iThome

台灣·近期無新文章

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 0篇
近 7 天: 117篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 19:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 117 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

西門子公告伺服驅動馬達設備Sinamics S200重大漏洞，若不處理攻擊者可用來植入惡意韌體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>3月11日西門子發布資安公告，指出旗下的伺服驅動馬達設備Sinamics S200部分版本<a href="https://cert-portal.siemens.com/productcert/html/ssa-787280.html">存在資安漏洞CVE-2024-56336</a>，起因是這些裝置存在未上鎖防護的開機載入工具（bootloader），使得攻擊者有機會植入不受信任的韌體造成損害。</p> <p>這項漏洞存在於特定序號的SINAMICS S200，IT人員可以檢查設備序號確認，存在漏洞的設備序號開頭為SZVS8、SZVS9、SZVS0、SZVSN，以及FS編號為02的Sinamics S200，就有可能受到影響。此漏洞4.0版CVSS風險為9.5分，3.1版風險值為9.8，相當危險。</p> <p>而對於可能帶來的危害，西門子表示攻擊者有機會藉此注入惡意程式碼，或是部署不受任何的韌體，而有可能使得原有的防護機制失效，無法抵禦攻擊者操縱資料或是未經授權存取的威脅。</p> <p>對於該漏洞的緩解，西門子呼籲用戶應遵循他們公布的通用資安建議措施，加強曝險設備的資安防護。</p> </div></div></div>
2025/3/14 14:45作者周峻佑https://www.ithome.com.tw/news/167869
加拿大AI新創Cohere發表只需要兩個A100即可部署的AI模型Command A
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">加拿大AI新創Cohere周四（3/13）<a href="https://cohere.com/blog/command-a" target="_blank">發表</a>了新一代AI模型Command A，只需要兩個A100或H100的Nvidia GPU就可部署，宣稱該模型在代理企業任務上的表現與GPT-4o及DeepSeek-V3相當，能夠以最少的硬體提供最大的性能。</p> <p dir="ltr">Cohere是在2019年由Aidan Gomez、Ivan Zhang及Nick Frosst共同創辦，其中，Gomez曾在2017年於Google實習，也是該年出爐的《Attention Is All You Need》論文的8位共同作者之一，該論文被視為是機器學習領域的里程碑，它介紹了新一代的機器學習架構Transformer，也預見了Transformer被應用在問答及多模態生成AI的潛力，之後Transformer亦成為基於GPT等大型語言模型的主要架構。</p> <p dir="ltr">Cohere表示，Command A是專為要求嚴格的企業環境所設計，它支援256k的脈絡長度與23種語言，且只需要兩個GPU即可部署，其它競爭模型最多需要32個GPU。</p> <p dir="ltr">另一方面，在效能測試中，Command A最快每秒可輸出156個Token，比GPT-4o快1.75倍，比DeepSeek-V3快2.4倍，除了硬體優勢及輸出速度外，Command A在指令追蹤、SQL、代理程式及工具任務的基準測試中也有出色的表現。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/0314-Command%20A%20model-Cohere-output%20tokens.png" style="width: 368px;" /></p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/0314-Command%20A%20model-Cohere-academic%2Bagents%20%2Boding%20benchmarks.png" style="width: 600px;" /></p> <p dir="ltr"><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Cohere</span></span></p> <p dir="ltr">Cohere指出，不切實際的大型模型可能導致嚴重的延遲，若是只想快速獲得正確答案，Command A將是最佳選擇，而且相較於基於API的存取服務，Command A的私有部署最多可節省50%的成本。</p> <p dir="ltr">目前Cohere平臺已釋出Command A，也透過Hugging Face<a href="https://huggingface.co/CohereForAI/c4ai-command-a-03-2025?ref=cohere-ai.ghost.io" target="_blank">開放</a>給學術使用，亦即將登上其它雲端供應商，有意私有部署的企業則可直接聯繫其銷售團隊。</p> <p dir="ltr">在Hugging Face於<a href="https://www.ithome.com.tw/news/163717" target="_blank">2024年6月</a>公布的開源大型語言模型（LLM）排行榜上，當時Cohere所開發的Command R+還占據排行榜第5名，但最新的資料<a href="https://huggingface.co/spaces/open-llm-leaderboard/open_llm_leaderboard#/?search=Command" target="_blank">顯示</a>，它已掉到700名外，彰顯出AI模型市場的激烈競爭態勢。</p> </div></div></div>
2025/3/14 15:38作者陳曉莉https://www.ithome.com.tw/news/167871
Fortinet從總部帶頭節能減碳要在2030年實現零碳排，提高產品節能助企業減碳
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「沒有網路安全就沒有永續」，在今年數位永續高峰會上Fortinet全球產品永續發展總監Carrie Chen一語道破網路安全對企業永續經營的重要性，並且分享Fortinet如何推動淨零減碳的策略。</p> <p>Carrie Chen指出，現今企業在ESG合規面臨三大挑戰，首先是歐盟於2025年公布的CSRD（企業永續發展報告法規），未來可以預期企業的碳排將會和金融市場要求的財報同樣嚴格，企業完碳排盤查，如同財報必需由第三方公正單位的簽核才能發布，否則可能面臨主管機關的懲罰。在CSRD公布之後，許多企業都會受到影響，不論其總部是否位於歐洲，只要客戶或是其客戶的客戶在歐洲都受到影響，對企球供應鏈帶來影響。</p> <p>第二項ESG合規挑戰是DPP（數位產品護照），類似於農產品的生產履歷概念，企業為與世界接軌，勢必需要建立數位產品護照，涵蓋產品的技術性能、環境永續性、循環性（耐用性、修復性）、法律合規性、產品相關資訊，提供數位產品護照供製造商、供應鏈、市場監督機構、海關存取。</p> <p>最後是徵收碳關稅或碳費，對企業營運帶來額外的成本。以臺灣為例，環境部在2024年公布碳費計價，2025年開徵碳費，一般費率為每公噸300元，2025年1月生效，200多家碳排放量達到一定程度的企業均會受到影響，依碳排放量高低，徵收的碳費可能從數十萬到數十億元不等。</p> <p><span style="color:#B22222;"><strong>從總部設施帶頭淨零逐漸擴大到全球據點，2030年達碳中和目標</strong></span></p> <p>Fortinet在全球擁有超過83萬客戶，在各地擁有超過150個據點，身為知名的網路安全業者，銷售防火牆等資安設備，在企業面臨資安挑戰，以及ESG淨零減碳的目標，身為企業的資安供應鏈，Fortinet也從自身公司營運力行實現淨零的目標，並從產品面著手，開發節能減碳的產品，來協助客戶節省能源使用，降低碳排。</p> <p>Fortinet向淨零減碳的目標前進，他們的目標是在全球自有設施，包括範疇一(企業營運生產)、範疇二(使用電力能源間接產生的碳排)，達到碳中和，該公司的作法，包括逐漸提高使用再生能源的比例，提高使用能源效率，以減少溫室氣體的排放。</p> <p>Carrie Chen表示，Fortinet公開承諾在2030年達到零碳排，位於美國加州Sunnyvale的總部，實現淨零總部的目標，在公司總部的新大樓設施，採用太陽能發電，採用電動化設備，除了電力供應自給自足，不需支付電費，免支付碳費之外，還可將額外的電力提供給有需要的其他單位。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%96-600(11).jpg" style="width: 600px; height: 305px;" /></p> <p>Fortinet在總部的辦公大樓採用新的節能減碳技術，例如建築物運用幅射冷卻技術，耗能要比同型的一般建築降低30%，一年省水量可達到7.6萬加侖。Fortinet也希望將總部設施的節能減碳經驗，複製到全球其他據點的設施。</p> <p>該公司也在一般辦公環境、設施及資料中心推動低環境影響的商務活動，並監控管理商務活動、價值鏈對氣候的影響。</p> <p>Fortinet也培養員工重視環境永續的公司文化，舉辦活動增加與員工的互動，提高員工對環境永續、全球氣候變遷挑戰的意識。</p> <p>到目前為止，Fortinet的設備在全球出貨超過1千萬臺設備，企業使用Fortinet的產品所消耗的能源，占其產品碳足跡相當大的比重。Carrie Chen表示，企業客戶使用這些設備，消耗的電力不僅是客戶的營運成本，也會影響到他們實現淨零的目標。</p> <p>因此，他們從產品面著手，在產品使用的材料方面，選擇使用哪種材料對環境比較友善，他們利用LCA生命周期評估方法論，運用AI技術來預測使用不同材料設計產品後的產品碳排，加速產品上市的時程。Fortinet也和外界聯手，設計產品的環保包材，以降低對環境的影響。</p> <p><span style="color:#B22222;"><strong>提供產品碳足跡計算讓企業掌握碳排</strong></span></p> <p>Fortinet也設置產品碳足跡計算機，方便企業客戶掌握使用不同設備可能產生的碳排。</p> <p>Carrie Chen表示，Fortinet的碳足跡計算機基於ISO標準的產品生命周期評估（Life Cycle Assessment），從產品生命周期前端的研發系統導入，從新產品開發階段模擬碳足跡、最佳化設計調整。碳足跡演算法通過TUV的認證，通過ISO 14001:2015認證。</p> <p>「在新產品開發設計時，碳排優化相當重要，藉此可以瞭解買進多少碳排，成為公司永續發展需要呈報的指標」，Carrie Chen說。</p> <p>產品碳足跡計算機依據不同產品機型，在生產、運輸、每年使用、淘汰等不同產品生命周期階段，使用者可以選擇不同國家地區當地電網的碳強度，預估每年碳費或是5年的產品碳足跡。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%96-2-600(1).jpg" style="width: 600px; height: 328px;" /></p> <p>「同一臺設備在不同地區部署，因為當地電網碳強度不同，產品的碳足跡計算會不同，目前產品碳足跡計算機蒐集全球約50多個地區的電網碳強度資料」，她說。</p> <p>以FortiGate-40F防火牆為例，企業可選擇不同地區部署，來計算產品的碳排，以臺灣地區部署為例，依臺灣電網的碳強度計算，該款防火牆的5年生命周期碳足跡計算約為272公斤的二氧化碳當量，低於某品牌筆電4年的碳足跡計算量。</p> <p>Carrie Chen表示，Fortinet新一代產品比前一代產品平均至少節能60%，部分產品甚至能達到80或90%，甚至和同業相比也有9成以上的省電表現，高效節能的產品來自於Fortinet在20多年前就採用的晶片及AI技術，不斷優化帶來的節能效果，Fortinet設備採用的網路安全晶片採用ASIC晶片，最新的FortiSP5為第五代網路安全晶片，要比一般CPU省電88%。</p> <p>以企業在5年前導入Fortinet舊款防火牆為例，準備在2025年汰換防火牆，在碳費徵收的情形下，IT部門除了考慮產品的效能、技術規格之外，也應該要將碳足跡，以成本的方式納入考量，由於新一代防火牆更為高效節能，每年碳費可能只有舊款產品的四分之一，新設備的採購計畫更易於獲得企業高層的支持。不只是Fortinet自家新舊產品，和其他廠牌防火牆相比，相同防火牆總效能需求下，Fortinet產品每年碳費也低於其他品牌。</p> <p>Carrie Chen表示，企業執行碳數據治理如同財務報表要由第三方的會計師審核認證才具有公信力，目前Fortinet產品取得第三方EPD認證，符合ISO 14025 III類環境產品聲明，讓企業可將碳盤查資料提供給上下游、海關或監管單位，並且與國際接軌，例如DPP數位產品護照需要產品的環境資料，取得EPD除了滿足ESG合規需求，也更易於企業對企業、企業對消費者的溝通。</p> <p>然而要取得EPD環境產品聲明，從產品研發到上市階段即採用ISO LCA生命周期評估方法論，產品的生命周期各個階段碳排中，產品使用產生的碳排佔最大的比重，將近高達7成5，這也是Fortinet不斷優化產品節能設計最主要的原因。</p> <p>Carrie Chen表示，在國際法規的合規要求及碳費徵收下，節能就是減碳，也是為企業節省成本，高效節能的IT設備，同時通過EPD國際認證，不僅能達到企業永續減碳的目標，IT部門也能為企業節省成本，提高投資報酬率，同時受惠於高效節能的IT設備，也能為機房帶來節省空間的好處。</p> </div></div></div>
2025/3/14 15:51作者蘇文彬https://www.ithome.com.tw/news/167852
Google Gemini將可根據用戶的Google搜尋歷史紀錄來提供答案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">Google周四（3/13）<a href="https://blog.google/products/gemini/gemini-personalization/" target="_blank">發表了</a>個人化Gemini（Gemini with personalization）實驗性服務，可基於使用者的搜尋紀錄來提供更符合使用者需求的答案。不管是免費的Gemini用戶或是付費的Gemini Advanced用戶都可試用此一新服務，預計於未來幾周內釋出，可支援逾45種語言。</p> <p dir="ltr">個人化Gemini目前採用Gemini 2.0 Flash Thinking模型，理論上它可允許Gemini連結使用者的所有Google程式及服務，只是率先被應用在搜尋上，未來幾個月即可連結包括照片及YouTube等其它Google服務；此外，它現在也只支援網頁版Gemini，會逐漸部署至行動版。</p> <p dir="ltr">Gemini用戶只需在Gemini服務的下拉式選單中選擇實驗性的個人化（Personalization）功能，即可連結搜尋紀錄，接著在使用者輸入提示時，Gemini即會分析用戶的搜尋紀錄能否強化回應，只有在進階推論模型判斷其搜尋紀錄確實有用時，Gemini才會使用它們。</p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/0314-Gemini%20with%20personalization-%E5%AF%A6%E9%A9%97%E7%89%88-2.png" style="width: 450px;" /></p> <p dir="ltr">使用者亦可隨時關閉Gemini與其它Google服務的連結。</p> <p dir="ltr">除了個人化功能之外，同一天Google也<a href="https://blog.google/products/gemini/new-gemini-app-features-march-2025/" target="_blank">升級</a>了免費版Gemini，納入了兩個原本僅屬於Gemini Advanced的新功能，分別是深度研究與Gems。</p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/0314-google%20gemini%20deep%20research.png" style="width: 600px;" /></p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/0314-google%20gemini%20gem.png" style="width: 600px;" /></p> <p dir="ltr">其中，深度研究為一代理功能，協助使用者於網路上搜尋並撰寫有關特定主題的報告，只需要幾分鐘就能在網路上搜尋與綜合各種資訊，並幫使用者發現可能無法找到的資源。Gems則允許使用者建立各種主題的個人AI專家，它是個AI聊天代理人，可依照使用者想要的方式提供幫助，不管是跑步教練、撰寫程式碼的夥伴、學習教練、翻譯助手或是寫作編輯；使用者只要進入桌面上的Gems管理員，就能建立新的Gems，並隨時跟它聊天。<span style="color:#696969;"><span style="font-size:14px;">圖片來源_Google</span></span></p> </div></div></div>
2025/3/14 14:57作者陳曉莉https://www.ithome.com.tw/news/167870
Bybit遭遇史上最大加密貨幣竊案，起因是Safe開發者遭供應鏈攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過去犯下多起鎖定銀行SWIFT系統盜轉的北韓駭客組織Lazarus，最近因為竊取Bybit交易所加密貨幣再次登上新聞版面，該組織竊取了40.1萬個以太幣（ETH）、9萬個質押以太幣等，造成14.6億美元（約新台幣478億元）損失，創下堪稱加密貨幣業歷來最大規模竊案。</p> <p>為此，美國聯邦調查局在2月底已發布一份關於<a href="https://www.ic3.gov/PSA/2025/PSA250226">北韓TraderTraitor惡意網路活動</a>的公告，指出該加密貨幣竊盜活動的幕後攻擊者，就是資安界通常被追蹤為Lazarus（APT38、BlueNoroff）的北韓駭客組織。只是，後續該駭客組織洗錢行動也相當迅速，<a href="https://x.com/benbybit/status/1896798476945744010">3月4日已證實有20%遭駭的以太幣已無法追蹤</a>，僅3%被凍結，還有77%尚在追蹤範圍內。</p> <p>目前，Bybit為了追回這些被竊的加密貨幣，已祭出名為LazarusBounty的懸賞計畫（Lazarusbounty.com），以獎勵協助他們追回被竊資產的白帽駭客與資安專家，獎勵金為追回金額的10%，目前已發放430萬美元給22位協助追回的專家。</p> <h3><strong>Bybit遭駭事件真相浮出檯面，遭遇供應鏈攻擊，Safe{Wallet}遭入侵竄改</strong></h3> <p>針對這次2月21日加密貨幣遭竊事件，相關受害業者陸續公布資安事故狀況。例如，Bybit在2月26日發布了<a href="https://www.bybit.com/en/press/post/bybit-confirms-security-integrity-amid-safe-wallet-incident-no-compromise-in-infrastructure-blt9986889e919da8d2">初步調查報告</a>，並在<a href="http://Bybit 安全事件：活動時間表和常見問題解答 | Bybit Learn">3月3日公布的事件應變的歷程</a>。此外，數位資產管理平臺Safe更是這次Bybit資產遭竊的關鍵，Safe{Wallet} 平臺同樣<a href="https://x.com/safe/status/1894768522720350673">在2月26日發布聲明</a>，另在<a href="https://x.com/safe/status/1897663514975649938">3月6日公布更多調查結果</a>。</p> <p>據Bybit的說明，這起事件最早發生於2025年2月21日下午1時30分（UTC），當時Bybit正進行例行性的資金轉移作業，40分鐘後發現駭客攻擊狀況，接著<a href="https://x.com/benbybit/status/1892963530422505586">該公司共同創辦人暨執行長Ben Zhou在下午3時44分於X社群平臺緊急發布相關消息</a>，指出有駭客控制了特定ETH的冷錢包，並向用戶保證該公司具有償付能力，當中並提到：駭客利用複雜的技術手段，竄改了交易簽署介面，因此介面上雖然顯示正確的交易地址，但背後其實修改了智能合約的邏輯。</p> <p>根據Bybit的說明，這起事件問題出在多重簽章（Multisig）錢包解決方案Safe{Wallet}。駭客透過精心設計的網路釣魚攻擊，竊取了一名Safe開發者的憑證，導致攻擊者能以未經授權存取Safe{Wallet}的基礎設施，進而欺騙簽署者批准惡意交易。</p> <p>Safe亦證實此事，指出北韓駭客Lazarus是透過入侵Safe{Wallet}開發人員的設備，進而造成這次事故，同時表示Safe的智能合約不受此事件影響，並且已經採取額外的安全防護措施。</p> <h3><strong>駭客2月4日就成功入侵Safe{Wallet}開發人員電腦，18日後發動盜竊14.6億美元的攻擊</strong></h3> <p>對於這次鎖定Bybit、Safe{Wallet}的攻擊事件，<a href="http://x.com/safe/status/1897663514975649938">Safe在3月6日發布最新調查結果</a>，揭露更多具體細節。例如，攻擊者自2月初入侵開發人員的電腦，並劫持了電腦上的AWS session token，得以駭入該公司AWS環境。</p> <p>具體而言，首先是2月4日一早9點左右，攻擊者成功入侵了一名少數具有高權限的Safe{Wallet}開發人員的macOS電腦。</p> <p>之所以遭入侵，已經調查出攻擊源自一項Docker專案MC-Based-Stock-Invest-Simulator-main，而這個專案曾與駭客在兩天前建立的網域getstockprice[.]com進行通訊。</p> <p>但在調查分析時，該Docker專案已經不存在電腦系統當中，但檔案仍殘留在一個Downloads資料夾下，顯示攻擊者可能透過社交工程手法，進而誘導用戶下載。調查報告中也特別指出，Lazarus駭客組織在之前的攻擊行動中，利用過類似的手法。</p> <p>隔日2月5日，駭客首次存取了Safe{Wallet}的AWS環境。經調查發現，其手法包括利用ExpressVPN與Kali Linux入侵AWS環境（過去Lazarus駭客組織也曾使用這兩款工具用於攻擊行動），以及劫持AWS session token來繞過MFA的驗證（推測受害開發人員電腦被部署了惡意軟體使該session token被劫持）。</p> <p>接下來，駭客滲透後經過兩周的環境偵測，到了2月17日，駭客開始在其AWS環境透過C2伺服器發送指令，而且Safe{Wallet}網站在2月19日發現已被植入的惡意JavaScript程式碼。</p> <p>換言之，從2月4日到2月21日，北韓駭客Lazarus在成功入侵後的第18天就發動竊取加密貨幣的攻擊。而且當盜竊交易完成，Safe{Wallet}網站被埋藏的惡意JavaScript也被移除。</p> <p>整體而言，從上述事故調查揭露我們可以發現，這次事件本質上是一場供應鏈攻擊，駭客從供應鏈Safe{Wallet}下手，最終影響到Bybit。</p> <p>而且，北韓駭客組織Lazarus在這次攻擊行動中，有兩個關鍵環節要特別留意，一是透過精心設計的社交工程引誘受害者下載惡意Docker專案，一是竄改了交易簽署介面，導致Bybit的ETH冷錢包交易邏輯遭變更。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89Safe%E5%85%AC%E5%B8%83%E5%8C%97%E9%9F%93%E9%A7%AD%E5%AE%A2Lazarus%E5%85%A5%E4%BE%B5%E6%99%82%E9%96%93%E8%BB%B8.jpg" style="width: 600px;" /></p> <p><strong>Safe{Wallet}在3月6日更新了最新調查結果，說明當前鑑識調查是由Google Cloud旗下Mandiant團隊與Safe{Wallet}合作進行，目前已發現攻擊者是從2月4日開始入侵開發人員的macOS電腦，隔日駭客首次存取該公司的AWS環境，之後經過兩周的惡意探索，開始控制C2運作與植入惡意JavaScript。</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89Bybit%E6%8F%AD%E9%9C%B2Lazarus%E6%94%BB%E6%93%8A%E4%BA%8B%E4%BB%B6%E5%B8%B6%E4%BE%86%E6%90%8D%E5%A4%B1%E9%81%941_46%E5%84%84%E7%BE%8E%E5%85%83.jpg" style="width: 600px;" /></p> <p><strong>Bybit在3月3日揭露了這次事件帶來的損失達1.46億美元，駭客總共竊取了包含40.1萬個以太幣（ETH）、9萬多個質押以太幣。</strong></p> <p><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89Bybit%E7%A5%AD%E5%87%BALazarusBounty%E7%8D%8E%E5%8B%B5%E8%A8%88%E7%95%AB.jpg" style="width: 600px;" /></strong></p> <p>Bybit交易所祭出LazarusBounty獎勵計畫（Lazarusbounty.com），以追回金額10%獎勵，提供給協助他們追回被盜加密貨幣的白帽駭客與資安專家，目前有22位提供貢獻，獲得430萬美元的獎勵（截至3月13日止）。</p> </div></div></div>
2025/3/14 13:28作者羅正漢https://www.ithome.com.tw/news/167851
思科針對IOS XR設備發布2025上半年例行更新，修補10項資安漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>半年前轟動全球的<a href="https://www.ithome.com.tw/tags/salt-typhoon">中國駭客Salt Typhoon</a>攻擊美國電信業者<a href="https://www.ithome.com.tw/news/165354">事故</a>鬧得沸沸揚揚，關鍵環節之一正是思科路由器平臺<a href="https://www.ithome.com.tw/news/167535">是駭客主要的入侵管道</a>，因此，該廠牌路由器的漏洞修補消息，勢必受到更大的關注。</p> <p>本週二（3月12日）思科針對網路設備作業系統IOS XR<a href="https://sec.cloudapps.cisco.com/security/center/viewErp.x?alertId=ERP-75548">發布上半年例行更新</a>，總共修補10項資安弱點，其中有7項為高風險層級、3個為中度風險層級，CVSS風險值介於4.0至8.8分。</p> <p>根據風險評分的高低，最危險的是<a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-iosxr-priv-esc-GFQjxvOF">命令列（CLI）權限提升漏洞CVE-2025-20138</a>，通過身分驗證的本機攻擊者能利用這項弱點，在作業系統底層以root權限執行任意命令，風險值為8.8。</p> <p>這項弱點發生的原因，在於IOS XR對於傳送到命令列的特定命令，出現使用者引數驗證不夠充分的情況，使得攻擊者只要能夠存取低權限的帳號，就有機會使用特定的命令觸發，影響所有64位元版本的IOS XR作業系統，32位元IOS XR、IOS、IOS XE、NX-OS不受影響。</p> <p>另外兩個風險值達到8.6分的漏洞<a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ipv4uni-LfM3cfBu">CVE-2025-20142</a>、<a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-multicast-ERMrSvq7">CVE-2025-20146</a>也相當值得留意，這些漏洞都影響搭配特定型號線路卡的ASR 9000系列Aggregation Services Router，以及ASR 9902、ASR 9903路由器，未經身分驗證的攻擊者可發送特製的IPv4封包，就有機會重設線路卡，從而導致服務阻斷（DoS）的現象。</p> </div></div></div>
2025/3/14 12:26作者周峻佑https://www.ithome.com.tw/news/167867
