iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 21篇
近 24 小時: 21篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/6 22:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【資安日報】3月24日，駭客組織UAT-5918鎖定臺灣關鍵基礎設施而來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國駭客組織鎖定臺灣的情況不時傳出，近期思科揭露的新駭客組織UAT-5918引起資安媒體高度關注，原因是這個駭客組織主要的攻擊目標就是臺灣，而且活動長達2年才被發現行蹤。</p> <p>這批人馬專門針對電信、醫療保健、資訊科技的垂直產業下手，但除此之外，臺灣其他關鍵基礎設施（CI）也遭到攻擊。特別的是，他們也與多組中國駭客的目標及手法存在交集，這樣的情況讓人不禁聯想UAT-5918可能也來自中國。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168051"><strong style="font-size: 22px;">駭客組織UAT-5918鎖定臺灣CI，電信、醫療保健、資訊科技等產業均為目標</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/data-src-image-019256b7-73af-467a-9d93-502c1521196a.jpeg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/data-src-image-019256b7-73af-467a-9d93-502c1521196a.jpeg" style="width: 300px; float: right;" /></a></p> <p>思科旗下的威脅情報團隊Talos揭露駭客組織UAT-5918的攻擊行動，這些駭客自2023年開始，針對臺灣關鍵基礎設施（CI）實體而來，其中包含電信、醫療保健、資訊科技等垂直產業，但也有其他關鍵基礎設施遭到攻擊的情況。UAT-5918通常利用尚未修補的已知漏洞，攻擊網站或曝露在網際網路的應用程式伺服器取得初期入侵的管道，一旦得逞，就會使用大量開源工具進行偵察，從而建立能持續存取受害組織的途徑，主要目的是竊取機敏資訊。</p> <p>特別的是，雖然Talos並未點名UAT-5918身分，但他們特別提及該組織專門針對垂直產業下手、攻擊的地理位置、入侵後續活動，以及戰略、手段、流程（TTP）與多個中國駭客組織有所交集，這些駭客組織包括：Volt Typhoon、Flax Typhoon、Earth Estries、Tropic Trooper、Dalbit，這樣的情況，很難不讓人聯想UAT-5918可能也來自中國。</p> <p><a href="https://www.ithome.com.tw/news/168048"><strong style="font-size: 22px;">思科軟體授權管理工具存在重大漏洞，已有駭客試圖進行利用</strong></a></p> <p>去年9月思科針對旗下用於授權管理的公用程式Smart Licensing Utility修補重大層級的漏洞CVE-2024-20439、CVE-2024-20440，未經授權的攻擊者可遠端利用，兩者的CVSS風險皆達到9.8分，相當危險，如今傳出有實際嘗試利用的情況。</p> <p>SANS網路風暴中心指出，他們發現有人嘗試利用這些漏洞的跡象。攻擊者疑似利用Nicholas Starke公布的漏洞細節，透過API在網路上尋找尚未修補的Smart Licensing Utility，從而入侵這套公用程式並存取事件記錄，然後利用第二個漏洞CVE-2024-20440。</p> <p>雖然SANS並未透露這波攻擊行動的規模，也沒有說明受害的範圍，但他們提及攻擊者似乎也在執行其他攻擊的現象，其中大部分是挖掘組態檔案/web.config.zip，但也有針對數位攝影機（DVR）漏洞的情況，其中一個是中國盈可視（Ncast）智慧錄影及播放系統的RCE漏洞CVE-2024-0305。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/hellcat-hackers-go-on-a-worldwide-jira-hacking-spree/">瑞士電信業者遭鎖定，駭客組織Hellcat對全球Jira伺服器下手</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/03/medusa-ransomware-uses-malicious-driver.html">勒索軟體Medusa發動自帶驅動程式攻擊，利用惡意程式AbyssWorker迴避偵測</a></strong></p> <p><strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/03/medusa-ransomware-uses-malicious-driver.html"></a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.infosecurity-magazine.com/news/albabat-ransomware-linux-macos/">勒索軟體Albabat將攻擊範圍延伸到Linux、macOS裝置</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/hackers-hide-venomrat-malware-virtual-hard-disk-files/">惡意軟體VenomRAT鎖定資安研究員而來，透過虛擬磁碟散布</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168047"><strong style="font-size: 22px;">WordPress外掛WP Ghost有重大漏洞，高達20萬個網站暴露在這個風險之下</strong></a></p> <p>3月20日Patchstack警告WordPress資安外掛WP Ghost存在重大層級的本機檔案包含（Local File Inclusion，LFI）漏洞，若不處理攻擊者有機會遠端利用漏洞，從而執行任意程式碼（RCE），這項漏洞被登記為CVE-2025-26909，CVSS風險評為9.6（滿分10分），相當危險，研究人員呼籲網站管理者應儘速套用5.4.02版外掛程式因應。</p> <p>WP Ghost是相當受到歡迎的免費資安及防火牆外掛程式，有超過20萬個WordPress網站採用，號稱每個月成功封鎖9百萬次暴力破解嘗試，以及阻斷14萬次入侵。而對於如何強化網站的安全，開發者表示此外掛程式能變更或隱藏常見的漏洞，使得駭客或網站機器人難以利用WordPress、外掛程式、佈景主題的弱點。</p> <p>這項漏洞之所以形成，Patchstack指出，由於使用者透過URL路徑輸入的數值驗證方式不夠完備，導致有心人士可趁機讀取或執行本機電腦的檔案（LFI）。研究人員特別提及在大部分的環境組態下，這項漏洞的存在，都有可能讓攻擊者有機會發動RCE攻擊，而且，攻擊者不需通過身分驗證就能利用這項弱點。</p> <p><a href="https://www.ithome.com.tw/news/168046"><strong style="font-size: 22px;">群暉網路攝影機去年找到9.8分重大漏洞，這個月更新公告並揭露細節</strong></a></p> <p>上週NAS廠商群輝更新去年發布的一系列資安公告，這些漏洞是去年10月舉行的漏洞挖掘競賽Pwn2Own Ireland 2024期間找到，其中有一項資安公告Synology-SA-24:24與網路攝影機有關，如今他們公布細節，提醒用戶提高警覺。</p> <p>這項漏洞被登記為CVE-2024-11131，影響BC500、CC400W、TC500等3款網路攝影機，CVSS風險評為9.8分，去年11月群暉發布1.2.0-0525版韌體修補。</p> <p>針對漏洞發生的原因，群暉指出是錄影介面出現記憶體越界讀取（OBR）的情況，使得攻擊者有機會遠端執行任意程式碼（RCE）。</p> <p><a href="https://www.ithome.com.tw/news/167782"><strong style="font-size: 22px;">研究人員揭露Nakivo備份軟體任意讀取檔案漏洞</strong></a></p> <p>資安研究機構watchTowr的研究人員於2月底，公開去年9月發現的Nakivo Backup & Recovery備份軟體管理介面高風險漏洞。Nakivo原廠已於去年11月發布的11.0版更新中修補此漏洞，但迄今尚未對此發布正式的安全公告。</p> <p>這個漏洞CVE-2024-48248，是嚴重性評分8.6的高風險漏洞，存在於Nakivo的網頁管理介面的HTTP請求處理元件Director中，會導致攻擊者繞過身分驗證，任意讀取目標主機的檔案，解決方法是將Nakivo備份軟體更新到11.0.0.88174以後版本。</p> <p>watchTowr研究人員在去年9月便發現並向Nakivo通報這個漏洞，Nakivo在10月承認漏洞存在，並在11月4日發布的11.0版更新中修補此漏洞，但未對此漏洞發布獨立的安全公告，watchTowr研究人員則於今年2月26日公開揭露這個漏洞。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://zhero-web-sec.github.io/research-and-things/nextjs-and-the-corrupt-middleware">開源應用程式框架Next.js存在漏洞，攻擊者恐透過中繼軟體繞過授權</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/168035"><strong>【3月21日】VS Code擴充套件市集成為駭客散布勒索軟體的新管道</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168004"><strong>【3月20日】PHP已知重大漏洞攻擊行動升溫，臺灣是主要攻擊目標</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167955"><strong>【3月19日】11組國家級駭客劍指Windows尚無修補的零時差漏洞，散布惡意LNK檔案發動攻擊</strong></a></p> </div></div></div>
2025/3/24 18:06作者周峻佑https://www.ithome.com.tw/news/168052
採用輝達Grace處理器，美超微推出Arm架構快閃儲存伺服器
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/supermicro_ars-121l-ne316r_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>兩年前，Supermicro（美超微）發表全部採用<a href="https://www.ithome.com.tw/tags/e3s">E3.S</a>或<a href="https://www.ithome.com.tw/tags/e1s">E1.S</a>外形NVMe固態硬碟的儲存伺服器，<a href="https://www.ithome.com.tw/review/156122">當時總共有5款機型</a>，截至目前為止，已推出8款機型，先前根據搭配的處理器平臺為x86架構的英特爾Xeon或AMD EPYC，原本可細分為兩大類，在這個月舉行的Nvidia GTC 2025大會期間Supermicro預告，將在全快閃NVMe儲存伺服器產品線，推出搭配Arm架構Nvidia Grace CPU Superchip處理器的機型，名為ARS-121L-NE316R，搭配1U尺寸機箱與16臺E3.S固態硬碟。</p> <p>綜觀Supermicro在自家公司網站公布的伺服器產品機型，目前搭配Arm架構處理器的產品線，有GPU伺服器（Nvidia Grace與GH200 Grace Hopper），以及主攻超大型資料中心基礎架構的MegaDC系列（Ampere Altra/Altra Max、AmpereOne），隨著ARS-121L-NE316R的登場，正式開拓儲存伺服器搭配Arm架構處理器的選擇，由於這款機型可安裝16臺E3.S外形的NVMe固態硬碟，因此，如果全部採用61.44 TB容量的快閃儲存裝置，整臺伺服器可提供983 TB的原生儲存容量；若在1座42U機櫃裝滿ARS-121L-NE316R，透過40臺伺服器系統，可提供39.3PB的原生儲存容量。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Supermicro Grace-based Storage-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Supermicro%20Grace-based%20Storage-1.jpg" style="width: 600px;" /></a></p> <p>除此之外，ARS-121L-NE316R本身也預留兩個PCIe 5.0 x16插槽，可安裝兩張全高半長介面卡，能搭配<a href="https://www.ithome.com.tw/review/149714">Nvidia ConnectX-7網路卡</a>，以及<a href="https://www.ithome.com.tw/tags/nvidia-bluefield">BlueField-3資料處理器</a>，以此支援Nvidia推動的乙太網路加速平臺<a href="https://www.ithome.com.tw/review/162206">Spectrum-X</a>。而這樣的產品網路擴充組態，令人想到該公司去年10月推出的JBOF機型<a href="https://www.ithome.com.tw/review/166177">SSG-229J-5BE36JBF</a>，當中也搭配BlueField-3資料處理器。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Supermicro Grace-based Storage-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Supermicro%20Grace-based%20Storage-2.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Supermicro%20Grace-based%20Storage-4.jpg" style="width: 600px;" /></p> <p>不過，市面上的軟體定義儲存系統大多基於x86處理器架構而成，Supermicro現在推出採用Arm架構處理器的儲存伺服器，有儲存系統廠商能夠支援這樣的解決方案嗎？ARS-121L-NE316R宣布推出之際，該公司表示，他們正與近年來儲存新創廠商WekaIO（WEKA）合作，發展省電、高效能的儲存系統，針對企業人工智慧與機器學習的訓練、分析、推論應用需求，因應AI工廠的發展願景。</p> <p>雙方合作的目標是發揮WEKA Data Platform的零複製架構優勢、提供巨量快閃儲存系統之餘，也能因為搭配Grace處理器，而獲得耗電量低於x86處理器的能源使用效益，目前在Supermicro的巨量快閃儲存伺服器當中執行WEKA Data Platform，這樣的系統搭配已進入初步測試階段。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Supermicro Grace-based Storage-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Supermicro%20Grace-based%20Storage-3.jpg" style="width: 600px;" /></a></p> <p><strong><span style="color:#008080;">產品資訊</span></strong></p> <p><strong><span style="color:#0000FF;">Supermicro ARS-121L-NE316R</span></strong><br /> ●原廠：Supermicro<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：1U<br /> ●處理器：Nvidia Grace CPU Superchip，內建2顆Nvidia Grace，總共提供144核心<br /> ●記憶體：LPDDR5X，最大容量960GB<br /> ●硬碟容量：16臺E3.S 1T外形固態硬碟+2臺M.2固態硬碟<br /> ●PCIe 5.0擴充介面：4個x16，可安裝2張全高半長介面卡與2張AIOM<br /> ●電源供應器：1600瓦（1+1備援）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/3/24 19:15作者李宗翰https://www.ithome.com.tw/review/168039
思科軟體授權管理工具存在重大漏洞，已有駭客試圖進行利用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年9月思科針對旗下用於授權管理的公用程式Smart Licensing Utility<a href="https://www.ithome.com.tw/news/164861">修補重大層級的漏洞CVE-2024-20439、CVE-2024-20440</a>，未經授權的攻擊者可遠端利用，兩者的CVSS風險皆達到9.8分，相當危險，<a href="https://isc.sans.edu/diary/rss/31782">如今傳出有實際嘗試利用的情況</a>。</p> <p>這兩個漏洞分別與靜態密碼及資訊洩露有關，值得留意的是，在思科發布公告不久，Aruba威脅情報研究員Nicholas Starke<a href="https://starkeblog.com/cve-wednesday/cisco/2024/09/20/cve-wednesday-cve-2024-20439.html">找到與CVE-2024-20439有關的密碼</a>，若是IT人員尚未套用新版公用程式，形同對攻擊者開啟後門。</p> <p>SANS網路暴風中心指出，他們發現有人嘗試利用這些漏洞的跡象。攻擊者疑似利用Nicholas Starke公布的漏洞細節，透過API在網路上尋找尚未修補的Smart Licensing Utility，從而入侵這套公用程式並存取事件記錄，然後利用第二個漏洞CVE-2024-20440。</p> <p>對於CVE-2024-20440這項漏洞，SANS指出起因是特定的事件記錄檔案收集超過應有範圍的資料，使得攻擊者有機會利用檔案留存的特定資訊，來策畫後續的攻擊行為。</p> <p>雖然SANS並未透露這波攻擊行動的規模，也沒有說明受害的範圍，但他們提及攻擊者似乎也在執行其他攻擊的現象，其中大部分是挖掘組態檔案/web.config.zip，但也有針對數位攝影機（DVR）漏洞的情況，其中一個是中國盈可視（Ncast）智慧錄影及播放系統的RCE漏洞CVE-2024-0305。</p> </div></div></div>
2025/3/24 16:35作者周峻佑https://www.ithome.com.tw/news/168048
臺灣關鍵基礎設施遭到與中國駭客有關的組織UAT-5918鎖定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著全球國際局勢日趨緊張，駭客組織對臺灣而來的資安事故頻傳，其中又以中國駭客發動的攻擊行動最多，最近有個新興駭客組織引起研究人員關注，因為這些駭客的主要目標就是臺灣。</p> <p>思科旗下的威脅情報團隊Talos揭露<a href="https://blog.talosintelligence.com/uat-5918-targets-critical-infra-in-taiwan/">駭客組織UAT-5918的攻擊行動</a>，這些駭客自2023年開始，針對臺灣關鍵基礎設施（CI）實體而來，主要目的是竊取機敏資訊。UAT-5918通常利用尚未修補的已知漏洞，攻擊網站或曝露在網際網路的應用程式伺服器取得初期入侵的管道，一旦得逞，就會使用大量開源工具進行偵察，從而建立能持續存取受害組織的途徑。</p> <p>特別的是，雖然Talos並未點名UAT-5918身分，但他們特別提及該組織的入侵後續活動，以及戰略、手段、流程（TTP）與多個中國駭客組織有所交集，這些駭客組織包括：Volt Typhoon、Flax Typhoon、Earth Estries、Tropic Trooper，這樣的情況，很難不讓人聯想UAT-5918可能也來自中國。</p> <p>對於這些駭客發動攻擊的過程，Talos指出駭客通常會尋找曝露於網際網路的伺服器，利用尚未修補的已知漏洞得到初期的存取管道，成功之後便會部署Web Shell，接著進一步偵察，收集使用者、網域名稱、系統資訊，其中包含使用cmdkey命令，並在受害電腦下載可公開取得的紅隊演練工具，在部分活動裡，駭客設置白名單，阻止防毒軟體Microsoft Defender對特定資料夾進行掃描。</p> <p>攻擊者在成功入侵之後的活動，研究人員提及是手動操作進行，並且會試圖找出本機及網域使用者的帳密資料，並且設置新的管理員，目的是建立遠端桌面連線（RDP）等額外的存取管道。</p> <p>至於UAT-5918會使用那些工具作案？Talos提及包含網路工具FRPC、FScan、In-Swor、Earthworm，以及Neo-reGeorg。這些駭客也使用Mimikatz及瀏覽器帳密解析工具來挖掘帳密資料，並透過RDP、WMIC、Impacket進行橫向移動。</p> <p>為了維持存取受害組織的管道，這些駭客會在網頁應用程式部署多個Web Shell，而這些Web Shell大多為ASP或PHP打造而成，其中一種是以權限提升工具JuicyPotato改造的變種。</p> </div></div></div>
2025/3/24 17:51作者周峻佑https://www.ithome.com.tw/news/168051
WordPress外掛WP Ghost有重大漏洞，高達20萬個網站暴露在這個風險之下
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>提供網站防護功能的外掛程式一旦出現漏洞，不僅可能讓其防護能力失效，還有可能讓攻擊者對網站上下其手，而最近專精網站安全的資安業者Patchstack揭露的漏洞，就是這種例子。</p> <p>3月20日Patchstack警告<a href="https://patchstack.com/articles/critical-lfi-to-rce-vulnerability-in-wp-ghost-plugin-affecting-200k-sites/">WordPress資安外掛WP Ghost存在重大層級的本機檔案包含（Local File Inclusion，LFI）漏洞</a>，若不處理攻擊者有機會遠端利用漏洞，從而執行任意程式碼（RCE），這項漏洞被登記為CVE-2025-26909，CVSS風險評為9.6（滿分10分），相當危險，研究人員呼籲網站管理者應儘速套用5.4.02版外掛程式因應。</p> <p>WP Ghost是相當受到歡迎的免費資安及防火牆外掛程式，有超過20萬個WordPress網站採用，號稱每個月成功封鎖9百萬次暴力破解嘗試，以及阻斷14萬次入侵。而對於如何強化網站的安全，開發者表示此外掛程式能變更或隱藏常見的漏洞，使得駭客或網站機器人難以利用WordPress、外掛程式、佈景主題的弱點。</p> <p>這項漏洞之所以形成，Patchstack指出，由於使用者透過URL路徑輸入的數值驗證方式不夠完備，導致有心人士可趁機讀取或執行本機電腦的檔案（LFI）。研究人員特別提及在大部分的環境組態下，這項漏洞的存在，都有可能讓攻擊者有機會發動RCE攻擊，而且，攻擊者不需通過身分驗證就能利用這項弱點。</p> <p>不過，攻擊者想利用這項漏洞利用還是有門檻要克服，那就是：必須設法將WP Ghost的變更路徑功能設置為Lite模式或Ghost模式，而在系統預設狀態之下，這些模式會是停用的。</p> </div></div></div>
2025/3/24 16:00作者周峻佑https://www.ithome.com.tw/news/168047
群暉網路攝影機去年找到9.8分重大漏洞，這個月更新公告並揭露細節
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週NAS廠商群輝<a href="https://www.ithome.com.tw/news/168029">更新去年發布的一系列資安公告</a>，這些漏洞是去年10月舉行的漏洞挖掘競賽Pwn2Own Ireland 2024期間找到，其中有一項<a href="https://www.synology.com/en-global/security/advisory/Synology_SA_24_24">資安公告Synology-SA-24:24</a>與網路攝影機的韌體有關，如今他們公布細節，提醒用戶提高警覺。</p> <p>這項漏洞被登記為CVE-2024-11131，影響BC500、CC400W、TC500等3款網路攝影機產品的韌體，CVSS風險評為9.8分，去年11月群暉發布1.2.0-0525版韌體修補。</p> <p>針對漏洞發生的原因，群暉指出是錄影介面出現記憶體越界讀取（OBR）的情況，使得攻擊者有機會遠端執行任意程式碼（RCE）。</p> </div></div></div>
2025/3/24 14:59作者周峻佑https://www.ithome.com.tw/news/168046
【資安週報】0317~0321，這兩個月曾鎖定臺灣醫院攻擊的勒索軟體CrazyHunter，也開始攻擊臺灣上市公司
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>回顧2025年3月第三星期的資安新聞，勒索軟體CrazyHunter持續鎖定臺灣的狀況最引發關注，不只是先前馬偕、彰基醫院受害，如今也有上市公司「科定」被列為其受害者，這起事故也意味著該組織的攻擊目標，可能從醫療院所擴展至上市櫃公司。而且我們還發現，在該公司發布重大訊息揭露之前，其公司網站首頁遭到惡意置換，對方聲稱加密受害者所有系統並留下勒索訊息。</p> <p>近來還有假冒我國財政部的網釣攻擊，需要政府機關及企業的財務人員注意，今年已有財政部、資安業者、數位發展部相繼提出警告，指出有駭客假冒其名義，以稅務抽查涉稅企業名單、稅務通知、賦稅稽查通知書為幌子從事網釣攻擊。</p> <p>另一臺灣企業要特別注意的風險是弱點管理，去年臺灣資安研究人員揭露與通報的PHP-CGI重大漏洞（CVE-2024-4577），今年1月有攻擊者鎖定日本的未修補企業組織攻擊，如今另一資安業者示警，指出最近一個月臺灣是攻擊者的主要目標。</p> <p>在漏洞消息方面，這一星期3個漏洞利用消息，涵蓋Windows、Tomcat與ChatGPT，雖然美CISA尚未納入已知漏洞利用清單，但值得優先重視。另有Paragon間諜軟體利用零點擊WhatsApp零時差漏洞被揭露，Meta已修補但不會分配CVE編號。</p> <p>●ZDI去年9月發現利用ZDI-CAN-25373漏洞的攻擊行動，鎖定的是Windows尚無修補的零時差漏洞，已有11個國家級駭客用以散布惡意LNK檔案發動攻擊。<br /> ●Apache基金會新修補Tomcat的漏洞CVE-2025-24813，有資安業者發現30小時後已有PoC公布，並且偵測到第一波攻擊。<br /> ●去年ChatGPT commit f9f4bbc被揭露存在SSRF漏洞CVE-2024-27564，如今有資安業者警告已被用於實際攻擊。</p> <p style="margin: 0px;">還有5個漏洞被CISA列入已知被利用漏洞清單，其中兩項我們在2月中與上星期就已經報導，包括Fortinet的漏洞（CVE-2025-24472），以及訊舟科技老舊網路攝影機的漏洞（CVE-2025-1316 ），CISA強調，當漏洞緩解措施無法發揮作用時，應停止使用產品。其他3項我們整理如下：</p> <p>●GitHub Action的tj-actions/changed-files出現與供應鏈攻擊相關的漏洞CVE-2025-30066，將導致日誌列出的敏感的CI/CD憑證與機密資訊發生洩漏狀況。<br /> ●Nakivo備份軟體去年11月修補、今年2月揭露的漏洞CVE-2024-48248<br /> ●SAP NetWeaver應用伺服器平臺2017年修補的漏洞CVE-2017-12637</p> <p>其他重要漏洞修補的消息，還包括：Python程式庫Python JSON Logger、SAML程式庫ruby-saml，以及思科、IBM、Veeam、群暉等。</p> <p>而在威脅態勢方面，有3起消息與網釣與惡意套件散布有關，突顯這類社交工程手法持續受到駭客青睞。</p> <p>●駭客組織Storm-1865發動ClickFix網釣活動被揭露，駭客假借Booking.com名義，對其合作的旅館業者的旅館及相關人士發送釣魚郵件、散布惡意程式。<br /> ●新一起駭客鎖定微軟開源IDE編輯器Visual Studio Code（VS Code）的狀況，有攻擊者鎖定開發人員散布惡意套件ahban.shiba等，意圖植入勒索軟體。<br /> ●中國駭客MirrorFace散布惡意程式ANEL、AsyncRAT的新網釣活動被揭露，不僅入侵後會濫用VS Code內建功能隱匿行蹤，鎖定目標已從日本擴展至歐洲。<br /> ●鎖定WordPress網站的惡意軟體攻擊行動DollyWay被揭露，主機代管業者GoDaddy的資安研究團隊指出駭客已入侵超過2萬個網站。</p> <p style="margin: 0px;">在資安業者動向與防禦方面，有一件重大消息，Google宣布將以320億美元買下資安新創Wiz，還有下列消息也值得留意，包括：Google釋出開源軟體漏洞掃描工具OSV-Scanner的2.0版，Chrome改用Rust重寫字型處理程式庫Skrifa以提升安全性，以及蘋果預告iOS將支援RCS 3.0所新增的E2EE功能，提升與安卓訊息互通安全性。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/167906"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月17日】Fortinet身分驗證繞過漏洞傳出被用於勒索軟體攻擊</span></strong></a></h3> <p>資安業者Fortinet今年1月公布重大層級的防火牆漏洞CVE-2024-55591，但在事隔一個月後在同一則公告提及，還有另一項身分驗證漏洞CVE-2025-24472也遭到利用，但究竟新漏洞如何遭到利用？最近有資安業者公布新的攻擊行動，並指出上述兩項漏洞都遭到利用。</p> <p>針對這項漏洞利用攻擊事故，資安業者Forescout透露是勒索軟體SuperBlack的攻擊行動，值得留意的是，他們發現駭客使用不同管道來攻擊防火牆設備，但實際上都是為了觸發相同的漏洞。</p> <h3><a href="https://www.ithome.com.tw/news/167922"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月18日】駭客組織CrazyHunter聲稱攻擊臺灣上市公司科定</span></strong></a></h3> <p>3月初彰基醫院證實連假期間遭遇網路攻擊，經衛福部介入協助之後，確認是勒索軟體駭客CrazyHunter所為，研判在馬偕和彰基之後，駭客會尋找下一間醫院發動攻擊。但如今，傳出這些駭客針對臺灣其他產業下手的情況。</p> <p>昨天上市公司科定發布資安重訊，表示他們遭遇網路攻擊。而對於攻擊者的身分，CrazyHunter表明是他們所為，並竄改科定的網站向該公司施壓。</p> <p><a href="https://www.ithome.com.tw/news/167955"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月19日】11組國家級駭客劍指Windows尚無修補的零時差漏洞，散布惡意LNK檔案發動攻擊</span></strong></a></p> <p>今天最受到關注的資安新聞，莫過於一項被利用8年以上的零時差漏洞，將其用於攻擊行動的國家級駭客就有11組人馬，但這項發現受到矚目的原因，在於研究人員通報後廠商表示不會進行修補。</p> <p>這種情況已非首例，企業或許能透過入侵防禦系統（IPS）的虛擬修補（Virtual Patching）機制來因應，但對於個人用戶而言，可能就難以尋求其他防護機制自保。</p> <h3><a href="https://www.ithome.com.tw/news/168004"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月20日】PHP已知重大漏洞攻擊行動升溫，臺灣是主要攻擊目標</span></strong></a></h3> <p>PHP-CGI重大漏洞CVE-2024-4577在揭露後很快就傳出災情，不僅有<a href="https://www.ithome.com.tw/news/163417">勒索軟體將其作為入侵受害組織的手段</a>，也有<a href="https://www.ithome.com.tw/news/164597">臺灣的大學被植入後門程式</a>。事隔半年，漏洞利用的事故再度傳出，而且，駭客的主要目標就是臺灣。</p> <p>根據資安業者Bitdefender的調查，他們發現駭客在近一個月相關攻擊出現顯著增加的情況，與過往不同的是，已有駭客將受害主機用來挖礦，或是部署其他惡意軟體從事其他活動。</p> <h3><a href="https://www.ithome.com.tw/news/168035"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月21日】VS Code擴充套件市集成為駭客散布勒索軟體的新管道</span></strong></a></h3> <p>近期駭客濫用微軟開源IDE編輯器Visual Studio Code（VS Code）的情況不時傳出，在我們本週報導<a href="https://www.ithome.com.tw/news/167954">中國駭客MirrorFace利用這套IDE工具的內建功能隱匿行蹤之後</a>，又有駭客上架有問題的擴充套件，意圖散布勒索軟體。</p> <p>值得留意的是，有研究人員向資安新聞網站透露，駭客早在4個月前就開始上架能發動攻擊的惡意套件，他們當時通報此事卻疑似因為鮮少用戶下載而被忽視，這代表微軟可能得調整相關機制來因應。</p> </div></div></div>
2025/3/24 09:42作者羅正漢https://www.ithome.com.tw/news/168041
