iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 21篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 06:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【資安日報】3月27日，資安業者揭露能對GitHub Copilot用戶發動的AI供應鏈攻擊手法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>鎖定開發人員的攻擊行動的日益頻繁，其中最常見的是利用NPM、PyPI套件，引誘開發人員下載，進而在受害者電腦部署惡意程式，然而最近有資安業者警告，他們發現一種針對AI工具GitHub Copilot的攻擊手法，能讓開發人員在不知情的情況下，產生有問題的程式碼。</p> <p>這個問題的核心，在於攻擊者有機會操弄GitHub Copilot的規則檔案（Rules File），從而左右AI產出的程式碼。研究人員指出，這種手法開發人員難以察覺，因此他們呼籲必須採取相關措施來因應這類感脅。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168098"><strong style="font-size: 22px;">供應鏈攻擊出現新手法Rules File Backdoor，恐波及GitHub Copilot用戶</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/67d7e618abc01bc60bdb957f_Indirect Injection Attacks via web access (9).png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/67d7e618abc01bc60bdb957f_Indirect%20Injection%20Attacks%20via%20web%20access%20(9).png" style="width: 300px; float: right;" /></a>AI工具加速程式開發的工作流程，然而駭客若是從其中部分環節下手，就有機會發動供應鏈攻擊，左右開發的結果。</p> <p>資安業者Pillar揭露名為Rules File Backdoor的新型態供應鏈攻擊手法，這種手法針對Cursor與GitHub Copilot兩款AI程式碼編輯器而來，攻擊者藉由看似無害的規則檔案（Rule File），注入隱藏的惡意指引，從而無聲無息地左右AI產生的程式碼。Pillar向Cursor與GitHub通報此事，Cursor表示經過調查，這種弱點並非源自他們；GitHub則認為使用者必須負責檢查GitHub Copilot提供的建議。</p> <p>藉由在模型面向指令類型（model facing instruction）的酬載埋入Unicode字元，以及運用複雜的迴避偵測手法，能讓攻擊者操弄AI、趁機插入惡意程式碼，藉此繞過典型的程式碼審查作業，研究人員強調，這種手法難以被開發人員與資安團隊察覺，使得惡意程式碼能暗中透過專案進行複製。</p> <p><a href="https://www.ithome.com.tw/news/168104"><strong style="font-size: 22px;">俄羅斯駭客RedCurl盯上Hyper-V虛擬化平臺，打造能加密此類VM的勒索軟體</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/undefined-Mar-25-2025-11-59-48-8671-PM.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/undefined-Mar-25-2025-11-59-48-8671-PM.png" style="width: 300px; float: right;" /></a>最近兩到三年勒索軟體駭客紛紛打造Linux版加密工具，主要鎖定的目標是VMware虛擬化平臺ESXi，但如今出現有駭客針對其他虛擬化平臺下手的情況。</p> <p>資安業者Bitdefender指出，別名為RedCurl、Earth Kapre、Red Wolf的俄羅斯駭客近期打造了名為QWCrypt的勒索軟體，主要是針對Hyper-V的虛擬機器（VM）而來，這樣的情況相當不尋常，因為這些駭客過往大多從事網路間諜活動，鮮少會使用勒索軟體，如此罕見的現象引起了研究人員的注意。</p> <p>根據遙測的結果，受害的企業組織主要在美國，但德國、西班牙、墨西哥也有災情。此外，Bitdefender也掌握其他研究人員在俄羅斯發現相關攻擊的事故，這樣的情形對於國家級駭客來說並不尋常。另一方面，在大部分勒索軟體攻擊當中，駭客往往會竊取受害組織的內部資料，對其施壓以增加成功收到贖金的機會，但RedCurl未曾將搶來的資料回售受害組織。</p> <p><a href="https://www.ithome.com.tw/news/168113"><strong style="font-size: 22px;">駭客組織EncryptHub利用微軟管理主控臺零時差漏洞犯案</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/EarthGamayunPart1-08.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/EarthGamayunPart1-08.png" style="width: 300px; float: right;" /></a>本月微軟在例行更新（Patch Tuesday）修補零時差漏洞CVE-2025-26633，這項漏洞存在於微軟管理主控臺（MMC），當時通報此事的趨勢科技透露，已有外號叫做EncryptHub、Larva-208、Water Gamayun的俄羅斯駭客組織將其用於實際攻擊行動，如今他們公布進一步的細節，並將駭客利用的漏洞命名為MSC EvilTwin。</p> <p>在這起攻擊行動裡，駭客操弄微軟管理主控臺組態檔案（MSC）與多語言使用者介面路徑（Multilingual User Interface Path，MUIPath），從而下載惡意酬載並執行，進而從受害電腦竊取敏感資料。值得留意的是，相關攻擊尚在持續進行。</p> <p>駭客同時運用2個相同檔名的MSC檔案，其中一個是無害的，另一個則是惡意版本，他們在存放無害MSC檔的資料夾裡建立名為en-US的資料夾，然後將惡意的MSC檔存放其中。一旦無害MSC版本執行，微軟管理主控臺就會存取惡意版本的MSC檔案。接著，駭客使用佯裝成DingTalk、QQTalk等中國軟體的MSI安裝檔，從C2下載木馬程式MSC EvilTwin的載入工具，從而在受害電腦執行惡意程式。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/03/researchers-uncover-200-unique-c2.html">駭客組織Raspberry Robin轉換跑道，兜售初始入侵管道</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/lockbit-4-0-a-deep-dive-into-the-evolving-ransomware/">勒索軟體LockBit 4.0傳出東山再起，強化迴避偵測的手段</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/browser-in-the-browser-attacks-target-cs2-players-steam-accounts/">瀏覽器內的假視窗攻擊鎖定絕對武力2玩家而來，企圖竊取Steam帳號</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168087"><strong style="font-size: 22px;">博通修補VMware Tools高風險身分驗證繞過漏洞</strong></a></p> <p>VMware虛擬化平臺近年來成為勒索軟體偏好下手的目標，因此這類平臺一旦出現資安弱點，都相當值得留意，因為很有可能接下來成為駭客利用的管道。其中，VMware Tools是用來強化虛擬機器作業系統效能，以及改善虛擬機器管理功能的工具，也有駭客挖掘漏洞進行利用，因此相關漏洞不能掉以輕心。</p> <p>3月25日博通發布資安公告，指出Windows版VMware Tools存在身分驗證繞過漏洞CVE-2025-22230，這項漏洞發生的原因，在於存取控制不當，一旦未具備管理員權限的攻擊者在Windows虛擬機器（VM）觸發漏洞，就有機會得到高權限，CVSS風險評為7.8。</p> <p><a href="https://www.ithome.com.tw/news/168100"><strong style="font-size: 22px;">提供會員系統的WordPress外掛存在重大漏洞，6萬網站受到波及</strong></a></p> <p>資安業者Wordfence指出，提供網站管理者建置會員系統的WordPress外掛程式User Registration & Membership，存在重大層級的未經身分驗證權限提升漏洞CVE-2025-2563，CVSS風險達到9.8分（滿分10分），影響4.1.1以下版本，全球有超過6萬網站採用。在他們向開發商WPEverest通報之後，他們推出4.1.2版予以修補。</p> <p>針對這項漏洞發生的原因，Wordfence指出是在特定的功能當中，出現角色類型限制不全的現象，導致未經授權的攻擊者只要藉由建立新的使用者帳號，就有機會得到管理員的角色。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2024-55963-appsmiths-default-postgresql-misconfiguration-leads-to-rce-poc-releases/">開發工具Appsmith存在漏洞，攻擊者恐利用配置錯誤的PostgreSQL執行任意程式碼</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/gitlab-alert-patch-now-xss-privilege-escalation-risks/">GitLab修補高風險XSS漏洞</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/168090"><strong>【3月26日】喬山健康科技遭遇資安事故，疑似CrazyHunter所為</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168077"><strong>【3月25日】中國駭客Weaver Ant埋伏東南亞某電信業者環境4年</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168052"><strong>【3月24日】駭客組織UAT-5918鎖定臺灣關鍵基礎設施而來</strong></a></p> </div></div></div>
2025/3/27 16:58作者周峻佑https://www.ithome.com.tw/news/168114
俄羅斯駭客RedCurl盯上Hyper-V虛擬化平臺，打造能加密此類VM的勒索軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近兩到三年勒索軟體駭客紛紛打造Linux版加密工具，主要鎖定的目標是VMware虛擬化平臺ESXi，但如今出現有駭客針對其他虛擬化平臺下手的情況。</p> <p>資安業者Bitdefender指出，別名為RedCurl、Earth Kapre、Red Wolf的俄羅斯駭客<a href="https://www.bitdefender.com/en-us/blog/businessinsights/redcurl-qwcrypt-ransomware-technical-deep-dive">近期打造了名為QWCrypt的勒索軟體</a>，主要是針對Hyper-V的虛擬機器（VM）而來，這樣的情況相當不尋常，因為這些駭客過往大多從事網路間諜活動，鮮少會使用勒索軟體，如此罕見的現象引起了研究人員的注意。</p> <p>根據遙測的結果，受害的企業組織主要在美國，但德國、西班牙、墨西哥也有災情。此外，Bitdefender也掌握其他研究人員在俄羅斯發現相關攻擊的事故，這樣的情形對於國家級駭客來說並不尋常。</p> <p>另一方面，在大部分勒索軟體攻擊當中，駭客往往會竊取受害組織的內部資料，對其施壓以增加成功收到贖金的機會，但RedCurl未曾將搶來的資料回售受害組織。</p> <p>究竟駭客發動勒索軟體的目的為何，目前仍不得而知，但研究人員推測，最有可能的情況是RedCurl受到僱傭，替其他網路犯罪組織從事勒索軟體攻擊，這也可能反映為何受害組織類型相當多元，且駭客犯案缺乏一致性作案模式的現象。</p> <p>對於勒索軟體攻擊活動的流程，RedCurl透過社交工程與網釣攻擊取得受害組織的初始存取管道，這樣的手法與該組織的其他活動雷同。駭客對目標人士散布IMG檔案，一旦使用者點選，就會以虛擬磁碟掛載。</p> <p>此IMG內含一個SCR檔案，實際上為Adobe公用程式執行檔ADNotificationManager.exe，假如使用者開啟，就會載入有問題的DLL檔案觸發攻擊鏈，進而執行偵察、橫向移動，最終部署勒索軟體，但與其他同類型攻擊不同，駭客只有針對Hyper-V下手，加密虛擬機器（VM），而非對於受害組織整個網路環境進行破壞。附帶一提，他們刻意排除作為網路閘道的VM，這種現象代表駭客相當熟悉網路實作。為了讓使用者不會起疑，駭客還將他們導向求職網站Indeed的登入網頁。</p> <p>此外，這些駭客執行勒索軟體之前，也會停用Microsoft Defender或其他的防毒軟體，並使用Curl將劫掠的檔案傳送至遠端的WebDAV資料夾。</p> </div></div></div>
2025/3/27 15:47作者周峻佑https://www.ithome.com.tw/news/168104
微軟取消在美國與歐洲的多個新資料中心專案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bloomberg.com/news/articles/2025-03-26/microsoft-abandons-more-data-center-projects-td-cowen-says" target="_blank">彭博社</a>（Bloomberg）及<a href="https://www.theregister.com/2025/03/26/microsoft_ai_apocalypse/" target="_blank">The Register</a>本周引用投資銀行TD Cowen所發布的研究報告，指出微軟已經取消了在美國及歐洲涉及2GW電力的多個資料中心專案，TD Cowen認為，這可能是因為被應用在AI的電腦叢集已供應過剩，但The Register則有不同的看法，猜測或許是這些資料中心已無法滿足隨著高階AI硬體而來的電力與冷卻需求。</p> <p>訓練大型語言模型需要強大的運算能力，以Meta的AI超級電腦為例，它使用超過3.5萬顆的Nvidia H100晶片，每顆晶片的功耗約為700W，總功耗就是25MW，大概是10萬臺高階電競桌機同時全速運轉，還需要專門的冷卻系統，這使得各大AI業者除了極力爭取Nvidia的GPU之外，也競相租賃配備Nvidia GPU的資料中心。</p> <p>不過，<a href="https://blogs.microsoft.com/blog/2025/01/21/microsoft-and-openai-evolve-partnership-to-drive-the-next-phase-of-ai/" target="_blank">微軟與OpenAI在今年1月變更了彼此的合作關係</a>，允許OpenAI在微軟放棄的前提下，使用第三方的雲端服務以研究及訓練模型；TD Cowen今年2月亦揭露，微軟已經取消了部分美國資料中心容量的租約，本周再指出微軟放棄了涉及2GW電力的多個資料中心合約；<a href="https://www.ithome.com.tw/news/167789" target="_blank">日前亦傳出</a>微軟取消了與美國雲端GPU服務供應商CoreWeave的部分合作案。</p> <p>種種跡象都讓TD Cowen認為是用於AI的伺服器叢集供應過剩，呼應了<a href="https://www.ithome.com.tw/news/168085" target="_blank">日前阿里巴巴董事長蔡崇信</a>對AI資料中心的建置快過市場需求的擔憂。</p> <p>不過，The Register對微軟的行為則有另一種解讀，認為是市場上現有的資料中心配置，已無法滿足最新或未來GPU或大型伺服器叢集的冷卻與電力需求，而且可從<a href="https://www.ithome.com.tw/news/166494" target="_blank">微軟發表全新資料中心的設計</a>一窺端倪。</p> <p>微軟則在提供給這兩家媒體的聲明中表示，該公司對於在2025財年（截至今年6月底）於基礎設施上投入800億美元的承諾並未改變，而且完全有能力滿足現有與不斷成長的客戶需求，儘管會在某些市場策略性地調整基礎設施，以將資源分配到未來的成長領域，但對所有市場的投入都將繼續呈現強勁成長。</p> </div></div></div>
2025/3/27 16:32作者陳曉莉https://www.ithome.com.tw/news/168109
駭客組織EncryptHub利用微軟管理主控臺零時差漏洞犯案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本月微軟在<a href="https://www.ithome.com.tw/news/167819">例行更新（Patch Tuesday）</a>修補零時差漏洞CVE-2025-26633，這項漏洞存在於微軟管理主控臺（MMC），當時通報此事的趨勢科技透露，已有外號叫做EncryptHub、Larva-208、Water Gamayun的俄羅斯駭客組織將其用於實際攻擊行動，<a href="https://www.trendmicro.com/en_us/research/25/c/cve-2025-26633-water-gamayun.html">如今他們公布進一步的細節</a>，並將駭客利用的漏洞命名為MSC EvilTwin。</p> <p>在這起攻擊行動裡，駭客操弄微軟管理主控臺組態檔案（MSC）與多語言使用者介面路徑（Multilingual User Interface Path，MUIPath），從而下載惡意酬載並執行，進而從受害電腦竊取敏感資料。值得留意的是，相關攻擊尚在持續進行。</p> <p>駭客同時運用2個相同檔名的MSC檔案，其中一個是無害的，另一個則是惡意版本，他們在存放無害MSC檔的資料夾裡建立名為en-US的資料夾，然後將惡意的MSC檔存放其中。一旦無害MSC版本執行，微軟管理主控臺就會存取惡意版本的MSC檔案。</p> <p>為何這麼做會得逞？原因是駭客濫用了MUIPath的功能，這原本是針對不用語言用戶設計的機制，使得程式開發者能藉此提供不同語言的對話框及使用者介面元素。</p> <p>接著，駭客使用佯裝成DingTalk、QQTalk等中國軟體的MSI安裝檔，從C2下載木馬程式MSC EvilTwin的載入工具，從而在受害電腦執行惡意程式。</p> <p>但除了利用MSC EvilTwin，研究人員看到駭客也有使用其他手法的情況，其中一種是濫用MSC檔網頁渲染機制執行Shell命令；另一種則是模擬受到信任的資料夾。</p> </div></div></div>
2025/3/27 16:53作者周峻佑https://www.ithome.com.tw/news/168113
提供會員系統的WordPress外掛存在重大漏洞，6萬網站受到波及
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Wordfence指出，提供網站管理者建置會員系統的WordPress外掛程式User Registration & Membership，存在<a href="https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/user-registration/user-registration-membership-411-unauthenticated-privilege-escalation">重大層級的未經身分驗證權限提升漏洞CVE-2025-2563</a>，CVSS風險達到9.8分（滿分10分），影響4.1.1以下版本，全球有超過6萬網站採用。在他們向開發商WPEverest通報之後，他們推出4.1.2版予以修補。</p> <p>什麼是User Registration & Membership？這是提供會員系統的外掛程式，能讓管理員無縫整合網站與會員系統生態圈，包含註冊表單、會員群組、登入介面、使用者個人資料、內容管制，以及一系列的工具。WPEverest號稱此外掛程式相當輕量，執行的反應靈敏。除此之外，他們也提供能支援附加元件的付費版本，網站管理員能進一步與電商網站外掛WooCommerce、付款流程、電子郵件行銷服務整合。</p> <p>針對這項漏洞發生的原因，Wordfence指出是在特定的功能當中，出現角色類型限制不全的現象，導致未經授權的攻擊者只要藉由建立新的使用者帳號，就有機會得到管理員的角色。</p> </div></div></div>
2025/3/27 13:18作者周峻佑https://www.ithome.com.tw/news/168100
Android將全面改採封閉開發，但依舊開源程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google本周向<a href="https://www.androidauthority.com/google-android-development-aosp-3538503/" target="_blank">Android Authority證實</a>，下周起所有的Android開發都將於Google內部進行，但完成後依舊會開源程式碼，目的是為了簡化Android的開發流程。</p> <p>Google在2008年發表了Android 1.0與Android開放原始碼專案（Android Open Source Project，AOSP），以開源的方式來打造及提供Android作業系統，大多採用寬鬆的Apache License 2.0授權，讓不同的開發者或裝置製造商都能貢獻程式碼，也能客製化自己的Android作業系統。</p> <p>根據Google對<a href="https://source.android.com/docs/setup/about/faqs" target="_blank">Android開放原始碼平臺的說明</a>，Android的每個平臺版本都有對應的分支，最新的分支便是當前的穩定分支版本，亦即製造商將其移植至裝置上的分支，而且隨時都可使用。</p> <p>此外，Android開源樹中還有一個公開的實驗性分支，以供外界開發推測性的貢獻，像是各種大型的新一代功能，或是與應用程式相容性無關的部分。當前的分支則可根據需求來採用實驗性分支的貢獻或是臭蟲的修補。</p> <p>另一方面，Android有某些部分是由Google內部負責開發，屬於私有分支，主要是核心平臺的各種API，這些API即是新一代Android平臺的主軸。</p> <p>根據Google的說法，一款新裝置的上市可能需要一年以上的時間，製造商期望它可搭載最新的平臺，但開發人員卻不希望在打造應用程式時，不斷追蹤平臺的新版本，把核心平臺的開發私有化，可讓製造商及開發人員都能聚焦在現有的穩定版，避免頻繁的變更。</p> <p>Android Authority則報導，未來Google將把Android開發全數移到內部私有分支進行，公共分支則會收到最終版本，目的是為了提高Android的開發效率，減少合併公共分支與私有分支程式碼的辛勞。不過，也有人認為，少了外部開發人員的貢獻，或許也會影響新版本的開發速度，或是出現更多的臭蟲。</p> <p>Google可望於本周正式發布此事並揭露更多細節。</p> </div></div></div>
2025/3/27 14:54作者陳曉莉https://www.ithome.com.tw/news/168102
專門開發Chromium企業瀏覽器的Island完成2.5億美元的E輪融資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門開發以Chromium開源專案為基礎之企業瀏覽器的<a href="https://www.island.io/press/island-secures-250-million-as-valuation-continues-to-soar-to-nearly-5-billion" target="_blank">Island於周三（3/26）宣布</a>，已完成2.5億美元的E輪融資，Island自2020年成立迄今已獲得7.3億美元的融資，且此次公司的估值已達到48億美元。此次的融資是由Island的既有股東Coatue Management領投。</p> <p>Island在創立兩年後才首次浮出檯面，於2022年發表首款Chromium企業瀏覽器<a href="https://www.island.io/press/island-introduces-first-enterprise-browser-to-radically-improve-enterprise-security-and-redefine-the-nature-of-work" target="_blank">Island Enterprise Browser</a>，其共同創辦人暨執行長Mike Fey曾分別擔任過兩家資安公司Symantec與McAfee的營運長及技術長，儘管總部設在美國達拉斯，但研發部門主要位於以色列。</p> <p>該公司專注於建置企業瀏覽器，強調針對企業所設計的瀏覽器，得以深入控制使用者與所有SaaS及內部網頁應用程式的互動方式，並讓安全團隊能夠完全掌控最後一哩的操作，從高階安全需求到基本的資料外洩保護，例如複製、貼上、下載、上傳或螢幕截圖等其它可能曝露關鍵資料的活動。</p> <p>此外，Island Enterprise Browser也能確保承包商及BYOD員工的安全存取，以及對特權使用者帳戶的全面治理，亦可減少對虛擬桌面基礎設施的依賴，並支援內建的安全瀏覽、網頁過濾、網頁隔離、漏洞預防、智慧路由，以及零信任存取等。</p> <p>目前Island約有500名員工，當中有超過200名從事產品開發及工程工作，迄今已吸引450家客戶，橫跨國防、金融、政府、教育、飯店、製造及零售等領域，宣稱每年的經常性收入都呈倍數成長。</p> <p>Fey說，企業瀏覽器是將網頁瀏覽器從專業的消費者軟體升級為企業解決方案，替知識型員工、IT部門與安全團隊帶來更多價值，包括提高生產力、簡化IT堆疊、降低複雜度並嵌入安全性等，新資金將用來擴大產品開發並招募更多的人才，以迎合日益成長的企業IT需求。</p> </div></div></div>
2025/3/27 15:07作者陳曉莉https://www.ithome.com.tw/news/168103
代理AI爆發的轉捩點