零售IT雙周報第52期：國內外零售巨頭怎麼用GenAI，Amazon已經有1,000個專案，Walmart省下400萬…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#0000FF;"><strong>重點新聞(0302~0315)</strong></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#家居零售 #生成式AI #DIY建議</span></span></strong><br /> <strong>家居零售商Lowe's和Home Depot相繼推出生成式AI裝潢及DIY助手</strong></p> <p><a href="https://corporate.lowes.com/newsroom/press-releases/lowes-launches-first-ai-powered-home-improvement-virtual-advisor-03-05-25">家居零售業者Lowe's推出生成式AI DIY助手Mylow</a>，這是一個聊天機器人，可以提供家居及DIY建議，並根據顧客預算、當地郵遞區號、商品存貨情況等資訊，推薦相關商品與服務。目前Mylow是一個Web app，未來將上線到Lowe’s的會員App，並能支援語音互動功能。</p> <p><a href="https://corporate.homedepot.com/news/company/unveiling-magic-apron-home-depots-smartest-tool-yet">無獨有偶的，另一個家居零售業者Home Depot也推出生成式AI助手Magic Apron。</a>這是一個在Home Depot電商網站上的聊天機器人，可以回答商品相關問題、總結顧客評論、根據需求推薦及挑選商品。Magic Apron也可以提供家居DIY建議，甚至根據DIY計畫幫忙規畫步驟、計算需要的材料。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI #購物助手 #創新應用</span></span></strong><br /> <strong>Amazon揭露自家有超過1,000個生成式AI應用正在使用或實驗中</strong></p> <p>近日法說會上，Amazon CEO Andy Jassy分享自己對於零售業應用生成式AI的觀點，並回顧自家用法。他說，用AI獲取價值的方式，大致可以分成兩大類。</p> <p>首先是生產力提升與成本節省。他認為，這是AI較容易實現價值的應用方式，Amazon自家也大量使用。例如，他們用GenAI從頭打造的客服機器人；根據簡單文字、圖片或網址來自動填入商品上架資訊的功能；物流中心內機器人的控制系統等。</p> <p>另一大類，則是用AI打造全新類型的體驗。Andy Jassy將自家生成式AI購物助手Rufus歸類於此。Rufus除了可以提供購物建議、商品介紹等，購物助手常見的功能，還與電商其他系統整合，可以提供訂單查詢等個人化電商輔助功能。其他應用包括智慧服飾尺寸推薦功能，甚至是在Prime Video串流服務的美式足球賽直播中，用AI預測哪位球員要發動突襲等。</p> <p>Andy Jassy表示，他們已經幾乎於零售業務的每個環節，甚至所有其他涉足業務中運用AI。目前，他們已經開發或正在開發的生成式AI應用數量約有1,000個。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#機器學習 #生成式AI #非規格品</span></span></strong><br /> <strong>Etsy強化ML開發流程以擁抱AI/ML與生成式AI，用來強化商品探索以喚醒沉睡客</strong></p> <p>大型手工藝品電商Etsy 2024年報出爐，內文回顧他們如何擴大AI/ML的開發規模，以進一步用相關技術打造平臺上的個人化購物體驗。</p> <p>這一年，他們將ML模型的開發流程簡化與自動化，並加碼公有雲投資，使更多工程師能專注於開發，而非基礎設施維護工作。他們還他們導入類似於Copilot的開發助理技術，來加速開發，並推出自家生成式AI工作助理來增強工作效率。</p> <p>一個重要ML成果是，重新訓練搜尋演算法，以增加高品質商品能見度，並增加搜尋結果中的商品多樣性，來降低買家看到過多相似商品而認知疲勞的情況。對於有著許多非規格商品的Etsy來說，這件事情難度較一般電商高。</p> <p>Etsy還提到，自家平臺上有數百萬名沉睡用戶與低購買頻率用戶，如何用AI/ML強化商品探索（Discovery），利用平臺上多元的商品，來吸引這些用戶回歸並提高購買頻率，是他們接下來的重要目標。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI #自建模型</span></span></strong><br /> <strong>樂天集團用生成式AI創造105億日元利潤，今年更目標創造雙倍收益</strong></p> <p>樂天集團（Rakuten Group）執行長三木谷浩史表示，自家2024年初訂定的Triple 20 AI戰略，也就是用AI與生成式AI，提升行銷、營運及顧客體驗三大面向的20%效益，為集團1年帶來105億日圓利潤。明年，更要遵循相同戰略方向，為集團帶來200億日圓利潤。</p> <p>樂天具體應用GenAI方法包括，用LLM語意理解能力來強化多個集團服務的推薦和搜尋功能、推出各式輔助企業內部或樂天市集商家日常營運的生成式AI助手，以及面向大眾消費者的應用，如購物助手等。</p> <p>用來打造這些應用的技術基礎是，樂天2024年自建的3款日語語言模型，包括一個通用型日文LLM、一個混合專家模型（Mixture-of-experts LLM），以及一個設計來部署於邊緣裝置的小模型。（<a href="https://www.ithome.com.tw/news/167835">詳全文</a>）</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI #超級電腦 #模型蒸餾</span></span></strong><br /> <strong>eBay 2024年GenAI發展大躍進，翻新AI開發平臺更打造出比以前大100倍的LLM</strong></p> <p>2024年，eBay為發展生成式AI，大力投資硬體設備，啟用一臺超級電腦。他們還翻新自家AI開發平臺，讓模型訓練及推論開發效率大幅提升，以支援他們開發出較前一年規模大上100倍的LLM，使用高達3兆Token訓練而成。</p> <p>具體升級AI開發平臺的做法包括導入Ray AI開發框架，來提升GPU應用效率、統一開發語言、增加硬體調度彈性。結果是，省下超過50%開發時間，更提升數倍GPU應用效率。</p> <p>他們將升級的生成式AI能力用於客服、工程、商品搜尋、支付、行銷等，數十種場景的底層技術改善。並且，推出智慧商品上架、服飾模擬試穿、商品圖片編輯與美化功能等，給買家和賣家使用的各式應用。下一步，他們要將大型模型蒸餾並微調出多個專門用途小模型，以在提升專門用途的精準度同時，降低推論延遲及成本。（<a href="https://www.ithome.com.tw/news/167790">詳全文</a>）</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI #賣家助理 #開發助理 #電商物流 #RMN</span></span></strong><br /> <strong>Walmart用生成式AI支援第三方賣家，更用GenAI輔助開發省下400萬小時作業時間</strong></p> <p>Walmart揭露2項生成式AI新應用。首先是Wally，一個給C2C市集第三方商家使用的聊天機器人。功能包括產生銷售報表、分析商業問題。甚至，主動尋找商家異常狀況背後原因，例如商品缺貨或庫存過剩。試營運一個月來，商家表示Wally提供的價值在於省下更多時間，以及更容易運用數據來輔助決策。</p> <p>另一個應用則是內部開發用的程式碼撰寫助手，功能大致與Copilot相同，可以建議和自動完成程式碼。一年來，省下高達400萬小時開發時間。Walmart預計於擴大應用，開放此工具給所有北美和印度的工程團隊使用。</p> <p>2024年第四季，Walmart的營業利益成長率來到8.3%，是營收成長率2倍。Walmart CFO John David Rainey表示，營利能力提升，受益於電商、廣告、會員等高毛利的數位業務繳出亮眼成績，使他們營業利益成長大幅超過營收。最亮眼的廣告業務，單季帶來44億美元營收，已經是連續第11季正成長。電商業務則是受益於他們提升物流量能及AI物流應用的成果，得以攤低物流成本、提升顧客購買意願。（<a href="https://www.ithome.com.tw/news/167674">詳全文</a>）</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI #統一集團 #POS #FSS #WMS #RMN</span></span></strong><br /> <strong>統一資訊將統一集團IT經驗打造成SaaS產品</strong></p> <p>統一集團旗下系統整合商統一資訊將集團內部IT專案及零售經驗，打造成一系列生成式AI SaaS服務，販售給零售及服務業者。這個產品線包括AI助理、倉儲管理系統（WMS）、食安管理系統（FSS）、POS系統、能源管理系統及RMN服務等。</p> <p>這些產品背後的技術與做法，都在統一集團內大規模驗證過。例如，食安系統就是比照統一集團管理食安的方法來打造，POS系統則以統一超商等零售門市營運經驗為基礎而打造，除了收銀，還具備串接電商系統及企業會員系統功能。（<a href="https://www.ithome.com.tw/news/167713">詳全文</a>）</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI #食安管理</span></span></strong><br /> <strong>統一企業用生成式AI打造食安通報系統，縮短蒐集國內外食安資訊和輿情作業97%費時</strong></p> <p>統一企業利用GCPVertex AI平臺與Gemini 模型，打造AI食安通報系統，來蒐集、處理、分析多語言的食安相關資訊，並歸納、生成報告。</p> <p>過往，統一需要倚賴人工，每日搜尋國內外政府法規及新聞報導等資訊，並製作報告。這種做法不只耗時，若遇到突發事件，也可能遺漏關鍵訊息。利用生成式AI自動化此作業後，省下高達97%人工作業時間，且能蒐集和彙整原本5倍的資料量。</p> <p>現在，統一資訊開始將此食安通報系統與其他食品安全解決方案推廣至統一企業上下游供應鏈的合作夥伴，尤其是上游原物料供應商。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多Martech動態：</span></strong></span></p> <p>1. 日本花王嘗試推出D2C的數位會員App，結果太受歡迎4天就用盡行銷預算而下架</p> <p>2. 家樂福數位會員點數將轉而使用統一集團OpenPoint，統一資訊總經理謝良承表示早已開始將家樂福會員與自家會員資料進行綜合AI分群及分析</p> <p>3. <a href="https://www.walmartconnect.com/expanding-access-to-display-for-the-walmart-connect-partner-network">Walmart RMN推出Display Advertising API，讓開發者可以透過第三方程式來投放和測量廣告。</a></p> <p>4. Target回顧2024生成式AI用途，包括摘要顧客的產品評論、豐富產品詳細資訊、打造禮物推薦工具、蒐集社群媒體輿情和趨勢、強化RMN投廣等。</p> <p>資料來源：iThome整理，2025年3月</p> <p>責任編輯：郭又華</p> <p>圖片來源：Home Depot</p> <p></p> </div></div></div>
2025/3/14 12:26作者郭又華https://www.ithome.com.tw/news/167857
微軟發表Copilot for Gaming提供AI個人化遊戲指引
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟公開了新的人工智慧輔助功能<a href="https://news.xbox.com/en-us/2025/03/13/new-copilot-for-gaming-save-time-help-get-good/">Copilot for Gaming</a>，其作為個人化遊戲助理，主要涵蓋遊戲推薦、技能指導及即時遊戲內攻略。Copilot for Gaming先在行動裝置上的Xbox Insider Program中試行，待取得玩家回饋後逐步擴展至Xbox主機與其他裝置，強調人工智慧與玩家之間的互動仍由玩家主導，以避免干擾遊戲體驗。</p> <p>微軟表示，Copilot for Gaming將使用機器學習技術分析玩家的遊戲習慣、喜好及行為模式，根據玩家的需求，提供相對應的遊戲建議及指引，像是玩家在面臨關卡困難時，可以透過自然語言即時詢問Copilot，獲得特定的戰術建議或遊戲攻略提示。此外，Copilot的介面設計將考量玩家的使用情境，例如可透過手機或第二螢幕同步提供資訊，而非直接在遊戲畫面跳出，避免對遊玩體驗產生的侵入感。</p> <p><a href="https://youtu.be/ZoUDVNjDUSw">微軟Xbox遊戲人工智慧部門副總裁Fatima Kardar在Podcast中表示</a>，微軟將直接與遊戲開發商及內容創作者合作，將遊戲內最新資料作為人工智慧模型訓練的基礎，而非單純仰賴網路上現有的遊戲攻略，確保Copilot所提供的建議具時效性及精確性。</p> <p>微軟展示了Copilot for Gaming在遊戲《鬥陣特攻2》和《Minecraft》的實際運作情境，玩家在遊戲中面臨困難或需要入門指引時，Copilot能即時提供針對性協助，如戰鬥策略、英雄推薦、物品製作或位置指引等。</p> <p>此外，Copilot for Gaming也著重改善玩家的遊戲管理及選擇效率，例如透過分析玩家的遊戲歷史、遊戲風格或偏好，主動推薦符合玩家需求的新遊戲，縮短玩家搜尋、安裝與更新遊戲的時間。此功能的目的在於協助玩家更快速地進入遊戲本身，提升遊戲體驗的流暢性。</p> <p>微軟強調，將與玩家社群緊密合作研發Copilot，透過Xbox Insider Program逐步測試與改進功能。微軟認為，將人工智慧技術應用於遊戲領域時，玩家的參與和回饋至關重要，Copilot在初期將優先透過手機應用程式推出測試版本，待穩定後才逐步導入Xbox主機平臺。</p> </div></div></div>
2025/3/14 12:59作者李建興https://www.ithome.com.tw/news/167868
英特爾新款10GbE網卡省電達50％，內建多道硬體安全防護
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/intel_ethernet_e610_main2.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年2月底世界行動通訊大會（MWC）前夕，英特爾發表兩款網路卡，我們已介紹最高可支援200GbE網路埠規格的<a href="https://ithome.com.tw/review/167636">Ethernet E830系列</a>，接著看看另一款最高可支援10GbE網路埠規格的Ethernet E610系列。</p> <p>這系列產品標榜已針對網路控制層的運作（control plane operations）進行最佳化調校，具有高效率的電力使用、進階的管理機制（manageability），以及強健的安全性特色，能夠簡化網路的管理，確保網路連線的完整性。</p> <p>單就網路埠而言，Ethernet E610系列支援100Mbps（100BASE-TX）、GbE（1000BASE-T）、2.5GbE（2.5GBASE-T）、5GbE（5GBASE-T）、10GbE（10GBASE-T），可針對資料中心控制層、工作站與邊緣運算應用系統，提供高效率、高效能的網路傳輸連線，並且能相容於前代採用10GBASE-T規格的網路卡，企業可以輕鬆升級這方面的硬體配備，從而繼續適用於既有環境。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel E610-2025-02.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20E610-2025-02.jpg" style="width: 600px;" /></a></p> <p>根據英特爾目前發表的產品規格來看，乙太網路控制器晶片E610-XAT2與E610-XAT支援上述5種網路埠，另一款E610-IAT2僅支援100、GbE、2.5GbE；網路卡E610-XT2與E610-XT4採用的網路控制器為E610-XAT2，支援100、GbE、2.5GbE、5GbE、10GbE網路埠，E610-IT4採用的網路控制器為E610-IAT2，支援GbE、2.5GbE網路埠。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel Ethernet Controller E610 Ark.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Ethernet%20Controller%20E610%20Ark.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel Ethernet 600 Series Network Adapters-overview.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Ethernet%20600%20Series%20Network%20Adapters-overview.jpg" style="width: 600px;" /></a></p> <p>關於能源使用效率方面，英特爾強調，相較於上一代產品（Intel Ethernet Controller X710-AT2），E610系列可節省53％的電力（4.47瓦對上9.6瓦）；若是更早的產品（Intel Ethernet Controller X550-AT2），E610系列省電幅度61％（4.47瓦對上11瓦），有助於減少營運成本、降低對於環境的衝擊。</p> <p>他們在乙太網路控制器E610系列的介紹，也提及當中採用電量最佳化的架構，而且是專為電力、空間使用受限的環境而設計，可大幅減少總體電量使用，以配置兩個10GBASE-T網路埠的組態而言，最大耗電量只有4.47瓦。</p> <p>而對照基於這批控制器晶片而推出的3款E610網路卡，相關規格的數值是多少？以配備兩個10GbE埠的E610-XT2而言，最大耗電量為5.2瓦，相較於相同網路埠配置的X710-T2L（9.6瓦）與X550-T2（13瓦），省電幅度各為45％與60％。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2025-02-Intel 10GbE.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-02-Intel%2010GbE.jpg" style="width: 600px;" /></a></p> <p>所謂的進階管理功能，是指E610系列支援多種便於集中執行系統管理作業的特色，像是安全協定與資料模型（SPDM）、平臺層級的資料模型（PLDM）、基板控制器穿透（BMC pass-through），以及網路控制器側頻介面（NC-SI），能用來簡化網路維運工作，減少系統管理的負擔，而這些機制大多也在同時推出的E830系列提供。</p> <p>關於產品本身的資安防護特色，E610系列也和E830系列一樣，均內建硬體信任根，可確保韌體升級的安全性，以及遵循美國國安局制定的資安標準：商業國家安全演算法CNSA 1.0，支援當代密碼學處理的功能，藉此確保網路傳輸的完整性及保護能力。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel Ethernet Product Catalog-2025-02.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Ethernet%20Product%20Catalog-2025-02.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><span style="color:#0000FF;"><strong>Intel Ethernet E610</strong></span><br /> ●原廠：英特爾<br /> ●建議售價：廠商未提供<br /> ●外形：OCP 3.0（<a href="https://lenovopress.lenovo.com/lp2152-thinksystem-intel-e610-10gbase-t-ethernet-adapters">短版款式目前有伺服器廠商推出</a>）<br /> ●款式：E610-IT4、E610-XT2、E610-XT4<br /> ●網路介面：E610-IT4支援1GbE/2.5GbE，E610-XT2、E610-XT4支援1GbE/2.5GbE/10GbE<br /> ●提供網路埠：E610-IT4為2個RJ45埠，E610-XT2為2個RJ45埠，E610-XT4為4個RJ45埠<br /> ●乙太網路控制器：<br /> E610-IT4採用Intel Ethernet Controller E610-IAT2<br /> E610-XT2、E610-XT4採用Intel Ethernet Controller E610-XAT2<br /> ●連接介面：PCIe 4.0 x8</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/3/14 13:01作者李宗翰https://www.ithome.com.tw/review/167746
GitLab修補重大層級SAML身分驗證繞過漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>作為許多企業內部採用的DevOps平臺，GitLab對軟體應用程式開發的協同合作相當重要，安全性與可用性不足，將造成很大的影響，因此，一有漏洞相關消息，企業必須要密切注意，及早進行修補或或緩解工作。</p> <p>3月12日GitLab針對社群版（CE）及企業版（EE）<a href="https://about.gitlab.com/releases/2025/03/12/patch-release-gitlab-17-9-2-released/#guest-with-custom-admin-group-member-permissions-can-approve-the-users-invitation-despite-user-caps">發布安全更新</a>17.9.2、17.8.5、17.7.7版，修補9項漏洞，其中被列為重大層級的CVE-2025-25291、CVE-2025-25292相當危險，特別值得留意。</p> <p>這兩個漏洞出現在名為ruby-saml的程式庫，影響啟用SAML單一簽入（SSO）的GitLab執行個體，在特定的情況下，一旦攻擊者能夠存取已由身分驗證提供者（IdP）簽署的有效SAML檔案，就有機會以有效的使用者通過身分驗證，4.0版CVSS風險評為8.8（滿分10分）。</p> <p>攻擊者若要利用這些漏洞，也需克服一個門檻：必須取得有效的使用者帳號，才能進行身分驗證繞過。</p> <p>若是IT人員無法及時套用新版程式，GitLab也提出緩解措施，那就是全面啟用GitLab雙因素驗證（2FA）機制、禁用SAML的2FA繞過功能，以及在自動產生新使用者的過程裡，必須經由管理者核准才能放行。</p> </div></div></div>
2025/3/14 11:15作者周峻佑https://www.ithome.com.tw/news/167865
OpenAI與Google希望美國讓AI模型存取受版權保護的資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國現任總統川普（Donald Trump）在今年1月<a href="https://www.whitehouse.gov/presidential-actions/2025/01/removing-barriers-to-american-leadership-in-artificial-intelligence/" target="_blank">撤銷了</a>前任總統拜登（Joe Biden）的AI行政命令，並制定新的AI行政命令，要求各界在3月15日以前提出建議，<a href="https://openai.com/global-affairs/openai-proposals-for-the-us-ai-action-plan/" target="_blank">OpenAI</a>與<a href="https://blog.google/outreach-initiatives/public-policy/google-us-ai-action-plan-comments/" target="_blank">Google</a>雙雙在周四（3/13）提出意見，明示或暗示地希望美國應讓AI模型存取受版權保護的資料。</p> <p>不管是OpenAI的GPT大型語言模型，或者是Google Imagen的文字轉圖像模型，都經常被指控侵犯版權，特別是OpenAI。除了在2023年就採取行動的<a href="https://www.ithome.com.tw/news/160589" target="_blank">紐約時報</a>（The New York Times)之外，去年還有8家報紙聯手控告OpenAI及微軟侵權，包括The New York Daily News、Chicago Tribune及Denver Post等。</p> <p>然而，OpenAI在提交給英國上議院通訊暨數位特別委員會的<a href="https://committees.parliament.uk/writtenevidence/126981/pdf/" target="_blank">一份文件</a>中，曾經說明該公司對版權的看法，除了OpenAI的大型語言模型都是透過網路上的公開內容、取得第三方授權的資訊，以及用戶及人工訓練人員所提供的資訊所開發的，而現今的版權幾乎涵蓋了所有類型的人類表達方式，不管是部落格、照片、論壇、程式碼片段或是政府文件，而這也意味著如果不使用受到版權保護的資料，就不可能訓練目前領先的AI模型。</p> <p>當時OpenAI還強調，該公司遵守包括版權法在內的所有法令，卻也認為版權法在法律上並不禁止訓練。</p> <p>儘管如此，隨後OpenAI還是與不同語言的<a href="https://www.ithome.com.tw/news/161783" target="_blank">媒體集團</a>、<a href="https://www.ithome.com.tw/news/162587" target="_blank">金融時報</a>（Financial Times，FT）、<a href="https://www.ithome.com.tw/news/162945" target="_blank">Reddit</a>及News Corp等眾多的內容平臺達成與內容授權有關的合作協議。</p> <p>這一次，面對難以預料的川普，OpenAI大膽提出了一項版權策略，希望在保障內容創作者權益的同時，也能確保美國在AI領域的領導地位與國家安全。OpenAI呼籲聯邦政府應該保障美國人從AI中學習的自由，並確保美國的AI模型能夠繼續從受版權保護的材料中學習，以防止美國在AI競爭中落後於中國。</p> <p>至於Google的說法則相對隱晦，表示聯邦政府應該要擁抱那些保障資料可被公平學習使用的政策框架。</p> <p>Google對美國AI政策的其它意見，還包括希望聯邦與地方政府能夠推動政策改革，以因應AI基礎設施不斷增加的能源需求；執行出口管制以在保護國家安全及於海外提供服務間取得平衡；並希望各州能夠建立一致的前沿AI政策以避免混亂。</p> </div></div></div>
2025/3/14 12:08作者陳曉莉https://www.ithome.com.tw/news/167866
在全社會防衛的基礎上打造國家資安韌性，國家資通安全戰略2025即將正式公布
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自2016年蔡英文總統上任以來，政府便以「資安即國安」為核心理念，積極推動國家安全戰略。這一理念不僅代表著對資訊安全領域的高度重視，更反映出在全球網路威脅日益多元、複雜的背景下，資訊安全與國家安全早已密不可分。</p> <p>蔡英文在兩屆總統任期內，從最初的《資安即國安》1.0版到隨後推出的2.0版，均展現出政府在資安防護、跨部門協作，以及國際聯防上的決心與具體行動。</p> <p>隨著2024年賴清德總統就任，儘管繼續沿用「資安即國安2.0版」（2021年至2025年）的戰略基調，但政府進一步提出了《國家資通安全戰略2025》，以期在未來四年內全面提升全社會防衛韌性。</p> <p>這份戰略文件不僅針對能源及關鍵基礎設施的安全進行規畫，同時涵蓋資通、運輸與金融網路等多個層面，主要願景則是打造一個堅韌、安全、可信賴的智慧國家。國安會諮詢委員李育杰強調，該戰略目前已獲得總統同意，正在進行文字修正與排版調整，預計將於3月正式對外公布。</p> <h2><strong>臺灣整體資安戰略沿革：從資安即國安到國家資通安全戰略2025</strong></h2> <p>蔡英文政府從2016年起便提高資安的重要性，也確立了《資安即國安》的基本原則，從最初2018年正式對外公布的1.0版開始，便以建立資安防護體系為核心，強調跨機關、跨部門合作，構築資安防護的「鐵三角」架構——由國安會、國安局與行政院資安處構成。這一機制的推出，象徵著臺灣在面對網路威脅時，已經認識到單一單位無法獨自應對，必須通過協同作戰來形成有效防線。</p> <p>隨後，蔡英文政府在2021年推出的《資安即國安2.0版》中，政府在延續原有精神的同時，將防護範疇進一步擴大，建立起由國安會、國安局、國防部、調查局、刑事局以及數位發展部共同構成的「資安六塊基」聯防機制。這一變革不僅體現了政府對於資安防護需求的深化認識，也為後續數位發展部的成立鋪平了道路，從而促進了人才培育和資安產業的初步發展。</p> <p>進入2024年，賴清德總統在就職演說重申，面對來自境外尤其是中國的不斷滲透和各類威脅，臺灣必須從全民意識、法制建構、民主韌性等多個角度入手，形成全面的安全防護體系。他提出，經濟發展策略中將特別重點推動半導體、人工智慧、軍事工業、安全監控，以及次世代通訊這五大信賴產業，藉此構築堅固的國家經濟與安全屏障。</p> <p>在賴清德總統的政策框架下，除了五大信賴產業的發展，更進一步強調要在全社會層面提升防衛韌性，尤其著眼於能源、關鍵基礎設施，以及運輸、金融和資通網路的安全保護。為此，政府在就職滿月的記者會上宣布成立「全社會防衛韌性委員會」，則希望整合民間資源與政府力量，從國防、民生、災防及民主等四大方面，全面強化國家安全網。</p> <p>國安會如今在前期建立的堅實基礎與架構上，加上必須因應日趨嚴重複雜的資安威脅，推出了《國家資通安全戰略2025》，不僅延續了資安即國安2.0版的基本戰略方向，也投入更多資源以擴大資安戰備準備，並加入全社會與重要關鍵產業共同防衛的思維，並以持續打造堅韌、安全、可信賴的智慧國家作為新資安戰略的願景。</p> <h2><strong>網路攻擊成實體攻擊前奏，資安防禦化被動為主動</strong></h2> <p>現今世界，網路攻擊日益呈現漏洞武器化和數位集權化的趨勢。李育杰指出，許多國家級網軍的數量、素質及資源均達世界頂尖水平，這些高效組織能夠利用網通設備發起供應鏈攻擊，進而滲透到政治、軍事、情報機關，甚至針對關鍵基礎設施進行精確打擊。這種網路攻擊往往被視為大規模實體攻擊的前奏，對國家安全構成嚴重威脅。</p> <p>在外部威脅方面，李育杰將臺灣面對的挑戰畫分為三大類：首先，是國家級資安威脅：包括供應鏈攻擊、鎖定關鍵基礎設施的破壞行動，及利用假訊息、爭議訊息等手段進行複合攻擊。</p> <p>其次，則是面對新興科技挑戰：隨著新科技（如人工智慧）的迅速發展，網路攻擊手段也在不斷進化，使得防禦工作難度倍增；最後，則是要面對網路犯罪猖獗：包括勒索軟體、網絡詐騙等非國家行為者所引發的安全問題，同樣對國家資安構成壓力。</p> <p>除了外部攻擊，臺灣在資安治理上也面臨內部挑戰。李育杰認為，內部挑戰主要可以歸納為三大方向：第一，資安應變能力與韌性待提升：目前公私部門在面對網路攻擊時，仍存在應急反應機制不夠成熟、跨部門協作不足的問題，亟需加強應變目標和能力建設。</p> <p>第二，戰略夥伴鏈結需求強化：隨著全球資安威脅形勢變化，跨國界、跨領域的合作成為必然，臺灣需要與先進戰略夥伴接軌，建立更緊密的資安聯防網絡。</p> <p>第三，主動防禦與嚇阻能力不足：當前資安防護多以被動防禦為主，如何轉型為主動防禦模式、加強威脅預警和防禦部署，則是內部必須面對並解決的問題。</p> <p>李育杰特別指出，資安資源的合理投入、跨機關協調、關鍵基礎設施資安治理的落實，以及公私協力與互信機制的建立，都是現階段臺灣必須解決的內部難題。面對這些挑戰，他也援引美國前總統拜登在2021年5月發布的行政命令《EO 14028》中亦有類似警示——漸進式的改進無法達成所需的安全保障，必須做出大膽變革與重大投資，才能捍衛國家核心利益。</p> <h2><strong>兩大跨領域戰略準則：戰略夥伴鏈結與堅實治理機制</strong></h2> <p>即將對外公布的《國家資通安全戰略2025》中，李育杰闡明了制定此戰略的根本方向，即以「打造堅韌、安全、可信賴的智慧國家」為終極願景。</p> <p>為了實現這一願景，此份戰略文件特別強調兩大準則，分別是：戰略夥伴鏈結及堅實資安治理機制及防護。</p> <p>戰略夥伴鏈結的目標，就是要以先進戰略夥伴為標竿，全面鞏固國防與政府戰備能力，不僅要做到強化國際資安合作、擴大國際聯防，並且要協助戰略夥伴提升資安能量。具體措施有三：</p> <p>首先，在國際合作與資安標準接軌方面，必須與戰略夥伴建立互信機制，統一資安標準，實現資訊與資安資源的互通共享。</p> <p>其次，做到跨產官學交流與實務協作，可以透過各種形式的交流合作與參與國際競賽，建立起事務性協作平臺，從而提升整體資安實力。第三，加強國際資安聯防，在提升自身資安能量的同時，也協助戰略夥伴強化防護，形成國際聯防網絡，進一步提升共同應對境外威脅的能力。</p> <p>「堅實資安治理機制及防護」這一準則，主要針對公私部門的資安治理，提出以下三大重點：</p> <p>第一，推行零信任架構：改變傳統的防護理念，從「信任預設」轉向「全程驗證」，強調身分鑑別、設備鑑別及信任推斷，並制定相關驗證標準與指引。</p> <p>第二，建立資料備援與跨域保護：推動跨領域資料備份，盤點並更新跨境與雲端傳輸法規，確保關鍵資料在遭受攻擊時有足夠備援，防範內部威脅。</p> <p>第三，部署後量子密碼技術：因應量子電腦可能帶來的破密風險，檢視現行資料加密法規，並投入資源研發及推動後量子密碼的安全防護架構，確保資料在傳輸與儲存過程中受到充分保護。</p> <p>李育杰也進一步說明，政府在推動堅實資安治理機制的過程中，零信任與資料治理是轉型中的關鍵舉措。他建議，可以從下列幾個方面著手：</p> <p>首先，全面推動零信任核心原則，針對包括國防機關及關鍵基礎設施在內的公部門，必須加快推動資安治理制度建構，落實身分與設備的多重驗證。藉由制定零信任相關標準與指引，輔導相關單位完成轉型，並同步推動零信任產業的發展，以建立一個由內而外的安全防護網。</p> <p>其次，加強跨領域資料備份與規範修正，他表示，在數位治理日益複雜的今天，跨境與雲端傳輸的法律法規亟待修正與完善。政府應積極推動境外資料備份及核心功能備援工作，從制度層面確保資料在遭遇網路攻擊時能夠迅速恢復，避免因內部威脅而造成更大損失。</p> <p>第三，加速後量子密碼技術的研發與導入。隨著量子電腦技術的快速發展，傳統資料加密技術面臨前所未有的挑戰。李育杰建議，政府應立即檢視現行相關法規，投入必要資源推動後量子密碼技術的研發與應用，並同步調整現有資安架構，為未來可能出現的新型解密技術做好準備。</p> <h2><strong>四大支柱的互補與協同效應</strong></h2> <p>《國家資通安全戰略2025》以四大支柱作為國家資通安全的根基，分別為：Resilience（全社會防衛韌性）、Infrastructure（國土防衛與關鍵基礎設施）、Supply Chain（關鍵產業與供應鏈）及Emerging Technology（新興科技，聚焦人工智慧應用與安全），這四大支柱合稱為RISE，其內涵不僅涵蓋防禦與應變能力，更延伸到跨部門、跨產業乃至國際間的合作，藉此提升國家整體的資通安全防護水準。</p> <h3><strong>支柱一：全社會防衛韌性</strong></h3> <p>提升全社會防衛韌性作為整體戰略的首要任務，主要目標在於建構一個全民參與、全面協同的防護網絡，這不僅僅是技術層面的防禦，更多的是在文化與意識上的普及與滲透。</p> <p>李育杰表示，透過定期的資安教育、跨部門聯合演練與國際交流，能夠讓民眾、企業及政府單位在面對網路威脅時，能夠迅速啟動應變機制，將損害降至最低。這種從上至下、橫向到縱向的防禦協同機制，是確保國家資通安全的重要基石。</p> <h3><strong>支柱二：國土防衛與關鍵基礎設施安全</strong></h3> <p>國土防衛與關鍵基礎設施的安全問題，涉及到國防、民生、災防和民主四大領域資安防禦與韌性，這些領域一旦遭到網路攻擊，不僅會影響民生，更可能引發連鎖效應，甚至危及國家主權與社會穩定。</p> <p>戰略中針對這一層面的詳細規畫，體現了從風險評估、技術防護到事後應變的一體化管理思路，他表示，透過定期風險盤點、分級分類管理與跨部門協同應變，臺灣正努力打造一個全流程、多層次的防禦體系。</p> <h3><strong>支柱三：關鍵產業與供應鏈安全</strong></h3> <p>當前全球供應鏈正面臨前所未有的挑戰與變數，而臺灣關鍵產業更是國家經濟命脈的重要支柱，從金融、電信到醫療等行業，每一環節的資訊安全都直接關係到整體運作的穩定性。</p> <p>戰略中針對關鍵產業與供應鏈的盤點、列管、風險評估及防護機制，不僅能夠降低外部攻擊帶來的衝擊，同時也有助於促進產業內部資訊安全生態的健康發展。通過政府、企業與學研機構的緊密合作，形成聯防聯控機制，將有效保護國內產業鏈的穩定與競爭力。</p> <h3><strong>支柱四：人工智慧應用與安全</strong></h3> <p>在新興科技浪潮中，人工智慧（AI）的應用已經滲透到各行各業，但同時也帶來了全新的安全隱患。