模擬消費者行為，以協助企業定價與行銷的AI新創Buynomics完成3,000萬美元的B輪融資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2018年成立於德國，主要開發營收成長管理（Revenue Growth Management，RGM）的AI新創Buynomics，<a href="https://www.buynomics.com/articles/buynomics-secures-30m-series-b-funding" target="_blank">上周宣布已完成由Forestay Capital領投的3,000萬美元的B輪融資</a>，新資金將支援以北美為主的全球擴張行動，並進一步強化虛擬買家（Virtual Shoppers）的AI技術。</p> <p>傳統的RGM通常仰賴單一工具或孤立的分析方法，分別處理定價、促銷或產品組合等不同的槓桿，例如分析價格彈性清單或銷售資料，每個資料集都單獨運作並缺乏整合，並依賴外部顧問來協助決策；此外，傳統的RGM多半只分析主要競爭者的影響，較少涉及產品單位級別的粒度分析；經常是在市場變動之後才反應，而非提前預測或主動規畫。</p> <p>而Buynomics即導入AI來突破傳統RGM的限制，可以提高整合效率，強化競爭優勢，並主動預測以調整對未來的挑戰。</p> <p>基於AI的RGM軟體可對所有的營收槓桿進行整體最佳化，藉由將複雜的市場資料轉化成AI代理，讓Buynomics平臺成為以消費者為中心之營收決策的唯一來源。</p> <p>Buynomics表示，該公司的AI平臺藉由精確模擬現實世界買家的行為，來改變企業的最佳化定價、促銷與產品組合的方式，客戶包括達能（Danone）、聯合利華（Unilever）、歐萊雅（L’Oréal）與沃達豐（Vodafone）等知名品牌，最多可縮短80%的分析時間，同時推動2~4%的毛利成長，讓企業在不同地區、產品組合與通路即時提高收入、獲利能力與市場地位。</p> <p>根據Buynomics的官網介紹，該公司所開發的虛擬買家擁有與真實買家一樣的產品偏好及購買行為，可於提供產品報價時，完全複製真實買家的購買模式，企業還能將虛擬買家整合到所有的相關資料中，從銷售與交易資料、客戶調查到行為定價等，以了解時間或外部事件對購買決策的影響。</p> <p>目前Buynomics約有逾70名員工，服務全球超過25個國家的客戶。</p> </div></div></div>
2025/3/24 12:35作者陳曉莉https://www.ithome.com.tw/news/168044
騰訊發表推論模型Hunyuan T1以與DeepSeek R1競爭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國騰訊上周<a href="https://llm.hunyuan.tencent.com/#/blog/hy-t1?lang=en" target="_blank">發表推論模型Hunyuan-T1（渾元-T1）</a>，以與境內競爭對手DeepSeek所推出的DeepSeek R1競爭，雙方在效能與價格上相當。<a href="https://www.scmp.com/tech/big-tech/article/3303456/tencents-hunyuan-t1-ai-reasoning-model-rivals-deepseek-performance-and-price?module=perpetual_scroll_0&pgtype=article" target="_blank">根據南華早報的報導</a>，Hunyuan-T1每輸入100萬個Token收費1元人民幣，每百萬個Token的輸出則是4元人民幣，至於DeepSeek R1則有區分白天與夜間的價格，白天每100萬個Token的輸入是1元，輸出是16元，但夜間分別降至0.25元與4元。</p> <p>Hunyuan-T1是以騰訊今年3月發表的大型模型TurboS（快思聰）為基礎，再藉由大規模的後訓練，把96.7%的運算能力投入強化學習訓練，專注於提升推理能力，以期更符合人類的偏好。</p> <p>TurboS是個結合Transformer與Mamba架構的混合模型，並採用專家混合（MoE）技術。其中，Transformer架構擅長捕捉脈落之間的關係，適合處理複雜的語言架構；Mamba則是基於結構化的狀態空間模型，可高效處理長序列資料，降低運算的複雜度；MoE則負責把資料分配給特定的專家模型，以提升推理速度並減少資源消耗。騰訊指出，Mamba優化了長序列的處理能力，在同樣的部署條件下，其解碼能力提升2倍。</p> <p>騰訊比較了Hunyuan-T1、DeepSeek R1、GPT 4.5及o1在綜合知識的記憶與理解能力MMLU-PRO、專注於專業領域知識及複雜科學推理的GPQA-diamond、測試程式碼設計能力的LiveCodeBench、解決數學能力的MATH-500、指令遵循能力的ArenaHard，以及文化與創意等基本測試的表現，顯示Hunyuan-T1與其它競爭對手的表現相當，亦或有超越。</p> <p>此外，Hunyuan-T1在內部人類評估資料集的表現亦與DeepSeek R1相當。</p> <p><a href="https://github.com/Tencent/llm.hunyuan.T1/blob/main/README_EN.md" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0324-Tencent_Hunyuan-T1_benchmark.png" style="width: 600px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／騰訊</span></span></p> </div></div></div>
2025/3/24 11:43作者陳曉莉https://www.ithome.com.tw/news/168043
Android 16為Tensor GPU-based Pixel手機提升效能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.reddit.com/r/pixel_phones/comments/1jfs0hb/vulcan_gpu_geekbench_doubled_in_android_16/?rdt=54731" target="_blank">用戶發現</a>，Google<a href="https://developer.android.com/about/versions/16/overview?hl=zh-tw" target="_blank">本月釋出的Android 16 Beta 3版</a>可使搭載Tensor GPU的Pixel手機大幅提升效能。</p> <p>Reddit用戶在為其Pixel 7a升級Android 16 Beta版後，表示在標竿測試中效能大幅成長。根據他貼出的數據，Vulkan GPU Geekbench效能提升了將近1倍，而OpenCL也成長了超過75%。用戶說Android 16使其舊Pixel手機GPU運行效能有如最新的Pixel 9。但新Android似乎並未對CPU帶來改變。</p> <p>另一名用戶測試安裝最新Android Beta的Pixel 6 Pro，跑分結果是提升32%。</p> <p>Tensor是Google自行研發的晶片，用於自家Pixel系列手機。最新的G4用於去年推出的Pixel 9。</p> <p>至於GPU效能提升的原因，用戶相信可能是因為最新作業系統包含最新GPU驅動程式。</p> <p><a href="https://www.androidauthority.com/pixel-phones-gpu-performance-boost-3537248/" target="_blank">Android Authority記者整理出Android 15以後</a>，各代Tensor-based Pixel手機使用的GPU驅動程式版本。按照這個表，Android 15 QPR2（March 2025 Pixel Drop），也包含新版GPU驅動程式。</p> <p>Geekbench GPU等標竿測試的數據，在真實世界也有意義。Geekbench GPU測試可量測包括機器學習、電腦視覺等日常應用，因此Android 16的推出，未來也能提升Tensor-based Pixel手機執行AI應用的效用。</p> <p>此刻安裝Android 16 Beta 3或許可帶來更好的效能，但也可能有風險。Google稱Beta 3是第一個包含最終API和行為的平臺穩定性里程碑（milestone），但可能仍有些未知臭蟲。為保險起見，Android手機用戶最好到6月的穩定版釋出。</p> </div></div></div>
2025/3/24 10:50作者林妍溱https://www.ithome.com.tw/news/168042
蘋果AI高層異動，由Vision Pro主管接掌Siri團隊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bloomberg.com/news/articles/2025-03-20/apple-vision-pro-chief-mike-rockwell-named-siri-head-giannandrea-keeps-ai-role?srnd=undefined" target="_blank">彭博報導</a>，蘋果執行長庫克（Tim Cook）近日對AI部門動刀，調派Vision Pro主管接管開發Siri的團隊。</p> <p>在Google開發Gemini、OpenAI ChatGPT興起同時，蘋果也力圖以AI現代化Siri，外界也預期iPhone加入新一代的Siri，然而這個期望一次次落空。報導指出，庫克已對負責Siri的John Giannandrea失去信心，決定讓主管開發智慧眼鏡的Vision產品部門的Mike Rockwell取代。</p> <p>帶著沒有重大更新的Siri的iPhone 16e推出不久後，<a href="https://daringfireball.net/2025/03/apple_is_delaying_the_more_personalized_siri_apple_intelligence_features" target="_blank">蘋果對知名部格格Daring Fireball證實</a>，更智慧、更個人化的Siri推出時程「要比預期再久一點」，得延到2026年。<a href="https://www.theverge.com/news/629940/apple-siri-robby-walker-delayed-ai-features" target="_blank">彭博另外也報導</a>Siri部門內部因為Siri開發進度落後，緊張情緒升高，甚至開發出來的功能1/3時間無法運作。報導引述Siri部門主管之一Robby Walker在內部會議中提到，蘋果現有計畫是新Siri功能隨iOS 19推出，但「不表示一定能如期出貨」。</p> <p>在Vision Pro及Siri部門異動下，Rockwell將向蘋果軟體事業群主管Craig Federigh報告，而原有Vision產品部門負責硬體工程的Paul Meade則將接任最高主管。</p> <p>Google和Amazon已端出部門革新AI的成果。<a href="https://www.ithome.com.tw/news/167889" target="_blank">Google上周宣布</a>Gemini聊天機器人將在今年全面取代Google Assistant，而<a href="https://www.ithome.com.tw/news/167595" target="_blank">Amazon也在2月底推出</a>有AI加持的付費版Alexa Pro，可成為控制Echo及第三方硬體的智慧家庭中樞。</p> </div></div></div>
2025/3/24 10:06作者林妍溱https://www.ithome.com.tw/news/168040
搭配自家NPU與AMD DPU，思科打造新一代智慧型網路交換器
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/cisco_n9300_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>環顧市面上的資料處理器（DPU）／基礎設施處理器（IPU）產品，絕大多數都是安裝在伺服器，AMD旗下的Pensando DPU是唯一能安裝在網路設備的產品，例如，在2021年10月，HPE Aruba（現稱為HPE Aruba Networking）率先推出採用Pensando Elba DPU的交換器<a href="https://www.ithome.com.tw/review/147554">CX10000</a>。</p> <p>時隔3年之後（2024年6月），思科在Cisco Live Las Vegas 2024大會，預告第四季推出400Gb等級的服務加速交換器，機型名稱為8102-28FH-DPU-O，當中搭配思科本身發展的網路處理器（NPU）／ASIC晶片Silicon One Q200L，以及8個AMD Pensando Elba DPU（DSC-200），提供12.8 Tbps頻寬（網路交換11.2 Tbps加上DPU處理1.6 Tbps）。根據思科公布的8100系列路由器產品概要文件指出，8102-28FH-DPU-O是他們發展的第一代智慧型交換器（Smart Switch，<a href="https://blogs.cisco.com/tag/smart-switch">這個名稱與思科中小企業網路交換器產品線的智慧型交換器相同</a>）。</p> <p>到了今年2月舉行的Cisco Live Amsterdam 2025大會，思科發表另一款智慧型交換器N9300系列，以此整合<a href="https://newsroom.cisco.com/c/r/newsroom/en/us/a/y2024/m04/cisco-reimagines-security-for-data-centers-and-clouds-in-era-of-ai.html">去年4月發表</a>、基於開放原始碼eBPF而成的分散式AI原生資安架構Cisco Hypershield，這款交換器搭配思科新款ASIC晶片Silicon One E100，以及嵌入型DPU，能夠顛覆既有AI資料中心網路環境的設計，並且將安全性直接融入網路架構。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco Smart Switch-2025-02.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20Smart%20Switch-2025-02.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/N9300-TFD-2025-05.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/N9300-TFD-2025-05.jpg" style="width: 600px;" /></a></p> <p>在軟體的部分，N9300系列搭配作業系統Cisco NX-OS，上市初期可支援網路第三層（L3）的功能（L2與其他增益功能將於後續版本推出），以及資料中心網路軟體授權訂閱服務Cisco Data Center Networking（DCN）。根據思科發布的常見問答集指出，N9300系列的DPU預設停用，若要啟用，企業需具備Cisco Hypershield的授權，以及Cisco Security Cloud Control（內含Cisco Hypershield），如要運用DPU的功能，企業須具備DCN的最高階授權（DCN Premier）。</p> <p>N9300 Smart Switch首波供應的產品款式，機型為N9324C-SE1U，內建24個100GbE網路埠，預計今年春季出貨（4月正式推出），思科也預告N9300系列將推出另一款置頂機櫃型交換器（Top-of-Rack，ToR），機型為N9348Y2C6D-SE1U，內建48個25GbE埠、兩個100GbE埠，以及6個400GbE埠，希望能於夏季開始供貨（5月開放用戶與合作廠商的早期實地測試，7月正式推出）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/N9300-TFD-2025-01.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/N9300-2025-02-1.jpg" style="width: 600px;" /></p> <p>就上述搭配的兩種晶片而言，思科解釋N9300系列能夠從中獲取的特色。以Cisco Silicon One E100為例，可供應高速網路連線、豐富的遙測功能、與網路線速相當的流量加密處理效能，以及電源使用效率，能夠充分支援當代資料中心的工作負載需求；而在AMD DPU的部分，能協助Cisco Smart Switch提供800 Gbps的服務吞吐能力，思科表示，有了DPU，能加速處理個別的網路與資安服務，像是有狀態的網路分段（stateful segmentation）、大規模的網路位址轉換（large-scale NAT）、IPsec加密、基於事件而成的網路遙測、DDoS攻擊防護。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/N9300-2025-02-3.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco Switching ASIC and DPU capabilities.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20Switching%20ASIC%20and%20DPU%20capabilities.png" style="width: 600px;" /></a></p> <p>對於N9300系列交換器而言，第一個支援的服務，將會是搭配Cisco Hypershield、針對網路第四層（傳輸層）實施網路分段（Zone-based segmentation，分隔為多個區域）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/N9300-TFD-2025-02.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/N9300-TFD-2025-02.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/N9300-TFD-2025-03.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/N9300-TFD-2025-03.jpg" style="width: 600px;" /></a></p> <p>這套解決方案能夠聰明地將網路流量從交換器ASIC晶片，重新導引至DPU，思科表示，相較於傳統IT基礎架構，可大幅減少存取延遲，並且透過硬體整併，可減少耗電量與占用的機櫃空間，簡化維運作業，促成顯著的成本節約。</p> <p>Smart Switch與Hypershield的整合之後，上層的管理工作會由雲端資安設備集中管理平臺Cisco Security Cloud Control（簡稱SCC，前身為Cisco Defense Orchestrator）統籌，負責資安政策的建立與部署，資安維運團隊（SecOps）可藉此針對不同網路工作負載、雲端環境，執行資安政策的內容撰寫、測試，以及調度指揮。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/N9300-2025-02-2.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco Hypershield-2025-02.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20Hypershield-2025-02.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/N9300-TFD-2025-Management4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/N9300-TFD-2025-Management4.jpg" style="width: 298px;" /></a></p> <p>單就Smart Switch本身的管理而言，思科提供資料中心網路自動化與維運平臺Cisco Nexus Dashboard，能用於管理交換器、DPU、網路政策，可根據網路維運團隊（NetOps）的角色與職責，提供量身打造的專屬工作流程。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/N9300-TFD-2025-Management3.jpg" style="width: 198px;" /> <a href="https://s4.itho.me/sites/default/files/images/N9300-TFD-2025-06-Dashboard.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/N9300-TFD-2025-06-Dashboard.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/N9300-TFD-2025-06-Dashboard2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/N9300-TFD-2025-06-Dashboard2.jpg" style="width: 198px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/N9300-TFD-2025-Management.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/N9300-TFD-2025-Management.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/N9300-TFD-2025-Management-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/N9300-TFD-2025-Management-2.jpg" style="width: 298px;" /></a></p> <p>關於Smart Switch與Hypershield的實際應用方式，思科目前規畫4種案例，分別是：上述提及的網路分段、防護雲端邊緣環境（Secure cloud edge）、防護資料中心互連（Secure Data center interconnect）、作為置頂型機櫃交換器提供網路分段與政策強制控管（ToR with stateful segmentation）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/N9300-TFD-2025-Management5.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/N9300-TFD-2025-Management5.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/N9300-TFD-2025-06-Usecase1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/N9300-TFD-2025-06-Usecase1.jpg" style="width: 298px;" /></a><img alt="" src="https://s4.itho.me/sites/default/files/images/N9300-TFD-2025-06-Usecase2.jpg" style="width: 298px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/N9300-TFD-2025-06-Usecase3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/N9300-TFD-2025-06-Usecase3.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/N9300-TFD-2025-06-Usecase4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/N9300-TFD-2025-06-Usecase4.jpg" style="width: 298px;" /></a> </p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><span style="color:#0000FF;"><strong>Cisco N9300系列Smart Switch</strong></span><br /> ●原廠：Cisco<br /> ●建議售價：廠商未提供<br /> ●機型：N9324C-SE1U、N9348Y2C6D-SE1U<br /> ●網路介面：N9324C-SE1U提供24個100GbE埠，N9348Y2C6D-SE1U提供48個25GbE埠+ 6個400GbE埠+2個100GbE埠<br /> ●機箱尺寸：1U<br /> ●運算元件：英特爾16核心處理器、96 GB記憶體、480GB固態硬碟，思科ASIC晶片Silicon One E100（4.8 Tbps），AMD Pensando DPU（128GB記憶體、800Gbps服務吞吐量，N9324C-SE1U搭配4個Elba，N9348Y2C6D-SE1U搭配2個Giglio）<br /> ●封包緩衝容量：64 MB<br /> ●電源供應器：1400瓦<br /> ●風扇：6臺<br /> ●作業系統平臺：Cisco NX-OS</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/3/23 16:51作者李宗翰https://www.ithome.com.tw/review/167957
遠通電收IT成為轉型先鋒，不只技術自主還能輸出海外
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">不少開車的人都有過這樣的經驗，從停車場離開時，經常得排隊繳費，有時還得花不少時間尋找繳費機，對於開車族而言，停車繳費這件事相當不便。現在透過eTag搭配App，也能代繳路邊停車費，離場前不需要事先繳費，從北到南許多停車場都支援。這項停車繳費服務的基礎，來自國內營運超過10年的ETC電子收費系統。</p> <p dir="ltr">2006年國道電子收費上路，2013年正式取代人工，國道上不再設置人工收費站，改由高速公路設置的門架，自動感應往來車輛上安裝的eTag，系統自動計費，通行車輛不再需要減速。這項國道收費的自動化發展，是國內交通運輸發展史的重要里程碑。</p> <p dir="ltr">負責維運管理國道ETC收費的遠通電收，歷經國道電子收費開通初期的陣痛期，經過10多年的發展，現在這套電子收費服務每天處理的通行交易筆數約1,700萬，過年期間交易筆費更可高達2,000多萬筆。</p> <p dir="ltr">一路參與國道收費電子化發展的遠通電收資訊處協理鄭之偉，是關鍵推手。他曾在安泰人壽、遠傳電信的資訊部門工作，後來進入遠通電收帶領研發團隊，參與國道收費電子化，現在帶領整個遠通電收資訊部門。</p> <p dir="ltr"><span style="color:#B22222;"><span style="font-size:28px;"><strong>導入雲端及微服務改善服務穩定性</strong></span></span></p> <p dir="ltr">回憶起當初國道電子收費服務上線前已通過完整測試，有能力處理大量通行車輛的計費工作，但是，民眾對剛上路的系統不熟悉，甚至信任感不足，App或網站的交易扣款紀錄查詢量暴增，超出系統原先的承載量設計，也影響到使用者體驗，ETC上線初期引發使用者抱怨及外界批評的聲浪，使得遠通電收全公司上下面臨龐大的壓力。</p> <p dir="ltr">雖然當年的系統設計可以處理上千萬筆交易，但仍不敷瞬間湧入的龐大查詢量，鄭之偉表示，資訊團隊不斷改善收費服務及App，建立民眾的信心，查詢量已經減少，隨著雲端及微服務興起，相關的服務及技術都愈來成熟，現在網站及App已陸續導入微服務，如果再遇到瞬間爆量查詢，會將網站及App服務移到雲端，利用雲端服務彈性擴充資源，避免重蹈覆轍，如今停車場服務也採用微服務架構及公有雲服務，以應付臨時大量的使用需求。</p> <p dir="ltr"><span style="color:#B22222;"><span style="font-size:28px;"><strong>導入AI協助辨識車牌</strong></span></span></p> <p dir="ltr">除了導入雲端及微服務架構，來提升ETC服務的穩定性，ETC計費的基礎是正確地識別車輛、計算應繳交的通行費、完成扣款。現有819萬輛車安裝了eTag，安裝率超過9成，但是，仍有約5%車輛因為種種因素沒有安裝，這些車輛行駛於高速公路，只能靠高速公路門架上的攝影機拍攝影像，事後再辨識車牌號碼，由車主自行繳交費用。</p> <p dir="ltr">但在2014年時，車牌號碼辨識採用的是「工人智慧」，全靠人工處理，當時，遠通聘請173人負責專門辨識車牌號碼，每天得辨識約多達14萬輛車的車牌。這項工作不只高度依賴人力，而且過程枯燥，容易出錯，再加上，攝影機拍攝的照片，有時候因為天候不佳、起霧、下雨，光線過亮或過暗，甚至是空中落葉、車牌上的泥巴等狀況而影響畫面，便可能誤判成其他車牌號碼。不僅造成誤繳費的車主困擾，每一次車牌辨識錯誤，更會動搖外界對ETC信心，因此，如何正確辨識車牌，成了遠通電收的重要課題。</p> <p dir="ltr">後來，他們導入人工智慧來辨識車牌號碼，但是如同前面所說的，即使依靠人工智慧處理大量車牌辨識工作，天氣、各種情境下所拍攝到的高速行駛車輛影像，要正確辨識車牌仍不容易正確辨識，如果遇到AI無法辨識的車牌，再交由人工進一步審視。</p> <p dir="ltr">遠通投入數年時間，不斷優化人工辨識車牌技術，他們在內部成立一支跨部門團隊，除了資訊部門參與之外，還有業務、機電、服務、溝通等人員，專門審視車牌辨識誤判的影像，分析出錯的原因，除了優化人工智慧辨識車牌，還包括資料檢核、車道影像，目標是提高AI辨識車牌號碼的正確性，以及交易資料檢核自動化，以降低人工處理的需求。</p> <p dir="ltr">針對容易造成誤判的各種情境影像，為了強化車牌辨識，他們也發展出商業智能來克服，例如當車輛經過門架時，攝影機拍攝的影像，當下的車牌可能被落葉、雨水遮擋難以辨識，當車輛行至下一個門架，再利用拍攝的影像來交叉比對。另外，門架上的攝影機也非一成不變，會自動調整，在拍攝車輛前，先偵測當下環境光線強弱，調整相機參數，以克服車牌影像過曝或過暗的問題。至於某些場合下的車牌影像容易出現的眩光，也在相機內採用特殊設計的紙質過濾光線，減緩眩光。</p> <p dir="ltr">在AI的協助之下，遠通電收辨識車牌的人力降至約70多人，以人工辨識車牌的數量降到每天約3.5萬個，大幅減少了7成5人工車牌辨識需求，誤判的車輛數降到8例，只有2014年每日誤判數的十分之一。</p> <p dir="ltr">高速公路局也與執法單位合作，運用ETC的車牌辨識技術，當辨識到兩地出現相同車牌的車輛，交叉比對資料揪出使用假車牌的汽車，以協助執法單位查緝假車牌案件，後來遠通電收成功將這項AI車牌辨識技術輸出到泰國。</p> <p dir="ltr"><span style="color:#B22222;"><span style="font-size:28px;"><strong>擴大資訊團隊掌握技術自主</strong></span></span></p> <p dir="ltr">ETC上線後，不斷改進系統及服務，鄭之偉形容這段時間是內部IT發展的穩定期，ETC服務日趨穩定後，遠通開始擴增IT人力，目前約70位，占整個公司員工約六分之一。</p> <p dir="ltr">為了掌握核心技術的自主發展能力，ETC開始將原本委外或使用國外方案的核心技術，像是帳務支付系統，或是初期採用國外技術的AI車牌辨識，改由資訊團隊自行研發，也和工研院、新創業者合作，不斷優化AI車牌辨識技術。</p> <p dir="ltr">資訊團隊的擴大，讓遠通電收有能力根據業務需要開發，甚至將資訊服務結合業務專案輸出，例如遠通電收將車牌辨識技術、停車管理平臺、eTag支付系統，提供給停車管理業者使用，讓安裝eTag的車輛車主不需排隊繳費，直接能將車輛駛離停車場，後端系統自動完成eTag扣款交易，部分停車場甚至沒有出入柵欄，進出全靠車牌辨識，汽車甚至不用暫停等待車牌完成辨識。</p> <p dir="ltr">鄭之偉表示，為擴大eTag用戶的使用體驗，讓用戶不只能在國道上使用，在其他場域也能使用，這是遠通電收積極轉型發展的業務之一。相較於國道ETC收費為比較單一的支付環境，不同停車管理場域複雜，且市場高度競爭，因此在發展數位停車業務上，遠通IT扮演了重要的角色。</p> <p dir="ltr">鄭之偉表示，傳統的資訊人員角色以資訊系統維護管理、開發為主，在總經理支持下，鄭之偉自己也親自到馬來西亞、菲律賓等國家拜訪客戶，他也鼓勵下屬轉換心態，讓熟悉各領域的資訊同仁擔任業務工程師，以顧問身分和業務員一起向停車服務業者說明，為了鼓勵資訊人員參與訪談客戶需求、參與設計，之後如果拿下案子後，IT人員也有機會和業務同樣享有獎勵。</p> <p dir="ltr">前幾年的IT發展以技術自主為主，「近兩三年，開始鼓勵技術人員心態轉型，訓練他們擔任業務工程師（Pre-sale），和業務人員一起拜訪客戶，介紹資訊系統特色並訪談客戶的需求。」鄭之偉說。遠通IT從內部後勤支援到化身為解決方案顧問，將自家資訊系統及服務對外輸出。</p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/1226-CIO-%E9%81%A0%E9%80%9A%E9%9B%BB%E6%94%B6-%E6%8A%BD%E8%A8%80.jpg" style="width: 600px;" /></p> <p dir="ltr">不論是因應自家ETC系統及eTag服務優化，或是將ETC系統對外輸出給，也想要建置電子收費系統的國家，依其需求客製化調整，或是系統及服務給國內停車服務業者。</p> <p dir="ltr">從國道收費電子化，到擴展eTag用戶的繳費應用，擴大停車管理資訊服務，業務上的轉型發展，促成遠通電收IT跟著調整。</p> <p dir="ltr">鄭之偉表示，過去國道收費的環境較為單純，但是進入停車管理產業，每個停車場域的案場條件不同，需要依照停車管理業者的需求調整，而且停管業者取得土地使用標案，也都希望儘早推出停車服務，這幾年隨著業務需求的多樣且快速變化，促使遠通擴大IT團隊掌握自主技術，讓工程師角色轉變，走向第一線與停管業者直接討論溝通需求，跨足停車管理資訊服務，促成遠通IT跟著改變。</p> <p dir="ltr">在開發方面，傳統的瀑布式開發模式已難以滿足客戶及市場的需要，市場及客戶的需求不斷變化，在公司高層，特別是遠通電收執行董事兼總經理張永昌的支持下，他們決定導入敏捷開發，以因應客戶的需要。</p> <p dir="ltr">傳統的瀑布式開發需花費較長的時間，如果系統、功能開發完成，可能已不符合消費者，以及停車管理業者的需求，趕不上市場的變化，因此從瀑布式開發走向敏捷開發，突破傳統以部門為單位的方式，他們組成敏捷開發團隊，由專案需要的人才及對專案有興趣的員工組成，通過快速的開發測試更版，讓App或後臺管理功能能夠跟上消費者及停管業者的需要。</p> <p dir="ltr">由於同一時間遠通電收可能服務不同的停車管理業者，這些業者的停車場域條件、需求也不相同，因此遠通電收也將團隊可能畫分不同的專案，各家停管業者停車服務開業的時間不同，遠通電收內部專案各自推動敏捷開發，提高開發的效率。</p> <p dir="ltr">鄭之偉表示，除了技術人員，營運單位也一起參與推動Scrum，透過導入敏捷開發，現在快速迭代，每周要發布好幾個版本。</p> <p dir="ltr">從ETC跨足到停車管理資通訊服務，遠通電收仍以eTag使用者為核心，增加eTag的使用，讓eTag用戶有更豐富的服務體驗。他們還成立專門的子公司遠創智慧，專門提供道路電子化收費、停車管理服務、車輛即服務等系統開發及維運經驗，對外輸出服務外部的客戶，包括海外的客戶。</p> <p dir="ltr">遠通電收從國道電子收費初期，走過外界質疑的低谷，透過不斷調整優化，重建消費者的信心，同時也練出IT改善系統穩定度的好功夫，現在IT更積極配合公司轉型，提供資訊系統及顧問服務對外輸出，讓IT從幕後走向幕前，成為遠通電收轉型的先鋒。</p> <hr /> <p dir="ltr"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p dir="ltr"><strong>遠通電收資訊處協理鄭之偉</strong></p> <p dir="ltr">學歷：中山大學應用數學系</p> <p dir="ltr">經歷：曾在ING 安泰人壽資訊處任職，2000年進入遠傳電信擔任系統工程師及程式設計師，2005年加入遠通電收，歷任開發部副理、開發部經理，一路參與國道ETC服務的開發工作，並在2020年升任資訊處協理，帶領資訊部門團隊至今。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/1226-CIO-%E9%81%A0%E9%80%9A%E9%9B%BB%E6%94%B6-260.jpg" style="width: 260px;" /></p> <p dir="ltr"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p dir="ltr"><strong>遠通電收</strong></p> <p dir="ltr">●地址：新北市板橋區新站路16號15樓</p> <p dir="ltr">●成立時間：2004年</p> <p dir="ltr">●主要業務：國道電子收費營運、數位停車服務</p> <p dir="ltr">●員工數：550人</p> <p dir="ltr">●資本額：30億元</p> <p dir="ltr">●董事長：徐旭東</p> <p dir="ltr">●總經理：張永昌</p> <p dir="ltr"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p dir="ltr">●資訊部門主管職稱：資訊處協理</p> <p dir="ltr">●資訊部門主管姓名：鄭之偉</p> <p dir="ltr">●資訊部門人數：約70人</p> <p dir="ltr"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p dir="ltr">●2014年：國道電子計程收費系統啟動、ETC App上線</p> <p dir="ltr">●2018年：停車場導入AI車牌辨識系統</p> <p dir="ltr">●2019年：臺北市開放路邊停車可使用eTag停車扣繳服務，成為第一個導入的縣市</p> <p dir="ltr">●2020年：uTagGo App上線，會員可申辦eTag智慧停車代扣繳服務，不需下車、開車、排隊繳費，且可代扣路邊停車費服務。</p> <p dir="ltr">●2021年：推動電子收費核心技術國產化，收費系統改由AI影像辨識技術，以自動辨識車牌號碼，取代過往使用國外車牌辨識引擎。導入大數據優化維護效率，預測設備作為維護管理依據，提升服務可用度。</p> <p dir="ltr">●2023年：成立首個使用微服務架構的綠色數位停車場，迎合停車場應用場景快速迭代更新，導入微服務設計及Kubernetes管理平臺，結合CI/CD快速更版，提升效率及系統可用度。</p> <p dir="ltr">●2024年：導入7x24全天候AI智能客服功能，民眾透過line文字智能客服及語音即自助辦理ETC業務異動服務。</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1226-cio-yuan_tong_-960.jpg" width="960" height="420" alt="" title="遠通電收資訊處協理鄭之偉" /></div></div></div>
