iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 13篇
近 24 小時: 23篇
近 7 天: 133篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/12
最近更新: 11/12 12:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 133 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社3筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

企業用戶等嘸火大，Google終於將Deep Research推向Workspace用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在眾多企業用戶抱怨一個多月後，Google本周<a href="https://workspaceupdates.googleblog.com/2025/02/deep-research-available-for-google-workspace-in-gemini-advanced.html" target="_blank">宣布</a>將Deep Research功能部署到Workspace用戶，包括Business、Enterprise及Education方案。</p> <p>Google去年12月中<a href="https://www.ithome.com.tw/news/166493" target="_blank">宣布</a>為Gemini加入Deep Research的上網研究功能。Deep Research類似人類的研究過程，先上網搜尋、分析、學習，多次反覆搜尋，最後生成一份報告。使用者接受的報告成果可直接匯出到Google Docs。</p> <p>Google說，從2月20日起將逐步把Deep Research部署到企業用戶，包括Business Standard及Plus、Enterprise Standard and Plus、擁有Gemini Education/Gemini Education Premium add-on，及購買Gemini Business及Gemini Enterprise add-on。12月中問世時，Deep Research只提供給訂閱月費20美元或臺幣650元的Gemini Advanced的消費者。</p> <p>對Workspace用戶而言，Deep Research一開始只有Web版，且只支援英文，Google說之後會將這功能推向Gemini手機App。現有Gemini Advanced企業用戶可以選擇使用以下模型：2.0 Flash、2.0 Flash Thinking Experimental、2.0 Pro Experimental、1.5 Pro with Deep Research。</p> <p>然而對Workspace Business方案用戶來說，這項宣布來得太晚。去年起不少購買Workspace Business方案的企業<a href="https://support.google.com/a/thread/313277072/why-is-deep-research-only-not-available-to-workspace-business-standard-users?hl=en" target="_blank">抱怨</a>，Deep Research已提供給了購買Gemini Advanced的消費者Gmail帳號及Workspace Enterprise帳號，獨漏Workspace Business Standard版。另有人是買了Workspace Business Standard再額外購買Gemini Advance Plus，但聲稱得到的功能卻比消費者帳號還少。有人為了Deep Research才升級到Workspace Business Standard方案，卻發現沒有這項功能。Business Standard用戶不平，直到1月底都不見Google出面給個說法。</p> <p>不過手機版可能不用等太久了。雖然Google說手機版Gemini還不能用Deep Research，但Google上周另一則公告<a href="https://blog.google/feed/deep-research-gemini-mobile/" target="_blank">說明</a>，所有Gemini Advanced用戶已經可在Android及iOS手機版Gemini使用Deep Research。</p> </div></div></div>
2025/2/21 13:32作者林妍溱https://www.ithome.com.tw/news/167500
美國警告勒索軟體Ghost橫行，駭客攻擊範圍橫跨全球70個國家
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2月19日美國網路安全暨基礎設施安全局（CISA）、聯邦調查局（FBI）、各州資訊共享及分析中心（MS-ISAC）聯合<a href="https://www.cisa.gov/news-events/cybersecurity-advisories/aa25-050a">針對勒索軟體Ghost（也被叫做Cring）的威脅態勢提出警告</a>，指出該勒索軟體的危害範圍橫跨70個國家，包含關鍵基礎設施相關的企業組織等各行各業都有受害的情形，且在1月有相關資安事故傳出。（編按：此份公告未列出受影響國家名單，所以無法確定臺灣是否受害）</p> <p>該勒索軟體背後的駭客來自中國，主要的目的是為了得到經濟利益，相關攻擊行動最早可追溯至2021年初。這些駭客專門鎖定在網際網路運作的各種線上服務，尋找執行舊版軟體或韌體的系統下手，利用已知漏洞入侵伺服器。</p> <p>這些漏洞包括：Adobe ColdFusion的外部實體（XXE）注入漏洞CVE-2009-3960、資料夾穿越漏洞CVE-2010-2861（CVSS風險評分為6.5、9.8），Fortinet防火牆作業系統FortiOS路徑穿越漏洞CVE-2018-13379（風險值9.8），微軟SharePoint遠端程式碼執行漏洞CVE-2019-0604（風險值9.8），以及Exchange安全功能繞過漏洞CVE-2021-31207、遠端程式碼執行漏洞CVE-2021-34473、權限提升漏洞CVE-2021-34523（風險評為6.6至9.8，統稱為ProxyShell）。</p> <p>一旦成功利用漏洞，駭客就會上傳Web Shell，然後部署Cobalt Strike Beacon，竊取處理程序使用的Token，藉此冒充SYSTEM使用者提升權限。</p> <p>除此之外，這些駭客也會利用可公開取得的工具嘗試提升權限，這些工具包括：SharpZeroLogon、SharpGPPPass、BadPotato，以及GodPotato。</p> <p>為了迴避偵測，攻擊者也利用Cobalt Strike確認受害主機部署的防毒軟體，然後將其停用。</p> <p>在偵察的活動裡，他們也同樣運用能公開取得的工具。駭客先是下達Cobalt Strike命令調查網域使用者的帳號，並透過名為SharpShares、Ladon 911、SharpNBTScan的工具，找出網路共用資料夾和其他遠端系統。</p> <p>Ghost也藉由公用程式WMIC執行PowerShell命令，從而在受害組織的網路環境橫向移動，最終將電腦的檔案加密。</p> <p>在加密檔案之前，這些駭客通常會利用雲端檔案共享服務Mega及Web Shell將資料外流，而且多半只針對智慧財產或是個人識別資訊（PII）等有價值的資料下手，但FBI也有看到利用Cobalt Strike Team Server下載資料的情況。但關於外洩規模的敘述，CISA只提及資料量是有限的，以及典型的資料外洩規模低於數百GB。</p> </div></div></div>
2025/2/21 11:42作者周峻佑https://www.ithome.com.tw/news/167498
Amazon將終止支援第三方Android裝置的Appstore、通訊協同服務Chime
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Amazon本周<a href="https://www.amazon.com/gp/mas/appstore/android/faq" target="_blank">通知</a>開發人員及使用者，將在8月20日起關閉自家Android程式市集Amazon Appstore及相關的Amazon代幣，明年2月終止支援通訊協同服務Amazon Chime。</p> <p>Amazon預告，自8月20日起用戶無法在Android裝置上存取Amazon Appstore。該日之後，用戶從Amazon Appstore下載的App不保證能在Android裝置上執行。Amazon並提醒，日本Amazon（amazon.co.jp）的顧客從本周起已無法從其他Android裝置上的Appstore進行程式內購買（in-app purchase，IAP），其他應用程式市集的IAP可持續使用到8月20日。</p> <p>除了透過一般用戶，Amazon也發送訊息<a href="https://x.com/RizbITUK/status/1892543928638861606" target="_blank">通知</a>開發人員。Amazon告知，從2月20日就不再接受開發人員上傳針對一般Android裝置的新App，現有App則可更新到8月20日。</p> <p>不過Amazon Appstore在Fire TV和Fire平板電腦上仍然會持續提供。</p> <p>此外，Amazon代幣（Coin）計畫也於同日起停止。Amazon代幣可當作現金用於Appstore上交易。在這項宣布下，從2月20日起Amazon不再銷售Amazon代幣，到了8月20日用戶就不可以再使用Amazon代幣，屆時消費者未使用的代幣將會獲得退費。</p> <p>Amazon Appstore是類似Google Play Store的Android應用程式市集，但是應用程式規模小得多。截至今年2月，<a href="https://42matters.com/amazon-appstore-statistics-and-trends" target="_blank">Amazon Appstore上</a>僅有約56萬個App。2021年微軟為Windows 11推出Windows Subsystem for Android（WSA），允許用戶自Amazon Appstore下載應用程式在Windows上執行。不過這項合作並不長久；微軟去年<a href="https://www.ithome.com.tw/news/161628" target="_blank">預告</a>將在今年3月終止支援WSA，微軟並未解釋原因。但當時微軟保證既有Android App可延長使用一年，即2026年3月，而非Amazon保證的8月20日。</p> <p>另一方面，Amazon也<a href="https://aws.amazon.com/tw/blogs/messaging-and-targeting/update-on-support-for-amazon-chime/" target="_blank">宣布</a>將在2026年2月終止支援通訊協同服務Amazon Chime。</p> <p><a href="https://docs.aws.amazon.com/chime/latest/ag/amazon-chime-transition-features.html" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0221-2026-AWS-end%20support-Amazon%20Chime.png" style="width: 600px;" /></a></p> <p>Amazon Chime類似Microsoft Teams，允許企業用戶和公司內外人士會議、交談及撥打VoIP電話。Amazon說，經過審慎思量，將在2026年2月20日終止支援Amazon Chime，包括企業通話（Business Calling）服務。但從本周（2月19日）起，Amazon已不再接受新客戶。</p> <p>現有用戶可以持續透過Chime的管理介面使用企業通話、排程和召開會議，或是管理使用者，但只到2026年2月20日。目前還可以使用，但作為證明，這些用戶須在2月19日前建立Amazon Chime Team或Enterprise帳號。在2月20日後，沒有帳號的企業就無法使用這些功能。Amazon說，明年2月20日前無法刪除自己資料者應聯絡Amazon支援部門。</p> <p>這項變更不影響Amazon Chime SDK服務。</p> </div></div></div>
2025/2/21 12:24作者林妍溱https://www.ithome.com.tw/news/167499
研究人員揭露LibreOffice近期修補的資安漏洞細節，指出攻擊者利用的過程無需使用者互動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了節省成本，有些企業會採用開放原始碼的辦公室生產力軟體，若有資安漏洞，勢必影響前端使用者，甚至伺服器存取文件的安全性。1月7日文件基金會（The Document Foundation）發布資安公告，指出他們在去年底發布的<a href="https://blog.documentfoundation.org/blog/2024/12/19/libreoffice-24-8-4/">24.8.4版開源辦公室套件LibreOffice</a>當中，修補兩項資安弱點<a href="https://www.libreoffice.org/about-us/security/advisories/cve-2024-12426">CVE-2024-12426</a>、<a href="https://www.libreoffice.org/about-us/security/advisories/cve-2024-12425">CVE-2024-12425</a>，最近通報這些漏洞的資安業者<a href="https://codeanlabs.com/blog/general/exploiting-libreoffice-cve-2024-12425-and-cve-2024-12426/">公布相關細節</a>，指出一旦遭到利用，攻擊者就有機會在幾乎無須使用者互動的情況下進行攻擊。</p> <p>根據文件基金會發布的資安公告，較為危險的是CVE-2024-12426，這項漏洞出現在URL截取功能，能用於滲透任意INI檔案的數值及環境變數，CVSS風險為6.7分；另一個漏洞CVE-2024-12425與路徑穿越有關，可被用於寫入任意TTF檔案，風險評分為2.4。</p> <p>乍看之下，這些漏洞危險程度不高，但通報漏洞的資安業者Codean Labs指出，這些漏洞都與LibreOffice載入文件檔案的過程有關，過程中無須使用者互動，無論是使用者開啟攻擊者提供的惡意檔案，或是伺服器以無頭模式（headless）執行LibreOffice轉換檔案，都會觸發上述弱點。</p> <p>究竟這些漏洞帶來的危害是什麼？Codean Labs資安研究員Thomas Rinsma指出，若是企業組織的伺服器遭到利用攻擊，由於這些弱點能讓攻擊者有機會讀取及寫入伺服器的檔案系統，有可能導致伺服器完全被滲透。</p> <p>而對於一般的使用者來說，攻擊者有機會利用釣魚郵件竊取或重置特定的Token，而能在針對特定目標的情況下用於進一步攻擊。</p> </div></div></div>
2025/2/21 10:17作者周峻佑https://www.ithome.com.tw/news/167494
ChatGPT用戶突破4億；整合o3技術的GPT-5即將推出
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI昨日<a href="https://x.com/bradlightcap/status/1892579908179882057" target="_blank">公告</a>，ChatGPT用戶突破4億，並預告GPT-5即將推出。</p> <p>OpenAI營運長Brad Lightcap指出，ChatGPT每周經常用戶（weekly active user，WAU）已正式超過4億，約占全球人口5%，其中有超過200萬用戶是在工作場合使用。此外，自OpenAI o3去年12月<a href="https://www.ithome.com.tw/news/166617" target="_blank">推出</a>以來，模型API用量已成長5倍。</p> <p>這表示ChatGPT在不到3個月內用戶數增加了1億。去年OpenAI才<a href="https://www.theverge.com/2024/12/4/24313097/chatgpt-300-million-weekly-users" target="_blank">公布</a>ChatGPT用戶數於8月底來到2億，在12月初ChatGPT用戶數超過3億。</p> <p>這與OpenAI不斷推出新模型新服務有很大關係。為了維持市場曝光度及用戶成長動能，OpenAI在去年年底一連3個星期公布12項新產品及服務。</p> <p>OpenAI再度預告即將在ChatGPT和API推出旗艦大語言模型GPT-4.5及GPT-5，並會讓免費版ChatGPT用戶標準設定無上限使用GPT-5。</p> <p>上周OpenAI執行長Sam Altman<a href="https://www.ithome.com.tw/news/167339" target="_blank">公告</a>產品策略變動，將整合GPT及o3為單一產品線。未來不會再單獨推出o3服務，GPT-4.5是OpenAI最後一個沒有整合思維鏈的模型。而下一重大更新的GPT-5將整合語音、工作區（canvas）、深度研究等新的能力，它會自行決定何時啟用長時間思考能力，何時不用。</p> </div></div></div>
2025/2/21 09:27作者林妍溱https://www.ithome.com.tw/news/167493
微軟發表全球首款拓撲量子處理器Majorana 1，提升穩定性推進量子運算雲端化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟正式發表<a href="https://azure.microsoft.com/en-us/blog/quantum/2025/02/19/microsoft-unveils-majorana-1-the-worlds-first-quantum-processor-powered-by-topological-qubits/">Majorana 1量子處理器</a>，這是全球首款採用拓撲量子位元（Topological Qubit）的量子晶片，意味著微軟在量子運算領域邁入實用化階段。這款處理器整合了微軟多年在拓撲超導材料的研究成果，並以拓撲核心架構為基礎，朝向百萬量子位元規模發展。</p> <p>量子運算的發展受限於量子位元的脆弱性，一般量子位元對環境雜訊極為敏感，容易受到干擾而發生錯誤，使得量子糾錯（Quantum Error Correction）成為必要但又極具挑戰性的課題。微軟解釋，拓撲量子位元技術核心概念來自於理論物理中已預測但未曾真正應用的馬約拉納零模（Majorana Zero Modes）。拓撲量子位元與傳統設計不同，其量子資訊受到拓撲性質保護，使其天生具備更高的穩定性，能減少錯誤校正的資源需求，進而提升運算效率並縮小硬體規模。</p> <p>微軟解釋，技術突破的關鍵在於拓撲導體（Topoconductor），這是一種新型材料，結合砷化銦半導體與鋁超導體，透過磁場與低溫環境產生拓撲超導態，進一步形成馬約拉納零模。微軟近期發表於《Nature》的研究證實，他們已成功創造馬約拉納準粒子，並能可靠地測量其中的量子資訊。</p> <p>除了硬體技術的突破，微軟也重新思考了量子運算的控制架構。一般量子運算需要透過類比訊號來精準調整量子態，每個量子位元都需要獨立控制，這使得系統在擴展至更大規模時面臨極大挑戰。反之，Majorana 1的設計展現出高度的可擴展性，其架構不僅能支援大規模量子運算，還能與現有的雲端基礎設施整合。</p> <p>Majorana 1量子處理器的特色在於其高密度量子位元整合能力，目前微軟已成功放置8個拓撲量子位元，未來計畫擴展至百萬量子位元，以實現大規模、容錯量子運算。Majorana 1的運算單元將拓撲量子位元與控制電路緊密整合，將完整的運算與控制模組封裝於單一晶片，使其具備高計算效率與低延遲特性。</p> <p>微軟指出，相較於傳統量子處理器依賴外部控制硬體來調整量子態，Majorana 1採用數位化測量導向架構（Measurement-Based Approach），透過數位訊號來驅動計算與錯誤校正。這種設計不僅減少運算延遲，提高計算穩定性，也讓大規模量子計算機的擴展更具可行性。</p> <p>在執行環境方面，Majorana 1採用低溫運作模式，並已與Azure Quantum基礎設施整合，使其能夠直接部署至Azure資料中心，支援量子與傳統雲端運算的混合應用。由於其封裝設計考量可擴展性，基於拓撲量子位元的特性，可減少部分量子糾錯資源更符合雲端架構需求，加速量子運算技術的實用化。</p> </div></div></div>
2025/2/21 08:16作者李建興https://www.ithome.com.tw/news/167488
淺談動態資料治理
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1220-itshu_zhai_-1p-zi_liao_zhi_li_ji_shu_shou_ce_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">碁峰資訊</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">歷程或出處是指資料在提取－轉換－載入（ETL）和其他移動過程中，所採用的「路徑」紀錄。當新的資料集和資料表在整個資料生命週期中經歷創建、丟棄、以及普遍被使用時，歷程可以是資料來源，也就是創建、轉換、導入的視覺化表示方式，它應該有助於回答「為什麼這個資料集會存在？」的問題，和「資料從何而來？」</p> <p dir="ltr">當資料在您的資料湖泊中移動時，它會與來自其他地方的資料，混合並且交互作用以產生洞見。但是，元資料，也就是有關資料來源及其分類的資訊在資料傳輸過程中有丟失的風險。例如，對於給定的資料源，您可能會問「這個來源的資料品質如何？」因為，它可能是高度可靠的自動化過程，也可以是人工建立/驗證的資料集。由於不同來源的資料會混合在一起，而這些描述資料的背景資訊有時會丟失，以致於您可能不太信任其他來源的資料。</p> <p dir="ltr">資料來源的元資料資訊，例如敏感性、品質、資料是否包含個人識別資訊（PII）等，可以支持是否允許混合某些資料以輸出最終結果、是否允許存取該資料以及該資料應該給誰等等的決策。在混合某些資料以輸出結果時，您需要追蹤其資料來源。而且，預計使用這個資料結果以達成的業務目標尤其重要，因為創建的資料產品應該要有助於實現該業務目標。例如，假設業務目標要求資料在單位時間內須具有一定的準確性，請確保資料歷程不會在處理資料時，降低時間單位的精準度。由此，我們可以得知歷程對於有效的資料治理政策至關重要。</p> <p dir="ltr"><span style="color:#B22222;"><span style="font-size:28px;"><strong>如何蒐集歷程？</strong></span></span></p> <p dir="ltr">理想情況下，從資料的開始到結束，您的資料倉儲或資料目錄將擁有一個可檢視任何被使用的資料產品、儀表板或模型的功能，並且可以蒐集沿途中每個動作的歷程。但這樣的做法很少見，而且很可能會有盲點。對每個資料產品，您將不得不推論相關的資訊，或者以其他方式手動整理資訊以縮小與事實的差距。一旦您獲得此資訊後，便可根據其可信度，將其用於治理目的。</p> <p dir="ltr">對於成功的企業來說，資料以指數型速度累積很常見；隨著資料的增長，在歷程蒐集過程中，允許越來越多的自動化，並依次減少對人工管理的依賴相當重要。自動化建立資料歷程並且盡量地減少人為的介入，有助於資料產品的發展與獲取終端使用者的信任。</p> <p dir="ltr">另一種蒐集/創建歷程資訊的方法，是連接到資料倉儲的API日誌檔。API日誌檔應包含所有SQL工作，以及所有程式化的資料渠道，如R、Python等。如果有一個理想的工作稽核日誌檔，您可以用它來創建一個歷程圖。例如，這允許創建資料表的指令以便於回溯至先前資料表的模樣。但這樣的做法不如即時地記錄歷程有效，因為它需要回溯日誌檔和批次處理。但是如果您關注的是資料倉儲中的歷程，這種方法可能非常有用！</p> <p dir="ltr"><span style="color:#B22222;"><span style="font-size:28px;"><strong>如何治理動態資料？</strong></span></span></p> <p dir="ltr">假設歷程資訊保存良好且在一定程度上是可靠的，一些關鍵的治理應用程式就會依賴資料歷程。</p> <p dir="ltr">歷程可以滿足的一個常見需求是除錯或理解資料的突然變化。為什麼某個儀表板停止正確顯示？哪些資料導致了某種機器學習演算法的準確性發生了變化？諸如此類的需求。從最終產品中找出匯入哪些資訊後就發生了變化，例如，品質突然下降、欄位值缺失、某些資料不可用等等，此外，了解資料的路徑和轉換也有助於快速地解決資料轉換錯誤。</p> <p dir="ltr">在所述歷程是可靠的前提下，通常針對資料欄位的另一個需求是，推斷資料類別的能力。例如，針對包含個人識別資訊（PII）的特定行，如想將基於此行所衍生的資料都標記為個人識別資訊（PII），而且之後衍生的行，也都想實施同樣的存取/保留/遮蔽等策略，可能就會需要一些特定的演算法，使您能夠在該行被精確地複製時實施相同的存取策略；但如果衍生行的內容是空值，則只能實施不同策略，或無法實施既有的控制策略。</p> <p dir="ltr">圖6-4是一張稍微複雜一點的歷程圖。隨著資料從外部資料源移動到資料表D，以及隨著資料表D，與資料表A和資料表B的副產品「資料表C」合併，並最終呈現在儀表板中，您可以看到整個歷程經過，尤其是行級別的歷程有多重要。例如：假設不管是資料表A、資料表B還是外部資料源，都是只有其中一行包含個人識別資訊（PII），並且公司對個人識別資訊（PII）的政策是「僅允許全職員工可以存取」。因此，如果讓個人識別資訊（PII）進入到儀表板，應該就會影響到儀表板本身的存取策略。</p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98_%E8%B3%87%E6%96%99%E6%B2%BB%E7%90%86_%E5%9C%964.png" style="width: 500px;" /></p> <p dir="ltr"><strong><span style="font-size:14px;"><span style="color:#696969;">圖6-4：歷程的工作流，如果資料表B包含敏感資料，則儀表板中也可能找到該敏感資料。</span></span></strong></p> <p dir="ltr">但長期以來，資訊長（CIO）和資安長（CISO）期望的使用案例則更為廣泛：</p> <blockquote><p dir="ltr"><strong>「我想確定哪些系統可信任，並確保就算沒有人工監督，資料也不會存在於其他比較不受信任的系統中。」</strong></p> </blockquote> <p dir="ltr">這種需求可以透過在受信任系統上實施出口控制來解決，如果使用良好的歷程解決方案，這項任務可能會更簡單。例如，藉由這種方式，資料來源將被顯示在歷程資訊中，因此您可以防止來自未經批准系統的資料被攝取至受信任之環境。</p> <blockquote><p dir="ltr"><strong>「我需要能夠輸出報告，和稽核所有處理個人識別資訊（PII）的系統。」</strong></p> </blockquote> <p dir="ltr">這是GDPR時代的普遍需求，如果您標記個人識別資訊（PII）的所有來源，就可以利用歷程圖來識別個人識別資訊（PII）的處理位置，從而實現更高級別的控制。</p> <p dir="ltr"><span style="color:#B22222;"><span style="font-size:28px;"><strong>策略管理、模擬、監控、變更管理</strong></span></span></p> <p dir="ltr">本質上，資料治理政策應該從資料的含義中推導出來。如果在某個組織中想要管理個人識別資訊（PII），並將個人識別資訊（PII）定義為個人電話號碼、電子郵件地址和街道地址，則可以自動地檢測這些個人資訊類型，並將其與資料類別相關連。然而，掃描資料表，並確定哪些行包含這些資訊類型在計算上很昂貴。為了正確識別資訊類型，在不知道哪些行包含敏感資訊的情況下，需要採樣整個資料表，並且透過模式匹配和機器學習模型處理這些採樣，從而提供對基礎資訊類型的可信度，並適當地標記行。</p> <p dir="ltr">但是，如果您可以只需識別該標記行的創建事件，則此過程會變得更具效率。而這就是資料歷程發揮效用的地方。</p> <p dir="ltr">歷程資訊的另一個用途是資料變更管理的考量。假設您要刪除某個資料表；或者，您想要更改資料類別的存取策略；又或者您可能想設置一個資料保留控制元件，在一段時間後將資料內容變得更加簡略，例如30天後，將資料從「GPS座標」更改為城市/州。透過歷程，您可以追蹤受影響的資料到其最終產品，並分析此更改的影響。假設您想要限制資料表中某些欄位的存取，您可以透過查看哪些儀表板或系統會使用到這些即將遭受限制的欄位值，並評估受影響的範圍。一個理想的結果是當終端使用者在存取資料/儀表板時，會跳出一個提醒視窗顯示存取權限發生變化，因此可以在更改策略時發出警告，提醒管理員某些使用者將失去存取權限，甚至可能允許一定程度的深入鑽研，以便檢查這些使用者受影響的情況並做出更明智的決定。<strong>（本文摘錄整理自《資料治理技術手冊》，碁峰資訊提供）</strong></p> <div> <p class="rtecenter"> <img alt="" src="https://s4.itho.me/sites/default/files/images/1220-IT%E6%9B%B8%E6%91%98-1P-%E8%B3%87%E6%96%99%E6%B2%BB%E7%90%86%E6%8A%80%E8%A1%93%E6%89%8B%E5%86%8A-600.jpg" style="width: 600px;" /></p> <p dir="ltr"><span style="font-size:14px;"><span style="color:#696969;">圖片來源_碁峰資訊</span></span></p> <p dir="ltr"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> <span style="color:#3399ff;">資料治理技術手冊（Data Governance: The Definitive Guide）</span></strong></p> <p dir="ltr">Evren Eryurek、Uri Gilad等／著；簡誌宏／譯</p> <p dir="ltr">碁峰資訊出版</p> <p dir="ltr">定價：580元</p> <p dir="ltr"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98_%E8%B3%87%E6%96%99%E6%B2%BB%E7%90%86_%E5%9C%962_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Amazon.png" style="width: 150px;" /></p> <p dir="ltr"><a href="https://www.amazon.com/stores/Evren-Eryurek/author/B08WJN2PG1?ref=ap_rdr&isDramIntegrated=true&shoppingPortalEnabled=true" target="_blank"><span style="color:#696969;"><span style="font-size:14px;">圖片來源_Amazon</span></span></a></p> <p dir="ltr"><strong>Evren Eryurek</strong></p> <p dir="ltr">Evren Eryurek博士是Google Cloud資料分析和資料管理產品組合的領導人。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98_%E8%B3%87%E6%96%99%E6%B2%BB%E7%90%86_%E5%9C%963_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Amazon.png" style="width: 100px;" /></p> <p dir="ltr"><a href="https://www.amazon.com/stores/Uri-Gilad/author/B08W6QPM69?language=zh_TW&ref=ap_rdr&isDramIntegrated=true&shoppingPortalEnabled=true" target="_blank"><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源_Amazon</span></a></p> <p dir="ltr"><strong>Uri Gilad</strong></p> <p dir="ltr">Uri Gilad領導Google Cloud中巨量資料的資料治理。</p> </div> </div></div></div>