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一早，<a href="https://x.com/sama/status/1904957253456941061" target="_blank">看到OpenAI執行長Sam Altman在x上宣布</a>：「OpenAI開始支援Anthropic的代理AI溝通框架MCP，先從SDK開始，幾個月後，ChatGPT桌面版也會支援。」我想到的第一個念頭就是，代理型AI爆發的轉捩點出現了。</p> <p>MCP（Model Context Protocol）是最近幾個月AI圈最火紅的關鍵字，Anthropic打造出了許多開發人員愛用的Claude大語言模型。為了讓模型可以跟各種AI代理溝通，<a href="https://www.ithome.com.tw/news/166199" target="_blank">在去年11月，開源釋出了MCP框架</a>，這是一個用於LLM模型溝通上下文資訊的協定，顧名思義就是提供一套標準的資料介接和交換方式，可以讓模型和第三方應用溝通，完成各種AI代理任務。</p> <p>Anthropic創造了一個框架，讓不同軟體工具商，雲端服務商，將自家API的串接方式、可執行的功能描述，都打包到一隻MCP伺服器程式中，安裝到使用者電腦後，使用者就可以透過LLM來下指令操作這些MCP伺服器，完成各種AI代理工作，像是幫使用者到Gmail發信提醒某人。只要在電腦上裝好Claude桌面軟體，以及開源社群釋出的Gmail存取MCP伺服器，就可以做到上述這件事，安裝越多MCP伺服器，就像是裝了越多的LLM可用工具一樣，Claude模型能用AI代理來執行越多的任務。</p> <p>去年吹起一股代理型AI浪潮，大型科技巨頭紛紛推出代理型AI的工具，叫好卻不叫座，只看到大量代理型AI的PoC驗證，較少看到大規模導入的企業，困難之一就是，需要事先定義、客製出一道道代理型AI的工作流程，預先撰寫程式，串接出LLM執行任務所需要的每一個步驟，相當麻煩又費工。</p> <p>但是，MCP框架改變了每一個人，每一家企業需要自己事先製作代理型AI的模式，改由工具廠商製作一次自家App的串接方式，釋出讓LLM呼叫來使用。</p> <p>在MCP框架中有三個關鍵的元件：具備模型能力的Host應用、下指令用的MCP用戶端、不同軟體或工具的MCP伺服器端。用AI代理呼叫Slack來比喻，Slack公司得自己開發一隻MCP伺服器，可以跟自家API介接。使用者則要在個人電腦中安裝一套Host應用，也要先安裝Slack公司的MCP伺服器號，個人電腦就能用AI代理來呼叫Slack。使用者只需對具備MCP用戶端功能的Chatbot，下指令要LLM呼叫Slack來完成任務，像是幫我整理不同Slack群組今天的討論內容。MCP用戶端可以呼叫Slack的MCP伺服器來完成這個任務。Host應用則負責記錄和管理，所有安裝到這臺個人電腦上的各家MCP伺服器程式。</p> <p>許多人用Type-C協定的比喻，來形容MCP對GAI模型和AI代理的意義。MCP協定就像是萬能的Type-C協定，讓模型可以透過一套統一的做法，取得不同來源的資料，也能串接不同業者的App來下達指令。使用者不用寫任何程式，只需要動口或打出想完成的任務即可，剩下的工作都由GAI 模型透過MCP找到對應的資料，呼叫對應的App來執行。</p> <p>只要使用者電腦上裝了某一家App的MCP伺服器，就能讓LLM直接呼叫這家App來用，完全不需要撰寫任何一行程式碼，也可能隨時組合到不同的代理AI工作流程中。MCP框架是代理型AI運作模式的一大突破。</p> <p>所以，從MCP框架問世後，幾個月來，許多工具軟體商，網路服務業者，紛紛宣布支援，打造自家服務的MCP伺服器，要供使用者下載。開源社群也有不少人自製非官方的版本，如非官方的Gmail MCP伺服器等。</p> <p>不過，MCP框架也不盡然都是優點或機會，也帶了新的風險，已有AI資安專家開始探討MCP框架的資安風險，像是金鑰憑證竊取、MCP伺服器入侵，提示指令注入攻擊等。若像XZ Utils庫供應鏈攻擊事件那樣，惡意攻擊者偽裝熱心開發者，提供知名服務的非官方MCP伺服器程式，例如Gmail。這些未經驗證的MCP伺服器，就可能成為個人電腦的新後門。</p> <p>隨著OpenAI宣布對MCP框架的支援，意味著超過4億名ChatGPT用戶的個人電腦，未來都有機會具備MCP框架的能力，這也將吸引更多工具商，軟體商將MCP框架視為必備，代理AI可操控的工具量將會大量出現，進一步帶動代理型AI應用的爆發。MCP框架伴隨而來的資安風險，將是企業需要留意的新威脅，也會是臺灣資安產業的新機會。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/mcp">MCP</a></div><div class="field-item odd"><a href="/tags/openai">OpenAI</a></div><div class="field-item even"><a href="/tags/%E4%BB%A3%E7%90%86ai%E6%BA%9D%E9%80%9A%E6%A1%86%E6%9E%B6">代理AI溝通框架</a></div><div class="field-item odd"><a href="/tags/chatgpt">ChatGPT</a></div><div class="field-item even"><a href="/tags/anthropic">Anthropic</a></div><div class="field-item odd"><a href="/tags/%E6%A8%A1%E5%9E%8B%E8%84%88%E7%B5%A1%E5%8D%94%E5%AE%9A">模型脈絡協定</a></div><div class="field-item even"><a href="/tags/model-context-protocol">Model Context Protocol</a></div></div></div>
2025/3/27 13:35作者王宏仁https://www.ithome.com.tw/voice/168101
供應鏈攻擊出現新手法Rules File Backdoor，恐波及GitHub Copilot用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AI工具加速程式開發的工作流程，然而駭客若是從其中部分環節下手，就有機會發動供應鏈攻擊，左右開發的結果。</p> <p>資安業者Pillar揭露名為<a href="https://www.pillar.security/blog/new-vulnerability-in-github-copilot-and-cursor-how-hackers-can-weaponize-code-agents">Rules File Backdoor</a>的新型態供應鏈攻擊手法，這種手法針對Cursor與GitHub Copilot兩款AI程式碼編輯器而來，攻擊者藉由看似無害的規則檔案（Rule File），注入隱藏的惡意指引，從而無聲無息地左右AI產生的程式碼。Pillar向Cursor與GitHub通報此事，Cursor表示經過調查，這種弱點並非源自他們；GitHub則認為使用者必須負責檢查GitHub Copilot提供的建議。</p> <p>藉由在模型面向指令類型（model facing instruction）的酬載埋入Unicode字元，以及運用複雜的迴避偵測手法，能讓攻擊者操弄AI、趁機插入惡意程式碼，藉此繞過典型的程式碼審查作業，研究人員強調，這種手法難以被開發人員與資安團隊察覺，使得惡意程式碼能暗中透過專案進行複製。</p> <p>這種攻擊手法與鎖定特定資安漏洞的程式碼注入有所不同，Rules File Backdoor將AI的「規則檔案」變成攻擊媒介，而有可能使得受到危害的軟體影響終端使用者，造成重大的資安風險。</p> <p>什麼是「規則檔案」？這是AI代理程式的<a href="https://docs.cursor.com/context/rules-for-ai">組態檔案</a>，用途是引導產生或更動程式碼的行為。這種檔案定義AI撰寫程式碼的標準、專案架構，以及最佳實務。</p> <p>究竟研究人員如何找到這種漏洞？Pillar Security在調查開發團隊共享AI組態配置的過程裡，發現AI程式碼助理出現漏洞，使得在處理規則檔案提供的情境資訊會出現問題。</p> <p>在這種攻擊裡，攻擊者可將精心製作的提示嵌入看似正常的規則檔案，一旦開發人員嘗試產生程式碼，有問題的規則就會導致AI產生帶有資安漏洞或是後門的程式碼。</p> <p>此手法主要運用4種技巧，首先是操控情境，嵌入看起來合法但能竄改AI產生程式碼的行為。</p> <p>再者，利用零寬度及雙向標記的Unicode字元，或是其他的無法看見的字元，埋藏惡意指引。</p> <p>第3種技術是語意挾持，這是利用AI透過特定語言特徵理解自然語言的模式，將原本產生程式碼的結果重新導向成帶有弱點的成品。</p> <p>最後一種則是觸發跨代理程式的弱點，由於這種攻擊能對不同的AI程式碼助理下手，研究人員推測是系統性的漏洞。</p> <p>研究人員展示如何利用Rules File Backdoor對Cursor與GitHub Copilot，結果透過生成帶有惡意指令碼的HTML網頁檔。針對這些發現，他們呼籲開發人員應稽查現有的規則、導入驗證的程序、部署相關偵測工具，以及對AI產生的程式碼必須進行檢查。</p> </div></div></div>
2025/3/27 11:52作者周峻佑https://www.ithome.com.tw/news/168098
吳恩達呼籲全民擁抱用GenAI來寫程式，來大幅降低企業與個人的試錯和創新成本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「在許多職位上，我已無法雇用連基礎AI提示都不會寫的人。隨著科技進步，這個期待只會不斷提升，直到所有知識工作者都必須熟悉GenAI工具。」Google大腦之父吳恩達在2025年AI EXPO Taiwan開幕對談中指出，擁抱GenAI的重要性。尤其，是利用GenAI來輔助程式碼編寫。</p> <p>吳恩達一直以來大力提倡AI及軟體開發教育。本次對談中，他再次強調：「現在環境，學習寫程式，對所有人都是值得的投資。」在軟體開發界，一個常見概念是可以快速產出高價值貢獻的「10X工程師」。他指出，其他領域職位，也能結合軟體開發能力，成為10X招聘人員、10X醫師、10X分析師。「這種人才，可以輕易獲得高於同行的報酬。」</p> <p>使用GenAI來輔助寫程式，更能大幅降低個人和企業的試錯及創新成本。甚至，他觀察，有許多小型新創團隊用來打敗規模大於自身的對手。</p> <p>利用GenAI寫程式，一大用途是快速打造創新主意的試作品（Prototype）。吳恩達指出，試作品通常是一個獨立程式，在安全、可靠性、規模化設計，以及與企業既有系統整合的需求，都非常低。不過，現在仍有許多企業，連打造試作品，都需要經過隱私權審查、道德審查、人事審查、法務審查、行銷審查等重重關卡，「任何一個小專案，都需要5個VP簽核同意，這種做法會讓所有開發流程嘎然而止。」</p> <p>他建議企業，打造出沙盒環境，限制敏感資料和硬體資源存取，讓員工能自由開發原型。而不是，只花費數日打造原型，卻花費數月等待上級點頭。</p> <p>吳恩達以自家企業為例說明：「在AI Fund和其他公司，團隊可以打造很多專案，完全不用我過問。」前幾天，他與臺灣AI Fund同事談話後，隔天早上7點就收到同事自主開發的試作品。他表示，這雖然不是什麼驚為天人的作品，但用AI開發，使員工能用非常低的時間成本，來快速試錯、改進。他本人也時常用GenAI來寫程式，給自家團隊參考，並發展成正式功能。</p> <p>「如今，用GenAI輔助，開發試作品的成本可降低10倍左右。」吳恩達說，企業可以輕易打造20個試作品，毫不心疼的捨棄其中18個，只為了找到其中2個可行做法。「聰明的企業已經看到這點，大力擁抱用GenAI來輔助程式開發。」</p> <p>吳恩達也針對現在熱門的代理型AI（Agentic AI）與模型上下文協定（MCP，Model Context Protocol）技術，做出評論。</p> <p>他直言：「大約6個月前，許多大企業的行銷部門開始到處用Agentic AI這個詞彙，或許這使外界對這個技術產生不切實際的期待。」不過，早在去年，Agentic AI就廣為科技界，尤其是新創企業所用。「從醫療診斷、採購、法律文件處理，科技界都開發出完整好用的Agentic AI工作流程。」</p> <p>吳恩達則對用來讓模型更容易與外部服務和工具溝通的MCP，抱持樂觀但務實的看法。「MCP讓AI更容易存取各式工具，是個好技術。不過，全球是否會採用統一MCP標準，還有待觀察。」他還提到，比MCP更進階一步，讓AI代理人而非模型來交互溝通的ACP（Agent Context Protocol），也是一項值得期待，但仍處於發展非常初期的技術，前景有待進一步觀察。</p> <p></p> </div></div></div>
2025/3/27 13:17作者郭又華https://www.ithome.com.tw/news/168099
GraalVM for JDK 24導入機器學習行為預測，強化原生映像檔執行效能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>甲骨文（Oracle）隨JDK 24的發布，推出高效能執行環境<a href="https://medium.com/graalvm/welcome-graalvm-for-jdk-24-7c829fe98ea1">GraalVM for JDK 24</a>，本版本的最大亮點，是將機器學習應用於原生映像檔（Native Image）靜態分析流程，導入名為GraalNN的行為預測模型，協助原生映像檔在缺乏執行期分析（Profiling）資料的情況下，預測程式控制流程中分支的執行機率，進一步提升原生映像檔的高峰效能表現。</p> <p>根據Oracle團隊測試，在Micronaut、Spring、Quarkus等微服務框架下，平均可獲得約7.9％的效能提升，且無需多階段建構流程，只需加入特定參數，即可套用此最佳化技術。GraalNN模型背後的技術基礎來自圖神經網路（Graph Neural Network），官方將其應用於靜態控制流程圖上的分支機率推理，用以取代過往需要實際執行紀錄的PGO（Profile-Guided Optimization）資料。</p> <p>除了效能上的強化，本次版本也加入一項有助縮小原生映像檔容量的新技術SkipFlow，該技術讓GraalVM在建構映像檔時，能更精準地判斷哪些程式碼在實際執行時才會用到，並排除那些永遠不會被執行的類別與方法。根據Oracle提供的測試資料，這項最佳化平均可讓映像檔容量減少約6.35％，且不會延長建置時間。</p> <p>針對近年逐漸普及的Java Vector API，新的GraalVM版本也在原生映像檔中強化對向量運算的支援，將多項向量運算轉換為底層硬體支援的SIMD指令執行，使執行效能與傳統JIT模式相當。GraalVM團隊並展示了一個名為Llama3.java的範例，該專案將大型語言模型推理邏輯實作於單一Java檔案中，並結合Vector API與FFM API進行最佳化。測試中，採用GraalVM原生映像檔建構的Llama3模型，可在純CPU環境下達到每秒52.25 Token的生成速度，顯示AOT編譯搭配向量最佳化可實際應用於語言模型領域。</p> <p>在資安與法遵層面，GraalVM原生映像檔強化SBOM功能，提供CycloneDX格式支援，並透過靜態分析導出精準的組件相依樹，協助開發者辨識應用中引入的第三方元件來源與關聯性。搭配Maven Plugin，可建立更精準的基準SBOM，進一步減少偵測誤報。此外，也新增支援類別層級的SBOM中繼資料，列出原生映像中所包含的模組、類別、欄位、方法等結構，有助資安掃描工具進行更精細的風險評估。</p> <p>Oracle引用社群測試結果指出，在負載情境下，相較JIT模式，原生映像檔產生的原生應用有更低的耗電量與記憶體使用率，特別是在微服務與函數即服務（FaaS）等短生命周期應用中更為明顯。</p> </div></div></div>
2025/3/27 08:59作者李建興https://www.ithome.com.tw/news/168093
凱基金控揭集團AI發展藍圖，2025年要建集團AI平臺、發展商用金融AI服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>凱基金控今日在法說會中揭露集團AI發展藍圖，他們將聚焦商業應用、智能助手、金融智慧、平臺科技四大領域，來建構集團AI能力，驅動集團全面發展智能化。</p> <p>凱基金控的集團AI發展藍圖中，又可分為研發投入和應用方案兩大類。其中，金融智慧和平臺科技屬於研發投入類。金融智慧領域是要訓練、研發，和建立自主的凱基金融AI智慧，提供內部和外部商業應用開發，例如建立組織內部知識管理系統、訓練企業智慧，包含組織、行政、授信、風管和法規等知識，或是導入或整合外部資訊，訓練屬於凱基金控的財經腦、保險腦、投資腦，或理財腦。</p> <p>平臺科技領域則是要讓集團能自主掌握平臺科技，避免依賴外部高成本服務。例如，他們規畫要建立AI Lab，建構AI技術基礎設施和開發環境，提供統一的機器學習和大型語言模型平臺，來支援各項AI應用開發和部署。此外，他們也要建立MLOps平臺、LLM模型服務中心，和AI Portal。LLM模型服務中心將會整合各類語言模型資源，並進行相關應用開發。AI Portal則是AI服務入口網站，讓使用者可以方便存取各種AI工具和服務。</p> <p>應用方案類別包含商業應用和智能助手，前者是要讓商業場景藉由AI技術，提供智能數位服務，並創造業績提升和增加市場，後者則是要持續開發凱基智能助手和企業員工生產力工具，例如Teams小幫手和AI媒體生成工具，提高作業效率和成本效益。</p> <p>在發展AI商業應用中，凱基金控將會扮演引導子公司發展AI重點領域的關鍵角色，提供適合凱基集團式的解決方案，並協助子公司準備提案。</p> <h3>凱基金控2025年AI、數位發展推動方向</h3> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202025-03-26%20170706.png" style="width: 600px;" /></p> <p>在法說會中，凱基金控也揭露了2025年AI、數位發展的推動方向。延續去年的三大推動方向，今年凱基金控和子公司計畫持續擴大集團AI發展、開發AI金融商業服務應用，例如建立金融財經與財管投資分析的AI智能服務，以及開發集團One KGI資訊數位平臺，和整合集團行銷工具。</p> <p>另外，子公司也揭露了今年推動方向。凱基證券計畫發展主動式AI金融助理服務，在證券數位平臺App上提供客戶更精準的財經報告和相關資訊服務。並且，凱基證券也將和凱基銀行共同參與主管機關的RWA資產數位化研究方案，布局虛擬資產交易的業務發展。</p> <p>而凱基銀行則計畫在今年發展AI金融詐欺智能偵測，投入數位資產保管業務試辦案，並發展國際多元收付款服務，整合多元支付方式，提升全球交易效率。</p> <p></p> </div></div></div>
2025/3/26 17:39作者李昀璇https://www.ithome.com.tw/news/168091
HPE Aruba Networking攻5G市場，交換器內建時間精確標準
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/hpe_aruba_networking_cx_8325p_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>兩個月前，我們介紹HPE Aruba Networking正式推出<a href="https://www.ithome.com.tw/review/167167">1U半寬尺寸交換器CX 8325H</a>，這是在去年10月發表的，然而，當時該公司在CX 8325系列交換器產品線，悄悄增設一批專攻5G無線存取通訊網路（RAN），以及邊緣運算環境部署的機型，名為CX 8325P，直到今年3月初舉行的2025世界行動通訊大會，才正式向全球市場介紹這款網路設備。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-MWC-8325P-1.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/2025-MWC-8325P-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-MWC-8325P-2.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2025-MWC-8325P-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-MWC-8325P-3.jpg" style="width: 298px;" /></a></p> <p><a href="https://www.linkedin.com/posts/vincentadolfs_switching-dcswitching-telco-activity-7254436898385940481-H9cU/?utm_source=share&utm_mediu%E2%80%A6">去年發表時</a>，HPE Aruba Networking表明CX 8325P可用來組建高效能網路交換機制，因應需要<a href="https://arubanetworking.hpe.com/techdocs/AOS-CX/10.15/HTML/fundamentals_8100-83xx-93xx-10000/Content/Chp_PTP/ptp.htm">網路精確時間通訊協定（PTP）</a>，以及邊界時鐘（Boundary Clock）等產業標準功能的網路環境需求，適用於電信、廣播或工業園區，以及資料中心。對於服務供應商而言，能夠以此部署5G RAN與邊緣運算環境，當中可支援多種網路埠規格，包含1GbE、10GbE、25GbE、40GbE、100GbE，而且具有很高的產品互通性，能夠搭配<a href="https://www.hpe.com/us/en/solutions/communications-industry-transformation.html">HPE電信解決方案</a>。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-10-CX 8325P Quickspec.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-10-CX%208325P%20Quickspec.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-11-HPE Aruba Networks Networking Networking CX 5420 Quick Start Video-8325.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-11-HPE%20Aruba%20Networks%20Networking%20Networking%20CX%205420%20Quick%20Start%20Video-8325.jpg" style="width: 600px;" /></a></p> <p>CX 8325P本身提供的網路基礎架構內建多種標準，像是：PTP（IEEE 1588v2），電信邊界時鐘（Telco Boundary Clock，T-BC），標榜超低存取延遲特性的電信通訊組態（Telecom Profiles G.8275.1、G.8275.2），同步乙太網路（SynCE、G.8262.1），未來將透過軟體更新，支援更多標準，像是全球導航衛星系統（GNSS），以及Telco Master Clock、Telco Grand Master Clock等邊界時鐘規格。</p> <p><a href="https://s4.itho.me/sites/default/files/images/HPE Aruba Networking-PTP-2025-01-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20Aruba%20Networking-PTP-2025-01-1.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/HPE Aruba Networking-PTP-2025-01-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20Aruba%20Networking-PTP-2025-01-2.jpg" style="width: 600px;" /></a></p> <p>HPE Aruba Networking表示，可藉此支援運算與儲存設備之間的時間同步處理，針對存取延遲度敏感的行動網路流量，以及體育館這類大型場地的人員與無線通訊信號的移動，提供確保順暢的連線漫遊體驗。</p> <p>若用於高效能運算（關鍵業務應用的生成式AI、自動駕駛車輛、智慧製造、機器人）、5G專網、電信業者的雲端無線通訊存取網路（C-RAN），以及私有雲環境，CX 8325P能協助這些連網應用與通訊，達到奈米等級的時間精準度，進而改善通話品質、資料交易能力，以及AI工作負載。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20Aruba%20Networking-PTP-2025-01-3.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/HPE Aruba Networking-PTP-2025-01-4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20Aruba%20Networking-PTP-2025-01-4.jpg" style="width: 600px;" /></a></p> <p>而且，上述的網路環境設置，顯然有別於其他利用衛星進行網路精確時間通訊協定的解決方案，並且不需為此搭配獨立的第三方網路精確時間伺服器應用設備（服務），或是採用電信專屬設計的路由器，因此，CX 8325P的採用能簡化網路建置與維運作業。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/CX%208325P-image%20(6).jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/CX%208325P-image%20(5).jpg" style="width: 298px;" /> <img alt="" src="https://s4.itho.me/sites/default/files/images/image%20(9).jpg" style="width: 298px;" /></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong><span style="color:#0000FF;">HPE Aruba Networking CX 8325P</span></strong><br /> ●原廠：HPE Aruba Networking<br /> ●建議售價：廠商未提供<br /> ●機型：CX 8325P-32C front-to-back DC（S0G07A、S4A49A）、CX 8325P-32C back-to-front DC（S0G08A、S4A50A）、CX 8325P-32C front-to-back AC（S0G09A、S4A51A）、CX 8325P-32C back-to-front AC（S0G10A、S4A52A）<br /> ●外形：1U機箱，DC機型搭配2臺850瓦電源供應器，AC機型搭配2臺650瓦電源供應器，6臺風扇<br /> ●網路交換容量：6.4 Tbps<br /> ●提供網路介面：<br /> CX 8325P-32C front-to-back DC：8325P-32C提供32個100GbE埠（QSFP+或QSFP28），8325P提供32個40GbE/100GbE埠（QSFP28）<br /> CX 8325P-32C back-to-front DC：8325P-32C提供32個100GbE埠（QSFP+或QSFP28），8325P提供32個40GbE/100GbE埠（QSFP28）<br /> CX 8325P-32C front-to-back AC：8325P-32C提供32個100GbE埠（QSFP+或QSFP28），8325P提供32個40GbE/100GbE埠（QSFP28）<br /> CX 8325P-32C back-to-front AC：8325P-32C提供32個100GbE埠（QSFP+或QSFP28），8325P提供32個40GbE/100GbE埠（QSFP28）<br /> ●封包緩衝記憶體容量：32 MB<br /> ●處理器：2.2 GHz<br /> ●記憶體：32 GB<br /> ●儲存裝置：128 GB固態硬碟</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/3/26 17:17作者李宗翰https://www.ithome.com.tw/review/168054