2025/3/21 23:56作者蘇文彬https://www.ithome.com.tw/people/168038
MedTech醫療科技雙周報第40期：開源AI趕上閉源AI了？哈佛醫學院研究揭曉
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞（0301～0315）</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 開源模型 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GPT-4 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 哈佛醫學院 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>開源AI趕上閉源AI了？哈佛醫學院研究揭曉</strong></span></p> <p>由美國國衛院（NIH）資助、由哈佛醫學院及2家醫學中心執行的研究發現，開源AI在醫學診斷領域幾乎趕上閉源AI了，即開源模型Llama 3.1 405B在診斷複雜疾病的表現，已與閉源模型GPT-4相當。該研究成果在3月14日刊登於美國醫學會期刊《JAMA Health Forum》上。</p> <p>團隊用這兩個模型，來對《新英格蘭醫學雜誌》診斷挑戰專欄的92個病例進行診斷。結果顯示，Llama 3.1 405B在70%的案例中診斷正確，超越GPT-4的64%，並在41%的案例中，將正確診斷列為第一選項，優於GPT-4的37%。對於22例較新的病例，Llama 3.1 405B的正確率達73%，比GPT-4高出9個百分點。</p> <p>哈佛醫學院助理教授Arjun Manrai指出，就他們所知，這是開源AI首次在複雜臨床病例的判斷上超越GPT-4。這項研究也點出，開源AI有望成為醫學診斷領域的強大競爭者，為醫療機構提供更多選擇。<a href="https://jamanetwork.com/journals/jama-health-forum/fullarticle/2831206">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202025-03-21%20204717.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 老化 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生物年齡 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 預防醫學 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>大阪大學用AI和5滴血精準預測人類真實年齡</strong></span></p> <p>日本大阪大學開發一款AI模型，透過分析類固醇代謝途徑，來預測人體的生物年齡，也就是身體實際的老化程度，而非單純的出生年齡。首先，研究團隊開發一種只需5滴血的檢測方法，可以分析22種關鍵類固醇及其相互作用，比傳統方法更能精準評估健康狀況。團隊認為，既然人體依賴類固醇等荷爾蒙來維持平衡，應可視為老化指標。</p> <p>於是，他們開發一套深度神經網路模型，來計算類固醇比率、評估生物年齡。接著，他們分析數百名受試者的血液樣本，發現生物年齡的個體差異，會隨著時間擴大，就像是河流的下游越來越寬一樣，意味著隨年齡增長，個體間的老化速度差異會越來越明顯。</p> <p>在這項研究中，他們還發現壓力荷爾蒙皮質醇與老化息息相關。當皮質醇比率增加2倍，生物年齡大約提高1.5倍，顯示長期壓力可能加速老化。團隊認為，AI預測生物年齡的應用，可以推動個人健康監測，應用於疾病早期偵測、專屬健康計畫，或是提供延緩老化的生活建議。大阪大學團隊表示，他們將繼續擴大資料集、加入更多生物標誌物，來優化模型、解析老化機制。<a href="https://www.science.org/doi/10.1126/sciadv.adt2624">（詳全文）</a></p> <p><img alt="" src="https://www.science.org/cms/10.1126/sciadv.adt2624/asset/f3ec60ec-9698-48dc-966c-a018106c2233/assets/images/large/sciadv.adt2624-f1.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 阮綜合醫院 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> FHIR </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></p> <p><span style="font-size:22px;"><strong>阮綜合醫院聯手業者打造生成式AI平臺</strong></span></p> <p>高雄阮綜合醫院日前聯手軟體業者昕力資訊，展示共同打造的醫療生成式AI平臺，可提供醫護人員個人化服務，如將文件或資料提取、轉換、整理等，加速資料處理流程。</p> <p>他們以昕力資訊的digiRunner API管理平臺為基礎，來打造簡化醫事流程的功能，可針對醫院不同角色，設定各種專屬服務，例如AI智能搜尋魔板可根據醫事人員需求，提取必要的醫療資訊系統（HIS）資料，自動整合並分析病患資料，再以生成式AI來產出關鍵摘要，節省醫護人員整理資料的時間。另一項功能是癌藥事審FHIR格式轉換，可透過AI智能分析，自動將原始資料轉換為符合國際醫療資料交換標準FHIR的格式，幾秒就能完成，解決過去格式不符合FHIR、需人工花時間處理的痛點。尤其，該功能也保有微調彈性，供醫護人員調整轉換後的內容。<a href="https://www.tpisoftware.com/media-center/516">（詳全文）</a></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Dragon Copilot </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>微軟推出Dragon Copilot醫療語音AI助理</strong></span></strong></p> <p>微軟發表醫療用AI語音助理Dragon Copilot，結合了Dragon Medical One的語音輸入技術、DAX Copilot的環境語音技術，以及AI輔助紀錄能力，可提高臨床文件處理效率、減少醫護的行政負擔。微軟預計先於美國和加拿大推出，之後再擴展至英國、德國、法國和荷蘭。</p> <p>Dragon Copilot核心功能包括多語言語音輸入、即時文件整理、個人化筆記格式和AI輔助撰寫，可依臨床需求自動生成診療摘要、轉診信和診後報告，減少醫護人員的文書工作時間。此外，Dragon Copilot內建AI助理，可快速檢索醫療知識、支援語音指令來操作EHR。微軟表示，這個助理符合美國醫療標準與隱私法規，適用醫院門診、住院和急診等場域。<a href="https://news.microsoft.com/2025/03/03/microsoft-dragon-copilot-provides-the-healthcare-industrys-first-unified-voice-ai-assistant-that-enables-clinicians-to-streamline-clinical-documentation-surface-information-and-automate-task/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">X光 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 超音波 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GE醫療 </span></strong></span></p> <p><span style="font-size:22px;"><strong>GE醫療要打造自主醫學影像設備</strong></span></p> <p>日前，GE醫療在Nvidia GTC年度大會上宣布擴大與Nvidia的合作，要來開發高度自主的醫學影像技術，第一波鎖定X光技術和自動化超音波應用。進一步來說，GE醫療要用Nvidia Isaac for Healthcare平臺和Nvidia Cosmos平臺，來分別合成資料、模擬各種影像掃描情境，並在虛擬環境中訓練、測試和調整自主超音波設備和X光設備，以確保其正確性。</p> <p>在這些模擬情境中，GE醫療也將訓練機器，自動執行醫事人員在病患檢查室內的重複性工作，讓醫護團隊有更多時間來照顧病患、處理複雜的病例。此外，雙方還要探索機器與病患的互動技術，來打造自動化應用，引導病患完成X光掃描流程。<a href="https://investor.gehealthcare.com/news-releases/news-release-details/ge-healthcare-and-nvidia-reimagine-diagnostic-imaging-autonomous">（詳全文）</a></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">出院預測 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 再住院率 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 機器學習 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>澳洲用AI預測出院時機，可節省73萬澳元成本</strong></span></strong></p> <p>日前，南澳Lyell McEwin醫院和當地阿得雷德大學共同開發一款名為Adelaide Score的AI應用，透過機器學習分析病患的生命體徵和實驗室數據，預測病患在12小時和24小時內的出院機率。這套AI會讀取患者過去48小時的病歷數據，並與電子病歷（EMR）系統自動連結，加速篩選病患。</p> <p>他們在2024年4月與18個內外科團隊展開了28天試驗，結果發現，這套AI可以將再住院率降至5%（去年同期為7%）、住院時間中位數減少至2.9天（去年同期為3.1天），重點是該AI降低了住院人數，可節省73.57萬澳元（約48萬美元）。目前，團隊考慮將Adelaide Score擴展至澳洲東部各州。<a href="https://www.adelaide.edu.au/newsroom/news/list/2025/02/20/new-goal-achieved-for-the-adelaide-score">（詳全文）</a></p> <p>圖片來源／哈佛醫學院、大阪大學</p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> MedTech醫療科技近期新聞 </span></strong></span></strong></p> <p><strong><strong>1. 印度最大醫療集團Apollo Hospitals聯手3M旗下醫資業者，<a href="https://www.healthcareitnews.com/news/asia/apollo-hospitals-enters-new-collaboration-augment-cardiovascular-care">打造AI心血管疾病風險預測工具</a></strong></strong></p> <p>資料來源：iThome整理，2025年3月</p> </div></div></div>
2025/3/21 20:55作者王若樸https://www.ithome.com.tw/news/168037
【資安日報】3月21日，VS Code擴充套件市集成為駭客散布勒索軟體的新管道
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期駭客濫用微軟開源IDE編輯器Visual Studio Code（VS Code）的情況不時傳出，在我們本週報導<a href="https://www.ithome.com.tw/news/167954">中國駭客MirrorFace利用這套IDE工具的內建功能隱匿行蹤之後</a>，又有駭客上架有問題的擴充套件，意圖散布勒索軟體。</p> <p>值得留意的是，有研究人員向資安新聞網站透露，駭客早在4個月前就開始上架能發動攻擊的惡意套件，他們當時通報此事卻疑似因為鮮少用戶下載而被忽視，這代表微軟可能得調整相關機制來因應。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168033"><strong style="font-size: 22px;">駭客上架有問題的VS Code擴充套件，意圖散布勒索軟體</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/GmaEwAQXAAAEBsf.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/GmaEwAQXAAAEBsf.png" style="width: 300px; float: right;" /></a></p> <p>繼NPM、PyPI套件庫成為駭客偏好散布惡意軟體的管道後，有人也鎖定微軟開源IDE編輯器Visual Studio Code（VS Code）的擴充套件下手，於市集上架惡意套件散布勒索軟體。</p> <p>資安業者ReversingLabs發現兩個惡意套件ahban.shiba、ahban.cychelloworld，並指出開發人員如果在自己的電腦部署這些套件，電腦就有可能被植入勒索軟體。他們向VS Code市集通報此事，這些套件已經下架。</p> <p>研究人員分析套件的內容，發現內含與PowerShell命令有關的程式碼，功能是從C2下載PowerShell指令碼型態的有效酬載，並於受害電腦執行。</p> <p><a href="https://www.ithome.com.tw/news/168034"><strong style="font-size: 22px;">2萬個WordPress網站淪陷，遭到惡意軟體攻擊DollyWay入侵</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/dollyway-v3.jpeg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/dollyway-v3.jpeg" style="width: 300px; float: right;" /></a></p> <p>主機代管業者GoDaddy的資安研究團隊指出，他們發現自2016年開始的網站惡意軟體攻擊行動DollyWay，迄今已入侵超過2萬個網站。駭客透過惡意流量導向系統（Traffic Direction System，TDS）、C2節點形成的分散式網路基礎設施，鎖定WordPress網站而來。而在最新一波攻擊行動，駭客進一步採用加密資料傳輸、複雜的注入手法，以及自動化的重複感染機制。</p> <p>特別的是，這批駭客還會幫受害網站更新WordPress、移除其他惡意軟體，而這麼做的目的是為了進一步完全控制，不讓其他駭客瓜分受害網站的資源。</p> <p>為了持續在受害網站活動，駭客設置了重複感染機制，首先他們將惡意PHP程式碼以WPCode小工具的形式，注入所有啟用的外掛程式。一旦受害網站遭到感染，駭客的活動就不會停止，因為每次只要有任意的WordPress網頁開啟，就會啟動重複感染鏈，即使網站管理員察覺，也很難徹底清除。</p> <p><a href="https://www.ithome.com.tw/news/167993"><strong style="font-size: 22px;">去年公布的ChatGPT附加元件SSRF漏洞出現攻擊行動，美國政府機關是頭號目標</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/veriti-traffic-analysis-01.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/veriti-traffic-analysis-01.jpg" style="width: 300px; float: right;" /></a>去年3月有研究人員公布ChatGPT commit f9f4bbc存在伺服器偽造請求（SSRF）漏洞CVE-2024-27564，此漏洞被列為中度風險層級，存在名為pictureproxy.php的元件，CVSS風險為6.5，近期有資安業者警告，該漏洞已被用於實際攻擊。</p> <p>資安業者Veriti發現有人從今年1月開始將這項漏洞用於實際攻擊，惡意行為源自單一惡意IP位址，總共發動10,479次嘗試利用，主要目標是金融機構，原因是攻擊者偏好尋找以AI為基礎的服務及API整合的環境下手，但醫療照護、政府機關也有災情。</p> <p>根據受害產業與地理位置來看，駭客的頭號目標是美國的政府機關。三分之一的攻擊行動針對美國企業組織而來占大宗，但德國、泰國、印尼、哥倫比亞、英國也有災情。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.cna.com.tw/news/asoc/202503190387.aspx">稅務抽獎活動中獎人都是「彭家軍」！法務部調查局證實是駭客作弊擾亂抽獎結果</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/hackers-target-cisco-smart-licensing-utility-vulnerabilities/">思科軟體授權管理工具存在重大漏洞，已有駭客試圖進行利用</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/03/six-governments-likely-use-israeli.html">不只義大利！6國政府驚傳以間諜軟體Paragon及WhatsApp零時差漏洞進行監控</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.cna.com.tw/news/asoc/202503200345.aspx">昇銳電子傳出將中國監視器改標臺灣製造賣給公部門</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168029"><strong style="font-size: 22px;">群暉公布去年Pwn2Own找到的NAS重大漏洞細節，並指出若不處理攻擊者有機會發動RCE攻擊</strong></a></p> <p>3月19日NAS廠商群暉更新多個去年發布的資安公告，針對去年10月舉行的漏洞挖掘競賽Pwn2Own Ireland 2024當中，找到的NAS設備漏洞，揭露細部資訊，提醒用戶注意部分漏洞非常危險。對此，我們也向群暉進一步詢問，該公司表示他們已提供修補程式，絕大多數用戶已套用更新，此外，有鑑於這些漏洞相當嚴重，群暉也破例為生命週期結束（EOL）的DSM 6.2版提供修補。</p> <p>根據CVSS風險評分，最危險的是分數達到10分滿分的CVE-2024-10442，這是被稱為「差一錯誤（Off-by-One Error，OBOE）」的程式邏輯錯誤漏洞，存在於NAS設備的遠端複製軟體Replication Service，以及Synology Unified Controller（DSM UC），一旦利用這項漏洞，攻擊者就有機會遠端執行任意程式碼。群暉特別提及，攻擊者還有可能透過未知的管道造成更為廣泛的危害。</p> <p><a href="https://www.ithome.com.tw/news/168007"><strong style="font-size: 22px;">Veeam修補備份軟體重大漏洞，駭客可利用漏洞執行遠端程式碼</strong></a></p> <p>備份與資料保護軟體廠商Veeam，於3月19日揭露影響備份軟體的重大漏洞，並釋出修補。</p> <p>這個編號為CVE-2025-23120的漏洞，是由watchTowr安全研究人員Piotr Bazydlo發現與通報，為嚴重性等級9.9的重大漏洞，存在於Veeam Backup & Recovery備份軟體12.3.0.310版以前，所有12.x版軟體中，會導致經過驗證的網域使用者，能夠從遠端存取系統，並且任意執行各種程式碼胡搞瞎搞，進而影響整個Veeam備份環境。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/wordpress-security-plugin-wp-ghost-vulnerable-to-remote-code-execution-bug/">WordPress資安外掛WP Ghost存在重大漏洞，攻擊者有機會發動RCE攻擊</a></strong></p> <p> </p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/168004"><strong>【3月20日】PHP已知重大漏洞攻擊行動升溫，臺灣是主要攻擊目標</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167955"><strong>【3月19日】11組國家級駭客劍指Windows尚無修補的零時差漏洞，散布惡意LNK檔案發動攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167922"><strong>【3月18日】駭客組織CrazyHunter聲稱攻擊臺灣上市公司科定</strong></a></p> </div></div></div>
2025/3/21 17:06作者周峻佑https://www.ithome.com.tw/news/168035
2萬個WordPress網站淪陷，遭到惡意軟體攻擊DollyWay入侵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>主機代管業者GoDaddy的資安研究團隊指出，<a href="https://www.godaddy.com/resources/news/dollyway-world-domination">他們發現自2016年開始的網站惡意軟體攻擊行動DollyWay</a>，迄今已入侵超過2萬個網站。駭客透過惡意流量導向系統（Traffic Direction System，TDS）、C2節點形成的分散式網路基礎設施，鎖定WordPress網站而來。而在最新一波攻擊行動，駭客進一步採用加密資料傳輸、複雜的注入手法，以及自動化的重複感染機制。</p> <p>特別的是，這批駭客還會幫受害網站更新WordPress、移除其他惡意軟體，而這麼做的目的是為了進一步完全控制，不讓其他駭客瓜分受害網站的資源。</p> <p>針對惡意軟體DollyWay，研究人員指出這是專門針對WordPress網站開發的作案工具，駭客利用在受害網站建置的C2及TDS節點，將使用者重新導向到VexTrio與LosPollos的廣告連結進行牟利。截至今年2月，他們看到其中1萬個被感染的網站裡，出現1千萬個冒牌網頁，這些網頁內含惡意指令碼，針對不同的IP位址使用者而來。這款惡意軟體已經進化第三代，駭客運用wp-content/counts.php指令碼，將特定的受害網站設置為C2或是TDS。</p> <p>為了持續在受害網站活動，駭客設置了重複感染機制，首先他們將惡意PHP程式碼以WPCode小工具的形式，注入所有啟用的外掛程式。一旦受害網站遭到感染，駭客的活動就不會停止，因為每次只要有任意的WordPress網頁開啟，就會啟動重複感染鏈，即使網站管理員察覺，也很難徹底清除。</p> <p>這個感染鏈大致分成4個步驟。首先是從特定的名單裡，停用Wordfence、Ninja Firewall、All-In-One Security（AIOS）等資安外掛。</p> <p>接著惡意程式找到已經感染的外掛程式或WPCode小工具，再度對注入的DollyWay程式碼進行混淆處理。而對於已經啟用，但尚未感染的外掛程式，駭客會對其注入經混淆處理的DollyWay程式碼。最後刪除受害網站所有的WPCode小工具，並植入新的惡意版本。</p> <p>附帶一提的是，由於WPCode在WordPress管理介面當中相當顯眼，為了避免管理員察覺異狀，他們也刪除主控臺所有WPCode選單，並從外掛程式列表移除WPCode。</p> </div></div></div>
2025/3/21 16:53作者周峻佑https://www.ithome.com.tw/news/168034
駭客上架有問題的VS Code擴充套件，意圖散布勒索軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼NPM、PyPI套件庫成為駭客偏好散布惡意軟體的管道後，有人也鎖定微軟開源IDE編輯器Visual Studio Code（VS Code）的擴充套件下手，於市集上架惡意套件散布勒索軟體。</p> <p>資安業者ReversingLabs<a href="https://x.com/ReversingLabs/status/1902355039265411208">發現兩個惡意套件ahban.shiba、ahban.cychelloworld</a>，並指出開發人員如果在自己的電腦部署這些套件，電腦就有可能被植入勒索軟體。他們向VS Code市集通報此事，這些套件已經下架。</p> <p>研究人員分析套件的內容，發現內含與PowerShell命令有關的程式碼，功能是從C2下載PowerShell指令碼型態的有效酬載，並於受害電腦執行。</p> <p>而這個有效酬載應該就是勒索軟體，會在受害電腦的桌面名為testShiba的資料夾當中加密檔案，完成後顯示勒索訊息，要求開發人員支付1個加密貨幣ShibaCoin贖金，換取復原檔案的金鑰。不過，駭客並未提供加密貨幣錢包資訊，因此研究人員推測，很有可能還有其他帶有這類資訊的新版有效酬載。</p> <p>值得留意的是，這些惡意套件可能上架接近4個月之久，才被發現有問題。<a href="https://www.bleepingcomputer.com/news/security/vscode-extensions-found-downloading-early-stage-ransomware/">資安新聞網站Bleeping Computer指出</a>，資安研究員Italy Kruk透露他們在去年11月底就偵測到ahban.cychelloworld有問題並通報，但因為套件下載次數相當少，微軟並未優先進行處理。駭客後來又上傳了5個版本，而且全數通過微軟的審核流程。對比<a href="https://www.bleepingcomputer.com/news/security/vscode-extensions-with-9-million-installs-pulled-over-security-risks/">微軟最近不慎下架近9百萬人下載的套件</a>，針對這兩種誤判，Bleeping Computer認為，微軟可能必須調整相關機制來因應。</p> </div></div></div>
2025/3/21 15:43作者周峻佑https://www.ithome.com.tw/news/168033
群暉公布去年Pwn2Own找到的NAS重大漏洞細節，並指出若不處理攻擊者有機會發動RCE攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>3月19日臺廠網路設備製造商群暉更新多則去年發布的資安公告內容，公布在去年10月舉行的漏洞挖掘競賽Pwn2Own Ireland 2024當中，找到的NAS設備漏洞細節，並指出當中有部分漏洞非常危險。對此，我們也向群暉進一步詢問，該公司表示他們已提供修補程式，絕大多數用戶已套用更新，此外，有鑑於這些漏洞相當嚴重，群暉也破例為生命週期結束（EOL）的DSM 6.2版提供修補。</p> <p>根據CVSS風險評分，<a href="https://www.synology.com/en-global/security/advisory/Synology_SA_24_22">最危險的是分數達到10分滿分的CVE-2024-10442</a>，這是被稱為「差一錯誤（Off-by-One Error，OBOE）」的程式邏輯錯誤漏洞，存在於NAS設備備份快照的複寫套件Replication Service，以及Synology Unified Controller（DSM UC），一旦利用這項漏洞，攻擊者就有機會遠端執行任意程式碼。群暉特別提及，攻擊者還有可能透過未知的管道造成更為廣泛的危害。</p> <p>另外1個評為9.8分的重大層級漏洞CVE-2024-10441也相當值得留意。該漏洞<a href="https://www.synology.com/en-global/security/advisory/Synology_SA_24_20">存在於7.2版以上版本的DSM</a>，以及<a href="https://www.synology.com/en-global/security/advisory/Synology_SA_24_23">BeeStation Manager（BSM）</a>的系統外掛程式，為不當編碼及輸入逃逸漏洞，攻擊者也同樣能用來遠端執行任意程式碼。</p> </div></div></div>
2025/3/21 12:56作者周峻佑https://www.ithome.com.tw/news/168029