如何在推動AI技術發展的同時，確保其在應用層面不成為安全漏洞，是戰略中亟待解決的關鍵課題。</p> <p>透過推動「Secure by Design」原則、建立國際標準及鼓勵技術創新，臺灣致力於在AI領域形成一個自我完善且能夠自我監控的安全體系。此外，升級資安科技園區與促進公私合作，不僅可以加速AI技術在資安防護中的應用，更能夠在面對未來可能出現的新型網路攻擊時，提前做好風險管理與防範準備。</p> <h2><strong>奠基於「兩大基石」的整體戰略</strong></h2> <p>《國家資通安全戰略2025》作為國家在資通安全領域的重要發展藍圖，其核心目標在於提升整體網路安全防護能力，並且確保國家關鍵資訊系統及基礎設施免受各種資安威脅。為了實現這一戰略目標，李育杰提出了「兩大基石」作為戰略運作的根本依據，並搭配涵蓋跨部門、跨領域合作的跨支柱基盤及公私協力與國際合作，作為實踐資安戰略的底氣。</p> <h3><strong>建置國家資安戰情協同應變中心</strong></h3> <p>李育杰強調，建置「國家資安戰情協同應變中心」是整個戰略運作的首要基石。這個中心的成立不僅僅是一個監控機制，更是國家對資安風險進行全局掌控和應變調度的重要平臺。</p> <p>該中心需要根據全國各項資通安全相關數據製作國家資安風險地圖，動態建立一張涵蓋國內外各項威脅與風險的地圖，他表示，這張地圖不僅能夠呈現現有的安全漏洞和風險點，更有助於預測未來可能出現的新型攻擊手法與威脅趨勢，從而提前做好防範準備。</p> <p>以外，為了確保資訊完整與及時更新，也會擴大收攏全國公私部門、各大產業乃至國際資安監控的情資。這意味著，無論是政府機構、企業單位還是學術界，都能夠共享關鍵資安情報，共同構成一個龐大而高效的監控網絡。李育杰認為，透過這種跨領域的信息共享機制，能夠迅速發現並評估潛在威脅，從而在最短的時間內做出應變決策。</p> <p>面對可能發生的各種資安事件，除了在監控層面提供即時情報外，還需具備快速反應與整合協調能力，這包括建立完善的作業機制準則與工作規範，確保在發生安全事故時，各部門能夠密切配合，迅速啟動應變機制，並在事故控制後進行全面的復原與事後檢討。他說：「這樣的協同應變能力正是現代國家資安防護體系不可或缺的一環。」</p> <h3><strong>強化國家資通安全會報及資訊資安預算正規化</strong></h3> <p>與建立資安應變中心並行的另一項基石是「強化國家資通安全會報及資訊資安預算正規化」，這部分主要聚焦於跨部門協調及資源分配，以確保整體資安戰略能夠獲得充足的資金與人力支持，並能夠依據法規及政策規範有序推進。</p> <p>國家資通安全會報作為跨部會協調機構，負責整合政府各部門在資安領域內的工作，它不僅需要推動資安相關法規的修訂與完善，還要在各項資安政策落實過程中扮演監督與調度的角色。透過這種統一的會報體系，能夠避免各部門在資安措施上出現協同不足或資源浪費的情況，從而提高整體防護效能。</p> <p>政府機關及關鍵基礎設施是資安防護的重中之重，這些單位在面臨高度風險的現代網路環境時，必須具備充足的預算與專業人力。李育杰認為，資安預算的正規化不僅僅是財政數字上的分配，更意味著政府在資安領域的長期承諾與持續投入。為此，各部門必須定期接受施行成效的考核，以便根據最新情勢及安全需求調整資源配置。</p> <p>在資通安全的領域中，私部門擁有龐大的技術能力、創新研發實力以及豐富的實戰經驗。李育杰指出，將私部門納入國家資安體系中，可以彌補政府在技術創新和快速反應方面的不足。透過與私部門建立緊密合作機制，不僅能夠加強資訊交流，還能夠在防禦措施、技術研發、風險評估等方面形成強大的聯合防禦能力。這種公私協力模式，將成為推動整體國家資通安全戰略的重要動力。</p> <h2><strong>跨支柱基盤：整合多元資安防護力量</strong></h2> <p>在兩大基石的基礎上，李育杰進一步強調了跨越四個支柱的基盤建構。這部分不僅延續以往「資安即國安2.0」的理念，更進一步擴充與深化，主要包括「六塊基聯防體系」以及「跨部會協防體系資源與支援」等層面，並輔以公私協力團隊，構成一個全國性、多層次的資安防護網絡。</p> <h3><strong>六塊基聯防體系的運作與分工</strong></h3> <p>「六塊基聯防體系」是以國家安全為核心、以資通訊安全防護為目標的戰略架構。這一體系中，每個單位均有明確的職責與分工，李育杰表示，國安會是總統決定國家安全有關大政方針的諮詢機構，對於國安相關的議題蒐集資訊並分析研究，進行必要的諮詢幕僚和協調作業，再將研究結果提報給總統參考，發揮其諮詢功能。</p> <p>至於國防部則負責軍事領域的資訊安全，其任務不僅在於防範外部攻擊，更重視主動發起防禦行動，確保軍事資訊系統的絕對安全。這要求軍事單位不斷更新防禦技術，並進行模擬演練，以便在遭遇攻擊時能夠迅速反擊並將損失降到最低。</p> <p>國安局則承擔起情報安全與情報蒐集的重任，他指出，這一部門需要及時掌握國內外資安形勢，收集各種潛在威脅的情報，並對情報進行快速研判。通過與其他單位的信息共享，國安局能夠提前預警，並與國防部、其他安全機構形成無縫聯動。</p> <p>面對各種資安攻擊事件，具有公權力的法務部調查局和內政部刑事局負責事件的鑑識、溯源及執法，李育杰認為，這兩個部門在事發後扮演著極其關鍵的角色，從技術層面查明攻擊來源，並依據法律對涉事者進行追責，從而形成對犯罪行為的震懾效應。</p> <p>除了上述部門外，數位發展部則負責數位韌性建設、產業資安，以及資安法遵與宣導工作。這意味著，除了實際防禦外，數位發展部還需要著眼於整個產業生態系統的安全建設，推動各行各業提升自身的資安防護水平，同時強化公眾與企業對於資安意識的認識，進一步建立全社會的防禦網絡。</p> <h3><strong>跨部會協防體系與大聯盟資源整合</strong></h3> <p>隨著「資安即國安」戰略目標的不斷升級，國家需要建立一個橫跨政府各部門以及關鍵產業的協同防護體系。這正是跨部會協防體系的核心所在，其主要任務在於將重要政府機關、關鍵基礎設施及產業供應鏈等各方面資源全面納入資安防護範疇，實現信息共享與協同作戰。</p> <p>國發會和國科會在這一體系中扮演著資源挹注、科研推動及產業發展的重要角色。他表示，這兩個機構不僅負責資金與技術的輸入，還需引領整個產業界的創新研發工作，形成一個從基礎研究到應用實踐的閉環。</p> <p>此外，各主管關鍵基礎設施的部會，如內政部、教育部、經濟部、交通部、衛福部、金管會與通傳會等，也必須在各自職責範圍內建立嚴密的防護措施，確保整個系統運作穩定。</p> <h2><strong>臺灣資安應對策略的多元化與深化</strong></h2> <p>在全球化日益加深的今天，國家資通安全不再是單一國家內部的議題，而是涉及跨國合作與國際協同。外交部負責資安外交協力，通過參與國際機構、資安專業社群以及跨國產學研合作，與先進戰略夥伴及友邦國家建立起緊密聯繫。李育杰表示，這種跨國協作模式，能夠在面對跨國性資安威脅時，迅速調動多方資源，共同應對複雜多變的網路攻擊局面。</p> <p>除了政府部門的協同作業外，公私團隊協力同樣是資安防護體系中的重要一環。這些團隊通常由國內關鍵產業、資安產業專家、學術界及科研機構共同組成，旨在釐清潛在風險、投注充足資源、並在創新技術研發上攜手合作。透過這種跨部門、跨產業的聯防機制，能夠在整個防護鏈條中形成多層次、全方位的防護屏障，確保國家資訊安全戰略的有效落實。</p> <p>《國家資通安全戰略2025》是一份面向未來、布局全局的國家戰略文件，從國家資安戰情協同應變中心的構建，到資通安全會報的統籌督導，再到六塊基聯防體系與跨部會協防大聯盟的細緻分工，每一項措施都體現了國家在資訊安全領域的戰略定力與前瞻布局。更重要的是，通過積極推動公私協力與國際合作，國家不僅能夠有效整合各方資源，更能夠在全球資訊安全生態中占據主動地位。</p> <p>未來，隨著資訊技術的持續革新與網路威脅的不斷演變，《國家資通安全戰略2025》將在不斷調整與完善中，成為推動國家安全與社會穩定的重要支柱。透過這一戰略的實施，無論是在技術創新、風險防範，還是在國際合作層面，都將形成一股強大的合力，為國家在數位時代的長治久安提供堅實保障。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/600-38_%E6%9D%8E%E8%82%B2%E6%9D%B0_%E7%B8%BD%E7%B5%B1%E5%BA%9C_%E5%9C%8B%E5%AE%89%E6%9C%83_%E8%AB%AE%E8%A9%A2%E5%A7%94%E5%93%A1_20250220_%E6%B4%AA%E6%94%BF%E5%81%89%E6%94%9D.jpg" style="width: 600px; height: 400px;" /></p> <blockquote><p>國安會諮詢委員李育杰表示，在《資安即國安2.0》的基礎上，總統同意於今年三月，對外公布最新版本的《國家資通安全戰略2025》。</p> </blockquote> <p> </p> <div class="ui-widget-content ui-draggable" id="haloword-lookup" style="position: relative;"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"></div> </div> <div id="haloword-content"> </div> </div> </div></div></div>
2025/3/14 10:49作者黃彥棻https://www.ithome.com.tw/news/167864
進退之間
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因為租屋處面臨都市更新需要進行搬遷與清理，這一個月來，我的下班時間都在處理相關事宜，由於房東允許用押金讓我能繼續住到下個月底，而且，新覓得的住處也相隔一個區塊，於是決定用每天晚上都搬一些東西的方式，進行遷移，現在這個階段最頭痛的事情是清理既有環境。</p> <p>丟棄與回收後續用不到的各種物品，感覺很複雜。一方面懊悔這麼多年下來，許多東西放到自己渾然不知，早該丟棄的卻一直擱置，現在處理之後，發覺並沒有那麼困難，其實，都有方法與管道分散這些負擔；一方面也重新找到一些滿有用的東西，剛好現在能派上用場，呼應最近接觸的各種議題。</p> <p>例如，我找到一本2003年出版的《編輯台上》，作者是在新聞領域任職長達22年的薛心鎔，他曾在青島民言報、台北大華晚報、中央日報擔任總編輯，裡面提到他從抗戰到民國76年退休的工作經歷，讀到中華民國退出聯合國、中美斷交的部分，再對照當前國內政壇關注議題，我更明白何以每隔一段時間就會冒出「疑美論」，這確實是當時衝擊全國民眾的一段傷痛記憶。</p> <p>而關於兩岸過去長期對峙，薛心鎔也談到當時中央日報的新聞處理方式，以及他後來擔任副社長兼任國外版主任，曾與人民日報海外版交手的狀況。</p> <p>戒嚴時期的媒體自由受到極大限縮，書中提到四十年代任職於大華晚報，曾因記者報導美國軍事援華顧問團訪臺行李被竊，而被拘留在保安司令部、甚至送入軍法局看守所關押十天，以及因刊載讀者投書，受到治安機關多次約談，以及不同單位的查問。作者認同政府當時有必要採取嚴峻手段，但也不滿執行這些程序的問題，認為若能多加檢點，應可避免許多冤屈。</p> <p>時至今日，雖然言論自由已獲得認可與保障，然而，政治施壓的狀況仍存在，不只是有權柄之人可能濫用，有些民眾也會利用檢舉非法行為的方式，透過公務機關對與其政治立場不同的商家或個人進行檢查，這段期間全臺倡議大罷免，就有民眾面臨這類被大家稱之為「查水表」的狀況，不勝其擾、甚至心生畏懼而不敢提供連署場地。該如何因應這樣的壓迫或騷擾？除了強烈抗議不公，還能怎麼做？2025年臺北市公民自主的罷免團體，提出的解方是正視這樣的檢查、及早進行自我改善。他們號召專家合作推出健檢專案，幫忙這些業者預先了解本身營運的缺失，確保符合規範，避免遭受不當對待，讓支持者安心，也讓店家經營無憂。這讓我想到總統賴清德對於國人的勉勵：要把衝擊當作歷史的機遇。</p> <p>面對各種衝突的發生，我們能做的選擇不多，該進？該退？還是要保持現況？每個決定都必須付出代價，也在在考驗著我們的處世智慧，從理性面而言，是如此考量，但在感性面，又該如何說服自己心平氣和地迎接外在接踵而來的挑戰？</p> <p>3月初發生雲云科技董事長殺害技術長，震驚全國，也觸動所有工作者反思如何面對職場人際溝通爭議，大家試圖透過各種已公開的資訊，了解這場劇烈衝突何以發生，每個人可能都有自己的解讀，但都對被害者與加害者感到深深的惋惜，確實如有些評論者所言，不僅有兩個家庭破碎、兩人長期攜手合作的公司商譽蒙上陰影，整個社會也面臨重大的損失，因為驟然失去兩個培養多年的寶貴人才。</p> <p>為了不讓同樣的悲劇再度上演，或許過一段時間，我們能找出避免衝突發生的方法，試著想像與體會兩位當事人面臨的困境之餘，也必須思考問題究竟出在哪裡，該去除的是立場敵對者，還是各自面臨的危機與焦慮？我們能做的，或許是更體貼與理解彼此的狀態與立場，並且能夠接納與尊重雙方的認知差異，說祝福不容易，但可以盡量訓練與要求自己不要成為他人的地獄。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%B7%A8%E8%BC%AF%E5%8F%B0%E4%B8%8A">編輯台上</a></div><div class="field-item odd"><a href="/tags/%E8%96%9B%E5%BF%83%E9%8E%94">薛心鎔</a></div><div class="field-item even"><a href="/tags/%E9%9B%B2%E4%BA%91%E7%A7%91%E6%8A%80">雲云科技</a></div><div class="field-item odd"><a href="/tags/%E5%A4%A7%E7%BD%B7%E5%85%8D">大罷免</a></div></div></div>
2025/3/14 09:20作者李宗翰https://www.ithome.com.tw/voice/167860
8年耕耘前瞻零售大數據技術，91APP打造零售專屬GenAI
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「早年說自己用AI打造零售數據應用，被當成是噱頭。直到AI紅了，才終於發現我們玩真的。」零售解決方案服務商91APP產品長李昆謀這句玩笑，道出他們多年來，默默鑽研前瞻零售大數據技術的孤單。</p> <p>7、8年以來，91APP陸續發表會員生命周期模型NAPL、會員購買意圖分析模型DCIU、跨通路消費行為分析模型PAVO等統計和ML模型。</p> <p>這些模型多年來吸引其他零售業者借鏡，尤其是NAPL模型受到業界大量討論與研究，甚至已經被部分零售業者視為顧客關係管理的圭臬。</p> <p>生成式AI元年的2023年，他們快速以OpenAI的技術為基礎，推出多款零售應用。他們不滿足於使用ChatGPT等現成技術，更決定自行發展專屬臺灣零售業的技術。同年，發展出亞洲第一個零售業ChatGPT外掛，隨後利用RAG技術打造出專屬臺灣零售業的生成式AI平臺。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>產品和IT人員了解彼此專業，才能快速開發有效技術解</strong></span></span></p> <p>李昆謀說，91APP很早就意識到，讓產品人員和IT了解彼此專業知識和需求，非常重要。</p> <p>他們多年前合併開發及產品團隊，成為規模超過270人的產品研發處，由技術和產品主管擔任雙處長，讓技術與產品決策更加緊密結合。</p> <p>他表示，兩名主管有各自專精的領域與責任，不過都了解產品與技術，因而能互相支援、密切合作。</p> <p>不只主管，他們更會讓其他團隊成員接觸跨領域業務，使產品團隊能緊跟緊跟零售業者時下需求，並迅速用最新技術，開發出解決方案。</p> <p>2016年，91APP開始進攻線上線下融合（OMO）零售市場，開始替大型零售業者客戶打造數位通路，這也成為他們後續重要核心業務。</p> <p>李昆謀認為，開發開店平臺上的服務時，技術人員具備產品面的設計與商業知識，非常重要。這個時期，他們需要用技術解決的需求是，數位通路的顧客經營。</p> <p>「大型零售商要求的不只是電商轉換率要高。他們在乎的是，怎麼做好熟客經營，怎麼從會員看到洞察。」對大型零售品牌而言，2成會員貢獻7至8成營收，會員族群如何分布？留存率多高？會員經營是否健康？回購狀況如何？怎樣算高貢獻度、高活躍度？都是大型零售業者想要知道的問題。</p> <p>為了回答這些問題，91APP一腳踏入零售大數據技術領域。李昆謀會帶著資料科學家一同拜訪客戶，不只要做業務，更要從互動過程中，找到零售業的商務需求。</p> <p>「當命題定義清楚，才容易開始尋找技術解。」例如，前20%貢獻度會員的數位足跡有什麼特徵？以1萬元消費額當作VIP會員，是否是正確的切分方法？有了命題，才容易開始思考，要用哪些數據，如何設計與開發產品。</p> <p>這段期間，李昆謀更體會到，要用數據解決零售需求，不只需要分析數據的資料科學家，還需要有人負責建立自動化資料蒐集和彙整機制。接著，再將數據翻譯成商業語言，才能與產品設計接軌。於是，他們更開始擴大招募數據工程師與商業分析師，到原本數據科學家團隊中。</p> <p>聚集這些人才後，他們開始從不同零售場景和需求切入，打造一系列數據的統計及ML模型，來開發產品，支援零售業者經營數位通路，並分析零售業者的會員行為。</p> <p>這些模型包括PAVO和NAPL統計模型，以及DCIU機器學習模型。每一個模型，都是分別從零售業者會詢問的不同問題方向切入，來尋找會員經營最佳策略。例如，會員在不同通路消費，行為模式是否會改變？購物頻率、最近消費時間、金額，如何影響會員活躍度？哪些瀏覽頁面和購物時的行為，代表著高度購物意願？他們打造這些模型，嘗試用大數據回答問題。</p> <p>多年來，不只91APP交叉利用這些模型，來替零售業者分析會員消費歷程與行為，作為進一步會員經營的參考，更有不少零售業者研究、效仿這些零售大數據做法。甚至有零售業CIO認為，這些模型，是會員經營必須進行的數據分析模式。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>積極投入GAI研究，生成式AI元年即推出臺灣零售專用AI</strong></span></span></p> <p>2022年底，ChatGPT橫空出世，打亂了91APP隔年的計畫。「當時2023年度計畫都快寫完，突然得大改。」李昆謀笑道。</p> <p>為搶搭第一波浪潮，他們決定3個月內用生成式AI打造出零售應用。第一步，是利用OpenAI API，打造功能簡單，但能協助零售業者大規模處理基礎事務的功能。例如，生成商品文案、行銷訊息或Email等。</p> <p>新功能一推出，大受零售業客戶的讚賞。但李昆謀的企圖不只如此，「單純呼叫技術龍頭的API，只是使用而非發展AI，說白點只是替OpenAI打工而已。」他認為：「本業是零售產業，就該在產業內，自己發展零售業專用AI。」</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1225-CXO-%E6%8A%BD%E8%A8%80-%E6%94%9D%E5%BD%B1%EF%BC%8F%E6%B4%AA%E6%94%BF%E5%81%89.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">攝影／洪政偉</span></span></p> <p>2023年6月，ChatGPT Plugin火紅。他設下目標時限，數據科學團隊必須在9月結束前，打造出一個用來服務零售業情境的外掛。</p> <p>原本，資料科學家團隊還還有一系列傳統AI/ML技術的研發計畫。李昆謀一聲令下，他們緊急捨棄全部計畫，轉向研究生成式AI技術。「這些人被我逼著原地轉職，變成AI科學家團隊。」李昆謀開玩笑的說。</p> <p>有了目標與時限，91APP數據團隊開始尋找產品開發方向。當時，李昆謀自己研究生成式AI應用時，嘗試過將新聞文章轉成嵌入向量（Embedding Vector），來比較關聯性和彙整資訊，以助自己快速吸收科技新知。他聯想，或許可以如法炮製，將零售商品特徵轉成向量，用於分群模型。</p> <p>於是，他們初步實驗，用Embedding Model（嵌入模型）一次提取出比原本多出幾倍的數據維度，投入分群模型來嘗試。結果發現，其他技術維持原樣，光是數據維度更加豐富，就足以大幅提升了他們原有模型的準確度。</p> <p>「數據量大幅提升導致模型效果飛躍性提升，很像當初OpenAI用前人未及的超大量Token訓練GPT模型，結果驚為天人一樣。」李昆謀評論。這個實驗大獲成功，也讓他們確定了用嵌入向量技術為基礎，來打造GPT外掛的技術方向可行。</p> <p>接下來3個月，資料科學家團隊研究了數十篇論文，研究如何善用嵌入向量來找出高相關性資訊，讓ChatGPT用來生成零售問題的答案。</p> <p>9月，他們推出名為一款用於購物推薦的ChatGPT外掛Jooii。這是GPT Store中，亞洲第一款電商類外掛，可以用來提供購物建議。例如，可建議指定送禮對象的禮盒，或是針對不同場合，來提供穿搭衣物的推薦。</p> <p>年底，檢索增強生成（RAG，Retrieval-Augmented Generation）技術獲得業界更多關注時，李昆謀驚覺，這正是他們過往幾個月所做的事，更增強了他們對自家GAI技術方向的信心。於是，他們決定擴大投資，以這款外掛為基礎，打造出一整套零售業專屬的生成式AI系統。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>借鏡經典ML做法搭配生成式AI，打造自家零售GAI平臺</strong></span></span></p> <p>如今的Jooii，是一套結合經典ML及生成式AI模型的零售業RAG平臺，串接了91APP不同電商系統和資料庫，結合多家指標性LLM，以及他們自行打造的「三塔模型」。</p> <p>三塔模型是借鏡經典ML技術「雙塔模型」，打造而成的推薦用模型。傳統雙塔模型，是從兩個資料分類的特徵值捉對比較，挑選出高相似性項目，來支援推薦等目的。以零售業來說，常見做法是比對顧客特徵和商品特徵，再根據特徵值相似度，替顧客挑選出前幾名可能喜歡的商品。</p> <p>91APP的三塔模型則是加入第三種資料分類「標籤」，收錄零售業用語標籤及商品產業別標籤等，描述情境的特徵值。李昆謀說明，就算是同一個詞彙，在不同的情境和脈絡下，模型推薦結果也應該不一樣。舉例來說，「巧克力」在食品產業指食物，但在服飾業多半是指顏色。將情境考慮進推薦過程後，模型面對瀏覽服飾商品的顧客，推薦結果就不會出現食品。</p> <p>資料科學家團隊結合零售及數據科學領域的專業知識，產出2、3千種特徵維度，來輔助人與商品的配對。不過，細分上千種情境類數據，雖然能提升推薦精準度，卻帶來另一個挑戰。</p> <p>李昆謀說明，標籤量太龐大、種類又多元，會導致計算時間過長，且雜訊過多。如此，實務上無法大量呼叫模型，來支援需要毫秒級反應速度的零售推薦情境。</p> <p>於是，資料科學團隊重新聚焦數學面的技術研究，投資大量時間與算力，實驗如何降低三塔模型配對時檢索的維度數量，又不過度削弱推薦準度。</p> <p>李昆謀表示，這是一個反覆試錯的過程。「有時花上三天計算，結果不行，就要全部重來。」最後，他們成功研發出一套降維演算法，能將三座塔的數千種數據維度統一降到512個維度，再進行相似度比較，且精準度與降維前幾乎相同。</p> <p>現在，他們更開始打造專屬零售業的嵌入模型，期待相比通用型的嵌入模型，能產出更符合零售情境的嵌入向量，進一步提升模型推薦的精準度。未來，他們還計畫將Jooii發展成IaaS（Infrastructure a Service）產品，開放零售業客戶上傳自家訓練數據，來支援各自的GAI零售應用。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>反覆用新技術解決相同零售需求，追求更高效率和更極致效果</strong></span></span></p> <p>回顧過去近十年自家研發的零售大數據應用，李昆謀反思，不斷追求最新技術、打造最新應用，都是聚焦相同的核心零售業需求，提出技術解。</p> <p>「推薦、搜尋、貼標，放到不同地方就會有不同名字，但做的事情都一樣。」舉例來說，推薦功能用於商品頁是交叉銷售；放入eDM則是種個人化會員經營。</p> <p>他們用自家研發的技術，投入近兩年零售業高度關注的RMN，也是一種善用推薦技術解決零售需求的例子。</p> <p>他們利用生成式AI技術，根據商品、情境、顧客特徵，來支援廣告投放，以及尋找相似受眾。「不過，在RMN這個名詞熱門前，我們也早就有幫忙操作廣告的服務，只是方法跟形式不同。」他笑道。</p> <p>李昆謀說明，一路走來，從最陽春的根據一口價來投放廣告、到代投即時競價廣告於外部平臺，或是最近更常見，結合多方數據來源，提供更多元行銷通路的投放，都是零售業經營數位行銷業務的不同形式。</p> <p>「技術上，這些服務底層概念也都相同，就是用各種數據來推薦商品給顧客。」RMN只是將零售業幫供應商打廣告的定價和投放方法，變得更加系統化。不過，正是這個看似微小的改善，反映出他近十年來鑽研新技術所追求的價值。「讓技術解更有效率、更全面應用、達到更極致的效果。」</p> <hr /> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CPO小檔案 </span></strong></span></p> <p><strong>91APP產品長李昆謀</strong></p> <p>學歷：臺灣大學資訊管理學士</p> <p>經歷：15年前共同創立App製作服務公司宇軒數位擔任CEO，後帶領宇軒團隊加入91APP，擔任產品長12年至今。負責產品發展路線、系統架構，以及產品設計、行銷與定價。他也經營「零售的科學」部落格，分享零售IT知識及趨勢觀察</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E5%85%AC%E5%8F%B8%E4%BB%8B%E7%B4%B9)33_91APP.jpg" style="width: 400px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> </span></strong></span><strong style="color: rgb(255, 255, 255);"><span style="background-color:#3399ff;">公司檔案 </span></strong></p> <p><strong>91APP</strong></p> <p>●地址：臺北市南港區八德路四段768巷5號6樓</p> <p>●成立時間：2013年</p> <p>●主要業務：為零售業提供OMO與D2C的數位零售解決方案及行銷解決方案，包括顧問、數位通路製作、系統整合、數據處理、廣告投放等</p> <p>●員工數：600人</p> <p>●年營收：13.89億元</p> <p>●董事長：何英圻</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>●2013年：91APP成立</p> <p>●2017年：陸續推出NAPL、DCIU、PAVO等模型，用於顧客消費行為分析</p> <p>●2018年：推出「虛實融合（OMO）解決方案」</p> <p>●2021年：股票掛牌上櫃</p> <p>●2023年：開發零售生成式AI「jooii」，用於零售業者獲客、促進轉換和提升經營效率</p> <p>●2024年：推出RMN 3.0服務，進軍臺灣數位廣告市場</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1225-cxo-960-she_ying_hong_zheng_wei_2.jpg" width="960" height="420" alt="" title="91APP產品長李昆謀　（攝影／洪政偉）" /></div></div></div>
2025/3/14 08:51作者郭又華https://www.ithome.com.tw/people/167859
臺灣IBM發布今年5大AI趨勢；國內已有金融業者開始運用GenAI進行COBOL程式可視化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣IBM今日公布2025年5個AI趨勢，並根據IBM 2024年全球CEO調查，列出全球CEO們共同的優先任務與挑戰。</p> <p>臺灣IBM認為，2025年的第一個AI趨勢，是企業要培養具備AI相關技能的員工，來因應代理型AI驅動的新一代轉型。第二個趨勢，是企業避免繼續增加技術債，在投入AI轉型時，同時妥善興建IT基礎工程。</p> <p>第三個趨勢則是AI應用將因地制宜，跟隨營運地點來調整AI應用內容。第四個趨勢是採用開放模式和敏捷開發，將有限的企業資源聚焦在有機會產生最大效益的生成式AI專案。最後則是，企業將更重視建立AI商業模式，利用AI技術從事產品與服務創新。</p> <p>另外，根據IBM 2024年全球CEO調查，發展創新產品與服務，是全球CEO們未來三年內的首要任務。這項任務從2023年調查中排行第六順位，飆升至首要任務。而商業模式創新，則是全球CEO們的最大挑戰，排名從2023年的第十名，躍升至2024年的第一名。</p> <h3>國內有金融業者開始運用生成式AI進行COBOL程式可視化</h3> <p>針對生成式AI，臺灣IBM認為，目前國內金融業在生成式AI發展，仍處於POC階段，且尚未出現具顛覆性的殺手級應用。不過，他們也透露，國內已有金融業者開始嘗試將生成式AI運用在輔助IT現代化計畫。例如，有金融業者正在POC階段，運用生成式AI來分析核心系統的COBOL程式碼，進行程式可視化，透過產出圖表，來輔助IT人員更直觀理解COBOL程式碼。未來，這些金融業者會進一步測試、驗證可視化圖表的有效性。</p> <h3>高科技業者在ERP系統上雲時，同時考慮資料欄位是否適合生成式AI發展</h3> <p>另一方面，臺灣IBM也認為，目前高科技業者在GenAI發展上，仍處在POC階段。但他們也透露，近幾年有多家高科技業者計畫將ERP系統遷移上雲，並在資料治理、資料整合過程中，評估如何改造系統，使其資料欄位或格式更符合符合生成式AI發展。</p> <p></p> </div></div></div>
2025/3/13 20:44作者李昀璇https://www.ithome.com.tw/news/167858
Google釋出1B/4B/12B/27B的 Gemma 3，開始支援多模態
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google周三（3/12）發布了<a href="https://blog.google/technology/developers/gemma-3/" target="_blank">Gemma 3</a>，意謂著Google於去年2月<a href="https://www.ithome.com.tw/news/161409" target="_blank">首度發表</a>的Gemma輕量模型家族已來到第三代，Gemma 3提供了1B、4B、12B及27B參數等4種版本，可於單一的GPU或TPU上執行，除了將脈絡窗口長度從Gemma 2的8k Token，擴大至32k（1B）與128k之外，亦已支援超過140種語言，且除了1B之外的模型皆開始支援多模態，能夠理解圖像加上文字的輸入，但目前僅支援文字輸出。</p> <p>Google替Gemma社群成立了<a href="https://ai.google.dev/gemma/gemmaverse?hl=zh-tw" target="_blank">Gemmaverse</a>，以讓Gemma開發者交流彼此的創意，在Gemma問世的13個月以來，相關模型已有超過1億次的下載，開發者在Gemmaverse上分享了超過6萬個Gemma變種模型。</p> <p>Google說明，Gemma 3採用與Gemma 2模型相同的研究與技術而打造，該系列著眼於可直接在手機、筆記型電腦及工作站等裝置上快速執行，協助開發者在人們需要的任何地方建置AI應用程式，開發者可根據硬體及性能需求，選擇最適合的模型規格。</p> <p>最新的Gemma 3可替35種語言提供開箱即用的支援，也能支援逾140種語言的預訓練；除了1B之外的Gemma 3版本皆支援可同時輸入文字、圖像及短影音，並輸出文字；有了128k Token的脈絡長度，將允許應用程式處理及理解大量資訊；新版亦支援函數呼叫與結構化輸出，以協助自動化任務執行與打造代理體驗；Gemma 3導入了官方的量化版本，減少模型尺寸與運算要求，並維持高精度。</p> <p>另一方面，Gemma 3在 <a href="https://lmarena.ai/?leaderboard=" target="_blank">Chatbot Arena 排行榜</a>上的初步人類偏好評估中，超越了Llama-405B、DeepSeek-V3與o3-mini，這是個由人類盲測各種大型語言模型的流暢、準確或是可用性的即時排行榜，Gemma 3 27B目前排在第十名，勝過Llama-405B、DeepSeek-V3或o3-mini，而且即使DeepSeek R1在評測分數中微幅勝過了Gemma 3 27B，但DeepSeek R1使用了32個Nvidia H100的GPU，Gemma 3 27B卻只用了一個GPU。</p> <p>同一天Google也發表了基於Gemma 3的ShieldGemma 2，這是個4B影像安全檢查器，可用來過濾危險內容、色情與暴力。</p> <p>開發人員可透過<a href="https://aistudio.google.com/prompts/new_chat?model=gemma-3-27b-it" target="_blank">Google AI Studio</a>、<a href="https://www.kaggle.com/models/google/gemma-3" target="_blank">Kaggle</a>或<a href="https://huggingface.co/collections/google/gemma-3-release-67c6c6f89c4f76621268bb6d" target="_blank">Hugging Face</a>下載Gemma 3系列的開源模型。</p> </div></div></div>
2025/3/13 15:21作者陳曉莉https://www.ithome.com.tw/news/167850
OpenInfra基金會加入Linux基金會，加速開源基礎設施跨專案整合