2025/2/21 06:00未署名https://www.ithome.com.tw/article/167176
加密貨幣產業的黑暗面
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1223-itshu_zhai_-1p-bi_zhang_wu_yi_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">早安財經文化</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「我不會騙你。」山姆．班克曼—弗里德（Sam Bankman-Fried，簡稱SBF）對我說。</p> <p>這句話，就是在騙！</p> <p>當時我們在他巴哈馬辦公室裡，我把椅子拉到他桌邊，啟動錄音機。我是彭博社（Bloomberg）的調查記者，公司派我飛來採訪這位全球加密狂潮的關鍵人物。</p> <p>SBF盯著眼前六台螢幕，一邊看emails一邊告訴我，關於加密貨幣，他會對我知無不言，言無不盡。《富比士》（Forbes）才剛宣布他是全球三十歲以下的首富，但他看起來像個圖書館裡通宵K書後被搖醒的學生，一身邋里邋遢，沒穿鞋子，穿著藍色短褲與灰色T恤，T恤上印著他的加密貨幣交易所FTX字樣。他那爆炸頭被耳機壓得歪七扭八，像隻剃毛剃到一半的綿羊。他桌上有一包打開的鷹嘴豆咖哩，那是他昨天的午餐。</p> <p>我原本的計畫是寫一篇人物報導，讓大家認識這位幣圈金童。這個年僅二十九歲的年輕人，似乎已經預見了貨幣的未來。他崛起的速度極快，所以當他說FTX有朝一日會主宰華爾街時，大家都覺得很有可能。他的身價至少有兩百億美元，但他宣稱，自己賺錢只是為了把所有的財富都捐出去。他開的是豐田Corolla汽車，喜歡睡在辦公室的懶骨頭上，我可以看到，那懶骨頭就放在他辦公桌旁邊。</p> <p>這是個令人難以抗拒的故事。問題是，它根本是假的。當媒體、政治人物、創投業者、投資銀行家盛讚他是樂善好施的金童──相當於數位時代的巴菲特（Warren Buffett）或J．P．摩根（J. P. Morgan）──時，他正偷偷挪用客戶數十億美元的資金，揮霍在糟糕的交易、找名人代言，以及，像毒梟在洗錢似的，大手筆買進小島上的房地產。</p> <p>我坐在繼伯納．馬多夫（Bernie Madoff）之後最大的騙子身邊，可以清楚看到他的emails、公司內部聊天內容與交易紀錄，但我還是不知道他在搞什麼鬼。</p> <p>「對我來說，把事情解釋清楚是我現在最想做的事。」SBF一邊說，一邊狂抖著那雙穿著短襪的腳，「你可以把我當成你的消息來源。」</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>這是一台被動過手腳的大型吃角子老虎機，快來玩！</strong></span></span></p> <p>我當然有很多疑問。打從開始研究幣圈的那天起，我就看到一堆警訊。這些公司為什麼要把總部設在惡名昭彰的離岸監管天堂？那些名不見經傳的阿貓阿狗虛擬貨幣，據說價值數百億美元，究竟是怎麼回事？這會不會是導致未來金融動盪的肇因？這一切，都是騙局嗎？</p> <p>就在我造訪SBF在巴哈馬小島上所打造的帝國時，金融界的理性邏輯已經瓦解。幾乎沒有人知道加密貨幣是用來幹什麼的，連那些所謂的專家也無法解釋。大家根本搞不清楚，為什麼許多虛擬貨幣會有價值。</p> <p>但從二○二○到二二年初，比特幣（Bitcoin）和其他數百種次要貨幣的價格持續飆漲，而且很多貨幣的名字都很可笑，例如狗狗幣（Dogecoin）、索拉納幣（Solana）、波卡幣（Polkadot）、滑順愛情魔藥幣（Smooth Love Potion）。</p> <p>加密貨幣的擁護者宣稱，他們是一場革命的先鋒，這場革命，將會帶來金融民主化，並為相信加密貨幣的人帶來世世代代的財富。不斷飆漲的行情，淹沒了質疑的聲音。一個個難以理解的術語，諸如區塊鏈（Blockchain）、去中心化金融（DeFi）、Web3、元宇宙（metaverse）等等，如今無所不在。這些術語究竟是什麼意思不重要，報紙、電視、社群媒體照樣放送著各種靠這些玩意兒一夕發財的故事。</p> <p>加密貨幣就像一台被動過手腳的大型吃角子老虎機，幾乎每次拉霸都能賺錢。全世界有好幾億人受到誘惑，都知道有人海撈一票發了大財，相信著只要有更多人繼續買進，價格就會漲更高。</p> <p>然而，現實世界並沒有因為這一切而開始改用加密貨幣。沒有人剪掉信用卡、關掉銀行帳戶、不再用現金，轉而使用卡爾達諾幣（Cardano）之類的加密貨幣。只見那些推銷者、狂熱者、投機者及徹頭徹尾的騙子都發財了，變得極其富有。他們有錢到令人難以置信、無法想像、不可思議。</p> <p>SBF告訴我，他的FTX同事中，已經有五位是億萬富豪，這還只是其中一家加密貨幣公司而已。另一家加密貨幣交易所幣安（Binance）的創辦人趙長鵬（簡稱CZ），已經有約九百六十億美元的身價。這些數字如此龐大，就連最荒謬的加密貨幣妄想聽起來也顯得合理，看起來，加密貨幣上漲是擋不住的趨勢。</p> <p>當然，是漲到紙牌屋崩塌為止。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>賭徒、程式設計師、炒作者與億萬富豪</strong></span></span></p> <p>這是一場史上最瘋狂的金融行情。剛開始，我打算深入調查的是泰達幣（Tether，主要功能是扮演加密產業的銀行），沒想到後來演變成一場為期兩年的旅程，從曼哈頓延伸到邁阿密，再到瑞士、義大利、巴哈馬、薩爾瓦多及菲律賓。</p> <p>這本書是根據我對幣圈不同階層人士所進行的數百次採訪撰寫而成，其中有賭徒、程式設計師、炒作者與億萬富豪。我在狂潮顛峰期間去過他們的遊艇與派對，也在政府展開調查時造訪過他們的藏身之所。</p> <p>打從一開始，我就覺得加密貨幣很扯，沒想到事實證明，它比我想像的更扯。過去從來沒有那麼多的財富，是靠如此薄弱的概念創造出來的。真正讓我震驚的，倒不是那些搞加密貨幣的人有多膚淺，而是他們給世界帶來的毀滅性後果。調查旅程的尾聲，我來到了柬埔寨，追查加密貨幣如何助長中國詐騙集團販運人口。</p> <p>二○二一年十一月，加密狂潮接近顛峰時，我向出版社提出寫這本書的構想。當時我預測，加密貨幣很快就會崩盤，而我將是這場災難的記錄者。三個月後，我坐在SBF在巴哈馬的辦公室裡，從他那頭蓬亂的爆炸頭後面看著他的電腦螢幕，竟渾然不覺在我眼前上演中的巨大騙局。事實上，當時的我甚至擔心，我可能永遠也搞不清楚加密貨幣狂潮背後的祕密。</p> <p>但我仍然十分確定，這個規模龐大的加密貨幣市場本質上是一個類似老鼠會的金字塔式騙局，只是還沒有爆。整個產業正蓬勃發展，而且很有可能在我截稿後還一直漲。或許，加密貨幣會繼續吸引更多追隨者，漲勢再也擋不住。這本書的結局會怎樣，我也不知道。</p> <p>在和SBF相處幾個小時後，我決定開門見山地提出我的疑問：泰達幣聲稱是安全的加密銀行，是加密貨幣的支柱，但我認為那可能是一場騙局，會拖垮整個產業。</p> <p>SBF說，我錯了。加密貨幣不是騙局，泰達幣也不是，但他也不認為我的問題冒犯了他。</p> <p>他說他完全理解我的想法，接著他做了一件當時我並不覺得奇怪的事，但如今回想起來，我不禁懷疑他是否在對我暗示什麼。</p> <p>我試圖進一步解釋時，SBF打斷了我的話，用快要笑出來的語氣說：「你是不是覺得如果答案是『哇靠！這是世界上最大的龐氏騙局（Ponzi scheme）』會更勁爆，對吧？」</p> <p>嗯，就是。<strong>（本文摘錄整理自《幣漲無疑》前言，早安財經文化提供）</strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1223-IT%E6%9B%B8%E6%91%98-1P-%E5%B9%A3%E6%BC%B2%E7%84%A1%E7%96%91-600.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_早安財經文化</span></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> 幣漲無疑：加密貨幣，一場史詩級騙局？（Number Go Up）</strong></p> <p>齊克．法克斯（Zeke Faux）／著；洪慧芳／譯</p> <p>早安財經文化出版</p> <p>定價：550元</p> <p><a href="https://tinyurl.com/2bco8dtr" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1223-IT%E6%9B%B8%E6%91%98-1P-%E5%B9%A3%E6%BC%B2%E7%84%A1%E7%96%91-220.jpg" style="width: 220px;" /></a></p> <p><a href="https://tinyurl.com/2bco8dtr" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Vincent Tullo</span></span></a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><strong>齊克．法克斯（Zeke Faux）</strong></p> <p>《彭博商業周刊》與「彭博新聞社」的調查記者，也是「新美國」（New America）的國家研究員。作品以深入報導金融犯罪、詐騙，以及揭露金融業內部陰暗面聞名，幫助公眾了解複雜的現代經濟體系中隱藏的風險與潛在影響。以其獨到的調查視角和深入報導的風格，在金融新聞界備受讚譽。曾榮獲財經新聞界的最高榮譽羅布獎（Gerald Loeb Award）與美國律師協會的銀法槌獎（Silver Gavel Award），亦曾入圍美國國家雜誌獎（National Magazine Award）。現與妻子和三個孩子住在布魯克林。</p> </div></div></div>
2025/2/21 06:00未署名https://www.ithome.com.tw/article/167431
【資安日報】2月20日，Palo Alto Networks防火牆已知漏洞被用於攻擊網頁管理介面
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>鎖定Palo Alto Networks防火牆漏洞進行利用的攻擊行動，去年11月已傳出相關資安事故，如今有人將當時公布的漏洞與今年2月的漏洞串連，發起新一波的攻擊行動。</p> <p>值得留意的是，大多數的防火牆曝露在網際網路上，而容易成為駭客下手的目標，若是沒有套用相關的修補程式，就有可能遭到入侵，甚至成為攻擊者進入企業組織內部環境的管道。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167473"><strong style="font-size: 22px;">Palo Alto Networks警告防火牆漏洞遭到串連，攻擊者將其用於對網頁管理介面下手</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/GkHsECfWsAAOmrw.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/GkHsECfWsAAOmrw.png" style="width: 300px; float: right;" /></a></p> <p>2月13日資安業者Palo Alto Networks發布資安公告，針對旗下防火牆作業系統揭露、修補4項漏洞，其中有3項與網頁管理介面相關，當時通報身分驗證繞過漏洞CVE-2025-0108的資安業者Searchlight Cyber指出，已有攻擊行動出現，一週後Palo Alto Networks證實，部分漏洞出現遭到串連與利用的現象。</p> <p>20日Palo Alto Networks更新兩則資安公告，表示他們觀察到有人將CVE-2025-0108、檔案讀取漏洞CVE-2025-0111，以及去年11月揭露的權限提升漏洞CVE-2024-9474串連，用於實際攻擊行動，對尚未修補的防火牆攻擊網頁管理介面。該公司也呼籲IT人員，應最優先處理CVE-2025-0108、CVE-2025-0111。</p> <p>另一家資安廠商Macnica的資安研究員瀬治山豊透露，全球有3,490臺PAN-OS防火牆系統的網頁管理介面暴露在公開的網際網路上，其中有2,262臺防火牆存在相關弱點。</p> <p><a href="https://www.ithome.com.tw/news/167475"><strong style="font-size: 22px;">分散式資料庫系統Apache Ignite存在9.5分重大漏洞，攻擊者可用來任意執行程式碼</strong></a></p> <p>最近兩、三個月，Apache基金會對於旗下專案修補資安漏洞，而且有不少是重大層級相當危險，最近有資安新聞媒體報導該基金會修補資料庫軟體的情形，引起我們的注意。</p> <p>2月14日Apache基金會指出，旗下的分散式資料庫Ignite存在重大層級資安漏洞CVE-2024-52577，伺服器節點反序列化來源訊息的過程裡，有可能讓攻擊者遠端執行任意程式碼（RCE），第4版CVSS風險評分為9.5（滿分10分）。對此，該基金會發布2.17.0版修補。</p> <p>這項弱點的影響範圍，為2.6.0至2.16.0版Ignite，原因是部分Ignite端點會忽略完成設定的類別序列化過濾器（Class Serialization Filter）。攻擊者使用存在弱點的物件，打造特製的Ignite訊息並傳送到伺服器端點，一旦Ignite伺服器反序列化這種訊息，攻擊者就有機會於伺服器執行任意程式碼。</p> <p><a href="https://www.ithome.com.tw/news/167479"><strong style="font-size: 22px;">Google、Mozilla發布瀏覽器更新，修補記憶體高風險資安漏洞</strong></a></p> <p>2月18日Google、Mozilla發布瀏覽器Chrome 133、Firefox 135更新，修補記憶體高風險漏洞，用戶應儘速套用更新。</p> <p>Google發布了電腦版133.0.6943.126、133.0.6943.127版Chrome，總共修補3項漏洞，從資安風險的嚴重程度來看，CVE-2025-0999、CVE-2025-1426兩項記憶體緩衝區溢位弱點被列為高風險層級值得留意，資安風險皆評為8.8分。</p> <p>Mozilla基金會推出135.0.1版Firefox，修補高風險的記憶體越界寫入（OBW）資安漏洞CVE-2025-1414，雖然Mozilla並未透露其他細節，但他們表示找到會造成記憶體中斷的證據，而能讓觸發漏洞的攻擊者執行任意程式碼。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/02/new-frigidstealer-malware-targets-macos.html">竊資軟體FrigidStealer假借瀏覽器更新散布，鎖定macOS用戶而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-nailaolocker-ransomware-used-against-eu-healthcare-orgs/">勒索軟體NailaoLocker鎖定歐洲地區醫療機構而來，疑為中國駭客所為</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://cofense.com/blog/oauth-phishing-alert-fake-adobe-drive-x-app-abusing-microsoft-login">駭客佯稱提供Adobe應用程式從事OAuth同意網釣攻擊，意圖竊取M365帳號</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/02/new-golang-based-backdoor-uses-telegram.html">Go語言後門程式利用Telegram機器人的API進行C2通訊，藉此隱匿行蹤</a></strong></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167485"><strong style="font-size: 22px;">臺灣年底將以醫療領域舉行跨國網路攻防演練</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/grcvzoes_5xw.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/grcvzoes_5xw.jpg" style="width: 300px; float: right;" /></a>2月18日數位發展部資安署舉行署長上任記者會，由於不久前才傳出馬偕醫院遭到勒索軟體CrazyHunter攻擊，因勒索軟體擴散，院內門急診系統超過500臺電腦無法正常運作，因此，對於資安署如何強化醫療體系的資安防護，也備受關注。</p> <p>根據多家媒體的報導，資安署長蔡福隆在這場活動透露，今年底預定舉辦的2025跨國網路攻防演練（Cyber Offensive and Defensive Exercise，CODE），將以醫療機構作為演練場域，提升這類關鍵基礎設施的防護能力。</p> <p>蔡福隆表示，這次的CODE將由國泰、馬偕、新光、長庚、彰基等5家醫院參與，邀請國外專家組成紅隊進行演練，由於醫療體系有許多儀器設備，系統複雜，資安風險相對較高，必須做好聯網及相關管控。對此，他們將請資安院進行關鍵基礎設施的資安深度檢查。</p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.darkreading.com/identity-access-management-security/cyberark-makes-identity-security-play-zilla-acquisition">資安業者CyberArk以1.65億美元買下身分治理與管理業者Zilla</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/167455"><strong>【2月19日】新型態名稱混淆攻擊手法鎖定雲端環境的虛擬機器映像檔而來，數千個AWS帳號受害</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167446"><strong>【2月18日】Ivanti旗下SSL VPN系統零時差漏洞在日本傳出攻擊行動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167393"><strong>【2月17日】資安業者揭露2024年9月Salt Typhoon攻擊全球電信業者更多細節，利用已知漏洞入侵思科設備</strong></a></p> </div></div></div>
2025/2/20 17:35作者周峻佑https://www.ithome.com.tw/news/167487
南山人壽智能客服功能再升級，在NLU結合LLM技術基礎上提供個人化商品推薦服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>南山人壽近日宣布，甫在去年上線的智能客服「透透Talk Talk」功能再升級。他們透過在智能客服導入自主研發的推薦機制，來提供個人化保險商品推薦。目前，透透Talk Talk能協助顧客查詢保單狀況、借還款、繳費、解約金試算、延長信用卡效期、資料變更、查詢還本金/滿期金、保單處理進度查詢及專屬互動推薦等服務。</p> <p>南山人壽在去年推出新版智能客服透透Talk Talk。這款客服運用NLU結合LLM技術打造而成，相比運用NLU打造的智能客服系統，透透Talk Talk更能用擬人化的對話方式服務顧客。南山人壽表示，這款客服能透過意圖判斷，找尋對話斷點，降低一般智能客服常見的對話情境斷裂感。並且，若遇到複雜問題，透透TalkTalk能無縫轉接真人文字客服。</p> <p>南山人壽表示，這次透透Talk Talk功能升級，是透過導入自研發的AI商品及服務推薦系統，來新增商品推薦功能。當顧客完成客服提供的短問卷後，系統就能判斷顧客需求，為顧客推薦保險商品和提供健康資訊。另外，南山人壽也有運用預生成模式來控制風險，當客服系統掌握顧客需求後，系統會先倒流至事先撰擬好的口語化推薦文字腳本，再將內容提供給顧客。</p> <p>為了加速數位轉型，南山人壽2023年在內部成立了一支重塑企業文化的推動團隊，名為Beyond Lab，專門協助公司內部單位，從營運分析、流程盤點、梳理到塑模步驟，挖掘流程改善的機會點，來設計出流程優化方案。南山人壽提到，此次智能客服升級導入的AI推薦系統，就是Beyond Lab的研發成果。</p> <p></p> </div></div></div>
2025/2/20 18:30作者李昀璇https://www.ithome.com.tw/news/167490
德意志交易所集團打造雲端交易引擎，加速發展數位資產
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>經營德國最大交易所的德意志交易所集團曾在2023年揭露Horizon 2026戰略，其中一項戰略目標，便是要擴大在傳統資產與新型態資產交易平臺的領先地位。為了達到這項目標，德意志交易所集團擬定的其中一項核心策略，就是要投資數位發展，包括擴大雲端技術應用、加速開發數位證券平臺，和建立可交易其他數位資產的平臺，擴大可投資的資產類別。</p> <p>2023年，德意志交易所集團便和雲端廠商宣布建立策略夥伴關係，要運用雲端技術來加速開發數位證券平臺。這個平臺不僅要能夠處理和現有金融體系掛勾的數位證券，還要能和以區塊鏈技術打造的環境互通，確保平臺在提供數位資產的同時，也能處理所有類型的資產交易，例如股票和ETF產品。</p> <p>今年初，德意志交易所開始開發數位證券平臺。不過，在正式投入數位證券平臺開發前，德意志交易所先投入了十個月的時間，開發出一套雲原生交易引擎。這套雲原生交易引擎是一套元件，能整合至不同平臺中，是集團未來發展數位資產平臺的核心元件。</p> <p>有別於打造傳統交易環境，德意志交易所表示，在打造這套交易引擎時，他們不再強調提供客戶客製化的系統整合，而是要提供彈性、可擴充的交易環境。例如，他們看上雲原生架構可快速擴充的優勢，來加速投資產品上市時間。並且，交易引擎也強調提供API和便利的SDK開發工具包，讓市場參與者能夠開發自己的交易工具或應用程式。</p> <h3>雲原生交易引擎架構</h3> <p>這套雲原生交易引擎採用多市場架構（Multi-Market Architecture），每個交易市場環境都有專屬的API存取點與K8S叢集，各個交易市場都有設置專屬的網路端點群組（NEG），來獨立處理請求。當用戶向交易引擎傳送需求，負載平衡器會根據需求，來將流量導向適當的存取點和K8S叢集。為了降低交易延遲，這套架構採用單租戶設計（Single-Tenancy Model），確保每個市場擁有獨立的子網路，同時透過隔離式網路來防止不同市場的流量互相干擾。<br /> <img alt="" src="https://s4.itho.me/sites/default/files/images/s7-diagram_max-2200x2200.jpg" style="width: 600px;" /></p> <p></p> </div></div></div>
2025/2/20 18:36作者李昀璇https://www.ithome.com.tw/news/167433
是方電訊揭露新藍圖，鎖定資料中心、三環網路打造AI雲端產業生態系
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>是方電訊今日（2/20）揭露接下來發展方向，要以既有的IDC機房和三環網路（臺北環、臺灣環和國際環）為核心，來形成包含AI、雲端和運算的產業生態系，並擴大服務涵蓋範圍，要將是方告訴網路數據交換平臺（TPIX）延伸到其他國家，如德國、荷蘭、美國西岸等，在提供更快速的服務同時，連結這些國家的AI、網路服務供應商、OTT等業者。</p> <p><span style="font-size:22px;"><strong>要以資料中心和三環網路，吸引更多國內外AI、雲端等業者</strong></span></p> <p>是方電訊以IDC機房起家，也就是網路資料中心（或稱數據中心），專門提供高可用、高安全性的環境，來存放伺服器、網路設備和相關IT設備。企業可將自己的伺服器放在IDC機房，由機房提供網路、電力、冷卻和維護，雲端服務供應商也可以在IDC機房設置伺服器，來提供運算服務。</p> <p>是方電訊副處長江文漢先是盤點去年績效，是方電訊2024年營收達37.93億元，旗下4大產品線營收占比分別是IDC機房服務營收39%、數據網路服務38.9%、雲端應用服務15.8%、語音通信服務6.3%，其中IDC機房服務和數據網路服務占大宗。</p> <p>是方電訊董事長劭泓嘉點出，IDC機房服務和雲端應用成兩位數增長，今年期望維持這個成長趨勢，而占比次高的數據網路服務要朝精緻化發展、可望持續成長。至於毛利低的語音服務，未來則會持續調低。</p> <p>這4大產品線的績效走勢，奠定了是方電訊接下來的布局策略。江文漢表示，他們將聚焦資料中心和三環網路，來加速數據服務成長。</p> <p>意思是，他們要以自家的IDC資料中心為核心，匯集資源、產生一個產業生態系。這包括串起北部3間IDC機房的臺北環網路，以及串聯臺灣西部科技走廊、北中南科技園區和工業園區的臺灣環網路，來匯集各產業客戶，產生群聚磁吸效應。是方電訊期望，藉此吸引國內外各式服務匯聚其中，並延伸發展接軌國際的國際環，來推動AI運算、雲端等應用服務。</p> <p>江文漢進一步舉例，是方電訊去年啟用的YL2聯雲資料中心大樓，目前就已吸引了公雲服務業者、AI算力服務業者（GMI、Zettabyte等）、電商業者、金融保險服務業者和OTT影音串流服務業者等進駐，接下來則要引進國際雲端、AI、跨境電商和更多OTT業者進駐，並提高網路訊服務。</p> <p>是方電訊也打算擴大三環網路，要將是方TPIX（供國內外業者連線的高速網際網路數據交換服務平臺）服務涵蓋範圍，延伸到其他國家同等平臺，如日本、新加坡已連接，德國、荷蘭、美國西岸，提供更快速的服務同時，還能連結他們的AI、網路服務供應商、OTT等業者。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202025-02-20%20185827.png" /></p> <p>不只如此，是方電訊也想以三環網路擴大自己的雲端交換中心和AI服務區域，致力成為東亞數據與AI雲端的算力中心，另也要推動ACTIoN3計畫，透過自家新世代中立機房和三環網路在全球的部署，來雙向引入、輸出國內外業者的AI、雲端、電信和網路服務，讓客戶享受零時差的使用體驗。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202025-02-20%20183640.png" /></p> <p>最後，因接下來是方電訊也要輔助企業客戶打造AI加值服務，總經理劉耀元補充，是方自己也有跨部門、跨專業的AI專案小組，先思考可行的應用服務，篩選後再集中火力開發可行性高的服務。</p> <p></p> </div></div></div>
2025/2/20 19:06作者王若樸https://www.ithome.com.tw/news/167491
臺灣年底將以醫療領域舉行跨國網路攻防演練
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2月18日數位發展部資安署<a href="https://moda.gov.tw/ACS/press/news/press/15240">舉行署長上任記者會</a>，由於不久前才傳出<a href="https://www.ithome.com.tw/news/167327">馬偕醫院遭到勒索軟體CrazyHunter攻擊</a>，因勒索軟體擴散，院內門急診系統超過500臺電腦無法正常運作，因此，對於資安署如何強化醫療體系的資安防護，也備受關注。</p> <p>根據多家媒體的報導，<a href="http://www.cna.com.tw/news/afe/202502180305.aspx">資安署長蔡福隆在這場活動透露</a>，今年底預定舉辦的2025跨國網路攻防演練（Cyber Offensive and Defensive Exercise，CODE），將以醫療機構作為演練場域，提升這類關鍵基礎設施的防護能力。</p> <p>蔡福隆表示，這次的CODE將由國泰、馬偕、新光、長庚、彰基等5家醫院參與，邀請國外專家組成紅隊進行演練，由於醫療體系有許多儀器設備，系統複雜，資安風險相對較高，必須做好聯網及相關管控。對此，他們將請資安院進行關鍵基礎設施的資安深度檢查。</p> </div></div></div>
2025/2/20 16:58作者周峻佑https://www.ithome.com.tw/news/167485
分散式資料庫系統Apache Ignite存在9.5分重大漏洞，攻擊者可用來任意執行程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近兩、三個月，Apache基金會對於旗下專案修補資安漏洞，而且有不少是重大層級相當危險，最近有資安新聞媒體報導該基金會修補資料庫軟體的情形，引起我們的注意。</p> <p>2月14日Apache基金會指出，旗下的<a href="https://lists.apache.org/thread/1bst0n27m9kb3b6f6hvlghn182vqb2hh">分散式資料庫Ignite存在重大層級資安漏洞CVE-2024-52577</a>，伺服器節點反序列化來源訊息的過程裡，有可能讓攻擊者遠端執行任意程式碼（RCE），第4版CVSS風險評分為9.5（滿分10分）。對此，該基金會發布2.17.0版修補。</p> <p>這項弱點的影響範圍，為2.6.0至2.16.0版Ignite，原因是部分Ignite端點會忽略完成設定的類別序列化過濾器（Class Serialization Filter）。攻擊者使用存在弱點的物件，打造特製的Ignite訊息並傳送到伺服器端點，一旦Ignite伺服器反序列化這種訊息，攻擊者就有機會於伺服器執行任意程式碼。</p> </div></div></div>
2025/2/20 11:58作者周峻佑https://www.ithome.com.tw/news/167475
Google、Mozilla發布瀏覽器更新，修補記憶體高風險資安漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2月18日Google、Mozilla發布瀏覽器Chrome 133、Firefox 135更新，修補記憶體高風險漏洞，用戶應儘速套用更新。</p> <p>Google發布了<a href="https://chromereleases.googleblog.com/2025/02/stable-channel-update-for-desktop_18.html">電腦版133.0.6943.126、133.0.6943.127版Chrome</a>，總共修補3項漏洞，從資安風險的嚴重程度來看，CVE-2025-0999、CVE-2025-1426被列為高風險而值得留意。</p> <p>這些高風險漏洞都是記憶體緩衝區溢位弱點，資安風險皆<font face="sans-serif, Arial, Verdana, Trebuchet MS">評</font>為8.8分。CVE-2025-0999涉及JavaScript引擎V8，Google提供通報的研究人員1.1萬美元獎勵；另一個漏洞CVE-2025-1426，則是出現在顯示晶片元件。</p> <p>Mozilla基金會<a href="https://www.mozilla.org/en-US/security/advisories/mfsa2025-12/">推出135.0.1版Firefox</a>，修補高風險的記憶體越界寫入（OBW）資安漏洞CVE-2025-1414，雖然Mozilla並未透露其他細節，但他們表示找到會造成記憶體中斷的證據，而能讓觸發漏洞的攻擊者執行任意程式碼。</p> </div></div></div>
2025/2/20 14:51作者周峻佑https://www.ithome.com.tw/news/167479
產業系統化創新的崛起