Martech雙周報第72期：AI搜尋浪潮到來，不同Martech業者怎麼看廣告流量衝擊與應對方法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#0000ff;"><strong>重點新聞(0302~0315)</strong></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI #行銷轉換 #SEO</span></span></strong><br /> <strong>Adobe研究：美國去年購物季，從GenAI工具導向零售網站的流量年增1300%</strong></p> <p><a href="https://blog.adobe.com/en/publish/2025/03/17/adobe-analytics-traffic-to-us-retail-websites-from-generative-ai-sources-jumps-1200-percent">Adobe研究顯示，在2024年11月1日到12月31日</a>，也就是購物高峰期間，從生成式AI工具導向零售網站的流量較前一年增加1,300％。Cyber Monday節日當天，甚至來到1,950％。此趨勢在高峰期後依舊，到2025年2月，來自生成式AI來源的流量較2024年7月增加1,200％。不只如此，AI在零售的轉換率也快速追上非AI流量，從去年7月落後0.8%，到現在只有少0.2%。對有意進行行銷漏斗底層（轉換）行銷的廣告主來說，這意味著生成式AI作為行銷通路的重要性逐漸提升。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/aiconveaetadgo.jpg" style="width: 600px;" /></p> <p>Adobe對5,000名美國消費者進行的調查中，39%消費者曾經使用過生成式AI進行線上購物，53%消費者計劃在今年使用。消費者使用生成式AI執行的購物任務包括進行研究、接收產品推薦、尋找優惠、尋找禮物點子、尋找獨特產品以及創建購物清單。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI #AI人才 #媒體創作工具</span></span></strong><br /> <strong>Taboola在臺灣擴大招募AI人才，研發全球級Martech產品的生成式AI應用</strong></p> <p>Martech公司巨頭Taboola於擴大招募AI人才，研發全球產品線的深度學習及生成式AI應用。臺灣是Taboola這是全球第四座、亞洲第一座AI研發中心，目前已經聘有40名臺灣AI人才。</p> <p>Taboola會選擇臺灣設置研發中心，一大原因是先前國科會博士創新之星計畫（X Talent）使他們接觸到臺灣AI人才，因而將台北辦公室作為生成式AI技術研發重地。Taboola資深研發副總裁Tal Sliwowicz表示，他們開發團隊都是跨國協作，臺灣AI人才一加入就會負責全球性的AI類產品開發。</p> <p>目前Taboola的AI和生成式AI產品包括各式給廣告主和出版方的內容製作工具、AI投廣助手與代理人、自動化廣告代投工具等。他們於臺灣的知名客戶包括Uniqlo、Momo、現代汽車、 TVBS、風傳媒等。</p> <p>Tal Sliwowicz也揭露Taboola對現在生成式AI影響網站及廣告流量的看法。他觀察，生成式AI正在改變網路使用者消費網站內容的模式，這會對出版商流量造成影響。出版商可能採用的新做法包括，用生成式AI製作更大量內容，以及積極與生成式AI平臺和工具進行內容授權等合作。Taboola作為廣告代理及科技商，希望在這個轉變中扮演的角色是，用自家科技促成出版商和廣告主，能於生成式AI平臺這個新通路持續獲得曝光，並做到個人化內容推薦。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI #AI代理人</span></span></strong><br /> <strong>Adobe推出AI代理人與模型調度功能，以及更多GenAI行銷功能</strong></p> <p><a href="https://news.adobe.com/news/2025/03/adobe-summit-2025-adobe-ai-platform-unites-creativity-marketing">Adobe在自家年度大會上推出一系列AI與生成式AI類新功能。</a>首先是Experience Platform Agent Orchestrator，行銷人員能一站式管理和調度行銷流程中所使用到的Adobe及第三方AI代理人，來加速整體行銷作業。</p> <p>另一個新功能是Brand Concierge，企業可以用此功能建立和設定引導AI代理人，讓他們引導顧客探索和購買品牌商品。此功能可以製作B2C和B2B代理人，後者可以根據顧客關係提供專屬內容，並處理後續業務作業。</p> <p>行銷內容製作方面，Adobe推出GenStudio Foundation，這是一個串聯內容製作系列產品線及行銷科技產品線的GenAI平臺，可以一站式製作內容並管理行銷規畫、行銷專案、內容素材，以及數據洞察。此平臺和Microsoft Advertising Platform、Google Campaign Manager 360、及LinkedIn Ads等外部平臺串聯，支援快速行銷內容發布，也與第三方平臺整合，包括IntelligenceBank、Acxiom、Lithero、PwC、Saifr和 Stensul等廠商的平臺。</p> <p>其他新功能包括行銷內容表現的分析功能，可以提供素材屬性等級（如圖片裡的顏色、物件等）洞察、生成式AI模型Firefly的多個API，以及Firefly新內容處理功能等。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#SEO #AI搜尋 #影片行銷 #生成式AI</span></span></strong><br /> <strong>Brightedge研究：教學類和示範類Youtube影片最受AI Overviews搜尋功能青睞</strong></p> <p><a href="https://www.brightedge.com/blog/youtubes-growing-impact-google-ai-overviews-what-marketers-need-know">老牌SEO廠商Brightedge研究顯示</a>，Google的AI搜尋功能AI Overviews呈現影片連結時，特別青睞Youtube，其他影片網站幾乎未出現於AI摘要中。從影片形式來看，教學類影片（How-to）跟示範類（Visual demo）類最容易曝光，在所有曝光的Youtube影片中占比分別為35.6%和32.5%。第三名則是產品測試或開箱類影片，占比22.5%。主題方面，則是以醫療保健和電子商務類最容易曝光，兩者加起來超過7成曝光占比。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2(66).png" style="width: 600px;" /></p> <p>Brightedge建議，廣告主若要在AI Overviews曝光，最好優先選擇Youtube作為影片平臺。內容策略則是跟著目前曝光占比走，製作商品或服務相關的教學、示範及開箱影片。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#電話客服 #AI口音修正</span></span></strong><br /> <strong>Teleperformance開始用AI即時修改客服人員英文口音，來降低溝通障礙</strong></p> <p><a href="https://www.tp.com/en-us/services/digital-cx-and-ai/artificial-intelligence/real-time-speech-understanding/">世界最大電話服務中心營運商Teleperformance開始用AI來「軟化」海外服務中心人員的英文口音，並減少雜音、提升音質。</a></p> <p>英語系國家常常在海外開設電話服務中心，並聘用印度等外籍客服人員，導致客服溝通困難。此做法是希望可以將客服人員聲音轉變成顧客較熟悉的口音，以降低通話時間、增加解決率。儘管部分討論認為，此舉有種族歧視意味，不過Teleperformance及此口音轉化技術的廠商Sanas表示，這反而能降低顧客排斥異國客服人員的情況，有助於降低種族歧視。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#RMN #API #第三方平臺</span></span></strong><br /> <strong>Walmart RMN推出可以讓開發者透過第三方程式來投放和測量廣告的API</strong></p> <p>去年RMN營收高達40億美元的Walmart推出Display Advertising API。開發者可以用來打造儀表版、自動化投放工具等應用，或者是結合第三方平臺功能來投放和測量在Walmart RMN的廣告。</p> <p>近年Walmart逐漸開放自家廣告平臺給廣告主。繼推出只能拋轉廣告數據的Reporting API，以及透過Walmart內部數據分析服務Luminate來操作廣告平臺後，現在更進一步，開放開發者可以透過外部程式來與自家廣告平臺互動。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#聯盟式行銷 #行銷成效追蹤 #瀏覽器行銷</span></span></strong><br /> <strong>回應Honey聯盟式行銷爭議，Google禁止Chrome擴充功能未經同意插入聯盟行銷連結</strong></p> <p><a href="https://www.ithome.com.tw/news/166820">今年年初，我們報導過Honey等Chrome外掛利用聯盟式行銷（Affiliate Marketing）的行銷追蹤機制，</a>來獲取行銷傭金的爭議。回應此爭議，Google更新Chrome Web Store擴充功能的聯盟行銷政策，從6月10日起全面禁止擴充功能未經用戶同意，插入聯盟連結、推廣碼或Cookie。之前，Honey就是透過加入自家追蹤Cookie，來獲得行銷追蹤機制的歸功。</p> <p>此次政策更新明確要求所有涉及聯盟行銷的擴充功能，必須讓用戶在安裝前、介面中，以及Chrome Web Store的擴充功能頁面清楚了解其聯盟行銷行為。並且，只能在對用戶提供直接利益，例如折扣、回饋或即時優惠，才可透過擴充功能引導聯盟連結。（<a href="https://www.ithome.com.tw/news/166820">詳全文</a>）</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#網路流量追蹤 #行動裝置</span></span></strong><br /> <strong>Similarweb開始追蹤行動App流量，品牌曝光追蹤範圍更完整</strong></p> <p>知名網站流量分析商Similarweb近期收購App流量分析商42matters後，<a href="https://www.similarweb.com/corp/apps/">推出App Intelligence服務</a>，開始追蹤58個國家中，超過4百萬支iOS和Android App的流量。這是一個基礎但重要的更新。Similarweb能同時分析網站和行動App數位通路的流量，意味著網站主和品牌可以得到更完整的曝光分析結果。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099FF;">更多Martech動態：</span></strong></span></p> <p><a href="https://happylee.blog/rs/media-in-ai-organic-search/">91APP產品長李昆謀整理出一系列調查及趨勢，分享AI搜尋時代來臨時，數位媒體等出版方（Publisher）的搜尋流量如何改變、如何應對。</a></p> <p><a href="https://www.ithome.com.tw/news/167675">Salesforce推出AgentExchange，供企業探索、試用與購買AI Agent類功能</a></p> <p><a href="https://status.search.google.com/incidents/zpmwuSwifjDjfrVdaZUx">Google搜尋完成大型演算法更新</a></p> <p>資料來源：iThome整理，2025年3月</p> <p>責任編輯：郭又華</p> <p>圖片來源：Adobe、Brightedge</p> <p></p> </div></div></div>
2025/3/21 14:29作者郭又華https://www.ithome.com.tw/news/168013
OpenAI推出新語音模型，增強語音辨識準確度與語氣控制能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI<a href="https://openai.com/index/introducing-our-next-generation-audio-models/">宣布推出</a>新一代語音轉文字與文字轉語音模型，擴展API功能強化多語言語音代理開發能力。新模型在語音辨識準確度、語音合成表現與客製化能力皆有提升，相較於舊版Whisper與其他競爭對手模型，在字詞錯誤率（WER）方面表現良好。</p> <p>新語音轉文字模型gpt-4o-transcribe與gpt-4o-mini-transcribe在多語言語音辨識上進行強化，透過強化學習與大規模語音資料集預訓練，提升對不同語言、口音、語速變化與噪音環境的適應能力。根據FLEURS基準測試結果，gpt-4o-transcribe的WER明顯低於Whisper-large-v2與Whisper-large-v3，特別是在英語、歐洲語系與部分亞洲語言的表現優於競爭對手，而在中文、阿拉伯語、印地語等語言的準確度仍有進步空間。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/131%20-%20Introducing%20next-generation%20audio%20models%20in%20the%20API%20-%20OpenAI%20-%20%5Bopenai_com%5D.png" style="width: 580px;" /></p> <p>OpenAI同時推出新一代文字轉語音模型gpt-4o-mini-tts，強化語音輸出的可調整性，開發者可透過指令控制語氣與風格，例如讓語音代理以同理心客服或沉穩播報員的方式說話，提供語音應用更高的靈活度。OpenAI仍維持對語音合成技術的安全管控，目前僅提供人工預設語音，並透過監測確保語音輸出符合既定標準。</p> <p>這次OpenAI語音模型的提升主要來自於數個重要改進。首先，OpenAI採用了針對語音資料的特化預訓練，使模型能夠更精確地學習語音中的細微變化與語境關係。其次，透過進階的模型蒸餾技術，較小的模型gpt-4o-mini-transcribe與gpt-4o-mini-tts得以從更大型的模型學習語音轉錄與語音合成的能力，確保運算效率與準確率。此外，語音轉文字模型採用強化學習機制，以進一步降低轉錄錯誤與語音錯誤辨識的發生率，特別是在低資源語言與非標準語音的處理穩定有所提升。</p> <p>OpenAI API的語音轉文字與文字轉語音功能目前已全面開放，並提供與Agents SDK的整合，簡化語音應用開發流程。</p> </div></div></div>
2025/3/21 14:54作者李建興https://www.ithome.com.tw/news/168030
Veeam修補備份軟體重大漏洞，駭客可利用漏洞執行遠端程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>備份與資料保護軟體廠商Veeam，於3月19日揭露影響備份軟體的1項<a href="https://www.veeam.com/kb4724">重大漏洞</a>，並釋出修補。</p> <p>這個編號為CVE-2025-23120的漏洞，是由watchTowr安全研究人員Piotr Bazydlo發現與通報，為嚴重性等級9.9的重大漏洞，存在於Veeam Backup & Recovery備份軟體12.3.0.310版以前，所有12.x版軟體中，會導致經過驗證的網域使用者，能夠從遠端存取系統，並且任意執行各種程式碼胡搞瞎搞，進而影響整個Veeam備份環境。</p> <p>解決方法是將Veeam Backup & Recovery備份軟體更新到<a href="https://www.veeam.com/kb4696">12.3.1版（build 12.3.1.1139）</a>。</p> </div></div></div>
2025/3/21 13:55作者張明德https://www.ithome.com.tw/news/168007
Meta AI部份功能在歐盟上線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在將近2年後，<a href="https://about.fb.com/news/2025/03/europe-meet-your-newest-assistant-meta-ai/" target="_blank">Meta宣布部份Meta AI服務在歐盟上線</a>，包括群組聊天助理、內容搜尋及網頁搜尋等。</p> <p>Meta於2023年首先在美國推出Meta AI及Llama服務，原本計畫去年3月推向歐盟，<a href="https://www.ithome.com.tw/news/163485" target="_blank">但是遭到歐盟及英國主管機關以使用歐盟用戶資料訓練，違反GDPR等理由阻撓</a>。目前Meta AI已在美國、加拿大、澳洲、新加坡、英國、巴西等中南美洲、部分東南亞國家及阿拉伯國家上線。Meta表示，迄今Meta AI全球每月經常用戶超過7億。</p> <p>目前臺灣用戶還未能使用Meta AI。</p> <p>本周起，Meta AI將推向41個歐洲國家，包含歐盟及21個海外領土。Meta AI將整合在Meta通訊App包括Facebook、Instagram（IG）、WhatsApp及FB Messenger等提供歐盟用戶。在App上會顯示新的藍色圈圈圖示，表示已經部署了Meta AI。</p> <p>不過歐盟地區能使用的功能有限，包括群組聊天助理、搜尋內容及網際網路。首先是扮演群組聊天助理，在訊息中打入@MetaAI就能召喚出Meta AI，協助規劃旅遊、聚餐、加入辯論等。其次是搜尋檔案或訊息內容。Meta AI具備進階理解能力，如用戶想規劃加拿大行程，鍵入「顯示溫哥華島的內容」，Meta AI就能從用戶友人及追蹤者張貼的貼文或短影片中，搜尋出相關內容來。Meta AI也能搜尋網際網路，讓用戶無需跳出聊天介面。</p> <p>在歐盟開放的新功能將先從WhatsApp部署，很快會推向FB Messenger及IG DM（Direct Messaging）。一開始智慧聊天功能支援6種歐洲語言，包括英，法、義、西、葡與德語，陸續新增支援其他語言。</p> <p>而在其他地方，Meta預計在美國增加Meta AI的功能，包括個人化及記憶，以及將用於創造客製化特徵的虛擬角色的AI Studio推向更多市場。</p> </div></div></div>
2025/3/21 12:36作者林妍溱https://www.ithome.com.tw/news/168026
研究人員發表完全以神經網路取代數值解算器的超快天氣預報模型Aardvark Weather
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.cam.ac.uk/research/news/fully-ai-driven-weather-prediction-system-could-start-revolution-in-forecasting" target="_blank">來自劍橋大學的研究人員周四（3/20）揭露了一款全新的天氣預報模型Aardvark Weather</a>，它首次完全以神經網路取代數值解算器（Numerical Solver），宣稱只需要數千分之一的運算能力，僅需輸入1/10的觀測資料，就能以數十倍的速度提供準確的預報。<a href="https://www.nature.com/articles/s41586-025-08897-0" target="_blank">該研究已登上《自然》（Nature）科學期刊</a>。</p> <p>傳統的數值天氣預報（Numerical Weather Prediction，NWP）系統的關鍵元件包括可用來定義天氣預測理論的數值模型，將理論轉為實際可用之預測資料的數值系統，以及貫穿整個數值天氣預報系統的數值解算器。</p> <p>近幾年的天氣預報系統開始利用神經網路來取代數值解算器，但仍依賴數值解算器來進行初始化及產生局部預報。然而，數值解算器在初始化階段必須仰賴龐大且多元化的觀測資料，包括衛星與地面觀測站數據等，並通過數據同化整合不一致的資料以生成模型的初始條件。這一過程需要耗費大量運算資源，且初始化誤差會隨著時間擴大，影響長期預測的準確性。此外，針對局部高分辨率現象的模擬（如暴風雨或地形影響）則需要超級電腦等龐大計算資源，若運算速度不足，可能無法滿足即時預測與災害預警的需求。</p> <p>而研究人員所打造的Aardvark Weather則全面以神經網路來取代數值解算器，利用單一機器學習模型來執行整個NWP流程，摒棄了傳統的多階段數值天氣預報流程。</p> <p>Aardvark Weather是個端對端的資料驅動天氣預測系統，能夠接收觀測資料，並即時生成全球網路化預報與局部站點預報。其全球預報在多種變量及預測時效上超越了現有的NWP基準；局部站點的預報在10天的預測範圍內，得以與經過後處理的全球NWP基準及人工參與的最先進端對端預測系統相媲美，也能藉由微調進一步提高局部預報的準確性，展現其卓越的適應性與精確度。</p> <p>主導該研究的是劍橋大學工程系教授Richard Turner，他說Aardvark重新構思了現有的天氣預報方法，很可能使得天氣預報比過去更快、更便宜、更靈活也更準確；而且只要利用一個簡單的機器學習模型，就能吸收來自衛星、氣象站與其它感應器的觀測資料，並輸出全球與本地的預測結果。</p> <p>此一完全由AI驅動的方法意味著，那些原來需要依賴多個模型、超級電腦及龐大支援團隊才能生成的預測，現在只要利用桌上型電腦，就能在幾分鐘內完成。</p> <p>而且當只使用現有系統10%的輸入資料時，Aardvark在許多變數上，已經超越了美國國家GFS預測系統，還能媲美使用數十種氣象模型、擁有眾多預報分析專家的美國氣象局的預測，可望改善開發中國家的天氣預報能力，因為這些國家通常無法取得開發傳統天氣預報系統所需的專業知識與運算資源。</p> <p>該研究相信，Aardvark Weather將成為新一代端對端模型的起點，它以不可思議的比例降低運算成本，最終將可替一般使用者快速且經濟地建立各種客製化模型。</p> </div></div></div>
2025/3/21 13:09作者陳曉莉https://www.ithome.com.tw/news/168031
日本金融界多敢用GAI
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>日本金融廳在今年3月初的日本金融科技周，發表了一份很有意思的討論文件報告，公布了日本130家金融機構的GAI運用現況。這是第一份來自日本官方的金融生成式AI調查，可以看到日本金融圈從去年開始積極擁抱生成式AI的盛況。</p> <p>日本金融廳計畫在2027年放寬對於AI的監管力道，希望能促進金融科技的創新，因此，在去年10到11月之間展開這項調查，搜集到了超過50家銀行、20多家券商、15家保險業者，其他金融相關機構，如信用評等機構，放貸公司、支付機構等共130家金融企業的調查結果。日本金融廳彙整了這些公司使用生成式AI的運用情況，遇到的挑戰等。從這份報告中可以看到日本金融圈，如何大膽積極地擁抱生成式AI，相當值得臺灣業界和主管機關的參考。</p> <p>從去年三大科技巨頭紛紛推出商用級GAI工具和產品後，許多企業不再問要不要用生成式AI，而是問要怎麼用生成式AI。2024年可說是生成式AI的實驗創新年，許多企業都展開了不同形式的PoC實驗。</p> <p>日本金融圈更是積極，從調查中可以看到，超過8成5都開始用GAI，尤其有7成日本金融業開放員工任意運用，只有1成先開放給少數部門或高階主管。使用GAI已經是日本金融圈的常態。不只開始用，近4成的日本金融公司是越用越多、越深。</p> <p>日本金融機構偏愛直接使用第三方提供的GAI服務，近7成企業用IT廠商或SaaS的GAI服務，企業自己要用開源LLM來客製專屬LLM約3成，當然，上述選項也有企業都有採用了這兩類作法。不少日本金融公司會依據用途來決定使用哪一種GAI服務，甚至同一個任務嘗試採用不同的GAI服務來比較。</p> <p>去年生成式AI最流行的RAG（檢索增強生成）作法，正是日本金融機搆常見的GAI應用模式，超過8成機構已採用或準備要導入。他們會用LLM結合內部資料庫中的資料，來強化資料查詢能力。更有近4成日本金融機構要用或想用內部資料微調LLM。</p> <p>想找出適合GAI發揮的場景，這是臺灣金融業者過去一年不斷嘗試、實驗的目標。我們來看日本金融機構怎麼做？多數日本金融機構先從內部業務優化開始導入GAI，約半數機構考慮未來用於面對顧客的服務。近一步細看這些場景，三大常見應用情境是摘要文件、翻譯、文件編輯和評估，超過7成日本金融公司去年就開始這樣用。特別的是，高達6成的日本金融業，大膽用生成式AI來產生決策文件的草稿，再由真人修改潤飾。</p> <p>將GAI用於內部QA或資料檢索，這是臺灣去年常見的用法，但在日本金融圈，反而只有4成金融機構這樣做，預計今年才會有更多企業跟進。除了業務場景，也有4成日本金融機構已經用GAI來輔助系統開發和測試。日本金融公司這些主流應用場景所用的GAI，多數使用來自外部廠商的GAI，只有一成多的金融機構，靠自己的內部LLM模型來實作。</p> <p>日本金融廳認為，目前這些用法多屬於基礎GAI應用，他們期待的進階GAI應用還在初期發展階段。像是有三個場景，AML/CFT（洗錢防制與打擊資恐）、預防市場操控、核保評估與信用風險管理等，這三項只有極少數導入GAI，但開始有少數日本金融機構正在準備中。</p> <p>GAI讓金融圈常見的挑戰變得更困難，像是問責問題，AI偏差問題、模型風險管理、個資保護、資安等過去常見的課題，但也帶來了全新的挑戰，包括了幻覺和金融犯罪濫用GAI，金融穩定性挑戰。日本金融圈所遇到的GAI挑戰，不少也都是臺灣金融圈的課題，但是相較之下，日本金融圈更勇於先開始嘗試和運用GAI，反觀臺灣的金融業，多停留於PoC或實驗階段，只有少數積極創新者，大膽正式採用。</p> <p>日本金融廳這份討論文件只是第一版，他們希望透過公布產業的GAI運用數據，來吸引各界的討論，希望搜集到更多對AI創新與監管的看法，並將在明年日本金融科技周發布第二版，作為調整AI監管政策的參考。這是一個蠻值得臺灣借鏡的作法，透過業界第一手調查，讓大家看到整個產業的科技創新現況和挑戰，不只是GAI，也可以運用到更多新興科技議題上。<a href="https://www.ithome.com.tw/news/167956" target="_blank"><span style="color:#3366ff;"><strong>（更多詳細內容請見：日本金融圈如何大膽擁抱GenAI）</strong></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E6%97%A5%E6%9C%AC">日本</a></div><div class="field-item odd"><a href="/tags/%E9%87%91%E8%9E%8D%E6%A5%AD">金融業</a></div><div class="field-item even"><a href="/tags/genai">GenAI</a></div><div class="field-item odd"><a href="/tags/%E6%97%A5%E6%9C%AC%E9%87%91%E8%9E%8D%E5%BB%B3">日本金融廳</a></div><div class="field-item even"><a href="/tags/%E6%97%A5%E6%9C%AC%E9%87%91%E8%9E%8D%E7%A7%91%E6%8A%80%E5%91%A8">日本金融科技周</a></div><div class="field-item odd"><a href="/tags/%E7%94%9F%E6%88%90%E5%BC%8Fai">生成式AI</a></div></div></div>
2025/3/21 11:29作者王宏仁https://www.ithome.com.tw/voice/168012
國內金融業首例！玉山銀行首先將電子簽章運用在金融業務以外文件簽署
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由數位部提出的<a href="https://www.ey.gov.tw/Page/9277F759E41CCD91/7e0472e2-c917-4b41-b00b-e30a5927d7ae">電子簽章法修正法案</a>，在去年4月30日正式三讀通過，確立了符合法規的電子文件及電子簽章，功能上等同於實體文件及簽章，不得因其電子形式而否認其法律效力；並且明定數位簽章為電子簽章的一種。</p> <p>對金融業而言，電子簽章是一項重要的應用。前金管會副主委邱淑貞去年在一場活動上就提到，電子簽章法修法有三大重點，首先是電子簽章和文本簽章有相同的功能效益，其次是提供相對使用人表達意見的機會，最後是數位簽章推定為本人親自簽章，因為法律定位更明確，提高對使用電子簽章的信賴度，這是所有交易的重要基礎。</p> <p>她也提到，在整個金融服務數位化推動中，有幾件事最為重要，第一個就是身分確認，確認交易者的真實身分，第二個是個人資料保護，因為信賴服務業者，使用者才願意提供資料給業者，第三是資安是否符合標準，資料傳輸是不是夠安全，唯有建立起這些機制，才能擴大整個生態圈。</p> <p>而在身分確認上，電子簽章法修法提供基本的身分信賴，其他如資安、資料保護、當事人意願，以及資料傳輸，甚至將資料提供其他單位使用等等，這些也需要建立信賴度。</p> <h3>玉山銀行導入電子簽章服務，首階段聚焦金融業務以外文件簽署</h3> <p>近日，國內開始有銀行業者正式導入電子簽名服務。玉山銀行近日宣布，他們已在內部導入電子簽名服務，首階段聚焦在金融業務以外的文件簽署，例如內部採購合約等應用，透過電子簽名節省文件列印、比對、掃描歸檔等作業成本。</p> <p>此外，在確保合法合規、資訊安全的前提下，玉山銀行決定逐步以電子簽名取代紙本文件，並將在適當時機將電子簽名服務應用範圍拓展至顧客端。</p> <p>玉山銀行認為，就銀行而言，電子簽名可以簡化複雜的文件簽名用印與管理流程、不受營業時間或距離限制、降低作業的時間成本與風險；就顧客而言，可以打破距離空間限制，快速完成文件簽署、無需親自到場或等待文件寄送。並且該文件具有不可竄改及不可否認性，能達成快速、安全有效率的服務體驗。</p> <p></p> </div></div></div>
2025/3/21 11:53作者李昀璇https://www.ithome.com.tw/news/168016
美國發布聲明，Proof-of-Work挖礦不受證券法管轄，無需註冊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.sec.gov/newsroom/speeches-statements/statement-certain-proof-work-mining-activities-032025" target="_blank">美國證券交易委員會（SEC）周四（3/20）針對特定的「工作量證明」（Proof-of-Work，PoW）挖擴活動作出聲明</a>，認為它們並非透過第三方的創業或管理來獲利，而是使用自己的資源進行挖礦，不受證券法令的管轄，因此不管是礦池或是個人挖礦都不需註冊。</p> <p>過去SEC對加密資產的監管行為主要著重於首次代幣發行（ICO）與加密貨幣交易所，並已將許多ICO視為證券發行，而必須遵守證券法令的規範，而加密貨幣交易所也受到SEC與商品期貨交易委員會（CFTC）等機構的監督，這是SEC首次出面釐清與挖礦有關的行為。</p> <p>SEC是利用Howey Test測試來判斷特定交易或安排是否構成投資契約，相關標準包括是否有資金投入，是否為共同企業，是否預期利潤，以及有否依賴他人努力，在上述條件都滿足時，便會被視為投資契約，而必須受到證券法令的規範，而ICO與加密貨幣交易所皆因此而受到證券法令的管轄。</p> <p>對於PoW的挖礦行為，SEC認為不管是礦池挖礦或是自行挖礦都是屬於行政或技術性活動，依靠礦工自己的運算資源來完成實際的工作，以取得報酬，並非依賴第三方的創業或管理上的努力，不算是投資契約，因此不必註冊，也不受證券法令的規範。</p> <p>市場分析認為，SEC本周的聲明替各種挖礦活動釐清了法令要求，除了基於運算能力的PoW之外，依據所持資產數量來取得區塊驗證權的PoS（Proof of Stake）也可能適用。</p> <p>此外，此一聲明減少了礦工與礦池經營者在法令上的不確定性，可望鼓勵更多人參與挖礦，強化了市場對加密貨幣的信心，也暗示了對去中心化運作的認可。</p> </div></div></div>
2025/3/21 11:04作者陳曉莉https://www.ithome.com.tw/news/168010
Nvidia開源用於機器人訓練的世界模型Cosmos-Transfer1
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本周Nvidia GTC大會上展示了Blue機器人的同時，也開源<a href="https://github.com/nvidia-cosmos/cosmos-transfer1?tab=readme-ov-file" target="_blank">訓練機器人及自駕車的多模態世界模型Cosmos-Transfer1</a>。</p> <p><a href="https://research.nvidia.com/labs/dir/cosmos-transfer1/" target="_blank">Cosmos-Transfer1</a>是Nvidia Cosmos模型的一部分。Cosmos是協助開發人員更快且更有效打造「實體AI」（Physical AI）系統的世界基礎模型。而Cosmos-Transfer1則是經預訓練的擴散式條件世界模型（conditional world model），可用於生成多模態、可控制的虛擬世界。它根據多種空間控制輸入資料，像是分割圖、深度圖及邊緣圖（edge maps）等建立模擬，還能在不同空間位置和時間彈性為不同條件輸入加入權重，以客製化生成虛擬世界。這種彈性使之方便用於自駕車或機器人等自動系統訓練的應用程式，例如Sim2Real。</p> <p><a href="https://huggingface.co/collections/nvidia/cosmos-transfer1-67c9d328196453be6e568d3e" target="_blank">Cosmos-Transfer1已在Hugging Face開源</a>，開源的資源包含二個模型及其推論範例，Cosmos-Transfer1-7B為適應性多模態控制的世界生成模型，Cosmos-Transfer1-7B-Sample-AV為開發自駕車專用的Cosmos-Transfer 1。二個模型都需在80GB H100硬體平臺上執行。</p> <p>後訓練腳本程式也會很快釋出。模型本身是以Nvidia Open Model授權開源，而訓練腳本則是以Apache 2 授權開源。</p> </div></div></div>
2025/3/21 11:14作者林妍溱https://www.ithome.com.tw/news/168011
微軟Windows安全更新一度不慎移除Copilot
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟上周釋出三月份安全更新，不過卻意外移除了作業系統上的Copilot。</p> <p>最早在本周一<a href="https://www.theverge.com/news/631053/microsoft-windows-11-update-uninstall-copilot" target="_blank">媒體報導此事</a>，問題影響安裝<a href="https://support.microsoft.com/en-us/topic/march-11-2025-kb5053598-os-build-26100-3476-a248e951-daef-43ad-aa10-0b99f551cec2" target="_blank">KB5053598（Windows 24H2）</a>和<a href="https://support.microsoft.com/en-us/topic/march-11-2025-kb5053606-os-builds-19044-5608-and-19045-5608-8beab4af-42c8-4469-9273-d241597431c3" target="_blank">KB5053606（Windows 10 22H2）</a>的用戶。微軟說部份Windows裝置上的Microsoft Copilot App會不預期被移除安裝，並從工作列上解除釘選。</p> <p><a href="https://www.theregister.com/2025/03/17/copilot_windows_update/" target="_blank">部份媒體打趣說</a>，不想要Copilot的用戶可以趕快安裝這二個版本。但如果用戶很想使用，也還是可以自行從Microsoft Store下載Copilot App並釘選到工作列。本問題並不影響Microsoft 365 Copilot應用程式。</p> <p>周四（3/20）微軟說已經修復該問題，受影響的裝置會回復到原有狀態。</p> <p>這不是第一次Windows更新發生Copilot莫名安裝或消失的問題。去年4月Windows Server用戶安裝Edge更新卻被多安裝了Copilot，另外，<a href="https://www.windowscentral.com/software-apps/heres-the-one-place-microsoft-thinks-doesnt-need-copilot-ai-integration-across-its-windows-ecosystem-after-receiving-backlash" target="_blank">安裝Windows Server 2025預覽版也發現</a>系統上悄悄被加入Copilot AI服務，引發企業不滿。用戶強烈反彈下，微軟被迫移除之。</p> </div></div></div>
