iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 14篇
近 24 小時: 20篇
近 7 天: 130篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/12
最近更新: 11/12 14:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 130 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社3筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【資安日報】3月19日，11組國家級駭客劍指Windows尚無修補的零時差漏洞，散布惡意LNK檔案發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今天最受到關注的資安新聞，莫過於一項被利用8年以上的零時差漏洞，將其用於攻擊行動的國家級駭客就有11組人馬，但這項發現受到矚目的原因，在於研究人員通報後廠商表示不會進行修補。</p> <p>這種情況已非首例，企業或許能透過入侵防禦系統（IPS）的虛擬修補（Virtual Patching）機制來因應，但對於個人用戶而言，可能就難以尋求其他防護機制自保。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167944"><strong style="font-size: 22px;">11組國家級駭客共散播上千個惡意LNK捷徑檔，劍指Windows尚無修補的零時差漏洞</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/ZDI-CAN-25373-Fig08.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/ZDI-CAN-25373-Fig08.png" style="width: 300px; float: right;" /></a>一項曝露超過8年、至少有11個國家級駭客利用的零時差漏洞，因為微軟決定不予修補，在研究人員公布相關發現後，引起各界高度關注。</p> <p>趨勢科技旗下的漏洞懸賞專案Zero Day Initiative（ZDI）指出，他們去年9月發現利用零時差漏洞ZDI-CAN-25373攻擊行動，這波攻擊最早可追溯到2017年，來自北韓、伊朗、俄羅斯、中國的11個國家級駭客利用這項漏洞，針對北美洲、南美洲、歐洲、亞洲、澳洲從事相關攻擊，範圍涵蓋政府機關、金融機構、電信業者、軍事單位、能源產業等領域。除此之外，也有以經濟利益為動機的駭客加入漏洞利用的行列。</p> <p>這些駭客使用LNK檔案未公布的命令列參數來觸發漏洞，從而在不被偵測到的情況下執行惡意酬載。研究人員總共找到接近1千個駭客使用的捷徑檔（Shell Link檔案，副檔名為LNK），並研判駭客實際使用的惡意檔案數量遠大於此。ZDI向微軟通報這項弱點並得到確認，但微軟起初表示該弱點並未達到服務條件，決定不予修補。在資安媒體廣泛報導ZDI的發現後，微軟發言人也做出新的說明，表示雖然該弱點雖然未達到該公司立即處理的標準，但他們將考慮在未來的功能發布當中緩解。</p> <p><a href="https://www.ithome.com.tw/news/167946"><strong style="font-size: 22px;">超過1百萬裝置遭殭屍網路BadBox 2.0綁架，用於廣告詐欺、非法代理伺服器</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/BadBox-Infection-Diagram.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/BadBox-Infection-Diagram.png" style="width: 300px; float: right;" /></a></p> <p>去年12月德國封鎖預載於安卓物聯網裝置的惡意軟體BadBox，並評估該國至少有3萬臺裝置曝險，後來資安業者BitSight指出，全球有多個國家也出現災情，他們掌握有19萬臺裝置被綁架的情況，如今有資安業者公布新的發現，指出駭客發起新一波的攻擊行動，且規模更加龐大。</p> <p>資安業者Human旗下的威脅情報研究團隊Satori與Google、趨勢科技、Shadowserver基金會等合作夥伴聯手，揭露新一波的惡意軟體BadBox 2.0攻擊行動，並指出這是有史以來最大的連網電視（Connected TV，CTV）殭屍網路，估計有超過100萬臺裝置被綁架，這些裝置的流量遍及全球222個國家。</p> <p>一旦攻擊者成功植入BadBox 2.0的詐欺模組，受害裝置隨即成為殭屍網路的一部分，攻擊者會將其用於程式化的廣告詐欺、點擊詐欺，以及提供惡意代理伺服器服務。若是使用者租用這種服務，就會進一步從事其他網路犯罪行為，例如：帳號挾持（ATO）、產生用於犯罪的假帳號、竊取動態密碼（OTP）丶散布惡意軟體或是發動DDoS攻擊。</p> <p><a href="https://www.ithome.com.tw/news/167954"><strong style="font-size: 22px;">中國駭客MirrorFace從事新一波攻擊，散布惡意程式ANEL、AsyncRAT</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/akairyu-figure-7.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/akairyu-figure-7.png" style="width: 300px; float: right;" /></a></p> <p>2025世界博覽會即將於下個月在日本大阪市舉辦，但在此之前傳出中國駭客想要藉此攻擊與會歐洲外交單位的情況。</p> <p>資安業者ESET於去年8月偵測到中國駭客組織MirrorFace的攻擊行動，主要目標是想要參與世界博覽會的中歐外交機構。研究人員指出，這些駭客過往長期針對日本而來，這是他們首度看到攻擊歐洲相關單位的情況。這波攻擊延續去年該公司揭露的攻擊行動Operation AkaiRyū，但戰略、手段、流程（TTP）有所調整，包含使用自製的AsyncRAT變種、來自另一個中國駭客組織APT10的惡意程式Anel（也被稱做UpperCut），並採用更為複雜的攻擊步驟。</p> <p>另一方面，這些駭客也濫用開發工具Visual Studio Code（VS Code），建立遠端隧道機制，從而秘密地存取受害電腦，執行任意程式碼，或是傳送其他作案工具。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/chatgpt-vulnerability-exploited-against-us-government-organizations/">ChatGPT存在漏洞，傳出被用於對美國政府及組織下手</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/03/new-rules-file-backdoor-attack-lets.html">供應鏈攻擊出現新手法Rules File Backdoor，恐波及AI編輯器用戶</a></strong></p> <p><strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/03/new-rules-file-backdoor-attack-lets.html"></a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/malicious-android-vapor-apps-on-google-play-installed-60-million-times/">安卓惡意軟體Vapor透過逾300個App散布，於Google Play市集被下載6千萬次</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/clickfix-widely-adopted-by-cybercriminals-apt-groups/">駭客透過ClickFix手法散布各式竊資軟體</a></strong></p> <p></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/critical-ami-megarac-bug-can-let-attackers-hijack-brick-servers/">AMI旗下MegaRAC BMC存在重大漏洞，恐導致伺服器遭挾持</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167940"><strong style="font-size: 22px;">Google正式宣布將以320億美元買下資安新創Wiz</strong></a></p> <p>3月18日Google宣布，已與雲端安全平臺Wiz簽署最終併購協議，準備支付320億美元的現金買下Wiz，併購完成後Wiz將直接併入Google Cloud，目前雙方正在等待監管機關的審核。而這是2022年該公司先後以5億美元、54億美元買下資安業者Siemplify、Mandiant之後</p> <p>而對於Alphabet併購Wiz的動機，外界普遍認為很有可能是為了強化GCP及其雲端資安業務。值得留意的是，去年Wiz在拒絕併購時，傳出執行長向員工宣布要發行股票（IPO），但後來卻不了了之，並開始與買家進行交涉，目前與Alphabet的協商進行到最後階段。彭博社指出，兩家公司最快會在本週宣布此事。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/167922"><strong>【3月18日】駭客組織CrazyHunter聲稱攻擊臺灣上市公司科定</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167906"><strong>【3月17日】Fortinet身分驗證繞過漏洞傳出被用於勒索軟體攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167883"><strong>【3月14日】國家資通安全戰略2025即將發布，將以全社會防衛為基礎打造國家資安韌性</strong></a></p> </div></div></div>
2025/3/19 18:03作者周峻佑https://www.ithome.com.tw/news/167955
中國駭客MirrorFace從事新一波攻擊，散布惡意程式ANEL、AsyncRAT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2025世界博覽會即將於下個月在日本大阪市舉辦，但在此之前傳出中國駭客想要藉此攻擊與會歐洲外交單位的情況。</p> <p>資安業者ESET於去年8月偵測到<a href="https://www.welivesecurity.com/en/eset-research/operation-akairyu-mirrorface-invites-europe-expo-2025-revives-anel-backdoor/">中國駭客組織MirrorFace的攻擊行動</a>，主要目標是想要參與世界博覽會的中歐外交機構。研究人員指出，這些駭客過往長期針對日本而來，這是他們首度看到攻擊歐洲相關單位的情況。這波攻擊延續去年該公司揭露的攻擊行動Operation AkaiRyū，但戰略、手段、流程（TTP）有所調整，包含使用自製的AsyncRAT變種、來自另一個中國駭客組織APT10的惡意程式Anel（也被稱做UpperCut），並採用更為複雜的攻擊步驟。</p> <p>針對這些駭客的攻擊流程，ESET指出MirrorFace先是使用精心製作的電子郵件接觸目標，試圖引誘收信人開啟惡意附件來觸發攻擊鏈，從而在受害電腦部署惡意程式。研究人員提及，這些駭客首度使用AsyncRAT，並於受害電腦的Windows沙箱執行，企圖掩蓋這支惡意程式的行蹤，使得受害組織難以偵測遭到入侵的跡象。</p> <p>另一方面，這些駭客也濫用開發工具Visual Studio Code（VS Code），建立遠端隧道機制，從而秘密地存取受害電腦，執行任意程式碼，或是傳送其他作案工具。</p> <p>附帶一提的是，這些駭客採用後門程式Anel，這樣的現象也加深MirrorFace與APT10之間的關聯，研究人員推測，發動攻擊的組織很有可能是APT10旗下的團體。</p> <p>此外，MirrorFace也部署另一個後門程式HiddenFace，以便在Anel遭到破壞時仍能持續存取受害電腦。但特別的是，這些駭客過往使用的LodeInfo，並未在這波攻擊行動出現。</p> </div></div></div>
2025/3/19 17:39作者周峻佑https://www.ithome.com.tw/news/167954
超過1百萬裝置遭殭屍網路BadBox 2.0綁架，用於廣告詐欺、非法代理伺服器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年12月<a href="https://www.ithome.com.tw/news/166548">德國封鎖預載於安卓物聯網裝置的惡意軟體BadBox</a>，並評估該國至少有3萬臺裝置曝險，後來資安業者BitSight指出，<a href="https://www.ithome.com.tw/news/166649">全球有多個國家也出現災情</a>，他們掌握有19萬臺裝置被綁架的情況，如今有資安業者公布新的發現，<a href="https://www.humansecurity.com/learn/blog/satori-threat-intelligence-disruption-badbox-2-0/">指出駭客發起新一波的攻擊行動</a>，且規模更加龐大。</p> <p>資安業者Human旗下的威脅情報研究團隊Satori與Google、趨勢科技、Shadowserver基金會等合作夥伴聯手，揭露新一波的惡意軟體BadBox 2.0攻擊行動，並指出這是有史以來最大的連網電視（Connected TV，CTV）殭屍網路，估計有超過100萬臺裝置被綁架，這些裝置的流量遍及全球222個國家，其中，有超過三分之一裝置位於巴西（37.82%）最多，美國近五分之一（18.21%）居次，但墨西哥、阿根廷、哥倫比亞等國也都出現受害裝置。</p> <p>與BadBox相同的是，BadBox 2.0也是在低價連網裝置植入後門程式，使得攻擊者能夠遠端載入詐欺模組從事活動，而且，駭客散布惡意程式的管道，主要是透過軟體或硬體供應鏈下手，或是藉由看似良性的應用程式挾帶惡意程式載入工具，從而使用後門程式感染受害裝置。</p> <p>一旦攻擊者成功植入BadBox 2.0的詐欺模組，受害裝置隨即成為殭屍網路的一部分，攻擊者會將其用於程式化的廣告詐欺、點擊詐欺，以及提供惡意代理伺服器服務。若是使用者租用這種服務，就會進一步從事其他網路犯罪行為，例如：帳號挾持（ATO）、產生用於犯罪的假帳號、竊取動態密碼（OTP）丶散布惡意軟體或是發動DDoS攻擊。</p> <p>Human強調，遭到感染的裝置涵蓋平板電腦、連網電視、數位投影機等多種類型，且是低價且未經過Google驗證的白牌設備，執行的是以安卓開源專案（Android Open Source Project，AOSP）打造的作業系統，並非採用Google官方認定的Android TV作業系統的連網電視，或是通過Play Protect驗證的安卓裝置。此外，這些裝置全數為中國製造，並在全球各地銷售。</p> <p>在市面上的安卓裝置當中，有不少白牌裝置開發商直接以AOSP開發作業系統，並未通過Play Protect驗證等Google相關的檢驗流程，甚至部分裝置在生產的過程裡，就可能已經被埋入惡意軟體。</p> <p>針對BadBox 2.0的發現，Satori研究人員與Google共同合作，中斷其基礎設施的運作。其中，Google在安卓裝置內建的惡意軟體防護機制Play Protect當中，能夠識別並封鎖這種惡意軟體的行動，再者，Google也終止駭客使用的Google Ad帳號。</p> <p>而從事這起攻擊的駭客，Human指出就是過往散布BadBox的那批人馬，他們確認至少有4組人馬從事BadBox 2.0攻擊行動，這些駭客包括：SalesTracker Group、MoYu Group、Lemon Group，以及LongTV。</p> <p>這些駭客各司其職，其中，SalesTracker Group管理C2基礎設施、MoYu Group負責開發後門程式BadBox 2.0並散布；Lemon Group透過殭屍網路提供代理伺服器租用服務。</p> <p>至於LongTV，則是經營一家馬來西亞的網際網路與多媒體公司，但實際上，過往該公司多款App曾被用於廣告詐欺攻擊。</p> <p>值得留意的是，這4組人馬共用C2伺服器及基礎設施，而且有緊密的業務往來。</p> </div></div></div>
2025/3/19 16:02作者周峻佑https://www.ithome.com.tw/news/167946
GCC 15首度整合COBOL 預設啟用C23並強化C++26支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://gcc.gnu.org/gcc-15/changes.html">GCC 15</a>的<a href="https://gcc.gnu.org/git/?p=gcc.git;a=shortlog">最新開發進展</a>顯示，這款開源編譯器迎來了重大更新，包括首度內建COBOL編譯器、C23設為預設標準，並強化C++26的支援。這些改變不僅擴展了語言支援範圍，也影響現有程式碼的編譯行為，開發者需留意潛在的相容性變更。</p> <p>COBOL的整合是GCC 15具代表性的更新。過去，GCC並未內建COBOL支援，開發者通常依賴GnuCOBOL等外部前端，而這次GCC直接納入gcobol，使COBOL成為官方支援的語言之一。開發團隊已將GCC中COBOL前端的程式碼庫更新為使用C++14標準，移除過時程式碼，並增加測試案例以提升穩定性。此外，GCC 15也允許gcobol在交叉編譯環境下進行建置。</p> <p>C語言方面，GCC 15將C23設為預設標準，從原本的gnu17變更為gnu23。這代表使用預設設定進行編譯的C程式將自動遵循C23標準，帶來多項語法與語意調整，包括#embed預處理指令、新的標準巨集__STDC_VERSION__值、可重現與未排序（Reproducible/Unsequenced）屬性，以及經強化的內建函式。這些變更可能影響舊版程式碼，開發者需評估是否需要調整編譯選項或更新程式碼。</p> <p>GCC 15也持續拓展對C++26的支援，近期的提交顯示，開發團隊已實作多項標準草案提案，包括pack indexing、= delete("reason")語法、constexpr placement new等。此外，C++模板錯誤診斷機制也有所改進，提供-Wtemplate-body選項來控制錯誤報告，行內組合語言（Inline Assembler）則允許使用constexpr生成的字串，提升語法彈性。這些新功能強化了C++26的可用性，讓開發者能夠更早適應未來標準的變化。</p> <p>除了語言標準的更新，GCC 15 在架構支援方面也有顯著進展。在x86-64領域，開發團隊新增了Intel APX、AVX10.2、MOVRS等指令集的支援，這些技術有助於提升指令執行效率，特別是在數值運算與向量化計算方面。與此同時，GCC 15正式移除Xeon Phi（Knights Landing與Knights Mill）支援，英特爾舊一代輔助處理器退場。</p> <p>並行運算與GPU應用開發者也將受益於GCC 15的更新，特別是在OpenMP的支援上，目前已經引入OpenMP 6.0的部分功能，如get_device_from_uid與omp_get_uid_from_device API，並強化了OpenMP target區域對Nvidia GPU的終端輸出處理。對於AMD GPU，新的異質運算機制提供更靈活的記憶體管理，使GCC在高效能計算領域更具競爭力。</p> </div></div></div>
2025/3/19 16:22作者李建興https://www.ithome.com.tw/news/167945
11組國家級駭客共散播上千個惡意LNK捷徑檔，劍指Windows尚無修布的零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一項曝露超過8年、至少有11個國家級駭客利用的零時差漏洞，因為微軟決定不予修補，在研究人員公布相關發現後，引起各界高度關注。</p> <p>趨勢科技旗下的漏洞懸賞專案Zero Day Initiative（ZDI）指出，<a href="https://www.trendmicro.com/en_us/research/25/c/windows-shortcut-zero-day-exploit.html">他們去年9月發現利用零時差漏洞ZDI-CAN-25373攻擊行動</a>，這波攻擊最早可追溯到2017年，來自北韓、伊朗、俄羅斯、中國的11個國家級駭客利用這項漏洞，針對北美洲、南美洲、歐洲、亞洲、澳洲從事相關攻擊，範圍涵蓋政府機關、金融機構、電信業者、軍事單位、能源產業等領域。除此之外，也有以經濟利益為動機的駭客加入漏洞利用的行列。</p> <p>這些駭客使用LNK檔案未公布的命令列參數來觸發漏洞，從而在不被偵測到的情況下執行惡意酬載。研究人員總共找到接近1千個駭客使用的捷徑檔（Shell Link檔案，副檔名為LNK），並研判駭客實際使用的惡意檔案數量遠大於此。ZDI向微軟通報這項弱點並得到確認，但微軟起初表示該弱點並未達到服務條件，決定不予修補。在資安媒體廣泛報導ZDI的發現後，<a href="https://www.bleepingcomputer.com/news/security/new-windows-zero-day-exploited-by-11-state-hacking-groups-since-2017/">微軟發言人也做出新的說明</a>，表示雖然該弱點雖然未達到該公司立即處理的標準，但他們將考慮在未來的功能發布當中緩解。</p> <p>究竟ZDI-CAN-25373是什麼樣的漏洞？<a href="https://www.zerodayinitiative.com/advisories/ZDI-25-148/">ZDI指出發生的原因在於Windows處理LNK檔案的過程</a>，攻擊者只要利用這種弱點，就能在LNK納入特製的危險內容，但使用者無法從Windows提供的介面看到這些內容，使得攻擊者能在使用者不知情的情況下挾帶惡意命令。一旦攻擊者利用這項漏洞，就有機會以使用者的身分執行任意程式碼，CVSS風險評為7.0分。</p> <p>不過，利用這項漏洞存在必要條件，那就是攻擊者必須與使用者互動，引誘他們存取惡意網頁，或是開啟惡意檔案。</p> <p>而對於利用這項漏洞的駭客身分，根據使用的惡意LNK檔案數量，ZDI表示最多的<a href="https://www.ithome.com.tw/tags/Evil-Corp">勒索軟體駭客Evil Corp</a>，有86個，其次是北韓駭客<a href="https://www.ithome.com.tw/tags/kimsuky">Kimsuky</a>、<a href="https://www.ithome.com.tw/tags/konni">Konni</a>，以及來自南亞的Bitter，分別有24、17、16個。但除此之外，研究人員也確認有其他國家級駭客使用這項漏洞的情況，包含北韓駭客<a href="https://www.ithome.com.tw/tags/Lazarus">Lazarus</a>，中國駭客<a href="https://www.ithome.com.tw/tags/mustang-panda">Mustang Panda</a>、<a href="https://www.ithome.com.tw/tags/apt10">APT10</a>、<a href="https://www.ithome.com.tw/tags/redhotel">RedHotel</a>（<a href="https://www.ithome.com.tw/tags/tag-22">TAG-22</a>）、俄羅斯駭客<a href="https://www.ithome.com.tw/tags/Gamaredon">Gamaredon</a>、<a href="https://www.ithome.com.tw/tags/RedCurl">Red Curl</a>，伊朗駭客<a href="https://www.ithome.com.tw/tags/APT35">APT35</a>、<a href="https://www.ithome.com.tw/tags/MuddyWater">MuddyWater</a>，印度駭客<a href="https://www.ithome.com.tw/tags/Patchwork">Patchwork</a>、<a href="https://www.ithome.com.tw/tags/SideWinder">SideWinder</a>等。值得留意的是，對於大部分的惡意LNK檔案，研究人員無法確認攻擊者的身分。</p> <p>針對駭客的目的，主要是進行資料竊取（68.2%），但也有牟取經濟利益（22.7%）、破壞網路環境（4.55%）的情況。</p> <p>這些駭客成功利用漏洞之後，也會散布其他惡意酬載進行後續活動，其中包含了Lumma Stealer、GuLoader、Remcos，但研究人員提及有駭客租用其他惡意軟體（Malware-as-a-Service）的情況。</p> </div></div></div>
2025/3/19 13:22作者周峻佑https://www.ithome.com.tw/news/167944
Nvidia開源全新推論軟體Dynamo
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Nvidia周二（3/17）<a href="https://nvidianews.nvidia.com/news/nvidia-dynamo-open-source-library-accelerates-and-scales-ai-reasoning-models" target="_blank">開源了全新的推論軟體Dynamo</a>，它可大幅提高推論性能，令Llama模型的推論性能及營收提高一倍，也能在執行DeepSeek-R1模型時，讓每個GPU產生的Token數量增加逾30倍。</p> <p>Nvidia解釋，隨著AI推理（reasoning）成為主流，每個AI模型都會在每次提示時產生數以萬計、用來思考的Token，若能增加推論（inference）效能並持續降低推論成本，將可加速成長並提高服務供應商的收入機會。</p> <p>隨著模型變得愈來愈大，並且愈來愈融入需要與多個模型互動的AI工作流程中，大規模部署這些模型涉及到將它們分布在多個節點上，也需要跨GPU進行仔細的協調。</p> <p>Dynamo是Nvidia既有Triton Inference Server的繼任推論軟體，主要利用分解式服務（disaggregated serving）將大型語言模型的處理階段與生成階段，分別部署在不同的GPU上，以提升性能與效率。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0319-NVIDIA%20Dynamo%20architecture.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Nvidia</span></span></p> <p>Dynamo的4個關鍵元件分別是GPU資源規畫器、智慧型路由器、低延遲通訊庫，以及KV快取管理器。其中，GPU資源規畫器是個規畫及調度引擎，可依據不斷變化的使用者需求，動態新增或刪除GPU，以避免GPU太多或不足；智慧型路由器則是一個可理解大型語言需求與特性的路由器，能夠在大規模部署的GPU群組中，將請求分配到最適合的GPU上進行處理，並減少對於重複請求的重新運算，讓所釋放的GPU資源得以處理新的請求，節省運算資源。</p> <p>低延遲通訊庫是個針對推論最佳化的工具集，可支援不同GPU之間、以及不同類型的記憶體及儲存類型的資料傳輸，以提高推論效率。KV快取管理器是個快取卸載引擎，會根據需求將KV快取資料轉移到不同的記憶體儲存層次中，以釋放寶貴的GPU記憶體，同時保持用戶體驗。</p> <p>根據Nvidia的測試，使用相同數量的GPU，若在Hopper平臺上執行各種Llama模型，Dynamo能使AI工廠的性能和營收翻倍；在 GB200 NVL72機架的大型叢集上執行DeepSeek-R1模型時，Dynamo也能將每個GPU產生的Token數量，提高超過30倍。</p> </div></div></div>
2025/3/19 13:08作者陳曉莉https://www.ithome.com.tw/news/167943
Google證實將以320億美元買下Wiz
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/inside-google/company-announcements/google-agreement-acquire-wiz/" target="_blank">Google周二（3/18）宣布</a>，已與雲端安全平臺Wiz簽署最終併購協議，準備支付320億美元的現金買下Wiz，收購完成後Wiz將直接併入Google Cloud，目前雙方正在等待監管機關的審核。</p> <p>Wiz創立於2020年，主要提供雲端資安服務，涵蓋雲端安全態勢管理（CSPM）、漏洞管理、容器與Kubernetes安全、基礎設施即程式碼掃描、雲端基礎設施權限管理（CIEM）、雲端適法性、資料安全態勢管理、雲端工作負載保護平臺（CWPP）、AI安全、供應鏈安全，以及雲端偵測與回應等，可分析AWS、Google Cloud Platform（GCP）、微軟Azure、甲骨文雲端基礎設施，以及Kubernetes等平臺上所代管的基礎設施，以找出資安風險因素。</p> <p>在2022年時，Google即曾先後以5億美元<a href="https://www.ithome.com.tw/news/148712" target="_blank">買下以色列資安業者Siemplify</a>，以及以54億美元<a href="https://www.ithome.com.tw/news/149768" target="_blank">買下另一資安業者Mandiant</a>，它們全都落腳Google Cloud。</p> <p>Google Cloud現有的安全方案包括Google威脅情報、Google安全營運，以及Mandiant安全顧問等，相中的是Wiz所提供無縫雲端安全平臺，可連結至所有主要的雲端及程式碼環境，自一開始就預防資安意外。G<a href="https://cloud.google.com/blog/products/identity-security/google-announces-agreement-acquire-wiz/" target="_blank">oogle讚美Wiz為創新領導者</a>，在過去的12個月創造了許多全新的資安解決方案類別。</p> <p>Wiz所開發的解決方案能夠掃描客戶環境，建立一個涵蓋程式碼、雲端資源、各種服務與應用程式，以及彼此之間連結的綜合圖表，得以辨識潛在的攻擊路徑，依據其影響力針對關鍵風險進行排序，以協助開發者在部署之前保護應用程式的安全，亦能協助安全團隊及開發者之間的合作，修復程式碼中的風險，或是偵測及阻止正在進行中的攻擊。</p> <p><a href="https://www.ithome.com.tw/news/164092" target="_blank">去年Google便曾提議以230億美元收購Wiz</a>，外傳Wiz董事會因擔心無法順利通過壟斷審核而拒絕，如今雙方捲土重來，強調Wiz今後將繼續支援所有主要雲端平臺，包括Amazon Web Services、Microsoft Azure 與Oracle Cloud，也會持續支援各種封裝的應用程式、SaaS應用程式，以及那些執行在虛擬及本地端環境的應用程式。可看出雙方期待藉由對競爭環境的支援，來換得監管機關對此一併購案的首肯。</p> <p>若能與Wiz結合，Google預期將能大幅改善其安全設計、操作與自動化；進一步透過自動化安全平臺來擴大安全團隊的能力；降低客戶實施與管理安全控制的成本；防範先進AI所帶來的新威脅，預防安全漏洞，並協助組織更有效率地應對安全事件；亦能推動多雲安全解決方案的採用。</p> <p>對於即將加入Google Cloud這個大家庭，Wiz 共同創辨人兼執行長<a href="https://www.wiz.io/blog/wiz-joining-google" target="_blank">Assaf Rappaport表示</a>，相較於作為一家獨立公司，成為Google Cloud的一份子就像是在Wiz背上綁上一枚火箭，加速其創新速度。</p> </div></div></div>
2025/3/19 11:37作者陳曉莉https://www.ithome.com.tw/news/167940
Nvidia公布Llama Nemotron AI推理模型，支援開發AI代理人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Nvidia昨日在GTC大會上宣布具推理能力的3款Llama Nemotron模型，供企業打造AI代理人，涵括裝置端到資料中心環境，也宣布微軟、SAP等整合合作夥伴。</p> <p>Llama Nemotron是Nvidia今年在CES（Consumer Electronics Show）大會上<a href="https://blogs.nvidia.com/blog/nemotron-model-families/" target="_blank">宣布的推理模型系列</a>，以Llama模型為基礎，配合Nvidia後訓練提升其多步驟數學、編程、推理與複雜決策能力。Llama Nemotron模型有三個規格，皆可以Nvidia NIM微服務形式執行。其中，Nano可在PC和邊緣裝置執行、Super可在單一GPU上執行，而Ultra模型則適用於多顆GPU的伺服器。</p> <p>Nvidia並宣布多個雲端及應用大廠將整合Llama Nemotron模型，提供其客戶開發代理人，包括微軟、SAP、ServiceNow等。微軟Azure AI Foundry將整合Llama Nemotron模型及NIM微服務，開發整合在Microsoft 365中的AI Agent。</p> <p>SAP把Llama Nemotron模型整合在其軟體平臺，強化SAP Business AI解決方案及自家AI助理Joule，此外，SAP ABAP程式語言模型也會使用Nvidia NIM及NeMo微服務提升程式碼完成度。另一家軟體業者ServiceNow則使用Llama Nemotron模型開發各種產業的AI代理人。</p> <p>在Llama Nemotron之外，Nvidia也在AI Enterprise軟體平臺，提供新的代理人AI工具及軟體。包括整理資料源及自動化AI代理人的<a href="https://developer.nvidia.com/agentiq" target="_blank">開源工具Nvidia AI-Q Blueprint</a>，其次用以優化代理人應用程式推理能力的新NIM微服務，可確保穩定部署Meta、微軟及Mistral AI的AI模型。</p> <p>第3項為AI查詢代理人的可客製化參考設計Nvidia AI Data Platform，最後是協助建立AI資料飛輪（data flywheel）、持續改進AI代理人的新NeMo微服務。</p> <p>Llama Nemotron Nano、Super模型及NIM微服務可在<a href="https://build.nvidia.com/" target="_blank">build.nvidia.com</a>及Hugging Face託管API使用。企業用戶可在資料中心和雲端環境下，以Nvidia AI Enterprise執行Llama Nemotron NIM微服務。Nvidia AI-Q Blueprint預計4月推出，其中包含的工具組<a href="http://github.com/NVIDIA/AgentIQ" target="_blank">Nvidia AgentIQ現在可在GitHub取得</a>。</p> </div></div></div>
2025/3/19 12:06作者林妍溱https://www.ithome.com.tw/news/167942
Nvidia公布二款個人用AI超級電腦，Project Digits開放預約
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Nvidia GTC大會上Nvidia執行長<a href="https://nvidianews.nvidia.com/news/nvidia-announces-dgx-spark-and-dgx-station-personal-ai-computers" target="_blank">黃仁勳公布</a>兩款號稱Grace Blackwell架構個人用AI超級電腦，而代號Project Digits的工作站即日起開放預約。</p> <p>這二款個人用超級電腦分別為DGX Spark及DGX Station。其中DGX Spark為1月<a href="https://www.ithome.com.tw/news/166849" target="_blank">公布</a>的Project Digits。而DGX Station則是使用Nvidia Blackwell Ultra平臺的桌上工作站，定位在以工作站支援AI應用開發、研究人員、資料科學家及學生建立、微調大型模型和推論，開發完成後，可將模型在工作站、邊緣執行，或部署在雲端、或是其他資料中心。</p> <p>DGX Spark（即Project Digits）號稱全球最小個人AI超級電腦。規格方面，DGX Spark採用為桌機工作站優化的Nvidia GB10 Grace Blackwell Superchip單系統晶片。GB10包含具第5代Tensor Cores及FP4精度支援的Nvidia Blackwell GPU，使DGX具備128GB記憶體，並支援最高1000 TOPS（而非年初說的1petaflop/s）的AI算力，適合微調AI模型，或是以AI推論模型進行推論，可執行最多2000億參數的模型如DeepSeek、Meta、Google、或NVIDIA Cosmos Reason世界基礎模型及NVIDIA GR00T N1機器人基礎模型。</p> <p>DGX Station則是讓桌上工作站具備資料中心效能支援AI開發。它是第一款內建Nvidia GB300 Grace Blackwell Ultra Desktop Superchip的工作站，具備784GB記憶體空間以加速大規模訓練和推論任務。</p> <p>在規格方面，GB300 Desktop Superchip具備Blackwell Ultra GPU，後者也提供最新一代Tensor Cores及FP4精度，並以NVLink-C2C連接Nvidia Grace CPU。此外，DGX Station採用網路介面卡NVIDIA ConnectX-8 SuperNIC，支援最高800Gb/s，可用於大規模AI運算作業，還可串聯多臺DGX Stations執行超大運算任務，以及網路加速的AI資料傳輸。</p> <p>Nvidia本身也提供了AI相關軟體。DGX Station加上Nvidia CUDA-X AI軟體平臺，可用於加速AI效能。若配合Nvidia Enterprise軟體平臺，企業用戶則可透過存取Nvidia NIM微服務，在雲端環境進行AI推論。</p> <p><a href="https://www.nvidia.com/en-us/products/workstations/dgx-spark/" target="_blank">DGX Spark即日起接受預約</a>，預計夏天出貨，售價方面，則不確定是否為年初訂下的3,000美元，合作廠商包括華碩、HP、Dell。而DGX Station系列將在華碩、HP、Dell、Boxx、Lambda、美超微（Supermicro）等伺服器業者合作下，於今年內上市。</p> </div></div></div>