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenInfra基金會（Open Infrastructure Foundation）經董事會一致決議，<a href="https://openinfra.org/blog/openinfra-linux-announcement">正式啟動加入Linux基金會的程序</a>，之後將以成員基金會身分，在Linux基金會的框架下繼續營運。<a href="https://openinfra.org/blog/openinfra-linux-foundation-collaboration">OpenInfra執行長Jonathan Bryce表示</a>，這項決定反映當前開源專案跨領域協作的需求日益增加。</p> <p>OpenInfra基金會成立於2012年，前身為OpenStack基金會，主要推動開源基礎設施軟體專案，知名專案包括虛擬化平臺OpenStack、容器虛擬化方案Kata Containers、邊緣運算平臺StarlingX，以及CI/CD平臺Zuul等。</p> <p>OpenInfra基金會加入Linux基金會的主要原因，除了兩個基金會長期已有密切的技術合作之外，也是因為現今企業環境對多種開源技術組合需求越來越大。而OpenInfra基金會加入Linux基金會後，有望加速OpenStack、Linux作業系統、容器管理平臺Kubernetes、機器學習框架PyTorch等專案間的整合。</p> <p>根據雙方的共識，OpenInfra基金會加入Linux基金會後，在專案治理、預算管理與董事會運作上都將維持獨立與原有模式，並不會進行調整或重組。社群治理模式也將延續OpenInfra基金會成立以來的原則，包含以社群為優先的The Four Opens治理精神，即便成為Linux基金會的一部分，也將繼續推實踐此原則。</p> <p>Jonathan Bryce指出，當初OpenStack專案成立於2010年，當時業界尚無適合的開源基金會能夠支撐如此龐大且複雜的專案，因此選擇自行成立基金會。而經過了近15年的發展，Linux基金會如今已建立可容納眾多複雜開源專案的成熟治理模式，成為包括Kubernetes所屬的CNCF、安全領域的OpenSSF等子基金會的共同組織平臺。</p> <p>基於當前產業的實際需求及Linux基金會的組織治理能力，OpenInfra基金會認為此時加入Linux基金會，不僅能降低自身在行政管理、法律、資安等議題上的資源投入，也能專注於技術發展與社群推廣，進一步加強專案間協作與創新速度。</p> <p>此外，Jonathan Bryce也表示，目前全球企業與政府單位在採用開源技術時，更重視開放生態系統的發展趨勢，尤其是資料中心現代化與人工智慧運算需求的快速增加，對高效能且開放的基礎設施需求不斷增加。他認為，基金會的合併能夠在這些領域更好地協助企業與開發者面對市場上的挑戰，包括資安、法規遵循、地緣政治變動帶來的產業衝擊等，使整體開源生態系統更加穩固。</p> </div></div></div>
2025/3/13 14:57作者李建興https://www.ithome.com.tw/news/167848
【資安日報】3月13日，殭屍網路Ballista綁架6千臺尚未修補的TP-Link無線基地臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>兩年前公布的已知漏洞近期再傳新的攻擊行動！資安業者Cato Networks揭露發生在今年1月上旬的攻擊行動，駭客鎖定的標的，就是尚未修補CVE-2023-1389的TP-Link無線基地臺Archer AX21。</p> <p>這波攻擊行動駭客綁架了超過6千臺無線基地臺組成殭屍網路，範圍涵蓋美國、澳洲、中國、墨西哥，這樣的情況突顯該漏洞在TP-Link發布相關更新之後，迄今仍有不少設備尚未修補，而讓駭客有機可乘。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167842"><strong style="font-size: 22px;">殭屍網路Ballista綁架尚未修補的TP-Link設備，逾6千臺遭感染</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Ballista-Blog-image-2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Ballista-Blog-image-2.png" style="width: 300px; float: right;" /></a></p> <p>TP-Link於2023年3月修補旗下Archer AX21無線基地臺漏洞CVE-2023-1389，隔月就開始出現針對未修補用戶的相關攻擊行動，去年更出現同時有6個殭屍網路試圖綁架該型號無線基地臺的情況。事隔兩年，最近再度傳出利用此漏洞攻擊所造成的新資安事故。</p> <p>資安業者Cato Networks指出，他們在今年1月上旬發現新一波的漏洞利用活動，殭屍網路Ballista鎖定美國、澳洲、中國、墨西哥而來，針對醫療保健、服務業、科技組織發動攻擊，試圖透過有效酬載注入來利用CVE-2023-1389，從而得到初始入侵管道，得逞後下載載入惡意程式的bash指令碼並執行，將Ballista植入受害裝置，目前有超過6千臺裝置受害。</p> <p>為隱匿行蹤，此殭屍網路病毒使用82埠建立經加密處理的C2通道並進行通訊，自動嘗試利用CVE-2023-1389感染網際網路上的其他設備。一旦接收到C2的命令，該病毒能在受害設備執行Shell命令，或是進行DDoS攻擊。</p> <p><a href="https://www.ithome.com.tw/news/167839"><strong style="font-size: 22px;">針對微軟修補的Win32核心子系統零時差漏洞，傳出在2年前就遭到利用</strong></a></p> <p>本週微軟發布3月份例行更新，其中修補一項已被用於實際攻擊行動的Win32核心子系統權限提升漏洞CVE-2025-24983，通報此事資安業者ESET透露，這項漏洞被利用的情況，最早可追溯到2年前。</p> <p>究竟這項漏洞引發什麼樣的災情？ESET指出，有人從2023年3月開始，將其用於攻擊執行Windows 8.1及Server 2012R2作業系統的工作站電腦及伺服器，得逞後植入名為PipeMagic的後門程式。</p> <p>ESET也對於這項漏洞發生的原因提出說明：在Win32k驅動程式使用名為WaitForInputIdle的API的特定場景當中，會發生W32PROCESS解除引用（dereference）的次數與應有次數不一致的現象，而造成記憶體釋放後再存取使用的現象。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://cloud.google.com/blog/topics/threat-intelligence/china-nexus-espionage-targets-juniper-routers">中國駭客UNC3886對Juniper路由器設備下手，植入後門程式TinyShell變種</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/facebook-discloses-freetype-2-flaw-exploited-in-attacks/">字型程式庫FreeType存在任意程式碼執行漏洞，傳出已被用於攻擊行動</a></strong></p> <p> </p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167831"><strong style="font-size: 22px;">Moxa修補PT交換器重大漏洞</strong></a></p> <p>3月6日臺廠工控設備製造商四零四科技（Moxa）發布資安公告，指出PT系列交換器存在前臺授權邏輯洩露漏洞CVE-2024-12297，其資安風險4.0版CVSS風險評為9.2分（滿分10分），攻擊者能在未經授權的情況下遠端利用，相當危險，呼籲IT人員要儘速採取行動。我們也洽詢Moxa，想進一步了解這項弱點造成的影響，該公司表示：「目前尚未接到客戶有重大影響的反應。」</p> <p>針對這項弱點發生的原因，Moxa表示出現在PT交換器授權機制，使得攻擊者在用戶端與後臺伺服器的驗證流程之間，有機會繞過身分驗證，執行暴力破解來猜出有效帳密，或發動拼湊MD5雜湊資料的攻擊，從而在未經授權的情況下存取敏感組態資訊，或是造成服務中斷。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/nvidia-addresses-security-vulnerabilities-in-nvidia-riva-with-software-update/">人工智慧語音辨識系統Nvidia Riva存在漏洞，恐被用於提升權限、資料竄改</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/chrome-update-5-security-fixes-high-risk-flaws-addressed-asap/">Google針對Chrome 134發布更新，修補影響Mac電腦GPU的零時差漏洞</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2025-24813-flaw-in-apache-tomcat-exposes-servers-to-rce-data-leaks-update-immediately/">Apache基金會修補Tomcat可被用於遠端執行程式碼、資訊洩露的漏洞</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167836"><strong style="font-size: 22px;">資安院將聚焦8大重點業務，強化供應鏈、OT並扶植資安產業生態強化資通安全</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2025資安院媒體茶敘 (2).jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025%E8%B3%87%E5%AE%89%E9%99%A2%E5%AA%92%E9%AB%94%E8%8C%B6%E6%95%98%20(2).jpg" style="width: 300px; float: right;" /></a>今年1月甫接任資安院院長的林盈達，3月12日首次對外提出資安院的未來願景「資安院2.0計畫」，將聚焦在8大重點業務，結合AI及自動化，提升既有服務量能，還將擴大至建構資安產業生態系、提升OT營運安全、打假打詐、供應鏈安全，以強化政府機關、關鍵基礎設施及民間產業整體的資通安全韌性。</p> <p>林盈達表示，資安院2.0目的在建構全社會的資安韌性，三個願景分別為建構國家數位安全堅實防禦基礎、打造Team Taiwan資安生態系、成為國家資安治理政策智庫，建構資安即國安戰略2025基本藍圖。資安院今後將祭出兩支箭，包括既有業務的升級，以及擴展新服務。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/167834"><strong>【3月12日】微軟發布3月例行更新，其中有6項零時差漏洞已被用於實際攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167807"><strong>【3月11日】DDoS殭屍網路Eleven11bot綁架8.6萬臺網路攝影機</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167768"><strong>【3月10日】日本科技公司、電信業者、娛樂產業遭到攻擊，起因是PHP已知CGI漏洞尚未修補釀禍</strong></a></p> </div></div></div>
2025/3/13 12:12作者周峻佑https://www.ithome.com.tw/news/167845
Niantic出售包括《Pokémon GO》在內的遊戲業務，轉型開發地理空間AI模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開發知名手機遊戲《Pokémon GO》的Niantic與全球第二大手機遊戲開發商Scopely周三（3/12）宣布，Niantic將以35億美元的價格，將《Pokémon GO》、《Pikmin Bloom》、《Monster Hunter Now》及其開發相關遊戲的團隊出售給Scopely；將手機遊戲脫手的Niantic將會成立另一家Niantic Spatial公司，專注於建構空間智慧以引領地理空間AI的未來，幫助人們更好地理解及導航實體世界，新的Niantic Spatial仍將由最初創辦Niantic的John Hanke領導。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0313-Scopely%20to%20acquire%20Niantic%20games%20business.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／Scopely</span></span></p> <p>1967年出生的Hanke在2001年時任職於專門從事將地理空間資料視覺化的Keyhole，Keyhole在2004年被Google收購，Hanke即開始負責Google的地理部門，包括Google Maps、Google Earth與街景服務，幾年後，Hanke於Google內部創辦了Niantic Labs，並在Google於2015年重整成Alphabet時成為獨立的Niantic公司。</p> <p>隨後Niantic同時獲得Google、任天堂與Pokémon Company的投資，並在2016年發表了擴增實境（AR）的手機遊戲《Pokémon Go》，該遊戲結合了GPS技術，讓玩家於現實世界中探索並捕捉虛擬的寶可夢（Pokémon），在全球<a href="https://www.ithome.com.tw/news/107041" target="_blank">造成風潮</a>，上市首月的全球營收超過2億美元，9個月即替Niantic帶來10億美元的營收。</p> <p>相中《Pokémon GO》的<a href="https://www.scopely.com/en/news/scopely-to-acquire-niantic-games-business-which-includes-pokemon-go-one-of-the-most-successful-mobile-games-of-all-time" target="_blank">Scopely表示</a>，迄今《Pokémon GO》每年仍是全球十大手機遊戲，去年吸引了超過1億名玩家，且每周擁有逾2,000萬名的活躍玩家，更有許多的周邊效益，諸如Pokémon GO Fest現場活動。</p> <p>《Pokémon GO》在第一年吸引的玩家超過5億，但現在每年仍有1億的玩家數量。而Niantic在2021年的新一輪增資中，<a href="https://www.ithome.com.tw/news/147984" target="_blank">所估算的市值為90億美元</a>。</p> <p>總之，Scopely共同執行長Javier Ferreira與Walter Driver<a href="https://www.scopely.com/en/news/why-scopely-is-teaming-up-with-niantic-games" target="_blank">承諾</a>所收購的遊戲、應用程式與活動都將會維持玩家所熟悉及喜愛的體驗，並繼續由同一個開發團隊推動。</p> <p>至於<a href="https://www.linkedin.com/feed/update/urn:li:activity:7305558206666158080/" target="_blank">Hanke則說</a>，他一直想打造的是永存的遊戲，相信Scopely會令它們更加蓬勃，令他出售遊戲業務的主因則是因為AI的崛起。</p> <p>Hanke表示，人們正處於技術的劇烈變革之中，現有的地圖是為了人們閱讀及導航而建置的，但現在需要一款新的地圖，以讓包括自智慧眼鏡至人形機器人等機器能夠理解這個世界，現在與未來的Niantic正在建立能夠幫助AI超越螢幕，並進入實體世界的模型。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0313-Niantic%20Spatial%20Inc.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Niantic</span></span></p> <p><a href="https://nianticlabs.com/news/niantic-next-chapter" target="_blank">Niantic將把</a>出售遊戲業務所取得的35億美元，再加上由Niantic出資3.5億美元的現金，以總計38.5億美元的價值分紅給股東。至於拆分、將專注於開發地理空間AI模型的Niantic Spatial則會以Niantic資產負債表上的2億美元，以及來自Scopely的5,000萬美元投資作為創始資金，而Niantic的所有的原始股東也會繼續成為Niantic Spatial的股東。</p> </div></div></div>
2025/3/13 12:30作者陳曉莉https://www.ithome.com.tw/news/167847
針對微軟修補的Win32核心子系統零時差漏洞，傳出在2年前就遭到利用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週微軟<a href="https://www.ithome.com.tw/news/167819">發布3月份例行更新</a>，其中修補一項已被用於實際攻擊行動的Win32核心子系統權限提升漏洞CVE-2025-24983，<a href="https://x.com/ESETresearch/status/1899508656258875756">通報此事資安業者ESET透露</a>，這項漏洞被利用的情況，最早可追溯到2年前。</p> <p>針對這項漏洞，微軟在公告中提及是記憶體釋放後再存取使用（Use After Free，UAF）型態的弱點，一旦成功，攻擊者就有機會得到SYSTEM權限，CVSS風險為7.0。但這項漏洞利用存在必要條件，攻擊者必須贏得競爭條件（Race condition）。</p> <p>究竟這項漏洞引發什麼樣的災情？ESET指出，有人從2023年3月開始（也就是兩年前），<a href="https://x.com/ESETresearch/status/1899508658712547826">將其用於攻擊執行Windows 8.1及Server 2012R2作業系統的工作站電腦及伺服器</a>，得逞後植入名為PipeMagic的後門程式。</p> <p>ESET也對於<a href="https://x.com/ESETresearch/status/1899508660516049325">這項漏洞發生的原因提出說明</a>：在Win32k驅動程式使用名為WaitForInputIdle的API的特定場景當中，會發生W32PROCESS解除引用（dereference）的次數與應有次數不一致的現象，而造成記憶體釋放後再存取使用的現象。</p> </div></div></div>
2025/3/13 10:56作者周峻佑https://www.ithome.com.tw/news/167839
殭屍網路Ballista綁架尚未修補的TP-Link設備，逾6千臺遭感染
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>TP-Link於2023年3月<a href="https://www.ithome.com.tw/news/156573">修補旗下Archer AX21無線基地臺漏洞CVE-2023-1389</a>，<a href="https://www.ithome.com.tw/news/157458">隔月就開始出現針對未修補用戶的相關攻擊行動</a>，去年更出現同時<a href="https://www.ithome.com.tw/news/162385">有6個殭屍網路試圖綁架該型號無線基地臺</a>的情況。事隔兩年，最近再度傳出利用此漏洞攻擊所造成的新資安事故。</p> <p>資安業者Cato Networks指出，<a href="https://www.catonetworks.com/blog/cato-ctrl-ballista-new-iot-botnet-targeting-thousands-of-tp-link-archer-routers/">他們在今年1月上旬發現新一波的漏洞利用活動</a>，殭屍網路Ballista鎖定美國、澳洲、中國、墨西哥而來，針對醫療保健、服務業、科技組織發動攻擊，試圖透過有效酬載注入來利用CVE-2023-1389，從而得到初始入侵管道，得逞後下載載入惡意程式的bash指令碼並執行，將Ballista植入受害裝置，目前有超過6千臺裝置受害。</p> <p>為隱匿行蹤，此殭屍網路病毒使用82埠建立經加密處理的C2通道並進行通訊，自動嘗試利用CVE-2023-1389感染網際網路上的其他設備。一旦接收到C2的命令，該病毒能在受害設備執行Shell命令，或是進行DDoS攻擊。</p> <p>值得留意的是，在調查的過程裡，攻擊者疑似察覺了研究人員的活動，而將殭屍網路搬遷到Tor網域，來增加追查的難度。</p> <p>而對於攻擊者的身分，Cato Networks根據IP位址及惡意軟體支援義大利語字串的特徵，研判攻擊者來自義大利。</p> </div></div></div>
2025/3/13 11:54作者周峻佑https://www.ithome.com.tw/news/167842
強化資料自主權與品質，Android Health平臺新增背景讀取、歷史記錄存取等功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google針對旗下Android健康資料平臺Health Connect<a href="https://android-developers.googleblog.com/2025/03/health-connect-jetpack-sdk-now-in-beta.html">推出</a>了多項功能更新，其中包括背景讀取權限、歷史記錄存取，以及正式將Jetpack SDK推進Beta階段。這些功能的推出，除了提升資料的準確性與可用性，也更明確地將資料的控制權交回使用者手中。</p> <p>Health Connect平臺的核心概念在於提供一個統一的儲存點，讓使用者可以集中管理來自不同健康和健身應用的資料，避免資訊孤島的問題。此次更新的重要變更，是強制要求開發者在寫入資料時指定記錄方法，例如手動輸入、自動偵測等，以確保資料來源的清晰可追溯性。過去應用程式可以自由選擇是否提供這些後設資料，但現在這項規範將有助於提升資料分析的準確性與可靠性。</p> <p>另一方面，Health Connect也新增了背景讀取權限，允許獲得使用者明確授權的應用程式，即使在背景執行時也能讀取健康資訊。這項權限的管理仍由使用者主導，使用者可以隨時在系統的Health Connect設定中檢視、修改或撤回這項授權。</p> <p>此外，Health Connect放寬了過去僅能存取最近30天資料的限制，新增了歷史健康資料讀取權限。在使用者明確同意之下，應用程式將可讀取超過30天範圍的歷史健康紀錄，有助於提供更完整且連續性的健康分析報告。與背景讀取權限一樣，使用者隨時都能在設定內掌控並管理此授權狀態。</p> <p>在資料類型的擴充方面，Health Connect也新增如運動路徑及皮膚溫度等資料類別，前者可將用戶的運動路徑資料同步至其他指定應用程式，以利於跨應用程式的整合分析；皮膚溫度則提供生理健康指標，像是睡眠品質、健康監測或其他相關資料的深度分析。此外，針對運動訓練需求，也新增了計畫運動資料類型，使訓練類應用程式可撰寫並讀取詳盡的訓練計畫與結果，提供更精細的使用者訓練進度回饋。</p> <p>Health Connect目前已在Android 14及更高版本的裝置上預設安裝，舊版本Android裝置則可從Google Play商店下載。</p> </div></div></div>
2025/3/13 12:14作者李建興https://www.ithome.com.tw/news/167841
OpenAI訓練會寫虛構故事的AI模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在公布<a href="https://www.ithome.com.tw/news/167613" target="_blank">GPT-4.5</a>不久後，OpenAI正在開發一個能撰寫虛構故事的AI模型。</p> <p>OpenAI執行長Sam Altman<a href="https://x.com/sama/status/1899535387435086115" target="_blank">透過X說明</a>，這是一個擅長創意寫作的模型，他貼出該模型撰寫的範例，他只是在提示列寫下：「請寫一個後設虛擬風格，關於AI和悲傷的短篇故事」，該模型就產出了一段<a href="https://www.theguardian.com/books/2025/mar/12/a-machine-shaped-hand-read-a-story-from-openais-new-creative-writing-model" target="_blank">故事</a>。Altman說這是他第一次被AI撰寫的內容驚豔，因為它充份掌握後設虛構（meta fictional）的精髓。</p> <p>OpenAI並不是第一個訓練AI講故事的公司。微軟<a href="https://www.ithome.com.tw/news/128291" target="_blank">曾介紹</a>過能看照片說故事的模型。Google DeepMind<a href="https://www.ithome.com.tw/news/154678" target="_blank">研發</a>能和人類共寫電影、劇場腳本的模型。</p> <p>事實上，發展能寫故事的AI挑戰不在於其能力，而是法律及倫理爭議。一如能生成圖片的模型，能撰寫創意故事的模型將引發質疑。首先，這個模型是否是利用大量現有人類創作文本訓練而成，其次，AI創作出的文本，可能也包含其他作者的原創，可能讓使用該文本的組織蒙受連帶責任。OpenAI已經遭到<a href="https://www.ithome.com.tw/news/160589" target="_blank">紐約時報</a>和出版商、作者控告侵害其原創版權。</p> <p>Altman也表示，模型推出的方式或時程都還不確定。而基於OpenAI最新整合產品線的原則，這模型能力或許也可能整合到下一旗艦模型GPT-5之中。</p> </div></div></div>
2025/3/13 11:10作者林妍溱https://www.ithome.com.tw/news/167840
Google將禁Chrome擴充功能未經同意插入聯盟行銷連結
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://developer.chrome.com/docs/webstore/program-policies/affiliate-ads">Google更新Chrome Web Store擴充功能的聯盟行銷政策</a>，<a href="https://developer.chrome.com/blog/cws-policy-update-affiliate-ads-2025" target="_blank">從2025年6月10日起全面禁止擴充功能</a>，未經用戶同意插入聯盟連結、推廣碼或Cookie。根據官方說明，此次政策更新明確要求，所有涉及聯盟行銷的Chrome擴充功能，必須讓用戶在安裝前、介面中，以及Chrome Web Store的擴充功能頁面清楚了解其聯盟行銷行為，並且只能在對用戶提供直接利益，例如折扣、回饋或即時優惠，才可透過擴充功能引導聯盟連結。</p> <p>根據Chrome Web Store政策中心的說明，之後Chrome擴充功能如果未提供用戶實質利益，直接在電商網站自動加入或取代原有聯盟連結，將被視為違反政策並可能遭下架。此外，任何形式的自動背景操作，包含未告知用戶就於購物網站植入聯盟Cookie、修改網址中的聯盟代碼，或替換原本其他合作夥伴的推廣碼都不被允許。</p> <p>值得注意的是，這項政策不僅適用於專門進行聯盟行銷的擴充功能，也涵蓋所有額外內建聯盟行銷機制的擴充功能，例如部分具備購物比價或自動套用折扣碼功能的擴充元件，在未找到有效折扣碼時，仍強制插入聯盟連結將被視為違規。Google強調，只有在使用者透過擴充功能獲得實際利益，如成功套用優惠碼，才能加入聯盟連結，且整個過程必須有使用者的主動參與，例如點擊或明確同意，嚴禁透過背景自動執行的方式獲利。</p> <p>此次政策調整背景與近期部分擴充功能，未揭露聯盟行銷合作關係的爭議有關。以之前知名的Honey擴充功能為例，該擴充功能曾因在使用者不知情的情況下，自動插入聯盟連結並獲取佣金，引發業界及監管機關對透明度與用戶隱私的質疑。雖然Honey後續針對揭露機制進行強化，但此類隱藏式聯盟行銷問題，已是Chrome擴充功能生態系長期存在的灰色地帶，Google此次修訂政策則是回應使用者對該議題的關注。</p> <p>Google於開發者政策中心提供詳細規範內容與範例，包括常見違規情境說明，例如自動替換其他聯盟推廣碼、無用戶互動即植入Cookie等。開發者需評估所有潛在聯盟機制，確保擴充功能的聯盟行銷行為均在用戶知情、同意與獲益的條件下執行，否則可能遭Google下架。</p> </div></div></div>
2025/3/13 08:23作者李建興https://www.ithome.com.tw/news/167829
英特爾任命陳立武為新任執行長
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>正經歷風雨飄搖的晶片業者英特爾周三<a href="https://newsroom.intel.com/corporate/intel-appoints-lip-bu-tan-chief-executive-officer" target="_blank">宣布</a>任命曾經擔任英特爾董事的半導體業老將陳立武（Lip-Bu Tan）為新任執行長，擔起重建英特爾的重任。</p> <p>陳立武將在3月18日正式履新，並重新加入英特爾董事會。在陳立武的任命後，擔任臨時共同執行長的執行副總裁暨財務長David Zinsner和Intel Products事業群執行長Michelle Johnston Holthaus，將回到原有角色。而擔任臨時董事長的Frank Yeary則將回歸獨立董事會主席的位置。</p> <p>Yeary表示和陳立武有過密切共事經驗，很高興在英特爾加速重建期間有其加入，掌握成長機會。陳立武則表示，英特爾有強大而傑出的運算平臺、龐大的客戶群及紮實且日益茁壯的製造資源，很高興加入英特爾，並在英特爾現有基礎上建立迎向未來的業務。</p> <p>陳立武擁有半導體及軟體業界20多年資歷。他曾擔任EDA軟體業者益華電腦（Cadence Design Systems）的執行總裁暨執行長，英特爾指出，在2009年到2021年陳立武領導期間，推動益華電腦營收成長翻倍，營業利潤擴增，股價更成長了超過32倍。陳立武於2022年9月加入英特爾董事會，但<a href="https://www.reuters.com/technology/intel-director-lip-bu-tan-is-leaving-chipmakers-board-bloomberg-news-reports-2024-08-22/" target="_blank">去年8月</a>從英特爾董事會離職，為當時業界及英特爾營運投下震撼彈。陳立武目前也擔任高速網路連接器業者Credo Technology Group及施耐德電機（Schneider Electric）的董事。</p> <p>陳立武擁有新加坡南洋理工大學物理學士學位、麻省理工學院核子工程碩士及舊金山大學企業碩士學位，曾獲得半導體業最高榮譽Robert N. Noyce獎。</p> <p>這是英特爾經歷嚴重虧損、執行長Pat Gelsinger<a href="https://www.ithome.com.tw/news/166300" target="_blank">去職</a>等存亡絕續危機後，該公司東山再起的最新行動。而同時間，外傳美國總統川普想方設法要求台積電救援英特爾，除了之前傳出收購或入股英特爾外，本周路透社<a href="https://www.reuters.com/technology/tsmc-pitched-intel-foundry-jv-nvidia-amd-broadcom-sources-say-2025-03-12/" target="_blank">報導</a>，台積電曾接洽輝達、AMD、博通成立合資公司以營運英特爾的晶圓廠。</p> </div></div></div>
2025/3/13 09:13作者林妍溱https://www.ithome.com.tw/news/167838
