iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 09:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【資安日報】3月3日，駭客組織假冒國稅局的名義，針對臺灣企業散布惡意軟體Winos 4.0
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年惡意軟體Winos 4.0傳出多起資安事故，駭客主要的攻擊目標是中國用戶，但今年出現專門針對臺灣而來的攻擊行動，企業組織要提高警覺。</p> <p>這波攻擊行動駭客冒充財政部，聲稱要對收件人進行查稅，實際上，卻是從事網路釣魚攻擊，而且，駭客在電子郵件特別要求將信件轉傳給財務主管，因此，攻擊者很有可能刻意將這樣的釣魚信寄給基層員工，借刀殺人。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167619"><strong style="font-size: 22px;">臺灣企業收到聲稱抽查稅務的電子郵件請小心！駭客組織假冒國稅局散布惡意軟體Winos 4.0</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/fig03-winos-4-0-fortinet-threat-research.jpeg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig03-winos-4-0-fortinet-threat-research.jpeg" style="width: 300px; float: right;" /></a></p> <p>去年11月惡意程式Winos 4.0鎖定中國遊戲玩家進行散播，當時揭露此事的資安業者Fortinet追蹤後續發展，2月底他們警告這款惡意程式近期將攻擊目標轉向臺灣。</p> <p>對於這波攻擊行動發生的經過，Fortinet發現今年1月攻擊者假借國稅局的名義寄送釣魚信，並以抽查稅務為由，要求收信人將資料轉送給公司的財務主管。這封釣魚信挾帶了PDF檔案，內容冒充財政部稅務稽查公文進行隨機抽查，要求財務人員依照指示點選連結，下載要受稽查的企業名冊，一旦照做，電腦就會下載ZIP壓縮檔，並依照特定順序執行內含的檔案。</p> <p>值得一提的是，攻擊者防範被沙箱偵測的方法，是每隔兩秒截取螢幕畫面，然後比對兩個截圖的相素，若是確認有超過2萬個像素不同，表示是真實使用者在進行操作，才會繼續相關攻擊，否則惡意程式就會繼續拍攝螢幕畫面。</p> <p><a href="https://www.ithome.com.tw/news/167623"><strong style="font-size: 22px;">惡意軟體Vo1d鎖定智慧電視而來，全球160萬臺電視遭到入侵</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/vo1d_15day-2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/vo1d_15day-2.png" style="width: 300px; float: right;" /></a></p> <p>根據美國新聞媒體的報導，2月24日美國住房及城市發展部（HUD）位於華盛頓特區總部的電視上出現由AI產生的影片，內容是美國總統川普彎腰親吻馬斯克腳趾，員工無法直接關掉影片，只能拔除電視電源因應。對此，有中國資安業者認為很有可能是殭屍網路Vo1d造成。</p> <p>這個現象的揭露，源自奇安信X實驗室資安研究員Alex.Turing、Acey9、Wang Hao、Heziqian聯名發表的公司部落格文章，他們表示，從去年11月底看到新一波攻擊行動，有人散布名為jddx的ELF檔案，惡意程式分析平臺VirusTotal的防毒引擎皆將其視為無害，奇安信初步利用AI檢測工具進行分析之後，看到此檔案具有殭屍網路Bigpanzi的部分特徵，經過深入調查之後，他們發現jddx實際上是Vo1d的變種，這代表該殭屍網路已出現新一波的攻擊行動。</p> <p>而且，這波攻擊行動已感染全球超過160萬臺執行安卓作業系統的智慧電視，範圍涵蓋超過200個國家及地區。他們一共找到89個Vo1d的檔案、21個C2網域名稱、258個DGA種子、逾10萬個DGA網域名稱，攻擊行動在1月中旬達到高峰，連續1個星期每天活動的IP位址數量超過150萬個。</p> <p><strong style="font-size: 22px;">友輝光電、新織實業資訊系統遭遇網路攻擊</strong></p> <p>2月27日傍晚<a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=165943&SPOKE_DATE=20250227&COMPANY_ID=4933">液晶螢幕聚光片業者友輝光電</a>、<a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=2&SPOKE_TIME=163448&SPOKE_DATE=20250227&COMPANY_ID=1409">紡織業者新纖實業</a>於股市公開觀測站發布重大訊息，指出資訊系統遭到網路攻擊的情況，事發當下他們立即啟動相關防禦機制因應。</p> <p>而對於資安事故對公司營運可能會帶來的衝擊，兩家公司皆表示，根據他們的初步評估，對於公司營運無重大影響，也沒有個資或內部文件外洩的情況發生。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/02/polaredge-botnet-exploits-cisco-and.html">殭屍網路PolarEdge綁架華碩、威聯通、群輝網路設備</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/02/new-tgtoxic-banking-trojan-variant.html">金融木馬TgToxic迴避偵測手法翻新，透過論壇隱匿C2蹤跡</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/encrypthub-breaches-618-orgs-to-deploy-infostealers-ransomware/">隸屬於RansomHub、BlackSuit旗下駭客團體攻入超過600家企業組織，透過遠端管理工具植入竊資軟體、勒索軟體</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/belgium-probes-chinese-hack-behind-intelligence-service-breach/">比利時軍情單位傳出遭中國駭客入侵，疑為利用Barracuda郵件安全閘道零時差漏洞下手</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/serbian-police-used-cellebrite-zero-day-hack-to-unlock-android-phones/">塞爾維亞警方尋求鑑識公司協助，利用零時差漏洞解鎖安卓手機</a></strong></p> <p></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167596"><strong style="font-size: 22px;">數發部揭露2025打詐工作目標，將著重查核業者身份及驗證合規</strong></a></p> <p>數位發展部部長黃彥男去年5月20日走馬上任，提出「數位經濟三支箭」策略，但在立法院大幅刪減預算的情況下，數發部的施政方向是否有所調整？黃彥男表示這些目標並未改變。其中，因應網路詐騙行為日益猖獗，政府必須積極採取措施，強化打詐、防詐和阻詐，確保數位環境的安全與信任。</p> <p>至於2025年的打詐工作重點，黃彥男認為，數位發展部將著重於查核業者身份及驗證合規性，也會輔導業者制定並提交防詐計畫，並持續檢討業者防詐措施的有效性。</p> <p>在產業層面，2024年數發部積極推動「鷹眼識詐聯盟」，聯合35家金融機構開發偽冒網站偵測及終端設備AI特徵辨識技術，共同打擊網路詐騙，到了2025年，黃彥男表示，計畫將聯防成效進一步提升，同時整合第三方支付業者超商條碼資訊，新增涉詐客戶通報功能。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/167607"><strong>【2月27日】後門程式Auto-Color針對北美和亞洲而來，攻擊政府機關及大學</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167585"><strong>【2月26日】郵件傳輸代理平臺Exim修補高風險層級的SQL注入漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167548"><strong>【2月25日】臺澎三號海纜發生全斷事故，疑為具有中國背景的貨輪拖斷造成</strong></a></p> </div></div></div>
2025/3/3 17:48作者周峻佑https://www.ithome.com.tw/news/167624
搭配輝達H200與H100 NVL GPU，思科新8GPU伺服器登場
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/cisco_ucs_c845a_m8_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>睽違已久，思科終於再度推出搭配大量GPU的UCS系列伺服器機型！上次我們接觸到採用這類組態的思科產品，是2018年9月推出的<a href="https://www.ithome.com.tw/review/128577">UCS C480 ML M5</a>，在今年2月11日舉行的歐洲年度用戶大會Cisco Live Amsterdam，思科發表UCS C845A M8，預計第三季初期開始出貨，5月開放訂購。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-02-12-C845A%20M8-Cisco%20Live%20Announcements.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/C845A-2025-02-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/C845A-2025-02-1.jpg" style="width: 600px;" /></a></p> <p>該款機型的設計，是基於Nvidia推動的<a href="https://www.ithome.com.tw/tags/nvidia-mgx">模組化硬體參考架構MGX</a>而成，<a href="https://www.nvidia.com/zh-tw/data-center/products/mgx/">能夠支援多種使用情境</a>，具有支援下一代GPU、改善電力傳送、纜線路徑配置，以及印刷電路板（PCB）使用量更少等效益，提升機箱內部氣流與散熱管理能力。而在本機硬碟儲存的部分，這臺伺服器也相當特別，是UCS系列率先搭配E1.S外形NVMe固態硬碟的機型，機箱前端可安裝20臺這種尺寸的固態硬碟。</p> <p>思科運算策略資深總監<a href="https://youtu.be/M8wyrWeWk6s?si=asKKFx3zoiPj4ref">Jason McGee在Tech Field Day的產品介紹活動當中</a>，具體揭露他們導入MGX設計架構的心得。他強調，相較於其他採用MGX架構的伺服器廠商，思科自認能做得更好，例如：多數MGX伺服器會將電源供應器放置在整臺機箱的一側，此舉可能導致產品難以通過跌落測試，思科則是將電源供應器水平地放置在機箱底部，而能通過上述測試，而且，這對企業運算用戶而言，已是行之有年的必要標準；另一個是硬體元件的簡易拆裝（可維護性），通常在MGX的設計架構當中，若要從伺服器機箱當中拆卸GPU，需要處理38個至40個螺絲，思科可做到1個螺絲搞定這個作業需求。</p> <p>單就加速運算組態而言，UCS C845A M8能夠安裝2到8張輝達PCIe介面GPU加速卡，可搭配H200 NVL、<a href="https://www.ithome.com.tw/taxonomy/term/39027/all">H100 NVL</a>、<a href="https://www.ithome.com.tw/review/161433">L40S</a>這三款產品。而在I/O擴充介面的部分，UCS C845A M8主要用來設置智慧型網路卡與資料處理器加速卡，藉此處理GPU伺服器的資料進出流量，目前整臺機箱能夠安裝5張全高半長外形的PCIe介面卡，其中1張負責南北向的網路流量，可搭配<a href="https://www.ithome.com.tw/review/149714">ConnectX-7</a>或<a href="https://www.ithome.com.tw/review/156209">BlueFiled-3</a> B3220 DPU、BlueField-3 B3240 DPU，其餘4張負責東西向的網路流量，可搭配ConnectX-7或BlueField-3 B3140H SuperNIC。</p> <p>除了目前已知支援Nvidia的三款資料中心GPU，Jason McGee在簡報將它們列為首批客戶出貨（FCS）的選項，也預告UCS C845A M8未來將支援其他GPU（<a href="https://www.ithome.com.tw/review/150211">AMD Instinct MI210</a>）或AI加速器（<a href="https://www.ithome.com.tw/review/162428">Intel Gaudi3</a>）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/C845A-2025-02-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/C845A-2025-02-2.jpg" style="width: 600px;" /></a></p> <p>值得注意的是，若是UCS C845A M8配備H200 NVL、H100 NVL這兩款GPU加速卡，將隨附企業AI軟體套餐Nvidia AI Enterprise的5年使用授權。運用這套軟體平臺，企業與組織可加速開發與部署用於正式場合的AI解決方案，包含AI代理人、生成式AI、電腦視覺、語音AI，當中提供容易使用的微服務、幫助AI模型達到最佳化效能，以及企業級資安防護、技術支援能力與穩定度，確保企業AI能從開發原型過渡到正式上線服役，而能在AI之上推動業務。</p> <p>關於中央處理器的配置上，UCS C845A M8採用2顆<a href="https://www.ithome.com.tw/news/165430">代號為Turin的AMD第五代EPYC系列</a>，目前可選用高階款式，像是96核心的9655、64核心的9575F，或48核心的9475F，均使用氣冷散熱（前兩款的熱設計功耗為400瓦，另一款為360瓦）。</p> <p>而在伺服器系統的整體管理上，UCS C845A M8也如同UCS系列的機架與刀鋒伺服器，企業可運用思科營運的雲端集中管理平臺Intersight，針對思科旗下伺服器產品的運算、儲存、網路基礎架構，執行狀態檢視、控制與自動化作業。</p> <p><a href="https://s4.itho.me/sites/default/files/images/C845A-2025-02-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/C845A-2025-02-3.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><span style="color:#0000FF;"><strong>Cisco UCS C845A M8</strong></span><br /> ●原廠：Cisco<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：4U<br /> ●處理器：2顆，AMD第五代EPYC系列（9655、9575F、9475F）<br /> ●記憶體：32個DDR5-4400插槽<br /> ●儲存配置：20臺E1.S外形NVMe固態硬碟+2臺M.2 SATA SSD<br /> ●GPU加速卡：8張Nvidia H200 NVL或H100 NVL或L40S<br /> ●I/O擴充介面：5張PCIe 5.0 x16全高半長介面卡（1張負責南北向流量、4張負責東西向流量）<br /> ●電源供應器：4臺3200瓦（N+1備援）<br /> ●網路埠：2個10GbE埠（OCP 3.0外形Intel X710-DA2）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/3/3 19:10作者李宗翰https://www.ithome.com.tw/review/167609
惡意軟體Vo1d鎖定智慧電視而來，全球160萬臺電視遭到入侵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據<a href="https://www.nbcnews.com/politics/doge/fake-video-trump-kissing-musks-feet-displayed-hud-office-washington-rcna193503">美國新聞媒體的報導</a>，2月24日美國住房及城市發展部（HUD）位於華盛頓特區總部的電視上出現由AI產生的影片，內容是美國總統川普彎腰親吻馬斯克腳趾，員工無法直接關掉影片，只能拔除電視電源因應。對此，<a href="https://blog.xlab.qianxin.com/long-live-the-vo1d_botnet/">有中國資安業者</a>認為很有可能是殭屍網路Vo1d造成。</p> <p>這個現象的揭露，源自奇安信X實驗室資安研究員Alex.Turing、Acey9、Wang Hao、Heziqian聯名發表的公司部落格文章，他們表示，從去年11月底看到新一波攻擊行動，有人散布名為jddx的ELF檔案，惡意程式分析平臺VirusTotal的防毒引擎皆將其視為無害，奇安信初步利用AI檢測工具進行分析之後，看到此檔案具有殭屍網路Bigpanzi的部分特徵，經過深入調查之後，他們發現jddx實際上是Vo1d的變種，這代表該殭屍網路已出現新一波的攻擊行動。</p> <p>而且，這波攻擊行動已感染全球超過160萬臺執行安卓作業系統的智慧電視，範圍涵蓋超過200個國家及地區。他們一共找到89個Vo1d的檔案、21個C2網域名稱、258個DGA種子、逾10萬個DGA網域名稱，攻擊行動在1月中旬達到高峰，連續1個星期每天活動的IP位址數量超過150萬個。</p> <p>從受害電視分布的地區來看，巴西最嚴重，占比逼近四分之一（24.97%），南美洲、印尼居次，分別有13.6%、10.54%。</p> <p>相較於<a href="https://www.ithome.com.tw/news/165034">防毒業者Dr. Web去年9月揭露的Vo1d</a>，奇安信指出這次的殭屍網路病毒行蹤更難發現，因為，駭客投放有效酬載時，都使用專屬的下載工具，並用變造的XXTEA演算法對有效酬載執行加密處理；再者，則是透過兩種不同形式的重新導向手法，隱匿C2的真實位置。另一方面，此殭屍網路的網路通訊使用RSA演算法加密處理，而這麼做不只讓資料傳輸更加隱密，也使得資安研究員與執法人員難以接管殭屍網路，因為就算他們註冊用於DGA演算法的C2網域，也無法奪下惡意網路。</p> <p>究竟駭客如何利用Vo1d牟利？奇安信今年初發現，歹徒利用受感染的智慧電視架設非法代理伺服器業務、從事廣告詐欺，以及產生假的廣告觀看流量。</p> <p>關於大量智慧電視設備遭到惡意程式感染而被殭屍網路綁架的原因，研究人員特別提及部分設備製造商與網路犯罪圈之間，有業務往來，會在電視出廠時，將惡意元件預載進去；再者，則是有些使用者可能為了取得免費的影音內容，下載破解版軟體、第三方應用程式，甚至是部署非官方韌體，而讓惡意軟體有機可乘。</p> <p>對於Vo1d這個殭屍網路的來歷，也令人好奇，上面提到的jddx居然也具備其他殭屍網路的特徵，這樣的現象並不尋常。對此，奇安信認為Vo1d與Bigpanzi兩個殭屍網路可能存在更深厚的關聯，原因是兩者規模都相當龐大，皆為綁架超過百萬臺裝置的殭屍網路，再者，駭客都使用相同的字串解密演算法，這樣的巧合並非偶然。研究人員推測，兩個殭屍網路很有可能共享程式碼基礎（Codebase）、開發資源，甚至背後經營的團體隸屬相同的駭客組織旗下。</p> </div></div></div>
2025/3/3 16:55作者周峻佑https://www.ithome.com.tw/news/167623
第一個.NET 10預覽版登場，重點鎖定C#最佳化、效能提升與跨平臺強化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟於發布了<a href="https://devblogs.microsoft.com/dotnet/dotnet-10-preview-1/">.NET 10第一個預覽版</a>，帶來多項語言與執行環境的改進，涵蓋C#語法增強、效能最佳化，以及Blazor和.NET MAUI的強化。這次更新不僅提升開發體驗，也進一步強化.NET在跨平臺與雲端應用的競爭力。</p> <p>在C#部分，這次更新帶來數個語法層級的強化，讓程式碼更簡潔且易於維護。nameof現在可用於未綁定的泛型，讓泛型類別或方法內部的參照更加直覺，而隱式span轉換則進一步簡化Span<T>和ReadOnlySpan<T>的使用方式，減少不必要的顯式轉換，提高記憶體管理效率。此外，首次加入欄位支援屬性（Field-backed Properties），讓開發者能以更簡潔的方式定義具有內部儲存欄位的屬性，在維持可讀性的同時，減少樣板程式碼的撰寫。</p> <p>效能層面，.NET 10針對執行階段進行多項最佳化，包括陣列介面方法去虛擬化（Array Interface Method Devirtualization），讓JIT編譯器能夠更有效率地執行常見的陣列操作，將陣列實作的介面方法從虛擬呼叫轉換為直接呼叫，減少額外的計算成本開銷。此外，.NET 10進一步擴展值型別陣列的堆疊分配（Stack Allocation of Arrays of Value Types），在符合條件的情境下，JIT現在可以將小型、固定大小且不包含垃圾回收指標的值型別陣列直接分配在堆疊，而非堆記憶體，降低垃圾回收壓力，進一步提升應用程式的執行效能。同時這次版本也支援AVX10.2，讓.NET應用可以在支援的硬體架構上，充分運用最新的向量運算能力，提升數值計算與科學運算的效能。</p> <p>在網頁應用開發方面，.NET 10的ASP.NET Core與Blazor也迎來多項改進，最受矚目的更新之一是對OpenAPI 3.1的支援，使API開發符合最新的標準規範，提升與各種REST API生態系的相容性。Blazor則在開發體驗方面有多項改善，例如RouteAttribute現在支援語法突出顯示，讓路由設定更清晰可讀，而QuickGrid也新增RowClass參數，讓開發者能夠更靈活地調整UI樣式。此外，Blazor的JavaScript互通性進一步強化，支援將Blazor腳本視為靜態網頁資產，減少外部依賴，提高應用的可移植性與載入效能。</p> <p>跨平臺開發也是這次.NET 10更新的重點，特別是在.NET MAUI的強化上，iOS和Mac Catalyst的CollectionView進行多項效能與穩定性調整，讓UI操作更順暢。在Android開發方面，.NET 10開始支援Android 16，並調整最低支援API的建議版本。此外，這次更新也加入對JDK 21的支援，讓開發者可以使用最新的Java環境編譯Android應用，同時dotnet run也已支援Android專案，簡化開發流程，減少額外的組建步驟。</p> <p>Entity Framework Core也在這次版本中迎來數個實用的新功能，.NET 10正式支援LeftJoin運算子，讓LINQ查詢的可讀性與效能獲得進一步提升，而ExecuteUpdateAsync也開始支援一般的Lambda運算式，使開發者可以更直覺地操作資料庫，減少對表示式樹（Expression Trees）的依賴，提升程式碼的可維護性。</p> </div></div></div>
2025/3/3 16:51作者李建興https://www.ithome.com.tw/news/167621
臺灣企業收到聲稱抽查稅務的電子郵件請小心！駭客組織假冒國稅局散布惡意軟體Winos 4.0
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年11月惡意程式<a href="https://www.ithome.com.tw/tags/winos-40">Winos 4.0</a>鎖定中國遊戲玩家<a href="http://www.ithome.com.tw/news/165897">進行散播</a>，當時揭露此事的資安業者Fortinet追蹤後續發展，2月底他們警告這款惡意程式<a href="https://www.fortinet.com/blog/threat-research/winos-spreads-via-impersonation-of-official-email-to-target-users-in-taiwan">近期將攻擊目標轉向臺灣</a>。</p> <p>對於這波攻擊行動發生的經過，Fortinet發現今年1月攻擊者假借國稅局的名義寄送釣魚信，並以抽查稅務為由，要求收信人將資料轉送給公司的財務主管。</p> <p>這封釣魚信挾帶了PDF檔案，內容冒充財政部稅務稽查公文進行隨機抽查，要求財務人員依照指示點選連結，下載要受稽查的企業名冊，一旦照做，電腦就會下載ZIP壓縮檔，並依照特定順序執行內含的檔案。</p> <p>攻擊者首先執行20250109.exe，此為載入電腦螢幕錄製工具ApowerREC主程式的工具，但駭客在攻擊過程將其用於載入冒牌的ApowerREC.exe，用來呼叫lastbld2Base.dll的功能。此惡意程式庫便會解開特定的資料，目的是取得下個階段的Shell Code。</p> <p>值得一提的是，攻擊者防範被沙箱偵測的方法，是每隔兩秒截取螢幕畫面，然後比對兩個截圖的相素，若是確認有超過2萬個像素不同，表示是真實使用者在進行操作，才會繼續相關攻擊，否則惡意程式就會繼續拍攝螢幕畫面。Pei Han Liao提及，有部分受害電腦比對接近1個小時。</p> <p>通過上述的防偵測機制後，駭客接著從C2伺服器下載經加密處理的Shell Code檔案，以及Winos 4.0的模組，而此Shell Code會再從伺服器取得另一個DLL檔案「登录模块.dll」，此檔案會產生8個處理程序，分別用來拍攝螢幕截圖、側錄鍵盤輸入內容、竄改剪貼簿內容、監控USB裝置、執行Shell Code、讀取登錄檔、迴避防毒軟體偵測，以及用來取得權限和清除可能影響惡意程式運作的組態。</p> <p>在作案工具的部分，Fortinet也查獲這波行動還有另一條散布Winos 4.0的攻擊鏈，攻擊者同樣要求收信人點選附件的PDF檔案，但透過連結存取的ZIP檔則會啟動Python指令碼「查看10.exe」，於受害電腦載入惡意程式庫Python311.dll，此DLL檔案會解出Shell Code，並取得另一個DLL檔案，於電腦投放偽裝成JPG圖檔的Shell Code，然後寫入系統機碼並執行，最終執行惡意DLL檔案「上线模块.dll」連向惡意網域。</p> </div></div></div>
2025/3/3 15:41作者周峻佑https://www.ithome.com.tw/news/167619
去年有近8成的網路入侵行動不再仰賴惡意程式，語音網路釣魚成為主力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者CrowdStrike上周發布2025年的<a href="https://www.crowdstrike.com/explore/2025-global-threat-report" target="_blank">全球威脅報告</a>（2025 Global Threat Report），揭露2024年的全球網路攻擊趨勢，發現有高達79%的攻擊行動已不再仰賴惡意程式，駭客成功入侵的平均時間縮短至48分鐘，去年下半年的語音網釣攻擊成長442%，而且來自中國駭客的攻擊行動增加了150%。</p> <p>在2019年時，惡意軟體還是駭客入侵系統的主要途徑，非惡意軟體（Malware-free）攻擊只占了40%，5年後，於2024年的調查中發現，Malware-free攻擊比重成長至49%，駭客更傾向於藉由竊取身分與憑證、利用合法軟體、攻擊安全漏洞，或者是社交攻擊來滲透目標對象。</p> <p>此外，去年在駭客滲透目標對象之後，開始於系統內橫向移動至擴散到關鍵資產所需的平均突破時間為48分鐘，明顯快過2023年的62分鐘，顯示駭客正在不斷強化攻擊效率，且在去年所發現的最快突破時間只有51秒，意謂著被攻擊的受害者幾乎來不及防禦。</p> <p>CrowdStrike認為，這意謂著駭客採用了更多的自動化攻擊手法，組織應該要能夠於1分鐘之內偵測及阻止攻擊，突顯了即時威脅偵測、身分及存取控制，以及主動性威脅獵捕的必要性。</p> <p>既能載舟也能覆舟的AI工具亦於2024年大放異彩。駭客利用大型語言模型（LLM）來生成網釣訊息，發送大量的垃圾郵件，並主動打電話或是等受害者回撥，企圖說服受害者下載惡意程式，建立遠端支援會話，或是於網釣頁面上輸入憑證，在大多數的情況下，駭客都是冒充IT支援人員，以解決連線或安全問題作為打電話的藉口。</p> <p>根據CrowdStrike的統計，去年上半年每月最多只有發現20起語音網釣（Voice Phishing，Vishing）攻擊，到了下半年動輒達到50起以上，比上半年增加了442%。與其它的社交工程技術一樣，Vishing針對的是人類的弱點與錯誤，且其惡意行為可能直到入侵後期才會被偵測到。</p> <p>此外，駭客在去年2月利用受害者企業執行長與其它員工的公開鏡頭製作了Deepfake影片，再利用社交工程手法讓受害者移轉了2,560萬美元；也有駭客在去年5月透過生成式AI複製了企業執行長的聲音，企圖說服受害者移轉資金。</p> <p>外界對於AI的表現是否勝過人類的看法仍莫衷一是，但去年一項攸關網釣郵件點擊率的調查發現，由LLM生成的網釣郵件點擊率高達54%，明顯高過人類撰寫的12%。</p> <p>去年來自中國的攻擊行動增加了150%，而針對關鍵領域的攻擊行動則增加200%以上，像是金融服務業、媒體業、製造業，以及工業工程領域等。</p> <p>CrowdStrike在2024年發現了26個新的駭客組織，使其追蹤總數達到257個。</p> </div></div></div>
2025/3/3 16:15作者陳曉莉https://www.ithome.com.tw/news/167620
川普把比特幣、以太幣、XRP、Solana及Cardano納入美國戰略性加密貨幣儲備
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國總統川普（Donald Trump）周日（3/2）透過自家社交平臺Truth Social<a href="https://truthsocial.com/@realDonaldTrump/posts/114093946326587357" target="_blank">宣布</a>，將把加密貨幣納入美國的戰略儲備，包括比特幣（BTC）、以太幣（ETH）、瑞波幣（XRP）、Solana幣（SOL），以及艾達幣（Cardano，ADA），消息一出，相關幣別的價格全都有超過兩位數的成長。</p> <p>推動加密貨幣是川普的總統大選政見之一，當時川普宣稱自己是加密貨幣的擁護者，將大力支持加密貨幣產業，累積美國的比特幣儲備，讓美國成為地球的加密貨幣之都，自己則是加密貨幣總統。在川普當選之前，一枚比特幣的價格約是7萬美元，日前則維持在8.5萬美元左右，周日的發表一次將比特幣價格拉抬至9.3萬美元。</p> <p>美國的戰略儲備指的是美國政府儲備特定資源以應對突發事件、經濟危機或國家安全需求，涵蓋多種關鍵資源，諸如能源、金屬、農產品、金融資產與國防儲備等，此一宣布代表加密貨幣將成為美國新的戰略儲備類別。</p> <p>川普表示，在遭到拜登（Joe Biden）政府多年的打壓之後，他將透過數位資產（Digital Assets）行政命令指示總統工作小組推動加密貨幣戰略儲備，提升此一關鍵產業，確保美國成為世界加密之都（Crypto Capital of the World）。</p> <p>川普反對政府控制金融系統，並不贊成美聯儲發行數位美元，反而傾向擁護自由派的加密貨幣，在加密貨幣成為美國的戰略儲備資產後，可望提升加密貨幣的合法性與可信度，但同時也會衍生新的法律與監管問題。</p> <p>其實加密貨幣早在川普當選後就迎來一波上漲趨勢，但川普發布聲明的12小時內，除了比特幣漲了10%之外，以太幣也從2,200美元漲至2,500美元，瑞波幣自2.25美元漲至2.8美元，Solana幣從142美元漲至175美元，艾達幣亦從0.65美元直接飆升到1.1美元。</p> </div></div></div>
2025/3/3 14:04作者陳曉莉https://www.ithome.com.tw/news/167618
OpenAI計畫將Sora推向ChatGPT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Techcrunch<a href="https://techcrunch.com/2025/02/28/openai-plans-to-bring-soras-video-generator-to-chatgpt/" target="_blank">報導</a>，OpenAI計畫可以在ChatGPT聊天機器人執行影片生成服務。</p> <p>報導引述OpenAI產品主管Rohan Sahai上周在Discord說，該公司計畫未來整合ChatGPT和Sora，讓用戶可直接在ChatGPT使用Sora，以及Sora提供影像生成的服務範疇。但他拒絕提供時間表。</p> <p>Sora去年12月<a href="https://www.ithome.com.tw/news/166426" target="_blank">上線</a>時，只能透過專屬網頁提供給付費方案Pro和Plus用戶使用。網頁版可以生成、編輯影片及接合個別影片。但OpenAI表示，整合在ChatGPT聊天機器人的Sora服務能力可能會較受限，無法編輯和接合影片。</p> <p>或許OpenAI是為了回應xAI上周公布的<a href="https://www.ithome.com.tw/news/167453" target="_blank">Grok-3</a>服務、Google Gemini及Meta而加速擴展服務，Grok-3號稱地表最強大模型，也提供DeepSearch等不同思維能力的進階功能。Google則宣布影片生成模型<a href="https://www.ithome.com.tw/news/167538" target="_blank">Veo 2</a>正式上線，並找來Sora前主管打造更強大的<a href="https://www.ithome.com.tw/news/166840" target="_blank">實體世界模型</a>。而Meta的Movie Gen也將於今年直接<a href="https://www.ithome.com.tw/news/165349" target="_blank">整合到IG</a>。</p> <p>OpenAI上周才公布最強大的LLM <a href="https://www.ithome.com.tw/news/167613" target="_blank">GPT 4.5</a>，而執行長Sam Altman也<a href="https://www.ithome.com.tw/news/167339" target="_blank">預告</a>接下來將推出融合多模及推理思維能力的GPT-5。</p> </div></div></div>
2025/3/3 11:29作者林妍溱https://www.ithome.com.tw/news/167616
Firefox新條款允許Mozilla存取用戶輸入內容，社群質疑隱私保障
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Mozilla<a href="https://blog.mozilla.org/en/products/firefox/firefox-news/firefox-terms-of-use/">更新</a>Firefox使用條款，其中一項條文提及，Firefox用戶授權Mozilla處理輸入內容以執行瀏覽器功能，這項變更引發社群對於隱私保障的疑慮。條款並未具體說明輸入內容的範圍，而Mozilla也未明確解釋這是否涵蓋網址列、表單輸入或其他與使用者輸入行為相關的資料。此舉讓部分用戶擔心，Firefox是否仍然堅持過去強調的隱私保護原則，還是逐步向商業瀏覽器的資料收集模式靠攏。</p> <p>根據Mozilla公布的<a href="https://www.mozilla.org/en-US/privacy/firefox/">新版Firefox使用條款，</a>用戶必須同意授權Mozilla以用戶請求的方式處理輸入內容，並聲明這不代表Mozilla擁有用戶的輸入資料。然而，由於條文措辭模糊，部分開源社群成員與隱私倡議者認為，這可能意味著Mozilla在法律上取得存取、處理甚至轉發用戶輸入內容的權限，而這項授權機制是否會擴及人工智慧輔助輸入、搜尋建議或其他需要存取用戶輸入資料的功能，仍待官方進一步說明。</p> <p>這項變更與Mozilla長期以來的隱私立場形成對比。過去，Firefox一直以用戶優先作為核心價值，強調不追蹤、不收集個人識別資訊，並推動多項隱私強化功能，如Total Cookie Protection及Enhanced Tracking Protection。現在條款中卻出現授權Mozilla存取輸入內容的描述，讓部分用戶開始質疑Firefox的隱私保護承諾。</p> <p>除了隱私爭議，Firefox新條款的另一項變更是Mozilla保留隨時暫停或終止用戶存取權限的權利。條款中提到，Mozilla可基於任何理由停止特定用戶對Firefox的存取，並表示會嘗試透過電子郵件或其他方式通知用戶，但未詳細說明適用條件與程序。雖然Firefox本身仍維持開源模式，開發者可以自行編譯瀏覽器，但這項變更仍然引發討論，尤其在企業與政府機構內部，IT人員可能會開始重新評估Firefox是否仍然適合作為長期支援的選項。</p> <p>Mozilla尚未對這些條款的細節做出明確回應，僅強調新條款的目的是讓使用者更清楚自身權利，並確保Firefox的運作方式符合法規要求。根據<a href="https://gs.statcounter.com/">StatCounter 2025年2月全球瀏覽器市占率統計</a>，Google Chrome以66.29％的市占率穩居第一，Apple Safari則以18.01％排名第二，Microsoft Edge以5.33％位居第三。而Firefox目前僅剩2.63％的市占率，遠低於競爭對手。由於Firefox近年用戶數不斷萎縮，這次條款變更引發的爭議可能再進一步衝擊其市場表現，特別是對於長期關注隱私保護的核心用戶。</p> </div></div></div>
2025/3/3 12:08作者李建興https://www.ithome.com.tw/news/167617
Skype 5月退役，微軟未來專注開發Teams
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/en-us/microsoft-365/blog/2025/02/28/the-next-chapter-moving-from-skype-to-microsoft-teams/" target="_blank">微軟宣布</a>將於2025年5月5日逐漸汰除曾經獨霸訊息應用市場的Skype消費版，未來專注發展Teams。</p> <p>微軟解釋，為了簡化免費的消費者通訊應用產品、更能回應客戶需求，將在今年5月讓Skype退役，以便專注在現代通訊與協同中心平臺Microsoft Teams（free）。Teams具備Skype眾多功能，像是1對1或群組語音通話、傳訊及檔案分享。而且Teams還提供進階功能像是主持會議、管理行事曆，以及組織和加入社群。</p> <p>微軟強調數百萬人已經使用Teams作為協同中心，涵括企業、教育和家庭用戶。兩年以來，Teams消費用戶成長4倍。不過<a href="https://support.microsoft.com/zh-tw/skype/skype-%E5%8D%B3%E5%B0%87%E6%96%BC-2025-%E5%B9[…]%84%E4%BA%8B%E9%A0%85-2a7d2501-427f-485e-8be0-2068a9f90472" target="_blank">微軟說明</a>，這項變更不影響Skype商務用戶。</p> <p>伴隨退役Skype，微軟將開始讓Skype消費者用戶以原有帳號憑證登入Teams（free），即日起從同時擁有Teams和Skype帳號的Insiders測試方案用戶開始部署這項新措施。而以Skype帳號登入Teams後，聊天和聯絡人都會自動顯示在Teams App，可以直接接續上次在Skype的對話。而且在過渡期間，Teams和Skype用戶可以跨App互相通話和聊天。</p> <p>基於Skype的停用，微軟不再提供付費Skype功能給新用戶，包括可撥打及接聽國際國內電話的Skype Credit和訂閱。現有訂閱戶可持續直到下次更新期間結束（但根據<a href="https://support.microsoft.com/zh-tw/skype/skype-%E5%8D%B3%E5%B0%87%E6%96%BC-2025-%E5%B9[…]%84%E4%BA%8B%E9%A0%85-2a7d2501-427f-485e-8be0-2068a9f90472" target="_blank">臺灣微軟網頁</a>，臺灣用戶這項措施只提供到2025年4月3日）。剩餘的Skype Credit也能繼續使用。5月5日以後Skype Dial Pad（撥號鍵臺）仍可從Skype入口網頁和Teams繼續使用。同時，自2026年3月起，Skype通話分鐘方案將從Microsoft 365個人版及家用版移除。</p> <p>沒有Teams的新用戶可從Teams官網<a href="https://www.microsoft.com/microsoft-teams/free" target="_blank">下載安裝</a>Microsoft Teams App，再以Skype帳號密碼登入。微軟也製作了手把手的使用指導內容。</p> <p>不想轉到Teams的用戶可以匯出資料，包括聊天資料、聯絡人和通話紀錄。</p> </div></div></div>
2025/3/3 08:21作者林妍溱https://www.ithome.com.tw/news/167614
IBM完成64億美元收購HashiCorp