2025/3/19 11:10作者林妍溱https://www.ithome.com.tw/news/167936
Mistral Small 3.1視覺與語文理解能力領先Google新推的Gemma 3
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>法國新創公司Mistral AI宣布推出最新的人工智慧模型<a href="https://mistral.ai/fr/news/mistral-small-3-1">Mistral Small 3.1</a>，根據官方公布的基準測試資料，Mistral Small 3.1的整體效能表現，尤其在視覺理解及長上下文處理方面，明顯優於Google日前釋出的<a href="https://www.ithome.com.tw/news/167850">Gemma 3同級模型</a>。</p> <p>Mistral Small 3.1主打適合本地端部署，與Gemma 3 27B皆屬於中型規模百億級參數的多模態人工智慧模型，具備輕量化的特性，能夠在一臺搭載單張Nvidia RTX4090顯示卡的裝置，或是32 GB記憶體的Mac電腦上運行，但Mistral Small 3.1各項技術效能指標，則已經領先Gemma 3。</p> <p>從Mistral AI公開的<a href="https://huggingface.co/mistralai/Mistral-Small-3.1-24B-Instruct-2503">詳細基準測試資料</a>來看，Mistral Small 3.1在進階的文字理解與推理任務，例如GPQA Diamond上達到45.96％，領先Gemma 3的42.40％。此外，程式撰寫能力測試人類評估HumanEval中，Mistral Small 3.1表現達88.41％，同樣略勝Gemma 3的87.80％。</p> <p>視覺處理的效能差距則更為明顯，根據ChartQA圖表理解基準，Mistral Small 3.1取得86.24％的準確率，明顯優於Gemma 3的78.00％。同時在文件圖像理解測試DocVQA，Mistral Small 3.1也以94.08％的高準確率，領先Gemma 3的86.60％，這對於需要高度視覺理解能力的應用，例如自動文件分析、品質檢測等相對重要。</p> <p>然而，在數學推理方面則是Gemma 3表現亮眼，在MATH測試中，其準確率達89.00%，顯著領先Mistral Small 3.1的69.30%。</p> <p>另一個值得關注的是長上下文理解能力，Mistral Small 3.1可處理的上下文範圍為12.8萬Token，這使模型更適合處理大型文件或長對話場景。在專門用於評估長上下文處理能力的RULER 128K測試中，Mistral Small 3.1達到了81.20％的效能，而Gemma 3僅有66.00％。</p> <p>在實際部署與硬體相容性方面，Mistral Small 3.1 24B與Gemma 3 27B針對單卡GPU裝置最佳化，因此企業或研究團隊不需要使用昂貴的叢集設備，即可實現高效推理運算，這點對於個人開發者、中小企業或需處理敏感資料且不願將資料傳輸至雲端的組織尤其重要。</p> </div></div></div>
2025/3/19 08:32作者李建興https://www.ithome.com.tw/news/167926
Nvidia發表Blackwell Ultra加速AI推理，釋出首個人形機器人開發的開放式基礎模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在GTC 2025大會中，Nvidia執行長黃仁勳發表Blackwell Ultra，鎖定AI工廠的AI運算平臺，以加速AI推理、代理型AI及物理型AI(Physical AI)，其中的GB300 NVL72要比GB 200 NVL72的AI效能高出1.5倍，與Hooper相比則提高50倍。此外，該公司也釋出首個開放的人形機器人基礎模型Isaac GR00T N1，強化人形機器人的推理能力。</p> <p>黃仁勳在主題演說中指出，AI技術正從先前的認知AI到生成式AI，往代理AI及物理AI發展，愈往後發展，AI具備更高的智能，例如物理AI技術的發展，讓AI能更好的理解實體環境的3D世界，同時驅動AI機器人的發展，每個階段的發展都會帶來商機，但是愈往後發展，就需要解決三個基本的問題，如何獲得資料、如何在沒有人類限制下訓練模型，以及AI推理能力需要更大的擴展(Scaling)訓練，需要更大的運算，超過一年前相同時間所預期的100倍。</p> <p>鑑於更複雜的AI推理能力所需的運算效能，Nvidia發表Blackwell Ultra，用來加強訓練及測試時間擴展推理(Test-time scaling inference)，Blackwell Ultra是基於先前的Blackwell架構，但採用效能更高的GB300 NVL72及HGX B300 NVL16。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/nvidia-blackwell-ultra.jpeg" style="width: 600px; height: 338px;" /></p> <p>其中GB300 NVL72採NVlink連接72個Blackwell Ultra GPU及36個Grace CPU，GB300 NVL72的AI效能比GB 200 NVL72高出1.5倍；而HGX B300 NVL16則比Hopper，運算效能提升7倍，而在大型語言模型的推理速度則提升11倍，記憶體也增加4倍，以因應較複雜的運算負載需要。</p> <p>「AI已取得巨大的發展，推理及代理AI需要更多的運算效能，Blackwell Ultra可以高效地完成預訓練、後訓練、推理AI的推論」，黃仁勳說。</p> <p>相較於傳統的LLM，產生的Token較少，對問題的回應容易出錯，推理模型能夠產生更多的Token，從而提高回應的準確性，但相對地也需要更大的運算效能，因此Nvidia強調Blackwell Ultra的效能有助於AI的擴展推理能力，可將複雜的問題拆解成多個步驟，探索不同的解決方式，來提高回應的品質。</p> <p>除了有助於AI的推理能力發展，也有助於物理AI技術發展，像是即時生成擬真的影像，以大規模的訓練機器人、自駕車，Nvidia也在GTC中宣布將和美國的GM汽車在自駕車技術進行合作。</p> <p>Blackwell Ultra預計在2025年下半年提供，Nvidia揭露思科、戴爾、HPE、聯想、華碩、富士康、技嘉、和碩、廣達等將推出相關系統，AWS、GCP、Azure等雲端服務業者將會提供運算服務。</p> <p>考量到橫向擴充的需要，Blackwell Ultra未來可搭配Nvidia Spectrum-X乙太網路及Nvidia Quantum-X800 Infiniband，透過Nvidia ConnectX-8 SuperNIC，讓每個GPU的資料吞吐量達到800Gbps。</p> <p>為加速推理AI技術，Nvidia也推出開源推理框架Nvidia Dynamo，針對部署數千個GPU的AI工廠，GPU間的溝通協調工作，將大型語言模型的處理、生成分派到不同的GPU，縮短回應時間，並且降低服務的成本。</p> <p>Blackwell Ultra之後，Nvidia也如先前所承諾的，以一年一更新的步調，揭示未來兩年的產品籃圖，2026年下半年將推出Vera Rubin NVL144，效能為GB300 NVL72的3.3倍，記憶體容、頻寬、NVLink速度也有至少1.6倍的提升；接下來，2027年下半年將推出Rubin Ultra NVL576，效能比GB300 NVL72提高14倍，搭配NVLink7、CX9，大幅提升記憶體、頻寬速度。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202025-03-19%20%E6%B8%85%E6%99%A86_33_30.png" style="width: 891px; height: 460px;" /></p> <p>針對物理AI，黃仁勳認為，物理AI將會驅動機器人、自駕車等科技快速發展，創造出新一波的機器人商機，其中人形機器人，不論在家庭生活協助或是工廠自動化生產，預期會有相當的需求。</p> <p>因此Nvidia也釋出首個針對人形機器人的開放基礎模型，GTC釋出Isaac GR00T N1，這個模型標榜為目前全球第一個開放、可自訂的通用人形機器人推理及技能基礎模型，N1整合視覺語言模型及整合Transformer的擴散模型，讓機器人可接受sensor token(例如影像)及text token(語言命令)，經過整合Transformer擴散模型處理後，產生action token，讓機器人採取行動。</p> <p>該公司也和Google DeepMind、Disney Research聯手開發機器人引擎Newton，以星際大戰中的BDX機器人為模仿，該機器人的頭部及雙腳可以自主移動，不只是靜態的模擬畫面展示，現場也安排Newton機器人升上舞臺，即時與黃仁勳互動，這款只到成人大腿左右高度的機器人搖頭晃腦外，還能依照黃仁勳的指示，移動到指定的位置，描繪物理AI技術下，可與人類互動的人形機器人在生活中已不再遙遠。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202025-03-19%20%E6%B8%85%E6%99%A86_55_28.png" style="width: 800px; height: 486px;" /></p> </div></div></div>
2025/3/19 07:27作者蘇文彬https://www.ithome.com.tw/news/167927
【資安日報】3月18日，駭客組織CrazyHunter聲稱攻擊臺灣上市公司科定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>3月初彰基醫院證實連假期間遭遇網路攻擊，經衛福部介入協助之後，確認是勒索軟體駭客CrazyHunter所為，研判在馬偕和彰基之後，駭客會尋找下一間醫院發動攻擊。但如今，傳出這些駭客針對臺灣其他產業下手的情況。</p> <p>昨天上市公司科定發布資安重訊，表示他們遭遇網路攻擊。而對於攻擊者的身分，CrazyHunter表明是他們所為，並竄改科定的網站向該公司施壓。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167907"><strong style="font-size: 22px;">攻擊馬偕、彰基的CrazyHunter再度犯案，鎖定臺灣上市公司科定</strong></a></p> <p>臺灣又有上市公司疑似遭遇勒索軟體組織的攻擊，上市公司科定企業在3月17日早上發布資安重訊證實發生網路資安事件。值得我們關注的是，這起事件的攻擊者，似乎就是半個月前攻擊馬偕、彰基醫院的幕後兇手CrazyHunter。</p> <p>科定企業這家公司的本業，是研發與生產KD塗裝木皮板、環保批批板，也就是環保裝潢加工板材。17日上午10時我們接獲科定遭網路攻擊的消息，因此連至該公司網站欲查詢其聯繫方式，結果發現，該公司整個首頁遭到攻擊者竄改。</p> <p>根據駭客竄改該公司網站首頁的內容顯示，對方自稱為CrazyHunter，並且態度十分囂張地聲稱他們加密了受害者所有的系統，包含Hyper-V、NAS、Vmware與Veeam的備份，並竊取了15 TB的資料，包含檔案伺服器資料、CRM、BPM、EIP、SAP、生產圖紙、客戶資料等其他敏感資料，要脅受害者與他們聯繫，否則將在24小時後揭露1 TB資料。</p> <p><a href="https://www.ithome.com.tw/news/167913"><strong style="font-size: 22px;">Tomcat漏洞揭露30小時後出現PoC，已被用於實際攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/7qJLtG.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/7qJLtG.png" style="width: 300px; float: right;" /></a>網頁伺服器系統Tomcat是Apache基金會核心專案之一，根據W3Techs網站的統計，雖然目前市占不到0.1%，但它仍是不少企業採用的Java應用伺服器平臺，原因在於Tomcat開源且占用資源少，廣泛支援Java網頁應用，因此適合小型應用及微服務架構，有許多企業及雲端平臺採用，不過，一旦這種重要元件出現弱點，影響將非常廣泛。自去年底Apache基金會揭露Tomcat重大層級漏洞CVE-2024-50379，最近他們公布了新漏洞CVE-2025-24813（未公布CVSS風險評分），但直到有資安業者警告該漏洞出現攻擊行動，才引起各界關注此事。</p> <p>3月17日API資安業者Wallarm指出，在3月11日Apache基金會公開CVE-2025-24813之後，隔天有名為iSee857的中國使用者公布概念驗證（PoC）程式碼，與Apache基金會公開漏洞的時間間隔僅有30個小時。隨後研究人員就在12日北美中部時間（CST）下午12時38分偵測到第一波攻擊，這起攻擊來自波蘭。Wallarm指出這項漏洞非常危險，因為將其用於攻擊極為容易，而且不需通過身分驗證，唯一的必要條件，就是Tomcat必須採用以檔案為基礎的連線階段儲存（Session Storage）機制，而這是大部分Tomcat相當常見的部署型態。</p> <p><a href="https://www.ithome.com.tw/news/167917"><strong style="font-size: 22px;">駭客佯裝Booking.com從事ClickFix網釣，對旅館業者的人際網路散布惡意程式</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Fig2-sample-phishing-email.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fig2-sample-phishing-email.png" style="width: 300px; float: right;" /></a>微軟威脅情報團隊從去年12月的旅遊旺季，察覺專門針對旅館業者的ClickFix網釣攻擊行動，駭客組織Storm-1865假借訂房網站Booking.com的名義發送釣魚郵件，意圖散布能竊取多種帳密資料的惡意程式。值得留意的是，這波攻擊行動仍在持續進行當中。</p> <p>駭客攻擊的範圍相當廣泛，涵蓋北美、大洋洲、南亞及東南亞，歐洲北部、南部、東部、西部都有災情。遭到攻擊的目標存在共通點，那就是大部分都與Booking.com有合作關係。</p> <p>在這波攻擊當中，駭客先鎖定可能與Booking.com合作的旅館及相關人士，假借該訂房網站名義寄送惡意郵件，信件內容相當多元，包括旅客的負面評論、潛在客戶需求、網路促銷機會，以及帳號驗證等。然而，這些郵件存在共通之處，不是內文包含URL連結，就是挾帶的PDF附件存在URL，駭客引誘收信人點選，對Booking.com進行回覆，若是照做就會遭遇ClickFix攻擊，可能導致電腦被植入惡意程式。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/03/unpatched-edimax-camera-flaw-exploited.html">訊舟網路攝影機零時差漏洞去年上半遭到利用，兩組人馬散布殭屍網路Mirai</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/100-car-dealerships-hit-by-supply-chain-attack/">汽車經銷商網站LESA遭遇供應鏈攻擊，駭客透過網站向使用者從事網釣</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/microsoft-new-rat-malware-used-for-crypto-theft-reconnaissance/">木馬StilachiRAT鎖定逾20種加密貨幣錢包，挾持剪貼簿收集敏感資料</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.infosecurity-magazine.com/news/volt-typhoon-threatens-us-ot/">中國駭客Volt Typhoon入侵美國OT環境接近一年</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167916"><strong style="font-size: 22px;">思科修補IOS XR的BGP聯盟實作漏洞，若不處理恐面臨DoS服務中斷攻擊</strong></a></p> <p>思科上週發布的網路設備作業系統IOS XR上半年例行更新，其中一項資安漏洞CVE-2025-20115引起高度關注，因為這項弱點思科將其評為中度風險，但CVSS風險評估卻高達8.6分，使得國內外資安媒體爭相報導此事，呼籲IT人員不能掉以輕心，應儘速套用更新程式修補。</p> <p>這項弱點出現在IOS XR的邊界閘道協定（BGP），影響已設置BGP聯盟的設備。未經身分驗證的攻擊者有機會遠端發動阻斷服務（DoS）攻擊。起因是在BGP更新時建立的AS_CONFED_SEQUENCE屬性當中，若是出現255組自治系統編號（ASN），就有可能出現記憶體損壞的現象而引發漏洞。攻擊者可藉由發送特製的BGP更新訊息，或是在特定的網路環境下讓IOS XR設備登錄255組以上的ASN，就有機會觸發漏洞。</p> <p>一旦成功觸發這項弱點，攻擊者就能造成IOS XR設備記憶體損壞，從而導致BGP處理程序重新啟動，從而造成服務阻斷。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/03/github-action-compromise-puts-cicd.html">GitHub Action存在弱點，攻擊者將其用於洩露儲存庫機密資料</a></strong></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167914"><strong style="font-size: 22px;">外傳Alphabet再度試圖買下資安新創Wiz，開價300億美元</strong></a></p> <p>3月17日華爾街日報、彭博社引述消息來源報導，Google母公司Alphabet在去年打算以230億美元收購雲端資安新創Wiz未果，近期Alphabet提高價碼，再度提議買下Wiz，而對於併購的金額，兩家新聞網站掌握到的數字不同：華爾街日報表示為300億美元，彭博社透露可能是330億美元。假若這項併購案成真，將成為Alphabet史上金額最大的交易。</p> <p>而對於Alphabet併購Wiz的動機，外界普遍認為很有可能是為了強化GCP及其雲端資安業務。值得留意的是，去年Wiz在拒絕併購時，傳出執行長向員工宣布要發行股票（IPO），但後來卻不了了之，並開始與買家進行交涉，目前與Alphabet的協商進行到最後階段。彭博社指出，兩家公司最快會在本週宣布此事。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/167906"><strong>【3月17日】Fortinet身分驗證繞過漏洞傳出被用於勒索軟體攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167883"><strong>【3月14日】國家資通安全戰略2025即將發布，將以全社會防衛為基礎打造國家資安韌性</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167845"><strong>【3月13日】殭屍網路Ballista綁架6千臺尚未修補的TP-Link無線基地臺</strong></a></p> </div></div></div>
2025/3/18 17:08作者周峻佑https://www.ithome.com.tw/news/167922
Tomcat漏洞揭露30小時後出現PoC，已被用於實際攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網頁伺服器系統Tomcat是Apache基金會核心專案之一，根據W3Techs網站的統計，雖然目前市占不到0.1%，但它仍是不少企業採用的Java應用伺服器平臺，原因在於Tomcat開源且占用資源少，廣泛支援Java網頁應用，因此適合小型應用及微服務架構，有許多企業及雲端平臺採用，不過，一旦這種重要元件出現弱點，影響將非常廣泛。自去年底Apache基金會揭露Tomcat<a href="https://www.ithome.com.tw/news/166667">重大層級漏洞CVE-2024-50379</a>，最近他們<a href="http://lists.apache.org/thread/j5fkjv2k477os90nczf2v9l61fb0kkgq">公布了新漏洞CVE-2025-24813</a>（未公布CVSS風險評分），但直到<a href="http://lab.wallarm.com/one-put-request-to-own-tomcat-cve-2025-24813-rce-is-in-the-wild/">有資安業者警告該漏洞出現攻擊行動</a>，才引起各界關注此事。</p> <p>3月17日API資安業者Wallarm指出，在3月11日Apache基金會公開CVE-2025-24813之後，隔天<a href="https://github.com/iSee857/CVE-2025-24813-PoC">有名為iSee857的中國使用者公布概念驗證（PoC）程式碼</a>，與Apache基金會公開漏洞的時間間隔僅有30個小時。隨後研究人員就在12日北美中部時間（CST）下午12時38分偵測到第一波攻擊，這起攻擊來自波蘭。Wallarm指出這項漏洞非常危險，因為將其用於攻擊極為容易，而且不需通過身分驗證，唯一的必要條件，就是Tomcat必須採用以檔案為基礎的連線階段儲存（Session Storage）機制，而這是大部分Tomcat相當常見的部署型態。</p> <p>然而要偵測相關攻擊，並不容易，Wallarm指出，由於惡意酬載採用Base64演算法，使得攻擊者觸發弱點的同時，還能迴避大部分的資安過濾機制，使得企業要察覺這類攻擊行動更加困難。</p> <p>雖然攻擊者是濫用連線階段儲存機制來觸發漏洞，但Wallarm認為，更大的問題源自Tomcat處理部分PUT請求的方式，因為攻擊者能藉此從任何地點上傳任意檔案，他們預期接下來攻擊者有可能藉由漏洞上傳惡意JSP檔案，從而竄改Tomcat組態，或是部署後門程式，因此IT人員應儘速採取行動因應。</p> <p>所幸這項漏洞的修補，已在1個月前完成。Apache基金會於2月10日發布<a href="https://tomcat.apache.org/security-11.html#Fixed_in_Apache_Tomcat_11.0.3">11.0.3</a>、<a href="https://tomcat.apache.org/security-10.html#Fixed_in_Apache_Tomcat_10.1.35">10.1.35</a>、<a href="https://tomcat.apache.org/security-9.html#Fixed_in_Apache_Tomcat_9.0.99">9.0.99版</a>Tomcat，可惜的是，在一個月後（3月11日）才公布當時處理這項弱點，並指出這項漏洞有可能會導致遠端程式碼執行（RCE）攻擊、資訊洩露，或是資訊毀損的情況，11.0.2、10.1.34、9.0.98以下版本的Tomcat都有可能受到影響。</p> </div></div></div>
2025/3/18 12:10作者周峻佑https://www.ithome.com.tw/news/167913
思科修補IOS XR的BGP聯盟實作漏洞，若不處理恐面臨DoS服務中斷攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>思科上週發布的網路設備作業系統IOS XR<a href="https://www.ithome.com.tw/news/167867">上半年例行更新</a>，其中一項資安漏洞<a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-iosxr-bgp-dos-O7stePhX">CVE-2025-20115</a>引起高度關注，因為這項弱點思科將其評為中度風險，但CVSS風險評估卻高達8.6分，使得國內外資安媒體爭相報導此事，呼籲IT人員不能掉以輕心，應儘速套用更新程式修補。</p> <p>這項弱點出現在IOS XR的邊界閘道協定（BGP），影響已設置BGP聯盟的設備。未經身分驗證的攻擊者有機會遠端發動阻斷服務（DoS）攻擊。起因是在BGP更新時建立的AS_CONFED_SEQUENCE屬性當中，若是出現255組自治系統編號（ASN），就有可能出現記憶體損壞的現象而引發漏洞。攻擊者可藉由發送特製的BGP更新訊息，或是在特定的網路環境下讓IOS XR設備登錄255組以上的ASN，就有機會觸發漏洞。</p> <p>一旦成功觸發這項弱點，攻擊者就能造成IOS XR設備記憶體損壞，從而導致BGP處理程序重新啟動，從而造成服務阻斷。</p> <p>值得留意的是，利用漏洞存在必要條件，那就是攻擊者必須在目標設備相同的自治系統裡，控制其中一個參與BGP聯盟的網路設備（BGP Confederation Speaker），或是網路環境能讓AS_CONFED_SEQUENCE列入255個ASN。</p> <p>而對於這項弱點的影響範圍，思科表示24.3、24.2、24.1、7.11版IOS XR作業系統都受到影響，24.4版不受影響，執行IOS、IOS XE、NX-OS作業系統的網路設備也不受影響。他們發布24.3.1版IOS XR修補這項弱點，之後也會為24.2版用戶提供更新。若是IT人員無法即時套用更新，可限制AS_CONFED_SEQUENCE只能登錄254組ASN來緩解。</p> </div></div></div>
2025/3/18 15:24作者周峻佑https://www.ithome.com.tw/news/167916
駭客佯裝Booking.com從事ClickFix網釣，對旅館業者的人際網路散布惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>要求使用者依照特定指示操作的網釣攻擊手法ClickFix，近半年接二連三出現，如今出現專門針對特定行業的攻擊行動，引起研究人員關注並提出警告。</p> <p>微軟威脅情報團隊從去年12月的旅遊旺季，<a href="https://www.microsoft.com/en-us/security/blog/2025/03/13/phishing-campaign-impersonates-booking-com-delivers-a-suite-of-credential-stealing-malware/">察覺專門針對旅館業者的ClickFix網釣攻擊行動</a>，駭客組織Storm-1865假借訂房網站Booking.com的名義發送釣魚郵件，意圖散布能竊取多種帳密資料的惡意程式。值得留意的是，這波攻擊行動仍在持續進行當中。</p> <p>駭客攻擊的範圍相當廣泛，涵蓋北美、大洋洲、南亞及東南亞，歐洲北部、南部、東部、西部都有災情。遭到攻擊的目標存在共通點，那就是大部分都與Booking.com有合作關係。</p> <p>在這波攻擊當中，駭客先鎖定可能與Booking.com合作的旅館及相關人士，假借該訂房網站名義寄送惡意郵件，信件內容相當多元，包括旅客的負面評論、潛在客戶需求、網路促銷機會，以及帳號驗證等。然而，這些郵件存在共通之處，不是內文包含URL連結，就是挾帶的PDF附件存在URL，駭客引誘收信人點選，對Booking.com進行回覆。</p> <p>然而收信人一旦點選，就會被帶往冒牌的Booking.com網站進行CAPTCHA圖靈驗證，要求依照指示操作，先透遇快速鍵開啟執行視窗，然後貼上駭客的命令並執行，從而在受害電腦植入各式惡意軟體。</p> <p>這些惡意程式包含XWorm、Lumma stealer、VenomRAT、AsyncRAT、Danabot、NetSupport RAT，此外，研究人員也看到下載PowerShell、JavaScript程式碼的情況。</p> <p>而對於上述的惡意程式及程式碼，微軟指出都具備竊取財務資料及帳密資斗的能力，攻擊者再將其用於詐欺活動。不過，Storm-1865假冒Booking.com從事攻擊的情況已有前例，2023年這些駭客使用類似的社交工程手法，打著該訂房網站的名號，鎖定旅館房客散布惡意程式。</p> </div></div></div>
2025/3/18 16:19作者周峻佑https://www.ithome.com.tw/news/167917
Eclipse基金會推Theia AI開源框架，AI原生IDE與客製化工具建置更簡單
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Eclipse基金會宣布正式推出<a href="https://eclipsesource.com/blogs/2025/03/13/introducing-theia-ai/">Theia AI開源框架</a>，這是一套針對工具廠商與開發者設計的人工智慧整合解決方案，能快速將人工智慧功能，整合進專業IDE與特定工具。該框架是Eclipse旗下Theia工具平臺的延伸，主打開放原始碼架構，允許廠商完全控制使用者介面設計、語言模型選擇、人工智慧代理人開發及資料管理等重要環節，降低整合人工智慧技術的門檻。</p> <p>該框架設計允許工具開發團隊自行決定人工智慧整合的層級與深度，包括自訂人工智慧對話介面、嵌入式即時建議功能，以及複雜流程的人工智慧輔助互動等。此外，Theia AI透過支援各種主流語言模型供應商，例如OpenAI、Anthropic及本地端Ollama等，使工具開發商可根據不同的需求及成本結構，選擇雲端服務或自建模型服務，進一步滿足企業內部安全性與資料隱私要求。</p> <p>與其他商業解決方案相比，Theia AI更強調開源、透明與自主性。使用者可完整存取框架內所有功能模組的原始碼，包括語言模型串流通訊管理、提示詞動態調整、人工智慧對話記錄與除錯等元件。同時，該框架也支援最新的模型上下文協定（MCP），開發者可結合現有第三方工具或服務，實現更多工具整合與情境感知功能。</p> <p>Theia AI也提供一套專為工具環境設計的結構化變更建議系統（Structured Change Set），可讓人工智慧建議的修改明確呈現於獨立介面，開發人員可以檢視、調整後再決定是否採用，避免了傳統人工智慧工具單向輸出，或建議混亂難以管理的狀況。除此之外，框架還可讓廠商在客製化編輯器、圖形介面或特殊工具元件中，導入情境式人工智慧提示與智慧完成功能，確保人工智慧功能可自然融入使用者原本的工作流程。</p> <p>目前Theia AI框架經過多個領域的實際應用驗證，包括機器人開發工具、軟體程式碼編輯器及其他領域特定的客製化應用。Eclipse基金會也提供了基於Theia AI打造的公開示範平臺AI-powered Theia IDE，供有興趣的開發人員參考。</p> </div></div></div>
2025/3/18 15:21作者李建興https://www.ithome.com.tw/news/167915
外傳Alphabet再度開價欲以300億美元買下Wiz
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>華爾街日報（The Wall Street Journal）周一（3/17）<a href="https://www.wsj.com/business/deals/alphabet-back-in-deal-talks-for-cybersecurity-startup-wiz-41cd3090?st=fakXcb&reflink=desktopwebshare_permalink" target="_blank">引述消息來源報導</a>，Google母公司<a href="https://www.ithome.com.tw/news/164092" target="_blank">Alphabet在去年</a>打算以230億美元收購雲端資安新創Wiz未果之後，Alphabet再度對Wiz祭出收購提議，此次的價碼提高至300億美元，<a href="https://www.bloomberg.com/news/articles/2025-03-17/alphabet-in-talks-to-buy-cloud-security-firm-wiz-for-33-billion" target="_blank">彭博社（Bloomberg）則說是330億美元</a>。</p> <p>Wiz創立於2020年，主要提供雲端資安服務，像是雲端安全態勢管理（Cloud Security Posture Management，CSPM）、漏洞管理、容器與Kubernetes安全、基礎設施即程式碼掃描、雲端基礎設施權限管理（Cloud Infrastructure Entitlement Management，CIEM）、雲端適法性、資料安全態勢管理、雲端工作負載保護平臺（CWPP）、AI安全、供應鏈安全，以及雲端偵測與回應等。</p> <p>該公司所提供的服務可分析AWS、Google Cloud Platform（GCP）、微軟Azure、甲骨文雲端基礎設施，以及Kubernetes等平臺上所代管的基礎設施，以找出資安風險因素。Wiz雖然設立於美國，但大多數的工程師位於以色列。</p> <p>很明顯地，此一收購將可用來強化GCP與其雲端安全業務。</p> <p>根據報導，去年Wiz的確曾向員工宣布要展開IPO，最後卻不了了之，也開始與不同的對象展開交易談判，其中，與Alphabet的協商已臻最後階段，彭博社說，雙方最快會在本周宣布。</p> <p>該交易若成真，將成為Alphabet/Google史上最大的一筆交易，原本的紀錄是<a href="https://www.ithome.com.tw/news/69214" target="_blank">Google在2011年</a>以125億美元買下Motorola Mobility。</p> </div></div></div>
2025/3/18 13:25作者陳曉莉https://www.ithome.com.tw/news/167914
百度發表Ernie X1以與DeepSeek R1競爭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.prnewswire.com/news-releases/baidu-unveils-ernie-4-5-and-reasoning-model-ernie-x1--makes-ernie-bot-free-ahead-of-schedule-302402490.html" target="_blank">百度於本周日（3/16）發表</a>多模態基礎模型ERNIE 4.5與深度推論模型ERNIE X1，並宣稱ERNIE X1的性能與DeepSeek R1相當，而且價格僅有DeepSeek R1的一半。一般使用者則可透過全新的聊天機器人<a href="https://yiyan.baidu.com/" target="_blank">ERNIE Bot（文心一言）</a>使用這兩個模型。</p> <p>ERNIE 4.5多模態模型能夠同時理解文字、圖像、音訊及影片內容，號稱具備智慧與情境意識，因而能夠理解網路迷因與諷刺漫畫。百度比較了ERNIE 4.5與GPT-4.5在多模態能力上的許多基準測試，顯示它的平均表現優於GPT-4.5，也比較了ERNIE 4.5、GPT-4.5、DeepSeek V3 Chat與GPT-4o的各項文字能力，ERNIE 4.5依舊以79.6的平均分數取勝，居次的則是GPT-4.5的79.14。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0318-baidu-ERNIE%204_5.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／百度</span></span></p> <p>百度強調，ERNIE 4.5價格只需GPT-4.5的1%，每千個Token的輸入為0.004元人民幣，每千個Token的輸出則是0.016元人民幣。</p> <p>至於ERNIE X1則是百度用來向DeepSeek R1叫陣的全新深度推論模型。中國杭州深度求索人工智慧基礎技術研究公司DeepSeek在去年12月，發表了同名的大型語言模型DeepSeek V3，今年1月開源的DeepSeek R1不管是在數學、程式碼及自然語言推論等任務上的效能都與OpenAI o1相當，而讓使用者趨之若鶩，一度登上蘋果App Store的免費應用程式榜首。</p> <p>根據百度的說法，ERNIE X1在中文知識問答、文學創作、寫作、對話、邏輯推論及複雜計算上都有出色的表現，若應用至工具上，它可支援進階搜尋、文件問答、影像理解、生成影像、闡釋程式碼、閱讀網頁、TreeMind映對、百度學術搜尋及商業資訊搜尋等。</p> <p>百度強調ERNIE X1的性能與DeepSeek R1相當，但價格只有後者的一半，每千個Token輸入價格最低為0.002元人民幣，每千個輸出Token則是0.008元人民幣。</p> <p>今年2月，<a href="https://x.com/Baidu_Inc/status/1890292032318652719" target="_blank">百度便預告了</a>ERNIE 4.5系列模型的誕生，並說計畫於6月30日將它們開源。</p> </div></div></div>
2025/3/18 12:02作者陳曉莉https://www.ithome.com.tw/news/167912
