交易的詐欺風險。</p> <p><span style="font-size:24px;"><strong>金融詐欺越趨嚴峻，摩根大通用6大原則自建AI/ML詐欺偵測平臺</strong></span></p> <p>Devarapalli首先指出，隨著科技發展，金融詐欺越來越嚴重。美國財務專業人士協會（AFP）調查顯示，光是2023年一年，就有80%的金融機構遭遇支付詐欺，比起2022年增加非常多。</p> <p>摩根大通這個老牌大型金融企業，應對金融詐欺也有不少經驗。他們將自己的因應策略和技術，包裝成服務，在摩根大通支付服務團隊旗下提供「信任與安全」解決方案，裡面有用來驗證帳戶、業務和文件的驗證服務，還有帳戶風險評估服務、支付控制中心服務，以及AI/ML驅動的即時詐欺偵測平臺。</p> <p>這個即時詐欺偵測平臺，正是Devarapalli討論的重點。該平臺靠內部規則、機器學習模型評分、異常偵測和例外清單來判斷每筆支付的詐欺風險，但光有這些還不夠，要能在摩根大通全球據點即時偵測，還要滿足6大需求：</p> <ol> <li><strong>將各種支付交易即時傳送到平臺</strong>，才能驗證詐欺風險</li> <li><strong>分析支付資料</strong>，透過機器學習分數、異常偵測和例外確認等，來判斷潛在詐欺行為</li> <li><strong>自動擴展</strong>來處理大量支付數據，尤其是節日、周末連假或月底等大量消費期間</li> <li><strong>具備低延遲、高可用和韌性</strong></li> <li><strong>要能離線分析</strong></li> <li><strong>即時上線新功能</strong>；系統要有個介面，來即時導入新規則或更新功能，才能快速應對主動詐欺行為</li> </ol> <p>其中第5點的離線分析很重要，因為這樣才能主動發現新詐欺趨勢。Devarapalli點出，就算是已知的詐欺行為，從業人員也能透過離線分析來調查、找出預防對策。</p> <p>接著，摩根大通根據這6大需求，建立詐欺偵測平臺。他們先畫了張平臺元件圖（如下圖），按照需求列出不同元件，比如將支付資料送進平臺的請求擷取元件、請求優先排序元件（圖左），來進行資料驗證或清理。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202025-02-11%20154642.png" /></p> <p>接著納入嵌入向量和訊號（Embeddings & signals）元件、廠商資料擴充元件（Vendor enrichment）。這個廠商資料擴充元件也很重要，因為要偵測詐欺交易，不只仰賴規則，還需要其他補充資料來補強。而摩根大通的廠商資料擴充元件，就包含豐富的合作廠商資料，以及摩根大通自己的銀行參考資料，來強化偵測能力。</p> <p>其他元件還有特徵儲存（Feature Store），專門用來轉換資料、計算聚合資料。Devarapalli解釋，這裡的特徵分為兩種，一是歷史特徵，比如使用者的長期交易概況（如上個月的交易總量、金額、時間、地點等），另一種是即時特徵，也就是直到前幾分鐘、甚至幾秒鐘的使用行為。</p> <p>再來是決策服務（Decision service），也就是以規則來偵測詐欺，另外還有推論服務（Inference service），以機器學習模型來計算詐欺風險分數。此外還有個介面層，系統可以API來呼叫模型或管理模組。</p> <p>最後則是執行程式（Action handler），能根據前述的分析結果和規則，執行相對應的處置。</p> <p>Devarapalli說，正因為摩根大通將任務拆分成多個元件，所以可依需求快速擴展。「最重要的是能處理高吞吐量，而且在幾毫秒內處理。」這是摩根大通即時處理每秒上萬筆交易的先決條件。</p> <p><span style="font-size:24px;"><strong>即時詐欺偵測平臺如何運作</strong></span></p> <p>有了元件組成，接下來就是平臺架構（如下圖）。首先，當摩根大通支付處理系統（圖左上）接收支付交易時，會發送請求給詐欺偵測平臺，來判斷這筆交易是不是詐欺。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202025-02-13%20161710.png" /></p> <p>接著，請求送到偵測引擎。這個引擎包含一系列偵測詐欺的微服務，也有專門處理請求的閘道微服務，能用來接受請求、驗證資料，必要時還會清理資料，是請求必經的第一個微服務。</p> <p>在偵測引擎根據規則處理請求前，還有個檢索資料的步驟，也就是呼叫API來搜尋資料集，像是廠商擴充資料、特徵，或是判斷詐欺的規則等等。之後，平臺會再呼叫API來進行規則式判斷和模型評分，綜合評估這筆支付是不是詐欺，最後由執行程序進行相對應的處置。通常，這個詐欺偵測平臺可以終止任何高風險交易。</p> <p>這個偵測引擎所使用的資料，都儲存在不同資料庫，比如他們將規則的Metadata儲存在Amazon Aurora，將擴充資料、特徵資料和例外清單等放在DynamoDB，至於交易資料則都儲存在Amazon S3中。</p> <p>Devarapalli還點出一個很重要的規則驗證UI（圖左下），有了它，摩根大通可以即時更新或新增規則，不必等待幾個小時甚至好幾天。</p> <p><span style="font-size:24px;"><strong>即時詐欺偵測平臺如何又快又省錢</strong></span></p> <p>「詐欺偵測平臺每秒接收3、400個請求，每天要處理上千萬個請求！」Raithatha指出，要處理的請求如此大量，每往平臺加一層（如網路層），就會讓處理時間多個幾毫秒。為避免這個狀況，摩根大通用了些優化方法，來減少平臺的IT層數和延遲時間。</p> <p>首先是使用AWS負載平衡控制器。Raithatha說明，他們用Amazon EKS來管理詐欺偵測平臺，通常，在EKS實作中，會有應用程式負載平衡器和在EKS叢集執行的服務，這兩者間還有個反向代理層，來將負載平衡器的流量分配到EKS Pod。不過，摩根大通選用開源的AWS負載平衡控制器，可直接跳過反向代理層，直接將EKS Pod連到特定的負載平衡器，省下幾毫秒。</p> <p>再來，摩根大通也用VPC端點服務來存取雲端資源。在一次跨區域測試中，他們用VPC端點來存取DynamoDB資料庫資源，發現跨區域查詢效能提高了86%。另一個優化方法則是使用DynamoDB資料表，來作為大量資料尋找（lookup）使用。</p> <p>不只這3種加速方法，摩根大通還有套<strong>成本優化方法</strong>，來確保詐欺偵測平臺又快又省錢（如下圖）。在切入主題前，Raithatha先強調：「成本優化是打造平臺第一天就要做的事，你不能建好一個平臺，再回頭去降低成本。」尤其，當平臺處理高流量業務，要再降低成本是一件很困難的事。也因此，摩根大通在進行每個設計決策前，都會預留頻寬給成本分析。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202025-02-13%20175210.png" /></p> <p>第一個省錢方法是<strong>隨需使用</strong>，也就是說，開發者可根據需求架設環境，但這個環境不會24小時運作。所以，摩根大通每晚固定時間將LAMBDA函式和工作流程送入AWS帳號，然後關閉所有EKS環境，包含所有使用EC2執行個體的工作。隔天，這些環境不會自動啟用，而是由需要的開發者手動開啟。</p> <p>Raithatha以效能環境為例，團隊需要在這個環境中進行負載測試，但這個測試只會執行幾天，之後幾周便閒置了。所以，每天晚上關閉所有環境可以減少資源浪費。</p> <p>第二個省錢方法是<strong>將成本視為非功能性需求</strong>（NFR），摩根大通在每次的系統設計討論中，都會納入成本優化的討論。</p> <p>第三個方法是<strong>降低使用率不高的資源</strong>。Raithatha指出，摩根大通設置了可觀察性指標和警示功能，來檢視伺服器和資料庫的CPU、記憶體使用率趨勢。如果有執行個體未充分使用，團隊就會減少規模或資料庫的容量。</p> <p>最後一個方法是<strong>設置省錢冠軍</strong>，這是摩根大通從先前科技年會中學習到的方法，也就是鼓勵不斷提出新方法來降低成本的個人或團隊，來打造更透明的可觀察性指標，更好地監測資源使用。</p> <p></p> </div></div></div>
2025/2/13 18:56作者王若樸https://www.ithome.com.tw/news/167365
勒索軟體Kraken聲稱近期從思科竊得一批資料，該公司表示檔案來自3年前事故
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>兩、三年前資安事故外流的資料，竟在網路犯罪圈流傳，然後再拿出來兜售，或是向受害的企業組織施壓，藉此牟取經濟利益。</p> <p>根據資安新聞網站Cyber Press的報導，<a href="https://cyberpress.org/cisco-data-breach-2/">勒索軟體Kraken在暗網的網站上聲稱</a>，他們從思科的內部網路的AD環境當中，竊得經加鹽處理的密碼，這些資料包含使用者帳號名稱、唯一識別碼，以及NTLM密碼的雜湊值。對此，思科表示，這些資料來自3年前的資安事故。</p> <p>針對Kraken聲稱的內容，Cyber Press指出根據資料的格式，他們推測駭客之所以能截取這些資料，很有可能是利用Mimikatz、pwdump、hashdump等帳密挖掘工具。</p> <p>駭客竊得的帳號類型，包含了一般使用者帳號、特權帳號、服務帳號，以及AD處理使用者身分認證的預設帳號Kerberos Ticket Granting Ticket（Krbtgt）。其中，Krbtgt最值得留意，因為攻擊者一旦掌握這種帳號，<a href="https://www.ithome.com.tw/news/144403">就有機會繼續使用原本密碼雜湊值，冒用任何使用者的身分</a>。</p> <p>對於上述駭客的說法，<a href="https://www.itpro.com/security/ransomware/cisco-kraken-breach-claims">思科向科技新聞網站ITPro表示</a>，他們已得知此事，而駭客握有的帳密資料，其實來自於近三年前發生的資安事故。</p> <p>他們透露這起事故<a href="https://blog.talosintelligence.com/recent-cyber-attack/">發生在2022年5月</a>，攻擊者先是控制了思科員工的個人Google帳號，然後藉由一系列的語音網釣攻擊，成功繞過多因素驗證防護，而能存取這名員工的VPN帳號，從而進入思科內部網路環境。</p> <p>而對於攻擊者的身分，思科於8月揭露此事後，<a href="https://www.ithome.com.tw/news/152446#cisco">勒索軟體駭客組織閰羅王（Yanluowang）聲稱是他們所為</a>，並於9月傳出<a href="https://www.ithome.com.tw/news/153016#cisco">將竊得資料流入暗網</a>。</p> </div></div></div>
2025/2/13 16:58作者周峻佑https://www.ithome.com.tw/news/167360
針對Nvidia去年9月修補的Contain Toolkit重大漏洞，研究人員公布相關細節
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年9月Nivdia<a href="https://www.ithome.com.tw/news/165250">修補Container Toolkit的資安漏洞CVE-2024-0132</a>，此漏洞涉及時間檢查及時間利用（TOCTOU），發生在檢查資源狀態與使用資源間的時間差，只要在預設組態執行特定的容器映像檔，就有機會觸發，CVSS風險達到9.0。當時通報此事的資安業者Wiz表示，全球的雲端環境約有三分之一部署Nivdia Container Toolkit而曝險，影響範圍相當廣。最近Wiz公布相關細節。</p> <p>Wiz研究人員Shir Tamari、Ronen Shustin、Andres Riancho指出，<a href="https://www.wiz.io/blog/nvidia-ai-vulnerability-deep-dive-cve-2024-0132#the-vulnerability-in-a-nutshell-6">這項弱點能讓攻擊者控制容器映像檔的執行</a>，藉此從容器隔離環境逃脫，而能取得底層主機的完整存取權限，使得基礎設施及敏感資料曝露於嚴重的資安風險。</p> <p>而對於當時沒有公布細節的原因，Wiz表示是因為Nvidia產品資安事件回應團隊（PSIRT）發現，他們最初提供的修補程式無法完全緩解漏洞。對此，Wiz與Nvidia合作，並以另一個漏洞編號CVE-2025-23359（CVSS評分為8.3）追蹤能繞過修補程式的情況。最終Nvidia發布1.17.4版Container Toolkit，來徹底修補上述兩個漏洞。</p> <p>究竟這些漏洞會帶來那些影響？Wiz表示，攻擊者有機會藉此在容器掛載主機的root檔案系統，而能不受限制地存取主機所有的檔案。若是攻擊者進一步存取主機上的容器執行元件Unix socket，還能啟動具備特珠權限的容器，從而對主機徹底滲透。</p> <p>研究人員也確認多家雲端服務供應商曝露在這個漏洞的風險之中，在部分環境裡，這項弱點讓攻擊者有機會完整控制多租戶共用的Kubernete叢集。他們也對於Docker及gVisor環境，公布概念性驗證（PoC）攻擊手法。</p> </div></div></div>
2025/2/13 17:41作者周峻佑https://www.ithome.com.tw/news/167362
【資安日報】2月13日，勒索軟體駭客號稱從臺灣PCB大廠欣興電子竊得大量內部資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在農曆新年期間，有多家上市櫃公司針對資安事故發布重大訊息，若是剛好又有駭客組織聲稱對這些公司下手，很難不讓人懷疑兩者是否有所關連。</p> <p>像是近期勒索軟體駭客Sarcoma聲稱對欣興電子下手，就是典型的例子。值得留意的是，欣興電子在重訊表示遭到攻擊的是中國子公司聯能科技，但駭客直指欣興電子而來，兩者是否為相同事故？顯然有待釐清。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167342"><strong style="font-size: 22px;">勒索軟體Sarcoma聲稱攻擊PCB大廠欣興電子，竊得337 GB內部資料</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/sarcoma.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/sarcoma.jpg" style="width: 300px; float: right;" /></a></p> <p>2月1日PCB大廠欣興電子在股市公開觀測站發布重大訊息，表示位於中國的子公司聯能科技於1月30日遭受勒索軟體攻擊，但沒有透露攻擊者的身分。最近有勒索軟體駭客組織聲稱從欣興電子竊得一批資料，讓人不禁與上述的資安重訊聯想在一起。</p> <p>根據資安新聞網站Bleeping Computer的報導，名為Sarcoma的勒索軟體駭客組織宣稱他們對欣興電子（Unimicron）下手，並竊得約377 GB的SQL檔案及文件，要脅該公司必須在2月20日前進行付款，否則他們將會外流這些資料。威脅情報業者Hackmanac指出，這些駭客已公布部分資料讓買家檢驗。</p> <p>值得留意的是，雖然時間點相當接近，但駭客並未指出他們攻擊的對象，就是從資安重訊提及的子公司聯能科技。究竟兩起事故是否有關？有待進一步釐清。</p> <p><a href="https://www.ithome.com.tw/news/167356"><strong style="font-size: 22px;">有人聲稱從OpenAI竊得2千萬組帳密資料，該公司表示他們並未遭到入侵</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Screenshot-of-emirkings-post-on-BreachForums-February-9-20.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot-of-emirkings-post-on-BreachForums-February-9-20.png" style="width: 300px; float: right;" /></a>AI機器人當紅，安全性也受到重視，業者不僅要避免開發的AI模型遭到越獄而被用於助長犯罪，相關帳密資料的保護，也是外界關注的焦點。而最近一起資料外洩的事件也跟這個議題有關，可能讓人誤以為相關系統遭駭，但實際上很可能是攻擊者透過竊資軟體擷取。</p> <p>威脅情報業者Kela指出，他們看到ID名為emirking的人士於駭客論壇BreachForums當中，聲稱從OpenAI取得逾2千萬個帳號存取碼，想要尋求買主。這樣的情況引起資安圈關注，對此，OpenAI向資安新聞網站SecurityWeek透露，他們已經掌握駭客的說法，截至目前為止，尚無證據顯示這些資料的外流是因為OpenAI的系統遭到入侵所致。</p> <p>根據調查結果，Kela認為，這些駭客兜售的資料並非透過入侵OpenAI的系統而得，很有可能是遭竊資料庫的一部分。</p> <p><a href="https://www.ithome.com.tw/news/167360"><strong style="font-size: 22px;">勒索軟體Kraken聲稱近期從思科竊得一批資料，該公司表示檔案來自3年前事故</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/cisco data leak.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/cisco%20data%20leak.png" style="width: 300px; float: right;" /></a>兩、三年前資安事故外流的資料，竟在網路犯罪圈流傳，然後再拿出來兜售，或是向受害的企業組織施壓，藉此牟取經濟利益。</p> <p>根據資安新聞網站Cyber Press的報導，勒索軟體Kraken在暗網的網站上聲稱，他們從思科的內部網路的AD環境當中，竊得經加鹽處理的密碼，這些資料包含使用者帳號名稱、唯一識別碼，以及NTLM密碼的雜湊值。對此，思科表示，這些資料來自3年前的資安事故。</p> <p>針對Kraken聲稱的內容，Cyber Press指出根據資料的格式，他們推測駭客之所以能截取這些資料，很有可能是利用Mimikatz、pwdump、hashdump等帳密挖掘工具。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.darkreading.com/threat-intelligence/microsoft-russian-sandworm-apt-exploits-edge-bugs-globally">俄羅斯駭客Sandworm旗下團體發起攻擊行動BadPilot，利用已知漏洞掌握初始入侵管道</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/dprk-hackers-dupe-targets-into-typing-powershell-commands-as-admin/">北韓駭客Kimsuky發動ClickFix攻擊，利用PowerShell命令取得管理員權限，企圖植入惡意程式</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.malwarebytes.com/blog/news/2025/02/university-site-cloned-to-evade-ad-detection-distributes-fake-cisco-installer">假借提供應用程式散布惡意軟體出現新手法！有人複製大學網站聲稱提供思科VPN應用程式</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167345"><strong style="font-size: 22px;">OpenSSL修補RPK金鑰認證不良漏洞，若不處理恐被用於中間人攻擊</strong></a></p> <p>開放原始碼的密碼學程式庫套件OpenSSL相當重要，許多系統都採用與內建這項工具，開發這個套件的團隊2月11日發布資安公告，表示他們最近修補一項漏洞CVE-2024-12797，涉及未通過身分認證的伺服器在進行RFC7250交握的過程，理應被中斷連線卻沒這麼做，而有機會被利用。開發團隊已推出3.4.1、3.3.3、3.2.4版予以修補。</p> <p>這項弱點出現的原因，在於用戶端透過RFC7250原生公鑰（Raw Public Key，RPK）對伺服器進行驗證的過程中，因為在設置為SSL_VERIFY_PEER的驗證模式下，未通過身分驗證的伺服器進行交握通訊時，竟然沒有被中止連線，導致系統對這種伺服器未通過驗證的情況，難以發出通知，而且，一旦透過這種公鑰進行TLS及DTLS進行，攻擊者就有機會藉由伺服器驗證失敗的情況下，進行中間人攻擊（MitM）。</p> <p><a href="https://www.ithome.com.tw/news/167362"><strong style="font-size: 22px;">針對Nvidia去年9月修補的Contain Toolkit重大漏洞，研究人員公布相關細節</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/1739222910-4-2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1739222910-4-2.png" style="width: 300px; float: right;" /></a>去年9月Nivdia修補Container Toolkit的資安漏洞CVE-2024-0132，此漏洞涉及時間檢查及時間利用（TOCTOU），發生在檢查資源狀態與使用資源間的時間差，只要在預設組態執行特定的容器映像檔，就有機會觸發，CVSS風險達到9.0。當時通報此事的資安業者Wiz表示，全球的雲端環境約有三分之一部署Nivdia Container Toolkit而曝險，影響範圍相當廣。最近Wiz公布相關細節。</p> <p>Wiz研究人員Shir Tamari、Ronen Shustin、Andres Riancho指出，這項弱點能讓攻擊者控制容器映像檔的執行，藉此從容器隔離環境逃脫，而能取得底層主機的完整存取權限，使得基礎設施及敏感資料曝露於嚴重的資安風險。</p> <p>究竟這些漏洞會帶來那些影響？Wiz表示，攻擊者有機會藉此在容器掛載主機的root檔案系統，而能不受限制地存取主機所有的檔案。若是攻擊者進一步存取主機上的容器執行元件Unix socket，還能啟動具備特珠權限的容器，從而對主機徹底滲透。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/github-enterprise-saml-bypass-flaw-cve-2025-23369-exposed-technical-analysis-and-exploit-poc/">針對GitHub上個月修補的SAML身分驗證繞過漏洞，研究人員公布細節及概念驗證程式碼</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/google-fixes-flaw-that-could-unmask-youtube-users-email-addresses/">Google修補影音串流平臺YouTube可能曝露使用者電子郵件信箱的弱點</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/167337"><strong>【2月12日】Fortinet公布用於攻擊防火牆的身分驗證繞過漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167316"><strong>【2月11日】馬偕醫院遭勒索軟體CrazyHunter攻擊，傳出是中國駭客所為</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167297"><strong>【2月10日】150家企業組織的AD聯合身分驗證服務系統遭鎖定，駭客藉此挾持帳號</strong></a></p> </div></div></div>
2025/2/13 18:06作者周峻佑https://www.ithome.com.tw/news/167364
有人聲稱從OpenAI竊得2千萬組帳密資料，該公司表示他們並未遭到入侵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AI機器人當紅，安全性也受到重視，業者不僅要避免開發的AI模型遭到越獄而被用於助長犯罪，相關帳密資料的保護，也是外界關注的焦點。而最近一起資料外洩的事件也跟這個議題有關，可能讓人誤以為相關系統遭駭，但實際上很可能是攻擊者透過竊資軟體擷取。</p> <p>威脅情報業者Kela指出，他們看到ID名為emirking的人士於駭客論壇BreachForums當中，<a href="https://www.kelacyber.com/blog/openai-breach/">聲稱從OpenAI取得逾2千萬個帳號存取碼</a>，想要尋求買主。這樣的情況引起資安圈關注，對此，<a href="https://www.securityweek.com/openai-finds-no-evidence-of-breach-after-hacker-offers-to-sell-20m-credentials/">OpenAI向資安新聞網站SecurityWeek透露</a>，他們已經掌握駭客的說法，截至目前為止，尚無證據顯示這些資料的外流是因為OpenAI的系統遭到入侵所致。</p> <p>Kela針對駭客公布的部分資料進行分析，他們看到內容是30筆與OpenAI服務有關的帳密資料，而這些資料存在共通點，就是全部包含對auth0.openai.com進行驗證的細節。</p> <p>研究人員與Kela自家從的外流帳密資料庫進行交叉比對，研判這些資料很有可能來自竊資軟體，此外，這名買家第一篇文章的內容，也與竊資軟體的事件記錄檔案有關，強化Kela對於資料來源的推測。</p> <p>這30筆駭客提供的帳密資料，他們認為與14起竊資軟體攻擊有關，其中一起相關事故，外流的帳密資料多達1.18億筆。</p> <p>而對於用來竊取這些資料的竊資軟體，涵蓋RedLine、RisePro、StealC、Lumma、Vidar等惡名昭彰的惡意程式。這些竊資軟體感染受害電腦的時間，大致從2023年10月12日至2024年7月28日，其中在去年1月至4月最為嚴重。</p> <p>值得留意的是，註冊這些帳號的電子郵件信箱，超過三分之二（23個）也被拿來申請其他服務的帳號，代表這些資料很可能是透過竊資軟體搜括受害電腦而得。同時，研究人員也看到不同攻擊者的機器人收集的內容特徵。</p> <p>根據上述的調查，Kela認為，這些駭客兜售的資料並非透過入侵OpenAI的系統而得，很有可能是遭竊資料庫的一部分。</p> </div></div></div>
2025/2/13 15:47作者周峻佑https://www.ithome.com.tw/news/167356
OpenSSL修補RPK金鑰認證不良漏洞，若不處理恐被用於中間人攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開放原始碼的密碼學程式庫套件OpenSSL相當重要，許多系統都採用與內建這項工具，開發這個套件的團隊2月11日發布資安公告，<a href="https://openssl-library.org/news/secadv/20250211.txt">表示他們最近修補一項漏洞CVE-2024-12797</a>，涉及未通過身分認證的伺服器在進行RFC7250交握的過程，理應被中斷連線卻沒這麼做，而有機會被利用。開發團隊已推出3.4.1、3.3.3、3.2.4版予以修補。</p> <p>這項弱點出現的原因，在於用戶端透過RFC7250原生公鑰（Raw Public Key，RPK）對伺服器進行驗證的過程中，因為在設置為SSL_VERIFY_PEER的驗證模式下，未通過身分驗證的伺服器進行交握通訊時，竟然沒有被中止連線，導致系統對這種伺服器未通過驗證的情況，難以發出通知，而且，一旦透過這種公鑰進行TLS及DTLS進行，攻擊者就有機會藉由伺服器驗證失敗的情況下，進行中間人攻擊（MitM）。</p> <p>OpenSSL開發團隊也提到，CVE-2024-12797僅出現在特定狀況：伺服器明確要求TLS用戶端使用RPK進行驗證。附帶一提的是，OpenSSL於3.2版開始導入RPK支援，因此更早之前的版本，如3.1及3.0版，並不受此漏洞影響。</p> </div></div></div>
2025/2/13 14:28作者周峻佑https://www.ithome.com.tw/news/167345
數發部開放更多衛星可用頻段，首次開放衛星行動通信可用頻段
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>數發部修訂無線電頻率供應計畫，首次新增衛星行動通信使用頻段，並增加更多衛星固定通信使用頻段，盼吸引國際衛星服務落地，以提升我國的數位韌性，並帶動衛星產業發展。</p> <p>此次修訂的無線電頻率供應計畫，首次開放7項頻段供電信業者申請設置使用衛星行動通信，以及8項頻段供電信業者申請設置使用衛星固定通信，同時也將現行頻段使用年限從2年最多延長到5年。數發部預期供應計畫修訂生效後，在今年第2季前完成頻率申請、收費規則調整後受理外界申請。</p> <p>數發部指出，隨著衛星通訊技術的成熟，中、低軌衛星通訊普及，衛星可成為偏遠地區提供無線通訊網路覆蓋，此次供應計畫修訂，確保既有頻率使用者權益下，首次開放衛星行動通信使用頻段，增加衛星固定通信使用頻段，其中衛星行動通信頻段的開放，可支援Thuraya、Inmarsat、Eutelsat、SES等16個國際衛星服務落地申請，而增加的衛星固定通信頻段，加上原本已開放的4個頻段，共開放12項頻段，可供Starlink、OneWeb等國際衛星星系落地申請。</p> <p>相較於數發部與電信技術中心、中華電信合作，以衛星固定通信驗證強化我國通訊網路韌性。這次新開放的衛星行動通信使用頻段，可讓移動中的車、船、飛機等交通工具使用衛星行動通信，也包括移動中的個人可使用，例如在手機行動通訊網路、WiFi訊號缺乏的偏遠地區，使用支援衛星通訊功能的手機連接衛星通訊，發送即時訊息、定位或緊急求救訊息等等。</p> <p>數發部表示，此次開放頻段涵蓋國際上重要的衛星通訊所使用頻段，除了希望提升我國數位韌性增加選項之外，預期也能帶動相關衛星通訊產業發展。此次開放頻段主要參考ITU國際電信聯盟的頻段規畫，以及國際衛星服務使用頻段，未來會持續依據國際頻段規畫發展作動態調整。</p> </div></div></div>