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>金管會在2月19日<a href="https://www.ithome.com.tw/news/167460" target="_blank">宣布了金融科技產業聯盟的誕生</a>，透過四大工作圈的方式，由四大金控擔任召集人，帶頭推動不同主題的數位金融創新計畫。我覺得，不只是這些計畫成果值得期待之外，更重大的意義是，這套聯盟合作創新制度的設立，意味著產業系統化創新的制度化。</p> <p>在組織管理中，系統化創新一直是企業創新的顯學，不是透過少數人，一次性的創新計畫，而是建立一套制度和做法，讓企業內的眾人，不同部門，能夠持續不斷的創新。這向來也是許多積極擁抱科技創新的CIO們慣用的策略。</p> <p>要在一家企業內推動系統化創新，已經不是一件容易的事，更不用說，要讓不同企業，甚至是同產業中的競爭者，長期性的合作，更是難得。</p> <p>過去，雖然也有一些大型金控，帶頭發起這樣的聯盟計畫，像是去年，由行政院等政府機關，和三十多家銀行聯合組成的<a href="https://www.ithome.com.tw/news/165869" target="_blank">「鷹眼識詐聯盟」</a>，就是一例。</p> <p>這個聯盟的產業主推手是富邦金控，他們分享了自建的防詐預測模型技術，讓多家銀行聯手來管控警示帳戶，阻止了數億元的詐騙金額，這是透過科技創新和跨企業合作才能實現的成果。</p> <p>這樣的案例，可遇不可求，得有一個可以創造雙贏、多贏的課題，以及願意貢獻自家技術的領頭羊，金融科技創新上的跨企業聯手創新實例，並不多。</p> <p>但是，越來越多新興的產業課題或科技挑戰，大家都想用或者都有類似需求，但是，很難只靠自己一家企業達成，例如資安聯防、金融防詐等，都是越多企業聯手，才越有效果的共同課題。生成式AI的挑戰也是這類，大家都想有一套金融LLM，但是自己跳下來做，又不見得負擔得起算力和訓練資料量的成本。</p> <p>金管會推動的金融科技產業聯盟制度，讓企業聯盟，變成了一種可以長期發展的系統化作法。召集人兩年一任，讓有興趣的金融業者志願輪流擔任。聯盟更有一套彼此合作、付費運作的工作圈制度，來發展特定金融科技創新主題的計畫。其他金融業者，甚至未來可以是其他產業的企業，也有一套機制，可以加入特定主題的工作圈。</p> <p>工作圈的創新成果，未來甚至可以商品化，變成正式對外收費的服務後，再將服務收益，以回饋金的形式，來支援原本工作圈的長期運作，形成一套可以永續的運作模式。金管會則提供法規調適上的支援，也與各個工作圈有一套定期溝通的制度。</p> <p>這種工作圈形式，不同於原本產業工會原本就有的工作小組，例如銀行公會旗下有多個任務小組，也包括金融科技議題的小組。產業工會工作小組主要以制度、法規、自律公約的討論為主，但工作圈則偏重於執行，甚至就是要發展出一套平臺，一套實務上可用的模式和系統。</p> <p>從目前四大工作圈的重點專案來看，中信金控帶頭的金融科技應用研發工作圈先聚焦科技防詐，玉山金控負責的數位金融實務規範建議工作圈則先從金融無塵室著手，凱基金控的金融科技投資交流工作圈則要設立一個投資本土金融科技創新為主的母基金。</p> <p>最後一個國泰金控召集的異業生態共創工作圈，則提出三個創新提案，涉及聯合學習技術、醫療FHIR互通標準和區塊鏈數位金融護照等。</p> <p>金融業是臺灣科技創新的火車頭產業，像是率先發布了金融業運用AI指引，或像金融上雲也加速了後來醫療上雲的發展，這次的金融科技產業聯盟的出現，不只是他們的成果，對各產業未來的連帶影響，都相當值得期待。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E9%87%91%E8%9E%8D%E7%A7%91%E6%8A%80%E7%94%A2%E6%A5%AD%E8%81%AF%E7%9B%9F">金融科技產業聯盟</a></div><div class="field-item odd"><a href="/tags/%E9%87%91%E7%AE%A1%E6%9C%83">金管會</a></div><div class="field-item even"><a href="/tags/%E7%B3%BB%E7%B5%B1%E5%8C%96%E5%89%B5%E6%96%B0">系統化創新</a></div><div class="field-item odd"><a href="/tags/%E9%B7%B9%E7%9C%BC%E8%AD%98%E8%A9%90%E8%81%AF%E7%9B%9F">鷹眼識詐聯盟</a></div></div></div>
2025/2/20 16:05作者王宏仁https://www.ithome.com.tw/voice/167480
Google iOS版App不再支援Gemini，要求用戶下載獨立App
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google近日移除iOS版Google App的Gemini功能，要求iPhone用戶下載獨立的Gemini App。</p> <p>Android Central首先<a href="https://www.androidcentral.com/apps-software/gemini-is-no-longer-available-in-the-google-app-for-ios" target="_blank">報導</a>，Google發信通知iOS用戶，為了提供更好的使用體驗，已經從Google App中移除Gemini。Google說Gemini現在有自己的App，是使用Gemini最佳地方，要持續使用Gemini的話，建議到App Store下載新的Gemini App。</p> <p>Gemini iOS版App提供原本內建於Google App的相同功能，包括即時查詢、回覆問題和提供建議、可整合Google主要應用如Google Search、YouTube、Maps、Gmail，也能接受圖片輸入並且生成圖片。但也提供原本沒有的進階語音模式Gemini Live。在iPhone上啟用這項功能時，會出現在動態島和鎖定螢幕上，方便用戶直接與之互動。</p> <p>獨立的Gemini App是免費的，但更方便升級到Gemini Advanced，後者包含在Google one AI進階版方案中，訂閱月費18.99美元或650元臺幣。</p> <p>根據App Store上2月20日更新的Google App <a href="https://apps.apple.com/tw/app/google/id284815942" target="_blank">356.2版</a>功能，已經不包含Gemini的描述。</p> </div></div></div>
2025/2/20 13:01作者林妍溱https://www.ithome.com.tw/news/167476
Palo Alto Networks警告防火牆漏洞遭到串連，攻擊者將其用於對網頁管理介面下手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2月13日資安業者Palo Alto Networks發布資安公告，<a href="https://www.ithome.com.tw/news/167368">針對旗下防火牆作業系統揭露、修補4項漏洞</a>，其中有3項與網頁管理介面相關，當時通報身分驗證繞過漏洞CVE-2025-0108的資安業者Searchlight Cyber指出，已有攻擊行動出現，一週後Palo Alto Networks證實，部分漏洞出現遭到串連與利用的現象。</p> <p>今天Palo Alto Networks更新兩則資安公告，表示他們觀察到有人將<a href="https://securityadvisories.paloaltonetworks.com/CVE-2025-0108">CVE-2025-0108</a>、<a href="https://security.paloaltonetworks.com/CVE-2025-0111">檔案讀取漏洞CVE-2025-0111</a>，以及<a href="https://www.ithome.com.tw/news/166075">去年11月揭露</a>的權限提升漏洞CVE-2024-9474串連，用於實際攻擊行動，對尚未修補的防火牆攻擊網頁管理介面。該公司也呼籲IT人員，應最優先處理CVE-2025-0108、CVE-2025-0111。</p> <p>值得留意的是，13日這些漏洞資訊公開之際，當天就傳出有資安廠商揭露<a href="https://www.greynoise.io/blog/greynoise-observes-active-exploitation-of-pan-os-authentication-bypass-vulnerability-cve-2025-0108">攻擊行動出現的情況</a>。威脅情報業者GreyNoise同日表示，他們有2個惡意IP位址嘗試利用CVE-2025-0108，到了18日增加至25個，這些攻擊IP位址主要來自美國、德國、荷蘭。</p> <p>另一家資安廠商Macnica的資安研究員瀬治山豊透露，<a href="https://x.com/nekono_naha/status/1892053691743486053">全球有3,490臺PAN-OS防火牆系統的網頁管理介面暴露在公開的網際網路上</a>，其中有2,262臺防火牆存在相關弱點。近三分之一位於美國，有707臺，其次是印度和泰國，分別有222、106臺。值得留意的是，臺灣有69臺曝險，數量全球第7。</p> </div></div></div>
2025/2/20 11:00作者周峻佑https://www.ithome.com.tw/news/167473
蘋果推出最新平價版機種iPhone 16e，趕上AI列車
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果於今（20）日凌晨<a href="https://www.apple.com/newsroom/2025/02/apple-debuts-iphone-16e-a-powerful-new-member-of-the-iphone-16-family/" target="_blank">公布</a>最新平價iPhone 16e，並且加入Apple Intelligence功能成為最便宜的iOS AI裝置。臺灣<a href="https://www.apple.com/tw/iphone-16e/specs/" target="_blank">定價</a>21,900元，於周五（2/21）晚上9點接受預購，2月28日上市。</p> <p>這個新命名證實了幾個月來業界<a href="https://www.macrumors.com/2025/02/18/iphone-16e-name-is-likely/" target="_blank">傳聞</a>。最早中國社群<a href="https://x.com/MajinBuOfficial/status/1891857914849116175" target="_blank">網站</a>上有網友爆料iPhone SE下一代並不叫SE，而叫iPhone 16e，原因是16e將具備類似iPhone 16的規格。</p> <p>這也讓16e不再是獨立的平價產品線。蘋果說明，iPhone 16e為iPhone系列最新成員，以可負擔的價格提供強大能力，並為SE機種首度加入Apple Intelligence。iPhone 16e提供黑、白兩色，在美售價599美元起跳，臺灣定價21,900元，並與美國同步於周五（2/21）晚上9點接受預購，2月28日上市。</p> <p>16e使用最新的iOS 18，具備6.1吋Super Retina XDR OLED螢幕，搭載iPhone 16系列的蘋果自製晶片A18，以及4核GPU與16核心神經網路引擎，並首度使用蘋果自行設計的行動數據晶片Apple C1，提供高效能及SE系列最長，最高比iPhone 11長6小時的電池續航力，更比所有SE系列長12小時。</p> <p>iPhone 16e最大特色是支援Apple Intelligence。內建AI的本機應用像是「清除」工具讓用戶可移除相片中不想要的雜物、「相片」App加入AI自然語言搜尋方便搜尋特定相片。ChatGPT和Siri及「撰寫工具」的整合，方便用戶以Siri執行AI任務，像是查詢，或是在iPhone上直接生成文件或信件。</p> <p>其他方面，iPhone 16e具備4800萬像素結合Fusion相機及2倍焦距的二合一後向相機系統，前置相機採用「原深感測鏡頭」（TruthDepth），這顆鏡頭讓16e實現Face ID作為生物辨識驗證，而不再使用Touch ID。16e也轉向USB-C傳輸埠，提供無線充電和USB-C充電選擇。影音方面，這款平價機支援以60fps錄製4K杜比影像，並可錄下空間音效聲音，還具有以ML為基礎的降噪功能。蘋果也強調iPhone 16e的永續性，包括機身採用30%以上的再生材料，電池採用循環再造鈷、再造鋰，機身則採用再生鋁金屬等。</p> <p>iPhone 16e將是蘋果搶回市場的重點產品。根據IDC最新<a href="https://www.idc.com/getdoc.jsp?containerId=prAP53146225" target="_blank">數據</a>，上季蘋果雖然仍是全球智慧型手機之冠，但年減9.6%，已領先中國業者不多。反觀vivo、小米增加14%及28.4%，分居二、四名。過去飽經封鎖壓力的華為更是增長近23%回到全球第三位。</p> </div></div></div>
2025/2/20 11:07作者林妍溱https://www.ithome.com.tw/news/167474
Rust企業採用率穩步成長，但學習門檻高與工具效能低仍受關注
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Rust團隊公布的2<a href="https://blog.rust-lang.org/2025/02/13/2024-State-Of-Rust-Survey-results.html">024年Rust社群調查</a>顯示，雖然Rust企業採用率持續上升，開發者仍然看重其安全性與效能優勢，但調查參與人數減少，可能反映社群活躍度趨緩。學習門檻、工具鏈效能與生態系發展速度仍是開發者關注的核心議題，如何提升開發體驗，將影響Rust未來的成長動能。</p> <p>今年調查的受訪人數減少近20％，從2023年的11,950人降至9,450人，完成問卷的人數則從9,710人降至7,310人，而且完成率也下滑至77.4％。官方認為，填寫問卷人數下降的現象，與調查時間從近一個月縮減至兩星期有關，而問卷太長進一步影響完成率。不過，此一變化也可能反映出Rust社群結構正發生變化，或是部分開發者對參與調查的興趣降低。</p> <p>根據調查，45.5%受訪者所屬企業有實質採用Rust，相較去年的38.7%成長約7個百分點，代表Rust在企業環境中的採用率穩定上升。企業導入Rust主要仍是基於安全性與效能理由，開發者普遍認為Rust能有效減少記憶體錯誤與執行階段錯誤，這也是Rust近年來進入企業市場的重要優勢。Rust在特定領域也保持穩定成長，如後端開發、網路服務、雲端應用及嵌入式系統。</p> <p>而學習門檻仍是影響Rust採用的關鍵因素，調查顯示，31％的非Rust使用者認為語言過於困難，這與過去的調查結果一致。此外，36％曾使用Rust但後來不再使用的開發者表示，他們離開Rust主要是因為不可控因素，如專案需求改變、團隊決策或技術棄用政策，而非對語言本身不滿意。</p> <p>開發者面臨的挑戰仍然存在，工具鏈與生態系發展速度成為關注重點。Rust使用者最常抱怨的問題仍然是編譯速度，官方雖正在推動平行前端以及更快的linker來提升編譯效能，但這些改進目前還未能滿足開發者需求。此外，Rust的除錯工具支援仍不足，部分開發者認為Rust工具鏈的資源消耗過高，特別是在大型專案中，rust-analyzer和rustfmt等工具的效能仍有待提升。</p> <p>此外，Rust生態系的發展速度與未來的方向也是開發者關心的議題。調查顯示，超過四分之一的受訪者希望Rust能夠更快地新增或穩定新功能，官方承諾Async Closures將在Rust 1.85推出，以及if/let while Chains也預計在Rust 2024版釋出後進入穩定。儘管今年許多開發者期待Rust發展更快，但還是有少部分開發者擔心Rust會變得過於複雜。</p> <p>Rust的發展仍值得關注，特別是在企業環境的應用是否持續擴展，以及開發社群能否維持過去幾年的熱度。此次調查顯示，Rust仍然保持穩定成長，參與調查人數的下降與採用成長的減緩，或許顯示Rust在進入更廣泛市場時面臨挑戰，未來如何降低學習門檻、改善開發體驗，將成為決定Rust能否進一步普及的關鍵。</p> </div></div></div>
2025/2/20 08:19作者李建興https://www.ithome.com.tw/news/167458
如何讓模型更懂繁中知識？聯發科研究團隊揭技術關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>聯發創新基地（MediaTek Research）日前一口氣<a href="https://huggingface.co/collections/MediaTek-Research/breeze-2-family-67863158443a06a72dd29900">釋出2款繁中多模態語言模型Llama-Breeze2-3B和Llama-Breeze2-8B</a>，可分別在手機和電腦上執行AI助理任務，不只能處理文字工作，還懂看圖、調用外部工具。他們還<a href="https://github.com/mtkresearch/Breeze2-android-demo">開源以3B模型為基礎、可離線工作的Android聊天機器人App</a>，鼓勵開發者延伸開發，甚至也<a href="https://huggingface.co/MediaTek-Research/BreezyVoice">釋出一款可合成臺灣口音的語音生成模型BreezyVoice</a>。</p> <p>要讓模型更懂繁中文字和圖片知識，還要讓AI生成臺灣口音的語音，需要哪些技術和資料？iThome專訪聯發創新基地開發團隊，來分享這些模型背後的關鍵技術。</p> <p><span style="font-size:22px;"><strong>關鍵1：採LLaVA架構</strong></span></p> <p>聯發創新基地團隊表示，大約去年4、5月，他們就著手打造Llama-Breeze2系列模型。也因為目標是多模態模型，除了懂文字，還要能看圖、知道呼叫函式（Function calling）來調用外部工具。因此，團隊採用熱門的多模態模型LLaVA架構，來開發Breeze2。</p> <p>進一步來說，LLaVA架構由<strong>視覺編碼器（Vision Transformer，簡稱ViT）、多層感知器（MLP）</strong>和<strong>大型語言模型（LLM）</strong>組成。它們互相搭配，由ViT處理圖像，將圖像切分成一塊塊的圖像塊（Patch），再轉換為向量。接著由MLP擔任橋樑，將ViT產出的視覺特徵轉換為LLM可理解的格式，最後交由LLM產出回答。</p> <p>在這個ViT-MLP-LLM架構下，Llama-Breeze2-3B就由InternViT-300M-448px、MLP、Llama 3.2-3B組成，Llama-Breeze2-8B一樣有InternViT-300M-448px、MLP，只是最後的LLM為Llama 3.1 8B模型。（如下圖）</p> <p><img alt="" src="https://arxiv.org/html/2501.13921v3/extracted/6196088/img/breeze2_architecture.jpg" /></p> <p><span style="font-size:22px;"><strong>關鍵2：繁中優化</strong></span></p> <p>要讓模型理解繁中知識，就得靠繁中資料加強模型的理解力。</p> <p>這個加強之處，在於模型的<strong>預訓練</strong>（Pretraining）和<strong>後訓練</strong>（Post-training）兩階段。</p> <p>其中，預訓練又可分為<strong>延伸文字預訓練、視覺對齊預訓練</strong>，前者主要用收集到的繁中資料，來加強Llama 3.2 3B和Llama 3.1 8B基礎模型的繁中知識理解力，後者則加強ViT模型和MLP對繁中圖文內容的理解力。</p> <p>再來，後訓練則靠3件事來優化模型繁中能力，包括<strong>文字指令調校</strong>、<strong>視覺指令調校</strong>和<strong>函式呼叫微調</strong>。文字指令調校是要讓模型更理解繁中環境下的文字指令，視覺指令調校則是要模型更理解臺灣相關的圖文任務，比如解讀臺灣街景、招牌或繁體字排版。至於函式呼叫微調，則是要模型學會何時需要呼叫函式、要調用哪些功能，而且要能理解繁中語境。</p> <p><span style="font-size:22px;"><strong>關鍵3：大量在地化資料</strong></span></p> <p>接著是影響模型學習的繁中資料集建置，首先，團隊收集了近1TB的繁中文字資料、共超過9,000億個Token（如下圖）。為確保這些資料可用，他們以開源過濾器加上自建的規則，來清理資料，尤其是身份證字號、電話等個資部分，都準確清除。這是文字資料的準備。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202025-02-19%20190512.png" /></p> <p>圖片訓練資料部分，團隊以英文的開源資料為主要訓練資料，但為了讓模型看到圖片後、能給出符合臺灣語境的回答，他們自己也翻譯了部分問答資料，並加入臺灣的習慣用語，讓模型回答能更貼近在地文化。</p> <p>團隊強調，雖然訓練資料量大，但為保留原本Llama 3.1和Llama 3.2模型的優點，他們採取<strong>低學習率（Learning rate）方式</strong>來訓練模型。就好比要模型讀一本厚書，高學習率要求模型快速背完，低學習率則是按部就班進行。</p> <p><span style="font-size:22px;"><strong>關鍵4：函式呼叫判斷機制</strong></span></p> <p>至於函式呼叫，聯發創新基地團隊也有幾招來強化模型能力。</p> <p>首先是導入模型的判斷機制，也就是在回答問題前，先判斷該不該呼叫函式，以及該呼叫什麼函式。這個判斷機制叫做<a href="https://arxiv.org/html/2412.01130v2">Decision Token</a>，是團隊先前提出的概念，它能在模型回答問題前，強迫模型先下決策，要使用工具（呼叫函式），還是不用工具、直接回答。</p> <p>這個Decision Token機制，還能加強模型對工具使用的判斷力。因為，模型得靠函式呼叫資料和非函式呼叫資料訓練，才能學習使用工具的判斷邏輯，但傳統上，這種非函式呼叫的資料（又稱為反向資料）很難收集。於是，團隊透過Decision Token，在函式資料集中，將原本模型判斷需要呼叫的特定函式拿掉，這樣模型就會生成不呼叫函式的答案，就能快速產出非函式呼叫的訓練資料。</p> <p>接著，團隊就能在模型訓練過程中加入這些資料，讓模型學習在哪些情境不需要呼叫函式，進一步避免不必要的函式呼叫，加強模型使用工具的判斷力。</p> <p>不只Decision Token，團隊還特別打造一套翻譯流程，來將工具使用的資料，翻譯為繁體中文，加強模型呼叫函式的繁中能力。這是因為，他們採用開源的函式呼叫資料集來訓練模型，但這些資料9成都是英文，若只用英文資料，就會影響模型後續行為。比如，使用者詢問模型，臺北天氣如何，模型呼叫函式、調用外部工具取得的答案，可能會顯示Taipei，而非臺北。</p> <p>因此，聯發創新基地團隊自建一套合成資料的翻譯處理流程，就像是一臺翻譯機，能翻譯任何語言（包括繁中），來解決語言在地化問題。</p> <p><span style="font-size:22px;"><strong>關鍵5：根據上下文準確分辨讀音</strong></span></p> <p>不只是文字、圖像，團隊也打造出符合臺灣口音的語音合成模型BreezyVoice，背後有個重要關鍵，也就是讓模型準確分辨破音字的<a href="https://tw.pycon.org/2022/en-us/conference/talk/260/">G2PW套件</a>。</p> <p>簡單來說，BreezyVoice是以既有的CosyVoice語音合成模型改良而成。這套模型的運作原理是，輸入語音樣本，模型將聲音轉換為符元（Token），這些符元帶有能生成原本聲音的資訊，所以有了這些符元，就能根據文字，來將符元轉回音訊，達到文字生成語音的效果。</p> <p>不過，這個CosyVoice的中文語音帶有中國大陸口音，為能貼近臺灣口音，團隊採用臺灣口音的語音資料來改善模型發音，也以G2PW來讓模型發音更正確。這個G2PW是一款團隊開發的開源套件，是BERT衍生模型，能很好地理解上下文、決定讀音，尤其是破音字。</p> <p><span style="font-size:22px;"><strong>時下熱門的推理模型也在研究中</strong></span></p> <p>開源多款輕量級語言模型之餘，聯發創新基地團隊表示，他們也一直在研究不同層面的AI技術，像是近期廣受討論的測試階段運算擴展（Test-time computing）方法。有別於傳統的擴展法則、在模型訓練階段加入大量運算資源和資料，測試階段運算擴展方法是在模型部署後的推論階段，加強算力，讓模型處理複雜問題時，能多思考幾步，著名的例子有OpenAI的o系列推理模型、DeepSeek R1和Google Gemini 2.0 Flash Thinking等。</p> <p></p> </div></div></div>
2025/2/19 19:33作者王若樸https://www.ithome.com.tw/news/167459
金融科技產業聯盟正式成立！四大工作圈協力加速Fintech發展
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年七月，金管會主委彭金隆發布五大金融科技策略，其中一項策略，就是要透過成立金融科技聯盟，促成金融業者合作打團體戰。歷經三個月的籌備期，在金管會指導下，金融總會在今日舉辦金融科技產業聯盟啟動儀式，宣布聯盟正式成立。</p> <p>在成立儀式上，金管會創新處長胡則華展示了金融科技產業聯盟架構圖。她表示，產業聯盟的會員初期將以金融機構為主，聯盟核心包含四大工作圈，分別是金融科技應用研發、數位金融實務規範建議、金融科技投資交流及異業生態共創。各組工作圈召集人將由有興趣主導的業者輪流擔任，每任任期為2年。目前，各工作圈首任召集人分別由中信金控、玉山金控、凱基金控及國泰金控擔任。</p> <p>金融科技產業聯盟第一個工作圈是金融科技應用研發工作圈，由中信金控擔任召集人，負責針對金融業共通效益的特定場景進行主題式科技研發應用。例如發展科技防詐，或是和聯盟會員合作，共同打造符合臺灣在地金融領域知識的大語言模型。中信金控最高資訊主管賈景光表示，在第一階段，他們將會聚焦在打造全國性的金融同業防詐平臺，透過和其他工作圈合作，加速金融防詐發展。</p> <p>第二個工作圈，是數位金融實務規範建議工作圈，由玉山金控擔任召集人，負責研擬金融科技應用實務指南、協助建立金融科技基礎建設的各項標準，例如AI及雲端等技術，並回饋給公會和主管機關參考。玉山金控科技長張智星表示，他們已規畫建立「金融無塵室」，一個透過層層加密，整合來自不同金融機構資料的環境，確保金融機構能在資料合規、安全的情況下進行合作。另外，玉山金控也規畫建立可程式化的AI治理制度，預計利用AI程式自動檢視金融AI應用是否符合指引規範。</p> <p>第三個工作圈是金融科技投資交流工作圈，由凱基金控擔任召集人，負責研議成立創新科技母基金。這個母基金初始規模預計為60億至75億元，主要會由金控業者出資，投資以創新科技為核心的技術或解決方案。未來，凱基金控也計畫尋求國發基金參與投資創新科技母基金，預期總金額可達100億元以上。</p> <p>最後一個工作圈，是異業生態共創工作圈，由國泰金控擔任召集人，負責推動金融同業與異業夥伴合作，例如醫療、電信、零售、科技產業等。目前，國泰金控共提出三個創新提案，第一項提案是聯合學習技術授權，透過授權聯盟運用聯合學習技術，來加速發展防詐。第二項提案是金融與醫療無縫連結智能方案，透過採用醫療數據介接的國際標準，來推動醫療業和保險業資料整合，提升理賠效率。第三項提案則是數位金融護照，透過運用區塊鏈技術，實現跨境資料交換，提升跨國銀行開戶的便利性。</p> <p></p> </div></div></div>
2025/2/19 20:01作者李昀璇https://www.ithome.com.tw/news/167460
【資安日報】2月19日，新型態名稱混淆攻擊手法鎖定雲端環境的虛擬機器映像檔而來，數千個AWS帳號受害
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>利用使用者偷懶、輸入錯誤，進行名稱混淆的攻擊手法，最近兩到三年非常汜濫，而最常見的攻擊對象，就是針對使用NPM、PyPI套件的開發人員，如今有人將這種攻擊手法運用到雲端環境，引起雲端服務監控業者的注意。</p> <p>雲端服務監控業者Datadog揭露針對AWS用戶而來的攻擊手法whoAMI，攻擊者使用名稱混淆手法提供虛擬機器映像檔，就有機會在使用者的EC2執行個體執行任意程式碼。值得留意的是，已有AWS帳號實際受害的情況發生。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167436"><strong style="font-size: 22px;">新型態名稱混淆攻擊手法染指AWS的映像檔！已有數千個AWS帳號淪陷</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/whoAMI3-attack-flow.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/whoAMI3-attack-flow.jpg" style="width: 300px; float: right;" /></a></p> <p>名稱混淆的攻擊手法，大多出現在NPM、PyPI等開源套件上，如今有駭客針對雲端環境的虛擬機器映像檔下手，讓搜尋特定名稱映像檔的使用者中招。</p> <p>雲端服務監控業者Datadog旗下的資安實驗室指出，他們去年發現名為whoAMI的攻擊手法，任何人只要能以特定的名稱發布Amazon Machine Image（AMI），就有機會利用存在弱點的AWS帳號執行任意程式碼。研究人員推測，約有1%的組織的AWS帳號存在弱點，且有數千個AWS帳號可能已遭遇相關攻擊。對此，Datadog於9月中旬通報，AWS確認後隨即進行修補。</p> <p>為何這家業者會發現這項能被用於攻擊的弱點？Datadog資安實驗室雲端安全研究員暨倡議者Seth Art指出，他們在去年8月發現有多個軟體專案出現不尋常的情況，例如，在這些專案當中，會惡意搜尋特定AMI並試圖建立EC2執行個體，因而Datadog決定著手調查攻擊者如何下手。</p> <p><a href="https://www.ithome.com.tw/news/167448"><strong style="font-size: 22px;">俄羅斯駭客鎖定歐洲、北美、非洲、中東而來，以要求裝置綁定為幌子進行網釣攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Device-code-phishing-attack-chain.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Device-code-phishing-attack-chain.png" style="width: 300px; float: right;" /></a></p> <p>俄羅斯駭客發動網路釣魚的攻擊手法翻陳出新，最近有兩組資安研究人員提出警告，這些駭客開始假借安全為由，使用者必須綁定裝置的才能通過身分驗證為幌子，發動裝置驗證碼（Device Code）網釣攻擊行動。</p> <p>2月13日微軟威脅情報團隊指出，他們發現與俄羅斯有關的駭客組織Storm-2372，自去年8月發起大規模的裝置驗證碼網釣攻擊，這些駭客意圖欺騙使用者登錄生產力應用程式，然後從登錄過程的Token攔截相關資訊，而能存取受害者的Microsoft 365帳號。值得留意的是，這波攻擊行動仍在持續進行。</p> <p>無獨有偶，資安業者Volexity同樣也發現有俄羅斯駭客組織利用裝置驗證碼的網釣攻擊事故，微軟在調查報告也有提到這家廠商的發現。Volexity從今年1月中旬看到不尋常的網路釣魚活動，並指出有多個俄羅斯駭客參與，最終目的就是假借設備驗證碼的身分驗證流程，破壞M365帳號。</p> <p><a href="https://www.ithome.com.tw/news/167454"><strong style="font-size: 22px;">日本企業傳出遭中國駭客APT41旗下團體攻擊，駭客利用ERP系統SQL注入漏洞部署Web Shell</strong></a></p> <p>近期不時有針對日本的攻擊事故傳出，繼日本電腦危機處理暨協調中心（JPCERT/CC）揭露有當地企業組織遭遇Ivanti Connect Secure零時差漏洞攻擊，隔天（2月13日）又有日本資安業者公布為期接近一年的中國駭客攻擊行動。</p> <p>資安業者Lac指出，中國駭客組織APT41旗下團體Winnti Group自去年3月開始發起攻擊行動RevivalStone，鎖定日本製造、材料、能源產業的公司而來，並對於執行ERP軟體的網頁伺服器下手，藉由SQL注入漏洞植入Web Shell，然後於受害組織的網路環境進行偵察、橫向移動，最終散布惡意程式Winnti。</p> <p>Lac資安研究員松本拓摩及石川宏指出，這些駭客為了擴大受害範圍，還會試圖竊取代管服務業者（MSP）的共通帳號，進行供應鏈攻擊，向MSP代管的其他客戶橫向移動，入侵這些公司的網路環境。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/earth-preta-apt-group-evades-detection-with-legitimate-and-malicious-components/">中國駭客Earth Preta鎖定泰國用戶而來，假借打擊犯罪為由散布惡意程式</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/stealth-attack-earthkapre-leverages-cloud-and-dll-sideloading-for-data-exfiltration/">駭客組織Earth Kapre利用Adobe元件側載惡意程式，並透過罕見雲端服務外送竊得資料</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/triplestrength-threat-actor-group-ransomware-mining-and-server-hacks/">駭客組織TripleStrength同時對於本地及雲端發動攻擊，用勒索軟體加密本機電腦檔案，同時利用受害組織的雲端環境進行挖礦</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167452"><strong style="font-size: 22px;">OpenSSH修補可被用於中間人攻擊、造成阻斷服務的弱點</strong></a></p> <p>2月18日OpenSSH推出9.9p2版，修補中度風險層級弱點CVE-2025-26465、CVE-2025-26466，這兩項漏洞分別可被用於中間人攻擊（MitM）、阻斷服務攻擊（DoS）。</p> <p>通報這些漏洞的資安業者Qualys進一步公布漏洞細節，CVE-2025-26465存在於OpenSSH用戶端VerifyHostKeyDNS選項啟用的狀態，雖然在絕大多數作業系統使用的OpenSSH，這個選項預設都是停用，但Qualys指出，有作業系統的VerifyHostKeyDNS持續7個月處於啟用狀態，因而曝險。攻擊者利用過程完全無須使用者互動，也不需有特定的DNS記錄存在。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/libreoffice-vulnerabilities-cve-2024-12425-cve-2024-12426-pocs-released-patch-asap/">研究人員揭露LibreOffice近期修補的資安漏洞，並指出攻擊者利用的過程完全無需使用者互動</a></strong></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167451"><strong style="font-size: 22px;">美三州政府公務手機禁用DeepSeek，南韓封鎖應用程式下載</strong></a></p> <p>中國DeepSeek模型的高效能及低成本引發業界關注，不過其他國家行政部門對它存有資安疑慮。美國已有德州、紐約州及維吉尼亞州禁止公務人員裝置使用DeepSeek。</p> <p>德州於1月底率先於美國啟動調查，了解是否威脅美國用戶資料安全。德州檢察長辦公室也向Google與蘋果發函要求其對DeepSeek的分析，以及DeepSeek App上架Google Play Store和App Store前被要求提交的文件。德州檢察長Ken Paxton指出，DeepSeek好比中國共產黨的大門，以遂其推翻美國在AI市場獨霸地位及竊取美國公民資料的目的，他因而啟動徹底調查，並呼籲Google和蘋果協助提供研究DeepSeek的相關資料。</p> <p>南韓個資保護委員會（PIPC）以隱私保護不足為由，從本月15日起暫時封鎖境內DeepSeek App下載，但DeepSeek網頁版不在禁止的範圍。</p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-reminds-admins-to-prepare-for-wsus-driver-sync-deprecation/">微軟針對WSUS服務棄用再度警告，並指出2個月後將停止驅動程式同步服務</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/167446"><strong>【2月18日】Ivanti旗下SSL VPN系統零時差漏洞在日本傳出攻擊行動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167393"><strong>【2月17日】資安業者揭露2024年9月Salt Typhoon攻擊全球電信業者更多細節，利用已知漏洞入侵思科設備</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167383"><strong>【2月14日】資安業者揭露已遭中國駭客用於攻擊行動的Windows使用者介面零時差漏洞</strong></a></p> </div></div></div>