Google釋出Chromecast、Chromecast Audio無法運作的修補程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google上周起釋出最新版韌體，解決第2代Chromecast和Chromecast Audio暫停運作的問題。但Google回應太慢引發用戶不滿。</p> <p>上周起有戶<a href="https://www.reddit.com/r/Chromecast/comments/1j7dx8p/all_of_my_chromecast_audios_stopped_working/?rdt=64585" target="_blank">在Reddit論壇上反映</a>家中Chromecast忽然無法運作，不論是筆電或手機都無法將媒體內容利用Chromecast傳到電視。另一些用戶則通報Chromecast Audio也無法運作，重設也無效。通報案例用戶眾多，促使Google調查並於當天說明，發生問題的是第2代Chromecast及Chromecast Audio裝置，並預告正在製作修補方案。</p> <p><a href="https://www.googlenestcommunity.com/t5/Streaming/Regarding-an-issue-with-Chromecast-2nd-gen-and-Chromecast-Audio/m-p/693751#M70976" target="_blank">Google Nest團隊上周說明</a>，已開始釋出第2代Chromecast及Chromecast Audio裝置的修補程式，並從周末起逐漸部署完成。</p> <p>雖然Google於事發當天就回應，仍然引起用戶不滿。這是因為當天Google在Reddit討論區呼籲用戶不要將裝置執行回復出廠設定（factory reset）。但是用戶抱怨已經太遲，因為他們已按照Google官方支援網頁執行無效的重設，還有用戶以為產品壞掉又買了新產品。</p> <p>根據Google說明，已經回復出廠設定的用戶必須將Google Home App升級到最新版（Android為3.30.1.6版，iOS為3.30.106版）來設定第2代Chromecast及Chromecast Audio裝置。但完成App的部署需時數日，用戶可能需稍等。未重設的用戶手中的Chromecast/Chromecast Audio應該已經恢復正常運作。</p> <p>Google沒有解釋引發Chromecast、Chromecast Audio停止運作的原因，但<a href="https://www.reddit.com/r/Chromecast/comments/1j7caui/comment/mgzdt1u/" target="_blank">一名用戶判斷</a>可能是出於Chromecast產品內的憑證過期，導致出現「未受信任的裝置」的錯誤訊息。</p> <p>Chromecast問題可能也出在它已是舊產品。Google已不再開發Chromecast，<a href="https://www.ithome.com.tw/news/164341" target="_blank">去年8月Google發表TV Streamer取代</a>。</p> </div></div></div>
2025/3/18 09:08作者林妍溱https://www.ithome.com.tw/news/167908
【資安日報】3月17日，Fortinet身分驗證繞過漏洞傳出被用於勒索軟體攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Fortinet今年1月公布重大層級的防火牆漏洞CVE-2024-55591，但在事隔一個月後在同一則公告提及，還有另一項身分驗證漏洞CVE-2025-24472也遭到利用，但究竟新漏洞如何遭到利用？最近有資安業者公布新的攻擊行動，並指出上述兩項漏洞都遭到利用。</p> <p>針對這項漏洞利用攻擊事故，資安業者Forescout透露是勒索軟體SuperBlack的攻擊行動，值得留意的是，他們發現駭客使用不同管道來攻擊防火牆設備，但實際上都是為了觸發相同的漏洞。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167900"><strong style="font-size: 22px;">Fortinet身分驗證繞過漏洞再傳遭濫用，勒索軟體SuperBlack藉此並串連新漏洞入侵受害組織</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Blog-Exploits-Fortinet-Vulnerabi-1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Blog-Exploits-Fortinet-Vulnerabi-1.png" style="width: 300px; float: right;" /></a>1月上旬資安業者Arctic Wolf提出警告，他們察覺專門針對Fortinet防火牆設備FortiGate的攻擊行動，攻擊者鎖定能公開存取的管理介面下手，駭客利用重大層級身分驗證繞過漏洞CVE-2024-55591（CVSS風險為9.6）而得逞，如今再傳有駭客組織將其串連其他漏洞的情況。</p> <p>資安業者Forescout揭露名為SuperBlack的勒索軟體，他們從1月下旬至3月初看到使用俄文的駭客組織Mora_001鎖定Fortinet防火牆而來，利用前述提及的作業系統漏洞CVE-2024-55591，以及2月份公布的CVE-2025-24472（CVSS風險為8.7）來取得初始入侵管道。</p> <p>駭客這波利用漏洞的手法致可分成兩種，一種是直接透過jsconsole介面觸發存在於WebSocket的弱點，另一種則是發送HTTP請求來進行。</p> <p><a href="https://www.ithome.com.tw/news/167886"><strong style="font-size: 22px;">國軍官兵手機遭竊被賣到中國惹議，國防部表示未有機密資料外洩</strong></a></p> <p>根據中央社、NOWnews、壹蘋新聞網等多家媒體報導，近期PTT網站上轉傳，有中國人士於社群網站微博宣稱，他在二手平臺購得臺灣國軍官兵的手機，這名官兵疑似在臺南後備137旅服役，手機受到國軍的行動裝置管理平臺（MDM）控管，內有自走炮開火，以及士兵大合照的照片，通訊錄內有部分國軍單位的聯絡資料，這樣的消息傳到臺灣，讓外界懷疑國軍內部管理不當，軍情機密可能外洩，對此，國防部也提出說明。</p> <p>3月12日國防部陸軍第八軍團指揮部發布新聞稿做出回應，證實這支手機是137旅前吳姓士兵在2023年遺失，該名士兵發現後主動到警局備案，並將手機進行註銷。對於網路流傳的資料，陸軍第八軍團經過初步確認，包含了營外訓練照片，以及群組對話內容，都沒有涉及機敏資訊。對此，他們已成立專案小組釐清。</p> <p>13日國防部長顧立雄到立法院接受質詢時也被問到此事，他指出根據外流的照片並非官兵自己用手機在營區拍攝，而是單位專責攝影人員拍攝的可公開照片，代表國軍的MDM系統確實能防止官兵在營區拍攝機密資訊。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/new-obscurebat-malware-targets-users-fake-captchas/">惡意軟體攻擊Obscure#BAT透過社交工程手法散布，使用假的圖靈驗證讓使用者上當</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/north-korean-hackers-distributed-android-spyware-via-google-play/">北韓駭客APT37透過Google Play市集散布惡意軟體KoSpy</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/playpraetor-malware-targets-android-users/">安卓木馬PlayPraetor藉由冒牌Google Play市集網站散布</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://cofense.com/blog/microsoft-copilot-spoofing-a-new-phishing-vector">駭客假借提供微軟人工智慧聊天機器人服務，從事網路釣魚攻擊</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167904"><strong style="font-size: 22px;">GitHub修補SAML程式庫ruby-saml重大漏洞，並公布問題細節</strong></a></p> <p>上週GitLab針對社群版（CE）及企業版（EE）發布安全更新，修補重大層級的資安漏洞CVE-2025-25291、CVE-2025-25292（4.0版CVSS風險評分為8.8），這些漏洞出現於名為ruby-saml的程式庫，發現此事的GitHub，也在同一天透露這兩項漏洞的細節。</p> <p>針對這些漏洞的處理過程，最初GitHub是在去年11月透過漏洞懸賞專案獲報相關漏洞，然後向ruby-saml維護者通報此事，並進行一連串的嘗試修補及反覆驗證，最終1.18.0修正版ruby-saml於3月12日發布。他們強調，這項漏洞也同時影響omniauth-saml等其他運用ruby-saml的程式庫，也必須調整引用新版本的ruby-saml來避免曝險。</p> <p>而對於漏洞形成的原因，GitHub指出起因是ruby-saml在簽章驗證當中，採用了兩種不同的XML解析器REXML、Nokogiri，一旦攻擊者能使用相同的XPath查詢，觸發上述解析器處理不同的簽章元件，就有機會讓ruby-saml驗證錯誤的簽章，藉由特定的解析器差異（Parser Differential）達到繞過身分驗證的目的。</p> <p><a href="https://www.ithome.com.tw/news/167905"><strong style="font-size: 22px;">產生JSON事件記錄的Python程式庫存在高風險漏洞，恐導致任意程式碼執行</strong></a></p> <p>已經下架、刪除的Python、NPM套件，一旦攻擊者重新註冊相同的套件名稱，就有機會從事供應鏈攻擊，對引用原本套件的其他套件用戶下手，因此，這種相依性套件因「退場」機制設計不良而可能造成的資安風險，引起研究人員高度關注。</p> <p>例如，資安研究員Kartik Singh近期通報的資安漏洞，就是這種類型的例子。他指出自去年12月30日至今年3月4日發布的3.2.0、3.2.1版事件記錄轉換套件Python JSON Logger當中，存在潛在的遠端程式碼執行（RCE）漏洞CVE-2025-27607，起因是特定的相依性套件msgspec-python313-pre下架造成，CVSS風險評為8.8，開發團隊也發布3.3.0版緩解這項弱點。由於Python JSON Logger每個月的下載次數超過4,600萬，影響的範圍可能會相當廣泛。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167897"><strong style="font-size: 22px;">蘋果預告iOS將支援RCS 3.0全程加密，提升與安卓訊息互通安全性</strong></a></p> <p>蘋果透露即將於iOS支援RCS Universal Profile 3.0所新增的全程加密（E2EE）功能，強化與安卓裝置的訊息互通安全性。根據GSMA剛正式發布的端對端加密規格，RCS訊息將導入基於Messaging Layer Security（MLS）協定的加密標準，確保訊息在發送與接收的過程，不被第三方存取或竄改，並能支援多家服務供應商互通實作。</p> <p>RCS自2024年隨著iOS 18整合進蘋果生態系，提供跨平臺用戶較SMS/MMS更豐富的訊息功能，如群組聊天、高畫質圖片與影片傳輸、已讀與輸入中提示等。雖然RCS在安卓系統的實作如Google Messages早已支援加密，但iOS用戶還無法在RCS跨平臺通訊時，獲得相同層級的安全防護。</p> <p>蘋果發言人向科技新聞網站The Verge證實此事，將會在iOS、iPadOS、macOS、watchOS等作業系統推送相關功能。</p> <p><strong style="font-size: 22px;">其他資安防禦措施</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/03/alleged-israeli-lockbit-developer.html">勒索軟體LockBit以色列籍開發人員被引渡到美國，即將接受司法審判</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/167883"><strong>【3月14日】國家資通安全戰略2025即將發布，將以全社會防衛為基礎打造國家資安韌性</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167845"><strong>【3月13日】殭屍網路Ballista綁架6千臺尚未修補的TP-Link無線基地臺</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167834"><strong>【3月12日】微軟發布3月例行更新，其中有6項零時差漏洞已被用於實際攻擊</strong></a></p> </div></div></div>
2025/3/17 17:25作者周峻佑https://www.ithome.com.tw/news/167906
攻擊馬偕、彰基的CrazyHunter再度犯案，鎖定臺灣上市公司科定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣又有上市公司疑似遭遇勒索軟體組織的攻擊，上市公司科定企業在今日（17日）早上發布資安重訊證實此事。值得我們關注的是，這起事件的攻擊者，似乎就是半個月前攻擊<a href="https://www.ithome.com.tw/news/167327">馬偕</a>、<a href="https://www.ithome.com.tw/news/167671">彰基</a>醫院的幕後兇手CrazyHunter。</p> <p>科定企業這家公司的本業，是研發與生產KD塗裝木皮板、環保批批板，也就是環保裝潢加工板材。今日上午10時，我們接獲科定遭網路攻擊的消息，因此我們連至該公司網站查詢其聯繫方式，結果發現，該公司整個首頁遭到攻擊者竄改，其內容顯示對方自稱為CrazyHunter，聲稱竊取了15TB的資料，要脅受害者與他們聯繫，否則將在24小時後揭露1TB資料。</p> <p>為了釐清此次事件，我們於10時20分向該公司發信詢問，尚未獲得正式回應。不過，後續該公司已在10時39分於<a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=103902&SPOKE_DATE=20250317&COMPANY_ID=6655">公開資訊觀測站發布重大訊息</a>，揭露遭遇網路資安事件，指出公司網站及部分資訊系統遭受駭客網路攻擊。</p> <p>關於這次資安事件的應變與影響，科定在此資安重訊中表示，遭受網路攻擊時已立即啟動相關防禦機制，目前評估沒有個資或內部文件資料外洩之虞，對本公司營運尚無重大影響。</p> <p>究竟科定遭攻擊是否為CrazyHunter所為？我們向一位持續追蹤該組織的資安專家詢問此事，對方表示，根據目前CrazyHunter暗網公布的資訊，確實已將科定列為其受害者。</p> <p>由於這些攻擊相當針對臺灣而來，這也意味著，該組織的攻擊目標不只是臺灣的醫院，也可能開始攻擊上市櫃公司。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2025-03-17_095517 - 3月17日截圖.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-03-17_095517%20-%203%E6%9C%8817%E6%97%A5%E6%88%AA%E5%9C%96.jpg" style="width: 600px;" /></a></p> <p><strong>在3月17日早上10點，我們接獲科定遭網路攻擊的消息，在連至科定企業網站（<a href="https://www.twkd.com/">https://www.twkd.com/</a>）首頁後發現，其內容已經遭到惡意竄改，攻擊者留下自稱為CrazyHunter與勒索企業的訊息。由於日前馬偕、彰基醫院就是遭遇CrazyHunter這支勒索軟體的攻擊，使得這起事件值得更多國內企業關切。</strong></p> <p><a href="https://s4.itho.me/sites/default/files/images/2025-03-17_184057.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-03-17_184057.jpg" style="width: 600px;" /></a></p> <p><strong>科定3月17日早上10時39分發布重大訊息，說明發生網路資安事件，揭露公司網頁及部分資訊系統遭受駭客網路攻擊。</strong></p> </div></div></div>
2025/3/17 18:28作者羅正漢https://www.ithome.com.tw/news/167907
【資安週報】0310~0314，零時差漏洞利用攻擊持續受駭客青睞，作業系統、邊緣裝置與IT供應鏈廠商都遇駭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2025年2月第二個禮拜的資安新聞中，適逢微軟、SAP等多家IT廠商釋出每月例行安全更新，需要大家儘快修補與因應，而新確認已遭利用漏洞的修補消息，其威脅狀況與攻擊態勢更需我們密切關注，因為當中11個屬於零時差漏洞利用攻擊。我們整理如下：</p> <p>●微軟有6個，數量最多，涵蓋MMC相關的CVE-2025-26633、Win32相關的CVE-2025-24983，以及NTFS、FAT檔案系統方面的CVE-2025-24984、CVE-2025-24985、CVE-2025-24991、CVE-2025-24993。<br /> ●Juniper Networks有1個，是路由器漏洞CVE-2025-21590。攻擊者已查出中國駭客UNC3886所為。<br /> ●蘋果有1個，是WebKit漏洞CVE-2025-24201，iPhone用戶傳出遭鎖定攻擊。<br /> ●訊舟科技（Edimax）有1個，是網路攝影機IC-7100漏洞CVE-2025-1316。該公司表示該產品已停產10年，不再修補。<br /> ●Advantive有2個，是訂單與倉庫管理軟體VeraCore漏洞CVE-2024-57968、CVE-2025-25181，攻擊者已查出是XE Group所為。</p> <p>值得注意的是，上述微軟有兩個漏洞需特別留意，例如，涉及MMC安全功能繞過的漏洞CVE-2025-26633，ZDI指出超過600家企業組織受影響，幕後攻擊者是EncryptHub（Larva-208）駭客組織，另一個CVE-2025-24983影響可能也很大，因為通報的資安業者指出該漏洞兩年前就已開始遭到利用。</p> <p>此外，雖然Advantive的產品對臺灣企業來說可能感到陌生，但以攻擊者XE Group來看，過去我們資安日報曾報導他們發動的攻擊事故，該組織相當擅長暗中側錄信用卡與盜刷，如今竟然也有發動零時差漏洞利用攻擊的能力。</p> <p>在已知漏洞遭利用方面，同樣需要大家留意，尤其是兩個月前Ivanti修補的漏洞，發現首度遭駭客利用的情形。</p> <p>●Ivanti今年1月修補Endpoint Manager (EPM) 的漏洞CVE-2024-13159、CVE-2024-13160、CVE-2024-13161，如今發現有鎖定未修補用戶的攻擊行動。<br /> ●去年6月PHP程式語言修補的重大漏洞，一星期後遭攻擊者鎖定，思科Talos指出今年1月有新一波攻擊針對日本的科技、電信業者、娛樂、教育及研究機構。<br /> ●前年3月TP-Link修補的無線基地臺漏洞，已有多次發現遭駭客利用，資安業者Cato Networks指出今年1月發現有新攻擊是殭屍網路Ballista綁架6千多臺設備。</p> <p>在其他威脅態勢上，有多項重要消息值得關注，涵蓋供應鏈攻擊、勒索軟體、惡意廣告等不同型態的威脅發現。</p> <p>●西班牙資安業者Tarlogic Security發現中國樂鑫（Espressif）所生產微晶片ESP32被發現含有29個屬於HCI的隱藏命令（原先研究人員以後門稱之，3月9日改稱hidden feature），目前此項發現已被賦予漏洞編號CVE-2025-27840。<br /> ●Bybit交易所加密貨幣遭竊事件真相浮出檯面，遭遇北韓駭客組織Lazarus發動供應鏈攻擊，駭客從Safe{Wallet}下手，最終影響到Bybit。<br /> ●Socket資安研究團隊發現北韓駭客組織Lazarus仿冒6個知名NPM套件，試圖以相似的名稱來誘騙開發人員下載。<br /> ●勒索軟體Medusa威脅擴大，資安業者賽門鐵克示警，指出今年1、2月的攻擊頻率已經翻倍成長，每月都有超過20家企業受害。<br /> ●微軟發現大規模惡意廣告攻擊活動，其手法是透過非法影片串流網站嵌入iframe廣告來散播，並濫用GitHub來託管惡意軟體，影響全球近百萬臺裝置。</p> <p>在資安防禦進展上，臺灣政府近日公布幾項重大發展，例如，數位發展部部長黃彥男表示，他們將與產業聯手推動SEMI E187第三方驗證制度，並輔導資安廠商發展SEMI E187合規工具，以促進可信賴供應鏈的建立，還有數位憑證皮夾雛形公布，將在3月底開始沙盒試驗並釋出開放原始碼供外界檢視；資通安全研究院院長林盈達也揭露資安院2.0計畫啟動，聚焦8大重點業務，包括：外網曝險分析（EASM）、運用LLM工具、建立戰情牆、目擊情資AI關聯，另要擴充新的業務，主要針對打假打詐、建立資安生態系、強化OT、供應鏈安全而來。</p> <p> </p> <p> </p><h3><a href="https://www.ithome.com.tw/news/167768"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月10日】日本科技公司、電信業者、娛樂產業遭到攻擊，起因是PHP已知CGI漏洞尚未修補釀禍</span></strong></a></h3> <p>臺灣資安業者戴夫寇爾去年揭露的PHP重大漏洞CVE-2024-4577，公布不久就傳出<a href="https://www.ithome.com.tw/news/163417">被勒索軟體TellYouThePass用於攻擊行動</a>，後續<a href="https://www.ithome.com.tw/news/164597">有多組人馬攻擊臺灣的大學</a>，如今再度傳出相關資安事故。</p> <p>思科威脅情報團隊Talos揭露發生在今年1月的攻擊行動，這波專門針對日本的企業組織與研究機構而來，其中又以科技公司與電信業者為主要目標。</p> <h3><a href="https://www.ithome.com.tw/news/167807"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月11日】DDoS殭屍網路Eleven11bot綁架8.6萬臺網路攝影機</span></strong></a></h3> <p>最近兩到三年，駭客綁架大量物聯網裝置並用於DDoS攻擊的情況不時傳出，而近期駭客偏好的標的，包含路由器及無線基地臺等網路設備，以及網路視訊攝影機（NVR）與視訊鏡頭。</p> <p>有多組資安研究員針對殭屍網路Eleven11bot動向提出警告，就是這樣的例子，此次駭客主要鎖定的標的是海思（HiSilicon）網路視訊攝影機。</p> <p><a href="https://www.ithome.com.tw/news/167834"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月12日】微軟發布3月例行更新，其中有6項零時差漏洞已被用於實際攻擊</span></strong></a></p> <p>週二微軟發布例行更新（Patch Tuesday），總共修補57個漏洞，數量相較於<a href="https://www.ithome.com.tw/news/167325">2月份</a>的63個略為減少，然而用戶不能掉以輕心，因為這次有6個漏洞已被用於實際的攻擊行動。</p> <p>對於這些漏洞遭到利用的情況，目前公布的資訊並不多，僅有漏洞懸賞專案Zero Day Initiative（ZDI）透露駭客組織EncryptHub利用CVE-2025-26633的情況。</p> <h3><a href="https://www.ithome.com.tw/news/167845"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月13日】殭屍網路Ballista綁架6千臺尚未修補的TP-Link無線基地臺</span></strong></a></h3> <p>兩年前公布的已知漏洞近期再傳新的攻擊行動！資安業者Cato Networks揭露發生在今年1月上旬的攻擊行動，駭客鎖定的標的，就是尚未修補CVE-2023-1389的TP-Link無線基地臺Archer AX21。</p> <p>這波攻擊行動駭客綁架了超過6千臺無線基地臺組成殭屍網路，範圍涵蓋美國、澳洲、中國、墨西哥，這樣的情況突顯該漏洞在TP-Link發布相關更新之後，迄今仍有不少設備尚未修補，而讓駭客有機可乘。</p> <h3><a href="https://www.ithome.com.tw/news/167883"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月14日】國家資通安全戰略2025即將發布，將以全社會防衛為基礎打造國家資安韌性</span></strong></a></h3> <p>2016年蔡英文總統上任提出「資安即國安」的核心理念，積極推動國家安全戰略，8年之後賴清德政府延續這樣的基調，預告將提出新的戰略主張《國家資通安全戰略2025》，其中最重要的訴求，就是提升整個社會的防衛韌性。</p> <p>在最新的資通安全戰略當中，終極願景就是打造堅韌、安全、可信賴的智慧國家。為了實現這樣的目標，此戰略特別強調兩大準則，那就是：戰略夥伴鏈結，以及堅實資安治理機制及防護。</p> <p> </p> <p> </p> <p> </p> <p> </p> </div></div></div>
2025/3/17 13:46作者羅正漢https://www.ithome.com.tw/news/167891
Fintech周報第262期：日本明治安田生命正式運用生成式AI輔助大型主機開發和營運
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><strong><span style="font-size: 18px;"><span style="color: rgb(139, 69, 19);">2/25-3/14金融科技精選新聞</span></span></strong></h3> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><strong style="font-size: 16px;"><span style="color: rgb(0, 0, 205);">#生成式AI</span></strong><strong style="font-size: 16px;"><span style="color: rgb(0, 0, 205);"> #大型主機</span></strong></h3> <h3>日本明治安田生命正式運用生成式AI輔助大型主機開發和營運</h3> <p>日本保險公司明治安田生命宣布，將於今年4月起，在實際環境中開始透過生成式AI，來提升開發和營運大型主機的效率。</p> <p>從去年6月到今年3月，明治安田生命進行了兩項技術驗證。第一項是聚焦在大型主機開發流程，包括運用生成式AI來進行系統規格文件撰寫、程式碼撰寫，和單元測試。例如，讓生成式AI根據個人保險系統或企業保險系統的資料，生成系統規格文件，進一步生成程式碼和測試腳本。測試結果顯示，使用生成式AI後，可提升大型主機開發效率約25％。</p> <p>第二項技術驗證則著重在大型主機的可追蹤性管理。他們透過生成式AI檢查需求定義、系統架構設計，與測試流程的可追蹤性。明治安田生命表示，他們透過補充保險業特定術語的解釋，提高了AI輔助的準確性。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><strong style="font-size: 16px;"><span style="color: rgb(0, 0, 205);">#生成式AI</span></strong><strong style="font-size: 16px;"><span style="color: rgb(0, 0, 205);"> #大型主機</span></strong></h3> <h3>國內有金融業者開始運用生成式AI進行COBOL程式可視化</h3> <p>臺灣IBM近期表示，目前國內金融業在生成式AI發展，仍處於POC階段，且尚未出現具顛覆性的殺手級應用。</p> <p>不過，他們也透露，國內已有金融業者開始嘗試將生成式AI運用在輔助IT現代化計畫。例如，有金融業者正在POC階段，運用生成式AI來分析核心系統的COBOL程式碼，進行程式可視化，透過產出圖表，來輔助IT人員更直觀理解COBOL程式碼。未來，這些金融業者會進一步測試、驗證可視化圖表的有效性。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><strong style="font-size: 16px;"><span style="color: rgb(0, 0, 205);">#永豐金證券</span></strong><strong style="font-size: 16px;"><span style="color: rgb(0, 0, 205);"> #股票禮品卡</span></strong></h3> <h3>永豐金證券推股票禮品卡，面額可轉換為股票交易資金</h3> <p>近日，金管會核准永豐金證券辦理「股票禮品卡」的金融科技創新實驗案，實驗期間為一年。在這項實驗案中，永豐金證券會以電子形式發行和販售股票禮品卡，民眾購買禮品卡後可以自行使用，或贈送他人。</p> <p>永豐金證券表示，他們在2年前就開始構思這項金融服務，但現有法規在禮券定型化契約的適用企業並未納入金融機構。因此，永豐金證券才嘗試透過申請沙盒實驗，來實現這項服務。</p> <p>金管會表示，股票禮品卡是金管會核准的第10件金融科技創新實驗案，是既阿爾發投顧申請機器人理財服務後，第二件和股市相關的金融科技創新實驗案。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><strong style="font-size: 16px;"><span style="color: rgb(0, 0, 205);">#國泰金控</span></strong><strong style="font-size: 16px;"><span style="color: rgb(0, 0, 205);"> #科技人才</span></strong></h3> <h3>國泰金控今年科技職缺需求突破800位，較去年大增六成，為歷年新高</h3> <p>國泰金控近日表示，他們今年徵才一大亮點是數位科技人才需求大增。因應金融科技、上雲、AI等趨勢浪潮，他們今年在數據、雲端、軟體工程等數位科技人才需求超過800位，較去年大增60%，為歷年新高。</p> <p>國泰金控表示，在攬才面向，國泰全力推動數位轉型，並以「前所未有」的力道進行人才整合及布局。他們將會全面聚焦AI技術應用與治理、數據上雲、區塊鏈，和金融醫療整合，例如透過iFHIR平臺等技術，加速醫療數據標準化與交換，提升醫療數位轉型進程。</p> <h3><strong style="font-size: 16px;"><span style="color: rgb(0, 0, 205);">#生成式AI</span></strong><strong style="font-size: 16px;"><span style="color: rgb(0, 0, 205);"> #日本金融廳</span></strong></h3> <h3>日本金融廳發布AI討論文件，彙整130家日本金融機構GenAI應用情況、風險挑戰</h3> <p>日本金融廳近日發布了一份AI討論文件，文件中包含對130家日本金融機構的調查結果，探討日本金融業AI應用現況和挑戰。並且，在文件中，日本金融廳也提出了未來金融運用AI的相關政策方向。</p> <p>目前，日本金融業發展的AI應用，大致可分為三類，一類是提升營運效率，包括文件摘要與翻譯、文件結構化、校正和評估、內部資料檢索、輔助系統開發和測試等。第二類是間接應用在客戶服務，包含用GenAI支援客服中心、輔助撰寫內部審批文件草稿，以及撰寫對外公告草稿。第三類是直接使用在客戶服務上，但這類應用數量目前還非常有限。</p> <p>日本金融廳最後在報告中回應金融機構的期待，提到多方利害關係人合作的重要性，並強調會致力於支持穩健金融業的AI應用。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><strong style="font-size: 16px;"><span style="color: rgb(0, 0, 205);">#生成式AI</span></strong><strong style="font-size: 16px;"><span style="color: rgb(0, 0, 205);"> #行內問答系統</span></strong></h3> <h3>日本京都銀行預估，將生成式AI運用行內問答系統，能節省每年高達8,000小時工時</h3> <h3><span style="font-size: 13px;">日本京都銀行近日升級行內的AI問答系統，新增生成式AI文件搜尋功能，讓行員能快速查詢約1,000份內部規則與手冊，即時回應較少見或較新的業務問題。</span></h3> <p>過去，京都銀行的行員每天平均透過內部問答系統提出約400則業務相關問題，但由於業務需求不斷變動，加上內外部法規更新頻繁，行員需要手動維護常見問題集，導致系統難以即時跟上最新資訊，部分問題仍需等待人工方式提供解答。</p> <p>京都銀行預估，透過運用生成式AI新增文件搜尋功能，他們每年可節省8,000小時工時，大幅減少行員查找資料的時間。目前，新功能已應用於資產管理、人事、總務、系統相關業務等常見業務領域。京都銀行也計劃進一步擴大應用範圍，提升內部營運效率。</p> <h3><strong style="font-size: 16px;"><span style="color: rgb(0, 0, 205);">#金融監管</span></strong><strong style="font-size: 16px;"><span style="color: rgb(0, 0, 205);"> #加密貨幣</span></strong></h3> <h3>美國加密貨幣監管方向大轉彎，全國性銀行不需監理機關審核，也能從事特定加密貨幣業務</h3> <p>美國貨幣監理署近日發布解釋文件，降低了美國全國性銀行從事特定加密貨幣業務的監理要求。他們撤銷了拜登政府時期對銀行參與加密貨幣業務的額外限制，允許美國的全國性銀行能在無需監理機管審核的情況下，從事加密貨幣資產託管、特定穩定幣活動，及分散式帳本等獨立節點的驗證網路，無需向監理機關事先證明他們已實施足夠的控制措施。</p> <p><span style="font-size:16px;">其他重要Fintech新聞：</span></p> <ul> <li>BNPL品牌AFTEE將在2025年推出線下掃碼支付服務</li> <li>瑞穗金融集團將EDI系統從大型主機遷移至開放系統</li> <li>英國政府確認廢除支付系統監管機構</li> </ul> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">責任編輯／李昀璇</span></p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">資料來源：iThome整理，2025年3月</p> <p></p> </div></div></div>
2025/3/17 18:09作者李昀璇https://www.ithome.com.tw/news/167885
產生JSON事件記錄的Python程式庫存在高風險漏洞，恐導致任意程式碼執行
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>已經下架、刪除的Python、NPM套件，一旦攻擊者重新註冊相同的套件名稱，就有機會從事供應鏈攻擊，對引用原本套件的其他套件用戶下手，因此，這種相依性套件因「退場」機制設計不良而可能造成的資安風險，引起研究人員高度關注。</p> <p>例如，<a href="https://github.com/nhairs/python-json-logger/security/advisories/GHSA-wmxh-pxcx-9w24">資安研究員Kartik Singh近期通報的資安漏洞</a>，就是這種類型的例子。他指出自去年12月30日至今年3月4日發布的3.2.0、3.2.1版事件記錄轉換套件Python JSON Logger當中，存在潛在的遠端程式碼執行（RCE）漏洞CVE-2025-27607，起因是特定的相依性套件msgspec-python313-pre下架造成，CVSS風險評為8.8，開發團隊也發布3.3.0版緩解這項弱點。由於Python JSON Logger每個月的下載次數超過4,600萬，影響的範圍可能會相當廣泛。</p> <p>這項弱點發生的原因，在於該相依性套件遭到經營者刪除，導致該套件名稱有可能被其他第三方單位採用，使得採用3.13版Python環境的Python JSON Logger用戶，將因此曝露於RCE的資安風險之中。根據Kartik Singh的初步評估，這項弱點目前尚未出現遭到惡意利用的跡象，PyPI也出手回收這個套件名稱，以防遭到濫用。</p> <p>為了驗證這項弱點能夠實際被利用，Kartik Singh嘗試發布相同名稱的PyPI套件來進行驗證，隨後又將其刪除，避免實質對Python JSON Logger用戶造成影響。</p> </div></div></div>
2025/3/17 17:07作者周峻佑https://www.ithome.com.tw/news/167905
GitHub修補SAML程式庫ruby-saml重大漏洞，並公布問題細節
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週GitLab針對社群版（CE）及企業版（EE）<a href="https://www.ithome.com.tw/news/167865">發布安全更新</a>，修補重大層級的資安漏洞CVE-2025-25291、CVE-2025-25292（4.0版CVSS風險評分為8.8），這些漏洞出現於名為ruby-saml的程式庫，<a href="https://github.blog/security/sign-in-as-anyone-bypassing-saml-sso-authentication-with-parser-differentials/">發現此事的GitHub，也在同一天透露這兩項漏洞的細節</a>。</p> <p>針對這些漏洞的處理過程，最初GitHub是在去年11月透過漏洞懸賞專案獲報相關漏洞，然後向ruby-saml維護者通報此事，並進行一連串的嘗試修補及反覆驗證，最終1.18.0修正版ruby-saml於3月12日發布。他們強調，這項漏洞也同時影響omniauth-saml等其他運用ruby-saml的程式庫，也必須調整引用新版本的ruby-saml來避免曝險。</p> <p>而對於漏洞形成的原因，GitHub指出起因是ruby-saml在簽章驗證當中，採用了兩種不同的XML解析器REXML、Nokogiri，一旦攻擊者能使用相同的XPath查詢，觸發上述解析器處理不同的簽章元件，就有機會讓ruby-saml驗證錯誤的簽章，藉由特定的解析器差異（Parser Differential）達到繞過身分驗證的目的。</p> <p>GitHub經過4個環節的研究，找到這些身分驗證繞過漏洞。首先，他們檢視ruby-saml程式碼，發現運用兩款不同的XML解析器。</p> <p>接著，研究人員評估如何造成解析器差異。下一步則是在解析器實際運作過程中，找出真正的解析器差異弱點，最終透過這項弱點產生會造成危害的手法。</p> <p>而對於漏洞緩解，ruby-saml開發團隊也費了一番心思，因為並非移除其中一個解析器來避免解析器差異的情況，若真的這麼做，會引發相容性的問題，該團隊決定從更為根本的因素下手：切斷驗證雜湊值及驗證簽章之間的關聯，從而促使漏洞無法利用的目的。</p> </div></div></div>