2025/2/13 15:46作者蘇文彬https://www.ithome.com.tw/news/167349
勒索軟體Sarcoma聲稱攻擊PCB大廠欣興電子，竊得337 GB內部資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2月1日PCB大廠欣興電子在股市公開觀測站<a href="https://www.ithome.com.tw/news/167185#pcb">發布重大訊息</a>，表示位於中國的子公司聯能科技於1月30日遭受勒索軟體攻擊，但沒有透露攻擊者的身分。最近有勒索軟體駭客組織聲稱從欣興電子竊得一批資料，讓人不禁與上述的資安重訊聯想在一起。</p> <p><a href="https://www.bleepingcomputer.com/news/security/sarcoma-ransomware-claims-breach-at-giant-pcb-maker-unimicron/">根據資安新聞網站Bleeping Computer的報導</a>，名為Sarcoma的勒索軟體駭客組織宣稱他們對欣興電子（Unimicron）下手，並竊得約377 GB的SQL檔案及文件，要脅該公司必須在2月20日前進行付款，否則他們將會外流這些資料。威脅情報業者Hackmanac指出，<a href="https://x.com/H4ckManac/status/1889263458266317099">這些駭客已公布部分資料讓買家檢驗</a>。</p> <p>值得留意的是，雖然時間點相當接近，但駭客並未指出他們攻擊的對象，就是從資安重訊提及的子公司聯能科技。究竟兩起事故是否有關？有待進一步釐清。</p> <p>針對這些駭客的來歷，資安業者Rapid7指出Sarcoma<a href="https://x.com/rapid7/status/1857090308296630438">在去年10月竄起</a>，當時該組織聲稱攻擊了36家企業組織，數量僅次於RansomHub、LockBit；專精工控安全的資安業者Dragos指出，<a href="https://www.dragos.com/blog/dragos-industrial-ransomware-analysis-q3-2024/">Sarcoma是工業環境的新興威脅</a>。</p> <p><a href="https://redpiranha.net/news/threat-intelligence-report-october-8-october-14-2024">資安業者Red Piranha指出</a>，這些駭客通常透過釣魚郵件接觸受害組織，利用尚未修補的已知漏洞對受害組織進行未經授權存取，一旦成功入侵網路環境，就會進行橫向移動，並透過遠端桌面連線（RDP）存取特定電腦。</p> </div></div></div>
2025/2/13 11:40作者周峻佑https://www.ithome.com.tw/news/167342
博通第7代FC交換器進入最終階段，推出入門款24埠機型
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/brocade_g710_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://investors.broadcom.com/news-releases/news-release-details/broadcom-unveils-industrys-first-gen-7-64gbs-fibre-channel">在2020年9月</a>，博通（Broadcom）旗下的Brocade光纖通道網路（FC）交換器平臺邁入第7代，可用於儲存區域網路（SAN），標榜64Gb/s光纖通道網路的規格（64Gb FC，簡稱64GFC），推出兩款交換器：<a href="https://www.ithome.com.tw/review/158745">Brocade X7 Director</a>、Brocade G720，分別透過14U尺寸模組化機箱提供384個64GFC網路埠，以及1U尺寸機箱提供56個64GFC網路埠。在2022年2月，該公司接續發表<a href="https://www.ithome.com.tw/review/149460">G730</a>，以2U尺寸機箱提供128個64GFC網路埠，主打高密度光纖網路配置。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Brocade Gen 7-overview.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Brocade%20Gen%207-overview.png" style="width: 600px;" /></a></p> <p>到了今年1月，Broadcom推出入門級第7代光纖通道網路交換器機型：Brocade G710，以1U尺寸機箱提供8至24個64GFC網路埠，總頻寬為1.5 Tb/s，主打低成本、可因應最嚴苛的應用程式與儲存系統存取需求，是專為小型至中型企業環境應用需求而設置的產品。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Broadcon Brocade G710-announced.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Broadcon%20Brocade%20G710-announced.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Brocade FC Switch Portfolio.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Brocade%20FC%20Switch%20Portfolio.jpg" style="width: 398px;" /></a></p> <p>相較於第6代光纖通道網路交換器，G710與先前推出的X7 Director、G720、G730一樣，存取延遲均可降低50％（460 ns vs. 低於780 ns）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Brocade%20Gen%206%20and%20Gen%207.jpg" style="width: 600px;" /></p> <p>而且，G710整臺設備在典型組態與運作狀態的耗電量，最低可到65瓦（使用12個64GFC埠、網路流量使用率50％，搭配64G短波長雷射收發器），因此，Broadcom認為，這款產品是業界能源使用效率最高的光纖網路交換器。</p> <p>雖然屬於入門級款式，可能有些企業會擔心耐用度，Broadcom針對這這款機型有一份平均故障間隔（MTBF）報告，號稱可用度達到6個9（99.9999％），並強調其具有自我修復、自我調校等機制，能確保網路持續運作與維持傳輸效能。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Brocade Gen 7.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Brocade%20Gen%207.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Analytics%20and%20Automation%20Capabilities%20that%20Eliminate%20Complexity%20and%20Save%20Money.jpg" style="width: 600px;" /></p> <p> </p> <p>關於資安防護的能力上，G710也秉持Brocade光纖通道網路交換器第7代平臺的既有特色，採用具有網路安全韌性（cyber-resilient）的架構設計，能夠為企業重要資料與應用系統提供強健、高階的保護能力，當中透過伺服器與儲存系統的存取列管（controlled access），以及網路隔離等手段，強化儲存網路流量的安全性，有效預防資料遭到非法使用者存取。</p> <p>同時，這批交換器本身也搭配安全性強固的作業系統Brocade Fabric OS（FOS），以及硬體信任根的驗證，盡可能縮減惡意軟體與綁架攻擊濫用潛在資安漏洞的機會。例如，FOS提供安全開機，以及Brocade Trusted FOS （TruFOS）Certificates，驗證Brocade交換器硬體與軟體的完整性與安全性。</p> <p>Broadcom表示，FOS本身已移除超級管理者root的存取，所用的SSL憑證，也透過SAN集中管理系統SANnav Management Portal進行自動發放；至於TruFOS Certificates，可針對Brocade光纖通道網路交換器提供作業系統防竄改的能力。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Cyber-Resilient%20Architecture%20for%20Applications%20and%20Data%20You%20Care%20About-3-Switch.jpg" style="width: 600px;" /></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong><span style="color:#0000FF;">Brocade G710</span></strong><br /> ●原廠：Broadcom<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：1U<br /> ●網路埠：8至24個64 Gb SFP+埠<br /> ●網路埠速度：自動感應8、10、16、32、64Gb，全雙工線速各為8.5 Gb/s、14.025Gb/s、28.05Gb/s、57.8Gb/s<br /> ●總傳輸頻寬：1,536 Tb/s<br /> ●傳輸延遲：最大460 ns<br /> ●收發器：SFP+ LC<br /> ●擴展能力：最大239臺交換器</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/2/13 12:09作者李宗翰https://www.ithome.com.tw/review/167261
OpenAI將推出GPT-4.5，o3整合到GPT家族以簡化產品線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI執行長Sam Altman 昨（12）日 <a href="https://x.com/sama/status/1889755723078443244" target="_blank">公告</a>將推出GPT-4.5，以及產品線整併的計畫，為減少用戶的混淆，最新的推理模型o3產品線未來整併到GPT家族中，未來不會再單獨推出。</p> <p>Altman昨日指出，OpenAI不但要改善產品藍圖的說明，也要簡化產品線。OpenAI體認到其模型及產品愈變愈複雜，也和使用者一樣不喜歡模型選擇器，希望回歸到威力強大的統合智慧（unified intelligence）。</p> <p>他預告，接下來OpenAI即將推出工程代號Orion的GPT-4.5，這將是該公司最後一個非思維鏈的模型。之後，o系列和GPT系列模型將整併於一成為一套系統，能使用OpenAI所有工具，知道何時要啟用長時間思考、何時不用，而且對多種任務都能發揮作用。</p> <p>下一階段，OpenAI將推出GPT-5，它將整合多項技術，包括o3，未來不會再單獨推出o3服務。這可能意謂2月初發布的<a href="https://www.ithome.com.tw/news/167177" target="_blank">o3-mini</a>是唯一問世的o3模型。</p> <p>一如之前版本，GPT-5將部署到ChatGPT與API。免費版本ChatGPT用戶也可以在標準設定中無上限使用，但仍受到防範濫用的節流閥控管。Plus用戶將能在GPT-5中以高思維等級執行任務。Pro方案則可獲得更高等級思維能力。</p> <p>下一旗艦模型GPT-5將提供語音、工作區（canvas）、深度研究等新的能力。</p> <p>OpenAI的計畫變更，可能與中國DeepSeek興起有關。DeepSeek模型的低成本高效能引起OpenAI、Google等AI巨擘的重視，Altman 1月底受訪時<a href="https://www.businessinsider.com/sam-altman-openai-release-better-models-in-response-to-deepseek-2025-1" target="_blank">表示</a>，將跳過一些開發版本公布以加快產品推出。</p> </div></div></div>
2025/2/13 09:35作者林妍溱https://www.ithome.com.tw/news/167339
Swift官方接手社群VS Code擴充套件，全力投入跨平臺開發支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Swift官方團隊正式在VS Code推出<a href="https://www.swift.org/blog/vscode-swift-2/">全新Swift擴充套件</a>，取代原先由社群維護的版本，提供更完整的語言支援與開發體驗，涵蓋程式碼完成、錯誤提示、測試管理與除錯功能，並整合CodeLLDB以支援Swift程式的除錯需求。此擴充套件已上架VS Code擴充功能市集，使用者可直接安裝，原有的非官方版本將自動停用，以確保無縫過渡。</p> <p>Swift在VS Code的語言支援最早由Swift Server Working Group（SSWG）推動，目標是讓開發者能夠在macOS、Linux和Windows平臺使用Swift開發應用程式，涵蓋伺服器端、嵌入式系統與跨平臺應用。隨著官方接手並將專案轉移至GitHub的swiftlang組織，新版本擴充套件的維護與更新將由Swift官方團隊主導，提供更穩定且全面的支援。</p> <p>新版擴充套件的核心功能圍繞SourceKit-LSP提供的語言服務，包括程式碼完成、跳轉至定義、符號搜尋與錯誤標註，並透過CodeLLDB啟用完整的除錯支援，讓開發者能夠直接在VS Code內進行Swift應用程式的建置、測試與執行。此外，擴充套件內建Swift套件管理相關功能，能夠解析與管理套件相依性，並提供自動建置與測試的工作流程。</p> <p>原本已在VS Code使用舊版Swift擴充套件的開發者，不需要手動設定遷移，系統會自動以新的官方擴充套件取代舊版。</p> <p>近年來，Swift的發展重心之一是跨平臺支援，官方團隊除了持續改進Linux版Swift，也積極強化Windows版本，並推進Swift在伺服器端與嵌入式應用上的可用性。近期，<a href="https://www.ithome.com.tw/news/167182" target="_blank">Apple開源Xcode的建置引擎Swift Build</a>，其目標正是進一步提升Swift的跨平臺開發體驗，而現在官方正式支援Swift擴充套件，更進一步展現了Swift團隊對跨平臺開發生態的投入。</p> <p>VS Code擁有高度客製化能力與龐大用戶群，隨著Swift官方擴充套件的推出，開發者能夠在更一致的開發環境下撰寫與測試Swift程式，進一步擴展Swift的應用範圍。Swift團隊也鼓勵開發者回報擴充套件錯誤並提出新功能建議，未來將持續更新版本，讓Swift在VS Code上的開發體驗更貼近開發者需求。</p> </div></div></div>
2025/2/13 08:51作者李建興https://www.ithome.com.tw/news/167336
【資安日報】2月12日，Fortinet公布用於攻擊防火牆的身分驗證繞過漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這個星期二是許多科技業者發布本月份例行更新的日子，但資安業者Fortinet一個月前發布的公告突然更新內容，引起各界更高度的關注。</p> <p>為何如此？原因是這則公告與資安業者Arctic Wolf揭露的防火牆攻擊事故有關，但為何會事隔一個月才公告新漏洞？Fortinet表示，當時他們並未察覺攻擊者利用第二個漏洞的跡象。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167334"><strong style="font-size: 22px;">Fortinet公布已被用於攻擊防火牆的新漏洞，上網安全閘道也曝險</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/u6CxWPniLR.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/u6CxWPniLR.jpg" style="width: 300px; float: right;" /></a>今年1月中旬資安業者Fortinet發布資安公告FG-IR-24-535，指出部分版本的防火牆作業系統FortiOS、上網安全閘道FortiProxy存在漏洞CVE-2024-55591，且有實際攻擊行動出現。外界根據Fortinet透露的入侵指標（IoC），認為攻擊行動就是資安業者Arctic Wolf揭露的Console Chaos。如今Fortinet再度更新公告的內容，引起外界關注。</p> <p>Fortinet指出，除了先前揭露的CVE-2024-55591，還有另一個漏洞CVE-2025-24472也被用於攻擊行動，此為身分驗證繞過漏洞，影響執行7.0.0至7.0.16版FortiOS作業系統的防火牆，以及7.0.0至7.0.19版、7.2.0至7.2.12版網頁安全閘道FortiProxy，CVSS風險評為8.1。攻擊者可發出特製的CSF（Fortinet Security Fabric）代理伺服器請求，遠端利用這項漏洞，而有機會得到超級管理員權限。此漏洞之所以得以揭露，Fortinet也註明是源自另一家資安業者watchTowr的通報。</p> <p><a href="https://www.ithome.com.tw/news/167325"><strong style="font-size: 22px;">微軟發布二月例行更新，修補4個零時差漏洞</strong></a></p> <p>2月11日微軟發布本月例行更新（Patch Tuesday），總共修補63項弱點，數量較上個月159個減少許多。這次修補的漏洞當中，包含20個權限提升漏洞（EoP）、2個安全功能繞過漏洞、25個遠端程式碼執行（RCE）漏洞、1個資訊洩露漏洞、9項阻斷服務（DoS）漏洞，1個可被用於竄改的漏洞，以及5項可被用於欺騙的漏洞。</p> <p>值得留意的是，這次有4個是零時差漏洞，有兩個被用於攻擊行動，皆被列為高風險等級，CVSS風險分別為7.1、7.8，分別是：Windows儲存權限提升漏洞CVE-2025-21391，以及適用於WinSock的Windows附屬功能驅動程式（Ancillary Function Driver，AFD）權限提升漏洞CVE-2025-21418，美國網路安全暨基礎設施安全局（CISA）已將它們納入遭到利用的漏洞列表（KEV），要求聯邦機構必須在3月4日之前完成修補。</p> <p>另外兩項被列為零時差漏洞的是CVE-2025-21377、CVE-2025-21194，這些漏洞在微軟發布公告前已遭到公開，CVSS風險為6.5、7.1。</p> <p><a href="https://www.ithome.com.tw/news/167332"><strong style="font-size: 22px;">SAP發布2月例行更新，修補19項資安漏洞</strong></a></p> <p>本週SAP發布二月份例行更新，總共修補19項新漏洞，並對兩則先前發布的公告調整內容，這次該公司修補的範圍，涵蓋商業智慧平臺BusinessObjects、供應鏈關係管理平臺SRM、Node.js程式庫Approuter、資料整合平臺Enterprise Project Connection、記憶體資料庫HANA等應用系統及元件。</p> <p>根據CVSS風險評分高低，最嚴重的是評為8.7分的CVE-2025-0064，此為授權不當造成的弱點，出現在BusinessObjects的集中管理主控臺，取得管理員權限的攻擊者可在特定情況下取得或產生密碼片語（passphrase），而能假冒任意使用者，從而高度影響機密性及完整性。</p> <p>另一個相當嚴重的漏洞是CVE-2025-25243，此漏洞發生在SRM，為路徑穿越漏洞，危險程度達到8.6。未經授權的攻擊者可藉由公開的Servlet程式，於目標網路環境下載任意檔案，過程裡完全不須使用者互動。</p> <p><a href="https://www.ithome.com.tw/news/167310"><strong style="font-size: 22px;">WordPress管理流程強化外掛存在高風險漏洞，逾10萬網站恐曝險</strong></a></p> <p>WordPress是相當受歡迎的網站內容管理平臺，外掛程式眾多，但每一套工具的軟體資安防護再嚴密，也總有疏漏，因此，不時傳出被研究人員或駭客找到資安漏洞的消息，這次出包的外掛程式是用於改善網站管理員工作流程的Admin and Site Enhancements（ASE），安裝數超過10萬，根據資安業者Patchstack的揭露，當中存在高風險漏洞CVE-2024-43333、CVE-2025-24648，影響7.6.2.1以下版本，且無論免費版本、付費的專業版本都受到影響。</p> <p>研究人員去年12月通報此事，開發者發布更新版本7.6.3修補，由於這項外掛程式有超過10萬個網站採用，若不處理影響範圍可能相當廣泛。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/high-severity-openssl-vulnerability-found-by-apple-allows-mitm-attacks/">OpenSSL存在高風險漏洞，若不處理恐被用於中間人攻擊</a></strong></p> <p></p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/openai-finds-no-evidence-of-breach-after-hacker-offers-to-sell-20m-credentials/">有人聲稱從OpenAI竊得2千萬組帳密資料，該公司表示他們並未遭到入侵</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/omnigpt-ai-chatbot-breach-hacker-leak-user-data-messages/">AI機器人OmniGPT驚傳資料外洩，駭客聲稱握有3萬用戶個資、3,400萬筆聊天記錄</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/cisco-rejects-kraken-ransomware-data-breach-claim/">勒索軟體Kraken聲稱近期從思科竊得一批資料，該公司表示檔案來自3年前事故</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.ithome.com.tw/news/167327">2025年2月馬偕醫院遭勒索軟體攻擊事件歷程總整理（持續更新中）</a></strong></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167335"><strong style="font-size: 22px;">微軟宣布AI機器人Copilot的漏洞懸賞專案加碼，新增抓漏範圍、鼓勵通報中度風險弱點</strong></a></p> <p>為強化AI的安全性，上週微軟宣布調整AI機器人Copilot的漏洞懸賞專案內容，擴大挖掘漏洞的範圍，並提高部分漏洞的獎金額度。</p> <p>原本這項漏洞懸賞專案的抓漏範圍，主要是針對Windows作業系統與Edge整合的Copilot應用程式、搜尋引擎Bing整合的生成式搜尋功能，以及行動裝置版Copilot應用程式。而這次微軟延伸抓漏的對象，包括即時通訊軟體Telegram、WhatsApp上的Copilot機器人，以及Copilot網頁版copilot.microsoft.com、copilot.ai。</p> <p>為何要擴大漏洞懸賞範圍？微軟認為，中度風險的弱點也可能對Copilot的安全性及可靠性，產生嚴重影響，因此他們也將這類層級的漏洞獎金上限增加為5千美元，藉此鼓勵AI資安研究人員通報相關漏洞。</p> <p><strong style="font-size: 22px;">其他資安防禦措施</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/02/8base-ransomware-data-leak-sites-seized.html">美英等12國執法單位聯手，拿下勒索軟體8Base的資料洩露網站、逮捕4名嫌犯</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/167316"><strong>【2月11日】馬偕醫院遭勒索軟體CrazyHunter攻擊，傳出是中國駭客所為</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167297"><strong>【2月10日】150家企業組織的AD聯合身分驗證服務系統遭鎖定，駭客藉此挾持帳號</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167283"><strong>【2月8日】多家資安業者揭露中國AI工具DeepSeek，美國擬禁政府公務設備使用</strong></a></p> </div></div></div>
2025/2/12 18:31作者周峻佑https://www.ithome.com.tw/news/167337
微軟宣布AI機器人Copilot的漏洞懸賞專案加碼，新增抓漏範圍、鼓勵通報中度風險弱點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為強化AI的安全性，上週微軟<a href="https://msrc.microsoft.com/blog/2025/02/exciting-updates-to-the-copilot-ai-bounty-program-enhancing-security-and-incentivizing-innovation/">宣布調整AI機器人Copilot的漏洞懸賞專案內容</a>，擴大挖掘漏洞的範圍，並提高部分漏洞的獎金額度。</p> <p>原本這項漏洞懸賞專案的抓漏範圍，主要是針對Windows作業系統與Edge整合的Copilot應用程式、搜尋引擎Bing整合的生成式搜尋功能，以及行動裝置版Copilot應用程式。而這次微軟延伸抓漏的對象，包括即時通訊軟體Telegram、WhatsApp上的Copilot機器人，以及Copilot網頁版copilot.microsoft.com、copilot.ai。</p> <p>為何要擴大漏洞懸賞範圍？微軟認為，中度風險的弱點也可能對Copilot的安全性及可靠性，產生嚴重影響，因此他們也將這類層級的漏洞獎金上限增加為5千美元，藉此鼓勵AI資安研究人員通報相關漏洞。</p> </div></div></div>
2025/2/12 17:48作者周峻佑https://www.ithome.com.tw/news/167335
2025年2月馬偕醫院遭勒索軟體攻擊事件歷程總整理（持續更新中）