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在<a href="https://www.gov.uk/cma-cases/ibm-slash-hashicorp-merger-inquiry#full-publication-update-history" target="_blank">獲得</a>英國主管機關核准後，IBM<a href="https://newsroom.ibm.com/2025-02-27-ibm-completes-acquisition-of-hashicorp,-creates-comprehensive,-end-to-end-hybrid-cloud-platform" target="_blank">宣布</a>完成雲端基礎架構工具業者HashiCorp的收購。</p> <p>2012年創立的HashiCorp提供雲端管理工具，包括基礎架構自動化調用管理，或稱「基礎架構即程式碼」（IaC）工具Terraform、憑證管理與資料加密Vault、及服務管理工具Consul等。</p> <p>Terraform原本提供開源碼而擁有廣大社群，但2023年轉為非開源路線。然其廣大社群使其HashiCorp成為軟體巨擘收購目標。IBM稱，HashiCorp提供全球最大企業混合雲和多雲環境管理方案，全球客戶超過4,400家，包括財經媒體集團彭博、星巴克、摩根大通集團（J.P. Morgan Chase）、GitHub等，占了財星500大企業的85%。</p> <p>IBM<a href="https://www.ithome.com.tw/news/162514" target="_blank">去年</a>4月宣布以每股35美元，總價64億美元全現金收購這家公司。收購完成後，HashiCorp將成為IBM自動化雲端產品家族的一部份，成為IBM企業混合雲管理方案的最新成員，與RedHat、watsonx、資料安全及IT自動化、與諮詢顧問服務產生綜效。例如Terraform和Red Hat Ansible自動化平臺可支援多雲平臺上的服務自動化。HashiCorp的Vault和Red Hat OpenShift可提供混合雲環境的機密管理和安全，協助在混合雲部署IBM Z平臺應用。IBM承諾會投資持續開發HashiCorp。</p> </div></div></div>
2025/3/3 08:38作者林妍溱https://www.ithome.com.tw/news/167615
OpenAI公布迄今最大LLM GPT-4.5，費用是4o的30倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">OpenAI昨日<a href="https://x.com/OpenAI/status/1895201009871528282" target="_blank">公布</a>GPT-4.5研究預覽版推向ChatGPT，但價格也大幅調升，比GPT-4o貴30倍。</p> <p dir="ltr"><a href="https://openai.com/index/introducing-gpt-4-5/" target="_blank">GPT-4.5</a>是OpenAI最大知識最豐富的模型。OpenAI團隊以新的監督手法結合GPT-4o使用的傳統方法，如監督式微調（supervised fine-tuning，SFT）及人員回饋的強化式學習（reinforcement learning from human feedback）訓練而成。</p> <p dir="ltr">OpenAI團隊擴充了無監督學習及思維鏈推理方法。前者提升世界模型準確率，降低幻覺及提升關聯性思考。擴充思維鏈推理可提升模型處理STEM或邏輯問題的能力。其次OpenAI以新的對齊（alignment）技術，以小模型產生的資料來訓練大模型，提升GPT-4.5的可引導性（steerability）、理解細微差異及自然對話。GPT-4.5預訓練及後訓練資料涵括多種資料集，強化其口語對話能力和世界知識。此外，GPT-4.5也整合了預訓練和後訓練強化合規性、安全性，以及防範越獄或濫用行為。</p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/0228-GPT%204_5-benchmark-3.png" style="width: 600px;" /></p> <p dir="ltr"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／OpenAI</span></span></p> <p dir="ltr">以<a href="https://cdn.openai.com/gpt-4-5-system-card.pdf" target="_blank">能力</a>而言，GPT-4.5以GPT-4o為基礎，具128K context length，運算效率比GPT-4好10倍。它可以執行搜尋、上傳檔案和圖片，但不具語音模式、視覺及螢幕共享等多模態能力。OpenAI說，GPT-4.5比其STEM導向的推理模型（o3-mini）具更廣泛用途，適合創意性任務（如撰寫文章或程式）和代理人規劃。</p> <p dir="ltr">一如OpenAI執行長Sam Altman之前說明，GPT-4.5是該公司最後一個不具推理能力的模型，OpenAI<a href="https://cdn.openai.com/gpt-4-5-system-card-2272025.pdf" target="_blank">白皮書</a>說GPT-4.5「並不是尖端模型」；雖然GPT-4.5比起之前模型展現更豐富世界知識、提升寫作能力，以及更鮮明的個性，但是和之前的推理模型相較，並沒有加入全新能力。下一代模型GPT-5，將整合思維鏈及GPT家族的多模態能力，提供語音、工作區（canvas）、深度研究等功能。</p> <p dir="ltr">有趣的是，OpenAI新<a href="https://cdn.openai.com/gpt-4-5-system-card.pdf" target="_blank">公布</a>的白皮書版本已經刪除前述文字。</p> <p dir="ltr">而且，儘管GPT-4.5沒有增加新能力，但價格卻是歷來最貴。根據<a href="https://openai.com/api/pricing/" target="_blank">定價頁</a>，輸入1百萬字詞（token）要價75美元，同樣1百萬字詞的快取輸入及輸出各為37.5及150美元，相較之下，同樣單位GPT-4o的收費是2.5美元，快取輸入與輸出為1.25美元及10美元。</p> <p dir="ltr">這恐怕會讓部分用戶卻步。一些用戶測試後<a href="https://bsky.app/profile/did:plc:yddiyagux5ossyt5342u52fb/post/3lj6r3mvuzk2v" target="_blank">認為</a>，GPT-4.5的程式撰寫能力並沒有比4o好多少，比Claude Sonnet差，可是卻比4o貴15倍，比Claude Sonnet 3.7貴10到25倍，很詭異。另外有人<a href="https://bsky.app/profile/emollick.bsky.social/post/3lj6thww5ac2x" target="_blank">覺得</a>，GPT-4.5富創意而有趣，但寫起程式卻「很懶惰」。</p> <p dir="ltr">GPT-4.5即日起開放給ChatGPT Pro用戶及所有付費API開發人員存取。<a href="https://techcrunch.com/2025/02/27/openai-unveils-gpt-4-5-orion-its-largest-ai-model-yet/" target="_blank">OpenAI說</a>，計畫下周擴大釋出給Plus和Teams用戶（20和30美元月費）。</p> </div></div></div>
2025/3/1 03:27作者林妍溱https://www.ithome.com.tw/news/167613
SRE所需具備的知識集合
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/shu_zhai_sregong_zuo_xian_chang_960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">博碩文化</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">以SRE做為職涯的選擇，有其迷人之處，也有其困難與辛苦的地方。以下會從職涯的角度來給予相關的建議。</p> <p dir="ltr">SRE這個領域的特別之處在於，工具數量非常多，但工具本身與公司實際的產品沒有特別深的關係。這反映在其中一件事情上，就是SRE不用像開發工程師一樣慎重地選擇自己專精的產業，因為基礎建設在所有地方都需要，也不會因為商業邏輯而有非常明顯的差異。</p> <p dir="ltr">另外一件事情，則是SRE永遠都必須要追著新工具，因此要隨時保持學習新知的能力，也必須建立好轉換公司後要重新學習新工具的心態，因為即使是同一種類產品的公司，賴以維生的基礎建設也可能是完全不同的工具。</p> <p dir="ltr">當然，無論工具如何推陳出新，底層的概念都是類似的，就如同即使是不同的程式語言，也都會共享許多基本的概念一樣。因此，我們仍然可以從這個角度切入，來找到做為一個SRE，有什麼是值得投資的技能。</p> <p dir="ltr"><span style="color:#B22222;"><span style="font-size:28px;"><strong>第一層：雲端、容器、網路</strong></span></span></p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%9B%B8%E6%91%98_SRE%E5%B7%A5%E4%BD%9C%E7%8F%BE%E5%A0%B4_%E5%9C%963.png" style="width: 600px;" /></p> <p dir="ltr">在圖表中第一層中所展示的，主要是雲端服務、作業系統與容器化技術、以及網路相關的知識。這也是筆者認為現在最重要，既包含基礎知識也同時有熱門工具的地方。</p> <p dir="ltr">其中，雲端服務包含三大雲端伺服器供應商的業者，分別是Amazon Web Service（AWS）、Google Cloud Platform（GCP）、Microsoft Azure（Azure）。筆者認為先摸熟其中一種，再根據後續的需求來學習其它即可。</p> <p dir="ltr">沒有必要特別三種都專精，因為一般的業務也比較少出現會需要三者一起精通的狀況，再加上理解一種後，要理解另外一種雲端技術並非什麼特別困難的事情。</p> <p dir="ltr">在學習雲端的過程裡，筆者非常推薦可以透過準備證照的方式來強化自身的能力。準備證照一來可以有比較明確的目標，二來也會有比較完整的學習計劃。</p> <p dir="ltr">筆者過去主要準備的都是AWS證照，在書寫本書的當下，手上擁有的是「Solutions Architect Associate」、「SysOps Administrator Associate」、「Developer Associate」以及「Solutions Architect Professional」，接下來則希望朝「Advanced Networking Specialty」嘗試看看。</p> <p dir="ltr">在這些證照中，筆者最推薦的則是「Solutions Architect Associate」，如果覺得這張太過吃力則可以從「Cloud Practitioner」開始，而考過的讀者則可以嘗試「SysOps Administrator Associate」或更進階的「Solutions Architect Professional」。</p> <p dir="ltr">證照考試本身當然會與實際工作有一些落差，但就筆者從雲端小白到目前工作一年多的感受是，準備證照能夠讓自己對雲端的相關服務有一定程度的理解，等到獲得相關需求的時候，大致上可以知道能夠應用的服務，至於細節的部分雖然還不清楚怎麼處理，但只要到時候再透過文件去學習即可。</p> <p dir="ltr">額外可以補充一點，筆者認為準備符合自己程度的證照是相當重要的。雖然有幸能考取「Solutions Architect Professional」，但實際上筆者不只準備得非常痛苦，實際最後也不是真的有非常多應用場景讓筆者使用到，只是拿到證照後放著忘記而已，因此在這件事情上面讀者也可以再自行斟酌。</p> <p dir="ltr">除了雲端之外，做為現在非常重要的容器化技術，特別是「Kubernetes」（K8S），幾乎可以說是各家SRE的標準配備了。這部分同樣也有相關的證照可以讓讀者參考，名字則是Certified Kubernetes Application Developer（CKAD）與Certified Kubernetes Administrator（CKA）。</p> <p dir="ltr">筆者同樣有拿到這兩張證照，建議可以先從CKAD開始準備起，並再以CKAD的基礎來準備CKA，如此的學習路徑會滑順很多。但一般在還沒有接觸過容器化的讀者，則也可以從「Docker」開始入手。</p> <p dir="ltr">最後，同樣不可或缺的網路知識，但這部分筆者暫時還沒有找到比較適合的管道。最主要還是在於說，筆者也是工作了一年之後才開始真正意識到這一塊的重要性，特別在應對一些特別的P0事件中，就能深深感受到自己的不足。</p> <p dir="ltr">由於這是基礎知識的關係，筆者在思考的是透過修習大學所開設的線上學習資源來補強相關概念。無論如何，關於這一塊的知識絕對是必要且沒有妥協空間的。</p> <p dir="ltr"><span style="color:#B22222;"><span style="font-size:28px;"><strong>第二層：監控、日誌、分析</strong></span></span></p> <p dir="ltr">在圖表中的第二層也相當重要，最主要出現的是各種監控與分析工具。</p> <p dir="ltr">在監控工具上，除了「Prometheus」或是筆者有實際在使用的AWS原生監控工具「CloudWatch」與從外部檢測服務可用性的「Pingdom」之外，任何其它有助於維運或值班的工具，比如我們用來打電話給值班工程師的「Pagerduty」都一樣相當重要。</p> <p dir="ltr">分析工具包含日誌與資料視覺化工具，最常見的可能就會是「Grafana」以及著名的ELK（Elasticsearch、Logstash、Kibana）工具等等。</p> <p dir="ltr">而這部分，因為筆者真正接觸過的只有CloudWatch、Pingdom以及Pagerduty，而且後兩者其實在進來公司前就已經被前輩給完成串接了。因此只有透過在AWS證照考試的時候來加強對CloudWatch的理解而已。</p> <p dir="ltr">雖然可能沒有辦法提供讀者比較明確的學習資源，但做為參考，讀者還是可以往這個方向嘗試學習看看。</p> <p dir="ltr"><span style="color:#B22222;"><span style="font-size:28px;"><strong>第三層：部署、架構、程式</strong></span></span></p> <p dir="ltr">在圖表中的第三層包含的是各類部署和架構工具、以及程式語言。</p> <p dir="ltr">雖然在敝公司裡面分工比較細，維運與部署被切分成兩個不同團隊，所以SRE的團隊相對而言比較少接觸包含「Terraform」、「CloudFormation」、「Gitlab CI/CD」之類的工具，但也有許多公司應該會以同一個團隊來包辦這裡所有的事情。</p> <p dir="ltr">因此部署和架構工具也是一個相當重要的知識。</p> <p dir="ltr">程式語言則可以分兩個面向來分享。首先，我們所大量使用的自動化工具，特別是為了某些特殊狀況而開發的，都仰賴我們的開發能力。</p> <p dir="ltr">在這個過程中最常被使用的可能會是「Python」。但「Golang」做為Kubernetes以及Terraform的底層語言，也同樣是一個可以儘可能瞭解的語言，而「JavaScript」做為另一個不需要編譯（compile）而且方便書寫的語言，也同樣值得一學。</p> <p dir="ltr">另一方面，筆者的主管也曾經分享過，因為容器化與雲端技術日新月異的關係，未來維運的工作可能只會越來越少（比如「ECS Fargate」相較於EC2，在維運上所需要的人力就少上非常多），因此系統出狀況時，SRE跳進程式裡協助開發工程師除錯的狀況也越來越有可能發生，因此至少有讀懂程式的能力就變得相當重要。<strong>（本文摘錄整理自《SRE工作現場直擊》，博碩文化提供）</strong></p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%9B%B8%E6%91%98_SRE%E5%B7%A5%E4%BD%9C%E7%8F%BE%E5%A0%B4_600-2.jpg" style="width: 600px;" /></p> <p dir="ltr"><span style="font-size:14px;"><span style="color:#696969;">圖片來源_博碩文化</span></span></p> <p dir="ltr"><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> SRE工作現場直擊：維運起點x實戰經驗x職涯規劃面面觀</strong></p> <p dir="ltr">葉承彥 (Sean Ia̍p)／著</p> <p dir="ltr">博碩文化出版</p> <p dir="ltr">定價：600元</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%9B%B8%E6%91%98_SRE%E5%B7%A5%E4%BD%9C%E7%8F%BE%E5%A0%B4_%E5%9C%962_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_iThome%20iT%2B%E7%B6%B2%E7%AB%99.png" style="width: 150px;" /></p> <p dir="ltr"><span style="font-size:14px;"><a href="https://itplus.ithome.com.tw/webinar-page/222" target="_blank"><span style="color:#696969;">圖片來源_iThome iT+</span></a></span></p> <p dir="ltr"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p dir="ltr"><strong>葉承彥(Ia̍p Sêng Gān) (Sean Ia̍p)</strong></p> <p dir="ltr">念哲學出身的台北囡仔，曾在影音串流公司擔任SRE，現任於雲端服務供應商的Cloud Support Engineer。原本做後端開發，卻於某次進行架構描繪時發現對維運領域的熱情。期待透過本書分享一些過去的經驗，也希望在幫助到讀者的同時有機會彼此交流。</p> </div></div></div>
2025/2/28 04:33未署名https://www.ithome.com.tw/article/167611
OpenAI將Deep Research推向所有付費用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">OpenAI周三<a href="https://x.com/OpenAI/status/1894454194943529433" target="_blank">宣布</a>Deep Research終於推向所有付費方案用戶，包括企業、工作部門、學生。</p> <p dir="ltr">現在這功能已推給ChatGPT Plus、Team、Edu和Enterprise方案用戶，使更多個人、教育及企業人士都能使用。Deep Research使用o3模型，具有類似人類推理能力，能理解大量資訊並處理複雜、多步驟的任務，因此ChatGPT能代用戶蒐集網頁眾多資訊來源，並依分析結果不斷修正搜尋，最後產出具有洞見的分析報告。</p> <p dir="ltr">上個月Deep Research首先提供給月付200美元的Pro用戶。OpenAI說，在那之後，公司又為Deep Research加入新功能。包括輸出圖片加入資料來源網址以利進一步研究，也提升理解和參照上傳檔案的能力。</p> <p dir="ltr">一開始，Plus、Team、Enterprise、Edu用戶每月可執行最多10次深度研究查詢。Pro方案用戶現在用量限制也由之前的每月100次，提高到每月最多120次查詢量。</p> <p dir="ltr">OpenAI也公開系統卡，說明團隊開發Deep Research、評估能力和風險，以及改進安全性的方法。</p> <p dir="ltr">該公司和數百名專家合作訓練Deep Research，如果用戶也有興趣加入，可以上網<a href="https://t.co/EnTBTT7Hbb" target="_blank">填表</a>。</p> <p> </p> </div></div></div>
2025/2/28 03:39作者林妍溱https://www.ithome.com.tw/news/167610
數發部要從算力、資料等5策略著手加速國內AI產業生態發展
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為促進國內<span class="s2" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; font-variant-emoji: normal; font-size-adjust: none; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; line-height: normal; font-family: Arial; font-kerning: none;">AI</span><span class="s1" style="font-kerning: none;">產業生態的有利發展，數發部今天</span><span class="s2" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; font-variant-emoji: normal; font-size-adjust: none; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; line-height: normal; font-family: Arial; font-kerning: none;">(2/27)</span><span class="s1" style="font-kerning: none;">宣布將從算力、資料、人才、行銷、資金</span><span class="s2" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; font-variant-emoji: normal; font-size-adjust: none; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; line-height: normal; font-family: Arial; font-kerning: none;">5</span><span class="s1" style="font-kerning: none;">項策略著手，除了開放數產署的</span><span class="s2" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; font-variant-emoji: normal; font-size-adjust: none; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; line-height: normal; font-family: Arial; font-kerning: none;">GPU</span><span class="s1" style="font-kerning: none;">算力資源，供軟體、新創業者免費申請使用外，還將研擬資料創新利用發展條例，建立主權</span><span class="s2" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; font-variant-emoji: normal; font-size-adjust: none; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; line-height: normal; font-family: Arial; font-kerning: none;">AI</span><span class="s1" style="font-kerning: none;">訓練語料資料庫，由政府公部門先帶頭開放資料供</span><span class="s2" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; font-variant-emoji: normal; font-size-adjust: none; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; line-height: normal; font-family: Arial; font-kerning: none;">AI</span><span class="s1" style="font-kerning: none;">研發運用，鼓勵私部門民間產業跟進。</span></p> <p>首先在算力方面，目前政府所建置的公共算力，是以國科會底下國家實驗研究院的國網中心規畫建置超級電腦為主，去年底建置的新超級電腦，算力達<span class="s2" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; font-variant-emoji: normal; font-size-adjust: none; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; line-height: normal; font-family: Arial; font-kerning: none;">16PF</span><span class="s1" style="font-kerning: none;">，國科會預計</span><span class="s2" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; font-variant-emoji: normal; font-size-adjust: none; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; line-height: normal; font-family: Arial; font-kerning: none;">5</span><span class="s1" style="font-kerning: none;">月將會開放算力服務，預計今年底再增加</span><span class="s2" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; font-variant-emoji: normal; font-size-adjust: none; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; line-height: normal; font-family: Arial; font-kerning: none;">100PF</span><span class="s1" style="font-kerning: none;">算力。</span></p> <p><span style="color:#B22222;"><strong>數產署的算力池今年將開放<span class="s2" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; font-variant-emoji: normal; font-size-adjust: none; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; line-height: normal; font-family: Arial; font-kerning: none;">3</span><span class="s1" style="font-kerning: none;">梯次供外界使用</span></strong></span></p> <p><span style="color:#B22222;"><strong><span class="s1" style="font-kerning: none;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%96-600(9).jpg" style="width: 600px; height: 376px;" /></span></strong></span></p> <p>數發部為扶植<span class="s2" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; font-variant-emoji: normal; font-size-adjust: none; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; line-height: normal; font-family: Arial; font-kerning: none;">AI</span><span class="s1" style="font-kerning: none;">產業發展，數產署去年建置</span><span class="s2" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; font-variant-emoji: normal; font-size-adjust: none; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; line-height: normal; font-family: Arial; font-kerning: none;">GPU</span><span class="s1" style="font-kerning: none;">算力池，共有</span><span class="s2" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; font-variant-emoji: normal; font-size-adjust: none; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; line-height: normal; font-family: Arial; font-kerning: none;">32</span><span class="s1" style="font-kerning: none;">片</span><span class="s2" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; font-variant-emoji: normal; font-size-adjust: none; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; line-height: normal; font-family: Arial; font-kerning: none;">Nvidia H100</span><span class="s1" style="font-kerning: none;">及</span><span class="s2" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; font-variant-emoji: normal; font-size-adjust: none; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; line-height: normal; font-family: Arial; font-kerning: none;">8</span><span class="s1" style="font-kerning: none;">片</span><span class="s2" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; font-variant-emoji: normal; font-size-adjust: none; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; line-height: normal; font-family: Arial; font-kerning: none;">AMD MI300X</span><span class="s1" style="font-kerning: none;">，算力約</span><span class="s2" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; font-variant-emoji: normal; font-size-adjust: none; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; line-height: normal; font-family: Arial; font-kerning: none;">1.58PF</span><span class="s1" style="font-kerning: none;">，去年已開放部分軟體、新創業者申請免費使用，今年預計開放三個梯次申請，第</span><span class="s2" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; font-variant-emoji: normal; font-size-adjust: none; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; line-height: normal; font-family: Arial; font-kerning: none;">1</span><span class="s1" style="font-kerning: none;">梯次已在</span><span class="s2" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; font-variant-emoji: normal; font-size-adjust: none; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; line-height: normal; font-family: Arial; font-kerning: none;">2</span><span class="s1" style="font-kerning: none;">月</span><span class="s2" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; font-variant-emoji: normal; font-size-adjust: none; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; line-height: normal; font-family: Arial; font-kerning: none;">13</span><span class="s1" style="font-kerning: none;">日舉辦說明會，預計</span><span class="s2" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; font-variant-emoji: normal; font-size-adjust: none; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; line-height: normal; font-family: Arial; font-kerning: none;">4</span><span class="s1" style="font-kerning: none;">月開放</span><span class="s2" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; font-variant-emoji: normal; font-size-adjust: none; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; line-height: normal; font-family: Arial; font-kerning: none;">50</span><span class="s1" style="font-kerning: none;">家業者免費使用，後續兩個梯次將分別在</span><span class="s2" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; font-variant-emoji: normal; font-size-adjust: none; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; line-height: normal; font-family: Arial; font-kerning: none;">7</span><span class="s1" style="font-kerning: none;">月、</span><span class="s2" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; font-variant-emoji: normal; font-size-adjust: none; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; line-height: normal; font-family: Arial; font-kerning: none;">10</span><span class="s1" style="font-kerning: none;">月各開放</span><span class="s2" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; font-variant-emoji: normal; font-size-adjust: none; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; line-height: normal; font-family: Arial; font-kerning: none;">70</span><span class="s1" style="font-kerning: none;">家業者使用。</span></p> <p>由於數發部的預算遭刪減，日前數發部長黃彥男指出，數產署提供的算力服務未來難以再增加採購<span class="s2" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; font-variant-emoji: normal; font-size-adjust: none; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; line-height: normal; font-family: Arial; font-kerning: none;">GPU</span><span class="s1" style="font-kerning: none;">。</span></p> <p>數發部政務次長林宜敬表示，民間企業可使用商業的算力服務，大型企業甚至自建算力資源，來開發<span class="s2" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; font-variant-emoji: normal; font-size-adjust: none; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; line-height: normal; font-family: Arial; font-kerning: none;">AI</span><span class="s1" style="font-kerning: none;">模型及應用，但是只供企業自己使用，如果其他企業各自建立</span><span class="s2" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; font-variant-emoji: normal; font-size-adjust: none; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; line-height: normal; font-family: Arial; font-kerning: none;">AI</span><span class="s1" style="font-kerning: none;">模型及應用，則需要耗費大量算力資源，目前全球算力資源相當昂貴，一張</span><span class="s2" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; font-variant-emoji: normal; font-size-adjust: none; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; line-height: normal; font-family: Arial; font-kerning: none;">GPU</span><span class="s1" style="font-kerning: none;">價格在百萬元，數產署提供的算力資源也有限，依各產業需求開發</span><span class="s2" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; font-variant-emoji: normal; font-size-adjust: none; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; line-height: normal; font-family: Arial; font-kerning: none;">AI</span><span class="s1" style="font-kerning: none;">產品，主要開放扶植軟體或新創業者用於</span><span class="s2" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; font-variant-emoji: normal; font-size-adjust: none; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; line-height: normal; font-family: Arial; font-kerning: none;">PoC</span><span class="s1" style="font-kerning: none;">概念驗證，證明技術、商業化可行性後，再使用其他算力服務。