2025/3/21 09:10作者林妍溱https://www.ithome.com.tw/news/168008
數發部警告駭客假冒財政部從事網釣攻擊，對政府機關及企業的財務人員下手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2月底<a href="http://www.ithome.com.tw/news/167619">資安業者Fortinet警告</a>有人對於臺灣政府機關及企業組織發動社交工程攻擊，手法是以財政部名義宣稱要進行稅務抽查，如今數發部資安署也對於這種假借調查稅務的網釣攻擊提出警告。</p> <p>上週資安署<a href="https://moda.gov.tw/ACS/press/report/15670">發布2月份的資通安全網路月報</a>，當中提及駭客假冒財政部名義寄送釣魚信，佯稱要進行稅務調查，對於臺灣政府機關及企業組織發動社交工程攻擊的情況，正好與資安業者Fortinet於上個月底揭露的惡意程式Winos 4.0攻擊行動相當類似。</p> <p>雖然資安署和Fortinet都提及駭客假冒財政部抽查稅務為由從事網釣攻擊，但兩起事故攻擊手法似乎不太一樣：資安署提及駭客針對握有敏感資訊存取權限的財務人員下手，引誘他們開啟附件當中挾帶的惡意連結；而Fortinet提及的事故當中，似乎是寄信給一般員工，因為駭客要求收信人將資料轉交財務主管。究竟兩者是否為相同的攻擊事故，有待其他資安研究員進一步釐清。</p> <p>針對假冒查稅的網釣攻擊，財政部從今年1月開始提出警告，指出已有駭客假冒他們的名義，以<a href="https://www.mof.gov.tw/antifraud/singlehtml/b547cfea7f584db38e4c20a3f778e1a4?cntId=43b6f8faf448487ba72d56239d875c2e">稅務抽查涉稅企業名單</a>、<a href="https://www.mof.gov.tw/antifraud/singlehtml/b547cfea7f584db38e4c20a3f778e1a4?cntId=98333f2d453045a1b94199760093900d">稅務通知</a>、<a href="https://www.mof.gov.tw/antifraud/singlehtml/b547cfea7f584db38e4c20a3f778e1a4?cntId=92b146b413f1493c9cd4f98d6beb02c8">賦稅稽查通知書</a>為幌子從事網釣攻擊，台灣電腦網路危機處理暨協調中心（TWCERT/CC）也公布<a href="https://www.twcert.org.tw/tw/cp-104-8407-56dd3-1.html">釣魚郵件的相關特徵</a>，供企業組織防範這類攻擊。3月7日高雄國稅局<a href="https://www.ntbk.gov.tw/singlehtml/8edee6a2f90d4254a5e8d38c1db38137?cntId=88d206104fff4697929e4677bf2f2551">再度針對相關網釣攻擊提出警告</a>，強調只要是涉及稅務調查事項，國稅局會以正式公文書寄送通知，而非透過內含附件的電子郵件處理。</p> </div></div></div>
2025/3/20 15:57作者周峻佑https://www.ithome.com.tw/news/167987
【資安日報】3月20日，PHP已知重大漏洞攻擊行動升溫，臺灣是主要攻擊目標
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>PHP-CGI重大漏洞CVE-2024-4577在揭露後很快就傳出災情，不僅有<a href="https://www.ithome.com.tw/news/163417">勒索軟體將其作為入侵受害組織的手段</a>，也有<a href="https://www.ithome.com.tw/news/164597">臺灣的大學被植入後門程式</a>。事隔半年，漏洞利用的事故再度傳出，而且，駭客的主要目標就是臺灣。</p> <p>根據資安業者Bitdefender的調查，他們發現駭客在近一個月相關攻擊出現顯著增加的情況，與過往不同的是，已有駭客將受害主機用來挖礦，或是部署其他惡意軟體從事其他活動。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167962"><strong style="font-size: 22px;">PHP已知重大漏洞再傳遭到利用，臺灣是主要攻擊目標</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/image-png-Mar-17-2025-07-16-06-6475-PM.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/image-png-Mar-17-2025-07-16-06-6475-PM.png" style="width: 300px; float: right;" /></a></p> <p>去年臺灣資安業者戴夫寇爾揭露PHP-CGI重大漏洞CVE-2024-4577（CVSS風險評為9.8分），今年1月傳出有人用於攻擊日本企業組織、教育及研究機構，現在有資安業者指出，駭客嘗試利用這項漏洞的情況，最近出現大幅增加的現象。</p> <p>資安業者Bitdefender指出，他們在最近一個月發現嘗試利用這項漏洞的情況顯著增加，值得留意的是，臺灣是攻擊者的主要目標，相關漏洞利用嘗試的行為占54.65%，香港、巴西居次，分別是27.06%和16.39%，此外，研究人員也在日本、印度看到相關活動。這些駭客的最終目的，是利用受害伺服器挖礦，或是部署惡意軟體，以便進行後續的攻擊。</p> <p>特別的是，一旦攻擊者成功利用漏洞，就會試圖竄改受害伺服器的防火牆組態，其中包含封鎖曾經發動相關漏洞攻擊的已知IP位址，這樣的情況，在過往鎖定CVE-2024-4577的資安事故未曾出現。</p> <p><a href="https://www.ithome.com.tw/news/167980"><strong style="font-size: 22px;">ClearFake攻擊染指逾9千個網站、散布竊資軟體，也濫用區塊鏈埋藏作案工具</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/ClearFake-Binance-ClickFix.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/ClearFake-Binance-ClickFix.png" style="width: 300px; float: right;" /></a></p> <p>駭客先入侵網站並藉此向使用者散布惡意軟體的攻擊行動ClearFake，這樣的活動最早約在2023年7月出現，去年5月結合了社交工程手法ClickFix，要求使用者依照指示複製貼上惡意PowerShell程式碼，促成電腦感染惡意軟體，如今駭客的攻擊手法再度出現變化，使得相關活動變得更加複雜。</p> <p>資安業者Sekoia自12月追蹤新一波攻擊行動，過程裡駭客使用假的reCAPTCHA、Cloudflare Turnstile圖靈驗證機制，以及濫用幣安智能鏈（Binance Smart Chain，BSC），截至2月下旬，駭客至少控制超過9,300個WordPress網站進行相關活動，但研究人員認為，遭到擺佈的網站數量應該更多。</p> <p>一旦攻擊者成功植入BadBox 2.0的詐欺模組，受害裝置隨即成為殭屍網路的一部分，攻擊者會將其用於程式化的廣告詐欺、點擊詐欺，以及提供惡意代理伺服器服務。若是使用者租用這種服務，就會進一步從事其他網路犯罪行為，例如：帳號挾持（ATO）、產生用於犯罪的假帳號、竊取動態密碼（OTP）丶散布惡意軟體或是發動DDoS攻擊。</p> <p><a href="https://www.ithome.com.tw/news/167987"><strong style="font-size: 22px;">數發部警告駭客假冒財政部從事網釣攻擊，對政府機關及企業的財務人員下手</strong></a></p> <p>2月底資安業者Fortinet警告有人對於臺灣政府機關及企業組織發動社交工程攻擊，手法是以財政部名義宣稱要進行稅務抽查，如今數發部資安署也對於這種假借調查稅務的網釣攻擊提出警告。</p> <p>上週資安署發布2月份的資通安全網路月報，當中提及駭客假冒財政部名義寄送釣魚信，佯稱要進行稅務調查，對於臺灣政府機關及企業組織發動社交工程攻擊的情況，正好與資安業者Fortinet於上個月底揭露的惡意程式Winos 4.0攻擊行動相當類似。</p> <p>針對假冒查稅的網釣攻擊，財政部從今年1月開始提出警告，指出已有駭客假冒他們的名義，以稅務抽查涉稅企業名單、稅務通知、賦稅稽查通知書為幌子從事網釣攻擊，台灣電腦網路危機處理暨協調中心（TWCERT/CC）也公布釣魚郵件的相關特徵，供企業組織防範這類攻擊。3月7日高雄國稅局再度針對相關網釣攻擊提出警告，強調只要是涉及稅務調查事項，國稅局會以正式公文書寄送通知，而非透過內含附件的電子郵件處理。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-arcane-infostealer-infects-youtube-discord-users-via-game-cheats/">竊資軟體Arcane鎖定遊戲玩家，透過YouTube、Discord散布</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/malware-campaign-dollyway-breached-20-000-wordpress-sites/">惡意軟體攻擊DollyWay入侵2萬個WordPress網站</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/03/cert-ua-warns-dark-crystal-rat-targets.html">惡意軟體DCRat鎖定烏克蘭國防單位而來，藉由Singal訊息散布</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167963"><strong style="font-size: 22px;">IBM公告AIX風險值10分的遠端指令執行漏洞</strong></a></p> <p>IBM本周發布安全公告，修補AIX二個重大漏洞，其中包含一個漏洞風險值10分的遠端指令執行漏洞。</p> <p>本次修補的漏洞為CVE-2024-56346及CVE-2024-56347，影響AIX OS的管理軟體NIM（Network Installation Manager）。其中CVE-2024-56346源自AIX nimesis NIM master service程序控管不當，可讓遠端駭客執行任意指令。本漏洞CVSS 3.1風險值評分為10分，達到滿分。</p> <p>CVE-2024-56347則是出在AIX Nimsh Service的SSL/TLS防護機制的程序控管不當，也可能引發遠端任意指令執行，風險值亦高達9.6。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/03/critical-myscada-mypro-flaws-could-let.html">工控系統mySCADA myPRO存在重大漏洞，恐導致整個系統遭到挾持</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/whatsapp-patched-zero-day-flaw-used-in-paragon-spyware-attacks/">WhatsApp修補已遭間諜軟體利用的零時差漏洞</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167975"><strong style="font-size: 22px;">Chrome改用Rust重寫字型處理程式庫Skrifa，取代FreeType提升安全性</strong></a></p> <p>Google宣布逐步將Chrome字型處理程式庫從FreeType搬遷至Skrifa。Skrifa是以Rust開發的新程式庫，目的是提升字型處理的記憶體安全性，減少安全漏洞，並提升開發效率。這項變更已在Chrome 133上開始，首先應用於Linux、Android和ChromeOS的網頁字型處理，計畫之後擴展至其他層面的字型渲染。</p> <p>促使Google尋求新字型程式庫的主要動機，在於以C語言開發的FreeType程式庫，其低層記憶體管理機制使得安全性維護成本不斷攀升。Google在內部安全評估中發現，僅是透過模糊測試（Fuzzing）發現與修復FreeType漏洞，每年至少需要0.25位全職工程師的資源投入，即使如此，仍有部分漏洞無法及時攔截，甚至在漏洞已進入用戶端後才被發現。</p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/google-releases-major-update-for-open-source-vulnerability-scanner/">Google發布開發人員漏洞掃描工具OSV-Scanner大改版2.0</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/167955"><strong>【3月19日】11組國家級駭客劍指Windows尚無修補的零時差漏洞，散布惡意LNK檔案發動攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167922"><strong>【3月18日】駭客組織CrazyHunter聲稱攻擊臺灣上市公司科定</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167906"><strong>【3月17日】Fortinet身分驗證繞過漏洞傳出被用於勒索軟體攻擊</strong></a></p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167940"><strong style="font-size: 22px;">Google正式宣布將以320億美元買下資安新創Wiz</strong></a></p> <p>3月18日Google宣布，已與雲端安全平臺Wiz簽署最終併購協議，準備支付320億美元的現金買下Wiz，併購完成後Wiz將直接併入Google Cloud，目前雙方正在等待監管機關的審核。而這是2022年該公司先後以5億美元、54億美元買下資安業者Siemplify、Mandiant之後</p> <p>而對於Alphabet併購Wiz的動機，外界普遍認為很有可能是為了強化GCP及其雲端資安業務。值得留意的是，去年Wiz在拒絕併購時，傳出執行長向員工宣布要發行股票（IPO），但後來卻不了了之，並開始與買家進行交涉，目前與Alphabet的協商進行到最後階段。彭博社指出，兩家公司最快會在本週宣布此事。</p> </div></div></div>
2025/3/20 17:58作者周峻佑https://www.ithome.com.tw/news/168004
ClearFake攻擊染指逾9千個網站、散布竊資軟體，也濫用區塊鏈埋藏作案工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客先入侵網站並藉此向使用者散布惡意軟體的攻擊行動ClearFake，這樣的活動最早約在2023年7月出現，<a href="https://www.ithome.com.tw/news/163513">去年5月結合了社交工程手法ClickFix</a>，要求使用者依照指示複製貼上惡意PowerShell程式碼，促成電腦感染惡意軟體，如今駭客的攻擊手法再度出現變化，使得相關活動變得更加複雜。</p> <p>資安業者Sekoia<a href="https://blog.sekoia.io/clearfakes-new-widespread-variant-increased-web3-exploitation-for-malware-delivery/">自12月追蹤新一波攻擊行動</a>，過程裡駭客使用假的reCAPTCHA、Cloudflare Turnstile圖靈驗證機制，以及濫用幣安智能鏈（Binance Smart Chain，BSC），截至2月下旬，駭客至少控制超過9,300個WordPress網站進行相關活動，但研究人員認為，遭到擺佈的網站數量應該更多。</p> <p>針對駭客濫用區塊鏈網路環境的攻擊手法，Sekoia將其稱做EtherHiding，用於ClearFake攻擊行動最早可追溯到2023年10月，當時駭客在攻擊流程裡，透過幣安智能鏈取得其中一個階段的JavaScript有效酬載。事隔一年，最新的攻擊行動更加倚賴與這種區塊鏈網路環境的互動，駭客利用BSC存放各式作案工具，包含JavaScript指令碼、AES金鑰、誘餌HTML的URL，以及用於ClickFix攻擊的PowerShell命令。</p> <p>針對整個攻擊流程，駭客先入侵網站，將初期的JavaScript指令碼注入，而這些遭到攻擊的大多是WordPress網站。此指令碼的功能，就是從幣安智能鏈取得各式程式碼並執行，使用Web3程式庫與區塊鏈的API進行互動，以便進一步控制受害網站。</p> <p>值得一提的是，Sekoia發現駭客植入的HTML網頁當中，出現兩種新的ClickFix誘餌，一種是假造的Cloudflare Turnstile網頁，駭客聲稱偵測到不尋常的流量要求額外驗證步驟；另一種則是冒牌reCAPTCHA網頁，則是假借DNS網路錯誤為由，要求使用者依照指示操作。</p> <p>但無論是那一種ClickFix騙局，假若使用者照做，就會將駭客複製到剪貼簿的PowerShell命令，透過執行視窗貼上執行，觸發下個階段的感染鏈，最終駭客呼叫mshta.exe執行指令碼，使用惡意程式載入工具Emmenhtal Loader載入竊資軟體Lumma Stealer。不過，部分攻擊行動裡，駭客於受害電腦部署了另一款竊資軟體Vidar Stealer。</p> </div></div></div>
2025/3/20 15:12作者周峻佑https://www.ithome.com.tw/news/167980
SoftBank將以65億美元的現金買下晶片開發商Ampere
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>日本軟體銀行集團（SoftBank Group，軟銀）<a href="https://amperecomputing.com/press/softbank-group-to-acquire-ampere-computing" target="_blank">周三（3/19）宣布</a>，將以65億美元的現金買下無晶圓廠（Fabless）的Arm晶片開發商Ampere Computing，未來Ampere將成為軟銀百分之百持有的子公司，並沿用其公司名稱。軟銀收購Ampere的目的是著眼於AI，雙方預計於今年下半年完成交易。</p> <p>2017年於美國創立的Ampere是家無晶圓廠半導體公司，開發基於Arm架構、於大規模環境中運作的伺服器晶片，涵蓋支援雲端運算與AI工作負載的高效能處理器，主要交由台積電生產。</p> <p>軟銀表示，隨著該公司擴大對諸如Cristal intelligence和Stargate等企業的AI基礎設施的投資，此一收購將有助於強化軟銀於關鍵領域的能力，並加速其成長計畫。軟銀執行長孫正義也說，AI的未來需要突破性的運算能力，Ampere在半導體及高效能運算上的專業能力可望加速此一願景，同時強化軟銀對美國AI創新的承諾。</p> <p>在Ampere的股權結構中，Carlyle Partners VI Denver Holdings占了59.65%，甲骨文握有32.27%，還有8.08%由Arm持有，在這起交易中，軟銀原本就是Arm的主要股東，而Carlyle與甲骨文也都將出售各自的股份予軟銀。</p> <p>根據軟銀所公布的<a href="https://group.softbank/en/news/press/20250320_0" target="_blank">Ampere財報</a>，該公司2022、2023及2024年的營收分別是1.5億美元、4,670萬美元，以及1,646萬美元，淨虧損了5.1億美元、8.3億美元，以及5.8億美元。</p> </div></div></div>
2025/3/20 16:35作者陳曉莉https://www.ithome.com.tw/news/167990
【首份日本金融業GenAI官方調查報告出爐】日本金融圈如何大膽擁抱GenAI？
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「日本金融廳將大力支持金融機構穩健運用AI。」這是日本金融廳在新發布的AI討論文件中，特別用藍色強調的一段文字。</p> <p>看好AI將會從根本上改變金融服務與金融機構的商業模式，日本金融廳早在去年10月至11月，就針對日本130間金融機構進行AI運用調查，並訪談了金融業者和IT供應商，瞭解業者看法。日本金融廳將這些調查結果，以及金融廳自身發展的AI應用與未來政策方向彙整成AI討論文件，並在今年3月的日本金融科技周公布了第一版AI討論文件。</p> <p>日本金融廳表示，他們將會強烈支持金融機構穩健運用AI，透過設置明確的監管機制，為金融AI應用提供安全港。這份討論文件將作為未來金融廳和金融機構對話基礎，用來制定長期政策。</p> <h3>七成日本金融業已開放員工使用GenAI</h3> <p>日本金融廳搜集了日本130間金融機構的調查結果，雖未直接揭露日本金融業者導入GenAI的明確比例，但從報告可以看到，早在去年10月，至少超過七成的日本金融業者已廣泛的開放員工使用GenAI。而且，在日本，有超過七成的金融業者選擇採用RAG等技術，來應用生成式AI，要用自家資料微調模型的機構也有三成。</p> <p>進一步來看日本金融業GenAI部署模式，超過六成業者選擇採用IT供應商的SaaS服務，來導入GenAI服務。同時，也有約五成業者會混用多個GenAI服務，根據不同的情境切換使用。考慮客製開源LLM的日本金融業者則占少數，僅約三成。</p> <h3>七成日本金融業已經使用GenAI進行文件摘要、翻譯</h3> <p>日本金融業者也提供了他們的GenAI應用案例導入情況。日本金融業者發展的GenAI案例，大致上可分為五大類，分別是：</p> <ol> <li>文書處理與內容生成類，包含文件摘要、翻譯、文件內容編輯與評估、撰寫與決策無關的文件草稿、對外公開文件草稿、組織決策相關文件草稿</li> <li>資訊檢索與數據處理類，包含內部 FAQ資訊檢索、自動化數據蒐集、發展合成數據</li> <li>輔助IT系統開發類，包含開發與測試系統</li> <li>監管合規類，包含信用風險管理/核保審查、會計、稽核作業、反洗錢 / 打擊資助恐怖主義、防止市場操縱行為</li> <li>業務輔助類，包含提升銷售能力、輔助行銷、輔助客服中心、提升資產管理能力</li> </ol> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202025-03-20%20160028.png" style="width: 600px;" /></p> <p>比較驚人的是，超過7成調查機構，約90幾間金融機構，已經在使用GenAI進行文件摘要、翻譯，和評估、編輯文件內容。而根據調查，日本金融業在運用GenAI生成文件草稿時，會根據文件的性質來決定適用範圍。較多金融業使用AI來生成一般業務文件草稿，導入率高達六成，但當文件涉及組織決策，或是外部溝通文件時，金融機構則相對謹慎，較少依賴AI生成草稿，導入率僅約三成或不到。</p> <p>另外，日本金融業GenAI導入率較高的應用類別，還有內部FAQ資訊檢索，以及運用GenAI輔助開發、測試IT系統，兩者皆有近四成的導入率。在數據處理任務中，也有約一成的日本金融業運用GenAI，來進行自動化數據蒐集，和發展合成數據。</p> <p>在監管合規類型應用中，可以看到日本金融業者期望透過GenAI，輔助信用風險管理/核保審查、會計、稽核作業、反洗錢 / 打擊資助恐怖主義等領域。但發展有限，僅有一成或不及的導入率。比較特別的是，有日本金融業者正在準備用GenAI來防止市場操縱行為，目前仍未有金融業者正式導入這項應用。</p> <p>而在業務輔助上，和臺灣金融業相似，日本金融業也期望能用GenAI來輔助客服中心。不過，根據調查，大多數日本金融業是採用GenAI支援客服中心營運，而不是直接將GenAI運用在客戶服務上。</p> <h3>日本金融業者如何應對GenAI挑戰？</h3> <p>比較有趣的是，這份報告書中，條列出了GenAI讓哪些既有AI課題變得更困難，包括可解釋性&責任歸屬、偏見&公平性、模型風險管理、個資保護、資訊安全、人力需求等，日本金融廳也提出未來可能的解決方向。</p> <p>針對可解釋性挑戰，這份報告書提到，GenAI的可解釋性不足，可能導致應用種種問題。例如，當AI為業務團隊推薦潛在客戶名單時，若無法提供具體選擇依據，業務人員可能會對AI建議存疑，導致AI工具使用率降低。</p> <p>為了解決這一項挑戰，日本金融業界已經有一定程度的進展。包括使用外部供應商的AI模型評估工具，加強AI推理過程的透明度，或是在 AI 產出的推薦結果中加入決策依據，例如在潛在客戶名單上標註AI選擇這些客戶的原因。</p> <p>然而，日本金融廳認為，即使業界已有所進展，但要完全確保 AI 的可解釋性和責任歸屬，仍然困難。他們進一步指出，業者需要根據不同的應用場景，確保相關利益關係人（如客戶與員工）能夠理解 AI 的決策邏輯。即便業者無法完全揭示AI的內部運作機制，也應建立合理的說明框架，來促進AI的可信度與接受度。</p> <p>針對偏見&公平性挑戰，日本金融廳點出，雖然市面有多種模型偏見偵測工具，但較缺乏明確機制，讓金融業者建立特定的評估指標和審核流程。日本金融廳認為，需要建立一致性的框架，輔助業者及早偵測AI模型偏見。</p> <p>報告中也指出，目前日本金融業者對於GenAI風險管理框架，仍處在早期發展階段，因為大部分業者對於GenAI 的開發、實施與管理，皆尚未確立系統化的績效與評估指標。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202025-03-20%20160141.png" style="width: 600px;" /></p> <p>現階段日本金融業者的應對措施，除了強化既有AI風險管理政策，也會運用多家供應商的工具來進行POC測試，確保AI模型準確性。在應用模型時，業者也會記錄模型的方法論，包括模型假設、限制，與不確定性，藉此提升AI透明度。而在正式部署模型後，日本金融業者也會讓獨立的審查方持續監測AI運作表現，確保模型穩定性。針對模型風險管理問題，日本金融廳也承諾，會持續和金融機構對話，並追蹤國內外AI最新發展，根據AI在實際應用的情況，來調整監管框架。</p> <p>針對使用AI引起的個資外洩問題，日本金融業也有所防備。報告中指出，日本金融業會透過內部行政通知，警告所有員工，不能將個人資訊做為訓練AI的資料，或直接將個人資料輸入GenAI服務。另外，也有業者在考慮建立自動化的限制機制，避免員工輸入客戶個資到AI模型。以及，也有業者設立專門的資料處理部門，來監管資料流動。或是和供應商簽署合約，明確規定個資不能被AI模型儲存或用來訓練。</p> <p>資安問題也是日本金融業者在運用GenAI時，十分擔憂的問題。目前，日本金融業者主要有三個預防措施，第一，是設定嚴格的數據輸入範圍，和設立嚴謹過濾機制，防止惡意指令影響AI系統。第二，選擇在地端等內部專屬環境管理AI輸入和輸出的資訊，來避免數據外洩風險，而不選擇公有雲服務。第三，在AI開發和規畫階段進行安全驗證，當AI正式運作後，業者會再透過人工審查和自動化機制，持續對AI輸出的內容進行監測，確保AI不會生成錯誤或敏感資訊。</p> <p>最後一項因GenAI而加劇的挑戰，是AI人才需求。日本金融業擔憂，若過度依賴外部AI供應商，可能導致企業無法累積AI技術經驗和專利資產，日本業界至今仍十分缺乏AI專業人才。另外，日本金融業中普遍也缺乏能夠連結IT和業務需求的人才，例如缺乏能理解業務需求，並選擇合適AI解決方案的人才，導致AI部門和業務部門容易產生溝通障礙。</p> <p>目前，日本金融業者的應對方式，是透過在職訓練培養內部AI人才，同時引進兼職的AI專家，確保企業內部的技術能落地。同時，他們也鼓勵具有IT背景的職員投入AI領域，並增加招聘具備AI專業知識的應屆畢業生，強化企業本身的AI技術能力。比較特別的是，日本金融業者會選擇建立AI相關的合資企業，透過和新創合作，發展企業內部的AI產品和應用，以減輕對外部供應商的依賴。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202025-03-20%20155829.png" style="width: 600px;" /></p> <p>這份報告書也有針對ROI難以評估的挑戰提供建議。例如，當各部門難以自行確保AI預算，可以考慮使用數位部門的預算來支持AI專案，確保AI技術可以持續推動。另外，報告書也提到，可以推動集團等級的AI專案管理機制，確保不同部門不會分別投資相似的AI工具。</p> <p>而在AI專案啟動時，也可以設置明確的KPI，透過持續監測數據來評估 AI 應用是否符合業務目標。最後，是要將AI投資決策納入企業戰略，確保管理層對AI技術和投資風險有適當理解，並能主動參與AI相關決策，這麼一來，才能確保AI布局符合企業長期發展策略。</p> <h3>大多數日本金融業仍在AI治理議題上試錯</h3> <p>目前，僅有兩至三成的日本金融業在現有AI監管基礎上，為GenAI制定內部專門規範。三成的日本金融業者還正在考慮制定內部AI監管規範，尚未有明確行動。</p> <p>不過，除了制定內部規範，日本金融業者也有透過發展其他計畫，來建立AI治理機制。例如，近七成的金融業者正在計畫強化跨部門的AI協作能力，近六成的日本金融業者已針對員工開展 AI 應用培訓。另外，約一半的日本金融業者正在努力建立AI治理的組織體系，確保管理層能積極參與AI發展。也有四成業者已任命AI戰略、開發與風險管理的高層管理者，確保AI專案的推動方向符合企業長期發展策略。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202025-03-20%20155712.png" style="width: 600px;" /></p> <p>報告中也提到，日本許多金融機構目前仍處於「邊試驗、邊調整」的階段，透過沿用傳統治理與風險管理框架，來管理AI應用，以確保AI運作符合企業內部標準與法規要求。</p> <h3>日本金融業認為，有四大關鍵議題需要主管機關制定更明確的監管機制</h3> <p>日本金融業普遍期待主管機關能釐清 AI 應用相關法規的適用範圍，提供更明確的監管指引，並且進行跨司法管轄區的AI相關法規協調，確保和國際標準有一致性。而調查中也提到，隱私保護、IT治理、模型與風險管理，和網路安全，是日本金融業者認為，主管機關最需要進一步明確制定的監管領域。</p> <p>日本金融廳表示，考量GenAI技術帶來的新挑戰，他們將評估既有監管框架是否充分涵蓋AI風險，並檢視AI相關法規是否足夠明確。若發現監管缺口，他們會優先考慮修改監管原則和指引，並確保監管措施僅針對業者無法自行解決的問題，避免因過度監管，而影響金融AI發展。</p> <p>日本金融廳為了輔助金融科技發展，自2015年成立FinTech支援窗口，類似一個諮詢平臺，提供金融機構或金融科技公司法律與監管諮詢服務。而針對GenAI發展，日本金融廳也鼓勵金融業能透過這個窗口諮詢監管問題，確保技術應用符合監管要求。</p> <p>另外，日本金融廳也有設立FinTech概念驗證中心，作為業者測試創新技術的框架。未來，該中心也將有機會協助金融機構進行 GenAI 應用服務的概念驗證，確保技術的可行性與合規性。</p> <h3>明年3月發布第二版AI討論文件</h3> <p>日本金融廳最後強調，將會致力於支持穩健金融業的AI應用。他們表示，公私部門合作，將能有效促進AI應用案例開發和建立治理機制，特別是有利於資源有限的小型金融機構。今年6月到12月，他們將會透過諮詢、調查和監督機制，收集金融機構和相關單位的意見，審視監管環境是否需要進一步調整。明年3月，日本金融廳將會更新AI討論文件，呈現日本金融業最新的監管需求和國際趨勢。</p> <p>日本金融廳也提到，他們將和其他政府機構合作，並參與國際規範制定，包括與FSB（金融穩定委員會）、IOSCO（國際證券管理機構組織）、BCBS（巴賽爾銀行監理委員會）、IFIAR（審計監理機關國際論壇）等國際監管機構展開對話，確保日本的AI監管政策與國際標準接軌。同時，他們也會持續和各國監管機構進行政策對話，確保監管一致性。</p> <p>最後，日本金融廳承諾將成立「AI多方利害關係人研究小組」，納入金融機構、金融科技公司，和金融科技周邊單位等不同角色共同探討，推動更完善的 AI 監管政策，且持續透過對話來促進產業創新、提升監管可預測性。</p> <p></p> </div></div></div>
2025/3/20 17:15作者李昀璇https://www.ithome.com.tw/news/167956
Nvidia與xAI將加入新建及擴大資料中心的AI合作投資框架
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球性投資管理公司BlackRock、BlackRock旗下專門投資基礎設施的Global Infrastructure Partners（GIP）、微軟，以及由阿聯酋政府設立的AI技術投資公司MGX<a href="https://www.blackrock.com/corporate/newsroom/press-releases/article/corporate-one/press-releases/ai-infrastructure-partnership" target="_blank">在本周三（3/19）宣布</a>，Nvidia與xAI都將加入它們<a href="https://www.ithome.com.tw/news/165058" target="_blank">於去年9月所成立的聯盟</a>，共同投資新建或擴張的AI資料中心基礎設施。此一聯盟原本命名為「全球AI基礎設施投資合作夥伴」（Global AI Infrastructure Investment Partnership，GAIIP），現則更名為「AI基礎設施合作夥伴」（AI Infrastructure Partnership，AIP）。</p> <p>其中，Nvidia先前便承諾要在其中扮演支援的角色，提供該公司於AI資料中心與AI工廠上的專業知識，現在也將繼續擔任AIP的技術顧問，協助新一代AI資料中心基礎設施的部署。</p> <p>AI資料中心所需要的不僅是龐大的運算能力，還包括電源解決方案等其它周邊需求。AIP表示，自去年9月成立以來，AIP即吸引了大量的資本與合作夥伴的興趣，突顯了對AI就緒資料中心及電源解決方案日益成長的需求，初期將尋求投資者或企業釋出300億美元的資本，透過債務融資等形式調動多達1,000億美元的投資潛力。</p> <p>此外，Nvidia與微軟AI競爭對手xAI的加入，彰顯了AIP以非排他性的方式支援各種合作夥伴，強化AIP致力於擴展開放式架構平臺，以及培育廣泛生態體系的能力。</p> <p>同一天AIP亦宣布，將與GE Vernova及NextEra Energy合作，加速擴展AI資料中心的關鍵與多元化能源解決方案，其中的GE Vernova亦將與AIP及其合作夥伴共同規畫供應鏈，以及提供創新且高效的能源解決方案。</p> <p>GE Vernova是由奇異公司（General Electric）先整合旗下能源業務，再於2024年4月拆分的子公司，主要提供能源設備製造及服務，昨天的消息曝光後，於美國紐約股市掛牌的GE Vernova股價上漲了5.29%，以335.8美元作收。</p> <p>NextEra Energy亦為美國能源公司，為全球最大的電力公用事業控股公司，但當天該公司股價下滑0.28%，收在70.5美元，現在的市值為1,450億美元，但依據<a href="https://companiesmarketcap.com/utility-companies/largest-companies-by-market-cap/" target="_blank">Companies Market Cap的統計</a>，NextEra Energy在公用事業類別的市值排名並未有所更動，居次的是美國南方電力公司（Southern Company）的983億美元。</p> <p>不過，如果只看電力類別，中國專門製造電動汽車、儲能管理，以及電池管理系統之鋰離子的寧德時代（Contemporary Amperex Technology Co. Limited，CATL）<a href="https://companiesmarketcap.com/electricity/largest-electricity-companies-by-market-cap/" target="_blank">才是市值最高的電力公司</a>，在同一天的市值為1,604億美元。</p> </div></div></div>