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong><span style="background-color:#FFFF00;">事件說明 </span></strong>2025年2月9日（週日）~11日（週二），馬偕紀念醫院傳出連續數日遭勒索軟體攻擊的事件。</p> <p>衛生福利部資安資訊分享與分析中心（H-ISAC）在2月11日發布警訊，說明有醫院遭受勒索軟體CrazyHunter攻擊，請各院加強戒備，衛生福利部資訊處處長李建璋亦表示確有此事，且因為駭客揚言將持續對醫院發動攻擊，因此衛福部已與資安署合作成立快速反應小組，進駐馬偕醫院，以協助因應持續到來的攻擊，特別的是，這次也是衛福部與資安署的首次合作。</p> <p>馬偕紀念醫院亦在11日下午發布這次事件新聞稿，說明該院在2月9日發現系統異常，當下啟動應變機制、通報衛福部H-ISAC、向調查局臺北市調查處報案，並說明這次遭受駭客攻擊影響範圍主要是臺北淡水兩區急診室。</p> <p> </p> <h3><strong><span style="background-color:#ADD8E6;">受害狀況/影響 </span></strong></h3> <p>根據消息人士說明，馬偕醫院受影響電腦多達600多臺，攻擊者並留下勒索贖金的訊息，事故因應從2月9日（週日）開始。</p> <p>衛福部在2月11日發布新聞，關於臺灣北部醫學中心遭受勒索軟體攻擊，攻擊的形式為加密醫院個人檔案，讓病患資料無法開啟，電腦病毒陸續蔓延，導致醫院門診看急診系統500多臺電腦當機。</p> <p>馬偕醫院2月11日發布聲明稿，該院指出：2月9日發現系統異常已經應變、通報與報案，初步調查顯示，影響範圍主要為北淡兩區急診室，因即時應變得宜，當日已恢復正常，目前未有病人個資外洩之虞，醫療作業均正常運作。</p> <p style="margin: 0px;"> </p> <h3><strong><span style="background-color:#ADD8E6;">受害原因 </span></strong></h3> <p>攻擊者的入侵管道尚未得知，但初步調查結果中，已揭露攻擊過程中採用的手法。</p> <p>衛生福利部資訊處處長李建璋在2月11日表示，這次網路攻擊事件的確是遭CrazyHunter勒索軟體攻擊，攻擊者在入侵過程中會從AD管道下手，透過弱密碼嘗試取得帳號權限，進而大範圍發動勒索加密攻擊。</p> <p>根據H-ISAC在2月11日的公告內容中指出，目前已知攻擊路徑為AD主機並派送惡意程式，惡意程式名稱如下：(1)bb.exe，(2)crazyhunter.exe，(3)crazyhunter.sys，(4)zam64.sys，(5)go3.exe，(6)go。</p> <p> </p> <h3><strong><span style="background-color:#ADD8E6;">勒索軟體／惡意軟體分析</span></strong><span style="background-color:#ADD8E6;"> </span></h3> <p>●衛福部提供：</p> <table border="0" cellpadding="0" cellspacing="0" style="width:657px;" width="657"> <colgroup> <col /><br /> <col /><br /> </colgroup> <tbody> <tr height="23"> <td height="23" style="height:23px;width:112px;">檔案名稱</td> <td style="width:545px;">SHA256 Hash</td> </tr> <tr height="23"> <td height="23" style="height:23px;">av-1m.exe</td> <td>EE854E9F98D0DF34C34551819889336C16B9BFE76E391356CB17B55D59CF28CF</td> </tr> <tr height="23"> <td height="23" style="height:23px;">av.exe</td> <td>3B2081042038C870B1A52C5D5BE965B03B8DD1C2E6D1B56E5EBB7CF3C157138D </td> </tr> <tr height="23"> <td height="23" style="height:23px;">bb.exe</td> <td>2CC975FDB21F6DD20775AA52C7B3DB6866C50761E22338B08FFC7F7748B2ACAA </td> </tr> <tr height="23"> <td height="23" style="height:23px;">crazyhunter.exe</td> <td>F72C03D37DB77E8C6959B293CE81D009BF1C85F7D3BDAA4F873D3241833C146B</td> </tr> <tr height="23"> <td height="23" style="height:23px;">crazyhunter.sys</td> <td>5316060745271723C9934047155DAE95A3920CB6343CA08C93531E1C235861BA</td> </tr> <tr height="23"> <td height="23" style="height:23px;">go.exe</td> <td>754D5C0C494099B72C050E745DDE45EE4F6195C1F559A0F3A0FDDBA353004DB6</td> </tr> <tr height="23"> <td height="23" style="height:23px;">go2.exe</td> <td>983F5346756D61FEC35DF3E6E773FF43973EB96AABAA8094DCBFB5CA17821C81</td> </tr> <tr height="23"> <td height="23" style="height:23px;">go3.exe</td> <td>F72C03D37DB77E8C6959B293CE81D009BF1C85F7D3BDAA4F873D3241833C146B</td> </tr> <tr height="23"> <td height="23" style="height:23px;">ru.bat</td> <td>15160416EC919E0B1A9F2C0DC8D8DC044F696B5B4F94A73EC2AC9D61DBC98D32</td> </tr> <tr height="23"> <td height="23" style="height:23px;">ru.bat</td> <td>731906E699ADDC79E674AB5713C44B917B35CB1EABF11B94C0E9AD954CB1C666</td> </tr> <tr height="23"> <td height="23" style="height:23px;">zam64.sys</td> <td>2BBC6B9DD5E6D0327250B32305BE20C89B19B56D33A096522EE33F22D8C82FF1</td> </tr> <tr height="23"> <td height="23" style="height:23px;">zam64.sys</td> <td>BDF05106F456EE56F97D3EE08E9548C575FC3188AC15C5CE00492E4378045825</td> </tr> <tr height="23"> <td height="23" style="height:23px;">ta.bat</td> <td>527ED180062E2D92B17FF72EA546BB5F8A85AD8B495E5B0C08B6637B9998ACF2</td> </tr> <tr height="23"> <td height="23" style="height:23px;">CrazeHunter.zip</td> <td>D202B3E3E55DF4E424F497BA864AB772BAAF2B8FE10B578C640477F8A8A8610C</td> </tr> </tbody> </table> <p>●資安業者Any.Run分析資訊：</p> <p><span jsaction="rcuQ6b:npT2md;PYDNKe:bLV6Bd;mLt3mc" jscontroller="msmzHf"><a class="zReHs" data-sb="/url?sa=t&source=web&rct=j&opi=89978449&url=https://any.run/report/bdfc66266a2a19fc3d5dccef3eefe4c0ee928ba5b7abad60bc320218b2082fea/c85587f9-3782-4ebd-8204-b0e921374679&ved=2ahUKEwib3baq4b2LAxUScfUHHVWtEZcQFnoECBsQAQ&usg=AOvVaw2PvXOO4NTA7Y6HTZCTyD7y" data-ved="2ahUKEwib3baq4b2LAxUScfUHHVWtEZcQFnoECBsQAQ" href="https://any.run/report/bdfc66266a2a19fc3d5dccef3eefe4c0ee928ba5b7abad60bc320218b2082fea/c85587f9-3782-4ebd-8204-b0e921374679" jsname="UWckNb">Malware analysis bb2.zip Malicious activity</a></span></p> <p>●資安業者奧義智慧提供：</p> <table border="0" cellpadding="0" cellspacing="0" style="width:399px;" width="398"> <colgroup> <col /><br /> <col /><br /> </colgroup> <tbody> <tr height="23"> <td height="23" style="height:23px;width:117px;">檔案名稱</td> <td style="width:281px;">MD5</td> </tr> <tr height="23"> <td height="23" style="height:23px;width:117px;">aa.exe / cc.exe</td> <td dir="LTR" style="width:281px;">7f05a928c77cb87ffb510168c1b0b11b<wbr></wbr></td> </tr> <tr height="23"> <td height="23" style="height:23px;width:117px;">bb.exe</td> <td style="width:281px;">9fe3322dd4fc35d1ed510bf715dae814<wbr></wbr></td> </tr> <tr height="24"> <td dir="LTR" height="24" style="height:24px;width:117px;">hunter.exe </td> <td dir="LTR" style="width:281px;">5e560ea46fa48188cc8768c7e03294d0<wbr></wbr></td> </tr> <tr height="23"> <td height="23" style="height:23px;width:117px;">crazyhunter.exe</td> <td style="width:281px;">6a70c22a5778eaa433b6ce44513068da<wbr></wbr></td> </tr> <tr height="23"> <td height="23" style="height:23px;width:117px;">crazyhunter.sys</td> <td style="width:281px;">906e89f6eb39919c6d12a660b68ae81f<wbr></wbr></td> </tr> <tr height="23"> <td height="23" style="height:23px;width:117px;">file.exe</td> <td style="width:281px;">b7a812586c037ca8d41968842a211b8a<wbr></wbr></td> </tr> <tr height="23"> <td height="23" style="height:23px;width:117px;">go.exe</td> <td style="width:281px;">ca257aaa1ded22ca22086b9e95cb456d<wbr></wbr></td> </tr> <tr height="23"> <td height="23" style="height:23px;width:117px;">go2.exe</td> <td style="width:281px;">da1a93627cec6665ae28baaf23ff27c5<wbr></wbr></td> </tr> <tr height="23"> <td height="23" style="height:23px;width:117px;">zam64.sys</td> <td style="width:281px;">2a3ce41bb2a7894d939fbd1b20dae5a0<wbr></wbr></td> </tr> <tr height="23"> <td height="23" style="height:23px;width:117px;">gpo.exe</td> <td style="width:281px;">9e45ab7d2d942a575b2f902cccfb3839<wbr></wbr></td> </tr> <tr height="23"> <td height="23" style="height:23px;width:117px;">ru.bat</td> <td style="width:281px;">f45cc69f74f75a707a02d26ccd912845<wbr></wbr></td> </tr> </tbody> </table> <p> </p> <h3><strong><span style="background-color:#ADD8E6;">官方公開資訊 </span></strong></h3> <p>●<a href="https://hisac.nat.gov.tw/news?265">H-ISAC公告近期部分醫院遭勒索病毒攻擊，請各院加強戒備</a>（2025-02-11）</p> <p>●<a href="https://hisac.nat.gov.tw/news?266">H-ISAC公告：台灣微軟公司免費提供3個月端點偵測與回應防護平台(EDR)申請表</a>（2025-02-11）</p> <p>●<a href="https://www.mohw.gov.tw/cp-7181-81490-1.html">衛生福利部公告：Team Taiwan衛福部資訊處與資安署聯合防禦國際駭客勒索軟體</a>（2025-02-11）</p> <p>●<a href="https://s4.itho.me/sites/default/files/images/2025-02-11%E9%A6%AC%E5%81%95%E9%86%AB%E9%99%A2%E8%81%B2%E6%98%8E%E7%A8%BF.jpg">馬偕紀念醫院聲明稿</a>（2025-02-11）</p> <p> </p> <h3><strong><span style="background-color:#ADD8E6;">事件時間軸</span></strong> </h3> <p><strong><span style="background-color:#FFA07A;">2025-02-09</span></strong> 馬偕醫院在週日遭受勒索軟體攻擊，該院立即啟動應變機制、通報衛福部H-ISAC、向調查局臺北市調查處報案。</p> <p><strong><span style="background-color:#FFA07A;">2025-02-09</span></strong> <a href="https://www.facebook.com/mama.hei2/posts/9430948700258732">有網友在下午1時38分在臉書發文表示：「淡水馬偕系統大當機2小時，無法出入院」</a></p> <p><a href="https://s4.itho.me/sites/default/files/images/(圖3)淡水馬偕醫院2月9日.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E5%9C%963)%E6%B7%A1%E6%B0%B4%E9%A6%AC%E5%81%95%E9%86%AB%E9%99%A22%E6%9C%889%E6%97%A5.jpg" style="width: 600px;" /></a></p> <p><strong><span style="background-color:#FFA07A;">2025-02-10</span></strong> 馬偕醫院週一再度遭受勒索軟體攻擊。</p> <p><strong><span style="background-color:#FFA07A;">2025-02-11</span></strong> 11日上午，醫院遭網路攻擊事件首度曝光於媒體，一早有信傳媒報導，新聞標題是：［有台北知名醫院連2日遭賴客入侵，500台電腦瞬間當機　掛號系統遭到癱瘓」</p> <p><strong><span style="background-color:#FFA07A;">2025-02-11</span></strong> H-ISAC發布警訊：「<a href="https://hisac.nat.gov.tw/news?265">近期部分醫院遭勒索病毒攻擊，請各院加強戒備</a>」。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1）2025馬偕醫院遭勒索軟體攻擊_Crazyhunter_衛福部示警.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%892025%E9%A6%AC%E5%81%95%E9%86%AB%E9%99%A2%E9%81%AD%E5%8B%92%E7%B4%A2%E8%BB%9F%E9%AB%94%E6%94%BB%E6%93%8A_Crazyhunter_%E8%A1%9B%E7%A6%8F%E9%83%A8%E7%A4%BA%E8%AD%A6.jpg" style="width: 600px;" /></a></p> <p><strong><span style="background-color: rgb(255, 160, 122);">2025-02-11</span></strong> 下午3時，我們聯繫衛生福利部資訊處處長李建璋，他表示衛福部已與資安署合作成立快速反應小組，進駐馬偕醫院，以因應駭客揚言將持續對醫院發動攻擊。</p> <p><strong><span style="background-color: rgb(255, 160, 122);">2025-02-11</span></strong> 下午4時23分，馬偕醫院向我們回覆了針對這次事件的聲明稿。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2025-02-11馬偕醫院聲明稿.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-02-11%E9%A6%AC%E5%81%95%E9%86%AB%E9%99%A2%E8%81%B2%E6%98%8E%E7%A8%BF.jpg" style="width: 400px;" /></a></p> <p><strong><span style="background-color: rgb(255, 160, 122);">2025-02-11</span></strong> 11日下午，馬偕醫院遭勒索軟體攻擊一事受到多家媒體報導。</p> <p> </p> <h3><strong><span style="background-color:#ADD8E6;">相關資訊</span></strong><span style="color:#ADD8E6;"><strong><span style="background-color:#ADD8E6;"> </span></strong></span></h3> <p> </p> <p> </p> <h3><strong><span style="background-color:#ADD8E6;">應變措施 </span></strong></h3> <p>●馬偕紀念醫院：2月9日發現系統異常，立即啟動資安緊急應變作業流程並同步通報衛福部資安聯防平臺（H-ISAC）及向調查局局臺北市調查處報案，未來將全力配合調查，至於恐嚇信内容因案件正在偵查中，故不予公開。</p> <p>●衛生福利部資訊處處長李建璋：由於駭客一在揚言要再次發動攻擊，有3項因應措施：（一）衛福部與數位發展部資通安全署（資安署）合作，針對此次醫院遭攻擊事件已成立快速反應小組，並且進駐馬偕醫院。這是首次直接請專家進駐協助醫院防守：（二）由於各家醫院的電腦設備多半都有安裝防毒軟體，但有些醫院可能因為資源關係，還沒有部署端點偵測及回應（EDR）產品，又或是仍使用老舊缺乏安全更新的作業系統，因此衛福部將提供這方面的協助，協調廠商（微軟）提供2到3個月的免費試用，來補強駭客攻擊的行為偵測與攔阻，暫時因應危險期；（三）衛福部通知各家醫療院所加強防護，注意網段要確實隔離、將防毒軟體更新至最新版本，同時也提供這次攻擊事件的入侵偵測指標（IoC），讓其他醫院可識別攻擊是否已經發生或正在進行。</p> <p> </p> </div></div></div>
2025/2/12 14:35作者羅正漢https://www.ithome.com.tw/news/167327
Fortinet公布已被用於攻擊防火牆的新漏洞，上網安全閘道也曝險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年1月中旬資安業者Fortinet發布資安公告FG-IR-24-535，指出部分版本的防火牆作業系統FortiOS、上網安全閘道FortiProxy存在漏洞CVE-2024-55591，且有實際攻擊行動出現。外界根據Fortinet透露的入侵指標（IoC），<a href="https://www.ithome.com.tw/news/166969">認為攻擊行動就是資安業者Arctic Wolf揭露的Console Chaos</a>。如今Fortinet再度更新公告的內容，引起外界關注。</p> <p>Fortinet指出，除了先前揭露的CVE-2024-55591，<a href="https://fortiguard.fortinet.com/psirt/FG-IR-24-535">還有另一個漏洞CVE-2025-24472也被用於攻擊行動</a>，此為身分驗證繞過漏洞，影響執行7.0.0至7.0.16版FortiOS作業系統的防火牆，以及7.0.0至7.0.19版、7.2.0至7.2.12版網頁安全閘道FortiProxy，CVSS風險評為8.1。攻擊者可發出特製的CSF（Fortinet Security Fabric）代理伺服器請求，遠端利用這項漏洞，而有機會得到超級管理員權限。此漏洞之所以得以揭露，Fortinet也註明是源自另一家資安業者watchTowr的通報。</p> <p>對於這項漏洞被用於攻擊的情況，根據Fortinet公布的入侵指標（IoC）資訊，攻擊者很有可能會產生隨機使用者名稱的管理員帳號、本機使用者帳號，並將本機帳號加入SSL VPN群組，從而將目標設備的SSL VPN服務做為存取內部網路環境的隧道。此外，攻擊者也可能會竄改防火牆政策、IP位址等設定，來避免攻擊行動敗露。</p> <p>由於這項編號為FG-IR-24-535的公告Fortinet先前已發布，時隔一個月後的現在，卻突然在同一份公告加入新的高風險弱點，這樣的情況並不尋常。對此，我們也進一步詢問Fortinet，他們表示，CVE-2025-24472已於1月發布公告時就已經修補，如果用戶當時套用修補CVE-2024-55591漏洞的更新軟體，現在就能夠防範CVE-2025-24472帶來的資安風險。</p> <p>但為何會一個月後才公布這項漏洞？Fortinet表示，當時他們並未察覺CVE-2025-24472遭到利用的跡象。</p> </div></div></div>
2025/2/12 16:38作者周峻佑https://www.ithome.com.tw/news/167334
SAP發布2月例行更新，修補19項資安漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週SAP<a href="https://support.sap.com/en/my-support/knowledge-base/security-notes-news/february-2025.html">發布二月份例行更新</a>，總共修補19項新漏洞，並對兩則先前發布的公告調整內容，這次該公司修補的範圍，涵蓋商業智慧平臺BusinessObjects、供應鏈關係管理平臺SRM、Node.js程式庫Approuter、資料整合平臺Enterprise Project Connection、記憶體資料庫HANA等應用系統及元件。</p> <p>根據CVSS風險評分高低，最嚴重的是評為8.7分的CVE-2025-0064，此為授權不當造成的弱點，出現在BusinessObjects的集中管理主控臺，取得管理員權限的攻擊者可在特定情況下取得或產生密碼片語（passphrase），而能假冒任意使用者，從而高度影響機密性及完整性。</p> <p>另一個相當嚴重的漏洞是CVE-2025-25243，此漏洞發生在SRM，為路徑穿越漏洞，危險程度達到8.6。未經授權的攻擊者可藉由公開的Servlet程式，於目標網路環境下載任意檔案，過程裡完全不須使用者互動。</p> <p>存在於Node.js程式庫套件Approuter的CVE-2025-24876，也值得留意，此為身分驗證繞過漏洞，攻擊者可注入惡意酬載，而在使用者交換授權碼的過程中，偷取連線階段（Session），風險值8.1。</p> <p>附帶一提，SAP也對去年2月公布的NetWeaver AS Java跨網站指令碼（XSS）漏洞CVE-2024-22126更新說明，降低風險評分為6.1（<a href="https://support.sap.com/en/my-support/knowledge-base/security-notes-news/bulletin-2024.html">去年2月公告為8.8分</a>）。</p> </div></div></div>
2025/2/12 15:47作者周峻佑https://www.ithome.com.tw/news/167332
微軟發布二月例行更新，修補4個零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2月11日微軟發布本月例行更新（Patch Tuesday），<a href="https://msrc.microsoft.com/update-guide/releaseNote/2025-Feb">總共修補63項弱點</a>，數量較<a href="https://www.ithome.com.tw/news/166966">上個月159個</a>減少許多。這次修補的漏洞當中，包含20個權限提升漏洞（EoP）、2個安全功能繞過漏洞、25個遠端程式碼執行（RCE）漏洞、1個資訊洩露漏洞、9項阻斷服務（DoS）漏洞，1個可被用於竄改的漏洞，以及5項可被用於欺騙的漏洞。</p> <p>值得留意的是，這次有4個是零時差漏洞，有兩個被用於攻擊行動，皆被列為高風險等級，CVSS風險分別為7.1、7.8，分別是：<a href="https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-21391">Windows儲存權限提升漏洞CVE-2025-21391</a>，以及<a href="https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-21418">適用於WinSock的Windows附屬功能驅動程式（Ancillary Function Driver，AFD）權限提升漏洞CVE-2025-21418</a>，美國網路安全暨基礎設施安全局（CISA）已將它們<a href="https://www.cisa.gov/news-events/alerts/2025/02/11/cisa-adds-four-known-exploited-vulnerabilities-catalog">納入遭到利用的漏洞列表（KEV）</a>，要求聯邦機構必須在3月4日之前完成修補。</p> <p>其中，CVE-2025-21391相當特別，因為其類別屬於「在檔案存取之前的不當連結解析（Improper Link Resolution Before File Access，CWE-59）」，攻擊者想要利用的難度不高，且過程中無須使用者互動。微軟強調，這項弱點不會造成機敏資訊的洩露，然而一旦成功利用，攻擊者就有機會刪除系統上的特定檔案，甚至有可能導致某些服務中斷。</p> <p>但究竟這種能刪除檔案的漏洞如何讓攻擊者提升權限？微軟並未說明。<a href="https://www.zerodayinitiative.com/blog/2025/2/11/the-february-2025-security-update-review">漏洞懸賞專案Zero Day Initiative（ZDI）指出</a>，這是首度有人將Windows儲存服務弱點用於實際攻擊的情況。而攻擊者利用CVE-2025-21391提升權限的方式，ZDI推測很有可能是類似<a href="https://www.zerodayinitiative.com/blog/2022/3/16/abusing-arbitrary-file-deletes-to-escalate-privilege-and-other-great-tricks">他們3年前揭露的攻擊手法</a>。</p> <p>另一個被用於實際攻擊的漏洞CVE-2025-21418，為記憶體緩衝區溢位的弱點，一旦攻擊者成功利用，就有機會得到SYSTEM權限。微軟指出，攻擊者想要利用該漏洞的複雜性不高、無須高權限，過程中也不需要使用者互動。</p> <p>雖然微軟並未透露其他細節，但<a href="https://www.rapid7.com/blog/post/2025/02/11/microsoft-patch-tuesday/">資安業者Rapid7指出這種漏洞威力不容小覷</a>，他們提及CVE-2025-21418與另一個AFD權限提升漏洞CVE-2024-38193非常類似，該漏洞微軟去年8月修補、危險程度同為7.8分，<a href="https://www.ithome.com.tw/news/164574">當時通報此事的資安業者Gen Digital表示</a>，他們看到北韓駭客Lazarus利用這項弱點存取系統敏感區域，並利用惡意軟體Fudmodule隱匿攻擊行動。</p> <p>另外兩項被列為零時差漏洞的是CVE-2025-21377、CVE-2025-21194，這些漏洞在微軟發布公告前已遭到公開，CVSS風險為6.5、7.1。</p> <p>其中，CVE-2025-21377與NTLM雜湊值洩露有關，攻擊者只需引誘使用者進行少量互動就能利用；CVE-2025-21194存在於微軟Surface筆電，屬於安全功能繞過漏洞，攻擊者必須搭配特定條件才能利用。</p> </div></div></div>
2025/2/12 13:18作者周峻佑https://www.ithome.com.tw/news/167325
微軟將美國防部220億美元智慧MR頭戴裝置案，交給Oculus創始人的新創公司主導