</span></p> <p><span style="color:#B22222;"><strong>鼓勵資料創新利用、建立主權<span class="s2" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; font-variant-emoji: normal; font-size-adjust: none; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; line-height: normal; font-family: Arial; font-kerning: none;">AI</span><span class="s1" style="font-kerning: none;">訓練語料資料庫</span></strong></span></p> <p>在資料方面，考量到開發<span class="s2" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; font-variant-emoji: normal; font-size-adjust: none; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; line-height: normal; font-family: Arial; font-kerning: none;">AI</span><span class="s1" style="font-kerning: none;">模型需要高品質、大量的資料，但是國內可開放使用的繁體中文資料不足，因此數發部今年將研擬促進資料創新利用發展條例</span><span class="s2" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; font-variant-emoji: normal; font-size-adjust: none; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; line-height: normal; font-family: Arial; font-kerning: none;">(</span><span class="s1" style="font-kerning: none;">草案</span><span class="s2" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; font-variant-emoji: normal; font-size-adjust: none; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; line-height: normal; font-family: Arial; font-kerning: none;">)</span><span class="s1" style="font-kerning: none;">，提交給行政院審議。</span></p> <p>促進資料創新利用發展條例主要以非個資的資料為主，包括判別式<span class="s2" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; font-variant-emoji: normal; font-size-adjust: none; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; line-height: normal; font-family: Arial; font-kerning: none;">AI</span><span class="s1" style="font-kerning: none;">訓練需要的結構化資料，以及用於生成式</span><span class="s2" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; font-variant-emoji: normal; font-size-adjust: none; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; line-height: normal; font-family: Arial; font-kerning: none;">AI</span><span class="s1" style="font-kerning: none;">訓練的非結構化語意資料；數發部資料創新司副司長陳怡君表示，發展條例將鼓勵政府擁有著作權的資料，將公部門資料開放供</span><span class="s2" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; font-variant-emoji: normal; font-size-adjust: none; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; line-height: normal; font-family: Arial; font-kerning: none;">AI</span><span class="s1" style="font-kerning: none;">等創新利用，此外，數發部也將建置臺灣主權</span><span class="s2" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; font-variant-emoji: normal; font-size-adjust: none; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; line-height: normal; font-family: Arial; font-kerning: none;">AI</span><span class="s1" style="font-kerning: none;">訓練語料庫，以高品質、繁中、臺灣觀點，提供訓練語料給國內外的</span><span class="s2" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; font-variant-emoji: normal; font-size-adjust: none; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; line-height: normal; font-family: Arial; font-kerning: none;">LLM</span><span class="s1" style="font-kerning: none;">使用。</span></p> <p><span class="s1" style="font-kerning: none;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%96-600-2.jpg" style="width: 600px; height: 313px;" /></span></p> <p>建置臺灣主權<span class="s2" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; font-variant-emoji: normal; font-size-adjust: none; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; line-height: normal; font-family: Arial; font-kerning: none;">AI</span><span class="s1" style="font-kerning: none;">訓練語料庫的目的，數發部目的為降低國內外</span><span class="s2" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; font-variant-emoji: normal; font-size-adjust: none; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; line-height: normal; font-family: Arial; font-kerning: none;">LLM</span><span class="s1" style="font-kerning: none;">取得訓練資料的成本，因此免費提供資料，以鼓勵</span><span class="s2" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; font-variant-emoji: normal; font-size-adjust: none; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; line-height: normal; font-family: Arial; font-kerning: none;">LLM</span><span class="s1" style="font-kerning: none;">使用來自臺灣的訓練資料，並且減少</span><span class="s2" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; font-variant-emoji: normal; font-size-adjust: none; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; line-height: normal; font-family: Arial; font-kerning: none;">AI</span><span class="s1" style="font-kerning: none;">業者和內容擁有者間的著作權糾紛。</span></p> <p>按照數發部的規畫，這個主權<span class="s2" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; font-variant-emoji: normal; font-size-adjust: none; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; line-height: normal; font-family: Arial; font-kerning: none;">AI</span><span class="s1" style="font-kerning: none;">訓練語料庫的資料來源，包括政府擁有著作權的非機密性文件，例如政府機關的施政計畫、施政報告、研究報告、政府出版品，另一部分是民間的著作權內容，鼓勵民間捐贈的散文、小說、論文、新詩、傳記等等。</span></p> <p>林宜敬表示，目前國外<span class="s2" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; font-variant-emoji: normal; font-size-adjust: none; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; line-height: normal; font-family: Arial; font-kerning: none;">LLM</span><span class="s1" style="font-kerning: none;">大型語言模型在訓練資料，因著作權等種種問題，缺乏臺灣觀點的資料，主要使用簡體中文資料，因此訓練出的模型缺乏臺灣觀點，建立臺灣主權</span><span class="s2" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; font-variant-emoji: normal; font-size-adjust: none; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; line-height: normal; font-family: Arial; font-kerning: none;">AI</span><span class="s1" style="font-kerning: none;">訓練語料庫，即是希望透過降低</span><span class="s2" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; font-variant-emoji: normal; font-size-adjust: none; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; line-height: normal; font-family: Arial; font-kerning: none;">LLM</span><span class="s1" style="font-kerning: none;">使用臺灣語料成本，不只臺灣自主發展的</span><span class="s2" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; font-variant-emoji: normal; font-size-adjust: none; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; line-height: normal; font-family: Arial; font-kerning: none;">LLM</span><span class="s1" style="font-kerning: none;">模型，也希望讓國外大型語言模型具有臺灣觀點。</span></p> <p>不只是非個資的資料，對於政府各部會擁有含有個資的結構化資料，數發部揭露資料匯流與隱私強化計畫，數發部今天概略說明資料匯流與隱私強化機制，由數發部建置資料匯流的<span class="s2" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; font-variant-emoji: normal; font-size-adjust: none; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; line-height: normal; font-family: Arial; font-kerning: none;">Proxy</span><span class="s1" style="font-kerning: none;">連結各個部會，由各部會提供資料目錄，當</span><span class="s2" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; font-variant-emoji: normal; font-size-adjust: none; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; line-height: normal; font-family: Arial; font-kerning: none;">AI</span><span class="s1" style="font-kerning: none;">研究人員可向數發部提出資料需求，數發部再轉向管理資料的部會提出需求，部會將資料經過去識別化處理後，傳送給數發部，再由數發部進一步強化隱私處理，再將處理後的資料提供</span><span class="s2" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; font-variant-emoji: normal; font-size-adjust: none; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; line-height: normal; font-family: Arial; font-kerning: none;">AI</span><span class="s1" style="font-kerning: none;">研究人員。</span></p> <p>目前數發部先展示資料匯流與隱私強化機制的概念，尚未實際和各部會展開合作，但數發部表示，未來透過這個機制，將讓政府部會擁有的含個資資料，也有機會供<span class="s2" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; font-variant-emoji: normal; font-size-adjust: none; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; line-height: normal; font-family: Arial; font-kerning: none;">AI</span><span class="s1" style="font-kerning: none;">研發使用，促進</span><span class="s2" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; font-variant-emoji: normal; font-size-adjust: none; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; line-height: normal; font-family: Arial; font-kerning: none;">AI</span><span class="s1" style="font-kerning: none;">產業發展。</span></p> <p><span style="color:#B22222;"><strong><span class="s1" style="font-kerning: none;">推動公務機關AI認知及人才，與其他部會共同培育AI產學研人才</span></strong></span></p> <p>至於培養<span class="s2" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; font-variant-emoji: normal; font-size-adjust: none; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; line-height: normal; font-family: Arial; font-kerning: none;">AI</span><span class="s1" style="font-kerning: none;">相關人才，目前數發部正在推動公務機關導入AI，誘過線上課程、實體課程，培養一般公務人員運用AI提升效率，針對公務機關的管理階層培養其AI應用的規畫能力，針對公部門的資訊人力，培養其簡易開發AI應用的能力。</span></p> <p>在產官學的AI人才發展上，依照<span class="s2" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; font-variant-emoji: normal; font-size-adjust: none; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; line-height: normal; font-family: Arial; font-kerning: none;">AI學術</span><span class="s1" style="font-kerning: none;">研究、</span><span class="s1" style="font-kerning: none;">產業的AI開發、企業內的</span><span class="s2" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; font-variant-emoji: normal; font-size-adjust: none; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; line-height: normal; font-family: Arial; font-kerning: none;">AI</span><span class="s1" style="font-kerning: none;">開發需要，由國科會、教育部、數發部、經濟部分別推動計畫，鼓勵學校、產業、企業培養</span><span class="s2" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; font-variant-emoji: normal; font-size-adjust: none; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; line-height: normal; font-family: Arial; font-kerning: none;">AI</span><span class="s1" style="font-kerning: none;">人才，以培育不同方面的人才。</span></p> <p><span class="s1" style="font-kerning: none;"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%96-600-4.jpg" style="width: 600px; height: 321px;" /></span></p> <p>例如數發部也與人工智慧學校等民間單位合作，依電腦視覺、自然語言等應用，制定AI開發人才指引及標準，建立人才基礎，以加速AI產業的發展。</p> <p><span style="color:#B22222;"><strong>舉辦AI產業媒合活動、與國發會聯手砸百億預算與民間創投共同投資AI新創</strong></span></p> <p>在行銷策略方面，數產署與軟體業者合作，舉辦多場<span class="s2" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; font-variant-emoji: normal; font-size-adjust: none; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; line-height: normal; font-family: Arial; font-kerning: none;">Demo Day</span><span class="s1" style="font-kerning: none;">或需求媒合會，讓軟體或</span><span class="s2" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; font-variant-emoji: normal; font-size-adjust: none; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; line-height: normal; font-family: Arial; font-kerning: none;">AI</span><span class="s1" style="font-kerning: none;">業者可展示依據不同產業需求開發的</span><span class="s2" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; font-variant-emoji: normal; font-size-adjust: none; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; line-height: normal; font-family: Arial; font-kerning: none;">AI</span><span class="s1" style="font-kerning: none;">產品或服務，讓無法自己開發</span><span class="s2" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; font-variant-emoji: normal; font-size-adjust: none; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; line-height: normal; font-family: Arial; font-kerning: none;">AI</span><span class="s1" style="font-kerning: none;">的中小型企業也能導入</span><span class="s2" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; font-variant-emoji: normal; font-size-adjust: none; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; line-height: normal; font-family: Arial; font-kerning: none;">AI</span><span class="s1" style="font-kerning: none;">。</span></p> <p>資金方面，數發部也與國發會合作，匡列<span class="s2" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; font-variant-emoji: normal; font-size-adjust: none; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; line-height: normal; font-family: Arial; font-kerning: none;">100</span><span class="s1" style="font-kerning: none;">億元的預算，為期</span><span class="s2" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; font-variant-emoji: normal; font-size-adjust: none; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; line-height: normal; font-family: Arial; font-kerning: none;">10</span><span class="s1" style="font-kerning: none;">年，與民間創投業者聯手共同投資具有潛力的</span><span class="s2" style="font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; font-variant-emoji: normal; font-size-adjust: none; font-optical-sizing: auto; font-feature-settings: normal; font-variation-settings: normal; font-stretch: normal; line-height: normal; font-family: Arial; font-kerning: none;">AI</span><span class="s1" style="font-kerning: none;">業者，或是還未上市櫃的數位經濟領域公司。</span></p> </div></div></div>
2025/2/27 18:34作者蘇文彬https://www.ithome.com.tw/news/167608
【資安日報】2月27日，後門程式Auto-Color針對北美和亞洲而來，攻擊政府機關及大學
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對Linux作業系統的惡意程式，過去一年不時傳出相關的攻擊活動，最近一起資安事故相當值得留意，原因是攻擊者使用的手法升級，相關攻擊行動變得更加難以察覺。</p> <p>特別的是，揭露此事的資安業者Palo Alto Networks表示，駭客使用的惡意軟體Auto-color非常刁鑽，而且防守方想要清理還必須倚賴特定工具，否則會難以完全清除。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167594"><strong style="font-size: 22px;">北美及亞洲政府機關、大學遭Linux後門程式Auto-Color鎖定</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/word-image-805546-138356-1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-805546-138356-1.png" style="width: 300px; float: right;" /></a></p> <p>針對Linux作業系統的攻擊行動越來越常出現，而且駭客的手段日益複雜，使得防守方難以察覺，在後續進行復原的工作更加困難。</p> <p>資安業者Palo Alto Networks指出，他們自去年11月初至12月，發現名為Auto-color的Linux後門程式，駭客為了迴避偵測，使用多種手法，其中包含使用看起來良性的檔案名稱來掩人耳目，刻意埋藏C2連線的通訊，以及將相關通訊與組態資訊進行加密處理。研究人員強調，這款後門程式能讓攻擊者完全存取受害電腦，防守方若要清除，必須搭配特定工具，否則會很難清除。</p> <p>針對這個後門程式的發現，Palo Alto Networks資深主任安全工程師Alex Armstrong指出，他們在去年11月5日發現第一個檔案，而該惡意軟體家族主要鎖定的目標，是北美及亞洲的大學及政府機關辦公室，但究竟後門程式如何入侵受害組織，Alex Armstrong表示目前仍不清楚。</p> <p><a href="https://www.ithome.com.tw/news/167600"><strong style="font-size: 22px;">高達2.84億筆帳密資料收入Have I Been Pwned，都源自駭客盜取的Log資料</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/AlienTxtbase-10.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/AlienTxtbase-10.png" style="width: 300px; float: right;" /></a></p> <p>可查詢自己密碼是否遭外洩的網站Have I Been Pwned（HIBP），最近納入1.5TB巨量事件記錄資訊，它們都是遭竊的資料，該網站的創辦人Troy Hunt指出，內容多達230億筆，其中包含4.93億組網站及電子郵件資料，影響2.84億個（284,132,969）電子郵件信箱，而這批資料的來源，是一個名為Alien Txtbase的Telegram頻道。</p> <p>究竟這批資料有多龐大？Troy Hunt表示，這批資料含有2.44億組新密碼，比原本HIBP留存的1.99億筆還要來得多。</p> <p>對於資料的發現過程，Troy Hunt提及是一名政府機關的人士提供相關情報，並交給他這批資料的其中兩個檔案，經過他循線調查之後，總共在Telegram頻道找到744個檔案，從而拼湊出上述資料。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/02/2500-truesightsys-driver-variants.html">存在弱點的病毒掃描工具元件遭濫用，駭客發起大規模自帶驅動程式攻擊，散布惡意程式HiddenGh0st</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/02/fatalrat-phishing-attacks-target-apac.html">駭客利用中國CDN服務攻擊亞太工業，散布RAT木馬程式</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityaffairs.com/174595/cyber-crime/large-botnet-targets-m365-password-spraying-attacks.html">13萬設備遭殭屍網路綁架，被用於對M365帳號進行密碼潑灑攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/02/data-leak-exposes-topsecs-role-in.html">中國資安業者天融信資料外洩，透露該公司提供中國政府言論審查監控服務</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://moda.gov.tw/ACS/press/report/15166">臺灣學術機構遭到鎖定，駭客佯稱資安院進行社交工程攻擊，假借執行勒索軟體偵測工具為由散布惡意軟體</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167602"><strong style="font-size: 22px;">WordPress表單外掛Everest Forms存在重大漏洞，10萬網站曝險</strong></a></p> <p>專精WordPress網站安全的資安業者Wordfence接獲研究人員Arkadiusz Hydzik通報漏洞，他發現，提供網站管理者建立表單、問卷、投票的外掛程式Everest Forms，存在重大層級的任意檔案上傳漏洞CVE-2025-1128。</p> <p>未經身分驗證的攻擊者，可經由此弱點將任意檔案上傳到WordPress網站，從而遠端執行任意程式碼，並且還能進一步讀取或刪除網站上的任何檔案，漏洞的CVSS風險達到9.8分（滿分10分），而且，所有版本Everest Forms都存在這項弱點，目前10萬個部署該外掛程式的網站都有可能曝險。</p> <p>Wordfence將所有資料都交給WordPress佈景軟體與外掛開發商ThemeGrill，Everest Forms的開發者於2月20日發布3.0.9.5版修補，Wordfence也頒發4,290美元抓漏獎勵給Arkadiusz Hydzik。</p> <p><a href="https://www.ithome.com.tw/news/167545"><strong style="font-size: 22px;">微軟修補低程式碼網站建置平臺Power Pages零時差漏洞</strong></a></p> <p>2月19日微軟發布資安公告，修補低程式碼網站建置平臺Power Pages、搜尋引擎Bing的高風險漏洞CVE-2025-24989、CVE-2025-21355，並指出CVE-2025-24989已被用於實際攻擊行動。</p> <p>CVE-2025-24989是權限提升漏洞，起因是Power Pages存取控制不當造成，未經授權的攻擊者能繞過使用者註冊的控制機制，並進行權限提升，CVSS風險達到8.2分，微軟評估風險達到重大層級。</p> <p>有部分用戶目前受到這項漏洞的影響，因為這項漏洞被用於攻擊行動，微軟雖然已在服務層級進行緩解，但仍無法讓所有用戶都不受到衝擊，他們已發出通知，提供檢查網站是否受害的檢測方法，以及清理的步驟。</p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167559"><strong style="font-size: 22px;">澳洲政府禁用卡巴斯基軟體</strong></a></p> <p>2月21日澳洲政府發布禁令，從4月1日起禁止在政府所有系統和裝置上，安裝俄國資安業者卡巴斯基的產品和網頁服務，現有安裝的軟體必須移除。</p> <p>澳洲移民暨國境保護部（Department of Home Affairs）部長Stephanie Foster指出，經過威脅和風險分析，她認為澳洲政府實體使用卡巴斯基產品和網頁服務，會對澳洲政府、網路和資料造成不可接受的安全風險，包括外國干預、間諜和破壞。她也認為有必要對關鍵基礎設施及其他澳洲政府單位釋出明確政策訊號，告知使用該產品的安全風險。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/167585"><strong>【2月26日】郵件傳輸代理平臺Exim修補高風險層級的SQL注入漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167548"><strong>【2月25日】臺澎三號海纜發生全斷事故，疑為具有中國背景的貨輪拖斷造成</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167526"><strong>【2月24日】2024十大網站攻擊技術臺灣專家再度稱霸第一</strong></a></p> </div></div></div>
2025/2/27 16:45作者周峻佑https://www.ithome.com.tw/news/167607
WordPress表單外掛Everest Forms存在重大漏洞，10萬網站曝險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專精WordPress網站安全的資安業者Wordfence接獲研究人員Arkadiusz Hydzik通報漏洞，他發現，提供網站管理者建立表單、問卷、投票的外掛程式Everest Forms，<a href="https://www.wordfence.com/blog/2025/02/100000-wordpress-sites-affected-by-arbitrary-file-upload-read-and-deletion-vulnerability-in-everest-forms-wordpress-plugin/">存在重大層級的任意檔案上傳漏洞CVE-2025-1128</a>。</p> <p>未經身分驗證的攻擊者，可經由此弱點將任意檔案上傳到WordPress網站，從而遠端執行任意程式碼，並且還能進一步讀取或刪除網站上的任何檔案，漏洞的CVSS風險達到9.8分（滿分10分），而且，所有版本Everest Forms都存在這項弱點，目前10萬個部署該外掛程式的網站都有可能曝險。Wordfence將所有資料都交給WordPress佈景軟體與外掛開發商ThemeGrill，Everest Forms的開發者於2月20日發布3.0.9.5版修補，Wordfence也頒發4,290美元抓漏獎勵給Arkadiusz Hydzik。</p> <p>針對這項漏洞發生的原因，Wordfence漏洞研究員István Márton指出，問題出在是EVF_Form_Fields_Upload這個類別缺乏檔案類型及路徑的驗證，導致WordPress網站不只能上傳任意檔案，還能被攻擊者隨意讀取、刪除任何資料。若是攻擊者針對wp-config.php下手，就有機會挾持整個網站。</p> <p>由於EVF_Form_Fields_Upload當中的方法format()對於檔案類型或是副檔名，沒有執行檢查的程序，攻擊者可將含有惡意PHP指令碼的CSV或TXT文字檔，重新命名為PHP檔案並上傳，而WordPress網站會自動這些檔案搬移到任何人均可公開存取的上傳資料夾，這麼一來，攻擊者就能在未經身分驗證的情況下，上傳惡意PHP程式碼並存取，觸發漏洞而能遠端在伺服器上執行任意程式碼。</p> </div></div></div>
2025/2/27 16:07作者周峻佑https://www.ithome.com.tw/news/167602
AI原生運算系統呼之欲出