2025/3/20 13:30作者陳曉莉https://www.ithome.com.tw/news/167976
Chrome改用Rust重寫字型處理函式庫Skrifa，取代FreeType提升安全性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google逐步將Chrome字型處理函式庫從FreeType搬遷至<a href="https://developer.chrome.com/blog/memory-safety-fonts">Skrifa</a>。Skrifa是一款以Rust開發的新函式庫，目的是提升字型處理的記憶體安全性，減少安全漏洞，並提升開發效率。這項變更已在Chrome 133上實行，首先應用於Linux、Android和ChromeOS的網頁字型處理，計畫之後擴展至作業系統字型處理上。</p> <p>Rust語言的記憶體安全特性，被認為能有效解決由C語言開發的FreeType，長期存在的記憶體管理問題，如陣列越界存取、使用後釋放（Use-After-Free）及整數溢位等安全漏洞。</p> <p>FreeType字型處理函式庫長期以來廣受使用，負責解析、轉換和渲染字型，使其適用於各種螢幕與解析度。Chrome過去在Android、ChromeOS及Linux平臺上都依賴FreeType進行字型運算，如字距調整、輪廓載入，與字型顯示最佳化處理TrueType字型微調（Hinting）等。</p> <p>隨著網路應用的蓬勃發展，瀏覽器需要能更安全地處理來自未知來源的網頁字型，而以C語言開發的FreeType函式庫，其低層記憶體管理機制使得安全性維護成本不斷攀升。Google在內部安全評估中發現，僅是透過模糊測試（Fuzzing）發現與修復FreeType漏洞，每年至少需要0.25位全職工程師的資源投入，即使如此，仍有部分漏洞無法及時攔截，甚至在漏洞已進入用戶端後才被發現。</p> <p>這些問題促使Google尋找新的解決方案，而Rust內建的記憶體安全機制成為理想選擇，以Rust開發的Skrifa屬於Fontations函式庫家族的一部分，並與Chrome的圖形函式庫Skia整合。Skrifa的開發以幾個核心原則為基礎，其資料結構設計為不可變，提升程式的可讀性與可維護性，同時提高多執行緒運算的效率。</p> <p>Google由於要確保Skrifa與FreeType的字型品質相符，還開發了一款名為fauntlet的工具，以大亮字型測試比對Skrifa與FreeType的輸出，確保新系統能夠維持既有的字型顯示品質。此外，Google在Skia內部進行了廣泛的像素對比測試，以驗證不同字型渲染模式，如反鋸齒與字型微調模式下，Skrifa的表現仍與FreeType一致。</p> <p>Skrifa自2024年6月開始持續進行模糊測試，至今已發現39個錯誤，不過這些錯誤皆非安全性漏洞，僅影響視覺呈現或導致受控的崩潰，不會造成可利用的安全風險。Google在開發中選擇使用Rust bytemuck函式庫，執行安全的型別轉換，避免Rust內部不允許的直接位元轉換操作，進一步保證記憶體存取的安全性。</p> <p>目前，Skrifa已全面取代Chrome 133上的網頁字型處理功能，並計畫在未來進一步擴展至作業系統字型的解析工作，首先從Linux與ChromeOS開始，接著擴展至Android。</p> </div></div></div>
2025/3/20 14:06作者李建興https://www.ithome.com.tw/news/167975
歐盟要求蘋果開放iOS與iPadOS連結功能予第三方裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ec.europa.eu/commission/presscorner/detail/en/ip_25_816" target="_blank">歐盟執委會（European Commission，EC）周三（3/19）通過兩項決議</a>，指出已根據《數位市場法》（Digital Markets Act，DMA）的規定，要求蘋果應採取特定措施來履行iOS連結功能與第三方裝置的互通性義務，包括將通知、近場通訊（NFC）、AirPlay、AirDrop及自動藍牙音訊切換等9項功能，開放給第三方智慧手錶、耳機或電視等裝置。然而，<a href="https://9to5mac.com/2025/03/19/apple-says-eu-interoperability-requirements-enables-unfettered-access-to-the-iphone-risks-customer-security-and-privacy/" target="_blank">蘋果在向9to5Mac提出的聲明中</a>，表達該公司強烈反對該命令的立場，指出這將陷蘋果用戶於不安全及隱私外洩的風險中。</p> <p>蘋果的iOS與iPadOS兩個核心平臺都被EC視為守門人，納入了DMA的規範，去年9月EC針對DMA對於這兩個平臺的互通性義務啟動了法遵程序，<a href="https://digital-markets-act.ec.europa.eu/commission-seeks-feedback-measures-apple-should-take-ensure-interoperability-under-digital-markets-2024-12-19_en" target="_blank">當時即提出了蘋果應該實施的措施</a>，像是開放通知、自動Wi-Fi連接、AirPlay無線串流技術、蘋果裝置間的無線傳檔功能與自動藍牙音訊切換功能予第三方裝置。其中，最後一項功能可於不同裝置之間自動切換已配對的AirPods耳機，例如AirPods耳機正被用於觀看iPad上的YouTube，但在iPhone收到來電時，AirPods會優先切換到iPhone以接聽電話。</p> <p>EC表示，此次的決議具體規定蘋果在互通性義務上必須採取的措施，以讓第三方產品能與蘋果生態體系進行更深層與更無縫的整合，讓歐洲消費者有更多相容於蘋果裝置的產品選擇，而該組織也正在協助蘋果遵守規定。</p> <p>另一個決議則是要求蘋果改善開發人員存取iPhone及iPad互通性功能的透明度及有效性，包括改善對第三方提供的功能之技術文件的存取、即時的溝通與更新，以及更可預測的互通性請求審查時間表。</p> <p>蘋果則向9to5Mac表示，此次EC的兩項決議將讓該公司陷入繁文縟節，降低了蘋果替歐洲用戶創新的能力，同時迫使蘋果免費向那些不必遵守同樣規則的公司提供新功能，因為相關的措施將允許第三方以未加密的形式，將所有用戶通知傳送到它們的伺服器上，繞過蘋果的所有隱私保護。蘋果將繼續與EC合作以協商與解決相關問題。</p> </div></div></div>
2025/3/20 13:07作者陳曉莉https://www.ithome.com.tw/news/167974
PHP已知重大漏洞再傳遭到利用，臺灣是主要攻擊目標
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年臺灣資安業者戴夫寇爾揭露<a href="https://www.ithome.com.tw/news/163356">PHP-CGI重大漏洞CVE-2024-4577</a>（CVSS風險評為9.8分），今年1月傳出<a href="https://www.ithome.com.tw/news/167763">有人用於攻擊日本企業組織、教育及研究機構</a>，現在有資安業者指出，駭客嘗試利用這項漏洞的情況，最近出現大幅增加的現象。</p> <p>資安業者Bitdefender指出，<a href="https://www.bitdefender.com/en-us/blog/businessinsights/technical-advisory-update-mass-exploitation-cve-2024-4577">他們在最近一個月發現嘗試利用這項漏洞的情況顯著增加</a>，值得留意的是，臺灣是攻擊者的主要目標，相關漏洞利用嘗試的行為占54.65%，香港、巴西居次，分別是27.06%和16.39%，此外，研究人員也在日本、印度看到相關活動。這些駭客的最終目的，是利用受害伺服器挖礦，或是部署惡意軟體，以便進行後續的攻擊。</p> <p>特別的是，一旦攻擊者成功利用漏洞，就會試圖竄改受害伺服器的防火牆組態，其中包含封鎖曾經發動相關漏洞攻擊的已知IP位址，這樣的情況，在過往鎖定CVE-2024-4577的資安事故未曾出現。</p> <p>但駭客為何要這麼做？Bitdefender推測，最有可能是避免其他人馬也同時在相同的受害主機活動，而這樣的做法在挖礦攻擊活動相當常見，也與上述駭客竄改防火牆組態的舉動有關。不過，研究人員不排除攻擊者有其他目的，例如：想要對受害主機進行遠端控制。依照這樣的判斷來看，我們推測駭客很有可能是要壟斷對受害主機的存取，使得其他駭客無法瓜分其硬體運算資源。</p> <p>而對於成功入侵的後續活動，Bitdefender根據遙測資料指出，攻擊者很有可能部署自動化指令碼、透過寄生攻擊（LOL）進行偵察，或是植入挖礦軟體XMRig、Nicehash牟利。</p> <p>除了將受害主機用來挖礦，Bitdefender指出，也有植入惡意程式Quasar RAT、透過MSI安裝檔部署殭屍網路病毒，或是從FTP下載PHP指令碼並執行的情況。研究人員也看到部署遠端管理工具的現象，不排除有初始入侵掮客（IAB）或勒索軟體駭客投入漏洞利用攻擊。</p> </div></div></div>
2025/3/20 11:33作者周峻佑https://www.ithome.com.tw/news/167962
IBM公告AIX風險值10分的遠端指令執行漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ibm.com/support/pages/node/7186621" target="_blank">IBM本周發布安全公告</a>，修補AIX二個重大漏洞，包含一個漏洞風險值10分的遠端指令執行漏洞。</p> <p>IBM修補的漏洞為CVE-2024-56346及CVE-2024-56347，影響AIX OS的管理軟體NIM（network installation manager）。其中CVE-2024-56346源自AIX nimesis NIM master service程序控管不當，可讓遠端駭客執行任意指令。本漏洞CVSS 3.1風險值評分為10分，達到滿分。</p> <p>CVE-2024-56347則是出在AIX nimsh service的SSL/TLS防護機制的程序控管不當，也可能引發遠端任意指令執行。本漏洞風險值亦高達9.6。</p> <p>二項漏洞影響AIX 7.2及7.3版。IBM已經釋出修補程式。AIX及虛擬化軟體VIOS修補程式<a href="https://aix.software.ibm.com/aix/efixes/security/nim_fix.tar" target="_blank">可在此下載</a>，IBM強烈建議企業用戶應立刻安裝解決漏洞。</p> </div></div></div>
2025/3/20 11:34作者林妍溱https://www.ithome.com.tw/news/167963
Firefox憑證過期本周將導致瀏覽器外掛失效、Mozilla籲用戶儘速更新
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.mozilla.org/en-US/kb/root-certificate-expiration" target="_blank">Mozilla本周警告</a>，Firefox瀏覽器一項用於驗證多項Mozilla專案的根憑證（root certificate）近日過期，Firefox用戶需更新到最新版本以避免功能無法使用。</p> <p>這項用於Firefox、Thunderbird等軟體驗證簽發內容及附加程式的根憑證，於2025年3月14日過期。這會對瀏覽器附加功能、內容簽發及DRM技術保護的媒體內容播放造成「重大問題」，所有平臺，包括Windows 7/8/8.1、macOS 10.12–10.14、Linux及Android平臺的舊版Firefox都會受影響。如Firefox用戶使用過程中被訊息引導要求下載128版本，表示瀏覽器版本已經太舊。</p> <p>Mozilla呼籲Firefox用戶應更新到Firefox 128（或ESR 115.13以上）。如不更新，所有仰賴遠端更新的Firefox功能，及已安裝的外掛功能都會被關閉，並顯示錯誤訊息：「could not be verified for use in Firefox（無法驗證在Firefox中的使用）」。例如串流服務將因更新失敗而停止運作。此外，仰賴內容驗證的系統也可能運作出現問題。</p> <p>升級Firefox並不影響瀏覽器書籤、儲存的密碼及其他設定，或是個人資料。不過Mozilla還是建議用戶同步Mozilla帳號，確保更新後的照常運作。</p> </div></div></div>
2025/3/20 11:53作者林妍溱https://www.ithome.com.tw/news/167969
OpenAI o1-pro開放API存取，價格是o1 10倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://x.com/OpenAIDevs/status/1902485690958450871" target="_blank">OpenAI昨（19）日宣布</a>o1-pro模型開放API存取。</p> <p>OpenAI是在<a href="https://www.ithome.com.tw/news/166381" target="_blank">去年12月公布</a>了o1-pro模型，當時僅提供給ChatGPT Pro方案用戶存取。<a href="https://platform.openai.com/docs/models/o1-pro" target="_blank">OpenAI說明</a>o1系列是以強化學習（reinforcement learning）方法訓練，可先思考再回答，而且能執行複雜推理。O1-pro模型使用更多運算、更努力思考，以便穩定提供品質更好的回應。</p> <p>透過API使用o1-pro的價格，以輸入而言，每百萬字詞（token）收費150美元，輸出則為600美元。這個價格可以說是OpenAI歷來最貴的。根<a href="https://openai.com/api/pricing/" target="_blank">據OpenAI API存取價格表</a>的每百萬字元輸入／輸出價格，o1模型為15及60美元。</p> <p>也就是說，o1-pro收費為o1版本的10倍。若比較o3-mini的1.1及4.4美元，更是最新模型的136倍。o1-pro目前並不提供免費存取。</p> <p>目前以API使用o1-pro，提供功能仍有限，僅支援結構化輸入及函式呼叫。用戶可輸入文字和圖片，但輸出目前只支援文字。可以存取的API端點現階段有Batch API及Response API端點。Batch API存取的價格則減半，各為75及300美元。</p> <p>OpenAI也提供了Tier 1到Tier 5的API存取o1-pro的RPM（每分鐘呼叫次數，Requests Per Minute）和TPM（每分鐘字詞數Tokens Per Minute），RPM為從500到10,000次，TPM為30K到30M。</p> </div></div></div>
2025/3/20 11:19作者林妍溱https://www.ithome.com.tw/news/167958
【資安日報】3月19日，11組國家級駭客劍指Windows尚無修補的零時差漏洞，散布惡意LNK檔案發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今天最受到關注的資安新聞，莫過於一項被利用8年以上的零時差漏洞，將其用於攻擊行動的國家級駭客就有11組人馬，但這項發現受到矚目的原因，在於研究人員通報後廠商表示不會進行修補。</p> <p>這種情況已非首例，企業或許能透過入侵防禦系統（IPS）的虛擬修補（Virtual Patching）機制來因應，但對於個人用戶而言，可能就難以尋求其他防護機制自保。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167944"><strong style="font-size: 22px;">11組國家級駭客共散播上千個惡意LNK捷徑檔，劍指Windows尚無修補的零時差漏洞</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/ZDI-CAN-25373-Fig08.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/ZDI-CAN-25373-Fig08.png" style="width: 300px; float: right;" /></a>一項曝露超過8年、至少有11個國家級駭客利用的零時差漏洞，因為微軟決定不予修補，在研究人員公布相關發現後，引起各界高度關注。</p> <p>趨勢科技旗下的漏洞懸賞專案Zero Day Initiative（ZDI）指出，他們去年9月發現利用零時差漏洞ZDI-CAN-25373攻擊行動，這波攻擊最早可追溯到2017年，來自北韓、伊朗、俄羅斯、中國的11個國家級駭客利用這項漏洞，針對北美洲、南美洲、歐洲、亞洲、澳洲從事相關攻擊，範圍涵蓋政府機關、金融機構、電信業者、軍事單位、能源產業等領域。除此之外，也有以經濟利益為動機的駭客加入漏洞利用的行列。</p> <p>這些駭客使用LNK檔案未公布的命令列參數來觸發漏洞，從而在不被偵測到的情況下執行惡意酬載。研究人員總共找到接近1千個駭客使用的捷徑檔（Shell Link檔案，副檔名為LNK），並研判駭客實際使用的惡意檔案數量遠大於此。ZDI向微軟通報這項弱點並得到確認，但微軟起初表示該弱點並未達到服務條件，決定不予修補。在資安媒體廣泛報導ZDI的發現後，微軟發言人也做出新的說明，表示雖然該弱點雖然未達到該公司立即處理的標準，但他們將考慮在未來的功能發布當中緩解。</p> <p><a href="https://www.ithome.com.tw/news/167946"><strong style="font-size: 22px;">超過1百萬裝置遭殭屍網路BadBox 2.0綁架，用於廣告詐欺、非法代理伺服器</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/BadBox-Infection-Diagram.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/BadBox-Infection-Diagram.png" style="width: 300px; float: right;" /></a></p> <p>去年12月德國封鎖預載於安卓物聯網裝置的惡意軟體BadBox，並評估該國至少有3萬臺裝置曝險，後來資安業者BitSight指出，全球有多個國家也出現災情，他們掌握有19萬臺裝置被綁架的情況，如今有資安業者公布新的發現，指出駭客發起新一波的攻擊行動，且規模更加龐大。</p> <p>資安業者Human旗下的威脅情報研究團隊Satori與Google、趨勢科技、Shadowserver基金會等合作夥伴聯手，揭露新一波的惡意軟體BadBox 2.0攻擊行動，並指出這是有史以來最大的連網電視（Connected TV，CTV）殭屍網路，估計有超過100萬臺裝置被綁架，這些裝置的流量遍及全球222個國家。</p> <p>一旦攻擊者成功植入BadBox 2.0的詐欺模組，受害裝置隨即成為殭屍網路的一部分，攻擊者會將其用於程式化的廣告詐欺、點擊詐欺，以及提供惡意代理伺服器服務。若是使用者租用這種服務，就會進一步從事其他網路犯罪行為，例如：帳號挾持（ATO）、產生用於犯罪的假帳號、竊取動態密碼（OTP）丶散布惡意軟體或是發動DDoS攻擊。</p> <p><a href="https://www.ithome.com.tw/news/167954"><strong style="font-size: 22px;">中國駭客MirrorFace從事新一波攻擊，散布惡意程式ANEL、AsyncRAT</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/akairyu-figure-7.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/akairyu-figure-7.png" style="width: 300px; float: right;" /></a></p> <p>2025世界博覽會即將於下個月在日本大阪市舉辦，但在此之前傳出中國駭客想要藉此攻擊與會歐洲外交單位的情況。</p> <p>資安業者ESET於去年8月偵測到中國駭客組織MirrorFace的攻擊行動，主要目標是想要參與世界博覽會的中歐外交機構。研究人員指出，這些駭客過往長期針對日本而來，這是他們首度看到攻擊歐洲相關單位的情況。這波攻擊延續去年該公司揭露的攻擊行動Operation AkaiRyū，但戰略、手段、流程（TTP）有所調整，包含使用自製的AsyncRAT變種、來自另一個中國駭客組織APT10的惡意程式Anel（也被稱做UpperCut），並採用更為複雜的攻擊步驟。</p> <p>另一方面，這些駭客也濫用開發工具Visual Studio Code（VS Code），建立遠端隧道機制，從而秘密地存取受害電腦，執行任意程式碼，或是傳送其他作案工具。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/chatgpt-vulnerability-exploited-against-us-government-organizations/">ChatGPT存在漏洞，傳出被用於對美國政府及組織下手</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/03/new-rules-file-backdoor-attack-lets.html">供應鏈攻擊出現新手法Rules File Backdoor，恐波及AI編輯器用戶</a></strong></p> <p><strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/03/new-rules-file-backdoor-attack-lets.html"></a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/malicious-android-vapor-apps-on-google-play-installed-60-million-times/">安卓惡意軟體Vapor透過逾300個App散布，於Google Play市集被下載6千萬次</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/clickfix-widely-adopted-by-cybercriminals-apt-groups/">駭客透過ClickFix手法散布各式竊資軟體</a></strong></p> <p></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/critical-ami-megarac-bug-can-let-attackers-hijack-brick-servers/">AMI旗下MegaRAC BMC存在重大漏洞，恐導致伺服器遭挾持</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167940"><strong style="font-size: 22px;">Google正式宣布將以320億美元買下資安新創Wiz</strong></a></p> <p>3月18日Google宣布，已與雲端安全平臺Wiz簽署最終併購協議，準備支付320億美元的現金買下Wiz，併購完成後Wiz將直接併入Google Cloud，目前雙方正在等待監管機關的審核。而這是2022年該公司先後以5億美元、54億美元買下資安業者Siemplify、Mandiant之後</p> <p>而對於Alphabet併購Wiz的動機，外界普遍認為很有可能是為了強化GCP及其雲端資安業務。值得留意的是，去年Wiz在拒絕併購時，傳出執行長向員工宣布要發行股票（IPO），但後來卻不了了之，並開始與買家進行交涉，目前與Alphabet的協商進行到最後階段。彭博社指出，兩家公司最快會在本週宣布此事。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/167922"><strong>【3月18日】駭客組織CrazyHunter聲稱攻擊臺灣上市公司科定</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167906"><strong>【3月17日】Fortinet身分驗證繞過漏洞傳出被用於勒索軟體攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167883"><strong>【3月14日】國家資通安全戰略2025即將發布，將以全社會防衛為基礎打造國家資安韌性</strong></a></p> </div></div></div>
2025/3/19 18:03作者周峻佑https://www.ithome.com.tw/news/167955
中國駭客MirrorFace從事新一波攻擊，散布惡意程式ANEL、AsyncRAT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2025世界博覽會即將於下個月在日本大阪市舉辦，但在此之前傳出中國駭客想要藉此攻擊與會歐洲外交單位的情況。</p> <p>資安業者ESET於去年8月偵測到<a href="https://www.welivesecurity.com/en/eset-research/operation-akairyu-mirrorface-invites-europe-expo-2025-revives-anel-backdoor/">中國駭客組織MirrorFace的攻擊行動</a>，主要目標是想要參與世界博覽會的中歐外交機構。研究人員指出，這些駭客過往長期針對日本而來，這是他們首度看到攻擊歐洲相關單位的情況。這波攻擊延續去年該公司揭露的攻擊行動Operation AkaiRyū，但戰略、手段、流程（TTP）有所調整，包含使用自製的AsyncRAT變種、來自另一個中國駭客組織APT10的惡意程式Anel（也被稱做UpperCut），並採用更為複雜的攻擊步驟。</p> <p>針對這些駭客的攻擊流程，ESET指出MirrorFace先是使用精心製作的電子郵件接觸目標，試圖引誘收信人開啟惡意附件來觸發攻擊鏈，從而在受害電腦部署惡意程式。研究人員提及，這些駭客首度使用AsyncRAT，並於受害電腦的Windows沙箱執行，企圖掩蓋這支惡意程式的行蹤，使得受害組織難以偵測遭到入侵的跡象。</p> <p>另一方面，這些駭客也濫用開發工具Visual Studio Code（VS Code），建立遠端隧道機制，從而秘密地存取受害電腦，執行任意程式碼，或是傳送其他作案工具。</p> <p>附帶一提的是，這些駭客採用後門程式Anel，這樣的現象也加深MirrorFace與APT10之間的關聯，研究人員推測，發動攻擊的組織很有可能是APT10旗下的團體。</p> <p>此外，MirrorFace也部署另一個後門程式HiddenFace，以便在Anel遭到破壞時仍能持續存取受害電腦。但特別的是，這些駭客過往使用的LodeInfo，並未在這波攻擊行動出現。</p> </div></div></div>
2025/3/19 17:39作者周峻佑https://www.ithome.com.tw/news/167954
超過1百萬裝置遭殭屍網路BadBox 2.0綁架，用於廣告詐欺、非法代理伺服器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年12月<a href="https://www.ithome.com.tw/news/166548">德國封鎖預載於安卓物聯網裝置的惡意軟體BadBox</a>，並評估該國至少有3萬臺裝置曝險，後來資安業者BitSight指出，<a href="https://www.ithome.com.tw/news/166649">全球有多個國家也出現災情</a>，他們掌握有19萬臺裝置被綁架的情況，如今有資安業者公布新的發現，<a href="https://www.humansecurity.com/learn/blog/satori-threat-intelligence-disruption-badbox-2-0/">指出駭客發起新一波的攻擊行動</a>，且規模更加龐大。</p> <p>資安業者Human旗下的威脅情報研究團隊Satori與Google、趨勢科技、Shadowserver基金會等合作夥伴聯手，揭露新一波的惡意軟體BadBox 2.0攻擊行動，並指出這是有史以來最大的連網電視（Connected TV，CTV）殭屍網路，估計有超過100萬臺裝置被綁架，這些裝置的流量遍及全球222個國家，其中，有超過三分之一裝置位於巴西（37.82%）最多，美國近五分之一（18.21%）居次，但墨西哥、阿根廷、哥倫比亞等國也都出現受害裝置。</p> <p>與BadBox相同的是，BadBox 2.0也是在低價連網裝置植入後門程式，使得攻擊者能夠遠端載入詐欺模組從事活動，而且，駭客散布惡意程式的管道，主要是透過軟體或硬體供應鏈下手，或是藉由看似良性的應用程式挾帶惡意程式載入工具，從而使用後門程式感染受害裝置。</p> <p>一旦攻擊者成功植入BadBox 2.0的詐欺模組，受害裝置隨即成為殭屍網路的一部分，攻擊者會將其用於程式化的廣告詐欺、點擊詐欺，以及提供惡意代理伺服器服務。若是使用者租用這種服務，就會進一步從事其他網路犯罪行為，例如：帳號挾持（ATO）、產生用於犯罪的假帳號、竊取動態密碼（OTP）丶散布惡意軟體或是發動DDoS攻擊。</p> <p>Human強調，遭到感染的裝置涵蓋平板電腦、連網電視、數位投影機等多種類型，且是低價且未經過Google驗證的白牌設備，執行的是以安卓開源專案（Android Open Source Project，AOSP）打造的作業系統，並非採用Google官方認定的Android TV作業系統的連網電視，或是通過Play Protect驗證的安卓裝置。此外，這些裝置全數為中國製造，並在全球各地銷售。</p> <p>在市面上的安卓裝置當中，有不少白牌裝置開發商直接以AOSP開發作業系統，並未通過Play Protect驗證等Google相關的檢驗流程，甚至部分裝置在生產的過程裡，就可能已經被埋入惡意軟體。</p> <p>針對BadBox 2.0的發現，Satori研究人員與Google共同合作，中斷其基礎設施的運作。其中，Google在安卓裝置內建的惡意軟體防護機制Play Protect當中，能夠識別並封鎖這種惡意軟體的行動，再者，Google也終止駭客使用的Google Ad帳號。</p> <p>而從事這起攻擊的駭客，Human指出就是過往散布BadBox的那批人馬，他們確認至少有4組人馬從事BadBox 2.0攻擊行動，這些駭客包括：SalesTracker Group、MoYu Group、Lemon Group，以及LongTV。</p> <p>這些駭客各司其職，其中，SalesTracker Group管理C2基礎設施、MoYu Group負責開發後門程式BadBox 2.0並散布；Lemon Group透過殭屍網路提供代理伺服器租用服務。</p> <p>至於LongTV，則是經營一家馬來西亞的網際網路與多媒體公司，但實際上，過往該公司多款App曾被用於廣告詐欺攻擊。</p> <p>值得留意的是，這4組人馬共用C2伺服器及基礎設施，而且有緊密的業務往來。</p> </div></div></div>
2025/3/19 16:02作者周峻佑https://www.ithome.com.tw/news/167946
GCC 15首度整合COBOL 預設啟用C23並強化C++26支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://gcc.gnu.org/gcc-15/changes.html">GCC 15</a>的<a href="https://gcc.gnu.org/git/?p=gcc.git;a=shortlog">最新開發進展</a>顯示，這款開源編譯器迎來了重大更新，包括首度內建COBOL編譯器、C23設為預設標準，並強化C++26的支援。這些改變不僅擴展了語言支援範圍，也影響現有程式碼的編譯行為，開發者需留意潛在的相容性變更。</p> <p>COBOL的整合是GCC 15具代表性的更新。過去，GCC並未內建COBOL支援，開發者通常依賴GnuCOBOL等外部前端，而這次GCC直接納入gcobol，使COBOL成為官方支援的語言之一。開發團隊已將GCC中COBOL前端的程式碼庫更新為使用C++14標準，移除過時程式碼，並增加測試案例以提升穩定性。此外，GCC 15也允許gcobol在交叉編譯環境下進行建置。</p> <p>C語言方面，GCC 15將C23設為預設標準，從原本的gnu17變更為gnu23。這代表使用預設設定進行編譯的C程式將自動遵循C23標準，帶來多項語法與語意調整，包括#embed預處理指令、新的標準巨集__STDC_VERSION__值、可重現與未排序（Reproducible/Unsequenced）屬性，以及經強化的內建函式。這些變更可能影響舊版程式碼，開發者需評估是否需要調整編譯選項或更新程式碼。</p> <p>GCC 15也持續拓展對C++26的支援，近期的提交顯示，開發團隊已實作多項標準草案提案，包括pack indexing、= delete("reason")語法、constexpr placement new等。此外，C++模板錯誤診斷機制也有所改進，提供-Wtemplate-body選項來控制錯誤報告，行內組合語言（Inline Assembler）則允許使用constexpr生成的字串，提升語法彈性。這些新功能強化了C++26的可用性，讓開發者能夠更早適應未來標準的變化。</p> <p>除了語言標準的更新，GCC 15 在架構支援方面也有顯著進展。在x86-64領域，開發團隊新增了Intel APX、AVX10.2、MOVRS等指令集的支援，這些技術有助於提升指令執行效率，特別是在數值運算與向量化計算方面。與此同時，GCC 15正式移除Xeon Phi（Knights Landing與Knights Mill）支援，英特爾舊一代輔助處理器退場。</p> <p>並行運算與GPU應用開發者也將受益於GCC 15的更新，特別是在OpenMP的支援上，目前已經引入OpenMP 6.0的部分功能，如get_device_from_uid與omp_get_uid_from_device API，並強化了OpenMP target區域對Nvidia GPU的終端輸出處理。對於AMD GPU，新的異質運算機制提供更靈活的記憶體管理，使GCC在高效能計算領域更具競爭力。</p> </div></div></div>