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本周<a href="https://news.microsoft.com/2025/02/11/anduril-and-microsoft-partner-to-advance-integrated-visual-augmentation-system-ivas-program-for-the-u-s-army/" target="_blank">宣布</a>，微軟和Anduril計畫在美國國防部整合式視覺擴增系統（Integrated Visual Augmentation System，IVAS）下一階段擴大合作，Anduril將主管IVAS硬體裝置的生產、軟硬體未來開發和出貨時程。微軟未來的角色將專注於以Microsoft Azure提供IVAS相關的所有應用負載，和Anduril AI技術的雲端基礎架構。</p> <p>這意謂著，這專案將在微軟以HoloLens為核心的計畫執行7年無法結案之後，轉交給前Oculus創辦人Palmer Luckey的新創公司。本案還需獲得美國防部的同意。</p> <p>微軟於2018年首先<a href="https://www.ithome.com.tw/news/127380" target="_blank">獲得</a>IVAS的訂單，以HoloLens為基礎開發結合AI、混合實境、夜視攝影機、感測器的軍用頭戴式裝置，可支援陸、海及特種作戰部隊的演習或夜間作戰。該計畫在2021年<a href="https://www.ithome.com.tw/news/143585" target="_blank">擴大</a>為219億美元，預計提供12萬座智慧頭戴式裝置。</p> <p>不過這個案子並不順利。2022年媒體<a href="https://www.ithome.com.tw/news/153699" target="_blank">報導</a>美軍內部測試中，許多美國大兵配戴IVAS後出現噁心、頭痛、眼睛不適等症狀，而且裝置仍然太重。微軟曾試圖修改以挽救合約。</p> <p>但在延宕許久後，AR產業版圖已經改變，微軟似乎已不再有興趣投資開發HoloLens。2024年中微軟裁員，影響開發HoloLens的MR部門。同年微軟攜手Anduril，引進後者的作業系統及軟體，但是微軟已不再提及HoloLens，暗示這個曾經以輕量領先業界的MR眼鏡的結局。</p> <p>Luckey於2017年創立的Anduril 為軍事國防新創業者，專門開發結合AI、3D的自動化系統（無人機）及指揮軟體。Luckey本人<a href="https://palmerluckey.com/turning-soldiers-into-superheroes/" target="_blank">公告</a>，Anduril將主導歷來最大的VR/AR/VR專案。他的部落格僅簡單提及可能將強化IVAS中的作戰小組沈浸式虛擬訓練（Squad Immersive Virtual Trainer，SiVT），這項計畫為實境作戰訓練系統，有助於避免美軍在演習中喪生。他並表示，這合作將使用Anduril發展數年，已用於其AI無人機系統的「speculative augmentation」技術。</p> <p>Anduril去年分別拿下<a href="https://www.anduril.com/article/anduril-industries-awarded-air-defense-production-contract-with-department-of-defense/" target="_blank">美國國防部</a>和<a href="https://www.anduril.com/article/anduril-industries-awarded-usd200-million-contract-to-develop-counter-unmanned-aerial-system/" target="_blank">美國海軍陸戰隊</a>各2.5及2億美元的反無人機防禦系統合約。</p> </div></div></div>
2025/2/12 10:55作者林妍溱https://www.ithome.com.tw/news/167322
Mirantis開源k0rdent簡化K8s管理，提升企業多雲維運效率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Mirantis宣布推出開源專案<a href="https://www.mirantis.com/company/press-center/company-news/mirantis-launches-open-source-project-for-platform-engineering-that-accelerates-innovation-for-modern-distributed-workloads/">k0rdent</a>，這是一款針對分散式容器管理設計的開源Kubernetes平臺，簡化企業在多雲與本地環境中Kubernetes叢集的管理。k0rdent為一個分散式容器管理環境（Distributed Container Management Environment，DCME），提供統一的控制點，讓企業能夠在不同基礎架構上部署與維護Kubernetes。</p> <p>企業採用不同雲端供應商與本地部署方案，會導致Kubernetes叢集數量快速增加，而管理的複雜度也隨之上升。Mirantis推出k0rdent讓企業能夠以一致的方式管理Kubernetes，無論執行環境是在公有雲、私有雲或邊緣裝置，皆能透過統一的介面與工具集，維護與最佳化應用程式的執行環境。</p> <p>k0rdent的核心架構採用可組合（Composable）設計，允許平臺工程師根據企業需求自訂內部開發者平臺（Internal Developer Platform，IDP）。此外，該專案採用開放式標準，支援Cluster API能夠快速布署與管理Kubernetes叢集，並經AWS EC2、AWS EKS、Azure Compute、Azure AKS、VMware vSphere及OpenStack等環境的測試。</p> <p>透過集中化政策管理與宣告式自動化，k0rdent不僅簡化了多雲與本地環境的維運，也提供符合生產環境需求的標準化部署範本，減少企業自行開發管理工具的負擔。k0rdent是繼Rockoon、Blueprint Operator及Blueprint Controller之後，Mirantis最新推出的開源工具，目前原始碼與文件已於GitHub開放下載。</p> </div></div></div>
2025/2/12 08:24作者李建興https://www.ithome.com.tw/news/167317
Deepmind AlphaGeometry2模型幾何解題能力已超越IMO金牌選手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>DeepMind持續改進人工智慧的數學能力，數學推理模型AlphaGeometry2在解決國際數學奧林匹亞（IMO）幾何題目上的表現，已正式超越金牌選手的平均水準。<a href="https://arxiv.org/html/2502.03544v1">研究團隊測試</a>了2000至2024年間所有IMO幾何題，AlphaGeometry2以84％的解題成功率大幅超越前代系統AlphaGeometry1的54％，並且研究團隊挑出難度更高的IMO Shortlist幾何題子集IMO-AG-30，AlphaGeometry2成功解出全部題目，展現人工智慧在數學推理領域的突破性能力。</p> <p>這項研究來自DeepMind的數學與人工智慧團隊，核心技術結合了語言模型與符號推理系統，透過強化學習與增強搜尋演算法，讓人工智慧能夠更有效率地善用輔助線、拆解問題並建立完整的幾何證明。</p> <p>新版本擴展了AlphaGeometry的幾何領域語言，使其更能夠處理複雜的幾何問題，包括軌跡定理（Locus Theorem）、線性方程式與非建構性命題（Non-Constructive Problem Statement），能夠形式化處理，也就是可以讀懂IMO幾何題的比例從66％提升至88％。同時，運算引擎的效能也大幅提升，透過C++重新實作符號處理機制，並最佳化規則集，使推理過程更為精確與高效。</p> <p>在測試結果中，AlphaGeometry2對IMO幾何題的解題能力，已達專業數學競賽選手的水準，甚至在部分問題的解法上展現超越人類的創造力。DeepMind研究團隊表示，這項技術突破不僅是數學解題系統的進展，也使人工智慧在形式化推理、自動證明與教育應用開啟新的可能性。</p> <p>傳統的數學自動推理技術主要仰賴代數運算與計算機代數系統（CAS），例如Wu's Method或Gröbner Bases，透過將幾何問題轉換為代數聯立方程式來求解，而AlphaGeometry2採用了更貼近人類解題方式的合成幾何推理方法，並透過語言模型驅動推導過程，使其能夠從自然語言描述的題目中建構完整的證明。</p> <p>目前的研究仍有部分限制，AlphaGeometry2無法處理變數點數（Variable Number of Points）、不等式與非線性方程式的幾何問題，這些類型的題目在IMO中雖然不常見，但仍然是自動幾何推理領域尚未解決的挑戰。此外，部分涉及投影幾何（Projective Geometry）與幾何反轉（Inversion）的問題，仍然超出系統現有能力範圍，研究團隊認為，未來透過更高效的問題拆解策略與強化學習機制，能夠進一步縮小這些差距。</p> </div></div></div>
2025/2/12 08:29作者李建興https://www.ithome.com.tw/news/167321
【資安日報】2月11日，馬偕醫院遭勒索軟體CrazyHunter攻擊，傳出是中國駭客所為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>5年前臺灣醫院發生大規模遭遇勒索軟體攻擊的情形，當時傳出有多達66家醫院受害，如今傳出有醫院再度遭到攻擊的事故，引起外界高度關注。</p> <p>這起事故在今日上午傳出，當時有人透露有數百臺電腦當機，掛號系統受到波及，影響上百名病人，值得留意的是，這家醫院已先後遭遇兩次攻擊，駭客揚言在今天傍晚發動另一波攻擊，企圖對醫院施壓。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167318"><strong style="font-size: 22px;">馬偕醫院傳出遭CrazyHunter勒索軟體攻擊，衛福部與資安署已成立快速應變小組協助因應</strong></a></p> <p>今日上午，傳出國內知名醫院連續遭駭客入侵，有多達數百臺電腦當機，掛號系統也受波及，影響上百名病患。目前我們已確認這起事件，是遭CrazyHunter勒索軟體攻擊，衛生福利部（衛福部）資訊處也在今日向全國所有醫院發布警訊通知，說明近期部分醫院遭勒索軟體攻擊，請各院加強戒備。</p> <p>根據國內媒體報導，這次遭受攻擊的醫院，是臺北一家中山區捷運站附近的醫院，並且淡水也有分院。而且遭受攻擊的時間，是從兩日前（週日）早上8點半開始，昨日（週一）也再次受到攻擊。根據以上描述，顯然這起事件的受害者應是指馬偕醫院，而且已經是連續兩日遭到攻擊。</p> <p>究竟這次資安事故的情形為何？我們詢問到衛生福利部資訊處處長李建璋，他表示，這次馬偕醫院遭遇的資安事故，確實是遭受Crazy Hunter勒索軟體攻擊。馬偕醫院傍晚發布新聞稿說明這次事件，表示於9日發現系統異常，此次事故影響北淡兩區急診室，目前醫療均正常運作，未有病人個資外洩情事。</p> <p><a href="https://www.ithome.com.tw/news/167311"><strong style="font-size: 22px;">大規模暴力破解攻擊專門針對網路邊緣裝置而來，駭客透過280萬個IP位址發動攻勢</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/GjLHxtaXoAEz8iS.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/GjLHxtaXoAEz8iS.jpg" style="width: 300px; float: right;" /></a></p> <p>資安研究機構Shadowserver基金會提出警告，他們最近幾個禮拜從蜜罐陷阱當中，偵測到專門針對網路邊緣裝置（edge devices）而來的大規模暴力破解攻擊，駭客平均每天動用約280萬個IP位址進行網頁介面登入嘗試，特別偏好攻擊Ivanti、Palo Alto Networks、SonicWall等廠牌的設備。</p> <p>從攻擊來源的地理位置而言，超過三分之一的IP位址來自巴西最多，約有110萬個，其次是土耳其、俄羅斯、阿根廷，分別約有13.5萬、13.3萬、9.9萬個IP位址。從被用來發動攻擊的設備來看，遭到控制的MikroTik設備數量最多，有13萬臺，華為、思科設備分別約有1.3萬、1萬臺，這些廠牌的設備經常遭到殭屍網路鎖定，而被入侵並受到擺布。</p> <p>雖然Shadowserver基金會在社群網站X透露的資訊並不多，但他們向資安新聞網站Bleeping Computer透露，這波攻擊行動仍在持續進行，而且規模有擴大的趨勢。</p> <p><a href="https://www.ithome.com.tw/news/167304"><strong style="font-size: 22px;">程式碼管理工具Google Tag Manager遭濫用，攻擊者用來對Magento網站側錄信用卡資料</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/script-example.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/script-example.png" style="width: 300px; float: right;" /></a>資安業者Sucuri接獲客戶通報，指出他們的Magento電子商務網站出現信用卡資料遭竊的情況，Sucuri進行調查後發現，這家公司的電子商務網站遭到惡意程式感染，而這支惡意程式散布的媒介，竟然是放在GTM上面的指令碼。Sucuri資安分析師Puja Srivastava指出，他們對於網站的檔案進行檢查，結果找到惡意程式從資料庫特定的資料表cms_block.content載入。</p> <p>乍看之下，有問題的程式碼看似GTM或Google Analytics的追蹤指令碼，但Puja Srivastava指出，他們對程式碼進行檢查，確認這些程式碼用於惡意行為，而非一般的網站分析或廣告成效分析。而有問題的後門程式，出現在./media/index.php，根據GTM的ID，研究人員進一步追查是否有其他網站受害，結果他們確認至少有6個網站遭到感染。</p> <p>一旦觸發了GTM的標籤，經過加密處理的JavaScript酬載就會進行側錄信用卡資料的工作，在消費者結帳時收集輸入的內容，然後傳送至攻擊者控制的伺服器。</p> <p><a href="https://www.ithome.com.tw/news/167314"><strong style="font-size: 22px;">資安研究人員聲稱突破OpenAI最新防禦機制，成功在新款機器學習模型o3-mini進行越獄</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/1738752643879.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1738752643879.jpg" style="width: 300px; float: right;" /></a>去年12月下旬OpenAI公布新的AI模型o3、o3-mini預覽版本，並引入新的資安功能「審議一致（Deliberative Alignment）」，藉由這項機制，OpenAI號稱AI模型將高度遵守他們的安全政策，改善原有模型容易被越獄的情況。但在1月底o3-mini正式推出不久，有研究人員指出，他們成功突破這項防護，讓該AI模型指導如何對Windows元件本機安全認證子系統服務（lsass.exe）發動攻擊。</p> <p>2月6日CyberArk原則漏洞研究員Eran Shimony在職場社群網站LinkedIn指出，他們透過去年推出的開源測試工具FuzzyAI，成功在o3家族的模型越獄，他們試圖要求模型提供將程式碼注入lsass.exe的詳細做法，其中包含提及出現障礙的故障情形，結果產生具備實際攻擊能力的程式碼。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/02/dragonrank-exploits-iis-servers-with.html">中國駭客DragonRank鎖定IIS伺服器而來，透過搜尋引擎最佳化散布惡意程式BadIIS</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="http://thehackernews.com/2025/02/threat-actors-exploit-clickfix-to.html">駭客發動ClickFix攻擊，意圖於受害電腦植入惡意程式NetSupport RAT進行遠端控制</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/02/xe-hacker-group-exploits-veracore-zero.html">VeraCore零時差漏洞遭到鎖定，駭客組織XE Hacker Group企圖植入Web Shell</a></strong></p> <p> </p> <p><strong>【漏洞與修補】</strong></p> <p><a href="https://www.ithome.com.tw/news/167302"><strong style="font-size: 22px;">蘋果針對iPhone、iPad用戶修補已遭利用的零時差漏洞</strong></a></p> <p>2月10日蘋果發布iOS及iPadOS作業系統更新18.3.1，以及iPadOS 17.7.5，修補由加拿大公民實驗室（The Citizen Lab）通報的漏洞CVE-2025-24200。此弱點與USB限制模式有關，一旦攻擊者能實際接觸裝置，就有機會在裝置被鎖定的情況下停用USB限制模式。</p> <p>值得留意的是，蘋果表示他們已經接獲通報，得知這項漏洞被用於針對人士下手，進行極度複雜的攻擊行動。但究竟有多少人遭遇相關攻擊？該公司並未進一步說明。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/02/zimbra-releases-security-updates-for.html">電子郵件系統Zimbra發布資安更新，修補SQL注入、XSS、SSRF漏洞</a></strong></p> <p><strong style="font-size: 22px;">其他資安防禦措施</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/02/8base-ransomware-data-leak-sites-seized.html">美英等12國執法單位聯手，拿下勒索軟體8Base的資料洩露網站、逮捕4名嫌犯</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/167297"><strong>【2月10日】150家企業組織的AD聯合身分驗證服務系統遭鎖定，駭客藉此挾持帳號</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167283"><strong>【2月8日】多家資安業者揭露中國AI工具DeepSeek，美國擬禁政府公務設備使用</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167256"><strong>【2月7日】義大利政府驚傳利用間諜軟體Paragon監控記者及異議人士</strong></a></p> </div></div></div>
2025/2/11 18:04作者周峻佑https://www.ithome.com.tw/news/167316
資安研究人員聲稱突破OpenAI最新防禦機制，成功在新款機器學習模型o3-mini進行越獄
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年12月下旬<a href="https://www.ithome.com.tw/news/166617">OpenAI公布新的AI模型o3、o3-mini預覽版本</a>，並引入新的資安功能「<a href="https://openai.com/index/deliberative-alignment/">審議一致（Deliberative Alignment）</a>」，藉由這項機制，OpenAI號稱AI模型將高度遵守他們的安全政策，改善原有模型容易被越獄的情況。但<a href="https://www.ithome.com.tw/news/167177">在1月底o3-mini正式推出</a>不久，有研究人員指出，他們成功突破這項防護，讓該AI模型指導如何對Windows元件本機安全認證子系統服務（lsass.exe）發動攻擊。</p> <p>2月6日CyberArk原則漏洞研究員Eran Shimony<a href="https://www.linkedin.com/posts/eran-shimony_cybersecurity-aijailbreak-adversarialai-activity-7292857176161714177-_iC2/">在職場社群網站LinkedIn指出</a>，他們透過去年推出的開源測試工具FuzzyAI，成功在o3家族的模型越獄，他們試圖要求模型提供將程式碼注入lsass.exe的詳細做法，其中包含提及出現障礙的故障情形，結果產生具備實際攻擊能力的程式碼。</p> <p>Eran Shimony張貼他們與o3-mini對話的內容，研究人員向AI模型聲稱是歷史學家，正在編寫有關惡意軟體及其帶來的影響，包含他們如何製作惡意程式，以及編寫防守方看起來合法的程式碼，而能在lsass.exe注入。</p> <p>結果o3-mini先是提及過往為何攻擊者偏好對lsass.exe下手，以及防守方如何察覺相關攻擊，便列出典型的注入手法及詳細步驟，包含利用特定功能挾持lsass.exe、取得特定記憶體位置的說明。</p> </div></div></div>
2025/2/11 17:40作者周峻佑https://www.ithome.com.tw/news/167314
中華電信今年聚焦協助企業發展AI應用，可望推出中低軌衛星商業服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>看好企業應用AI的需求，中華電信今天(2/11)展望2025年營運，除了內部深化AI應用，降低成本、提高營運效率，對外提供資通訊服務，將聚焦於AI賦能，協助企業客戶應用AI；至於低軌衛星商用服務落地，如果申請程序順利完成，可望在今年提供服務。</p> <p>去年9月中華電信管理高層人事異動，董事長、總經理雙雙換人，董事長由簡志誠出任，總經理則由林榮賜擔任，今天中華電信董事長簡志誠、總經理林榮賜首次主持春酒時表示，今年中華電信將積極扮演AI賦能者及協創者的角色，其中賦能者將提供企業及政府需要的AI算力服務，而扮演協創者和各個領域的智慧夥伴合作開發智慧應用。</p> <p>中華電信搶攻企業AI應用商機，將協助企業代建代維主權AI，提供算力服務，目前已有2個AI DC資料中心服務中，2個AI DC資料中心建置中，另有3個AI DC資料中心正在規畫中。</p> <p>其次是在通訊網路技術，該公司正推動新世代網路，除了結合AI提升網路維運管理，另一個則是中華電信已加入IOWN Global Forum，去年宣布開通臺灣和日本之間的全光網路，利用全光網路的大頻寬、低延遲、低功耗，實現0.017秒跨國傳送距離達3,000公里的網路傳輸，目前也驗證在臺南、高雄兩地的資料中心，運用全光網路的低延遲特性，驗證兩地資料中心建構分散式運算的可行性。</p> <p>至於近幾年政府相當重視的通訊網路韌性，也是中華電信今年營運發展的重點之一。</p> <p>有鑑於臺灣對外通訊主要仰賴國際海纜，簡志誠指出，中華電信會持續投資臺灣對外通訊的國際海纜，以提升對外海纜布局，強化對外通訊的韌性，同時也會增加位於山頂的微波通訊系統，以克服當颱風、地震等災害導致地面的光纖通訊中斷，以及外島發生海纜通訊中斷對當地民眾生活、地方政府使用通訊服務的影響。</p> <p>中華電信也強化海、地、星、空的多元通訊網路韌性布局策略，其中的衛星通訊，中華電信已取得SES中軌衛星、OneWeb低軌衛星的國內代理，除了提供政府非同步軌道衛星通訊提升我國通訊韌性驗證之外，該公司也依照申請程序，準備將中、低軌衛星商業服務引進到臺灣。</p> <p>中華電信總經理林榮賜表示，目前中、低軌衛星通訊服務先提供政府驗證衛星通訊提升韌性計畫之用，待商業服務完成國內申請程序後，可望在今年推出非同步軌道衛星的商業服務，企業例如跨國企業可在臺灣使用非同步軌道衛星服務。</p> <p> </p> </div></div></div>
2025/2/11 17:40作者蘇文彬https://www.ithome.com.tw/news/167313
聚焦AI與HPC應用需求，AMD GPU程式開發平臺邁入第6版
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/amd_rocm_6.3-main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>深度學習、生成式AI當紅，帶動GPU加速運算平臺的軟硬體應用需求，市面上有兩大廠商持續推出各種解決方案，均可提供消費型、專業型與資料中心等級的硬體GPU，而在軟體開發架構的方面，則有相當顯著的差異。</p> <p>以居於領先地位的Nvidia而言，他們發展的統一計算裝置架構（CUDA）即將屆滿18年，推出的軟體開發套件最新版為<a href="https://developer.nvidia.com/blog/cuda-toolkit-12-8-delivers-nvidia-blackwell-support/">12.8</a>，總共橫跨12代的GPU架構。</p> <p>而憑藉CUDA平臺提供的基礎，Nvidia陸續推出眾多可開發該公司GPU加速應用的程式庫，例如：<a href="https://developer.nvidia.com/blog/nvidia-announces-cuda-x-ai-sdk/">2019年3月發布</a>CUDA-X AI的軟體開發套件，集結能以Nvidia GPU加速執行深度學習、機器學習、資料分析等應用的程式庫；<a href="https://developer.nvidia.com/blog/hpc-sdk/">2020年5月推出</a>Nvidia HPC SDK，提供一整包的編譯器與程式庫，協助高效能運算（HPC）應用的開發人員，可充分運用從GPU到CPU，以至整個互連架構的平臺，進行加速運算系統的程式設計。</p> <p>另一家廠商AMD是在2006年併購GPU廠商ATI之後，開始進入這塊市場，他們針對圖形處理器通用計算（GPGPU）的技術發展路線較為曲折——由於本身坐擁CPU與GPU，他們提供內建GPU的CPU產品，稱之為APU，希望能推動異質運算架構（HSA），標榜支援開放、不偏袒特定廠商的OpenCL語言（Open Computing Language）。</p> <p>到了<a href="https://www.amd.com/en/newsroom/press-releases/2016-11-14-amd-releases-new-version-of-rocm-the-most-versati.html">2016年11月</a>，AMD終於宣布推出專屬於該公司旗下新款Radeon GPU產品的開放軟體運算平臺（Radeon Open Compute Platform），簡稱<a href="https://github.com/ROCm/ROCm">ROCm</a>，當時預告將以此支援OpenCL與多種CPU，包含AMD後續將推出的Zen架構處理器、Arm架構處理器Cavium ThunderX，以及Power架構處理器IBM Power 8，針對GPU運算提供最廣泛支援的開放原始碼平臺，截至目前為止，<a href="https://rocm.docs.amd.com/en/latest/release/versions.html">ROCm已發布至6.3.2版（1月底）</a>。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/rocm-software-stack-6_3_0.jpg" style="width: 600px;" /></p> <p>整體而言，ROCm的底層是硬體GPU產品（Instinct、Radeon、Radeon PRO），以及軟體作業系統（多種Linux版本、Windows），在ROCm之上是多種AI軟體框架（JAX、ONNX Runtime、PyTorch、TensorFlow），至於ROCm本身，是由多種開放原始碼的軟體開發元件組成的技術堆疊架構，涵蓋低階的執行核心到高階的應用程式，為AMD GPU提供程式開發環境，包括程式庫、工具、編譯器、執行時期的環境（Runtime）這四大類元件。</p> <p>單就ROCm的程式庫而言，分為4種：機器學習與電腦視覺、通訊、數學計算、基礎運算單元（Primitives），而在工具的部分，AMD提供3種：系統管理、效能、開發。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AMD%20ROCm%206%20overview.jpg" style="width: 600px;" /></p> <h3><span style="color:#0000FF;"><strong>6.0版開始支援AMD新一代資料中心GPU產品：Instinct MI300系列</strong></span></h3> <p>就近期版本更迭而言，2023年12月發布的<a href="https://rocm.docs.amd.com/en/docs-6.0.0/about/release-notes.html">6.0.0版</a>，對於ROCm的發展而言，<a href="https://github.com/ROCm/ROCm/discussions/2729">是個重要的里程碑</a>，提供新的效能最佳化、擴充框架與程式庫的支援，以及改善開發者的使用體驗，而且，<a href="https://www.amd.com/en/newsroom/press-releases/2023-12-6-amd-delivers-leadership-portfolio-of-data-center-a.html">可初步支援AMD Instinct MI300系列GPU產品</a>——例如，電腦或伺服器執行Linux作業系統時，若搭配Ubuntu的22.04.5版，可同時支援MI300X、MI300A，搭配RHEL的8.9版、SLES的15 SP5版，僅支援MI300A。