2025/2/19 15:12作者周峻佑https://www.ithome.com.tw/news/167455
日本企業傳出遭中國駭客APT41旗下團體攻擊，駭客利用ERP系統SQL注入漏洞部署Web Shell
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期不時有針對日本的攻擊事故傳出，繼日本電腦危機處理暨協調中心（JPCERT/CC）揭露<a href="https://www.ithome.com.tw/news/167430">有當地企業組織遭遇Ivanti Connect Secure零時差漏洞攻擊</a>，隔天（2月13日）又有日本資安業者公布為期接近一年的中國駭客攻擊行動。</p> <p>資安業者Lac指出，中國駭客組織APT41旗下團體Winnti Group<a href="https://www.lac.co.jp/lacwatch/report/20250213_004283.html">自去年3月開始發起攻擊行動RevivalStone</a>，鎖定日本製造、材料、能源產業的公司而來，並對於執行ERP軟體的網頁伺服器下手，藉由SQL注入漏洞植入Web Shell，然後於受害組織的網路環境進行偵察、橫向移動，最終散布惡意程式Winnti。</p> <p>Lac資安研究員松本拓摩及石川宏指出，這些駭客為了擴大受害範圍，還會試圖竊取代管服務業者（MSP）的共通帳號，進行供應鏈攻擊，向MSP代管的其他客戶橫向移動，入侵這些公司的網路環境。</p> <p>Winnti使用的Web Shell共有3種，包含中國駭客廣泛使用的中國菜刀（China Chopper），以及Behinder（IceScorpion），以及SQLmap Fild Uploader。</p> <p>上述工具能替攻擊者執行那些工作？研究人員提到中國菜刀能對受害主機進行各式攻擊，以及植入惡意程式Winnti；Behinder則是支援外掛的後門程式，可執行檔案及Shell命令，以及載入經AES演算法處理的有效酬載。至於SQLmap Fild Uploader，則是具備圖形介面的檔案上傳工具，主要是透過滲透測試工具SQLmap產生有效酬載。</p> <p>攻擊者身分的確認，Lac從惡意程式的元件發現蛛絲馬跡，例如他們從中找到Treadstone、Stone V5的字串，接著比對多種情報，像是美國2019年起訴相關駭客的資料，<a href="https://www.ithome.com.tw/news/161454">中國資安業者安洵信息外流的內部檔案</a>、資安業者Cybereason公布的<a href="https://www.cybereason.com/blog/operation-cuckoobees-cybereason-uncovers-massive-chinese-intellectual-property-theft-operation">攻擊行動Operation CuckooBees</a>，最終他們確定罪魁禍首是Winnti Group。值得留意的是，他們發現攻擊者在滲透過程當中，濫用一家臺灣企業的數位憑證。根據他們的調查，駭客在其中一個蠕蟲程式上，使用臺灣電器製造商的過期憑證簽署的情況。</p> <p><a href="https://s4.itho.me/sites/default/files/images/_Y3oWv302bg.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/_Y3oWv302bg.png" style="width: 580px;" /></a></p> </div></div></div>
2025/2/19 15:02作者周峻佑https://www.ithome.com.tw/news/167454
OpenSSH修補可被用於中間人攻擊、造成阻斷服務的弱點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2月18日OpenSSH<a href="https://www.openssh.com/txt/release-9.9p2">推出9.9p2版</a>，修補中度風險層級弱點CVE-2025-26465、CVE-2025-26466，這兩項漏洞分別可被用於中間人攻擊（MitM）、阻斷服務攻擊（DoS）。</p> <p>通報這些漏洞的資安業者Qualys<a href="https://blog.qualys.com/vulnerabilities-threat-research/2025/02/18/qualys-tru-discovers-two-vulnerabilities-in-openssh-cve-2025-26465-cve-2025-26466">進一步公布漏洞細節</a>，CVE-2025-26465存在於OpenSSH用戶端VerifyHostKeyDNS選項啟用的狀態，雖然在絕大多數作業系統使用的OpenSSH，這個選項預設都是停用，但Qualys指出，有作業系統的VerifyHostKeyDNS持續7個月處於啟用狀態，因而曝險。攻擊者利用過程完全無須使用者互動，也不需有特定的DNS記錄存在。</p> <p>一旦攻擊者利用這項漏洞發動中間人攻擊，用戶端將會接收攻擊者提供的金鑰，使得SSH連線的完整性遭到破壞，攻擊者可檢視及竄改敏感資料，在多臺重要伺服器之間進行橫向移動，甚至洩露資料庫憑證等具有價格的資訊。</p> <p>VerifyHostKeyDNS是允許用戶端透過DNS記錄（特別是其中的SSHFP記錄），尋找及驗證伺服器金鑰的機制。僅管這個選項OpenSSH推出的版本預設為停用，但Qualys威脅研究團隊產品經理Saeed Abbasi指出，在2013年9月至2023年3月發布的FreeBSD作業系統當中，該選項預設為啟用而可能曝險，因此，CVE-2025-26465的資安風險仍然需要留意。</p> <p>另一個漏洞CVE-2025-26466涉及預先身分驗證，同時影響OpenSSH的伺服器與用戶端，源自於2023年8月導入的非對稱記憶體與處理器資源使用機制。</p> <p>假若攻擊者能夠不斷觸發這項弱點，就有可能導致長時間服務中斷，或是將使用者鎖定。</p> </div></div></div>
2025/2/19 11:14作者周峻佑https://www.ithome.com.tw/news/167452
xAI公布號稱世界最強的Grok 3模型、AI代理功能Deep Search，新增SuperGrok訂閱方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>緊追Google Gemini 2、OpenAI o3之後，馬斯克的xAI公司周二發表最新旗艦AI模型Grok 3，號稱比現有其他競爭模型效能都更強大，也公布了深入研究功能Deep Search，付費用戶已可使用。此外也公布了更高階收費方案SuperGrok。</p> <p>馬斯克周末在X上<a href="https://x.com/elonmusk/status/1890958798841389499" target="_blank">公告</a>，「地表最聰明的AI」模型Grok 3將上線。臺北時間周二馬斯克連同xAI員工線上<a href="https://www.youtube.com/watch?v=BDseU-kmDYY&t=11s" target="_blank">展示</a>了最新一代LLM模型。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>馬斯克稱Grok 3為地表最強模型</strong></span></span></p> <p>馬斯克上周<a href="https://www.youtube.com/shorts/LBPzWPNEUDs" target="_blank">表示</a>，Grok 3在最後收尾階段時，標竿測試的跑分成績超過所有已知的AI模型。他說Grok 3「聰明地嚇死人」（scary smart），能給出使用者想都想不到的方法，即使未經微調的Grok 3都比Grok 2要好。</p> <p>在Grok 3發表大會上xAI<a href="https://www.youtube.com/shorts/LBPzWPNEUDs" target="_blank">展示</a>，xAI的超級電腦Colossus在長達122天的第一期內，在10萬顆GPU基礎上從頭打造出Grok，第二期則花了92天內擴散為20萬顆GPU，而在此快馬加鞭下，Grok家族只花了2024年一年的時間，就達到OpenAI GPT模型從2019年起6年才達到的效能。</p> <p>根據xAI提供的數據，Grok 3及Grok 3 mini在數學、科學、程式三項標竿測試中得分，超越Google Gemini 2 Pro、DeepSeek V3、GPT 4o及Claude 3.5 Sonnet。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0219-xAI-Grok-Benchmark.png" style="width: 600px;" /></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>發表進階功能Deep Search</strong></span></span></p> <p>xAI同時展示可解決困難問題的進階功能，包括Deep Search、Think與Big Brain，其中Big Brain最耗運算資源，能回答最困難問題，Deep Search則能上網查詢。此外還有具思維鏈的基礎模型Grok 3 Reasoning家族、Grok 3 mini Reasoning。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0219-xAI-Grok%203-DeepSearch.png" style="width: 500px;" /></p> <p>目前Grok 3 Reasoning為Beta版。xAI同時公布數據，Grok 3 Reasoning、Grok 3 mini Reasoning在AIME 2025測試中，成績高達93%與90%，超越OpenAI o3 mini(high)與o1、DeepSeek R1、Google Gemini 2 Flash Thinking的測試成績。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0219-xAI-Grok-Benchmark-AIME%202025.png" style="width: 600px; height: 480px;" /></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>公布頂級訂閱方案SuperGrok</strong></span></span></p> <p>Grok-3現在已部署到付費版Premium+方案，可在Grok.com上使用。用戶可以獲得Deep Search、Grok-3 Reasoning模型，以及早期試用新功能。xAI還公布了更高階的SuperGrok付費方案，保證高頻寬存取Grok-3、獲得Deep Search和Think功能，以及更多則圖片生成功能。不過價格未公布。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>再調高X Premium+方案價格</strong></span></span></p> <p>隨同Grok新模型及新功能的推出，X也提高了Premium+的訂閱價格，將去年底才<a href="https://www.ithome.com.tw/news/166648" target="_blank">調漲</a>為22美元的月費，一舉提高為40美元（年費則由229調為395美元）。臺灣方面，則調為1,309元/月及12,930元/年。但值得注意的是，<a href="https://help.x.com/en/using-x/x-premium#tbpricing-bycountry" target="_blank">同一頁</a>卻也保留了去年底更新的價格。</p> <p>其他宣布方面，Grok 3未來將支援語音互動，上述功能也會在幾個禮拜內部署給以API存取的用戶。xAI也承諾未來幾個月開源Grok-2。</p> <p>Grok 3也是馬斯克上周放話欲以974億美元<a href="https://www.ithome.com.tw/news/167300" target="_blank">收購</a>OpenAI後，兩公司的產品較勁。馬斯克希望以此阻止OpenAI轉型為營利機構，但OpenAI<a href="https://www.ithome.com.tw/news/167369" target="_blank">方面說</a>，馬斯克只是想藉收購消滅競爭對手。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／xAI</span></span></p> </div></div></div>
2025/2/19 13:02作者林妍溱https://www.ithome.com.tw/news/167453
美三州政府公務手機禁用DeepSeek，南韓暫停App下載
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國DeepSeek模型的高效能及低成本引發業界關注，不過其他國家行政部門對它存有資安疑慮。美國已有德州、紐約州及維吉尼亞州禁止公務人員裝置使用DeepSeek。</p> <p>德州於1月底率先於美國啟動調查，了解是否威脅美國用戶資料安全。德州檢察長辦公室也向Google與蘋果發函要求其對DeepSeek的分析，以及DeepSeek App上架Google Play Store和App Store前被要求提交的文件。德州檢察長Ken Paxton<a href="https://www.texasattorneygeneral.gov/news/releases/attorney-general-ken-paxton-announces-investigation-deepseek-and-notifies-chinese-ai-company-its" target="_blank">指出</a>，DeepSeek好比中國共產黨的大門，以遂其推翻美國在AI市場獨霸地位及竊取美國公民資料的目的，他因而啟動徹底調查，並呼籲Google和蘋果協助提供研究DeepSeek的相關資料。</p> <p>1月31日，德州<a href="https://gov.texas.gov/news/post/governor-abbott-announces-ban-on-chinese-ai-social-media-apps" target="_blank">發布</a>禁令，禁止在公務裝置中使用DeepSeek。隨後紐約州與維吉尼亞州也跟進。</p> <p>已有其他國家行政部門企圖禁止民眾使用DeepSeek。南韓個資保護委員會（Personal Information Protection Commission，PIPC）上周以隱私保護不足為由，從本月15日起暫時封鎖境內DeepSeek App下載。DeepSeek網頁版仍然得以使用。</p> <p>南韓政府表示，在DeepSeek提供的文件中發現其第三方服務的通訊功能及個資處理政策存在一些缺點，因此當局決定在DeepSeek修正其服務前，要求暫停在該國的下載服務。DeepSeek於上周主動停止下載服務。南韓是第一個暫停DeepSeek App下載的亞洲國家。</p> <p>歐洲部份，義大利1月底已<a href="https://garanteprivacy.it/home/docweb/-/docweb-display/docweb/10097450" target="_blank">禁止</a>DeepSeek App的下載，理由是當局不滿DeepSeek不願意提供DeepSeek蒐集、處理義國公民資料的方法和目的，因為他們宣稱不在歐盟營運，不受歐盟管轄法規。但義大利也禁用OpenAI的ChatGPT。</p> <p>行政院也在2月3日<a href="https://www.ithome.com.tw/news/167184" target="_blank">宣布</a>，基於國家資通安全考量，公務機關全面禁用DeepSeek AI服務。</p> </div></div></div>
2025/2/19 11:11作者林妍溱https://www.ithome.com.tw/news/167451
俄羅斯駭客鎖定歐洲、北美、非洲、中東而來，以要求裝置綁定為幌子進行網釣攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>俄羅斯駭客發動網路釣魚的攻擊手法翻陳出新，最近有兩組資安研究人員提出警告，這些駭客開始假借安全為由，使用者必須綁定裝置的才能通過身分驗證為幌子，發動裝置驗證碼（Device Code）網釣攻擊行動。</p> <p>2月13日微軟威脅情報團隊指出，他們發現與俄羅斯有關的駭客組織Storm-2372，<a href="https://www.microsoft.com/en-us/security/blog/2025/02/13/storm-2372-conducts-device-code-phishing-campaign/">自去年8月發起大規模的裝置驗證碼網釣攻擊</a>，針對歐洲、北美、非洲、中東地區的政府機關、非政府組織（NGO），以及廣泛的行業而來，這些駭客意圖欺騙使用者登錄生產力應用程式，然後從登錄過程的Token攔截相關資訊，而能存取受害者的Microsoft 365帳號。值得留意的是，這波攻擊行動仍在持續進行。</p> <p>微軟提及駭客捏造與WhatsApp、Signal、Teams等即時通訊軟體為誘餌，冒充與目標有關的傑出人物，並建立良好關係，待時機成熟再透過釣魚郵件邀請他們參加會議或是網路活動。</p> <p>這些信件偽裝成通訊裝置的驗證請求，要求收信人完成裝置驗證碼認證流程，若是收信人照做，Storm-2372就有機會得到他們帳號的初始存取管道，並透過Graph API進行資料收集。</p> <p>駭客在成功挾持受害者帳號後，就會進一步用來對組織其他的使用者進行裝置驗證碼網釣攻擊，然後於受害組織的網路環境進行橫向移動。</p> <p>無獨有偶，資安業者Volexity<a href="https://www.volexity.com/blog/2025/02/13/multiple-russian-threat-actors-targeting-microsoft-device-code-authentication/">同樣也發現有俄羅斯駭客組織利用裝置驗證碼的網釣攻擊事故</a>，微軟在調查報告也有提到這家廠商的發現。Volexity從今年1月中旬看到不尋常的網路釣魚活動，並指出有多個俄羅斯駭客參與，最終目的就是假借設備驗證碼的身分驗證流程，破壞M365帳號。</p> <p>Volexity研究人員Charlie Gardner、Steven Adair、Tom Lancaster指出，這些駭客冒充美國國務院、烏克蘭國防部、歐盟議會，或是知名研究機構，以微軟Teams會議、視訊會議、使用安全的即時通訊軟體加入聊天室，以及利用M365帳號存取應用程式與資料為由，寄送釣魚郵件，要求收信人進行設備驗證。</p> <p>一旦攻擊者成功挾持受害者帳號，攻擊者就有可能進行後續的入侵手段，像是作為存取受害組織的所需材料，並透過指令碼或原生應用程式執行相關作業，或是存取與遭竊帳號有關的基礎設施架構。</p> <p>而對於攻擊者的身分，Volexity表示至少有3組俄羅斯駭客參與攻擊，其中一個被稱為CozyLarch，該組織與稱做APT29、Midnight Blizzard、CozyDuke的另一組人馬有所關聯。</p> </div></div></div>
2025/2/19 08:39作者周峻佑https://www.ithome.com.tw/news/167448
HP收購Ai Pin製造商Humane，接收AI、智財、員工
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在推出Ai Pin一年多後，生產商Humane<a href="https://humane.com/media/humane-hp" target="_blank">宣布</a>將以1.16億美元出售公司技術及員工給HP，而Ai Pin也即將在月底失去通話、AI查詢等功能。</p> <p>HP將收購Humane的AI平臺Cosmos、員工、300多項已取得及申請中的專利等技術。創辦Humane的前蘋果設計師Imran Chaudhri及工程師Bethany Bongiorno也將加入HP。本收購案預計2月底完成。</p> <p>由Chaudhri及Bongiorno率領開發的Ai Pin在2023年底<a href="https://www.ithome.com.tw/news/159732" target="_blank">推出</a>之前，被視為改變個人運算的革命性裝置。它沒有螢幕，而是在胸前或放在口袋由使用者聲控或手勢操作，執行上網、收發電子郵件、查閱行程、撥打電話和傳訊。使用者需要「撥號」時，可由Ai Pin在手心投影出鍵盤。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0523-Humane-ai%20pin-960.jpg" style="width: 600px;" /></p> <p>Ai Pin卻出師不利。首先，產品要價不斐，本體699美元還需綁每月24美元連線服務費。更主要原因在Ai Pin實際運作引來一片差評，服務回應速度慢，投影及手勢感測效果都不佳。去年夏天顧客紛紛要求<a href="https://www.theverge.com/2024/8/7/24211339/humane-ai-pin-more-daily-returns-than-sales" target="_blank">退貨</a>，已下單的客戶也取消訂單，到8月退費增加速度超過收款。此外Humane還<a href="https://techcrunch.com/2024/06/05/humane-urges-customers-to-stop-using-charging-case-citing-battery-fire-concerns/" target="_blank">呼籲</a>用戶停止使用原廠充電器，理由是有電池起火疑慮。10月Humane將Ai Pin價格調降為200美元。</p> <p>HP方面，接收Humane的技術及人才可強化HP生產執行本地端及雲端AI的裝置。HP技術暨創新部門總裁Tuan Tran表示，Humane的Cosmos可協助打造全系列AI裝置，從AI PC到智慧印表機，及連網會議室設備。而接收的Humane工程師、架構師和產品開發人員，也將投入HP新設立的AI創新實驗室，旨在打造跨HP產品及服務的智慧應用。</p> <p>伴隨這樁收購，Ai Pin即將成為孤兒。根據Humane技術支援<a href="https://support.humane.com/hc/en-us/articles/34374173951373-Important-Update-for-Consumer-Ai-Pin-Customers" target="_blank">網頁</a>，自太平洋時間2月28日中午12:00起Ai Pin將無法再連結Humane伺服器，屆時Ai Pin無法再撥打電話、傳送訊息、AI查詢，或存取雲端服務。此外，儲存用戶資料的雲端平臺.Center也會關閉。Humane鼓勵用戶在此日期前下載相片、影片和筆記等檔案，因為之後所有.Center上的資料都會被刪除。</p> </div></div></div>
2025/2/19 09:43作者林妍溱https://www.ithome.com.tw/news/167449
Mistral推出高效能、小型化區域語言模型Saba，專為中東與南亞市場設計
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Mistral AI發表全新語言模型<a href="https://mistral.ai/en/news/mistral-saba">Mistral Saba</a>，這是一款針對中東與南亞市場設計的高效能、小型化區域語言模型。Saba擁有240億參數，專注於阿拉伯語與多種印度語言的理解與應用，並且在效能與推理速度上取得平衡，相較於更大規模的模型，能夠以較低的計算資源提供準確的回應。Mistral AI強調，這款模型不僅可以透過API存取，還支援本地部署，以滿足企業對於資料隱私與安全性的需求。</p> <p>一般大型語言模型雖然支援多語言，但往往缺乏對於特定語言的深度理解，特別是在文化脈絡、專業術語與語法細微差異方面。而Saba的訓練採用來自中東與南亞地區的高品質資料集，使其在這些市場的實際應用能夠提供更自然、精確的語言處理能力。</p> <p>根據Mistral AI公布的基準測試結果，Saba在阿拉伯語的大規模多任務語言理解測試（MMLU）表現領先，甚至超越部分擁有700億參數的模型，同時推理延遲明顯更低，能夠在單個GPU硬體環境下達到每秒150 Token以上的生成速度。這對於希望在有限計算資源內，部署大語言模型的企業來說，是一個重要的優勢。此外，Saba也支援微調，企業可依據自身需求進一步調整，強化其在金融、能源、醫療等特定領域的應用。</p> <p>Mistral AI近期的模型發布傾向於輕量化和本地部署語言模型，與目前市場上競爭者普遍推出的超大規模雲端模型策略不同。除了Saba這款針對中東與南亞市場設計的區域語言模型，Mistral AI也積極與企業合作，訓練專屬語言模型，以滿足特定產業需求。這種策略不僅強調更細緻的語言最佳化與本地化能力，也讓人工智慧模型能夠在有限的計算資源下高效執行，增加企業在資料隱私、安全性及應用靈活性方面的選擇。</p> </div></div></div>
2025/2/19 08:19作者李建興https://www.ithome.com.tw/news/167442