2025/3/19 16:22作者李建興https://www.ithome.com.tw/news/167945
11組國家級駭客共散播上千個惡意LNK捷徑檔，劍指Windows尚無修布的零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一項曝露超過8年、至少有11個國家級駭客利用的零時差漏洞，因為微軟決定不予修補，在研究人員公布相關發現後，引起各界高度關注。</p> <p>趨勢科技旗下的漏洞懸賞專案Zero Day Initiative（ZDI）指出，<a href="https://www.trendmicro.com/en_us/research/25/c/windows-shortcut-zero-day-exploit.html">他們去年9月發現利用零時差漏洞ZDI-CAN-25373攻擊行動</a>，這波攻擊最早可追溯到2017年，來自北韓、伊朗、俄羅斯、中國的11個國家級駭客利用這項漏洞，針對北美洲、南美洲、歐洲、亞洲、澳洲從事相關攻擊，範圍涵蓋政府機關、金融機構、電信業者、軍事單位、能源產業等領域。除此之外，也有以經濟利益為動機的駭客加入漏洞利用的行列。</p> <p>這些駭客使用LNK檔案未公布的命令列參數來觸發漏洞，從而在不被偵測到的情況下執行惡意酬載。研究人員總共找到接近1千個駭客使用的捷徑檔（Shell Link檔案，副檔名為LNK），並研判駭客實際使用的惡意檔案數量遠大於此。ZDI向微軟通報這項弱點並得到確認，但微軟起初表示該弱點並未達到服務條件，決定不予修補。在資安媒體廣泛報導ZDI的發現後，<a href="https://www.bleepingcomputer.com/news/security/new-windows-zero-day-exploited-by-11-state-hacking-groups-since-2017/">微軟發言人也做出新的說明</a>，表示雖然該弱點雖然未達到該公司立即處理的標準，但他們將考慮在未來的功能發布當中緩解。</p> <p>究竟ZDI-CAN-25373是什麼樣的漏洞？<a href="https://www.zerodayinitiative.com/advisories/ZDI-25-148/">ZDI指出發生的原因在於Windows處理LNK檔案的過程</a>，攻擊者只要利用這種弱點，就能在LNK納入特製的危險內容，但使用者無法從Windows提供的介面看到這些內容，使得攻擊者能在使用者不知情的情況下挾帶惡意命令。一旦攻擊者利用這項漏洞，就有機會以使用者的身分執行任意程式碼，CVSS風險評為7.0分。</p> <p>不過，利用這項漏洞存在必要條件，那就是攻擊者必須與使用者互動，引誘他們存取惡意網頁，或是開啟惡意檔案。</p> <p>而對於利用這項漏洞的駭客身分，根據使用的惡意LNK檔案數量，ZDI表示最多的<a href="https://www.ithome.com.tw/tags/Evil-Corp">勒索軟體駭客Evil Corp</a>，有86個，其次是北韓駭客<a href="https://www.ithome.com.tw/tags/kimsuky">Kimsuky</a>、<a href="https://www.ithome.com.tw/tags/konni">Konni</a>，以及來自南亞的Bitter，分別有24、17、16個。但除此之外，研究人員也確認有其他國家級駭客使用這項漏洞的情況，包含北韓駭客<a href="https://www.ithome.com.tw/tags/Lazarus">Lazarus</a>，中國駭客<a href="https://www.ithome.com.tw/tags/mustang-panda">Mustang Panda</a>、<a href="https://www.ithome.com.tw/tags/apt10">APT10</a>、<a href="https://www.ithome.com.tw/tags/redhotel">RedHotel</a>（<a href="https://www.ithome.com.tw/tags/tag-22">TAG-22</a>）、俄羅斯駭客<a href="https://www.ithome.com.tw/tags/Gamaredon">Gamaredon</a>、<a href="https://www.ithome.com.tw/tags/RedCurl">Red Curl</a>，伊朗駭客<a href="https://www.ithome.com.tw/tags/APT35">APT35</a>、<a href="https://www.ithome.com.tw/tags/MuddyWater">MuddyWater</a>，印度駭客<a href="https://www.ithome.com.tw/tags/Patchwork">Patchwork</a>、<a href="https://www.ithome.com.tw/tags/SideWinder">SideWinder</a>等。值得留意的是，對於大部分的惡意LNK檔案，研究人員無法確認攻擊者的身分。</p> <p>針對駭客的目的，主要是進行資料竊取（68.2%），但也有牟取經濟利益（22.7%）、破壞網路環境（4.55%）的情況。</p> <p>這些駭客成功利用漏洞之後，也會散布其他惡意酬載進行後續活動，其中包含了Lumma Stealer、GuLoader、Remcos，但研究人員提及有駭客租用其他惡意軟體（Malware-as-a-Service）的情況。</p> </div></div></div>
2025/3/19 13:22作者周峻佑https://www.ithome.com.tw/news/167944
Nvidia開源全新推論軟體Dynamo
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Nvidia周二（3/17）<a href="https://nvidianews.nvidia.com/news/nvidia-dynamo-open-source-library-accelerates-and-scales-ai-reasoning-models" target="_blank">開源了全新的推論軟體Dynamo</a>，它可大幅提高推論性能，令Llama模型的推論性能及營收提高一倍，也能在執行DeepSeek-R1模型時，讓每個GPU產生的Token數量增加逾30倍。</p> <p>Nvidia解釋，隨著AI推理（reasoning）成為主流，每個AI模型都會在每次提示時產生數以萬計、用來思考的Token，若能增加推論（inference）效能並持續降低推論成本，將可加速成長並提高服務供應商的收入機會。</p> <p>隨著模型變得愈來愈大，並且愈來愈融入需要與多個模型互動的AI工作流程中，大規模部署這些模型涉及到將它們分布在多個節點上，也需要跨GPU進行仔細的協調。</p> <p>Dynamo是Nvidia既有Triton Inference Server的繼任推論軟體，主要利用分解式服務（disaggregated serving）將大型語言模型的處理階段與生成階段，分別部署在不同的GPU上，以提升性能與效率。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0319-NVIDIA%20Dynamo%20architecture.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Nvidia</span></span></p> <p>Dynamo的4個關鍵元件分別是GPU資源規畫器、智慧型路由器、低延遲通訊庫，以及KV快取管理器。其中，GPU資源規畫器是個規畫及調度引擎，可依據不斷變化的使用者需求，動態新增或刪除GPU，以避免GPU太多或不足；智慧型路由器則是一個可理解大型語言需求與特性的路由器，能夠在大規模部署的GPU群組中，將請求分配到最適合的GPU上進行處理，並減少對於重複請求的重新運算，讓所釋放的GPU資源得以處理新的請求，節省運算資源。</p> <p>低延遲通訊庫是個針對推論最佳化的工具集，可支援不同GPU之間、以及不同類型的記憶體及儲存類型的資料傳輸，以提高推論效率。KV快取管理器是個快取卸載引擎，會根據需求將KV快取資料轉移到不同的記憶體儲存層次中，以釋放寶貴的GPU記憶體，同時保持用戶體驗。</p> <p>根據Nvidia的測試，使用相同數量的GPU，若在Hopper平臺上執行各種Llama模型，Dynamo能使AI工廠的性能和營收翻倍；在 GB200 NVL72機架的大型叢集上執行DeepSeek-R1模型時，Dynamo也能將每個GPU產生的Token數量，提高超過30倍。</p> </div></div></div>
2025/3/19 13:08作者陳曉莉https://www.ithome.com.tw/news/167943
Google證實將以320億美元買下Wiz
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/inside-google/company-announcements/google-agreement-acquire-wiz/" target="_blank">Google周二（3/18）宣布</a>，已與雲端安全平臺Wiz簽署最終併購協議，準備支付320億美元的現金買下Wiz，收購完成後Wiz將直接併入Google Cloud，目前雙方正在等待監管機關的審核。</p> <p>Wiz創立於2020年，主要提供雲端資安服務，涵蓋雲端安全態勢管理（CSPM）、漏洞管理、容器與Kubernetes安全、基礎設施即程式碼掃描、雲端基礎設施權限管理（CIEM）、雲端適法性、資料安全態勢管理、雲端工作負載保護平臺（CWPP）、AI安全、供應鏈安全，以及雲端偵測與回應等，可分析AWS、Google Cloud Platform（GCP）、微軟Azure、甲骨文雲端基礎設施，以及Kubernetes等平臺上所代管的基礎設施，以找出資安風險因素。</p> <p>在2022年時，Google即曾先後以5億美元<a href="https://www.ithome.com.tw/news/148712" target="_blank">買下以色列資安業者Siemplify</a>，以及以54億美元<a href="https://www.ithome.com.tw/news/149768" target="_blank">買下另一資安業者Mandiant</a>，它們全都落腳Google Cloud。</p> <p>Google Cloud現有的安全方案包括Google威脅情報、Google安全營運，以及Mandiant安全顧問等，相中的是Wiz所提供無縫雲端安全平臺，可連結至所有主要的雲端及程式碼環境，自一開始就預防資安意外。G<a href="https://cloud.google.com/blog/products/identity-security/google-announces-agreement-acquire-wiz/" target="_blank">oogle讚美Wiz為創新領導者</a>，在過去的12個月創造了許多全新的資安解決方案類別。</p> <p>Wiz所開發的解決方案能夠掃描客戶環境，建立一個涵蓋程式碼、雲端資源、各種服務與應用程式，以及彼此之間連結的綜合圖表，得以辨識潛在的攻擊路徑，依據其影響力針對關鍵風險進行排序，以協助開發者在部署之前保護應用程式的安全，亦能協助安全團隊及開發者之間的合作，修復程式碼中的風險，或是偵測及阻止正在進行中的攻擊。</p> <p><a href="https://www.ithome.com.tw/news/164092" target="_blank">去年Google便曾提議以230億美元收購Wiz</a>，外傳Wiz董事會因擔心無法順利通過壟斷審核而拒絕，如今雙方捲土重來，強調Wiz今後將繼續支援所有主要雲端平臺，包括Amazon Web Services、Microsoft Azure 與Oracle Cloud，也會持續支援各種封裝的應用程式、SaaS應用程式，以及那些執行在虛擬及本地端環境的應用程式。可看出雙方期待藉由對競爭環境的支援，來換得監管機關對此一併購案的首肯。</p> <p>若能與Wiz結合，Google預期將能大幅改善其安全設計、操作與自動化；進一步透過自動化安全平臺來擴大安全團隊的能力；降低客戶實施與管理安全控制的成本；防範先進AI所帶來的新威脅，預防安全漏洞，並協助組織更有效率地應對安全事件；亦能推動多雲安全解決方案的採用。</p> <p>對於即將加入Google Cloud這個大家庭，Wiz 共同創辨人兼執行長<a href="https://www.wiz.io/blog/wiz-joining-google" target="_blank">Assaf Rappaport表示</a>，相較於作為一家獨立公司，成為Google Cloud的一份子就像是在Wiz背上綁上一枚火箭，加速其創新速度。</p> </div></div></div>
2025/3/19 11:37作者陳曉莉https://www.ithome.com.tw/news/167940
Nvidia公布Llama Nemotron AI推理模型，支援開發AI代理人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Nvidia昨日在GTC大會上宣布具推理能力的3款Llama Nemotron模型，供企業打造AI代理人，涵括裝置端到資料中心環境，也宣布微軟、SAP等整合合作夥伴。</p> <p>Llama Nemotron是Nvidia今年在CES（Consumer Electronics Show）大會上<a href="https://blogs.nvidia.com/blog/nemotron-model-families/" target="_blank">宣布的推理模型系列</a>，以Llama模型為基礎，配合Nvidia後訓練提升其多步驟數學、編程、推理與複雜決策能力。Llama Nemotron模型有三個規格，皆可以Nvidia NIM微服務形式執行。其中，Nano可在PC和邊緣裝置執行、Super可在單一GPU上執行，而Ultra模型則適用於多顆GPU的伺服器。</p> <p>Nvidia並宣布多個雲端及應用大廠將整合Llama Nemotron模型，提供其客戶開發代理人，包括微軟、SAP、ServiceNow等。微軟Azure AI Foundry將整合Llama Nemotron模型及NIM微服務，開發整合在Microsoft 365中的AI Agent。</p> <p>SAP把Llama Nemotron模型整合在其軟體平臺，強化SAP Business AI解決方案及自家AI助理Joule，此外，SAP ABAP程式語言模型也會使用Nvidia NIM及NeMo微服務提升程式碼完成度。另一家軟體業者ServiceNow則使用Llama Nemotron模型開發各種產業的AI代理人。</p> <p>在Llama Nemotron之外，Nvidia也在AI Enterprise軟體平臺，提供新的代理人AI工具及軟體。包括整理資料源及自動化AI代理人的<a href="https://developer.nvidia.com/agentiq" target="_blank">開源工具Nvidia AI-Q Blueprint</a>，其次用以優化代理人應用程式推理能力的新NIM微服務，可確保穩定部署Meta、微軟及Mistral AI的AI模型。</p> <p>第3項為AI查詢代理人的可客製化參考設計Nvidia AI Data Platform，最後是協助建立AI資料飛輪（data flywheel）、持續改進AI代理人的新NeMo微服務。</p> <p>Llama Nemotron Nano、Super模型及NIM微服務可在<a href="https://build.nvidia.com/" target="_blank">build.nvidia.com</a>及Hugging Face託管API使用。企業用戶可在資料中心和雲端環境下，以Nvidia AI Enterprise執行Llama Nemotron NIM微服務。Nvidia AI-Q Blueprint預計4月推出，其中包含的工具組<a href="http://github.com/NVIDIA/AgentIQ" target="_blank">Nvidia AgentIQ現在可在GitHub取得</a>。</p> </div></div></div>
2025/3/19 12:06作者林妍溱https://www.ithome.com.tw/news/167942
Nvidia公布二款個人用AI超級電腦，Project Digits開放預約
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Nvidia GTC大會上Nvidia執行長<a href="https://nvidianews.nvidia.com/news/nvidia-announces-dgx-spark-and-dgx-station-personal-ai-computers" target="_blank">黃仁勳公布</a>兩款號稱Grace Blackwell架構個人用AI超級電腦，而代號Project Digits的工作站即日起開放預約。</p> <p>這二款個人用超級電腦分別為DGX Spark及DGX Station。其中DGX Spark為1月<a href="https://www.ithome.com.tw/news/166849" target="_blank">公布</a>的Project Digits。而DGX Station則是使用Nvidia Blackwell Ultra平臺的桌上工作站，定位在以工作站支援AI應用開發、研究人員、資料科學家及學生建立、微調大型模型和推論，開發完成後，可將模型在工作站、邊緣執行，或部署在雲端、或是其他資料中心。</p> <p>DGX Spark（即Project Digits）號稱全球最小個人AI超級電腦。規格方面，DGX Spark採用為桌機工作站優化的Nvidia GB10 Grace Blackwell Superchip單系統晶片。GB10包含具第5代Tensor Cores及FP4精度支援的Nvidia Blackwell GPU，使DGX具備128GB記憶體，並支援最高1000 TOPS（而非年初說的1petaflop/s）的AI算力，適合微調AI模型，或是以AI推論模型進行推論，可執行最多2000億參數的模型如DeepSeek、Meta、Google、或NVIDIA Cosmos Reason世界基礎模型及NVIDIA GR00T N1機器人基礎模型。</p> <p>DGX Station則是讓桌上工作站具備資料中心效能支援AI開發。它是第一款內建Nvidia GB300 Grace Blackwell Ultra Desktop Superchip的工作站，具備784GB記憶體空間以加速大規模訓練和推論任務。</p> <p>在規格方面，GB300 Desktop Superchip具備Blackwell Ultra GPU，後者也提供最新一代Tensor Cores及FP4精度，並以NVLink-C2C連接Nvidia Grace CPU。此外，DGX Station採用網路介面卡NVIDIA ConnectX-8 SuperNIC，支援最高800Gb/s，可用於大規模AI運算作業，還可串聯多臺DGX Stations執行超大運算任務，以及網路加速的AI資料傳輸。</p> <p>Nvidia本身也提供了AI相關軟體。DGX Station加上Nvidia CUDA-X AI軟體平臺，可用於加速AI效能。若配合Nvidia Enterprise軟體平臺，企業用戶則可透過存取Nvidia NIM微服務，在雲端環境進行AI推論。</p> <p><a href="https://www.nvidia.com/en-us/products/workstations/dgx-spark/" target="_blank">DGX Spark即日起接受預約</a>，預計夏天出貨，售價方面，則不確定是否為年初訂下的3,000美元，合作廠商包括華碩、HP、Dell。而DGX Station系列將在華碩、HP、Dell、Boxx、Lambda、美超微（Supermicro）等伺服器業者合作下，於今年內上市。</p> </div></div></div>
2025/3/19 11:10作者林妍溱https://www.ithome.com.tw/news/167936
Mistral Small 3.1視覺與語文理解能力領先Google新推的Gemma 3
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>法國新創公司Mistral AI宣布推出最新的人工智慧模型<a href="https://mistral.ai/fr/news/mistral-small-3-1">Mistral Small 3.1</a>，根據官方公布的基準測試資料，Mistral Small 3.1的整體效能表現，尤其在視覺理解及長上下文處理方面，明顯優於Google日前釋出的<a href="https://www.ithome.com.tw/news/167850">Gemma 3同級模型</a>。</p> <p>Mistral Small 3.1主打適合本地端部署，與Gemma 3 27B皆屬於中型規模百億級參數的多模態人工智慧模型，具備輕量化的特性，能夠在一臺搭載單張Nvidia RTX4090顯示卡的裝置，或是32 GB記憶體的Mac電腦上運行，但Mistral Small 3.1各項技術效能指標，則已經領先Gemma 3。</p> <p>從Mistral AI公開的<a href="https://huggingface.co/mistralai/Mistral-Small-3.1-24B-Instruct-2503">詳細基準測試資料</a>來看，Mistral Small 3.1在進階的文字理解與推理任務，例如GPQA Diamond上達到45.96％，領先Gemma 3的42.40％。此外，程式撰寫能力測試人類評估HumanEval中，Mistral Small 3.1表現達88.41％，同樣略勝Gemma 3的87.80％。</p> <p>視覺處理的效能差距則更為明顯，根據ChartQA圖表理解基準，Mistral Small 3.1取得86.24％的準確率，明顯優於Gemma 3的78.00％。同時在文件圖像理解測試DocVQA，Mistral Small 3.1也以94.08％的高準確率，領先Gemma 3的86.60％，這對於需要高度視覺理解能力的應用，例如自動文件分析、品質檢測等相對重要。</p> <p>然而，在數學推理方面則是Gemma 3表現亮眼，在MATH測試中，其準確率達89.00%，顯著領先Mistral Small 3.1的69.30%。</p> <p>另一個值得關注的是長上下文理解能力，Mistral Small 3.1可處理的上下文範圍為12.8萬Token，這使模型更適合處理大型文件或長對話場景。在專門用於評估長上下文處理能力的RULER 128K測試中，Mistral Small 3.1達到了81.20％的效能，而Gemma 3僅有66.00％。</p> <p>在實際部署與硬體相容性方面，Mistral Small 3.1 24B與Gemma 3 27B針對單卡GPU裝置最佳化，因此企業或研究團隊不需要使用昂貴的叢集設備，即可實現高效推理運算，這點對於個人開發者、中小企業或需處理敏感資料且不願將資料傳輸至雲端的組織尤其重要。</p> </div></div></div>
2025/3/19 08:32作者李建興https://www.ithome.com.tw/news/167926
Nvidia發表Blackwell Ultra加速AI推理，釋出首個人形機器人開發的開放式基礎模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在GTC 2025大會中，Nvidia執行長黃仁勳發表Blackwell Ultra，鎖定AI工廠的AI運算平臺，以加速AI推理、代理型AI及物理型AI(Physical AI)，其中的GB300 NVL72要比GB 200 NVL72的AI效能高出1.5倍，與Hooper相比則提高50倍。此外，該公司也釋出首個開放的人形機器人基礎模型Isaac GR00T N1，強化人形機器人的推理能力。</p> <p>黃仁勳在主題演說中指出，AI技術正從先前的認知AI到生成式AI，往代理AI及物理AI發展，愈往後發展，AI具備更高的智能，例如物理AI技術的發展，讓AI能更好的理解實體環境的3D世界，同時驅動AI機器人的發展，每個階段的發展都會帶來商機，但是愈往後發展，就需要解決三個基本的問題，如何獲得資料、如何在沒有人類限制下訓練模型，以及AI推理能力需要更大的擴展(Scaling)訓練，需要更大的運算，超過一年前相同時間所預期的100倍。</p> <p>鑑於更複雜的AI推理能力所需的運算效能，Nvidia發表Blackwell Ultra，用來加強訓練及測試時間擴展推理(Test-time scaling inference)，Blackwell Ultra是基於先前的Blackwell架構，但採用效能更高的GB300 NVL72及HGX B300 NVL16。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/nvidia-blackwell-ultra.jpeg" style="width: 600px; height: 338px;" /></p> <p>其中GB300 NVL72採NVlink連接72個Blackwell Ultra GPU及36個Grace CPU，GB300 NVL72的AI效能比GB 200 NVL72高出1.5倍；而HGX B300 NVL16則比Hopper，運算效能提升7倍，而在大型語言模型的推理速度則提升11倍，記憶體也增加4倍，以因應較複雜的運算負載需要。</p> <p>「AI已取得巨大的發展，推理及代理AI需要更多的運算效能，Blackwell Ultra可以高效地完成預訓練、後訓練、推理AI的推論」，黃仁勳說。</p> <p>相較於傳統的LLM，產生的Token較少，對問題的回應容易出錯，推理模型能夠產生更多的Token，從而提高回應的準確性，但相對地也需要更大的運算效能，因此Nvidia強調Blackwell Ultra的效能有助於AI的擴展推理能力，可將複雜的問題拆解成多個步驟，探索不同的解決方式，來提高回應的品質。</p> <p>除了有助於AI的推理能力發展，也有助於物理AI技術發展，像是即時生成擬真的影像，以大規模的訓練機器人、自駕車，Nvidia也在GTC中宣布將和美國的GM汽車在自駕車技術進行合作。</p> <p>Blackwell Ultra預計在2025年下半年提供，Nvidia揭露思科、戴爾、HPE、聯想、華碩、富士康、技嘉、和碩、廣達等將推出相關系統，AWS、GCP、Azure等雲端服務業者將會提供運算服務。</p> <p>考量到橫向擴充的需要，Blackwell Ultra未來可搭配Nvidia Spectrum-X乙太網路及Nvidia Quantum-X800 Infiniband，透過Nvidia ConnectX-8 SuperNIC，讓每個GPU的資料吞吐量達到800Gbps。</p> <p>為加速推理AI技術，Nvidia也推出開源推理框架Nvidia Dynamo，針對部署數千個GPU的AI工廠，GPU間的溝通協調工作，將大型語言模型的處理、生成分派到不同的GPU，縮短回應時間，並且降低服務的成本。</p> <p>Blackwell Ultra之後，Nvidia也如先前所承諾的，以一年一更新的步調，揭示未來兩年的產品籃圖，2026年下半年將推出Vera Rubin NVL144，效能為GB300 NVL72的3.3倍，記憶體容、頻寬、NVLink速度也有至少1.6倍的提升；接下來，2027年下半年將推出Rubin Ultra NVL576，效能比GB300 NVL72提高14倍，搭配NVLink7、CX9，大幅提升記憶體、頻寬速度。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202025-03-19%20%E6%B8%85%E6%99%A86_33_30.png" style="width: 891px; height: 460px;" /></p> <p>針對物理AI，黃仁勳認為，物理AI將會驅動機器人、自駕車等科技快速發展，創造出新一波的機器人商機，其中人形機器人，不論在家庭生活協助或是工廠自動化生產，預期會有相當的需求。</p> <p>因此Nvidia也釋出首個針對人形機器人的開放基礎模型，GTC釋出Isaac GR00T N1，這個模型標榜為目前全球第一個開放、可自訂的通用人形機器人推理及技能基礎模型，N1整合視覺語言模型及整合Transformer的擴散模型，讓機器人可接受sensor token(例如影像)及text token(語言命令)，經過整合Transformer擴散模型處理後，產生action token，讓機器人採取行動。</p> <p>該公司也和Google DeepMind、Disney Research聯手開發機器人引擎Newton，以星際大戰中的BDX機器人為模仿，該機器人的頭部及雙腳可以自主移動，不只是靜態的模擬畫面展示，現場也安排Newton機器人升上舞臺，即時與黃仁勳互動，這款只到成人大腿左右高度的機器人搖頭晃腦外，還能依照黃仁勳的指示，移動到指定的位置，描繪物理AI技術下，可與人類互動的人形機器人在生活中已不再遙遠。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202025-03-19%20%E6%B8%85%E6%99%A86_55_28.png" style="width: 800px; height: 486px;" /></p> </div></div></div>
2025/3/19 07:27作者蘇文彬https://www.ithome.com.tw/news/167927
【資安日報】3月18日，駭客組織CrazyHunter聲稱攻擊臺灣上市公司科定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>3月初彰基醫院證實連假期間遭遇網路攻擊，經衛福部介入協助之後，確認是勒索軟體駭客CrazyHunter所為，研判在馬偕和彰基之後，駭客會尋找下一間醫院發動攻擊。但如今，傳出這些駭客針對臺灣其他產業下手的情況。</p> <p>昨天上市公司科定發布資安重訊，表示他們遭遇網路攻擊。而對於攻擊者的身分，CrazyHunter表明是他們所為，並竄改科定的網站向該公司施壓。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167907"><strong style="font-size: 22px;">攻擊馬偕、彰基的CrazyHunter再度犯案，鎖定臺灣上市公司科定</strong></a></p> <p>臺灣又有上市公司疑似遭遇勒索軟體組織的攻擊，上市公司科定企業在3月17日早上發布資安重訊證實發生網路資安事件。值得我們關注的是，這起事件的攻擊者，似乎就是半個月前攻擊馬偕、彰基醫院的幕後兇手CrazyHunter。</p> <p>科定企業這家公司的本業，是研發與生產KD塗裝木皮板、環保批批板，也就是環保裝潢加工板材。17日上午10時我們接獲科定遭網路攻擊的消息，因此連至該公司網站欲查詢其聯繫方式，結果發現，該公司整個首頁遭到攻擊者竄改。</p> <p>根據駭客竄改該公司網站首頁的內容顯示，對方自稱為CrazyHunter，並且態度十分囂張地聲稱他們加密了受害者所有的系統，包含Hyper-V、NAS、Vmware與Veeam的備份，並竊取了15 TB的資料，包含檔案伺服器資料、CRM、BPM、EIP、SAP、生產圖紙、客戶資料等其他敏感資料，要脅受害者與他們聯繫，否則將在24小時後揭露1 TB資料。</p> <p><a href="https://www.ithome.com.tw/news/167913"><strong style="font-size: 22px;">Tomcat漏洞揭露30小時後出現PoC，已被用於實際攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/7qJLtG.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/7qJLtG.png" style="width: 300px; float: right;" /></a>網頁伺服器系統Tomcat是Apache基金會核心專案之一，根據W3Techs網站的統計，雖然目前市占不到0.1%，但它仍是不少企業採用的Java應用伺服器平臺，原因在於Tomcat開源且占用資源少，廣泛支援Java網頁應用，因此適合小型應用及微服務架構，有許多企業及雲端平臺採用，不過，一旦這種重要元件出現弱點，影響將非常廣泛。自去年底Apache基金會揭露Tomcat重大層級漏洞CVE-2024-50379，最近他們公布了新漏洞CVE-2025-24813（未公布CVSS風險評分），但直到有資安業者警告該漏洞出現攻擊行動，才引起各界關注此事。</p> <p>3月17日API資安業者Wallarm指出，在3月11日Apache基金會公開CVE-2025-24813之後，隔天有名為iSee857的中國使用者公布概念驗證（PoC）程式碼，與Apache基金會公開漏洞的時間間隔僅有30個小時。隨後研究人員就在12日北美中部時間（CST）下午12時38分偵測到第一波攻擊，這起攻擊來自波蘭。Wallarm指出這項漏洞非常危險，因為將其用於攻擊極為容易，而且不需通過身分驗證，唯一的必要條件，就是Tomcat必須採用以檔案為基礎的連線階段儲存（Session Storage）機制，而這是大部分Tomcat相當常見的部署型態。</p> <p><a href="https://www.ithome.com.tw/news/167917"><strong style="font-size: 22px;">駭客佯裝Booking.com從事ClickFix網釣，對旅館業者的人際網路散布惡意程式</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Fig2-sample-phishing-email.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fig2-sample-phishing-email.png" style="width: 300px; float: right;" /></a>微軟威脅情報團隊從去年12月的旅遊旺季，察覺專門針對旅館業者的ClickFix網釣攻擊行動，駭客組織Storm-1865假借訂房網站Booking.com的名義發送釣魚郵件，意圖散布能竊取多種帳密資料的惡意程式。值得留意的是，這波攻擊行動仍在持續進行當中。</p> <p>駭客攻擊的範圍相當廣泛，涵蓋北美、大洋洲、南亞及東南亞，歐洲北部、南部、東部、西部都有災情。遭到攻擊的目標存在共通點，那就是大部分都與Booking.com有合作關係。</p> <p>在這波攻擊當中，駭客先鎖定可能與Booking.com合作的旅館及相關人士，假借該訂房網站名義寄送惡意郵件，信件內容相當多元，包括旅客的負面評論、潛在客戶需求、網路促銷機會，以及帳號驗證等。然而，這些郵件存在共通之處，不是內文包含URL連結，就是挾帶的PDF附件存在URL，駭客引誘收信人點選，對Booking.com進行回覆，若是照做就會遭遇ClickFix攻擊，可能導致電腦被植入惡意程式。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/03/unpatched-edimax-camera-flaw-exploited.html">訊舟網路攝影機零時差漏洞去年上半遭到利用，兩組人馬散布殭屍網路Mirai</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/100-car-dealerships-hit-by-supply-chain-attack/">汽車經銷商網站LESA遭遇供應鏈攻擊，駭客透過網站向使用者從事網釣</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/microsoft-new-rat-malware-used-for-crypto-theft-reconnaissance/">木馬StilachiRAT鎖定逾20種加密貨幣錢包，挾持剪貼簿收集敏感資料</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.infosecurity-magazine.com/news/volt-typhoon-threatens-us-ot/">中國駭客Volt Typhoon入侵美國OT環境接近一年</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167916"><strong style="font-size: 22px;">思科修補IOS XR的BGP聯盟實作漏洞，若不處理恐面臨DoS服務中斷攻擊</strong></a></p> <p>思科上週發布的網路設備作業系統IOS XR上半年例行更新，其中一項資安漏洞CVE-2025-20115引起高度關注，因為這項弱點思科將其評為中度風險，但CVSS風險評估卻高達8.6分，使得國內外資安媒體爭相報導此事，呼籲IT人員不能掉以輕心，應儘速套用更新程式修補。</p> <p>這項弱點出現在IOS XR的邊界閘道協定（BGP），影響已設置BGP聯盟的設備。未經身分驗證的攻擊者有機會遠端發動阻斷服務（DoS）攻擊。起因是在BGP更新時建立的AS_CONFED_SEQUENCE屬性當中，若是出現255組自治系統編號（ASN），就有可能出現記憶體損壞的現象而引發漏洞。攻擊者可藉由發送特製的BGP更新訊息，或是在特定的網路環境下讓IOS XR設備登錄255組以上的ASN，就有機會觸發漏洞。</p> <p>一旦成功觸發這項弱點，攻擊者就能造成IOS XR設備記憶體損壞，從而導致BGP處理程序重新啟動，從而造成服務阻斷。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/03/github-action-compromise-puts-cicd.html">GitHub Action存在弱點，攻擊者將其用於洩露儲存庫機密資料</a></strong></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167914"><strong style="font-size: 22px;">外傳Alphabet再度試圖買下資安新創Wiz，開價300億美元</strong></a></p> <p>3月17日華爾街日報、彭博社引述消息來源報導，Google母公司Alphabet在去年打算以230億美元收購雲端資安新創Wiz未果，近期Alphabet提高價碼，再度提議買下Wiz，而對於併購的金額，兩家新聞網站掌握到的數字不同：華爾街日報表示為300億美元，彭博社透露可能是330億美元。假若這項併購案成真，將成為Alphabet史上金額最大的交易。</p> <p>而對於Alphabet併購Wiz的動機，外界普遍認為很有可能是為了強化GCP及其雲端資安業務。值得留意的是，去年Wiz在拒絕併購時，傳出執行長向員工宣布要發行股票（IPO），但後來卻不了了之，並開始與買家進行交涉，目前與Alphabet的協商進行到最後階段。彭博社指出，兩家公司最快會在本週宣布此事。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/167906"><strong>【3月17日】Fortinet身分驗證繞過漏洞傳出被用於勒索軟體攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167883"><strong>【3月14日】國家資通安全戰略2025即將發布，將以全社會防衛為基礎打造國家資安韌性</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167845"><strong>【3月13日】殭屍網路Ballista綁架6千臺尚未修補的TP-Link無線基地臺</strong></a></p> </div></div></div>