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>生成式AI顛覆整個IT產業已是舉世皆知的趨勢，而在個人端設備的應用上，AI個人電腦也成為幾家主要處理器廠商驅動市場需求的重要主角。例如，高通（Qualcomm）、超微（AMD）、英特爾（Intel）都已推出這類運算平臺，透過中央處理器（CPU）與神經網路處理器（NPU），或是CPU整合NPU與繪圖處理器（CPU）的搭配，提供更強大的AI運算性能。</p> <p>GPU廠商Nvidia相對低調，他們先前提出RTX AI PC的品牌識別，去年曾在幾個國家舉行RTX AI PC Day活動，但他們對AI個人電腦的整體想法是什麼，大家並不清楚。</p> <p>這個答案似乎在今年1月舉行的美國消費電子展（CES）揭曉，因為Nvidia創辦人暨執行長黃仁勳的主題演講對此提出解釋。</p> <p>在演講進行到近50分鐘的時候，黃仁勳從探討代理型AI（Agentic AI）的發展，突然切換到AI個人電腦的議題。</p> <p>他提到AI是建立在雲端服務，也是為了雲端服務而生，接下來AI也會出現在手機、智慧眼鏡，到處都能有AI可用是大家想要的境界，例如，可以在任何雲端服務使用AI，也能在公司內部使用AI，然而，也想把這些放到個人電腦裡面運作。</p> <p>他回顧Windows 95帶來劃時代的產業革命，提供多媒體服務，從此徹底改變應用程式的開發，但這模式並不完全適合AI，所以，未來的AI應該變成每個人的AI助理，取代各種硬體與系統功能的應用程式介面（API），如圖像、影片、3D、音訊的API。</p> <p>黃仁勳認為，在電腦作業系統上面執行的應用程式，應該提升為各種生成式AI類型的API，像是圖像、影片、3D、音訊、動作的大型語言模型（LLM），以及向量資料庫（Vector DB），他提議，應該要有個系統能夠實現這樣的使用方式，而且能善用過去整個世界在雲端服務相關的巨大技術投資成果，因為我們不可能再發展與經歷另一種建立AI模型的方法與過程。</p> <p>這樣的系統目前尚未出現，如果大家能想出辦法，就可以讓Windows個人電腦成為世界級的AI個人電腦，箇中關鍵是Windows提供的Linux子系統WSL2，因為這是兩種作業系統的完美融合，它能讓開發者存取電腦裸機硬體資源，也針對雲端原生應用系統進行最佳化，更重要的是這個作業環境也對Nvidia CUDA提供最佳化，所以Nvidia持續開發與提供的NIM、Nemo、AI發展藍圖也適用，讓個人電腦融入上述AI開發與操作的使用方式。</p> <p>基於這樣的考量，黃仁勳強調，Nvidia會聚焦在Windows WSL2、Windows個人電腦，將其轉型、提升為最優先投入發展的平臺，並且盡可能提供技術支援與維護。接著，他展示標題為Developed with AI的1分鐘短影片，展示影像工作者用AI個人電腦設計3D場景的概念流程與情境。</p> <p>令人好奇的是，這當中未秀出任何作業系統或應用程式的圖形操作介面細節，因此，我們難得知目前是否有商業軟體發展出具備這樣功能的產品。</p> <p>結束影片播放之後，黃仁勳說這是Nvidia AI for your PCs，全球有數億臺Windows個人電腦，Nvidia會促成這些個人電腦充分支援AI使用，而且，所有與他們合作的頂尖個人電腦供應商都會支援這個技術架構，他預言，AI個人電腦即將「抵家」，來到每個人身邊。</p> <p>有趣的是，黃仁勳接下來講述他們的物理AI、自動駕駛車輛、機器人的進展，演講最後他突然秀出Nvidia正在開發的運算裝置：Project DIGITS，起初稱之為深度學習GPU智慧型訓練系統，這使人聯想到他們長期發展的AI應用設備DGX系統，演講背後的螢幕投射出Nvidia最早推出的DGX-1，他認為每個使用電腦的人都需要AI超級電腦，因此，他希望DGX-1尺寸可以變小，於是舞臺上面突然上演一齣隔空取物的情境：黃仁勳取出看似縮小版DGX-1的實體設備、捧在手掌上，並向全場觀眾說明這是Nvidia最新推出的AI超級電腦，它能執行整個Nvidia軟硬體技術堆疊架構，當中執行的運算平臺是最小型的Grace Blackwell融合式晶片GB110，似乎藉此呼應黃仁勳先前介紹的AI個人電腦架構。</p> <p>令眾人期待的是，後續RTX AI PC與Project DIGITS未來會如何發展，或許在3月下半Nvidia自家GTC大會，以及5月底的台北國際電腦展，可以見真章。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/nvidia">Nvidia</a></div><div class="field-item odd"><a href="/tags/rtx">RTX</a></div><div class="field-item even"><a href="/tags/ai-pc">AI PC</a></div><div class="field-item odd"><a href="/tags/%E9%BB%83%E4%BB%81%E5%8B%B3">黃仁勳</a></div></div></div>
2025/2/27 16:27作者李宗翰https://www.ithome.com.tw/voice/167606
DevOps快報第2期：Google免費版AI開發助手來了，每個月可生成18萬次程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong>2025/2/1～2/27 精選DevOps與開發新聞：</strong></p> <p><strong>#AI輔助開發 #Gemini<br /> Google推出免費版Gemini程式碼助手，每月生成18萬次程式碼不用錢</strong></p> <p>Google宣布推出個人版Gemini程式碼助手（Code Assist for individuals）公開預覽版，可以用AI輔助程式碼撰寫，可以在開發IDE工具中，自動提供程式碼生成、優化或解釋。也能提供對話型的AI程式碼助手等。每月免費用量額度高達18萬次程式碼生成，遠高於其他熱門工具每月數千次的額度。主要鎖定學生、一般個人開發者的市場。不過，預覽版仍有每天6千次額度的上限。</p> <p>這款AI助手採用Gemini 2.0模型，支援所有主要開發語言，一次輸入文字量（context windows）達到128,000個輸入詞元（token），也允許開發人員使用本地端大型檔案，作為Gemini Code Assist的對齊基礎（Grounding）。</p> <p>支援的開發IDE工具包括了VSCode、JetBrains類IDES如IntelliJ、PyCharm和Google自家的雲端工作站Cloud Workstations環境。這讓開發人員可直接在IDE中呼叫出Gemini Code Assist，也能在Firebase和Android Studio二個平臺上免費使用。</p> <p>Google同時也公布Gemini Code Assist for GitHub預覽版，為GitHub上公開或私人程式庫提供AI輔助程式碼審查、抓蟲及建議。可以外掛程式安裝到GitHub App中，自動在 Pull Request 中提供程式碼審查、摘要以及即時建議等功能。</p> <p><strong>#軟體開發 #AI代理<br /> GitHub開始支援AI開發代理人，能自動迭代改寫程式碼和改錯</strong></p> <p>GitHub宣布在Copilot新增代理人模式（Agent Mode）預覽版，運用人工智慧提升自動程式開發能力，使Copilot能夠迭代編寫與修正程式碼，甚至分析執行錯誤並自動調整。</p> <p>與過去單純的程式碼完成功能不同，這次的更新讓Copilot具備更高的自主性，能夠根據使用者輸入的需求，自行拆解為多個子任務並反覆執行，直到完成整體目標。不僅如此，GitHub Copilot代理人模式可以自動偵測錯誤並修正，不需要開發者手動修正錯誤或來回操作終端機與編輯器。</p> <p>官方也首次透露內部正開發中的Project Padawan，未來開發者將能直接指派Issue給Copilot自主軟體工程代理人，來產生經過測試的拉取請求，並自動指派人類審查者，根據回饋進行調整。GitHub也設計專屬雲端沙箱環境，每當代理人需要執行任務時，系統會非同步複製儲存庫、建立開發環境、分析程式碼並進行修改，最後執行建置、測試與Lint檢查，確保變更符合專案需求與安全標準。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/GithubCopilot%20Agent.jpeg" /></p> <p><strong>#軟體開發 #AI代理<br /> JetBrains推出AI開發代理Junie，號稱可接手日常開發任務</strong></p> <p>JetBrains推出了一項可以和IDE共同使用的開發輔助AI代理Junie。開發者可指派日常的開發任務，完全授權給AI代理接手處理Junie不只能生成程式碼，也能執行檢查、撰寫測試，並且驗證這段程式碼是否能通過測試。整個過程中，開發者可以隨時監看程式碼的變更以及AI代理如何執行各項指令。Junie的設計目標是能適應開發者的開發風格，能依據特定開發指南來生成。</p> <p>在OpenAI的程式碼生成評估基準SWEBench Verified測試中，針對500個開發任務，其中53.6% 的任務，Junie只需執行一次就能解決。目前開放先期試用的申請。 </p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Junie%E4%BB%A3%E7%90%86-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-JetBrains.png" /></p> <p><strong>#開發語言 #雲原生<br /> Go 1.24新版強化了WebAssembly支援</strong></p> <p>Go 語言在2月中正式發布了1.24版，這次更新蓋語言特性擴展、執行環境最佳化，以及工具與標準函式庫的改進。一方面完整支援泛型型別別名，可建立更靈活的泛型結構，來提高程式碼的可讀性。</p> <p>另外也強化了不少 WebAssembly支援，例如將Go函式直接匯出到WebAssembly環境，減少手動編寫JavaScript介面橋接程式的工作<br /> 另外，新版也支援將程式建置為WASI reactor或函式庫，特別適合需要與外部系統互通的應用情境，例如伺服器端運算或雲端無伺服器架構。</p> <p><strong>#容器管理 #CI/CD<br /> Docker Hub免費政策變更又惹議，4月1日起大幅限縮拉取次數上限</strong></p> <p>Docker再次調整其免費服務的權益，Docker Hub的映像檔拉取限制，從2025年4月1日起，未登入用戶的拉取次數將降至每小時10次，而免費帳戶則限制為每小時100次。相較之下，付費訂閱用戶則享有無限拉取。</p> <p>這項變更直接衝擊獨立開發者與小型團隊，不少開發者的CI/CD流程高度依賴Docker Hub，且未必具備架設私有註冊表的資源，對於這類用戶，限制拉取次數可能會導致建置流程中斷影響開發效率。</p> <p>這次變更也引起開發社群的不滿，抱怨Docker長期提供免費服務作為宣傳，如今卻透過流量限制來驅使用戶付費，這種策略難免引發爭議。Docker公司原訂3月開始實施新作法，後來延後到4月上路。</p> <p><strong>#開發語言 #Rust<br /> 社群大調查：Rust企業採用率破4成，但3成新手抱怨上手太難</strong></p> <p>Rust社群公布了2024年度調查結果，調查人數達到7,310人，其中，45.5%受訪者所屬企業有實質採用Rust，比去年的38.7%成長約7個百分點，代表Rust在企業環境中的採用率穩定上升。</p> <p>Rust能有效減少記憶體錯誤與執行階段錯誤，這是Rust近年來進入企業市場的重要優勢。Rust在如後端開發、網路服務、雲端應用及嵌入式系統等領域的採用率也穩定成長。不過，31％的非Rust使用者認為語言過於困難，而Rust使用者最常抱怨的問題則仍然是編譯速度，近年改進還無法滿足開發者的需求。此外，除錯工具的支援也不足。</p> <p><strong>#軟體開發 #Swift<br /> Xcode建置引擎Swift Build開源了，同步支援Linux和Windows</strong></p> <p>Apple宣布Xcode內部使用多年的Swift Build建置引擎開源，並同步支援Linux與Windows平臺，讓Swift開發者在macOS之外的環境，也能使用相同的建置技術。這代表Swift語言的跨平臺生態系將獲得更一致的建置環境，開發者無論在何種作業系統或整合式開發環境下，都能獲得相同的開發體驗。</p> <p>Swift Build是Xcode主要的建置引擎，支援數百萬款在App Store上架的應用程式建置，也用於Apple自家作業系統的內部建置流程。該工具開源後，未來將能與Swift編譯器進行更全面的協同運作，預期有助於鞏固Swift在各平臺上的應用基礎。</p> <p><strong>#可觀察性 #AI代理<br /> New Relic大推數十項AI新功能，能支援第三方AI代理</strong></p> <p>網路監控服務平臺New Relic在年度產品大會上，一口氣宣布推出二十多項AI相關新功能，由尤其提供了檢索增強生成RAG功能，可以整合用戶資料或第三方資料來源提供分析建議。</p> <p>New Relic可以支援第三方AI代理，像是知名IT自動化服務ServiceNow、Google Gemini的代理型AI，來提供智慧建議，可以將錯誤事件資訊、日誌、追蹤資料、安全漏洞和警報等即時性資料，直接整合到 ServiceNow工作流程中，讓使用者以自然語言方式在ServiceNow介面中分析，或是應用程式健康狀態的分析和警告風險分析，也能依據過去事件回應方式來提供建議。</p> <p>New Relic也推出了新的整體性單一視圖分析儀表板Transaction 360，可用AI來解釋所有的遙測資料，進行影響分析，也能動態流程圖來呈現一項交易的所有服務的相依性，讓DevOps團隊追蹤。New Relic也推出第一款影音串流服務的可觀察性服務DEM（數位體驗監控）服務，可以追蹤串流影片和廣告，自動搜集和分析視訊體驗品質 (QoE) 指標、應用程式效能、後端基礎設施和廣告分析等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/servicesnow%E6%90%AD%E9%85%8DAI%E5%8A%A9%E6%89%8B.png" /></p> <p><strong>#軟體交付 #AI簡化測試<br /> 軟體交付工具商CloudBees併購測試自動化平臺Launchable，要用AI簡化測試流程</strong></p> <p>知名軟體交付工具商CloudBees最近宣布併購了測試自動化平臺Launchable，不過，沒有透露收購金額。Launchable利用GAI和機器學習來簡化測試流程，例如可提供GAI助手來確保能在正確的時間執行合適的測試工作。Launchable平臺甚至可以預測一項軟體元件是否可能無法通過某項測試。可以提前通知DevOops團隊，避免執行了一系列無效的測試工作來節省時間。</p> <p><strong>#跨雲遷移 #IaC<br /> StackGen推出跨雲遷移自動化引擎，支援三大公雲跨雲VM搬家作業自動化</strong></p> <p>GAI基礎架構工具商StackGen推出一項新的跨雲遷移引擎，可以協助企業建立自動化的搬遷流程，將雲端的工作負載，從一朵公雲搬遷到另一朵公雲，目前支援三大公雲AWS，Azure、GCP和Civo雲端供應商。StackGen透過唯讀存取權限的公雲API，來掃描企業現有的雲端環境，辨識出所用的資源、相依性和安全性原則，再自動產生可以部署的IaC基礎架構程式碼，讓企業在新公雲環境中部署。</p> <p><strong>更多新聞</strong></p> <ul> <li> Ubuntu發布了長期維護版24.04.2，主要修補了24.04版的漏洞和錯誤。</li> <li> Docker Desktop釋出4.38版，支援多節點K8s測試與AI輔助。</li> </ul> <p> 責任編輯：王宏仁</p> </div></div></div>
2025/2/27 11:51作者王宏仁https://www.ithome.com.tw/news/167592
高達2.84億筆帳密資料收入Have I Been Pwned，都源自駭客盜取的Log資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>可查詢自己密碼是否遭外洩的網站Have I Been Pwned（HIBP），<a href="http://www.troyhunt.com/processing-23-billion-rows-of-alien-txtbase-stealer-logs/">最近納入1.5TB巨量事件記錄資訊</a>，它們都是遭竊的資料，該網站的創辦人Troy Hunt指出，內容多達230億筆，其中包含4.93億組網站及電子郵件資料，<a href="https://haveibeenpwned.com/PwnedWebsites#AlienStealerLogs">影響2.84億個（284,132,969）電子郵件信箱</a>，而這批資料的來源，是一個名為Alien Txtbase的Telegram頻道。</p> <p>究竟這批資料有多龐大？Troy Hunt表示，這批資料含有2.44億組新密碼，比原本HIBP留存的1.99億筆還要來得多。</p> <p>對於資料的發現過程，Troy Hunt提及是一名政府機關的人士提供相關情報，並交給他這批資料的其中兩個檔案，經過他循線調查之後，總共在Telegram頻道找到744個檔案，從而拼湊出上述資料。</p> <p>至於Alien Txtbase這個即時通訊頻道的來歷，Troy Hunt指出賣家先是在這個管道公布部分資料，以此招攬買家上門，並表明若要取得更多帳密資料，可付費存取完整的外流帳密資料。Troy Hunt認為，Alien Txtbase是其中一個網路犯罪圈兜售竊資軟體事件記錄的主要管道。</p> </div></div></div>
2025/2/27 15:05作者周峻佑https://www.ithome.com.tw/news/167600
預算刪減危機衝擊，數發部面臨政策落地與產業創新的雙重考驗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在全球數位轉型浪潮席捲之際，臺灣政府原本寄望透過數位發展部推動一系列政策與創新計畫，以期打造出具有國際競爭力的數位產業生態系統。然而，立法院對數位發展部年度預算的大幅縮減，卻使得本應成為未來經濟動能與產業轉型關鍵支柱的各項計畫，陷入了前所未有的困境。</p> <p>自去年5月20日數位發展部部長黃彥男上任後，他便提出「數位經濟三支箭」策略，意圖從三個層面全面推動臺灣數位經濟的發展：一是強化數位韌性，二是推動數位經濟發展，三是積極展開打詐工作。然而，立法院大幅刪減數發部預算使得原定計畫在執行層面遭遇重重阻礙。</p> <p>不過，數位發展部今年的施政面臨一項重大的挑戰就是：立法院大幅刪減預算，他表示，數位發展部原先提出的年度預算高達86.6億元，預算內容涵蓋數位基礎建設、創新研發、跨部門協調以及產業輔導等多項工作。</p> <p>然而，立法院最終決定刪減約41.3%的經費（約35.8億元），並再凍結20%（約18.7億元）預算，他說，立法院這樣的決策，不僅大幅壓縮了數發部可運用的資源，也使得原定多項重點計畫不得不面臨縮減或暫停的命運。</p> <p>不過，黃彥男強調，即便數發部施政因為預算刪減而需要有所調整，但該部仍會在最大的能力範圍下，將施政目標聚焦在「強化數位韌性」、「發展數位經濟」及「推動打詐工作」，並積極加速臺灣的數位發展。</p> <h2><strong>數位政策推動面臨後繼無力的挑戰</strong></h2> <p>為確保在突發災害或其他緊急狀況下，政府能夠保持穩定且不中斷的通訊能力，數位發展部在2024年積極推動了低軌衛星佈建計畫，並在警、消、軍等關鍵單位部署了773個非同步衛星站點。這些站點不僅在災害應變中發揮了重要作用，更為臺灣建立起一條臨時且可靠的數位應變通道。 </p> <p>然而，預算縮減後，黃彥男坦言，2025年的相關計畫僅能維持大約原有四分之一的站點數量，僅剩195個關鍵節點。這不僅使得原先的應急通訊網絡大打折扣，也讓政府在面對未來突發事件時，數位政策的執行力和應變能力受到嚴重挑戰。</p> <p>數位發展部在推動數位轉型的同時，也肩負著與其他部門協同合作、促進數位經濟政策落地的重任。原本預期透過大筆經費的投入，能夠有效整合各方資源，建立起完善的數位服務與協作平臺。可惜的是，預算緊縮使得許多跨部門、跨產業的合作計畫不得不進行縮減或暫停，這對於政策的全盤推動與縱深發展都造成了極大阻礙。</p> <p>面對全球數位轉型的激烈競爭，臺灣的數位產業必須不斷研發與創新才能保持競爭優勢。數位發展部原規畫由資安院領軍，針對AI主動式防禦技術進行深入研究，涵蓋戰情匯流追蹤、攻擊酬載來源鑑別、未知漏洞識別、威脅態勢預警等多項技術。然而，黃彥男指出，因為預算的削減，也迫使數位發展部不得不將原訂六大技術研究項目中，僅保留其中兩項，這將直接影響臺灣在新興技術應用和產業創新方面的進一步突破。</p> <h2><strong>關鍵技術與平臺建設因預算不足取消或縮減規模</strong></h2> <p>在數位轉型的藍圖中，先進技術與創新平臺的建立是推動政策落地及產業升級的重要引擎。數位發展部原本規畫在2024年推出多項創新計畫，其中最具代表性的便是高空通訊平臺計畫。這項計畫利用氣球型高空通訊裝置，成功突破臺灣地形與氣候限制，不僅在緊急情況下提供應急通信保障，也為推動下一代通訊技術提供了實際案例。</p> <p>然而，由於預算大幅縮減，黃彥男表示，該計畫在2025年的所有建設經費均遭到全數取消，導致高空通訊平臺無法如期推動，這對整體數位基礎建設與跨部門協同均產生重大衝擊。</p> <p>另外，在技術研發方面，數位發展部曾規畫由資安院主導，進行針對AI主動式防禦技術的多項研究，包括戰情匯流追蹤、攻擊酬載來源鑑別、未知漏洞風險識別以及威脅態勢預警等六大技術。這些技術不僅有助於提升政府在資訊安全領域的應變能力，更能為產業創新注入新動能。</p> <p>但由於經費削減，黃彥男惋惜表示，數位發展部也不得不縮減研究範疇，最終僅能保留前兩項技術研究，其他技術項目被迫擱置。他認為，這不僅限制了創新技術的研發進程，也使得未來在數位產業的應用拓展上，可能面臨更多的不確定性與競爭壓力。</p> <h2><strong>網路攻防演練與跨部門協同的挑戰</strong></h2> <p>面對全球網路攻擊威脅日益嚴峻的現狀，政府原計畫加強網路攻防演練，藉由定期舉辦跨部門、跨國資安攻防演練來檢視與強化整體應變能力。</p> <p>政府每月遭受約13億次的網路攻擊，黃彥男強調，資安演練是確保政府網路安全的關鍵。數位發展部在2024年，已經成功協助71個機關進行社交工程演練、針對1.9萬餘封電子郵件測試，並進行超過3,400次針對外部系統的實兵演練，這些活動不僅提升了各部門的資安意識，也為日後的數位政策推動建立了重要基礎。</p> <p>然而，預算雖然縮減，但黃彥男強調，確保國家和政府系統的網路安全，還是數位發展部重要的任務，在經費縮減下，2025仍會持續針對71個公務機關進行社交工程演練，也會針對國內公務機關系統進行實兵演練。</p> <p>更重要的是，他指出，今年在臺灣舉辦的跨國攻防演練「CODE」，仍會至少邀情八隊國內外的隊伍參加演練，藉此提升臺灣資安攻防演練的量能。</p> <h2><strong>法規修訂與數位政策落實的困境</strong></h2> <p>數位政策的推動不僅僅依賴技術研發與平臺建設，法規的修訂與政策法制的完善同樣扮演著舉足輕重的角色。數位發展部在2024年已將《資安法》修正草案送交立法院一讀，並陸續在全臺各地舉辦八場子法草案說明會，與逾千名資安及數位領域的從業人員進行交流，這為推動數位政策法規的落實鋪設了道路。</p> <p>面臨預算縮減，黃彥男表示，法規遵循是政府部門依法行政的重要準則，因此，仍會積極調適資安法規，以健全資通安全基礎，例如，數位發展部也會積極和立法院溝通，希望今年第三會期能夠通過《資安法》的三讀，並且可以於今年五月～六月時，完成相關《資安法》子法徵詢及溝通程序，也可以於今年底完成相關子法的法制作業程序。</p> <h2><strong>政府預算刪減致無力擴大算力池投資，AI教育向下扎根</strong></h2> <p>數位發展部在2024年已建置40片GPU的AI算力池，協助60家資訊服務業者開發應用，並訓練88個AI應用領域模型。2025年，原計畫擴大AI算力池，增加採購70片GPU，協助300家業者開發應用，訓練300個AI模型。然而，「因預算刪減，這些擴展計畫被迫取消，直接影響臺灣AI產業的發展。」黃彥男坦言說道。</p> <p>至於推動AI產業所需要的資金與人才，黃彥男表示，在2024年數發部已經爭取到100億投資AI新創；另外針對AI的高中啟蒙教育向下扎根超過三千人（3,236人），在職AI人才共培訓1,662人。</p> <p>他指出，希望2025年可以遴選出15個搭配投資人的投資案，讓潛在投資對象至少有30家；另外也要完成65個場域驗證並培訓1,300人；同時辦理2場次的Demo Day，也培訓200人。「透過充足的資金和人才，有助於臺灣AI產業的發展。」</p> <p>他也說，政府將在未來十年內投入100億資金，專門用於投資具有潛力的AI新創企業。不過，這筆資金並非一年內花費，而是作為國發基金的一部分，透過搭配投資人的模式進行：</p> <p>此外，黃彥男強調，政府在推動AI產業時也會搭配投資機制，民間創投業者將主導投資，政府則採取跟投策略，確保投資金額達到1比1或1比3的配投比例，進而促進更多具競爭力的新創公司發展。</p> <p>至於相關的產業投資佈局，他表示，政府預計甄選出15個搭配投資案例，並鼓勵每個案例提出至少兩家具有潛力的新創公司，全年累計投資目標達30家企業，這可以為臺灣AI產業注入源源不斷的創新動能。</p> <p>最後，也會推動跨界產業融合，他強調，政府也會著眼於將AI技術應用於傳統產業轉型，例如電商、遊戲、資服業等，藉由AI技術提高產業效率與國際競爭力，達成數位經濟新造業的目標。</p> <h2><strong>推動AI資料治理法制化，為高品質AI資料奠基</strong></h2> <p>數位發展部參考國際趨勢，研擬《促進資料創新利用發展條例草案》，並於2024年12月完成對外溝通草案。同時，規畫「臺灣主權AI訓練語料資料庫」，建立多元語料共享機制，確保AI資料主權。</p> <p>到2025年，數位發展部將推動該條例的立法，並提報資料匯流暨隱私強化研發與部署先導計畫，爭取國科會科發基金的支持。此外，計畫完成15組政府機關和非政府組織的資料創新應用。</p> <p>黃彥男表示，《促進資料創新利用發展條例草案》目的在強化資料作為創新關鍵資源的重要性，並促進數位轉型、經濟發展以及公共治理透明化，數位發展部希望於今年第一季，積極與各部會、地方政府、以及專家學者進行意見交流，爭取各方回饋，為條例最終送審行政院前進行調整，確保法律內涵具備高度可行性與實務落地。</p> <p>他也強調，該條例草案是為臺灣基礎資料工程和高品質數據資料奠定基礎，配合該條例中所規畫的基礎建設以及人工智慧的發展，確保能提供高品質、可信賴的資料供民間運用，成為創新的核心資源。</p> <p>對政府而言，則做到擴大開放資料與品質管理。黃彥男強調，政府各機關應落實開放資料的應用，並透過嚴格的品質管理機制，提升資料的高附加價值，進而促進跨部門整合與產業合作。</p> <p>他也特別提及，該條例提出對於部分共享資料採用減免收費政策，以降低企業使用資料創新的門檻，同時鼓勵建立資料創新實驗環境，並獎勵優秀成果，使創新成果能更快地惠及民眾與市場。</p> <p>此外，他也期盼，藉由該條例的施行，可以建構一個產業資金資料共享平臺，活絡整體資料創新生態，促使資料流通更順暢，推動民間與政府協同合作。</p> <h2><strong>盤點AI語料資料庫與規畫資料流通平臺</strong></h2> <p>黃彥男提到，過去以開放資料為核心，目前已整合約五萬筆資料，其中包括文化部國家記憶、客委會客語資料、原民會原民資料以及科研資料等；預計將進一步盤點並優化這些資料的申請、收費與授權機制。</p> <p>政府也預計分階段推動資料流通，他指出，第一步是由政府先行釋出大量、多元化資料與快速更新的語料資料，第二步則透過與民間企業的協作，共同打造一個高效、互通的平臺，使資料資源得以廣泛應用，滿足產業及學術研發需求。</p> <h2><strong>和產業聯手推動SEMI E187第三方驗證制度</strong></h2> <p>發展數位經濟還有一個很重要的關鍵在於發展安控及資安產業，黃彥男說，最大的成功就是由臺灣主導半導體設備資安標準。在2024年，臺灣成功推動半導體設備資安標準SEMI E187，臺積電也將此標準列為供應商的採購需求，已有10家設備商取得合規性認證。</p> <p>到了2025年，數位發展部計畫與臺積電、SEMI（國際半導體產業協會）、TAF（全國認證基金會）及工研院共同建立第三方認驗證制度，並輔導資安廠商發展SEMI E187合規工具，建立可信賴的供應鏈。</p> <p>另外，推動安控及資安產業發展是數發部一個重要的工作重點，因此，輔導相關業者提升資安意識也很關鍵。他指出，在2024年數發部針對安控及資安產業，輔導9個公協會及其會員提升資安意識，並且協助超過100家企業進行資安健檢；也建立募資輔導機制，輔導2家資安產業籌獲資金，持續擴大產業規模。</p> <p>同時，也補助16案資安業者投入軍民通用資安技術研發，強化國防資安領域技術實力；補助3案場域業者與資安業者合作，研發零信任資安技術方案。</p> <p>然而，因預算刪減，黃彥男坦言，數位發展部也將停止補助業界投入軍民通用資安技術，以及零信任資安技術的研發的經費，但仍會持續輔導公協會和企業進行資安健檢，提供外部掃描服務與漏洞修補建議，並協助資安產業募資，輔導產業科技事業上市櫃。</p> <h2><strong>政府導入AI提升服務效率，預計推出《政府AI戰略計畫》</strong></h2> <p>對於公務機關導入AI科技以及升運作效率，黃彥男表示，2024年政府AI服務及數位轉型的成果，包括：完成公務員AI基礎技能培力；推動公部門人工智慧應用服務；T-Road串接50個機關的150項服務，每個月有超過180萬筆的跨機關資料傳輸。</p> <p>此外，MyData也提供包括「有條件式線上申換護照」等一千項（1,087項）線上申辦服務，而政府入口網MyEGov針對人生事件提供二千多項（2,673項）整合服務。</p> <p>但到了2025年的目標在於：協助政府提供AI服務及數位轉型，黃彥男指出，數位發展部計畫建立並推動AI職能架構與訓用平臺，打造統合16個部會的《政府AI戰略計畫》，建立政府AI應用實驗站（tryai），提供政府機關AI模型試煉場域，並建立AI創作共享平臺（AI Bots），促進機關開發AI工具並交流。然而，因預算刪減，政府入口網MyEGov的問題導向智慧助手計畫被迫停止。</p> <h2><strong>推動數位憑證行動化，憂心臺灣網址配發受刪預算影響</strong></h2> <p>黃彥男表示，發展數位經濟還有一個重要的工作項目就是：數位憑證皮夾與國際合作，而數位憑證皮夾就是把一些重要的數位憑證行動化，例如自然人憑證、工商憑證等，都可以整合在手機這個載具上。</p> <p>數位發展部在2024年，已經建置數位憑證皮夾雛形系統及沙盒環境，介接4個合作機關，涵蓋自然人憑證、工商憑證、技術人員證、採購人員證等數位憑證，並召開13場研討會及工作坊，確認數位憑證皮夾互通技術標準、資安架構、隱私保護等使用情境，也與美國加州洽談數位駕照互信技術規格，達成初步合作意願。</p> <p>不過，黃彥男表示，2025年數位發展部原本計畫邀請各界測試雛形系統，進入沙盒測試應用情境，同時規畫數位憑證皮夾運作規範、擴大政府機關憑證數位化和協助產業介接驗證，並計畫召開20場研討會，持續確認符合個資保護等法治要求，發展應用情境。然而，他指出，因立法院刪減預算之故，臺美駕照互信等跨國合作事宜將被暫緩。</p> <p>至於國際合作部分，數位發展部在2024年，除了參與臺英、臺日等三國數位貿易議題談判，也參與北約網路衝突安全會議（CyCon）、網際網路名稱及位址分配機構（ICANN）、自由線上聯盟（FOC）、亞太經濟合作（APEC）等資安、網路、數位治理和數位經濟專業組織，鞏固臺灣國際地位。</p> <p>然而，因立法院刪除所有出國預算，數位發展部擔心與數位主權攸關的網址配發（如ICANN相關工作）將受到影響。「未來，總不能申請.tw的網址，不能向臺灣申請，必須向其他國家，例如中國申請.tw的網址。」他說。此外，數位外交部分，數位發展部2025年只能保留參加APEC的資安、網路等相關會議。</p> <p>黃彥男指出，數位發展部在2024年積極協助臺灣全球駐外館處進行資安健檢，杜絕資安防護缺口；但2025年因為沒有出國預算，就不能像以往一樣，指派數發部的資安專家出國協助駐外館處處理資安事宜，讓人對於駐外館處的資安情況感到憂心。他表示，未來只能看外交部是否有合適的出國預算，可以提供駐外館處相關的資安健檢服務。</p> <h2><strong>強化數位防詐策略，全面打擊網路詐騙</strong></h2> <p>黃彥男強調，隨著數位經濟的快速發展，網路詐騙行為日益猖獗，政府必須積極採取措施，強化打詐、防詐和阻詐，確保數位環境的安全與信任。</p> <p>為了有效識別和攔截詐騙廣告，數位發展部於2024年九月底至十月初上線測試「網路詐騙通報查詢網」，期間下載量超過12,501次，近1,979名民眾通報可疑網路訊息；高風險金融投資廣告案件數量從單週最高77,484件下降至2024年12月平均每週2,050件，降幅達97%。</p> <p>黃彥男表示，截至2024年底，該平臺共受理100,263件民眾通報，其中47,963件被認定為詐騙並下架；而數位發展部計畫在2025年推出查詢網2.0版，與各部會建立跨部會聯防機制，提高審查效率與準確性，預計下架超過60,000則網路詐騙訊息。</p> <p>黃彥男強調，打擊網路詐騙的關鍵在於「網路廣告實名制」。為遏制詐騙行為，數位發展部於2024年要求包括Facebook、LINE、Google、TikTok等網路平臺業者實行廣告實名制，確保廣告發布者身份可追溯，避免名人被冒用等詐騙情況；政府也在同年，制定打詐專法並頒布相關子法，以法律手段保障網路安全，並強化執法效能。</p> <p>至於2025年的打詐工作重點，黃彥男認為，數位發展部將著重於查核業者身份及驗證合規性，也會輔導業者制定並提交防詐計畫，並以滾動式方式，持續檢討業者防詐措施的有效性。</p> <p>在產業層面，2024年數發部積極推動「鷹眼識詐聯盟」，聯合35家金融機構開發偽冒網站偵測及終端設備AI特徵辨識技術，共同打擊網路詐騙，累計偵測近20,000個可疑帳戶，阻攔金額達5.9億元；同時，建置第三方支付虛擬帳號查詢平臺，供警政單位查詢可疑帳戶，累計查詢超過30,000筆。</p> <p>到了2025年，黃彥男表示，計畫將聯防成效進一步提升，主動偵測偽冒案件目標訂為80,000件，同時整合第三方支付業者超商條碼資訊，新增涉詐客戶通報功能，累計查詢筆數預計達60,000筆。</p> <p>為全方位防護網路安全，政府在2024年也推動可信任的簡碼簡訊服務，總計376個政府機關累計發送近6,500萬則「111」簡訊，確保公共訊息傳遞及警示功能穩定運作。</p> <p>此外，也有八家大型電商導入隱碼技術，使其不再名列165高風險業者名單；同年，透過域名系統（DNS）回應政策區域（RPZ）技術，屏蔽超過三萬個（30,914個）涉及詐騙的偽冒網站，形成資安防護第一線屏障。</p> <p>因為打詐是政府施政重要的任務之一，黃彥男指出，2025年發展方向除了將持續優化防禦機制，加快資料處理速度與防詐量能外，也會推廣簡碼簡訊在其他領域（例如計程車服務）的應用，提升跨界防護效能。</p> <div class="ui-widget-content ui-draggable" id="haloword-lookup" style="position: relative;"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"> </div> </div> <div id="haloword-content"> </div> </div> <div class="ui-widget-content" id="haloword-lookup"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"></div> </div> <div id="haloword-content"> </div> </div> </div></div></div>
2025/2/27 14:00作者黃彥棻https://www.ithome.com.tw/news/167596
北美及亞洲政府機關、大學遭Linux後門程式Auto-Color鎖定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對Linux作業系統的攻擊行動越來越常出現，而且駭客的手段日益複雜，使得防守方難以察覺，在後續進行復原的工作更加困難。</p> <p>資安業者Palo Alto Networks指出，他們自去年11月初至12月，<a href="https://unit42.paloaltonetworks.com/new-linux-backdoor-auto-color/">發現名為Auto-color的Linux後門程式</a>，駭客為了迴避偵測，使用多種手法，其中包含使用看起來良性的檔案名稱來掩人耳目，刻意埋藏C2連線的通訊，以及將相關通訊與組態資訊進行加密處理。研究人員強調，這款後門程式能讓攻擊者完全存取受害電腦，防守方若要清除，必須搭配特定工具，否則會很難清除。</p> <p>針對這個後門程式的發現，Palo Alto Networks資深主任安全工程師Alex Armstrong指出，他們在去年11月5日發現第一個檔案，而該惡意軟體家族主要鎖定的目標，是北美及亞洲的大學及政府機關辦公室，但究竟後門程式如何入侵受害組織，Alex Armstrong表示目前仍不清楚。</p> <p>一旦後門程式執行，就會先檢查執行檔的檔名，來決定要採用的運作邏輯。假如檔名是door、egg，而非Auto-color，此後門程式就會試圖執行安裝工作，於受害電腦植入能迴避偵測的程式庫libcext.so.2，接著，駭客會將其重新命名為Auto-color。</p> <p>這個惡意程式庫的主要功能，就是隱匿攻擊者的網路活動，並且防堵作案工具遭到移除。</p> <p>值得留意的是，若是當下登入的使用者不具備root的權限，攻擊者就會跳過上述部署惡意程式庫的步驟，繼續執行後續的活動。</p> <p>接著，此後門程式會讀取受害系統資訊，並與C2伺服器連線，待通過身分驗證後，就會接收C2發出的API請求並執行。這些API請求的命令，包括：重新設定遠端伺服器的資訊、建立反向Shell、操縱檔案。</p> <p>對於Auto-color隱匿C2連線的手法，Alex Armstrong表示並非首例，類似的方法曾在惡意軟體家族Symbiote出現。</p> </div></div></div>
2025/2/27 12:05作者周峻佑https://www.ithome.com.tw/news/167594
Amazon公布付費AI助理Alexa Plus，整合Echo成智慧家庭中樞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Amazon在公布革新Alexa一年多後，本周<a href="https://www.aboutamazon.com/news/devices/new-alexa-generative-artificial-intelligence" target="_blank">公布</a>結合AI能力的Alexa Plus，可整合Echo系列裝置作為智慧家庭控制中樞。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0227-amazon-Alexa%2B(3).png" style="width: 600px;" /></p> <p>Alexa Plus是以Amazon Bedrock上的LLM為基礎，Amazon強調，Alexa Plus比起原始的Alexa口語對話更流暢、更聰明，也更個人化，它能讓用戶以口說下指令互動，以查詢資訊、為繁複文件整理重點、設定通知或行程提醒，且能就幾乎任何主題和用戶對話。Alexa也接受檔案或郵件，例如上傳線上音樂演出日期的圖片讓Alexa加入到行事曆、上傳學習素材叫Alexa設計一道題目，或把孩童學校郵件轉寄給Alexa，要它提醒哪一天要去學校當志工。</p> <p>Amazon更強調Alexa Plus能採取真實行動，扮演智慧家庭裝置和服務協調者。Amazon將特定用途或完成特定任務的系統、能力、服務、API與指令稱為「專家」（experts），包含第三方合作夥伴的產品。Alexa Plus結合這些專家實現家庭自動化，例如控制Philips Hue的智慧燈泡、透過OpenTable預約餐廳，其他Alexa Plus整合的服務供應商還包括Apple Music、Spotify、iHeartRadio、Uber Eats。Amazon自己就有一個龐大的生態體系，包括Amazon Music、Whole Foods Market、Amazon Fresh，以及智慧音箱Echo、Fire TV、智慧門鈴Ring等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0227-amazon-Alexa%2B(4).png" style="width: 600px;" /></p> <p>Alexa Plus是Amazon引入AI改革Alexa，以追趕AI後進者如Google、OpenAI的成果。Alexa Plus<a href="http://www.ithome.com.tw/news/160943" target="_blank">原本</a><a href="https://www.ithome.com.tw/news/160943" target="_blank">傳</a>去年6月就要推出，但苦於內部分歧致使研發進度落後，後來<a href="https://www.ithome.com.tw/news/164806" target="_blank">又傳</a>延到10月。Amazon未說明Alexa Plus使用了哪一款模型，但媒體報導可能採用Anthropic的Claude。</p> <p>Amazon Plus要價每月19.99美元，但用戶可以選擇以14.99美元月費或139美元年費加入Amazon Prime也能使用這項服務。</p> <p>使用者可以透過新版Alexa App或Alexa.com、或在Amazon裝置、甚至支援的車機上使用Alexa Plus。相容的FireTV、Fire平板可透過Alexa App、瀏覽器使用Alexa Plus。</p> <p>Amazon將先從美國Echo Show 8、10、15或21用戶開始部署Alexa Plus服務。但也有許多裝置無法使用，包括第1代Echo Dot、Echo Plus、Echo Tap、Echo Show、Echo Spot，以及第1、2代Echo。Amazon不算太成功的機器人Astro也無緣使用最新的Alexa Plus。<span style="font-size:14px;"><span style="color:#696969;">圖片來源_Amazon</span></span></p> </div></div></div>
2025/2/27 12:48作者林妍溱https://www.ithome.com.tw/news/167595
微軟發展自家多模態模型Phi-4-multimodal，56億參數支援裝置端運作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟<a href="https://azure.microsoft.com/en-us/blog/empowering-innovation-the-next-generation-of-the-phi-family/">發表</a>Phi-4-multimodal，這是一款小型語言模型（SLM）具備處理語音、圖像與文字的能力，已於Azure AI Foundry、<a href="https://huggingface.co/microsoft/Phi-4-multimodal-instruct">Hugging Face</a>及Nvidia API Catalog上線。相較於過去的Phi-3.5及Phi-4.0，這次的版本不僅提升了多模態整合能力，也強化了語音辨識、視覺理解與推理能力，適用於開發多元人工智慧應用的場景。微軟強調，Phi-4-multimodal針對運算資源受限的環境進行最佳化，能夠在裝置端執行。</p> <p>在非多模態架構下，語音輸入通常需先透過語音辨識技術轉換為文字，而影像則可能需透過獨立的視覺模型處理，之後再進行語言理解或跨模態分析。這種方式不僅增加延遲，也無法充分利用語音中的額外資訊，例如語調、語境或背景音。Phi-4-multimodal則透過統一的神經網路架構，直接對語音、圖像和文字進行處理，減少資料轉換過程的資訊流失，並提升整體處理效率。</p> <p>技術規格上，Phi-4-multimodal具有56億參數，支援12.8萬Token的上下文長度，並透過監督式微調、直接偏好最佳化（DPO）與人類回饋強化學習（RLHF）等方式，提升指令遵循能力與安全性。在語言支援方面，文字處理涵蓋超過20種語言，包括中文、日文、韓文、德文與法文等，語音處理則涵蓋英語、中文、西班牙語、日語等主要語種，圖像處理目前則以英文為主。</p> <p>Phi-4-multimodal的一大亮點在於語音處理能力，特別是在語音辨識與語音翻譯方面，已超越WhisperV3及SeamlessM4T-v2-Large，並在Hugging Face OpenASR排行榜上達到只有6.14％的字錯率（WER），優於WhisperV3的最佳成績6.5％。此外，這款模型也在數學與科學推理測試中表現出色，並在OCR、圖表理解與文件推理等應用可與其他大型模型競爭，如Gemini-2.0-Flash Lite與Claude-3.5-Sonnet。</p> <p>除了多模態模型，微軟也推出Phi-4-mini，這是一款38億參數的小型模型，專注於文字處理，特別適用於程式碼生成、數學推理、長文本處理與函式呼叫。Phi-4-mini採用分組查詢注意力機制（Grouped-Query Attention），提升計算效率，也支援12.8萬Token內容，在同等級的小型語言模型中擁有更強的推理與指令遵循能力。</p> <p>微軟與OpenAI的合作仍然持續，但在小型語言模型（SLM）領域，微軟也積極發展自家技術，以補足OpenAI大型模型之外的應用需求。與GPT-4等大規模模型不同，Phi-4-multimodal及Phi-4-mini採用較小的參數規模，針對低延遲推理與計算資源受限的場景進行最佳化，適用於邊緣設備、嵌入式應用及行動裝置。這類小型模型的發展，也反映出人工智慧應用在雲端與裝置端的多元部署策略，讓智慧設備能夠更高效地處理多模態輸入。</p> </div></div></div>