【資安日報】2月18日，Ivanti旗下SSL VPN系統零時差漏洞在日本傳出攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>1月初資安業者Ivanti針對已被用於攻擊行動的CVE-2025-0282提出警告，協助調查的資安業者Mandiant指出，中國駭客組織UNC5337將其用於實際攻擊行動，散布Spawn系列的惡意軟體，但這起事故近期出現了後續發展。</p> <p>日本電腦危機處理暨協調中心（JPCERT/CC）揭露於12月下旬出現的漏洞利用攻擊事故，並指出駭客打造更具威力的惡意程式SpawnChimera，對當地的企業組織下手。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167430"><strong style="font-size: 22px;">Ivanti旗下SSL VPN系統零時差漏洞再傳遭到利用，駭客去年12月於日本散布惡意軟體SpawnChimera</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/spawnchimera01-800wri.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/spawnchimera01-800wri.png" style="width: 300px; float: right;" /></a></p> <p>資安業者Ivanti在1月初提出警告，他們旗下的SSL VPN系統Connect Secure、NAC系統Policy Secure，以及Neurons for ZTA閘道存在記憶體緩衝區溢位漏洞CVE-2025-0282，且已有部分SSL VPN系統遭到攻擊的情況，協助調查的資安業者Mandiant透露，中國駭客組織UNC5337自去年開始將其用來散布惡意程式Spawnant、Spawnmole、Spawnsnail，如今傳出日本出現相關災情。</p> <p>日本電腦危機處理暨協調中心（JPCERT/CC）指出，他們確認去年12月下旬當地有多個企業組織遭到CVE-2025-0282零時差漏洞攻擊，並表示掌握有多組駭客利用這項漏洞的情況。</p> <p>JPCERT/CC事件回應團隊成員増渕維摩指出，在這波攻擊行動裡，他們看到駭客使用名為SpawnChimera的惡意程式，此為Mandiant揭露的Spawn惡意程式家族的升級版本，同時整合Spawnant、Spawnmole、Spawnsnail這3支惡意程式的功能，並且進行升級。</p> <p><a href="https://www.ithome.com.tw/news/167434"><strong style="font-size: 22px;">手法更高明，macOS惡意軟體XCSSET變種現身</strong></a></p> <p>專門透過macOS漏洞感染Xcode專案的惡意程式XCSSET，主要功能是竊取敏感資訊，包括Safari內的cookie、存取相機或安裝應用程式，或是硬碟檔案等。如今微軟研究人員發現，此惡意程式發展出更高明的混淆與程式感染手法，開始在網路上發動攻擊。而這次發現的XCSSET檔案，是2022年之後首度出現的新變種。</p> <p>微軟提及變種XCSSET與過往版本的不同，其中，在感染Xcode專案的過程，該惡意軟體採用更隨機的方法產生有效酬載，編碼方式與處理次數皆非固定，有別於原本的XCSSET主要使用xxd（hexdump）編碼，新的變種也有使用Base64演算法。</p> <p>為了維持在受害電腦活動，XCSSET這次採用兩種手法zshrc、dock來進行，其中一種是在特定資料夾部署包含有效酬載的檔案，另一種是涉及建立冒牌Lauchpad應用程式來掩人耳目。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/02/lazarus-group-deploys-marstech1.html">北韓駭客Lazarus鎖定開發人員而來，企圖散布惡意JavaScript元件Marstech1</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/new-i2prat-malware-advanced-undetectable/">惡意軟體I2PRAT透過網釣攻擊手法ClickFix散布，藉由多階段手法植入受害電腦</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/scammers-exploit-jfk-files-release-malware-phishing/">針對美國政府解密50年前遭暗殺的政治人物資料，有駭客將其當作散布惡意軟體的誘餌</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167429"><strong style="font-size: 22px;">Nvidia修補圖像處理程式庫漏洞，若不處理攻擊者可藉由特製JPEG2000檔案觸發</strong></a></p> <p>2月11日Nvidia發布資安公告，修補存在於圖片編碼程式庫nvJPEG2000的漏洞CVE-2024-0142、CVE-2024-0143、CVE-2024-0144、CVE-2024-0145，這些弱點涉及越界寫入（OBW）與記憶體緩衝區溢位，攻擊者可利用特製的JPEG2000檔案觸發，一旦成功利用，就有可能執行任意程式碼，或是竄改資料。這些漏洞存在於0.8.0版nvJPEG2000，無論是執行於Windows、x86版Linux、Linux SBSA，以及Nvidia嵌入式應用平臺Jetson的版本都受到影響，Nvidia推出0.8.1版修補。</p> <p>值得留意的是，雖然Nvidia評估這些漏洞為中度風險，資安風險僅為6.8分（滿分10分），但通報此事的思科威脅情報團隊Talos認為，這些漏洞相當危險，他們評估資安風險程度高達9.8分。</p> <p><a href="https://www.ithome.com.tw/news/167440"><strong style="font-size: 22px;">3年前列管的PHP重大漏洞突然浮上檯面，若不修補恐讓網站曝露於SQL注入風險</strong></a></p> <p>開放原始碼的PHP廣泛受到採用，相關資安弱點非常值得重視，但在前幾天我們看到有資安新聞媒體報導3年前被列管的資安漏洞，PHP團隊修補的當下，卻鮮少傳出相關訊息。</p> <p>2月12日通用漏洞揭露（CVE）平臺、美國國家漏洞資料庫（NVD）針對一項2022年列管的PHP漏洞CVE-2022-31631提出警告，並指出這項已在2023年1月修補的弱點相當危險，若是網站及應用程式開發者尚未進行處理，可能會造成相當嚴重的後果。</p> <p>詭異的是，CVE與NVD在今年才將這項2022年就登記CVE編號的漏洞列入資料庫，且由PHP團隊提供相關資安風險評估資料，大幅上調這項弱點的危險程度。但為何這麼做？無論是CVE、NVD，或是PHP團隊，都沒有針對這件事情提出說明。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2024-32838-cvss-9-4-critical-sql-injection-flaw-threatens-apache-fineract-users/">開源銀行系統Apache Fineract存在重大漏洞，恐被用於SQL注入攻擊</a></strong></p> <p></p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/google/google-chromes-ai-powered-security-feature-rolls-out-to-everyone/">Google透過AI提升瀏覽器安全防護機制</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/167393"><strong>【2月17日】資安業者揭露2024年9月Salt Typhoon攻擊全球電信業者更多細節，利用已知漏洞入侵思科設備</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167383"><strong>【2月14日】資安業者揭露已遭中國駭客用於攻擊行動的Windows使用者介面零時差漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167364"><strong>【2月13日】勒索軟體駭客號稱從臺灣PCB大廠欣興電子竊得大量內部資料</strong></a></p> </div></div></div>
2025/2/18 18:20作者周峻佑https://www.ithome.com.tw/news/167446
3年前列管的PHP重大漏洞突然浮上檯面，若不修補恐讓網站曝露於SQL注入風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開放原始碼的PHP廣泛受到採用，相關資安弱點非常值得重視，但在前幾天我們看到有資安新聞媒體報導3年前被列管的資安漏洞，PHP團隊修補的當下卻沒有。</p> <p>2月12日<a href="https://www.cve.org/CVERecord?id=CVE-2022-31631">通用漏洞揭露（CVE）平臺</a>、<a href="https://nvd.nist.gov/vuln/detail/CVE-2022-31631">美國國家漏洞資料庫（NVD）</a>針對一項2022年列管的PHP漏洞CVE-2022-31631提出警告，並指出這項已在2023年1月修補的弱點相當危險，若是網站及應用程式開發者尚未進行處理，可能會造成相當嚴重的後果。</p> <p>這項漏洞發生在8.0以上版本的PHP，當時PHP維護團隊發布8.0.27、8.1.15、8.2.2版修補，起因是PHP在使用PDO::quote()的功能為SQLite元件引述使用者提供的資料時，若是內含過長的字串，就有可能導致驅動程式不正確引述資料，產生SQL注入的弱點。</p> <p>詭異的是，CVE與NVD在今年才將這項2022年就登記CVE編號的漏洞列入資料庫，且由PHP團隊提供相關資安風險評估資料，大幅上調這項弱點的危險程度。但為何這麼做？無論是CVE、NVD，或是PHP團隊，都沒有針對這件事情提出說明。</p> <p>事實上，在PHP開發團隊發布新版修補漏洞的時候，就已經針對這項弱點評估風險，根據2023年<a href="https://alas.aws.amazon.com/cve/html/CVE-2022-31631.html">AWS</a>、<a href="http://security.netapp.com/advisory/ntap-20230223-0007/">NetApp</a>、<a href="https://www.oracle.com/security-alerts/linuxbulletinjan2023.html">Oracle</a>、<a href="https://access.redhat.com/security/cve/cve-2022-31631">Red Hat</a>為旗下有導入PHP元件的產品修補這項弱點，皆將此漏洞評估為5.9分，列中度層級。</p> <p>兩年後PHP重新對這項漏洞進行風險評估，並指出其危險程度達到9.1分，原因是攻擊者想利用該漏洞並不複雜（AC:L），一旦遭利用，將會嚴重影響機密性及完整性（C:H、I:H），但不會對於可用性造成影響（A:N）。由於對這些項目的影響程度認定不同，使得PHP團隊2年後的評分有顯著差異。</p> </div></div></div>
2025/2/18 16:37作者周峻佑https://www.ithome.com.tw/news/167440
新型態名稱混淆攻擊手法染指AWS的映像檔！已有數千個AWS帳號淪陷
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>名稱混淆的攻擊手法，大多出現在NPM、PyPI等開源套件上，如今有駭客針對雲端環境的虛擬機器映像檔下手，讓搜尋特定名稱映像檔的使用者中招。</p> <p>雲端服務監控業者Datadog旗下的資安實驗室指出，<a href="https://securitylabs.datadoghq.com/articles/whoami-a-cloud-image-name-confusion-attack/#amazon-machine-images-amis-and-where-to-find-them">他們去年發現名為whoAMI的攻擊手法</a>，任何人只要能以特定的名稱發布Amazon Machine Image（AMI），就有機會利用存在弱點的AWS帳號執行任意程式碼。研究人員推測，約有1%的組織的AWS帳號存在弱點，且有數千個AWS帳號可能已遭遇相關攻擊。對此，Datadog於9月中旬通報，AWS確認後隨即進行修補。</p> <p>為何這家業者會發現這項能被用於攻擊的弱點？Datadog資安實驗室雲端安全研究員暨倡議者Seth Art指出，他們在去年8月發現有多個軟體專案出現不尋常的情況，例如，在這些專案當中，會惡意搜尋特定AMI並試圖建立EC2執行個體，因而Datadog決定著手調查攻擊者如何下手。</p> <p>對於whoAMI漏洞利用的方式，Seth Art表示涉及名稱混淆攻擊，是供應鏈攻擊的其中一種型態，在這種攻擊手法裡，攻擊者會發布惡意資源，並誘使配置錯誤的軟體存取。在whoAMI的攻擊當中，惡意資源是虛擬機器的映像檔。</p> <p>基本上，這項弱點涉及使用者在部署EC2環境時，通常會使用AWS的搜尋功能API，透過特定的關鍵字尋找上架的AMI映像檔，而且並未指定製作者或是映像檔的ID等資訊進行查詢，所以API只能根據關鍵字搜尋結果列出有關的映像檔名單，並自動抓取最新發布的檔案。</p> <p>依照這樣的流程來看，攻擊者只要用簡單的方法就能「請君入甕」，例如，根據使用者會使用的關鍵字去設定惡意映像檔名稱，並維持該檔案是搜尋結果當中最新的檔案，上傳並公開，或是與攻擊目標共用，就有機會攻擊成功，而能在受害者的EC2遠端執行任意程式碼，並進行後續其他攻擊。</p> <p>Datadog也公布概念驗證（PoC）影片來驗證whoAMI，並指出雖然whoAMI發生的原因主要是使用者的組態配置不當造成，但他們提供了掃描工具whoAMI-scanner，讓使用者能偵測是否EC2導入了不受信任的AMI，並提及若是使用者啟用AWS去年12月推出「<a href="https://aws.amazon.com/tw/about-aws/whats-new/2024/12/amazon-ec2-allowed-amis-enhance-ami-governance/">允許的AMI（Allow AMI）</a>」白名單機制，也能防範whoAMI攻擊。</p> </div></div></div>
2025/2/18 14:52作者周峻佑https://www.ithome.com.tw/news/167436
X封鎖通往Signal的連結，判定為有害
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>馬斯克旗下的X開始封鎖連向加密通訊平臺Signal的連結，並將之判定為有害，引發打壓通訊自由的批評。</p> <p>Disruptionist首先<a href="https://www.disruptionist.com/p/elon-musks-x-blocks-links-to-signal" target="_blank">報導</a>，用戶想以X傳送連向”signal.me”網域的訊息連結時，會收到執行失敗的提示。包含該網域的連結，不論是私訊、公開貼文或用戶個人資料頁，都無法顯示。X平臺Web版或iPhone X App，都會將之刪除，並顯示錯誤訊息。</p> <p>”signal.me”連結讓用戶可以分享聯繫方式和邀請他人。用戶可在連結下加入電話號碼分享出去，讓別人點入直接加入Signal聊天。Signal群組管理員也可以生成signal.me連結，邀請他人加入聊天群組。由於Signal是全程加密，所有通訊都能安全傳輸不被第三方攔截和讀取，也因此遭批評妨礙執法機關調查犯罪及恐怖主義行動。</p> <p>X用戶收到的錯誤訊息有不同內容。一則指出無法完成用戶要求，因為X及其合作夥伴判定該連結可能有害。另一則說這連結看似為自動化訊息，為了保護用戶不受垃圾訊息或其他惡意活動之害，暫時不會完成作業。用戶如果想在個人資料頁加入signal.me連結，就會看到無法更新帳號，其描述被判定為惡意程式。</p> <p>此外，之前貼入的signal.me連結，現在也無法開啟，X跳出警告為不安全連結。</p> <p>X實施封鎖Signal的確切時間不明，但可能是最近。X尚未回應此事。</p> <p>媒體<a href="https://techcrunch.com/2025/02/17/x-is-blocking-links-to-signal-a-secure-messaging-platform-used-by-federal-workers/" target="_blank">批評</a>，馬斯克雖然自詡為言論自由主義者，但卻經常任意使用其平臺封鎖批評者如<a href="https://www.nytimes.com/2025/02/07/business/media/trump-musk-attack-journalists.html" target="_blank">記者</a>、<a href="https://truthout.org/articles/musk-calls-new-york-times-propaganda-as-he-removes-its-twitter-verification/" target="_blank">媒體</a>，或是追蹤其私人座機的帳號貼文。馬斯克也曾封鎖用戶傳送包含競爭平臺<a href="https://www.ithome.com.tw/news/157740" target="_blank">Threads</a>、臉書、IG、Mastodon，或是社群平臺集結<a href="https://www.pbs.org/newshour/economy/twitter-bans-linking-to-facebook-instagram-other-rival-platforms" target="_blank">服務</a>的連結。</p> </div></div></div>
2025/2/18 12:34作者林妍溱https://www.ithome.com.tw/news/167435
手法更高明，macOS惡意軟體XCSSET變種現身
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟研究人員近日<a href="https://x.com/MsftSecIntel/status/1891410993265123662" target="_blank">發現</a>macOS惡意軟體XCSSET出現變種，發展出更高明的混淆與程式感染手法，並已開始在網上發動攻擊。</p> <p>XCSSET最早是2020年由趨勢科技研究人員<a href="https://www.ithome.com.tw/news/139432" target="_blank">發現</a>，是透過macOS漏洞感染Xcode專案感染macOS電腦，隔年也<a href="https://www.ithome.com.tw/news/144624" target="_blank">發現</a>過。在受害者系統上，它會竊取敏感資訊，包括Safari內的cookies、存取相機或安裝應用程式，或是硬碟檔案等。</p> <p>最近微軟威脅情報研究人員發現2022年以來首隻公開觀測到的XCSSET新變種，已開始在網路上散布。它具有更高超的混淆（obfuscation）手法、更多滲透技倆，以及新的Xcode專案感染方法。</p> <p>XCSSET新變種生成感染Xcode專案的惡意程式的方法，不論它使用的混淆編碼方法或是編碼迭代的版本數都更隨機。舊版XCSSET只使用一種xxd (hexdump)編碼，變種則再加入Base64，而且連變種模組名稱也經過混淆，讓研究人員難以判斷其意圖。</p> <p>其次，為了維持對受害macOS電腦長期（Persistence）存取，新XCSSET變種使用了二種不同配置手法：zshrc和dock。zshrc方法中，XCSSET建立了zshrc的配置文件來存放惡意指令，並加上指令，確保用戶打開macOS電腦都會執行。dock方法中，XCSSET從外部伺服器下載合法管理工具dockutil，並建立假的macOS管理程式Launchpad，並修改dock路徑連結到假Launchpad。可確保用戶從dock操作時，可同時執行真的和假的Launchpad，以降低用戶警覺性。</p> <p>最新變種也增加植入惡意指令的方法。它用三種方法TARGET、RULE和FORCED_STRATEGY以便在Xcode專案加入惡意指令。此外，還有一種方法能在build設定的TARGET_DEVICE_FAMILY key加入惡意指令，以便專案未來階段中執行。</p> <p>微軟表示，其防毒軟體Microsoft Defender for Endpoint on Mac已偵測到這隻XCSSET變種。微軟建議開發人員要小心並驗證從公開程式庫下載的Xcode專案，因為XCSSET可能會經由感染的專案蔓延。使用者最保險的方法是從受信賴來源下載程式，例如蘋果的App Store。</p> </div></div></div>
2025/2/18 11:47作者林妍溱https://www.ithome.com.tw/news/167434
內建PQC與零信任硬體防護，博通推新款第7代光纖通道網卡
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/emulex_lpe38102_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在6年多前（於2018年12月），博通（Broadcom）開啟第7代光纖通道網路（Gen 7 Fibre Channel）先河的主機匯流排配接卡（Host Bus Adapter，HBA），<a href="https://www.broadcom.com/company/news/product-releases/41261">正式宣布推出</a>，首批問世的產品為Emulex LPe35000系列，提供支援32 GFC、可升級至64 GFC的光纖網路連接能力，I/O控制器採用Emulex XE601。</p> <p>到了2021年5月，該公司率先推出第一款支援64 GFC的HBA網卡，名為Emulex LPe36000系列，可搭配前一年9月發表的第7代光纖通道網路交換器：<a href="https://www.broadcom.com/company/news/product-releases/53756">Brocade X7 Director與G720</a>，可支援1千萬IOPS存取效能，提升為前代產品的3倍（Emulex Gen 6 Fibre Channel HBA卡最高提供320萬IOPS）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Emulex LPe35000-36000-Series Gen 7.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Emulex%20LPe35000-36000-Series%20Gen%207.jpg" style="width: 300px;" /></a></p> <p>今年1月，博通陸續發表兩款第7代光纖通道網路產品，一款是月中推出的交換器<a href="https://ithome.com.tw/review/167261">Brocade G710</a>，另一款是月底上市、標榜資安防護強化的FC HBA卡：Emulex LPe37100系列與LPe38100系列，I/O控制器改用XE701 SEC，分別提供32 GFC與64 GFC網路埠配置。舉例來說，前者有單個32 GFC 埠的LPe37100，以及兩個32 GFC 埠的LPe37102，均可支援5百萬IOPS的存取效能，網路埠也能升級為64 GFC 埠；後者有單個64 GFC 埠的LPe38100，以及兩個64 GFC 埠的LPe38102，均可支援1千萬IOPS的存取效能。</p> <p><a href="https://s4.itho.me/sites/default/files/images/64-32GFC Gen 7 HBAs-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/64-32GFC%20Gen%207%20HBAs-2.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Emulex OEM-Branded Fibre Channel Host Bus Adapters.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Emulex%20OEM-Branded%20Fibre%20Channel%20Host%20Bus%20Adapters.jpg" style="width: 298px;" /></a></p> <p>相較於既有的第7代FC HBA網路卡產品，LPe37100系列與LPe38100系列最大的特色，在於響應多項政府制定的資安技術標準與法令，強調產品的資安建構在零信任（Zero Trust），以及後量子密碼學（PQC）的基礎之上，例如，採用的加密演算法，遵循美國政府的商業國家安全演算法（CNSA）2.0，以及歐盟的網路與資訊安全指令（NIS）2、數位營運韌性法案（DORA），在後量子數位簽章與金鑰交換方法的應用上，支援兩種美國聯邦資訊處理標準：FIPS 203、FIPS 204。</p> <p>資料傳輸全程加密（encrypts all data in-flight，EDIF）也是重點，採用AES-GCM-256演算法，博通表示，導入Emulex Secure HBA之後，主機伺服器與儲存陣列這類儲存終端設備之間的資料存取，均支援EDIF，不會影響資料壓縮、重複資料刪除、勒索軟體偵測等處理，並且可簡化基於連線階段（session-based）而成的金鑰管理作業（採用光纖通道網路安全協定FC-SP-3）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Emulex Secure HBA-Session-Based Encryption.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Emulex%20Secure%20HBA-Session-Based%20Encryption.png" style="width: 400px;" /></a></p> <p>關於裝置完整性的驗證與確保，Emulex Secure HBA支援DTMF組織推動的安全協定與資料模型（SPDM），能針對端點系統的硬體裝置執行密碼學的身分驗證機制；這批產品也內建支援PQC的矽信任根（配備數位簽章Leighton-Micali Signature），能運用基於硬體而成的身分安全認證方式。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cyber-Resilient Architecture for Applications and Data You Care About-3-HBA.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cyber-Resilient%20Architecture%20for%20Applications%20and%20Data%20You%20Care%20About-3-HBA.jpg" style="width: 600px;" /></a></p> <p> <img alt="" src="https://s4.itho.me/sites/default/files/images/Broadcom%20Emulex%20SPDM-2019.png" style="width: 198px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/Broadcom%20Emulex%20RoT-2019.png" style="width: 298px;" /></p> <p>針對產品本身的韌體保護需求，Emulex Secure HBA也遵循平臺韌體保護與恢復（PFR）框架NIST 800-193，內建安全開機（Secure Boot），搭配經過數位簽章簽署的驅動程式，而且支援T10技術委員會的資料完整性領域標準（T10-DIF）。</p> <p>為了要負荷上述網路存取與資安防護工作、又不影響整個系統的效能，Emulex Secure HBA本身提供密碼學功能的硬體卸載機制。</p> <p>以64GFC網路效能而言，博通表示，採用這批產品之後，應用系統的反應時間優於其他廠商的64GFC HBA產品，領先幅度超過20％。相較於前代FC HBA產品，新上市的Emulex Secure HBA效能提升至兩倍，存取延遲改善幅度達到3倍。</p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong><span style="color:#0000FF;">Emulex Secure HBA</span></strong><br /> ●原廠：Broadcom<br /> ●建議售價：廠商未提供<br /> ●機型：LPe37100（單個32 GFC埠）、LPe37102（兩個32 GFC埠）、LPe38100（單個64 GFC埠）、LPe38102（兩個64 GFC埠）<br /> ●外形：短版介面卡<br /> ●連接介面：PCIe 4.0 x8<br /> ●支援光纖通道網路規格：LPe37100系列支援32 GFC、16 GFC、8 GFC，全雙工吞吐量單埠為6,400 MB/s，雙埠為12,800 MB/s；LPe38100系列支援64 GFC、32 GFC、16 GFC，全雙工吞吐量單埠為12,800 MB/s，雙埠為25,600 MB/s<br /> ●I/O控制器：XE701 SEC</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/2/18 12:13作者李宗翰https://www.ithome.com.tw/review/167389
Ivanti旗下SSL VPN系統零時差漏洞再傳遭到利用，駭客去年12月於日本散布惡意軟體SpawnChimera
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Ivanti在1月初<a href="https://www.ithome.com.tw/news/166944">提出警告</a>，他們旗下的SSL VPN系統Connect Secure、NAC系統Policy Secure，以及Neurons for ZTA閘道存在記憶體緩衝區溢位漏洞CVE-2025-0282，且已有部分SSL VPN系統遭到攻擊的情況，協助調查的資安業者Mandiant透露，中國駭客組織UNC5337自去年開始將其用來散布惡意程式Spawnant、Spawnmole、Spawnsnail，如今傳出日本出現相關災情。</p> <p>日本電腦危機處理暨協調中心（JPCERT/CC）指出，<a href="https://blogs.jpcert.or.jp/ja/2025/02/spawnchimera.html">他們確認去年12月下旬當地有多個企業組織遭到CVE-2025-0282零時差漏洞攻擊</a>，並表示掌握有多組駭客利用這項漏洞的情況。</p> <p>JPCERT/CC事件回應團隊成員増渕維摩指出，在這波攻擊行動裡，他們看到駭客使用名為SpawnChimera的惡意程式，此為Mandiant揭露的Spawn惡意程式家族的升級版本，同時整合Spawnant、Spawnmole、Spawnsnail這3支惡意程式的功能，並且進行升級。</p> <p>對於駭客部署SpawnChimera的方法，増渕維摩表示與先前Mandiant公布的差不多，將此惡意程式注入其他處理程序的手法也雷同，沒有太大的差別。但他們發現，SpawnChimera具備不少新的迴避偵測機制，甚至會幫受害系統修補漏洞。</p> <p>首先，増渕維摩提及SpawnChimera利用Unix Domain Socket進行處理程序之間的通訊，取代原本利用隧道工具Spawnmole及後門程式Spawnsnail的做法，這也使得防守方難以透過netstat網路監控工具察覺異狀。</p> <p>再者，駭客利用CVE-2025-0282成功入侵Ivanti Connect Secure主機之後，SpawnChimera藉由替換strncpy功能函式的方法修補弱點，如此一來，其他駭客無法利用相同漏洞再度入侵。</p> <p>另外，SpawnChimera使用XOR演算法處理寫入程式碼的SSH解密金鑰，並清除除錯訊息，使得資安人員更難發現相關行蹤。</p> </div></div></div>
2025/2/18 10:16作者周峻佑https://www.ithome.com.tw/news/167430
Nvidia修補圖像處理程式庫漏洞，若不處理攻擊者可藉由特製JPEG2000檔案觸發
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2月11日Nvidia<a href="https://nvidia.custhelp.com/app/answers/detail/a_id/5596">發布資安公告</a>，修補存在於圖片編碼程式庫nvJPEG2000的漏洞CVE-2024-0142、CVE-2024-0143、CVE-2024-0144、CVE-2024-0145，這些弱點涉及越界寫入（OBW）與記憶體緩衝區溢位，攻擊者可利用特製的JPEG2000檔案觸發，一旦成功利用，就有可能執行任意程式碼，或是竄改資料。這些漏洞存在於0.8.0版nvJPEG2000，無論是執行於Windows、x86版Linux、Linux SBSA，以及Nvidia嵌入式應用平臺Jetson的版本都受到影響，Nvidia推出0.8.1版修補。</p> <p>nvJPEG2000是JPEG2000圖片格式的編碼及解碼程式庫，必須搭配支援通用運算架構（CUDA）的顯示晶片，而能比一般的處理器執行圖片編碼及解碼速度來得快。</p> <p>值得留意的是，雖然Nvidia評估這些漏洞為中度風險，資安風險僅為6.8分（滿分10分），但通報此事的思科威脅情報團隊Talos認為，這些漏洞相當危險，他們評估資安風險程度高達9.8分。</p> <p>為何思科認為這些漏洞達到重大風險等級？因為他們評估攻擊者利用的複雜程度並不高（AC:L），而且過程中無須使用者互動（UI:N），甚至會高度影響機密性（C:H）。由於對這些項目的影響程度認定不同，使得Nvidia與Talos評分有顯著差異。</p> <p>思科也對於這些漏洞提出更多說明，<a href="https://www.talosintelligence.com/vulnerability_reports/TALOS-2024-2080">CVE-2024-0142</a>存在於nvJPEG2000 0.8.0程式庫的影像解碼功能，<a href="https://www.talosintelligence.com/vulnerability_reports/TALOS-2024-2095">CVE-2024-0143</a>出現在nvJPEG2000 0.8.0程式庫的Coding Style元件處理方式，至於<a href="https://www.talosintelligence.com/vulnerability_reports/TALOS-2024-2108">CVE-2024-0144</a>、<a href="https://www.talosintelligence.com/vulnerability_reports/TALOS-2024-2113">CVE-2024-0145</a>，則分別與Ndecomp欄位處理，以及JPEG2000檔案解析所用的Ndecomp參數有關。</p> </div></div></div>
2025/2/18 10:20作者周峻佑https://www.ithome.com.tw/news/167429