林盈達：資安院將聚焦8大重點業務，強化供應鏈、OT並扶植資安產業生態強化資通安全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年1月甫接任資安院院長的林盈達，今天(3/12)首次對外提出資安院2.0計畫及願景，未來資安院將聚焦在8大重點業務，結合AI及自動化，提升既有服務量能，還將擴大至建構資安產業生態系、提升OT營運安全、打假打詐、供應鏈安全，以強化政府機關、關鍵基礎設施及民間產業整體的資通安全韌性。</p> <p>林盈達原為陽明交通大學資工系教授，今年1月甫接任資通安全研究院院長職務，今天首次帶領資安院團隊，包括許建榮、龔化中兩位副院長，以及資安院底下檢測防禦中心、通報應變中心、威脅分析中心、前瞻研究籌獲中心、國際合作及資安治理中心、人才培力中心6個中心管理團隊，並提出資安院2.0計畫及願景，揭示今後資安院的業務工作重心及目標。</p> <p>林盈達表示，資安院2.0目的在建構全社會的資安韌性，三個願景分別為建構國家數位安全堅實防禦基礎、打造team Taiwan資安生態系、成為國家資安治理政策智庫，建構資安即國安戰略2025基本藍圖。資安院今後將祭出兩支箭，包括既有業務的升級，以及擴展新服務。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202025-03-12%20%E4%B8%8B%E5%8D%888_20_52.jpeg" style="width: 600px; height: 317px;" /></p> <p><span style="color:#B22222;"><strong>用AI及自動化提升既有業務服務能量</strong></span></p> <p>未來將聚焦在8大業務工作，首先針對既有的業務聚焦4個重點業務工作，針對政府機關的資通安全，聚焦在「外網曝險分析(EASM)」及「運用LLM工具」，針對核心業務，「建立戰情牆」以強化資安治理，並且建立「目擊情資AI關聯」。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202025-03-12%20%E4%B8%8B%E5%8D%888_14_25.jpeg" style="width: 600px; height: 292px;" /></p> <p>林盈達目的，上述4個重點業務的效果，是希望透過AI及自動化，將目前人工執行或半自動化的工作，予以AI化，自動化，以提升既有資安服務量能，例如EASM分析，將服務量能提升100倍，從每年約數十件提高至數千件，意謂著可對機關的曝險分析，從幾年一次可以提高為一年多次。</p> <p>資安院希望建立自動化的機關評鑑機制，針對A級、B級機關(含關鍵基礎設施業者)，先導入外網、暗網曝險分析，再導入內網檢測分析，希望及早找到公務機關潛在風險予以因應。外網暗網曝險分析不只是A、B級公務機關，還會涵蓋C、D級機關，以及機關的外部供應廠商，還有上市公司、中小企業，目的為提升大家的資安韌性。</p> <p>資安院目前針對機關提供的資料，由人工檢視資料製作報表，但人力處理不僅費時費力，且每個人檢視解讀的標準可能不同，因此未來希望透過LLM工具，突破人力處理的限制，將取得機關的資安資料交由LLM生成報表。</p> <p>結合資安院自有資料如GSN網路取得的資料進行綜合分析，目前為人工處理分析關聯，未來希望利用目擊情資AI關聯，從人工改為自動化處理，林盈達指出，目前已從資安院60多項業務工作中，選出16項仰賴人工處理且繁重的工作，從去年開始，今年到明年陸續完成AI技術開發，未來這些工作將交由AI完成，讓情資蒐集分析及自動化完成關聯分析。</p> <p>最後是透過戰情牆，結合曝險、法遵、關聯分析等各種資訊，強化資安治理應用。</p> <p><span style="color:#B22222;"><strong>新業務聚焦訊息分析打假打詐、建立資安生態系及強化OT、供應鏈安全</strong></span></p> <p>至於擴充的新業務，聚焦於4個重點業務，「數位訊息分析」、「Team Taiwan資安生態系」、「產品/供應鏈安全」、「OTEX服務」。</p> <p>林盈達簡單說明擴展新業務的4個重點，「數位訊息分析」方面，過去資安院偏重於政府機關及核心業務，主要為打駭(打擊駭客)的工作，數位訊息的分析，從純網路擴大到社群平臺的訊息生態，為打假打詐工作。</p> <p span=""> </p><p>至於「OTEX服務」，過去服務以IT系統為主，未來將會擴大至OT安全層面，例如關鍵基礎設施的OT安全；而「產品/供應鏈安全」則是從過去以政府機關為檢測標的，擴大到機關使用的產品/供應鏈安全，資安院計畫在今年下半年舉行Bug Bounty，資安院與學校合作，在學校建立實驗室，邀請資通安全相關業者(政府供契)將他們的產品在實驗室，或是開放資安研究社群線上檢測，由業者提供獎金鼓勵找出產品的漏洞，再予以強化產品的安全。</p> <p>而「Team Taiwan生態系」，林盈達指出，以往資安院扮演乙方角色服務甲方(政府)，未來為扶植資安產業，資安院將扮演丙方角色，由資安產業擔任乙方，在資安院丙方的角色輔導下服務甲方，除了增加服務能量，也能扶置國內資安產業。</p> <p>由於政府今年部分預算遭到刪減，數發部預算也被刪減約4成，資安署及資安院預算也遭到不小的刪減，合計預算約為8、9億元，林盈達認為，資安投資的合理預算應為數十億元，但是被刪減後不到十億元，似乎後面少一個0元，為擴展新的資安工作，資安院與資安署只能合作，僅能將既有業務的KPI降低，將節省的預算投入新的工作。</p> </div></div></div>
2025/3/12 20:03作者蘇文彬https://www.ithome.com.tw/news/167836
Moxa修補PT交換器重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>3月6日臺廠工控設備製造商四零四科技（Moxa）<a href="https://www.moxa.com/en/support/product-support/security-advisory/mpsa-241408-cve-2024-12297-frontend-authorization-logic-disclosure-vulnerability-identified-in-pt-switches">發布資安公告</a>，指出PT系列交換器存在前臺授權邏輯洩露漏洞CVE-2024-12297，其資安風險4.0版CVSS風險評為9.2分（滿分10分），攻擊者能在未經授權的情況下遠端利用，相當危險，呼籲IT人員要儘速採取行動。我們也洽詢Moxa，想進一步了解這項弱點造成的影響，該公司表示：「目前尚未接到客戶有重大影響的反應。」</p> <p>針對這項弱點發生的原因，Moxa表示出現在PT交換器授權機制，使得攻擊者在用戶端與後臺伺服器的驗證流程之間，有機會繞過身分驗證，執行暴力破解來猜出有效帳密，或發動拼湊MD5雜湊資料的攻擊，從而在未經授權的情況下存取敏感組態資訊，或是造成服務中斷。</p> </div></div></div>
2025/3/12 17:08作者周峻佑https://www.ithome.com.tw/news/167831
衛福部正式啟動臺灣醫療資訊標準大平臺，力推3大國際標準、為未來10年打基礎
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>衛福部資訊處今日（3/12）正式啟動臺灣醫療資訊標準大平臺，力推醫界採用國際醫療資料交換標準FHIR、臨床品質語言CQL、醫療應用程式標準SMART，來實現資料統一、規則統一和應用程式統一的三大目標。</p> <p>也就是說，醫院電子病歷採用FHIR，可解決病人轉診時，不同醫院間交換醫療資料不便的痛點。而導入CQL，則能由政府統一健保申報規則程式，一旦規則更動，各家醫院不必再自行修改程式、從政府網站下載即可，而且，導入CQL也有助於醫院評鑑的標準化。至於SMART on FHIR就像是醫療應用程式的App商店，以公認標準讓開發者打造各種智慧應用或AI程式，來發揮醫療資料價值。</p> <p><span style="font-size:22px;"><strong>臺灣電子病歷面臨的3大難題</strong></span></p> <p>主推這項政策的衛福部資訊處處長李建璋指出，這個臺灣醫療資訊標準大平臺，是要靠統一標準，來結合醫療與IT。</p> <p>他舉例，在沒有網路的世界，資料交換得靠燒錄光碟、影印資料、打電話溝通，但這卻是目前臺灣電子病歷的現況。雖然有網路，但各家醫院的電子病歷系統並不相容，資料交換還是得仰賴傳統方法。</p> <p>這也衍生出臺灣電子病歷面臨的3大痛點。首先是資料標準不統一，即便大至醫學中心、小至診所幾乎已無紙化，但各自開發的電子病歷系統標準不一，因此病人跨院轉診時，其資料交換還是有障礙，得仰賴傳統方法彌補。</p> <p>再來是規則標準不統一，李建璋說明，健保申報規則得與時俱進、時常修改，尤其出現新適應症時，醫院IT就得跟著快速修改程式，基層院所更得花一筆費用，請委外廠商臨時修改健保申報程式，才能重新申報。於是，李建璋認為，若由政府統一健保申報規則，建置一套國家規則圖書館（Rule Library），就可統一修改、更新健保申報規則，再開放醫療院所下載即可。</p> <p>還有一個痛點是應用程式不統一，這是因為，醫療院所各自發展電子病歷系統，導致要導入智慧醫療應用程式時，得仰賴人工客製化改寫再導入，無法真正擴散使用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%95%8F%E9%A1%8C(1).JPG" /></p> <p><span style="font-size:22px;"><strong>衛福部祭出3大方法，要解決現行電子病歷痛點</strong></span></p> <p>針對資料標準不統一的痛點，李建璋比喻，促成網際網路大爆發的是HTML、HTTP等網路標準，而FHIR就是醫療資訊界的HTML。有了FHIR這個共通語言，電子病歷的資料互通門檻就大幅降低，跨院所資料交換也更容易，甚至電子病歷資料能透過FHIR，經患者許可連接到Apple Health等智慧醫療應用程式，來進行個人健康管理應用。這是衛福部推動醫界導入FHIR的原因。</p> <p>不過，由於各地文化不同，有許多特殊醫療形態，比如臺灣有中醫、國產藥物，因此得制定自己的國家FHIR實作指引（簡稱IG），也就是一套操作說明，來說明如何使用FHIR規範。目前，在FHIR官方登記實作指引的國家有23個，臺灣也名列其中，目前已登記4個IG，包括臺灣核心實作指引（TW Core IG）。這個IG包含20大類、109個日常的醫療看診、照護項目，衛福部鼓勵民間在這基礎上擴展，比如發展出收集流感資料的IG、癌篩IG、長照IG、保險理賠IG等。</p> <p>對於規則不統一的痛點，衛福部則推廣醫界導入CQL。李建璋說明，CQL是一套醫療用的國際標準程式語言，包含了醫療概念和文法，其設計非常直覺、很好上手。衛福部計畫用CQL編寫健保申報、評鑑規則，並將這些規則置於國家規則圖書館（類似代碼庫），未來供醫界取用。</p> <p>最後，對於應用程式標準不統一的問題，衛福部要推SMART，也就是以FHIR為基礎，發展而成的應用程式標準，就像iOS、Android一樣，如此就能快速擴展智慧醫療應用程式的使用。</p> <p>於是今日，衛福部正式<a href="https://medstandard.mohw.gov.tw/">啟動臺灣醫療資訊標準大平臺</a>，設置了專屬網站，集結FHIR、CQL和SMART相關工具資源和臺灣進展，供產官學界使用。</p> <p>「我們要後發先制，把資料統一、規則統一和應用統一的技術準備好，」李建璋點出這項政策的用意，就是要打造世界級的臺灣智慧醫療基礎建設、形塑生態系，以利於未來10年、20年智慧醫療發展。</p> <p><span style="font-size:22px;"><strong>次世代數位醫療辦公室揭三大目標進展</strong></span></p> <p>今日，衛福部旗下次世代數位醫療平臺辦公室團隊，也說明了臺灣醫療資訊標準大平臺上的FHIR、CQL和SMART資源與進展。</p> <p>就FHIR來說，在臺灣醫療資訊標準大平臺正式啟動前，衛福部資訊處和民間專家已有不少努力，在推動FHIR聯測和FHIR IG制定（如下圖）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202025-03-12%20171953.png" /></p> <p>而這次，次世代數位醫療平臺辦公室特別介紹了IG管理／共創平臺審核機制，鼓勵民間提案FHIR IG。團隊解釋，審核流程與先前差異不大，主要多了TW CDI（臺灣核心互通資料群）和TW CDI+資料元素提案，也就是說，民間提案的資料元素若不在原本的20大類、109項中，就會按照下圖虛線流程審核。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202025-03-12%20172004.png" /></p> <p>這個審查包含基本審查和進階審查2種模式，其中，團隊希望藉基本審查方式，來加速民間IG提案。</p> <p>此外，團隊也介紹TW CDI和TW CDI+的提案審核流程（如下圖）。因為，光有FHIR還不夠，FHIR像是框架定義，而框架中的資料內容，還得由TW CDI來定義，來表示最小的資料交換值。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202025-03-12%20172014.png" /></p> <p>再來，針對規則圖書館，次世代數位醫療平臺辦公室說明，CQL結構簡單，包含3大部分：Valueset設定、邏輯設定和決策設定，可用於健保給付和品質評估（評鑑）兩大應用場景。</p> <p>也就是說，CQL可讀取FHIR欄位內容，截取這些內容並進行量化運算。這正是衛福部推動CQL的用意，希望導入CQL來自動化收集和提交資料，減少醫院手動作業，同時兼顧健保給付規則更新和品質評估。次世代數位醫療平臺辦公室也在去年，試做了50項健保申報相關的CQL規則。</p> <p>至於SMART on FHIR，團隊已在<a href="https://medstandard.mohw.gov.tw/smart/about">臺灣醫療資訊標準大平臺上公布實作步驟</a>，供醫資人員參考。</p> <p></p> </div></div></div>
2025/3/12 17:31作者王若樸https://www.ithome.com.tw/news/167833
【資安日報】3月12日，微軟發布3月例行更新，其中有6項零時差漏洞已被用於實際攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>週二微軟發布例行更新（Patch Tuesday），總共修補57個漏洞，數量相較於<a href="https://www.ithome.com.tw/news/167325">2月份</a>的63個略為減少，然而用戶不能掉以輕心，因為這次有6個漏洞已被用於實際的攻擊行動。</p> <p>對於這些漏洞遭到利用的情況，目前公布的資訊並不多，僅有漏洞懸賞專案Zero Day Initiative（ZDI）透露駭客組織EncryptHub利用CVE-2025-26633的情況。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167792"><strong style="font-size: 22px;">勒索軟體Medusa攻擊持續升溫，今年1、2月已有超過40家企業組織受害</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Medusa-Fig_1.png.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Medusa-Fig_1.png.png" style="width: 300px; float: right;" /></a></p> <p>勒索軟體Medusa從2023年1月開始活動，資安業者賽門鐵克最近警告該團體這兩年帶來的威脅不斷擴大，今年1、2月的攻擊頻率更出現翻倍成長。</p> <p>截至目前為止，Medusa聲稱已攻擊近400家企業組織，2024年比2023年增加42%，賽門鐵克的研究人員也發現駭客攻擊步調並未趨緩，以今年的頭兩個月而言，每月都有超過20家企業受害，攻擊事件數量較2024年同期近乎翻倍成長。</p> <p>為何Medusa攻擊不減反增？研究人員推測，可能與惡意昭彰的LockBit、BlackCat等勒索軟體遭到執法行動掃蕩有關，使得原本網路罪犯採用其他的勒索軟體，而其中一個就是Medusa。</p> <p><a href="https://www.ithome.com.tw/news/167821"><strong style="font-size: 22px;">北韓駭客組織Lazarus仿冒6個知名NPM套件，發動軟體供應鏈攻擊</strong></a></p> <p>北韓駭客組織Lazarus再度以仿冒知名NPM套件的方式，對全球軟體開發供應鏈展開攻擊。根據Socket資安研究團隊最新揭露的報告，Lazarus此次發布了6個惡意NPM套件，試圖透過名稱相似性誘導開發人員下載。這些套件被植入名為BeaverTail的惡意程式，會進一步下載InvisibleFerret後門，企圖竊取受害者帳號密碼、加密貨幣私鑰，甚至安裝持續性後門程式。</p> <p>Socket團隊指出，這些惡意套件包括is-buffer-validator、yoojae-validator、event-handle-package、array-empty-validator、react-event-dependency及auth-validator。這些套件名稱與熱門的NPM套件高度相似，例如：is-buffer-validator仿冒了下載量每周高達3,300萬次的熱門套件is-buffer。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/03/blind-eagle-hacks-colombian.html">哥倫比亞司法機構遭到鎖定，駭客組織Blind Eagle發動大規模攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/03/sidewinder-apt-targets-maritime-nuclear.html">印度駭客SideWinder鎖定海運及核能產業而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/03/ballista-botnet-exploits-unpatched-tp.html">殭屍網路Ballista綁架尚未修補的TP-Link設備，逾6千臺遭感染</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167819"><strong style="font-size: 22px;">微軟發布3月份例行更新，修補7個零時差漏洞、其中6個已出現攻擊行動</strong></a></p> <p>3月11日微軟發布本月份例行更新（Patch Tuesday），總共修補57個漏洞，其中有7個零時差漏洞，數量僅次於1月的8個，但值得留意的是，這次揭露的零時差漏洞，大多已被用於實際攻擊。</p> <p>這些慘遭濫用的漏洞，包含：Win32核心子系統權限提升漏洞CVE-2025-24983、NTFS資訊洩漏漏洞CVE-2025-24984、Fast FAT檔案系統驅動程式遠端程式碼執行漏洞CVE-2025-24985、NTFS資訊洩露漏洞CVE-2025-24991、NTFS遠端程式碼執行漏洞CVE-2025-24993、微軟管理主控臺（MMC）安全功能繞過漏洞CVE-2025-26633，CVSS風險為4.6至7.8。</p> <p>除了上述已有實際攻擊行動的漏洞，還有一個在微軟修補之前就被公開的零時差漏洞CVE-2025-26630也值得留意，因為這代表駭客很有可能已經在研究如何利用，此為Access遠端程式碼執行漏洞，資安風險評為7.8分。</p> <p><a href="https://www.ithome.com.tw/news/167823"><strong style="font-size: 22px;">蘋果修補WebKit零時差漏洞，此弱點疑似已被用於攻擊舊版iOS手機</strong></a></p> <p>3月11日蘋果發布iOS 18.3.2、iPadOS 18.3.2、macOS Sequoia 15.3.2、visionOS 2.3.2作業系統更新，以及對於macOS Ventura、Sonoma用戶推出Safari 18.3.1，目的是修補一項疑似遭到利用的WebKit漏洞CVE-2025-24201，而這是蘋果今年修復的第3個零時差漏洞。</p> <p>這項漏洞涉及越界寫入（OBW），起因為檢查流程出現瑕疵，導致有可能用於執行未經授權的行為。攻擊者利用特製的網頁內容，就有機會突破網頁內容沙箱保護的功能。</p> <p>值得留意的是，蘋果提及他們接獲通報，得知該漏洞疑似被用於極為複雜的攻擊行動，駭客鎖定特定人士下手，而這些人士持有的裝置，都是執行iOS版本比17.2舊的手機。</p> <p><a href="https://www.ithome.com.tw/news/167830"><strong style="font-size: 22px;">三菱電機SCADA系統ICONICS系列存在高風險漏洞，恐被用於提升權限、操縱檔案、挾持DLL元件</strong></a></p> <p>去年三菱電機針對ICONICS Suite旗下的SCADA系統GENESIS64與MC Works64發布資安公告，提出緩解措施並完成部分漏洞修補，這些問題的通報來自資安業者Palo Alto Networks，他們去年初進行調查，結果在10.97.2版找到5項高風險漏洞，今年3月揭露更多細部資訊。</p> <p>當中有3項漏洞涉及不受控制的搜尋路徑元件，包括：CVE-2024-1182、CVE-2024-8299、CVE-2024-9852，其餘兩項漏洞CVE-2024-7587、CVE-2024-8300，則為不正確的預設權限漏洞與無作用程式碼（Dead Code）漏洞，CVSS危險程度評為7.0至7.8分。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/sap-patches-high-severity-vulnerabilities-in-commerce-netweaver/">SAP修補Commerce、NetWeaver高風險漏洞</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/patch-tuesday-critical-code-execution-bugs-in-acrobat-and-reader/">Adobe修補Acrobat、InDesign、Illustrator任意程式碼執行漏洞</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/167807"><strong>【3月11日】DDoS殭屍網路Eleven11bot綁架8.6萬臺網路攝影機</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167768"><strong>【3月10日】日本科技公司、電信業者、娛樂產業遭到攻擊，起因是PHP已知CGI漏洞尚未修補釀禍</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167737"><strong>【3月7日】勒索軟體駭客Akira透過缺乏防護的網路攝影機散布惡意程式，加密網路環境的檔案</strong></a></p> </div></div></div>
2025/3/12 17:34作者周峻佑https://www.ithome.com.tw/news/167834
用GenAI強化營運、行銷與顧客體驗，樂天集團AI戰略帶來一年105億日圓利潤，明年更要創造雙倍效益
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>生成式AI浪潮在2023年底席捲全球後，樂天集團（Rakuten Group）隨即於2024年初發表AI戰略「Triple 20」，要用AI與生成式AI，針對行銷、營運及顧客體驗三大面向發展，達到20%效益提升。一年過後，樂天執行長三木谷浩史於日前法說會表示，執行這個戰略，為他們帶來高達105億日圓的利潤。他們更為2025年設下目標，以前一年發展的技術和應用為基礎，繼續在這三大面向發展生成式AI，創造200億日圓利潤。</p> <p>樂天AI與數據長蔡廷說明，他們2024年執行Triple 20戰略的做法，可分為三大類應用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/timeline(1).jpg" style="width: 600px;" /></p> <p>第一類是強化集團內不同服務底層技術的應用，主要是用LLM語意理解能力來推測顧客意圖，與產品和服務結合，來強化推薦和搜尋功能。2024年，他們於7個集團服務推出語意推薦（Semantic recommendation）功能，並在11個服務推出語意搜尋（Semantic search）功能。</p> <p>第二類應用主要給企業內部或樂天市集商家用，包括客服類應用、數據分析工具，以及樂天3萬名員工使用的工作助手。這個工作助手可以用於日常文書處理，也有專門給業務部門、行銷部門及資訊部門用的相關功能。蔡廷以業務團隊應用情況為例說明成果，平均每人用來製作業務相關素材的時間一個月從近5小時，減半到2小時半；用來撰寫業務相關Email的時間從一天近2小時，降低到1小時以下。目前，集團內部有超過8,000名員工，會每天都使用此助手來協助工作。</p> <p>第三類應用是面向大眾消費者的應用，在2024後半年密集推出，包括AI聊天室內容摘要、電信服務客服，以及AI高爾夫球表現分析功能等創新應用。目前，他們還在測試一個橫跨全集團服務與商品的AI助理和客服功能，顧客可以用語音、文字、圖片等不同模態和AI溝通，來獲得建議和諮詢服務。</p> <p>這些應用背後的技術基礎是，樂天內部打造的3款日語語言模型，分別是2024上半年推出的Rakuten AI 7B通用型日文LLM，以及年底推出的Rakuten AI 2.0 8x7B混合專家模型（Mixture-of-experts LLM）和Rakuten AI 2.0 Mini 1.5B小語言模型。其中，8x7B混合專家模型較7B模型使用30倍多的數據，是樂天旗下的旗艦模型，Mini 1.5B小語言模型則是設計來部署於邊緣裝置的小模型，運行成本較低。</p> <p>蔡廷還揭露了樂天內部的AI創新平臺，這是一個AI開發及應用平台，提供分析、實驗、模型訓練、AI治理、模型與服務串接等功能。他說，2025年，樂天將以此平臺來支援自家生成式AI發展，延續前一年戰略方向。上個月，樂天也把他們內部用的生成式AI工作助手商品化，推出Rakuten AI for Business，一個日文的企業用生成式助手。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/rktpf.jpg" style="width: 600px;" /></p> <p>三木谷浩史更揭露樂天集團AI與整體IT發展的長期計畫。他說，樂天集團在國際上有許多不同領域的業務，例如電信服務、即時通訊、電子書、電子商務與影音串流等。目前，樂天只有用自家會員制度初步串聯起這些服務。他希望，可以用生成式AI與AI來進一步提供橫跨所有服務的高品質會員及用戶體驗，來進一步發揮集團綜效。</p> <p>尤其，Rakuten Symphony子公司提供的電信與雲端基礎設施服務，服務模式與其他科技巨頭和雲端業者有所區別，他期望以Symphony作為服務平臺，提供樂天的軟硬體、通訊、AI等IT相關業務，在不與其他CSP硬碰硬競爭的情況下，發展跨國軟硬體IT事業。</p> <p></p> </div></div></div>
2025/3/12 18:07作者郭又華https://www.ithome.com.tw/news/167835
ICONICS、三菱電機SCADA系統存在高風險漏洞，恐被用於提升權限、操縱檔案、挾持DLL元件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年三菱電機針對ICONICS Suite旗下的SCADA系統GENESIS64與MC Works64發布資安公告，提出緩解措施並完成部分漏洞修補，這些問題的通報來自資安業者Palo Alto Networks，他們去年初進行調查，<a href="https://unit42.paloaltonetworks.com/vulnerabilities-in-iconics-software-suite/">結果在10.97.2版找到5項高風險漏洞</a>，今年3月揭露更多細部資訊。</p> <p>當中有3項漏洞涉及不受控制的搜尋路徑元件，包括：<a href="https://www.mitsubishielectric.com/en/psirt/vulnerability/pdf/2024-004_en.pdf">CVE-2024-1182</a>、<a href="https://www.mitsubishielectric.com/en/psirt/vulnerability/pdf/2024-010_en.pdf">CVE-2024-8299、CVE-2024-9852</a>，其餘兩項漏洞<a href="https://www.mitsubishielectric.com/en/psirt/vulnerability/pdf/2024-008_en.pdf">CVE-2024-7587</a>、<a href="https://www.mitsubishielectric.com/en/psirt/vulnerability/pdf/2024-010_en.pdf">CVE-2024-8300</a>，則為不正確的預設權限漏洞與無作用程式碼（Dead Code）漏洞，CVSS危險程度評為7.0至7.8分。</p> <p>這些漏洞若不及時修補，恐將對關鍵基礎設施的資安造成嚴重衝擊，研究人員指出，由於ICONICS Suite廣泛應用於政府機關、軍事單位、製造業、水資源及廢水處理業者、公用事業與能源業者等關鍵基礎設施（CI），在全球超過100個國家有數十萬套系統，若是管理者並未採取緩解措施，這些漏洞可用於權限提升，或是造成服務中斷，甚至能讓攻擊者完全入侵整個系統。</p> <p>而且，有部分漏洞能讓攻擊者進行DLL挾持攻擊，或是操縱重要檔案的情況，攻擊者有機會執行任意程式碼、破壞系統完整性，或是進行未經授權存取。</p> </div></div></div>
2025/3/12 16:35作者周峻佑https://www.ithome.com.tw/news/167830
SpaceX與印度兩大行動營運商簽署合作協議，於當地提供Starlink衛星傳通訊服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>馬斯克（Elon Musk）旗下的太空技術業者SpaceX本周相繼與印度兩大電信營運商Airtel及Jio Platforms簽署合作協議，以於當地提供Starlink衛星通訊服務。</p> <p>SpaceX自2019年開始發射Starlink通訊衛星，截至今年2月底，近地軌道上約有7,085個Starlink衛星，在全球125個國家提供Starlink衛星通訊服務，已有超過500萬的使用者。</p> <p>專門報導全球科技新聞的Rest of World<a href="https://restofworld.org/2025/airtel-starlink-india-deal-modi-musk/" target="_blank">指出</a>，Starlink一直企圖進入印度市場，卻因安全疑慮及受到當地電信業者的抵制，而遲遲不得其門而入，印度交通部更曾於<a href="https://pib.gov.in/Pressreleaseshare.aspx?PRID=1775425" target="_blank">2021年</a>公開呼籲當地民眾不要訂閱尚未合法的Starlink網路服務，即便如此，印度的毒梟與抗議組織還是偷渡Starlink設備進行通訊。</p> <p>身為印度第二大行動網路營運商的Airtel率先於周二（3/11）<a href="https://www.airtel.in/press-release/03-2025/airtel-announces-agreement-with-spacex-to-bring-starlinks-high-speed-internet-to-its-customers-in-india/" target="_blank">宣布</a>與SpaceX的合作案，而當地最大行動網路營運商Jio Platforms則在隔天<a href="https://x.com/RIL_Updates/status/1899660726299746408" target="_blank">跟進</a>，雙方皆表示願意銷售Starlink設備及衛星通訊服務，將Starlink整合到它們的寬頻生態系統中，於全印度提供相關的支援。</p> <p>值得注意的是，不管是Airtel或Jio Platforms的聲明中都有著同樣的但書，亦即SpaceX必須先獲得印度政府的首肯，取得在印度銷售Starlink的許可，它們與SpaceX協議才算數，意味著SpaceX還在等待通過印度電信監管機關的審核。</p> </div></div></div>
2025/3/12 15:39作者陳曉莉https://www.ithome.com.tw/news/167828
Databricks四大新工具助企業打造可靠AI代理人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資料分析與人工智慧平臺<a href="https://www.databricks.com/blog/unlocking-potential-ai-agents-pilots-production-success">Databricks</a>推四項人工智慧代理人開發工具，包括統一治理人工智慧模型的Mosaic AI Gateway、嵌入至各種生產力工具的Genie Conversational API套件、升級版的Agent Evaluation Review App，以及無需提前建置基礎設施即可進行批次推理的Provision-Less Batch Inference。</p> <p>Databricks所推出的Mosaic AI Gateway，允許企業將內部開發或外部採購的各類大型語言模型端點，整合到同一平臺進行統一的治理與監控。該工具適合已有內部專用模型，且需要同時使用開源模型或GPT-4o等商業模型的企業，解決模型無法集中控管的問題。</p> <p>針對開發團隊，Databricks推出Genie Conversational API套件，開發人員能透過API將人工智慧自然語言對話功能，整合到Teams、Slack、SharePoint或自行開發的客製化應用。與傳統的聊天機器人不同，該套件能記住對話的前後脈絡，大幅提升使用體驗。這項新工具讓企業不必自行開發複雜的人工智慧對話服務，大幅縮短智慧應用開發時間。</p> <p>此外，Databricks還推出升級後的Agent Evaluation Review App工具，提升人工智慧代理人的可靠性與準確性，協助企業內部的領域專家可直接透過平臺標記，回饋代理人模型的錯誤或不足之處。過去企業須透過試算表或自行開發工具來處理這類回饋，現在可透過平臺內建工具，縮短人工智慧模型改進周期。</p> <p>在基礎設施方面，Databricks新推出的Provision-Less Batch Inference，提供企業以簡單的SQL語句啟動大規模的批次推理任務，不必事先建置或管理額外的基礎設施，企業可用此功能批次處理像是非結構化的客戶意見回饋資料，或自動化文件分析工作。</p> </div></div></div>