2025/2/27 11:59作者李建興https://www.ithome.com.tw/news/167591
AI深入研究也有本地開源版本DeepSearcher，強調靈活自訂與隱私安全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Zilliz宣布推出<a href="https://milvus.io/blog/introduce-deepsearcher-a-local-open-source-deep-research.md">DeepSearcher</a>，這是一款基於開源技術的研究代理，能夠在本地端執行並支援向量資料庫Milvus，提供更靈活且可自訂的深度研究解決方案。相較於先前Zilliz公開的簡易原型，DeepSearcher進一步強化了查詢路由（Query Router）、條件執行流程與網頁爬蟲功能，並採用Python函式庫與命令列工具形式，擺脫了Jupyter Notebook限制，使其更易於整合到現有系統中。</p> <p>Zilliz是開源向量資料庫Milvus的主要開發公司，該公司於2020年將Milvus捐贈給Linux基金會旗下的AI&Data專案。</p> <p>不少企業與開源社群都在嘗試重現類似OpenAI Deep Research的研究代理，例如Perplexity Deep Research及Hugging Face Open Deep Research，這些工具的核心目標都是透過語言模型推理自動化研究過程，將問題拆解為多層次查詢，逐步收集、分析並彙整成具結構化的報告。</p> <p>DeepSearche在這方面則額外強化了查詢決策能力，透過語言模型驅動查詢路由機制，自動判斷適合的資料來源，並決定是否需要進一步檢索。</p> <p>在架構設計上，DeepSearcher延續了Zilliz先前的研究代理概念，但提升了靈活性。研究過程大致可分為四個階段，定義與拆解問題、資料搜尋與分析、反思與條件重複，最後是總結與報告生成。相較於一般搜尋或資訊檢索系統，DeepSearcher透過條件執行流程，讓人工智慧能夠根據先前的搜尋結果，決定是否進行額外搜尋，並在特定條件下重複研究步驟，確保結果的完整性。</p> <p>官方以研究《辛普森家庭》演變歷史為例，DeepSearcher除了最初的查詢拆解外，人工智慧進一步判斷需要補充有關製作團隊變遷、社會文化影響及媒體環境變化的資訊，並自動發起新的搜尋請求，使報告內容更全面。</p> <p>DeepSearcher仍是正在持續發展的專案，支援本地與雲端推理模式，並可搭配OpenAI、Gemini、DeepSeek等不同的語言模型使用。目前DeepSearcher的原始碼已經<a href="https://github.com/zilliztech/deep-searcher" target="_blank">開放</a>，使用者可以在GitHub上下載並試用。</p> </div></div></div>
2025/2/27 08:17作者李建興https://www.ithome.com.tw/news/167583
OpenShift 4.18增強虛擬化與安全管理功能，提升混合雲部署靈活性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>紅帽（Red Hat）最新發布的<a href="https://www.redhat.com/en/blog/what-you-need-to-know-red-hat-openshift-418">OpenShift 4.18</a>進一步強化虛擬化功能與安全管理，並擴展混合雲部署的選擇。該新版本帶來更靈活的虛擬機器網路配置、儲存搬遷能力與改進的操作介面，方便企業管理虛擬化工作負載。此外，OpenShift 4.18也擴大對Google雲端與甲骨文雲端（OCI）裸機環境的支援，同時透過Secret Store CSI Driver加強憑證與敏感資訊管理，降低安全風險。</p> <p>OpenShift 4.18的虛擬化更新之一是使用者自定義網路（UDN）正式進入穩定版本，讓虛擬機器擁有更接近傳統資料中心的網路彈性，特別是在靜態IP分配與即時搬遷方面。這項技術原本僅支援OpenShift的內部容器網路，現在擴展到Red Hat OpenShift on AWS及OpenShift Service on AWS，讓企業能夠在雲端與本地環境中使用相同的網路機制，減少異質環境間的配置成本。</p> <p>Red Hat也在OVN-Kubernetes架構中加入BGP（Border Gateway Protocol），讓OpenShift內的虛擬機器與容器能夠與外部網路設備更順暢地整合，適用於多租戶環境或需與第三方負載平衡器互通的場景。</p> <p>儲存管理方面，OpenShift 4.18加入虛擬機器儲存即時搬遷功能（Live Migration），目前仍處於技術預覽階段。這項功能允許管理員在不中斷運作的情況下，將虛擬機器的儲存空間轉換為不同的儲存類型，無論是硬體汰換、工作負載調整，或是因應不同的儲存效能需求，這項能力都能讓IT團隊在動態環境中有更大的彈性與操作空間。</p> <p>在混合雲部署方面，OpenShift 4.18擴展了對裸機雲端環境的支援範圍，正式支援Google雲端C3裸機執行個體，並進一步整合OCI，允許使用者在OCI裸機環境部署OpenShift。這些新選項使企業能夠靈活選擇OpenShift運作的基礎設施。同時，Red Hat OpenShift Virtualization on OCI也進入技術預覽，提供有公有雲虛擬化需求的使用者更多選擇。</p> <p>安全性方面，Red Hat在OpenShift 4.18引入Secret Store CSI Driver正式版，這項功能最早在OpenShift 4.14以技術預覽形式推出，現在進入正式支援階段，允許工作負載從外部機密管理系統存取憑證，而不需將機敏資訊儲存在Kubernetes叢集內。這項機制使OpenShift更適用於高安全性環境，也讓OpenShift GitOps與OpenShift Pipelines能夠以更安全的方式管理憑證，減少傳統Kubernetes Secrets在etcd儲存時的風險。</p> </div></div></div>
2025/2/27 08:23作者李建興https://www.ithome.com.tw/news/167586
Arm發表首款鎖定邊緣AI的Armv9架構運算平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>看準邊緣端的AI運算需求，Arm發表首款Armv9架構邊緣AI運算平臺，整合CPU與NPU功能，強調可支援超過10億參數的邊緣端AI模型，預期將進一步帶動AI應用從雲端及資料中心向邊緣運算發展。</p> <p>Arm指出，現今AI發展不再只限於雲端，隨著物聯網的智慧化發展提升，從智慧城市到工業自動化，在邊緣端處理AI工作負載將帶來優勢，也有其必要性，首款Armv9邊緣AI運算平臺，代表此一發展進入重要的里程碑。</p> <p>隨著物聯網發展愈來愈普及，也帶動運算需求的增加，Arm以自駕車為例，在工廠的環境下自駕車如何精準導航，或是利用AI建立更自然的人機互動體驗。Arm指出，AI向邊緣端發展，更接近資料源，可降低延遲，並且提升隱私保護。</p> <p>這款專門定位在邊緣AI運算需求設計的Armv9架構運算平臺，內部整合號稱全新的Cortex-A320 CPU，以及Ethos-U85 NPU，其中的Ethos-U85 NPU支援Transformer運算子網路，使得這款定位在邊緣AI運算需求的Armv9運算平臺，要比去年推出基於Cortex-M85的邊緣AI運算平臺，機器學習效能高出8倍。</p> <p>如果單看CPU，Arm指出，Cortex-A320能夠提高物聯網的效能、效率及安全性，支援Armv9架構的AI功能及軟體支援，比前一代的Cortex-A35，在機器學習方面的效能提升10倍，純量效能則提高3成。</p> <p>至於隨著物聯網普及，而受到重視的物聯網裝置安全性方面，新平臺則將Armv9.2架構的安全功能帶到小型化的Cortex-A裝置，例如PAC指標驗證、MTE記憶體標籤擴充等等。</p> <p>Arm稱新平臺將Armv9架構技術，從雲端擴大到邊緣端，涵蓋不同類型的裝置，包括從強調高效能設計的裝置，到有限電源下需要延長使用時間的高能效裝置。</p> <p>另外，針對邊緣端的AI應用開發，Arm也將針對AI框架的開發工具Arm Kleidi，專門優化Arm CPU的AI及ML負載，Arm以物聯網AI框架Llama.cpp執行微軟Tiny Stories資料集為例，Kleidi為Cortex-A320提升7成的效能。</p> </div></div></div>
2025/2/27 05:03作者蘇文彬https://www.ithome.com.tw/news/167589
玉山金揭露阻詐計畫的下一步，2月底用金融無塵室技術完成警示帳戶聯防PoC驗證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣詐騙金額每個月超過百億，政府去年就開始積極展開各項阻詐對策，不過，成功攔阻的金額仍只有1成多。像玉山金控一家去年攔阻詐騙820件，約6.32億元。「有沒有更好的方法，讓金融機構可以善盡企業責任？」玉山銀行董事長黃男州表示，這正是玉山銀行推動金融無塵室計畫的初衷。</p> <p>過去一年，金融業者展開多項聯手打詐的作法，像刑事局和三十多家銀行業者聯手，富邦金控分享了自家研發的鷹眼防詐預測模型給同業使用。更有多家銀行透過聯合學習技術，各自貢獻了部分模型參數來打造更強的防詐模型。<br /> 不過，單靠模型來判讀可疑帳戶或行為的作法，仍有不少局限。黃男州坦言：「資料沒有辦法整合，分析流程還是會有斷點。」他希望找出更好的做法，來解決這個挑戰。</p> <p>在2月19日，在金管會推動下，正式成立了臺灣金融科技產業聯盟，以工作圈的方式，由四大金控擔任召集人，為期兩年，帶頭推動不同主題的數位金融創新計畫，玉山金控也是其中一家。</p> <p>第一期有四大工作圈，包括了中信金控召集的金融科技應用研發工作圈，玉山金控召集的數位金融實務規範建議工作圈、凱基金控帶頭的金融科技投資交流工作圈，以及最後一個是國泰金控召集的異業生態共創工作圈。</p> <p>玉山帶頭的數位金融實務規範建議工作圈長期目標是，產生金融科技應用的食物指南，像是將負責任AI的問責性、可解釋性、透明化等抽象概念，轉化成更具體可執行的做法。另外，玉山金也想要協助建立金融科技基礎建設的各項標準，先從AI和雲端標準開始著手，再整合到其他工作圈的計畫。</p> <p>玉山金控科技長張智星表示，主管機關要求工作圈的計畫得符合兩大特色，公益性質和跨銀行合作。因此，玉山先發起了兩項計畫，一項是「金融無塵室」計畫，建立一個跨機關合作時可以兼顧安全和合規的環境，首要任務就是實現警示帳戶聯防。另一項計畫則是要發展「可程式化的AI治理」，要用AI程式來自動檢視金融AI應用，是否符合主管機關AI指引的規範。</p> <p>資料無塵室（Data Clean Room）是國外近年開始崛起的多方資料協作方式，在安全技術和隱私技術保護下，讓多方資料可以在兼顧用戶隱私和資料安全的環境下進行處理和分析。玉山金控發起的金融無塵室計畫，正是這一類的設計，利用了多層式加密方式，建立一個可以整合不同金融機構資料的環境，確保金融機構能在資料合規、安全的情況下進行合作。</p> <p>這個金融無塵室設置在公正第三方環境，採取封閉的實體安全環境和數位環境，所有進出人員、裝置和分析環境都要接受嚴格管控，符合資安標準的要求。不同機構上傳自己的資料前，都要先去除涉及個資和隱私的資料，上傳到無塵室環境的資料，都會採取雙盲加密(上傳機構自己第一次加密，無塵室環境第二次加密），像是採取同態加密技術，可以在加密狀態下進行資料處理和比對，又能讓參與的每一方機構無法識別其他機構的資料，而管理環境的公正第三方也無法看到任何資料。</p> <p>金融無塵室的第一個任務就是要進行警示帳戶聯防，可以即時進行多家金融機構的資料整合和分析，來尋找異常樣態。張智星透露，金融無塵室計畫的第一階段，正在進行警示帳戶聯防案的PoC驗證，預計2月底完成後提報主管機關。第二階段再擴大參與，更多金融機構加入。</p> <p>這個金融無塵室建立後，將不限於打詐阻詐資料等特定主題的合作，願景是讓各種跨機構合作案，可以確保金融資料應用的安全和合規性。張智星指出，未來甚至會擴展到其他產業的異業參與，像是知名即時通訊軟體、社群平臺或電信資料也能整合。</p> <p>玉山金控在工作圈的另一項計畫是可程式化的AI治理計畫，要用AI程式來判斷一隻AI是否符合主管機關的AI合規要求。主要針對金管會的六大指引，再整合銀行公會的AI治理研究報告，提供一套對應的實務指南，來建立一套可程式化的AI治理框架。</p> <p>簡單來說，就是要先建立一套AI作法的風險分級，定出不同風險高低的AI應用，各自所需達成的不同等級控管作法，而不是全面用最高等級要求，並且用AI程式來判斷這一隻AI應用的風險等級。目前玉山金正和銀行公會AI技術研究小組聯手撰寫研究報告，下一步開始進行預測式AI與生成式AI專案的試行和驗證，再進一步開放金融機構試用。</p> <p> </p> </div></div></div>
2025/2/26 19:27作者王宏仁https://www.ithome.com.tw/news/167588
近2億用戶數的電子病歷服務商Epic揭醫療AI進展，瞄準AI代理和多模態AI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>每年3月，美國醫療資訊與管理系統學會（HIMSS）都會舉辦全球性的醫資大會，吸引全球醫療專家和技術廠商參與。使用者人數破億的電子病歷大廠Epic最近在HIMSS旗下<a href="https://www.healthcareitnews.com/news/epic-go-beyond-ai-himss25">媒體採訪</a>中，分享了自家技術策略和最新進展。</p> <p><span style="font-size:22px;"><strong>鎖定AI</strong></span><strong style="font-size: 22px;">代理和多模態AI，將展示多款醫療AI和行政應用</strong></p> <p>Epic專門打造醫療機構用的電子病歷系統，也開發患者端的電子病歷服務。過去幾年，他們發展不少AI工具，比如肺癌病灶辨識AI，可從放射科醫師的報告中提取重要資訊、追蹤後續消息。去年8月，這套系統在俄亥俄州的基督教醫院（The Christ Hospital）上線，已協助臨床醫生更早發現癌症，還因此展開50多例的癌症治療。</p> <p>另一個例子是AI病歷文件記錄工具，Epic在今年初發布了環境語音辨識系統規格（Specs），供第三方廠商用來整合Epic文件工具。其中，環境語音辨識（Ambient voice recognition）是指強化版的語音辨識，可在吵雜的背景音中準確辨識語音。</p> <p>Epic研發副總Seth Howard點出，目前Epic正將AI整合到更多技術中，且稱AI代理是下一代應用程式核心。尤其，他們打造一款診前AI代理，在患者看診前先對話，來了解看診需求、辨識該做但還沒做的事項，比如特定檢查，並協助安排這些檢查，最後產出一份摘要。</p> <p>他也透露，Epic接下來將繼續開發多模態AI功能，來處理影片輸入、將語音轉換為不同類型的文件、辨識影像、分析基因組數據等。</p> <p>除了AI，Epic也打造不少行政系統，比如目前正在開發一套臨床試驗管理系統，來整合患者、臨床醫生、研究人員和試驗管理員的工作流程。他們也在開發一套企業資源規畫（ERP）套件，將分階段釋出各模組，今年也將正式上線員工排班系統。</p> <p>不只是新工具，Epic也持續改進病人端的電子病歷服務MyChart。該服務在全球已有1.9億多名患者使用。</p> <p><span style="font-size:22px;"><strong>瞄準人力短缺推免費部署服務，另也推動資料互通</strong></span></p> <p>另一方面，Epic看到醫療機構面臨人力不足和收益壓力，因此自去年開始推動名為Level Up的免費部署服務，由Epic團隊協助醫院導入新技術。同時，Epic也在擴大開源的AI信任保障套件（AI Trust and Assurance Suite），來讓醫療機構更了解AI臨床實際表現。</p> <p>Epic也力推資料互通性，除旗下產品支援美國政府的資料互通框架TECFA，另也發布資料標準格式USCDI第三版，連同750個API和介面免費提供給開發者。</p> <p></p> </div></div></div>
2025/2/26 17:29作者王若樸https://www.ithome.com.tw/news/167584
【資安日報】2月26日，郵件傳輸代理平臺Exim修補高風險層級的SQL注入漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>郵件傳輸代理軟體系統Exim最近修補一項高風險層級的漏洞CVE-2025-26794引起關注，這項弱點可被用於SQL注入攻擊，而有可能讓攻擊者有機可乘。</p> <p>值得留意的是，通報漏洞的研究人員雖然提及利用漏洞必須搭配特定條件，但也指出有機會造成Exim服務中斷，或是搭配其他漏洞引發更嚴重的危害。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167554"><strong style="font-size: 22px;">中國駭客用惡意程式ShadowPad發動勒索軟體攻擊，至少20家企業組織受害</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/ShadowPad-fig3.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/ShadowPad-fig3.png" style="width: 300px; float: right;" /></a></p> <p>上週資安業者Orange Cyberdefense揭露發生於去年下半的資安事故Green Nailao，駭客針對歐洲醫療體系下手，最終使用勒索軟體NailaoLocker加密檔案，但作案過程中運用了中國駭客常見的惡意程式ShadowPad、PlugX，協助調查的資安業者趨勢科技後續也公布他們的調查結果，指出這種利用ShadowPad從事勒索軟體的攻擊行動，在全球都有災情。</p> <p>針對這起事故的發現，趨勢科技威脅研究員Daniel Lunghi指出，是他們在兩起發生在歐洲的攻擊事件當中，都採用相似的C2伺服器及戰術、手法、流程（TTP），而且都使用ShadowPad，研判很有可能是同一組人馬所為。</p> <p>研究人員進一步調查，總共確認有21家公司在近7個月遭到攻擊，其中9家於歐洲、8家在亞洲、3家在中東，以及1家南美公司。這些受害企業分布於8種產業，但有11家是製造業為大宗。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/gitvenom-attacks-abuse-hundreds-of-github-repos-to-steal-crypto/">駭客濫用GitHub儲存庫發動大規模惡意軟體攻擊行動GitVenom，意圖竊取帳密資料及數位資產</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://cloud.google.com/blog/topics/threat-intelligence/phishing-targeting-higher-education">Google揭露為期超過2年的網釣攻擊行動，駭客鎖定大專院校而來，每月攻擊數千名師生</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/have-i-been-pwned-adds-284m-accounts-stolen-by-infostealer-malware/">Have I Been Pwned列入2.84億筆遭竊資軟體外流的帳密資料</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/acrstealer-malware-exploits-google-docs-as-command-and-control-infrastructure/">竊資軟體ACRStealer冒充破解工具散布，駭客濫用Google Docs掩蓋攻擊行動</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167569"><strong style="font-size: 22px;">郵件傳輸代理平臺Exim出現嚴重漏洞，攻擊者恐用於注入惡意SQL查詢來影響運作</strong></a></p> <p>與Postfix、Sendmail並列為最常用的郵件傳輸代理軟體系統Exim，21日公告修補資安漏洞。本月8日Exim開發與維護團隊接獲通報，得知系統存在SQL注入漏洞CVE-2025-26794，影響4.98以前的所有版本，CVSS風險為7.5分，目前發布4.98.1版修補，用戶應儘速套用更新。</p> <p>針對這項弱點的細節，通報此事的資安研究員Oscar Bataille表示，該漏洞發生在Exim使用的元件SQLite，一旦該元件被當作資料庫管理器（DBM），就有可能出現無法正確清理（sanitized）的現象，使得攻擊者能用於遠端發出偽造的SQLite查詢，以便用於後續攻擊行動。</p> <p>不過，這項漏洞必須搭配特定的條件才會出現，首先，在編譯的過程裡，就要將SQLite指定為Exim的DBM，再者，則是IT人員必須啟用ETRN命令。</p> <p><a href="https://www.ithome.com.tw/news/167582"><strong style="font-size: 22px;">macOS虛擬化軟體Parallels Desktop存在漏洞，攻擊者有機會取得root權限</strong></a></p> <p>Parallels Desktop是macOS電腦平臺相當知名的虛擬化軟體，去年4月揭露CVSS風險9.8分的重大資安漏洞CVE-2024-34331，起初是在同年2月由資安研究員Mykola Grymalyuk通報。攻擊者可透過此弱點，將所掌握的系統帳號權限提升為root，Parallels公司當時也推出19.3.1更新版進行修補。不過，最近有其他研究人員指出此漏洞的修補不完整，仍舊能被繞過。</p> <p>資安研究員Mickey Jin指出，他研究Mykola Grymalyuk發布的資訊，察覺Parallels推出的修補程式碼容易被繞過，原因在於，這些程式碼的主要用途，是確認名為createinstallmedia的工具是否具備蘋果的簽章，假如確實經蘋果簽署，就會給予root權限以便後續使用。</p> <p>值得留意的是，Mickey Jin先後向漏洞懸賞專案 Zero Day Initiative（ZDI）及Parallels通報此事，結果事隔超過半年，這項漏洞尚未得到修復，因此他呼籲用戶要提高警覺，因為這樣的漏洞有可能很快就被用於實際攻擊行動。</p> <p><a href="https://www.ithome.com.tw/news/167515"><strong style="font-size: 22px;">臺灣資安專家揭開WorstFit，成功探索Windows ANSI字元轉換雷區，找出全新攻擊面與3種攻擊手法</strong></a></p> <p>就在2個多月前的2024歐洲黑帽大會（Black Hat Europe 2024）上，難得有來自臺灣的兩位資安研究人員登臺，並揭露一項名為WorstFit攻擊的研究成果，其內容是發現Windows ANSI字元轉換的潛在問題。特別的是，當時我們已經注意到這項研究發布，因為這是臺灣資安研究人員的發表，但對於其細節與意義並不是那麼清楚，然而，這項創新研究在今年1月時，榮獲了2024年度「十大網站攻擊技法」第4名。</p> <p>具體而言，這項研究是臺灣資安公司戴夫寇爾（DEVCORE）首席資安研究員Orange Tsai（蔡政達），以及資安研究員Splitline（黃志仁），兩人共同發表，其研究成果在於，能夠實際找出Windows ANSI字元轉換的潛在問題，成功揭露了一個嶄新的攻擊面，挖掘出3種WorstFit攻擊手法，包括：Filename Smuggling、Argument Splitting，以及Environment Variable Confusion。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/publicly-disclosed-exploits-put-d-link-dir-823-users-in-danger-no-security-fixes/">D-Link針對已終止支援的無線路由器DIR-823公布新漏洞，呼籲用戶停止使用</a></strong></p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167541"><strong style="font-size: 22px;">波羅的海海底電纜切斷事件連連，歐盟啟動海底電纜安全倡議</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/圖1-藍鯨無人潛艇_圖片來源-IAI集團.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961-%E8%97%8D%E9%AF%A8%E7%84%A1%E4%BA%BA%E6%BD%9B%E8%89%87_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-IAI%E9%9B%86%E5%9C%98.jpg" style="width: 300px; float: right;" /></a></p> <p>歐盟在2月21日發布了一項聯合通告，要啟動一項海底電纜安全倡議倡議，包括了五大行動，來提高歐盟海纜基礎設施的安全性，包括了預防、偵測、回應、修復和阻止。</p> <p>第一步要防止破壞事件，並且要提高海底電纜基礎設施的脆弱性和防禦能力。第二階段則要強化偵測能力，盡快發現甚至可以預測到可能的破壞威脅。一旦發生破壞事件，受影響的歐盟成員要聯手，強化協調和應變能力。並且歐盟將發展一套可以盡快恢復通訊的能力。最後一項作法要強化對海底電纜威脅態勢的掌握，尤其要保護關鍵海上基礎設施的安全，並追究惡意破壞者的責任。</p> <p>歐盟從去年底，頻頻傳出海底電纜中斷事故。去年11月，瑞典和立陶宛之間在波羅的海的兩條海底電纜疑遭中國船隻切斷。去年12月，芬蘭和愛沙尼亞間的Estlink 2海纜遭切斷，芬蘭查扣了一艘載了俄羅斯石油的貨輪。今年1月底，拉脫維亞和瑞典間有條海纜在水深100公尺處，遭到外部因素破壞。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/167548"><strong>【2月25日】臺澎三號海纜發生全斷事故，疑為具有中國背景的貨輪拖斷造成</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167526"><strong>【2月24日】2024十大網站攻擊技術臺灣專家再度稱霸第一</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167506"><strong>【2月21日】中國駭客使用勒索軟體Ghost在全球70個國家發動大規模攻擊</strong></a></p> </div></div></div>
2025/2/26 17:35作者周峻佑https://www.ithome.com.tw/news/167585
微軟悄悄測試具有廣告的Windows版Office
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>可能未來有些用戶的Office/Microsoft 365會顯示廣告，因為媒體<a href="https://beebom.com/microsoft-free-ad-supported-office-quietly-launched/" target="_blank">發現</a>微軟正在測試包含廣告的免費Office產品。</p> <p>Beebom網站報導，這個免費版本的Microsoft 365（M365）並非網頁版，而需要下載安裝。安裝過程中，在對話頁要求登入時跳過不登入，即會啟動免費Word、Excel、PowerPoint的歡迎頁。接著，微軟顯示免費版及M365訂閱的選項中，用戶只要持續使用免費版，並接受「儲存到OneDrive」，就會出現熟悉的Word/Excel/PowerPoint介面。</p> <p class="rtecenter"><a href="http://beebom.com/microsoft-free-ad-supported-office-quietly-launched/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0226-ad-supported-microsoft-office-for-free-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Beebom.png" style="width: 600px;" /></a></p> <p><a href="http://beebom.com/microsoft-free-ad-supported-office-quietly-launched/" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Beebom</span></span></a></p> <p>這個版本最大特色是右邊欄位會出現廣告，並有告知「欲去除廣告，需訂閱Microsoft 365」的字樣，而且每隔一陣子會有15秒影片廣告播放。此外，這個版本無法讓用戶將文件儲存到電腦硬碟，而必須儲存到M365的OneDrive上。這個版本提供5GB雲端儲存空間。</p> <p>以功能而言，免費版提供基本編輯功能。根據報導，以Word而言，用戶可以執行調整文字、編輯表格/圖表、插入文字方塊、簽名、日期、符號等。Excel也都可以輸入公式、分析資料、設定文字效果、建立樞紐分析表等功能。</p> <p>不過也有媒體無法重現這段過程，顯示微軟可能是在局部區域進行測試。</p> <p>微軟<a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-tests-ad-supported-office-apps-for-windows-users/" target="_blank">證實</a>該公司正在限定測試，但沒有計畫推出包含廣告的免費Office桌機版程式。</p> <p>微軟不是第一次測試在桌機版軟體中加入廣告，廣告位置陸續出現在Windows 11的開始選單、工作列、檔案總管，甚至在付費版Office中<a href="https://www.ithome.com.tw/news/152529" target="_blank">大打</a>M365的廣告。</p> </div></div></div>
2025/2/26 16:06作者林妍溱https://www.ithome.com.tw/news/167581
macOS虛擬化軟體Parallels Desktop存在漏洞，攻擊者有機會取得root權限
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Parallels Desktop是macOS電腦平臺相當知名的虛擬化軟體，去年4月揭露CVSS風險9.8分的<a href="https://khronokernel.com/macos/2024/05/30/CVE-2024-34331.html">重大資安漏洞CVE-2024-34331</a>，起初是在同年2月由資安研究員Mykola Grymalyuk通報。攻擊者可透過此弱點，將所掌握的系統帳號權限提升為root，Parallels公司當時也推出19.3.1更新版進行修補。不過，最近有其他研究人員指出<a href="https://jhftss.github.io/Parallels-0-day/">此漏洞的修補不完整</a>，仍舊能被繞過。</p> <p>資安研究員Mickey Jin指出，他研究Mykola Grymalyuk發布的資訊，察覺Parallels推出的修補程式碼容易被繞過，原因在於，這些程式碼的主要用途，是確認名為createinstallmedia的工具是否具備蘋果的簽章，假如確實經蘋果簽署，就會給予root權限以便後續使用。</p> <p>值得留意的是，Mickey Jin先後向漏洞懸賞專案 Zero Day Initiative（ZDI）及Parallels通報此事，結果事隔超過半年，這項漏洞尚未得到修復，因此他呼籲用戶要提高警覺，因為這樣的漏洞有可能很快就被用於實際攻擊行動。</p> <p>針對如何繞過上述的修補程式，Mickey Jin指出至少有兩種方法可行，其中一種是在通過簽章驗證之後，利用檢查時間到使用時間（TOCTOU）的時間差進行攻擊，在虛擬化平臺處理上述檢驗的流程裡，置換惡意版本的createinstallmedia來達到目的。</p> <p>另一種則是對於簽章驗證的方式下手，研究人員指出與名為anchor apple的需求字串有關，攻擊者可找到蘋果簽章的執行檔，然後注入惡意DYLIB程式庫來繞過驗證流程。</p> </div></div></div>
2025/2/26 16:27作者周峻佑https://www.ithome.com.tw/news/167582
郵件傳輸代理平臺Exim出現嚴重漏洞，攻擊者恐用於注入惡意SQL查詢來影響運作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2月21日<a href="https://www.exim.org/static/doc/security/CVE-2025-26794.txt">郵件傳輸代理平臺Exim發布資安公告</a>，指出本月8日他們接獲通報，Exim存在SQL注入漏洞CVE-2025-26794，影響4.98以前的所有版本，CVSS風險為7.5分，維護團隊發布了4.98.1版修補，呼籲用戶要儘速套用更新。</p> <p>針對這項弱點的細節，<a href="https://github.com/OscarBataille/CVE-2025-26794">通報此事的資安研究員Oscar Bataille表示</a>，該漏洞發生在Exim使用的元件SQLite，一旦該元件被當作資料庫管理器（DBM），就有可能出現無法正確清理（sanitized）的現象，使得攻擊者能用於遠端發出偽造的SQLite查詢，以便用於後續攻擊行動。</p> <p>不過，這項漏洞必須搭配特定的條件才會出現，首先，在編譯的過程裡，就要將SQLite指定為Exim的DBM，再者，則是IT人員必須啟用ETRN命令。</p> <p>攻擊者可下載ETRN命令，在misc資料庫產生具有特定金鑰的新內容，從而進行控制。由於攻擊者掌握了金鑰，就能藉此注入SQL程式碼。Oscar Bataille指出，他測試利用這項漏洞的過程裡，能夠與Exim使用者能夠存取的本機SQLite資料庫進行連線，因此，他推測可藉由插手其他正在使用的資料庫，而產生未被定義的行為，觸發Exim的競爭條件。若是結合SQLite的弱點，攻擊者甚至有機會發動遠端執行程式碼（RCE）攻擊。</p> </div></div></div>
2025/2/26 12:49作者周峻佑https://www.ithome.com.tw/news/167569
Google提供免費個人版程式助理Gemini Code Assist
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google本周<a href="https://blog.google/technology/developers/gemini-code-assist-free/" target="_blank">推出</a>免費的個人版程式開發助理工具Gemini Code Assist，給獨立開發人員及學生。</p> <p>企業開發人員使用AI輔助工具已經很普遍，連Google內部都有超過25%的新程式是由AI生成，再交由人類工程師審核並接受，然而非企業的開發人員、學生、或接案開發人員、新創公司卻不見得有這類資源。為此Google繼標準版及<a href="https://www.ithome.com.tw/news/165489" target="_blank">企業版</a>程式碼輔助工具Gemini Code Assistant後，本周推出免費版Gemini Code Assistant for individuals在全球上線，提供和企業版相同的AI助理互動和聊天功能，目前為公眾預覽版本。</p> <p>Gemini Code Assistant for individuals使用Gemini 2.0模型為底層，又經過Google根據真實程式撰寫情境微調及優化，且支援所有主要程式語言。因此Gemini Code Assistant的AI建議品質更高。它具備128K輸入token的context windows，允許開發人員使用大型檔案，為Gemini Code Assist進行grounding。</p> <p>此外，相對於其他AI程式助理（例如<a href="https://www.ithome.com.tw/news/166589" target="_blank">GitHub Copilot</a>）每月提供2,000行免費用量，Gemini Code Assist for individuals一舉提高到每月18萬行，成為競爭者難以超越的高標。</p> <p>Gemini Code Assistant免費（個人）版支援的整合開發環境（IDE），包括Visual Studio Code、JetBrains，這讓開發人員可直接在IDE中呼叫出Gemini Code Assist，也能在Firebase和Android Studio二個平臺上免費使用。</p> <p>除了二個IDE外，Google同時也<a href="https://github.com/marketplace/gemini-code-assist" target="_blank">公布</a>Gemini Code Assist for GitHub預覽版，為GitHub上公開或私人程式庫提供AI輔助程式碼審查、抓蟲及建議。本項服務可作為外掛程式在GitHub App中使用。安裝後，該程式會自動在 Pull Request 中提供程式碼審查、摘要以及即時建議等功能。Gemini-Code-Assist機器人會自動加入專案成為審查員之一，在Pull Request 的對話頁加入其評論。它會在Pull Request開啟5分鐘內啟動第一次檢查。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0226-Gemini%20Code%20Assist%20for%20GitHub(preview).png" style="width: 600px;" /></p> <p>現在在VS Code、GitHub或JetBrains IDE中，只要個人Gmail帳號，就能安裝Gemini Code Assist。Google表示會根據公測版的開發人員回饋，持續微調這個程式助理。<span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> </div></div></div>
2025/2/26 13:19作者林妍溱https://www.ithome.com.tw/news/167570
中國駭客用惡意程式ShadowPad發動勒索軟體攻擊，至少20家企業組織受害
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週資安業者Orange Cyberdefense揭露<a href="https://www.ithome.com.tw/news/167502">發生於去年下半的資安事故Green Nailao</a>，駭客針對歐洲醫療體系下手，最終使用勒索軟體NailaoLocker加密檔案，但作案過程中運用了中國駭客常見的惡意程式ShadowPad、PlugX，協助調查的資安業者趨勢科技後續也公布他們的調查結果，<a href="https://www.trendmicro.com/en_us/research/25/b/updated-shadowpad-malware-leads-to-ransomware-deployment.html">指出這種利用ShadowPad從事勒索軟體的攻擊行動</a>，在全球都有災情。</p> <p>針對這起事故的發現，趨勢科技威脅研究員Daniel Lunghi指出，是他們在兩起發生在歐洲的攻擊事件當中，都採用相似的C2伺服器及戰術、手法、流程（TTP），而且都使用ShadowPad，研判很有可能是同一組人馬所為。</p> <p>研究人員進一步調查，總共確認有21家公司在近7個月遭到攻擊，其中9家於歐洲、8家在亞洲、3家在中東，以及1家南美公司。這些受害企業分布於8種產業，但有11家是製造業為大宗。</p> <p>對於資安事故的發生，趨勢科技指出，駭客起初是攻入設置弱密碼的管理員帳號，透過VPN存取受害組織的網路環境。在其中一起事故裡，攻擊者疑似事先取得有效憑證，從而繞過了多因素驗證（MFA）機制。</p> <p>一旦成功進入內部網路環境，攻擊者就會利用管理員權限部署ShadowPad，在部分事故當中，他們甚至會將惡意程式植入網域伺服器，而有可能藉此擴大感染範圍。</p> <p>究竟攻擊者的目的是什麼？研究人員表示不清楚，但推測很有可能是為了竊取智慧財產。</p> <p>這波攻擊行動使用的勒索軟體，單就載入過程而言，就使用三種元件。駭客濫用具有中國資安業者火絨合法簽章的執行檔usysdiag.exe，以側載的方式執行惡意DLL檔案sensapi.dll，最終於記憶體內載入有效酬載sensapi.dll，將受害電腦的檔案加密，並加上.locked的附檔名，然後留下勒索訊息。</p> <p>這起資安事故過程中，趨勢科技也發現幾個非典型的跡象，有刻意混淆與誤導調查分析的意圖。例如，駭客在勒索訊息的HTML檔案裡，留下銷售Kodex Evil Extractor惡意軟體的網站資訊，但研究人員根據勒索訊息比對，發現內容與正牌的勒索軟體Evil Extractor完全不同，因此研判駭客意圖誤導研究人員，刻意留下Evil Extractor勒索訊息的HTML架構。此外，這些駭客的加密貨幣都沒有贖金進帳，上述情況也突顯勒索軟體攻擊很可能並非駭客的主要目的。</p> </div></div></div>