聯發科一口氣開源2款繁中多模態小模型、符合臺灣口音的語音合成模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>聯發創新基地（MediaTek Research）最近<a href="https://huggingface.co/collections/MediaTek-Research/breeze-2-family-67863158443a06a72dd29900">開源2款繁中多模態基礎模型</a>，分別是能在手機上執行的羽量級Llama-Breeze2-3B版本，以及能在個人電腦上執行的輕量級Llama-Breeze2-8B版本。這系列模型不只具備繁中能力，還有多模態和函式呼叫功能，能看懂圖像、調用外部工具。</p> <p>他們還以Llama-Breeze2-3B為基礎，<a href="https://github.com/mtkresearch/Breeze2-android-demo">打造一款Android App並開源</a>，要來強化手機AI助理的能力，比如讀取圖片、調用外部工具。同時，聯發科也一併<a href="https://huggingface.co/MediaTek-Research/BreezyVoice">釋出</a>可以合成臺灣口音的語音合成模型BreezyVoice。以上3款模型和App的開源內容包括模型權重和部分執行用程式。</p> <p><span style="font-size:22px;"><strong>以Llama 3.2大模型為基礎，優化出繁中多模態語言模型Llama-Breeze2</strong></span></p> <p>進一步來說，Llama-Breeze2是基以Llama 3.2大型語言模型為基礎，再以繁中資料來優化模型繁體中文理解力，並整合視覺語言模型、函式呼叫（Function Calling）功能，讓Llama-Breeze2具備繁中優化、能看圖、可調用外部工具等3大特色。</p> <p>就<strong>繁中能力</strong>來說，<a href="https://www.mediatek.tw/blog/%E8%81%AF%E7%99%BC%E5%89%B5%E6%96%B0%E5%9F%BA%E5%9C%B0%E5%85%A8%E9%9D%A2%E9%96%8B%E6%BA%90-breeze2">聯發科列出對比</a>，相較於同參數量的Llama 3.2 3B Instruct模型，Llama-Breeze2-3B撰寫的臺灣夜市小短文，能準確列出著名夜市，如士林夜市、饒河街夜市和羅東夜市，而Llama 3.2 3B Instruct只正確說出士林夜市，但生成了兩個不存在的夜市（電信夜市和世貿夜市）。</p> <p>就<strong>多模態能力</strong>來說，Llama-Breeze2-3B除了理解文字，還能分析圖像，如圖表、光學文字辨識（OCR）或景點照片，模型都能理解和回答。舉例來說：</p> <p><strong><em><span style="color:#FF0000;">USER</span>：</em></strong><em>請問前三名總共可獲得多少錢？</em></p> <p><img alt="" src="https://mediatek-marketing.transforms.svdcdn.com/production/page/Breeze2_vision_example_update.png?w=2048&h=1151&q=80&auto=format&fit=crop&dm=1739541320&s=abc0d56c245fbf65e92fbfea7d8e25a0" /></p> <p><span style="color:#FF0000;"><strong><em>Llama-Breeze2-8B</em></strong></span>：<em>根據圖片，第一名的獎金為30萬元整，第二名為20萬元整，第三名為15萬元整。將這些數字相加，我們得到前三名獎金總和為65萬元整。</em></p> <p>不只如此，Llama-Breeze2因為具備呼叫函式功能，因此可以調用外部工具，來完成特定任務。比如，使用者詢問天氣情況時，模型可以調用天氣應用程式API來獲取最新資訊，再回覆給使用者。</p> <p><span style="font-size:22px;"><strong>以Llama-Breeze2-3B模型驅動的Android App</strong></span></p> <p>除了開源2款多模態語言模型，聯發創新基地還開源可直接部署到手機、以Llama-Breeze2-3B為基礎的Android App。這個App可作為AI助理，來協助即時翻譯、景點推薦等任務（如下圖），甚至還能生成語音，使用者只要輸入文字，模型就能生成自然的語音回應，可用於智慧導航等情境。</p> <p><img alt="" src="https://mediatek-marketing.transforms.svdcdn.com/production/page/breeze2_app_screenshot.png?w=2000&h=2400&q=80&auto=format&fit=crop&dm=1739542221&s=65b559d8281f0bb3404769249b071329" /></p> <p><span style="font-size:22px;"><strong>只需5秒，就能生成臺灣口音的語音合成模型BreezyVoice</strong></span></p> <p>這次，聯發科創新基地還開源了語音合成模型BreezyVoice，特別以繁中加強訓練而成。這個模型採輕量架構，只需輸入5秒的範例音訊，就能即時產出擬真的語音，可作為AI助理語音輸出。聯發科表示，BreezyVoice現已能在筆電上使用，也能結合任何LLM或語音轉文字架構，來發展更多應用。</p> <p></p> <p></p> </div></div></div>
2025/2/17 19:06作者王若樸https://www.ithome.com.tw/news/167427
【資安週報】0210~0214，馬偕醫院遭勒索軟體CrazyHunter攻擊，攻擊者滲透AD並使用BYOVD提權攻擊手法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>回顧2025年2月第二星期的資安新聞，臺灣遭受勒索軟體攻擊的情況，成為主要焦點，有3起新聞事件，最受關注的是馬偕紀念醫院的狀況，因為該院傳出自2月9日持續遭遇勒索軟體CrazyHunter攻擊，衛福部也因駭客揚言再度攻擊，與資安署合作成立快速反應小組，進駐馬偕醫院協助因應。</p> <p>目前最新消息顯示，研判是Hunter Ransom Group駭客族群所為，而在事故因應方面，包括H-ISAC與奧義智慧都公布預警資訊，包含這次事件的入侵偵測指標（IoC），並說明手法包括滲透AD並以AD派送惡意程式，以及使用BYOVD提供攻擊技術。</p> <p>另一起事件發生在國內上市公司的重電大廠華城電機，他們的資安重訊內容也表明是遭受加密攻擊，雖然該公司表示未受影響，但我們在事發後幾日，發現該公司官網疑似先利用全幅官網圖片暫時因應，目前已恢復正常運作。</p> <p>此外，上星期欣興電子揭露子公司聯能科技遭勒索軟體攻擊，如今有另一則消息傳出，勒索軟體Sarcoma聲稱竊得該公司337 GB的資料，目前尚未得知兩起事件是否有關聯。</p> <p>在漏洞消息方面，這一星期適逢多家IT廠商釋出每月例行安全更新，包含微軟、SAP、Adobe、西門子、施耐德電機等，企業與用戶在及時關注並優先部署修補之餘，也要留意OpenSSL修補高風險漏洞等消息，而對於近期確認遭駭客利用6個的漏洞，更需提高警覺。</p> <p>●PostgreSQL修補與去年12月BeyondTrust事件相關的零時差漏洞CVE-2025-1094，資安業者Rapid7指出，攻擊者在先前攻擊過程，其實也利用了這項漏洞。<br /> ●微軟修補4個零時差漏洞，其中兩個已遭利用：Windows儲存權限提升的漏洞CVE-2025-21391，以及Windows附屬功能驅動程式的漏洞CVE-2025-21418。<br /> ●蘋果修補已經遭利用的零時差漏洞CVE-2025-24200。<br /> ●SimpleHelp在1月修補遠端監控管理軟體的漏洞CVE-2024-57727，以及Mitel去年8月修補SIP Phones的漏洞CVE-2024-41710，新發現已遭駭客利用。</p> <p>在資安威脅態勢上，其中有一起大規模網釣攻擊手法值得留意，資安業者指出釣魚郵件所引導致的釣魚網站，一開始會收集使用者名稱、密碼，特別的是，該網站還會動態針對組織特定的MFA設計，顯示第二個因素的提示，包括App驗證、簡訊驗證或推播通知，並且進一步欺騙使用者允許，以繞過MFA的保護。</p> <p>●一起大規模釣魚攻擊事故揭露，資安業者Abnormal Security指出企業雖然普遍採用MFA多因素驗證，但偽冒ADFS入口網站的手法，仍然相當容易奏效。<br /> ●出現針對網路邊緣裝置的大規模暴力破解攻擊，資安研究機構Shadowserver基金會指出，近期駭客平均每天動用約280萬個IP位址，進行非法登入嘗試。<br /> ●攻擊者針對Magento網站植入惡意程式側錄信用卡資料，資安業者Sucuri調查這起資安事故發現，攻擊者散布惡意程式的媒介，是濫用了程式碼管理工具Google Tag Manager。<br /> ●資安研究人員聲稱突破OpenAI新款AI模型o3-mini限制，可讓AI模型指導如何對Windows元件本機安全認證子系統服務（lsass.exe）發動攻擊。</p> <p>在資安防禦新聞上，這一週的重大消息，是關於富邦人壽揭露他們通過NIST CSF驗證的過程，成為臺灣金融業首例，該公司並說明導入時遇到的關鍵挑戰，強調在建立風險評估方法論上，是與導入ISO 27001的最大差異。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/167297"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月10日】150家企業組織的AD聯合身分驗證服務系統遭鎖定，駭客藉此挾持帳號</span></strong></a></h3> <p>為了突破多因素驗證（MFA），現在有許多網路釣魚工具包都提供駭客對手中間人攻擊（AiTM）功能，但也有駭客從企業組織的基礎設施下手，針對AD聯合身分驗證服務服務（ADFS）達到相同目的。</p> <p>值得留意的是，駭客成功挾持其中一個帳號，還會用來對企業組織的員工、合作夥伴、客戶發動進一步攻擊，造成更嚴重的破壞。</p> <h3><a href="https://www.ithome.com.tw/news/167316"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月11日】馬偕醫院遭勒索軟體CrazyHunter攻擊，傳出是中國駭客所為</span></strong></a></h3> <p>5年前臺灣醫院發生大規模遭遇勒索軟體攻擊的情形，當時傳出有多達66家醫院受害，如今傳出有醫院再度遭到攻擊的事故，引起外界高度關注。</p> <p>這起事故在今日上午傳出，當時有人透露有數百臺電腦當機，掛號系統受到波及，影響上百名病人，值得留意的是，這家醫院已先後遭遇兩次攻擊，駭客揚言在今天傍晚發動另一波攻擊，企圖對醫院施壓。</p> <p><a href="https://www.ithome.com.tw/news/167337"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月12日】Fortinet公布用於攻擊防火牆的身分驗證繞過漏洞</span></strong></a></p> <p>這個星期二是許多科技業者發布本月份例行更新的日子，但資安業者Fortinet一個月前發布的公告突然更新內容，引起各界更高度的關注。</p> <p>為何如此？原因是這則公告與資安業者Arctic Wolf揭露的防火牆攻擊事故有關，但為何會事隔一個月才公告新漏洞？Fortinet表示，當時他們並未察覺攻擊者利用第二個漏洞的跡象。</p> <h3><a href="https://www.ithome.com.tw/news/167364"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月13日】勒索軟體駭客號稱從臺灣PCB大廠欣興電子竊得大量內部資料</span></strong></a></h3> <p>在農曆新年期間，有多家上市櫃公司針對資安事故發布重大訊息，若是剛好又有駭客組織聲稱對這些公司下手，很難不讓人懷疑兩者是否有所關連。</p> <p>像是近期勒索軟體駭客Sarcoma聲稱對欣興電子下手，就是典型的例子。值得留意的是，欣興電子在重訊表示遭到攻擊的是中國子公司聯能科技，但駭客直指欣興電子而來，兩者是否為相同事故？顯然有待釐清。</p> <h3><a href="https://www.ithome.com.tw/news/167383"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月14日】資安業者揭露已遭中國駭客用於攻擊行動的Windows使用者介面零時差漏洞</span></strong></a></h3> <p>今天有兩則零時差漏洞的消息相當引人關注，其中一則是去年底BeyondTrust資安事故新的調查發現，另一則與Windows的使用者圖形介面（GUI）有關，由於這項漏洞傳出已遭到中國駭客積極利用，使得後續發展特別值得留意。</p> <p>值得留意的是，這項存在於使用者圖形介面的漏洞，研究人員透露駭客利用的方式，是拿來執行同時具備隱藏及系統保護屬性的檔案，產生未知屬性的ActiveX元件，究竟實際的情形如何，有待研究人員公布更多細節。</p> <h3> </h3> </div></div></div>
2025/2/17 14:56作者羅正漢https://www.ithome.com.tw/news/167398
Perplexity AI也推出上網研究工具Deep Research，提供免費版
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AI搜尋新創業者Perplexity AI上周<a href="https://www.perplexity.ai/hub/blog/introducing-perplexity-deep-research" target="_blank">推出</a>自有的上網研究功能Deep Research，加入<a href="https://www.ithome.com.tw/news/167180" target="_blank">OpenAI</a>與<a href="https://www.ithome.com.tw/news/166493" target="_blank">Google</a>的行列。</p> <p>和OpenAI和Google的同名功能一樣，Perplexity Deep Research代替用戶在網路上執行深入研究和分析。用戶輸入問題後，它會執行十多次搜尋、讀取上百個資料源、爬梳大量素材，自主產出一份完整報告。</p> <p>Perplexity Deep Research接到用戶輸入問題後流程如下。首先它包含搜尋和寫程式能力，它像人一樣，會針對用戶問題反覆搜尋、閱讀文件後思考下一步，等更了解主題後，會再改善研究計畫。其次是撰寫報告；它完整評估來源素材後，由代理人把所有研究整合成一篇完整和清楚的報告。最後，用戶可以將其研究輸出成PDF或文件檔，或是轉成Perplexity Page頁，再分享給他人。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0217-perplexity-deep%20research-2.jpg" style="width: 550px;" /></p> <p>這家新創公司說Deep Research能執行多種專家等級研究任務，它尤其擅長財務、行銷和科技，但也可扮演健康、產品研究和旅行規劃的個人顧問，例如用戶可以請問如何做好股市開盤前研究、超級盃廣告策略評比、或舊金山生技新創公司背景研究等。</p> <p>執行時，Perplexity Deep Research在3分鐘內搜尋了8次，完成25步驟、搜尋了42種資料來源，產出1,321個字。以標竿測試跑分結果來看，Perplexity Deep Research在標竿測試Humanity’s Last Exam中，以21.1%獲得第二，只輸OpenAI Deep Research，但超過DeepSeek R1、OpenAI o3-mini、Google Gemini Thinking等競爭模型。另外，在SimpleQA中更以93.9%結果擊敗OpenAI o1-preview、GPT 4o、Claude（3.5-Sonnet、3-Opus、3-Haiku）等模型。</p> <p class="rtecenter"><a href="/sites/default/files/files/0217-Humanity's%20Last%20Exam-Deep%20Research%20on%20Perplexity%EF%BC%9A21_1%25%20accuracy%20score(1).png" target="_blank"><img alt="" src="/sites/default/files/images/0217-Humanity's%20Last%20Exam-Deep%20Research%20on%20Perplexity%EF%BC%9A21_1%25%20accuracy%20score.png" style="width: 300px;" /></a> <a href="https://s4.itho.me/sites/default/files/files/0217-Deep%20Research%20on%20Perplexity%EF%BC%9A93_9%25%20accuracy_top1_SimpleQA%20benchmark.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0217-Deep%20Research%20on%20Perplexity%EF%BC%9A93_9%25%20accuracy_top1_SimpleQA%20benchmark.png" style="width: 300px;" /></a></p> <p>和競爭者不同，Perplexity的Deep Research同時提供給免費及付費用戶，相較之下，OpenAI和Google只提供給付費用戶。免費版可在perplexity.ai模型選擇器中選擇「Deep Research」啟用。用戶可以這項功能獲得每日一定回答量，訂閱版用戶則無上限查詢。該功能目前只有網頁版，但即將推出iOS、Android及Mac版。</p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Perplexity AI</span></span></p> </div></div></div>
2025/2/17 15:21作者林妍溱https://www.ithome.com.tw/news/167399
SAP、Databricks合作推出整合SAP與第三方資料的雲端AI分析與開發工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>SAP上周產品大會上<a href="https://news.sap.com/2025/02/sap-databricks-open-bold-new-era-data-ai/" target="_blank">公布</a>雲端AI資料分析工具Business Data Cloud，透過與Databricks的技術合作，讓企業用戶得以整合SAP系統及第三方資料源，用於資料AI分析及訓練。</p> <p>SAP Business Data Cloud是軟體即服務（SaaS），可整合和管理所有SAP旗下系統包括SAP Datasphere（前身為SAP Data Warehouse Cloud）、SAP Analytics Cloud和SAP Business Warehouse，且能連結第三方資料源。SAP Business Data Cloud可支援主要公有雲包括Azure、AWS和GCP。</p> <p>SAP和Databricks還宣布合作，開發名為SAP Databricks，作為SAP Business Data Cloud的元件。SAP Databricks整合了Databricks的零複製資料串接技術Delta Sharing，提供AI、資料倉儲和資料工程與統一型錄（Unity Catalog），可安全整合外部資料源資訊以用於AI開發任務。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0217-SAP%20Business%20Data%20Cloud-by%20SAP-600.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／SAP</span></span></p> <p>因此SAP Business Data Cloud是定位提供給已經將SAP系統搬上公有雲的企業客戶，允許其將所有企業資料如ERP、財務、供應鏈、HR、客服和營運規畫等彙整，以自動化AI分析、模擬出業務預測並產出報表。SAP Business Data Cloud也能整合第三方工具資料治理工具Collibra、資料串流處理工具Confluent和機器學習AI自動化工具DataRobot。</p> <p>最後，SAP Business Data Cloud整合了SAP自有生成式AI代理人Joule。其內建的知識圖譜可串接企業資料、meta data和業務流程，讓LLM更清楚了解資料的意義，並訓練Joule更了解企業，提供有幫助的答案。例如用戶可用它來執行複雜分析和規畫，像是風險評估、預測及進階業務模擬，減少對IT的依賴。</p> </div></div></div>
2025/2/17 14:00作者林妍溱https://www.ithome.com.tw/news/167391
【資安日報】2月17日，資安業者揭露2024年9月Salt Typhoon攻擊全球電信業者更多細節，利用已知漏洞入侵思…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國駭客組織Salt Typhoon針對多家美國電信業者發動攻擊的事故，自去年9月曝光後，不斷有新的消息傳出，截至目前為止，傳出<a href="https://www.ithome.com.tw/news/166851">美國政府確認有9家當地電信業者受害</a>，並<a href="https://www.ithome.com.tw/news/167063">指控有中國資安業者參與相關攻擊</a>，如今這起事故傳出還在進行，有新的攻擊行動出現。</p> <p>資安業者Recorded Future透露，這些駭客去年底將攻擊目標擴及全球各地的電信業者，並透過思科網路設備已知漏洞CVE-2023-20198、CVE-2023-20273取得初始入侵管道。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167390"><strong style="font-size: 22px;">2024年9月中國駭客入侵美國電信業者事故新事證出爐，近兩個月駭客針對思科設備已知漏洞發動大規模攻擊行動</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/redmike_salt_01_5eec44df76.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/redmike_salt_01_5eec44df76.png" style="width: 300px; float: right;" /></a></p> <p>去年9月傳出中國資助的駭客組織Salt Typhoon（也被稱為Earth Estrie、FamousSparrow、Ghost Emperor）攻擊美國多家電信業者的情況，後來美國政府證實確有此事，並指出駭客的目的是收集特定政治人物的通訊內容。究竟駭客如何入侵電信業者？有資安業者指出是利用思科網路設備的弱點得逞。</p> <p>資安業者Recorded Future指出，他們從去年12月至今年1月，發現Salt Typhoon專門針對尚未修補的思科網路設備而來的攻擊行動，目標是全球的電信業者。這些駭客利用的漏洞，包含在2023年出現大規模攻擊行動的CVE-2023-20198，以及思科後續公布的漏洞CVE-2023-20273（CVSS風險分別為10分、7.2分），成功利用後就會竄改網路設備的組態，部署通用路由封裝（Generic Routing Encapsulation，GRE）隧道，以便能持續存取受害裝置。</p> <p>對於這起攻擊行動的範圍，Recorded Future看到駭客對全球超過1千臺網路設備試圖發動攻擊，這些設備遍布超過100個國家，但有超過半數位於美國、南美洲及印度。由於全球有1.2萬臺思科設備的網頁管理介面曝露於網際網路，駭客僅對於其中8%發動攻擊，這樣的情況顯然是針對性的攻擊行動。</p> <p><a href="https://www.ithome.com.tw/news/167386"><strong style="font-size: 22px;">俄羅斯駭客Sandworm旗下團體發起攻擊行動BadPilot，利用已知漏洞掌握初始入侵管道</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Fig2-Seashell-Blizzard-initial-access-operational-lifecycle.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fig2-Seashell-Blizzard-initial-access-operational-lifecycle.png" style="width: 300px; float: right;" /></a>自烏克蘭戰爭開打以來，多個俄羅斯駭客組織配合軍事行動從事相關攻擊行動，並將目標轉向烏克蘭，以及聲援、提供軍事援助的國家，如今有研究人員揭露最近幾年的觀察，指出駭客鎖定的目標、攻擊手法也出現變化。</p> <p>微軟揭露俄羅斯駭客的攻擊行動BadPilot，該組織有多個名號，像是：Seashell Blizzard、Sandworm、APT44，而且是由該組織旗下子團體發起，BadPilot至少從2021年開始活動，鎖定能源、石油、天然氣、電信、航運、武器製造、國際組織及政府下手。研究人員指出，從2022年2月俄羅斯對烏克蘭正式發起軍事行動起，這些駭客主要鎖定烏克蘭及盟友而來，並在2023年對烏克蘭從事至少3次破壞性的攻擊。</p> <p>到了2024年初，這些駭客的攻擊手法有所變化，他們主要利用遠端桌面連線軟體ConnectWise ScreenConnect漏洞CVE-2024-1709、Fortinet端點防護管理平臺FortiClient EMS漏洞CVE-2023-48788（CVSS風險10分、9.8分），同時，這些駭客也將攻擊目標集中於美國、加拿大、澳洲、英國。</p> <p><a href="https://www.ithome.com.tw/news/167387"><strong style="font-size: 22px;">北韓駭客Kimsuky對韓國企業及政府機關下手，利用PowerShell命令植入惡意程式</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/deep-drive-fig1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/deep-drive-fig1.png" style="width: 300px; float: right;" /></a>微軟、資安業者Securonix針對近期1組北韓駭客的攻擊行動提出警告，該組織有多種稱號，例如：Kimsuky、APT43、Emerald Sleet、TA427、Velvet Chollima，這些攻擊行動的共通點在於，駭客都使用了PowerShell命令散布惡意程式的有效酬載，而且都是針對韓國的企業組織與政府機關而來。</p> <p>12日微軟表示，今年1月看到這些駭客鎖定一定數量的目標從事網釣攻擊，看到這些駭客鎖定一定數量的目標從事網釣攻擊，假借使用者註冊裝置為由，要求使用管理員權限執行PowerShell，並複製、貼上特定的程式碼並執行。</p> <p>無獨有偶，13日Securonix也揭露持續針對韓國企業、政府機關、加密貨幣持有人的攻擊行動Deep#Drive，Kimsuky以工作日誌、保險文件、加密貨幣相關資料為誘餌，寄送以韓文書寫的釣魚信，駭客挾帶HWP、XLSX、PPTX等當地辦公室軟體常見格式的檔案，並利用Dropbox等常見的公有雲平臺代管有效酬載，而能成功迴避一般的安全防禦機制。</p> <p><a href="https://www.ithome.com.tw/news/167385"><strong style="font-size: 22px;">從事網路間諜行動的中國駭客發動勒索軟體RA World攻擊，向受害組織索討百萬美元贖金</strong></a></p> <p>資安業者賽門鐵克揭露勒索軟體RA World去年11月下旬的攻擊行動，駭客針對南亞一家中型軟體服務公司下手，過程中疑似利用Palo Alto Networks防火牆作業系統PAN-OS的已知漏洞CVE-2024-0012，並透過Veeam備份伺服器、AWS S3儲存桶竊得資料，最終將電腦的檔案加密，並留下勒索信，要求在3天內支付100萬美元，若是超過期限，贖金將會加倍為200萬美元。</p> <p>值得留意的是，過程中攻擊者使用的作案工具裡，包含中國駭客經常利用的惡意程式PlugX，而且，駭客濫用Toshiba的執行檔toshdpdb.exe側載惡意DLL檔案，因而引起研究人員的注意。</p> <p>過去該名駭客組織主要從事網路間諜攻擊行動，並試圖藉由植入後門來持續在目標組織活動，因此，這起突然轉為勒索軟體攻擊的資安事故並不尋常，根據調查的結果，研究人員推測很有可能駭客組織旗下成員私自發起，意圖透過勒索軟體牟利。</p> <p><a href="https://www.ithome.com.tw/news/167382"><strong style="font-size: 22px;">微軟Graph API遭到濫用，駭客鎖定南美外交單位散布惡意軟體FinalDraft</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Ref7707.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Ref7707.png" style="width: 300px; float: right;" /></a>資料搜尋及分析業者Elastic旗下的資安實驗室指出，他們在去年11月下旬，察覺針對南美國家外交部而來的攻擊行動Ref7707，駭客運用惡意軟體FinalDraft、GuidLoader、PathLoader，搭配不尋常的寄生攻擊（LOLBin）攻擊手法，並重度使用雲端及第三方服務架設C2。</p> <p>究竟攻擊者如何入侵受害的外交單位？研究人員並未說明，但他們提及駭客利用Windows元件certutil進行寄生攻擊，從遠端伺服器下載作案工具，但特別的是，這個代管相關檔案的伺服器，竟位於受害組織的內部環境，而非位於網際網路。</p> <p>研究人員指出，FinalDraft是全功能的遠端管理工具，並能搭配附加模組增加功能，而特別的是，攻擊者建立C2通訊的管道，是濫用微軟的Graph API來進行，使得相關攻擊流量都通過微軟的基礎架構，而能迴避網路入侵偵測。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityaffairs.com/174270/apt/storm-2372-used-device-code-phishing-technique.html">俄羅斯駭客Storm-2372鎖定歐洲、北美、非洲、中東而來，藉由裝置綁定碼進行網釣攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/astaroth-phishing-kit-bypasses-2fa-hijack-gmail-microsoft/">網釣工具包Astaroth同時針對Gmail及微軟帳號而來，能繞過多因素驗證並挾持帳號</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/02/new-whoami-attack-exploits-aws-ami-name.html">研究人員揭露新型態名稱混淆攻擊手法whoAMI，攻擊者可發布AMI映像檔得到以任意AWS帳號執行程式碼的能力</a></strong></p> <p></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/severe-nvjpeg2000-vulnerabilities-cvss-9-8-in-nvidias-gpu-library-could-lead-to-code-execution/">Nvidia修補GPU程式庫漏洞，若不處理攻擊者可藉由特製JPEG檔案觸發</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/critical-cve-2024-10960-flaw-in-brizy-plugin-puts-80000-wordpress-sites-at-risk/">WordPress網頁建置外掛Brizy存在重大漏洞，8萬網站恐曝險</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/167383"><strong>【2月14日】資安業者揭露已遭中國駭客用於攻擊行動的Windows使用者介面零時差漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167364"><strong>【2月13日】勒索軟體駭客號稱從臺灣PCB大廠欣興電子竊得大量內部資料</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167337"><strong>【2月12日】Fortinet公布用於攻擊防火牆的身分驗證繞過漏洞</strong></a></p> </div></div></div>
2025/2/17 11:55作者周峻佑https://www.ithome.com.tw/news/167393