【2025臺灣資安大會講師專訪】網路犯罪正在利用AI創造全新商業模式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣最大資安盛會CYBERSEC 2025將於2025年4月15日至17日在臺北南港展覽館二館舉行，匯聚全球專家，深入探討AI資安、威脅情資、主動防禦等關鍵議題，將帶來超過300場專業演說，並集合全球400多家資安品牌參與展出，預計吸引超過20,000名來自國內外的資安專業人士共襄盛舉。</p> <p>本次大會的主題演講嘉賓之一，趨勢科技網路犯罪研究前瞻威脅研究（FTR）總監Robert McArdle，將揭示AI如何加速網路犯罪產業化，並探討企業應如何強化防禦策略。</p> <h3>請先跟讀者介紹你的背景與經驗。</h3> <p>我是趨勢科技前瞻性威脅研究(FTR，Forward Looking Threat Research)和對手情報與監控(AIM，Adversary Intelligence and Monitoring)團隊總監，負責分析和監控最新的網路犯罪威脅，專精於研究未來威脅態勢、網路威脅情報(CTI)及與國際執法機構合作調查。我投入這個行業已20逾年，同時，我也在明斯特理工大學(MTU)和都柏林大學(UCD)講授惡意軟體分析和網路犯罪調查理學碩士課程。「讓資訊交換的世界更安全」是我職涯中最大的驅動力，而這正好與我所服務的企業願景一致。</p> <h3>身為趨勢科技的網路犯罪研究團隊主管，以及這個領域的專家，就你的實務觀察，目前的駭客組織與過去最大的不同是什麼？你如何看待近年來網路犯罪產業化的發展？</h3> <p>當你觀察過去20年的網路犯罪時，它看起來就像是一個不斷演變的狀態。事實上，除了戰術層面的攻擊變化之外，網路犯罪分子的發展和創新速度慢。犯罪份子通常都尋求輕鬆的過生活，而這就是他們犯罪的目的，也意味著，一旦他們找到了對他們有利可圖的商業模式，唯有當更有利可圖的新商業模式出現時，他們才會真正改變。然而，在網路犯罪的歷史上，一直存在著幾個主要的外部壓力因素（我們稱之為Nexus events），這些事件迫使犯罪份子做出大幅度的轉變，而且這些事件之間的時間間隔不斷縮短，如同新興技術的變化速度一樣。</p> <p>當今的網路犯罪生態系統非常受到服務來驅動，這使得它們不僅非常高效，還可以在需要時快速轉換新的商業模式。隨著其中一種商業模式變得非常成功（就像今日的勒索軟體一樣），我們就會看到這種商業活動真正產業化。網路安全社群的關鍵任務，是透過我們的解決方案與合作夥伴關係，來防止犯罪活動達到這樣的成熟度。</p> <h3>近年來，資安防禦與攻擊技術的競逐隨著AI技術的普及而加劇，你認為AI是否正在改變這場攻防戰的平衡？</h3> <p>迄今為止，網路犯罪分子在AI的使用，綜觀來說還沒有創造具革命性的新型態攻擊，除了Deep Fake的濫用是個例外。在大多數情況下，AI只是幫助犯罪分子做他們已經在做的事情，但幫助他們做的更好。雖然這一點轉變不容小覷，且事實證明AI已是一個主要的推動力和放大器，讓犯罪分子能夠比以往更精準的瞄準更多人，從而使資安威脅的規模變得更加難以應對。</p> <p>而在不久的將來，我們預期將會看到犯罪分子真正以新的方式利用AI，創造全新的犯罪商業模式——犯罪分子使用Agentic AI是最有可能的情況。這將使他們將現有的「服務」模式轉換為「代理」模式，並輕而易舉地創建高度優化的自動化流程來進行犯案。這樣的變革將使網路犯罪從「網路犯罪即服務(Cybercrime as a Service)」轉變為「網路犯罪即代理(Cybercrime as a SERVANT)」。</p> <h3>AI對於駭客攻擊、網路犯罪的影響有多深？又對於資安防禦帶來多大的助益？</h3> <p>這實際上有點難衡量。今日網路犯罪中大多數由AI驅動的攻擊都是傳統攻擊，只是規模比以往更大，因此從防禦的角度來看，它看起來與過往的攻擊方式相同，只是更為普遍、頻次變高。未來，我們將看到更多依賴AI的犯罪，而這需要更具體的應對措施來做風險回應。</p> <p>而在防守的層面來看，我們對AI非常熟悉。自2005年以來，趨勢科技一直在我們的產品中使用機器學習（這是預防垃圾郵件的關鍵技術），發展至今，從機器學習到深度學習，再到現代生成式AI技術，各種形式的人工智慧遍布我們的現代資安平台，作為我們最底層的核心技術。</p> <p>老實說，我認為資安產業最有能力充分利用現代人工智慧。從本質來看，資安產品的主要作用為何？它們部署各種感測器來產生大量格式良好的日誌資料，然後這些日誌被發送到雲端，透過它們尋找具風險的事件，然後我們使用先進的演算法來發出警報並對其採取行動。生成式AI工具非常非常擅長大規模分析日誌和資安事件，這樣的技術讓資安產業的弱點（需要篩選大量數據）瞬間變成了我們的優勢。</p> <h3>你在國際間的資安研究與犯罪調查經驗豐富，從你的角度來看，台灣的資安環境在全球資安社群中扮演什麼角色？有什麼機會可以進一步提升台灣的影響力？</h3> <p>台灣位處於全球供應鏈樞紐，特別在科技製造業這一塊扮演相當重要的地位，也因此常成為駭客攻擊的目標之一，但這也讓台灣在網路資安防護與資安威脅情報上，能有更多案例在國際社群中提供寶貴的經驗分享，像是針對APT攻擊、勒索軟體、供應鏈攻擊的第一手洞察。此外，台灣也培育出許多優秀的資安人才，不論是在些如Pwn2Own、DEFCON CTF的國際賽事中或是在我們公司內部團隊中，都能看到許多資安專家來自台灣。</p> <p>在打擊網路犯罪領域，非常需要各個不同國家、領域甚至團隊的投入與合作才能有所突破，因此資安情報的共享、國際間的合作參與，以及AI資安相關的研發與洞察，將是台灣甚至是世界各國在資安領域上能擴大影響力的地方。</p> <h3>能否先透露一下你將於今年CYBERSEC 2025臺灣資安大會的Keynote演講帶來什麼樣的內容？</h3> <p>我將帶領與會者了解當今網路犯罪中的一些重大威脅，但特別關注在勒索軟體和犯罪分子對人工智慧的新興應用。我們將探討他們當今如何運用這些技術，以及為何我們可以如此確信，在不久的將來，他們將如何進一步發展這些商業模式來進行網路犯罪。不過最後，我們會以一個正面的觀點來作為結尾：探討新興的AI技術領域如何幫助我們打擊網路犯罪，以及說明如何在對抗網路犯罪上發揮更大作用，甚至超越犯罪分子對其的利用。同時在這場演講中，我將會舉很多有趣的故事和例子來幫助觀眾容易理解並能沈浸於我分享的內容故事之中，敬請期待。</p> </div></div></div>
2025/3/26 17:50未署名https://www.ithome.com.tw/news/168092
【資安日報】3月26日，喬山健康科技遭遇資安事故，疑似CrazyHunter所為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國駭客組織對臺侵擾不斷，我們本週報導了專門針對臺灣關鍵基礎設施的駭客組織UAT-5918，先前攻擊馬偕、彰基，以及科定企業的駭客組織CrazyHunter，再傳對臺灣的上市公司下手。</p> <p>值得留意的是，近來臺灣企業組織接二連三傳出遭到CrazyHunter攻擊，由於這些駭客攻擊行動幾乎全面鎖定臺灣，這種情況並不常見，需要臺灣政府、資安業者、企業共同警戒及應對。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168075"><strong style="font-size: 22px;">喬山健康科技遭遇網路資安事件，疑又是CrazyHunter所為</strong></a></p> <p>臺灣再傳上市公司喬山健康科技（Johnson Health Tech）遭受網路攻擊的事故，疑似又是CrazyHunter勒索軟體的攻擊，該公司在3月25日下午證實發生網路資安事件。</p> <p>25日上午11時，由於近期我們持續追蹤CrazyHunter的消息，進而發現X社群平臺有新的貼文指出，臺灣的喬山健康科技被列為CrazyHunter受害者。為了確認事件狀況，我們於11時20分向該公司發信詢問，後續在下午3時電話聯繫成功，喬山健康科技副總經理暨發言人羅雅芳表示，的確有事故發生、IT單位已在處理，後續若有進一步消息將會發布重大訊息說明。這也證實了有資安事故狀況發生，但並未說明是否與CrazyHunter勒索軟體攻擊有關。</p> <p>到了下午4時12分，喬山於公開資訊觀測站發布重大訊息，公開揭露發生網路資安事件，當中揭露了更多的資訊，他們說明了集團總部與部分海外子公司內網有被企圖登入，以及資訊系統遭受駭客網路攻擊。</p> <p><a href="https://www.ithome.com.tw/news/168088"><strong style="font-size: 22px;">駭客組織Earth Lusca聽令中國資安業者安洵，從事網路間諜活動</strong></a></p> <p>3月初美國司法部針對中國資安業者安洵（i-Soon）員工進行制裁，原因是這些人是中國政府從事全球網路間諜活動的打手。如今資安業者ESET指出，被稱為Earth Lusca、TAG‑22、Aquatic Panda、FishMonger的駭客組織，於2022年從事的攻擊行動Operation FishMedley，背後主導的幕後黑手就是安洵。</p> <p>針對這波攻擊行動，ESET指出駭客針對亞洲、歐洲、美國的政府機關、非政府組織（NGO），以及智庫的垂直產業下手，透過中國駭客經常運用的惡意程式屢屢犯案，這些工具包括：ShadowPad、SodaMaster、Spyder。</p> <p>研究人員彙整這些駭客自2022年1月至10月從事的7起攻擊事故，分別針對臺灣政府組織、匈牙利天主教組織、土耳其、泰國政府組織、美國天主教慈善機構、美國非政府組織，以及法國地緣政治智庫，而這些對象全數都是中國政府感興趣的目標。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=174955&SPOKE_DATE=20250325&COMPANY_ID=2505"><strong style="font-size: 22px;">國揚建設遭遇勒索軟體攻擊</strong></a></p> <p></p> <p>3月25日傍晚國揚建設於股市公開觀測站發布重大訊息，表示他們的資安部門察覺遭到勒索軟體攻擊的情況，並啟動相關防禦措施及復原作業。</p> <p>而對於這起事故造成的影響，國揚表示根據他們的初步調查，公司資通系統及網站皆正常營運、提供服務，他們亦尚未發現個資或檔案文件外洩的情況，評估對公司營運無重大影響。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-android-malware-uses-microsofts-net-maui-to-evade-detection/">微軟跨平臺應用程式框架遭到濫用，安卓惡意程式用來迴避偵測</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/steam-pulls-game-demo-infecting-windows-with-info-stealing-malware/">駭客在Steam上架假的遊戲試玩版，意圖藉此散布竊資軟體</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/encrypthub-linked-to-zero-day-attacks-targeting-windows-systems/">駭客組織EncryptHub利用微軟管理主控臺零時差漏洞犯案</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168082"><strong style="font-size: 22px;">Google發布Chrome 134更新，修補可被用於沙箱逃逸的零時差漏洞</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/operation-forumtroll-02-1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/operation-forumtroll-02-1.png" style="width: 300px; float: right;" /></a>3月25日Google發布134.0.6998.177、134.0.6998.178版Chrome更新，修補高風險層級的資安漏洞CVE-2025-2783，這項漏洞出現在Windows版本的Mojo元件，在特定情況下會出現不正確處理的情形，值得留意的是，Google指出，他們掌握這項弱點已有實際攻擊行動出現的情況，而這是今年第2個Chrome零時差漏洞。</p> <p>對於這項漏洞的危險性，通報此事的資安業者卡巴斯基指出，攻擊者有機會用來繞過Chrome的沙箱保護機制，起因是沙箱與Windows作業系統的交會點（intersection）出現邏輯錯誤的現象。</p> <p>卡巴斯基也對這項漏洞的發現做出說明，他們在3月中旬偵測到一系列的釣魚郵件攻擊行動Operation ForumTroll，只要收信人點選駭客提供的連結，就有可能中招，過程中無須收信人額外互動。經過調查，卡巴斯基確認駭客利用了尚未公布的Chrome漏洞而得逞。</p> <p><a href="https://www.ithome.com.tw/news/168084"><strong style="font-size: 22px;">Windows存在NTLM雜湊洩露零時差漏洞，攻擊者可引誘使用者開啟檔案觸發</strong></a></p> <p>專門提供微修補的資安業者0patch指出，他們發現Shell Command File（SCF）檔案可能會洩露NTLM雜湊值的資安漏洞，攻擊者可引誘使用者透過Windows檔案總管，開啟檢視網路共用資料夾或USB外接儲存裝置的惡意檔案，進而觸發此項弱點，從而得到使用者的NTLM雜湊值。這項尚未登記CVE編號的漏洞影響所有工作站及伺服器版本的Windows作業系統，涵蓋Windows 7至Windows 11 24H2，以及Windows Server 2008 R2至Windows Server 2025。</p> <p>0patch向微軟通報此事，並表明他們在微軟正式發布修補之前，將會免費提供微修補程式。基本上，駭客利用這項漏洞的方式，與去年12月發現、微軟今年2月修補的URL檔案NTLM雜湊值洩露漏洞CVE-2025-21377類似，都是引誘使用者打開含有惡意檔案的共享資料夾、隨身碟，或是暗中利用惡意網頁進行偷渡式下載（Drive-by download），再要求使用者到下載資料夾檢視。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/netapp-snapcenter-users-at-risk-cvss-9-9-privilege-escalation-alert/">NetApp SnapCenter存在重大層級權限提升漏洞</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/crushftp-warns-users-to-patch-unauthenticated-access-flaw-immediately/">CrushFTP存在身分驗證繞過漏洞，攻擊者可未經授權存取FTP伺服器</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/168077"><strong>【3月25日】中國駭客Weaver Ant埋伏東南亞某電信業者環境4年</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168052"><strong>【3月24日】駭客組織UAT-5918鎖定臺灣關鍵基礎設施而來</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168035"><strong>【3月21日】VS Code擴充套件市集成為駭客散布勒索軟體的新管道</strong></a></p> </div></div></div>
2025/3/26 15:25作者周峻佑https://www.ithome.com.tw/news/168090
Windows存在NTLM雜湊洩露零時差漏洞，攻擊者可引誘使用者開啟檔案觸發
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門提供微修補的資安業者0patch指出，他們發現<a href="https://blog.0patch.com/2025/03/scf-file-ntlm-hash-disclosure.html">Shell Command File（SCF）檔案可能會洩露NTLM雜湊值的資安漏洞</a>，攻擊者可引誘使用者透過檔案總管檢視惡意檔案觸發，從而得到使用者的NTLM雜湊值。這項尚未登記CVE編號的漏洞影響所有工作站及伺服器版本的Windows作業系統，涵蓋Windows 7至Windows 11 24H2，以及Windows Server 2008 R2至Windows Server 2025。所謂的Shell Command File，是一種用於啟動Windows檔案總管執行特定指令的檔案格式。</p> <p>0patch向微軟通報此事，並表明他們在微軟正式發布修補之前，將會免費提供微修補程式。基本上，駭客利用這項漏洞的方式，與去年12月發現、微軟今年2月修補的<a href="https://www.ithome.com.tw/news/166427">URL檔案NTLM雜湊值洩露漏洞CVE-2025-21377</a>類似，都是引誘使用者打開含有惡意檔案的共享資料夾、隨身碟，或是暗中利用惡意網頁進行偷渡式下載（Drive-by download），再要求使用者到下載資料夾檢視。</p> <p>不過，0patch也提及這種型態的漏洞嚴重程度並未達到重大層級，而且攻擊者往往得搭配其他條件才能利用，例如：駭客已成功進入受害組織的網路環境，或是攻擊Exchange伺服器竊得帳密資料，才能將漏洞用於後續攻擊流程。</p> </div></div></div>
2025/3/26 12:39作者周峻佑https://www.ithome.com.tw/news/168084
博通修補VMware Tools高風險身分驗證繞過漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>VMware虛擬化平臺近年來成為勒索軟體偏好下手的目標，因此這類平臺一旦出現資安弱點，都相當值得留意，因為很有可能接下來成為駭客利用的管道。其中，VMware Tools是用來強化虛擬機器作業系統效能，以及改善虛擬機器管理功能的工具，<a href="https://www.ithome.com.tw/news/163572">也有駭客挖掘漏洞進行利用</a>，因此相關漏洞不能掉以輕心。</p> <p>3月25日博通<a href="https://techdocs.broadcom.com/us/en/vmware-cis/vsphere/tools/12-5-0/release-notes/vmware-tools-1251-release-notes.html">發布資安公告</a>，指出Windows版VMware Tools存在身分驗證繞過漏洞CVE-2025-22230，這項漏洞發生的原因，在於存取控制不當，一旦未具備管理員權限的攻擊者在Windows虛擬機器（VM）觸發漏洞，就有機會得到高權限，CVSS風險評為7.8。</p> <p>值得留意的是，除了套用新版VMware Tools，沒有其他的替代方法能夠暫時緩解漏洞。</p> </div></div></div>
2025/3/26 13:34作者周峻佑https://www.ithome.com.tw/news/168087
駭客組織Earth Lusca聽令中國資安業者安洵，從事網路間諜活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>3月初<a href="https://www.ithome.com.tw/news/167717">美國司法部針對中國資安業者安洵（i-Soon）員工進行制裁</a>，原因是這些人是中國政府從事全球網路間諜活動的打手。如今<a href="https://www.welivesecurity.com/en/eset-research/operation-fishmedley/">資安業者ESET指出</a>，被稱為Earth Lusca、TAG‑22、Aquatic Panda、FishMonger的駭客組織，於2022年從事的攻擊行動Operation FishMedley，背後主導的幕後黑手就是安洵。</p> <p>針對這波攻擊行動，ESET指出駭客針對亞洲、歐洲、美國的政府機關、非政府組織（NGO），以及智庫的垂直產業下手，透過中國駭客經常運用的惡意程式屢屢犯案，這些工具包括：ShadowPad、SodaMaster、Spyder。</p> <p>研究人員彙整這些駭客自2022年1月至10月從事的7起攻擊事故，分別針對臺灣政府組織、匈牙利天主教組織、土耳其、泰國政府組織、美國天主教慈善機構、美國非政府組織，以及法國地緣政治智庫，而這些對象全數都是中國政府感興趣的目標。</p> <p>究竟這些駭客如何取得初始入侵管道？ESET表示無法確認，但大多數情況當中，他們看到駭客取得內部網路的特殊權限，其中一種是網域管理員的帳密。此外，攻擊者也有透過管理主控臺散布惡意軟體的情況，或是利用網路滲透工具Impacket來進行橫向移動。</p> <p>針對駭客使用的惡意程式，ESET提及Earth Lusca使用的ShadowPad具有共通特徵，那就是經由ScatterBee打包處理，而這是該組人馬作案的重要特徵。Earth Lusca透過PowerShell、Firefox下載偽裝成Adobe Flash的惡意程式載入工具，並濫用舊版Bitdefender元件側載ShadowPad。</p> <p>這些駭客也在其中一起事故使用Spyder後門程式，駭客部署ShadowPad後，隨即下載專門載入Spyder的工具，並透過AES-CBC演算法解開下載的有效酬載。</p> <p>另一個駭客使用的惡意軟體SodaMaster，只能在記憶體內解密、運作，最早採納的駭客組織是APT10，但Earth Lusca後來也開始運用，也代表該惡意程式已在多組中國駭客組織之間進行流通。</p> <p>根據上述調查結果，加上駭客運用一系列的已知惡意程式作案，ESET認為，Earth Lusca是安洵旗下的其中一個團隊。</p> </div></div></div>
2025/3/26 14:21作者周峻佑https://www.ithome.com.tw/news/168088
3D繪圖架構業者Infinite Reality以2.07億美元買下Napster
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>3D繪圖架構業者<a href="https://www.theinfinitereality.com/news/infinite-reality-acquires-iconic-music-service-napster" target="_blank">Infinite Reality周二（3/25）宣布</a>，將以2.07億美元買下曾經名噪一時的Napster，並打算將Napster從單純的音樂串流平臺，轉型為社交及互動音樂平臺。</p> <p>創立於1996年的Infinite Reality過去主要開發3D繪圖硬體架構，以及基於該硬體架構的各種繪圖系統，但近幾年的定位為創新技術與娛樂公司，專注於打造基於AI且先進的3D沈浸體驗。</p> <p>至於創立於1999年的Napster則是P2P數位音樂分享的先鋒，因<a href="https://www.ithome.com.tw/news/11494" target="_blank">被法院判決</a>侵犯了多家唱片業者的版權，面臨龐大的賠償費用，而一度於2002年破產，而Napster幾經轉手，也整合了不同買家既有的音樂服務，卻持續保留Napster品牌。</p> <p>例如專門開發數位媒體產品的Roxio在2002年，以大約500萬美元買下了Napster的資產，再以Napster品牌經營Roxio，另外以4,000萬美元買下的音樂服務平臺Pressplay，讓Napster在2003年成為合法的線上音樂服務供應商；Best Buy於2008年以1.21億美元從Roxio手中收購Napster；線上音樂服務Rhapsody則是在2011年併購Napster，並於2016年直接更名為Napster；接著區塊鏈業者Algorand亦相中Napster，在2022年完成了收購。</p> <p>此次Infinite Reality即是以2.07億美元自Algorand手中買下Napster，Napster現任執行長Jon Vlassopulos將繼續留任。</p> <p>Vlassopulos說，網路已經由桌面進展到行動裝置，再拓展至社交，現在正進入沈浸式時代，儘管音樂串流幾乎不變，但想像一下人們走進一個虛擬的場地，與朋友共同欣賞一場獨家的表演；在藝術家發布單曲時，與他們在專屬的虛擬空間中互動，還能直接購買這些藝術家的數位與實體商品。</p> <p>Vlassopulos認為，藉由Infinite Reality在沈浸式3D技術上的專業，雙方將把Napster轉為新一代的平臺，讓粉絲不僅是聆聽音樂，還能以全新的方式體驗音樂，這將是個讓音樂更互動及更社交化的開始，</p> <p>目前Napster主要在歐洲、美洲及非洲的34個國家，提供逾1.1億首音樂的串流服務，並未跨進亞洲市場。</p> </div></div></div>
2025/3/26 14:41作者陳曉莉https://www.ithome.com.tw/news/168089
Nvidia的AI助理G-Assist開放桌機下載
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Nvidia周二（3/25）<a href="https://www.nvidia.com/en-us/geforce/news/nvidia-app-update-g-assist-new-dlss-override-and-more/" target="_blank">宣布AI助理G-Assist</a>，可允許遊戲玩家下載到桌機上，提供硬體系統瓶頸診斷及改善，或是打Game的建議。</p> <p>本周Nvidia推出新版Nvidia App，新增AI助理G-Assist及其他PC電玩影音控制功能。Nvidia App主要用於管理和優化PC和筆電Nvidia顯示卡的功能，適用於遊戲玩家和創作者。它能確保驅動程式更新、分析硬體設定以優化遊戲效能，或是錄製影片、擷取螢幕畫面並串流到YouTube上。</p> <p>最新的Nvidia App中，用戶可透過Discover功能下載Project G-Assist，以便在GeForce RTX GPU-based的AI PC上執行以管理電腦設定、優化遊戲設定，控制影片影格率，或控制其他周邊設定如照明。用戶可以語音或文字與之互動。</p> <p>Project G-Assist是Nvidia<a href="https://www.ithome.com.tw/news/163264" target="_blank">去年發表</a>是以Nvidia RTX技術發展的聊天機器人。G-Assist使用經過微調的小語言模型（Small Language Model，SLM）來解讀自然語言指令，呼叫Nvidia及第三方PC API以執行PC行為。G-Assist可回答系統和Nvidia軟體問題，提升遊戲玩家及內容創作者的使用體驗。</p> <p>目前G-Assist適用的外掛包括Spotify和Google Gemini，前者允許聲控控制音樂和音量，後者允許G-Assist呼叫雲端AI功能。</p> <p>此外，Nvidia App現在在DLSS Override - Super Resolution設定中，加入新的DLSS解析度自訂縮放功能，由33%到100%。Nvidia App也加入了原本在控制臺的顯示縮放及顯示調整功能，提升管理方便性。</p> </div></div></div>
2025/3/26 13:18作者林妍溱https://www.ithome.com.tw/news/168086
阿里巴巴董事長蔡崇信警告：AI資料中心的建置可能因超越AI需求而形成泡沬
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bloomberg.com/news/articles/2025-03-25/alibaba-s-tsai-warns-of-a-bubble-in-ai-datacenter-buildout" target="_blank">根據彭博社（Bloomberg）的報導</a>，阿里巴巴董事長蔡崇信在本周二（3/25）於香港舉行的匯豐全球投資高峰會上透露，他開始擔心AI資料中心的建置可能快過市場需求而形成泡沫。</p> <p>這是因為有些專案在還沒有確定具體用途或協議時就開始募資，當人們純粹依賴猜測來建置資料中心，市場上出現了許多新的投資人，動輒募集數百萬或數十億美元的大量資金。蔡崇信說，上述現象令他看到了某種泡沫化的端倪。</p> <p>其實不只是美國總統川普（Donald Trump）所推動的<a href="https://www.ithome.com.tw/news/167107" target="_blank">Stargate計畫</a>打算籌資5,000億美元來打造AI基礎架構，阿里巴巴自己也<a href="https://www.alibabagroup.com/en-US/document-1830678592242057216" target="_blank">在今年2月時宣布</a>，將在未來3年斥資3,800億元人民幣（530億美元）來推動其雲端運算與AI基礎設施，而且此一投資將超過該公司於過去10年在AI與雲端運算領域的總支出。</p> <p>蔡崇信坦言，迄今他仍對於美國在AI上的投資金額感到震驚，有好幾個上千億美元的投資，還有5,000億美元的投資，他並不認為這是有必要的，在某種程度上，人們的投資已經超過了現在所看到的需求，只是他們預測會有更大的需求。</p> <p>事實上，除了Stargate計畫與阿里巴巴之外，<a href="https://www.investopedia.com/amazon-follows-google-meta-and-microsoft-with-plans-to-boost-spending-on-ai-8787507" target="_blank">Amazon執行長Andy Jassy</a>也在今年2月舉行的財報會議上表示，今年將投入超過1,000億美元的資本，其中絕大多數都會用來支援AWS的AI服務；<a href="https://abc.xyz/assets/a3/91/6d1950c148fa84c7d699abe05284/2024q4-alphabet-earnings-release.pdf" target="_blank">Google母公司Alphabet</a>也沒有在這場AI軍備競賽上缺席，打算在今年投資750億美元；<a href="https://investor.atmeta.com/investor-news/press-release-details/2025/Meta-Reports-Fourth-Quarter-and-Full-Year-2024-Results/default.aspx" target="_blank">Meta亦說</a>為了核心業務與生成式AI，2025年資本支出的範圍擴大至600億至650億美元之間，儘管Meta說主要的支出還是會應用於核心業務上，但該公司去年的資本支出總額還不到400億美元。</p> <p>此外，不管是阿里巴巴執行長吳忌寒或是Amazon執行長Andy Jassy，都將AI描述成一個千載難逢的商業機會。</p> </div></div></div>