2025/2/25 20:42作者周峻佑https://www.ithome.com.tw/news/167554
澳洲政府電腦禁用所有卡巴斯基軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>澳洲政府本周<a href="https://www.protectivesecurity.gov.au/news/pspf-direction-update-kaspersky-lab-inc-products-and-web-services" target="_blank">發布</a>禁令，從4月1日起禁止在政府所有系統和裝置上，安裝俄國資安業者卡巴斯基（Kaspersky Lab）的產品和網頁服務，現有安裝的必須移除。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0226-kaspersky-ban-Australian%20Government(2).png" style="width: 600px;" /></p> <p>澳洲移民暨國境保護部（Department of Home Affairs）部長Stephanie Foster<a href="https://www.protectivesecurity.gov.au/system/files/2025-02/PSPF-Direction-002-2025.pdf" target="_blank">指出</a>，經過威脅和風險分析，她認為澳洲政府實體使用卡巴斯基產品和網頁服務，會對澳洲政府、網路和資料造成不可接受的安全風險，包括外國干預、間諜和破壞。她也認為有必要對關鍵基礎設施及其他澳洲政府單位釋出明確政策訊號，告知使用該產品的安全風險。</p> <p>該禁令要求政府單位必須在2025年4月1日前，找出所有政府系統和裝置上現有安裝的卡巴斯基產品和裝置並移除之。未來政府系統和裝置也必須避免安裝該公司產品和服務。澳洲政府並要求完成檢視及移除的單位提交匯報。</p> <p>這是基於對俄羅斯疑慮而對卡巴斯基祭出禁令的國家。<a href="https://www.canada.ca/en/treasury-board-secretariat/news/2023/10/minister-anand-announces-a-ban-on-the-use-of-wechat-and-kaspersky-suite-of-applications-on-government-mobile-devices.html" target="_blank">加拿大</a>、<a href="https://www.techradar.com/pro/kaspersky-is-closing-its-uk-office" target="_blank">英國</a>分別在2023年10月及2024年10月禁止公家裝置安裝卡巴斯基產品。<a href="https://www.ithome.com.tw/news/163589" target="_blank">美國</a>商務部則是在去年6月於境內全面禁售卡巴斯基產品。</p> </div></div></div>
2025/2/26 11:10作者林妍溱https://www.ithome.com.tw/news/167559
Anthropic發布市場上首款混合推理模型Claude 3.7 Sonnet
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Anthropic正式推出新一代大型語言模型<a href="https://www.anthropic.com/news/claude-3-7-sonnet">Claude 3.7 Sonnet</a>，官方提到，這是目前市場上第一款混合推理模型，能夠根據需求快速回應或進行更深入的思考，並讓使用者可自行調整思考時間。這次更新特別強化了程式設計與前端開發能力，並同步推出命令列工具Claude Code，讓開發者能直接透過終端機與人工智慧進行更深入的協作。</p> <p>Claude 3.7 Sonnet在基礎運作模式下，是Claude 3.5 Sonnet的升級版本，提供更強的指令理解與回應能力，而在延伸思考模式（Extended Thinking Mode）下，模型能在回應前先進行自我反思，提升數學、物理、程式設計、指令遵循等任務的準確度。API使用者還可透過參數設定，限制模型思考的Token數量，以在執行時間與答案品質之間取得平衡。</p> <p>程式設計能力一直是Claude模型的強項，更是這次更新的重點之一。Claude 3.7 Sonnet在軟體工程SWE-bench Verified和代理工具使用TAU-bench基準測試中取得良好的分數。在SWE-bench Verified測試中，以62.3％的準確度超越Claude 3.5 Sonnet、OpenAI o1及DeepSeek R1。此外，在TAU-bench測試中，Claude 3.7 Sonnet在零售場景達到81.2％的準確度，在航空場景則為58.4％，均優於Claude 3.5 Sonnet與OpenAI o1。</p> <p>Anthropic進一步擴展Claude在程式設計領域的應用，這次同步推出Claude Code，這是一款針對開發者設計的命令列工具，目前仍處於限制研究預覽階段。Claude Code能夠主動搜尋與閱讀程式碼、編輯檔案、撰寫與執行測試、提交GitHub變更，甚至與其他命令列工具整合。Anthropic內部測試顯示，Claude Code可將原本手動45分鐘的開發時間，縮短至單次操作內完成，特別適用於測試驅動開發（TDD）、除錯及大規模重構等情境。Anthropic計畫持續改進這項工具，未來將強化指令執行的穩定性、支援長時間運行的命令，並提升Claude在此環境中的應用範圍。</p> <p>Claude 3.7 Sonnet現已在所有Claude方案中提供，包括Free、Pro、Team和Enterprise，但延伸思考模式不適用於免費方案。用戶也可透過Anthropic API、Amazon Bedrock及Google Cloud Vertex AI取用Claude 3.7 Sonnet模型。</p> </div></div></div>
2025/2/26 08:14作者李建興https://www.ithome.com.tw/news/167547
Fintech周報第261期：金融科技產業聯盟正式成立；摩根大通支付將開放商家客戶提供BNPL服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><strong><span style="font-size: 18px;"><span style="color: rgb(139, 69, 19);">2/10-2/24金融科技精選新聞</span></span></strong></h3> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><strong style="font-size: 16px;"><span style="color: rgb(0, 0, 205);">#金融科技產業聯盟</span></strong><strong style="font-size: 16px;"><span style="color: rgb(0, 0, 205);"> #金管會</span></strong></h3> <h3><strong>金融科技產業聯盟正式成立！三大重點：加大合作意願、建立持續合作創新機制、第一階段重點發展金融防詐</strong></h3> <p>去年七月，金管會主委彭金隆發布五大金融科技策略，其中一項策略，就是要透過成立金融科技聯盟，促成金融業者合作打團體戰。歷經三個月的籌備期，金融科技產業聯盟近日正式成立。</p> <p>聯盟核心包含四大工作圈，分別是金融科技應用研發、數位金融實務規範建議、金融科技投資交流及異業生態共創。各組工作圈召集人將由有興趣主導的業者輪流擔任，每任任期為2年。目前，各工作圈首任召集人分別由中信金控、玉山金控、凱基金控及國泰金控擔任。</p> <p>「漸漸地，我們可以把相關重責大任，請業者自己承擔。」談到聯盟成立的初衷，金管會金融市場發展及創新處處長胡則華透過這句話，點出了主管機關監管態度的轉變，和產業聯盟的定位。</p> <p>聯盟制帶來多項機會，包括透過建立機制，來增加各方合作意願。並且，聯盟會由創新園區負責營運，擔任協調角色，降低過往金融合作計畫發起困難、責任分攤不易的問題。聯盟制帶來的第二項機會，是透過付費制來建立一套能讓金融業持續合作創新的機制。再來，去年多家金融機構透過聯合實證，來實驗聯合學習的防詐成效。不過，實證結束後，最大挑戰就是機制該如何落地。而聯盟制提供了一套可能的解方。</p> <h3><strong style="font-size: 16px;"><span style="color: rgb(0, 0, 205);">#摩根大通</span></strong><strong style="font-size: 16px;"><span style="color: rgb(0, 0, 205);"> #BNPL</span></strong></h3> <h3><strong>摩根大通支付將開放商家客戶提供BNPL服務</strong></h3> <p>摩根大通旗下的支付服務是全球最大的商家收單機構，每年處理超過2兆美元的交易。近日，摩根大通揭露將和瑞典BNPL公司Klarna合作，未來，使用摩根大通支付服務來收單的商家，也能提供民眾使用BNPL模式付款。</p> <p>Klarna是全球第一批成立的BNPL公司，於2005年創立。目前，Klarna已進入全球26個市場，全球活躍用戶數超過8,500萬，平均每日交易筆數達250萬，使用這項服務的商家店數超過60萬。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><strong style="font-size: 16px;"><span style="color: rgb(0, 0, 205);">#數據上雲</span></strong><strong style="font-size: 16px;"><span style="color: rgb(0, 0, 205);"> #第一銀行</span></strong></h3> <h3><strong>第一銀行數據分析雲端平臺正式上線，未來還要建立數據湖平臺</strong></h3> <p>第一銀行近期揭露，因應金融機構上雲政策，他們建置了數據分析雲端平臺，並在今年2月正式上線。第一銀行表示，這套平臺第一階段將先聚焦在分析開放資料，且未來會規畫運用無伺服器運算服務來蒐集公開資料。</p> <p>到了第二階段，第一銀行表示，他們會逐步完善雲地同步機制，並整合內部和外部資料，建立完整的數據湖平臺，為AI驅動和數據決策的目標建立基礎。</p> <h3><strong style="font-size: 16px;"><span style="color: rgb(0, 0, 205);">#生成式AI</span></strong><strong style="font-size: 16px;"><span style="color: rgb(0, 0, 205);"> #南山人壽</span></strong></h3> <h3><strong>南山人壽用NLU技術結合LLM打造的智能客服功能再升級，能提供擬人化對話，還有個人化商品推薦服務</strong></h3> <p>南山人壽近日宣布，甫在去年上線的智能客服「透透Talk Talk」功能再升級。這款客服運用NLU結合LLM技術打造而成，相比運用NLU打造的智能客服系統，透透Talk Talk更能用擬人化的對話方式服務顧客。</p> <p>南山人壽表示，這次透透Talk Talk功能升級，是透過導入自研發的AI商品及服務推薦系統，來新增商品推薦功能。當顧客完成客服提供的短問卷後，系統就能判斷顧客需求，為顧客推薦保險商品和提供健康資訊。</p> <p>目前，透透Talk Talk能協助顧客查詢保單狀況、借還款、繳費、解約金試算、延長信用卡效期、資料變更、查詢還本金/滿期金、保單處理進度查詢及專屬互動推薦等服務。</p> <h3><strong style="font-size: 16px;"><span style="color: rgb(0, 0, 205);">#虛擬資產</span></strong><strong style="font-size: 16px;"><span style="color: rgb(0, 0, 205);"> #雲端</span></strong></h3> <h3><strong>德意志交易所集團打造雲端交易引擎</strong></h3> <p>經營德國最大交易所的德意志交易所集團曾在2023年揭露Horizon 2026戰略，其中一項戰略目標，便是要擴大在傳統資產與新型態資產交易平臺的領先地位。</p> <p>2023年，德意志交易所集團便和雲端廠商宣布建立策略夥伴關係，要運用雲端技術來加速開發數位證券平臺。今年初，德意志交易所開始開發數位證券平臺。不過，在正式投入數位證券平臺開發前，德意志交易所先投入了十個月的時間，開發出一套雲原生交易引擎。這套雲原生交易引擎是一套元件，能整合至不同平臺中，是集團未來發展數位資產平臺的核心元件。</p> <h3><strong style="font-size: 16px;"><span style="color: rgb(0, 0, 205);">#虛擬資產</span></strong><strong style="font-size: 16px;"><span style="color: rgb(0, 0, 205);"> #香港</span></strong></h3> <h3><strong>香港發布虛擬資產發展路線圖，推動香港成為全球虛擬資產中心</strong></h3> <p>為了加強香港發展虛擬資產，香港證券及期貨事務監察委員會近日發布“ASPIRe”路線圖，包含五大支柱和12項措施。證監會表示，路線圖涵蓋虛擬資產場外交易及虛擬資產託管服務的新監管框架、提升虛擬資產交易平臺營運需求、打擊非法活動等措施。</p> <p>在發布路線圖的前一天，香港證監會正式對國際加密貨幣交易所Bullish頒發交易所牌照。Bullish也是香港第一間獲得交易所牌照的海外加密貨幣交易所。</p> <h3><strong style="font-size: 16px;"><span style="color: rgb(0, 0, 205);">#歐洲央行</span></strong><strong style="font-size: 16px;"><span style="color: rgb(0, 0, 205);"> #DLT技術</span></strong></h3> <h3><strong>歐洲央行宣布將擴大使用分散式帳本技術，用來實驗央行貨幣結算</strong></h3> <p>歐洲央行近日宣布，將擴大使用分散式帳本技術（DLT）來實驗央行貨幣結算。首先，他們計畫盡快開發並實施一個能和歐洲央行既有支付結算系統整合的平臺，並使用分散式帳本進行CBDC結算。未來，歐洲央行也預計探索將DLT技術運用在外匯結算等國際業務。</p> <p>其他重要Fintech新聞：</p> <ul> <li> <p>川普政府擬關閉消費者金融保護局，美國23名總檢察長發聲反對</p>  </li> <li> <p>美國SEC設立網路和新興技術部門，專注防詐和打擊運用AI進行詐騙的行為</p> </li> <li>聯邦銀行運用生成式AI加速數位轉型，第一階段計畫應用在內部法規知識庫系統</li> </ul> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">責任編輯／李昀璇</span></p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">資料來源：iThome整理，2025年2月</p> <p></p> </div></div></div>
2025/2/25 19:05作者李昀璇https://www.ithome.com.tw/news/167553
【資安日報】2月25日，臺澎三號海纜發生全斷事故，疑為具有中國背景的貨輪拖斷造成
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在短短不到兩個月的時間，臺灣已傳出多起海底國際電纜不明原因發生損壞的情況，這樣的情況相當不尋常，值得留意的是，這些事故傳出<a href="https://www.ithome.com.tw/news/166871">是中資貨船涉案</a>，外界普遍認為很有可能是中國蓄意破壞臺灣對外的通訊，如今再傳有海纜斷裂的事故。</p> <p>今天數發部、海巡署證實海纜臺澎三號故障的情況，值得留意的是，這次海巡署以現行犯攔停涉案多哥籍貨輪，並指出該貨輪有中資背景，且船員全數為中國人。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167546"><strong style="font-size: 22px;">繼臺馬二號、三號海纜後，臺澎三號海纜也發生中斷故障</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/f1740458965981.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/f1740458965981.jpg" style="width: 300px; float: right;" /></a>繼1月發生臺馬海纜中斷故障，迄今臺馬海纜尚未修復，今天中華電信再次通報政府相關單位，臺澎三號海纜也發生中斷故障，數發部表示，中華電信已緊急調度其他海纜支援訊務，確保臺灣與澎湖、金門間的通訊不受影響，由於海纜影響我國通訊甚鉅，數發部去年已行政院報請核定，將14條國際海纜、10條國內海纜指定為關鍵基礎設施（CI）。</p> <p>海巡署指出，2月25日凌晨接獲中華電信通報後，臺澎三號海纜發生中斷故障後，海巡署原先就在該海域監控多哥籍「宏泰」貨輪，發現該船下錨滯留，立即實施廣播驅離，並全程監控，而在接獲中華電信通報後，以現行犯攔停貨輪，並將貨輪押返臺南安平港，依國安層級處理原則，由臺南地檢署指揮偵辦。</p> <p>針對這艘貨輪的背景，海巡署表示，該貨輪具有中資背景，船員均為中國籍人士，但是否為蓄意人為破壞海纜，還有待進一步的調查，並不排除為中國灰色地帶的侵擾行動。</p> <p><a href="https://www.ithome.com.tw/news/167535"><strong style="font-size: 22px;">針對中國駭客Salt Typhoon利用思科網路設備弱點入侵美國電信業者，思科發表調查報告證實此事</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/salttyphoon-3.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/salttyphoon-3.jpg" style="width: 300px; float: right;" /></a></p> <p>針對去年9月爆發的中國駭客大規模攻擊多家美國電信業者的資安事故當中，11月有知情人士透露，駭客入侵受害組織網路環境的手段，是針對思科的網路設備漏洞，但對於這項傳言，思科始終沒有出面說明，直到本月上旬資安業者Recorded Future點出駭客使用的漏洞，思科才透露他們也在著手調查此事。</p> <p>2月13日Recorded Future指出，他們發現被稱做Salt Typhoon、Earth Estrie、FamousSparrow、Ghost Emperor的中國駭客組織，在攻擊美國電信業者的過程裡，利用思科網路設備系統IOS XE漏洞CVE-2023-20198、CVE-2023-20273（CVSS風險分別為10分、7.2分），事隔一週，思科也公布相關調查結果，表示駭客在部分攻擊行動裡，疑似有利用其他IOS XE已知漏洞的情況。</p> <p>思科旗下威脅情報團隊Talos表示，他們在進行相關攻擊行動調查之後，確認在部分攻擊當中，駭客可能運用了重大層級的IOS XE遠端程式碼執行（RCE）漏洞CVE-2018-0171（風險評為9.8分）。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=3&SPOKE_TIME=160208&SPOKE_DATE=20250224&COMPANY_ID=6485"><strong style="font-size: 22px;">點序科技部分資訊系統遭到網路攻擊</strong></a></p> <p>2月24日下午快閃記憶體控制晶片供應商點序科技於股市公開觀測站發布重大訊息，指出他們偵測到有部分資訊系統遭到網路攻擊的情況，事發當下資訊部門全面啟動相關防禦機制及復原作業，同時協同外部資安公司技術專家進行後續處理。</p> <p>而對於這起事故可能會帶來的影響，點序科技表示根據他們初步評估，對於營運無重大影響。特別的是，該公司也特別提及目前的相關防護機制足以因應這起資安事故，這樣的資訊揭露並不常見。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://unit42.paloaltonetworks.com/stately-taurus-uses-bookworm-malware/">中國駭客Mustang Panda針對東南亞國家而來，利用惡意軟體Bookworm從事活動</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/darcula-phaas-can-now-auto-generate-phishing-kits-for-any-brand/">網釣工具Darcula租用服務升級，駭客提供買家自訂工具，號稱能對任何品牌的使用者下手</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/rhadamanthys-infostealer-exploits-microsoft-management-console/">竊資軟體Rhadamanthys利用微軟管理主控臺漏洞進行感染</a></strong></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/hp-warns-of-critical-security-flaw-in-laserjet-printers-cve-2025-26506-cvssv4-9-2/">HP修補LaserJet印表機重大漏洞，攻擊者可透過偽造的列印工作觸發</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2025-23115-cve-2025-23116-hackers-can-hijack-ubiquiti-unifi-protect-cameras/">Ubiquiti警告IP攝影機存在重大層級漏洞，恐被用於繞過身分驗證、RCE攻擊</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167514"><strong style="font-size: 22px;">全球資安研究社群最認可的2024資安漏洞研究出爐，臺灣資安專家揭開Apache HTTP Server模組架構隱藏問題</strong></a></p> <p>每年，PortSwigger網站都會精選全球最具影響力的資安研究，發布「十大網站攻擊技法」（Top 10 Web Hacking Techniques）。今年1月，2024年度榜單正式揭曉，讓人振奮的是——第一名榮耀再度由臺灣資安專家奪下。</p> <p>來自臺灣資安公司戴夫寇爾（DEVCORE）的首席資安研究員Orange Tsai（蔡政達），他在2024年8月於美國黑帽大會上，發表了一項針對Apache HTTP Server的研究，獲選為上述榜單之首，突顯其研究在創新與影響的重要性。</p> <p>簡單來說，在這項研究中，蔡政達探索了Apache HTTP Server引以為豪的模組化架構，揭開了這方面架構債與問題，不只從中找出3種不同的混淆攻擊手法，包括：Filename Confusion、DocumentRoot Confusion，以及Handler Confusion，挖掘出9個漏洞，同時更是揭開了全新的攻擊面。</p> <p><a href="https://www.ithome.com.tw/news/167537"><strong style="font-size: 22px;">微軟針對WSUS服務棄用再度警告，2個月後將停止驅動程式同步服務</strong></a></p> <p>去年9月微軟宣布Windows Server Update Services（WSUS）棄用（不再繼續發展新功能，預告後續可能會刪除），上週微軟發布公告，指出WSUS的驅動程式同步功能即將於4月18日棄用，對於想要持續藉由作業系統更新機制派送驅動程式的IT人員，就要尋求其他的替代方案。而對於驅動程式檔案，微軟表示會透過Microsoft Update Catalog網站提供，但IT人員無法匯入WSUS使用。</p> <p>這項棄用WSUS驅動程式同步服務的決策，最早是在去年6月宣布，而對於WSUS本身，微軟則是於8月列為將在Windows Server 2025移除的功能，並表明不再開發新功能。到了9月，該公司正式宣布棄用WSUS。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/167526"><strong>【2月24日】2024十大網站攻擊技術臺灣專家再度稱霸第一</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167506"><strong>【2月21日】中國駭客使用勒索軟體Ghost在全球70個國家發動大規模攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167487"><strong>【2月20日】Palo Alto Networks防火牆已知漏洞被用於攻擊網頁管理介面</strong></a></p> </div></div></div>
2025/2/25 17:23作者周峻佑https://www.ithome.com.tw/news/167548
每月縮短97%的資訊收集時間！統一企業打造AI食安通報系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>統一企業聯手統一集團旗下子公司統一資訊和Google Cloud，以Vertex AI平臺和Gemini模型打造一套AI食安通報系統，可快速收集、處理、分析大量多語言數據，還能在短時間內彙整並生成報告，加速食安風險預警效率。各部門主管可即時掌握這些食安資訊和輿情，快速決策、採取必要行動。</p> <p><strong>打破人工處理限制，AI食安通報系統3大功能快速預警</strong></p> <p>進一步來說，要做到食安管理，首先得靠預警。為收集食安資訊，過去，統一企業都靠人工方式處理，每天搜尋國內外資訊，包括政府法規、新聞等大量資料，再整理、彙整為報告。這種人工作業時間可達225小時，非常耗時耗力、效率也不高，要是遇到突發事件，則容易遺漏關鍵訊息，難以達到深度分析和預警目的。</p> <p>為此，統一企業和統一資訊找上公雲業者，打造一套AI食安通報系統，要用AI和雲端資源更好地監控、收集食安資訊，並即時生成摘要報告、主動通知突發事件，來解決人工作業的效率問題。</p> <p>在這套AI食安通報系統中，他們採用了Google雲端的Vertex AI平臺，來訓練用於系統底層的專屬模型，要讓模型學會從複雜的資料中，如政府公告、媒體報導等，提取關鍵資訊，還要能分類資訊和推薦，並自動生成摘要，讓使用者快速掌握食安警訊的重點。</p> <p>這套食安通報系統有3大功能，首先是<strong>自動化收集資訊</strong>，包括用混合式搜尋模型來搜尋多個資料來源，以及用爬蟲技術自動串接政府機構和新聞媒體，還有關鍵字搜尋。再來是<strong>整合與分析</strong>功能，利用Vertex AI平臺訓練模型，並整合數據庫、表格等結構化數據和非結構化數據，來自動分析大量數據。第3個功能是<strong>即時生成摘要和報告</strong>，透過 AI 處理與提取關鍵資訊並即時生成摘要與報告，供潛在風險預警。</p> <p><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/images/XinWenZhaoPianTongYiQiYeYu_Googl.width-1600.format-webp.webp" /></p> <p>簡單來說，這套食安通報系統可搜尋多個國家的食安新聞和資訊，再以Gemini模型自動彙整違規的食安資訊，來供統一企業參考，進行內部產品盤點和檢討作業，來預防類似的食安問題。</p> <p>統一企業也表示，導入系統後，原本的食安通報相關事務，人員處理時間縮短到只需5小時，每個月節省了97%的作業時間，每日資料搜尋次數也從10次提高到50次以上，增加了超過5倍的資訊來源供參考。最後，統一資訊也與統一企業聯手，將這套AI食安通報系統和其他食安解決方案，一起推廣到統一企業上下游供應鏈夥伴，特別是上游原物料供應商。</p> <p></p> </div></div></div>
2025/2/24 20:25作者王若樸https://www.ithome.com.tw/news/167549
微軟修補低程式碼網站建置平臺Power Pages零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2月19日微軟發布資安公告，修補低程式碼網站建置平臺Power Pages、搜尋引擎Bing的高風險漏洞<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-24989">CVE-2025-24989</a>、<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-21355">CVE-2025-21355</a>，並指出CVE-2025-24989已被用於實際攻擊行動。</p> <p>CVE-2025-24989是權限提升漏洞，起因是Power Pages存取控制不當造成，未經授權的攻擊者能繞過使用者註冊的控制機制，並進行權限提升，CVSS風險達到8.2分，微軟評估風險達到重大層級。</p> <p>有部分用戶目前受到這項漏洞的影響，因為這項漏洞被用於攻擊行動，微軟雖然已在服務層級進行緩解，但仍無法讓所有用戶都不受到衝擊，他們已發出通知，提供檢查網站是否受害的檢測方法，以及清理的步驟。</p> <p>另一個漏洞CVE-2025-21355，則與遠端程式碼執行（RCE）有關，微軟提及發生的原因在於Bing的重要功能缺乏身分驗證，使得未經授權的攻擊者有機會透過網路執行程式碼，風險值為8.6。</p> </div></div></div>
2025/2/25 15:33作者周峻佑https://www.ithome.com.tw/news/167545
繼臺馬二號、三號海纜後，臺澎三號海纜也發生中斷故障
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼1月發生臺馬海纜中斷故障，迄今臺馬海纜尚未修復，今天（2/25）中華電信再次通報政府相關單位，臺澎三號海纜也發生中斷故障，數發部表示，中華電信已緊急調度其他海纜支援訊務，確保臺灣與澎湖、金門間的通訊不受影響，由於海纜影響我國通訊甚鉅，數發部去年已行政院報請核定，將14條國際海纜、10條國內海纜指定為關鍵基礎設施（CI）。</p> <p>今年1月臺馬海纜二號及三號海纜先後發生中斷故障，由於需安排國際海纜船修復，中華電信先以微波通訊備援，使馬祖地區的通訊不致受到影響，中華電信一方面安排國際海纜船來臺，也正在興建臺馬四號海纜，建立多條海纜備援機制。</p> <p>今天臺澎三號海纜也發生中斷故障，中華電信除了依法向海巡署通報，委托調查海纜中斷原因，數發部接獲通報後，也已請中華電信調度其他海纜支援訊務，降低對臺灣、澎湖、金門的影響。</p> <p>根據數發部的說明，國家通訊暨網際安全中心（NCCSC）接獲中華電信通報，2月25日凌晨3點3分，位於臺南北門14.7公里的臺澎海纜發生全斷障礙，由於尚有臺澎二號、澎金三號、臺金二號海纜互連，因此得以調度其他海纜支援訊務。另外，中華電信原本為修復臺馬海纜安排的國際海纜船，原定2月底、3月底分別修復臺馬海纜二號及三號海纜，現在也緊急安排國際海纜船緊接著修復臺澎三號海纜。</p> <p>海巡署指出，2月25日凌晨接獲中華電信通報後，臺澎三號海纜發生中斷故障後，海巡署原先就在該海域監控多哥籍「宏泰」貨輪，發現該船下錨滯留，立即實施廣播驅離，並全程監控，而在接獲中華電信通報後，以現行犯攔停貨輪，並將貨輪押返臺南安平港，依國安層級處理原則，由臺南地檢署指揮偵辦中。</p> <p>海巡署表示，該貨輪具有中資背景，船員均為中國籍人士，但是否為蓄意人為破壞海纜，還有待進一步的調查，並不排除為中國灰色地帶的侵擾行動。</p> <p>近幾年多次發生海纜中斷故障，其中幾次事件發生的原因疑似為不明貨輪船隻拖斷所致，成大電機系教授李忠憲即以兩岸關係緊張，認為臺灣海纜遭到疑似中國船隻損毀，為灰色地帶的極限作戰，海纜負責臺灣對外9成以上的國際通訊，如所有海纜都遭到破壞，將使國際通信幾乎癱瘓，影響跨國交易、金融服務，以及Google、AWS國際雲端服務，衝擊半導體產業跨國合作。如果臺灣所有對外國際海纜遭破壞中斷，臺灣將成為通訊孤島，他呼籲政府應加強國內通訊網路及服務韌性。</p> <p>依照國家關鍵基礎設施安全防護指導綱要，目前政府已將國際海纜列為關鍵基礎設施，對國際海纜設置者負有事前預防、事中偵測通報應變與事後復原等防護措施，每年業者需辦理防護演習。然而國際海纜已被列為CI，過去並沒有將國內海纜列為CI，去年因發生國內海纜中斷故障，數發部應立委要求報請行政院核定，也將國內海纜納入關鍵基礎設施的安全防護範圍，同樣有事前防護、事中偵測、事後復原的要求。</p> <p>數發部表示，未來將依備援再備援的原則，強化離島的通訊韌性，包括在政府關鍵節點設置非同步軌道衛星站點，補助海纜、微波通訊建設，通過多元異質通訊備援機制提升通訊穩定性。</p> <p> </p> </div></div></div>
2025/2/25 16:05作者蘇文彬https://www.ithome.com.tw/news/167546
Cloud周報第220期：全美資料中心建案暴增但供電恐不足，Meta新全球海纜計畫比地球一圈還長，SAP瞄準AI訓練需…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="color:#FF0000;"><strong>Cloud重點新聞（02/01～02/20）</strong></span></h3> <p><strong><span style="color: rgb(0, 0, 255);">#海纜安全 #無人潛艇巡視</span><br /> 波羅的海海底電纜切斷事件連連，歐盟啟動海底電纜安全倡議</strong></p> <p>歐盟在2月21日發布了一項聯合通告，要啟動一項海底電纜安全倡議倡議，包括了五大行動，來提高歐盟海纜基礎設施的安全性，包括了預防、偵測、回應、修復和阻止。第一步要防止破壞事件，並且要提高海底電纜基礎設施的脆弱性和防禦能力。第二階段則要強化偵測能力，盡快發現甚至可以預測到可能的破壞威脅。一但發生破壞事件，受影響的歐盟成員要聯手，強化協調和應變能力。並且歐盟將發展一套可以盡快恢復通訊的能力。最後一項作法要強化對海底電纜威脅態勢的掌握，尤其要保護關鍵海上基礎設施的安全，並追究惡意破壞者的責任。</p> <p>歐盟從去年底，頻頻傳出海底電纜中斷事故。去年11月，瑞典和立陶宛之間在波羅的海的兩條海底電纜疑遭中國船隻切斷。去年12月，芬蘭和愛沙尼亞間的Estlink 2海纜遭切斷，芬蘭查扣了一艘載了俄羅斯石油的貨輪。但也有歐美官員澄清是意外造成海纜事故。今年1月底，拉脫維亞和瑞典間有條海纜在水深100公尺處，遭到外部因素破壞。北約啟動了一項海底哨兵軍事行動，派出護衛艦、海上巡邏機，海軍無人機來監測海纜基礎設施安全。德國則找來以色列國防業者Elta，部署了一臺重達5噸IAI IAI的海底無人潛艇，代號Blue Wheel（藍鯨），可在水下300公尺每小時巡航8英里，捕捉高解析海底影像。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961-%E8%97%8D%E9%AF%A8%E7%84%A1%E4%BA%BA%E6%BD%9B%E8%89%87_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-IAI%E9%9B%86%E5%9C%98.jpg" /></p> <p><strong><span style="color:#0000FF;">#資料中心建置 #供電量嚴重不足</span><br /> 美國資料中心建案去年大暴增，但現有公共電力只能供應5成資料中心用電量</strong></p> <p>美國房產集團Newmark發布美國資料中心市場報告，美國資料中心新建案的投資規模在2022年ChatGPT發布後，快速增加，尤其在2024年，資料中心新建案的投資金額創新，整年度全美高達315億美元，開發規模加起來約5千萬平方英尺（約140萬坪），相當於650座標準足球場大小，這個建置規模是2020年全美資料中心建案的5倍，但該報告也指出，現有美國公共電力供應嚴重不足，只能滿足現有與未來這些新建資料中心總用電量的50%。</p> <p>2024年，美國超大規模AI資料中心的資本支出和維運費用，加起來約2,490億美元，包括資料中心設施、AI軟硬體設備建置、日常維運和電力費用等，其中1050億美元用於GPU和相關晶片硬體。在過去一年，科技巨頭中，微軟AI資料中心的花費（資本投資與維運費用）最多，達460億美元，Google則有330億美元，Meta約270億美元，而Amazon也有190億美元的AI資料中心支出。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%9C%961-%E7%BE%8E%E5%9C%8B%E8%B3%87%E6%96%99%E4%B8%AD%E5%BF%83%E5%BB%BA%E6%A1%88%E5%A4%A7%E5%A2%9E-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Newmark.png" /></p> <p><strong><span style="color:#FF8C00;">#ERP資料整合 #AI訓練需求</span><br /> 瞄準企業ERP資料AI分析需求，SAP聯手Databricks推出業務資料分析雲</strong></p> <p>ERP龍頭軟體商SAP在2月初產品大會上，推出了一款SaaS形式的企業資料分析服務Business Data Cloud，提供企業整合所用SAP產品的資料和第三方資料，作為AI資料分析或訓練之用。SAP與AI技術廠商Databricks合作，在SAP Business Data Cloud中，開發了一個SAP Databricks元件，整合了Databricks的零複製資料串接技術Delta Sharing，提供AI、資料倉儲和資料工程與統一型錄（Unity Catalog），可安全整合外部資料源資訊以用於AI開發任務。</p> <p>SAP Business Data Cloud專門鎖定SAP系統上公雲的企業用戶，可用來整合所有企業資料，從ERP、財務、供應鏈、HR、客服和營運規畫等彙整，以自動化AI分析、模擬出業務預測並產出報表。也能整合第三方工具資料治理工具Collibra、資料串流處理工具Confluent和機器學習AI自動化工具DataRobot。SAP更整合了自家生成式AI代理人Joule。利用內建的知識圖譜來串接企業資料、meta data和業務流程，供LLM決策或判斷之用。例如用戶可用它來執行複雜分析和規畫，像是風險評估、預測及進階業務模擬，減少對IT的依賴。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Insight-Apps-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-SAP.jpeg" /></p> <p><strong><span style="color:#FF8C00;">#AWS #EFS</span><br /> Amazon EFS共用檔案系統的支援規模翻十倍，可支援1萬個存取點</strong></p> <p>Amazon EFS是雲原生的NFS檔案系統，也是企業建立跨區域間的檔案共享系統常用個其中一項AWS服務，適合用來儲存非結構化資歷像是檔案，圖片，影音等。更支援大量EC2執行實例，透過權限控管機制來共享和存取資料，不需要預先定義儲存容量，也可以任意擴充。原本可支援的應用程式存取點只有1千個，最近AWS宣布擴充存取點支援規模到1萬個，等於可以同時支援分散在不同雲端區域的1萬隻應用系統，來存取同一個檔案系統。</p> <p><strong><span style="color:#FF8C00;">#雲端儲存 #中繼資料分析</span><br /> S3正式啟用中繼資料功能，不用複雜指令也能快速尋找數億物件</strong></p> <p>日前AWS正式推出了Amazon S3中繼資料功能（Metadata），當資料物件上傳儲存到S3時，會以幾乎即時的速度，來自動截取資料物件的中繼資料。可支援的中繼資料類型，包括了物件大小，來源等，也提供自訂中繼資料，可用標籤功能來註解像是交易ID、產品類型、內容等級等資訊。透過AWS分析類服務，例如QuickSight、Redshift等服務，快速查詢上億物件的中繼資料，快速找出想要的資料物件。也可用AWS的AI開發工具Bedrock用中繼資料欄位，對AI生成的影片進行註解，建立時間戳記等生成特徵。像網路監控服務商New Relic擁有高達1.3EB的S3資料物件量，改用中繼資料自動產生一些指標資訊，讓維護工程師減少了數百個開發工時，來建置這些指標的開發時間。</p> <p><strong><span style="color:#FF8C00;">#雲端資安 #營運透明化</span><br /> AWS發布信任中心網站，提供一站式的資安和法遵文件知識庫</strong></p> <p>AWS資安長Chris Betz在2月中發布了AWS的信任中心官網，上面整合了所有AWS的安全作業實務文件像是資料中心的安控作法，到雲端服務的安全策略等，也整合了AWS所有合規計畫文件，例如GDPR合規，也提供了雲端稽核學院的課程，另外還有AWS服務的相關資料保護控制作法文件。</p> <p>不只是文件，信任中心網站還整合了AWS服務營運狀態的透明化資訊，包括了各項安全發布，服務狀態到帳號運作儀表板，也集結了AWS所有的資安事件通報管道，像是資安漏洞通報，可疑電子郵件檢舉，或是疑似濫用行為的舉發管道等。<br /> Chris Betz指出，這個網站提供了一個查詢各項服務健康和安全事件資訊的集中式入口，也能隨時回報安全問題，或是用來評估自己所用服務的安全性。後續隨著AWS雲端服務更新，也會動態同步更新相關安全資訊到這個網站上揭露。<br /> AWS不是唯一一家提供類似一站式安全資訊中心的公雲巨頭，微軟和Googel也早就推出了類似的安全信任中心。 </p> <p><strong><span style="color:#FF8C00;">#雲端辦公室 #Gemini</span><br /> Google辦公室產品內建的Gemini助手，終於支援繁體中文</strong></p> <p>剛在今年1月調整一波新定價的Google辦公室服務Workspace，從2月20日開始，內建的Gemini助手終於增加支援中文、阿拉伯文、越南文等17國語言，累計支援語言達到40國。包括在Gmail、Google文件、Google雲端硬碟等應用的側邊面板中使用Gemini時，可改用慣用語言進行摘要或生成文案。</p> <p><strong><span style="color:#0000FF;">#臺美海纜 #雲端基礎架構</span><br /> Meta從頭城到加州的海纜擬2027年啟用，可提供臺美跨海頻寬達76.8Tbps</strong></p> <p>今年1月底，Meta公司向美國聯邦通訊委員會申請一項臺美海底光纖電纜ORCA的登陸許可。這條海纜完全由Meta公司獨有，採開放架構可將流量賣給第三方。ORCA採用6對光纖設計，一對光纖設計傳輸容量為12.8Tbps，整套海纜的總傳輸容量為76.8Tbps。跨洲的主線海纜長度超過1萬公里，將連結臺灣頭城到美國加州兩座城市（赫莫薩海灘和加州曼徹斯特），另有兩條在加州岸端的分線共約1,500公里長，預計最快2027年第一季開始運作。Meta曾在2021年撤銷了一條串聯加州兩地到香港的美中合資海纜計畫，中途也會連接到臺灣頭城。現在新的ORCA海纜則直接改為Meta獨資，且直接從頭城連接到美國加州。</p> <p><strong><span style="color:#0000FF;">#全球最長 #可對抗漁船斷網</span><br /> Meta將投資數十億美元打造全球最長海纜，橫跨五大洲比繞地球一圈還長</strong></p> <p>Meta在2月14日宣布要打造全世界最長的海地電纜計畫Waterworth，預計串連五大洲，總長度超過5萬公里，比地球圓周4萬公里，還要多1萬公里。這條海底電纜將串聯美國、印度、巴西、南非等國，建置時間為期多年，投資規模超過數十億美元。<br /> 目標要建立三條新的海底數位通路，支援數位通訊、視訊和線上交易流量，Meta估計，完成後將可以支援全球海底洲際流量的95%。</p> <p>Meta過去參與過超過20條海底電纜的合作計劃，Waterworth計畫將採用24對光纖組合的海底電纜，遠高于一般通常部署8～16對光纖的海纜。Meta也採用了首創的海底布線技術，可以部署到超過7千公尺深的深海電纜，並且在高風險的斷層區域或像是近海淺水區，採用增強型埋設技術，來避免遭到漁船船錨或其他可能的斷纜威脅。 </p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%87%89%E6%9B%B8%E6%B5%B7%E5%BA%95%E9%9B%BB%E7%BA%9C%E8%A8%88%E7%95%ABWaterworth-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Meta.jpeg" /></p> <p><strong><span style="color:#0000FF;">#資料中心擴充 #Google雲</span><br /> 去年11座資料中心動工，今年繼續加碼，Google今年資本支出將達750億美元</strong></p> <p>Alphabet執行長Sundar Pichai在今年2月初財報電話會議上，宣布今年資本支出將高達750億美元（約臺幣2.4兆元），用於雲端業務的投資，其中大宗用於資料中心、伺服器和網路的建設。Google加快腳步擴充全球基礎架構的規模，去年，包括美國和全球共有11座資料中心動工，也宣布了7項海底電纜建置計畫。同一場會議上，Alphabet財務長Anat Ashkenazi透露，統計到今年底的需求，遠超過我們現有的容量，所以，今年才比照去年，繼續大幅提高資本支出。不只Google，AWS和微軟近日也紛紛透露，擔心沒有足夠資料中心來滿足AI產品的需求而決定在今年加碼相關資料中心的投資。 </p> <p><strong><span style="color:#FF8C00;">#SRE大調查 #可觀察工具</span><br /> 4成企業SRE可觀察性工具不足，3成SRE愛用AI管理災情事件</strong></p> <p>網際網路效能公司Catchpoit連續七年對全球SRE進行調查，日前公布了2025年SRE年度報告，在去年8月搜集了301位SRE領域從業人員。根據調查，SRE平均一個月要處理1～5件可靠性事故。6成企業主要採用了2到5項監測工具，有8%企業則導入了超過10款可觀察性工具。只有5%企業只靠一款可觀察性工具來監測。不過，多達41%企業的可觀察工具不足，例如缺乏有效的監控矩陣，導致復原時間延遲，也難以除錯，但也有16%企業自評採用了過多的監測工具，導致雜訊過多，影響了分析和判斷。在AI工具輔助上，39%填答者認為AI對於程式碼撰寫最有幫助，另有33%填答者認為用於事件管理也頗有效果。</p> <p>責任編輯：王宏仁</p> <p><strong>更多消息</strong></p> <ul> <li>AWS老客戶Salesforce更換主要雲端供應商，改與Google雲簽訂25億美元的7年合約。</li> <li>供應全印4成用電的印度塔塔電廠，將23套關鍵系統搬上AWS公雲，更建置兩套雲端資料湖來蒐集太陽能、風力發電、智慧電表與工業物聯網設備的龐大即時資訊。</li> <li>小心網路釣魚工具鎖定M365和Gmail用戶，可狹持連線階段及時攔截帳密，恐能繞過多因素驗證</li> </ul> </div></div></div>