JetBrains AI助理允許開發者介接本地模型，強化隱私與運算控制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>JetBrains<a href="https://blog.jetbrains.com/ai/2025/02/ai-assistant-expands-with-cutting-edge-models/">更新</a>其人工智慧助理增加本地大型語言模型支援，使開發人員能夠透過LM Studio直接在本地環境執行模型，擴展人工智慧助理的適用場景，並提升隱私與資料控制能力。這項更新適用於2024.3.2版本的JetBrains IDE，除了現有的雲端語言模型選項，也能讓使用者選擇以本地運算方式操作語言模型，降低對OpenAI、Anthropic等雲端服務的依賴。</p> <p>LM Studio是一款提供本地語言模型執行環境的應用程式，允許開發人員以友善的介面，下載並管理如Llama、Mistral等開源模型，並透過API連結至各種開發工具。藉由這項整合，JetBrains人工智慧助理可以利用LM Studio讀取並存取本地語言模型，提供使用者在IDE內獲得與雲端模型類似的互動體驗，但運算過程完全留存在個人電腦中，減少資料外流的風險。</p> <p>除了本地模型支援，JetBrains人工智慧助理此次更新也加入了最新的雲端模型，開發者現在可以使用包含Anthropic的Claude 3.5 Sonnet和Claude 3.5 Haiku，以及OpenAI的o1、o1-mini和o3-mini模型。開發人員可根據實際需求挑選模型，像是o1模型擅長更精確推理，適合解決複雜的問題，而o1-mini和o3-mini則更偏向高效運算，適用於即時回應的工作流程。</p> <p>JetBrains持續擴展人工智慧助理的功能，目標是讓開發者能更靈活地在本地與雲端環境間切換，使得人工智慧助理不僅可提升開發效率，也能符合資料隱私與企業IT的安全需求。對於重視資料掌控與運算成本的開發團隊而言，支援本地語言模型使人工智慧工具的應用更靈活，並減少對雲端服務的依賴。</p> </div></div></div>
2025/2/17 12:23作者李建興https://www.ithome.com.tw/news/167392
中國駭客入侵美國電信業者事故出現新的發展，駭客針對思科設備已知漏洞發動大規模攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年9月傳出中國資助的駭客組織<a href="https://www.ithome.com.tw/tags/salt-typhoon">Salt Typhoon</a>（也被稱為Earth Estrie、FamousSparrow、Ghost Emperor）<a href="https://www.ithome.com.tw/news/165354">攻擊美國多家電信業者</a>的情況，後來美國政府<a href="https://www.ithome.com.tw/news/166051">證實確有此事</a>，並指出駭客的目的是收集特定政治人物的通訊內容。究竟駭客如何入侵電信業者？有資安業者指出是利用思科網路設備的弱點得逞。</p> <p>資安業者Recorded Future指出，他們從去年12月至今年1月，<a href="https://www.recordedfuture.com/research/redmike-salt-typhoon-exploits-vulnerable-devices">發現Salt Typhoon專門針對尚未修補的思科網路設備而來的攻擊行動</a>，目標是全球的電信業者。這些駭客利用的漏洞，包含在2023年<a href="https://www.ithome.com.tw/news/162076">出現大規模攻擊行動的CVE-2023-20198</a>，以及<a href="https://www.ithome.com.tw/news/159431">思科後續公布的漏洞CVE-2023-20273</a>（CVSS風險分別為10分、7.2），成功利用後就會竄改網路設備的組態，部署通用路由封裝（Generic Routing Encapsulation，GRE）隧道，以便能持續存取受害裝置。</p> <p>對於這起攻擊行動的範圍，Recorded Future看到駭客對全球超過1千臺網路設備試圖發動攻擊，這些設備遍布超過100個國家，但有超過半數位於美國、南美洲及印度。由於全球有1.2萬臺思科設備的網頁管理介面曝露於網際網路，駭客僅對於其中8%發動攻擊，這樣的情況顯然是針對性的攻擊行動。</p> <p>不光是電信業者，駭客也攻擊阿根廷、孟加拉、印尼、墨西哥、荷蘭、泰國、美國、越南大學的思科設備，這些設備隸屬電信、工程、科技相關的研究機構。</p> <p>研究人員根據掌握的威脅情報，確認至少有7臺與電信業者有關的思科裝置，與駭客的基礎設施進行通訊，這些裝置的所有者包含：英國電信業者美國分公司、美國網際網路服務供應商（ISP）暨電信業者、南非電信業者、義大利網際網路服務供應商、泰國電信業者。</p> <p>但這種針對面向網際網路設備並利用尚未修補的已知弱點而來的攻擊行動，已進行了一段時間。研究人員提及，Salt Typhoon藉此取得受害組織的初始入侵管道，至少超過5年，而能夠持續於電信網路環境監控機密通訊內容、操縱資料流，甚至在政治或軍事衝突發生的時候中斷服務。</p> </div></div></div>
2025/2/17 11:19作者周峻佑https://www.ithome.com.tw/news/167390
北韓駭客Kimsuky對韓國企業及政府機關下手，利用PowerShell命令植入惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由於地緣政治的因素，北韓駭客對韓國發動攻擊的情況不時傳出，最近接連有兩組研究人員不約而同揭露相關攻擊行動，透露出這類威脅態勢加劇的現象。</p> <p><a href="https://x.com/MsftSecIntel/status/1889407814604296490">微軟</a>、<a href="https://www.securonix.com/blog/analyzing-deepdrive-north-korean-threat-actors-observed-exploiting-trusted-platforms-for-targeted-attacks/">資安業者Securonix</a>針對近期1組北韓駭客的攻擊行動提出警告，該組織有多種稱號，例如：Kimsuky、APT43、Emerald Sleet、TA427、Velvet Chollima，這些攻擊行動的共通點在於，駭客都使用了PowerShell命令散布惡意程式的有效酬載，而且都是針對韓國的企業組織與政府機關而來。</p> <p>12日微軟表示，今年1月看到這些駭客鎖定一定數量的目標從事網釣攻擊，看到這些駭客鎖定一定數量的目標從事網釣攻擊，假借使用者註冊裝置為由，要求使用管理員權限執行PowerShell，並複製、貼上特定的程式碼並執行。</p> <p>這些駭客聲稱是韓國政府官員，向目標人士建立關係，然後寄送挾帶PDF檔案的釣魚郵件，要求註冊裝置。</p> <p>一旦收信人依照文件內容指示操作，就會以管理員權限打開PowerShell，並執行特定程式碼，從而在電腦部署以瀏覽器為基礎打造的遠端桌面工具，並透過特定的PIN碼下載憑證，將受害電腦向遠端伺服器進行註冊。</p> <p>而對於這些駭客的目的，主要是建立能從受害者的電腦竊取資料的管道。</p> <p>無獨有偶，13日Securonix也揭露持續針對韓國企業、政府機關、加密貨幣持有人的攻擊行動Deep#Drive，Kimsuky以工作日誌、保險文件、加密貨幣相關資料為誘餌，寄送以韓文書寫的釣魚信，駭客挾帶HWP、XLSX、PPTX等當地辦公室軟體常見格式的檔案，並利用Dropbox等常見的公有雲平臺代管有效酬載，而能成功迴避一般的安全防禦機制。</p> <p>Securonix威脅研究員Den Iuzvyk、Tim Peck指出，這些駭客重度依賴PowerShell指令碼傳送有效酬載、偵察，以及執行惡意軟體，關鍵要素就是透過Dropbox傳遞有效酬載並外傳受害電腦的系統資料。</p> <p>附帶一提，研究人員發現相關的Dropbox連結快速遭到撤下，代表這些駭客使用的基礎設施存在的時間相當短，使得防守方更難進行相關防禦。而這樣的戰術、手法、程序（TTP），與Kimsuky相當接近，因此Securonix也以此認定這起攻擊行動就是這些駭客所為。</p> <p>針對攻擊行動發生的過程，Securonix指出可從偽裝成合法文件檔案的Windows捷徑檔（LNK）開始，一旦執行就會建立名為ChromeUpdateTaskMachine的工作排程，目的是確保惡意指令碼能每隔一段時間就執行。</p> <p>接著，攻擊者透過PowerShell指令碼收集系統資訊，包括IP位址、作業系統資訊、正在執行的處理程序、部署的防毒軟體，並傳送到Dropbox。</p> <p>然後他們執行另一個指令碼，下載、更改並解壓縮Gzip壓縮檔，並將.NET元件載入記憶體，執行下個階段的有效酬載。</p> <p>駭客存取Dropbox的方法也相當特別，是透過OAuth的Token完成身分驗證，然後與API進行互動，這麼做能夠無縫地外流相關偵察資料。Securonix研究團隊從攻擊者的PowerShell程式碼找到了相關的OAuth token，結果發現，駭客很可能從去年9月就開始相關活動。</p> </div></div></div>
2025/2/17 11:21作者周峻佑https://www.ithome.com.tw/news/167387
Google開放免費版Gemini上傳及分析檔案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google Gemini原本只有付費版才允許上傳和分析檔案，但現在Google悄悄將這功能部署到免費版上。</p> <p>Google Gemini相關<a href="https://support.google.com/gemini/answer/14903178?hl=en&co=GENIE.Platform%3DAndroid" target="_blank">支援頁</a>還未更新資訊，但已有<a href="https://www.reddit.com/r/Bard/comments/1ip2jcn/you_can_now_upload_files_in_the_free_version_of/" target="_blank">用戶</a>及媒體<a href="https://9to5google.com/2025/02/13/free-gemini-file-upload/" target="_blank">發現</a>，免費版Gemini的對話欄列出現了可上傳圖片、本機檔案及Google Drive檔案的圖示。上傳檔案的功能支援.txt、.doc/docx、.xls/xlsx、.dot/.dotx、PDF、.rtf、csv./tsv.、Google Docs，以及程式檔包括C、Java、Php、SQL和HTML等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0217-gemini%20upload%20file%20%2B%20analyze-free%20tier-600.png" style="width: 400px;" /></p> <p>在此之前，只有月付20美元的Gemini進階版才得以使用上述功能。去年5 月推出時，底層為Gemini 1.5 Flash模型，但現在已經升級到最新的Gemini 2.0 Flash。</p> <p>免費版支援檔案上傳和分析讓Google Gemini稍稍拉近和OpenAI ChatGPT的距離。目前僅Web版及Android Gemini App整合這些功能，正在逐步部署當中，預計所有Web和Android版用戶很快就能享用到。</p> </div></div></div>
2025/2/17 09:38作者林妍溱https://www.ithome.com.tw/news/167388
俄羅斯駭客Sandworm旗下團體發起攻擊行動BadPilot，利用已知漏洞掌握初始入侵管道
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自烏克蘭戰爭開打以來，多個俄羅斯駭客組織配合軍事行動從事相關攻擊行動，並將目標轉向烏克蘭，以及聲援、提供軍事援助的國家，如今有研究人員揭露最近幾年的觀察，指出駭客鎖定的目標、攻擊手法也出現變化。</p> <p>微軟揭露<a href="https://www.microsoft.com/en-us/security/blog/2025/02/12/the-badpilot-campaign-seashell-blizzard-subgroup-conducts-multiyear-global-access-operation/">俄羅斯駭客的攻擊行動BadPilot</a>，該組織有多個名號，像是：Seashell Blizzard、Sandworm、APT44，而且是由該組織旗下子團體發起，BadPilot至少從2021年開始活動，至少從2021年開始，鎖定能源、石油、天然氣、電信、航運、武器製造、國際組織及政府下手。研究人員指出，從2022年2月俄羅斯對烏克蘭正式發起軍事行動起，這些駭客主要鎖定烏克蘭及盟友而來，並在2023年對烏克蘭從事至少3次破壞性的攻擊。</p> <p>到了2024年初，這些駭客的攻擊手法有所變化，他們主要利用遠端桌面連線軟體ConnectWise ScreenConnect漏洞CVE-2024-1709、Fortinet端點防護管理平臺FortiClient EMS漏洞CVE-2023-48788（CVSS風險10分、9.8分），同時，這些駭客也將攻擊目標集中於美國、加拿大、澳洲、英國。</p> <p>除了上述提及的漏洞之外，微軟也提及這些駭客最近幾年偏好使用的已知弱點，這些包含Exchange及Zimbra郵件伺服器的重大漏洞CVE-2021-34473、CVE-2022-41352（風險值9.1、9.8分），以及收信軟體Outlook漏洞CVE-2023-23397（風險值9.8分）、CI/CD工具TeamCity與XMPP伺服器Openfire漏洞CVE-2023-42793、CVE-2023-32315（風險值9.8、7.5分），以及一項CVE編號未知的應用程式伺服器JBoss漏洞。</p> <p>這些駭客主要入侵受害組織的手法，大致可歸納成3種模式。其中一種是去年2月出現的最新方式，那就是針對ScreenConnect、FortiClient EMS的漏洞下手，一旦這些駭客得逞，他們就會部署Atera、Splashtop等遠端管理工具控制受害電腦，搜括帳密資料並透過rclone傳送到外部伺服器。</p> <p>第二種是從2021年底沿用至今的手法，駭客透過Exchange、Zimbra郵件伺服器的RCE漏洞入侵，然後部署Web Shell，然後透過隧道工具Chisel、plink、rsockstun來建立隱匿的通訊。</p> <p>最後一種是從2021年底至2024的手段，攻擊者用來在受害組織收集帳密資料，對網路資源進行竄改，這些網路資源包括：Outlook Web Access登入網頁、DNS配置。這麼做的目的，是為了能被動收集相關帳密，然後擴大對網路環境的存取。</p> </div></div></div>
2025/2/16 13:02作者周峻佑https://www.ithome.com.tw/news/167386
從事網路間諜行動的中國駭客發動勒索軟體RA World攻擊，向受害組織索討百萬美元贖金
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者賽門鐵克揭露<a href="https://www.security.com/threat-intelligence/chinese-espionage-ransomware">勒索軟體RA World去年11月下旬的攻擊行動</a>，駭客針對南亞一家中型軟體服務公司下手，過程中疑似利用Palo Alto Networks防火牆作業系統PAN-OS的已知漏洞CVE-2024-0012，並透過Veeam備份伺服器、AWS S3儲存桶竊得資料，最終將電腦的檔案加密，並留下勒索信，要求在3天內支付100萬美元，若是超過期限，贖金將會加倍為200萬美元。</p> <p>值得留意的是，過程中攻擊者使用的作案工具裡，包含中國駭客經常利用的惡意程式PlugX，而且，駭客濫用Toshiba的執行檔toshdpdb.exe側載惡意DLL檔案，因而引起研究人員的注意。</p> <p>過去該名駭客組織主要從事網路間諜攻擊行動，並試圖藉由植入後門來持續在目標組織活動，因此，這起突然轉為勒索軟體攻擊的資安事故並不尋常，根據調查的結果，研究人員推測很有可能駭客組織旗下成員私自發起，意圖透過勒索軟體牟利。</p> <p>賽門鐵克威脅獵捕團隊於去年7月至今年年初，發現這些駭客的攻擊行動，他們最早在7月看到歐洲東南國家的外交部遭到攻擊，攻擊者就是利用上述的Toshiba執行檔側載惡意DLL檔案，而這個DLL檔的功能就是載入PlugX。根據PlugX的外掛程式時戳，此版本的PlugX與Palo Alto Networks揭露的變種Thor PlugX相同，所以，這起事故可能與中國駭客組織稱為Mustang Panda（又名Earth Preta）有關。</p> <p>值得一提的是，上述的PlugX與趨勢科技去年2月揭露Earth Preta的攻擊行動當中，有兩個共通點：所用的作案工具搭配相同的RC4金鑰，而且組態的結構雷同。</p> <p>後來賽門鐵克於去年8月、9月，以及今年1月，發現相同的PlugX攻擊行動，對象涵蓋歐洲東南、東南亞國家的政府機關，以及電信業者。</p> <p>研究人員進一步掌握這些駭客使用勒索軟體的證據。在過往RA World的攻擊行動裡，資安業者Palo Alto Networks指出是被稱為Bronze Starlight、Emperor Dragonfly中國駭客所為，因為過程裡運用名為NPS的代理伺服器工具；而這些駭客使用勒索軟體有前例可循──在此之前，資安業者Sygnia、SentinelOne指出，駭客曾使用Night Sky、Cheerscrypt、LockFile、AtomSilo、LockBit 2.0。</p> <p>究竟專門從事網路間諜攻擊的駭客為何會投入勒索軟體攻擊？賽門鐵克表示，中國駭客不像北韓駭客會藉由勒索軟體籌措營運的資金，但這些駭客相當認真向受害組織勒索，似乎不像是用來掩蓋其他的攻擊行動。研究人員推測，很有可能是駭客組織旗下的成員單獨行動，利用雇主的工具賺外快。</p> </div></div></div>
2025/2/15 19:52作者周峻佑https://www.ithome.com.tw/news/167385
微軟Graph API遭到濫用，駭客鎖定南美外交單位散布惡意軟體FinalDraft
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資料搜尋及分析業者Elastic旗下的資安實驗室指出，<a href="https://www.elastic.co/security-labs/fragile-web-ref7707">他們在去年11月下旬</a>，察覺針對南美國家外交部而來的攻擊行動Ref7707，駭客運用惡意軟體FinalDraft、GuidLoader、PathLoader，搭配不尋常的寄生攻擊（LOLBin）攻擊手法，並重度使用雲端及第三方服務架設C2。</p> <p>究竟攻擊者如何入侵受害的外交單位？研究人員並未說明，但他們提及駭客利用Windows元件certutil進行寄生攻擊，從遠端伺服器下載作案工具，但特別的是，這個代管相關檔案的伺服器，竟位於受害組織的內部環境，而非位於網際網路。</p> <p>另一個遭利用的元件是WinrsHost.exe，此為Windows遠端管理系統的Shell外掛程式，根據駭客使用這項工具從未知來源下載檔案，研究人員指出這代表駭客已事先取得有效網路帳密資料，並用於在已遭到入侵的主機進行橫向移動。但這些帳密資料從何而來？很有可能是來自前述存放可疑檔案的網頁伺服器。</p> <p>攻擊者於受害電腦下載fontdrvhost.exe、fontdrvhost.rar、config.ini、wmsetup.log等工具，然後進行橫向移動，而共通點就是都是使用本機的管理員帳號進行。</p> <p>一旦成功下載這些檔案，駭客就會執行fontdrvhost.exe，此執行檔實際上是Windows內建的除錯工具CDB.exe，攻擊者將其濫用於執行config.ini挾帶的Shell Code，將其處理程序注入小畫家mspaint.exe並於記憶體內執行，而這組Shell Code就是惡意程式FinalDraft。</p> <p>研究人員指出，FinalDraft是全功能的遠端管理工具，並能搭配附加模組增加功能，而特別的是，攻擊者建立C2通訊的管道，是濫用微軟的Graph API來進行，使得相關攻擊流量都通過微軟的基礎架構，而能迴避網路入侵偵測。</p> <p>在其中6臺電腦上，研究人員看到駭客以services.exe的子處理程序執行惡意程式PathLoader。而對於駭客散布PathLoader、GuidLoader的目的，都是用來下載、執行於記憶體內運作的Shell Code。</p> <p>Elastic針對上述惡意程式進行追查，結果發現這些駭客不只針對Windows電腦打造FinalDraft，也著手開發Linux版本。</p> </div></div></div>
2025/2/16 13:11作者周峻佑https://www.ithome.com.tw/news/167382
打破疊床架屋架構，提升溝通效率
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">最近出版的臺灣商業財經書籍當中，最受矚目的一批書與輝達（Nvidia）創辦人暨執行長黃仁勳有關，其中一本是《輝達之道：黃仁勳打造晶片帝國，引領AI浪潮的祕密》，另一本是《黃仁勳傳：輝達創辦人如何打造全球最搶手的晶片》，因為我們長期關注Nvidia的企業解決方案發展，因此，也想從中找出他們如今得以成功致勝的關鍵，以及過去曾經歷的各種挑戰。</p> <p dir="ltr">由於《輝達之道》早一步上市，也談到不少公司過往發展歷程，所以我先選了這本書來看。有趣的是，去年底已有一些媒體轉載部分書中的內容，因此，有不少人可能在社群媒體看到節錄的文章片段，呈現黃仁勳經營輝達公司的精彩之處，但其實閱讀整本書仍然有許多意想不到的收穫。</p> <p dir="ltr">如果你跟我年紀相仿，經歷個人電腦圖形顯示卡廠牌林立的時代，可以從《輝達之道》看到當時市場競爭的盛況，例如，輝達陸續推出NV1、NV2、NV3（RIVA 128）、NV4（RIVA TNT）、NV5與NV6（RIVA TNT 2），以及如今我們所熟知的GeForce，3dfx有巫毒系列（Voodoo Graphics），ATI有Rage Pro，S3有Savage，Matrox有G200。</p> <p dir="ltr">此書也提到GPU一詞由來的故事。根據作者描述，GPU是由高階主管Sanford Russell和Michael Hara討論出來的，目的是為了行銷GeForce 256，他們想表明GPU與CPU一樣，皆是電腦不可或缺的配備。不過，維基百科網站倒是呈現不同看法，上面提到GPU是1994年Sony公司首創的詞彙，因為他們的遊戲主機PlayStation使用32位元Sony GPU。</p> <p dir="ltr">關於輝達公司內部文化，《輝達之道》也描述箇中特色，像是在第9章磨練成就偉大，就列出幾個關鍵訣竅，包含：扁平化組織架構、使命才是老闆、五要事電子郵件、白板勝於PPT（PowerPoint簡報），透過幾個小故事呈現他們重視直接溝通的工作態度，提升決策透明度與資訊共享。</p> <p dir="ltr">上述作法當中，透過白板溝通應該最令人意外。過往我們知道全球電商龍頭亞馬遜有個特殊的開會文化：禁用PPT簡報或條列式報告，而是用Word將想法以敘述的方式製作成1頁或6頁報告或備忘錄，大家一起在會議當中看完這些資料，而身為科技巨擘之一的輝達，他們的內部會議居然也不用PPT簡報，而是透過實體的白板進行討論，根據《輝達之道》作者的描述，目的是希望與會者不斷反思，想想當下與未來如何做出更好的決策，以及專注於現在重要的事情，並且藉由白板筆寫下的有限文字或圖像內容，更有效率地表達彼此思考問題的方式與想法。</p> <p dir="ltr">書中對這種溝通方式帶來的效益，是這樣形容的：「白板流程幫助高管淬鍊出事務的本質」因為這能促使大家更嚴謹、透明地陳述觀點，若與會者對議題想得不夠透徹、完整，或用錯誤假設建立邏輯，就會很清楚地顯現問題，大家無法透過漂亮格式與不夠貼近真實的文字遮掩，難以隱藏疑點或爭議。</p> <p dir="ltr">而且每次會議結束之後，大家在白板書寫、繪製的內容都要擦掉，下次又要從零開始表達。這樣的反覆呈現，也有助於與會者在有限的溝通形式當中，重新表達想法與思考所要處理的各種議題。</p> <p dir="ltr">《輝達之道》也再次證實一件大家聽說的傳聞，那就是他們的文化深受美國科幻影集《星艦奇航（Star Trek）》影響。</p> <p dir="ltr">例如，眾所皆知，輝達公司總部兩座大樓的命名：Endeavor（奮進號）、Voyager（航海家號），都是影集當中曾出現的船艦；而《輝達之道》作者在書中描寫輝達白板文化時，也以外星種族瓦肯人的心靈融合（Mind Meld），形容黃仁勳希望與員工心靈相通。</p> <p dir="ltr">除此之外，作為Nvidia技術應用主軸之一的元宇宙產品線Omniverse出現之前，輝達更早之前推出的虛擬實境（VR）解決方案，稱為Holodeck，這應該也是受到Star Trek影集的啟發，因為在Star Trek: The Next Generation之後，劇中開始出現臺灣譯為全像甲板的Holodeck，呈現不需配戴專屬裝置的VR可能性，這個配合劇情設計的嶄新神奇應用，應該也啟發當時輝達的相關技術發展。</p> <p dir="ltr">關於輝達的業界傳說目前仍在繼續拓展，AI浪潮的接連爆發，讓他們在這幾年不斷躍上新的顛峰，未來他們一定還會開創更多驚奇，而在目睹他們的興盛之際，我們也必須向他們學習如何專注與提高效率。</p> <p> </p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E8%BC%9D%E9%81%94">輝達</a></div><div class="field-item odd"><a href="/tags/nvidia">Nvidia</a></div><div class="field-item even"><a href="/tags/%E9%BB%83%E4%BB%81%E5%8B%B3">黃仁勳</a></div><div class="field-item odd"><a href="/tags/%E7%B6%93%E7%87%9F">經營</a></div><div class="field-item even"><a href="/tags/%E7%AE%A1%E7%90%86-0">管理</a></div></div></div>
2025/2/15 10:21作者李宗翰https://www.ithome.com.tw/voice/167384
JetBrains取消Fleet的Kotlin多平臺支援，開發重心轉向IntelliJ平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>JetBrains<a href="https://blog.jetbrains.com/kotlin/2025/02/kotlin-multiplatform-tooling-shifting-gears/">宣布</a>取消Fleet IDE對KMP（Kotlin Multiplatform）的支援，並把開發重心轉向IntelliJ平臺，即IntelliJ IDEA與Android Studio。這代表原本計畫推出的另一款獨立KMP專用IDE不再將取消，而Fleet在KMP領域的發展會在未來三個月內正式告終。</p> <p>Fleet最初於2021年推出，作為JetBrains嘗試挑戰VS Code的全新輕量級IDE。與傳統的IntelliJ IDEA相比，Fleet具有更快的啟動速度、即時協作功能，以及動態載入程式分析的能力，並且被視為KMP開發的新選擇。不過，隨著Google在Android平臺上正式支援KMP，開發者對於在IntelliJ平臺獲得更完整的KMP工具需求增加，這使得JetBrains必須重新考量開發資源的分配。</p> <p>JetBrains也提到他們觀察到開發工具領域的變化，並正在投資新技術，例如近期推出的程式開發人工智慧代理Junie。這些變化使得JetBrains決定將主要心力放在IntelliJ平臺，以提供更完整的開發體驗。</p> <p>這項政策引起開發者社群廣泛討論，部分開發者認為，這是一個務實的選擇，因為IntelliJ平臺的生態系統更加成熟，JetBrains也能更有效率地改善KMP相關工具。但有部分Fleet用戶對此決策表示擔憂，認為JetBrains近年來幾次終止新專案的作法可能影響市場信心，甚至讓人懷疑Fleet本身的未來是否會受到影響。此外，也有iOS開發者也對此決策持保留態度，認為IntelliJ平臺仍然過於Java中心，對不熟悉Gradle和Java工具鏈的開發者而言，學習成本較高，而Fleet原本提供的較輕量開發體驗將因此消失。</p> <p>雖然這項決策意味著Fleet在KMP領域的落幕，但JetBrains承諾持續投資KMP、Ktor、Exposed等Kotlin生態系統，並提到會利用人工智慧技術來提升開發工具的效能。目前，JetBrains尚未公布未來KMP相關IntelliJ工具細節，但可以確定的是，之後KMP的官方開發體驗將回歸IntelliJ平臺，而Fleet則將逐步淡出。</p> </div></div></div>
2025/2/15 09:53作者李建興https://www.ithome.com.tw/news/167381