2025/3/17 15:50作者周峻佑https://www.ithome.com.tw/news/167904
勒索軟體SuperBlack透過Fortinet身分驗證繞過漏洞入侵受害組織
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>1月上旬資安業者Arctic Wolf提出警告，<a href="https://ithome.com.tw/news/166969">他們察覺專門針對Fortinet防火牆設備FortiGate的攻擊行動</a>，攻擊者鎖定能公開存取的管理介面下手，駭客利用重大層級身分驗證繞過漏洞CVE-2024-55591（CVSS風險為9.6）而得逞，如今再傳有駭客組織將其串連其他漏洞的情況。</p> <p>資安業者Forescout揭露名<a href="https://www.forescout.com/blog/new-ransomware-operator-exploits-fortinet-vulnerability-duo/">為SuperBlack的勒索軟體</a>，他們從1月下旬至3月初看到使用俄文的駭客組織Mora_001鎖定Fortinet防火牆而來，利用前述提及的作業系統漏洞CVE-2024-55591，以及<a href="https://www.ithome.com.tw/news/167334">2月份公布的CVE-2025-24472</a>（CVSS風險為8.7）來取得初始入侵管道。</p> <p>駭客這波利用漏洞的手法致可分成兩種，一種是直接透過jsconsole介面觸發存在於WebSocket的弱點，另一種則是發送HTTP請求來進行。</p> <p>一旦成功利用漏洞，駭客就會以隨機的使用者名稱通過身分驗證，然後以forticloud-tech、fortigate-firewall、adnimistrator等使用者名稱建立本機系統管理員帳號，並下載防火牆的組態配置檔案以便後續偵察活動。附帶一提的是，若是管理員啟用了防火牆的VPN功能，駭客就會建立本機帳號，而能透過這種管道持續存取受害組織的網路環境。</p> <p>假若受害組織並未啟用VPN功能，駭客就會以前述建立的新帳號，透過高可用性（HA）組態，或是濫用身分驗證基礎架構，於其他Fortinet防火牆建立存取管道。</p> <p>為了決定後續的橫向移動路徑，駭客還會存取FortiGate防火牆的主控臺，掌握防火牆運作狀態、漏洞管理、網路組態、列管裝置、使用者SSL VPN連線資料、Wi-Fi連線的資訊。然後，他們利用WMIC進行偵察，並使用SSH連線存取伺服器及網路裝置。這些駭客會優先針對高價值目標下手，竊取內部機密資料後將檔案加密。</p> <p>附帶一提的是，駭客使用的勒索軟體與LockBit 3.0（LockBit Black）非常類似，主要差異在於勒索訊息內容及外洩資料的工具。對此，研究人員認為，攻擊者很可能與LockBit有關。</p> </div></div></div>
2025/3/17 14:31作者周峻佑https://www.ithome.com.tw/news/167900
iOS將支援RCS 3.0端對端加密，提升與Android訊息互通安全性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Apple即將於iOS支援<a href="https://www.gsma.com/newsroom/article/rcs-encryption-a-leap-towards-secure-and-interoperable-messaging/">RCS Universal Profile 3.0</a>所新增的端對端加密（E2EE）功能，強化與Android裝置的訊息互通安全性。根據GSMA剛正式發布的端對端加密規格，RCS訊息將導入基於MLS（Messaging Layer Security）協定的加密標準，確保訊息在發送與接收的過程，不被第三方存取或竄改，並能支援多家服務供應商互通實作。</p> <p>RCS自2024年隨著iOS 18整合進Apple生態系，提供跨平臺用戶較SMS/MMS更豐富的訊息功能，如群組聊天、高畫質圖片與影片傳輸、已讀與輸入中提示等。雖然RCS在Android系統的實作如Google Messages早已支援加密，但iOS用戶還無法在RCS跨系統通訊時，獲得相同層級的安全防護。</p> <p>而<a href="https://www.theverge.com/news/629620/apple-iphone-e2ee-encryption-rcs-messaging-android">外媒已向Apple發言人Shane Bauer確認</a>，Apple將會在iOS、iPadOS、macOS和watchOS之後的軟體更新，支援端到端加密RCS訊息。根據GSMA規格，RCS 3.0採用的MLS是一種針對大規模群組傳訊環境設計的加密協定，具備金鑰輪替、自動更新群組成員加密狀態等能力，能處理多人群組對話、成員加入與退出等複雜情境，並使每一位成員所接收的訊息都符合當下的最新加密狀態。</p> <p>也就是說，之後無論是在iOS或Android裝置建立的RCS群組，所有訊息交換都能維持動態一致且安全的加密通道。此外，這套規格進一步定義了異常狀況下的錯誤處理方式，包含加密狀態同步失敗或金鑰失效時的應對程序，避免訊息丟失或無法解讀等問題。</p> <p>跨服務供應商的互通性是這次RCS E2EE的設計重點，針對不同電信業者、系統平臺與裝置品牌間的訊息交換，規格明確制定金鑰分發與認證的標準作法。透過各家RCS服務供應商的金鑰交付服務，系統能協調不同來源的用戶在互傳訊息時，自動取得對方的公鑰並完成加密，而無須仰賴第三方伺服器存取訊息內容。</p> <p>此外，RCS 3.0的端對端加密與既有的SIM卡驗證機制整合，確保每位參與訊息交換的用戶身份，均來自有效的電信服務註冊，降低冒充或詐騙的風險。</p> </div></div></div>
2025/3/17 14:35作者李建興https://www.ithome.com.tw/news/167897
Google Gemini Flash Thinking模型升級、強化Deep Research、整合Google A…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google上周<a href="https://blog.google/products/gemini/new-gemini-app-features-march-2025/" target="_blank">宣布</a>Gemini App新增多項功能，包括使用功能更強大的Gemini Flash Thinking Experimental模型，強化Deep Research，整合Google Photos等App，還讓所有人都可以自製Gems個人版助理。</p> <p>Google去年12月<a href="https://www.ithome.com.tw/news/166597" target="_blank">宣布</a>Gemini Flash Thinking實驗版（Experimental）。這是一個使用思維鏈的模型，它會將用戶提示切成一系列步驟，強化推理，一邊回應時一邊思考，以提供用戶更好的回答。上周升級後，Gemini Flash Thinking Experimental模型增加檔案上傳、加大context windows並提升效能，更快給出答案。Gemini Advanced用戶現在可以存取100萬字元的context windows，使其能處理分析大量資訊、並解決更複雜問題。</p> <p>而Gemini Flash Thinking Experimental的升級，也讓Gemini App功能更強大。其中之一是Deep Research功能。Gemini App去年12月首先<a href="https://www.ithome.com.tw/news/166493" target="_blank">加入</a>Deep Research，它是一項代理人功能，讓用戶可以Gemini App上網搜尋、研究複雜主題，它會制訂多步驟研究計劃，並反覆搜尋、深入分析公開網頁資訊，最後生成一份報告。原本它是以Gemini 1.5 Pro為基礎，現在加入Gemini Flash Thinking Experimental。因此Gemini搜尋網頁時，會顯示其思維鏈，即時顯示它的思考、解題過程。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0317-gemini-Deep%20Research.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Google</span></p> <p>更好的是，Deep Research功能現在推向所有人，支援45種以上語言。只要在提示列或模型下拉選單中，選擇「Deep Research」即可。不過一般Gemini用戶一個月只能免費使用「數次」，想多用者必須升級Gemini Advanced方案。</p> <p>Gemini Flash Thinking Experimental升級的另一個效益是提升Gemini App個人化。首先是更個人化的Google搜尋。用戶可在Gemini模型下拉選單中選擇「Personalization （experimental）」獲致個人化服務。此外，基於Gemini Flash Thinking Experimental，Google宣布Gemini App整合對象擴及更多Google App，包括行事曆（Calendar）、筆記（Notes）和任務（Tasks），未來幾周還會再整合Google相片（Photos）。</p> <p>除了Gemini Flash Thinking Experimental外，Gemini App還擴大提供個人化助理Gems。Gems是可客製化版本的Gemini，用戶可針對特定主題或目的客製化成特殊主題專家。去年8月<a href="https://www.ithome.com.tw/news/164745" target="_blank">推出</a>時，Gems只提供給Gemini Advanced用戶，現在擴大為Gemini App所有用戶。用戶可以套用Google預建的或是自製個人化Gemini，像是翻譯助手、餐點規劃師或是數學小家教。在桌機版Gemini的「Gems manager」即可啟用這項功能，Gems現在也接受上傳檔案。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0317-gemini-gem.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> </div></div></div>
2025/3/17 10:22作者林妍溱https://www.ithome.com.tw/news/167890
微軟為誤刪兩款受歡迎的VS Code擴充程式道歉
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本周恢復了二月底被誤判為惡意程式的VS Code擴充程式，這二款受歡迎的擴充下載次數高達數百萬。</p> <p>二月底，用戶<a href="https://news.ycombinator.com/item?id=43178831" target="_blank">發現</a>VS Code擴充程式Material Theme及Material Theme Icons。被從VS Code軟體市集移除。這二款擴充程式是由Mattia Astorino（代號equinusocio）開發，下載次數高達900萬。</p> <p>當時微軟VS軟體市集團隊成員解釋，社群中有成員對該款程式做了「深入的安全分析」，發現多項有惡意意圖的紅標警示而向其通報。微軟研究人員證實此事，而且發現更多可疑程式。因此微軟封鎖了程式出版商，並從所有含有該擴充程式的VS Code執行個體中移除。</p> <p>研究人員是基於Material Theme程式中一個經混淆加密的檔案release-notes.js，被發現具程式執行能力。但是Material Theme的作者Astorino解釋，問題出在它 2016 年就使用至今的相依套件Sanity.io，該套件用於顯示來自 Sanity 無頭內容管理系統（headless CMS）的發行說明（release note）。Astorino解釋，Material Theme問題在於混淆過程時，不慎包含sanity.io SDK用戶端程式進去，而Material Theme Icon問題則是在關聯的index.js檔中加了個組建腳本（build script），但這個腳本失去了原先作用。兩個擴充程式實際上沒有包含任何惡意元件。</p> <p>但<a href="https://github.com/microsoft/vsmarketplace/issues/1173#issuecomment-2716936212" target="_blank">Astorino說</a>，微軟發現後並未聯繫他證實或要求其修正，而是認定他有惡意，並直接封鎖了他帳號，且下架6個（而不只2個）擴充程式，影響數百萬用戶。他並指控，微軟非但沒有主動聯繫，且完全封鎖他的電子郵件，使其無從聯繫微軟澄清此事，此舉造成對他的聲譽和用戶信任的損害。</p> <p>微軟在更新聲明中正式道歉，指出Material Theme和Material Theme Icons出版商帳號被錯誤警示。但微軟強調，他們的初衷是為了保護用戶，他們已經盡力，只是作為人難免犯錯。微軟重申Material Theme和Material Theme Icons是安全的，現在已經重新上架VS Code軟體市集。</p> </div></div></div>
2025/3/17 08:49作者林妍溱https://www.ithome.com.tw/news/167888
Gemini聊天機器人將在今年全面取代Google Assistant
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google上周五（3/14）<a href="https://blog.google/products/gemini/google-assistant-gemini-mobile/" target="_blank">宣布</a>，將在今年全面以Gemini取代Google Assistant，屆時大多數的行動裝置將無法再存取Google Assistant服務，也無法再自應用程式商店下載Google Assistant。只有無法支援Gemini的低階裝置才能繼續使用Google Assistant，像是執行Android 10以前的作業系統，以及記憶體不足2GB的裝置。</p> <p>Google於2016年推出的Google Assistant是款語音數位助理，支援Android、ChromeOS、iOS、Raspberry Pi及Ubuntu等眾多平臺。至於Gemini則是款基於AI的聊天機器人，奠基在Google於2023年發表的同名大型語言模型，早期名為<a href="https://www.ithome.com.tw/news/161254" target="_blank">Google Bard</a>，且當時Google便打算用它來取代Google Assistant，現在的Gemini支援包括繁體中文在內的逾40種語言及超過200個市場。</p> <p>迄今已有數百萬用戶從Google Assistant轉換到Gemini，Google將在未來幾個月把更多行動裝置用戶從Google Assistant升級到Gemini。只要使用者的裝置是手機或是平板電腦，具備2GB以上的記憶體，位於Gemini所支援的市場，採用Android 10或iOS 16及以上的作業系統，裝置上的Google Assistant便會在未來幾個月自動升級成Gemini。</p> <p>不只是行動裝置，Google亦計畫將平板電腦、車載系統，以及諸如耳麥與智慧手錶等可連結手機的裝置皆升級至Gemini，也將藉由Gemini改善喇叭、顯示器與電視等家用裝置的體驗，預計於未來幾個月揭露細節。在此之前，這些裝置上的Google Assistant將如常運作。</p> <p>Google列出了Google Assistant與Gemini的<a href="https://gemini.google/assistant/#comparing-gemini-with-google-assistant" target="_blank">比較表</a>，顯示出Gemini不僅能執行熱門的Google Assistant功能，像是取得答案、提供日曆/提醒與清單功能、連結地圖/Gmail/雲端硬碟、詢問YouTube內容、播放音樂、控制手機及管理智慧住宅裝置等，還能在AI的助益下以更自然的語言與Gemini交談，或是同時連結不同的應用程式以解決更複雜的任務。</p> </div></div></div>
2025/3/17 09:18作者陳曉莉https://www.ithome.com.tw/news/167889
重新定義資安預防準度與效率，Deep Instinct開闢AI資安新局
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/deep_instinct_for_endpoint-tw-main3.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自從進階持續威脅（APT）橫行，有不少專家提出防毒軟體無用論，認為著重在特徵碼比對的防毒產品成效不彰，於是，在企業資安市場上，出現多種主打「事中察覺」與「事後清理、阻斷、復原」解決方案，例如，進階威脅防護系統（ATP）、使用者行為分析系統（UBA）／使用者與實體行為分析系統（UEBA），以及針對威脅進行偵測與應變的端點防護方案（EDR）、網路防護方案（NDR）、橫跨多種防護的方案（XDR）。</p> <p>僅有少數廠商仍然持續強調事前預防仍大有可為，因為建立「預想被駭（Assumed Breach）」的思維固然重要，但資安預防不能因此偏廢，目前有哪些廠商積極向市場推廣這項主張？老牌資安公司Check Point正是其中一家，他們長期宣傳「預防優先（Prevention-First）策略的必要，近年來，我們看到還有另一家同樣出身以色列的資安新創公司Deep Instinct，他們也強調預防優先，宣揚資安預防是可行的，表明旗下產品提供即時預防已知與未知惡意威脅，以及詮釋這些危機的能力，海威資訊已將這個品牌引進臺灣。</p> <h3><span style="color:#0000FF;"><strong>實施快速、精準資安預防，去年擴增與整合AI資安解釋引擎</strong></span></h3> <p>關於資安解決方案的成效，Deep Instinct表示，他們運用專屬的深度學習資安框架，能夠在20毫秒內精準阻止惡意軟體的侵入，相較於目前加密資料動作最快的勒索軟體，資安預防速度可達到750倍，可及早攔阻多種元件的部署，像是負責植入或遞送惡意軟體酬載的木馬（Dropper）、維持惡意軟體存在與運作的組件（Artifact）、繞過正常身分驗程序而非法存取系統的後門程式（backdoor）等。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Deep Instinct Position.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Deep%20Instinct%20Position.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2023-DI-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-DI-2.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2023-DI-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-DI-3.jpg" style="width: 298px;" /></a></p> <p>2022年下半之後，Deep Instinct也經常引用另一家資安公司Unit 221B的產品評估報告，標榜自家產品的準確率號稱超過99％（99.78％），誤判率低於0.1％。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-11-DI-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-11-DI-1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2023-DI-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2023-DI-1.jpg" style="width: 298px;" /></a></p> <p>到了2024年5月，Deep Instinct發表首款基於生成式AI技術而成的資安助手DIANNA，全名為Deep Instinct’s Artificial Neural Network Assistant，提供解釋未知資安威脅的能力，可透過專家級的惡意軟體分析機制，強化既有的資安解決方案。</p> <p>基本上，這當中運用大型語言模型的技術，形成虛擬的AI惡意軟體分析團隊，以及事故應變專家群，能夠產生所有攻擊行為的深層分析完整敘述，揭露敵方使用的伎倆與檔案的行為，可促使資安團隊理解網路威脅的運作方式，並在資料外洩之前得以進行緩解作業。</p> <p>Deep Instinct認為，配備DIANNA之後，可結合大量資安專家的集體知識、將這些資訊嵌入大型語言模型，針對未知的指令碼、文件、原始的雙位元檔案、捷徑檔，以及其他可用來傳遞網路威脅的檔案，提供深層的惡意軟體洞察分析能力，並且經由靜態分析的方式，相當精確地找出裡面是否存在已知或未知的為非作歹意圖，並以清楚、容易理解的形式產生報告內容。DIANNA能夠解譯採用多種程式語言寫成的雙位元程式碼與指令碼，分析內容之餘，也理解當中的意圖與潛藏的動作，並解讀程式碼設計的目的，藉此判斷是否有惡意，以及如何衝擊系統的正常運作，最終整理成為以自然語言表達的分析報告。</p> <p>同時，DIANNA不只是列出分類結果，還能使資安團隊在充分知情的狀態下，制定正確的決策、有效率地排定網路威脅處理的優先順序，自動執行許多單調的分析任務，分攤資安團隊的人力負擔，提升資安維運中心（SOC）的績效，而且，因為能藉此降低誤判浪費的時間，企業與組織對於網路威脅事故的平均修復時間（MTTR）也隨之減少，進而改善資安服務與工作的滿意度。</p> <p><a href="https://s4.itho.me/sites/default/files/images/DIANNA-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/DIANNA-1.jpg" style="width: 298px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/DIANNA-2.jpg" style="width: 298px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/DIANNA-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/DIANNA-3.jpg" style="width: 600px;" /></a></p> <p>相較於傳統採用機器學習的AI工具，Deep Instinct也點出目前的技術瓶頸，突顯自家產品優勢。例如，通常針對既有的事件記錄與網路信譽引擎，進行類似人工操作的資料摘要處理，此種作法先天上無法因應未知攻擊、提供判定當中具有惡意的洞察分析，而且只能根據有限的前後文脈絡產生回溯分析。</p> <p>對比市面上其他的資安AI對話機器人應用，在原本需仰賴深層網路威脅專業知識的惡意軟體分析工作上，Deep Instinct強調DIANNA這套威脅解釋引擎可大幅壓縮作業時間，幾秒鐘就能產生全方位的資安威脅態勢解讀報告，而且有能力分析未知資安威脅，判斷指令碼、文件、雙位元檔案是否具有惡意。</p> <h3><strong><span style="color:#0000FF;">採用專屬深度學習資安框架，一套技術通吃四大IT環境的資安預防</span></strong></h3> <p>在2024年11月之後，Deep Instinct將旗下的多種資安解決方案，從原本掛上的品牌Prevention換成Data Security X（DSX），簡而言之，目前可涵蓋端點、應用程式、NAS，以及雲端服務這四大環境。</p> <p><a href="https://s4.itho.me/sites/default/files/images/DSX overview.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/DSX%20overview.png" style="width: 600px;" /></a></p> <p>舉例來說，發展時間最久、也是代理商海威資訊主打的資安解決方案，是端點防護平臺（EPP）類型的產品，先前稱為Deep Instinct for Endpoint或Deep Instinct Prevention for Endpoint（DPE），原廠網站現在統一稱為DSX for Endpoint，但上述名稱還是會使用。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Deep Instinct Prevention for Endpoints.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Deep%20Instinct%20Prevention%20for%20Endpoints.png" style="width: 600px;" /></a></p> <p>關於專攻應用程式防護的產品，是2022年8月推出的Deep Instinct Prevention for Applications（DPA），現稱為Deep Instinct DSX for Applications，該公司區分為DSX for Applications – Middleware、DSX for Applications – Secure File Transfer。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Deep Instinct Prevention for Applications.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Deep%20Instinct%20Prevention%20for%20Applications.png" style="width: 600px;" /></a></p> <p>針對儲存系統提供防護的產品，是2023年10月推出Deep Instinct Prevention for Storage（DPS），原本涵蓋DPS for Network Attached Storage，以及DPS for Cloud Storage，前者現稱為Deep Instinct DSX for NAS，細分為DSX for NAS – Dell EMC，以及Deep Instinct DSX for NAS – NetApp。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Deep Instinct Prevention for Storage.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Deep%20Instinct%20Prevention%20for%20Storage.png" style="width: 600px;" /></a></p> <p>至於為雲端服務提供防護的產品，是2024年11月推出Deep Instinct DSX for Cloud，該公司目前提供DSX for Cloud – Amazon S3，以及DSX for Cloud – Amazon FSx NetApp。</p> <p><a href="https://s4.itho.me/sites/default/files/images/DSX for Cloud - Amazon S3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/DSX%20for%20Cloud%20-%20Amazon%20S3.png" style="width: 600px;" /></a></p> <p> </p> <p>無論保護何種環境，Deep Instinct DSX都有共通的架構，是由不同角色組成，包含：部署於端點電腦的個人端程式（D-Client）或設置在儲存設備、雲端服務的代理程式、掃描器，管理伺服器／管理主控臺（D-Appliance）、深度學習網路實驗室與類神經網路（DSX Brain），以及信譽查詢服務（D-Cloud）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/DPE Product Architecture1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/DPE%20Product%20Architecture1.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Deep Instinct Arch.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Deep%20Instinct%20Arch.jpg" style="width: 600px;" /></a></p> <p>值得注意的是，Deep Instinct的解決方案不僅能用於企業與組織，也支援多租戶架構的服務供應模式，因此，也能用於合作廠商、代管服務業者（MSP），以及資安服務代管業者（MSSP），這些公司可以透過單一、集中的主控臺，管理多個環境，確保所有代管的資料安全與彼此隔離。</p> <p>單就端點防護解決方案的配置架構而言，Deep Instinct提供輕量的個人端軟體D-Client，當中封裝該公司提供的AI預測模型，能藉此啟動裝置端的深層靜態分析、深層行為分析，以及其他防護引擎，並且與Deep Instinct管理伺服器溝通，個人端程式能從這裡接收政策與軟體更新，以及回傳發生在此處的事件記錄。</p> <p>D-Client可安裝在多種作業系統的電腦、伺服器，以及行動裝置，廣泛支援6大平臺，囊括Windows、Linux、macOS、iOS與iPadOS、Android、ChromeOS，足以媲美當前一線大廠的EPP、EDR，甚至超越（不少廠商的產品尚未支援行動裝置作業系統）。</p> <p>管理伺服器的部分，Deep Instinct表示，D-Appliance會設置在雲端服務，提供集中管理與監控機制，系統管理人員能透過圖表形式快速查看資安事件的狀態，也能在此設定企業資安政策。</p> <p>而在核心防護技術的部分，源於該公司發展的深度學習網路，稱為Deep Instinct Neural Network，座落在他們設置的實驗室Deep Instinct labs，能持續學習與反映不斷進化的資安威脅態勢，並非仰賴手動進行特徵工程、擷取向量等作業方式進行，而且，隨著訓練資料集的規模逐漸成長，這個神經網路可以越來越聰明。</p> <p>接著，Deep Instinct會將這個不斷執行深度學習的流程輸出為輕量的AI預測模型D-Brain，後續這套根據數億個檔案樣本訓練而成的模型，也會部署到所有列管的D-Client裝置。</p> <p>基本上，若用於端點防護，D-Brain會安裝在D-Client軟體；若用於應用程式防護，D-Brain會安裝在容器化應用程式。在這樣的架構當中，AI預測模型可針對各種裝置，提供網路威脅自動偵測與與預防能力，實施零時差漏洞濫用與進階持續性威脅（APT）的防護。</p> <p>提供持續的資安防護、抵禦未知資安威脅的漏洞濫用之餘，Deep Instinct強調，DSX Brain的更新每年僅需一到兩次，就能維持資安預防效率，即使是半年前發布的DSX Brain仍能阻擋已知、未知，以及濫用漏洞的資安威脅，無須頻繁執行更新模型的作業，相關的服務管理成本也能因此降低。</p> <p>至於信譽查詢服務，這是個選用功能，可提供額外的防護能力。Deep Instinct藉此提供基於檔案而成的信譽判定引擎，本身是數十億個檔案組成的資料庫，是從多種資料來源收集而來，之後標定為不同的判斷與類別。他們表示，運用此處儲存的已知檔案資訊，能對檔案進行重新分類的作業程序，正確的判定結果也會即時更新。</p> <h3><span style="color:#0000FF;"><strong>提供多層次的防護架構</strong></span></h3> <p>除了搭配AI深度學習訓練的AI模型，以及結合代理程式、管理伺服器的產品運作架構，Deep Instinct最終呈現在用戶面前的資安預防能力，也是涵蓋多種層次。</p> <p>如同資安威脅的處理，可區分事前、事中、事後等三個階段，Deep Instinct提供的防護能力，也分為執行前（Pre-Execution）、執行中（On-Execution）、執行後（Post-Execution），他們提供靜態分析引擎、行為分析引擎與指令碼引擎、可疑活動引擎，各自抵禦三種當前最常面臨的資安威脅：透過檔案傳遞的攻擊活動（File-based Attacks）、無檔案類型的攻擊活動（Fileless Attacks）、可疑的攻擊活動。</p> <p><a href="https://s4.itho.me/sites/default/files/images/DPE-多層安全防禦體系.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/DPE-%E5%A4%9A%E5%B1%A4%E5%AE%89%E5%85%A8%E9%98%B2%E7%A6%A6%E9%AB%94%E7%B3%BB.png" style="width: 600px;" /></a></p> <p>而在這四大資安引擎當中，靜態分析引擎其實就是Deep Instinct發展的深度學習引擎，用於執行前的資安預防處理，包含靜態分析模組與啟發分析模組，能夠執行深層掃描的檔案類型至少有21種，涵蓋常見與各國專屬的文件（PDF、Office、RTF、JTD、HWP），巨集（Macro），壓縮與軟體封裝檔（JAR、APK），二進位執行檔（PE、ELF、Mach-O），捷徑檔（LNK），字型、圖形與多媒體檔（Fonts、TIFF、SWF），以及指令碼檔（JavsScript、VBScript、PowerShell、巨集、HTA、rundll32），可預防已知與未知惡意軟體，像是勒索軟體、零時差漏洞濫用攻擊，以及基於檔案與指令碼的攻擊行為。</p> <p><a href="https://s4.itho.me/sites/default/files/images/DPE-2023-10-8.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/DPE-2023-10-8.jpg" style="width: 600px;" /></a></p> <p>另一條居中的防線，也就是執行中的資安預防機制，Deep Instinct提供動態與行為分析，包含兩種防護引擎，一是運用微軟防惡意軟體掃描介面（AMSI）的行為分析引擎，能夠偵測與自動因應可疑、惡意的指令碼，另一是在記憶體層級執行啟發式掃描的指令碼引擎，兩者並用之後，能夠預防多種網路威脅，像是勒索軟體、無檔案攻擊、間諜軟體（銀行木馬、鍵盤側錄器、惡意程式載入器Dropper）、遠端程式碼注入、已知與未知的殼層程式碼（shellcode）攻擊、帳密竊取、大量帳密擷取（Credential Dumping），以及繞過AMSI偵測的手法。</p> <p>在此同時，Deep Instinct可針對每一種資安威脅，提供額外的前後文脈絡，以便了解嚴重性與攻擊者發動的戰術，因此能夠列出可疑事件，方便後續進行威脅獵捕的工作，以及提供MITRE ATT&CK框架的攻擊手法對應，並且產生信譽高低的分析。</p> <p><a href="https://s4.itho.me/sites/default/files/images/DPE-2023-10-5.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/DPE-2023-10-5.jpg" style="width: 600px;" /></a></p> <p>至於執行後的預防，Deep Instinct提供選用的可疑活動引擎，能透過偵測規則的自動比對與分析來判斷網路威脅，能夠依據信譽分數或控管政策，以及用戶自行匯入的允許清單，推翻原本訂定的資安決策。</p> <p><a href="https://s4.itho.me/sites/default/files/images/DPE-2023-10-6.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/DPE-2023-10-6.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/DPE-2023-10-7.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/DPE-2023-10-7.jpg" style="width: 298px;" /></a></p> <p>而且，在這個階段的作業過程裡面，所有資安預防事件可集中至Deep Instinct的管理主控臺，整合到資安資訊與事件管理系統（SIEM），以及資安調度指揮、自動處理與應變系統（SOAR）、端點偵測與應變系統（EDR），也能透過REST API、Syslog、SMTP與其他資安解決方案協同合作。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-11-DI-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-11-DI-2.jpg" style="width: 600px;" /></a></p> <p>值得注意的是，Deep Instinct DSX系列目前主打的四大防護環境，對照前幾年他們提出的Deep Instinct Prevention Platform，其實對應到的IT環境是三種類型：端點、應用系統、雲端服務或儲存系統（Deep Instinct Prevention for Storage原本包含DPS for NAS、DPS for Cloud Storage，現在則區分為DSX for NAS、DSX for Cloud），其實還有一種產品類型尚未納入，那就是網站閘道（Web Gateway）。</p> <p>此類專司線上內容傳遞的系統過去只能仰賴傳統防毒降低資安風險，雖然後來市場上出現新技術，像是沙箱檢測（Sandboxing）、內容威脅解除與重組（CDR），但可能都面臨使用效率不彰、協同合作架構較複雜的挑戰，Deep Instinct過去曾提供Deep Instinct for Web Gateways，可透過ICAP協定接取，藉此進行AI靜態分析、進行資安預防處理，或許未來這類解決方案也有可能重新浮出檯面。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Deep%20Instinct%20Prevention%20Platform-4%20use%20case.jpg" style="width: 600px;" /></p> <p><strong><span style="color:#008080;">產品資訊</span></strong></p> <p><span style="color:#0000FF;">Deep Instinct Prevention for Endpoint</span><br /> ●原廠：Deep Instinct<br /> ●建議售價：廠商未提供<br /> ●支援作業系統：Windows（7至11，Server 2008 R2至2022）、macOS（10.12至11）、Linux（RHEL 7.9與8.0、CentOS 7.9、Ubuntu 20.04、AWS Linux 2 Kernel 4.14.x、Oracle Linux 7.9）、Android（8以上）、iOS（12以上）、ChromeOS<br /> ●支援虛擬化平臺：Amazon Workspaces、Citrix Hypervisor與XenDesktop、VMware ESX與Horizon、Microsoft Hyper-V、Oracle VirtualBox<br /> ●組成架構：部署於端點電腦或伺服器的代理程式D-Client、管理伺服器與管理主控臺、雲端信譽查詢服務D-Cloud、部署於端點電腦與容器化應用程式的預測模型D-Brain、設置於Deep Instinct labs的類神經網路Deep Instinct Neural Network</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/3/16 12:52作者李宗翰https://www.ithome.com.tw/review/167612