2025/3/12 16:07作者李建興https://www.ithome.com.tw/news/167827
微軟發布3月份例行更新，修補7個零時差漏洞、其中6個已出現攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>3月11日微軟<a href="https://msrc.microsoft.com/update-guide/releaseNote/2025-Mar">發布本月份例行更新（Patch Tuesday）</a>，總共修補57個漏洞，其中有7個零時差漏洞，數量僅次於<a href="https://www.ithome.com.tw/news/166966">1月的8個</a>，但值得留意的是，這次揭露的零時差漏洞，大多已被用於實際攻擊。</p> <p>這些慘遭濫用的漏洞，包含：Win32核心子系統權限提升漏洞CVE-2025-24983、NTFS資訊洩漏漏洞CVE-2025-24984、Fast FAT檔案系統驅動程式遠端程式碼執行漏洞CVE-2025-24985、NTFS資訊洩漏漏洞CVE-2025-24991、NTFS遠端程式碼執行漏洞CVE-2025-24993、微軟管理主控臺（MMC）安全功能繞過漏洞CVE-2025-26633，CVSS風險為4.6至7.8。</p> <p>究竟這些漏洞如何被利用？一如過往的公告資訊，微軟並未說明，但有資安業者透露部分資訊。其中已有災情公布的是CVE-2025-26633，<a href="https://www.zerodayinitiative.com/blog/2025/3/11/the-march-2025-security-update-review">漏洞懸賞專案Zero Day Initiative（ZDI）表示</a>有超過600家企業組織受到影響，攻擊者的身分是被稱作EncryptHub（Larva-208）的駭客組織，但是否與之前<a href="https://thehackernews.com/2025/03/encrypthub-deploys-ransomware-and.html">資安業者Outpost24公布的勒索軟體、竊資軟體攻擊事故</a>有關？有待通報的研究人員後續公布其他細節。而對於這項漏洞發生的原因，在於MSC檔案處理過程存在缺陷，使得攻擊者可發送特製的MSC檔觸發，繞過檔案信譽防護機制，並執行任意程式碼。值得留意的是，攻擊者利用漏洞的過程需要使用者互動，但究竟EncryptHub如何引誘受害者上當，ZDI並未說明。</p> <p>利用過程完全無須使用者互動的漏洞更加難以防範，也相當值得留意。其中影響大部分版本Windows作業系統的CVE-2025-24983，就是這種類型的弱點，而且，攻擊者一旦成功，就能得到SYSTEM權限。<a href="https://www.rapid7.com/blog/post/2025/03/11/patch-tuesday-march-2025/">資安業者Rapid7特別提及這項漏洞並未影響所有版本的作業系統</a>，Windows 11、Server 2019以上版本皆未受到波及，但為何較新的作業系統不受影響？Rapid7表示不得而知。</p> <p>其餘4個零時差漏洞，都與NTFS、FAT檔案系統有關。其中，ZDI將CVE-2025-24985、CVE-2025-24993歸類在一起，原因是攻擊者可利用相同的手段觸發，藉由引誘使用者掛載特製的VHD虛擬磁碟檔案，從而在受害電腦執行任意程式碼，假若攻擊者同時搭配權限提升漏洞（如這次公布的CVE-2025-24983），就有機會完全控制整個系統。</p> <p>另外兩個NTFS漏洞CVE-2025-24984、CVE-2025-24991，都與資訊洩漏有關，雖然都會導致記憶體內容洩露，差異在於攻擊者觸發的方式有所不同：利用CVE-2025-24984必須實際接觸受害電腦，而CVE-2025-24991則要在電腦植入特製的VHD檔案。</p> <p>除了上述已有實際攻擊行動的漏洞，還有一個在微軟修補之前就被公開的零時差漏洞CVE-2025-26630也值得留意，因為這代表駭客很有可能已經在研究如何利用，此為Access遠端程式碼執行漏洞，資安風險評為7.8分。</p> </div></div></div>
2025/3/12 12:15作者周峻佑https://www.ithome.com.tw/news/167819
蘋果修補WebKit零時差漏洞，此弱點疑似已被用於攻擊舊版iOS手機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>3月11日蘋果發布<a href="https://support.apple.com/zh-tw/122281">iOS 18.3.2、iPadOS 18.3.2</a>、<a href="https://support.apple.com/zh-tw/122283">macOS Sequoia 15.3.2</a>、<a href="https://support.apple.com/zh-tw/122284">visionOS 2.3.2</a>作業系統更新，以及對於macOS Ventura、Sonoma用戶推出<a href="https://support.apple.com/zh-tw/122285">Safari 18.3.1</a>，目的是修補一項疑似遭到利用的WebKit漏洞CVE-2025-24201，而這是蘋果今年修復的第3個零時差漏洞。</p> <p>這項漏洞涉及越界寫入（OBW），起因為檢查流程出現瑕疵，導致有可能用於執行未經授權的行為。攻擊者利用特製的網頁內容，就有機會突破網頁內容沙箱保護的功能。</p> <p>值得留意的是，蘋果提及他們接獲通報，得知該漏洞疑似被用於極為複雜的攻擊行動，駭客鎖定特定人士下手，而這些人士持有的裝置，都是執行iOS版本比17.2舊的手機。</p> </div></div></div>
2025/3/12 13:08作者周峻佑https://www.ithome.com.tw/news/167823
北韓駭客組織Lazarus仿冒6知名NPM套件，發動軟體供應鏈攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>北韓駭客組織Lazarus再度以<a href="https://socket.dev/blog/lazarus-strikes-npm-again-with-a-new-wave-of-malicious-packages">仿冒</a>知名NPM套件的方式，對全球軟體開發供應鏈展開攻擊。根據Socket資安研究團隊最新揭露的報告，Lazarus此次發布了6個惡意NPM套件，試圖透過名稱相似性誘導開發人員下載。這些套件被植入名為BeaverTail的惡意程式，會進一步下載InvisibleFerret後門，企圖竊取受害者帳號密碼、加密貨幣私鑰，甚至安裝持續性後門程式。</p> <p>Socket團隊指出，這些惡意套件包括is-buffer-validator、yoojae-validator、event-handle-package、array-empty-validator、react-event-dependency及auth-validator。這些套件名稱與熱門的NPM套件高度相似，例如is-buffer-validator仿冒了下載量每周高達3,300萬次的熱門套件is-buffer。研究團隊表示，這種名稱冒充攻擊（Typosquatting）很常見，且持續對開發社群造成資安威脅。</p> <p>這些惡意套件透過高度混淆的JavaScript程式碼，使用自我調用函式（Self-Invoking Function）、動態函式建構子（Dynamic Function Constructor）等方式掩蓋實際惡意行為，進而提升偵測難度。惡意程式會在受感染主機上搜尋Chrome、Brave和Firefox等主流瀏覽器儲存的帳密資訊，並進一步尋找如Solana與Exodus等加密貨幣錢包的私鑰檔案，傳送至遠端控制伺服器。</p> <p>報告還指出，這批惡意套件同時具有跨平臺攻擊能力，能感染Windows、macOS與Linux等作業系統。此外，駭客還替這些套件建立並維護GitHub帳號及儲存庫，藉此增加攻擊行動的真實性與可信度，使開發者難以辨識。</p> <p>目前，Socket團隊已通知NPM官方要求下架相關套件，並向GitHub檢舉相關帳號與儲存庫，在Socket發布訊息的當下，仍有部分惡意套件處於活躍狀態。</p> <p>資安研究人員呼籲，開發團隊應加強對第三方函式庫的安全稽核，避免安裝來源不明或下載量異常的套件。同時建議企業採用自動化掃描工具，並定期進行相依套件審查，阻斷已知的遠端控制伺服器IP，藉此降低軟體供應鏈被惡意攻擊的風險。</p> </div></div></div>
2025/3/12 14:48作者李建興https://www.ithome.com.tw/news/167821
微軟原生移植TypeScript編譯器，型別檢查、專案載入速度提升10倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟宣布<a href="https://devblogs.microsoft.com/typescript/typescript-native-port/">啟動TypeScript編譯器與相關開發工具原生移植計畫</a>，目的是大幅改善編譯與語言服務的執行效能，根據官方提供的初步測試資料，未來採用原生實作的TypeScript，速度有望提升至10倍以上，記憶體用量也可大幅降低，解決大型專案因程式碼規模擴張而出現的效能瓶頸，並促使即時互動性高的人工智慧輔助開發工具更加成熟。</p> <p>TypeScript原生版本預計於2025年中釋出支援命令列型別檢查的預覽版，並在年底前完成包含語言服務的完整版本。</p> <p>TypeScript已是不少企業前後端開發的主流選擇，但隨著專案規模越來越大，現有以JavaScript編寫的TypeScript編譯器，在數十萬行甚至百萬行程式碼規模下，型別檢查、錯誤分析及專案載入速度都出現明顯延遲。此次微軟團隊由TypeScript專案主要創造者Anders Hejlsberg主導，要將原本使用JavaScript實作的編譯器邏輯改寫成原生程式碼，以大幅提高編譯效能、降低記憶體消耗。</p> <p>根據微軟目前公開的初步測試資料，以開源專案VS Code為例，該專案規模約為150萬行程式碼，現行TypeScript編譯器執行完整型別檢查需要77.8秒，改採原生實作後僅需7.5秒。此外，另一個著名專案Playwright的型別檢查時間也從原本的11.1秒縮短至1.1秒。其他諸如TypeORM、date-fns、tRPC與rxjs等不同規模的專案，也都有9倍至13倍的效能提升。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0312-A%2010x%20Faster%20TypeScript-%E5%BE%AE%E8%BB%9F.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／微軟</span></span></p> <p>微軟特別指出，新版TypeScript的語言服務將可大幅改善開發體驗，例如VS Code載入其專案的時間將從9.6秒縮短到1.2秒，而且自動完成、快速提示、跳轉定義、尋找所有參照等常用功能的回應速度也將明顯提升。此外，記憶體用量預期可降低一半左右，對於開發環境資源較有限的使用者更為友善。</p> <p>從技術架構層面來看，此次移植不僅涉及編譯器程式碼重寫，微軟也將全面採用語言伺服器協定（LSP），該標準化協定有助於TypeScript具備更高的一致性與擴展性，代表第三方工具開發商或內部團隊，在整合或擴充TypeScript語言服務時將更方便。</p> <p>微軟將繼續維護現行以JavaScript實作的TypeScript編譯器，並在接下來的TypeScript 6.x版本中進行部分必要的相容性調整，替之後的原生版本鋪路，而當原生實作完成所有功能並達成與現行版的高度相容時，將正式以TypeScript 7.0版本進行發布。</p> </div></div></div>
2025/3/12 12:30作者李建興https://www.ithome.com.tw/news/167813
Anthropic年化營收達13億美元，Google持有14%股份
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>身為OpenAI最大競爭對手之一的Anthropic一直頗受外界矚目，The Information本周引述消息來源<a href="https://www.theinformation.com/articles/anthropics-claude-drives-strong-revenue-growth-while-powering-manus-sensation" target="_blank">報導</a>，Anthropic在今年3月初所估計的年化營收已達14億美元，比去年12月底所估算的10億美元成長了40%；而紐約時報（The New York Times）則引用一份法院文件<a href="https://www.nytimes.com/2025/03/11/technology/google-investment-anthropic.html" target="_blank">指出</a>，Google已經取得了14%的Anthropic股份，且根據雙方協議，Google最多可取得15%股份，並將在今年秋天實現。</p> <p>成立於2021年的Anthropic主要開發Claude大型語言模型，由於它是由OpenAI的前員工所創辦，且模型表現卓越，因而被視為OpenAI的主要競爭對手之一，並引來Amazon與Google爭相投資，不讓微軟與OpenAI之間的密切投資及合作關係專美於前。</p> <p>Anthropic甫於今年3月初<a href="https://www.ithome.com.tw/news/167638" target="_blank">完成</a>35億美元的E輪融資，融資後的身價達615億美元。而Amazon在<a href="https://www.ithome.com.tw/news/166181" target="_blank">去年</a>便投入了80億美元，但並未揭露所持有的Anthropic股份。</p> <p>紐約時報則是在法院調查一起Google反壟斷官司時，發現了由Anthropic所提交的一份文件，指出Google已經收購了14%的Anthropic股份，且根據雙方的協議，Google最多可取得15%股份，且將在今年9月藉由出資7.5億美元來實現。不過，與微軟及OpenAI的關係一樣，Google並未擁有Anthropic的控制權或董事席位。</p> <p>至於The Information的報導則透露出Anthropic營收的成長速度，指出Anthropic目前的年化營收成長速度已與2023年11月時的OpenAI相當，如果成長速度不變，那麼Anthropic今年將很容易達到20億美元的營收目標，甚或超越。</p> </div></div></div>
2025/3/12 12:44作者陳曉莉https://www.ithome.com.tw/news/167820
微軟5月底將退役Remote Desktop app，改推Windows App，倉促作法令用戶不滿
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本周<a href="https://techcommunity.microsoft.com/blog/windows-itpro-blog/windows-app-to-replace-remote-desktop-app-for-windows/4390893" target="_blank">宣布</a>，從2025年5月27日起將不再支援Remote Desktop App for Windows，要求用戶改用Windows App，而且似乎Windows App的遠端桌面功能尚未就緒。</p> <p>由於引發用戶恐慌，微軟說明，最新變更僅影響由Microsoft Store下載的Windows版Remote Desktop App，並不影響Remote Desktop client for Windows獨立版安裝器（MSI），或是Remote Desktop web client。</p> <p>微軟聲稱，相較Remote Desktop app for Windows，Windows App提供更優異的功能，包括統一存取多項Windows功能，包括Cloud PC、虛擬桌面，簡化介面，其次它具有可自訂的home頁、多螢幕支援及動態顯示解析度。此外，它還加入裝置重導向、Teams優化、帳號輕鬆轉換等遠端作業必要的功能。</p> <p>從5月27日之後起，所有用戶想使用Windows 365、Azure Virtual Desktop 和Microsoft Dev Box時，企圖以Remote Desktop App連線都會被封鎖。</p> <p>微軟2024年首推出Windows App，目的是為了作為存取Windows雲端服務，如Windows 365、Azure Virtual Desktop和Microsoft Dev Box、Remote Desktop及Remote Desktop Services的統合式介面。但是一般用戶並沒有太熱烈回響，還是持續使用現有App。</p> <p>隨著5月底強制移轉，微軟呼籲用戶開始準備，Windows 365、Azure Virtual Desktop和Microsoft Dev Box用戶可以先自Microsoft Store下載Windows App。不過有趣的是，微軟自己並未準備好，因為它告訴使用遠端桌面的用戶，需先使用Remote Desktop Connection，直到Windows App開始支援這類連線。此外，連向Remote Desktop Services用戶應先使用RemoteApp and Desktop Connection，直到Windows App開始支援。</p> <p>微軟僅2個月緩衝令用戶不滿。用戶質疑微軟何以在Windows App還未完成功能整合，就急著移除Remote Desktop App感到不滿，急就章作法影響企業IT管理作業。</p> <p>此外，Windows App也存在技術問題。例如不支援以Private Link功能連到Azure Virtual Desktop，不支援和Active Directory Federation Services以SSO整合、Windows App在某些proxy伺服器需要proxy/HTTP驗證的環境中無法運作等。微軟<a href="https://learn.microsoft.com/en-us/windows-app/troubleshoot-known-issues-limitations?tabs=windows" target="_blank">要求</a>IT管理員們先行做一番功課。</p> </div></div></div>
2025/3/12 13:03作者林妍溱https://www.ithome.com.tw/news/167822
OpenAI提供企業自製代理人的新工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI周二<a href="https://openai.com/index/new-tools-for-building-agents/" target="_blank">發表</a>首批協助開發人員及企業更快自己打造AI代理人的工具套件，包括新的Responses API及Agents SDK。</p> <p>過去這幾年OpenAI推出了多種模型新功能，包括進階推理、多模態互動，以及安全技術，使其模型得以處理複雜、多步驟任務，以方便企業打造AI代理人。但是仍有企業覺得把這些功能加入代理人難度很高，往往需要多次提示迭代及自訂協調邏輯，但透通管理或支援功能不足。</p> <p>為解決這些問題，OpenAI公布了一系列新API和工具，專門用以簡化代理人應用程式的開發。首先是新推出的Responses API，它結合Chat Completions API的簡易性及Assistants API使用工具的能力。其次是內建於Responses API的工具，包含網頁搜尋、檔案搜尋及電腦使用模型。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0312-Responses%20API-OpenAI.png" style="width: 600px;" /></p> <p>三種能力中，Responses API的網頁搜尋功能現為預覽版。同時間，Chat Completions API則提供微調過的搜尋模型gpt-4o-search-preview 及 gpt-4o-mini-search-preview（<a href="https://platform.openai.com/docs/pricing" target="_blank">費用在此</a>）。Responses API的檔案搜尋功能定價為每千次查詢2.5美元，檔案儲存功能為1日1GB 0.1美元，第1GB免費。Responses API的電腦使用能力/模型與Operator的使用電腦的代理人（Computer-Use Agent，CUA）模型相同。OpenAI強調在電腦及瀏覽器使用效能上優於業界的SOTA。</p> <p>其次，OpenAI還宣布新增Agents SDK，可用以協調單一或多代理人的工作流程。這個SDK可和Responses API、Chat Completions API結合使用，也能整合其他業者的模型，只要後者提供類似Chat Completions的API端點。Agents SDK也整合了追蹤和監看代理人工作流程的可觀測性（observability）工具。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0312-Agents%20SDK-open-source-OpenAI.png" style="width: 600px;" /></p> <p>OpenAI現已將Agents SDK開源，並強調它協調多代理人工作流程的能力，較去年釋出的實驗版SDK Swarm有多方改進，包括更容易配置的LLM、代理人間的智慧交接控制、安全護欄，以及視覺化追蹤、除錯及優化能力。開發人員可以立即將Agents SDK整合到Python codebase，OpenAI說，之後也會支援Node.js。</p> <p>OpenAI相信這些新工具能簡化核心代理人邏輯、協調和互動，方便開發人員著手打造代理人。OpenAI計畫未來幾個星期到幾個月內，會再發表其他工具，進一步簡化在其平臺上自建代理人的難度。<span style="font-size:14px;"><span style="color:#696969;">圖片來源／OpenAI</span></span></p> </div></div></div>
2025/3/12 11:47作者林妍溱https://www.ithome.com.tw/news/167812
Manus AI宣布與阿里通義千問合作，以實現Manus的全部功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上周發表通用型AI助手<a href="https://www.ithome.com.tw/news/167762" target="_blank">Manus</a>，宣稱可直接將使用者的想法轉化為行動的Manus AI，今天（3/11）<a href="https://weibo.com/u/7986279143" target="_blank">宣布</a>已與阿里通義千問（Tongyi Qianwen，Qwen）達成戰略性合作，將利用Qwen系列的開源模型，致力於國產模型及運算力平臺上實現Manus的全部功能。</p> <p>Qwen為阿里巴巴旗下雲端運算服務阿里雲的AI開發團隊，已開發出同名的Qwen大型語言基礎模型（LLM）、大型多模態模型（LMM），以及基於Qwen的推論模型QwQ，並藉由Hugging Face<a href="https://huggingface.co/Qwen" target="_blank">開源</a>。</p> <p>Manus AI表示，在全球獲得關注的Manus為了滿足中文用戶的需求，將與Qwen團隊合作，利用Qwen系列開源模型，於中國模型及運算力平臺上實現Manus的全部功能。目前兩個技術團隊已展開密切合作，以替中國用戶打造更具創造力的通用智慧助手產品。</p> <p>Manus標榜為全球首個AI代理，是個可結合概念與執行並交付成果的自主工具，例如可替使用者執行並篩選十多個履歷壓縮檔，並針對使用者的需求列出排序、摘要與建議，亦可替使用者安排7天的旅行，或研究特定公司的股價。</p> <p>Manus AI共同創辦人暨科學長季逸超（Yichao 'Peak' Ji）<a href="https://x.com/peakji/status/1899005201778086166" target="_blank">解釋</a>，Manus並非使用用來整合不同平臺的模型脈絡協定（Model Context Protocol，MCP），而是受到《利用可執行碼操作以創造更佳LLM助手》<a href="https://openreview.net/forum?id=jJ9BoXAfFa" target="_blank">論文</a>的啟發。</p> <p>根據該論文，LLM助手通常是利用生成預定義格式的JSON或文字，來執行各種行動，卻也經常受限於這些預定義工具的類型或範圍，若藉由可執行的Python程式碼把各種LLM助手的行動整合到一個統一行動空間（CodeAct），將可克服傳統侷限。</p> <p>季逸超說，Manus尚未完全採用論文中所提及的CodeAct，但此一論文帶來3個重要的見解，包括最終目標是找到解決一般問題的通用方法，而不是撰寫程式碼；由於LLMs擅長撰寫程式碼，因而讓助手執行那些最符合其訓練資料分布的任務是合適的；該方法將可大幅減少脈絡長度並實現複雜操作的組合。</p> <p>目前Manus仍處於邀請測試階段，且執行的速度亦頗為緩慢，Manus AI尚未公布開放與Qwen合作成果的時程表。</p> </div></div></div>
2025/3/12 12:00作者陳曉莉https://www.ithome.com.tw/news/167814
eBay升級AI開發平臺以支援自建3兆Token的LLM，下一步要蒸餾出多個小模型以降低應用成本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>C2C電商龍頭eBay近期揭露自家2024年AI技術發展與成果，以及2025年技術發展計畫。eBay CEO Jamie Iannone表示，2024年是他們AI技術顛覆性的一年，大幅升級AI平臺，以支援他們打造出相較去年百倍規模的LLM，並推出多種生成式AI買家與賣家功能。今年則要在持續發展AI技術同時，找出更低價、更快速、更有效率的GenAI應用方法。</p> <p><strong>投資硬體效能並改版AI開發平臺</strong></p> <p>2024年，eBay為發展生成式AI，不只投資硬體設備，啟用了一臺自有的超級電腦，更大幅翻新AI開發平臺，以從頭自建並執行比2023年規模大上100倍的LLM，包括用3兆個Token訓練而成的多模態、多語言模型。</p> <p>eBay自家AI平臺Kyrlov底層有4個小平臺，特徵平臺（Feature Store）、實驗平臺、訓練平臺及推論平臺。2024年，他們鎖定數個訓練平臺及推論平臺的痛點，導入新技術與做法來解決。</p> <p>首先是個別專案的硬體資源配給設定無法更改。過往在訓練平臺與推論平臺開啟新專案時，工程師須先設定配給專案開發環境的算力及記憶體。一旦設定，就無法更改。這種模式，使專案無法在資源不足時增加硬體，更無法於霸占過多硬體時釋出資源。這使eBay硬體資源利用率非常低，有些專案甚至會出現不到10%利用率的情況。開始大規模發展硬體需求高的生成式AI專案後，此問題帶來的衝擊尤其顯著。</p> <p>eBay的解法是，先從專案環境設定開始做起，取消必須先設定專案環境硬體的模式，改用系統自動配給硬體資源。同時，設定標準GPU SKU規格，規定一個GPU可以使用的記憶體上限。</p> <p>再來，導入新技術來進一步提升硬體調度彈性及使用效率。導入新技術框架，強化GPU多工能力，提升個別GPU使用效率。並且，導入優先級調度（Preemption）做法，讓更高優先度的推論作業，可以搶占低優先度開發作業的硬體資源，來進一步提升調度彈性。另外，他們還導入新的資料串流技術，來增加數據傳輸效率。這一系列解法，提升了2至4倍GPU數據吞吐量。</p> <p>第二個痛點也與硬體資源調度有關。過往，eBay使用GPU節點，只會配置固定數量CPU。也就是說，當eBay訓練或推論作業中，所需CPU數量大於節點上的GPU，就會降低作業效能，或需要啟用更多節點，但過程中浪費GPU資源。</p> <p>他們的解法是，導入Ray框架的Remote CPU功能，調度更多外部CPU資源來支援，進而避免啟用更多節點，而導致GPU閒置。導入後，相關作業的GPU利用率提升4倍、單位時間數據吞吐量更提升7倍。</p> <p>第三個痛點是訓練與推論作業所使用的開發語言不同，模型開發工程師使用Python，推論作業的工程師使用Java。這使他們需要花費高達一半的開發時間，進行來回溝通、語言間轉換、邏輯改寫等作業。導入Ray框架時，他們也使用了Ray的Unified Pythonic API，將兩種開發流程使用的語言統一為Python，省去前述作業時間，更簡化了運算資源調度及整體作業流程管理。</p> <p>提升AI開發效率、硬體調度效率及整體可運用硬體數量，使eBay在2024年不只推出新模型，也用生成式AI提升平臺上不同作業流程，更能上線了許多生成式AI應用。</p> <p><strong>eBay 2024到2025年怎麼用生成式AI</strong></p> <p>2024年，eBay推出一系列賣家用的生成式AI應用，包括可以自動化根據圖片來批量撰寫商品描述並上架商品的功能、根據自然語言描述來生成商品背景圖片的功能、商品圖片去背功能、社群媒體貼文生成功能等。</p> <p>Jamie Iannone表示，已經有超過1千萬個賣家使用過這些新GenAI功能，用來上架上億件商品，帶來了數十億美元的平臺交易額。賣家對於這些工具的滿意度也超過了90%。</p> <p>他們也針對買家推出一系列GenAI和AI功能，以期提升購賣意願。這些功能包括個人化服飾推薦及模擬試穿功能、更準確的預計到貨時間估算，以及在搜尋中提升快速到貨商品能見度等。Jamie Iannone說，這些功能，使最近的年底購物季買氣超出eBay預期。</p> <p>eBay也將生成式AI用於客服、工程、商品搜尋、支付、行銷等，數十種場景的底層技術改善。一個例子是，他們利用Google Vertex AI及Vector Search功能，來強化自家推薦系統，用於多模態嵌入向量的快速生成、推論延遲降低，及開發效率速度提升。最後一項效果尤其顯著，原本在推薦系統中測試並啟用新模型的開發周期，從數月降低到兩周。</p> <p>不只自家開發，eBay也積極與外部合作開發電商GenAI功能，包括與OpenAI的代理人功能Operator合作，使其能推薦eBay商品，甚至直接代為購買商品。</p> <p>2025年，Jamie Iannone揭露，他們將訓練較前一年更加大型且成熟的模型。接著，將這些大型模型蒸餾成一個個較小的模型，根據專門用途微調，再投入實際應用。這樣一來，才能在提升專門用途的精準度同時，降低推論延遲及成本。目前，他們已經在5個核心電商功能實驗，投入了規模僅有原本模型1/8的小型模型，卻提升30%精準度，且延遲時間只剩1/10。</p> <p>至於將生成式AI投入哪些應用，eBay目前聚焦於顧客體驗類應用、商品行銷類應用、以及廣告類應用。他們年報寫到，目前公司一大目標是提升自家營運的廣告營收，降低站內站外第三方廣告占比。目前行銷與廣告類的一大重要應用是賣家用廣告儀表板，呈現廣告相關表現數據，並用生成式AI與AI來呈現相關分析、建議策略、趨勢洞察等資訊。</p> <p></p> </div></div></div>
2025/3/12 10:02作者郭又華https://www.ithome.com.tw/news/167790
PyPI推付費帳戶與治理新條款，開源社群憂平臺營運轉向
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在Mozilla之後，全球最大Python套件託管平臺PyPI新版服務條款也引發開發者激烈<a href="https://discuss.python.org/t/new-t-c-is-pypi-moving-towards-a-paid-subscription-model-and-or-abandoning-package-neutrality/82566">爭論</a>。預定於3月27日正式生效的<a href="https://policies.python.org/pypi.org/Terms-of-Service/">新版服務條款</a>，不僅替即將推出的組織帳戶付費服務建立法律基礎，也對於Python軟體基金會（Python Software Foundation，PSF）管理PyPI的權限與規範進行明文化。不過，這也引發開源社群對PyPI未來營運方向、平臺治理透明度，以及是否偏離開源原則的關注與討論。</p> <p>根據PyPI官方的公告，新版服務條款的重點之一，是針對即將上線的組織帳戶功能，提供企業用戶付費選項，讓公司或大型專案團隊能以更彈性的方式管理套件上傳權限、成員角色等。然而，PSF也同步針對平臺治理權限進行強化，條款中明訂PyPI與PSF保留隨時中止任何帳戶與服務的權利，且無須理由、無須事先通知，並免除損失賠償責任。</p> <p>PyPI核心貢獻者之一Franz Király在社群論壇指出，新條款可能賦予PyPI無須審查即可刪除帳戶與套件的權力，並對因套件下架而影響第三方的情況免負責任。他認為，這樣的改變已與過去由社群共治的治理模式大不相同。</p> <p>對於這些疑慮，PSF員工Deb Nicholson在官方討論區出面回應，強調該條款並非擴大PSF權限，而是明確規範一直以來對於PyPI平臺治理的既有做法，包括為防範惡意套件、垃圾資訊與詐騙行為而必要的帳戶或套件移除行動。他表示，過去未明文揭示的彈性措施，隨著PyPI平臺規模不斷擴大，以及越來越嚴重的資安威脅，已需透過正式條款明確規範，讓PyPI能在未來遇到無法預期的濫用情況時，具備適當的應對依據。他強調，類似條款在GitHub等平臺屬標準做法。</p> <p>針對組織帳戶功能，Deb Nicholson進一步說明，該功能是因應多年來大型開源專案與企業用戶的實際需求，讓多人團隊能有效管理套件維護權限，並針對企業提供收費服務以支援PyPI龐大的營運成本。不過，針對一般開源專案或非營利組織，此功能將免費開放使用，強調平臺仍維持公益性質，基本套件託管服務也仍對所有使用者免費。</p> <p>此外，儘管PSF表示從2020年起即討論相關議題，但許多貢獻者與使用者仍反映未參與此條款變更的決策過程，質疑整體討論是否具有充分社群共識，特別是對於套件下架、帳戶終止等敏感問題，缺乏公開的標準與申訴機制。</p> <p>Python社群核心開發者Paul Moore在討論中指出，PyPI多年來仰賴志工維護，但隨著Python成為全球最受歡迎的程式語言之一，PyPI也面臨龐大的成長需求與安全挑戰。他坦言，有些開發者針對新版條款的批評，隱含對PyPI團隊誠信的質疑，對長期貢獻者來說難以接受。他並反思，Python社群是否應重新檢視，僅靠志工維持的模式，是否仍足以支撐PyPI這類關鍵基礎建設的長期營運。</p> </div></div></div>