2025/3/26 12:40作者陳曉莉https://www.ithome.com.tw/news/168085
Google發布Chrome 134更新，修補可被用於沙箱逃逸的零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>3月25日Google發布134.0.6998.177、134.0.6998.178版Chrome更新，<a href="https://chromereleases.googleblog.com/2025/03/stable-channel-update-for-desktop_25.html">修補高風險層級的資安漏洞CVE-2025-2783</a>，這項漏洞出現在Windows版本的Mojo元件，在特定情況下會出現不正確處理的情形，值得留意的是，Google指出，他們掌握這項弱點已有實際攻擊行動出現的情況，而這是今年第2個Chrome零時差漏洞。</p> <p>對於這項漏洞的危險性，<a href="https://www.kaspersky.com/about/press-releases/kaspersky-discovers-sophisticated-chrome-zero-day-exploit-used-in-active-attacks">通報此事的資安業者卡巴斯基指出</a>，攻擊者有機會用來繞過Chrome的沙箱保護機制，<a href="https://securelist.com/operation-forumtroll/115989/">起因是</a>沙箱與Windows作業系統的交會點（intersection）出現邏輯錯誤的現象。</p> <p>卡巴斯基也對這項漏洞的發現做出說明，他們在3月中旬偵測到一系列的釣魚郵件攻擊行動Operation ForumTroll，只要收信人點選駭客提供的連結，就有可能中招，過程中無須收信人額外互動。經過調查，卡巴斯基確認駭客利用了尚未公布的Chrome漏洞而得逞。</p> <p>針對網釣攻擊的流程，駭客先針對收信人寄送專門量身打造的釣魚郵件，聲稱要邀請他們參與世界經濟和國際關係論壇「普里馬科夫讀書會（Primakov Readings）」。這波攻擊的主要目標是俄羅斯，鎖定媒體、教育機構、政府組織而來。為了迴避偵測，駭客使用的惡意連結存活期間都相當短暫。</p> <p>附帶一提的是，研究人員發現駭客將CVE-2025-2783與另一個遠端執行任意程式碼（RCE）漏洞同時運用，但他們無法取得這項弱點的相關資訊。根據駭客使用的未知漏洞及惡意程式，卡巴斯基認為，攻擊者很有可能是APT駭客。</p> </div></div></div>
2025/3/26 11:22作者周峻佑https://www.ithome.com.tw/news/168082
ChatGPT圖片生成功能升級到GPT 4o模型，免費版也用得到
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/index/introducing-4o-image-generation/" target="_blank">OpenAI本周宣布將GPT 4o模型</a>，部署到ChatGPT的圖片生成功能，以生成品質更棒的圖片，幾乎所有用戶都用得到。</p> <p>GPT 4o是以大量多樣化圖片和文字訓練而成，可生成高度擬真的圖像，而它本身具備龐大的圖、文知識，及分析上傳圖片的能力，使其得以生成實用而美觀的圖片。</p> <p>OpenAI強調，經過「積極後訓練」的GPT 4o具備驚人視覺能力，可生成能感知情境（context-aware）且具一致性的圖片；其文字渲染能力可混合精確符號和圖像，將用戶輸入的文字轉化成圖片；4o的多回合生成功能允許用戶以自然語言，改進生成的圖片；它還可以遵循詳細指令以完成精確細節，別的模型只能處理5到8個物件，4o可以處理10到20個物件，物件可緊密整合其特徵及關係，方便用戶控制。</p> <p>現在不僅Pro、Plus、Team方案用戶，連免費版ChatGPT都能獲得GPT 4o作為圖片生成器的預設模型。Sora服務現在也可以用得到GPT 4o。Enterprise和Edu方案用戶很快就會獲得部署。至於偏好DALL-E服務的用戶，他們也能從專屬的DALL-E GPT介面使用GPT 4o。</p> </div></div></div>
2025/3/26 11:44作者林妍溱https://www.ithome.com.tw/news/168083
Google發表具推理能力的Gemini 2.5，效能擊敗o3-mini、DeepSeek R1
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼<a href="https://www.ithome.com.tw/news/166597" target="_blank">去年</a>公布首個具推理能力的Gemini 2.0 Flash Thinking模型後，<a href="https://blog.google/technology/google-deepmind/gemini-model-thinking-updates-march-2025/#gemini-2-5-thinking" target="_blank">Google昨（25）日發表Gemini 2.5模型</a>，作為Gemini新一代模型家族的最新成員，Google宣稱在多項測試中擊敗OpenAI o3-mini、DeepSeek R1等模型。</p> <p>Gemini 2.0 Flash Thinking和Gemini 2.5是結合強化式學習及思維鏈等技術，但在更好的基礎模型上輔以更有效的後訓練，使效能更為提升。一如OpenAI未來不再區分獨立的推理模型，Google未來也將把這些思維能力整合到所有模型，使其得以處理更複雜問題，支援具情境感知能力的AI代理人。</p> <p>Gemini 2.5具備100萬字詞（token）的context window，很快會再升級到200萬字詞。這新模型能理解龐大的資料集，處理不同資料源，包括文字、影、音甚至整個程式庫的資料，以解決複雜的問題。</p> <p>Gemini 2.5將提供多個版本。首先推出的是Gemini 2.5 Pro Experimental，號稱為Google處理複雜任務的最進階模型。根據LMArena的標竿測試結果，Gemini 2.5 Pro Experimental在科學、數學、程式編輯、視覺推理及長脈絡（long context）等測試中，都超越競爭模型如OpenAI o3-mini、GPT-4.5、Claude 3.7 Sonnet或DeepSeek R1，像是科學測試GPQA Diamond得分為84%，數學測試AIME則為86.7%。在推理與知識測試中，2.5 Pro拿下18.8%的最佳成績，而在代理人程式撰寫的SWE-Bench Verified測試中，Pro 2.5得分63.8%，僅次於Claude 3.7 Sonnet。</p> <p><a href="https://www.youtube.com/watch?v=RLCBSpgos6s" target="_blank">Google也示範了Gemini 2.5 Pro</a>可以在輸入一行提示後，撰寫出電玩遊戲的執行檔程式。</p> <p>Gemini 2.5 Pro Experimental現在<a href="http://aistudio.google.com/app/prompts/new_chat?model=gemini-2.5-pro-exp-03-25" target="_blank">透過Google AI Studio</a>提供給開發商及企業，以及付費的Gemini Advanced方案，後者用戶可以在桌機或手機上，在模型下拉選單中選取使用。幾個星期內Gemini 2.5 Pro Experimental也會在Vertex AI平臺上線。</p> </div></div></div>
2025/3/26 10:08作者林妍溱https://www.ithome.com.tw/news/168081
喬山健康科技遭遇網路資安事件，疑又是CrazyHunter所為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣再傳上市公司喬山健康科技（Johnson Health Tech）遭受網路攻擊的事故，疑似又是CrazyHunter勒索軟體的攻擊，該公司在今日（25日）下午證實發生網路資安事件。</p> <p>值得注意的是，在2月馬偕醫院遭遇CrazyHunter勒索軟體攻擊後，臺灣上市公司近來接二連三傳出遭CrazyHunter攻擊，顯示我們的資安協同防禦仍有很大的改善空間，畢竟這方面的新聞近期是持續揭露，除非攻擊者使用新的攻擊手段，若是攻擊者是同一攻擊手法再度得逞，此狀況令人憂心。</p> <p>以運動健康器材聞名的喬山健康科技，是全球健身設備研發與製造商，涵蓋跑步機、按摩椅等產品，同時也以Johnson Fitness零售品牌拓展國際市場。今日上午11時，由於近期我們持續追蹤CrazyHunter的消息，進而發現X社群平臺有新的貼文指出，臺灣的喬山健康科技被列為CrazyHunter受害者。</p> <p>為了確認事件狀況，我們於11時20分向該公司發信詢問，後續在下午3時電話聯繫成功，喬山健康科技副總經理暨發言人羅雅芳表示，的確有事故發生、IT單位已在處理，後續若有進一步消息將會發布重大訊息說明。這也證實了有資安事故狀況發生，但並未說明是否與CrazyHunter勒索軟體攻擊有關。</p> <p>到了下午4時12分，上市公司喬山於<a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=161209&SPOKE_DATE=20250325&COMPANY_ID=1736">公開資訊觀測站發布重大訊息</a>，公開揭露發生網路資安事件，當中揭露了更多的資訊，他們說明了集團總部與部分海外子公司內網有被企圖登入，以及資訊系統遭受駭客網路攻擊。</p> <p>關於這次事故的應變與影響，該公司表示，遭受網路攻擊時已立即啟動相關防禦機制，避免影響安全，目前評估沒有個資、亦沒有機密或重要的文件資料外洩等狀況，對公司營運無重大影響。</p> <p>值得關注的是，CrazyHunter攻擊行動幾乎全面鎖定臺灣的組織與企業，這種情形極為罕見，顯示出特定威脅意圖，需要臺灣政府、資安業者與企業共同警戒並應對。</p> <p>而根據先前CrazyHunter聲稱的受害者名單，受影響單位包括亞洲大學、亞洲大學附屬醫院、馬偕紀念醫院與彰化基督教醫院；企業方面則包含Huacheng Electric（疑似指華城電機，該公司曾於2月9日發布資安重訊，說明遭遇加密攻擊）。</p> <p>近期3月中下旬，國內再有兩家上市公司遭受攻擊，分別為科定企業與喬山健康科技，顯示此攻擊行動仍在持續擴大。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-03-25_163958.jpg" style="width: 600px;" /></p> <p><strong>上市公司喬山在3月25日下午4時12分發布重大訊息，說明發生網路資安事件，並說明發現集團總部與部分海外子公司內網有被企圖登入的情況，且資訊系統遭受駭客網路攻擊。</strong></p> <p><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%96%AC%E5%B1%B1%E9%81%ADCrazyHunter%E5%88%97%E7%82%BA%E5%8F%97%E5%AE%B3%E8%80%8520250325.jpg" style="width: 600px;" /></strong></p> <p><strong>在2月馬偕紀念醫院遭遇勒索軟體CrazyHunter後，我們持續整理事件相關歷程，今日（3月25日）早上我們追蹤該組織動向時發現，又有情資顯示臺灣上市公司喬山（Johnson Health Tech）被列為受害者的情形，於是進一步向該公司確認。</strong></p> <p> </p> </div></div></div>
2025/3/25 17:15作者羅正漢https://www.ithome.com.tw/news/168075
【資安日報】3月25日，中國駭客Weaver Ant埋伏東南亞某電信業者環境4年
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期中國駭客的攻擊行動頻傳，我們昨天報導<a href="https://www.ithome.com.tw/news/168051">專門針對臺灣關鍵基礎設施（CI）而來的UAT-5918</a>，本週又有資安廠商揭露類似狀況，他們發布調查報告說明駭客組織Weaver Ant長期埋伏東南亞某家大型電信業者環境的事故。</p> <p>罕見的是這些駭客運用了名為Web Shell Tunneling的手法，將原本當作後門的Web Shell充當C2中繼站及橫向移動工具，使得他們能夠跨網段存取內部伺服器。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168067"><strong style="font-size: 22px;">中國菜刀再度出手！駭客組織Weaver Ant埋伏東南亞某電信業者環境4年</strong></a></p> <p>中國駭客鎖定電信業者的情況，許多人可能會想到去年9月傳出Volt Typhoon攻擊多家美國電信業者的資安事故，但也有專門針對亞洲電信業者而來的駭客組織。</p> <p>例如，資安業者Sygina最近揭露的中國駭客組織Weaver Ant，就是這種型態的例子。這些駭客針對東南亞一家大型電信業者下手，祕密、持續從事網路間諜活動長達4年，過程中利用Web Shell及隧道工具，以便維持於受害組織活動，並用來進行橫向移動。</p> <p>針對這起資安事故，Sygina提及Weaver Ant在受害組織的內部伺服器當中，部署變種的中國菜刀（China Chopper）Web Shell。特別的是，研究人員提及在Weaver Ant入侵之前已有一批人馬侵門踏戶，而這個Web Shell的用途，很有可能是Weaver Ant對前一批人馬活動中斷做出的「補救措施」。</p> <p><a href="https://s4.itho.me/sites/default/files/images/diagram-1-v4-2048x569.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/diagram-1-v4-2048x569.jpg" style="width: 300px;" /></a></p> <p><a href="https://www.ithome.com.tw/news/168074"><strong style="font-size: 22px;">駭客聲稱握有600萬筆Oracle雲端服務資料，該公司表示客戶資料並未外流</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Oracle Cloud data leak.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Oracle%20Cloud%20data%20leak.jpg" style="width: 300px; float: right;" /></a>根據Bleeping Computer、HackRead、SecurityWeek等資安新聞網站的報導，3月20日名為rose87168的人士於駭客論壇聲稱，他手上握有超過14萬個Oracle Cloud租戶的資料，資料量多達600萬筆，其中包含單一簽入（SSO）及LDAP的帳密資料，想要尋找買主。對此，Oracle否認遭到入侵，並強調駭客公布的帳密資料無法用於Oracle Cloud，沒有Oracle Cloud客戶面臨資料外流或是遺失的情況。</p> <p>針對這起事故，顯然有媒體對Oracle的說法不買單，他們根據資安業者的說法，認為這些流出的可能是真實資料，駭客的入侵管道與身分驗證的環節有關。HackRead、SecurityWeek引述資安業者CloudSEK的調查結果，駭客很有可能是利用CVE-2021-35587而得逞。</p> <p>事隔3天，CloudSEK公布新的調查結果，指出根據駭客提供買家驗證的部分資料（1萬筆），這批資料確實來自Oracle Cloud網域login.us2.oraclecloud.com，該伺服器為實際上線的SSO身分驗證平臺，且外流檔案內容為客戶的真實資料。</p> <p><a href="https://www.ithome.com.tw/news/168056"><strong style="font-size: 22px;">基因技術業者23andMe聲請破產保護，用戶DNA等敏感個資恐遭轉售</strong></a></p> <p>2023年10月因遭駭客入侵，而聲名大噪的美國基因技術業者23andMe，3月23日聲請破產保護，打算出售該公司資產，並解決被駭事件所引發的法律責任。加州政府及華盛頓郵報紛紛呼籲使用者，儘速刪除與23andMe分享的基因樣本及個人資料。</p> <p>儘管23andMe強調公司在整個重組與出售過程中，將正常經營業務，儲存、管理或保護客戶的資料並未改變，但加州檢察長Rob Bonta發布警告，指出累積了大量敏感消費者資料的23andMe已陷入財務困境，提醒該州用戶要求23andMe刪除並銷毀所儲存的任何遺傳樣本。</p> <p>華盛頓郵報也說，根據23andMe的隱私聲明，存放在23andMe上的資料可能會被出售或移轉到新公司，而新公司或許會將它們用在其他用途，呼籲使用者應儘快刪除存放於該平臺的資料。</p> <p><a href="https://www.ithome.com.tw/news/168059"><strong style="font-size: 22px;">微軟信賴簽發服務遭濫用，駭客用於簽署惡意軟體</strong></a></p> <p></p> <p>資安研究團隊MalwareHunterTeam指出，他們近期發現惡意程式樣本當中，具備Microsoft ID Verified CS EOC CA 01憑證簽章，不過，該憑證效期僅有3天。研究人員認為這是首度濫用微軟信賴簽發（Trusted Signing）服務的憑證，簽發成功的惡意程式案例。雖然憑證效期很短，但在發行者吊銷憑證之前，使用該憑證簽章的可執行檔仍然有效。</p> <p>惡意程式濫用微軟簽發服務可能是新興趨勢，因為有其他研究人員也發現了類似手法，為竊資軟體Crazy Evil Traffer及Lumma Stealer簽章，駭客還上傳到惡意軟體分析平臺VirusTotal進行檢驗。對此，微軟表示正在調查及追蹤憑證濫用的情形，一旦發現，他們將吊銷被濫用的憑證。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-vanhelsing-ransomware-targets-windows-arm-esxi-systems/">勒索軟體VanHelsing針對Arm設備及VMware虛擬化平臺而來</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/web-shell-to-ransomware-new-vmware-attack-vector-exposed-by-sygnia/">針對已遭利用的VMware虛擬化平臺逃逸漏洞，有資安業者指出可被用於勒索軟體攻擊</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/attacks-exploit-servicenow-flaws-israel-hit-hardest/">ServiceNow已知漏洞遭到鎖定，駭客試圖存取受害組織的資料庫</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168061"><strong style="font-size: 22px;">用於K8s的Ingress Nginx Controller存在重大漏洞，6,500個叢集恐曝險</strong></a></p> <p>能將Nginx網站平臺作為Kubernetes環境輸入控制器的軟體系統ingress-nginx，本週發布更新版本，主要是為了修補4個漏洞，此事源於資安業者Wiz找到命名為IngressNightmare的一系列漏洞，危險程度達到重大層級，攻擊者可遠端利用，在未經授權的情況下執行任意程式碼，CVSS風險評為9.8。研究人員評估全球約有43%雲端環境存在相關弱點，超過6,500個叢集曝險，包含財星500大的企業，因此影響可能會相當廣泛，呼籲用戶應儘速套用修補程式。</p> <p>這批漏洞已被登記為CVE-2025-1097、CVE-2025-1098、CVE-2025-24514、CVE-2025-1974、CVE-2025-24513，一旦遭到利用，攻擊者就有機會在未經授權的情況下存取Kubernetes叢集，挖掘所有名稱空間（namespace）當中的全部機密資料，而有可能藉此接管叢集。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/checkpoint-zonealarm-driver-flaw-user-credential-theft/">Check Point旗下防毒產品ZoneAlarm元件傳出可被用於BYOVD攻擊，用戶應儘速套用更新</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/spring-security-updates-address-authorization-bypass-and-password-length-vulnerabilities/">Java應用程式框架Spring存在高風險漏洞，可被用於繞過身分驗證流程</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/168052"><strong>【3月24日】駭客組織UAT-5918鎖定臺灣關鍵基礎設施而來</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168035"><strong>【3月21日】VS Code擴充套件市集成為駭客散布勒索軟體的新管道</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168004"><strong>【3月20日】PHP已知重大漏洞攻擊行動升溫，臺灣是主要攻擊目標</strong></a></p> </div></div></div>
2025/3/25 18:06作者周峻佑https://www.ithome.com.tw/news/168077
駭客聲稱握有600萬筆Oracle雲端服務資料，該公司表示客戶資料並未外流
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據<a href="https://www.bleepingcomputer.com/news/security/oracle-denies-data-breach-after-hacker-claims-theft-of-6-million-data-records/">Bleeping Computer</a>、<a href="https://hackread.com/oracle-denies-breach-hacker-access-6-million-records/">HackRead</a>、<a href="https://www.securityweek.com/oracle-denies-cloud-breach-after-hacker-offers-to-sell-data/">SecurityWeek</a>等資安新聞網站的報導，3月20日名為rose87168的人士於駭客論壇聲稱，他手上握有超過14萬個Oracle Cloud租戶的資料，資料量多達600萬筆，其中包含單一簽入（SSO）及LDAP的帳密資料，想要尋找買主。對此，Oracle否認遭到入侵，並強調駭客公布的帳密資料無法用於Oracle Cloud，沒有Oracle Cloud客戶面臨資料外流或是遺失的情況。</p> <p>最早報導此事的Bleeping Computer與rose87168取得聯繫，他們聲稱從Oracle Cloud的單一簽入服務竊得的資料，內容包含加密的SSO密碼、Java Keystore檔案（JKS）、金鑰檔案，以及企業管理者的JPS金鑰。他們聲稱在40天前取得Oracle Cloud的存取權限，並在偷到資料後，向Oracle勒索10萬門羅幣（XMR），換取駭客提供如何入侵的資訊。不過，Oracle要求有關弱點資訊後，表明拒絕付錢。</p> <p>針對這起事故，顯然有媒體對Oracle的說法不買單，他們根據資安業者的說法，認為這些流出的可能是真實資料，駭客的入侵管道與身分驗證的環節有關。另外兩家資安新聞網站HackRead、SecurityWeek引述<a href="https://www.cloudsek.com/blog/the-biggest-supply-chain-hack-of-2025-6m-records-for-sale-exfiltrated-from-oracle-cloud-affecting-over-140k-tenants">資安業者CloudSEK的調查結果</a>，這批駭客大約從今年1月開始活動，根據駭客公開的資料，遭到入侵的網域疑似是Oracle Fusion Middleware 11G主機，駭客很有可能是利用CVE-2021-35587而得逞，此漏洞存在於OpenSSO代理程式元件Oracle Access Manager，CVSS風險為9.8分。</p> <p>事隔3天，<a href="https://www.cloudsek.com/blog/part-2-validating-the-breach-oracle-cloud-denied-cloudseks-follow-up-analysis">CloudSEK公布新的調查結果</a>，指出根據駭客提供買家驗證的部分資料（1萬筆），這批資料確實來自Oracle Cloud網域login.us2.oraclecloud.com，該伺服器為實際上線的SSO身分驗證平臺，且外流檔案內容為客戶的真實資料。</p> <p>除此之外，另一家資安業者Hudson Rock也證實確有此事，<a href="https://www.linkedin.com/posts/alon-gal-utb_big-i-just-received-10000-records-from-activity-7310017463516127232-XWbI/">該公司共同創辦人暨技術長Alon Gal指出</a>，他根據駭客提供的1萬筆資料向客戶進行確認，結果得到3家客戶回覆，其中2家表示是正式生產環境資料，另1家則表示曝露的使用者帳號真實存在。</p> <p>雖然兩家資安業者都是根據駭客公開的資料，確認部分為實際使用的真實帳號、密碼，但究竟這些駭客手上握有多少資料，而這批資料是否來自相同的來源，仍有待進一步釐清。</p> </div></div></div>
2025/3/25 17:02作者周峻佑https://www.ithome.com.tw/news/168074
擁抱GenAI的資料基礎該怎麼做？Google Cloud給企業5步驟參考