中國要求標記由AI生成的內容，9月上線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">中國互聯網信息辦公室、工業和信息化部、公安部與國家廣播電視總局於上周五（3/14）攜手<a href="https://www.cac.gov.cn/2025-03/14/c_1743654685899683.htm" target="_blank">發布</a>了《人工智能生成合成內容標識辦法》，以要求生成服務供應商與網路信息內容傳播服務供應商應該標記由AI生成的內容，該辦法即將於今年9月1日實施，同一天實施的配套技術措施為《網路安全技術人工智能合成內容標識方法》。</p> <p dir="ltr">中國政府說明，生成式AI與深度合成等技術讓文本、圖片、聲音及影片的生成更為便利，但同時也帶來虛假訊息的傳播，此一辦法明訂了供應商必須標記由AI生成的內容，包括顯性及隱性標記。</p> <p dir="ltr">其中，顯性標記是依據生成內容添加文字、角標、語音或節奏等一般使用者可見的標記，隱性則是在生成內容的文件元資料中添加標記。並要求供應商應於用戶協議中說明所使用的標記方法及樣式規範。</p> <p dir="ltr">此外，中國也要求應用程式商店在審核相關程式時，必須檢查它們是否標記AI生成內容。</p> <p dir="ltr">歐盟的人工智慧法案AI Act也已於2024年8月1日生效，亦要求AI生成供應商必須標記所生成的內容以供外界識別。</p> </div></div></div>
2025/3/15 23:33作者陳曉莉https://www.ithome.com.tw/news/167887
國軍官兵手機遭竊被賣到中國惹議，國防部表示未有機密資料外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據<a href="https://www.cna.com.tw/news/aipl/202503120330.aspx">中央社</a>、<a href="https://www.nownews.com/news/6658159">NOWnews</a>、<a href="https://tw.nextapple.com/politics/20250313/8B336A76BF2A2AFDB35737A196266285">壹蘋新聞網</a>等多家媒體報導，<a href="http://nextptt.app/boards/Gossiping/post/M.1741765303.A.EEA">近期PTT網站上轉傳</a>，有中國人士於社群網站微博宣稱，他在二手平臺購得臺灣國軍官兵的手機，這名官兵疑似在臺南後備137旅服役，手機受到國軍的行動裝置管理平臺（MDM）控管，內有自走炮開火，以及士兵大合照的照片，通訊錄內有部分國軍單位的聯絡資料，這樣的消息傳到臺灣，讓外界懷疑國軍內部管理不當，軍情機密可能外洩，對此，國防部也提出說明。</p> <p>3月12日國防部陸軍第八軍團指揮部<a href="https://www.mnd.gov.tw/Publish.aspx?p=84129&title=%e5%9c%8b%e9%98%b2%e6%b6%88%e6%81%af&SelectStyle=%e6%96%b0%e8%81%9e%e7%a8%bf">發布新聞稿</a>做出回應，證實這支手機是137旅前吳姓士兵在2023年遺失，該名士兵發現後主動到警局備案，並將手機進行註銷。對於網路流傳的資料，陸軍第八軍團經過初步確認，包含了營外訓練照片，以及群組對話內容，都沒有涉及機敏資訊。對此，他們已成立專案小組釐清。</p> <p>13日國防部長顧立雄到立法院接受質詢時<a href="https://www.nownews.com/news/6658159">也被問到此事</a>，他指出根據外流的照片並非官兵自己用手機在營區拍攝，而是單位專責攝影人員拍攝的可公開照片，代表國軍的MDM系統確實能防止官兵在營區拍攝機密資訊。</p> <p>民進黨立委林楚茵質詢時，詢問此官兵手機遺失是否造成資訊外流？顧立雄表示群組裡都是已經公開、不涉機密的照片。</p> </div></div></div>
2025/3/14 22:40作者周峻佑https://www.ithome.com.tw/news/167886
承諾支持金融機構穩健運用AI！日本金融廳發布AI討論文件，彙整130家日本金融機構GenAI應用情況、風險挑戰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>日本金融廳近日發布了一份<a href="https://www.fsa.go.jp/en/news/2025/20250304/aidp_summary_en.pdf">AI討論文件</a>，文件中包含對130家日本金融機構的調查結果，探討日本金融業AI應用現況和挑戰。並且，在文件中，日本金融廳也提出了未來金融運用AI的相關政策方向。</p> <p>文件中提到，日本金融業在採用AI技術的過程中，容易因監管問題和風險而有所顧忌。不過，日本金融廳認為，AI將會從根本上改變金融服務與金融機構的商業模式，所以，日本金融廳表示，他們將會強烈支持金融機構穩健運用AI，透過設置明確的監管機制，為金融AI應用提供一個安全港。並且，這份討論文件也將作為未來金融廳和金融機構對話基礎，用來制定長期政策。</p> <h3>日本金融業GenAI運用情況</h3> <p>根據日本金融廳的調查，超過九成的日本金融業已使用AI或GenAI，並且，很多金融機構和金融科技公司已經將AI運用至內部營運場景。超過半數的日本金融業者直接使用通用型生成式AI，其中，RAG是最多日本金融機構使用，或考慮用來提升LLM模型能力的技術，微調(Fine-tuning)則占第二。</p> <p>針對日本金融業導入GenAI的方式，多數業者採用IT供應商提供的GenAI服務，或是根據不同應用需求，採用不同GenAI服務。也有少數金融業者採用開源模型，將其部署至地端環境。</p> <p>在應用案例上，日本金融業的情況與臺灣相似，較多金融業處在將GenAI應用於內部場景，並且，超過半數的日本金融業者期望未來能將生成式AI直接運用在客戶服務上，只是因幻覺問題而有所限制。</p> <p>目前，日本金融業發展的AI應用，大致可分為三類，一類是提升營運效率，包括文件摘要與翻譯、文件結構化、校正和評估、內部資料檢索、輔助系統開發和測試等。第二類是間接應用在客戶服務，包含用GenAI支援客服中心、輔助撰寫內部審批文件草稿，以及撰寫對外公告草稿。第三類是直接使用在客戶服務上，但這類應用數量目前還非常有限。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202025-03-14%20%E6%99%9A%E4%B8%8A8_05_32.png" style="width: 600px;" /></p> <h3>日本金融業採用GenAI的挑戰</h3> <p>文件中除了針對傳統AI和GenAI共同會有的挑戰，還有列出GenAI讓哪些問題變得更困難，包括可解釋性\責任歸屬、偏見\公平性、模型風險管理、個資保護、資訊安全、人力需求。當金融機構要發展GenAI時，這些議題會比過往發展傳統AI，變得更為棘手。而相比傳統AI，GenAI帶來的新挑戰則有幻覺問題和金融犯罪風險。</p> <p>根據調查結果，日本金融業普遍期待主管機關能釐清 AI 應用相關法規的適用範圍，提供更明確的監管指引，並且進行跨司法管轄區的AI相關法規協調，確保和國際標準有一致性。而調查中也提到，隱私保護、IT治理、模型與風險管理，和網路安全，是日本金融業最需要進一步明確制定的監管領域。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202025-03-14%20%E6%99%9A%E4%B8%8A8_06_38.png" style="width: 600px;" /></p> <h3>承諾將支持金融業穩健發展AI應用</h3> <p>日本金融廳最後在報告中回應金融機構的期待，提到多方利害關係人合作的重要性，並強調會致力於支持穩健金融業的AI應用。他們表示，公司部門合作，將能有效促進AI應用案例開發和建立治理機制，特別是有利於資源有限的小型金融機構。他們也提到，金融廳和其他政府機構合作、參與國際規範制定，兩者都十分重要。最後，他們也承諾將成立「多方利害關係人研究小組」，深入探討特定議題，推動更完善的 AI 監管政策，且持續透過對話來促進產業創新、提升監管可預測性。</p> <p></p> </div></div></div>
2025/3/14 22:03作者李昀璇https://www.ithome.com.tw/news/167884
【資安日報】3月14日，國家資通安全戰略2025即將發布，將以全社會防衛為基礎打造國家資安韌性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2016年蔡英文總統上任提出「資安即國安」的核心理念，積極推動國家安全戰略，8年之後賴清德政府延續這樣的基調，預告將提出新的戰略主張《國家資通安全戰略2025》，其中最重要的訴求，就是提升整個社會的防衛韌性。</p> <p>在最新的資通安全戰略當中，終極願景就是打造堅韌、安全、可信賴的智慧國家。為了實現這樣的目標，此戰略特別強調兩大準則，那就是：戰略夥伴鏈結，以及堅實資安治理機制及防護。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167882"><strong style="font-size: 22px;">中國駭客UNC3886對Juniper路由器設備下手，植入後門程式TinyShell變種</strong></a></p> <p>資安業者Mandiant指出，去年中旬UNC3886開始鎖定Juniper Networks的路由器設備，植入以TinyShell為基礎打造的變種後門程式，這些後門具有不同型態，包含主動執行或是被動接收命令的運作模式，有的能利用嵌入式指令碼停用受害裝置的事件記錄功能，使得攻擊者能大幅減少留下來的作案痕跡。</p> <p>究竟駭客如何對路由器下手？Mandiant指出是利用處理程序注入的手法，突破Juniper網路設備作業系統Junos OS子系統Verified Exec（Veriexec），此為檔案完整性防護機制，主要用途是防止未經授權的程式碼在Junos OS執行。</p> <p>而對於上述的攻擊手段，已被登記編號為CVE-2025-21590的漏洞，Juniper Networks也發布作業系統更新防堵這項弱點，並指出這項漏洞發生的原因為作業系統核心不當隔離造成，握有特殊權限的本機攻擊者，可透過Shell在受影響設備注入任意程式碼，4.0版CVSS風險為6.7分（3.1版為4.4分）。</p> <p><a href="https://www.ithome.com.tw/news/167851"><strong style="font-size: 22px;">Bybit遭遇史上最大加密貨幣竊案</strong></a></p> <p>過去犯下多起鎖定銀行SWIFT系統盜轉的北韓駭客組織Lazarus，最近因為竊取Bybit交易所加密貨幣再次登上新聞版面，該組織竊取了40.1萬個以太幣（ETH）、9萬個質押以太幣等，造成14.6億美元（約新台幣478億元）損失，創下堪稱加密貨幣業歷來最大規模竊案。</p> <p>為此，美國聯邦調查局在2月底已發布關於北韓TraderTraitor惡意網路活動的公告，指出該加密貨幣竊盜活動的幕後攻擊者，就是資安界通常被追蹤為Lazarus（APT38、BlueNoroff）的北韓駭客組織。只是，後續該駭客組織洗錢行動也相當迅速，3月4日已證實有20%遭駭的以太幣已無法追蹤，僅3%被凍結，還有77%尚在追蹤範圍內。</p> <p>目前，Bybit為了追回這些被竊的加密貨幣，已祭出名為LazarusBounty的懸賞計畫（Lazarusbounty.com），以獎勵協助他們追回被竊資產的白帽駭客與資安專家，獎勵金為追回金額的10%，目前已發放430萬美元給22位協助追回的貢獻者。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/ai-powered-deception-fake-github-repositories-spread-smartloader-and-lumma-stealer/">駭客利用AI設置假的GitHub儲存庫，企圖散布惡意程式SmartLoader、Lumma Stealer</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/clickfix-attack-delivers-infostealers-rats-in-fake-bookingcom-emails/">假借訂房網站的名義從事ClickFix網釣攻擊，駭客針對旅館從業人員散布惡意程式</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-superblack-ransomware-exploits-fortinet-auth-bypass-flaws/">勒索軟體SuperBlack透過Fortinet身分驗證繞過漏洞入侵受害組織</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167865"><strong style="font-size: 22px;">GitLab修補重大層級SAML身分驗證繞過漏洞</strong></a></p> <p>作為許多企業內部採用的DevOps平臺，GitLab對軟體應用程式開發的協同合作相當重要，安全性與可用性不足，將造成很大的影響，因此，一有漏洞相關消息，企業必須要密切注意，及早進行修補或或緩解工作。</p> <p>3月12日GitLab針對社群版（CE）及企業版（EE）發布安全更新17.9.2、17.8.5、17.7.7版，修補9項漏洞，其中被列為重大層級的CVE-2025-25291、CVE-2025-25292相當危險，特別值得留意。</p> <p>這兩個漏洞出現在名為ruby-saml的程式庫，影響啟用SAML單一簽入（SSO）的GitLab執行個體，在特定的情況下，一旦攻擊者能夠存取已由身分驗證提供者（IdP）簽署的有效SAML檔案，就有機會以有效的使用者通過身分驗證，4.0版CVSS風險評為8.8（滿分10分）。</p> <p><a href="https://www.ithome.com.tw/news/167867"><strong style="font-size: 22px;">思科針對IOS XR設備發布2025上半年例行更新，修補10項資安漏洞</strong></a></p> <p>半年前轟動全球的中國駭客Salt Typhoon攻擊美國電信業者事故鬧得沸沸揚揚，關鍵環節之一正是思科路由器平臺是駭客主要的入侵管道，因此，該廠牌路由器的漏洞修補消息，勢必受到更大的關注。</p> <p>本週二（3月12日）思科針對網路設備作業系統IOS XR發布上半年例行更新，總共修補10項資安弱點，其中有7項為高風險層級、3個為中度風險層級，CVSS風險值介於4.0至8.8分。</p> <p>根據風險評分的高低，最危險的是命令列（CLI）權限提升漏洞CVE-2025-20138，通過身分驗證的本機攻擊者能利用這項弱點，在作業系統底層以root權限執行任意命令，風險值為8.8。</p> <p><a href="https://www.ithome.com.tw/news/167869"><strong style="font-size: 22px;">西門子公告伺服驅動馬達設備Sinamics S200重大漏洞，若不處理攻擊者可用來植入惡意韌體</strong></a></p> <p>3月11日西門子發布資安公告，指出旗下的伺服驅動馬達設備Sinamics S200部分版本存在資安漏洞CVE-2024-56336，起因是這些裝置存在未上鎖防護的開機載入工具（bootloader），使得攻擊者有機會植入不受信任的韌體造成損害。</p> <p>這項漏洞存在於特定序號的Sinamics S200，IT人員可以檢查設備序號確認，存在漏洞的設備序號開頭為SZVS8、SZVS9、SZVS0、SZVSN，以及FS編號為02的Sinamics S200，就有可能受到影響。此漏洞4.0版CVSS風險為9.5分，3.1版風險值為9.8，相當危險。</p> <p>對於該漏洞的緩解，西門子呼籲用戶應遵循他們公布的通用資安建議措施，加強曝險設備的資安防護。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.zyxel.com/global/en/support/security-advisories/zyxel-security-advisory-for-post-authentication-command-injection-vulnerabilities-in-certain-dsl-ethernet-cpe-fiber-ont-and-wifi-extender-devices-03-11-2025">兆勤修補旗下DSL、光纖、Wi-Fi訊號延伸設備高風險命令注入漏洞</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/popular-python-logging-library-vulnerable-to-remote-code-execution-cve-2025-27607/">產生JSON事件記錄的Python程式庫存在高風險漏洞，恐導致任意程式碼執行</a></strong></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167864"><strong style="font-size: 22px;">在全社會防衛的基礎上打造國家資安韌性，國家資通安全戰略2025即將正式公布</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/guo_jia_zi_tong_an_quan_zhan_lue_2025.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/guo_jia_zi_tong_an_quan_zhan_lue_2025.png" style="width: 300px; float: right;" /></a></p> <p>自2016年蔡英文總統上任以來，政府便以「資安即國安」為核心理念，積極推動國家安全戰略。這一理念不僅代表著對資訊安全領域的高度重視，更反映出在全球網路威脅日益多元、複雜的背景下，資訊安全與國家安全早已密不可分。</p> <p>隨著2024年賴清德總統就任，儘管繼續沿用「資安即國安2.0版」（2021年至2025年）的戰略基調，但政府進一步提出了《國家資通安全戰略2025》，以期在未來四年內全面提升全社會防衛韌性。</p> <p>這份戰略文件不僅針對能源及關鍵基礎設施的安全進行規畫，同時涵蓋資通、運輸與金融網路等多個層面，主要願景則是打造一個堅韌、安全、可信賴的智慧國家。國安會諮詢委員李育杰強調，該戰略目前已獲得總統同意，正在進行文字修正與排版調整，預計將於3月正式對外公布。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/167845"><strong>【3月13日】殭屍網路Ballista綁架6千臺尚未修補的TP-Link無線基地臺</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167834"><strong>【3月12日】微軟發布3月例行更新，其中有6項零時差漏洞已被用於實際攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167807"><strong>【3月11日】DDoS殭屍網路Eleven11bot綁架8.6萬臺網路攝影機</strong></a></p> </div></div></div>
2025/3/14 17:23作者周峻佑https://www.ithome.com.tw/news/167883
中國駭客UNC3886對Juniper路由器設備下手，植入後門程式TinyShell變種
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從2021年底開始，中國駭客組織UNC3886運用當時尚未揭露的FortiOS、VMware vCenter、VMware Tools零時差漏洞從事攻擊行動，<a href="https://www.ithome.com.tw/news/163572">事隔3年才東窗事發</a>，如今傳出這些駭客針對其他廠牌的設備下手，從事新一波的目標式攻擊。</p> <p>資安業者Mandiant指出，<a href="https://cloud.google.com/blog/topics/threat-intelligence/china-nexus-espionage-targets-juniper-routers">去年中旬UNC3886開始鎖定Juniper Networks的路由器設備</a>，植入以TinyShell為基礎打造的變種後門程式，這些後門具有不同型態，包含主動執行或是被動接收命令的運作模式，有的能利用嵌入式指令碼停用受害裝置的事件記錄功能，使得攻擊者能大幅減少留下來的作案痕跡。</p> <p>究竟駭客如何對路由器下手？Mandiant指出是利用處理程序注入的手法，突破Juniper網路設備作業系統Junos OS子系統Verified Exec（Veriexec），此為檔案完整性防護機制，主要用途是防止未經授權的程式碼在Junos OS執行。</p> <p>而對於上述的攻擊手段，已被登記編號為CVE-2025-21590的漏洞，<a href="https://supportportal.juniper.net/s/article/2025-03-Out-of-Cycle-Security-Bulletin-Junos-OS-A-local-attacker-with-shell-access-can-execute-arbitrary-code-CVE-2025-21590?language=en_US">Juniper Networks也發布作業系統更新防堵這項弱點</a>，並指出這項漏洞發生的原因為作業系統核心不當隔離造成，握有特殊權限的本機攻擊者，可透過Shell在受影響設備注入任意程式碼，4.0版CVSS風險為6.7分（3.1版為4.4分）。</p> <p>針對駭客發動攻擊的過程，Mandiant指出攻擊者事先透過用於管理網路設備的終端機伺服器，取得有效帳密資料，以特殊權限存取路由器，然後從Junos OS的命令列介面（CLI）執行FreeBSD Shell，接著在使用名為<a href="https://tldp.org/LDP/abs/html/here-docs.html">Here Document</a>的機制產生經Base64演算法處理的檔案ldb.b64，解密之後變成壓縮檔ldb.tar.gz，從而於路由器植入後門程式。</p> <p>除此之外，Mandiant指出對於生命週期已經結束（EOL）的MX路由器，駭客透過其他手段，以root權限植入後門程式。</p> <p>Mandiant一共發現6款後門程式，這些惡意軟體全數由TinyShell衍生，駭客將它們偽裝成Junos OS特定模組，例如：appid、to、irad、lmpad、jdosd、oemd，來掩人耳目。</p> </div></div></div>
2025/3/14 16:58作者周峻佑https://www.ithome.com.tw/news/167882
西門子公告伺服驅動馬達設備Sinamics S200重大漏洞，若不處理攻擊者可用來植入惡意韌體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>3月11日西門子發布資安公告，指出旗下的伺服驅動馬達設備Sinamics S200部分版本<a href="https://cert-portal.siemens.com/productcert/html/ssa-787280.html">存在資安漏洞CVE-2024-56336</a>，起因是這些裝置存在未上鎖防護的開機載入工具（bootloader），使得攻擊者有機會植入不受信任的韌體造成損害。</p> <p>這項漏洞存在於特定序號的SINAMICS S200，IT人員可以檢查設備序號確認，存在漏洞的設備序號開頭為SZVS8、SZVS9、SZVS0、SZVSN，以及FS編號為02的Sinamics S200，就有可能受到影響。此漏洞4.0版CVSS風險為9.5分，3.1版風險值為9.8，相當危險。</p> <p>而對於可能帶來的危害，西門子表示攻擊者有機會藉此注入惡意程式碼，或是部署不受任何的韌體，而有可能使得原有的防護機制失效，無法抵禦攻擊者操縱資料或是未經授權存取的威脅。</p> <p>對於該漏洞的緩解，西門子呼籲用戶應遵循他們公布的通用資安建議措施，加強曝險設備的資安防護。</p> </div></div></div>
2025/3/14 14:45作者周峻佑https://www.ithome.com.tw/news/167869
加拿大AI新創Cohere發表只需要兩個A100即可部署的AI模型Command A
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">加拿大AI新創Cohere周四（3/13）<a href="https://cohere.com/blog/command-a" target="_blank">發表</a>了新一代AI模型Command A，只需要兩個A100或H100的Nvidia GPU就可部署，宣稱該模型在代理企業任務上的表現與GPT-4o及DeepSeek-V3相當，能夠以最少的硬體提供最大的性能。</p> <p dir="ltr">Cohere是在2019年由Aidan Gomez、Ivan Zhang及Nick Frosst共同創辦，其中，Gomez曾在2017年於Google實習，也是該年出爐的《Attention Is All You Need》論文的8位共同作者之一，該論文被視為是機器學習領域的里程碑，它介紹了新一代的機器學習架構Transformer，也預見了Transformer被應用在問答及多模態生成AI的潛力，之後Transformer亦成為基於GPT等大型語言模型的主要架構。</p> <p dir="ltr">Cohere表示，Command A是專為要求嚴格的企業環境所設計，它支援256k的脈絡長度與23種語言，且只需要兩個GPU即可部署，其它競爭模型最多需要32個GPU。</p> <p dir="ltr">另一方面，在效能測試中，Command A最快每秒可輸出156個Token，比GPT-4o快1.75倍，比DeepSeek-V3快2.4倍，除了硬體優勢及輸出速度外，Command A在指令追蹤、SQL、代理程式及工具任務的基準測試中也有出色的表現。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/0314-Command%20A%20model-Cohere-output%20tokens.png" style="width: 368px;" /></p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/0314-Command%20A%20model-Cohere-academic%2Bagents%20%2Boding%20benchmarks.png" style="width: 600px;" /></p> <p dir="ltr"><span style="font-size:14px;"><span style="color:#696969;">圖片來源_Cohere</span></span></p> <p dir="ltr">Cohere指出，不切實際的大型模型可能導致嚴重的延遲，若是只想快速獲得正確答案，Command A將是最佳選擇，而且相較於基於API的存取服務，Command A的私有部署最多可節省50%的成本。</p> <p dir="ltr">目前Cohere平臺已釋出Command A，也透過Hugging Face<a href="https://huggingface.co/CohereForAI/c4ai-command-a-03-2025?ref=cohere-ai.ghost.io" target="_blank">開放</a>給學術使用，亦即將登上其它雲端供應商，有意私有部署的企業則可直接聯繫其銷售團隊。</p> <p dir="ltr">在Hugging Face於<a href="https://www.ithome.com.tw/news/163717" target="_blank">2024年6月</a>公布的開源大型語言模型（LLM）排行榜上，當時Cohere所開發的Command R+還占據排行榜第5名，但最新的資料<a href="https://huggingface.co/spaces/open-llm-leaderboard/open_llm_leaderboard#/?search=Command" target="_blank">顯示</a>，它已掉到700名外，彰顯出AI模型市場的激烈競爭態勢。</p> </div></div></div>
2025/3/14 15:38作者陳曉莉https://www.ithome.com.tw/news/167871
Fortinet從總部帶頭節能減碳要在2030年實現零碳排，提高產品節能助企業減碳
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「沒有網路安全就沒有永續」，在今年數位永續高峰會上Fortinet全球產品永續發展總監Carrie Chen一語道破網路安全對企業永續經營的重要性，並且分享Fortinet如何推動淨零減碳的策略。</p> <p>Carrie Chen指出，現今企業在ESG合規面臨三大挑戰，首先是歐盟於2025年公布的CSRD（企業永續發展報告法規），未來可以預期企業的碳排將會和金融市場要求的財報同樣嚴格，企業完碳排盤查，如同財報必需由第三方公正單位的簽核才能發布，否則可能面臨主管機關的懲罰。在CSRD公布之後，許多企業都會受到影響，不論其總部是否位於歐洲，只要客戶或是其客戶的客戶在歐洲都受到影響，對企球供應鏈帶來影響。</p> <p>第二項ESG合規挑戰是DPP（數位產品護照），類似於農產品的生產履歷概念，企業為與世界接軌，勢必需要建立數位產品護照，涵蓋產品的技術性能、環境永續性、循環性（耐用性、修復性）、法律合規性、產品相關資訊，提供數位產品護照供製造商、供應鏈、市場監督機構、海關存取。</p> <p>最後是徵收碳關稅或碳費，對企業營運帶來額外的成本。以臺灣為例，環境部在2024年公布碳費計價，2025年開徵碳費，一般費率為每公噸300元，2025年1月生效，200多家碳排放量達到一定程度的企業均會受到影響，依碳排放量高低，徵收的碳費可能從數十萬到數十億元不等。</p> <p><span style="color:#B22222;"><strong>從總部設施帶頭淨零逐漸擴大到全球據點，2030年達碳中和目標</strong></span></p> <p>Fortinet在全球擁有超過83萬客戶，在各地擁有超過150個據點，身為知名的網路安全業者，銷售防火牆等資安設備，在企業面臨資安挑戰，以及ESG淨零減碳的目標，身為企業的資安供應鏈，Fortinet也從自身公司營運力行實現淨零的目標，並從產品面著手，開發節能減碳的產品，來協助客戶節省能源使用，降低碳排。</p> <p>Fortinet向淨零減碳的目標前進，他們的目標是在全球自有設施，包括範疇一(企業營運生產)、範疇二(使用電力能源間接產生的碳排)，達到碳中和，該公司的作法，包括逐漸提高使用再生能源的比例，提高使用能源效率，以減少溫室氣體的排放。</p> <p>Carrie Chen表示，Fortinet公開承諾在2030年達到零碳排，位於美國加州Sunnyvale的總部，實現淨零總部的目標，在公司總部的新大樓設施，採用太陽能發電，採用電動化設備，除了電力供應自給自足，不需支付電費，免支付碳費之外，還可將額外的電力提供給有需要的其他單位。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%96-600(11).jpg" style="width: 600px; height: 305px;" /></p> <p>Fortinet在總部的辦公大樓採用新的節能減碳技術，例如建築物運用幅射冷卻技術，耗能要比同型的一般建築降低30%，一年省水量可達到7.6萬加侖。Fortinet也希望將總部設施的節能減碳經驗，複製到全球其他據點的設施。</p> <p>該公司也在一般辦公環境、設施及資料中心推動低環境影響的商務活動，並監控管理商務活動、價值鏈對氣候的影響。</p> <p>Fortinet也培養員工重視環境永續的公司文化，舉辦活動增加與員工的互動，提高員工對環境永續、全球氣候變遷挑戰的意識。</p> <p>到目前為止，Fortinet的設備在全球出貨超過1千萬臺設備，企業使用Fortinet的產品所消耗的能源，占其產品碳足跡相當大的比重。Carrie Chen表示，企業客戶使用這些設備，消耗的電力不僅是客戶的營運成本，也會影響到他們實現淨零的目標。</p> <p>因此，他們從產品面著手，在產品使用的材料方面，選擇使用哪種材料對環境比較友善，他們利用LCA生命周期評估方法論，運用AI技術來預測使用不同材料設計產品後的產品碳排，加速產品上市的時程。Fortinet也和外界聯手，設計產品的環保包材，以降低對環境的影響。</p> <p><span style="color:#B22222;"><strong>提供產品碳足跡計算讓企業掌握碳排</strong></span></p> <p>Fortinet也設置產品碳足跡計算機，方便企業客戶掌握使用不同設備可能產生的碳排。</p> <p>Carrie Chen表示，Fortinet的碳足跡計算機基於ISO標準的產品生命周期評估（Life Cycle Assessment），從產品生命周期前端的研發系統導入，從新產品開發階段模擬碳足跡、最佳化設計調整。碳足跡演算法通過TUV的認證，通過ISO 14001:2015認證。</p> <p>「在新產品開發設計時，碳排優化相當重要，藉此可以瞭解買進多少碳排，成為公司永續發展需要呈報的指標」，Carrie Chen說。</p> <p>產品碳足跡計算機依據不同產品機型，在生產、運輸、每年使用、淘汰等不同產品生命周期階段，使用者可以選擇不同國家地區當地電網的碳強度，預估每年碳費或是5年的產品碳足跡。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%96-2-600(1).jpg" style="width: 600px; height: 328px;" /></p> <p>「同一臺設備在不同地區部署，因為當地電網碳強度不同，產品的碳足跡計算會不同，目前產品碳足跡計算機蒐集全球約50多個地區的電網碳強度資料」，她說。</p> <p>以FortiGate-40F防火牆為例，企業可選擇不同地區部署，來計算產品的碳排，以臺灣地區部署為例，依臺灣電網的碳強度計算，該款防火牆的5年生命周期碳足跡計算約為272公斤的二氧化碳當量，低於某品牌筆電4年的碳足跡計算量。</p> <p>Carrie Chen表示，Fortinet新一代產品比前一代產品平均至少節能60%，部分產品甚至能達到80或90%，甚至和同業相比也有9成以上的省電表現，高效節能的產品來自於Fortinet在20多年前就採用的晶片及AI技術，不斷優化帶來的節能效果，Fortinet設備採用的網路安全晶片採用ASIC晶片，最新的FortiSP5為第五代網路安全晶片，要比一般CPU省電88%。</p> <p>以企業在5年前導入Fortinet舊款防火牆為例，準備在2025年汰換防火牆，在碳費徵收的情形下，IT部門除了考慮產品的效能、技術規格之外，也應該要將碳足跡，以成本的方式納入考量，由於新一代防火牆更為高效節能，每年碳費可能只有舊款產品的四分之一，新設備的採購計畫更易於獲得企業高層的支持。不只是Fortinet自家新舊產品，和其他廠牌防火牆相比，相同防火牆總效能需求下，Fortinet產品每年碳費也低於其他品牌。</p> <p>Carrie Chen表示，企業執行碳數據治理如同財務報表要由第三方的會計師審核認證才具有公信力，目前Fortinet產品取得第三方EPD認證，符合ISO 14025 III類環境產品聲明，讓企業可將碳盤查資料提供給上下游、海關或監管單位，並且與國際接軌，例如DPP數位產品護照需要產品的環境資料，取得EPD除了滿足ESG合規需求，也更易於企業對企業、企業對消費者的溝通。</p> <p>然而要取得EPD環境產品聲明，從產品研發到上市階段即採用ISO LCA生命周期評估方法論，產品的生命周期各個階段碳排中，產品使用產生的碳排佔最大的比重，將近高達7成5，這也是Fortinet不斷優化產品節能設計最主要的原因。</p> <p>Carrie Chen表示，在國際法規的合規要求及碳費徵收下，節能就是減碳，也是為企業節省成本，高效節能的IT設備，同時通過EPD國際認證，不僅能達到企業永續減碳的目標，IT部門也能為企業節省成本，提高投資報酬率，同時受惠於高效節能的IT設備，也能為機房帶來節省空間的好處。</p> </div></div></div>
2025/3/14 15:51作者蘇文彬https://www.ithome.com.tw/news/167852