2025/3/11 22:21作者李建興https://www.ithome.com.tw/news/167787
【資安日報】3月11日，DDoS殭屍網路Eleven11bot綁架8.6萬臺網路攝影機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近兩到三年，駭客綁架大量物聯網裝置並用於DDoS攻擊的情況不時傳出，而近期駭客偏好的標的，包含路由器及無線基地臺等網路設備，以及網路視訊攝影機（NVR）與視訊鏡頭。</p> <p>有多組資安研究員針對殭屍網路Eleven11bot動向提出警告，就是這樣的例子，這些駭客主要鎖定的標的，就是特定廠牌的網路視訊攝影機。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167788"><strong style="font-size: 22px;">8.6萬臺網路攝影機遭殭屍網路Eleven11bot綁架，用於發動DDoS攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/GlMVVqUW0AAxeyx.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/GlMVVqUW0AAxeyx.jpg" style="width: 300px; float: right;" /></a>這幾週以來，陸續有多組研究人員警告殭屍網路Eleven11bot的動向，目前攻擊者綁架了8.6萬臺物聯網設備，目的是進行DDoS攻擊，而這些被操控的設備，多半是網路視訊攝影機（NVR）與視訊鏡頭。而對於該殭屍網路的來歷，資安業者GreyNoise指出是Mirai的變種，主要針對華為旗下海思（HiSilicon）設備而來。</p> <p>最早察覺此事的是Nokia Deepfield緊急應變團隊，資安研究員Jérôme Meyer表示他們約自2月26日發現這個DDoS殭屍網路，並指出這個殭屍網路的勢力迅速增長，已挾持超過3萬臺裝置。此殭屍網路鎖定通訊服務供應商及遊戲主機基礎設施而來，攻擊強度差異很大，從每秒發出數十萬至數百萬個不等。Jérôme Meyer指出，這波攻擊行動已有服務受到影響，被迫降級數天，且有部分攻擊仍在持續進行。</p> <p>針對這起事故的規模，Shadowserver基金會指出，3月2日約有近8.64萬臺設備被綁架，其中美國有2.47萬臺最嚴重，英國有超過1萬臺居次。</p> <p><a href="https://www.ithome.com.tw/news/167778"><strong style="font-size: 22px;">北韓駭客Moonstone Sleet傳出將勒索軟體Qilin納入武器庫</strong></a></p> <p>去年5月我們曾報導北韓駭客組織Moonstone Sleet（Storm-1789）的攻擊行動，微軟威脅情報團隊今年3月初指出，他們發現2月下旬這個駭客組織的攻擊手法出現變化，這些駭客首度與勒索軟體租用服務（Ransomware-as-a-Service，RaaS）團體Qilin展開合作，原因是他們開始在一些組織部署勒索軟體Qilin。</p> <p>Moonstone Sleet過往就曾在攻擊行動使用勒索軟體，不過當時使用的是自製的FakePenny。而這次嘗試改用RaaS開發商提供的勒索軟體，代表Moonstone Sleet開始尋求與其他網路罪犯進行分工的現象，雖然微軟並未提及該組織與Qilin之間的合作關係，但資安新聞網站Bleeping Computer認為，這些北韓駭客很有可能成為Qilin的旗下打手。</p> <p><a href="https://www.ithome.com.tw/news/167786"><strong style="font-size: 22px;">勒索軟體Black Basta、Cactus持續在受害組織活動，共通點是都用惡意軟體BackConnect攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/QBackConnect-Fig03-3.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/QBackConnect-Fig03-3.png" style="width: 300px; float: right;" /></a>勒索軟體駭客組織Black Basta約自2022年4月開始從事活動，傳出是由惡名昭彰的Conti成員組成，如今有資安業者發現，Black Basta疑似有成員出走，跳槽到另一個勒索軟體駭客組織Cactus的跡象。</p> <p>趨勢科技指出，他們近期發現Black Basta與Cactus的攻擊行動當中，都運用一款名為BackConnect的惡意程式，以便在受害電腦持續活動，這種不尋常的現象引起研究人員的注意。由於1個月前資安業者Prodaft發現Black Basta成員對話內容外流，內容指出Black Basta主要成員出走，並加入Cactus或其他勒索軟體駭客組織，兩個組織攻擊手法及武器出現交集的情況，很有可能是駭客跳槽造成。</p> <p>但他們發現，Black Basta發動攻擊的手法，竟與Cactus雷同，兩組人馬不僅都使用BackConnect，就連C2的架構也相同。因此研究人員認為，這樣的現象很有可能是Black Basta成員加入Cactus所致。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/cybercriminals-exploit-youtubers-to-spread-silentcryptominer/">透過影音串流平臺散布惡意程式出現新手法！駭要脅YouTuber必須協助散布惡意連結換取頻道不被關閉，藉此向觀眾散布惡意程式SilentCryptoMiner</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://socket.dev/blog/new-pypi-malware-exfiltrates-ethereum-private-keys">惡意PyPI軟體set-utils從區塊鏈交易攔截以太坊私鑰搜括錢包</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/x-hit-by-massive-cyberattack-amid-dark-storms-ddos-claims/">社群網站X傳出遭到大規模DDoS攻擊，駭客組織Dark Storm聲稱是他們所為</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/software/new-chirp-tool-uses-audio-tones-to-transfer-data-between-devices/">研究人員公布名為Chirp的工具，攻擊者有機會暗中收集麥克風聲音並轉換成文字</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167767"><strong style="font-size: 22px;">訊舟網路攝影機存在零時差漏洞，傳出已被用於殭屍網路Mirai攻擊行動</strong></a></p> <p>3月4日美國網路安全暨基礎設施安全局（CISA）發布工控系統資安公告，指出臺廠訊舟科技（Edimax）旗下的網路攝影機IC-7100存在重大層級的作業系統命令注入漏洞CVE-2025-1316，值得留意的是，通報此事的資安業者Akamai指出，自去年秋季開始，已有多個Mirai殭屍網路將這項漏洞用於攻擊行動。</p> <p>我們也針對此事向訊舟進行確認，11日下午約4時20分收到回應，他們表示：「我們已主動發布正式聲明，說明該產品已於十多年前停產，無法進行韌體更新，並已建議用戶採取相應資安防護措施。」，信中也列出中英文公告網址連結。<a href="https://www.edimax.com/edimax/post/post/data/edimax/global/press_releases/4802/">訊舟在網站上發布聲明表示</a>，他們得知近期有關CVE-2025-1316的資安公告，但由於IC-7100停產超過10年，已結束技術支援及韌體更新。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://unit42.paloaltonetworks.com/vulnerabilities-in-iconics-software-suite/">SCADA系統ICONICS Suite存在高風險漏洞，恐被用於提升權限、操縱檔案、挾持DLL元件</a></strong></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167766"><strong style="font-size: 22px;">數發部3月底將啟動數位憑證皮夾沙盒試驗，拼12月進行特定應用試營運</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/sam02uo4_03b.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/sam02uo4_03b.jpg" style="width: 300px; float: right;" /></a>3月10日數發部對外展示數位憑證皮夾雛形，準備在3月底開始沙盒試驗，釋出開放原始碼供外界檢視，之後將舉辦法規調適會議、研討會、工作坊等活動，蒐集各界意見後進行調整，預計在今年12月選擇特定應用開始試營運。</p> <p>數位憑證皮夾的推動，在數位經濟時代下有三種意涵，第一是數位憑證將是數位社會的基石，數位憑證皮夾讓使用者得以證明自己就是本人，安全存取需要的服務，第二是依照不同情境的選擇性揭露，使用者可選擇同意分享的身分資訊，第三是互通性，未來資料流通可避免手動輸入，且數位憑證系統跨國互通，提升數位經濟的運作效率。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/167768"><strong>【3月10日】日本科技公司、電信業者、娛樂產業遭到攻擊，起因是PHP已知CGI漏洞尚未修補釀禍</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167737"><strong>【3月7日】勒索軟體駭客Akira透過缺乏防護的網路攝影機散布惡意程式，加密網路環境的檔案</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167718"><strong>【3月6日】美國指控中國資安業者安洵是中國政府從事全球網路間諜活動的打手</strong></a></p> </div></div></div>
2025/3/11 19:16作者周峻佑https://www.ithome.com.tw/news/167807
勒索軟體Medusa攻擊持續升溫，今年1、2月已有超過40家企業組織受害
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>勒索軟體Medusa從2023年1月開始活動，<a href="https://www.security.com/threat-intelligence/medusa-ransomware-attacks">資安業者賽門鐵克最近警告</a>該團體這兩年帶來的威脅不斷擴大，今年1、2月的攻擊頻率更出現翻倍成長。</p> <p>截至目前為止，Medusa聲稱已攻擊近400家企業組織，2024年比2023年增加42%，賽門鐵克的研究人員也發現駭客攻擊步調並未趨緩，以今年的頭兩個月而言，每月都有超過20家企業受害，攻擊事件數量較2024年同期近乎翻倍成長。</p> <p>為何Medusa攻擊不減反增？研究人員推測，可能與惡意昭彰的LockBit、BlackCat等勒索軟體遭到執法行動掃蕩有關，使得原本網路罪犯採用其他的勒索軟體，而其中一個就是Medusa。</p> <p>究竟駭客如何取得受害組織的初始入侵管道？研究人員表示無法確定，但有其他研究人員指出，有可能是針對Exchange伺服器等能透過網際網路存取的應用系統下手，利用尚未修補的漏洞得逞，或是從初始入侵管道掮客取得外流的帳密資料來達到目的。</p> <p>一旦駭客取得受害組織網路環境的存取權限，通常會利用SimpleHelp、AnyDesk等遠端管理工具，下載驅動程式並進行後續的活動。除此之外，研究人員也看到駭客使用名為Mesh Agent的遠端存取工具犯案，並指出駭客利用這款工具有越來越頻繁的現象。</p> <p>而前述提及的驅動程式下載，其實是為了包裝與掩蓋他們的攻擊程式，駭客主要將這些檔案用於自帶驅動程式攻擊（BYOVD），並搭配名為PDQ Deploy的遠端存取工具進行，研究人員指出，這是識別Medusa攻擊的其中一項主要特徵。</p> </div></div></div>
2025/3/11 18:04作者周峻佑https://www.ithome.com.tw/news/167792
勒索軟體Black Basta、Cactus持續在受害組織活動，共通點是都用惡意軟體BackConnect攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>勒索軟體駭客組織Black Basta約自2022年4月開始從事活動，傳出是由惡名昭彰的Conti成員組成，如今有資安業者發現，Black Basta疑似有成員出走，跳槽到另一個勒索軟體駭客組織Cactus的跡象。</p> <p>趨勢科技指出，<a href="https://www.trendmicro.com/en_us/research/25/b/black-basta-cactus-ransomware-backconnect.html">他們近期發現Black Basta與Cactus的攻擊行動當中</a>，都運用一款名為BackConnect的惡意程式，以便在受害電腦持續活動，這種不尋常的現象引起研究人員的注意。由於1個月前資安業者Prodaft<a href="https://x.com/PRODAFT/status/1892636346885235092">發現Black Basta成員對話內容外流</a>，內容指出Black Basta主要成員出走，並加入Cactus或其他勒索軟體駭客組織，兩個組織攻擊手法及武器出現交集的情況，很有可能是駭客跳槽造成。</p> <p>針對Black Basta的攻擊態勢，趨勢科技指出從去年10月相關社交工程攻擊顯著增加，駭客先後運用郵件轟炸手法，<a href="https://www.ithome.com.tw/news/165815">然後冒充IT人員透過微軟Teams接觸受害者</a>，引誘他們安裝遠端管理工具，或是執行遠端Shell，得逞後駭客將會繼續部署其他惡意程式來偵察，挖掘VPN組態配置及各式帳密資料。</p> <p>值得留意的是，這些駭客部署勒索軟體使用的工具，都是透過BackConncet來進行。而對於這個惡意程式的來源，今年1月Walmart惡意軟體研究人員Jason Reaves指出，<a href="https://medium.com/walmartglobaltech/qbot-is-back-connect-2d774052369f">BackConncet就是QBot的後繼版本</a>，經營此惡意軟體的駭客<a href="https://www.ithome.com.tw/news/158499">在2023年8月經歷執法行動Operation Duckhunt</a>後，一度消聲匿跡，而偏好使用QBot來入侵受害組織的Black Basta，也被迫更換作案工具。</p> <p>趨勢科技總共確認自去年10月發生近40起Black Basta攻擊事故，其中21起發生在北美，18起在歐洲，針對美國企業組織下手的情況最嚴重，有17起，加拿大、英國各有5起。而針對駭客攻擊的產業類型，逾四分之一是製造業最多（11起），房仲及營造業、金融服務居次，分別是9起和6起。</p> <p>但他們發現，Black Basta發動攻擊的手法，竟與Cactus雷同。首先，兩組人馬都透過郵件轟炸及Teams接觸受害組織。</p> <p>而在作案過程裡，這些駭客都會下載2個相同的BPX檔案，並透過CAB壓縮檔產生OneDrive資料夾及一系列檔案。另一方面，兩組人馬不僅都使用BackConnect，就連C2的架構也相同。因此研究人員認為，這樣的現象很有可能是Black Basta成員加入Cactus所致。</p> <p>不過，這些駭客作案還是有不同的地方。趨勢科技指出，Cactus會利用SMB網路共享資料夾及WinRM公用程式，從而在受害組織的網路環境橫向移動，再者，這些駭客不光攻擊Windows電腦，也會對VMware ESXi主機下手，而這些都是Black Basta並未使用的手段。</p> </div></div></div>
2025/3/11 15:24作者周峻佑https://www.ithome.com.tw/news/167786
8.6萬臺網路攝影機遭殭屍網路Eleven11bot綁架，用於發動DDoS攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這幾週以來，陸續有多組研究人員警告殭屍網路Eleven11bot的動向，目前攻擊者綁架了8.6萬臺物聯網設備，目的是進行DDoS攻擊，而這些被操控的設備，多半是網路視訊攝影機（NVR）與視訊鏡頭。而對於該殭屍網路的來歷，有資安業者指出是Mirai的變種，主要針對華為旗下海思（HiSilicon）設備而來。</p> <p>最早察覺此事的是Nokia Deepfield緊急應變團隊，<a href="https://www.linkedin.com/posts/jeromemeyer_new-ddos-botnet-discovered-over-30000-hacked-activity-7301383140806119424-luty/">資安研究員Jérôme Meyer表示他們約自2月26日發現這個DDoS殭屍網路</a>，並指出這個殭屍網路的勢力迅速增長，已挾持超過3萬臺裝置。此殭屍網路鎖定通訊服務供應商及遊戲主機基礎設施而來，攻擊強度差異很大，從每秒發出數十萬至數百萬個不等。Jérôme Meyer指出，這波攻擊行動已有服務受到影響，被迫降級數天，且有部分攻擊仍在持續進行。</p> <p>威脅情報業者GreyNoise透過物聯網搜尋引擎Censys取得1,400個與該殭屍網路有關的IP位址並進行調查，<a href="https://www.greynoise.io/blog/new-ddos-botnet-discovered">結果發現其中有1,042個攻擊來源</a>，在最近1個月積極攻擊他們的感應器。研究人員提及，這些IP位址大部分都是實際能存取的真實設備，其中有636個IP位址位於伊朗，約有305個初步確定是惡意IP位址。</p> <p>究竟攻擊發生的原因為何？GreyNoise指出很有可能與近期美國政府重申對伊朗的制裁有關，因為在美國宣布上述公告的2天之後，殭屍網路的活動出現增加。</p> <p>而對於駭客入侵受害裝置的手法，研究人員指出大致有4種，其中一種是透過暴力破解登入，另一種則是針對使用者設置預設密碼或是容易被猜到的弱密碼而得逞。</p> <p>此外，GreyNoise提到攻擊者也有鎖定特定廠牌寫死帳密的情況下手，或是藉由曝露的Telnet及SSH連接埠存取的情況。</p> <p>針對這起事故的規模，Shadowserver基金會指出，<a href="https://x.com/Shadowserver/status/1896884082421944813">3月2日約有近8.64萬臺設備被綁架</a>，其中美國有2.47萬臺最嚴重，英國有超過1萬臺居次。</p> <p>3月5日GreyNoise公布新的調查發現，指出Eleven11bot很有可能是專門鎖定海思設備的Mirai變種，而且主要是針對搭配特定版本軟體的裝置而來。</p> </div></div></div>
2025/3/11 16:42作者周峻佑https://www.ithome.com.tw/news/167788
正式回應旗下網路攝影機被CISA公告有重大漏洞，訊舟確認產品已停產10年，將不會修補
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>3月4日美國網路安全暨基礎設施安全局（CISA）針對臺廠訊舟科技（Edimax）旗下的網路攝影機IC-7100<a href="https://www.ithome.com.tw/news/167767">提出警告</a>，指出此設備存在重大層級的作業系統命令注入漏洞CVE-2025-1316，3月10日我們看到多家國外資安新聞媒體揭露此事，當天決定聯繫訊舟詢問此事未果，11日下午約4時20分收到回應，他們表示：「我們已主動發布正式聲明，說明該產品已於十多年前停產，無法進行韌體更新，並已建議用戶採取相應資安防護措施。」，信中也列出中英文公告網址連結。</p> <p>訊舟<a href="https://www.edimax.com/edimax/post/post/data/edimax/global/press_releases/4802/">在網站上發布聲明表示</a>，他們得知近期有關CVE-2025-1316的資安公告，但由於IC-7100停產超過10年，已結束技術支援及韌體更新。而且，在這份公告中，訊舟也坦承難以修補的其他原因：「由於此產品的開發環境與原始程式碼已無法取得，我們無法提供此產品的安全性修補或更新韌體版本。」</p> </div></div></div>
2025/3/11 17:31作者周峻佑https://www.ithome.com.tw/news/167791
CoreWeave與OpenAI簽署價值可能高達119億美元的合作協議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國雲端GPU服務供應商CoreWeave及OpenAI周一（3/10）<a href="https://www.prnewswire.com/news-releases/coreweave-announces-agreement-with-openai-to-deliver-ai-infrastructure-302397595.html" target="_blank">宣布</a>，雙方已簽署一項最多達119億美元的合約，將由CoreWeave提供AI基礎設施以擴展OpenAI的運算能力，同時OpenAI也將取得價值3.5億美元的CoreWeave股票，成為CoreWeave的股東之一。外傳雙方的合約長達5年。</p> <p>CoreWeave聯合創辦人暨執行長Michael Intrator表示，與OpenAI的合作突顯該公司提供可靠與高性能基礎設施的能力；而OpenAI執行長Sam Altman則說，CoreWeave為該公司基礎設施產品組合的重要補充，與OpenAI和微軟及甲骨文的商業協議，以及與軟銀（Softbank）在<a href="https://www.ithome.com.tw/news/167107" target="_blank">Stargate</a>上的合資企業相輔相成。</p> <p>CoreWeave已於本月初<a href="https://www.ithome.com.tw/news/167639" target="_blank">申請</a>首次公開發行股票（IPO），以CRWV為代號登上美國那斯達克（Nasdaq）股市，其IPO的市值目標為350億美元。該公司所提供的AI雲端是由32個資料中心組成，總計執行超過25萬個Nvidia GPU。</p> <p>根據CoreWeave所提出的上市<a href="https://www.sec.gov/Archives/edgar/data/1769628/000119312525044231/d899798ds1.htm" target="_blank">申請書</a>，該公司在市場上的主要競爭對手包括AWS、Google Cloud Platform（GCP）、IBM、微軟Azure及甲骨文（Oracle），然而，微軟同時也是CoreWeave最大的客戶，在2023年（2.29億美元）及2024年（19億美元）對CoreWeave的營收貢獻分別達到35%及62%。</p> <p>不過，英國金融時報（Financial Times）於本月初引用消息來源<a href="https://archive.ph/o/poZ5a/https://www.ft.com/content/f3d9d339-42ef-4979-bf52-89ecd699dea2" target="_blank">報導</a>，由於CoreWeave在交付上出現問題而未能如期履約，使得微軟決定取消與該公司的部分合作。雙方並未證實此事，也未說明所影響的合作比重。</p> <p>CoreWeave亦於上市申請書中警告，倘若微軟的需求下滑，或是履行合約的能力與意願產生了變化，或是與微軟的戰略關係有所更動，都將對該公司的業務、財務或未來發展產生不利影響。</p> <p>而此次與OpenAI的合作，將可降低CoreWeave對微軟的依賴。</p> </div></div></div>
2025/3/11 16:42作者陳曉莉https://www.ithome.com.tw/news/167789
AI21發表企業級AI規畫與調度平臺，解決LLM輸出不穩定的問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>企業導入大型語言模型應用面臨輸出不確定性的挑戰，難以掌控模型實際行為，增加了系統驗證與維護的負擔。針對這個問題，以色列人工智慧公司AI21 Labs推出名為<a href="https://www.ai21.com/blog/maestro-technical-overview/">Maestro</a>的企業級人工智慧規畫與調度平臺，透過動態任務規畫、自動調度（Orchestration）與即時驗證（Validation）等技術，降低大型語言模型輸出的不穩定性與不可預測性，協助企業將生成式人工智慧落地至業務流程中。</p> <p>Maestro的核心技術特點是將單一提示詞拆解成任務指令詞與驗證需求兩部分，並在推論階段監控與驗證模型生成的內容。這種機制不同於過去仰賴模型一次性產出結果，而是以動態樹狀結構建立多條生成路徑。系統會同時生成多個候選輸出，並根據預設標準驗證每個候選方案的正確性，持續淘汰或修正不合格的結果，直到最終輸出完全符合使用者設定的需求條件。</p> <p>Maestro內部會依據任務需求動態調整生成策略，包括在廣度上採用Best-of-N策略，也就是針對同一問題同時產生多個候選結果，再選取最佳方案，以及在深度上運用Generate-and-Fix策略，針對接近需求的候選輸出進行多次迭代修正。透過交錯運用這兩種方法，有效提高模型結果的準確性與穩定性。此外，系統也支援外部工具整合，例如透過檢索增強生成（RAG）機制整合企業內部知識庫或外部資料來源，進一步提高輸出結果的正確性。</p> <p>使用者藉由Maestro的執行追蹤（Execution Trace）與驗證報告機制，可掌握系統運作細節，其詳細呈現每一步生成過程、執行策略選擇以及驗證結果。使用者可根據報告即時掌握模型決策的依據與執行情形，進一步調整與改進系統運作規則，避免企業內部人工智慧應用成為難以維護的黑盒子。</p> <p>AI21 Labs表示，Maestro已經在複雜推理應用、內部文件生成、資料整合及嚴格格式控制等場景獲得驗證，例如具多步驟推理與多文件檢索的FRAMES基準測試中，Maestro的動態規畫與驗證架構大幅提高了正確率。透過內建的LLM-as-a-Judge及程式化驗證兩種驗證機制，可將企業特定的驗證邏輯直接導入生成流程，確保輸出結果嚴謹符合業務或法規要求。</p> <p>在實際應用上，企業可根據具體需求定義驗證條件，包括格式限制、內容規範、語氣控制或其他特殊需求，Maestro系統將在生成過程中持續驗證並自動修正，直到滿足設定要求或預算資源耗盡為止。</p> </div></div></div>
2025/3/11 16:55作者李建興https://www.ithome.com.tw/news/167785
鴻海要開源700億參數繁中大型語言模型FoxBrain
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>鴻海研究院3月10日揭露自家首款繁體中文大型語言模型（LLM）FoxBrain，以Llama 3.1 70B模型為基礎，以120張H100 GPU、花4周訓練而成，不只繁中能力超越Llama-3-Taiwan-70B，還具備良好的數學和邏輯推理能力，可執行數據分析、決策輔助、文書協作和程式碼生成等任務。鴻海預告，後續將開源FoxBrain。</p> <p><span style="font-size:22px;"><strong>用980億Token中文合成資料訓練模型，表現超越Llama-3-Taiwan-70B</strong></span></p> <p>進一步來說，鴻海研究院人工智慧研究所選定Llama 3.1 70B模型作為基礎，並以連續預訓練（Continual Pre-Training）、監督式微調（Supervised Finetuning）、AI回饋強化學習（RLAIF）和適應性推理反思（Adaptive Reasoning Reflection）等方法來強化模型表現。</p> <p>其中，連續預訓練是要加強模型繁中能力，於是團隊先建立24類主題的資料增強方式和品質評估方法，來生成980億個Token的高品質中文預訓練資料，讓模型具備更好的繁中理解力。</p> <p>再來，他們使用120張Nvidia H100 GPU和Nvidia Quantum-2 InfiniBand網路來擴展運算，只花四周就完成訓練，比其他同等模型的訓練效率更好、成本更低。鴻海補充，他們採用Nvidia的Taipei-1超級電腦，以及Nvidia NeMo生成式AI雲原生框架來訓練模型。</p> <p>這個FoxBrain可處理的上下文長度為128K Token，再加上團隊使用Adaptive Reasoning Reflection方法，讓模型學會自主推理。經TMMLU+基準測試，FoxBrain在大多數領域優於國內同規模的繁中模型Llama-3-Taiwan-70B，比如統計和機器學習、財務、行銷管理等；在數學和邏輯推理方面，表現更突出許多。</p> <p><img alt="" src="https://image.honhai.com/upload/news/111_20250310_9301.png" /></p> <p><span style="color:#696969;"><em>FoxBrain模型與Meta Llama 3.1 70B、Llama-3-Taiwan-70B在TMMLU+上的重要領域得分比較</em></span></p> <p>與Meta基礎模型Llama 3.1相比，FoxBrain在數學領域表現好，甚至在數學推理能力上超越Meta目前的同等級模型，但與DeepSeek的蒸餾模型仍有些微差距。</p> <p>鴻海表示，FoxBrain模型原是鴻海研究院為集團內部應用而設計，未來將開源模型，並持續與技術夥伴合作、擴大應用範圍，同時也要推動AI在製造業、供應鏈管理和智慧決策領域的應用。</p> <p>FoxBrain也將成為鴻海智慧應用升級的重要引擎，來優化他們的智慧製造、智慧電動車、智慧城市等三大平臺數據分析效率。</p> <p></p> </div></div></div>
2025/3/11 15:15作者王若樸https://www.ithome.com.tw/news/167784