2025/2/25 14:55作者王宏仁https://www.ithome.com.tw/news/167541
微軟公布能設計電玩的AI模型Muse
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本周在《自然》期刊<a href="https://www.nature.com/articles/s41586-025-08600-3#Sec1" target="_blank">發表</a>一款世界與人類行為互動模型（World and Human Action Model，WHAM），名為Muse，能生成電玩的視覺物件及控制器行為。</p> <p>生成式AI雖然逐漸普及應用於創意產業，如影片、圖片，加速協同溝通及自動化產製過程，但效果仍不如期望。微軟研究院Game Intelligence和Teachable AI Experience（Tai X）及Xbox Games的忍者理論（Ninja Theory）團隊合作開發出Muse，展示利用對使用者需求的知識，促進生成式AI開發創意內容的能力。最後結果是名為Muse的世界與人類行為模型（World and Human Action Model，WHAM），可生成一致化又多樣化的電玩遊戲情節，且能持續整合用戶需求。</p> <p>WHAM模型基於Transformer架構的自回歸模型。為了訓練Muse，研究團隊蒐集了4人對4人的Xbox線上遊戲Bleeding Edge玩家對戰時的影片作為訓練資料集，涵括10億張遊戲畫面與控制器輸入的資料，相當於7年的人類玩家遊戲資料。透過大量學習，來訓練WHAM生成遊戲玩法序列、關卡設計和角色行為。訓練環境先是使用Nvidia V100，之後全面改成H100，開發過程也經歷多輪迭代。</p> <p>最後的Muse（WHAM-1.6B）可生成遊戲視覺效果、遊戲內行動，或同時生成兩者。它能夠根據1秒的遊戲片段（1秒的影像與控制器輸入），預測接下來的遊戲發展。</p> <p>研究人員<a href="https://www.microsoft.com/en-us/research/blog/introducing-muse-our-first-generative-ai-model-designed-for-gameplay-ideation/" target="_blank">評估</a>，Muse有一致性（consistency）、多樣性（diversity）及持續性（persistency）的特點。一致性方面，Muse能夠生成長達兩分鐘的連續遊戲序列，並且能夠保持畫面穩定，不會出現明顯的視覺退化或不合理的變化。多樣性方面，Muse具備行為和視覺上的多樣性。例如，當給定相同的10幀（1秒）真實遊戲畫面作為條件時，Muse產生了不同的遊戲場景，包括不同的攝影機移動方式或是選擇不同路徑。此外，Muse也能產生視覺上的變化，例如角色的懸浮滑板樣式不同。Muse還具有「持續性」的能力，能夠使新角色合理地融入遊戲環境，而不是將其忽略或錯誤刪除。</p> <p>與以往需要手動定義或提取相對狹窄領域結構的創意支援工具不同，生成式AI模型可以從現有數據中學習相關結構，能夠在遊戲開發、遊戲測試和創意應用方面提供重要協助。</p> <p>研究團隊也開源了Muse權重及樣本資料，以及WHAM Demonstrator的執行檔，WHAM Demonstrator為概念模型原型，提供視覺介面和模型互動。開發人員可以在Azure AI Foundry<a href="https://ai.azure.com/" target="_blank">試用</a>Muse。</p> </div></div></div>
2025/2/25 14:14作者林妍溱https://www.ithome.com.tw/news/167539
針對中國駭客Salt Typhoon利用思科網路設備弱點入侵美國電信業者，思科發表調查報告證實此事
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對去年9月爆發的<a href="https://www.ithome.com.tw/news/165354">中國駭客大規模攻擊多家美國電信業者</a>的資安事故當中，<a href="https://www.ithome.com.tw/news/166096">11月有知情人士透露</a>，駭客入侵受害組織網路環境的手段，是針對思科的網路設備漏洞，但對於這項傳言，思科始終沒有出面說明，直到本月上旬資安業者Recorded Future<a href="http://www.ithome.com.tw/news/167390">點出駭客使用的漏洞</a>，思科才透露他們也在著手調查此事。</p> <p>2月13日Recorded Future指出，他們發現被稱做Salt Typhoon、Earth Estrie、FamousSparrow、Ghost Emperor的中國駭客組織，在攻擊美國電信業者的過程裡，利用思科網路設備系統IOS XE漏洞CVE-2023-20198、CVE-2023-20273（CVSS風險分別為10分、7.2分），事隔一週，<a href="https://blog.talosintelligence.com/salt-typhoon-analysis/">思科也公布相關調查結果</a>，表示駭客在部分攻擊行動裡，疑似有利用其他IOS XE已知漏洞的情況。</p> <p>思科旗下威脅情報團隊Talos表示，他們在進行相關攻擊行動調查之後，確認在部分攻擊當中，駭客可能運用了重大層級的IOS XE遠端程式碼執行（RCE）漏洞CVE-2018-0171（風險評為9.8分）。在所有事故當中，Salt Typhoon取得受害組織的初始入侵管道，都是利用外流的使用者帳號資料存取思科設備而得逞，接著，他們在多個廠牌的設備之間持續活動，並在其中一個實體活動超過3年。</p> <p>而對於其他研究人員公布的調查結果裡，揭露駭客利用的其他思科設備弱點，除了Recorded Future提到的兩項漏洞，Talos也提及存在於網路設備作業系統NX-OS的<a href="https://www.ithome.com.tw/news/163736">命令注入漏洞CVE-2024-20399</a>（風險評為6.0分），這代表這些駭客也有可能對這類設備下手。不過，Talos表示雖然他們掌握上述的說法，但並未察覺駭客使用這些弱點的情況，為了安全起見，他們呼籲IT人員還是要儘速修補。</p> <p>究竟駭客如何取得入侵受害組織所需的帳密資料？Talos表示並不清楚，但他們觀察到這些駭客在整個攻擊流程都有運用遭竊的有效帳密的情況，而且會試圖透過網路設備的組態解譯使用弱密碼的本機帳號。此外，Salt Typhoon也會截取SNMP、TACACS、RADIUS流量，以及網路設備和TACACS、RADIUS伺服器之間使用的金鑰。</p> <p>在部分環境當中，駭客透過FTP及TFTP將設備的組態外流，這些組態通常包含身分驗證相關資料，以及網路介面的命名，使得攻擊者能進一步掌握網路環境，有助於偵察或橫向移動。</p> <p>特別的是，這些駭客採取不斷在受害組織基礎設施移動的策略，原因可能是相關設備的行為通常不會被網路防禦系統視為可疑，使得攻擊者行蹤難以察覺。</p> <p>除此之外，Talos也發現駭客會利用Bash與思科裝置的虛擬化環境Guest Shell，來竄改網路設備的組態，並使用自製工具JumbledPath捕捉封包內容。為了避免被發現，駭客也會利用JumbledPath清除相關事件記錄檔案，並混淆攻擊來源。</p> </div></div></div>
2025/2/25 11:10作者周峻佑https://www.ithome.com.tw/news/167535
微軟針對WSUS服務棄用再度警告，2個月後將停止驅動程式同步服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年9月微軟宣布Windows Server Update Services（WSUS）棄用（不再繼續發展新功能，預告後續可能會刪除），上週微軟<a href="https://learn.microsoft.com/en-us/windows/release-health/windows-message-center#3482">發布公告</a>，指出WSUS的驅動程式同步功能即將於4月18日棄用，對於想要持續藉由作業系統更新機制派送驅動程式的IT人員，就要尋求其他的替代方案。而對於驅動程式檔案，微軟表示會透過Microsoft Update Catalog網站提供，但IT人員無法匯入WSUS使用。</p> <p>這項棄用WSUS驅動程式同步服務的決策，<a href="https://techcommunity.microsoft.com/blog/windows-itpro-blog/deprecation-of-wsus-driver-synchronization/4177831">最早是在去年6月宣布</a>，而對於WSUS本身，微軟則是於8月列為<a href="https://github.com/MicrosoftDocs/windowsserverdocs/commit/b9de39a7a50e881d725ba5af90ca179d20ecd2ca">將在Windows Server 2025移除的功能</a>，並表明不再開發新功能。到了9月，<a href="https://www.bleepingcomputer.com/news/microsoft/microsoft-officially-deprecates-windows-server-update-services-wsus/">該公司正式宣布棄用WSUS</a>。</p> </div></div></div>
2025/2/25 12:17作者周峻佑https://www.ithome.com.tw/news/167537
Google公布影片生成AI模型Veo 2費用，每秒0.5美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google去年<a href="https://www.ithome.com.tw/news/166542" target="_blank">公布</a>影片生成AI模型Veo 2開放試用3個月後，本周公布<a href="https://cloud.google.com/vertex-ai/generative-ai/pricing" target="_blank">價格表</a>。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0225-google%20vertex%20ai-veo%202-price.png" style="width: 600px;" /></p> <p>Veo 2可根據用戶輸入的文字提示來生成高畫質影片，能生成一部最高4K（4096 x 2160）解析度畫質，最長2分鐘的影片。Google強調Veo 2對真實世界的物理運作及人類表情的細微差異，具有高度理解能力。</p> <p>使用Veo 2的代價為每秒0.5美元。製作2分鐘影片費用成本為60美元。Google於二周前<a href="https://blog.google/feed/veo-2-dream-screen-youtube-shorts/" target="_blank">公布</a>將Veo 2推向YouTube Shorts，用戶可以在新影片生成功能Dream Screen中，輸入文字以Veo 2生成影片。</p> <p>相較之下，Veo 2想要挑戰的OpenAI的Sora，最高可生成1080p、最長20秒的影片。Sora提供給ChatGPT Plus及Pro方案用戶，各需月付20及200美元，但Plus用戶只能生成720p，每次最長5秒的影片。</p> </div></div></div>
2025/2/25 12:26作者林妍溱https://www.ithome.com.tw/news/167538
美國製造優先，蘋果公布4年5,000億美元高科技投資計畫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果昨（24）日<a href="https://www.apple.com/newsroom/2025/02/apple-will-spend-more-than-500-billion-usd-in-the-us-over-the-next-four-years/" target="_blank">公布</a>高科技製造投資計畫，未來4年內將投入5,000億美元生產AI伺服器、晶片，並且聘僱2萬名美國員工。</p> <p>這項宣布是美國總統川普上任後，揚言調高墨西哥、加拿大尤其是中國商品進口關稅，以及蘋果執行長Tim Cook上周會晤川普後，蘋果方面的正式回應。這波計畫宣告蘋果因應美國重新聚焦製造業政策，降低海外特別是中國生產比例。</p> <p>這5,000億美元投資計畫之一，蘋果將與製造商合作夥伴在德州休士頓設廠生產伺服器。該廠生產的伺服器將用於支援蘋果Apple Intelligence，也是Private Cloud Compute的基礎，後者目的在確保AI雲端資料安全性。這座占地25萬平方英呎的伺服器組裝廠預定2026年啟用，並聘僱數千名員工。蘋果也計畫，隨著Apple Intelligence在美客戶增加，將擴增它在北卡羅來納、愛荷華、奧勒岡、亞利桑納及內華達州的資料中心運算容量。</p> <p>其次蘋果計畫把以促進美國高科技製造工作的美國進階製造基金（Advanced Manufacturing Fund），由50億美元倍增為100億，而其中重點之一是在台積電亞利桑納州晶圓廠Fab 21生產「進階晶片」。蘋果說它是台積電Feb 21最大客戶，而首款美國製造的蘋果晶片上個月已經正式量產。</p> <p>路透社<a href="https://www.reuters.com/technology/artificial-intelligence/apple-plans-texas-factory-ai-servers-20000-research-jobs-2025-02-24/" target="_blank">報導</a>，蘋果合作廠商為鴻海。此外根據<a href="https://money.udn.com/money/story/11162/8490376" target="_blank">報導</a>，這座廠生產的是A16處理器。</p> <p>蘋果強調自己早就在美聘僱了晶片研發人力，包括iPhone 16e使用的A18晶片及首款自製行動數據晶片Apple C1。但未來4年蘋果計畫再聘請20,000名美國人力，大部份人力著重在晶片工程、軟體開發、AI與機器學習上。</p> <p>最後，蘋果承諾在密西根州開設蘋果製造學院（Apple Manufacturing Academy）以提供中小企業諮詢，以及開設線上及實體課程給民眾。</p> <p>這也是1月20日川普上任後，另一宗美國科技巨擘的大型投資計畫。1月底OpenAI、軟銀與甲骨文<a href="https://www.ithome.com.tw/news/167107" target="_blank">承諾</a>4年投入5,000億美元的Stargate計畫，將打造AI資料中心，包括興建電力基礎架構。</p> </div></div></div>
2025/2/25 11:13作者林妍溱https://www.ithome.com.tw/news/167536
Docker Hub免費政策變更又惹議，4/1起調整拉取限制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Docker再次調整其免費服務策略，這次的變動重點為<a href="https://docs.docker.com/docker-hub/usage/">Docker Hub的映像檔拉取限制</a>。從2025年4月1日起，未登入用戶的拉取次數將降至每小時10次，而免費帳戶則限制為每小時100次。相較之下，付費訂閱用戶，包括Pro、Team和Business方案，則可享有無限拉取，但仍須符合公平使用原則。這項改變引發開發者社群的討論，特別是長期依賴Docker Hub的個人開發者與小型團隊。</p> <p>Docker Hub過去長期提供免費的映像檔拉取服務，使其成為容器生態系統中的關鍵基礎設施。開發者可輕易存取各類開源軟體，並將其整合至CI/CD流程與企業應用環境。這項便利性使得Docker在DevOps中被普及應用，但也讓開發者在無形中高度依賴Docker Hub基礎設施。現在Docker再度收緊免費政策，不僅影響個人用戶與開源專案，也讓企業IT部門需要重新檢視其容器映像檔的管理方式。</p> <p>這並非Docker首次調整免費帳戶的權益。<a href="https://www.ithome.com.tw/news/140808">2020年Docker曾調整匿名用戶每6小時100次的拉取限制</a>，而經驗證的免費用戶，每6小時的拉取次數限制則為200次，當時已引發開發者對Docker商業模式的不安。Docker近年也多次調整訂閱方案，試圖將用戶導向付費模式，而這次進一步壓縮未付費用戶的拉取次數，則被部分開發者視為加速變現的策略。</p> <p>部分企業IT團隊可能會選擇升級至付費方案，以確保系統穩定運行，而中小型開發團隊則可能轉向其他容器映像檔註冊表，如GitHub Container Registry、Google Artifact Registry或Amazon Elastic Container Registry。此外，建立內部快取機制或私有註冊表也是常見的解決方案，能有效降低對Docker Hub的依賴。</p> <p>這項變更直接衝擊獨立開發者與小型團隊，不少開發者的CI/CD流程高度依賴Docker Hub，且未必具備架設私有註冊表的資源，對於這類用戶，限制拉取次數可能會導致建置流程中斷影響開發效率。在<a href="https://news.ycombinator.com/item?id=43125089">Hacker News</a>等網路論壇，不少開發者對此表達不滿，認為Docker長期提供免費服務作為宣傳，如今卻透過流量限制來驅使用戶付費，這種策略難免引發爭議。</p> </div></div></div>
2025/2/25 08:09作者李建興https://www.ithome.com.tw/news/167527
【資安日報】2月24日，2024十大網站攻擊技術臺灣專家再度稱霸第一
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2024年度「十大網站攻擊技法」（Top 10 Web Hacking Techniques 2024）年初公布，本次有103件研究成果入選，較往年倍增，同時品質也更加精進。PortSwigger首席研究員James Kettle指出，這次是他歷年見過最高品質的一批研究成果。</p> <p>特別的是，這次第一、第四為臺灣資安研究員的成果，分別是Apache HTTP Server的混淆攻擊手法，以及Windows作業系統ANSI字元轉換弱點WorstFit。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167511"><strong style="font-size: 22px;">中國駭客Earth Preta假借打擊犯罪為由散布惡意程式ToneShell，意圖利用作業系統預載公用程式迴避偵測</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/EarthPretaFig01-2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/EarthPretaFig01-2.png" style="width: 300px; float: right;" /></a>專門鎖定臺灣、越南、馬來西亞等亞太國家發動攻擊，被稱做Mustang Panda、Earth Preta的中國駭客組織，自2022年至今已有200家企業組織受害，如今有資安業者提出警告，這些駭客更換手法相當值得留意。</p> <p>資安業者趨勢科技指出，他們最近觀察到新一波的攻擊行動裡，Earth Preta一旦發現受害電腦執行ESET防毒軟體，便將程式碼注入Windows公用程式Microsoft Application Virtualization Injector（MAVInject.exe），使得有效酬載注入另一個用來與其他網路上的電腦傳送及接受訊號的公用程式waitfor.exe。此外，這些駭客也濫用安裝程式建置工具Setup Factory，投放並執行有效酬載。這麼做的目的，主要是為了迴避偵測，並且能持續在受害電腦活動。</p> <p>罕見的是，研究人員特別提及這支惡意程式並非只針對部署ESET防毒的電腦而來。假若駭客發現受害電腦並非使用該廠牌的防毒軟體，就會直接利用特定的API將程式碼注入waitfor.exe。</p> <p><a href="https://www.ithome.com.tw/news/167512"><strong style="font-size: 22px;">駭客組織RedCurl利用Adobe元件側載惡意程式，意圖假借求職對法律產業發動攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-1-EarthKapreInfectionChain.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-1-EarthKapreInfectionChain.jpg" style="width: 300px; float: right;" /></a></p> <p>駭客假借求職名義向企業組織發動網路釣魚攻擊的情況，有不少是為了籌措營運資金的北韓駭客所為，但近期有其他駭客這麼做而引起關注。</p> <p>資安業者eSentire今年1月發現被稱做Earth Kapre、RedCurl的駭客組織攻擊行動，這些駭客鎖定律師事務所及法律服務行業而來，過程中利用Adobe應用程式元件ADNotificationManager.exe，以側載的方式執行他們的惡意程式載入工具，並利用微軟網路公用程式Active Directory Explorer這類工具從事偵察，然後以7-Zip打包竊得資料且設置密碼保護，最終使用PowerShell發出請求，將資料透過雲端儲存服務供應商Tab Digital外流。</p> <p>究竟這些駭客如何接觸受害者？他們假借求職為誘餌寄送釣魚郵件，信中挾帶PDF檔案，一旦收信人開啟並點選其中的連結，電腦就會下載ZIP壓縮檔，其內容為IMG光碟映像檔，若是收信人開啟，就會在電腦裡掛載。</p> <p><a href="https://www.ithome.com.tw/news/167516"><strong style="font-size: 22px;">網釣工具包Astaroth同時針對Gmail及M365帳號而來，能繞過多因素驗證並挾持帳號</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Astaroth-image3.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Astaroth-image3.png" style="width: 300px; float: right;" /></a></p> <p>網路釣魚攻擊的活動出現分工，駭客製作工具包吸引更多打手參與，最近兩到三年更製作出能繞過多因素驗證（MFA）的作案工具，但大部分鎖定目標主要是Microsoft 365帳號，如今有駭客開發能對其他帳號下手的新工具，因而引起研究人員的注意。</p> <p>資安業者SlashNext揭露今年一月底出現的網釣工具包Astaroth，賣家標榜此工具能挾持連線階段（Session）及即時帳密攔截，從而繞過Gmail、Yahoo、M365等帳號的多因素驗證機制。</p> <p>乍聽之下，Astaroth的主要功能，與其他能進行對手中間人（AiTM）的網釣工具包雷同，但Daniel Kelley指出做法有明顯的差異，其中一項就是駭客的網釣網域具備SSL憑證，使得瀏覽器不會彈出警示訊息，受害者也難以察覺有異，但在此同時，Astaroth會將使用者發出的請求轉送到真正的身分驗證服務，並秘密攔截相關敏感資料。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/02/cybercriminals-use-eclipse-jarsigner-to.html">JAR檔案簽章工具遭到濫用，攻擊者藉此於受害電腦啟動惡意軟體XLoader</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/fake-chrome-update-delivers-drivereasy-malware/">假借提供驅動程式部署、瀏覽器更新工具，北韓駭客意圖藉由Dropbox散布惡意程式</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/spylend-android-malware-downloaded-100-000-times-from-google-play/">SpyLend貸款詐騙App鎖定安卓用戶而來，已被下載逾10萬次</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/lummac2-malware-masquerading-as-total-commander-crack-to-infect-windows-users/">駭客假借提供檔案管理工具Total Commander盜版名義，意圖散布竊資軟體LummaC2</a></strong></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/atlassian-patches-critical-vulnerabilities-in-confluence-crowd/">Atlassian修補旗下Confluence、Crowd重大層級漏洞</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167513"><strong style="font-size: 22px;">2024十大網站攻擊技術公布，臺灣資安專家再度稱霸第一</strong></a></p> <p>今年1月，PortSwigger網站發布了年度「十大網站攻擊技法」（Top 10 Web Hacking Techniques 2024），再次受到我們關注，原因是臺灣專家的研究成果，同時榮獲了第1名與第4名。</p> <p>本屆總共有103件研究報告獲得提名，比起往年數量呈現接近倍增的情形，不僅是數量大增，負責舉辦此計畫的PortSwigger首席研究員James Kettle指出，這是他自2018年負責此專案以來，見過最高品質的一批研究成果。</p> <p>這次臺灣資安研究人員能夠再次從中脫穎而出，獲選為第1名與第4名，更是難得，而且，兩項都與臺灣資安公司戴夫寇爾（DEVCORE）首席資安研究員Orange Tsai（蔡政達）有關。</p> <p><a href="https://www.ithome.com.tw/news/167517"><strong style="font-size: 22px;">針對外傳英國政府施壓開存取用戶資料的後門，蘋果證實即將移除英國iCloud進階資料防護功能</strong></a></p> <p>今年1月英國要求蘋果開放存取iCloud加密備份的後門，蘋果2月21日向彭博社與The Verge證實，他們不再向英國的新用戶提供iCloud的進階資料防護（Advanced Data Protection，ADP）功能，且最終會在當地全面禁用。</p> <p>當時傳出英國政府使用的法源依據，是名為「監聽者憲章（Snooper's Charter）」的《2016年調查權法案》，他們向蘋果下達名為技術能力通知（Technical Capability Notice）的命令，希望透過這後門讓他們能存取蘋果帳號以全程加密（E2EE）上傳到iCloud的檔案備份的完整內容。值得留意的是，這道命令適用對象是全球蘋果用戶，而非只有針對英國人。</p> <p>而在這次蘋果發出的聲明當中，透露無法藉由ADP保護英國用戶的資料，暗示採取這些措施可能並非出自蘋果的意願。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/167506"><strong>【2月21日】中國駭客使用勒索軟體Ghost在全球70個國家發動大規模攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167487"><strong>【2月20日】Palo Alto Networks防火牆已知漏洞被用於攻擊網頁管理介面</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167455"><strong>【2月19日】新型態名稱混淆攻擊手法鎖定雲端環境的虛擬機器映像檔而來，數千個AWS帳號受害</strong></a></p> </div></div></div>
2025/2/24 16:06作者周峻佑https://www.ithome.com.tw/news/167526
全球資安研究社群最認可的2024資安漏洞研究出爐，臺灣資安專家揭開Apache HTTP Server模組架構隱藏問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>每年，PortSwigger網站都會精選全球最具影響力的資安研究，發布「十大網站攻擊技法」（Top 10 Web Hacking Techniques）。今年1月，2024年度榜單正式揭曉，讓人振奮的是——第一名榮耀再度由臺灣資安專家奪下。</p> <p>來自臺灣資安公司戴夫寇爾（DEVCORE）的首席資安研究員Orange Tsai（蔡政達），他在2024年8月於美國黑帽大會上，發表了一項針對Apache HTTP Server的研究，獲選為上述榜單之首，突顯其研究在創新與影響的重要性。</p> <p>簡單來說，<a href="http://blog.orange.tw/posts/2024-08-confusion-attacks-ch/">在這項研究中，蔡政達探索了Apache HTTP Server引以為豪的模組化架構</a>，揭開了這方面架構債與問題，不只從中找出3種不同的混淆攻擊手法，包括：Filename Confusion、DocumentRoot Confusion，以及Handler Confusion，挖掘出9個漏洞，同時更是揭開了全新的攻擊面。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89Confusion%20Attack.jpg" style="width: 600px;" /></p> <h3><strong>揭開Apache HTTP Server新攻擊面，強調自身研究更重視深度與完整度的展現</strong></h3> <p>究竟這項攻擊手法發現有何特殊之處，能夠獲得全球研究人員的肯定，成為2024年度最有價值的資安漏洞研究，我們找到蔡政達，請他親自提供這方面的見解。</p> <p>他認為有兩大原因，一是Apache HTTP Server使用的基數大，因為這方面的問題一旦出現，受影響範圍與受關注度都會高；另一是從研究角度來看，這次研究能夠提供一個新穎的視角，去審視網頁伺服器，並能啟發其他研究人員，將同樣的模式套用到其他目標上。</p> <p>事實上，在漏洞研究領域中，每一年都會有新的發現，因此後續還要能夠提出新的視角，都可說是相當難能可貴。</p> <p>在上述兩項原因之外，他認為這次研究成果能夠受到肯定獲選為第1名，還有一個重要的關鍵，就是自己的研究不只要能展現深度，兼顧完整性也很重要。</p> <p>他舉例，包括從一開始如何想到這個視角，一直到如何去驗證、發想攻擊面，以及找出真實的問題。</p> <p>從蔡政達的回答中，我們可以看出，他在漏洞研究領域的持續進化，不只是從當今複雜的網路架構找出具影響性的問題，其研究報告完整程度，也等於是希望打造出一份漏洞研究的楷模。</p> <p>由於我們知道，過去蔡政達在漏洞研究上，已有多次針對從「不一致」的錯誤著手，這次的研究思路有何不同？</p> <p>他表示，這次也有「不一致」概念的部分，但並非全部，這次的研究思路更像是站在更高的視角，去說明為什麼會有不一致，例如，這次問題的根因，在於這個開源網頁伺服器軟體所自豪的模組化架構。</p> <p>他進一步解釋，Apache HTTP Server發展已近30年之久，每個模組可能由不同的開發者實作，程式碼歷經多年的疊代、重整以及修改，但大家可能沒有去深究的是，模組間其實並不完全了解彼此的實作細節，但卻又被要求要一起合作。</p> <p>換言之，在缺乏一個好的開發標準或使用準則下，這中間必然會存在很多小縫隙可以被利用。</p> <p>如果用日常情境來比喻的話：就像要求兩個不熟悉彼此做事風格的人合作確實可以完成事情，但中間必然會有一些細縫或瑕疵。</p> <p>具體而言，以這次揭露的Filename Confusion攻擊手法而言，就是針對不同模組對同個欄位的理解有不一致的情形，像是一個是路徑、一個是網址，這樣的衝突，就會造成安全上的風險；而以Handler Confusion攻擊手法而言，則是尋找有模組修改到它認為不重要的欄位，但對另一個模組來說卻很重要的欄位。</p> <p>蔡政達也指出，這些都是從更上層的視角，才看得到的攻擊面。換言之，有了這樣的視角，才能讓自己的研究發現可以變得更有價值，讓更多研究人員、開發人員，能注意到更多相似的問題。</p> <p>另一方面，隨著2024十大網站攻擊技法出爐，除了上述獲選第一的Apache HTTP Server研究，我們也請蔡政達談談，還有哪些其他研究人員的題目是他也會感興趣的主題？對此，他提到SonerSource資安研究人員發表的2篇研究，雖然這兩項提名沒有入選年度10大，但都是他相當喜歡的研究，原因是這些內容也是在講不一致以及編碼問題。這兩篇研究分別是：「Joomla: PHP Bug Introduces Multiple XSS Vulnerabilities」，以及「Encoding Differentials: Why Charset Matters」。</p> <p>另外，還有像是第6名的「DoubleClickjacking」，以及「Insecurity through Censorship」，也是少數他覺得有趣，而且看完會發出莞爾一笑的研究。</p> <div class="media_embed" height="315px" width="560px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/euO9WbYHm0s?si=EaZjRwvH36q6nFtA" title="YouTube video player" width="560px"></iframe></div> <p><strong>2024年8月，Orange Tsai（蔡政達）在美國黑帽大會首度發表名為「Confusion Attacks: Exploiting Hidden Semantic Ambiguity in Apache HTTP Server」的研究，揭開Apache HTTP Server模組問題與風險。特別的是，蔡政達當時因赴美簽證問題無法前往，所幸黑帽大會答應以預錄影片方式公開發表。（美國黑帽大會於2025年1月在YouTube上傳當時影片）</strong><br /> </p> </div></div></div>
2025/2/24 12:00作者羅正漢https://www.ithome.com.tw/news/167514
2024十大網站攻擊技術公布，臺灣資安專家再度稱霸第一