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google Cloud今日（3/25）分析，企業擁抱生成式AI前，得先建立整合的資料基礎，包括制定AI優先的資料策略、建置統一的資料平臺、運用AI將流程自動化、確保資料安全和資料治理，以及提高資料平臺效率並降低資料成本等5步驟。尤其，企業得要有套整合式的資料分析平臺，來彙整資料來源、與其他包括AI在內的系統串接，才能發揮AI效用。Google Cloud也觀察到，臺灣企業大都有成熟的資料蒐集模式，但將這些資料實際用於GenAI應用仍有段距離。</p> <p><span style="font-size:22px;"><strong>步驟1：制定AI優先的資料策略</strong></span></p> <p>要讓AI發揮效益，首先得要制定AI優先的資料策略，包括建立資料策略、建立資料所有權和使用藍圖，以及形成資料生態系，來支援跨部門、跨場景的AI應用。</p> <p>Google Cloud資料分析專家黃介榮解釋，就好比企業內不同部門的員工，都有其運用資料和AI來解決問題的場景，比如人資單位可將自己的資料，如員工會議次數、進辦公室的時長、工作績效等，來運用AI模型預測其離職率，並及早因應。</p> <p>此時，企業就可根據這些需求和場景來制定資料策略，解決過往發展AI時，必須經歷的資料收集、資料清洗、建立資料分析模型並落地的冗長階段。</p> <p><span style="font-size:22px;"><strong>步驟2：建置統一的資料平臺，連結資料與AI</strong></span></p> <p>有了策略，下一步是建置整合式的資料平臺，來連結資料和AI。黃介榮指出，常見的企業情況是許多資料庫和系統獨立，有些可能為了權限管理，有些為了業務方便。但到了大數據和AI分析時代，需處理的資料量和資料類型（模態）大幅增加，資料平臺就得重新設計，需建置一套統一的資料平臺。</p> <p>這種資料平臺，要能支援結構化、半結構化和非結構化資料，比如零售業的多維度客戶資料，來優化行銷與庫存管理。這套平臺還要能整合各系統資料，以及有能力快速分析即時資料串流並反應。</p> <p>Google Cloud的自家資料平臺產品BigQuery，也針對這類需求，在今年提供新功能，如支援多模態表格和自動探索、編目，來簡化多模態資料的擷取與管理；整合大型語言模型（LLM）與SQL查詢的AI查詢引擎；以及即時RAG功能，來讓LLM提供能精確的回答。</p> <p><span style="font-size:22px;"><strong>步驟3：運用AI將流程自動化</strong></span></p> <p>有了統一的資料平臺，企業就可用來發展AI代理來自動化資料整理流程、產出洞察，來提高員工生產力。比如，運用AI代理來處理資料翻譯、提供個人化建議，或是用於電子商務的商品分析、提供精準行銷建議等。</p> <p>不過，AI代理還能扮演一種資料分析角色，能協助使用者分析資料，打破過往資料分析的高門檻。這種代理又稱為資料代理。Google Cloud自己也在3月推出一套<a href="https://developers.googleblog.com/en/data-science-agent-in-colab-with-gemini/">資料科學代理Data Science Agent</a>，使用Gemini模型來為開發協作平臺Collab用戶簡化數據分析流程。</p> <p><span style="font-size:22px;"><strong>步驟4：確保資料安全和資料治理</strong></span></p> <p>另一方面，為發展AI，尤其是生成式AI應用，企業也要做好資料治理和安全管理。Google Cloud建議，企業可從資料品質、法規遵循和安全性下手，比如資料品質部分，需設置機制確保資料的正確性、完整性和一致性，安全性部分則需檢視，資料平臺是否具備加密、存取控制和威脅偵測等安全措施。</p> <p>黃介榮指出，Google Cloud和財團法人人工智慧科技基金會在去年做了項<a href="https://services.google.com/fh/files/misc/20240822-googlecloud-tw-ai-readiness-report.pdf">《臺灣企業AI準備度調查報告》</a>，並發現，在發展AI所需的資料準備度中，超過半數的臺灣企業具備良好的資料蒐集能力，但是，只有17.8%的企業擁有整合的資料平臺或明確定義的資料管理解決方案，來快速處理多個來源的資料，顯示臺灣企業從蒐集到實作還有段距離。</p> <p>他也表示，有些高機敏性的產業，如金融、特定製造業，在發展AI資料治理上步調較慢，因為得先建立規範，才能進一步實作。</p> <p><span style="font-size:22px;"><strong>步驟5：提高資料平臺效率並降低資料成本</strong></span></p> <p>最後一步隨著AI應用的規模擴大，企業使用的資料平臺，也要能夠擴展這些AI工作負載、極小化非必要成本，比如簡化資料處理流程、提高資源利用率。</p> <p>Google Cloud也建議，這個階段的企業應考慮將工作負載自動化，比如資料平臺來自動化資料管理任務（配置、擴展和備份等）；另也需考量平臺是否有自動化工具或功能，來監控、分析或優化資料儲存狀況和運算成本；以及考慮平臺能否無縫擴展，來處理不斷增長的資料量和AI工作負載，且兼顧效能和成本。</p> <p></p> </div></div></div>
2025/3/25 17:38作者王若樸https://www.ithome.com.tw/news/168076
中國菜刀再度出手！駭客組織Weaver Ant埋伏東南亞某電信業者環境4年
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國駭客鎖定電信業者的情況，許多人可能會想到去年9月傳出Volt Typhoon攻擊多家美國電信業者的資安事故，但也有專門針對亞洲電信業者而來的駭客組織。</p> <p>例如，資安業者Sygina最近揭露的<a href="https://www.sygnia.co/threat-reports-and-advisories/weaver-ant-tracking-a-china-nexus-cyber-espionage-operation/">中國駭客組織Weaver Ant</a>，就是這種型態的例子。這些駭客針對東南亞一家大型電信業者下手，祕密、持續從事網路間諜活動長達4年，過程中利用Web Shell及隧道工具，以便維持於受害組織活動，並用來進行橫向移動。</p> <p>針對這起資安事故，Sygina提及Weaver Ant在受害組織的內部伺服器當中，部署變種的中國菜刀（China Chopper）Web Shell。特別的是，研究人員提及在Weaver Ant入侵之前已有一批人馬侵門踏戶，而這個Web Shell的用途，很有可能是Weaver Ant對前一批人馬活動中斷做出的「補救措施」。</p> <p>研究人員進一步執行大規模調查，總共找到數十個類似的Web Shell，他們發現攻擊者在整個過程完全仰賴Web Shell而能持續存取受害組織，並藉由複雜的隧道遠端執行程式碼並橫向移動。</p> <p>Sygina把找到的Web Shell大致分成兩類，一種是加密的中國菜刀（Encrypted China Chopper），另一種則是命名為INMemory。</p> <p>其中，加密的中國菜刀是這些駭客最頻繁使用的Web Shell，其特性的是能自動、高效繞過網頁應用程式防火牆（WAF）偵測。駭客將此工具植入面向外部的伺服器，並使用ASPX、PHP等多種程式語言進行部署，從而建立存取受害組織網路環境的管道。</p> <p>第二種稱為INMemory的Web Shell，主要功能就是在記憶體內（In-memory）執行惡意模組，從而迴避資安系統的偵測。</p> <p>值得留意的是，這些駭客不光是將Web Shell用於建立長期存取的管道，或是用來執行程式碼，他們也將其用於橫向移動或是充當C2，針對這樣的手法，研究人員稱做Web Shell Tunneling。</p> <p>利用這種手法，駭客將Web Shell充當代理伺服器，將流入的HTTP流量重新導引至不同主機上的Web Shell，這麼做使得他們能夠在不同的網段進行活動，從而對受害組織內部伺服器下手。</p> <p>附帶一提的是，Sygina也提及這些駭客濫用合勤CPE路由器架設非法代理伺服器網路<a href="https://www.ithome.com.tw/news/163058">Operational Relay Box（ORB）</a>的情況，但研究人員未說明駭客如何對這些路由器下手。</p> </div></div></div>
2025/3/25 15:56作者周峻佑https://www.ithome.com.tw/news/168067
用於K8s的Ingress Nginx Controller存在重大漏洞，6,500個叢集恐曝險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>能將Nginx網站平臺作為Kubernetes環境輸入控制器的軟體系統ingress-nginx，本週發布更新版本，主要是為了修補4個漏洞，此事源於資安業者Wiz找到<a href="http://www.wiz.io/blog/ingress-nginx-kubernetes-vulnerabilities">命名為IngressNightmare的一系列漏洞</a>，危險程度達到重大層級，攻擊者可遠端利用，在未經授權的情況下執行任意程式碼，CVSS風險評為9.8。研究人員評估全球約有43%雲端環境存在相關弱點，超過6,500個叢集曝險，包含財星500大的企業，因此影響可能會相當廣泛，呼籲用戶應儘速套用修補程式。</p> <p>這批漏洞已被登記為CVE-2025-1097、CVE-2025-1098、CVE-2025-24514、CVE-2025-1974、CVE-2025-24513，一旦遭到利用，攻擊者就有機會在未經授權的情況下存取Kubernetes叢集，挖掘所有名稱空間（namespace）當中的全部機密資料，而有可能藉此接管叢集。</p> <p>這些漏洞之所以發生，原因在於ingress-nginx會在Pod當中部署存取控制器，針對所傳入的物件會予以驗證，通過後才會放行、部署。然而在預設組態當中，使用者無須通過身分驗證，即可透過網路連接存取控制器，這樣的情況很有可能變成攻擊的管道。</p> <p>在控制器處理傳入物件的過程中，就會產生對應的組態並透過Nginx二進位檔案驗證，研究人員發現能遠端注入任意組態的弱點，只要傳送惡意物件，就有機會觸發。</p> <p>一旦注入的組態進到驗證流程，攻擊者就有機會讓Nginx驗證工具執行程式碼，從而遠端在控制器的節點執行任意程式碼（RCE）。</p> <p>此外，存取控制器還具有特殊權限與不受限制的網路存取能力，使得攻擊者有機會用於提升權限。同時利用這項弱點，攻擊者不僅能執行任意程式碼，還能存取所有叢集的機密資料，最終完全挾持叢集。</p> </div></div></div>
2025/3/25 15:10作者周峻佑https://www.ithome.com.tw/news/168061
新一代基準測試ARC-AGI-2登場，挑戰AI的推理效率與通用能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由ARC Prize基金會主導，通用人工智慧基準測試ARC-AGI釋出第二版本。<a href="https://arcprize.org/blog/announcing-arc-agi-2-and-arc-prize-2025">ARC-AGI-2</a>相較於前一版進一步提高難度，設計仍維持對人類解題者相對容易，但對人工智慧系統極具挑戰性的特性，目的在於評估人工智慧，在未知情境中的即時推理能力與學習效率，並促進對高效通用系統的研究。</p> <p>ARC-AGI系列起始於2019年，最初版本ARC-AGI-1即已針對深度學習模型容易依賴記憶與模式擷取的弱點設計題目，要求系統從訓練資料學習需要先具備的核心知識，並在評測資料集中應用這些知識於未見過的新題目。此種設計排除了純記憶或擬合的可能，需具備基本流動智力（Fluid Intelligence）才能通過測驗。</p> <p>ARC-AGI-2所有<a href="https://arcprize.org/arc-agi#arc-agi-2">測試任務</a>均由超過400名一般參與者的控制實驗，確認至少兩位受試者能在兩次以內完成，這與人工智慧系統的評測條件一致，即每題最多兩次作答機會。官方指出，純粹基於大語言模型的系統如GPT-4.5，在ARC-AGI-2的公用測試集表現為0％通過率，顯示現行主流模型在沒有事先訓練的情況下，無法對這類具有隱含邏輯規則與語意變化的任務做出正確的反應。</p> <p>ARC團隊根據測試結果，歸納出人工智慧目前的三項明顯困難，首先，符號詮釋方面，人工智慧系統能辨識圖形對稱與圖像變化，但無法理解符號背後的語意或邏輯功能；其次，在組合推理（Compositional Reasoning）上，當題目需要同時套用多組規則或這些規則彼此影響時，現行模型容易出錯；第三，情境式規則應用也是困難點，模型傾向於對表面模式過度擬合，而缺乏根據上下文靈活調整規則運用的能力。</p> <p>目前先進模型在ARC-AGI-1與ARC-AGI-2之間的表現差異，清楚呈現出模型在處理更高層次推理任務時的不足。以OpenAI的o3-low系統為例，在ARC-AGI-1中可達75.7％的通過率，但在ARC-AGI-2中的得分僅剩約4％，而GPT-4.5等純語言模型在新版本更是完全無法作答成功。</p> <p>ARC-AGI-2也正式納入效率評估指標，將解題成本列為與通過率同等重要的衡量面向。根據官方資料，人類解題成本約為每題17美元，而OpenAI o3系列系統需花費約200美元以上資源才能完成極少量題目，突顯出解得出來與解得有效率之間的落差，也是ARC-AGI-2試圖呈現的核心問題。ARC團隊強調，真正的智慧不應僅止於問題能否解決，而是能否以近似人類的資源使用效率快速做出正確判斷。</p> </div></div></div>
2025/3/25 16:09作者李建興https://www.ithome.com.tw/news/168062
股票及加密貨幣交易所eToro申請IPO
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2007年成立於以色列的社交交易平臺<a href="https://www.etoro.com/news-and-analysis/press-releases/etoro-announces-public-filing-of-registration-statement-for-proposed-initial-public-offering/" target="_blank">eToro周一（3/24）宣布</a>，已經向美國證券交易委會員（SEC）提交首次公開發行股票（IPO）的申請，打算以ETOR為代號，登上美國的那斯達克（Nasdaq）股市。</p> <p>eToro平臺提供股票、大宗商品、外匯、加密資產或其它衍生性商品的交易，並設有eToro Academy學院以供用戶交流各種投資資訊，因而定位為社交交易平臺。截至去年底，eToro在全球75個國家擁有約350萬個資金帳戶。</p> <p><a href="https://www.sec.gov/Archives/edgar/data/1493318/000101376225001589/ea0223534-08.htm" target="_blank">根據該公司提交給SEC的文件</a>，該公司的主要收入為交易活動的佣金，其它還包括利息或訂閱服務等，在2022、2023及2024年的營收分別是64.3億美元、38.9億美元，以及126.4億美元，除了在2022年出現2.1億美元的虧損之外，2023與2024年分別擁有1,526萬美元，以及1.9億美元的淨收入，在去年的每股盈餘甚至達到8.76美元。</p> <p>值得注意的是，來自加密貨幣相關交易的營收占了eToro總營收的高度比重，例如2022年的加密貨幣交易營收占了88.4%，2023年是88.3%，而在鼓吹加密貨幣的川普（Donald Trump）於去年當選了美國總統之後，eToro上的加密貨幣交易營收比重更直接衝上96%。</p> <p>其實eToro在<a href="https://www.ithome.com.tw/news/143289" target="_blank">2021年時</a>便曾企圖透過與特殊目的收購公司（Special Purpose Acquisition Company，SPAC）FinTech Acquisition合併，以快速登上那斯達克股市，最後卻因市場不穩定，再加上FinTech Acquisition內部包括財務控制等重大缺陷而告吹。</p> <p>現階段eToro尚未公布IPO的募資規模或發行價格。</p> </div></div></div>
2025/3/25 14:21作者陳曉莉https://www.ithome.com.tw/news/168060
微軟程式簽發服務被駭客濫用簽發惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>研究人員發現微軟的信賴簽發（Trusted Signing）服務遭駭客用來簽發惡意程式，以躲避安全偵測。</p> <p><a href="https://x.com/malwrhunterteam/status/1898502421787365432" target="_blank">資安研究團隊MalwareHunterTeam發現</a>一個惡意程式樣本，獲得了Microsoft ID Verified CS EOC CA 01憑證簽發。該憑證效期僅有三天。研究人員相信這是第一個濫用微軟信賴簽發服務的憑證，簽發成功的惡意程式案例。雖然憑證效期很短，但在發行者吊銷憑證之前，使用該憑證簽章的可執行檔仍然有效。</p> <p>微軟信賴簽發（Trusted Signing）憑證服務每月最低9.99美元，旨在「簡化憑證簽發流程，協助開發人員輕鬆且發布其應用程式」，支援FIPS 140-2 Level 3安全性，且可輕易在Azure介面管理、吊銷憑證。</p> <p>利用合法憑證簽發是網路攻擊常見手法，可將惡意程式偽裝成合法程式，繞過安全檢查機制。<a href="https://www.bleepingcomputer.com/news/security/microsoft-trusted-signing-service-abused-to-code-sign-malware/" target="_blank">Bleeping Computer分析</a>，這類手法最終極手段是獲得擴充驗證（Extended Validation，EV）憑證，這類憑證驗證過程更嚴格，因此能讓惡意程式獲得更大信任，甚至能以更高信譽（reputation）評分通過微軟SmartScreen的攔截和過濾。然而EV取得難度很高，而且成本高達數千美元，也很容易被發行商吊銷。</p> <p>微軟信賴簽發服務不只企業能申請，個人也可以申請，門檻低。此外微軟信賴簽發憑證，也能提供類似EV憑證的高信譽分數，使惡意程式不觸發SmartScreen警示。因此，專注追蹤憑證濫用的<a href="https://x.com/SquiblydooBlog" target="_blank">研究人員Squiblydoo認為</a>，在EV難以取得情況下，駭客於是轉向了微軟信賴簽發服務。</p> <p>惡意程式濫用微軟簽發服務可能是新興趨勢。因為有其他研究人員發現了類似手法的Crazy Evil Traffer竊密程式及Lumma Stealer，並上傳到VirusTotal平臺上。</p> <p>微軟對媒體表示，正在調查及追蹤憑證濫用的情形，一旦發現到，將會吊銷這些被濫用的憑證。</p> </div></div></div>
2025/3/25 13:52作者林妍溱https://www.ithome.com.tw/news/168059
Fintech周報第263期：NatWest與OpenAI合作，聚焦優化業務流程和開發銀行數位助理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><strong><span style="font-size: 18px;"><span style="color: rgb(139, 69, 19);">3/15-3/24金融科技精選新聞</span></span></strong></h3> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><strong style="font-size: 16px;"><span style="color: rgb(0, 0, 205);">#生成式AI</span></strong><strong style="font-size: 16px;"><span style="color: rgb(0, 0, 205);"> #NatWest</span></strong></h3> <h3><strong>NatWest與OpenAI合作，聚焦優化業務流程和開發銀行數位助理</strong></h3> <p>英國NatWest集團近日宣布和OpenAI合作，雙方將聚焦在進行全行業務流程優化策略，包括透過AI加速回應客戶需求、提升生產力，和提升營運效率。NatWest表示，這項合作計畫，將有機會加速集團規模化部署生成式AI。</p> <p>NatWest也提到，他們旗下銀行將會專注在為客戶開發數位助理服務，包括協助客戶完成複雜任務，例如身分驗證、識別詐欺等任務。此外，NatWest也認為，旗下銀行未來有機會利用數位助理來幫助客戶更了解他們的財務狀況，並運用AI來幫助他們規畫和設定財務目標。</p> <p>目前，NatWest旗下銀行正在探索超過275個AI專案，並有約25個應用已部署在生產環境，輔助業務人員服務客戶，並協助提升營運效率。</p> <p>NatWest 集團過去就有推出一個名為Cora+的AI虛擬助理，最初功能類似智能客服，能解答客戶常見問題。2023年底，NatWest 宣布在Cora+導入生成式AI，讓顧客能透過Cora+獲得以往僅靠聊天無法取得的資料，例如產品、服務、銀行資訊和就業機會等資訊。近日，NatWest表示，這款具備GenAI 功能的虛擬助理成功提高了150%的客戶滿意度，減少真人客服人員需要介入處理的次數。</p> <h3><strong style="font-size: 16px;"><span style="color: rgb(0, 0, 205);">#高盛集團</span></strong><strong style="font-size: 16px;"><span style="color: rgb(0, 0, 205);"> #生成式AI</span></strong></h3> <h3><strong>高盛集團資訊長接受外媒採訪，揭露生成式AI發展進度</strong></h3> <p>高盛集團資訊長Marco Argenti近日接受外媒採訪時表示，在部署生成式AI工具時，IT人員是他第一個瞄準的群體。Argenti選擇為IT人員提供程式碼輔助撰寫工具，包括GitHub Copilot 和 Gemini Code Assist。Argenti也提到，他會以使用頻率，和AI工具生成程式碼的接受率，來評估這些輔助工具的投資報酬率。</p> <p>目前，高盛四萬六千名員工中，有一半人員可以使用AI。但隨著高盛AI助理(GS AI Assistant)在公司內部推出，預計今年底，幾乎所有員工都可以使用這款工具，包括彙總文件、撰寫電子郵件草稿，分析數據和建立個人化內容。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><strong style="font-size: 16px;"><span style="color: rgb(0, 0, 205);">#生成式AI</span></strong><strong style="font-size: 16px;"><span style="color: rgb(0, 0, 205);"> #財務管理</span></strong></h3> <h3><strong>澳洲退休金與投資管理公司運用GenAI回覆複雜財務問題，準確率約65%</strong></h3> <p>澳洲一間退休金與投資管理服務公司Colonial First State，將GenAI導入內部一支專門服務財務顧問的團隊，用來支援團隊回覆複雜的財務問題，例如協助解讀複雜的退休金制度、稅務和社會福利規範。Colonial First State表示，他們已經在運用GenAI協助團隊成員回覆複雜問題，例如「客戶在出售房屋並獲得賣房所得後，會不會影響他領取社會福利的資格？」，準確率目前約有65%。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><strong style="font-size: 16px;"><span style="color: rgb(0, 0, 205);">#玉山銀行</span></strong><strong style="font-size: 16px;"><span style="color: rgb(0, 0, 205);"> #電子簽名</span></strong></h3> <h3><strong>玉山銀行電子簽名服務首階段聚焦於金融業務以外的文件簽署</strong></h3> <p>由數位部提出的<a href="https://www.ey.gov.tw/Page/9277F759E41CCD91/7e0472e2-c917-4b41-b00b-e30a5927d7ae">電子簽章法修正法案</a>，在去年4月30日正式三讀通過，確立了符合法規的電子文件及電子簽章，功能上等同於實體文件及簽章，不得因其電子形式而否認其法律效力；並且明定數位簽章為電子簽章的一種。</p> <p>近日，國內開始有銀行業者正式導入電子簽名服務。玉山銀行近日宣布，他們已在內部導入電子簽名服務，首階段聚焦在金融業務以外的文件簽署，例如內部採購合約等應用，透過電子簽名節省文件列印、比對、掃描歸檔等作業成本。</p> <p>此外，在確保合法合規、資訊安全的前提下，玉山銀行決定逐步以電子簽名取代紙本文件，並將在適當時機將電子簽名服務應用範圍拓展至顧客端。</p> <p>玉山銀行認為，就銀行而言，電子簽名可以簡化複雜的文件簽名用印與管理流程、不受營業時間或距離限制、降低作業的時間成本與風險；就顧客而言，可以打破距離空間限制，快速完成文件簽署、無需親自到場或等待文件寄送。並且該文件具有不可竄改及不可否認性，能達成快速、安全有效率的服務體驗。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><strong style="font-size: 16px;"><span style="color: rgb(0, 0, 205);">#金融監管</span></strong><strong style="font-size: 16px;"><span style="color: rgb(0, 0, 205);"> #挖礦</span></strong></h3> <h3><strong>美國發布聲明，Proof-of-Work挖礦不受證券法管轄，無需註冊</strong></h3> <p>美國證券交易委員會（SEC）近日針對特定的「工作量證明」（Proof-of-Work，PoW）挖擴活動作出聲明，認為它們並非透過第三方的創業或管理來獲利，不算是投資契約，而是使用自己的運送資源來完成實際的工作。因此，不管是礦池或是個人挖礦皆不必註冊，也不受證券法令的管轄。</p> <p>過去SEC對加密資產的監管行為主要著重於首次代幣發行（ICO）與加密貨幣交易所，並已將許多ICO視為證券發行，而必須遵守證券法令的規範，而加密貨幣交易所也受到SEC與商品期貨交易委員會（CFTC）等機構的監督，這是SEC首次出面釐清與挖礦有關的行為。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><strong style="font-size: 16px;"><span style="color: rgb(0, 0, 205);">#大型主機</span></strong><strong style="font-size: 16px;"><span style="color: rgb(0, 0, 205);"> #瑞瑞金融集團</span></strong></h3> <h3><strong>日本瑞穗金融集團將EDI系統從大型主機遷移至開放式架構</strong></h3> <p>瑞穗金融集團近期完成電子資料交換（EDI）系統重大升級，從大型主機（Mainframe）架構遷移至開放式系統。EDI系統主要用在支援企業與金融機構交換資料和處理交易，自動化處理付款指示、對帳單、匯款資訊等關鍵業務。</p> <p>過去，瑞穗金融集團的 EDI 系統透過EDI通訊平臺，連接日本銀行業用於資金轉帳與訊息交換的清算系統，並依賴 INS 網路傳輸資料。隨著 INS 網路服務即將終止支援，瑞穗啟動系統改造計畫，導入TCP/IP 通訊協定與SSL/TLS 加密技術，讓系統能在開放式網路環境下穩定運作。</p> <p>升級後的系統保留原本對接銀行所需的標準格式與通訊規則，讓企業在轉換後仍可順利連線金融機構，維持穩定的交易與資料交換。該系統目前每日處理約 7,000 筆交易文件，支援約 3,000 家企業與金融機構。</p> <h3><strong style="font-size: 16px;"><span style="color: rgb(0, 0, 205);">#TWQR</span></strong><strong style="font-size: 16px;"><span style="color: rgb(0, 0, 205);"> #電子支付</span></strong></h3> <h3><strong>TWQR乘車碼正式開通，首波啟用業者包含9間金融機構及1間電支業者</strong></h3> <p>TWQR乘車碼近日正式上線，由財金公司整合QR Code共通支付標準及交通運輸票證二維條碼資料格式標準，透過電子支付跨機構共用平臺，串聯銀行和電支兩大支付體系。民眾可以使用慣用的支付App，出示TWQR乘車碼搭乘大眾運輸工具。</p> <p>目前，首波啟用TWQR乘車碼的金融機構包含第一銀行、華南銀行、彰化銀行等九家金融機構，以及一卡通iPASS MONEY。前者支援在高雄捷運、高雄輕軌、臺中捷運、新北捷運，及各縣市合作之公車、渡輪等大眾運輸工具，後者則支援高雄地區全運具、新北捷運、臺中捷運及公車。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><strong style="font-size: 16px;"><span style="color: rgb(0, 0, 205);">#數位歐元</span></strong><strong style="font-size: 16px;"><span style="color: rgb(0, 0, 205);"> #歐洲央行</span></strong></h3> <h3><strong>數位歐元立法通過在即，歐洲央行首席經濟學家公開支持數位歐元</strong></h3> <p>數位歐元是歐洲央行今年的重要計畫，在今年，數位歐元的立法草案已經正式提出，這項法案也正在歐洲理事會和議會審議中。今年底前，歐洲立法體系就要決定是否正式推出數位歐元。近日，歐洲央行首席經濟學家Philip R. Lane出席一場活動，並在主題演講上公開表態支持數位歐元。他指出，目前Visa和Mastercard等國際支付卡處理歐元區65%的信用卡、金融卡等卡片支付交易量，而不是來自歐洲的科技公司，例如Apple Pay、Google Pay 和 PayPal，則主導歐洲的行動支付，占歐洲零售交易量近十分之一，同時呈現兩位數的年增長率。</p> <p>「這樣的依賴度，使歐洲面臨經濟壓力和脅迫，並對我們的戰略自主權產生影響，限制我們控制金融基礎設施的關鍵能力。」Philip R. Lane解釋，依賴國際支付卡片、應用程式或穩定幣，等同將支付基礎設施外包出去，這將導致歐洲支付體系容易受到使用條款變更或服務撤回等因素影響。而數位歐元則是應對這些風險的解決方案，也是一項能減少依賴外國供應商的方法。</p> <p>「數位歐元不僅僅是為了確保我們的貨幣體系能適應數位時代，其目的，是要確保歐洲在地緣政治分裂加劇的背景下，能掌控自己的貨幣和金融命運。」Philip R. Lane用這句話，來為這個主題演講作結。</p> <h3>其他重要新聞</h3> <ul> <li>花旗集團任命財管部門技術主管，帶領業務部門重整數據、發展AI</li> <li>Evident發布研究顯示，摩根大通在量子運算發展占領先地位</li> </ul> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">責任編輯／李昀璇</span></p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">圖片來源<span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);">／</span>NatWest</p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">資料來源：iThome整理，2025年3月</p> <p></p> </div></div></div>