北韓駭客Moonstone Sleet傳出將勒索軟體Qilin納入武器庫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年5月我們<a href="https://www.ithome.com.tw/news/163179">曾報導北韓駭客組織Moonstone Sleet（Storm-1789）的攻擊行動</a>，微軟威脅情報團隊今年3月初指出，他們發現2月下旬這個駭客組織的<a href="https://x.com/MsftSecIntel/status/1897738961348374621">攻擊手法出現變化</a>，這些駭客開始在一些組織部署勒索軟體Qilin，是他們首度與勒索軟體租用服務（Ransomware-as-a-Service，RaaS）團體展開合作。</p> <p>Moonstone Sleet過往就曾在攻擊行動使用勒索軟體，不過當時使用的是自製的工具FakePenny。而這次嘗試改用RaaS開發商提供的勒索軟體，代表Moonstone Sleet開始尋求與其他網路罪犯進行分工的現象，雖然微軟並未提及該組織與Qilin之間的合作關係，但資安新聞網站Bleeping Computer認為，<a href="https://www.bleepingcomputer.com/news/security/microsoft-north-korean-hackers-now-deploying-qilin-ransomware/">這些北韓駭客很有可能成為Qilin的旗下打手</a>。</p> <p>Moonstone Sleet是怎麼發展起來的？他們初期大量採用Lazarus（Diamond Sleet）的手法及工具，後來吸收多個北韓駭客組織的手段來增加攻擊強度，而這群人之所以發動攻擊，主要是為了牟取財務利益，以及從事網路間諜活動。</p> <p>值得留意的是，微軟特別提及Qilin現在不光和網路犯罪組織合作，也與國家級駭客聯手。近年來勒索軟體Qilin攻擊事故不時傳出，<a href="https://www.ithome.com.tw/news/163329">其中去年6月病理學暨診斷服務供應商Synnovis受害</a>，影響英國倫敦多家醫院服務的情況引起外界高度關注，到了今年，<a href="https://www.bleepingcomputer.com/news/security/victoria-court-recordings-exposed-in-reported-ransomware-attack/">澳洲維多利亞法院服務</a>、<a href="https://www.bleepingcomputer.com/news/security/qilin-ransomware-claims-attack-at-lee-enterprises-leaks-stolen-data/">美國報社Lee Enterprises</a>也傳出受害的消息。</p> </div></div></div>
2025/3/11 11:39作者周峻佑https://www.ithome.com.tw/news/167778
Asana執行長Dustin Moskovitz宣布退休，盤後股價大跌29%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>協作工作管理平臺Asana的共同創辦人暨執行長Dustin Moskovitz在周一（3/10）<a href="https://investors.asana.com/news-releases/news-release-details/asana-announces-ceo-succession-plan" target="_blank">宣布退休計畫</a>，現年只有40歲的Moskovitz表示未來將投入更多的精力於共同創辦的Good Ventures及Open Philanthropy慈善基金會，當天Asana也<a href="https://investors.asana.com/news-releases/news-release-details/asana-announces-fourth-quarter-and-fiscal-year-2025-results" target="_blank">公布</a>截至今年1月31日的2025財年第4季財報，儘管該季營收成長10%，虧損縮小至6,360萬美元，且預計於2026財年達到損益平衡，但Asana的當天的盤後股價下挫了29.02%，跌至11.84美元。</p> <p>1984年出生的Moskovitz在2004年，便與Mark Zuckerberg等人在哈佛共同創辦了Facebook，並擔任Facebook的首任執行長與工程副總裁，他在2008年離開Facebook，並與Facebook的工程經理Justin Rosenstein共同創辦Asana，主要開發可用來管理及追蹤專案與任務的軟體工具，並由Moskovitz擔任執行長。Asana在<a href="https://www.ithome.com.tw/news/139605" target="_blank">2020年</a>採用直接上市模式（Direct Listing）登上美國紐約股市，當時的市值約為55億美元。</p> <p>根據Asana目前的介紹，該公司可於單一平臺上連結企業所有的目標、策略與任務執行，包括Amazon、Roche與T-Mobile都仰賴Asana來管理自目標設定、追蹤、產能規畫至產品發布等一切事務。</p> <p>在擔任Asana長達17年的執行長職務之後，Moskovitz決定卸任，由董事會尋找並審核新的執行長，之後他將轉任Asana的董事長，也會保留所持有的Asana股份。</p> <p>根據《富比士》（Forbes）的<a href="https://www.forbes.com/profile/dustin-moskovitz/?list=rtb/" target="_blank">報導</a>，Moskovitz的淨資產約為163億美元，主要的資產源自於他所持有的、約2%的Facebook股份。</p> <p>Moskovitz表示，他很榮幸能與業內的優秀人才一起工作，並建立一個受到85%財富500強公司信賴的平臺，Asana已發展成一家多產品公司，處於AI的前沿，相信新的領導者將鞏固Asana的創新紀錄，包括新推出的 AI Studio，開啟一個新的成長及獲利時代，未來他則會投入更多心力於Good Ventures與Open Philanthropy，以應對全球挑戰。</p> </div></div></div>
2025/3/11 12:01作者陳曉莉https://www.ithome.com.tw/news/167779
Mistral發表文件OCR API 支援PDF、圖片、影音也看得懂數學
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>法國AI新創公司<a href="https://mistral.ai/news/mistral-ocr" target="_blank">Mistral AI本周發表</a>光學字元辨識（OCR）API，名為Mistral OCR，以加速文件數位化作業，並號稱效能超越Gemini 1.5、GPT-4o。</p> <p>Mistral AI指出，Mistral OCR不同其他模型，能以超越以往的精確性和認知能力來理解文件的每一種元素，包括影音、圖片、表格、文字、數學方程式或進階版型如LaTex格式。因此即使是包含圖表、方程式和數字、圖形的科學論文這類豐富文件，Mistral OCR也能深切理解。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0311-Mistral%20OCR-Optical%20Character%20Recognition%20API-PDN(1).jpg" style="width: 600px;" /></p> <p>在輸入端，Mistral API可支援文字、圖片、PDF，以及圖文交錯的文件，並從中擷取出內容。因此Mistral OCR很適合結合檢索增強生成（retrieval-augmented generation，RAG）系統來處理多模態文件（像是簡報或複雜的PDF）。它還支援文件為提示（document as prompt）的處理，讓用戶可以從文件擷取出特定資訊，再套用格式加入到結構化輸出中，例如JSON。用戶可將擷取出的輸出灌注到下游函式呼叫，開發代理人。</p> <p>Mistral AI也比較了新的Mistral OCR與Google Document AI、Azure OCR、Gemini 1.5、GPT-4o，顯示不論是在理解數學、多語、表格及掃瞄內容上都優於競爭對手。此外，Mistral OCR號稱速度業界最快，單一節點每分鐘可處理2,000頁。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0311-Mistral%20OCR-benchmarks.png" style="width: 600px;" /></p> <p>可能的應用場景包括科學研究數位化、歷史文化保存、提升客服效率、以及將紙本文件預處理以供AI處理等。</p> <p>Mistral OCR已是Mistral聊天機器人Le Chat理解文件任務的預設模型，現在則透過API mistral-ocr-latest開放，代價為1美元1,000頁，如果是批次推論任務，則1元可處理近2,000頁。</p> <p>現在Mistral API可在<a href="http://console.mistral.ai/" target="_blank">la Plateforme</a>上向開發人員開放。Mistral AI計畫很快會將之推向Mistral AI的雲端或第三方推論服務夥伴平臺，以及允許部分客戶在本地部署環境上執行。<span style="font-size:14px;"><span style="color:#696969;">圖片來源／Mistral AI</span></span></p> </div></div></div>
2025/3/11 10:16作者林妍溱https://www.ithome.com.tw/news/167776
微軟將於明年10月終止支援Publisher
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.microsoft.com/zh-tw/office/2026%E5%B9%B410%E6%9C%88%E4%B9%8B%E5%BE%8C%E5%B0%87%E4%B8%8D%E5%86%8D%E6%94%AF%E6%8F%B4-microsoft-publisher-ee6302a2-4bc7-4841-babf-8e9be3acbfd7" target="_blank">微軟宣布</a>將於2026年10月終止支援老牌桌面出版應用軟體Publisher。</p> <p>明年10月1日起，Microsoft Publisher將來到生命周期終點，屆時Publisher將從Microsoft 365（M365）移除，桌機版Office套件也不再支援。之後，M365訂閱戶將無法於Publisher中開啟或編輯Publisher檔案。</p> <p>Publisher誕生於1991年，定位為基礎桌面出版軟體。不同於Adobe InDesign或QuarkXPress，Publisher雖然排版功能比Word強，但欠缺專業設計功能，主要是滿足沒有專業工具的中小企業之需。</p> <p>微軟表示，Publisher許多功能，像是建立專業品牌範本、列印信封標籤和產生自訂行事曆、名片等，都已存在其他M365應用程式如Word、PowerPoint、Designer執行。</p> <p>因應明年10月的棄用大限，微軟建議，在此之前，先將Publisher文件轉成未來可用格式。不過.Pub格式文件無法直接轉成Office文件；依據微軟的建議，需先另存成可讀取的PDF格式，再以PDF格式轉成Word格式，後者可允許未來編輯文件。另一方法是使用第三方轉檔工具將.Pub文件轉成其他格式。</p> <p>維基百科<a href="https://zh.wikipedia.org/zh-tw/Microsoft_Publisher" target="_blank">指出</a>，Publisher的競爭產品大多不支援匯入Publisher檔案的功能，但LibreOffice支援Publisher的.pub格式檔開啟，CorelDraw X4則支援Publisher檔案唯讀。</p> </div></div></div>
2025/3/11 09:58作者林妍溱https://www.ithome.com.tw/news/167775
微軟釋出.NET AI聊天模板，供開發者快速打造結合自有資料的聊天機器人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟釋出<a href="https://devblogs.microsoft.com/dotnet/announcing-dotnet-ai-template-preview1/#install-the-template-now">.NET AI聊天模板</a>，提供開發者以更直覺的方式，快速建立人工智慧聊天應用，並可結合自建資料進行互動。該模板採用Blazor架構，內建RAG（Retrieval Augmented Generation）技術，使應用能夠讀取與理解本地或雲端儲存的資料來源，並透過Microsoft.Extensions.AI與Microsoft.Extensions.VectorData模組進行處理與最佳化。開發者可透過Visual Studio、VS Code或.NET CLI安裝並啟用此模板，快速生成可執行的聊天應用。</p> <p>此模板的主要特點是支援自定義資料聊天功能，開發者可直接將PDF等檔案加入專案，系統會自動索引並建立向量資料庫，讓聊天機器人能夠理解與引用這些內容進行互動。此外，該模板支援本地向量儲存與Azure AI Search，適合不同規模與需求的應用場景。</p> <p>微軟強調該模板具有高度可擴充性，開發者可以透過Microsoft.Extensions.AI替聊天機器人增加自訂功能，例如像是透過新增C#函式，聊天機器人可整合天氣查詢或其他第三方服務，進一步提升應用的實用性。模板內建的資料處理與快取機制，可協助管理不同格式的資料來源，確保聊天應用能夠即時回應使用者查詢，並在必要時更新資訊。</p> <p>微軟持續發展.NET AI生態系，未來計畫擴展樣板類型，涵蓋AI Console應用、Minimal API模板，並與.NET Aspire整合。微軟也表示將改進模板內容，包括與Semantic Kernel團隊合作，提供更多與語義分析相關的解決方案。開發者可透過官方GitHub頁面或.NET AI社群提供回饋，助微軟改進模板功能，以符合實際開發需求。</p> <p>目前.NET AI聊天模板仍處於預覽階段，未來隨著技術發展與使用者回饋進一步調整與改進。對於存在導入人工智慧聊天應用需求的.NET開發者而言，該模板提供了一個低門檻的起點，能夠迅速建立基礎應用，並根據需求擴展功能。</p> </div></div></div>
2025/3/10 20:31作者李建興https://www.ithome.com.tw/news/167769
訊舟網路攝影機存在零時差漏洞，傳出已被用於殭屍網路Mirai攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>3月4日美國網路安全暨基礎設施安全局（CISA）<a href="https://www.cisa.gov/news-events/ics-advisories/icsa-25-063-08">發布工控系統資安公告</a>，指出臺廠訊舟科技（Edimax）旗下的網路攝影機IC-7100存在重大層級的作業系統命令注入漏洞CVE-2025-1316，值得留意的是，通報此事的資安業者Akamai指出，這項弱點已被用於攻擊行動。我們也針對此事向訊舟進行確認，但到截稿之前並未收到回應。</p> <p>CVE-2025-1316發生的原因，在於IC-7100並未適當處理特定的請求，攻擊者可發出特製的請求，從而達到遠端於網路攝影機執行任意程式碼（RCE）的目的，這項漏洞影響所有版本的IC-7100，其3.1版CVSS風險評分達到9.8分（滿分10分）、4.0版風險值為9.3，相當危險。值得留意的是，CISA指出他們向訊舟通報此事並未得到回應，呼籲用戶應透過該公司客戶支援尋求相關協助。</p> <p>雖然這份公告並未提及漏洞是否遭到利用，但通報此事的資安業者Akamai向資安新聞網站<a href="https://www.bleepingcomputer.com/news/security/unpatched-edimax-ip-camera-flaw-actively-exploited-in-botnet-attacks/">Bleeping Computer</a>、<a href="https://www.securityweek.com/edimax-camera-zero-day-disclosed-by-cisa-exploited-by-botnets/">SecurityWeek</a>透露，自去年秋季開始，已有多個Mirai殭屍網路將這項漏洞用於攻擊行動。</p> <p>Akamai資安研究員Kyle Lefton指出，雖然攻擊者利用CVE-2025-1316必須事先通過身分驗證，但許多用戶保留預設帳密配置的情況，使得攻擊者能夠登入帳號，而能達到利用漏洞的目的。一旦攻擊者得到網路攝影機的存取權限，就會觸發漏洞並執行Shell指令碼，下載Mirai有效酬載。</p> <p>另一方面Kyle Lefton也提到，自去年10月開始，Akamai SIRT與CISA數次通報訊舟皆未得到回應的情況。Kyle Lefton表示，他後來以個人名義成功與訊舟取得聯繫，但該廠商僅透露，IC-7100生命週期已經結束（EOL），將不予修補，除此之外訊舟不願透露進一步的資訊。</p> </div></div></div>
2025/3/10 17:21作者周峻佑https://www.ithome.com.tw/news/167767
【資安日報】3月10日，日本科技公司、電信業者、娛樂產業遭到攻擊，起因是PHP已知CGI漏洞尚未修補釀禍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣資安業者戴夫寇爾去年揭露的PHP程式語言重大層級漏洞CVE-2024-4577，公布不久就傳出<a href="https://www.ithome.com.tw/news/163417">被勒索軟體TellYouThePass用於攻擊行動</a>，後續<a href="https://www.ithome.com.tw/news/164597">有多組人馬攻擊臺灣的大學</a>，如今再度傳出相關資安事故。</p> <p>思科威脅情報團隊Talos揭露發生在今年1月的攻擊行動，這波專門針對日本的企業組織與研究機構而來，其中又以科技公司與電信業者為主要目標。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167763"><strong style="font-size: 22px;">PHP已知CGI漏洞出現攻擊行動，駭客針對日本科技公司、電信業者、遊戲娛樂產業而來</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/CVE-2024-4577-attack-chain.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2024-4577-attack-chain.jpg" style="width: 300px; float: right;" /></a></p> <p>去年6月臺灣資安業者戴夫寇爾揭露PHP程式語言重大層級漏洞CVE-2024-4577，此漏洞存在於CGI參數而有機會被用於注入攻擊，使得攻擊者能藉此用於遠端執行任意程式碼（RCE），如今傳出有人將此漏洞用於攻擊日本。</p> <p>思科旗下的威脅情報團隊Talos在今年1月發現新一波漏洞攻擊行動，此波威脅主要針對日本的科技、電信業者、娛樂、教育及研究機構而來，但也有電子商城網站受害的情形。這些攻擊行動裡，駭客運用CVE-2024-4577取得初始入侵管道，然後利用能公開取得得Cobalt Strike外掛程式「檮杌（TaoWu）」來進行後續活動，目的是搜刮受害主機的帳密資料。</p> <p>為了不讓攻擊行動東窗事發，駭客濫用命令列工具wevtutil執行寄生攻擊（LOLBin），刪除作業系統及應用程式的事件記錄。</p> <p><a href="https://www.ithome.com.tw/news/167749"><strong style="font-size: 22px;">應用在逾10億藍牙及Wi-Fi裝置的樂鑫晶片，驚傳含有可用來攻擊的隱藏功能</strong></a></p> <p>西班牙資安業者Tarlogic Security揭露，有一款同時支援藍牙與Wi-Fi的微晶片ESP32含有未公開的隱藏命令，可被駭客用來執行攻擊行動，例如：仿冒裝置的身分來存取其他裝置。ESP32在市場上的售價為2歐元（約新臺幣72元），是由中國無晶圓廠半導體業者樂鑫（Espressif）生產，估計全球有超過10億臺IoT裝置採用。</p> <p>這些隱藏命令屬於主機控制器命令（Host Controller Interface，HCI），總計有29個，這些未公開命令被登記為編號CVE-2025-27840的漏洞，可允許駭客修改晶片以解鎖其他功能，植入惡意程式，或是進行裝置身分竊盜攻擊。</p> <p>上述HCI命令的發現，意謂著駭客可冒充已知裝置連結到手機、電腦或其他智慧裝置，以獲取存在於這些裝置上的機密資訊或商業對話，或是作為監視之用。</p> <p><a href="https://www.ithome.com.tw/news/167733"><strong style="font-size: 22px;">微軟揭露大規模惡意廣告攻擊，全球近百萬臺裝置受到影響</strong></a></p> <p>微軟威脅情報團隊偵測到一起影響全球近百萬臺裝置的大型惡意廣告（Malvertising）攻擊事件。此次攻擊活動主要透過非法的影片串流網站散播，用戶點擊網站上的影片後，會經過多次重新導向，最終被引導至包含GitHub在內的網路儲存平臺下載惡意程式。微軟指出，GitHub是本次攻擊行動中惡意軟體的主要託管平臺之一，目前相關惡意儲存庫已遭GitHub安全團隊下架處理。</p> <p>根據微軟的調查，這次攻擊的初步感染來源主要來自非法影音網站上嵌入的iframe廣告，使用者點擊廣告或播放影片時，會先被重新導向至中繼惡意站點，再進一步被導向至GitHub上的惡意儲存庫。攻擊者藉此散布多階段惡意程式，受害裝置感染後，惡意程式會逐步部署更多模組，包括竊取系統資訊、瀏覽器內儲存的帳密資料，以及遠端操控電腦。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityaffairs.com/175090/data-breach/japanese-telecom-giant-ntt-data-breach.html">日本電信業者NTT資料外洩，1.8萬家公司受到波及</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/03/fin7-fin8-and-others-use-ragnar-loader.html">駭客組織FIN7、FIN8利用惡意程式Ragnar Loader從事勒索軟體攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/03/over-1000-wordpress-sites-infected-with.html">逾1千個WordPress網站遭植入JavaScript後門程式</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/malicious-chrome-extensions-can-spoof-password-managers-in-new-attack/">惡意Chrome延伸套件偽裝成密碼管理工具展開攻擊</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167764"><strong style="font-size: 22px;">軟體開發CI持續整合工具Jenkins修補多個中度風險漏洞，類型涵蓋CSRF、開放重新導向、機敏資訊曝露</strong></a></p> <p>3月5日以提供持續整合（CI）開發工具而著稱的Jenkins，宣布修補4項中度風險的漏洞CVE-2025-27622、CVE-2025-27623、CVE-2025-27624、CVE-2025-27625，用戶可透過升級至最新版2.500、長期支援版LTS 2.492.2，獲得弱點修補，特別的是，前兩項漏洞與Jenkins在2016年公布的弱點有關，這些漏洞涉及代理程式使用REST API或命令列（CLI）存取的過程，並未如預期對config.xml存放的機敏資訊加密數值進行適當處理，而有可能讓攻擊者有機會能夠檢視相關資料。開發團隊提及，這些漏洞與另一個已知漏洞CVE-2016-3724有關，該漏洞能讓攻擊者有機會讀取組態資料當中，經加密處理的帳密資料。</p> <p>至於Jenkins此次公開的其餘兩項漏洞CVE-2025-27624、CVE-2025-27625，雖然是中等風險資安漏洞，但不能因此輕忽，它們的類型分別是跨網站請求偽造（CSRF）、開放重新導向（Open Redirect），攻擊者有機會操蹤使用者側邊欄小工具收合狀態，或是將使用者導向其他網站。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/critical-flaws-uncovered-in-draytek-routers-backdoors-rce-and-weak-authentication-exposed/">居易路由器存在重大漏洞，攻擊者有機會執行任意程式碼</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167596"><strong style="font-size: 22px;">建立可信賴的供應鏈，數發部將和產業聯手推動SEMI E187第三方驗證制度</strong></a></p> <p>在2024年，臺灣成功推動半導體設備資安標準SEMI E187，台積電也將此標準列為供應商的採購需求，已有10家設備商取得合規性認證。展望2025年，2月10日數位發展部部長黃彥男表示，他們將與台積電、國際半導體產業協會（SEMI）、全國認證基金會（TAF），以及工研院聯手，共同建立第三方認驗證制度，並輔導資安廠商發展SEMI E187合規工具，建立可信賴的供應鏈。</p> <p>另外，推動安控及資安產業發展是數發部一個重要的工作重點，因此，輔導相關業者提升資安意識也很關鍵。黃彥男指出，在2024年數發部針對安控及資安產業，輔導9個公協會及其會員提升資安意識，並且協助超過100家企業進行資安健檢；也建立募資輔導機制，輔導2家資安產業籌獲資金，持續擴大產業規模。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/167737"><strong>【3月7日】勒索軟體駭客Akira透過缺乏防護的網路攝影機散布惡意程式，加密網路環境的檔案</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167718"><strong>【3月6日】美國指控中國資安業者安洵是中國政府從事全球網路間諜活動的打手</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167678"><strong>【3月5日】馬偕、彰基接連遭到勒索軟體Crazy Hunter攻擊，衛福部表示駭客恐將系統性對全臺醫院出手</strong></a></p> </div></div></div>
2025/3/10 17:41作者周峻佑https://www.ithome.com.tw/news/167768
CI持續整合工具Jenkins修補多個中度風險漏洞，類型涵蓋CSRF、開放重新導向、機敏資訊曝露
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>3月5日以提供持續整合（CI）開發工具而著稱的Jenkins，<a href="http://www.jenkins.io/security/advisory/2025-03-05/">宣布修補4項中度風險的漏洞</a>CVE-2025-27622、CVE-2025-27623、CVE-2025-27624、CVE-2025-27625，用戶可透過升級至最新版2.500、長期支援版LTS 2.492.2，獲得弱點修補，特別的是，前兩項漏洞<a href="https://www.jenkins.io/security/advisory/2016-05-11/#encrypted-secrets-e-g-passwords-were-leaked-to-users-with-permission-to-read-configuration">與Jenkins在2016年公布的弱點</a>有關，這些漏洞涉及代理程式使用REST API或命令列（CLI）存取的過程，並未如預期對config.xml存放的機敏資訊加密數值進行適當處理，而有可能讓攻擊者有機會能夠檢視相關資料。開發團隊提及，這些漏洞與另一個已知漏洞CVE-2016-3724有關，該漏洞能讓攻擊者有機會讀取組態資料當中，經加密處理的帳密資料。</p> <p>至於Jenkins此次公開的其餘兩項漏洞CVE-2025-27624、CVE-2025-27625，雖然是中等風險資安漏洞，但不能因此輕忽，它們的類型分別是跨網站請求偽造（CSRF）、開放重新導向（Open Redirect），攻擊者有機會操蹤使用者側邊欄小工具收合狀態，或是將使用者導向其他網站。</p> </div></div></div>
2025/3/10 16:12作者周峻佑https://www.ithome.com.tw/news/167764
數發部3月底將啟動數位憑證皮夾沙盒試驗，拼12月進行特定應用試營運
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>數發部今天(3/10)對外展示數位憑證皮夾雛形，準備在3月底開始沙盒試驗，釋出開放原始碼供外界檢視，之後將舉辦法規調適會議、研討會、工作坊等活動，蒐集各界意見後進行調整，預計在今年12月選擇特定應用開始試營運。</p> <p>數發部從去年開始啟動數位公共基礎建設，其中數位憑證皮（數位皮夾）被視為我國重要的數位基建，去年歷經政策規畫、委外開發，終於在今年3月將進行沙盒測試，並將在今年底試營運。</p> <p>數發部長黃彥男指出，民眾以往申請服務或領取包裏，需要出示證件，或是提供身分證件影本，甚至需要雙證件，造成民眾的不便，而且民眾難以控制證件上的資訊流方向，容易導致資訊的洩露、個人隱私的洩露，未來透過數位憑證皮夾，民眾將具有自主權，可選擇想要揭露的資訊，只要攜帶手機，不需隨身攜帶實體證件，通過臉部或指紋辨識驗證，確保數位憑證皮夾使用的安全性。</p> <p>數發部今年推動的數位憑證皮夾，是讓民眾能以手機內的數位憑證皮夾存放個人使用的各種數位證件，例如自然人憑證、健保卡、駕照等等，未來民眾外出時，只要利用手機上的數位憑證皮夾，就能快速查驗身分、提供身分資料，簡化取票、領取網購包裏、申辦手機門號等服務的程序。</p> <p>數發部今天宣布將在3月底啟動數位憑證皮夾的沙盒試驗，由於必需建立完整的應用生態系，今天的啟動活動也有多個單位參加，包括臺北市政府資訊局、內政部資訊服務司、經濟部商業發展署、勞動部勞動力發展署、衛福部健保署、交通部公路局、銀行公會、壽險公會等代表。</p> <p>數發部指出，數位憑證皮夾並非支付工具，也不是數位身分證，數發部不會自己發行憑證，數位憑證皮夾是讓民眾在有需要時，打開手機就能使用各種數位憑證，以證明自己的身分，以安全的方式快速取得服務。</p> <p>數位憑證皮夾的推動，在數位經濟時代下有三種意涵，第一是數位憑證將是數位社會的基石，數位憑證皮夾讓使用者得以證明自己就是本人，安全存取需要的服務，第二是依照不同情境的選擇性揭露，使用者可選擇同意分享的身分資訊，第三是互通性，未來資料流通可避免手動輸入，且數位憑證系統跨國互通，提升數位經濟的運作效率。</p> <p>數發部數位國際司科長李岳寅表示，數位憑證皮夾並不是數位身分證，而是提供民眾數位自主，以便利商店領取包裏為例，以往出示身分證件給店員，身分證字號、出生年月日等資訊可能因此外洩，未來民眾可透過數位憑證皮夾，選擇揭露最少資訊就能完成領取。</p> <p>今天數發部展示數位憑證皮夾的雛形，民眾要使用數位憑證皮夾之前，需先通過生物辨識驗證，才能開啟手機上的數位憑證皮夾App，之後開啟皮夾的掃描功能，掃描服務提供者的QR Code，數位憑證皮夾App就會秀出想要選擇性揭露的資訊欄位，讓使用者自行勾選開放哪些資訊欄位給服務提供者，送出資訊之前再通過一次生物辨識驗證，最後送出資訊完成身分驗證。</p> <p>數發部也秀出數位憑證皮夾可能的應用情境，例如民眾前往超商領取網購包裏，需要核對姓名，未來可使用數位憑證皮夾，掃描超商提供的QR Code後，再選擇揭露的資訊欄位，如只勾選姓名，讓超商店員確認領取包裏者的姓名後，就能完成領取，這麼一來兼顧隱私保護，避免過去提供身分證件供店員檢視，住址、配偶或父母姓名等其他身分資訊過度揭露的風險。</p> <p>另外，目前網路線上租車，除了需要證件翻拍，或是手寫輸入資料，未來透過數位憑證皮夾，只需勾選線上租車需要的最少資料，就會自動帶入，簡化線上租車的程序。</p> <p>至於3月底將展開的沙盒試驗，李岳寅表示，鼓勵政府機關及產業參與沙盒試驗，將憑證數位化轉製後，並且簡化認證的流程，數發部期望為數位憑證皮夾建立豐富的應用生態系，也以政府相關部會及產業代表各自發行的實體或數位憑證為例，例如自然人憑證、健保卡、工商憑證、駕照、技術士證件、司法聯盟鏈會員卡、市民卡，以及民間產業核發的會員卡、銀行開戶、保單查詢、電信門號申請、特殊身分票券販賣等等，未來都可以加入沙盒試驗。</p> <p><span style="color:#B22222;"><strong>臺北市、內政部、衛福部表支持</strong></span></p> <p>臺北市政府資訊局長趙式隆表示，數位憑證皮夾試圖建立公、私部門一致的數位憑證使用機制，過去臺北市推動市民卡(臺北卡)、臺北通，難以走出臺北市，未來加入數位憑證皮夾，能讓臺北市的市民卡走出臺北市，臺北市將以重要場域的身分協助完成場域驗證。</p> <p>經濟部商業發展署則表示，未來希望工商憑證能放入數位憑證皮夾，商發署也有意發展行動工商憑證，未來透過合作期望發揮三個功能，例如工商企業的身分證明，未來工商憑證進入數位憑證皮夾後，企業負責人可以手機提示公司登記、工商企業證明等身分資料，最後行動工商憑證發展後，也會將簽章功能加入其中，擴大工商企業的應用場景。</p> <p>負責自然人憑證發行管理的內政部，自然人憑證因應行動化趨勢，去年12月已開放民眾到戶政事務所直接申請行動自然人憑證，擺脫晶片卡及讀卡機的限制，實現行動化，未來自然人憑證加入數位憑證皮夾，希望可帶來更多應用及創新服務。</p> <p>勞動部勞發署表示，國內從民國63年開辦技術士技能鑑定，至今年1月共有550萬人有技術士證，共發出900多萬張，由於技術士證件攜帶不便，去年推動數位技術士證證明，民眾只要有技術士證，可線上申請數位技術士證明，可隨時展示證明，未來加入數位憑證皮夾，不同的憑證在同樣的平臺可提供服務，對民眾將是方便的作法。</p> <p>衛福部健保署指出，國人從出生到死亡，現有約2,300多萬張健保卡，未來希望將健保卡放入數位憑證皮夾，能讓民眾以更方便的方式出示健保卡，完成申請的業務。</p> <p> </p> </div></div></div>
2025/3/10 16:35作者蘇文彬https://www.ithome.com.tw/news/167766