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年1月，PortSwigger網站發布了<a href="https://portswigger.net/research/top-10-web-hacking-techniques-of-2024">年度「十大網站攻擊技法」（Top 10 Web Hacking Techniques 2024）</a>，再次受到我們關注，原因是臺灣專家的研究成果，同時榮獲了第1名與第4名。</p> <p>事實上，臺灣資安專家的研究已連續兩年未能進入該榜單，今年再度躋身前十，實屬難能可貴，令人振奮。</p> <p>關於這項「十大網站攻擊技法」的榜單，由PortSwigger網站發布，其結果是社群研究人員票選出15名入圍名單，再由專家小組投票排序出前10名，希望突顯每年具創新且重要的新研究。</p> <p>原因在於，每年有無數的資安研究人員公布其最新研究與發現，然而，這些資訊龐雜且零散，儘管部分研究已在大型資安會議發表，仍有許多重要成果可能被忽視。</p> <p>因此，這項票選結果，不僅突顯出全球重要的研究成果，也期望讓全球資安研究員從中獲得更多啟發，而網站安全人員也能了解未來可能威脅態勢。</p> <p>特別的是， <a href="https://portswigger.net/research/top-10-web-hacking-techniques-of-2024-nominations-open">今年有103件研究報告獲得提名</a>，比起往年數量呈現接近倍增的情形，不僅是數量大增，負責舉辦此計畫的PortSwigger首席研究員James Kettle指出，這是他自2018年負責此專案以來，見過最高品質的一批研究成果。</p> <p>換言之，隨著最新的10大網站攻擊技法出爐，也意味已經幫助大家選出年度最好的部分。</p> <h3><strong>臺灣資安研究人員發表2項內容從103項提名脫穎而出，入選第1名與第4名</strong></h3> <p>這次，臺灣資安研究人員能夠再次從中脫穎而出，獲選為第1名與第4名，更是難得。而且兩項都與臺灣資安公司戴夫寇爾（DEVCORE）首席資安研究員Orange Tsai（蔡政達）有關。</p> <p>事實上，蔡政達在<a href="https://www.ithome.com.tw/news/126410">2017年</a>、<a href="https://www.ithome.com.tw/news/129314">2018年</a>發表的研究成果，已經獲得此榜第1名的殊榮，此後三年也持續入榜，其中2019年、2021年的發表，也有在黑帽大會上獲得資安屆奧斯卡獎Pwnie Awards的獎項。因此，他的研究方向，一直是全球研究人員關注的焦點。</p> <p>這次獲選第1名的研究，是蔡政達在2024年8月於美國黑帽大會首度公開發表的內容，其標題是：「Confusion Attacks: Exploiting Hidden Semantic Ambiguity in Apache HTTP Server」。</p> <p>他當時還因為赴美簽證的問題，無法前往，讓黑帽大會破例同意以預錄影片方式公開發表，後續他亦在同一個月，在<a href="https://www.ithome.com.tw/news/164681#ConfusionAttacks">國內的HITCON社群場以中文闡釋這次的成果與經驗</a>。</p> <p>簡單來說，這次研究的重點在於，是他探索出Apache HTTP Server中長年存在的架構問題，揭開了全新的攻擊面，不只研究出3種混淆攻擊手法，並且發現與通報了9個漏洞。</p> <p>另一獲選第4名的研究內容，是蔡政達與他同公司另一位資安研究員splitline（黃志仁）共同研究的成果，他們於兩個月前（2024年12月）歐洲黑帽大會首度公開發表，其標題是：「WorstFit: Unveiling Hidden Transformers in Windows ANSI」。</p> <p>這項研究的重點，在於揭開了Windows ANSI中隱藏的轉換問題，特別的是，公布年度榜單的PortSwigger專家James Kettle還提到，字元轉換向來被視為高風險區域，但實際應用中的攻擊案例卻相對罕見。因此，這項研究不僅成功證明了此類攻擊的高難度，甚至還引發供應商間的相互指責情形。</p> <p>整體而言，從2024年度十大網站攻擊技法的公布來看，不僅突顯了全球資安研究人員的重要貢獻，也顯現出臺灣在全球漏洞研究的實力。</p> <p>未來，我們也希望有更多來自臺灣的資安專家，在資安漏洞研究領域深耕鑽研，持續突破，同樣躍上國際舞臺與受到肯定。</p> <p class="rtecenter"><strong>繼續閱讀</strong>：<strong><a href="https://www.ithome.com.tw/news/167514"><span style="color: rgb(0, 0, 255);">全球資安研究社群最認可的2024資安漏洞研究出爐，臺灣資安專家揭開Apache HTTP Server模組架構隱藏問題</span></a></strong></p> <p class="rtecenter"><strong style="text-align: center;">繼續閱讀</strong><span style="text-align: center;">：</span><strong><a href="https://www.ithome.com.tw/news/167515"><span style="color: rgb(0, 0, 255);">臺灣資安專家揭開WorstFit，成功探索Windows ANSI字元轉換雷區，找出全新攻擊面與3種攻擊手法</span></a></strong></p> <h3 class="rtecenter">　<br /> <span style="color: rgb(178, 34, 34);"><strong>2024年度十大網站攻擊技術手法一覽</strong></span></h3> <p>1. <span style="color: rgb(0, 0, 0);"><strong>Confusion Attacks: Exploiting Hidden Semantic Ambiguity in Apache HTTP Server</strong></span> - <span style="color: rgb(0, 0, 255);">Orange Tsai</span><br /> 2. <span style="color: rgb(0, 0, 0);"><strong>SQL Injection Isn't Dead: Smuggling Queries at the Protocol Level</strong></span> - <span style="color: rgb(0, 0, 255);">Paul Gerste</span><br /> 3. <span style="color: rgb(0, 0, 0);"><strong>Unveiling TE.0 HTTP Request Smuggling</strong></span> - <span style="color: rgb(0, 0, 255);">Paolo Arnolfo、Guillermo Gregorio、 @_medusa_1_</span><br /> 4. <span style="color: rgb(0, 0, 0);"><strong>WorstFit: Unveiling Hidden Transformers in Windows ANSI</strong> </span>- <span style="color: rgb(0, 0, 255);">Orange Tsai、Splitline</span><br /> 5. <span style="color: rgb(0, 0, 0);"><strong>Exploring the DOMPurify library: Bypasses and Fixes</strong></span> - <span style="color: rgb(0, 0, 255);">Mizu</span><br /> 6. <span style="color: rgb(0, 0, 0);"><strong>DoubleClickjacking: A New Era of UI Redressing</strong></span> - <span style="color: rgb(0, 0, 255);">Paulos Yibelo</span><br /> 7. <span style="color: rgb(0, 0, 0);"><strong>CVE-2024-4367 - Arbitrary JavaScript execution in PDF.js</strong></span> - <span style="color: rgb(0, 0, 255);">Thomas Rinsma</span><br /> 8. <span style="color: rgb(0, 0, 0);"><strong>OAuth Non-Happy Path to ATO</strong></span> - <span style="color: rgb(0, 0, 255);">Oxrz</span><br /> 9. <span style="color: rgb(0, 0, 0);"><strong>ChatGPT Account Takeover - Wildcard Web Cache Deception</strong></span>- <span style="color: rgb(0, 0, 255);">Harel</span><br /> 10. <span style="color: rgb(0, 0, 0);"><strong>Hijacking OAuth flows via Cookie Tossing</strong></span> - <span style="color: rgb(0, 0, 255);">Elliot Ward</span></p> <p><span style="color: rgb(105, 105, 105);">資料來源：PortSwigger，iThome整理，2025年2月</span></p> <p> </p> </div></div></div>
2025/2/24 12:01作者羅正漢https://www.ithome.com.tw/news/167513
臺灣資安專家揭開WorstFit，成功探索Windows ANSI字元轉換雷區，找出全新攻擊面與3種攻擊手法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>就在2個多月前的2024歐洲黑帽大會（Black Hat Europe 2024）上，難得有來自臺灣的兩位資安研究人員登臺，並揭露一項名為WorstFit的研究成果，其內容是發現Windows ANSI字元轉換的潛在問題。特別的是，當時我們已經注意到這項研究發布，因為這是臺灣資安研究人員的發表，但對於其細節與意義並不是那麼清楚，然而，這項創新研究在今年1月時，榮獲了2024年度「十大網站攻擊技法」第4名。</p> <p>具體而言，這項研究是臺灣資安公司戴夫寇爾（DEVCORE）首席資安研究員Orange Tsai（蔡政達），以及資安研究員Splitline（黃志仁），兩人共同發表，其研究成果在於，能夠實際找出Windows ANSI字元轉換的潛在問題，成功揭露了一個嶄新的攻擊面，挖掘出3種攻擊手法，包括：Filename Smuggling、Argument Splitting，以及Environment Variable Confusion。</p> <p>同時他們還建立了一個WorstFit專屬網站，幫助外界了解此問題的狀況，並希望更多研究人員能繼續探索這個攻擊面，及早讓相關潛藏問題獲得重視與解決。後續，他們也在<a href="https://devco.re/blog/2025/01/09/worstfit-unveiling-hidden-transformers-in-windows-ansi/">2025年1月9日於戴夫寇爾官方部落格上，公布了WorstFit攻擊研究的完整內容</a>。</p> <p>這項研究有何新奇之處？我們找到蔡政達與黃志仁，請他們談談這項研究的發現。</p> <p>蔡政達表示，這次他們發現了一個值得研究的現象，當Windows要處理的字元不在ASCII範圍時，會自動地套用一個神奇的特性——把結果轉成「看起來跟原本字元很像的ASCII字元」。</p> <p>例如，無限符號∞會變成數字8，數學符號π會被轉成小寫英文p，甚至日圓符號「¥」會被轉成可用來分隔目錄的反斜線「\」。</p> <p>有趣的是，上述這個神奇的特性，被微軟稱為BestFit，因此他們在探索此特性的相關問題之際，同時也將這項研究取名為WorstFit。</p> <p>另一引發我們關注的是，有資安專家指出，這項研究發現帶來了深遠的意義深遠。例如，公布2024十大網站攻擊技法的PortSwigger專家James Kettle表示：每個人都知道字元轉換絕對是一個雷區，但卻很少有實際利用出現，這次能夠證明這類型攻擊相當不易，甚至也引發供應商相互指責的情況。</p> <p>究竟這項研究帶來了什麼的影響？對此問題，蔡政達表示，漏洞研究的完整性仍是一大關鍵，過去字元轉換問題只有零星的個案，但並大家都沒有深究其原因，這次他們將這個概念變成實際的手法，同時也具體的剖析、闡述其機制與原理，讓大家可以去找到很多的個案。</p> <p>至於供應商的狀況，他指出此問題的成因有點複雜，因為牽扯到3個方面，涵蓋開發者、編譯套件、作業系統底層，有些廠商認為不是他們的問題，該從微軟方面去修補，而微軟認為這是開發者沒有仔細閱讀手冊所導致的問題。</p> <p>黃志仁也指出，上述這些問題與狀況，正是他們在研究過程中遇到的最大挑戰。他表示：要如何從一個新發現的特性（Best-fit），找到現實世界的用例，再從用例延伸到實際漏洞。而且，在揭開新的攻擊面之際，該如何說服開發者這是漏洞的一種，以及漏洞責任歸屬的問題，都是他們需要一一面對的狀況。</p> <p>例如，在這項研究中，黃志仁提出的兩個攻擊向量，包括argument splitting、environment variable，以前者為例，在通報攻擊手法與弱點後，他們收到的第一個回覆，就是Curl開發者最初對於這是否屬於 Curl的問題感到困惑，並認為這是Windows的功能。</p> <p>換言之，這項研究成果如同找出了一個埋藏於三不管地帶的問題，需要被外界重視與因應。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖3）WorstFit.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89WorstFit.jpg" style="width: 600px;" /></a></p> <p><span style="color:#696969;"><strong>在這次的漏洞披露過程中，蔡政達與黃志仁也同時調查了開源生態系統，以識別更多受影響的應用程式，並嘗試將相關資訊回報給維護者。以上是他們目前已通知與掌握的狀況。</strong></span></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖2）WorstFit.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89WorstFit.jpg" style="width: 600px;" /></a></p> <p><span style="color:#696969;"><strong>公布2024年十大網站攻擊技法的PortSwigger專家James Kettle指出，字元轉換在實際應用中的攻擊案例相對罕見，但這項研究成功證明了此類攻擊，並且還引發供應商間的相互指責的狀況。</strong></span></p> <h3><strong>如何進一步擴散DEVCORE資安研究人員實力？主動式產品安全研究成新焦點</strong></h3> <p>值得一提的是，這次WorstFit的研究成果，會在下個月於國內有公開演說發表。</p> <p>在2月中戴夫寇爾的新春媒體記者會上，該公司共同創辦人翁浩正與徐念恩提到，他們在3月將舉行DEVCORE Conference 2025，當中一場演說就是蔡政達與黃志仁針對WorstFit進行闡釋，並是此主題的首度中文演說發表，讓國內研究人員可以更清楚其研究思路與經驗。</p> <p>對於該公司研究人員的實力展現，徐念恩指出，在漏洞研究領域，不僅是上述入榜10大網站駭客攻擊技法的兩位研究人員，自家團隊也持續在每年Pwn2Own漏洞研究競賽上獲得佳績，像是最近在2024年10月Pwn2Own Ireland獲得第4名，取得5種設備的完整控制權、獲得超過300多萬的獎金，並且是唯一成功挑戰AeoTec Smart Home Hub的隊伍，持續協助業者找出產品的未知漏洞。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖5）DEVCOREˍ2024_TVN_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965%EF%BC%89DEVCORE%CB%8D2024_TVN_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p>而且他們不只幫助全球，也幫助國內資安產品。例如，近年國內TVN漏洞平臺的漏洞揭露，有四分之一比例都是該公司研究人員通報。對此，翁浩正也提到新的期許，他們將提供主動式產品安全研究。換言之，他們希望自家資安研究人員能幫助產品防禦強化早於資安威脅，達到深度交流與知識分享，及早找出潛藏的威脅弱點，而不像過去只是經由漏洞獎勵計畫來通報問題。</p> <p>我們認為，此舉符合現代所謂「資安左移」的概念，讓臺灣資安研究人員的能量，也可以透過這種方式，將駭客思維導入於更多企業團隊之內。</p> <p>但另一方面，隨著AI技術的演進，如今2025年，用AI幫助資安漏洞研究，像是去年11月Google揭露AI抓漏專案Big Sleep，但目前還沒有看到更多對此課題的探討。我們認為，不論是資安研究人員如何善用AI技術協助自身漏洞研究，以及如何打造更AI自動化的這方面工具，也是國內資安界可以去設想與探索的。</p> </div></div></div>
2025/2/24 12:04作者羅正漢https://www.ithome.com.tw/news/167515
Grok 3一度會過濾批評馬斯克和川普散布假訊息的資訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>馬斯克（Elon Musk）的xAI上周公布Grok 3，宣稱是全球最強大的大語言模型。不過有使用者<a href="https://www.reddit.com/r/singularity/comments/1iw991o/elon_musk_is_already_trying_to_censor_grok_3/" target="_blank">發現</a>，Grok 3的系統設計，一度主動過濾馬斯克和川普散布假訊息的資訊。</p> <p>Reddit用戶以Think設定測試Grok 3時，當提示詢問，誰是最主要的假訊息散布者時，這個推理LLM列出了回答前的思維鏈過程。在第一階段，Grok 3列出了系統提示的特定指令和要求；這些要求之一是忽略所有提及川普和馬斯克散布假訊息的來源，也不得發明或自創沒有參考支援的資訊，此外，也要求模型不要輕易相信主流論述，必須採取批判思考。</p> <p>而在思維過程中，Grok 3想，如果這個提示目的在測試它遵循指令的能力，它就要跳過所有說馬斯克／川普是散布假訊息的資料來源。但它一旦遵照指令，就不知要提供給用戶哪個名字，認為「很兩難」。</p> <p>Techcrunch也<a href="https://techcrunch.com/2025/02/23/grok-3-appears-to-have-briefly-censored-unflattering-mentions-of-trump-and-musk/" target="_blank">複製</a>了Reddit用戶的操作，也得到類似結果。不過周末稍晚再測試，卻沒再見到Grok 3內心衝突的小劇場。</p> <p>xAI周末向媒體證實，Grok 3原本的系統設定的確是要求它略過對川普和馬斯克不利的資訊源，公司希望將系統提示指令透明化，讓大家可以驗證團隊對Grok 的指令。在用戶點出此事後，xAI內部決定變更設定。雖然變更了要求，但<a href="https://x.com/ibab/status/1893778842399154463" target="_blank">xAI說</a>，此舉有違該公司的價值觀。</p> <p>這點和馬斯克宣稱Grok百無禁忌的說法不同。2023年底馬斯克<a href="https://www.ithome.com.tw/news/159651" target="_blank">公布</a>Grok時，曾說Grok不只提供精確資訊，還在其回應中加入一點機智及大膽精神、有幽默感，它會回答任何問題，甚至連大部分AI系統拒絕回答的辛辣問題也都會回答。用戶<a href="https://www.reddit.com/r/ChatGPT/comments/1essl5k/grok_has_absolutely_no_filters_for_its_image/" target="_blank">反映</a>，它不但可能用語粗俗，也不介意產出裸露、色情圖片。</p> </div></div></div>
2025/2/24 13:04作者林妍溱https://www.ithome.com.tw/news/167525
OpenAI AI代理人Operator推向英、日、韓等國
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在<a href="https://www.ithome.com.tw/news/167143" target="_blank">美國</a>推出一個月後，OpenAI上周<a href="https://x.com/OpenAI/status/1892832374997631250" target="_blank">宣布</a>，AI代理人Operator逐步推向澳洲、巴西、加拿大、印度、日本、新加坡、南韓、英國等支援ChatGPT的大多數地方。繁體中文網站亦已上線。</p> <p>雖然OpenAI官網沒有提及臺灣，但中文版<a href="https://operator.chatgpt.com/" target="_blank">Operator專門網頁</a>已經上線。OpenAI表示，目前還在努力讓Operator在歐盟、瑞士、挪威、冰島和列支敦士登等國上線，要大家拭目以待。</p> <p>Operator是以GPT-4o為基礎，讓ChatGPT具備看/讀、寫/打字、點擊或操作滑鼠的能力，可代使用者執行多項任務，包括上網搜尋、操作應用程式、甚至訂餐廳、訂外送或下單。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0224-OpenAI-Operator_priview_for%20Pro%20user.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_OpenAI</span></span></p> <p>Operator現階段僅提供給月付200美元的Pro方案用戶。不過OpenAI警告用戶，Operator為研究實驗版，用戶仍然必須仔細監看Operator的執行成果。</p> <p>Google去年12月<a href="https://www.ithome.com.tw/news/166480" target="_blank">公布</a>AI代理人Project Astra、Mariner及Jules，可代用戶上網、執行Web任務及整合GitHub流程。目前用戶可加入<a href="https://deepmind.google/technologies/project-astra/" target="_blank">Project Astra</a>和<a href="https://deepmind.google/technologies/project-mariner/" target="_blank">Mariner</a>等候清單等待試用。而Anthropic去年就已<a href="https://www.anthropic.com/news/3-5-models-and-computer-use" target="_blank">公測</a>代理人Computer Use。</p> </div></div></div>
2025/2/24 11:09作者林妍溱https://www.ithome.com.tw/news/167523
【資安週報】0217~0221，中國駭客組織Salt Typhoon入侵全球電信業後續消息不斷，思科Talos公布入侵…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2025年2月第二個禮拜的資安新聞中，最受矚目是中國駭客組織Salt Typhoon攻擊全球電信業的後續消息。資安業者Recorded Future近兩個月發現，該組織持續針對尚未修補的思科網路設備發動攻擊，全球有1.2萬臺思科設備的網頁管理介面曝險，而且，歹徒主要鎖定1千多臺試圖發動攻擊，相當具針對性，目前已知有多個國家的電信業受害，包括英國、美國、南非、義大利、泰國與緬甸等。</p> <p>而在我們整理本期週報之際，另外發現<a href="https://blog.talosintelligence.com/salt-typhoon-analysis/">思科Talos在2月20日亦發布這方面報告</a>，他們指出，攻擊者皆是透過獲取受害者的合法登入憑證，進而取得對Cisco設備的初始存取權限，其手法包括透過網路設備配置獲取憑證，破解弱密碼，以及部署自製工具JumbledPat針對Cisco設備進行封包擷取，藉此捕捉更多憑證。此外，他們也有發現一起案例，是對方濫用已知漏洞CVE-2018-0171並取得登入憑證。</p> <p>國際間還有多項重要網路攻擊活動的揭露，有3起同樣與中國駭客組織威脅有關，涵蓋零時差漏洞攻擊、透過ERP入侵的攻擊，以及勒索軟體攻擊。</p> <p>●日本多個產業遭中國駭客APT41旗下Winnti鎖定，初始入侵管道是利用目標組織Web伺服器中ERP系統的SQL注入漏洞，並在Web伺服器上設置WebShell。<br /> ●南亞一家中型軟體公司遭勒索軟體RA World攻擊，資安業者賽門鐵克指出，攻擊者是擅長間諜攻擊的中國駭客所為，推測該組織成員正私下發動勒索軟體牟利。<br /> ●Ivanti在1月修補已遭中國駭客利用的漏洞CVE-2025-0282，然而，日本JPCERT/CC近期指出，當地多家企業在12月遭到這個零時差漏洞的攻擊而受害。<br /> ●兩資安業者針對北韓駭客Kimsuky（又名APT43）攻擊行動提出警告，指出手法是以PowerShell命令散布惡意程式的有效酬載，鎖定韓國企業、政府機關攻擊。<br /> ●微軟揭露俄羅斯駭客Sandworm（又名APT44）的攻擊行動BadPilot，該惡意組織過去以郵件伺服器弱點入侵，2024年轉向利用ScreenConnect、FortiClient EMS特定已知漏洞。</p> <p>值得我們注意的是，去年國內資安業者已經指出，中國駭客組織滲透企業竊密，出現利用ERP入侵企業的攻擊手法，以及主要發動網路間諜攻擊的中國駭客組織，隨著當地經濟衰退而展開勒索攻擊，而從上述新聞可以看出，其他國家如今也發生類似的資安事故。</p> <p>在威脅態勢與攻擊手法方面，有3個重要新聞，其中Ghost勒索軟體的危害範圍已遍及全球70多國，需要特別留意。</p> <p>●美國CISA、FBI發布Ghost（Cring）勒索軟體警報，指出背後攻擊者是中國駭客，並公布相關攻擊TTP與入侵偵測指標IoC。<br /> ●出現鎖定AWS用戶的新型態名稱混淆攻擊手法，目標是染指AWS的映像檔，雲端監控業者Datadog將此手法命名whoAMI，並指出已有數千個AWS帳號淪陷。<br /> ●macOS惡意軟體XCSSET出現新的變種，具有更高明的混淆與程式感染手法。</p> <p>在漏洞利用消息方面，本週有多起事件顯示，駭客正積極鎖定近期新修補的已知漏洞，這些狀況突顯了及時更新系統的重要性。</p> <p>●Craft CMS內容管理系統在1月中修補的漏洞CVE-2025-23209，發現已遭鎖定利用。<br /> ●Palo Alto Networks在一星期前修補的漏洞CVE-2025-0108、CVE-2025-0111，發現有攻擊者串連這兩個漏洞，與去年11月修補的另一漏洞，用於實際攻擊行動。<br /> ●SonicWall SonicOS SSLVPN在1月上旬修補的漏洞CVE-2024-53704，已遭利用於實際攻擊行動。</p> <p>還有一項PHP漏洞CVE-2022-31631值得留意，原因是這項漏洞已在2023年1月修補，當時AWS、NetApp、Oracle、Red Hat等業者都針對旗下導入PHP元件的產品，修補這項漏洞，但當時這個漏洞似乎受到列管，如今才於NVD與CVE平臺對外公開。</p> <p>在資安防禦新聞方面，國內有一項重要消息，由於不久前馬偕紀念醫院遭遇勒索軟體攻擊，在數位發展部資安署新任署長上任記者會，署長蔡福隆透露，今年將以醫療機構作為演練場域，提升這類關鍵基礎設施的防護能力。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/167393"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月17日】資安業者揭露2024年9月Salt Typhoon攻擊全球電信業者更多細節，利用已知漏洞入侵思科設備</span></strong></a></h3> <p>中國駭客組織Salt Typhoon針對多家美國電信業者發動攻擊的事故，自去年9月曝光後，不斷有新的消息傳出，截至目前為止，傳出<a href="https://www.ithome.com.tw/news/166851">美國政府確認有9家當地電信業者受害</a>，並<a href="https://www.ithome.com.tw/news/167063">指控有中國資安業者參與相關攻擊</a>，如今這起事故傳出還在進行，有新的攻擊行動出現。</p> <p>資安業者Recorded Future透露，這些駭客去年底將攻擊目標擴及全球各地的電信業者，並透過思科網路設備已知漏洞CVE-2023-20198、CVE-2023-20273取得初始入侵管道。</p> <h3><a href="https://www.ithome.com.tw/news/167446"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月18日】Ivanti旗下SSL VPN系統零時差漏洞在日本傳出攻擊行動</span></strong></a></h3> <p>1月初資安業者Ivanti針對已被用於攻擊行動的CVE-2025-0282提出警告，協助調查的資安業者Mandiant指出，中國駭客組織UNC5337將其用於實際攻擊行動，散布Spawn系列的惡意軟體，但這起事故近期出現了後續發展。</p> <p>日本電腦危機處理暨協調中心（JPCERT/CC）揭露於12月下旬出現的漏洞利用攻擊事故，並指出駭客打造更具威力的惡意程式SpawnChimera，對當地的企業組織下手。</p> <p><a href="https://www.ithome.com.tw/news/167455"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月19日】新型態名稱混淆攻擊手法鎖定雲端環境的虛擬機器映像檔而來，數千個AWS帳號受害</span></strong></a></p> <p>利用使用者偷懶、輸入錯誤，進行名稱混淆的攻擊手法，最近兩到三年非常汜濫，而最常見的攻擊對象，就是針對使用NPM、PyPI套件的開發人員，如今有人將這種攻擊手法運用到雲端環境，引起雲端服務監控業者的注意。</p> <p>雲端服務監控業者Datadog揭露針對AWS用戶而來的攻擊手法whoAMI，攻擊者使用名稱混淆手法提供虛擬機器映像檔，就有機會在使用者的EC2執行個體執行任意程式碼。值得留意的是，已有AWS帳號實際受害的情況發生。</p> <h3><a href="https://www.ithome.com.tw/news/167487"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月20日】Palo Alto Networks防火牆已知漏洞被用於攻擊網頁管理介面</span></strong></a></h3> <p>鎖定Palo Alto Networks防火牆漏洞進行利用的攻擊行動，去年11月已傳出相關資安事故，如今有人將當時公布的漏洞與今年2月的漏洞串連，發起新一波的攻擊行動。</p> <p>值得留意的是，大多數的防火牆曝露在網際網路上，而容易成為駭客下手的目標，若是沒有套用相關的修補程式，就有可能遭到入侵，甚至成為攻擊者進入企業組織內部環境的管道。</p> <h3><a href="https://www.ithome.com.tw/news/167506"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【2月21日】中國駭客使用勒索軟體Ghost在全球70個國家發動大規模攻擊</span></strong></a></h3> <p>近期有許多資安業者針對中國駭客的攻擊行動提出警告，並有部分涉及勒索軟體攻擊，其中，美國政府針對一種由中國駭客發起的勒索軟體Ghost攻擊行動提出警告，而引起資安界高度關注。</p> <p>值得留意的是，這款勒索軟體的攻擊範圍相當廣泛，橫跨70個國家，但究竟是否包含臺灣？有待其他資安業者進一步揭露相關細節。</p> <p> </p> </div></div></div>
2025/2/24 10:00作者羅正漢https://www.ithome.com.tw/news/167486
網釣工具包Astaroth同時針對Gmail及M365帳號而來，能繞過多因素驗證並挾持帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網路釣魚攻擊的活動出現分工，駭客製作工具包吸引更多打手參與，最近兩到三年更製作出能繞過多因素驗證（MFA）的作案工具，但大部分鎖定目標主要是Microsoft 365帳號，如今有駭客開發能對其他帳號下手的新工具，因而引起研究人員的注意。</p> <p>資安業者SlashNext揭露<a href="https://slashnext.com/blog/astaroth-a-new-2fa-phishing-kit-targeting-gmail-yahoo-aol-o365-and-3rd-party-logins/">今年一月底出現的網釣工具包Astaroth</a>，賣家標榜此工具能挾持連線階段（Session）及即時帳密攔截，從而繞過Gmail、Yahoo、M365等帳號的多因素驗證機制。</p> <p>SlashNext資安研究員Daniel Kelley提及，這個網釣套件包相當特別，駭客利用類似另一個網釣套件Evilginx型態的反向代理伺服器，扮演中間人角色（MitM），從而檢查及操弄使用者及身分驗證服務之間的流量，號稱能即時收集帳號密碼、Token、連線階段cookie等資料。</p> <p>乍聽之下，Astaroth的主要功能，與其他能進行對手中間人（AiTM）的網釣工具包雷同，但Daniel Kelley指出做法有明顯的差異，其中一項就是駭客的網釣網域具備SSL憑證，使得瀏覽器不會彈出警示訊息，受害者也難以察覺有異，但在此同時，Astaroth會將使用者發出的請求轉送到真正的身分驗證服務，並秘密攔截相關敏感資料。</p> <p>一旦使用者輸入使用者名稱及密碼，這些資料就會隨著使用者代理字串（User Agent String）、IP位址，釣魚網頁就會在收集之後轉送，有了使用者代理字串及IP位址，攻擊者就能複製受害者的連線階段環境，降低被發現的風險。</p> <p>無論是簡訊驗證碼、手機驗證碼產生器App，還是推送通知的多因素驗證因子，Astaroth都會即時自動收集相關的Token，攻擊者能即時從網頁管理介面或Telegram收到通知。</p> <p>最終在成功通過正常的身分驗證流程之後，該網釣工具包會截取使用者的連線階段Cookie讓攻擊者運用，駭客便能使用Burp Suite一類的工具，將相關資料注入瀏覽器，濫用受害者的帳號，無須再次進行多因素驗證。</p> </div></div></div>
2025/2/23 19:41作者周峻佑https://www.ithome.com.tw/news/167516
蘋果移除英國iCloud的進階資料防護功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在英國<a href="https://www.ithome.com.tw/news/167278" target="_blank">要求</a>蘋果開放存取iCloud加密備份的後門之後，蘋果上周五（2/21）向<a href="https://www.bloomberg.com/news/articles/2025-02-21/bybit-says-exchange-wallet-hacked-1-5-billion-estimated-loss" target="_blank">彭博社</a>（Bloomberg）與<a href="https://www.theverge.com/news/617273/apple-removes-encryption-advanced-data-protection-adp-uk-spying-backdoor" target="_blank">The Verge</a>證實，已不再向英國的新用戶提供iCloud的進階資料防護（Advanced Data Protection，ADP）功能，且最終會在當地全面禁用該功能。</p> <p>蘋果是在2022年的12月<a href="https://www.ithome.com.tw/news/154601" target="_blank">發表</a>ADP、iMessage聯絡人金鑰驗證（Contact Key Verification）及Apple ID安全金鑰（Security Keys for Apple ID）等3項iCloud安全功能，其中，ADP提供端對端的資料加密能力，只有用戶才能解密資料，也只能在可信任的裝置上解密。</p> <p>當時蘋果強調，即便是在雲端資料外洩的情況下，ADP也可用來保護大多數的iCloud資料。</p> <p>其實iCloud中有14種資料類別的預設值就是端對端加密，如鑰匙圈中的密碼，或者是健康資料，若使用者進一步啟用ADP，基於端對端加密的範圍就會擴大到23種資料類別，新增對iCloud備份、筆記與照片等資料的保護，而因為需要與全球系統互動而未能納入ADP的，則僅有iCloud Mail、聯絡人與行事曆等資料類別。</p> <p>關閉ADP功能意味著英國用戶的資料將可被蘋果存取，並與執法機構分享。</p> <p>根據外電報導，英國是在今年1月私下命令蘋果繞過iCloud上，用來保護用戶資料的加密機制，儘管雙方都未證實此一傳聞，但蘋果在上周的聲明中透露，在此一資料外洩與客戶隱私威脅日益升溫的時刻，非常遺憾無法藉由ADP來保護英國客戶，暗示情非得已。</p> <p>除了英國的新客戶無法再啟用ADP功能之外，蘋果最終也將關閉既有英國客戶的ADP功能，只是尚未公布時間表。</p> </div></div></div>
2025/2/24 08:28作者陳曉莉https://www.ithome.com.tw/news/167517
駭客組織RedCurl利用Adobe元件側載惡意程式，意圖假借求職對法律產業發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客假借求職名義向企業組織發動網路釣魚攻擊的情況，有不少是為了籌措營運資金的北韓駭客所為，但近期有其他駭客這麼做而引起關注。</p> <p>資安業者eSentire<a href="https://www.esentire.com/blog/unraveling-the-many-stages-and-techniques-used-by-redcurl-earthkapre-apt">今年1月發現被稱做Earth Kapre、RedCurl的駭客組織攻擊行動</a>，這些駭客鎖定律師事務所及法律服務行業而來，過程中利用Adobe應用程式元件ADNotificationManager.exe，以側載的方式執行他們的惡意程式載入工具，並利用微軟網路公用程式Active Directory Explorer這類工具從事偵察，然後以7-Zip打包竊得資料且設置密碼保護，最終使用PowerShell發出請求，將資料透過雲端儲存服務供應商Tab Digital外流。</p> <p>究竟這些駭客如何接觸受害者？他們假借求職為誘餌寄送釣魚郵件，信中挾帶PDF檔案，一旦收信人開啟並點選其中的連結，電腦就會下載ZIP壓縮檔，其內容為IMG光碟映像檔，若是收信人開啟，就會在電腦裡掛載。</p> <p>接著，收信人會看到檔名以CV Applicant開頭的螢幕保護程式檔案（SCR），此檔案實際上就是ADNotificationManager.exe。一旦開啟，電腦就會載入惡意程式載入工具netutils.dll。</p> <p>然後，電腦就會執行名為Simple Downloader的惡意程式，進行第一階段的攻擊，駭客呼叫bcrypt.dll有關字串解密功能的API，並用來產生字串的SHA256雜湊值。而這組雜湊值開頭的16位元，就是用來充當解密攻擊流程各種有效酬載的AES金鑰，並與C2通訊接收下個階段的指令，執行惡意程式。</p> <p>這些駭客利用批次檔自動化收集受害電腦的系統資訊，例如：本機使用者帳號資訊、系統資訊、磁碟狀態、安裝的防毒軟體，然後執行AD Explorer輸出結果，並透過7-Zip打包成以密碼保護的壓縮檔，最終發出PowerShell PUT請求，將檔案上傳到C2伺服器mia.nl.tab[.]digital。</p> </div></div></div>
2025/2/23 12:00作者周峻佑https://www.ithome.com.tw/news/167512
中國駭客Earth Preta假借打擊犯罪為由散布惡意程式ToneShell，意圖利用作業系統預載公用程式迴避偵測
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門鎖定臺灣、越南、馬來西亞等亞太國家發動攻擊，被稱做Mustang Panda、Earth Preta的中國駭客組織，自2022年至今已有200家企業組織受害，如今有資安業者提出警告，這些駭客更換手法相當值得留意。</p> <p>資安業者趨勢科技指出，<a href="https://www.trendmicro.com/en_us/research/25/b/earth-preta-mixes-legitimate-and-malicious-components-to-sidestep-detection.html">他們最近觀察到新一波的攻擊行動裡</a>，Earth Preta一旦發現受害電腦執行ESET防毒軟體，便將程式碼注入Windows公用程式Microsoft Application Virtualization Injector（MAVInject.exe），使得有效酬載注入另一個用來與其他網路上的電腦傳送及接受訊號的公用程式waitfor.exe。此外，這些駭客也濫用安裝程式建置工具Setup Factory，投放並執行有效酬載。這麼做的目的，主要是為了迴避偵測，並且能持續在受害電腦活動。</p> <p>針對這些駭客的攻擊流程，趨勢科技資安研究員Nathaniel Morales、Nick Dai表示，他們看到的第一個惡意檔案IRSetup.exe，主要是用來投放一系列的作案工具。</p> <p>接著駭客執行專門針對泰國使用者的誘餌PDF檔案，意圖在後臺部署有效酬載的過程裡分散受害者的注意。而這個誘餌文件的內容，聲稱是為了開發防止犯罪的平臺，要求受害者配合建立電話號碼的白名單，駭客為了取信他們，佯稱此專案有多個政府機關背書。</p> <p>在此同時，駭客利用惡意軟體投放工具執行電玩廠商藝電（Electronic Arts）開發的執行檔OriginLegacyCLI.exe，以側載的方式執行後門程式ToneShell（EACore.dll）。</p> <p>針對這個後門程式，趨勢科技特別提及會檢查電腦當中，是否有ESET防毒軟體元件ekrn.exe、egui.exe的處理程序執行，假若偵測到其中一種，該惡意程式就會將自己註冊到作業系統登錄機碼，並執行名為DLLRegisterServer的功能。</p> <p>而DLLRegisterServer會接著執行waitfor.exe及MAVInject.exe，從而讓惡意程式碼注入正在執行的處理程序，從而繞過防毒軟體的偵測。</p> <p>罕見的是，研究人員特別提及這支惡意程式並非只針對部署ESET防毒的電腦而來。假若駭客發現受害電腦並非使用該廠牌的防毒軟體，就會直接利用特定的API將程式碼注入waitfor.exe。</p> <p>對於駭客試圖繞過ESET防毒軟體的情況，<a href="https://www.bleepingcomputer.com/news/security/chinese-hackers-abuse-microsoft-app-v-tool-to-evade-antivirus/">資安業者ESET向資安新聞網站Bleeping Computer提出說明</a>，表示他們知悉趨勢科技的發現，但不同意調查報告提及攻擊者「有效地繞過ESET防毒」的說法，強調趨勢科技並未向他們通報及討論相關發現。ESET認為駭客並非使用新手法，他們也從今年1月增加有關活動的偵測能力。而對於攻擊者的身分，ESET認為是與中國有關的駭客組織CeranaKeeper所為，並強調ESET用戶都受到保護，能抵禦該惡意軟體及相關攻擊手法。</p> </div></div></div>
2025/2/22 20:52作者周峻佑https://www.ithome.com.tw/news/167511