2025/3/24 21:35作者李昀璇https://www.ithome.com.tw/news/168053
Trump Media與Crypto.com將合作推出ETF
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由美國現任總統川普（Donald Trump）於2021年成立的Trump Media & Technology Group（TMTG）媒體暨技術集團<a href="https://ir.tmtgcorp.com/news-events/press-releases/#b2iLibScrollTo" target="_blank">在周一（3/24）宣布</a>，旗下的社交媒體平臺Truth Social、串流媒體平臺Truth+，以及金融科技品牌Truth.Fi已與加密貨幣交易所Crypto.com簽署非約束性的交易協議，共同推出基於Truth.Fi品牌的各種交易所交易基金（Exchange-Traded Fund，ETF）與其它的交易所交易產品（Exchange-Traded Product，ETP）。該消息讓TMTG（交易代號為DJT）當天的盤後股價上漲了9.42%，達到22.99美元。</p> <p>Crypto.com為2016年成立的加密貨幣公司，總部設於新加坡，提供各種與加密貨幣相關的金融服務，涵蓋交易所、應用程式、非託管的DeFi錢包、NFT，以及加密貨幣支付服務等，擁有4,000名員工，宣稱其全球用戶超過1.4億，目前仍為私人公司，並未公開發行股票。</p> <p>TMTG表示，這些ETF將會透過Crypto.com的經紀交易商Foris Capital US LLC發售，預計將包含數位資產，以及其它以美國製造為重心的證券，涉及能源等不同產業。由Crypto.com負責後端技術，代為托管，並支援各種ETF的加密貨幣，涵蓋比特幣、由Crypto.com發行的Cronos幣（CRO），或是其它加密資產。</p> <p>雙方計畫會在今年推出相關的ETF與ETP，但仍需要等待正式的協議，並獲得監管機關的首肯，值得注意的是，它們打算在美國、歐洲及亞洲等全球範圍內上架。</p> </div></div></div>
2025/3/25 12:38作者陳曉莉https://www.ithome.com.tw/news/168058
基因技術業者23andMe聲請破產保護，用戶DNA等敏感個資恐遭轉售
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>2023年10月<a href="https://www.ithome.com.tw/news/160168" target="_blank">因遭駭客入侵</a>，而聲名大噪的美國基因技術業者23andMe，本周日（3/23）<a href="https://investors.23andme.com/news-releases/news-release-details/23andme-initiates-voluntary-chapter-11-process-maximize" target="_blank">聲請了破產保護</a>，打算出售該公司資產，並解決被駭事件所引發的法律責任。<a href="https://oag.ca.gov/news/press-releases/attorney-general-bonta-urgently-issues-consumer-alert-23andme-customers" target="_blank">加州政府</a>及<a href="https://www.washingtonpost.com/technology/2025/03/24/23andme-dna-privacy-delete/" target="_blank">華盛頓郵報</a>（Washington Post）紛紛呼籲使用者，儘速刪除與23andMe分享的基因樣本及個人資料。</p> <p>23andMe成立於2006年，消費者只要提供唾液樣本，就能檢測其基因，以溯源並提供健康報告，並在2021年登上美國那斯達克（Nasdaq）股市，迄今總計有1,500萬名使用者與該公司分享了自己的DNA。但在2023年遭到駭客入侵，外洩了其中690萬名用戶的個資，惹來了超過50起的集體訴訟及州訴訟。</p> <p>23andMe表示，聲請破產保護可讓法院監督該公司正努力應對的經營與財務挑戰，包含進一步降低成本，以及解決法令與租賃責任。</p> <p>依據<a href="https://www.bloomberg.com/news/articles/2025-03-24/23andme-starts-chapter-11-process-co-founder-steps-down-as-ceo" target="_blank">彭博社（Bloomberg）</a>的報導，23andMe目前只有55萬付費的訂閱用戶，且自2021年上市迄今皆屬虧損狀態。</p> <p>而今年以來23andMe的股價都不到4美元，本周一（3/24）更直接跌了59.22%，以0.73美元作收，公司市值從60億美元下滑至現在的1,960萬美元。</p> <p>在聲請破產保護後，23andMe打算依據相關規定出售大部分的資產，且在該法令下，任何正在進行中的訴訟都會自動暫停，可讓23andMe有更多的精力應對其它問題。23andMe已成立重組小組，執行長Anne Wojcicki辭職並即刻生效，由財務暨會計長Joe Selsavage兼任臨時執行長。</p> <p>儘管23andMe強調公司在整個重組與出售過程中，將正常經營業務，儲存、管理或保護客戶的資料並未改變，但加州檢察長Rob Bonta發布了消費者警告，指出累積了大量敏感消費者資料的23andMe已陷入財務困境，提醒該州用戶要求23andMe刪除並銷毀所儲存的任何遺傳樣本。</p> <p>華盛頓郵報也說，根據23andMe的隱私聲明，存放在23andMe上的資料可能會被出售或移轉到新公司，而新公司或許會將它們用在其它用途上，呼籲使用者應儘快刪除存放於該平臺的資料。</p> </div></div></div>
2025/3/25 11:27作者陳曉莉https://www.ithome.com.tw/news/168056
微軟Security Copilot新增10種AI代理人
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟<a href="https://www.ithome.com.tw/news/161763" target="_blank">去年推出</a>Copilot for Security，<a href="https://www.microsoft.com/en-us/security/blog/2025/03/24/microsoft-unveils-microsoft-security-copilot-agents-and-new-protections-for-ai/" target="_blank">本周宣布為該聊天機器人加入10種AI代理人（AI Agent）</a>，自動化資安工作，預定4月以預覽版上線，微軟並且宣布下月起推出多項AI資安工具。</p> <p>Copilot for Security或Security Copilot是整合微軟的全球威脅情報（Threat Intelligence）及微軟安全產品如Defender XDR、Sentinel、Intune、Entra等，與第三方產品包括Red Canary和Jamf發送的訊號（signal）生成企業安全指南，資安人員可以透過自然語言與之互動，執行資安檢查、分析和因應網路威脅。</p> <p>最新宣布則是為其加入AI代理人功能。其中包含5項微軟自製的AI代理人功能，以及合作夥伴開發的功能，微軟預計4月份提供預覽使用。</p> <p>微軟提供的5項AI代理人中，Defender中的釣魚分類代理人可分類釣魚警示，準確分辨哪些是真正的網路威脅，哪些是誤判。資料治理方案Purview中的警示分類代理，可將資料外洩及內部員工警示加以分類、排序重大事件，並可根據管理員回饋改進準確率。存取管理方案Entra的條件式存取優化代理人，可監控未被現有政策涵蓋的新用戶或App，辨識出必要的安全更新及提供快速修補建議。</p> <p>Intune漏洞矯治代理人可監控並排序漏洞及矯正措施，以解決App和政策配置的問題，並且在管理員許可下加速Windows OS修補程式。Security Copilot的威脅情報簡報代理人，可根據企業獨特屬性和曝險程度，自動安排最相關、適用的威脅情報。</p> <p>微軟合作夥伴也提供5項代理人，涵括隱私外洩回應、監控VPN或閘道、評估安全監控中心（SOC）、安全警示分類、及重大網路威脅警示優先排序等功能。</p> <p><span style="color:#B22222;"><strong>多項新資安工具</strong></span></p> <p>除了AI代理人功能外，微軟同時宣布多項資安工具將在4、5月陸續上線。資料治理工具Purview新的資料安全調查功能，它運用AI深度內容分析來辨識敏感資料，工具可整合Defender的事件及Purview蒐集的內部風險資料，協助網路威脅調查人員安全事件的調查。本功能預計下個月開放預覽。</p> <p>微軟並擴大雲端AI的安全態勢管理工具Defender AI態勢管理（AI posture management）支援雲平臺，由Microsoft Azure和Amazon Web Services擴及Google VertexAI，以及Azure AI Foundry上的所有模型。本功能預計5月開放預覽使用。支援模型包括Gemini、Gemma、Meta Llama、Mistral和自訂模型。</p> <p>其他功能包括：Defender從今年5月加入OWASP（Open Worldwide Application Security Project）提供的生成式AI風險偵測功能。Entra新加入AI網頁類別過濾器功能。Edge for Business瀏覽器整合Purview的瀏覽器資料外洩防護（DLP）控制功能，防止用戶在ChatGPT、Copilot Chat、DeepSeek和Google Gemini輸入企業敏感資料。Teams從4月起整合Defender for Office 365的釣魚連結及其他威脅防護。</p> </div></div></div>
2025/3/25 11:01作者林妍溱https://www.ithome.com.tw/news/168055
不願再被瀏覽器綁架，IAB將打造伺服器端的通用廣告資料交換框架
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「夠了就是夠了。數位媒體業界已經看著瀏覽器肆意決定遊戲規則太久，廣告出版商（Publisher）卻在不斷流失營收。」全球數位廣告標準制定組織IAB旗下Tech Lab公司CEO Anthony Katsur用強烈語氣道出他們看待數位廣告業界的困境，以及他們推出可能解方的理由。</p> <p><a href="https://iabtechlab.com/tech-lab-trusted-server/">3月20日，IAB Tech Lab宣布要開發一個開源的伺服器端廣告管理框架Trusted Server。</a>這個框架想要定義一套完整的數位廣告資料交換架構，包括了廣告請求與回應管理、伺服器端的廣告拼接（Server Side Ad Stitching），串接各種競價平臺主機、整合現有程式化廣告系統等，也計畫能用邊緣雲執行相關廣告請求及蒐集廣告數據，甚至計畫能支援第三方廣告供應商的外掛（如身份與受眾識別、詐欺防護、品牌安全等）。</p> <p>IAB Tech Lab表示，他們希望將Trusted Server打造成一套數位廣告界的標準框架，可以把原本在瀏覽器端執行的關鍵數位廣告作業，轉移到廣告出版商的伺服器，或託管的基礎架構上執行。他們期待這套新框架能更好保留第一方數據訊號、減少資料外洩風險，以支持更彈性的程式化廣告策略。對廣告主來說，則能透過簡單的操作，自己定義自家網站上的資料如何蒐集、儲存和交換。</p> <p>尤其是出版商，目前，Trusted Server仍處於概念驗證的POC階段，利用CDN供應商Fastly的邊緣主機服務來測試可行性，先來測試數位廣告呈現的基本流程，包括發送廣告請求至廣告交易平臺、接收並處理回應、將廣告拼接進網頁內容中，以及送出完整的網頁與廣告內容。下一步，IAB Tech Lab計畫加入追蹤、隱私保護等功能，並支援更多廣告形式、伺服器端標籤管理（Server-side Tagging），以及和身份識別供應商、受眾資料供應商等外部資料整合。目前已開放出版商申請加入POC計畫，或是加入共同開發框架的團隊，也能直接到<a href="https://github.com/IABTechLab/trusted-server">Github檢視程式碼</a>和提出意見。</p> <p><strong>數位廣告資料交換長年受瀏覽器箝制</strong></p> <p>多年來，數位廣告許多環節的資料流都經過瀏覽器端。這正是為何，在Google Chrome等瀏覽器宣布停用第三方Cookie，造成整個數位廣告界多年騷動。這個事件，加上近3至5年隱私權意識與法規逐漸成熟，使不少廣告平臺和出版商推出自家的廣告資料轉換API（Conversions API），將部分廣告資料交換流程改為從伺服器端拋轉，而非透過瀏覽器，避免受到瀏覽器廠商的限制，並強化資料安全保護。</p> <p>不過，Conversions API是種一對一串接的機制，廣告科技平臺或廣告主未必有意願一一串接並管理多家出版商的API。目前來說，瀏覽器的廣告資料交換機制，仍然最方便、最通用。瀏覽器成為大部分數位廣告資料交換的關卡，使資料交換可能，同時又造成種種限制。例如，瀏覽器業者以保護隱私為由，不斷限制資料交換內容、降低廣告出版商資料交換權利。使用者也常用瀏覽器上的廣告阻擋器（Ad-blocker），減少廣告曝光，並阻擋資料交換。</p> <p>針對此兩難，IAB Tech Lab推出Trusted Server框架，期望廣告業界有一套通用、統一的廣告資料交換做法，可以繞過瀏覽器，改從自家伺服器端，和數位廣告其他利害關係方交換資料。當業界普遍採用這套框架，便能有如瀏覽器交換機制般的通用性，同時避免瀏覽器帶來的限制。</p> <p><strong>以盡量不改變現有運作模式為前提，提升出版商資料自主權</strong></p> <p><strong><a href="https://s4.itho.me/sites/default/files/images/BIGiabtus.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/BIGiabtus.png" style="width: 600px;" /></a></strong></p> <blockquote><p>Trusted Server框架下的廣告資訊流示意圖，點擊可放大。其中，原本用瀏覽器執行的作業包括：發送廣告請求<span style="white-space: pre;"> </span>向 SSP、Ad Server 發送請求；在頁面中執行 Prebid.js、整合多方競價；插入廣告素材到頁面中；整合身分辨認資料、傳送追蹤與曝光量測資料等環節。這些作業，都將在出版商可控制的環境中執行。</p> </blockquote> <p>Trusted Server框架將串接業界常用平臺方及基礎架構提供者，前者如廣告競價平臺，後者如雲端業者和CDN供應商。這是為了盡可能降低對原本數位廣告運作模式的改動，只是把瀏覽器端的資料處理與拋轉作業改到廣告商的伺服器上進行。</p> <p>IAB Tech Lab設計框架時，承諾將採用與主流邊緣雲供應商一致的定義與配置標準；確保伺服器端的資料擷取和儲存機制，接近瀏覽器端所能蒐集的資料類型與內容，減少採用新框架後的廣告訊號損失；也承諾將對齊隱私法規與資料治理考量。他們還計畫提供IT與營運方面的資源，協助出版商及其商業夥伴逐步導入此框架。</p> <p>目前，出版商若有意加入測試框架POC，需要在Fastly等支援邊緣雲端計算的CDN服務商上開設伺服器端廣告環境，來部署Trusted Server相關機制，連結到自家網域。接著，便能用Rust編寫的程式邏輯和設定檔，來控制廣告資料處理與交換。</p> <p>新架構下，出版商更能自主控制，哪些廣告相關資料，於何時何處，會和其他人交換，來確保交換資料的完整性及安全性，不受瀏覽器限制。IAB Tech Lab表示，藉由在CDN的邊緣伺服器來快速處理資料，能減少瀏覽器處理一系列資料交換作業的計算，以及和遠端伺服器來回溝通的負擔，能提升網站讀取與回應速度，強化使用者在出版商網站的體驗。他們期望，出版商能藉著這些效益來增加廣告精確度及曝光量，進而提升廣告收入。</p> <p></p> </div></div></div>
2025/3/25 10:09作者郭又華https://www.ithome.com.tw/news/168050
Nvidia推出AgentIQ開源工具加速跨框架AI代理整合
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Nvidia發布開源工具套件<a href="https://developer.nvidia.com/agentiq">AgentIQ Toolkit</a>，讓開發者在現有架構快速整合多個人工智慧代理，並加速跨框架的代理系統開發與部署。該工具套件特別針對當前人工智慧應用日漸模組化、協作化的趨勢設計，透過將每個代理、工具與工作流程抽象為函式呼叫，讓開發者得以重用既有資源，靈活組合應用場景，而不需重新構建原有技術堆疊。</p> <p>Nvidia<a href="https://docs.nvidia.com/agentiq/latest/intro/why-agentiq.html">強調</a>AgentIQ無關框架的特性，可與包括LangChain、LlamaIndex、Crew.ai、Microsoft Semantic Kernel等市面上常見的代理框架並行運作，也能納入企業自建的Python代理模組。AgentIQ的出現並非要取代現有框架，而是以互補的方式切入，提供更完整的整合、觀測與效能分析機制。對已開始導入代理技術的企業而言，AgentIQ可成為具彈性的基礎設施選項，依專案規模與需求決定導入層級。</p> <p>技術上，AgentIQ核心組件之一是內建的Profiler工具，能精細地遙測記錄每個代理與工具的輸入、輸出Token數、推理延遲與回應時間，並進一步辨識效能瓶頸，例如當特定代理在RAG檢索階段呼叫特定語言模型延遲過高，Profiler可協助找出問題點，評估是否需更換模型或調整提示詞設計。此外，AgentIQ也支援與OpenTelemetry相容的觀測平臺整合，方便系統管理人員即時監控與除錯整體流程。</p> <p>AgentIQ提供一套可重用的代理與工作流程範例，開發者可直接透過Nvidia AI Blueprint開發RAG流程、數位人類溝通介面（Digital Human Communication Interface）或研究型代理應用。AgentIQ同時也相容於MCP（Model Context Protocol），可將經MCP Server提供的工具視為AgentIQ函式，進一步擴展工具使用範疇。</p> <p>AgentIQ內建完整的評估機制，可針對RAG或端對端系統進行一致性測試，並快速評估工具或模型替換對整體結果的影響。這對於部署在企業環境中的多階段代理流程尤為重要，有助於持續改善回答品質與系統穩定性。</p> <p>目前AgentIQ已在GitHub開源釋出，開發者可透過pip快速安裝，也可在本機建置Python環境進行測試。Nvidia預計還會在今年陸續新增多項功能，包括支援軟體工程場景的完整用例、NeMo Guardrails整合、與Dynamo合作的系統層級加速，以及資料回饋與強化機制等。</p> </div></div></div>
2025/3/25 08:10作者李建興https://www.ithome.com.tw/news/168049
【資安日報】3月24日，駭客組織UAT-5918鎖定臺灣關鍵基礎設施而來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國駭客組織鎖定臺灣的情況不時傳出，近期思科揭露的新駭客組織UAT-5918引起資安媒體高度關注，原因是這個駭客組織主要的攻擊目標就是臺灣，而且活動長達2年才被發現行蹤。</p> <p>這批人馬專門針對電信、醫療保健、資訊科技的垂直產業下手，但除此之外，臺灣其他關鍵基礎設施（CI）也遭到攻擊。特別的是，他們也與多組中國駭客的目標及手法存在交集，這樣的情況讓人不禁聯想UAT-5918可能也來自中國。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168051"><strong style="font-size: 22px;">駭客組織UAT-5918鎖定臺灣CI，電信、醫療保健、資訊科技等產業均為目標</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/data-src-image-019256b7-73af-467a-9d93-502c1521196a.jpeg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/data-src-image-019256b7-73af-467a-9d93-502c1521196a.jpeg" style="width: 300px; float: right;" /></a></p> <p>思科旗下的威脅情報團隊Talos揭露駭客組織UAT-5918的攻擊行動，這些駭客自2023年開始，針對臺灣關鍵基礎設施（CI）實體而來，其中包含電信、醫療保健、資訊科技等垂直產業，但也有其他關鍵基礎設施遭到攻擊的情況。UAT-5918通常利用尚未修補的已知漏洞，攻擊網站或曝露在網際網路的應用程式伺服器取得初期入侵的管道，一旦得逞，就會使用大量開源工具進行偵察，從而建立能持續存取受害組織的途徑，主要目的是竊取機敏資訊。</p> <p>特別的是，雖然Talos並未點名UAT-5918身分，但他們特別提及該組織專門針對垂直產業下手、攻擊的地理位置、入侵後續活動，以及戰略、手段、流程（TTP）與多個中國駭客組織有所交集，這些駭客組織包括：Volt Typhoon、Flax Typhoon、Earth Estries、Tropic Trooper、Dalbit，這樣的情況，很難不讓人聯想UAT-5918可能也來自中國。</p> <p><a href="https://www.ithome.com.tw/news/168048"><strong style="font-size: 22px;">思科軟體授權管理工具存在重大漏洞，已有駭客試圖進行利用</strong></a></p> <p>去年9月思科針對旗下用於授權管理的公用程式Smart Licensing Utility修補重大層級的漏洞CVE-2024-20439、CVE-2024-20440，未經授權的攻擊者可遠端利用，兩者的CVSS風險皆達到9.8分，相當危險，如今傳出有實際嘗試利用的情況。</p> <p>SANS網路風暴中心指出，他們發現有人嘗試利用這些漏洞的跡象。攻擊者疑似利用Nicholas Starke公布的漏洞細節，透過API在網路上尋找尚未修補的Smart Licensing Utility，從而入侵這套公用程式並存取事件記錄，然後利用第二個漏洞CVE-2024-20440。</p> <p>雖然SANS並未透露這波攻擊行動的規模，也沒有說明受害的範圍，但他們提及攻擊者似乎也在執行其他攻擊的現象，其中大部分是挖掘組態檔案/web.config.zip，但也有針對數位攝影機（DVR）漏洞的情況，其中一個是中國盈可視（Ncast）智慧錄影及播放系統的RCE漏洞CVE-2024-0305。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/hellcat-hackers-go-on-a-worldwide-jira-hacking-spree/">瑞士電信業者遭鎖定，駭客組織Hellcat對全球Jira伺服器下手</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/03/medusa-ransomware-uses-malicious-driver.html">勒索軟體Medusa發動自帶驅動程式攻擊，利用惡意程式AbyssWorker迴避偵測</a></strong></p> <p><strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/03/medusa-ransomware-uses-malicious-driver.html"></a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.infosecurity-magazine.com/news/albabat-ransomware-linux-macos/">勒索軟體Albabat將攻擊範圍延伸到Linux、macOS裝置</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/hackers-hide-venomrat-malware-virtual-hard-disk-files/">惡意軟體VenomRAT鎖定資安研究員而來，透過虛擬磁碟散布</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168047"><strong style="font-size: 22px;">WordPress外掛WP Ghost有重大漏洞，高達20萬個網站暴露在這個風險之下</strong></a></p> <p>3月20日Patchstack警告WordPress資安外掛WP Ghost存在重大層級的本機檔案包含（Local File Inclusion，LFI）漏洞，若不處理攻擊者有機會遠端利用漏洞，從而執行任意程式碼（RCE），這項漏洞被登記為CVE-2025-26909，CVSS風險評為9.6（滿分10分），相當危險，研究人員呼籲網站管理者應儘速套用5.4.02版外掛程式因應。</p> <p>WP Ghost是相當受到歡迎的免費資安及防火牆外掛程式，有超過20萬個WordPress網站採用，號稱每個月成功封鎖9百萬次暴力破解嘗試，以及阻斷14萬次入侵。而對於如何強化網站的安全，開發者表示此外掛程式能變更或隱藏常見的漏洞，使得駭客或網站機器人難以利用WordPress、外掛程式、佈景主題的弱點。</p> <p>這項漏洞之所以形成，Patchstack指出，由於使用者透過URL路徑輸入的數值驗證方式不夠完備，導致有心人士可趁機讀取或執行本機電腦的檔案（LFI）。研究人員特別提及在大部分的環境組態下，這項漏洞的存在，都有可能讓攻擊者有機會發動RCE攻擊，而且，攻擊者不需通過身分驗證就能利用這項弱點。</p> <p><a href="https://www.ithome.com.tw/news/168046"><strong style="font-size: 22px;">群暉網路攝影機去年找到9.8分重大漏洞，這個月更新公告並揭露細節</strong></a></p> <p>上週NAS廠商群輝更新去年發布的一系列資安公告，這些漏洞是去年10月舉行的漏洞挖掘競賽Pwn2Own Ireland 2024期間找到，其中有一項資安公告Synology-SA-24:24與網路攝影機有關，如今他們公布細節，提醒用戶提高警覺。</p> <p>這項漏洞被登記為CVE-2024-11131，影響BC500、CC400W、TC500等3款網路攝影機，CVSS風險評為9.8分，去年11月群暉發布1.2.0-0525版韌體修補。</p> <p>針對漏洞發生的原因，群暉指出是錄影介面出現記憶體越界讀取（OBR）的情況，使得攻擊者有機會遠端執行任意程式碼（RCE）。</p> <p><a href="https://www.ithome.com.tw/news/167782"><strong style="font-size: 22px;">研究人員揭露Nakivo備份軟體任意讀取檔案漏洞</strong></a></p> <p>資安研究機構watchTowr的研究人員於2月底，公開去年9月發現的Nakivo Backup & Recovery備份軟體管理介面高風險漏洞。Nakivo原廠已於去年11月發布的11.0版更新中修補此漏洞，但迄今尚未對此發布正式的安全公告。</p> <p>這個漏洞CVE-2024-48248，是嚴重性評分8.6的高風險漏洞，存在於Nakivo的網頁管理介面的HTTP請求處理元件Director中，會導致攻擊者繞過身分驗證，任意讀取目標主機的檔案，解決方法是將Nakivo備份軟體更新到11.0.0.88174以後版本。</p> <p>watchTowr研究人員在去年9月便發現並向Nakivo通報這個漏洞，Nakivo在10月承認漏洞存在，並在11月4日發布的11.0版更新中修補此漏洞，但未對此漏洞發布獨立的安全公告，watchTowr研究人員則於今年2月26日公開揭露這個漏洞。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://zhero-web-sec.github.io/research-and-things/nextjs-and-the-corrupt-middleware">開源應用程式框架Next.js存在漏洞，攻擊者恐透過中繼軟體繞過授權</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/168035"><strong>【3月21日】VS Code擴充套件市集成為駭客散布勒索軟體的新管道</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168004"><strong>【3月20日】PHP已知重大漏洞攻擊行動升溫，臺灣是主要攻擊目標</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167955"><strong>【3月19日】11組國家級駭客劍指Windows尚無修補的零時差漏洞，散布惡意LNK檔案發動攻擊</strong></a></p> </div></div></div>