Google Gemini將可根據用戶的Google搜尋歷史紀錄來提供答案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">Google周四（3/13）<a href="https://blog.google/products/gemini/gemini-personalization/" target="_blank">發表了</a>個人化Gemini（Gemini with personalization）實驗性服務，可基於使用者的搜尋紀錄來提供更符合使用者需求的答案。不管是免費的Gemini用戶或是付費的Gemini Advanced用戶都可試用此一新服務，預計於未來幾周內釋出，可支援逾45種語言。</p> <p dir="ltr">個人化Gemini目前採用Gemini 2.0 Flash Thinking模型，理論上它可允許Gemini連結使用者的所有Google程式及服務，只是率先被應用在搜尋上，未來幾個月即可連結包括照片及YouTube等其它Google服務；此外，它現在也只支援網頁版Gemini，會逐漸部署至行動版。</p> <p dir="ltr">Gemini用戶只需在Gemini服務的下拉式選單中選擇實驗性的個人化（Personalization）功能，即可連結搜尋紀錄，接著在使用者輸入提示時，Gemini即會分析用戶的搜尋紀錄能否強化回應，只有在進階推論模型判斷其搜尋紀錄確實有用時，Gemini才會使用它們。</p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/0314-Gemini%20with%20personalization-%E5%AF%A6%E9%A9%97%E7%89%88-2.png" style="width: 450px;" /></p> <p dir="ltr">使用者亦可隨時關閉Gemini與其它Google服務的連結。</p> <p dir="ltr">除了個人化功能之外，同一天Google也<a href="https://blog.google/products/gemini/new-gemini-app-features-march-2025/" target="_blank">升級</a>了免費版Gemini，納入了兩個原本僅屬於Gemini Advanced的新功能，分別是深度研究與Gems。</p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/0314-google%20gemini%20deep%20research.png" style="width: 600px;" /></p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/0314-google%20gemini%20gem.png" style="width: 600px;" /></p> <p dir="ltr">其中，深度研究為一代理功能，協助使用者於網路上搜尋並撰寫有關特定主題的報告，只需要幾分鐘就能在網路上搜尋與綜合各種資訊，並幫使用者發現可能無法找到的資源。Gems則允許使用者建立各種主題的個人AI專家，它是個AI聊天代理人，可依照使用者想要的方式提供幫助，不管是跑步教練、撰寫程式碼的夥伴、學習教練、翻譯助手或是寫作編輯；使用者只要進入桌面上的Gems管理員，就能建立新的Gems，並隨時跟它聊天。<span style="color:#696969;"><span style="font-size:14px;">圖片來源_Google</span></span></p> </div></div></div>
2025/3/14 14:57作者陳曉莉https://www.ithome.com.tw/news/167870
Bybit遭遇史上最大加密貨幣竊案，起因是Safe開發者遭供應鏈攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過去犯下多起鎖定銀行SWIFT系統盜轉的北韓駭客組織Lazarus，最近因為竊取Bybit交易所加密貨幣再次登上新聞版面，該組織竊取了40.1萬個以太幣（ETH）、9萬個質押以太幣等，造成14.6億美元（約新台幣478億元）損失，創下堪稱加密貨幣業歷來最大規模竊案。</p> <p>為此，美國聯邦調查局在2月底已發布一份關於<a href="https://www.ic3.gov/PSA/2025/PSA250226">北韓TraderTraitor惡意網路活動</a>的公告，指出該加密貨幣竊盜活動的幕後攻擊者，就是資安界通常被追蹤為Lazarus（APT38、BlueNoroff）的北韓駭客組織。只是，後續該駭客組織洗錢行動也相當迅速，<a href="https://x.com/benbybit/status/1896798476945744010">3月4日已證實有20%遭駭的以太幣已無法追蹤</a>，僅3%被凍結，還有77%尚在追蹤範圍內。</p> <p>目前，Bybit為了追回這些被竊的加密貨幣，已祭出名為LazarusBounty的懸賞計畫（Lazarusbounty.com），以獎勵協助他們追回被竊資產的白帽駭客與資安專家，獎勵金為追回金額的10%，目前已發放430萬美元給22位協助追回的專家。</p> <h3><strong>Bybit遭駭事件真相浮出檯面，遭遇供應鏈攻擊，Safe{Wallet}遭入侵竄改</strong></h3> <p>針對這次2月21日加密貨幣遭竊事件，相關受害業者陸續公布資安事故狀況。例如，Bybit在2月26日發布了<a href="https://www.bybit.com/en/press/post/bybit-confirms-security-integrity-amid-safe-wallet-incident-no-compromise-in-infrastructure-blt9986889e919da8d2">初步調查報告</a>，並在<a href="http://Bybit 安全事件：活動時間表和常見問題解答 | Bybit Learn">3月3日公布的事件應變的歷程</a>。此外，數位資產管理平臺Safe更是這次Bybit資產遭竊的關鍵，Safe{Wallet} 平臺同樣<a href="https://x.com/safe/status/1894768522720350673">在2月26日發布聲明</a>，另在<a href="https://x.com/safe/status/1897663514975649938">3月6日公布更多調查結果</a>。</p> <p>據Bybit的說明，這起事件最早發生於2025年2月21日下午1時30分（UTC），當時Bybit正進行例行性的資金轉移作業，40分鐘後發現駭客攻擊狀況，接著<a href="https://x.com/benbybit/status/1892963530422505586">該公司共同創辦人暨執行長Ben Zhou在下午3時44分於X社群平臺緊急發布相關消息</a>，指出有駭客控制了特定ETH的冷錢包，並向用戶保證該公司具有償付能力，當中並提到：駭客利用複雜的技術手段，竄改了交易簽署介面，因此介面上雖然顯示正確的交易地址，但背後其實修改了智能合約的邏輯。</p> <p>根據Bybit的說明，這起事件問題出在多重簽章（Multisig）錢包解決方案Safe{Wallet}。駭客透過精心設計的網路釣魚攻擊，竊取了一名Safe開發者的憑證，導致攻擊者能以未經授權存取Safe{Wallet}的基礎設施，進而欺騙簽署者批准惡意交易。</p> <p>Safe亦證實此事，指出北韓駭客Lazarus是透過入侵Safe{Wallet}開發人員的設備，進而造成這次事故，同時表示Safe的智能合約不受此事件影響，並且已經採取額外的安全防護措施。</p> <h3><strong>駭客2月4日就成功入侵Safe{Wallet}開發人員電腦，18日後發動盜竊14.6億美元的攻擊</strong></h3> <p>對於這次鎖定Bybit、Safe{Wallet}的攻擊事件，<a href="http://x.com/safe/status/1897663514975649938">Safe在3月6日發布最新調查結果</a>，揭露更多具體細節。例如，攻擊者自2月初入侵開發人員的電腦，並劫持了電腦上的AWS session token，得以駭入該公司AWS環境。</p> <p>具體而言，首先是2月4日一早9點左右，攻擊者成功入侵了一名少數具有高權限的Safe{Wallet}開發人員的macOS電腦。</p> <p>之所以遭入侵，已經調查出攻擊源自一項Docker專案MC-Based-Stock-Invest-Simulator-main，而這個專案曾與駭客在兩天前建立的網域getstockprice[.]com進行通訊。</p> <p>但在調查分析時，該Docker專案已經不存在電腦系統當中，但檔案仍殘留在一個Downloads資料夾下，顯示攻擊者可能透過社交工程手法，進而誘導用戶下載。調查報告中也特別指出，Lazarus駭客組織在之前的攻擊行動中，利用過類似的手法。</p> <p>隔日2月5日，駭客首次存取了Safe{Wallet}的AWS環境。經調查發現，其手法包括利用ExpressVPN與Kali Linux入侵AWS環境（過去Lazarus駭客組織也曾使用這兩款工具用於攻擊行動），以及劫持AWS session token來繞過MFA的驗證（推測受害開發人員電腦被部署了惡意軟體使該session token被劫持）。</p> <p>接下來，駭客滲透後經過兩周的環境偵測，到了2月17日，駭客開始在其AWS環境透過C2伺服器發送指令，而且Safe{Wallet}網站在2月19日發現已被植入的惡意JavaScript程式碼。</p> <p>換言之，從2月4日到2月21日，北韓駭客Lazarus在成功入侵後的第18天就發動竊取加密貨幣的攻擊。而且當盜竊交易完成，Safe{Wallet}網站被埋藏的惡意JavaScript也被移除。</p> <p>整體而言，從上述事故調查揭露我們可以發現，這次事件本質上是一場供應鏈攻擊，駭客從供應鏈Safe{Wallet}下手，最終影響到Bybit。</p> <p>而且，北韓駭客組織Lazarus在這次攻擊行動中，有兩個關鍵環節要特別留意，一是透過精心設計的社交工程引誘受害者下載惡意Docker專案，一是竄改了交易簽署介面，導致Bybit的ETH冷錢包交易邏輯遭變更。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89Safe%E5%85%AC%E5%B8%83%E5%8C%97%E9%9F%93%E9%A7%AD%E5%AE%A2Lazarus%E5%85%A5%E4%BE%B5%E6%99%82%E9%96%93%E8%BB%B8.jpg" style="width: 600px;" /></p> <p><strong>Safe{Wallet}在3月6日更新了最新調查結果，說明當前鑑識調查是由Google Cloud旗下Mandiant團隊與Safe{Wallet}合作進行，目前已發現攻擊者是從2月4日開始入侵開發人員的macOS電腦，隔日駭客首次存取該公司的AWS環境，之後經過兩周的惡意探索，開始控制C2運作與植入惡意JavaScript。</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89Bybit%E6%8F%AD%E9%9C%B2Lazarus%E6%94%BB%E6%93%8A%E4%BA%8B%E4%BB%B6%E5%B8%B6%E4%BE%86%E6%90%8D%E5%A4%B1%E9%81%941_46%E5%84%84%E7%BE%8E%E5%85%83.jpg" style="width: 600px;" /></p> <p><strong>Bybit在3月3日揭露了這次事件帶來的損失達1.46億美元，駭客總共竊取了包含40.1萬個以太幣（ETH）、9萬多個質押以太幣。</strong></p> <p><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89Bybit%E7%A5%AD%E5%87%BALazarusBounty%E7%8D%8E%E5%8B%B5%E8%A8%88%E7%95%AB.jpg" style="width: 600px;" /></strong></p> <p>Bybit交易所祭出LazarusBounty獎勵計畫（Lazarusbounty.com），以追回金額10%獎勵，提供給協助他們追回被盜加密貨幣的白帽駭客與資安專家，目前有22位提供貢獻，獲得430萬美元的獎勵（截至3月13日止）。</p> </div></div></div>
2025/3/14 13:28作者羅正漢https://www.ithome.com.tw/news/167851
思科針對IOS XR設備發布2025上半年例行更新，修補10項資安漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>半年前轟動全球的<a href="https://www.ithome.com.tw/tags/salt-typhoon">中國駭客Salt Typhoon</a>攻擊美國電信業者<a href="https://www.ithome.com.tw/news/165354">事故</a>鬧得沸沸揚揚，關鍵環節之一正是思科路由器平臺<a href="https://www.ithome.com.tw/news/167535">是駭客主要的入侵管道</a>，因此，該廠牌路由器的漏洞修補消息，勢必受到更大的關注。</p> <p>本週二（3月12日）思科針對網路設備作業系統IOS XR<a href="https://sec.cloudapps.cisco.com/security/center/viewErp.x?alertId=ERP-75548">發布上半年例行更新</a>，總共修補10項資安弱點，其中有7項為高風險層級、3個為中度風險層級，CVSS風險值介於4.0至8.8分。</p> <p>根據風險評分的高低，最危險的是<a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-iosxr-priv-esc-GFQjxvOF">命令列（CLI）權限提升漏洞CVE-2025-20138</a>，通過身分驗證的本機攻擊者能利用這項弱點，在作業系統底層以root權限執行任意命令，風險值為8.8。</p> <p>這項弱點發生的原因，在於IOS XR對於傳送到命令列的特定命令，出現使用者引數驗證不夠充分的情況，使得攻擊者只要能夠存取低權限的帳號，就有機會使用特定的命令觸發，影響所有64位元版本的IOS XR作業系統，32位元IOS XR、IOS、IOS XE、NX-OS不受影響。</p> <p>另外兩個風險值達到8.6分的漏洞<a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ipv4uni-LfM3cfBu">CVE-2025-20142</a>、<a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-multicast-ERMrSvq7">CVE-2025-20146</a>也相當值得留意，這些漏洞都影響搭配特定型號線路卡的ASR 9000系列Aggregation Services Router，以及ASR 9902、ASR 9903路由器，未經身分驗證的攻擊者可發送特製的IPv4封包，就有機會重設線路卡，從而導致服務阻斷（DoS）的現象。</p> </div></div></div>
2025/3/14 12:26作者周峻佑https://www.ithome.com.tw/news/167867
零售IT雙周報第52期：國內外零售巨頭怎麼用GenAI，Amazon已經有1,000個專案，Walmart省下400萬…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#0000FF;"><strong>重點新聞(0302~0315)</strong></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#家居零售 #生成式AI #DIY建議</span></span></strong><br /> <strong>家居零售商Lowe's和Home Depot相繼推出生成式AI裝潢及DIY助手</strong></p> <p><a href="https://corporate.lowes.com/newsroom/press-releases/lowes-launches-first-ai-powered-home-improvement-virtual-advisor-03-05-25">家居零售業者Lowe's推出生成式AI DIY助手Mylow</a>，這是一個聊天機器人，可以提供家居及DIY建議，並根據顧客預算、當地郵遞區號、商品存貨情況等資訊，推薦相關商品與服務。目前Mylow是一個Web app，未來將上線到Lowe’s的會員App，並能支援語音互動功能。</p> <p><a href="https://corporate.homedepot.com/news/company/unveiling-magic-apron-home-depots-smartest-tool-yet">無獨有偶的，另一個家居零售業者Home Depot也推出生成式AI助手Magic Apron。</a>這是一個在Home Depot電商網站上的聊天機器人，可以回答商品相關問題、總結顧客評論、根據需求推薦及挑選商品。Magic Apron也可以提供家居DIY建議，甚至根據DIY計畫幫忙規畫步驟、計算需要的材料。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI #購物助手 #創新應用</span></span></strong><br /> <strong>Amazon揭露自家有超過1,000個生成式AI應用正在使用或實驗中</strong></p> <p>近日法說會上，Amazon CEO Andy Jassy分享自己對於零售業應用生成式AI的觀點，並回顧自家用法。他說，用AI獲取價值的方式，大致可以分成兩大類。</p> <p>首先是生產力提升與成本節省。他認為，這是AI較容易實現價值的應用方式，Amazon自家也大量使用。例如，他們用GenAI從頭打造的客服機器人；根據簡單文字、圖片或網址來自動填入商品上架資訊的功能；物流中心內機器人的控制系統等。</p> <p>另一大類，則是用AI打造全新類型的體驗。Andy Jassy將自家生成式AI購物助手Rufus歸類於此。Rufus除了可以提供購物建議、商品介紹等，購物助手常見的功能，還與電商其他系統整合，可以提供訂單查詢等個人化電商輔助功能。其他應用包括智慧服飾尺寸推薦功能，甚至是在Prime Video串流服務的美式足球賽直播中，用AI預測哪位球員要發動突襲等。</p> <p>Andy Jassy表示，他們已經幾乎於零售業務的每個環節，甚至所有其他涉足業務中運用AI。目前，他們已經開發或正在開發的生成式AI應用數量約有1,000個。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#機器學習 #生成式AI #非規格品</span></span></strong><br /> <strong>Etsy強化ML開發流程以擁抱AI/ML與生成式AI，用來強化商品探索以喚醒沉睡客</strong></p> <p>大型手工藝品電商Etsy 2024年報出爐，內文回顧他們如何擴大AI/ML的開發規模，以進一步用相關技術打造平臺上的個人化購物體驗。</p> <p>這一年，他們將ML模型的開發流程簡化與自動化，並加碼公有雲投資，使更多工程師能專注於開發，而非基礎設施維護工作。他們還他們導入類似於Copilot的開發助理技術，來加速開發，並推出自家生成式AI工作助理來增強工作效率。</p> <p>一個重要ML成果是，重新訓練搜尋演算法，以增加高品質商品能見度，並增加搜尋結果中的商品多樣性，來降低買家看到過多相似商品而認知疲勞的情況。對於有著許多非規格商品的Etsy來說，這件事情難度較一般電商高。</p> <p>Etsy還提到，自家平臺上有數百萬名沉睡用戶與低購買頻率用戶，如何用AI/ML強化商品探索（Discovery），利用平臺上多元的商品，來吸引這些用戶回歸並提高購買頻率，是他們接下來的重要目標。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI #自建模型</span></span></strong><br /> <strong>樂天集團用生成式AI創造105億日元利潤，今年更目標創造雙倍收益</strong></p> <p>樂天集團（Rakuten Group）執行長三木谷浩史表示，自家2024年初訂定的Triple 20 AI戰略，也就是用AI與生成式AI，提升行銷、營運及顧客體驗三大面向的20%效益，為集團1年帶來105億日圓利潤。明年，更要遵循相同戰略方向，為集團帶來200億日圓利潤。</p> <p>樂天具體應用GenAI方法包括，用LLM語意理解能力來強化多個集團服務的推薦和搜尋功能、推出各式輔助企業內部或樂天市集商家日常營運的生成式AI助手，以及面向大眾消費者的應用，如購物助手等。</p> <p>用來打造這些應用的技術基礎是，樂天2024年自建的3款日語語言模型，包括一個通用型日文LLM、一個混合專家模型（Mixture-of-experts LLM），以及一個設計來部署於邊緣裝置的小模型。（<a href="https://www.ithome.com.tw/news/167835">詳全文</a>）</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI #超級電腦 #模型蒸餾</span></span></strong><br /> <strong>eBay 2024年GenAI發展大躍進，翻新AI開發平臺更打造出比以前大100倍的LLM</strong></p> <p>2024年，eBay為發展生成式AI，大力投資硬體設備，啟用一臺超級電腦。他們還翻新自家AI開發平臺，讓模型訓練及推論開發效率大幅提升，以支援他們開發出較前一年規模大上100倍的LLM，使用高達3兆Token訓練而成。</p> <p>具體升級AI開發平臺的做法包括導入Ray AI開發框架，來提升GPU應用效率、統一開發語言、增加硬體調度彈性。結果是，省下超過50%開發時間，更提升數倍GPU應用效率。</p> <p>他們將升級的生成式AI能力用於客服、工程、商品搜尋、支付、行銷等，數十種場景的底層技術改善。並且，推出智慧商品上架、服飾模擬試穿、商品圖片編輯與美化功能等，給買家和賣家使用的各式應用。下一步，他們要將大型模型蒸餾並微調出多個專門用途小模型，以在提升專門用途的精準度同時，降低推論延遲及成本。（<a href="https://www.ithome.com.tw/news/167790">詳全文</a>）</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI #賣家助理 #開發助理 #電商物流 #RMN</span></span></strong><br /> <strong>Walmart用生成式AI支援第三方賣家，更用GenAI輔助開發省下400萬小時作業時間</strong></p> <p>Walmart揭露2項生成式AI新應用。首先是Wally，一個給C2C市集第三方商家使用的聊天機器人。功能包括產生銷售報表、分析商業問題。甚至，主動尋找商家異常狀況背後原因，例如商品缺貨或庫存過剩。試營運一個月來，商家表示Wally提供的價值在於省下更多時間，以及更容易運用數據來輔助決策。</p> <p>另一個應用則是內部開發用的程式碼撰寫助手，功能大致與Copilot相同，可以建議和自動完成程式碼。一年來，省下高達400萬小時開發時間。Walmart預計於擴大應用，開放此工具給所有北美和印度的工程團隊使用。</p> <p>2024年第四季，Walmart的營業利益成長率來到8.3%，是營收成長率2倍。Walmart CFO John David Rainey表示，營利能力提升，受益於電商、廣告、會員等高毛利的數位業務繳出亮眼成績，使他們營業利益成長大幅超過營收。最亮眼的廣告業務，單季帶來44億美元營收，已經是連續第11季正成長。電商業務則是受益於他們提升物流量能及AI物流應用的成果，得以攤低物流成本、提升顧客購買意願。（<a href="https://www.ithome.com.tw/news/167674">詳全文</a>）</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI #統一集團 #POS #FSS #WMS #RMN</span></span></strong><br /> <strong>統一資訊將統一集團IT經驗打造成SaaS產品</strong></p> <p>統一集團旗下系統整合商統一資訊將集團內部IT專案及零售經驗，打造成一系列生成式AI SaaS服務，販售給零售及服務業者。這個產品線包括AI助理、倉儲管理系統（WMS）、食安管理系統（FSS）、POS系統、能源管理系統及RMN服務等。</p> <p>這些產品背後的技術與做法，都在統一集團內大規模驗證過。例如，食安系統就是比照統一集團管理食安的方法來打造，POS系統則以統一超商等零售門市營運經驗為基礎而打造，除了收銀，還具備串接電商系統及企業會員系統功能。（<a href="https://www.ithome.com.tw/news/167713">詳全文</a>）</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI #食安管理</span></span></strong><br /> <strong>統一企業用生成式AI打造食安通報系統，縮短蒐集國內外食安資訊和輿情作業97%費時</strong></p> <p>統一企業利用GCPVertex AI平臺與Gemini 模型，打造AI食安通報系統，來蒐集、處理、分析多語言的食安相關資訊，並歸納、生成報告。</p> <p>過往，統一需要倚賴人工，每日搜尋國內外政府法規及新聞報導等資訊，並製作報告。這種做法不只耗時，若遇到突發事件，也可能遺漏關鍵訊息。利用生成式AI自動化此作業後，省下高達97%人工作業時間，且能蒐集和彙整原本5倍的資料量。</p> <p>現在，統一資訊開始將此食安通報系統與其他食品安全解決方案推廣至統一企業上下游供應鏈的合作夥伴，尤其是上游原物料供應商。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099ff;">更多Martech動態：</span></strong></span></p> <p>1. 日本花王嘗試推出D2C的數位會員App，結果太受歡迎4天就用盡行銷預算而下架</p> <p>2. 家樂福數位會員點數將轉而使用統一集團OpenPoint，統一資訊總經理謝良承表示早已開始將家樂福會員與自家會員資料進行綜合AI分群及分析</p> <p>3. <a href="https://www.walmartconnect.com/expanding-access-to-display-for-the-walmart-connect-partner-network">Walmart RMN推出Display Advertising API，讓開發者可以透過第三方程式來投放和測量廣告。</a></p> <p>4. Target回顧2024生成式AI用途，包括摘要顧客的產品評論、豐富產品詳細資訊、打造禮物推薦工具、蒐集社群媒體輿情和趨勢、強化RMN投廣等。</p> <p>資料來源：iThome整理，2025年3月</p> <p>責任編輯：郭又華</p> <p>圖片來源：Home Depot</p> <p></p> </div></div></div>
2025/3/14 12:26作者郭又華https://www.ithome.com.tw/news/167857
微軟發表Copilot for Gaming提供AI個人化遊戲指引
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟公開了新的人工智慧輔助功能<a href="https://news.xbox.com/en-us/2025/03/13/new-copilot-for-gaming-save-time-help-get-good/">Copilot for Gaming</a>，其作為個人化遊戲助理，主要涵蓋遊戲推薦、技能指導及即時遊戲內攻略。Copilot for Gaming先在行動裝置上的Xbox Insider Program中試行，待取得玩家回饋後逐步擴展至Xbox主機與其他裝置，強調人工智慧與玩家之間的互動仍由玩家主導，以避免干擾遊戲體驗。</p> <p>微軟表示，Copilot for Gaming將使用機器學習技術分析玩家的遊戲習慣、喜好及行為模式，根據玩家的需求，提供相對應的遊戲建議及指引，像是玩家在面臨關卡困難時，可以透過自然語言即時詢問Copilot，獲得特定的戰術建議或遊戲攻略提示。此外，Copilot的介面設計將考量玩家的使用情境，例如可透過手機或第二螢幕同步提供資訊，而非直接在遊戲畫面跳出，避免對遊玩體驗產生的侵入感。</p> <p><a href="https://youtu.be/ZoUDVNjDUSw">微軟Xbox遊戲人工智慧部門副總裁Fatima Kardar在Podcast中表示</a>，微軟將直接與遊戲開發商及內容創作者合作，將遊戲內最新資料作為人工智慧模型訓練的基礎，而非單純仰賴網路上現有的遊戲攻略，確保Copilot所提供的建議具時效性及精確性。</p> <p>微軟展示了Copilot for Gaming在遊戲《鬥陣特攻2》和《Minecraft》的實際運作情境，玩家在遊戲中面臨困難或需要入門指引時，Copilot能即時提供針對性協助，如戰鬥策略、英雄推薦、物品製作或位置指引等。</p> <p>此外，Copilot for Gaming也著重改善玩家的遊戲管理及選擇效率，例如透過分析玩家的遊戲歷史、遊戲風格或偏好，主動推薦符合玩家需求的新遊戲，縮短玩家搜尋、安裝與更新遊戲的時間。此功能的目的在於協助玩家更快速地進入遊戲本身，提升遊戲體驗的流暢性。</p> <p>微軟強調，將與玩家社群緊密合作研發Copilot，透過Xbox Insider Program逐步測試與改進功能。微軟認為，將人工智慧技術應用於遊戲領域時，玩家的參與和回饋至關重要，Copilot在初期將優先透過手機應用程式推出測試版本，待穩定後才逐步導入Xbox主機平臺。</p> </div></div></div>
2025/3/14 12:59作者李建興https://www.ithome.com.tw/news/167868
英特爾新款10GbE網卡省電達50％，內建多道硬體安全防護
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/intel_ethernet_e610_main2.png" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年2月底世界行動通訊大會（MWC）前夕，英特爾發表兩款網路卡，我們已介紹最高可支援200GbE網路埠規格的<a href="https://ithome.com.tw/review/167636">Ethernet E830系列</a>，接著看看另一款最高可支援10GbE網路埠規格的Ethernet E610系列。</p> <p>這系列產品標榜已針對網路控制層的運作（control plane operations）進行最佳化調校，具有高效率的電力使用、進階的管理機制（manageability），以及強健的安全性特色，能夠簡化網路的管理，確保網路連線的完整性。</p> <p>單就網路埠而言，Ethernet E610系列支援100Mbps（100BASE-TX）、GbE（1000BASE-T）、2.5GbE（2.5GBASE-T）、5GbE（5GBASE-T）、10GbE（10GBASE-T），可針對資料中心控制層、工作站與邊緣運算應用系統，提供高效率、高效能的網路傳輸連線，並且能相容於前代採用10GBASE-T規格的網路卡，企業可以輕鬆升級這方面的硬體配備，從而繼續適用於既有環境。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel E610-2025-02.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20E610-2025-02.jpg" style="width: 600px;" /></a></p> <p>根據英特爾目前發表的產品規格來看，乙太網路控制器晶片E610-XAT2與E610-XAT支援上述5種網路埠，另一款E610-IAT2僅支援100、GbE、2.5GbE；網路卡E610-XT2與E610-XT4採用的網路控制器為E610-XAT2，支援100、GbE、2.5GbE、5GbE、10GbE網路埠，E610-IT4採用的網路控制器為E610-IAT2，支援GbE、2.5GbE網路埠。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel Ethernet Controller E610 Ark.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Ethernet%20Controller%20E610%20Ark.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel Ethernet 600 Series Network Adapters-overview.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Ethernet%20600%20Series%20Network%20Adapters-overview.jpg" style="width: 600px;" /></a></p> <p>關於能源使用效率方面，英特爾強調，相較於上一代產品（Intel Ethernet Controller X710-AT2），E610系列可節省53％的電力（4.47瓦對上9.6瓦）；若是更早的產品（Intel Ethernet Controller X550-AT2），E610系列省電幅度61％（4.47瓦對上11瓦），有助於減少營運成本、降低對於環境的衝擊。</p> <p>他們在乙太網路控制器E610系列的介紹，也提及當中採用電量最佳化的架構，而且是專為電力、空間使用受限的環境而設計，可大幅減少總體電量使用，以配置兩個10GBASE-T網路埠的組態而言，最大耗電量只有4.47瓦。</p> <p>而對照基於這批控制器晶片而推出的3款E610網路卡，相關規格的數值是多少？以配備兩個10GbE埠的E610-XT2而言，最大耗電量為5.2瓦，相較於相同網路埠配置的X710-T2L（9.6瓦）與X550-T2（13瓦），省電幅度各為45％與60％。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2025-02-Intel 10GbE.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-02-Intel%2010GbE.jpg" style="width: 600px;" /></a></p> <p>所謂的進階管理功能，是指E610系列支援多種便於集中執行系統管理作業的特色，像是安全協定與資料模型（SPDM）、平臺層級的資料模型（PLDM）、基板控制器穿透（BMC pass-through），以及網路控制器側頻介面（NC-SI），能用來簡化網路維運工作，減少系統管理的負擔，而這些機制大多也在同時推出的E830系列提供。</p> <p>關於產品本身的資安防護特色，E610系列也和E830系列一樣，均內建硬體信任根，可確保韌體升級的安全性，以及遵循美國國安局制定的資安標準：商業國家安全演算法CNSA 1.0，支援當代密碼學處理的功能，藉此確保網路傳輸的完整性及保護能力。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Intel Ethernet Product Catalog-2025-02.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Ethernet%20Product%20Catalog-2025-02.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><span style="color:#0000FF;"><strong>Intel Ethernet E610</strong></span><br /> ●原廠：英特爾<br /> ●建議售價：廠商未提供<br /> ●外形：OCP 3.0（<a href="https://lenovopress.lenovo.com/lp2152-thinksystem-intel-e610-10gbase-t-ethernet-adapters">短版款式目前有伺服器廠商推出</a>）<br /> ●款式：E610-IT4、E610-XT2、E610-XT4<br /> ●網路介面：E610-IT4支援1GbE/2.5GbE，E610-XT2、E610-XT4支援1GbE/2.5GbE/10GbE<br /> ●提供網路埠：E610-IT4為2個RJ45埠，E610-XT2為2個RJ45埠，E610-XT4為4個RJ45埠<br /> ●乙太網路控制器：<br /> E610-IT4採用Intel Ethernet Controller E610-IAT2<br /> E610-XT2、E610-XT4採用Intel Ethernet Controller E610-XAT2<br /> ●連接介面：PCIe 4.0 x8</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/3/14 13:01作者李宗翰https://www.ithome.com.tw/review/167746
GitLab修補重大層級SAML身分驗證繞過漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>作為許多企業內部採用的DevOps平臺，GitLab對軟體應用程式開發的協同合作相當重要，安全性與可用性不足，將造成很大的影響，因此，一有漏洞相關消息，企業必須要密切注意，及早進行修補或或緩解工作。</p> <p>3月12日GitLab針對社群版（CE）及企業版（EE）<a href="https://about.gitlab.com/releases/2025/03/12/patch-release-gitlab-17-9-2-released/#guest-with-custom-admin-group-member-permissions-can-approve-the-users-invitation-despite-user-caps">發布安全更新</a>17.9.2、17.8.5、17.7.7版，修補9項漏洞，其中被列為重大層級的CVE-2025-25291、CVE-2025-25292相當危險，特別值得留意。</p> <p>這兩個漏洞出現在名為ruby-saml的程式庫，影響啟用SAML單一簽入（SSO）的GitLab執行個體，在特定的情況下，一旦攻擊者能夠存取已由身分驗證提供者（IdP）簽署的有效SAML檔案，就有機會以有效的使用者通過身分驗證，4.0版CVSS風險評為8.8（滿分10分）。</p> <p>攻擊者若要利用這些漏洞，也需克服一個門檻：必須取得有效的使用者帳號，才能進行身分驗證繞過。</p> <p>若是IT人員無法及時套用新版程式，GitLab也提出緩解措施，那就是全面啟用GitLab雙因素驗證（2FA）機制、禁用SAML的2FA繞過功能，以及在自動產生新使用者的過程裡，必須經由管理者核准才能放行。</p> </div></div></div>