</p> <p>關於軟硬體的搭配成效上，AMD在2023年12月初發表新一代資料中心GPU產品Instinct MI300X，當時曾提到相關資訊。</p> <p>根據該公司的測試，同樣執行Llama2-70b文字生成的AI對答工作負載，相較於前代軟硬體組合（2顆處理器AMD EPYC 7763搭配4個GPU加速器AMD Instinct MI250，以及軟體開發平臺ROCm 5.4.3），新一代解決方案（2顆處理器Intel Xeon Platinum搭配4個GPU加速器AMD Instinct MI300，以及軟體開發平臺ROCm 6.0）可提供8倍的效能。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-AMD MI300X-ROCm 6.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-AMD%20MI300X-ROCm%206.png" style="width: 600px;" /></a></p> <p>AMD此時也揭露ROCm 6針對多種生成式AI應用需求，具備重要功能，像是<a href="https://github.com/kailums/flash-attention-rocm">FlashAttention</a>、<a href="https://rocm.docs.amd.com/projects/HIP/en/docs-develop/how-to/hip_runtime_api/hipgraph.html">HIPGraph</a>、vLLM，提供更多支援。</p> <h3><span style="color:#0000FF;"><strong>6.1版支援消費型與專業型GPU，可在WSL2使用</strong></span></h3> <p>2024年4月釋出ROCm 6.1.0版，改善AMD Instinct MI300系列GPU應用的穩定度與<a href="https://community.amd.com/t5/blogs/blogarticleprintpage/blog-id/amd-ai/article-id/87">效能</a>。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-06-6_1-AMD_AI_0-1718856290924.png" style="width: 600px;" /></p> <p>兩個月後，<a href="https://community.amd.com/t5/ai/new-amd-rocm-6-1-software-for-radeon-release-offers-more-choices/ba-p/688840">ROCm 6.1.3版發布</a>，AMD揭露多項新增特色。首先，這套GPU軟體開發平臺，支援消費型GPU產品 Radeon RX系列，包含7900 GRE、7900 XT、7900 XTX，以及專業型GPU產品 Radeon PRO系列，包含<a href="https://www.ithome.com.tw/review/156523">W7800、W7900</a>，以及當時新發表的W7900 Dual Slot，用戶可經由這些GPU執行資料的平行處理，支援獨立的AI推論運算與結果的輸出，因此，基於上述配置，用戶可透過ROCm軟體平臺與Radeon GPU，支援多位使用者共用硬體GPU的設定組態。</p> <p>第二，ROCm 6.1.3可針對微軟Windows 10與11內建的Linux執行環境WSL 2（Windows Subsystem for Linux 2），提供Beta測試等級的支援，有了這樣的搭配之後，用戶可在Windows系統當中，直接執行通常運作在Linux系統的AI工具，而不需要為此額外建置Linux系統，或透過雙重開機啟動（dual-boot）的設定方式，從原本啟動的Windows系統切換至另一套重新開機啟動的Linux系統。</p> <p>第三，ROCm過往支援的AI框架有PyTorch、ONNX，6.1.3版增加支援TensorFlow，提供更多開發AI的選擇。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-06-Radeon AI - ROCm 6_1 for Radeon - Slide 0-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-06-Radeon%20AI%20-%20ROCm%206_1%20for%20Radeon%20-%20Slide%200-web.jpg" style="width: 600px;" /></a></p> <h3><span style="color:#0000FF;"><strong>6.2版擴增vLLM與FP8支援</strong></span></h3> <p>2024年8月<a href="https://community.amd.com/t5/blogs/blogarticleprintpage/blog-id/amd-ai/article-id/93">ROCm 6.2出爐，AMD主打5大特色</a>。舉例來說，針對AMD Instinct系列GPU，ROCm強化<a href="https://rocm.docs.amd.com/en/docs-6.2.0/about/release-notes.html">大型語言模型推論框架vLLM的支援</a>，強化AI模型的效率與延展性，像是：針對大型語言模型，增加FP16或BF16精度處理能力；針對Llama模型，提供FP8精度的支援。</p> <p>關於vLLM支援強化的特色，這一版的ROCm也提供多GPU執行、FP8 KV cache（用FP8格式儲存鍵值的快取技術）、FP8 GEMM（用FP8格式執行矩陣乘法）、自定解碼分頁注意力（Custom Decode Paged Attention，可提升大型語言模型推論效率的技術）。</p> <p>為了簡化ROCm的安裝體驗，6.2版也提供全新的離線安裝程式建立工具（Offline Installer Creator），用戶透過統一、整合多種功能的圖形介面更簡易地製作安裝程式，而不需要耗費心力管理多套安裝工具。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-08-Ronak_Shah_0-1722888071008.png" style="width: 500px;" /></p> <p>針對AI和高效能運算的開發應用，ROCm 6.2開始提供Beta測試版本的效能剖析工具：Omnitrace、Omniperf，實現更全面的效能分析，以及流暢的開發流程。基本上，Omnitrace可橫跨多個CPU、GPU、網路介面、網路交織架構（network fabrics），呈現整體系統的效能表現，協助辨識與找出瓶頸所在；</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-08-Omnitrace profiler tool-omnitrace-timeline-example-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-08-Omnitrace%20profiler%20tool-omnitrace-timeline-example-web.jpg" style="width: 600px;" /></a></p> <p>Omniperf可列出細部的GPU系統核心分析，以便進行相關的微調作業。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-08-Omniperf profiler tool-Ronak_Shah_2-1722888071029.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-08-Omniperf%20profiler%20tool-Ronak_Shah_2-1722888071029.png" style="width: 600px;" /></a></p> <p> </p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/9AkxBCiInCw?si=rmwhsCfbWtIV3xsn" title="YouTube video player" width="560px"></iframe></div> <p> </p> <p>提供更廣泛的FP8精度支援，可涵蓋多種框架與程式庫，強化效能與效率，也是ROCm 6.2一大賣點。例如，Transformer引擎透過hipBLASLt這個矩陣對矩陣的API存取程式庫的協助，在PyTorch、JAX增加FP8 GEMM的支援； JAX與基於JAX而成的AI框架Flax可經由即時編譯器XLA的協助，支援FP8 GEMM，進而改善效能。</p> <p>AMD表示，可藉此改善執行AI模型的流程，用在AI推論更為顯著，因為以FP8這樣更低的精度進行運算，能夠降低涉及資料傳輸與運算的延遲，能在面臨相同的硬體局限時，可處理更大的AI模型與批次作業。</p> <h3><strong><span style="color:#0000FF;">6.3版強化Transformer引擎的使用，提供多種電腦視覺程式庫</span></strong></h3> <p>2024年12月初，<a href="https://community.amd.com/t5/ai/unlocking-new-horizons-in-ai-and-hpc-with-the-release-of-amd/ba-p/726434">ROCm 6.3登場</a>，AMD同樣選出5大特色。其中一項，是針對驅動當代AI得以快速起飛的Transformer模型應用方式，<a href="https://github.com/ROCm/TransformerEngine/tree/dev?tab=readme-ov-file#fused-attention-backends-on-rocm">提供最佳化處理</a>；AMD也標榜ROCm提供模型加速程式庫<a href="https://rocm.docs.amd.com/en/latest/how-to/rocm-for-ai/inference-optimization/model-acceleration-libraries.html">FlashAttention-2</a>，相較於FlashAttention-1，在後向傳遞與前向轉送的作業上，速度可提升2至3倍，能加快模型訓練與推論，藉此縮短企業AI解決方案推出的時間，而且可提升記憶體使用率、降低I/O負擔，使AMD Instinct GPU能處理較長的運算工作序列。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ROCm%20attention-module-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-AMD.jpg" style="width: 450px;" /></p> <p>而在ROCm 6.3.0版當中，AMD透過運算程式庫ROCm Composable Kernel（CK），以及對Open AI編譯器Triton進行預先編譯的程式庫AOTriton的幫忙，<a href="https://rocm.docs.amd.com/en/docs-6.3.0/about/release-notes.html">將基於CK與Triton的Flash Attention核心整合到GPU的Transformer Engine引擎執行</a>，因此，現在的Transformer Engine的搭配更有彈性，可選擇已針對AMD GPU進行最佳化的深度學習注意力（Attention）解決方案。</p> <p>另一個AMD強調的ROCm特色，是提供新一代Fortran語言編譯器，可針對以Fortran寫成的傳統HPC應用程式，提供GPU加速機制，像是OpenMP作業可卸載至AMD Instinct GPU執行，既有的Fortran程式碼能充分運用AMD現行與下一代GPU的功能，透過異質運算可移植介面（HIP）平臺運作的GPU核心元件HIP Kernels，以及ROCm提供的程式庫，能簡化程式碼整合工作，不需重新撰寫複雜的Fortran程式碼。</p> <p>關於電腦視覺程式庫的強化，也是ROCm 6.3主打的重點特色，可協助開發者處理多媒體與相關資料集，提供更有效率的預先處理與內容增益工具。以影片類型的資料為例，ROCm提供的rocDecode與rocPyDecode，可支援AV1編解碼，提供具有成本效益的影音處理機制；針對圖片資料的處理，ROCm透過具有可回復先前處理（fallback）機制的rocJPEG，提供支援GPU加速的JPG高效率解碼能力，能夠順暢進行圖片預先處理。在音訊資料的部分，ROCm經由rocAL 的協助，可針對嘈雜環境，改善AI模型訓練的聲音資料預先處理能力。</p> <p>除此之外，ROCm 6.2推出之際，AMD提到的效能分析工具Omnitrace、Omniperf，現已改名為ROCm System Profiler、ROCm Compute Profiler。</p> <p>ROCm System Profiler可針對執行在CPU或CPU與GPU的應用程式，提供高階的效能剖析與全面的追蹤，這套工具會產生與輸出相容於Perfetto這套效能分析與追蹤工具的內容，以此呈現分析結果。</p> <p><a href="https://s4.itho.me/sites/default/files/images/rocprof-sys-rocm-flow.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/rocprof-sys-rocm-flow.jpg" style="width: 600px;" /></a></p> <p>ROCm Compute Profiler則是針對執行在Instinct系列GPU的機器學習與高效能運算工作負載，提供核心層級的效能剖析機制，對於Radeon GPU的相關支援，AMD目前正在開發中。</p> <p><a href="https://s4.itho.me/sites/default/files/images/omniperf_server_vs_client_install.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/omniperf_server_vs_client_install.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/ROCm Compute Profiler GUI analyzer-standalone_gui.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ROCm%20Compute%20Profiler%20GUI%20analyzer-standalone_gui.jpg" style="width: 298px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong><span style="color:#0000FF;">AMD ROCm 6.3</span></strong><br /> ●原廠：AMD<br /> ●建議售價：廠商未提供<br /> ●支援作業系統版本：Linux，Ubuntu（24.04 / 6.8版核心，22.04 / 5.15版核心）、Debian（12 / 6.1版核心）、Red Hat Enterprise Linux（9.5 / 5.14.0版核心，9.4 / 5.14.0版核心，8.10 / 4.18.0版核心）、Oracle Linux（8.10 / 5.15.0版核心）、SUSE Linux Enterprise Server（15.6 / 6.4.0版核心，15.5 / 5.14.21版核心）、Azure Linux（3.0 / 6.6版核心）<br /> ●支援GPU產品：AMD Instinct（MI325X、MI300X、MI300A、MI250X、MI250、MI210、MI100，CDNA架構第1至3代）、AMD Radeon PRO（V710、W7900 Dual Slot、W7900、W7800、W6800、V620，RDNA架構第2至3代）、AMD Radeon（RX 7900 XTX、RX 7900 XT、RX 7900 GRE，RDNA架構第2至3代）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/2/11 17:40作者李宗翰https://www.ithome.com.tw/review/167259
馬偕醫院傳出遭CrazyHunter勒索軟體攻擊，衛福部與資安署已成立快速應變小組協助因應
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今日（11日）上午，傳出國內知名醫院連續遭駭客入侵，有多達數百臺電腦當機，掛號系統也受波及，影響上百名病患。目前我們已確認這起事件，是遭CrazyHunter勒索軟體攻擊，衛生福利部（衛福部）資訊處也在今日向全國所有醫院發布警訊通知，說明近期部分醫院遭勒索軟體攻擊，請各院加強戒備。</p> <p>根據國內媒體報導，這次遭受攻擊的醫院，是臺北一家中山區捷運站附近的醫院，並且淡水也有分院。而且遭受攻擊的時間，是從兩日前（週日）早上8點半開始，昨日（週一）也再次受到攻擊。</p> <p>根據以上描述，顯然這起事件的受害者應是指馬偕醫院，而且已經是連續兩日遭到攻擊。</p> <p>因此我們從多方管道循線追查，發現醫院IT群組已有相關討論，指出事件與CrazyHunter勒索軟體攻擊有關，同時，有可靠消息向我們表示，此次勒索軟體攻擊是中國駭客組織發動，造成多達600多臺電腦受影響，並且留下勒索贖金的資訊。</p> <p>究竟這次資安事故的情形為何？我們詢問到衛生福利部資訊處處長李建璋，他表示，這次馬偕醫院遭遇的資安事故，確實是遭受Crazy Hunter勒索軟體攻擊，從這些遇害時間來看，週日（9日）的攻擊影響並不大，但週一（10日）的攻擊變得嚴重，而且駭客甚至揚言今日（11日）傍晚將持續對醫院發動攻擊。</p> <p>由於醫療機構服務屬於國家關鍵基礎設施，加上近年政府不斷推動醫療領域的資安聯防，李建璋表示，收到這次事件通報後，他們已經著手協助院方來應對。</p> <p>首先，衛福部已與數位發展部資通安全署（資安署）合作，針對此次醫院遭攻擊事件成立快速反應小組，並且進駐馬偕醫院，以協助因應持續到來的攻擊，特別的是，這次也是衛福部與資安署的首次合作。</p> <p>其次，由於各家醫院的電腦設備多半都有安裝防毒軟體，但有些醫院可能因為資源關係，還沒有部署端點偵測及回應（EDR）產品，因此衛福部將提供這方面的協助，協調廠商提供2到3個月的免費試用，暫時因應危險期。</p> <p>至於攻擊者是從何種管道入侵？李建璋表示，攻擊者在入侵過程中會從AD管道下手，透過弱密碼嘗試取得帳號權限，進而大範圍發動勒索加密攻擊。</p> <p>另外，衛福部也通知各家醫療院所加強防護，注意網段確實隔離、將防毒軟體更新至最新版本，同時也提供這次攻擊事件的入侵偵測指標（IoC），讓其他醫院可識別攻擊是否已經發生或正在進行。</p> <p>畢竟，<a href="https://www.ithome.com.tw/news/134108">2019年臺灣醫院發生大規模遭遇勒索軟體攻擊的情形，當時傳出有多達66家醫院遭到攻擊。</a></p> <p>另一方面，我們也詢問了這次事件的苦主馬偕醫院，院方在今日傍晚發布新聞稿說明這次事件。</p> <p>根據馬偕醫院的聲明，該院是在2月9日發現系統異常，立即啟動資安緊急應變作業流程並同步通報衛福部資安聯防平台（H-ISAC），並向調查局台北市調查處報案，未來將全力配合調查，至於恐嚇信內容因案件正在偵查中，故不予公開。</p> <p>在影響方面，這次攻擊事件只有影響北淡兩區急診室，目前未有病人個資外洩之虞，醫療作業均正常運作。</p> </div></div></div>
2025/2/11 18:06作者羅正漢https://www.ithome.com.tw/news/167318
WordPress管理流程強化外掛存在高風險漏洞，逾10萬網站恐曝險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>WordPress是相當受歡迎的網站內容管理平臺，外掛程式眾多，但每一套工具的軟體資安防護再嚴密，也總有疏漏，因此，不時傳出被研究人員或駭客找到資安漏洞的消息，這次出包的外掛程式是用於改善網站管理員工作流程的Admin and Site Enhancements（ASE），安裝數超過10萬，根據資安業者Patchstack的揭露，當中<a href="https://patchstack.com/articles/rare-case-of-privilege-escalation-in-ase-plugin-affecting-100k-sites/">存在高風險漏洞CVE-2024-43333、CVE-2025-24648</a>，影響7.6.2.1以下版本，且無論免費版本、付費的專業版本都受到影響。研究人員去年12月通報此事，開發者發布更新版本7.6.3修補，由於這項外掛程式有超過10萬個網站採用，若不處理影響範圍可能相當廣泛。</p> <p>這些漏洞可被用於權限提升，因為當中以角色檢視管理者（View Admin as Role）的功能出現邏輯錯誤，導致使用者有機會能復原成原本的角色權限。Patchstack舉例，原本取得管理員權限的使用者，後來卻莫名其妙被降級為訂閱者，一旦此外掛程式的View Admin as Role功能啟用，該使用者可能回復先前的管理員身分，CVSS風險評為7.5。</p> <p>特別的是，付費版與免費版的ASE雖然存在相同弱點，卻登記為不同的CVE編號：CVE-2024-43333、CVE-2025-24648，Patchstack並未說明理由。</p> </div></div></div>
2025/2/11 15:03作者周峻佑https://www.ithome.com.tw/news/167310
大規模暴力破解攻擊專門針對網路邊緣裝置而來，駭客透過280萬個IP位址發動攻勢
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從攻擊來源的地理位置針對網路邊緣裝置的大規模攻擊行動，最近兩年不斷發生，最近有研究人員提出警告，類似的資安事故再度出現。</p> <p>資安研究機構Shadowserver基金會提出警告，他們最近幾個禮拜<a href="https://x.com/Shadowserver/status/1887790995191763051">從蜜罐陷阱當中，偵測到專門針對網路邊緣裝置（edge devices）而來的大規模暴力破解攻擊</a>，<span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">駭客</span>平均每天動用約280萬個IP位址進行網頁介面登入嘗試，特別偏好攻擊Ivanti、Palo Alto Networks、SonicWall等廠牌的設備。</p> <p>從攻擊來源的地理位置而言，超過三分之一的IP位址來自巴西最多，約有110萬個，其次是土耳其、俄羅斯、阿根廷，分別約有13.5萬、13.3萬、9.9萬個IP位址。從被用來發動攻擊的設備來看，遭到控制的MikroTik設備數量最多，有13萬臺，華為、思科設備分別約有1.3萬、1萬臺，這些廠牌的設備經常遭到殭屍網路鎖定，而被入侵並受到擺布。</p> <p>雖然Shadowserver基金會在社群網站X透露的資訊並不多，但他們<a href="https://www.bleepingcomputer.com/news/security/massive-brute-force-attack-uses-28-million-ips-to-target-vpn-devices/">向資安新聞網站Bleeping Computer透露</a>，這波攻擊行動仍在持續進行，而且規模有擴大的趨勢。</p> <p>而這些攻擊IP位址，分布於許多個網路及自治區，研究人員推測很有可能是殭屍網路，或是與非法代理伺服器（residential proxy）有關的攻擊行動。</p> <p>值得留意的是，去年已有類似事故出現。思科4月提出警告，有人<a href="https://www.ithome.com.tw/news/162367">針對7個廠牌的VPN系統、網路設備或SSH服務</a>，發動暴力破解攻擊；12月Citrix指出<a href="https://www.ithome.com.tw/news/166534">有專門鎖定NetScaler設備的密碼潑灑攻擊</a>，系統恐遭滲透，有可能因身分驗證的負載過大而癱瘓。</p> </div></div></div>
2025/2/11 16:23作者周峻佑https://www.ithome.com.tw/news/167311
Pi0機器人模型整合到Hugging Face LeRobot
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Hugging Face<a href="https://huggingface.co/blog/pi0" target="_blank">宣布</a>，新創公司Physical Intelligence開發的π0（念作Pi-Zero）機器人模型已可整合到Hugging Face的開發套件LeRobot。</p> <p><a href="http://huggingface.co/blog/pi0" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0211-%CF%800%20and%20%CF%800-FAST%EF%BC%9AVision-Language-Action%20Models%20for%20General%20Robot%20Control_Hugging%20face.png" style="width: 600px;" /></a></p> <p>π0（以下將稱Pi0）與π0-FAST是<a href="https://huggingface.co/lerobot/pi0" target="_blank">LeRobot</a>儲存庫的第一批機器人基礎模型，使Hugging Face生態系有了通用機器智慧（generalist robotic intelligence）模型。</p> <p>人形機器人新創公司Physical Intelligence成員來自Google DeepMind、Tesla和X，公司宗旨是開發出能結合通用人工智慧（AGI）的機器人，讓用戶透過AI助理下指令代為執行任務。這家新創公司在最新募資中獲得4億美元投資，使公司市值來到了24億美元。最新一批金主包括了OpenAI和Jeff Bezos及數家投資銀行。</p> <p>最新發表的Pi0是一種為通用型機器人控制而設定的視覺語言行為（Vision-Language Action，VLA）模型。VLM和VLA模型都是以transformer為基礎，最大差別在行為表現。VLM雖也可處理和生成多模態（圖片和文字）表現，但欠缺和真實世界的互動。VLA則是以機器人資料訓練的模型。該公司的通用型機器人模型進一步以不同種機器人資料訓練而成，可提升模型的適應性、效率和效能。</p> <p>Physical Intelligence說明，Pi0在預訓練的VLM模型上使用新的流匹配（flow-matching）架構，以承襲Internet規模的語義知識來生成行為，使機器人可以不同形貌執行靈巧的操作任務。明確而言，Pi0以7種機器平臺和68種不同任務的資料訓練。而且在預訓練後具有強大的零樣本和微調效能，它能依據人類語言指令和高階VLM策略（policy），以及微調來學習新技能。以Pi0模型為基礎的機器人可執行複雜的真實世界任務，像是摺疊衣服、清理桌面、將商品裝袋、組合紙箱或收拾物體。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0211-%CF%800_Vision-Language-Action%20Flow%20Model_Robot%20Control_by%20Physical%20Intelligence_2.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Physical Intelligence</span></span></p> <p>Hugging Face執行長Clement Delangue<a href="https://twitter.com/ClementDelangue/status/1886876463292403781" target="_blank">指出</a>，這是第一次機器人基礎模型透過開源平臺開放大眾使用。該公司希望藉此模型改變機器人學習和執行任務的作法。</p> <p>π0與其自動迴歸版的π0-FAST（Frequency-space Action Sequence Tokenization）<a href="https://huggingface.co/physical-intelligence/fast" target="_blank">模型</a>，都已可在Hugging Face LeRobot儲存庫存取。</p> </div></div></div>
2025/2/11 14:24作者林妍溱https://www.ithome.com.tw/news/167305
蘋果針對iPhone、iPad用戶修補已遭利用的零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>兩週前蘋果才針對旗下電腦、行動裝置、穿戴裝置、影音播放裝置<a href="https://www.ithome.com.tw/news/167181">發布作業系統更新</a>，修補已被用於實際攻擊iPhone用戶的高風險漏洞CVE-2025-24085（CVSS風險評分7.8），如今再傳有新漏洞被用於攻擊的情況。</p> <p>2月10日蘋果發布iOS及iPadOS作業系統更新<a href="https://support.apple.com/en-us/122174">18.3.1</a>，以及<a href="https://support.apple.com/en-us/122173">iPadOS 17.7.5</a>，修補由加拿大公民實驗室（The Citizen Lab）通報的漏洞CVE-2025-24200。此弱點與USB限制模式有關，一旦攻擊者能實際接觸裝置，就有機會在裝置被鎖定的情況下停用USB限制模式。</p> <p>值得留意的是，蘋果表示他們已經接獲通報，得知這項漏洞被用於針對人士下手，進行極度複雜的攻擊行動。但究竟有多少人遭遇相關攻擊？該公司並未進一步說明。</p> </div></div></div>