2025/3/24 18:06作者周峻佑https://www.ithome.com.tw/news/168052
採用輝達Grace處理器，美超微推出Arm架構快閃儲存伺服器
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/supermicro_ars-121l-ne316r_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>兩年前，Supermicro（美超微）發表全部採用<a href="https://www.ithome.com.tw/tags/e3s">E3.S</a>或<a href="https://www.ithome.com.tw/tags/e1s">E1.S</a>外形NVMe固態硬碟的儲存伺服器，<a href="https://www.ithome.com.tw/review/156122">當時總共有5款機型</a>，截至目前為止，已推出8款機型，先前根據搭配的處理器平臺為x86架構的英特爾Xeon或AMD EPYC，原本可細分為兩大類，在這個月舉行的Nvidia GTC 2025大會期間Supermicro預告，將在全快閃NVMe儲存伺服器產品線，推出搭配Arm架構Nvidia Grace CPU Superchip處理器的機型，名為ARS-121L-NE316R，搭配1U尺寸機箱與16臺E3.S固態硬碟。</p> <p>綜觀Supermicro在自家公司網站公布的伺服器產品機型，目前搭配Arm架構處理器的產品線，有GPU伺服器（Nvidia Grace與GH200 Grace Hopper），以及主攻超大型資料中心基礎架構的MegaDC系列（Ampere Altra/Altra Max、AmpereOne），隨著ARS-121L-NE316R的登場，正式開拓儲存伺服器搭配Arm架構處理器的選擇，由於這款機型可安裝16臺E3.S外形的NVMe固態硬碟，因此，如果全部採用61.44 TB容量的快閃儲存裝置，整臺伺服器可提供983 TB的原生儲存容量；若在1座42U機櫃裝滿ARS-121L-NE316R，透過40臺伺服器系統，可提供39.3PB的原生儲存容量。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Supermicro Grace-based Storage-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Supermicro%20Grace-based%20Storage-1.jpg" style="width: 600px;" /></a></p> <p>除此之外，ARS-121L-NE316R本身也預留兩個PCIe 5.0 x16插槽，可安裝兩張全高半長介面卡，能搭配<a href="https://www.ithome.com.tw/review/149714">Nvidia ConnectX-7網路卡</a>，以及<a href="https://www.ithome.com.tw/tags/nvidia-bluefield">BlueField-3資料處理器</a>，以此支援Nvidia推動的乙太網路加速平臺<a href="https://www.ithome.com.tw/review/162206">Spectrum-X</a>。而這樣的產品網路擴充組態，令人想到該公司去年10月推出的JBOF機型<a href="https://www.ithome.com.tw/review/166177">SSG-229J-5BE36JBF</a>，當中也搭配BlueField-3資料處理器。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Supermicro Grace-based Storage-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Supermicro%20Grace-based%20Storage-2.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Supermicro%20Grace-based%20Storage-4.jpg" style="width: 600px;" /></p> <p>不過，市面上的軟體定義儲存系統大多基於x86處理器架構而成，Supermicro現在推出採用Arm架構處理器的儲存伺服器，有儲存系統廠商能夠支援這樣的解決方案嗎？ARS-121L-NE316R宣布推出之際，該公司表示，他們正與近年來儲存新創廠商WekaIO（WEKA）合作，發展省電、高效能的儲存系統，針對企業人工智慧與機器學習的訓練、分析、推論應用需求，因應AI工廠的發展願景。</p> <p>雙方合作的目標是發揮WEKA Data Platform的零複製架構優勢、提供巨量快閃儲存系統之餘，也能因為搭配Grace處理器，而獲得耗電量低於x86處理器的能源使用效益，目前在Supermicro的巨量快閃儲存伺服器當中執行WEKA Data Platform，這樣的系統搭配已進入初步測試階段。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Supermicro Grace-based Storage-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Supermicro%20Grace-based%20Storage-3.jpg" style="width: 600px;" /></a></p> <p><strong><span style="color:#008080;">產品資訊</span></strong></p> <p><strong><span style="color:#0000FF;">Supermicro ARS-121L-NE316R</span></strong><br /> ●原廠：Supermicro<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：1U<br /> ●處理器：Nvidia Grace CPU Superchip，內建2顆Nvidia Grace，總共提供144核心<br /> ●記憶體：LPDDR5X，最大容量960GB<br /> ●硬碟容量：16臺E3.S 1T外形固態硬碟+2臺M.2固態硬碟<br /> ●PCIe 5.0擴充介面：4個x16，可安裝2張全高半長介面卡與2張AIOM<br /> ●電源供應器：1600瓦（1+1備援）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/3/24 19:15作者李宗翰https://www.ithome.com.tw/review/168039
思科軟體授權管理工具存在重大漏洞，已有駭客試圖進行利用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年9月思科針對旗下用於授權管理的公用程式Smart Licensing Utility<a href="https://www.ithome.com.tw/news/164861">修補重大層級的漏洞CVE-2024-20439、CVE-2024-20440</a>，未經授權的攻擊者可遠端利用，兩者的CVSS風險皆達到9.8分，相當危險，<a href="https://isc.sans.edu/diary/rss/31782">如今傳出有實際嘗試利用的情況</a>。</p> <p>這兩個漏洞分別與靜態密碼及資訊洩露有關，值得留意的是，在思科發布公告不久，Aruba威脅情報研究員Nicholas Starke<a href="https://starkeblog.com/cve-wednesday/cisco/2024/09/20/cve-wednesday-cve-2024-20439.html">找到與CVE-2024-20439有關的密碼</a>，若是IT人員尚未套用新版公用程式，形同對攻擊者開啟後門。</p> <p>SANS網路暴風中心指出，他們發現有人嘗試利用這些漏洞的跡象。攻擊者疑似利用Nicholas Starke公布的漏洞細節，透過API在網路上尋找尚未修補的Smart Licensing Utility，從而入侵這套公用程式並存取事件記錄，然後利用第二個漏洞CVE-2024-20440。</p> <p>對於CVE-2024-20440這項漏洞，SANS指出起因是特定的事件記錄檔案收集超過應有範圍的資料，使得攻擊者有機會利用檔案留存的特定資訊，來策畫後續的攻擊行為。</p> <p>雖然SANS並未透露這波攻擊行動的規模，也沒有說明受害的範圍，但他們提及攻擊者似乎也在執行其他攻擊的現象，其中大部分是挖掘組態檔案/web.config.zip，但也有針對數位攝影機（DVR）漏洞的情況，其中一個是中國盈可視（Ncast）智慧錄影及播放系統的RCE漏洞CVE-2024-0305。</p> </div></div></div>
2025/3/24 16:35作者周峻佑https://www.ithome.com.tw/news/168048
臺灣關鍵基礎設施遭到與中國駭客有關的組織UAT-5918鎖定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著全球國際局勢日趨緊張，駭客組織對臺灣而來的資安事故頻傳，其中又以中國駭客發動的攻擊行動最多，最近有個新興駭客組織引起研究人員關注，因為這些駭客的主要目標就是臺灣。</p> <p>思科旗下的威脅情報團隊Talos揭露<a href="https://blog.talosintelligence.com/uat-5918-targets-critical-infra-in-taiwan/">駭客組織UAT-5918的攻擊行動</a>，這些駭客自2023年開始，針對臺灣關鍵基礎設施（CI）實體而來，主要目的是竊取機敏資訊。UAT-5918通常利用尚未修補的已知漏洞，攻擊網站或曝露在網際網路的應用程式伺服器取得初期入侵的管道，一旦得逞，就會使用大量開源工具進行偵察，從而建立能持續存取受害組織的途徑。</p> <p>特別的是，雖然Talos並未點名UAT-5918身分，但他們特別提及該組織的入侵後續活動，以及戰略、手段、流程（TTP）與多個中國駭客組織有所交集，這些駭客組織包括：Volt Typhoon、Flax Typhoon、Earth Estries、Tropic Trooper，這樣的情況，很難不讓人聯想UAT-5918可能也來自中國。</p> <p>對於這些駭客發動攻擊的過程，Talos指出駭客通常會尋找曝露於網際網路的伺服器，利用尚未修補的已知漏洞得到初期的存取管道，成功之後便會部署Web Shell，接著進一步偵察，收集使用者、網域名稱、系統資訊，其中包含使用cmdkey命令，並在受害電腦下載可公開取得的紅隊演練工具，在部分活動裡，駭客設置白名單，阻止防毒軟體Microsoft Defender對特定資料夾進行掃描。</p> <p>攻擊者在成功入侵之後的活動，研究人員提及是手動操作進行，並且會試圖找出本機及網域使用者的帳密資料，並且設置新的管理員，目的是建立遠端桌面連線（RDP）等額外的存取管道。</p> <p>至於UAT-5918會使用那些工具作案？Talos提及包含網路工具FRPC、FScan、In-Swor、Earthworm，以及Neo-reGeorg。這些駭客也使用Mimikatz及瀏覽器帳密解析工具來挖掘帳密資料，並透過RDP、WMIC、Impacket進行橫向移動。</p> <p>為了維持存取受害組織的管道，這些駭客會在網頁應用程式部署多個Web Shell，而這些Web Shell大多為ASP或PHP打造而成，其中一種是以權限提升工具JuicyPotato改造的變種。</p> </div></div></div>
2025/3/24 17:51作者周峻佑https://www.ithome.com.tw/news/168051
WordPress外掛WP Ghost有重大漏洞，高達20萬個網站暴露在這個風險之下
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>提供網站防護功能的外掛程式一旦出現漏洞，不僅可能讓其防護能力失效，還有可能讓攻擊者對網站上下其手，而最近專精網站安全的資安業者Patchstack揭露的漏洞，就是這種例子。</p> <p>3月20日Patchstack警告<a href="https://patchstack.com/articles/critical-lfi-to-rce-vulnerability-in-wp-ghost-plugin-affecting-200k-sites/">WordPress資安外掛WP Ghost存在重大層級的本機檔案包含（Local File Inclusion，LFI）漏洞</a>，若不處理攻擊者有機會遠端利用漏洞，從而執行任意程式碼（RCE），這項漏洞被登記為CVE-2025-26909，CVSS風險評為9.6（滿分10分），相當危險，研究人員呼籲網站管理者應儘速套用5.4.02版外掛程式因應。</p> <p>WP Ghost是相當受到歡迎的免費資安及防火牆外掛程式，有超過20萬個WordPress網站採用，號稱每個月成功封鎖9百萬次暴力破解嘗試，以及阻斷14萬次入侵。而對於如何強化網站的安全，開發者表示此外掛程式能變更或隱藏常見的漏洞，使得駭客或網站機器人難以利用WordPress、外掛程式、佈景主題的弱點。</p> <p>這項漏洞之所以形成，Patchstack指出，由於使用者透過URL路徑輸入的數值驗證方式不夠完備，導致有心人士可趁機讀取或執行本機電腦的檔案（LFI）。研究人員特別提及在大部分的環境組態下，這項漏洞的存在，都有可能讓攻擊者有機會發動RCE攻擊，而且，攻擊者不需通過身分驗證就能利用這項弱點。</p> <p>不過，攻擊者想利用這項漏洞利用還是有門檻要克服，那就是：必須設法將WP Ghost的變更路徑功能設置為Lite模式或Ghost模式，而在系統預設狀態之下，這些模式會是停用的。</p> </div></div></div>
2025/3/24 16:00作者周峻佑https://www.ithome.com.tw/news/168047
群暉網路攝影機去年找到9.8分重大漏洞，這個月更新公告並揭露細節
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週NAS廠商群輝<a href="https://www.ithome.com.tw/news/168029">更新去年發布的一系列資安公告</a>，這些漏洞是去年10月舉行的漏洞挖掘競賽Pwn2Own Ireland 2024期間找到，其中有一項<a href="https://www.synology.com/en-global/security/advisory/Synology_SA_24_24">資安公告Synology-SA-24:24</a>與網路攝影機的韌體有關，如今他們公布細節，提醒用戶提高警覺。</p> <p>這項漏洞被登記為CVE-2024-11131，影響BC500、CC400W、TC500等3款網路攝影機產品的韌體，CVSS風險評為9.8分，去年11月群暉發布1.2.0-0525版韌體修補。</p> <p>針對漏洞發生的原因，群暉指出是錄影介面出現記憶體越界讀取（OBR）的情況，使得攻擊者有機會遠端執行任意程式碼（RCE）。</p> </div></div></div>
2025/3/24 14:59作者周峻佑https://www.ithome.com.tw/news/168046
【資安週報】0317~0321，這兩個月曾鎖定臺灣醫院攻擊的勒索軟體CrazyHunter，也開始攻擊臺灣上市公司
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>回顧2025年3月第三星期的資安新聞，勒索軟體CrazyHunter持續鎖定臺灣的狀況最引發關注，不只是先前馬偕、彰基醫院受害，如今也有上市公司「科定」被列為其受害者，這起事故也意味著該組織的攻擊目標，可能從醫療院所擴展至上市櫃公司。而且我們還發現，在該公司發布重大訊息揭露之前，其公司網站首頁遭到惡意置換，對方聲稱加密受害者所有系統並留下勒索訊息。</p> <p>近來還有假冒我國財政部的網釣攻擊，需要政府機關及企業的財務人員注意，今年已有財政部、資安業者、數位發展部相繼提出警告，指出有駭客假冒其名義，以稅務抽查涉稅企業名單、稅務通知、賦稅稽查通知書為幌子從事網釣攻擊。</p> <p>另一臺灣企業要特別注意的風險是弱點管理，去年臺灣資安研究人員揭露與通報的PHP-CGI重大漏洞（CVE-2024-4577），今年1月有攻擊者鎖定日本的未修補企業組織攻擊，如今另一資安業者示警，指出最近一個月臺灣是攻擊者的主要目標。</p> <p>在漏洞消息方面，這一星期3個漏洞利用消息，涵蓋Windows、Tomcat與ChatGPT，雖然美CISA尚未納入已知漏洞利用清單，但值得優先重視。另有Paragon間諜軟體利用零點擊WhatsApp零時差漏洞被揭露，Meta已修補但不會分配CVE編號。</p> <p>●ZDI去年9月發現利用ZDI-CAN-25373漏洞的攻擊行動，鎖定的是Windows尚無修補的零時差漏洞，已有11個國家級駭客用以散布惡意LNK檔案發動攻擊。<br /> ●Apache基金會新修補Tomcat的漏洞CVE-2025-24813，有資安業者發現30小時後已有PoC公布，並且偵測到第一波攻擊。<br /> ●去年ChatGPT commit f9f4bbc被揭露存在SSRF漏洞CVE-2024-27564，如今有資安業者警告已被用於實際攻擊。</p> <p style="margin: 0px;">還有5個漏洞被CISA列入已知被利用漏洞清單，其中兩項我們在2月中與上星期就已經報導，包括Fortinet的漏洞（CVE-2025-24472），以及訊舟科技老舊網路攝影機的漏洞（CVE-2025-1316 ），CISA強調，當漏洞緩解措施無法發揮作用時，應停止使用產品。其他3項我們整理如下：</p> <p>●GitHub Action的tj-actions/changed-files出現與供應鏈攻擊相關的漏洞CVE-2025-30066，將導致日誌列出的敏感的CI/CD憑證與機密資訊發生洩漏狀況。<br /> ●Nakivo備份軟體去年11月修補、今年2月揭露的漏洞CVE-2024-48248<br /> ●SAP NetWeaver應用伺服器平臺2017年修補的漏洞CVE-2017-12637</p> <p>其他重要漏洞修補的消息，還包括：Python程式庫Python JSON Logger、SAML程式庫ruby-saml，以及思科、IBM、Veeam、群暉等。</p> <p>而在威脅態勢方面，有3起消息與網釣與惡意套件散布有關，突顯這類社交工程手法持續受到駭客青睞。</p> <p>●駭客組織Storm-1865發動ClickFix網釣活動被揭露，駭客假借Booking.com名義，對其合作的旅館業者的旅館及相關人士發送釣魚郵件、散布惡意程式。<br /> ●新一起駭客鎖定微軟開源IDE編輯器Visual Studio Code（VS Code）的狀況，有攻擊者鎖定開發人員散布惡意套件ahban.shiba等，意圖植入勒索軟體。<br /> ●中國駭客MirrorFace散布惡意程式ANEL、AsyncRAT的新網釣活動被揭露，不僅入侵後會濫用VS Code內建功能隱匿行蹤，鎖定目標已從日本擴展至歐洲。<br /> ●鎖定WordPress網站的惡意軟體攻擊行動DollyWay被揭露，主機代管業者GoDaddy的資安研究團隊指出駭客已入侵超過2萬個網站。</p> <p style="margin: 0px;">在資安業者動向與防禦方面，有一件重大消息，Google宣布將以320億美元買下資安新創Wiz，還有下列消息也值得留意，包括：Google釋出開源軟體漏洞掃描工具OSV-Scanner的2.0版，Chrome改用Rust重寫字型處理程式庫Skrifa以提升安全性，以及蘋果預告iOS將支援RCS 3.0所新增的E2EE功能，提升與安卓訊息互通安全性。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/167906"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月17日】Fortinet身分驗證繞過漏洞傳出被用於勒索軟體攻擊</span></strong></a></h3> <p>資安業者Fortinet今年1月公布重大層級的防火牆漏洞CVE-2024-55591，但在事隔一個月後在同一則公告提及，還有另一項身分驗證漏洞CVE-2025-24472也遭到利用，但究竟新漏洞如何遭到利用？最近有資安業者公布新的攻擊行動，並指出上述兩項漏洞都遭到利用。</p> <p>針對這項漏洞利用攻擊事故，資安業者Forescout透露是勒索軟體SuperBlack的攻擊行動，值得留意的是，他們發現駭客使用不同管道來攻擊防火牆設備，但實際上都是為了觸發相同的漏洞。</p> <h3><a href="https://www.ithome.com.tw/news/167922"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月18日】駭客組織CrazyHunter聲稱攻擊臺灣上市公司科定</span></strong></a></h3> <p>3月初彰基醫院證實連假期間遭遇網路攻擊，經衛福部介入協助之後，確認是勒索軟體駭客CrazyHunter所為，研判在馬偕和彰基之後，駭客會尋找下一間醫院發動攻擊。但如今，傳出這些駭客針對臺灣其他產業下手的情況。</p> <p>昨天上市公司科定發布資安重訊，表示他們遭遇網路攻擊。而對於攻擊者的身分，CrazyHunter表明是他們所為，並竄改科定的網站向該公司施壓。</p> <p><a href="https://www.ithome.com.tw/news/167955"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月19日】11組國家級駭客劍指Windows尚無修補的零時差漏洞，散布惡意LNK檔案發動攻擊</span></strong></a></p> <p>今天最受到關注的資安新聞，莫過於一項被利用8年以上的零時差漏洞，將其用於攻擊行動的國家級駭客就有11組人馬，但這項發現受到矚目的原因，在於研究人員通報後廠商表示不會進行修補。</p> <p>這種情況已非首例，企業或許能透過入侵防禦系統（IPS）的虛擬修補（Virtual Patching）機制來因應，但對於個人用戶而言，可能就難以尋求其他防護機制自保。</p> <h3><a href="https://www.ithome.com.tw/news/168004"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月20日】PHP已知重大漏洞攻擊行動升溫，臺灣是主要攻擊目標</span></strong></a></h3> <p>PHP-CGI重大漏洞CVE-2024-4577在揭露後很快就傳出災情，不僅有<a href="https://www.ithome.com.tw/news/163417">勒索軟體將其作為入侵受害組織的手段</a>，也有<a href="https://www.ithome.com.tw/news/164597">臺灣的大學被植入後門程式</a>。事隔半年，漏洞利用的事故再度傳出，而且，駭客的主要目標就是臺灣。</p> <p>根據資安業者Bitdefender的調查，他們發現駭客在近一個月相關攻擊出現顯著增加的情況，與過往不同的是，已有駭客將受害主機用來挖礦，或是部署其他惡意軟體從事其他活動。</p> <h3><a href="https://www.ithome.com.tw/news/168035"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月21日】VS Code擴充套件市集成為駭客散布勒索軟體的新管道</span></strong></a></h3> <p>近期駭客濫用微軟開源IDE編輯器Visual Studio Code（VS Code）的情況不時傳出，在我們本週報導<a href="https://www.ithome.com.tw/news/167954">中國駭客MirrorFace利用這套IDE工具的內建功能隱匿行蹤之後</a>，又有駭客上架有問題的擴充套件，意圖散布勒索軟體。</p> <p>值得留意的是，有研究人員向資安新聞網站透露，駭客早在4個月前就開始上架能發動攻擊的惡意套件，他們當時通報此事卻疑似因為鮮少用戶下載而被忽視，這代表微軟可能得調整相關機制來因應。</p> </div></div></div>
2025/3/24 09:42作者羅正漢https://www.ithome.com.tw/news/168041