2025/3/14 11:15作者周峻佑https://www.ithome.com.tw/news/167865
OpenAI與Google希望美國讓AI模型存取受版權保護的資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國現任總統川普（Donald Trump）在今年1月<a href="https://www.whitehouse.gov/presidential-actions/2025/01/removing-barriers-to-american-leadership-in-artificial-intelligence/" target="_blank">撤銷了</a>前任總統拜登（Joe Biden）的AI行政命令，並制定新的AI行政命令，要求各界在3月15日以前提出建議，<a href="https://openai.com/global-affairs/openai-proposals-for-the-us-ai-action-plan/" target="_blank">OpenAI</a>與<a href="https://blog.google/outreach-initiatives/public-policy/google-us-ai-action-plan-comments/" target="_blank">Google</a>雙雙在周四（3/13）提出意見，明示或暗示地希望美國應讓AI模型存取受版權保護的資料。</p> <p>不管是OpenAI的GPT大型語言模型，或者是Google Imagen的文字轉圖像模型，都經常被指控侵犯版權，特別是OpenAI。除了在2023年就採取行動的<a href="https://www.ithome.com.tw/news/160589" target="_blank">紐約時報</a>（The New York Times)之外，去年還有8家報紙聯手控告OpenAI及微軟侵權，包括The New York Daily News、Chicago Tribune及Denver Post等。</p> <p>然而，OpenAI在提交給英國上議院通訊暨數位特別委員會的<a href="https://committees.parliament.uk/writtenevidence/126981/pdf/" target="_blank">一份文件</a>中，曾經說明該公司對版權的看法，除了OpenAI的大型語言模型都是透過網路上的公開內容、取得第三方授權的資訊，以及用戶及人工訓練人員所提供的資訊所開發的，而現今的版權幾乎涵蓋了所有類型的人類表達方式，不管是部落格、照片、論壇、程式碼片段或是政府文件，而這也意味著如果不使用受到版權保護的資料，就不可能訓練目前領先的AI模型。</p> <p>當時OpenAI還強調，該公司遵守包括版權法在內的所有法令，卻也認為版權法在法律上並不禁止訓練。</p> <p>儘管如此，隨後OpenAI還是與不同語言的<a href="https://www.ithome.com.tw/news/161783" target="_blank">媒體集團</a>、<a href="https://www.ithome.com.tw/news/162587" target="_blank">金融時報</a>（Financial Times，FT）、<a href="https://www.ithome.com.tw/news/162945" target="_blank">Reddit</a>及News Corp等眾多的內容平臺達成與內容授權有關的合作協議。</p> <p>這一次，面對難以預料的川普，OpenAI大膽提出了一項版權策略，希望在保障內容創作者權益的同時，也能確保美國在AI領域的領導地位與國家安全。OpenAI呼籲聯邦政府應該保障美國人從AI中學習的自由，並確保美國的AI模型能夠繼續從受版權保護的材料中學習，以防止美國在AI競爭中落後於中國。</p> <p>至於Google的說法則相對隱晦，表示聯邦政府應該要擁抱那些保障資料可被公平學習使用的政策框架。</p> <p>Google對美國AI政策的其它意見，還包括希望聯邦與地方政府能夠推動政策改革，以因應AI基礎設施不斷增加的能源需求；執行出口管制以在保護國家安全及於海外提供服務間取得平衡；並希望各州能夠建立一致的前沿AI政策以避免混亂。</p> </div></div></div>
2025/3/14 12:08作者陳曉莉https://www.ithome.com.tw/news/167866
在全社會防衛的基礎上打造國家資安韌性，國家資通安全戰略2025即將正式公布
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自2016年蔡英文總統上任以來，政府便以「資安即國安」為核心理念，積極推動國家安全戰略。這一理念不僅代表著對資訊安全領域的高度重視，更反映出在全球網路威脅日益多元、複雜的背景下，資訊安全與國家安全早已密不可分。</p> <p>蔡英文在兩屆總統任期內，從最初的《資安即國安》1.0版到隨後推出的2.0版，均展現出政府在資安防護、跨部門協作，以及國際聯防上的決心與具體行動。</p> <p>隨著2024年賴清德總統就任，儘管繼續沿用「資安即國安2.0版」（2021年至2025年）的戰略基調，但政府進一步提出了《國家資通安全戰略2025》，以期在未來四年內全面提升全社會防衛韌性。</p> <p>這份戰略文件不僅針對能源及關鍵基礎設施的安全進行規畫，同時涵蓋資通、運輸與金融網路等多個層面，主要願景則是打造一個堅韌、安全、可信賴的智慧國家。國安會諮詢委員李育杰強調，該戰略目前已獲得總統同意，正在進行文字修正與排版調整，預計將於3月正式對外公布。</p> <h2><strong>臺灣整體資安戰略沿革：從資安即國安到國家資通安全戰略2025</strong></h2> <p>蔡英文政府從2016年起便提高資安的重要性，也確立了《資安即國安》的基本原則，從最初2018年正式對外公布的1.0版開始，便以建立資安防護體系為核心，強調跨機關、跨部門合作，構築資安防護的「鐵三角」架構——由國安會、國安局與行政院資安處構成。這一機制的推出，象徵著臺灣在面對網路威脅時，已經認識到單一單位無法獨自應對，必須通過協同作戰來形成有效防線。</p> <p>隨後，蔡英文政府在2021年推出的《資安即國安2.0版》中，政府在延續原有精神的同時，將防護範疇進一步擴大，建立起由國安會、國安局、國防部、調查局、刑事局以及數位發展部共同構成的「資安六塊基」聯防機制。這一變革不僅體現了政府對於資安防護需求的深化認識，也為後續數位發展部的成立鋪平了道路，從而促進了人才培育和資安產業的初步發展。</p> <p>進入2024年，賴清德總統在就職演說重申，面對來自境外尤其是中國的不斷滲透和各類威脅，臺灣必須從全民意識、法制建構、民主韌性等多個角度入手，形成全面的安全防護體系。他提出，經濟發展策略中將特別重點推動半導體、人工智慧、軍事工業、安全監控，以及次世代通訊這五大信賴產業，藉此構築堅固的國家經濟與安全屏障。</p> <p>在賴清德總統的政策框架下，除了五大信賴產業的發展，更進一步強調要在全社會層面提升防衛韌性，尤其著眼於能源、關鍵基礎設施，以及運輸、金融和資通網路的安全保護。為此，政府在就職滿月的記者會上宣布成立「全社會防衛韌性委員會」，則希望整合民間資源與政府力量，從國防、民生、災防及民主等四大方面，全面強化國家安全網。</p> <p>國安會如今在前期建立的堅實基礎與架構上，加上必須因應日趨嚴重複雜的資安威脅，推出了《國家資通安全戰略2025》，不僅延續了資安即國安2.0版的基本戰略方向，也投入更多資源以擴大資安戰備準備，並加入全社會與重要關鍵產業共同防衛的思維，並以持續打造堅韌、安全、可信賴的智慧國家作為新資安戰略的願景。</p> <h2><strong>網路攻擊成實體攻擊前奏，資安防禦化被動為主動</strong></h2> <p>現今世界，網路攻擊日益呈現漏洞武器化和數位集權化的趨勢。李育杰指出，許多國家級網軍的數量、素質及資源均達世界頂尖水平，這些高效組織能夠利用網通設備發起供應鏈攻擊，進而滲透到政治、軍事、情報機關，甚至針對關鍵基礎設施進行精確打擊。這種網路攻擊往往被視為大規模實體攻擊的前奏，對國家安全構成嚴重威脅。</p> <p>在外部威脅方面，李育杰將臺灣面對的挑戰畫分為三大類：首先，是國家級資安威脅：包括供應鏈攻擊、鎖定關鍵基礎設施的破壞行動，及利用假訊息、爭議訊息等手段進行複合攻擊。</p> <p>其次，則是面對新興科技挑戰：隨著新科技（如人工智慧）的迅速發展，網路攻擊手段也在不斷進化，使得防禦工作難度倍增；最後，則是要面對網路犯罪猖獗：包括勒索軟體、網絡詐騙等非國家行為者所引發的安全問題，同樣對國家資安構成壓力。</p> <p>除了外部攻擊，臺灣在資安治理上也面臨內部挑戰。李育杰認為，內部挑戰主要可以歸納為三大方向：第一，資安應變能力與韌性待提升：目前公私部門在面對網路攻擊時，仍存在應急反應機制不夠成熟、跨部門協作不足的問題，亟需加強應變目標和能力建設。</p> <p>第二，戰略夥伴鏈結需求強化：隨著全球資安威脅形勢變化，跨國界、跨領域的合作成為必然，臺灣需要與先進戰略夥伴接軌，建立更緊密的資安聯防網絡。</p> <p>第三，主動防禦與嚇阻能力不足：當前資安防護多以被動防禦為主，如何轉型為主動防禦模式、加強威脅預警和防禦部署，則是內部必須面對並解決的問題。</p> <p>李育杰特別指出，資安資源的合理投入、跨機關協調、關鍵基礎設施資安治理的落實，以及公私協力與互信機制的建立，都是現階段臺灣必須解決的內部難題。面對這些挑戰，他也援引美國前總統拜登在2021年5月發布的行政命令《EO 14028》中亦有類似警示——漸進式的改進無法達成所需的安全保障，必須做出大膽變革與重大投資，才能捍衛國家核心利益。</p> <h2><strong>兩大跨領域戰略準則：戰略夥伴鏈結與堅實治理機制</strong></h2> <p>即將對外公布的《國家資通安全戰略2025》中，李育杰闡明了制定此戰略的根本方向，即以「打造堅韌、安全、可信賴的智慧國家」為終極願景。</p> <p>為了實現這一願景，此份戰略文件特別強調兩大準則，分別是：戰略夥伴鏈結及堅實資安治理機制及防護。</p> <p>戰略夥伴鏈結的目標，就是要以先進戰略夥伴為標竿，全面鞏固國防與政府戰備能力，不僅要做到強化國際資安合作、擴大國際聯防，並且要協助戰略夥伴提升資安能量。具體措施有三：</p> <p>首先，在國際合作與資安標準接軌方面，必須與戰略夥伴建立互信機制，統一資安標準，實現資訊與資安資源的互通共享。</p> <p>其次，做到跨產官學交流與實務協作，可以透過各種形式的交流合作與參與國際競賽，建立起事務性協作平臺，從而提升整體資安實力。第三，加強國際資安聯防，在提升自身資安能量的同時，也協助戰略夥伴強化防護，形成國際聯防網絡，進一步提升共同應對境外威脅的能力。</p> <p>「堅實資安治理機制及防護」這一準則，主要針對公私部門的資安治理，提出以下三大重點：</p> <p>第一，推行零信任架構：改變傳統的防護理念，從「信任預設」轉向「全程驗證」，強調身分鑑別、設備鑑別及信任推斷，並制定相關驗證標準與指引。</p> <p>第二，建立資料備援與跨域保護：推動跨領域資料備份，盤點並更新跨境與雲端傳輸法規，確保關鍵資料在遭受攻擊時有足夠備援，防範內部威脅。</p> <p>第三，部署後量子密碼技術：因應量子電腦可能帶來的破密風險，檢視現行資料加密法規，並投入資源研發及推動後量子密碼的安全防護架構，確保資料在傳輸與儲存過程中受到充分保護。</p> <p>李育杰也進一步說明，政府在推動堅實資安治理機制的過程中，零信任與資料治理是轉型中的關鍵舉措。他建議，可以從下列幾個方面著手：</p> <p>首先，全面推動零信任核心原則，針對包括國防機關及關鍵基礎設施在內的公部門，必須加快推動資安治理制度建構，落實身分與設備的多重驗證。藉由制定零信任相關標準與指引，輔導相關單位完成轉型，並同步推動零信任產業的發展，以建立一個由內而外的安全防護網。</p> <p>其次，加強跨領域資料備份與規範修正，他表示，在數位治理日益複雜的今天，跨境與雲端傳輸的法律法規亟待修正與完善。政府應積極推動境外資料備份及核心功能備援工作，從制度層面確保資料在遭遇網路攻擊時能夠迅速恢復，避免因內部威脅而造成更大損失。</p> <p>第三，加速後量子密碼技術的研發與導入。隨著量子電腦技術的快速發展，傳統資料加密技術面臨前所未有的挑戰。李育杰建議，政府應立即檢視現行相關法規，投入必要資源推動後量子密碼技術的研發與應用，並同步調整現有資安架構，為未來可能出現的新型解密技術做好準備。</p> <h2><strong>四大支柱的互補與協同效應</strong></h2> <p>《國家資通安全戰略2025》以四大支柱作為國家資通安全的根基，分別為：Resilience（全社會防衛韌性）、Infrastructure（國土防衛與關鍵基礎設施）、Supply Chain（關鍵產業與供應鏈）及Emerging Technology（新興科技，聚焦人工智慧應用與安全），這四大支柱合稱為RISE，其內涵不僅涵蓋防禦與應變能力，更延伸到跨部門、跨產業乃至國際間的合作，藉此提升國家整體的資通安全防護水準。</p> <h3><strong>支柱一：全社會防衛韌性</strong></h3> <p>提升全社會防衛韌性作為整體戰略的首要任務，主要目標在於建構一個全民參與、全面協同的防護網絡，這不僅僅是技術層面的防禦，更多的是在文化與意識上的普及與滲透。</p> <p>李育杰表示，透過定期的資安教育、跨部門聯合演練與國際交流，能夠讓民眾、企業及政府單位在面對網路威脅時，能夠迅速啟動應變機制，將損害降至最低。這種從上至下、橫向到縱向的防禦協同機制，是確保國家資通安全的重要基石。</p> <h3><strong>支柱二：國土防衛與關鍵基礎設施安全</strong></h3> <p>國土防衛與關鍵基礎設施的安全問題，涉及到國防、民生、災防和民主四大領域資安防禦與韌性，這些領域一旦遭到網路攻擊，不僅會影響民生，更可能引發連鎖效應，甚至危及國家主權與社會穩定。</p> <p>戰略中針對這一層面的詳細規畫，體現了從風險評估、技術防護到事後應變的一體化管理思路，他表示，透過定期風險盤點、分級分類管理與跨部門協同應變，臺灣正努力打造一個全流程、多層次的防禦體系。</p> <h3><strong>支柱三：關鍵產業與供應鏈安全</strong></h3> <p>當前全球供應鏈正面臨前所未有的挑戰與變數，而臺灣關鍵產業更是國家經濟命脈的重要支柱，從金融、電信到醫療等行業，每一環節的資訊安全都直接關係到整體運作的穩定性。</p> <p>戰略中針對關鍵產業與供應鏈的盤點、列管、風險評估及防護機制，不僅能夠降低外部攻擊帶來的衝擊，同時也有助於促進產業內部資訊安全生態的健康發展。通過政府、企業與學研機構的緊密合作，形成聯防聯控機制，將有效保護國內產業鏈的穩定與競爭力。</p> <h3><strong>支柱四：人工智慧應用與安全</strong></h3> <p>在新興科技浪潮中，人工智慧（AI）的應用已經滲透到各行各業，但同時也帶來了全新的安全隱患。如何在推動AI技術發展的同時，確保其在應用層面不成為安全漏洞，是戰略中亟待解決的關鍵課題。</p> <p>透過推動「Secure by Design」原則、建立國際標準及鼓勵技術創新，臺灣致力於在AI領域形成一個自我完善且能夠自我監控的安全體系。此外，升級資安科技園區與促進公私合作，不僅可以加速AI技術在資安防護中的應用，更能夠在面對未來可能出現的新型網路攻擊時，提前做好風險管理與防範準備。</p> <h2><strong>奠基於「兩大基石」的整體戰略</strong></h2> <p>《國家資通安全戰略2025》作為國家在資通安全領域的重要發展藍圖，其核心目標在於提升整體網路安全防護能力，並且確保國家關鍵資訊系統及基礎設施免受各種資安威脅。為了實現這一戰略目標，李育杰提出了「兩大基石」作為戰略運作的根本依據，並搭配涵蓋跨部門、跨領域合作的跨支柱基盤及公私協力與國際合作，作為實踐資安戰略的底氣。</p> <h3><strong>建置國家資安戰情協同應變中心</strong></h3> <p>李育杰強調，建置「國家資安戰情協同應變中心」是整個戰略運作的首要基石。這個中心的成立不僅僅是一個監控機制，更是國家對資安風險進行全局掌控和應變調度的重要平臺。</p> <p>該中心需要根據全國各項資通安全相關數據製作國家資安風險地圖，動態建立一張涵蓋國內外各項威脅與風險的地圖，他表示，這張地圖不僅能夠呈現現有的安全漏洞和風險點，更有助於預測未來可能出現的新型攻擊手法與威脅趨勢，從而提前做好防範準備。</p> <p>以外，為了確保資訊完整與及時更新，也會擴大收攏全國公私部門、各大產業乃至國際資安監控的情資。這意味著，無論是政府機構、企業單位還是學術界，都能夠共享關鍵資安情報，共同構成一個龐大而高效的監控網絡。李育杰認為，透過這種跨領域的信息共享機制，能夠迅速發現並評估潛在威脅，從而在最短的時間內做出應變決策。</p> <p>面對可能發生的各種資安事件，除了在監控層面提供即時情報外，還需具備快速反應與整合協調能力，這包括建立完善的作業機制準則與工作規範，確保在發生安全事故時，各部門能夠密切配合，迅速啟動應變機制，並在事故控制後進行全面的復原與事後檢討。他說：「這樣的協同應變能力正是現代國家資安防護體系不可或缺的一環。」</p> <h3><strong>強化國家資通安全會報及資訊資安預算正規化</strong></h3> <p>與建立資安應變中心並行的另一項基石是「強化國家資通安全會報及資訊資安預算正規化」，這部分主要聚焦於跨部門協調及資源分配，以確保整體資安戰略能夠獲得充足的資金與人力支持，並能夠依據法規及政策規範有序推進。</p> <p>國家資通安全會報作為跨部會協調機構，負責整合政府各部門在資安領域內的工作，它不僅需要推動資安相關法規的修訂與完善，還要在各項資安政策落實過程中扮演監督與調度的角色。透過這種統一的會報體系，能夠避免各部門在資安措施上出現協同不足或資源浪費的情況，從而提高整體防護效能。</p> <p>政府機關及關鍵基礎設施是資安防護的重中之重，這些單位在面臨高度風險的現代網路環境時，必須具備充足的預算與專業人力。李育杰認為，資安預算的正規化不僅僅是財政數字上的分配，更意味著政府在資安領域的長期承諾與持續投入。為此，各部門必須定期接受施行成效的考核，以便根據最新情勢及安全需求調整資源配置。</p> <p>在資通安全的領域中，私部門擁有龐大的技術能力、創新研發實力以及豐富的實戰經驗。李育杰指出，將私部門納入國家資安體系中，可以彌補政府在技術創新和快速反應方面的不足。透過與私部門建立緊密合作機制，不僅能夠加強資訊交流，還能夠在防禦措施、技術研發、風險評估等方面形成強大的聯合防禦能力。這種公私協力模式，將成為推動整體國家資通安全戰略的重要動力。</p> <h2><strong>跨支柱基盤：整合多元資安防護力量</strong></h2> <p>在兩大基石的基礎上，李育杰進一步強調了跨越四個支柱的基盤建構。這部分不僅延續以往「資安即國安2.0」的理念，更進一步擴充與深化，主要包括「六塊基聯防體系」以及「跨部會協防體系資源與支援」等層面，並輔以公私協力團隊，構成一個全國性、多層次的資安防護網絡。</p> <h3><strong>六塊基聯防體系的運作與分工</strong></h3> <p>「六塊基聯防體系」是以國家安全為核心、以資通訊安全防護為目標的戰略架構。這一體系中，每個單位均有明確的職責與分工，李育杰表示，國安會是總統決定國家安全有關大政方針的諮詢機構，對於國安相關的議題蒐集資訊並分析研究，進行必要的諮詢幕僚和協調作業，再將研究結果提報給總統參考，發揮其諮詢功能。</p> <p>至於國防部則負責軍事領域的資訊安全，其任務不僅在於防範外部攻擊，更重視主動發起防禦行動，確保軍事資訊系統的絕對安全。這要求軍事單位不斷更新防禦技術，並進行模擬演練，以便在遭遇攻擊時能夠迅速反擊並將損失降到最低。</p> <p>國安局則承擔起情報安全與情報蒐集的重任，他指出，這一部門需要及時掌握國內外資安形勢，收集各種潛在威脅的情報，並對情報進行快速研判。通過與其他單位的信息共享，國安局能夠提前預警，並與國防部、其他安全機構形成無縫聯動。</p> <p>面對各種資安攻擊事件，具有公權力的法務部調查局和內政部刑事局負責事件的鑑識、溯源及執法，李育杰認為，這兩個部門在事發後扮演著極其關鍵的角色，從技術層面查明攻擊來源，並依據法律對涉事者進行追責，從而形成對犯罪行為的震懾效應。</p> <p>除了上述部門外，數位發展部則負責數位韌性建設、產業資安，以及資安法遵與宣導工作。這意味著，除了實際防禦外，數位發展部還需要著眼於整個產業生態系統的安全建設，推動各行各業提升自身的資安防護水平，同時強化公眾與企業對於資安意識的認識，進一步建立全社會的防禦網絡。</p> <h3><strong>跨部會協防體系與大聯盟資源整合</strong></h3> <p>隨著「資安即國安」戰略目標的不斷升級，國家需要建立一個橫跨政府各部門以及關鍵產業的協同防護體系。這正是跨部會協防體系的核心所在，其主要任務在於將重要政府機關、關鍵基礎設施及產業供應鏈等各方面資源全面納入資安防護範疇，實現信息共享與協同作戰。</p> <p>國發會和國科會在這一體系中扮演著資源挹注、科研推動及產業發展的重要角色。他表示，這兩個機構不僅負責資金與技術的輸入，還需引領整個產業界的創新研發工作，形成一個從基礎研究到應用實踐的閉環。</p> <p>此外，各主管關鍵基礎設施的部會，如內政部、教育部、經濟部、交通部、衛福部、金管會與通傳會等，也必須在各自職責範圍內建立嚴密的防護措施，確保整個系統運作穩定。</p> <h2><strong>臺灣資安應對策略的多元化與深化</strong></h2> <p>在全球化日益加深的今天，國家資通安全不再是單一國家內部的議題，而是涉及跨國合作與國際協同。外交部負責資安外交協力，通過參與國際機構、資安專業社群以及跨國產學研合作，與先進戰略夥伴及友邦國家建立起緊密聯繫。李育杰表示，這種跨國協作模式，能夠在面對跨國性資安威脅時，迅速調動多方資源，共同應對複雜多變的網路攻擊局面。</p> <p>除了政府部門的協同作業外，公私團隊協力同樣是資安防護體系中的重要一環。這些團隊通常由國內關鍵產業、資安產業專家、學術界及科研機構共同組成，旨在釐清潛在風險、投注充足資源、並在創新技術研發上攜手合作。透過這種跨部門、跨產業的聯防機制，能夠在整個防護鏈條中形成多層次、全方位的防護屏障，確保國家資訊安全戰略的有效落實。</p> <p>《國家資通安全戰略2025》是一份面向未來、布局全局的國家戰略文件，從國家資安戰情協同應變中心的構建，到資通安全會報的統籌督導，再到六塊基聯防體系與跨部會協防大聯盟的細緻分工，每一項措施都體現了國家在資訊安全領域的戰略定力與前瞻布局。更重要的是，通過積極推動公私協力與國際合作，國家不僅能夠有效整合各方資源，更能夠在全球資訊安全生態中占據主動地位。</p> <p>未來，隨著資訊技術的持續革新與網路威脅的不斷演變，《國家資通安全戰略2025》將在不斷調整與完善中，成為推動國家安全與社會穩定的重要支柱。透過這一戰略的實施，無論是在技術創新、風險防範，還是在國際合作層面，都將形成一股強大的合力，為國家在數位時代的長治久安提供堅實保障。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/600-38_%E6%9D%8E%E8%82%B2%E6%9D%B0_%E7%B8%BD%E7%B5%B1%E5%BA%9C_%E5%9C%8B%E5%AE%89%E6%9C%83_%E8%AB%AE%E8%A9%A2%E5%A7%94%E5%93%A1_20250220_%E6%B4%AA%E6%94%BF%E5%81%89%E6%94%9D.jpg" style="width: 600px; height: 400px;" /></p> <blockquote><p>國安會諮詢委員李育杰表示，在《資安即國安2.0》的基礎上，總統同意於今年三月，對外公布最新版本的《國家資通安全戰略2025》。</p> </blockquote> <p> </p> <div class="ui-widget-content ui-draggable" id="haloword-lookup" style="position: relative;"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"></div> </div> <div id="haloword-content"> </div> </div> </div></div></div>
2025/3/14 10:49作者黃彥棻https://www.ithome.com.tw/news/167864
進退之間
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因為租屋處面臨都市更新需要進行搬遷與清理，這一個月來，我的下班時間都在處理相關事宜，由於房東允許用押金讓我能繼續住到下個月底，而且，新覓得的住處也相隔一個區塊，於是決定用每天晚上都搬一些東西的方式，進行遷移，現在這個階段最頭痛的事情是清理既有環境。</p> <p>丟棄與回收後續用不到的各種物品，感覺很複雜。一方面懊悔這麼多年下來，許多東西放到自己渾然不知，早該丟棄的卻一直擱置，現在處理之後，發覺並沒有那麼困難，其實，都有方法與管道分散這些負擔；一方面也重新找到一些滿有用的東西，剛好現在能派上用場，呼應最近接觸的各種議題。</p> <p>例如，我找到一本2003年出版的《編輯台上》，作者是在新聞領域任職長達22年的薛心鎔，他曾在青島民言報、台北大華晚報、中央日報擔任總編輯，裡面提到他從抗戰到民國76年退休的工作經歷，讀到中華民國退出聯合國、中美斷交的部分，再對照當前國內政壇關注議題，我更明白何以每隔一段時間就會冒出「疑美論」，這確實是當時衝擊全國民眾的一段傷痛記憶。</p> <p>而關於兩岸過去長期對峙，薛心鎔也談到當時中央日報的新聞處理方式，以及他後來擔任副社長兼任國外版主任，曾與人民日報海外版交手的狀況。</p> <p>戒嚴時期的媒體自由受到極大限縮，書中提到四十年代任職於大華晚報，曾因記者報導美國軍事援華顧問團訪臺行李被竊，而被拘留在保安司令部、甚至送入軍法局看守所關押十天，以及因刊載讀者投書，受到治安機關多次約談，以及不同單位的查問。作者認同政府當時有必要採取嚴峻手段，但也不滿執行這些程序的問題，認為若能多加檢點，應可避免許多冤屈。</p> <p>時至今日，雖然言論自由已獲得認可與保障，然而，政治施壓的狀況仍存在，不只是有權柄之人可能濫用，有些民眾也會利用檢舉非法行為的方式，透過公務機關對與其政治立場不同的商家或個人進行檢查，這段期間全臺倡議大罷免，就有民眾面臨這類被大家稱之為「查水表」的狀況，不勝其擾、甚至心生畏懼而不敢提供連署場地。該如何因應這樣的壓迫或騷擾？除了強烈抗議不公，還能怎麼做？2025年臺北市公民自主的罷免團體，提出的解方是正視這樣的檢查、及早進行自我改善。他們號召專家合作推出健檢專案，幫忙這些業者預先了解本身營運的缺失，確保符合規範，避免遭受不當對待，讓支持者安心，也讓店家經營無憂。這讓我想到總統賴清德對於國人的勉勵：要把衝擊當作歷史的機遇。</p> <p>面對各種衝突的發生，我們能做的選擇不多，該進？該退？還是要保持現況？每個決定都必須付出代價，也在在考驗著我們的處世智慧，從理性面而言，是如此考量，但在感性面，又該如何說服自己心平氣和地迎接外在接踵而來的挑戰？</p> <p>3月初發生雲云科技董事長殺害技術長，震驚全國，也觸動所有工作者反思如何面對職場人際溝通爭議，大家試圖透過各種已公開的資訊，了解這場劇烈衝突何以發生，每個人可能都有自己的解讀，但都對被害者與加害者感到深深的惋惜，確實如有些評論者所言，不僅有兩個家庭破碎、兩人長期攜手合作的公司商譽蒙上陰影，整個社會也面臨重大的損失，因為驟然失去兩個培養多年的寶貴人才。</p> <p>為了不讓同樣的悲劇再度上演，或許過一段時間，我們能找出避免衝突發生的方法，試著想像與體會兩位當事人面臨的困境之餘，也必須思考問題究竟出在哪裡，該去除的是立場敵對者，還是各自面臨的危機與焦慮？我們能做的，或許是更體貼與理解彼此的狀態與立場，並且能夠接納與尊重雙方的認知差異，說祝福不容易，但可以盡量訓練與要求自己不要成為他人的地獄。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%B7%A8%E8%BC%AF%E5%8F%B0%E4%B8%8A">編輯台上</a></div><div class="field-item odd"><a href="/tags/%E8%96%9B%E5%BF%83%E9%8E%94">薛心鎔</a></div><div class="field-item even"><a href="/tags/%E9%9B%B2%E4%BA%91%E7%A7%91%E6%8A%80">雲云科技</a></div><div class="field-item odd"><a href="/tags/%E5%A4%A7%E7%BD%B7%E5%85%8D">大罷免</a></div></div></div>
2025/3/14 09:20作者李宗翰https://www.ithome.com.tw/voice/167860
8年耕耘前瞻零售大數據技術，91APP打造零售專屬GenAI
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「早年說自己用AI打造零售數據應用，被當成是噱頭。直到AI紅了，才終於發現我們玩真的。」零售解決方案服務商91APP產品長李昆謀這句玩笑，道出他們多年來，默默鑽研前瞻零售大數據技術的孤單。</p> <p>7、8年以來，91APP陸續發表會員生命周期模型NAPL、會員購買意圖分析模型DCIU、跨通路消費行為分析模型PAVO等統計和ML模型。</p> <p>這些模型多年來吸引其他零售業者借鏡，尤其是NAPL模型受到業界大量討論與研究，甚至已經被部分零售業者視為顧客關係管理的圭臬。</p> <p>生成式AI元年的2023年，他們快速以OpenAI的技術為基礎，推出多款零售應用。他們不滿足於使用ChatGPT等現成技術，更決定自行發展專屬臺灣零售業的技術。同年，發展出亞洲第一個零售業ChatGPT外掛，隨後利用RAG技術打造出專屬臺灣零售業的生成式AI平臺。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>產品和IT人員了解彼此專業，才能快速開發有效技術解</strong></span></span></p> <p>李昆謀說，91APP很早就意識到，讓產品人員和IT了解彼此專業知識和需求，非常重要。</p> <p>他們多年前合併開發及產品團隊，成為規模超過270人的產品研發處，由技術和產品主管擔任雙處長，讓技術與產品決策更加緊密結合。</p> <p>他表示，兩名主管有各自專精的領域與責任，不過都了解產品與技術，因而能互相支援、密切合作。</p> <p>不只主管，他們更會讓其他團隊成員接觸跨領域業務，使產品團隊能緊跟緊跟零售業者時下需求，並迅速用最新技術，開發出解決方案。</p> <p>2016年，91APP開始進攻線上線下融合（OMO）零售市場，開始替大型零售業者客戶打造數位通路，這也成為他們後續重要核心業務。</p> <p>李昆謀認為，開發開店平臺上的服務時，技術人員具備產品面的設計與商業知識，非常重要。這個時期，他們需要用技術解決的需求是，數位通路的顧客經營。</p> <p>「大型零售商要求的不只是電商轉換率要高。他們在乎的是，怎麼做好熟客經營，怎麼從會員看到洞察。」對大型零售品牌而言，2成會員貢獻7至8成營收，會員族群如何分布？留存率多高？會員經營是否健康？回購狀況如何？怎樣算高貢獻度、高活躍度？都是大型零售業者想要知道的問題。</p> <p>為了回答這些問題，91APP一腳踏入零售大數據技術領域。李昆謀會帶著資料科學家一同拜訪客戶，不只要做業務，更要從互動過程中，找到零售業的商務需求。</p> <p>「當命題定義清楚，才容易開始尋找技術解。」例如，前20%貢獻度會員的數位足跡有什麼特徵？以1萬元消費額當作VIP會員，是否是正確的切分方法？有了命題，才容易開始思考，要用哪些數據，如何設計與開發產品。</p> <p>這段期間，李昆謀更體會到，要用數據解決零售需求，不只需要分析數據的資料科學家，還需要有人負責建立自動化資料蒐集和彙整機制。接著，再將數據翻譯成商業語言，才能與產品設計接軌。於是，他們更開始擴大招募數據工程師與商業分析師，到原本數據科學家團隊中。</p> <p>聚集這些人才後，他們開始從不同零售場景和需求切入，打造一系列數據的統計及ML模型，來開發產品，支援零售業者經營數位通路，並分析零售業者的會員行為。</p> <p>這些模型包括PAVO和NAPL統計模型，以及DCIU機器學習模型。每一個模型，都是分別從零售業者會詢問的不同問題方向切入，來尋找會員經營最佳策略。例如，會員在不同通路消費，行為模式是否會改變？購物頻率、最近消費時間、金額，如何影響會員活躍度？哪些瀏覽頁面和購物時的行為，代表著高度購物意願？他們打造這些模型，嘗試用大數據回答問題。</p> <p>多年來，不只91APP交叉利用這些模型，來替零售業者分析會員消費歷程與行為，作為進一步會員經營的參考，更有不少零售業者研究、效仿這些零售大數據做法。甚至有零售業CIO認為，這些模型，是會員經營必須進行的數據分析模式。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>積極投入GAI研究，生成式AI元年即推出臺灣零售專用AI</strong></span></span></p> <p>2022年底，ChatGPT橫空出世，打亂了91APP隔年的計畫。「當時2023年度計畫都快寫完，突然得大改。」李昆謀笑道。</p> <p>為搶搭第一波浪潮，他們決定3個月內用生成式AI打造出零售應用。第一步，是利用OpenAI API，打造功能簡單，但能協助零售業者大規模處理基礎事務的功能。例如，生成商品文案、行銷訊息或Email等。</p> <p>新功能一推出，大受零售業客戶的讚賞。但李昆謀的企圖不只如此，「單純呼叫技術龍頭的API，只是使用而非發展AI，說白點只是替OpenAI打工而已。」他認為：「本業是零售產業，就該在產業內，自己發展零售業專用AI。」</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1225-CXO-%E6%8A%BD%E8%A8%80-%E6%94%9D%E5%BD%B1%EF%BC%8F%E6%B4%AA%E6%94%BF%E5%81%89.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">攝影／洪政偉</span></span></p> <p>2023年6月，ChatGPT Plugin火紅。他設下目標時限，數據科學團隊必須在9月結束前，打造出一個用來服務零售業情境的外掛。</p> <p>原本，資料科學家團隊還還有一系列傳統AI/ML技術的研發計畫。李昆謀一聲令下，他們緊急捨棄全部計畫，轉向研究生成式AI技術。「這些人被我逼著原地轉職，變成AI科學家團隊。」李昆謀開玩笑的說。</p> <p>有了目標與時限，91APP數據團隊開始尋找產品開發方向。當時，李昆謀自己研究生成式AI應用時，嘗試過將新聞文章轉成嵌入向量（Embedding Vector），來比較關聯性和彙整資訊，以助自己快速吸收科技新知。他聯想，或許可以如法炮製，將零售商品特徵轉成向量，用於分群模型。</p> <p>於是，他們初步實驗，用Embedding Model（嵌入模型）一次提取出比原本多出幾倍的數據維度，投入分群模型來嘗試。結果發現，其他技術維持原樣，光是數據維度更加豐富，就足以大幅提升了他們原有模型的準確度。</p> <p>「數據量大幅提升導致模型效果飛躍性提升，很像當初OpenAI用前人未及的超大量Token訓練GPT模型，結果驚為天人一樣。」李昆謀評論。這個實驗大獲成功，也讓他們確定了用嵌入向量技術為基礎，來打造GPT外掛的技術方向可行。</p> <p>接下來3個月，資料科學家團隊研究了數十篇論文，研究如何善用嵌入向量來找出高相關性資訊，讓ChatGPT用來生成零售問題的答案。</p> <p>9月，他們推出名為一款用於購物推薦的ChatGPT外掛Jooii。這是GPT Store中，亞洲第一款電商類外掛，可以用來提供購物建議。例如，可建議指定送禮對象的禮盒，或是針對不同場合，來提供穿搭衣物的推薦。</p> <p>年底，檢索增強生成（RAG，Retrieval-Augmented Generation）技術獲得業界更多關注時，李昆謀驚覺，這正是他們過往幾個月所做的事，更增強了他們對自家GAI技術方向的信心。於是，他們決定擴大投資，以這款外掛為基礎，打造出一整套零售業專屬的生成式AI系統。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>借鏡經典ML做法搭配生成式AI，打造自家零售GAI平臺</strong></span></span></p> <p>如今的Jooii，是一套結合經典ML及生成式AI模型的零售業RAG平臺，串接了91APP不同電商系統和資料庫，結合多家指標性LLM，以及他們自行打造的「三塔模型」。</p> <p>三塔模型是借鏡經典ML技術「雙塔模型」，打造而成的推薦用模型。傳統雙塔模型，是從兩個資料分類的特徵值捉對比較，挑選出高相似性項目，來支援推薦等目的。以零售業來說，常見做法是比對顧客特徵和商品特徵，再根據特徵值相似度，替顧客挑選出前幾名可能喜歡的商品。</p> <p>91APP的三塔模型則是加入第三種資料分類「標籤」，收錄零售業用語標籤及商品產業別標籤等，描述情境的特徵值。李昆謀說明，就算是同一個詞彙，在不同的情境和脈絡下，模型推薦結果也應該不一樣。舉例來說，「巧克力」在食品產業指食物，但在服飾業多半是指顏色。將情境考慮進推薦過程後，模型面對瀏覽服飾商品的顧客，推薦結果就不會出現食品。</p> <p>資料科學家團隊結合零售及數據科學領域的專業知識，產出2、3千種特徵維度，來輔助人與商品的配對。不過，細分上千種情境類數據，雖然能提升推薦精準度，卻帶來另一個挑戰。</p> <p>李昆謀說明，標籤量太龐大、種類又多元，會導致計算時間過長，且雜訊過多。如此，實務上無法大量呼叫模型，來支援需要毫秒級反應速度的零售推薦情境。</p> <p>於是，資料科學團隊重新聚焦數學面的技術研究，投資大量時間與算力，實驗如何降低三塔模型配對時檢索的維度數量，又不過度削弱推薦準度。</p> <p>李昆謀表示，這是一個反覆試錯的過程。「有時花上三天計算，結果不行，就要全部重來。」最後，他們成功研發出一套降維演算法，能將三座塔的數千種數據維度統一降到512個維度，再進行相似度比較，且精準度與降維前幾乎相同。</p> <p>現在，他們更開始打造專屬零售業的嵌入模型，期待相比通用型的嵌入模型，能產出更符合零售情境的嵌入向量，進一步提升模型推薦的精準度。未來，他們還計畫將Jooii發展成IaaS（Infrastructure a Service）產品，開放零售業客戶上傳自家訓練數據，來支援各自的GAI零售應用。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>反覆用新技術解決相同零售需求，追求更高效率和更極致效果</strong></span></span></p> <p>回顧過去近十年自家研發的零售大數據應用，李昆謀反思，不斷追求最新技術、打造最新應用，都是聚焦相同的核心零售業需求，提出技術解。</p> <p>「推薦、搜尋、貼標，放到不同地方就會有不同名字，但做的事情都一樣。」舉例來說，推薦功能用於商品頁是交叉銷售；放入eDM則是種個人化會員經營。</p> <p>他們用自家研發的技術，投入近兩年零售業高度關注的RMN，也是一種善用推薦技術解決零售需求的例子。</p> <p>他們利用生成式AI技術，根據商品、情境、顧客特徵，來支援廣告投放，以及尋找相似受眾。「不過，在RMN這個名詞熱門前，我們也早就有幫忙操作廣告的服務，只是方法跟形式不同。」他笑道。</p> <p>李昆謀說明，一路走來，從最陽春的根據一口價來投放廣告、到代投即時競價廣告於外部平臺，或是最近更常見，結合多方數據來源，提供更多元行銷通路的投放，都是零售業經營數位行銷業務的不同形式。</p> <p>「技術上，這些服務底層概念也都相同，就是用各種數據來推薦商品給顧客。」RMN只是將零售業幫供應商打廣告的定價和投放方法，變得更加系統化。不過，正是這個看似微小的改善，反映出他近十年來鑽研新技術所追求的價值。「讓技術解更有效率、更全面應用、達到更極致的效果。」</p> <hr /> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CPO小檔案 </span></strong></span></p> <p><strong>91APP產品長李昆謀</strong></p> <p>學歷：臺灣大學資訊管理學士</p> <p>經歷：15年前共同創立App製作服務公司宇軒數位擔任CEO，後帶領宇軒團隊加入91APP，擔任產品長12年至今。負責產品發展路線、系統架構，以及產品設計、行銷與定價。他也經營「零售的科學」部落格，分享零售IT知識及趨勢觀察</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E5%85%AC%E5%8F%B8%E4%BB%8B%E7%B4%B9)33_91APP.jpg" style="width: 400px;" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> </span></strong></span><strong style="color: rgb(255, 255, 255);"><span style="background-color:#3399ff;">公司檔案 </span></strong></p> <p><strong>91APP</strong></p> <p>●地址：臺北市南港區八德路四段768巷5號6樓</p> <p>●成立時間：2013年</p> <p>●主要業務：為零售業提供OMO與D2C的數位零售解決方案及行銷解決方案，包括顧問、數位通路製作、系統整合、數據處理、廣告投放等</p> <p>●員工數：600人</p> <p>●年營收：13.89億元</p> <p>●董事長：何英圻</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p>●2013年：91APP成立</p> <p>●2017年：陸續推出NAPL、DCIU、PAVO等模型，用於顧客消費行為分析</p> <p>●2018年：推出「虛實融合（OMO）解決方案」</p> <p>●2021年：股票掛牌上櫃</p> <p>●2023年：開發零售生成式AI「jooii」，用於零售業者獲客、促進轉換和提升經營效率</p> <p>●2024年：推出RMN 3.0服務，進軍臺灣數位廣告市場</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1225-cxo-960-she_ying_hong_zheng_wei_2.jpg" width="960" height="420" alt="" title="91APP產品長李昆謀　（攝影／洪政偉）" /></div></div></div>