2025/3/18 17:08作者周峻佑https://www.ithome.com.tw/news/167922
Tomcat漏洞揭露30小時後出現PoC，已被用於實際攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網頁伺服器系統Tomcat是Apache基金會核心專案之一，根據W3Techs網站的統計，雖然目前市占不到0.1%，但它仍是不少企業採用的Java應用伺服器平臺，原因在於Tomcat開源且占用資源少，廣泛支援Java網頁應用，因此適合小型應用及微服務架構，有許多企業及雲端平臺採用，不過，一旦這種重要元件出現弱點，影響將非常廣泛。自去年底Apache基金會揭露Tomcat<a href="https://www.ithome.com.tw/news/166667">重大層級漏洞CVE-2024-50379</a>，最近他們<a href="http://lists.apache.org/thread/j5fkjv2k477os90nczf2v9l61fb0kkgq">公布了新漏洞CVE-2025-24813</a>（未公布CVSS風險評分），但直到<a href="http://lab.wallarm.com/one-put-request-to-own-tomcat-cve-2025-24813-rce-is-in-the-wild/">有資安業者警告該漏洞出現攻擊行動</a>，才引起各界關注此事。</p> <p>3月17日API資安業者Wallarm指出，在3月11日Apache基金會公開CVE-2025-24813之後，隔天<a href="https://github.com/iSee857/CVE-2025-24813-PoC">有名為iSee857的中國使用者公布概念驗證（PoC）程式碼</a>，與Apache基金會公開漏洞的時間間隔僅有30個小時。隨後研究人員就在12日北美中部時間（CST）下午12時38分偵測到第一波攻擊，這起攻擊來自波蘭。Wallarm指出這項漏洞非常危險，因為將其用於攻擊極為容易，而且不需通過身分驗證，唯一的必要條件，就是Tomcat必須採用以檔案為基礎的連線階段儲存（Session Storage）機制，而這是大部分Tomcat相當常見的部署型態。</p> <p>然而要偵測相關攻擊，並不容易，Wallarm指出，由於惡意酬載採用Base64演算法，使得攻擊者觸發弱點的同時，還能迴避大部分的資安過濾機制，使得企業要察覺這類攻擊行動更加困難。</p> <p>雖然攻擊者是濫用連線階段儲存機制來觸發漏洞，但Wallarm認為，更大的問題源自Tomcat處理部分PUT請求的方式，因為攻擊者能藉此從任何地點上傳任意檔案，他們預期接下來攻擊者有可能藉由漏洞上傳惡意JSP檔案，從而竄改Tomcat組態，或是部署後門程式，因此IT人員應儘速採取行動因應。</p> <p>所幸這項漏洞的修補，已在1個月前完成。Apache基金會於2月10日發布<a href="https://tomcat.apache.org/security-11.html#Fixed_in_Apache_Tomcat_11.0.3">11.0.3</a>、<a href="https://tomcat.apache.org/security-10.html#Fixed_in_Apache_Tomcat_10.1.35">10.1.35</a>、<a href="https://tomcat.apache.org/security-9.html#Fixed_in_Apache_Tomcat_9.0.99">9.0.99版</a>Tomcat，可惜的是，在一個月後（3月11日）才公布當時處理這項弱點，並指出這項漏洞有可能會導致遠端程式碼執行（RCE）攻擊、資訊洩露，或是資訊毀損的情況，11.0.2、10.1.34、9.0.98以下版本的Tomcat都有可能受到影響。</p> </div></div></div>
2025/3/18 12:10作者周峻佑https://www.ithome.com.tw/news/167913
思科修補IOS XR的BGP聯盟實作漏洞，若不處理恐面臨DoS服務中斷攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>思科上週發布的網路設備作業系統IOS XR<a href="https://www.ithome.com.tw/news/167867">上半年例行更新</a>，其中一項資安漏洞<a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-iosxr-bgp-dos-O7stePhX">CVE-2025-20115</a>引起高度關注，因為這項弱點思科將其評為中度風險，但CVSS風險評估卻高達8.6分，使得國內外資安媒體爭相報導此事，呼籲IT人員不能掉以輕心，應儘速套用更新程式修補。</p> <p>這項弱點出現在IOS XR的邊界閘道協定（BGP），影響已設置BGP聯盟的設備。未經身分驗證的攻擊者有機會遠端發動阻斷服務（DoS）攻擊。起因是在BGP更新時建立的AS_CONFED_SEQUENCE屬性當中，若是出現255組自治系統編號（ASN），就有可能出現記憶體損壞的現象而引發漏洞。攻擊者可藉由發送特製的BGP更新訊息，或是在特定的網路環境下讓IOS XR設備登錄255組以上的ASN，就有機會觸發漏洞。</p> <p>一旦成功觸發這項弱點，攻擊者就能造成IOS XR設備記憶體損壞，從而導致BGP處理程序重新啟動，從而造成服務阻斷。</p> <p>值得留意的是，利用漏洞存在必要條件，那就是攻擊者必須在目標設備相同的自治系統裡，控制其中一個參與BGP聯盟的網路設備（BGP Confederation Speaker），或是網路環境能讓AS_CONFED_SEQUENCE列入255個ASN。</p> <p>而對於這項弱點的影響範圍，思科表示24.3、24.2、24.1、7.11版IOS XR作業系統都受到影響，24.4版不受影響，執行IOS、IOS XE、NX-OS作業系統的網路設備也不受影響。他們發布24.3.1版IOS XR修補這項弱點，之後也會為24.2版用戶提供更新。若是IT人員無法即時套用更新，可限制AS_CONFED_SEQUENCE只能登錄254組ASN來緩解。</p> </div></div></div>
2025/3/18 15:24作者周峻佑https://www.ithome.com.tw/news/167916
駭客佯裝Booking.com從事ClickFix網釣，對旅館業者的人際網路散布惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>要求使用者依照特定指示操作的網釣攻擊手法ClickFix，近半年接二連三出現，如今出現專門針對特定行業的攻擊行動，引起研究人員關注並提出警告。</p> <p>微軟威脅情報團隊從去年12月的旅遊旺季，<a href="https://www.microsoft.com/en-us/security/blog/2025/03/13/phishing-campaign-impersonates-booking-com-delivers-a-suite-of-credential-stealing-malware/">察覺專門針對旅館業者的ClickFix網釣攻擊行動</a>，駭客組織Storm-1865假借訂房網站Booking.com的名義發送釣魚郵件，意圖散布能竊取多種帳密資料的惡意程式。值得留意的是，這波攻擊行動仍在持續進行當中。</p> <p>駭客攻擊的範圍相當廣泛，涵蓋北美、大洋洲、南亞及東南亞，歐洲北部、南部、東部、西部都有災情。遭到攻擊的目標存在共通點，那就是大部分都與Booking.com有合作關係。</p> <p>在這波攻擊當中，駭客先鎖定可能與Booking.com合作的旅館及相關人士，假借該訂房網站名義寄送惡意郵件，信件內容相當多元，包括旅客的負面評論、潛在客戶需求、網路促銷機會，以及帳號驗證等。然而，這些郵件存在共通之處，不是內文包含URL連結，就是挾帶的PDF附件存在URL，駭客引誘收信人點選，對Booking.com進行回覆。</p> <p>然而收信人一旦點選，就會被帶往冒牌的Booking.com網站進行CAPTCHA圖靈驗證，要求依照指示操作，先透遇快速鍵開啟執行視窗，然後貼上駭客的命令並執行，從而在受害電腦植入各式惡意軟體。</p> <p>這些惡意程式包含XWorm、Lumma stealer、VenomRAT、AsyncRAT、Danabot、NetSupport RAT，此外，研究人員也看到下載PowerShell、JavaScript程式碼的情況。</p> <p>而對於上述的惡意程式及程式碼，微軟指出都具備竊取財務資料及帳密資斗的能力，攻擊者再將其用於詐欺活動。不過，Storm-1865假冒Booking.com從事攻擊的情況已有前例，2023年這些駭客使用類似的社交工程手法，打著該訂房網站的名號，鎖定旅館房客散布惡意程式。</p> </div></div></div>
2025/3/18 16:19作者周峻佑https://www.ithome.com.tw/news/167917
Eclipse基金會推Theia AI開源框架，AI原生IDE與客製化工具建置更簡單
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Eclipse基金會宣布正式推出<a href="https://eclipsesource.com/blogs/2025/03/13/introducing-theia-ai/">Theia AI開源框架</a>，這是一套針對工具廠商與開發者設計的人工智慧整合解決方案，能快速將人工智慧功能，整合進專業IDE與特定工具。該框架是Eclipse旗下Theia工具平臺的延伸，主打開放原始碼架構，允許廠商完全控制使用者介面設計、語言模型選擇、人工智慧代理人開發及資料管理等重要環節，降低整合人工智慧技術的門檻。</p> <p>該框架設計允許工具開發團隊自行決定人工智慧整合的層級與深度，包括自訂人工智慧對話介面、嵌入式即時建議功能，以及複雜流程的人工智慧輔助互動等。此外，Theia AI透過支援各種主流語言模型供應商，例如OpenAI、Anthropic及本地端Ollama等，使工具開發商可根據不同的需求及成本結構，選擇雲端服務或自建模型服務，進一步滿足企業內部安全性與資料隱私要求。</p> <p>與其他商業解決方案相比，Theia AI更強調開源、透明與自主性。使用者可完整存取框架內所有功能模組的原始碼，包括語言模型串流通訊管理、提示詞動態調整、人工智慧對話記錄與除錯等元件。同時，該框架也支援最新的模型上下文協定（MCP），開發者可結合現有第三方工具或服務，實現更多工具整合與情境感知功能。</p> <p>Theia AI也提供一套專為工具環境設計的結構化變更建議系統（Structured Change Set），可讓人工智慧建議的修改明確呈現於獨立介面，開發人員可以檢視、調整後再決定是否採用，避免了傳統人工智慧工具單向輸出，或建議混亂難以管理的狀況。除此之外，框架還可讓廠商在客製化編輯器、圖形介面或特殊工具元件中，導入情境式人工智慧提示與智慧完成功能，確保人工智慧功能可自然融入使用者原本的工作流程。</p> <p>目前Theia AI框架經過多個領域的實際應用驗證，包括機器人開發工具、軟體程式碼編輯器及其他領域特定的客製化應用。Eclipse基金會也提供了基於Theia AI打造的公開示範平臺AI-powered Theia IDE，供有興趣的開發人員參考。</p> </div></div></div>
2025/3/18 15:21作者李建興https://www.ithome.com.tw/news/167915
外傳Alphabet再度開價欲以300億美元買下Wiz
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>華爾街日報（The Wall Street Journal）周一（3/17）<a href="https://www.wsj.com/business/deals/alphabet-back-in-deal-talks-for-cybersecurity-startup-wiz-41cd3090?st=fakXcb&reflink=desktopwebshare_permalink" target="_blank">引述消息來源報導</a>，Google母公司<a href="https://www.ithome.com.tw/news/164092" target="_blank">Alphabet在去年</a>打算以230億美元收購雲端資安新創Wiz未果之後，Alphabet再度對Wiz祭出收購提議，此次的價碼提高至300億美元，<a href="https://www.bloomberg.com/news/articles/2025-03-17/alphabet-in-talks-to-buy-cloud-security-firm-wiz-for-33-billion" target="_blank">彭博社（Bloomberg）則說是330億美元</a>。</p> <p>Wiz創立於2020年，主要提供雲端資安服務，像是雲端安全態勢管理（Cloud Security Posture Management，CSPM）、漏洞管理、容器與Kubernetes安全、基礎設施即程式碼掃描、雲端基礎設施權限管理（Cloud Infrastructure Entitlement Management，CIEM）、雲端適法性、資料安全態勢管理、雲端工作負載保護平臺（CWPP）、AI安全、供應鏈安全，以及雲端偵測與回應等。</p> <p>該公司所提供的服務可分析AWS、Google Cloud Platform（GCP）、微軟Azure、甲骨文雲端基礎設施，以及Kubernetes等平臺上所代管的基礎設施，以找出資安風險因素。Wiz雖然設立於美國，但大多數的工程師位於以色列。</p> <p>很明顯地，此一收購將可用來強化GCP與其雲端安全業務。</p> <p>根據報導，去年Wiz的確曾向員工宣布要展開IPO，最後卻不了了之，也開始與不同的對象展開交易談判，其中，與Alphabet的協商已臻最後階段，彭博社說，雙方最快會在本周宣布。</p> <p>該交易若成真，將成為Alphabet/Google史上最大的一筆交易，原本的紀錄是<a href="https://www.ithome.com.tw/news/69214" target="_blank">Google在2011年</a>以125億美元買下Motorola Mobility。</p> </div></div></div>
2025/3/18 13:25作者陳曉莉https://www.ithome.com.tw/news/167914
百度發表Ernie X1以與DeepSeek R1競爭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.prnewswire.com/news-releases/baidu-unveils-ernie-4-5-and-reasoning-model-ernie-x1--makes-ernie-bot-free-ahead-of-schedule-302402490.html" target="_blank">百度於本周日（3/16）發表</a>多模態基礎模型ERNIE 4.5與深度推論模型ERNIE X1，並宣稱ERNIE X1的性能與DeepSeek R1相當，而且價格僅有DeepSeek R1的一半。一般使用者則可透過全新的聊天機器人<a href="https://yiyan.baidu.com/" target="_blank">ERNIE Bot（文心一言）</a>使用這兩個模型。</p> <p>ERNIE 4.5多模態模型能夠同時理解文字、圖像、音訊及影片內容，號稱具備智慧與情境意識，因而能夠理解網路迷因與諷刺漫畫。百度比較了ERNIE 4.5與GPT-4.5在多模態能力上的許多基準測試，顯示它的平均表現優於GPT-4.5，也比較了ERNIE 4.5、GPT-4.5、DeepSeek V3 Chat與GPT-4o的各項文字能力，ERNIE 4.5依舊以79.6的平均分數取勝，居次的則是GPT-4.5的79.14。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0318-baidu-ERNIE%204_5.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／百度</span></span></p> <p>百度強調，ERNIE 4.5價格只需GPT-4.5的1%，每千個Token的輸入為0.004元人民幣，每千個Token的輸出則是0.016元人民幣。</p> <p>至於ERNIE X1則是百度用來向DeepSeek R1叫陣的全新深度推論模型。中國杭州深度求索人工智慧基礎技術研究公司DeepSeek在去年12月，發表了同名的大型語言模型DeepSeek V3，今年1月開源的DeepSeek R1不管是在數學、程式碼及自然語言推論等任務上的效能都與OpenAI o1相當，而讓使用者趨之若鶩，一度登上蘋果App Store的免費應用程式榜首。</p> <p>根據百度的說法，ERNIE X1在中文知識問答、文學創作、寫作、對話、邏輯推論及複雜計算上都有出色的表現，若應用至工具上，它可支援進階搜尋、文件問答、影像理解、生成影像、闡釋程式碼、閱讀網頁、TreeMind映對、百度學術搜尋及商業資訊搜尋等。</p> <p>百度強調ERNIE X1的性能與DeepSeek R1相當，但價格只有後者的一半，每千個Token輸入價格最低為0.002元人民幣，每千個輸出Token則是0.008元人民幣。</p> <p>今年2月，<a href="https://x.com/Baidu_Inc/status/1890292032318652719" target="_blank">百度便預告了</a>ERNIE 4.5系列模型的誕生，並說計畫於6月30日將它們開源。</p> </div></div></div>
2025/3/18 12:02作者陳曉莉https://www.ithome.com.tw/news/167912
Google釋出Chromecast、Chromecast Audio無法運作的修補程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google上周起釋出最新版韌體，解決第2代Chromecast和Chromecast Audio暫停運作的問題。但Google回應太慢引發用戶不滿。</p> <p>上周起有戶<a href="https://www.reddit.com/r/Chromecast/comments/1j7dx8p/all_of_my_chromecast_audios_stopped_working/?rdt=64585" target="_blank">在Reddit論壇上反映</a>家中Chromecast忽然無法運作，不論是筆電或手機都無法將媒體內容利用Chromecast傳到電視。另一些用戶則通報Chromecast Audio也無法運作，重設也無效。通報案例用戶眾多，促使Google調查並於當天說明，發生問題的是第2代Chromecast及Chromecast Audio裝置，並預告正在製作修補方案。</p> <p><a href="https://www.googlenestcommunity.com/t5/Streaming/Regarding-an-issue-with-Chromecast-2nd-gen-and-Chromecast-Audio/m-p/693751#M70976" target="_blank">Google Nest團隊上周說明</a>，已開始釋出第2代Chromecast及Chromecast Audio裝置的修補程式，並從周末起逐漸部署完成。</p> <p>雖然Google於事發當天就回應，仍然引起用戶不滿。這是因為當天Google在Reddit討論區呼籲用戶不要將裝置執行回復出廠設定（factory reset）。但是用戶抱怨已經太遲，因為他們已按照Google官方支援網頁執行無效的重設，還有用戶以為產品壞掉又買了新產品。</p> <p>根據Google說明，已經回復出廠設定的用戶必須將Google Home App升級到最新版（Android為3.30.1.6版，iOS為3.30.106版）來設定第2代Chromecast及Chromecast Audio裝置。但完成App的部署需時數日，用戶可能需稍等。未重設的用戶手中的Chromecast/Chromecast Audio應該已經恢復正常運作。</p> <p>Google沒有解釋引發Chromecast、Chromecast Audio停止運作的原因，但<a href="https://www.reddit.com/r/Chromecast/comments/1j7caui/comment/mgzdt1u/" target="_blank">一名用戶判斷</a>可能是出於Chromecast產品內的憑證過期，導致出現「未受信任的裝置」的錯誤訊息。</p> <p>Chromecast問題可能也出在它已是舊產品。Google已不再開發Chromecast，<a href="https://www.ithome.com.tw/news/164341" target="_blank">去年8月Google發表TV Streamer取代</a>。</p> </div></div></div>
2025/3/18 09:08作者林妍溱https://www.ithome.com.tw/news/167908
【資安日報】3月17日，Fortinet身分驗證繞過漏洞傳出被用於勒索軟體攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Fortinet今年1月公布重大層級的防火牆漏洞CVE-2024-55591，但在事隔一個月後在同一則公告提及，還有另一項身分驗證漏洞CVE-2025-24472也遭到利用，但究竟新漏洞如何遭到利用？最近有資安業者公布新的攻擊行動，並指出上述兩項漏洞都遭到利用。</p> <p>針對這項漏洞利用攻擊事故，資安業者Forescout透露是勒索軟體SuperBlack的攻擊行動，值得留意的是，他們發現駭客使用不同管道來攻擊防火牆設備，但實際上都是為了觸發相同的漏洞。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167900"><strong style="font-size: 22px;">Fortinet身分驗證繞過漏洞再傳遭濫用，勒索軟體SuperBlack藉此並串連新漏洞入侵受害組織</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Blog-Exploits-Fortinet-Vulnerabi-1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Blog-Exploits-Fortinet-Vulnerabi-1.png" style="width: 300px; float: right;" /></a>1月上旬資安業者Arctic Wolf提出警告，他們察覺專門針對Fortinet防火牆設備FortiGate的攻擊行動，攻擊者鎖定能公開存取的管理介面下手，駭客利用重大層級身分驗證繞過漏洞CVE-2024-55591（CVSS風險為9.6）而得逞，如今再傳有駭客組織將其串連其他漏洞的情況。</p> <p>資安業者Forescout揭露名為SuperBlack的勒索軟體，他們從1月下旬至3月初看到使用俄文的駭客組織Mora_001鎖定Fortinet防火牆而來，利用前述提及的作業系統漏洞CVE-2024-55591，以及2月份公布的CVE-2025-24472（CVSS風險為8.7）來取得初始入侵管道。</p> <p>駭客這波利用漏洞的手法致可分成兩種，一種是直接透過jsconsole介面觸發存在於WebSocket的弱點，另一種則是發送HTTP請求來進行。</p> <p><a href="https://www.ithome.com.tw/news/167886"><strong style="font-size: 22px;">國軍官兵手機遭竊被賣到中國惹議，國防部表示未有機密資料外洩</strong></a></p> <p>根據中央社、NOWnews、壹蘋新聞網等多家媒體報導，近期PTT網站上轉傳，有中國人士於社群網站微博宣稱，他在二手平臺購得臺灣國軍官兵的手機，這名官兵疑似在臺南後備137旅服役，手機受到國軍的行動裝置管理平臺（MDM）控管，內有自走炮開火，以及士兵大合照的照片，通訊錄內有部分國軍單位的聯絡資料，這樣的消息傳到臺灣，讓外界懷疑國軍內部管理不當，軍情機密可能外洩，對此，國防部也提出說明。</p> <p>3月12日國防部陸軍第八軍團指揮部發布新聞稿做出回應，證實這支手機是137旅前吳姓士兵在2023年遺失，該名士兵發現後主動到警局備案，並將手機進行註銷。對於網路流傳的資料，陸軍第八軍團經過初步確認，包含了營外訓練照片，以及群組對話內容，都沒有涉及機敏資訊。對此，他們已成立專案小組釐清。</p> <p>13日國防部長顧立雄到立法院接受質詢時也被問到此事，他指出根據外流的照片並非官兵自己用手機在營區拍攝，而是單位專責攝影人員拍攝的可公開照片，代表國軍的MDM系統確實能防止官兵在營區拍攝機密資訊。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/new-obscurebat-malware-targets-users-fake-captchas/">惡意軟體攻擊Obscure#BAT透過社交工程手法散布，使用假的圖靈驗證讓使用者上當</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/north-korean-hackers-distributed-android-spyware-via-google-play/">北韓駭客APT37透過Google Play市集散布惡意軟體KoSpy</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/playpraetor-malware-targets-android-users/">安卓木馬PlayPraetor藉由冒牌Google Play市集網站散布</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://cofense.com/blog/microsoft-copilot-spoofing-a-new-phishing-vector">駭客假借提供微軟人工智慧聊天機器人服務，從事網路釣魚攻擊</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167904"><strong style="font-size: 22px;">GitHub修補SAML程式庫ruby-saml重大漏洞，並公布問題細節</strong></a></p> <p>上週GitLab針對社群版（CE）及企業版（EE）發布安全更新，修補重大層級的資安漏洞CVE-2025-25291、CVE-2025-25292（4.0版CVSS風險評分為8.8），這些漏洞出現於名為ruby-saml的程式庫，發現此事的GitHub，也在同一天透露這兩項漏洞的細節。</p> <p>針對這些漏洞的處理過程，最初GitHub是在去年11月透過漏洞懸賞專案獲報相關漏洞，然後向ruby-saml維護者通報此事，並進行一連串的嘗試修補及反覆驗證，最終1.18.0修正版ruby-saml於3月12日發布。他們強調，這項漏洞也同時影響omniauth-saml等其他運用ruby-saml的程式庫，也必須調整引用新版本的ruby-saml來避免曝險。</p> <p>而對於漏洞形成的原因，GitHub指出起因是ruby-saml在簽章驗證當中，採用了兩種不同的XML解析器REXML、Nokogiri，一旦攻擊者能使用相同的XPath查詢，觸發上述解析器處理不同的簽章元件，就有機會讓ruby-saml驗證錯誤的簽章，藉由特定的解析器差異（Parser Differential）達到繞過身分驗證的目的。</p> <p><a href="https://www.ithome.com.tw/news/167905"><strong style="font-size: 22px;">產生JSON事件記錄的Python程式庫存在高風險漏洞，恐導致任意程式碼執行</strong></a></p> <p>已經下架、刪除的Python、NPM套件，一旦攻擊者重新註冊相同的套件名稱，就有機會從事供應鏈攻擊，對引用原本套件的其他套件用戶下手，因此，這種相依性套件因「退場」機制設計不良而可能造成的資安風險，引起研究人員高度關注。</p> <p>例如，資安研究員Kartik Singh近期通報的資安漏洞，就是這種類型的例子。他指出自去年12月30日至今年3月4日發布的3.2.0、3.2.1版事件記錄轉換套件Python JSON Logger當中，存在潛在的遠端程式碼執行（RCE）漏洞CVE-2025-27607，起因是特定的相依性套件msgspec-python313-pre下架造成，CVSS風險評為8.8，開發團隊也發布3.3.0版緩解這項弱點。由於Python JSON Logger每個月的下載次數超過4,600萬，影響的範圍可能會相當廣泛。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/167897"><strong style="font-size: 22px;">蘋果預告iOS將支援RCS 3.0全程加密，提升與安卓訊息互通安全性</strong></a></p> <p>蘋果透露即將於iOS支援RCS Universal Profile 3.0所新增的全程加密（E2EE）功能，強化與安卓裝置的訊息互通安全性。根據GSMA剛正式發布的端對端加密規格，RCS訊息將導入基於Messaging Layer Security（MLS）協定的加密標準，確保訊息在發送與接收的過程，不被第三方存取或竄改，並能支援多家服務供應商互通實作。</p> <p>RCS自2024年隨著iOS 18整合進蘋果生態系，提供跨平臺用戶較SMS/MMS更豐富的訊息功能，如群組聊天、高畫質圖片與影片傳輸、已讀與輸入中提示等。雖然RCS在安卓系統的實作如Google Messages早已支援加密，但iOS用戶還無法在RCS跨平臺通訊時，獲得相同層級的安全防護。</p> <p>蘋果發言人向科技新聞網站The Verge證實此事，將會在iOS、iPadOS、macOS、watchOS等作業系統推送相關功能。</p> <p><strong style="font-size: 22px;">其他資安防禦措施</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/03/alleged-israeli-lockbit-developer.html">勒索軟體LockBit以色列籍開發人員被引渡到美國，即將接受司法審判</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/167883"><strong>【3月14日】國家資通安全戰略2025即將發布，將以全社會防衛為基礎打造國家資安韌性</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167845"><strong>【3月13日】殭屍網路Ballista綁架6千臺尚未修補的TP-Link無線基地臺</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167834"><strong>【3月12日】微軟發布3月例行更新，其中有6項零時差漏洞已被用於實際攻擊</strong></a></p> </div></div></div>
2025/3/17 17:25作者周峻佑https://www.ithome.com.tw/news/167906