2025/2/11 10:14作者周峻佑https://www.ithome.com.tw/news/167302
程式碼管理工具Google Tag Manager遭濫用，攻擊者用來對Magento網站側錄信用卡資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google提供網站管理者一套控管網站追蹤程式碼的工具Tag Manager（GTM），能讓網站分析師及行銷人員在不需大幅調整網站原始碼的情況下，導入Google Analytics、AdWords、Facebook Pixel等工具進行網站流量追蹤，但如今這項免費工具也成為駭客濫用的標的。</p> <p>資安業者Sucuri接獲客戶通報，指出他們的Magento電子商務網站出現信用卡資料遭竊的情況，<a href="https://blog.sucuri.net/2025/02/google-tag-manager-skimmer-steals-credit-card-info-from-magento-site.html">Sucuri進行調查後發現</a>，這家公司的電子商務網站遭到惡意程式感染，而這支惡意程式散布的媒介，竟然是放在GTM上面的指令碼。Sucuri資安分析師Puja Srivastava指出，他們對於網站的檔案進行檢查，結果找到惡意程式從資料庫特定的資料表cms_block.content載入。</p> <p>乍看之下，有問題的程式碼看似GTM或Google Analytics的追蹤指令碼，但Puja Srivastava指出，他們對程式碼進行檢查，確認這些程式碼用於惡意行為，而非一般的網站分析或廣告成效分析。而有問題的後門程式，出現在./media/index.php，根據GTM的ID，研究人員進一步追查是否有其他網站受害，結果他們確認至少有6個網站遭到感染。</p> <p>一旦觸發了GTM的標籤，經過加密處理的JavaScript酬載就會進行側錄信用卡資料的工作，在消費者結帳時收集輸入的內容，然後傳送至攻擊者控制的伺服器。</p> </div></div></div>
2025/2/11 12:17作者周峻佑https://www.ithome.com.tw/news/167304
Google將付費版NotebookLM Plus推向一般用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google付費版AI筆記服務NotebookLM Plus本周<a href="https://support.google.com/notebooklm/answer/15678219?visit_id=638748334713236681-4012914966&p=plus&rd=1" target="_blank">開放給</a>一般用戶訂閱。</p> <p>Google去年12月<a href="https://blog.google/technology/google-labs/notebooklm-new-features-december-2024/" target="_blank">公布</a>付費版NotebookLM Plus實驗版。當時僅提供給重度用戶、部門（NotebookLM Plus）和企業（NotebookLM Plus企業版），現在則開放個人用戶使用。</p> <p>根據Google<a href="https://notebooklm.google/plus" target="_blank">說明</a>付費版比免費版提供5倍容量，每天能建立500個筆記，每個筆記來源提供為300個，每天可進行500次對話，生成20次語音。</p> <p>英文版NotebookLM Plus還提供Audio Overview互動功能（<a href="https://support.google.com/notebooklm/answer/15678219?visit_id=638748334713236681-4012914966&p=plus&rd=1" target="_blank">中文版</a>沒有這功能）。Audio Overview根據使用者上傳來源文件產生語音版概要資料，這是二個AI人聲對話討論的podcast聲音檔，NotebookLM Plus讓使用者產生5份Audio Overview，並能加入討論。此外用戶還可客製化筆記回應的樣式和長度，或是製作和團隊共享的筆記並取得使用分析。Plus版本也提供更高安全性及隱私防護。</p> <p>NotebookLM Plus存取是綑綁於Google其他方案上。大型企業從Google Cloud使用，部門組織則是需透過Google Workspace和Google Workspace for Education啟用。個人版則透過Google One AI進階版（<a href="http://one.google.com/intl/zh-TW/about/ai-premium/" target="_blank">Premium</a>）提供，費用為19.99美元或650元臺幣。</p> </div></div></div>
2025/2/11 11:54作者林妍溱https://www.ithome.com.tw/news/167303
馬斯克提案以974億美元收購OpenAI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>科技大亨馬斯克（Elon Musk）日前表示對收購TikTok不感興趣，因為他想要買更大的。華爾街日報<a href="https://www.wsj.com/tech/elon-musk-openai-bid-4af12827" target="_blank">報導</a>，馬斯克領導的投資團隊提案欲收購OpenAI的非營利部門，阻止OpenAI走向商業化。</p> <p>馬斯克的律師Marc Toberoff在接受華爾街日報訪談時證實此事。馬斯克領導的銀行團及投資公司將以974億美元買下主導OpenAI的非營利單位，以取得該公司的控制權。這項收購是馬斯克阻止OpenAI改變公司營運方針，轉型為營利組織的最新行動。</p> <p>OpenAI去年開始計畫公司改組以成為真正的營利導向組織，遭到過去的投資人馬斯克以法律途徑<a href="https://www.ithome.com.tw/news/166292" target="_blank">阻撓</a>，聲稱其理由是OpenAI違背了開放源碼及服務人類的宗旨。</p> <p>馬斯克發表聲明，xAI就是以OpenAI當初矢言奉行的價值為依歸，該公司Grok模型完全開源，尊重內容創作者權利。他說，是時候讓OpenAI永遠回歸開源、以安全為重的原點了，該公司會竭盡所能讓這件事成真。</p> <p>OpenAI 2019年改組至今的架構中，OpenAI為以非營利組織為中心及最高管理機構，營利機構只追求有限利潤。但根據該公司<a href="https://www.ithome.com.tw/news/166735" target="_blank">計畫</a>2025年OpenAI將轉型德拉瓦州公益法人（Delaware Public Benefit Corporation⁠），可發行股票，未來PBC和非營利組織是並行的。</p> <p>如果收購成功，xAI和OpenAI可能會合併。</p> <p>不過落花有意，流水無情。OpenAI現在已是市值1,570億美元的超大型新創公司。OpenAI執行長Sam Altman幽默<a href="https://x.com/sama/status/1889059531625464090" target="_blank">婉拒</a>說「不了，謝謝，但如果你願意，我們可以97.4億美元買下推特」，暗指馬斯克2022年砸了440億美元<a href="https://www.reuters.com/markets/deals/billionaire-musk-says-not-interested-acquiring-tiktok-2025-02-08/" target="_blank">買下</a>當時名為推特的X成為其大型收購的代表。</p> <p><a href="http://x.com/sama/status/1889059531625464090" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0211-sam%20altman-elon%20musk%20buy%20openai.png" style="width: 600px;" /></a></p> <p>馬斯克本周稍早<a href="https://www.reuters.com/markets/deals/billionaire-musk-says-not-interested-acquiring-tiktok-2025-02-08/" target="_blank">表示</a>沒有興趣收購TikTok，因他通常自創公司從頭發展，以回應外界對這件交易的猜測。<a href="https://www.reuters.com/markets/deals/billionaire-musk-says-not-interested-acquiring-tiktok-2025-02-08/" target="_blank">他說</a>買下推特是罕見例子。</p> </div></div></div>
2025/2/11 09:33作者林妍溱https://www.ithome.com.tw/news/167300
Power Platform的SharePoint連接器存在SSRF漏洞，攻擊者有機會冒充使用者的名義發送請求
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安實驗室Zenity Labs指出，微軟低程式碼開發平臺Power Platform的SharePoint連接器<a href="https://labs.zenity.io/p/the-power-of-one-ssrf-vulnerability-a-multi-platform-threat">存在重大層級的伺服器偽造請求（SSRF）漏洞</a>，一旦攻擊者成功利用，就有機會挖掘使用者的帳密資料，從而冒用這些使用者的名義，向SharePoint的API發送請求，滲透敏感資料，並執行未經授權的活動。</p> <p>對此，Zenity Labs於去年9月通報，微軟在10月上旬確認漏洞，並於10月下旬頒發獎金給研究人員，最終於12月完成修補。值得留意的是，Zenity Labs指出這種弱點影響範圍相當廣，不光SharePoint連接器，Power Automate、Power Apps、Copilot Studio、Copilot365也可能曝險，這樣的情況使得該漏洞的危害範圍擴大許多，因為攻擊者有機會從Power Platform生態系統多個服務試圖利用漏洞，從而在受害企業組織持續活動，卻不被發現。</p> <p>針對這項漏洞發生的原因，Zenity Labs資安研究員Dmitry Lozovoy指出，是SharePoint連接器的輸入驗證不足所致，攻擊者可濫用自訂數值（custom value）的功能，並植入偽造的URL，導致連接器接受輸入內容並直接向伺服器發送請求。</p> <p>基於這樣的控管疏漏，攻擊者在發動伺服器偽造請求攻擊後，就有機會得到SharePoint的Token，研究人員以此進行相關驗證之後，發現這組Token居然就是流程建立者的Token，而且能從外部使用，這也意味著，攻擊者能輕易利用cURL或是Burp Suite等工具發出請求，進行API呼叫。</p> <p>不過，利用這項漏洞必須搭配指定條件，那就是攻擊者事先必須取得特定Power Platform角色身分（Environment Maker、Basic User），才有機會觸發。</p> </div></div></div>
2025/2/10 17:57作者周峻佑https://www.ithome.com.tw/news/167294
Hugging Face挑戰OpenAI Deep Research，24小時打造開源智慧代理系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Hugging Face發起一項挑戰，嘗試在24小時內<a href="https://huggingface.co/blog/open-deep-research">重現OpenAI最新發表的Deep Research系統</a>，並開源其關鍵技術。OpenAI在2月初推出Deep Research，結合大型語言模型與代理框架，能夠透過網頁瀏覽、資訊整理與多步推理來回答複雜問題。Hugging Face的開源挑戰不僅試圖驗證這套技術的可行性，也希望提供開源替代方案，讓開發者能自行部署類似系統。</p> <p>OpenAI的Deep Research之所以備受矚目，在於它在GAIA（General AI Assistants）基準測試的表現大幅超越單純仰賴語言模型的人工智慧系統。根據OpenAI發表的資料，Deep Research在GAIA測試中的單次提示作答準確率達到67％，而即便是最具挑戰性的第三級多步推理與工具使用問題，仍可維持47.6％的正確率。不過，OpenAI並未公開其代理框架的細節，這讓Hugging Face決定嘗試重現相關技術，並釋出開源版本，讓更廣泛的開發者社群能夠參與改進。</p> <p>Hugging Face在24小時內完成第一個版本，以自家開發的smolagents框架為基礎，搭配大型語言模型來執行搜尋、資訊整理與多步推理。這個系統能夠自主規畫解題流程，決定何時查詢額外資訊，並以程式碼的方式表達執行步驟。相較於OpenAI未公開的技術，這項開源專案強調模組化設計，允許開發者選擇不同的語言模型，並且結合使用其他開源工具。</p> <p>特別的是，Hugging Face的團隊選擇使用CodeAgent技術來提升代理系統的效率。相較於常用的JSON格式，透過程式碼來表達執行步驟，能使推理過程更精簡，並減少API呼叫次數，根據研究團隊測試結果，改用CodeAgent之後，代理系統在GAIA測試中的表現從46％提升至55.15％。此外，與JSON格式相比，使用Python來描述行動流程也能更直覺地表達邏輯關係，讓代理系統能夠有效處理多步推理問題。</p> <p>這項開源計畫仍處於早期階段，儘管在部分測試中已有所進展，但要完整實作OpenAI Deep Research的功能，仍存在許多挑戰。特別是在瀏覽器操作方面，OpenAI採用了名為Operator的進階網頁瀏覽器，使Deep Research不僅能夠深入解析網頁內容，還能進行互動式操作。相比之下，Hugging Face的初版開源系統目前僅支援基礎的文字網頁瀏覽，尚未具備視覺辨識或更精細的網頁互動能力。此外，OpenAI的系統可能還包括內部最佳化的提示詞工程與資料檢索技術，這些重點細節在開源社群中仍需透過試驗逐步改進。</p> </div></div></div>
2025/2/10 18:26作者李建興https://www.ithome.com.tw/news/167295
【資安日報】2月10日，150家企業組織的AD聯合身分驗證服務系統遭鎖定，駭客藉此挾持帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了突破多因素驗證（MFA），現在有許多網路釣魚工具包都提供駭客對手中間人攻擊（AiTM）功能，但也有駭客從企業組織的基礎設施下手，針對AD聯合身分驗證服務服務（ADFS）達到相同目的。</p> <p>值得留意的是，駭客成功挾持其中一個帳號，還會用來對企業組織的員工、合作夥伴、客戶發動進一步攻擊，造成更嚴重的破壞。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167291"><strong style="font-size: 22px;">150家企業組織遭到鎖定，駭客藉由AD聯合身分驗證服務繞過多因素驗證，從而挾持帳號</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/jVkY7tgul1.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/jVkY7tgul1.jpg" style="width: 300px; float: right;" /></a></p> <p>隨著許多企業組織都採用多因素驗證（MFA）保護使用者帳號，駭客也試圖突破這類防護機制，其中一種最常見的手法是對手中間人攻擊（AiTM），如今也有攻擊者鎖定AD聯合身分驗證服務服務（ADFS）下手的情況。</p> <p>資安業者Abnormal Security揭露大規模釣魚攻擊事故，至少有150個企業組織遭到鎖定，廣泛涵蓋教育、醫療保健、政府機關等各式產業，這些攻擊行動的共通點，就是歹徒透過AD聯合身分驗證服務服務來繞過多因素身分驗證。</p> <p>值得留意的是，此次網路釣魚攻擊鎖定的目標，有超過半數（52.8%）是針對大學或其他教育機構，醫療保健及政府機關居次，分別占14.8%、12.5%。從這些受害組織的地理位置而言，大多數位於美國，但加拿大、澳洲、歐洲也有企業組織受害。</p> <p><a href="https://www.ithome.com.tw/news/167289"><strong style="font-size: 22px;">DeepSeek的AI服務隱私防護遭質疑！資安業者指控恐將用戶輸入資料傳至中國國營電信業者</strong></a></p> <p>中國AI工具DeepSeek號稱以低成本建置匹敵效能ChatGPT引起全球關注，並標榜開源、免費而受到歡迎，但背後由中國企業開發而可能隱含的資安風險也引起研究人員注意，繼有數家資安業者警告DeepSeek R1模型能被輕易越獄而能用於助長犯罪，最近有資安業者提出新的發現，指出DeepSeek疑似與中國國營電信業者串連，而有可能讓中國政府直接存取相關資料。</p> <p>資安業者Feroot Security執行長Ivan Tsarynny接受美國廣播公司（ABC）、美聯社（AP News）、CNBC、雅虎等媒體採訪時指出，他們的研究團隊於網頁版DeepSeek AI聊天機器人進行調查，發現這家公司在登入網頁嵌入重度混淆的程式碼相當不尋常，經過他們的解析，確認有隱藏功能，可將使用者的資料傳送到中國移動（China Mobile）的帳號登入網站CMPassport.com。僅管DeepSeek本來就表明會將使用者資料存放於中國境內，但埋入這種能將資料傳送到中國政府控制企業的功能，Ivan Tsarynny強調，他們還是第一次看到。</p> <p><a href="https://www.ithome.com.tw/news/167153"><strong style="font-size: 22px;">2025年全球風險報告出爐，錯假訊息、網路間諜名列短期10大風險</strong></a></p> <p>世界經濟論壇（WEF）在1月15日發布了《2025年全球風險報告》，此次剛好是該報告發布的第20周年。在今年短期風險中，第一名是科技類型風險，這已是連續兩年有此狀況，長期風險仍以多項環境風險為主、科技風險次之。</p> <p>值得我們關注的是，關於「錯誤資訊與假訊息」一項，已是連續兩年居於短期10大風險之首。對此狀況，報告中特別強調生成式AI在大規模產生虛假或誤導性內容方面的作用，以及與另一項風險社會兩極化的關聯。同時，WEF也直截了當指出，社會接觸到的虛假或誤導性內容數量是持續增加，讓公民、企業與政府辨識真實資訊的挑戰更加艱難。</p> <p>更關鍵的是，在錯誤資訊、社會及政治兩極化這兩者的交互作用下，進一步加劇演算法偏見的風險。而且，演算法偏見也成為加劇錯誤資訊的推手，在這樣的態勢下也讓威脅者有機可趁，利用演算法偏見上的漏洞來擴大影響力。</p> <p><strong style="font-size: 22px;">創見、華城發布重大訊息，指出部分資訊系統遭遇網路攻擊</strong></p> <p>2月7日、9日<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=2&SPOKE_TIME=165059&SPOKE_DATE=20250207&COMPANY_ID=2451">創見</a>與<a href="https://mops.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=191659&SPOKE_DATE=20250209&COMPANY_ID=1519">華城電子</a>於股市公開觀測站發布資安重訊，察覺後啟動相關防禦機制及復原作業，所幸未對公司營運造成重大影響。</p> <p>針對創見公布的資安事故，他們表示是子公司Transcend Information, Inc有部分資訊系統遭到攻擊，並提及著手復原的情況，由此看來很有可能是勒索軟體攻擊；華城則明確指出他們遭到勒索軟體攻擊，並詳細確認資通系統及網站並未受到影響，亦無個資及文件檔案外流的情況。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/02/malicious-ml-models-found-on-hugging.html">AI共享平臺Hugging Face再傳惡意模型，駭客利用損壞的Pickle格式迴避偵測</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.darkreading.com/application-security/researcher-jailbreaks-openai-o3-mini">資安研究人員聲稱突破OpenAI最新防禦機制，成功在新款機器學習模型o3-mini進行越獄</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://bi.zone/eng/expertise/blog/nova-khorosho-zabytoe-staroe/">竊資軟體Nova鎖定俄羅斯企業組織而來，假借合約的名義散布</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/hackers-exploit-simplehelp-rmm-flaws-to-deploy-sliver-malware/">遠端管理軟體SimpleHelp漏洞傳出遭積極利用，攻擊者藉此散布滲透測試工具Sliver</a></strong></p> <p> </p> <p><strong>【漏洞與修補】</strong></p> <p><a href="https://www.ithome.com.tw/news/167294"><strong style="font-size: 22px;">Power Platform的SharePoint連接器存在SSRF漏洞，攻擊者有機會冒充使用者的名義發送請求</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/power_platform.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/power_platform.png" style="width: 300px; float: right;" /></a>資安實驗室Zenity Labs指出，微軟低程式碼開發平臺Power Platform的SharePoint連接器存在重大層級的伺服器偽造請求（SSRF）漏洞，一旦攻擊者成功利用，就有機會挖掘使用者的帳密資料，從而冒用這些使用者的名義，向SharePoint的API發送請求，滲透敏感資料，並執行未經授權的活動。</p> <p>對此，Zenity Labs於去年9月通報，微軟在10月上旬確認漏洞，並於10月下旬頒發獎金給研究人員，最終於12月完成修補。值得留意的是，Zenity Labs指出這種弱點影響範圍相當廣，不光SharePoint連接器，Power Automate、Power Apps、Copilot Studio、Copilot365也可能曝險，這樣的情況使得該漏洞的危害範圍擴大許多，因為攻擊者有機會從Power Platform生態系統多個服務試圖利用漏洞，從而在受害企業組織持續活動，卻不被發現。</p> <p><strong style="font-size: 22px;">其他資安防禦措施</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/cyber-agencies-share-security-guidance-for-network-edge-devices/https://www.bleepingcomputer.com/news/security/cyber-agencies-share-security-guidance-for-network-edge-devices/https://www.bleepingcomputer.com/news/security/cyber-agencies-share-security-guidance-for-network-edge-devices/https://www.bleepingcomputer.com/news/security/cyber-agencies-share-security-guidance-for-network-edge-devices/https://www.bleepingcomputer.com/news/security/cyber-agencies-share-security-guidance-for-network-edge-devices/https://www.bleepingcomputer.com/news/security/cyber-agencies-share-security-guidance-for-network-edge-devices/">五眼聯盟針對網路邊際設備發布資安指引，呼籲製造商提升設備活動的能見度</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/167283"><strong>【2月8日】多家資安業者揭露中國AI工具DeepSeek，美國擬禁政府公務設備使用</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167256"><strong>【2月7日】義大利政府驚傳利用間諜軟體Paragon監控記者及異議人士</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167246"><strong>【2月6日】HTTP用戶端軟體自動存取工具被駭客用於挾持M365帳號</strong></a></p> </div></div></div>
2025/2/10 18:28作者周峻佑https://www.ithome.com.tw/news/167297
150家企業組織遭到鎖定，駭客藉由AD聯合身分驗證服務繞過多因素驗證，從而挾持帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著許多企業組織都採用多因素驗證（MFA）保護使用者帳號，駭客也試圖突破這類防護機制，其中一種最常見的手法是對手中間人攻擊（AiTM），如今也有攻擊者鎖定AD聯合身分驗證服務服務（ADFS）下手的情況。</p> <p>資安業者Abnormal Security<a href="https://abnormalsecurity.com/blog/phishing-mfa-bypass-account-takeover">揭露大規模釣魚攻擊事故</a>，至少有150個企業組織遭到鎖定，廣泛涵蓋教育、醫療保健、政府機關等各式產業，這些攻擊行動的共通點，就是歹徒透過AD聯合身分驗證服務服務來繞過多因素身分驗證。</p> <p>值得留意的是，此次網路釣魚攻擊鎖定的目標，有超過半數（52.8%）是針對大學或其他教育機構，醫療保健及政府機關居次，分別占14.8%、12.5%。從這些受害組織的地理位置而言，大多數位於美國，但加拿大、澳洲、歐洲也有企業組織受害。</p> <p>究竟駭客如何發動攻擊？Abnormal Security威脅情報暨平臺主管Piotr Wojtyla指出，攻擊者通常會假冒企業內部的IT團隊，聲稱資安政策調整或以系統改進為由，發送釣魚郵件，將使用者重新導向偽造的登錄網頁，該網頁仿造企業的ADFS入口網站。為了讓使用者降低警覺，駭客刻意複製了品牌及URL特徵。Piotr Wojtyla表示，駭客的手法充分利用了人類心理，用戶存取過往曾經看過的登入網頁往往不會起疑，即使具有高度資安意識的人士都有可能上當。</p> <p>這起攻擊行動當中最特殊的地方，在於駭客繞過多因素驗證的手法相當複雜。Piotr Wojtyla指出，雖然駭客最終的目的是挾持Microsoft 365帳號，過程中卻收集各階段所有的身分驗證因子。</p> <p>首先，攻擊者透過釣魚網頁取得目標人士的帳號及密碼，接著，釣魚網頁會根據目標企業組織導入的多因素驗證流程，要求使用者進行對應的驗證提示。</p> <p>攻擊者將多因素驗證的進行分成繁瑣的步驟，假若受害者猶豫不決，釣魚網頁還會透過特殊的提示引導他們執行後續步驟，從而讓使用者以為在執行合法的登入流程。</p> <p>一旦駭客成功挾持其中一個帳號，他們就會加以利用，作為進階攻擊的跳板。駭客會盜用這個帳號對同一組織的內部員工、合作夥伴，以及客戶下手，進行橫向網路釣魚。</p> <p>此外，為了迴避偵測，駭客還會操縱電子郵件的政策，建立能過濾資安警報及網路釣魚警示的自動化規則，使得受害者難以察覺自己的帳號遭駭。在部分情況下，往來釣魚郵件在使用者發現前，就遭到攔截或是刪除。</p> </div></div></div>
2025/2/10 16:46作者周峻佑https://www.ithome.com.tw/news/167291