【資安日報】2月14日，資安業者揭露已遭中國駭客用於攻擊行動的Windows使用者介面零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今天有兩則零時差漏洞的消息相當引人關注，其中一則是去年底BeyondTrust資安事故新的調查發現，另一則與Windows的使用者圖形介面（GUI）有關，由於這項漏洞傳出已遭到中國駭客積極利用，使得後續發展特別值得留意。</p> <p>值得留意的是，這項存在於使用者圖形介面的漏洞，研究人員透露駭客利用的方式，是拿來執行同時具備隱藏及系統保護屬性的檔案，產生未知屬性的ActiveX元件，究竟實際的情形如何，有待研究人員公布更多細節。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167379"><strong style="font-size: 22px;">Windows使用者介面爆零時差漏洞，傳出中國駭客組織Mustang Panda將其用於實際攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/GjrUreuWUAAUoqH.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/GjrUreuWUAAUoqH.jpg" style="width: 300px; float: right;" /></a></p> <p>2月13日威脅情報業者ClearSky Cyber Security提出警告，他們發現Windows作業系統的圖形介面（GUI）存在零時差漏洞（尚未登記CVE編號），雖然通報後微軟評估為低風險弱點，但已出現遭中國駭客Mustang Panda積極利用的情況。</p> <p>這項弱點涉及檔案總管處理RAR壓縮檔的過程，由於微軟在2023年10月開始對Windows 11 22H2加入相關功能，這代表曝險範圍可能是執行Windows 11及Windows Server 2025的工作站電腦及伺服器。</p> <p>ClearSky針對駭客如何利用這項弱點提出說明，指出攻擊者可利用RAR檔打包含有隱藏屬性的檔案，並透過命令列執行解壓縮到特定資料夾。而這個存放解壓縮檔案的資料夾，不僅在檔案總管因為隱藏屬性看不到，就連使用者透過命令提示字元下達dir指令，也不會出現。</p> <p><a href="https://www.ithome.com.tw/news/167370"><strong style="font-size: 22px;">新興AI生產力平臺OmniGPT驚傳資料外洩，駭客聲稱握有3萬用戶個資、3,400萬筆聊天記錄</strong></a></p> <p>AI工具當紅，安全性也隨之受到關注，相關帳密資料、對話內容的保護，成為外界關注的焦點，最近一起資料外洩事故引起注意，尤其是該平臺能夠搭配時下多種知名的大型語言模型（LLM）運用，而有可能涉及大量的資料。</p> <p>根據資安新聞網站HackRead的報導，名為Gloomer的人士於駭客論壇BreachForums聲稱握有AI生產力平臺OmniGPT的資料，內含3萬個使用者電子郵件信箱、電話號碼，以及34,270,455筆對話記錄。該平臺整合了ChatGPT-4o、Claude 3.5、Perplexity、Google Gemini等模型，以及團隊協作工具、資料管理、圖片分析等應用模組，而有可能吸引一些人想要嘗試。</p> <p>HackRead的調查團隊分析駭客公布的內容，包含用戶與聊天機器人之間的訊息、上傳檔案的連結，其中部分拿有帳密資料、帳單資訊、API金鑰。研究人員看到逾8千個電子郵件信箱在對話內容提供給聊天機器人。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/02/finaldraft-malware-exploits-microsoft.html">微軟Graph API遭到濫用，駭客鎖定南美外交單位散布惡意軟體FinalDraft</a></strong></p> <p><strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/02/finaldraft-malware-exploits-microsoft.html"></a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/chinese-espionage-tools-deployed-in-ra-world-ransomware-attack/">勒索軟體RA World搭配中國網路間諜工具攻擊亞洲企業</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/surge-in-attacks-exploiting-old-thinkphp-and-owncloud-flaws/">利用ThinkPHP框架及雲端共享系統ownCloud已知漏洞的攻擊行動升溫</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/02/hackers-use-captcha-trick-on-webflow.html">駭客利用CDN服務Webflow、圖靈驗證機制CAPTCHA，意圖竊取信用卡資料</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167368"><strong style="font-size: 22px;">Palo Alto Networks修補防火牆作業系統身分驗證繞過漏洞</strong></a></p> <p>2月13日資安業者Palo Alto Networks發布資安公告，公布存在於網頁管理介面的高風險身分驗證繞過漏洞CVE-2025-0108，未經授權的攻擊者能藉由防火牆作業系統PAN-OS的網頁管理介面，並搭配特定的PHP指令碼，繞過部分驗證流程，影響執行10.1至11.2版PAN-OS的防火牆，CVSS風險為7.8。值得留意的是，通報此事的研究人員指出，已出現這個零時差漏洞被利用的跡象。</p> <p>對此，該公司發布11.2.4-h4、11.1.6-h1、10.2.13-h3、10.1.14-h9版更新修補，雲端版防火牆Cloud NGFW、安全服務邊緣系統Prisma Access不受影響。</p> <p>值得留意的是，雖然Palo Alto Networks強調他們並未察覺漏洞遭到利用的跡象，但通報此事的Searchlight Cyber資安研究員Adam Kues表示，他們偵測這項弱點已被用於實際攻擊行動，發生的原因與Nginx及Apache元件的路徑混淆有關，由於兩者之間處理傳入的請求存在差異，而有機會造成路徑穿越的現象。</p> <p><a href="https://www.ithome.com.tw/news/167376"><strong style="font-size: 22px;">資安廠商BeyondTrust產品漏洞事故有新發現！系統搭配的PostgreSQL有零時差漏洞、恐遭串連濫用</strong></a></p> <p>去年12月中旬資安業者BeyondTrust發布資安公告，指出旗下的遠端支援（Remote Support，RS）系統、特權遠端存取（Privileged Remote Access，PRA）系統存在重大層級的命令注入漏洞CVE-2024-12356，且有人用於攻擊SaaS環境用戶，並傳出其中一個受害的單位是美國財政部，攻擊者的身分是中國政府資助的駭客，如今又有新的消息揭露。</p> <p>資安業者Rapid7表示，他們針對CVE-2024-12356進行分析，結果成功重現了另一個漏洞CVE-2025-1094，並指出這項漏洞存在於關聯式資料庫PostgreSQL，一旦遭到利用，攻擊者就能在未經身分驗證的情況下，遠端執行任意程式碼（RCE），CVSS風險評為8.1。根據相關調查結果，Rapid7認為，攻擊者在利用CVE-2024-12356的過程裡，觸發了CVE-2025-1094而能發動RCE攻擊。</p> <p><a href="https://www.ithome.com.tw/news/167374"><strong style="font-size: 22px;">針對GitHub上個月修補的SAML身分驗證繞過漏洞，研究人員公布細節及概念驗證程式碼</strong></a></p> <p>1月21日GitHub發布3.12.14、3.13.10、3.14.7、3.15.2、3.16.0版Enterprise Server（GHES）更新，修補高風險漏洞CVE-2025-23369，攻擊者可藉此對採用SAML單一簽入（SSO）的GHES主機下手，利用偽造的SAML回應存取具有管理員及特殊權限的使用者帳號，CVSS風險評為7.6。最近通報這項漏洞的研究人員公布細節，並指出與程式庫libxml2有關。</p> <p>研究人員Hakivvi表示，他之所以發現這項漏洞，是因為調查去年底GitHub公布的SAML身分驗證繞過漏洞CVE-2024-4985、CVE-2024-9487，結果找到新的繞過方法。基本上，這項弱點出現於GitHub用於解析SAML回應的程式庫libxml2，導致攻擊者可以製造特製的SAML回應，就有機會繞過身分驗證檢查，而能存取任意帳號。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/chipmaker-patch-tuesday-intel-amd-nvidia-fix-high-severity-vulnerabilities/">Intel、AMD發布二月份例行更新</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/167364"><strong>【2月13日】勒索軟體駭客號稱從臺灣PCB大廠欣興電子竊得大量內部資料</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167337"><strong>【2月12日】Fortinet公布用於攻擊防火牆的身分驗證繞過漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167316"><strong>【2月11日】馬偕醫院遭勒索軟體CrazyHunter攻擊，傳出是中國駭客所為</strong></a></p> </div></div></div>
2025/2/14 19:01作者周峻佑https://www.ithome.com.tw/news/167383
Windows使用者介面爆零時差漏洞，傳出中國駭客組織Mustang Panda將其用於實際攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2月13日威脅情報業者ClearSky Cyber Security<a href="https://x.com/ClearskySec/status/1890056915230544224">提出警告</a>，他們發現Windows作業系統的圖形介面（GUI）存在零時差漏洞（尚未登記CVE編號），雖然通報後微軟評估為低風險弱點，但已出現遭中國駭客Mustang Panda積極利用的情況。</p> <p>這項弱點涉及檔案總管處理RAR壓縮檔的過程，由於微軟在2023年10月<a href="https://www.bleepingcomputer.com/news/microsoft/windows-11-adds-support-for-11-file-archives-including-7-zip-and-rar/">開始對Windows 11 22H2加入相關功能</a>，這代表曝險範圍可能是執行Windows 11及Windows Server 2025的工作站電腦及伺服器。</p> <p>ClearSky針對駭客如何利用這項弱點提出說明，指出攻擊者可利用RAR檔打包含有隱藏屬性的檔案，並透過命令列執行解壓縮到特定資料夾。</p> <p>而這個存放解壓縮檔案的資料夾，不僅在檔案總管因為隱藏屬性看不到，就連使用者透過命令提示字元下達dir指令，也不會出現。</p> <p>一旦攻擊者輸入完整的資料夾路徑，就能執行解開來的檔案。而在研究人員看到的攻擊行動裡，駭客執行了同時具備隱藏及系統保護屬性的檔案，導致產生未知屬性的ActiveX元件。</p> <p>雖然針對這項弱點透露的細節相當有限，但研究人員預告，他們將在部落格文章公布進一步的資訊。</p> </div></div></div>
2025/2/14 16:41作者周峻佑https://www.ithome.com.tw/news/167379
針對GitHub上個月修補的SAML身分驗證繞過漏洞，研究人員公布細節及概念驗證程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>1月21日GitHub發布<a href="https://docs.github.com/en/[email protected]/admin/release-notes#3.12.14">3.12.14</a>、<a href="https://docs.github.com/en/[email protected]/admin/release-notes#3.13.10">3.13.10</a>、<a href="https://docs.github.com/en/[email protected]/admin/release-notes#3.14.7">3.14.7</a>、<a href="https://docs.github.com/en/[email protected]/admin/release-notes#3.15.2">3.15.2</a>、3.16.0版Enterprise Server（GHES）更新，修補<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-23369">高風險漏洞CVE-2025-23369</a>，攻擊者可藉此對採用SAML單一簽入（SSO）的GHES主機下手，利用偽造的SAML回應存取具有管理員及特殊權限的使用者帳號，CVSS風險評為7.6。<a href="https://repzret.blogspot.com/2025/02/abusing-libxml2-quirks-to-bypass-saml.html">最近通報這項漏洞的研究人員公布細節</a>，並指出與程式庫libxml2有關。</p> <p>研究人員Hakivvi表示，他之所以發現這項漏洞，是因為調查去年底GitHub公布的SAML身分驗證繞過漏洞CVE-2024-4985、CVE-2024-9487，結果找到新的繞過方法。基本上，這項弱點出現於GitHub用於解析SAML回應的程式庫libxml2，導致攻擊者可以製造特製的SAML回應，就有機會繞過身分驗證檢查，而能存取任意帳號。</p> </div></div></div>
2025/2/14 15:06作者周峻佑https://www.ithome.com.tw/news/167374
資安廠商BeyondTrust產品漏洞事故有新發現！系統搭配的PostgreSQL有零時差漏洞、恐遭串連濫用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年12月中旬<a href="https://www.ithome.com.tw/news/166598">資安業者BeyondTrust發布資安公告</a>，指出旗下的遠端支援（Remote Support，RS）系統、特權遠端存取（Privileged Remote Access，PRA）系統存在重大層級的命令注入漏洞CVE-2024-12356，且有人用於攻擊SaaS環境用戶，並傳出其中一個受害的單位是美國財政部，攻擊者的身分是中國政府資助的駭客，如今又有新的消息揭露。</p> <p>資安業者Rapid7表示，<a href="https://attackerkb.com/topics/G5s8ZWAbYH/cve-2024-12356/rapid7-analysis">他們針對CVE-2024-12356進行分析</a>，結果成功重現了另一個漏洞CVE-2025-1094，並指出這項漏洞存在於關聯式資料庫PostgreSQL，一旦遭到利用，攻擊者就能在未經身分驗證的情況下，遠端執行任意程式碼（RCE），CVSS風險評為8.1。根據相關調查結果，Rapid7認為，攻擊者在利用CVE-2024-12356的過程裡，觸發了CVE-2025-1094而能發動RCE攻擊。</p> <p>針對新發現的CVE-2025-1094，1月底Rapid7向PostgreSQL開發團隊通報，<a href="https://www.postgresql.org/support/security/CVE-2025-1094/">2月13日開發團隊發布17.3、16.7、15.11、14.16、13.19版PostgreSQL修補</a>。</p> <p>對於漏洞形成的原因，Rapid7表示是PostgreSQL允許SQL指令的描述包含不可信任的輸入所致，使得PostgreSQL互動工具psql在讀取內容的過程裡，因為處理無效的UTF-8字元出現問題，從而產生SQL注入的現象。</p> <p>研究人員進一步指出，他們確認這項漏洞無需搭配CVE-2024-12356，就能用來對BeyondTrust RS發動攻擊。他們也提及BeyondTrust的修補程式並未完全緩解CVE-2025-1094，但已經能成功防堵CVE-2024-12356及CVE-2025-1094帶來的資安風險。</p> </div></div></div>
2025/2/14 15:55作者周峻佑https://www.ithome.com.tw/news/167376
開發AI代理和RPA大不同，企業如何上手？微軟業務型AI開發工具負責人這樣建議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著AI代理熱潮升溫，AI巨頭開始搶攻企業內部的辦公室AI應用需求，開始推廣自家AI代理技術和工具鏈，日前，微軟Dataverse全球資深副總裁Nirav Shah日前也來臺，向臺灣企業說明微軟在AI代理工具鏈上的布局。他負責產品包括了商用系統通用資料服務Dataverse，以及Power平臺用來打造業務型AI的AI Builder工具等。</p> <p>隨著這一波AI代理應用模式崛起，Nirav Shah指出，微軟的投資和支援策略是，協助企業充分運用GAI，來推動業務流程的進化，特別是透過Copilot和AI代理（agents），以及Azure公雲提供的AI技術架構（AI Stack）。</p> <p>過去，不同科技典範實際進入企業領域的時間很久，都需要一段時間的發酵期，例如主從式主機時代、網際網路時代、雲端時代或行動時代，企業才能真正理解到那些科技浪潮的價值與衝擊。「但，這一波AI變革極快，超過以往任何一次轉型。技術與演進速度，可以帶給企業非常大的推力。」</p> <h3><span style="color: rgb(255, 140, 0);"><strong>AI代理和傳統RPA工作流程典範大不同</strong></span></h3> <p>AI代理和企業常見的RPA自動化機器人有很大的不同，Nirav Shah認為，RPA的特色是「固定」，擅長處理有妥善定義、流程明確且靜態的系統化作業，用於支援企業流程優化，非常出色。但RPA這種系統化、固定的自動化流程，一旦遇到例外情況，或需要更多上下文資訊才能處理的業務流程，RPA就無法適用。「因為RPA的預設是，每一次執行的流程都會一模一樣。」</p> <p>RPA對企業帶來了很大的幫助，也會持續在特定類型流程中發揮效益。但是，AI代理打造出一套可以理解特定業務流程的專家系統，提供符合安全過濾規範的上下文資訊，AI就能推理，作出決策，來執行企業想要的結果。</p> <p>「自主AI代理，可以成為協同共存時代下的新型態應用。」他預言，未來，每一個業務流程，都能透過AI代理來支援，這些AI代理也能具備專業知識與演化能力，依據當下情況，動態地做決策。這正是AI代理與傳統RPA工作流程典範的區別。</p> <h3><span style="color: rgb(255, 140, 0);"><strong>AI代理開發門檻低，熟悉業務知識的IT素人也能開發</strong></span></h3> <p>就像RPA程式開發門檻越來越低一樣，AI代理開發工具一登場，同樣瞄準了非IT技術人員。「強大的LLM模型，讓軟體開發的發展更進一步，能用多模態的形式，支援任何想解決業務問題的領域專家，都能進行開發，不限於擅長軟體開發的工程師。」他表示。</p> <p>舉例來說，Copilot Studio已經可以用類似自然語言方式來建立AI代理。領域專家打開這類工具，以自然語言來描述要解決的業務問題、這項業務流程的運作方式，以及想要實現的結果。接著要提供觸發流程的條件與相關資訊，還有用來推理這些業務流程時所需的知識，以及AI代理可選擇的下一步動作，以及任何輔助流程的上下文參考資料，就可以打造出一款解決特定業務問題的AI代理。</p> <p>「開發一套解決方案的門檻，能降低到前所未有的程度。甚至不用自己開發，用自然語言就能找到想要打造的代理。」Nirav Shah表示。</p> <p>Nirav Shah預告，微軟會持續在開發過程中增加抽象層級來簡化，讓人們更容易完成他們想要的工作。不僅針對素人開發者，專業開發者也能更有效率完成工作，解決他們在開發中所面臨的業務問題。</p> <p>越來越多科技巨頭打造各自的代理型AI開發工具鏈，加速這類工具更快演進，微軟也不例外。</p> <p>Nirav Shah表示，微軟特別重視「可信任的AI」的機制，確保AI安全機制能深度整合到我們的工具裡。也會持續在整個技術架構的每一層落實。微軟AI開發工具鏈的優先工作是，從安全性角度增加更多功能。</p> <p>微軟會持續改進負責任AI（Responsible AI）的原則，確保所提供的解決方案能以安全與負責任的方式應用。微軟也將自己打造AI產品功能的所有基礎組件與能力，放入Azure AI Foundry開發平臺上，讓企業打造和微軟同等級安全和信任的解決方案。</p> <p>長遠來看，Nirav Shah認為，GAI將從根本上改變企業的運作方式。AI優先企業，會整合人、Copilot和AI代理，三者互相配合來推動業務流程往前走。</p> <p>例如麥肯錫公司，運用Copilot工具打造出一款可以改善顧客接觸模式的自主式AI代理（Autonomous Agent）。這款AI代理會監聽來自新顧客電子郵件中的需求，根據麥肯錫與這名顧客往來紀錄、電子郵件中提到的需求，來判斷該由哪位合夥人接手這名顧客，不用等到真人讀信後來派工。這款AI不只大大縮短了顧客等待回覆的時間，也減少了3成的行政作業。</p> <p>不過，目前企業常見的業務運作方式，通常分散到許多不同又孤立的應用程式。使用者必須進入不同系統，理解各自的脈絡，自己在不同的應用程式間搬移資料和知識，才能讓業務流程順利推進。</p> <p>若改用Copilot作為AI介面，他指出，可以創造出一種無縫的體驗，將企業內部，所有層級的業務流程整合，從員工個人、部門，甚至整個企業都能串連。如此一來，所有的AI代理也都能在不同業務流程中共享並理解相同的脈絡。等到需要人工介入時，才把工作指派給相對應的員工或領域專家，讓業務流程能夠不斷推進。「員工、Copilot及代理間成為一個生態系，聯手讓業務流程更有效率。」他補充。他所負責的通用資料服務Dataverse產品，正是鎖定了這個生態圈的資料整合需求。</p> <h3><span style="color: rgb(255, 140, 0);"><strong>打造AI代理應用的第一步，明確找出適合自動化和AI優化的業務流程</strong></span></h3> <p>Nirav Shah建議，想要打造AI代理開發的企業，第一步要找出，哪一個業務流程最適合用自動化和AI來優化，鎖定一個非常明確的情境，清楚了解想要優化的目標，才能利用相應的技術來實現最佳化。「GAI進化速度飛快，先明確鎖定目標，再來善用技術，才能得到最佳成效。」</p> <p>如何運用工具，對這些代理提供明確的指令，引導它們往你真正想要的方向運作。Nirav Shah建議，不是讓系統無限制地存取企業任何資料或API，反而要針對一項明確的業務流程，來客製一套專家系統。可以有兩種客製化手段，一個是針對業務流程的特定指示，另一個是提供特定知識和資料作為決策之用，以及指定業務流程運作可用的特定行動。</p> <p>雖然不少人擔心AI代理的測試和除錯是一大挑戰，不過，目前像Copilot控制系統，提供了完整的分析報表功能，可以追蹤所有代理的運作情況，提供足夠的維運可見度與可控性。</p> <p>「AI代理真正的挑戰，不只是測試或除錯，而是如何讓業務流程的界定更加明確。」Nirav Shah指出，要解決什麼問題？達成什麼樣的商業目標？答案越明確，後續的開發、除錯及正式上線就會越簡單。</p> <p> </p> </div></div></div>
2025/2/14 17:24作者王宏仁https://www.ithome.com.tw/news/167380
亞馬遜如何向下貫徹領導力原則
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1222-itshu_zhai_-1p-ya_ma_xun_ling_dao_li_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">商業周刊</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>如何持續成長與創新，延緩或避免企業的衰敗？如何在數位顛覆時代競爭？貝佐斯曾這樣回答：「我預測亞馬遜有一天會跌落神壇、破產。你如果觀察大型企業的壽命，通常是三十年以上，但很少超過百年。我們必須努力嘗試延後那一天的到來。」</p> <p>避免公司衰敗的存在性問題是什麼？在數位顛覆時代發展策略、達成目標，創造創新與成長的持續工具，以及在疫情中存活和繁榮的共通主旋律又是什麼？這些問題的「簡單答案」為何？其實就是「領導力」。</p> <p>亞馬遜的十四條領導力原則（LPs）在亞馬遜的每天工作中占重要角色，所有員工會活用於每天的例會、每場面試、所有辯論和決策。</p> <p>我希望你能從這些原則中學習，並幫助你回答對組織和職業生涯至關重要的問題：我們的原則是什麼？我們的使命是什麼？我們對彼此的期望是什麼？我們如何相互負責？我們如何決策？我們如何成長和競爭？</p> <p>請不要急於將原則固定不變，它們應該像果凍一樣柔軟。實踐、磨合、嘗試活用它們，對它們加以辯論並持續讓它們更完善，但最重要的是讓這些原則真實且有意義的存在。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>發明與簡化原則</strong></span></span></p> <p>如果要我選出亞馬遜最重要、最具特色的領導力原則，我認為是「發明與簡化」。</p> <p><strong>簡化的典範：亞馬遜的平台業務</strong></p> <p>在商業界，「平台」（platform）是指機械順利運作，串聯複雜的流程和由不同單位執行的任務。亞馬遜就是平台，亞馬遜可以停留在販售書籍業務「圖書平台」，但相較於此它將服務範圍拓展至各式消費性商品，甚至進軍企業客戶領域。</p> <p>任職亞馬遜期間，我成了相信流程自動化力量的信奉者，進而希望讓工作流程更簡化和更具生產力。當流程自動化後，不僅易於提升規模，也更容易衡量。在此同時，即便是最微小的人工作業，也可能演變成昂貴、不能擴展和非即時性的服務。因此亞馬遜把自動化、演算法和科技架構，視為改變遊戲規則平台產業──包括電子書載具Kindle、第三方賣家、亞馬遜物流和雲端運算服務──的引擎。亞馬遜的業務平台催生、拓展了能力的良性循環，與亞馬遜的飛輪如出一轍。因此，如果你想了解亞馬遜對發明與簡化原則的看法，你需要先了解平台機會。</p> <p><strong>第三方平台</strong></p> <p>亞馬遜定下三大設計原則，對建立第三方線上商場業務非常重要：</p> <p>一、向客戶展示單一商品，並附上易於比較的同類型產品列表。我們把這項設計原則稱為「商品授權」（item authority）。為商品建立單一定義，讓亞馬遜在內的多位賣家提出報價，向客戶銷售這項產品。我們想要打造讓賣家相互競爭的商場，讓他們用對客戶有利的方式爭取訂單。</p> <p>二、讓客戶信賴第三方賣家，如同他們相信亞馬遜一樣。我們用多種方式實行「賣家信賴」的概念。</p> <p>三、提供精良的賣家工具，包括多樣的銷售方法和豐富的數據，協助商家在亞馬遜平台執行業務。小商家需要的是簡單的工具，但對複雜、銷量大的大型賣家，則應提供不同類型的整合工具。文件紀錄、營運指標、環境測試和專業服務夥伴皆應具備，協助賣家取得成功，同時維持亞馬遜的小型團隊規模。</p> <p>顯然這是一項雄心壯志的計畫，需要在第三方賣家和亞馬遜之間進行高度複雜的整合。我很清楚亞馬遜沒有充足的人力，我們必須讓第三方賣家能自我協助。為了維持客戶的高信賴度，我們得提供賣家簡單使用、高度直覺的工具，還有能夠以某種方式篩選出不良賣家的系統。</p> <p>我們很快就發現實現這一切的唯一方法，就是藉助外部人力處理單一詳細頁面。很幸運地，為擴大自助服務平台業務規模的計畫能得到貝佐斯微笑首肯。他最欣賞的技術之一是設立強制功能（forcing function），這是促使達成想要的成果卻不必管理所有細節的一組指引、限制或承諾。強制功能是亞馬遜推動策略或形成變革時強而有力的技術。</p> <p>「直接員工」和「間接員工」的概念可用來解釋強制功能。</p> <p>特定專案的直接員工通常包括：系統開發工程師、技術專案經理和負責洽談合約的人員，例如供應商管理經理。貝佐斯認為這些成員是建立可擴大規模公司的必要技能。所有其他不會直接創造更好客戶體驗的人員，則被視為間接員工。在強制功能之下，聘用直接人員相當容易獲得批准，但招聘間接人員則會受到限制，而且必須證明人數會隨著業務規模縮小而減少。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>堅持高標原則</strong></span></span></p> <p>亞馬遜領導力原則最重要的一點是，多數原則反映亞馬遜對領導者的期望。亞馬遜的期望傳遞了細微、但強而有力的訊息，促使每位亞馬遜員工像領導者一樣思考和行事。當每個人一舉一動都像領導者時，便形成無止境追求超高標準的強制力量。</p> <p><strong>服務水準協議</strong></p> <p>隨著組織的規模日益提升，貝佐斯無法親自執行他的高績效標準，他開發工具和指標來達成這個角色。其中一個標準強制工具便是服務水準協議。服務水準協議是載明希望特定服務達到精確標準的合約。內容完善的服務水準協議明確規定：輸入、產出和衡量品質和績效是否過關的指標。在亞馬遜，服務水準協議是用來界定提供給外部與內部客戶的服務水準期望。</p> <p>亞馬遜完全不接受糟糕的客戶體驗，所以才定下標準超高的服務水準協議，也因此就算是在亞馬遜發生的最差體驗，與同業相比仍然是出類拔萃。當你勉強接受一般水準，便埋下了平庸的種子，這也是許多公司誤解服務水準協議之處。</p> <p>貝佐斯不厭其煩地讓團隊明白，就算是微小的服務缺失也非同小可。例如，亞馬遜有項指標顯示，網頁載入速度即便只慢○‧一秒，就可能讓客戶活動下降一％。有鑑於此，亞馬遜服務水準協議明確規定，網頁載入時間的最差表現必須控制在三秒內或更短。這些服務水準協議是經過深度談判所定奪的。每週的指標檢討有部分時間是在討論與了解，造成服務水準協議失敗的根本原因與補救辦法。</p> <p>最令人嘆為觀止的是亞馬遜為所有大小事設立服務水準協議，做到滴水不漏。例如，圖片上傳至顯示在網頁上的時間，第三方賣家的庫存從十個改到八個所需的時間。</p> <p>凡是能夠衡量的事情，亞馬遜便會為它設下極高的服務標準。</p> <p>致力於執行即時指標和服務水準協議，是亞馬遜最特殊之處之一。大多數公司沒有能力收集和管理接近即時的資料，無力堅持實施服務水準協議的工具和達成相關協議或投入心力實現服務水準協議。</p> <p>這麼做並不容易，但衡量工具是亞馬遜推出任何新計畫不可協商的規定。</p> <p>所以，貝佐斯和領導團隊總是能清楚掌握組織的狀況。如果你的績效數字不能反映貝佐斯的期望，不用說，你很快就會得到上級的關切。<strong>（本文摘錄整理自《亞馬遜領導力》，商業周刊提供）</strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/600_%E5%9C%961_%E4%BA%9E%E9%A6%AC%E9%81%9C%E9%A0%98%E5%B0%8E%E5%8A%9B_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%95%86%E6%A5%AD%E5%91%A8%E5%88%8A.png" style="width: 600px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 書名 </span></strong></span> <strong>亞馬遜領導力：亞馬遜14條最強管理與領導原則（THE AMAZON WAY）</strong></p> <p>約翰‧羅斯曼（John Rossman）／著；顏嘉南／譯</p> <p>商業周刊出版</p> <p>定價：380元</p> <p><a href="https://rossmanpartners.com/our-team/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/250_%E4%BA%9E%E9%A6%AC%E9%81%9C%E9%A0%98%E5%B0%8E%E5%8A%9B_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_the-amazon-way.png" style="width: 150px;" /></a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><strong>約翰‧羅斯曼（John Rossman）</strong></p> <p>曾位居亞馬遜的高階管理者，擔任商家整合總監（Director of Merchant Integration）期間，創建並擴展了第三方賣家：亞馬遜商城（Amazon marketplace business）業務，此業務如今占亞馬遜所有出貨單位的50%以上。此外，他還領導亞馬遜的企業服務業務，負責頂級品牌的合作。</p> <p>後成為奧邁企業顧問公司（Alvarez & Marsal）合夥人兼總經理，協助企業開發和執行創新商業模式、技術策略和營運改善，客戶遍及《財富》（Fortune）五百大企業中的高科技、慈善和零售等產業。</p> <p>現職為羅斯曼夥伴諮詢公司（Rossman Partners）負責人，專注於幫助客戶創新與成長。<span style="font-size:14px;"><a href="https://rossmanpartners.com/our-team/" target="_blank"><span style="color:#696969;">圖片來源／theamazonway.com</span></a></span></p> </div></div></div>
2025/2/14 16:23未署名https://www.ithome.com.tw/article/167377
第一銀行數據分析雲端平臺正式上線，未來還要建立數據湖平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>第一銀行近期揭露，因應金融機構上雲政策，他們建置了數據分析雲端平臺，並在今年2月正式上線。</p> <p>第一銀行表示，這套平臺第一階段將先聚焦在分析開放資料，且未來會規畫運用無伺服器運算服務來蒐集公開資料。</p> <p>到了第二階段，第一銀行表示，他們會逐步完善雲地同步機制，並整合內部和外部資料，建立完整的數據湖平臺，為AI驅動和數據決策的目標建立基礎。</p> <p>第一銀行表示，早在2022年，他們就運用雲端廠商提供的CDN服務，提升公開網站對外反應速度和使用者體驗。未來，他們也將規畫應用生成式AI基礎模型託管服務，來建立LLM實驗環境，探索AI代理在業務流程優畫或提供金融創新服務的可能性。</p> <p></p> <p>第一銀行曾在2023年揭露「2025數位轉型策略」，他們不僅要在AI智慧驅動、協作共創和數位敏捷力等議題持續投入人力培育，以提升數位成熟度，及數位產品的市佔率，更要開始全面地將數位轉型規模做大做深，讓每個單位和員工，都能以客戶需求為導向，應用科技推出商品和服務。</p> </div></div></div>
2025/2/14 16:03作者李昀璇https://www.ithome.com.tw/news/167378
Palo Alto Networks修補防火牆作業系統身分驗證繞過漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2月13日資安業者Palo Alto Networks<a href="https://securityadvisories.paloaltonetworks.com/CVE-2025-0108">發布資安公告</a>，公布存在於網頁管理介面的高風險身分驗證繞過漏洞CVE-2025-0108，未經授權的攻擊者能藉由防火牆作業系統PAN-OS的網頁管理介面，並搭配特定的PHP指令碼，繞過部分驗證流程，影響執行10.1至11.2版PAN-OS的防火牆，CVSS風險為7.8。值得留意的是，通報此事的研究人員指出，已出現這個零時差漏洞被利用的跡象。</p> <p>對此，該公司發布11.2.4-h4、11.1.6-h1、10.2.13-h3、10.1.14-h9版更新修補，雲端版防火牆Cloud NGFW、安全服務邊緣系統Prisma Access不受影響。</p> <p>關於這項漏洞可能造成的危險，Palo Alto Networks指出，前述用來觸發漏洞的PHP指令碼無法讓攻擊者遠端執行任意程式碼（RCE），但會顯著影響防火牆作業系統的完整性及機密性。對此，該公司呼籲用戶遵循最佳實作部署的指引，將網頁管理介面的存取管道，限縮為只能透過受到信任的內部IP位址存取，漏洞的危險程度可因此降為5.1分。</p> <p>值得留意的是，雖然Palo Alto Networks強調他們並未察覺漏洞遭到利用的跡象，但通報此事的Searchlight Cyber資安研究員Adam Kues表示，<a href="https://slcyber.io/blog/nginx-apache-path-confusion-to-auth-bypass-in-pan-os/">他們偵測這項弱點已被用於實際攻擊行動</a>，發生的原因與Nginx及Apache元件的路徑混淆有關，由於兩者之間處理傳入的請求存在差異，而有機會造成路徑穿越的現象。</p> </div></div></div>
2025/2/14 11:15作者周峻佑https://www.ithome.com.tw/news/167368