2025/3/14 08:51作者郭又華https://www.ithome.com.tw/people/167859
臺灣IBM發布今年5大AI趨勢；國內已有金融業者開始運用GenAI進行COBOL程式可視化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣IBM今日公布2025年5個AI趨勢，並根據IBM 2024年全球CEO調查，列出全球CEO們共同的優先任務與挑戰。</p> <p>臺灣IBM認為，2025年的第一個AI趨勢，是企業要培養具備AI相關技能的員工，來因應代理型AI驅動的新一代轉型。第二個趨勢，是企業避免繼續增加技術債，在投入AI轉型時，同時妥善興建IT基礎工程。</p> <p>第三個趨勢則是AI應用將因地制宜，跟隨營運地點來調整AI應用內容。第四個趨勢是採用開放模式和敏捷開發，將有限的企業資源聚焦在有機會產生最大效益的生成式AI專案。最後則是，企業將更重視建立AI商業模式，利用AI技術從事產品與服務創新。</p> <p>另外，根據IBM 2024年全球CEO調查，發展創新產品與服務，是全球CEO們未來三年內的首要任務。這項任務從2023年調查中排行第六順位，飆升至首要任務。而商業模式創新，則是全球CEO們的最大挑戰，排名從2023年的第十名，躍升至2024年的第一名。</p> <h3>國內有金融業者開始運用生成式AI進行COBOL程式可視化</h3> <p>針對生成式AI，臺灣IBM認為，目前國內金融業在生成式AI發展，仍處於POC階段，且尚未出現具顛覆性的殺手級應用。不過，他們也透露，國內已有金融業者開始嘗試將生成式AI運用在輔助IT現代化計畫。例如，有金融業者正在POC階段，運用生成式AI來分析核心系統的COBOL程式碼，進行程式可視化，透過產出圖表，來輔助IT人員更直觀理解COBOL程式碼。未來，這些金融業者會進一步測試、驗證可視化圖表的有效性。</p> <h3>高科技業者在ERP系統上雲時，同時考慮資料欄位是否適合生成式AI發展</h3> <p>另一方面，臺灣IBM也認為，目前高科技業者在GenAI發展上，仍處在POC階段。但他們也透露，近幾年有多家高科技業者計畫將ERP系統遷移上雲，並在資料治理、資料整合過程中，評估如何改造系統，使其資料欄位或格式更符合符合生成式AI發展。</p> <p></p> </div></div></div>
2025/3/13 20:44作者李昀璇https://www.ithome.com.tw/news/167858
Google釋出1B/4B/12B/27B的 Gemma 3，開始支援多模態
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google周三（3/12）發布了<a href="https://blog.google/technology/developers/gemma-3/" target="_blank">Gemma 3</a>，意謂著Google於去年2月<a href="https://www.ithome.com.tw/news/161409" target="_blank">首度發表</a>的Gemma輕量模型家族已來到第三代，Gemma 3提供了1B、4B、12B及27B參數等4種版本，可於單一的GPU或TPU上執行，除了將脈絡窗口長度從Gemma 2的8k Token，擴大至32k（1B）與128k之外，亦已支援超過140種語言，且除了1B之外的模型皆開始支援多模態，能夠理解圖像加上文字的輸入，但目前僅支援文字輸出。</p> <p>Google替Gemma社群成立了<a href="https://ai.google.dev/gemma/gemmaverse?hl=zh-tw" target="_blank">Gemmaverse</a>，以讓Gemma開發者交流彼此的創意，在Gemma問世的13個月以來，相關模型已有超過1億次的下載，開發者在Gemmaverse上分享了超過6萬個Gemma變種模型。</p> <p>Google說明，Gemma 3採用與Gemma 2模型相同的研究與技術而打造，該系列著眼於可直接在手機、筆記型電腦及工作站等裝置上快速執行，協助開發者在人們需要的任何地方建置AI應用程式，開發者可根據硬體及性能需求，選擇最適合的模型規格。</p> <p>最新的Gemma 3可替35種語言提供開箱即用的支援，也能支援逾140種語言的預訓練；除了1B之外的Gemma 3版本皆支援可同時輸入文字、圖像及短影音，並輸出文字；有了128k Token的脈絡長度，將允許應用程式處理及理解大量資訊；新版亦支援函數呼叫與結構化輸出，以協助自動化任務執行與打造代理體驗；Gemma 3導入了官方的量化版本，減少模型尺寸與運算要求，並維持高精度。</p> <p>另一方面，Gemma 3在 <a href="https://lmarena.ai/?leaderboard=" target="_blank">Chatbot Arena 排行榜</a>上的初步人類偏好評估中，超越了Llama-405B、DeepSeek-V3與o3-mini，這是個由人類盲測各種大型語言模型的流暢、準確或是可用性的即時排行榜，Gemma 3 27B目前排在第十名，勝過Llama-405B、DeepSeek-V3或o3-mini，而且即使DeepSeek R1在評測分數中微幅勝過了Gemma 3 27B，但DeepSeek R1使用了32個Nvidia H100的GPU，Gemma 3 27B卻只用了一個GPU。</p> <p>同一天Google也發表了基於Gemma 3的ShieldGemma 2，這是個4B影像安全檢查器，可用來過濾危險內容、色情與暴力。</p> <p>開發人員可透過<a href="https://aistudio.google.com/prompts/new_chat?model=gemma-3-27b-it" target="_blank">Google AI Studio</a>、<a href="https://www.kaggle.com/models/google/gemma-3" target="_blank">Kaggle</a>或<a href="https://huggingface.co/collections/google/gemma-3-release-67c6c6f89c4f76621268bb6d" target="_blank">Hugging Face</a>下載Gemma 3系列的開源模型。</p> </div></div></div>
2025/3/13 15:21作者陳曉莉https://www.ithome.com.tw/news/167850
OpenInfra基金會加入Linux基金會，加速開源基礎設施跨專案整合
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenInfra基金會（Open Infrastructure Foundation）經董事會一致決議，<a href="https://openinfra.org/blog/openinfra-linux-announcement">正式啟動加入Linux基金會的程序</a>，之後將以成員基金會身分，在Linux基金會的框架下繼續營運。<a href="https://openinfra.org/blog/openinfra-linux-foundation-collaboration">OpenInfra執行長Jonathan Bryce表示</a>，這項決定反映當前開源專案跨領域協作的需求日益增加。</p> <p>OpenInfra基金會成立於2012年，前身為OpenStack基金會，主要推動開源基礎設施軟體專案，知名專案包括虛擬化平臺OpenStack、容器虛擬化方案Kata Containers、邊緣運算平臺StarlingX，以及CI/CD平臺Zuul等。</p> <p>OpenInfra基金會加入Linux基金會的主要原因，除了兩個基金會長期已有密切的技術合作之外，也是因為現今企業環境對多種開源技術組合需求越來越大。而OpenInfra基金會加入Linux基金會後，有望加速OpenStack、Linux作業系統、容器管理平臺Kubernetes、機器學習框架PyTorch等專案間的整合。</p> <p>根據雙方的共識，OpenInfra基金會加入Linux基金會後，在專案治理、預算管理與董事會運作上都將維持獨立與原有模式，並不會進行調整或重組。社群治理模式也將延續OpenInfra基金會成立以來的原則，包含以社群為優先的The Four Opens治理精神，即便成為Linux基金會的一部分，也將繼續推實踐此原則。</p> <p>Jonathan Bryce指出，當初OpenStack專案成立於2010年，當時業界尚無適合的開源基金會能夠支撐如此龐大且複雜的專案，因此選擇自行成立基金會。而經過了近15年的發展，Linux基金會如今已建立可容納眾多複雜開源專案的成熟治理模式，成為包括Kubernetes所屬的CNCF、安全領域的OpenSSF等子基金會的共同組織平臺。</p> <p>基於當前產業的實際需求及Linux基金會的組織治理能力，OpenInfra基金會認為此時加入Linux基金會，不僅能降低自身在行政管理、法律、資安等議題上的資源投入，也能專注於技術發展與社群推廣，進一步加強專案間協作與創新速度。</p> <p>此外，Jonathan Bryce也表示，目前全球企業與政府單位在採用開源技術時，更重視開放生態系統的發展趨勢，尤其是資料中心現代化與人工智慧運算需求的快速增加，對高效能且開放的基礎設施需求不斷增加。他認為，基金會的合併能夠在這些領域更好地協助企業與開發者面對市場上的挑戰，包括資安、法規遵循、地緣政治變動帶來的產業衝擊等，使整體開源生態系統更加穩固。</p> </div></div></div>
2025/3/13 14:57作者李建興https://www.ithome.com.tw/news/167848
【資安日報】3月13日，殭屍網路Ballista綁架6千臺尚未修補的TP-Link無線基地臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>兩年前公布的已知漏洞近期再傳新的攻擊行動！資安業者Cato Networks揭露發生在今年1月上旬的攻擊行動，駭客鎖定的標的，就是尚未修補CVE-2023-1389的TP-Link無線基地臺Archer AX21。</p> <p>這波攻擊行動駭客綁架了超過6千臺無線基地臺組成殭屍網路，範圍涵蓋美國、澳洲、中國、墨西哥，這樣的情況突顯該漏洞在TP-Link發布相關更新之後，迄今仍有不少設備尚未修補，而讓駭客有機可乘。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167842"><strong style="font-size: 22px;">殭屍網路Ballista綁架尚未修補的TP-Link設備，逾6千臺遭感染</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Ballista-Blog-image-2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Ballista-Blog-image-2.png" style="width: 300px; float: right;" /></a></p> <p>TP-Link於2023年3月修補旗下Archer AX21無線基地臺漏洞CVE-2023-1389，隔月就開始出現針對未修補用戶的相關攻擊行動，去年更出現同時有6個殭屍網路試圖綁架該型號無線基地臺的情況。事隔兩年，最近再度傳出利用此漏洞攻擊所造成的新資安事故。</p> <p>資安業者Cato Networks指出，他們在今年1月上旬發現新一波的漏洞利用活動，殭屍網路Ballista鎖定美國、澳洲、中國、墨西哥而來，針對醫療保健、服務業、科技組織發動攻擊，試圖透過有效酬載注入來利用CVE-2023-1389，從而得到初始入侵管道，得逞後下載載入惡意程式的bash指令碼並執行，將Ballista植入受害裝置，目前有超過6千臺裝置受害。</p> <p>為隱匿行蹤，此殭屍網路病毒使用82埠建立經加密處理的C2通道並進行通訊，自動嘗試利用CVE-2023-1389感染網際網路上的其他設備。一旦接收到C2的命令，該病毒能在受害設備執行Shell命令，或是進行DDoS攻擊。</p> <p><a href="https://www.ithome.com.tw/news/167839"><strong style="font-size: 22px;">針對微軟修補的Win32核心子系統零時差漏洞，傳出在2年前就遭到利用</strong></a></p> <p>本週微軟發布3月份例行更新，其中修補一項已被用於實際攻擊行動的Win32核心子系統權限提升漏洞CVE-2025-24983，通報此事資安業者ESET透露，這項漏洞被利用的情況，最早可追溯到2年前。</p> <p>究竟這項漏洞引發什麼樣的災情？ESET指出，有人從2023年3月開始，將其用於攻擊執行Windows 8.1及Server 2012R2作業系統的工作站電腦及伺服器，得逞後植入名為PipeMagic的後門程式。</p> <p>ESET也對於這項漏洞發生的原因提出說明：在Win32k驅動程式使用名為WaitForInputIdle的API的特定場景當中，會發生W32PROCESS解除引用（dereference）的次數與應有次數不一致的現象，而造成記憶體釋放後再存取使用的現象。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://cloud.google.com/blog/topics/threat-intelligence/china-nexus-espionage-targets-juniper-routers">中國駭客UNC3886對Juniper路由器設備下手，植入後門程式TinyShell變種</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/facebook-discloses-freetype-2-flaw-exploited-in-attacks/">字型程式庫FreeType存在任意程式碼執行漏洞，傳出已被用於攻擊行動</a></strong></p> <p> </p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167831"><strong style="font-size: 22px;">Moxa修補PT交換器重大漏洞</strong></a></p> <p>3月6日臺廠工控設備製造商四零四科技（Moxa）發布資安公告，指出PT系列交換器存在前臺授權邏輯洩露漏洞CVE-2024-12297，其資安風險4.0版CVSS風險評為9.2分（滿分10分），攻擊者能在未經授權的情況下遠端利用，相當危險，呼籲IT人員要儘速採取行動。我們也洽詢Moxa，想進一步了解這項弱點造成的影響，該公司表示：「目前尚未接到客戶有重大影響的反應。」</p> <p>針對這項弱點發生的原因，Moxa表示出現在PT交換器授權機制，使得攻擊者在用戶端與後臺伺服器的驗證流程之間，有機會繞過身分驗證，執行暴力破解來猜出有效帳密，或發動拼湊MD5雜湊資料的攻擊，從而在未經授權的情況下存取敏感組態資訊，或是造成服務中斷。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/nvidia-addresses-security-vulnerabilities-in-nvidia-riva-with-software-update/">人工智慧語音辨識系統Nvidia Riva存在漏洞，恐被用於提升權限、資料竄改</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/chrome-update-5-security-fixes-high-risk-flaws-addressed-asap/">Google針對Chrome 134發布更新，修補影響Mac電腦GPU的零時差漏洞</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2025-24813-flaw-in-apache-tomcat-exposes-servers-to-rce-data-leaks-update-immediately/">Apache基金會修補Tomcat可被用於遠端執行程式碼、資訊洩露的漏洞</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167836"><strong style="font-size: 22px;">資安院將聚焦8大重點業務，強化供應鏈、OT並扶植資安產業生態強化資通安全</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2025資安院媒體茶敘 (2).jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025%E8%B3%87%E5%AE%89%E9%99%A2%E5%AA%92%E9%AB%94%E8%8C%B6%E6%95%98%20(2).jpg" style="width: 300px; float: right;" /></a>今年1月甫接任資安院院長的林盈達，3月12日首次對外提出資安院的未來願景「資安院2.0計畫」，將聚焦在8大重點業務，結合AI及自動化，提升既有服務量能，還將擴大至建構資安產業生態系、提升OT營運安全、打假打詐、供應鏈安全，以強化政府機關、關鍵基礎設施及民間產業整體的資通安全韌性。</p> <p>林盈達表示，資安院2.0目的在建構全社會的資安韌性，三個願景分別為建構國家數位安全堅實防禦基礎、打造Team Taiwan資安生態系、成為國家資安治理政策智庫，建構資安即國安戰略2025基本藍圖。資安院今後將祭出兩支箭，包括既有業務的升級，以及擴展新服務。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/167834"><strong>【3月12日】微軟發布3月例行更新，其中有6項零時差漏洞已被用於實際攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167807"><strong>【3月11日】DDoS殭屍網路Eleven11bot綁架8.6萬臺網路攝影機</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167768"><strong>【3月10日】日本科技公司、電信業者、娛樂產業遭到攻擊，起因是PHP已知CGI漏洞尚未修補釀禍</strong></a></p> </div></div></div>
2025/3/13 12:12作者周峻佑https://www.ithome.com.tw/news/167845
Niantic出售包括《Pokémon GO》在內的遊戲業務，轉型開發地理空間AI模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開發知名手機遊戲《Pokémon GO》的Niantic與全球第二大手機遊戲開發商Scopely周三（3/12）宣布，Niantic將以35億美元的價格，將《Pokémon GO》、《Pikmin Bloom》、《Monster Hunter Now》及其開發相關遊戲的團隊出售給Scopely；將手機遊戲脫手的Niantic將會成立另一家Niantic Spatial公司，專注於建構空間智慧以引領地理空間AI的未來，幫助人們更好地理解及導航實體世界，新的Niantic Spatial仍將由最初創辦Niantic的John Hanke領導。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0313-Scopely%20to%20acquire%20Niantic%20games%20business.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／Scopely</span></span></p> <p>1967年出生的Hanke在2001年時任職於專門從事將地理空間資料視覺化的Keyhole，Keyhole在2004年被Google收購，Hanke即開始負責Google的地理部門，包括Google Maps、Google Earth與街景服務，幾年後，Hanke於Google內部創辦了Niantic Labs，並在Google於2015年重整成Alphabet時成為獨立的Niantic公司。</p> <p>隨後Niantic同時獲得Google、任天堂與Pokémon Company的投資，並在2016年發表了擴增實境（AR）的手機遊戲《Pokémon Go》，該遊戲結合了GPS技術，讓玩家於現實世界中探索並捕捉虛擬的寶可夢（Pokémon），在全球<a href="https://www.ithome.com.tw/news/107041" target="_blank">造成風潮</a>，上市首月的全球營收超過2億美元，9個月即替Niantic帶來10億美元的營收。</p> <p>相中《Pokémon GO》的<a href="https://www.scopely.com/en/news/scopely-to-acquire-niantic-games-business-which-includes-pokemon-go-one-of-the-most-successful-mobile-games-of-all-time" target="_blank">Scopely表示</a>，迄今《Pokémon GO》每年仍是全球十大手機遊戲，去年吸引了超過1億名玩家，且每周擁有逾2,000萬名的活躍玩家，更有許多的周邊效益，諸如Pokémon GO Fest現場活動。</p> <p>《Pokémon GO》在第一年吸引的玩家超過5億，但現在每年仍有1億的玩家數量。而Niantic在2021年的新一輪增資中，<a href="https://www.ithome.com.tw/news/147984" target="_blank">所估算的市值為90億美元</a>。</p> <p>總之，Scopely共同執行長Javier Ferreira與Walter Driver<a href="https://www.scopely.com/en/news/why-scopely-is-teaming-up-with-niantic-games" target="_blank">承諾</a>所收購的遊戲、應用程式與活動都將會維持玩家所熟悉及喜愛的體驗，並繼續由同一個開發團隊推動。</p> <p>至於<a href="https://www.linkedin.com/feed/update/urn:li:activity:7305558206666158080/" target="_blank">Hanke則說</a>，他一直想打造的是永存的遊戲，相信Scopely會令它們更加蓬勃，令他出售遊戲業務的主因則是因為AI的崛起。</p> <p>Hanke表示，人們正處於技術的劇烈變革之中，現有的地圖是為了人們閱讀及導航而建置的，但現在需要一款新的地圖，以讓包括自智慧眼鏡至人形機器人等機器能夠理解這個世界，現在與未來的Niantic正在建立能夠幫助AI超越螢幕，並進入實體世界的模型。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0313-Niantic%20Spatial%20Inc.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Niantic</span></span></p> <p><a href="https://nianticlabs.com/news/niantic-next-chapter" target="_blank">Niantic將把</a>出售遊戲業務所取得的35億美元，再加上由Niantic出資3.5億美元的現金，以總計38.5億美元的價值分紅給股東。至於拆分、將專注於開發地理空間AI模型的Niantic Spatial則會以Niantic資產負債表上的2億美元，以及來自Scopely的5,000萬美元投資作為創始資金，而Niantic的所有的原始股東也會繼續成為Niantic Spatial的股東。</p> </div></div></div>
2025/3/13 12:30作者陳曉莉https://www.ithome.com.tw/news/167847
針對微軟修補的Win32核心子系統零時差漏洞，傳出在2年前就遭到利用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週微軟<a href="https://www.ithome.com.tw/news/167819">發布3月份例行更新</a>，其中修補一項已被用於實際攻擊行動的Win32核心子系統權限提升漏洞CVE-2025-24983，<a href="https://x.com/ESETresearch/status/1899508656258875756">通報此事資安業者ESET透露</a>，這項漏洞被利用的情況，最早可追溯到2年前。</p> <p>針對這項漏洞，微軟在公告中提及是記憶體釋放後再存取使用（Use After Free，UAF）型態的弱點，一旦成功，攻擊者就有機會得到SYSTEM權限，CVSS風險為7.0。但這項漏洞利用存在必要條件，攻擊者必須贏得競爭條件（Race condition）。</p> <p>究竟這項漏洞引發什麼樣的災情？ESET指出，有人從2023年3月開始（也就是兩年前），<a href="https://x.com/ESETresearch/status/1899508658712547826">將其用於攻擊執行Windows 8.1及Server 2012R2作業系統的工作站電腦及伺服器</a>，得逞後植入名為PipeMagic的後門程式。</p> <p>ESET也對於<a href="https://x.com/ESETresearch/status/1899508660516049325">這項漏洞發生的原因提出說明</a>：在Win32k驅動程式使用名為WaitForInputIdle的API的特定場景當中，會發生W32PROCESS解除引用（dereference）的次數與應有次數不一致的現象，而造成記憶體釋放後再存取使用的現象。</p> </div></div></div>
2025/3/13 10:56作者周峻佑https://www.ithome.com.tw/news/167839
殭屍網路Ballista綁架尚未修補的TP-Link設備，逾6千臺遭感染
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>TP-Link於2023年3月<a href="https://www.ithome.com.tw/news/156573">修補旗下Archer AX21無線基地臺漏洞CVE-2023-1389</a>，<a href="https://www.ithome.com.tw/news/157458">隔月就開始出現針對未修補用戶的相關攻擊行動</a>，去年更出現同時<a href="https://www.ithome.com.tw/news/162385">有6個殭屍網路試圖綁架該型號無線基地臺</a>的情況。事隔兩年，最近再度傳出利用此漏洞攻擊所造成的新資安事故。</p> <p>資安業者Cato Networks指出，<a href="https://www.catonetworks.com/blog/cato-ctrl-ballista-new-iot-botnet-targeting-thousands-of-tp-link-archer-routers/">他們在今年1月上旬發現新一波的漏洞利用活動</a>，殭屍網路Ballista鎖定美國、澳洲、中國、墨西哥而來，針對醫療保健、服務業、科技組織發動攻擊，試圖透過有效酬載注入來利用CVE-2023-1389，從而得到初始入侵管道，得逞後下載載入惡意程式的bash指令碼並執行，將Ballista植入受害裝置，目前有超過6千臺裝置受害。</p> <p>為隱匿行蹤，此殭屍網路病毒使用82埠建立經加密處理的C2通道並進行通訊，自動嘗試利用CVE-2023-1389感染網際網路上的其他設備。一旦接收到C2的命令，該病毒能在受害設備執行Shell命令，或是進行DDoS攻擊。</p> <p>值得留意的是，在調查的過程裡，攻擊者疑似察覺了研究人員的活動，而將殭屍網路搬遷到Tor網域，來增加追查的難度。</p> <p>而對於攻擊者的身分，Cato Networks根據IP位址及惡意軟體支援義大利語字串的特徵，研判攻擊者來自義大利。</p> </div></div></div>
2025/3/13 11:54作者周峻佑https://www.ithome.com.tw/news/167842
強化資料自主權與品質，Android Health平臺新增背景讀取、歷史記錄存取等功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google針對旗下Android健康資料平臺Health Connect<a href="https://android-developers.googleblog.com/2025/03/health-connect-jetpack-sdk-now-in-beta.html">推出</a>了多項功能更新，其中包括背景讀取權限、歷史記錄存取，以及正式將Jetpack SDK推進Beta階段。這些功能的推出，除了提升資料的準確性與可用性，也更明確地將資料的控制權交回使用者手中。</p> <p>Health Connect平臺的核心概念在於提供一個統一的儲存點，讓使用者可以集中管理來自不同健康和健身應用的資料，避免資訊孤島的問題。此次更新的重要變更，是強制要求開發者在寫入資料時指定記錄方法，例如手動輸入、自動偵測等，以確保資料來源的清晰可追溯性。過去應用程式可以自由選擇是否提供這些後設資料，但現在這項規範將有助於提升資料分析的準確性與可靠性。</p> <p>另一方面，Health Connect也新增了背景讀取權限，允許獲得使用者明確授權的應用程式，即使在背景執行時也能讀取健康資訊。這項權限的管理仍由使用者主導，使用者可以隨時在系統的Health Connect設定中檢視、修改或撤回這項授權。</p> <p>此外，Health Connect放寬了過去僅能存取最近30天資料的限制，新增了歷史健康資料讀取權限。在使用者明確同意之下，應用程式將可讀取超過30天範圍的歷史健康紀錄，有助於提供更完整且連續性的健康分析報告。與背景讀取權限一樣，使用者隨時都能在設定內掌控並管理此授權狀態。</p> <p>在資料類型的擴充方面，Health Connect也新增如運動路徑及皮膚溫度等資料類別，前者可將用戶的運動路徑資料同步至其他指定應用程式，以利於跨應用程式的整合分析；皮膚溫度則提供生理健康指標，像是睡眠品質、健康監測或其他相關資料的深度分析。此外，針對運動訓練需求，也新增了計畫運動資料類型，使訓練類應用程式可撰寫並讀取詳盡的訓練計畫與結果，提供更精細的使用者訓練進度回饋。</p> <p>Health Connect目前已在Android 14及更高版本的裝置上預設安裝，舊版本Android裝置則可從Google Play商店下載。</p> </div></div></div>
2025/3/13 12:14作者李建興https://www.ithome.com.tw/news/167841
OpenAI訓練會寫虛構故事的AI模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在公布<a href="https://www.ithome.com.tw/news/167613" target="_blank">GPT-4.5</a>不久後，OpenAI正在開發一個能撰寫虛構故事的AI模型。</p> <p>OpenAI執行長Sam Altman<a href="https://x.com/sama/status/1899535387435086115" target="_blank">透過X說明</a>，這是一個擅長創意寫作的模型，他貼出該模型撰寫的範例，他只是在提示列寫下：「請寫一個後設虛擬風格，關於AI和悲傷的短篇故事」，該模型就產出了一段<a href="https://www.theguardian.com/books/2025/mar/12/a-machine-shaped-hand-read-a-story-from-openais-new-creative-writing-model" target="_blank">故事</a>。Altman說這是他第一次被AI撰寫的內容驚豔，因為它充份掌握後設虛構（meta fictional）的精髓。</p> <p>OpenAI並不是第一個訓練AI講故事的公司。微軟<a href="https://www.ithome.com.tw/news/128291" target="_blank">曾介紹</a>過能看照片說故事的模型。Google DeepMind<a href="https://www.ithome.com.tw/news/154678" target="_blank">研發</a>能和人類共寫電影、劇場腳本的模型。</p> <p>事實上，發展能寫故事的AI挑戰不在於其能力，而是法律及倫理爭議。一如能生成圖片的模型，能撰寫創意故事的模型將引發質疑。首先，這個模型是否是利用大量現有人類創作文本訓練而成，其次，AI創作出的文本，可能也包含其他作者的原創，可能讓使用該文本的組織蒙受連帶責任。OpenAI已經遭到<a href="https://www.ithome.com.tw/news/160589" target="_blank">紐約時報</a>和出版商、作者控告侵害其原創版權。</p> <p>Altman也表示，模型推出的方式或時程都還不確定。而基於OpenAI最新整合產品線的原則，這模型能力或許也可能整合到下一旗艦模型GPT-5之中。</p> </div></div></div>
2025/3/13 11:10作者林妍溱https://www.ithome.com.tw/news/167840
Google將禁Chrome擴充功能未經同意插入聯盟行銷連結
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://developer.chrome.com/docs/webstore/program-policies/affiliate-ads">Google更新Chrome Web Store擴充功能的聯盟行銷政策</a>，<a href="https://developer.chrome.com/blog/cws-policy-update-affiliate-ads-2025" target="_blank">從2025年6月10日起全面禁止擴充功能</a>，未經用戶同意插入聯盟連結、推廣碼或Cookie。根據官方說明，此次政策更新明確要求，所有涉及聯盟行銷的Chrome擴充功能，必須讓用戶在安裝前、介面中，以及Chrome Web Store的擴充功能頁面清楚了解其聯盟行銷行為，並且只能在對用戶提供直接利益，例如折扣、回饋或即時優惠，才可透過擴充功能引導聯盟連結。</p> <p>根據Chrome Web Store政策中心的說明，之後Chrome擴充功能如果未提供用戶實質利益，直接在電商網站自動加入或取代原有聯盟連結，將被視為違反政策並可能遭下架。此外，任何形式的自動背景操作，包含未告知用戶就於購物網站植入聯盟Cookie、修改網址中的聯盟代碼，或替換原本其他合作夥伴的推廣碼都不被允許。</p> <p>值得注意的是，這項政策不僅適用於專門進行聯盟行銷的擴充功能，也涵蓋所有額外內建聯盟行銷機制的擴充功能，例如部分具備購物比價或自動套用折扣碼功能的擴充元件，在未找到有效折扣碼時，仍強制插入聯盟連結將被視為違規。Google強調，只有在使用者透過擴充功能獲得實際利益，如成功套用優惠碼，才能加入聯盟連結，且整個過程必須有使用者的主動參與，例如點擊或明確同意，嚴禁透過背景自動執行的方式獲利。</p> <p>此次政策調整背景與近期部分擴充功能，未揭露聯盟行銷合作關係的爭議有關。以之前知名的Honey擴充功能為例，該擴充功能曾因在使用者不知情的情況下，自動插入聯盟連結並獲取佣金，引發業界及監管機關對透明度與用戶隱私的質疑。雖然Honey後續針對揭露機制進行強化，但此類隱藏式聯盟行銷問題，已是Chrome擴充功能生態系長期存在的灰色地帶，Google此次修訂政策則是回應使用者對該議題的關注。</p> <p>Google於開發者政策中心提供詳細規範內容與範例，包括常見違規情境說明，例如自動替換其他聯盟推廣碼、無用戶互動即植入Cookie等。開發者需評估所有潛在聯盟機制，確保擴充功能的聯盟行銷行為均在用戶知情、同意與獲益的條件下執行，否則可能遭Google下架。</p> </div></div></div>
2025/3/13 08:23作者李建興https://www.ithome.com.tw/news/167829