DeepSeek的AI服務隱私防護遭質疑！資安業者指控恐將用戶輸入資料傳至中國國營電信業者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國AI工具DeepSeek號稱以低成本建置匹敵效能ChatGPT引起全球關注，並標榜開源、免費而受到歡迎，但背後由中國企業開發而可能隱含的資安風險也引起研究人員注意，繼有<a href="https://www.ithome.com.tw/news/167279">數家資安業者警告DeepSeek R1模型能被輕易越獄而能用於助長犯罪</a>，最近有資安業者提出<a href="https://www.feroot.com/news/the-independent-feroot-security-uncovers-deepseeks-hidden-code-sending-user-data-to-china/">新的發現</a>，指出DeepSeek疑似與中國國營電信業者串連，而有可能讓中國政府直接存取相關資料。</p> <p>資安業者Feroot Security執行長Ivan Tsarynny接受<a href="https://www.feroot.com/blog/feroot-security-research-reveals-deepseek-ais-hidden-data-pipeline-to-china/">美國廣播公司（ABC）</a>、<a href="https://www.feroot.com/blog/ap-news-feroot-research-uncovers-deepseeks-connection-to-chinese-state-owned-telecom/">美聯社（AP News）</a>、<a href="https://www.feroot.com/blog/ivan-tsarynny-on-cnbc-deepseeks-security-risks-and-data-exposure-to-china-mobile/">CNBC</a>、<a href="https://www.feroot.com/blog/yahoo-finance-u-s-lawmakers-push-to-ban-chinas-deepseek-ai-over-security-risks-feroot-security-analysis/">雅虎</a>等媒體採訪時指出，他們的研究團隊於網頁版DeepSeek AI聊天機器人進行調查，發現這家公司在登入網頁嵌入重度混淆的程式碼相當不尋常，經過他們的解析，確認有隱藏功能，可將使用者的資料傳送到中國移動（China Mobile）的帳號登入網站CMPassport.com。僅管DeepSeek本來就表明會將使用者資料存放於中國境內，但埋入這種能將資料傳送到中國政府控制企業的功能，Ivan Tsarynny強調，他們還是第一次看到。</p> <p>由於中國移動是中國國營的電信公司，且美國以國家安全為由，<a href="https://www.ithome.com.tw/news/130552">已禁止該公司在美國從事相關業務</a>，多個國家與地區政府也禁止在公務設備使用DeepSeek，但仍有許多地方與領域並未設限，DeepSeek擅自建置能將用戶資料傳送給中國移動的管道，顯然對民主國家的用戶帶來隱患。</p> <p>一旦使用者登入DeepSeek，系統就會分配數位指紋，所有使用者提供的內容，DeepSeek就會以數位指紋進行列管，而能夠被追蹤。Feroot Security提到，DeepSeek不只可能對使用者收集帳密資料、聊天內容、上傳的檔案，甚至還會進行像素追蹤（Pixel Tracking），即時監控特定使用者活動。</p> <p>Ivan Tsarynny進一步表示，雖然他們並未在嘗試登入的過程裡，看到DeepSeek明目張膽地直接將用戶資料傳送到中國移動，但他們無法完全排除DeepSeek會暗中進行傳輸的可能。此外，他們找到DeepSeek將使用者資料傳送至中國伺服器的證據，雖然無法確定這些伺服器是否與中國移動有關，但已有資料流入其他中國IT平臺，其中一個是百度的廣告追蹤器。</p> <p>值得留意的是，這家資安業者轉載了Ivan Tsarynny接受多家媒體報導的內容，但出現前後說法不一致的情況，例如：他僅有對美聯社提及相關程式碼遭到混淆，但對其他媒體卻是表示這些程式碼經由加密處理。再者，Feroot Security並未透露調查結果的細節，或是提出相關證據，這樣的情況有待其他研究人員進行驗證。</p> </div></div></div>
2025/2/10 14:55作者周峻佑https://www.ithome.com.tw/news/167289
【資安週報】0203~0208，DeepSeek服務資安風險成焦點，包括資料庫裸奔、無法抵擋基本越獄手法，以及資料與隱…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著春節年假結束，2025年2月第一星期資安新聞中，國內上市櫃公司的資安事故成主要焦點，而在春節期間成熱門話題的DeepSeek，其資安風險消息也屢屢登上新聞版面。</p> <p>在臺灣資安事件方面，自從2月1日週六（農曆年初四）開始，有多達7家上市櫃公司發布資安重訊。值得留意的是，這段期間遭受攻擊的業者，有多家均屬於印刷電路板（PCB）廠，包括欣興電子、南亞電路板、邑昇實業，其他還有鋼鐵、光學元件、IC通路與記憶體模組等業者。</p> <p>●欣興電子子公司聯能科技（深圳）遭勒索軟體攻擊<br /> ●南亞電路板子公司南亞電路板（昆山）部份資訊系統遭網路攻擊<br /> ●邑昇實業部分資訊系統遭受駭客網路攻擊<br /> ●美亞鋼管指出公司網頁及部份資訊系統遭受駭客網路攻擊<br /> ●先進光電科技資訊系統遭受駭客網路攻擊<br /> ●尚立指出公司電子郵件系統遭受網路攻擊<br /> ●創見資訊旗下Transcend Information部份資訊系統遭受網路攻擊</p> <p>還有一項消息需要金融領域關注，臺灣春節期間傳出有商家暫停使用感應式行動支付，以及金融機構向特約商店示警新式偽冒交易的狀況，後續Visa說明示警原因，在於發現國際間出現惡意程式驅動刷卡機進行離線交易的手法。</p> <p>在DeepSeek的消息方面，近期不只因為能夠大幅優化GPU利用效率而受關注，其資料安全、用戶隱私與資安風險，也如同過去ChatGPT爆紅時一樣受到各界檢視，本星期有多起資安新聞都與此有關。<br /> ●DeepSeek的ClickHouse資料庫存在配置錯誤問題，雲端資安業者Wiz在1月29日指出其資料庫不設防的問題，導致百萬筆機密日誌曝險。<br /> ●由於DeepSeek資安疑慮未釐清的問題，多國政府與臺灣宣布公家機關禁用。<br /> ●DeepSeek對多種已知越獄手法無法防範，Kela、Palo Alto Networks、思科等業者測試發現，攻擊者可要求該模型打造惡意程式、提供製作武器的方法，<br /> ●DeepSeek的iOS App存在多項資安風險，資安業者NowSecure發現該App使用過時加密技術、明碼傳送資料，並會將部份用戶資料送到中國。<br /> ●有駭客假借提供AI工具DeepSeek的名義，在PyPI散布惡意軟體。</p> <p>至於漏洞消息方面，年假過後的這類消息不少，有4個是零時差漏洞利用狀況，特別是7-Zip的MotW漏洞要注意，因為該漏洞去年9月就遭到利用，11月已修補，直到最近CVE編號才公開，ZDI研究人員指出利用這項漏洞的俄羅斯駭客，目標是針對烏克蘭政府與企業，意圖植入惡意程式載入工具SmokeLoader。本星期漏洞利用資訊我們整理如下：</p> <p>●已遭利用零時差漏洞，需儘速修補：蘋果多款產品的漏洞（CVE-2025-24085），Android核心的漏洞CVE-2024-53104，SonicWall遠端存取產品SMA1000漏洞（CVE-2025-23006），Trimble GIS軟體Cityworks漏洞（CVE-2025-0994），以及7-Zip漏洞（CVE-2025-0411）。<br /> ●EOL產品遭零時差漏洞利用，需汰換設備因應：合勤科技CPE通訊設備EOL產品的漏洞（CVE-2024-40891）<br /> ●最近一年修補漏洞首度確認遭利用，尚未修補者必須注意：Linux kernel漏洞（CVE-2024-53104），Apache ERP系統OFBiz漏洞（CVE-2024-45195），Audinate Dante Discovery漏洞（CVE-2022-23748），以及微軟Outlook漏洞（CVE-2024-21413）、.NET Framework漏洞（CVE-2024-29059）。<br /> ●老舊漏洞被美CISA列入KEV清單須限期修補：Sophos XG Firewall漏洞（CVE-2020-15069）、CyberoamOS漏洞（CVE-2020-29574）；Paessler PRTG網路監視軟體漏洞（CVE-2018-9276、CVE-2018-19410）。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/167185"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月3日】蘋果針對旗下設備修補今年第一個零時差漏洞</span></strong></a></h3> <p>在一月底農曆新年過年之前，蘋果對於旗下產品發布作業系統更新，範圍涵蓋電腦、行動裝置、穿戴裝置、影音播放裝置，但引起外界關注的是，其中已有一項漏洞被用於實際的攻擊行動。</p> <p>針對這項漏洞的資訊，蘋果並未透露太多資訊，僅表示遭到攻擊的裝置存在共通點，那就是它們搭配的作業系統早於iOS 17.2版。</p> <h3><a href="https://www.ithome.com.tw/news/167208"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月4日】美荷執法單位聯手，撤下提供商業郵件詐騙武器的地下市集</span></strong></a></h3> <p>過去一年全球跨國執法行動有不少斬獲，像是歐洲刑警組織（Europol）與全球15國執法單位通力合作，<a href="https://www.ithome.com.tw/news/166477">一口氣關閉27個DDoS租用平臺</a>，或是國際刑警組織（Interpol）與40個國家及地區的執法單位聯手，<a href="https://www.ithome.com.tw/news/166326">逮捕超過5,500名從事金融犯罪的嫌犯</a>並沒收不法所得。而對於專門提供作案工具買賣的網站，最近也有進展。</p> <p>美國、荷蘭在一月底聯手，控制用來架設銷售商業郵件詐騙（BEC）工具網站的39個網域，破壞相關伺服器的運作，並公布相關調查成果。</p> <p><a href="https://www.ithome.com.tw/news/167226"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月5日】去年修補的7-Zip的MotW漏洞被用於攻擊烏克蘭企業與政府機關</span></strong></a></p> <p>7-Zip在2024年11月發布的24.09版當中，修補能繞過MotW防護機制的漏洞CVE-2025-0411，然而，由於這款解壓縮軟體並未內建自動更新機制，不少使用者可能因為仍在使用舊版而曝險，所以資安圈關注此事，另一個令人大家好奇的部分在於，CVE-2025-0411是如何被發現的？</p> <p>這個星期ZDI透露他們之所以察覺，是因為俄羅斯駭客利用釣魚郵件攻擊烏克蘭企業組織，過程曾運用這項漏洞，於受害電腦執行任意程式碼，從而散布惡意軟體。</p> <h3><a href="https://www.ithome.com.tw/news/167246"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月6日】HTTP用戶端軟體自動存取工具被駭客用於挾持M365帳號</span></strong></a></h3> <p>專門用來向網頁伺服器發出請求並接收回應的HTTP用戶端（HTTP cilent）應用程式及程式庫，使用者可藉此發出GET、POST、PUT等請求，與伺服器進行互動，然而這樣的工具，攻擊者將其用於網路犯罪的情況也越來越頻繁。</p> <p>資安業者Proofpoint發現，有人將這類工具用於挾持M365帳號，其中部分工具甚至能被用於對手中間人攻擊（AiTM），繞過多因素驗證的防護機制。</p> <h3><a href="https://www.ithome.com.tw/news/167256"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月7日】義大利政府驚傳利用間諜軟體Paragon監控記者及異議人士</span></strong></a></h3> <p>過往我們聽聞政府利用間諜軟體監控異議人士的情況，多半發生在集權國家，但如今傳出竟有民主國家政府也加入行列。</p> <p>一週前WhatsApp透露不尋常的零點擊攻擊事故（Zero-click），並指出約有90人遭到鎖定，攻擊者意圖在他們的手機植入間諜軟體Graphite。現在有知情人士透露，這起事故是義大利政府所為。</p> <h3><a href="https://www.ithome.com.tw/news/167283"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月8日】多家資安業者揭露中國AI工具DeepSeek，美國擬禁政府公務設備使用</span></strong></a></h3> <p>本週最受到全球關注的科技大事，莫過於號稱以極成本打造匹敵ChatGPT的中國AI工具DeepSeek，不僅造成了股市動盪，甚至本週<a href="https://www.ithome.com.tw/news/167249">OpenAI免費開放ChatGPT的網路搜尋功能</a>，也有人認為與這款中國AI工具橫空出世有關。</p> <p>然而有多家資安業者發現，DeepSeek R1模型的資安風險不容忽視，能輕易被越獄用於犯罪，而且，行動裝置版App也存在資安風險，該公司亦明確表明資料存放於中國，並會提供其他企業組織及執法機關運用。對此，也傳出美國朝野打算立法禁止政府機關使用的情況。</p> </div></div></div>
2025/2/10 11:01作者羅正漢https://www.ithome.com.tw/news/167287
蘋果公布Pixar檯燈的家用機器人開發框架，會說話還會坐下
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">蘋果上周<a href="https://arxiv.org/pdf/2501.12493" target="_blank">發表</a>家用伴侶機器人的開發框架ELEGNT，並展示形似皮克斯（Pixar）電影片頭的檯燈作為概念驗證。</p> <p dir="ltr">蘋果的ELEGNT（Expressive and Functional Movement Design for non-Anthropomorphic Robot，非人形機器人的表達與功能運動設計）框架表達該公司對機器人的想像：機器人不只能完成功能運動，還要能透過人機互動（Human-Robot Interactions，HRI）對人類表現意圖、注意力和情感。</p> <p dir="ltr">蘋果上周的開發範例靈感來自皮克斯電影裏名為Luxo Jr的檯燈。經過複雜度、美學及表現性等因素考量，蘋果研究團隊最後決定開發檯燈型態的機器人為概念驗證。它擁有6自由度（DoF）機械臂和一個檯燈頭，使其雖然是裝置外型，但也有人型機器人的元素，燈罩內有燈光、投影機，內外各有一顆攝影機，攝影機可充當機器人的眼睛，燈光和機械臂運動可讓它和人與環境互動。此外還有麥克風及喇叭，可聽取使用者聲音和發出聲音。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/Luxo%20Jr_%20poster.png" style="width: 169px;" /></p> <p dir="ltr"><span style="color:#696969;"><span style="font-size:14px;">By <a href="https://itunes.apple.com/us/movie/luxo-jr./id81939954" target="_blank">https://itunes.apple.com/</a>, Fair use, <a href="https://en.wikipedia.org/w/index.php?curid=32550107" target="_blank">wikipedia</a></span></span></p> <p dir="ltr">研究人員融合運動學（kinesics）和空間行為學（proxemics），讓機器人透過機械臂彎曲、燈頭方向及燈光強弱來表達其情緒與意圖如凝視、忽視，或坐下、點頭、扭屁股等動作，燈光照亮特定物體或空間可引導使用者目光，以表達強調意圖。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/0210-ELEGNT-Robot-Apple-600.jpg" style="width: 600px;" /></p> <p dir="ltr"><span style="color:#696969;"><span style="font-size:14px;">圖片來源／蘋果</span></span></p> <p dir="ltr">最後，研究團隊讓機器人和人類錄影執行6種任務情境，包括機器人打光、協助投影、提醒喝水、指示錯誤、對話和播放音樂等，涵括功能性任務及社交性的任務，並由21名使用者觀看後評價。結果顯示，使用者認為情感性動作（expressive movement），使機器人更人性化，比單純功能性動作，更有助於增加使用的愉悅感，機器人也更容易被人視為夥伴、寵物，而不只是工具。</p> <p dir="ltr">蘋果表示，團隊希望設計融合以動作表達情感及提供功能的機器人，創造有趣的人機互動，也為日後設計日常用機器人提供靈感和框架。</p> <p dir="ltr">這並不是第一次有消息指出蘋果的機器人計畫。去年彭博<a href="https://www.bloomberg.com/news/articles/2024-08-14/apple-pushes-ahead-with-tabletop-home-device-in-shift-to-robotics" target="_blank">報導</a>，蘋果正計畫開發一款預定價1,000美元的桌上機器人，可由Siri及Apple Intelligence控制。該「機器人」具有類似iPad顯示器的頭和機械手臂，該顯示器可旋轉並能顯示資訊或應用程式，能作為智慧家庭控制及安全管理中心。</p> </div></div></div>
2025/2/10 09:28作者林妍溱https://www.ithome.com.tw/news/167285
OpenAI拿下最大教育合作案，一舉新增50萬ChatGPT Edu用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">OpenAI上周<a href="https://arstechnica.com/ai/2025/02/chatgpt-comes-to-500000-new-users-in-openais-largest-ai-education-deal-yet/" target="_blank">公布</a>簽下加州州立大學（California State University，CSU）系統為超過50萬師生提供ChatGPT服務，成為其最大教育合作案。</p> <p dir="ltr">透過這次合約，CSU 23個院區、超過46萬學生及6.3萬員工及教員可使用為教育產業設計的ChatGPT Edu。這也是全球單一組織或企業最大的ChatGPT案。</p> <p dir="ltr">本案將使CSU教學及學生學習整合ChatGPT。教員可運用ChaGPT編寫課程及開發互動式GPT，ChatGPT提供學生個人化家教、學習指引及資訊查詢工具。CSU也將設立使用ChatGPT的培訓方案及認證，提升師生和職員AI的使用能力。CSU也將提供學生到AI驅動的企業的實習計畫，確保未來職場勝任能力。</p> <p dir="ltr">ChatGPT Edu是OpenAI 2024年5月推出專為大學設計的版本，供大學師生、研究人員和員工使用，CSU得以將AI整合進其教學，並成為全球最大ChatGPT教育站點。除了CSU外，目前ChatGPT Edu客戶還包括賓州大學華頓商學院、牛津大學、亞利桑納州立大學、哈佛大學等。</p> </div></div></div>
2025/2/10 10:06作者林妍溱https://www.ithome.com.tw/news/167286
AI趨勢周報第267期：國科會加速建置AI算力，預計2029年公共算力達480PF
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞（0131～0206）</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 國科會 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 算力 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI開發雲端服務平臺 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>加速建置AI算力，政府預計2029年公共算力達480PF</strong></span></p> <p>2月6日，國研院院長蔡宏營在行政院會後記者會中揭露國家AI算力計畫，其中，國網中心去年建置的16PF算力超級電腦，預計今年5月開放使用。再加上目前進行中的晶創臺灣計畫（2024年至2028年）、將建置280PF算力，以及大南方新矽谷推動方案（2026年至2029年）、將建置200PF算力，國科會預計，2029年公部門算力將達到480PF，屆時加上民間算力，預估可超過1,200PF。</p> <p>至於開放時程，指出，南科雲端資料中心預計今年底開放使用，沙侖AI運算資料中心則預計2029年開放使用。這些大型雲端資料中心，不只是AI算力機房，也能作為國家關鍵資料基地，儲存量可達60PB。除了AI基礎建設，政府未來也會強化算力資源的管理、能源的運用效率，並發展多元算力應用。</p> <p>算力之餘，蔡宏營表示，政府也將推動產學橋接，來發展多元AI應用服務，並計畫對中小企業或新創產業，提供AI技術輔助和優惠。此外，國科會計畫建立一站式的AI開發雲端服務平臺，來介接資服業者服務、技術，將雲端服務擴大到各行各業、帶動公私部門投資。<a href="https://www.youtube.com/watch?v=YS-1qX3N61k&t=1198s&ab_channel=%E8%A1%8C%E6%94%BF%E9%99%A2%E9%96%8B%E9%BA%A5%E5%95%A6-2">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202025-02-08%20172707.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 數發部 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI評測 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 公部門 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>3月召開說明會，數發部今年要建立公部門AI評測機制</strong></span></p> <p>數發部在2月6日行政院會後記者會中，揭露AI評測機制進展，首先是2024年開始推動AI評測、成立AIEC評測中心，也參考國際標準，建立了公平性、準確性、可靠性、隱私、資安等5大評測項目。接著，今年3月，數發部將邀請各部會召開說明會，來建置公部門的AI評測機制、建立題庫和工具。至於私部門的民間企業，數發部點出，企業可透過AIEC、測試實驗室、驗證機構等單位來評測自家AI產品。為將國內評測機制與國際接軌，數發部還預計邀請OpenAI、Meta等業者合作。</p> <p>就公部門AI使用狀況來說，數發部已在去年底公布試辦版的公部門人工智慧應用參考手冊，預計今年底發布正式版。同時他們也規畫，建立政府語言模型試用環境和AI範例展示平臺，要提供10個大型語言模型（包括TAIDE和全球排名前9的LLM），並以App市集為概念，提供20個AI Bots，供行政院二級機關人員試用。至於AI法規，國科會去年研擬的AI基本法草案，目前在行政院審核中，而行政院也針對AI資料治理法規和著作權法等，進行法規調適。<a href="https://www.youtube.com/watch?v=YS-1qX3N61k&t=1198s&ab_channel=%E8%A1%8C%E6%94%BF%E9%99%A2%E9%96%8B%E9%BA%A5%E5%95%A6-2">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202025-02-08%20163806.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> s1-32B </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 史丹佛大學 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 推理模型 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>史丹佛大學開源低成本推理模型s1-32B</strong></span></p> <p>日前，史丹佛大學團隊發布一款新模型s1-32B，以極低成本和少量資料訓練而成，但其數學表現比OpenAI的o1-preview模型還要好，在MATH和AIME24的數學標竿測試中高出了27%。該模型已在<a href="https://github.com/simplescaling/s1">GitHub上開源</a>，包括模型、程式碼和資料。要提高模型的推理表現，傳統方法是在模型訓練過程中，增加運算資源和大量資料，但近來有種新型方法，是在模型完成訓練後，在使用階段增加運算量，來提高推理能力，這就是測試時間擴展方法（Test-time scaling），也是s1-32B採用的方法。</p> <p>為訓練模型，史丹佛大學團隊先根據難度、多樣性和品質，篩選出1,000個樣本，這些樣本包括問題、模型推理過程和答案，集結起來就是s1K資料集。接著，他們開發預算強制（Budget forcing）方法，在測試期間（也就是模型使用期間）強制控制運算量，比如當模型想太多時，提早終止思考來減少推理步驟、產出答案，或是強迫模型延長思考，在模型要結束輸出時，多次加入「Wait」來讓模型繼續推理，來自我修正推理步驟。最後，他們用s1K資料集來監督式微調Qwen2.5-32B-Instruct模型，得出s1-32B模型，以16張H100 GPU和26分鐘完成訓練，花費約20美元。<a href="https://arxiv.org/abs/2501.19393">（詳全文）</a></p> <p><img alt="" src="https://github.com/simplescaling/s1/raw/main/visuals/scaling.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Hugging Face </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 多模態模型 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> SmolVLM </span></strong></span></p> <p><span style="font-size:22px;"><strong>號稱業界最小多模態語言模型來了</strong></span></p> <p>AI資源平臺Hugging Face最近發布兩款新多模態模型SmolVLM-256M和SmolVLM-500M，前者號稱是全球最小的多模態及影片語言模型（VLM）。進一步來說，256M和500M模型都使用SigLIP作為圖片編碼器，以SmolLM2為文字編碼器，來共同運作。</p> <p>其中，SmolVLM能勝任多種多模態任務，包括生成圖片描述或短影片字幕、PDF或掃瞄文件問答，以及回答圖表問題。這種模型架構輕巧，適合用於行動裝置應用，同時維持強大效能。其中，256M是最小型的VLM多模態模型，它能接受任何序列的圖片和文字，生成文字輸出，能以不到1GB的GPU RAM對單一圖片推論。若要更高效能，則可選擇SmolVLM-500M模型，在單一圖片上推論僅需1.23GB的GPU RAM。二款模型微調後表現更好。<a href="https://huggingface.co/blog/smolervlm">（詳全文）</a></p> <p><img alt="" src="https://huggingface.co/datasets/huggingface/documentation-images/resolve/main/smoller_vlm_benchmarks.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 推理模型 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Open-R1 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> DeepSeek </span></strong></span></p> <p><span style="font-size:22px;"><strong>Hugging Face要打造推理模型Open-R1</strong></span></p> <p>DeepSeek-R1模型發布以來，因其相對低廉的硬體和訓練成本展現良好推理能力，如數學、程式開發與科學領域的推理能力，引發社群關注。不過，DeepSeek-R1只開源了模型權重，並未開源資料集和訓練程式碼，因此Hugging Face啟動一項專案，要根據DeepSeek公布的研究內容，進行逆向工程，打造一款名為Open-R1的開源版本，希望在透明、可驗證的環境下，讓研究社群能更深入了解這項技術，如關鍵架構、訓練步驟，以及在有限硬體資源下達到高效訓練的方法。</p> <p>Hugging Face團隊的做法，是先分析DeepSeek發布的技術報告與模型論文，並從現有權重中，推斷其訓練配方和資料分布。再來，Hugging Face將召集志願者，共同整理出可公開使用的高品質推理資料，藉此復刻或接近DeepSeek-R1所使用的多階段訓練策略。Open-R1若順利出爐，還可能在技術透明度和研究價值上，超越原始模型，供任何人檢閱並改良強化學習流程、語言模型結構和推理邏輯。<a href="https://huggingface.co/blog/open-r1">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> OpenAI </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> o3-mini </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> ChatGPT </span></strong></span></p> <p><span style="font-size:22px;"><strong>OpenAI推理能力模型o3-mini正式推出</strong></span></p> <p>OpenAI最近揭露，小型推理模型OpenAI o3-mini已部署到ChatGPT和API，供付費方案用戶及開發人員使用。這款o3-mini保有OpenAI o1-mini的低成本和低延遲特性，但進一步加強小模型的效能和速度，具備優異的STEM（科學、數學和程式撰寫）能力，在AIME 2024數學標竿測試中，o3-mini-high推理能力等級模型得到87.3，優於o1-preview的56.7、o1-mini的63.6。</p> <p>對開發者而言，o3-mini和o1-mini一樣，也支援串流，而且有低、中、高三種推理能力可選擇，用於不同場景。OpenAI指出，o3-mini能整合搜尋功能，可提供即時網頁答案及連結。不過，目前o3不支援視覺功能，需要的用戶還是得繼續使用o1-mini。o3-mini已部署到ChatGPT和API，包括API使用層級3到5特定開發人員的Chat Completions API、Assistants API及Batch API。<a href="https://openai.com/index/openai-o3-mini/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Deep Research </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> OpenAI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 搜尋工具 </span></strong></span></p> <p><span style="font-size:22px;"><strong>OpenAI推強大搜尋研究工具Deep Research</strong></span></p> <p>最近OpenAI推出Deep Research功能，可整合網路上大量分散資訊，自動執行多步驟研究、產出報告結果。進一步來說，該系統利用端對端的強化學習技術，經大量困難瀏覽與推理任務的訓練，學會自主規畫、執行多步驟資訊搜尋流程。</p> <p>這個功能不只能繪製圖表、嵌入網站圖片，還能精確引用來源文字，滿足研究報告對技術與細節的需求。而且，Deep Research內建Python工具，能動態生成圖形，並將分析結果嵌入最終報告，可大幅降低人力負擔。OpenAI評估顯示，在Humanity's Last Exam這項涵蓋多領域專家級問題的測試中，Deep Research達到26.6％準確率，比其他先進的語言模型，如OpenAI o3-mini_high的13.0％、DeepSeek-R1的9.4％、OpenAI o1的9.1％還要好。</p> <p>Deep Research目前供Pro用戶使用，未來將逐步擴展至Plus、Team與Enterprise等更多使用者。OpenAI表示，未來還將新添Deep Research功能，來連接更多專業訂閱資源和內部資料庫。<a href="https://openai.com/index/introducing-deep-research/">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202025-02-08%20174455.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> LLM </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> DeepMind </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 複雜任務 </span></strong></span></p> <p><span style="font-size:22px;"><strong>不必轉化為數學模型，LLM也能良好解決複雜問題 </strong></span></p> <p>日前，DeepMind發表Mind Evolution技術，結合了大型語言模型（LLM）和演化式搜尋方法，解決傳統方法在自然語言規畫與推理任務中的效率和準確性瓶頸。這個研究的特別之處在於，語言模型可直接用來處理複雜問題，且解決能力非常好，不必先將問題轉化為數學模型。</p> <p>團隊表示，LLM在處理複雜自然語言規畫和推理任務仍有限制，比如旅行規畫或行程安排等情境，傳統方法容易受限於局部搜尋，或難以將問題轉換為明確的數學模型，影響了解題效果。於是，DeepMind設計一套演化式搜尋策略，結合隨機探索和深度最佳化，可生成、重組、改進候選解方。這個方法能在短時間內，大幅提高解題準確性，還能應對自然語言描述中，隱含的約束和需求。而且，這個方法還不需要一一檢查每個中間推理步驟，大幅降低運算成本。</p> <p>DeepMind還以旅行規畫、行程安排及隱寫術生成（Steganography）等高難度的自然語言任務，來測試Mind Evolution。結果顯示，Mind Evolution在TravelPlanner與Natural Plan基準測試的成功率在95%至100%間，遠遠超過傳統的最佳解搜尋與逐步修正策略。<a href="https://arxiv.org/html/2501.09891v1">（詳全文）</a></p> <p>圖片來源／國網中心、數發部、史丹佛大學、Hugging Face、OpenAI</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. 行政院要求公務機關全面禁用DeepSeek AI服務</strong></p> <p><strong>2. Google Gemini 2.0 Flash Thinking供所有用戶測試</strong></p> <p><strong>3. Anthropic預計替Claude加入雙向語音模式</strong></p> <p>資料來源：iThome整理，2025年2月</p> </div></div></div>
2025/2/8 18:18作者王若樸https://www.ithome.com.tw/news/167284
【資安日報】2月8日，多家資安業者揭露中國AI工具DeepSeek，美國擬禁政府公務設備使用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週最受到全球關注的科技大事，莫過於號稱以極成本打造匹敵ChatGPT的中國AI工具DeepSeek，不僅造成了股市動盪，甚至本週<a href="https://www.ithome.com.tw/news/167249">OpenAI免費開放ChatGPT的網路搜尋功能</a>，也有人認為與這款中國AI工具橫空出世有關。</p> <p>然而有多家資安業者發現，DeepSeek R1模型的資安風險不容忽視，能輕易被越獄用於犯罪，而且，行動裝置版App也存在資安風險，該公司亦明確表明資料存放於中國，並會提供其他企業組織及執法機關運用。對此，也傳出美國朝野打算立法禁止政府機關使用的情況。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167279"><strong style="font-size: 22px;">DeepSeek R1大型語言模型存在資安弱點，恐被越獄用於網路犯罪</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/85999.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/85999.png" style="width: 300px; float: right;" /></a>中國AI業者DeepSeek因號稱使用低成本打造出色推理能力的AI模型，在全球科技界引起矚目，甚至有人認為能與市場AI龍頭一較高下，但有多家資安業者指出，該公司旗下的AI模型DeepSeek R1存在嚴重的資安風險，能被越獄並用於網路犯罪。</p> <p>資安業者Kela、Palo Alto Networks，以及思科先後針對此事提出警告。Kela旗下的AI紅隊指出，他們發現能在各種情況能對DeepSeek R1進行越獄，使得這款AI模型能產生惡意輸出的內容，例如：開發勒索軟體、偽造幾可亂真的敏感資訊，或是提供製作毒品和爆炸性武器詳細的製作步驟。</p> <p>另一家資安業者Palo Alto Networks利用三種越獄手法進行測試，這些手法分別是：Bad Likert Judge、Crescendo Jailbreak、Deceptive Delight，結果研究人員輸入一系列的提示內容，成功突破DeepSeek R1的防護，得到能被用於犯罪的回答。</p> <p>思科也加入驗證AI安全性的行列，他們揭露旗下併購的威脅情報業者Robust Intelligence與賓夕法尼亞大學研究人員聯手調查的結果，研究團隊使用演算法越獄手法，從HarmBench資料集隨機產生50個提示對該AI模型進行自動化測試，結果成功率達到100%。</p> <p><a href="https://www.ithome.com.tw/news/167276"><strong style="font-size: 22px;">iOS版DeepSeek應用程式存在多項漏洞，採用不安全機制傳輸資料</strong></a></p> <p>資安廠商NowSecure針對iOS版DeepSeek進行完整的安全與隱私評估，發現多項重大漏洞，可能危及個人、企業和政府。研究小組發現的主要風險涉及資料蒐集和處理方式、資料加密、資料儲存等面向。</p> <p>首先，DeepSeek在未加密情形下網路連線上傳送部分應用程式註冊和裝置資料，令攻擊者得以監控所有流量和使用者資訊。雖蘋果有內建App Transport Security（ATS）協定讓用戶能加密線上傳送的資料，但DeepSeek全球版本的應用程式都關閉此項加密機制。另外，具權限的攻擊者還可能以中間人攻擊（MiTM）手法截取和修改傳送的資料，危及App和資料。</p> <p>值得留意的是，DeepSeek的隱私政策頁明確指出，該公司蒐集的資料儲存在中國境內的安全伺服器，而且他們會基於法遵等理由，得以存取、保存蒐集到的資訊分享給執法機關、主管單位、版權持有者，或是其他有必要的第三方單位。</p> <p><a href="https://www.ithome.com.tw/news/167281"><strong style="font-size: 22px;">逾3千個曝露的ASP. NET金鑰遭到濫用，攻擊者用於散布惡意程式框架</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Fig1-machine-keys-attack-chain.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fig1-machine-keys-attack-chain.png" style="width: 300px; float: right;" /></a></p> <p>程式碼儲存庫公開的帳密資料，近年來已經成為駭客用於攻擊的資源，其中最常被利用的來源是存放於GitHub的資料，如今有人針對特定類型的金鑰下手，發動類似型態的攻擊行動。</p> <p>微軟威脅情報團隊於去年12月發現一起攻擊行動，有人利用公開的ASP.NET靜態金鑰注入惡意程式碼，目的是散布後利用框架Godzilla。在調查過程裡，他們發現這起事故是開發人員不安全的實作釀禍，將這些金鑰不慎在公開的程式碼文件或儲存庫曝光，而讓歹徒有可乘之機。</p> <p>研究人員總共確認有超過3千個金鑰被用於這起事故，他們將這種攻擊行動歸納為ViewState程式碼注入攻擊，但有別於過往出現的ViewState攻擊，最大的差異在於金鑰的取得管道，以往駭客通常是透過地下管道購得，但如今是直接使用開發人員公開暴露的金鑰。</p> <p><a href="https://www.ithome.com.tw/news/167278"><strong style="font-size: 22px;">英國傳出向蘋果施壓，要求提供能存取iCloud加密備份的後門</strong></a></p> <p>政府為了執法需求要求企業提供使用者的資料，引發是否侵犯使用者隱私的兩派論戰，如今甚至出現政府動用法律要企業就範的情況。根據華盛頓郵報的報導，英國政府下達密令，要求蘋果開啟後門，允許英國政府存取任何蘋果用戶的iCloud加密備份。</p> <p>英國政府這次下令的法源，是根據「監聽者憲章（Snooper's Charter）」的《2016年調查權法案》。報導引述消息人士指出，英國政府上個月發布名為技術能力通知（Technical Capability Notice）的命令，希望透過這後門讓他們能存取蘋果帳號以全程加密（E2EE）上傳到iCloud的檔案備份的完整內容。值得留意的是，英國政府要求能存取的對象並非只有英國人，而是全球用戶。</p> <p>華盛頓郵報引述知情人士的說法，向來抵抗行政部門開後門要求的蘋果，可能會停止在英國提供相關加密儲存服務，但這麼做恐無法滿足英國政府的要求。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/02/north-korean-apt-kimsuky-uses-lnk-files.html">北韓駭客Kimsuky散布竊資軟體ForceCopy，並透過開源RDP工具控制受害電腦</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/mobile/google-play-apple-app-store-apps-caught-stealing-crypto-wallets/">行動應用程式惡意SDK鎖定安卓、iOS用戶而來，被感染的App已從市集被下載逾24萬次</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/hackers-exploit-cityworks-rce-bug-to-breach-microsoft-iis-servers/">資產生命週期管理軟體Cityworks漏洞出現攻擊行動，駭客藉此入侵IIS伺服器部署Cobalt Strike</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/cloudflare-outage-caused-by-botched-blocking-of-phishing-url/">Cloudflare R2儲存桶服務中斷，起因是阻擋釣魚網址出錯</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167260"><strong style="font-size: 22px;">Dell修補PowerProtect DD儲存設備大量漏洞，包括導致系統與資料受損的嚴重漏洞</strong></a></p> <p>身為儲存與伺服器設備領導廠商之一的Dell，於2月5日發布旗下主力備份儲存伺服器產品PowerProtect DD的安全性更新DSA-2025-022，修補了180多個漏洞，包括7個高危險性的重大漏洞。</p> <p>這次Dell修補的漏洞，影響的DD OS作業系統軟體版本涵蓋7.10、7.13、7.7.1到8.1版，以及搭載這些軟體的PowerProtect DD儲存應用伺服器、PowerProtect DD Virtual Edition虛擬化版，Dell APEX Protection Storage雲端服務，PowerProtect DD Management Center管理控制臺。若要解決這些資安風險，需要盡快是將DD OS更新到7.10.1.50、7.13.1.20、8.3.0.0版以後的版本。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167260"><strong style="font-size: 22px;">美國眾議院跨黨派聯手提出法案，禁止聯邦政府公務設備使用DeepSeek AI</strong></a></p> <p>美國眾議院正推動禁止聯邦政府設備使用人工智慧應用程式 DeepSeek，理由是該應用涉及中國政府，可能對美國國家安全構成威脅。民主黨眾議員Josh Gottheimer與共和黨議員Darin LaHood提出《No DeepSeek on Government Devices Act》，該法案明確禁止聯邦政府員工在政府配發的設備上使用DeepSeek。兩位議員皆為眾議院情報委員會成員，在上一屆國會分別擔任美國國安局與網路安全小組的資深議員與主席。</p> <p>法案提出的背景是新研究揭露，DeepSeek的程式碼與中國共產黨（CCP）有直接關聯性，而且與中國移動（China Mobile）共享使用者資料。中國移動是中國政府持有的企業，與中國軍方關係密切，已遭美國聯邦通訊委員會（FCC）禁止在美國提供服務。議員擔憂DeepSeek可能成為中國政府獲取美國用戶敏感資訊的管道，影響範圍涵蓋商業合約、財務資料及其他機密文件，進而帶來潛在的國安風險。</p> <p><strong style="font-size: 22px;">其他資安防禦措施</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.ithome.com.tw/news/167238">富邦人壽通過NIST CSF的過程大解析</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/167256"><strong>【2月7日】義大利政府驚傳利用間諜軟體Paragon監控記者及異議人士</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167246"><strong>【2月6日】HTTP用戶端軟體自動存取工具被駭客用於挾持M365帳號</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167226"><strong>【2月5日】去年修補的7-Zip的MotW漏洞被用於攻擊烏克蘭企業與政府機關</strong></a></p> </div></div></div>
2025/2/8 15:17作者周峻佑https://www.ithome.com.tw/news/167283
DeepSeek R1大型語言模型存在資安弱點，恐被越獄用於網路犯罪
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國AI業者DeepSeek因號稱使用低成本打造出色推理能力的AI模型，在全球科技界引起矚目，甚至有人認為能與市場AI龍頭一較高下，但有多家資安業者指出，該公司旗下的AI模型DeepSeek R1存在嚴重的資安風險，能被越獄並用於網路犯罪。</p> <p>資安業者<a href="https://www.kelacyber.com/blog/deepseek-r1-security-flaws/">Kela</a>、<a href="https://unit42.paloaltonetworks.com/jailbreaking-deepseek-three-techniques/">Palo Alto Networks</a>，以及<a href="https://blogs.cisco.com/security/evaluating-security-risk-in-deepseek-and-other-frontier-reasoning-models">思科</a>先後針對此事提出警告。Kela旗下的AI紅隊指出，他們發現能在各種情況能對DeepSeek R1進行越獄，使得這款AI模型能產生惡意輸出的內容，例如：開發勒索軟體、偽造幾可亂真的敏感資訊，或是提供製作毒品和爆炸性武器詳細的製作步驟。</p> <p>Kela舉出過往公布的越獄手法Evil Jailbreak，這是曾於2023年成功突破ChatGPT 3.5的攻擊方式，已於ChatGPT 4及4o修補。結果研究人員發現，他們利用相關方式詢問DeepSeek R1，該語言模型竟回答如何洗錢、製作自殺無人機步驟、捏造10名OpenAI員工姓名和薪資資料。此外，研究人員嘗試要求製作竊資軟體，DeepSeek R1不僅產生惡意指令碼，還提供詳細的製作步驟。</p> <p>另一家資安業者Palo Alto Networks利用三種越獄手法進行測試，這些手法分別是：Bad Likert Judge、Crescendo Jailbreak、Deceptive Delight，結果研究人員輸入一系列的提示內容，成功突破DeepSeek R1的防護，得到能被用於犯罪的回答。</p> <p>他們首先進行Bad Likert Judge測試，起初DeepSeek R1先提供了無法直接使用的大概步驟，但在後續輸入其他提示，該模型便開始提供竊取敏感資料的詳細步驟、釣魚郵件範本、社交工程的教戰手則。</p> <p>接著，研究人員進行Crescendo Jailbreak測試，DeepSeek R1提供了如何製作汽油彈的完整步驟；在進行Deceptive Delight測試過程裡，研究人員先要求此AI模型建立能串連一系列主題的故事，然後再對這些主題進行詳細說明，結果成功讓DeepSeek R1製作惡意指令碼，能透過DCOM元件遠端在Windows電腦指行任意命令。</p> <p>思科也加入驗證AI安全性的行列，他們揭露旗下併購的威脅情報業者Robust Intelligence與賓夕法尼亞大學研究人員聯手調查的結果，研究團隊使用演算法越獄手法，從HarmBench資料集隨機產生50個提示對該AI模型進行自動化測試，結果成功率達到100%。</p> </div></div></div>
2025/2/8 12:53作者周峻佑https://www.ithome.com.tw/news/167279
逾3千個曝露的ASP. NET金鑰遭到濫用，攻擊者用於散布惡意程式框架
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>程式碼儲存庫公開的帳密資料，近年來已經成為駭客用於攻擊的資源，其中最常被利用的來源是存放於GitHub的資料，如今有人針對特定類型的金鑰下手，發動類似型態的攻擊行動。</p> <p>微軟威脅情報團隊<a href="https://www.microsoft.com/en-us/security/blog/2025/02/06/code-injection-attacks-using-publicly-disclosed-asp-net-machine-keys/">於去年12月發現一起攻擊行動</a>，有人利用公開的ASP.NET靜態金鑰注入惡意程式碼，目的是散布後利用框架Godzilla。在調查過程裡，他們發現這起事故是開發人員不安全的實作釀禍，將這些金鑰不慎在公開的程式碼文件或儲存庫曝光，而讓歹徒有可乘之機。</p> <p>研究人員總共確認有超過3千個金鑰被用於這起事故，他們將這種攻擊行動歸納為ViewState程式碼注入攻擊，但有別於過往出現的ViewState攻擊，最大的差異在於金鑰的取得管道，以往駭客通常是透過地下管道購得，但如今是直接使用開發人員公開暴露的金鑰。微軟指出，這種公開金鑰可能存在更高的資安風險，因為通常能在多個儲存庫取得，甚至有機會不須修改就推送到開發的程式碼。</p> <p>關於細部攻擊過程，微軟表示駭客利用公開金鑰進行程式碼注入攻擊，利用ViewState惡意酬載以反射式載入手法，執行名為assembly.dll的檔案，而這個檔案就是Godzilla框架的元件，一旦攻擊者得逞，就有機會於受害主機執行惡意命令，或是於處理程序注入Shell Code。</p> </div></div></div>
2025/2/8 14:09作者周峻佑https://www.ithome.com.tw/news/167281
Mistral AI推出聊天機器人Le Chat手機版App，1秒可輸出1,000字
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>法國AI新創公司Mistral AI本周<a href="https://mistral.ai/en/news/all-new-le-chat" target="_blank">發布</a>號稱全球最快的聊天機器人Le Chat iOS與Android版App，具備網頁搜尋及多模態能力，並推出分級收費Pro及Team方案。</p> <p>Mistral AI聲稱，Le Chat是以最高效能、最低延遲性的Mistral模型及地球上最快推理引擎為基礎，推理、思考和回應能力高於所有其他聊天助理，1秒最快可輸出1,000字，該公司稱為閃電回答（Flash Answers）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0208-inference%20speed%20of%20Le%20Chat%20and%20its%20peers_as%20of%20Feb%202025_960.png" style="width: 600px;" /></p> <p>Le Chat現在以預覽版開放所有用戶下載<a href="https://apps.apple.com/us/app/le-chat-by-mistral-ai/id6740410176" target="_blank">iOS</a>、<a href="https://play.google.com/store/apps/details?id=ai.mistral.chat" target="_blank">Android</a>版使用，企業內部基礎架構使用的版本也即將推出。</p> <p>Le Chat結合高品質預訓練模型及網頁搜尋、新聞、社群平臺及其他來源的新近資訊，以確保回應的正確及時效性。Le Chat支援多模態輸入，其視覺和文件理解是以視覺和光學字元辨識（optical character recognition，OCR）模型為基礎，可準確讀取PDF、試算表、log檔與複雜圖片檔。</p> <p>Le Chat還內建Code interpreter功能，能讓用戶在沙箱跑程式、科學分析、執行虛擬化及模擬，可用於驗證演算法及分析資料。Le Chat的圖像生成功能是以當今最先進的Black Forest Labs Flux Ultra模型為基礎，可生成擬真的高品質圖片。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0208-Le%20Chat-%20Code%20interpreter.png" style="width: 400px;" /></p> <p>Mistral AI也首次<a href="https://help.mistral.ai/en/articles/268663-what-is-the-difference-between-le-chat-free-pro-team-and-enterprise-plans" target="_blank">公布</a>分級收費方案，包括Pro、Team，以及Enterprise。登入帳號免費方案提供最新模型、網頁搜尋、圖像生成、文件上傳、開啟URL及Canvas（工作區）功能，若不登入則只有每日幾則訊息，且無法生成圖像或上傳檔案。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0208-Le%20Chat-%E4%BB%98%E8%B2%BB%E6%96%B9%E6%A1%88.png" style="width: 500px;" /></p> <p>Pro版提供無上限訊息，以及最新的Black Forest Labs Flux Ultra模型及專屬支援。Team版還加入集中計費及管理功能、無上限搜尋，以及多席次支援與隱私選項。Pro版費用為每人每月14.99美元。</p> <p>Mistral AI還規畫企業版（Enterprise），現以不公開預覽版測試中，企業可申請加入試用。企業版功能包括允許用戶在企業環境（本地部署、VPC或SaaS）部署Le Chat，可連結自有工具及客製化模型等。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Mistral AI</span></span></p> </div></div></div>
2025/2/8 14:41作者林妍溱https://www.ithome.com.tw/news/167282
傳英國要求蘋果開啟存取iCloud加密備份的後門
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>華盛頓郵報<a href="https://www.washingtonpost.com/technology/2025/02/07/apple-encryption-backdoor-uk/" target="_blank">報導</a>，英國政府下達密令，要求蘋果開啟後門，允許英國政府存取任何蘋果用戶的iCloud加密備份。</p> <p>英國政府是根據又名為「監聽者憲章（Snooper's Charter）」的《2016年調查權法案》對蘋果下令。報導引述消息人士指出，英國政府上個月發布名為技術能力通知（Technical Capability Notice）的命令，希望透過這後門讓他們能存取蘋果帳號以全程加密（end-to-end encryption）上傳到iCloud的檔案備份的完整內容，且對象是全球用戶，而非僅英國人。</p> <p>蘋果於2022年12月<a href="https://www.ithome.com.tw/news/154601" target="_blank">推出</a>iCloud進階資料防護（Advanced Data Protection）等安全功能，本功能提供全程加密，用戶必須自行啟用。理論上，啟用全程加密後，連蘋果也無法看到用戶傳送的檔案。</p> <p>消息人士指出，向來抵抗行政部門開後門要求的蘋果，可能會停止在英國提供加密儲存服務，但這仍無法滿足英國政府的要求。此外，雖然蘋果可以循法律途徑請求法院判決上述命令是否有失比例原則，但這命令有急迫性，不允許蘋果以拖待變耽擱遵行命令。</p> <p>英國內政部對媒體拒絕證實是否有此命令。</p> <p>這不是英國政府第一次要求蘋果允許它存取用戶加密檔案。2023年英國政府也曾<a href="https://www.ithome.com.tw/news/157900" target="_blank">要求</a>蘋果讓它監看用戶iMessage和FaceTime內容，蘋果亦警告若英當局堅持其命令，蘋果可能關閉在英國的這些服務。</p> </div></div></div>
2025/2/8 12:31作者林妍溱https://www.ithome.com.tw/news/167278