模擬消費者行為，以協助企業定價與行銷的AI新創Buynomics完成3,000萬美元的B輪融資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2018年成立於德國，主要開發營收成長管理（Revenue Growth Management，RGM）的AI新創Buynomics，<a href="https://www.buynomics.com/articles/buynomics-secures-30m-series-b-funding" target="_blank">上周宣布已完成由Forestay Capital領投的3,000萬美元的B輪融資</a>，新資金將支援以北美為主的全球擴張行動，並進一步強化虛擬買家（Virtual Shoppers）的AI技術。</p> <p>傳統的RGM通常仰賴單一工具或孤立的分析方法，分別處理定價、促銷或產品組合等不同的槓桿，例如分析價格彈性清單或銷售資料，每個資料集都單獨運作並缺乏整合，並依賴外部顧問來協助決策；此外，傳統的RGM多半只分析主要競爭者的影響，較少涉及產品單位級別的粒度分析；經常是在市場變動之後才反應，而非提前預測或主動規畫。</p> <p>而Buynomics即導入AI來突破傳統RGM的限制，可以提高整合效率，強化競爭優勢，並主動預測以調整對未來的挑戰。</p> <p>基於AI的RGM軟體可對所有的營收槓桿進行整體最佳化，藉由將複雜的市場資料轉化成AI代理，讓Buynomics平臺成為以消費者為中心之營收決策的唯一來源。</p> <p>Buynomics表示，該公司的AI平臺藉由精確模擬現實世界買家的行為，來改變企業的最佳化定價、促銷與產品組合的方式，客戶包括達能（Danone）、聯合利華（Unilever）、歐萊雅（L’Oréal）與沃達豐（Vodafone）等知名品牌，最多可縮短80%的分析時間，同時推動2~4%的毛利成長，讓企業在不同地區、產品組合與通路即時提高收入、獲利能力與市場地位。</p> <p>根據Buynomics的官網介紹，該公司所開發的虛擬買家擁有與真實買家一樣的產品偏好及購買行為，可於提供產品報價時，完全複製真實買家的購買模式，企業還能將虛擬買家整合到所有的相關資料中，從銷售與交易資料、客戶調查到行為定價等，以了解時間或外部事件對購買決策的影響。</p> <p>目前Buynomics約有逾70名員工，服務全球超過25個國家的客戶。</p> </div></div></div>
2025/3/24 12:35作者陳曉莉https://www.ithome.com.tw/news/168044
騰訊發表推論模型Hunyuan T1以與DeepSeek R1競爭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國騰訊上周<a href="https://llm.hunyuan.tencent.com/#/blog/hy-t1?lang=en" target="_blank">發表推論模型Hunyuan-T1（渾元-T1）</a>，以與境內競爭對手DeepSeek所推出的DeepSeek R1競爭，雙方在效能與價格上相當。<a href="https://www.scmp.com/tech/big-tech/article/3303456/tencents-hunyuan-t1-ai-reasoning-model-rivals-deepseek-performance-and-price?module=perpetual_scroll_0&pgtype=article" target="_blank">根據南華早報的報導</a>，Hunyuan-T1每輸入100萬個Token收費1元人民幣，每百萬個Token的輸出則是4元人民幣，至於DeepSeek R1則有區分白天與夜間的價格，白天每100萬個Token的輸入是1元，輸出是16元，但夜間分別降至0.25元與4元。</p> <p>Hunyuan-T1是以騰訊今年3月發表的大型模型TurboS（快思聰）為基礎，再藉由大規模的後訓練，把96.7%的運算能力投入強化學習訓練，專注於提升推理能力，以期更符合人類的偏好。</p> <p>TurboS是個結合Transformer與Mamba架構的混合模型，並採用專家混合（MoE）技術。其中，Transformer架構擅長捕捉脈落之間的關係，適合處理複雜的語言架構；Mamba則是基於結構化的狀態空間模型，可高效處理長序列資料，降低運算的複雜度；MoE則負責把資料分配給特定的專家模型，以提升推理速度並減少資源消耗。騰訊指出，Mamba優化了長序列的處理能力，在同樣的部署條件下，其解碼能力提升2倍。</p> <p>騰訊比較了Hunyuan-T1、DeepSeek R1、GPT 4.5及o1在綜合知識的記憶與理解能力MMLU-PRO、專注於專業領域知識及複雜科學推理的GPQA-diamond、測試程式碼設計能力的LiveCodeBench、解決數學能力的MATH-500、指令遵循能力的ArenaHard，以及文化與創意等基本測試的表現，顯示Hunyuan-T1與其它競爭對手的表現相當，亦或有超越。</p> <p>此外，Hunyuan-T1在內部人類評估資料集的表現亦與DeepSeek R1相當。</p> <p><a href="https://github.com/Tencent/llm.hunyuan.T1/blob/main/README_EN.md" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0324-Tencent_Hunyuan-T1_benchmark.png" style="width: 600px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／騰訊</span></span></p> </div></div></div>
2025/3/24 11:43作者陳曉莉https://www.ithome.com.tw/news/168043
Android 16為Tensor GPU-based Pixel手機提升效能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.reddit.com/r/pixel_phones/comments/1jfs0hb/vulcan_gpu_geekbench_doubled_in_android_16/?rdt=54731" target="_blank">用戶發現</a>，Google<a href="https://developer.android.com/about/versions/16/overview?hl=zh-tw" target="_blank">本月釋出的Android 16 Beta 3版</a>可使搭載Tensor GPU的Pixel手機大幅提升效能。</p> <p>Reddit用戶在為其Pixel 7a升級Android 16 Beta版後，表示在標竿測試中效能大幅成長。根據他貼出的數據，Vulkan GPU Geekbench效能提升了將近1倍，而OpenCL也成長了超過75%。用戶說Android 16使其舊Pixel手機GPU運行效能有如最新的Pixel 9。但新Android似乎並未對CPU帶來改變。</p> <p>另一名用戶測試安裝最新Android Beta的Pixel 6 Pro，跑分結果是提升32%。</p> <p>Tensor是Google自行研發的晶片，用於自家Pixel系列手機。最新的G4用於去年推出的Pixel 9。</p> <p>至於GPU效能提升的原因，用戶相信可能是因為最新作業系統包含最新GPU驅動程式。</p> <p><a href="https://www.androidauthority.com/pixel-phones-gpu-performance-boost-3537248/" target="_blank">Android Authority記者整理出Android 15以後</a>，各代Tensor-based Pixel手機使用的GPU驅動程式版本。按照這個表，Android 15 QPR2（March 2025 Pixel Drop），也包含新版GPU驅動程式。</p> <p>Geekbench GPU等標竿測試的數據，在真實世界也有意義。Geekbench GPU測試可量測包括機器學習、電腦視覺等日常應用，因此Android 16的推出，未來也能提升Tensor-based Pixel手機執行AI應用的效用。</p> <p>此刻安裝Android 16 Beta 3或許可帶來更好的效能，但也可能有風險。Google稱Beta 3是第一個包含最終API和行為的平臺穩定性里程碑（milestone），但可能仍有些未知臭蟲。為保險起見，Android手機用戶最好到6月的穩定版釋出。</p> </div></div></div>
2025/3/24 10:50作者林妍溱https://www.ithome.com.tw/news/168042
蘋果AI高層異動，由Vision Pro主管接掌Siri團隊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bloomberg.com/news/articles/2025-03-20/apple-vision-pro-chief-mike-rockwell-named-siri-head-giannandrea-keeps-ai-role?srnd=undefined" target="_blank">彭博報導</a>，蘋果執行長庫克（Tim Cook）近日對AI部門動刀，調派Vision Pro主管接管開發Siri的團隊。</p> <p>在Google開發Gemini、OpenAI ChatGPT興起同時，蘋果也力圖以AI現代化Siri，外界也預期iPhone加入新一代的Siri，然而這個期望一次次落空。報導指出，庫克已對負責Siri的John Giannandrea失去信心，決定讓主管開發智慧眼鏡的Vision產品部門的Mike Rockwell取代。</p> <p>帶著沒有重大更新的Siri的iPhone 16e推出不久後，<a href="https://daringfireball.net/2025/03/apple_is_delaying_the_more_personalized_siri_apple_intelligence_features" target="_blank">蘋果對知名部格格Daring Fireball證實</a>，更智慧、更個人化的Siri推出時程「要比預期再久一點」，得延到2026年。<a href="https://www.theverge.com/news/629940/apple-siri-robby-walker-delayed-ai-features" target="_blank">彭博另外也報導</a>Siri部門內部因為Siri開發進度落後，緊張情緒升高，甚至開發出來的功能1/3時間無法運作。報導引述Siri部門主管之一Robby Walker在內部會議中提到，蘋果現有計畫是新Siri功能隨iOS 19推出，但「不表示一定能如期出貨」。</p> <p>在Vision Pro及Siri部門異動下，Rockwell將向蘋果軟體事業群主管Craig Federigh報告，而原有Vision產品部門負責硬體工程的Paul Meade則將接任最高主管。</p> <p>Google和Amazon已端出部門革新AI的成果。<a href="https://www.ithome.com.tw/news/167889" target="_blank">Google上周宣布</a>Gemini聊天機器人將在今年全面取代Google Assistant，而<a href="https://www.ithome.com.tw/news/167595" target="_blank">Amazon也在2月底推出</a>有AI加持的付費版Alexa Pro，可成為控制Echo及第三方硬體的智慧家庭中樞。</p> </div></div></div>
2025/3/24 10:06作者林妍溱https://www.ithome.com.tw/news/168040
搭配自家NPU與AMD DPU，思科打造新一代智慧型網路交換器
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/cisco_n9300_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>環顧市面上的資料處理器（DPU）／基礎設施處理器（IPU）產品，絕大多數都是安裝在伺服器，AMD旗下的Pensando DPU是唯一能安裝在網路設備的產品，例如，在2021年10月，HPE Aruba（現稱為HPE Aruba Networking）率先推出採用Pensando Elba DPU的交換器<a href="https://www.ithome.com.tw/review/147554">CX10000</a>。</p> <p>時隔3年之後（2024年6月），思科在Cisco Live Las Vegas 2024大會，預告第四季推出400Gb等級的服務加速交換器，機型名稱為8102-28FH-DPU-O，當中搭配思科本身發展的網路處理器（NPU）／ASIC晶片Silicon One Q200L，以及8個AMD Pensando Elba DPU（DSC-200），提供12.8 Tbps頻寬（網路交換11.2 Tbps加上DPU處理1.6 Tbps）。根據思科公布的8100系列路由器產品概要文件指出，8102-28FH-DPU-O是他們發展的第一代智慧型交換器（Smart Switch，<a href="https://blogs.cisco.com/tag/smart-switch">這個名稱與思科中小企業網路交換器產品線的智慧型交換器相同</a>）。</p> <p>到了今年2月舉行的Cisco Live Amsterdam 2025大會，思科發表另一款智慧型交換器N9300系列，以此整合<a href="https://newsroom.cisco.com/c/r/newsroom/en/us/a/y2024/m04/cisco-reimagines-security-for-data-centers-and-clouds-in-era-of-ai.html">去年4月發表</a>、基於開放原始碼eBPF而成的分散式AI原生資安架構Cisco Hypershield，這款交換器搭配思科新款ASIC晶片Silicon One E100，以及嵌入型DPU，能夠顛覆既有AI資料中心網路環境的設計，並且將安全性直接融入網路架構。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco Smart Switch-2025-02.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20Smart%20Switch-2025-02.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/N9300-TFD-2025-05.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/N9300-TFD-2025-05.jpg" style="width: 600px;" /></a></p> <p>在軟體的部分，N9300系列搭配作業系統Cisco NX-OS，上市初期可支援網路第三層（L3）的功能（L2與其他增益功能將於後續版本推出），以及資料中心網路軟體授權訂閱服務Cisco Data Center Networking（DCN）。根據思科發布的常見問答集指出，N9300系列的DPU預設停用，若要啟用，企業需具備Cisco Hypershield的授權，以及Cisco Security Cloud Control（內含Cisco Hypershield），如要運用DPU的功能，企業須具備DCN的最高階授權（DCN Premier）。</p> <p>N9300 Smart Switch首波供應的產品款式，機型為N9324C-SE1U，內建24個100GbE網路埠，預計今年春季出貨（4月正式推出），思科也預告N9300系列將推出另一款置頂機櫃型交換器（Top-of-Rack，ToR），機型為N9348Y2C6D-SE1U，內建48個25GbE埠、兩個100GbE埠，以及6個400GbE埠，希望能於夏季開始供貨（5月開放用戶與合作廠商的早期實地測試，7月正式推出）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/N9300-TFD-2025-01.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/N9300-2025-02-1.jpg" style="width: 600px;" /></p> <p>就上述搭配的兩種晶片而言，思科解釋N9300系列能夠從中獲取的特色。以Cisco Silicon One E100為例，可供應高速網路連線、豐富的遙測功能、與網路線速相當的流量加密處理效能，以及電源使用效率，能夠充分支援當代資料中心的工作負載需求；而在AMD DPU的部分，能協助Cisco Smart Switch提供800 Gbps的服務吞吐能力，思科表示，有了DPU，能加速處理個別的網路與資安服務，像是有狀態的網路分段（stateful segmentation）、大規模的網路位址轉換（large-scale NAT）、IPsec加密、基於事件而成的網路遙測、DDoS攻擊防護。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/N9300-2025-02-3.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco Switching ASIC and DPU capabilities.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20Switching%20ASIC%20and%20DPU%20capabilities.png" style="width: 600px;" /></a></p> <p>對於N9300系列交換器而言，第一個支援的服務，將會是搭配Cisco Hypershield、針對網路第四層（傳輸層）實施網路分段（Zone-based segmentation，分隔為多個區域）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/N9300-TFD-2025-02.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/N9300-TFD-2025-02.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/N9300-TFD-2025-03.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/N9300-TFD-2025-03.jpg" style="width: 600px;" /></a></p> <p>這套解決方案能夠聰明地將網路流量從交換器ASIC晶片，重新導引至DPU，思科表示，相較於傳統IT基礎架構，可大幅減少存取延遲，並且透過硬體整併，可減少耗電量與占用的機櫃空間，簡化維運作業，促成顯著的成本節約。</p> <p>Smart Switch與Hypershield的整合之後，上層的管理工作會由雲端資安設備集中管理平臺Cisco Security Cloud Control（簡稱SCC，前身為Cisco Defense Orchestrator）統籌，負責資安政策的建立與部署，資安維運團隊（SecOps）可藉此針對不同網路工作負載、雲端環境，執行資安政策的內容撰寫、測試，以及調度指揮。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/N9300-2025-02-2.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/Cisco Hypershield-2025-02.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Cisco%20Hypershield-2025-02.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/N9300-TFD-2025-Management4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/N9300-TFD-2025-Management4.jpg" style="width: 298px;" /></a></p> <p>單就Smart Switch本身的管理而言，思科提供資料中心網路自動化與維運平臺Cisco Nexus Dashboard，能用於管理交換器、DPU、網路政策，可根據網路維運團隊（NetOps）的角色與職責，提供量身打造的專屬工作流程。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/N9300-TFD-2025-Management3.jpg" style="width: 198px;" /> <a href="https://s4.itho.me/sites/default/files/images/N9300-TFD-2025-06-Dashboard.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/N9300-TFD-2025-06-Dashboard.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/N9300-TFD-2025-06-Dashboard2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/N9300-TFD-2025-06-Dashboard2.jpg" style="width: 198px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/N9300-TFD-2025-Management.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/N9300-TFD-2025-Management.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/N9300-TFD-2025-Management-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/N9300-TFD-2025-Management-2.jpg" style="width: 298px;" /></a></p> <p>關於Smart Switch與Hypershield的實際應用方式，思科目前規畫4種案例，分別是：上述提及的網路分段、防護雲端邊緣環境（Secure cloud edge）、防護資料中心互連（Secure Data center interconnect）、作為置頂型機櫃交換器提供網路分段與政策強制控管（ToR with stateful segmentation）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/N9300-TFD-2025-Management5.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/N9300-TFD-2025-Management5.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/N9300-TFD-2025-06-Usecase1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/N9300-TFD-2025-06-Usecase1.jpg" style="width: 298px;" /></a><img alt="" src="https://s4.itho.me/sites/default/files/images/N9300-TFD-2025-06-Usecase2.jpg" style="width: 298px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/N9300-TFD-2025-06-Usecase3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/N9300-TFD-2025-06-Usecase3.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/N9300-TFD-2025-06-Usecase4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/N9300-TFD-2025-06-Usecase4.jpg" style="width: 298px;" /></a> </p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><span style="color:#0000FF;"><strong>Cisco N9300系列Smart Switch</strong></span><br /> ●原廠：Cisco<br /> ●建議售價：廠商未提供<br /> ●機型：N9324C-SE1U、N9348Y2C6D-SE1U<br /> ●網路介面：N9324C-SE1U提供24個100GbE埠，N9348Y2C6D-SE1U提供48個25GbE埠+ 6個400GbE埠+2個100GbE埠<br /> ●機箱尺寸：1U<br /> ●運算元件：英特爾16核心處理器、96 GB記憶體、480GB固態硬碟，思科ASIC晶片Silicon One E100（4.8 Tbps），AMD Pensando DPU（128GB記憶體、800Gbps服務吞吐量，N9324C-SE1U搭配4個Elba，N9348Y2C6D-SE1U搭配2個Giglio）<br /> ●封包緩衝容量：64 MB<br /> ●電源供應器：1400瓦<br /> ●風扇：6臺<br /> ●作業系統平臺：Cisco NX-OS</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/3/23 16:51作者李宗翰https://www.ithome.com.tw/review/167957
遠通電收IT成為轉型先鋒，不只技術自主還能輸出海外
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">不少開車的人都有過這樣的經驗，從停車場離開時，經常得排隊繳費，有時還得花不少時間尋找繳費機，對於開車族而言，停車繳費這件事相當不便。現在透過eTag搭配App，也能代繳路邊停車費，離場前不需要事先繳費，從北到南許多停車場都支援。這項停車繳費服務的基礎，來自國內營運超過10年的ETC電子收費系統。</p> <p dir="ltr">2006年國道電子收費上路，2013年正式取代人工，國道上不再設置人工收費站，改由高速公路設置的門架，自動感應往來車輛上安裝的eTag，系統自動計費，通行車輛不再需要減速。這項國道收費的自動化發展，是國內交通運輸發展史的重要里程碑。</p> <p dir="ltr">負責維運管理國道ETC收費的遠通電收，歷經國道電子收費開通初期的陣痛期，經過10多年的發展，現在這套電子收費服務每天處理的通行交易筆數約1,700萬，過年期間交易筆費更可高達2,000多萬筆。</p> <p dir="ltr">一路參與國道收費電子化發展的遠通電收資訊處協理鄭之偉，是關鍵推手。他曾在安泰人壽、遠傳電信的資訊部門工作，後來進入遠通電收帶領研發團隊，參與國道收費電子化，現在帶領整個遠通電收資訊部門。</p> <p dir="ltr"><span style="color:#B22222;"><span style="font-size:28px;"><strong>導入雲端及微服務改善服務穩定性</strong></span></span></p> <p dir="ltr">回憶起當初國道電子收費服務上線前已通過完整測試，有能力處理大量通行車輛的計費工作，但是，民眾對剛上路的系統不熟悉，甚至信任感不足，App或網站的交易扣款紀錄查詢量暴增，超出系統原先的承載量設計，也影響到使用者體驗，ETC上線初期引發使用者抱怨及外界批評的聲浪，使得遠通電收全公司上下面臨龐大的壓力。</p> <p dir="ltr">雖然當年的系統設計可以處理上千萬筆交易，但仍不敷瞬間湧入的龐大查詢量，鄭之偉表示，資訊團隊不斷改善收費服務及App，建立民眾的信心，查詢量已經減少，隨著雲端及微服務興起，相關的服務及技術都愈來成熟，現在網站及App已陸續導入微服務，如果再遇到瞬間爆量查詢，會將網站及App服務移到雲端，利用雲端服務彈性擴充資源，避免重蹈覆轍，如今停車場服務也採用微服務架構及公有雲服務，以應付臨時大量的使用需求。</p> <p dir="ltr"><span style="color:#B22222;"><span style="font-size:28px;"><strong>導入AI協助辨識車牌</strong></span></span></p> <p dir="ltr">除了導入雲端及微服務架構，來提升ETC服務的穩定性，ETC計費的基礎是正確地識別車輛、計算應繳交的通行費、完成扣款。現有819萬輛車安裝了eTag，安裝率超過9成，但是，仍有約5%車輛因為種種因素沒有安裝，這些車輛行駛於高速公路，只能靠高速公路門架上的攝影機拍攝影像，事後再辨識車牌號碼，由車主自行繳交費用。</p> <p dir="ltr">但在2014年時，車牌號碼辨識採用的是「工人智慧」，全靠人工處理，當時，遠通聘請173人負責專門辨識車牌號碼，每天得辨識約多達14萬輛車的車牌。這項工作不只高度依賴人力，而且過程枯燥，容易出錯，再加上，攝影機拍攝的照片，有時候因為天候不佳、起霧、下雨，光線過亮或過暗，甚至是空中落葉、車牌上的泥巴等狀況而影響畫面，便可能誤判成其他車牌號碼。不僅造成誤繳費的車主困擾，每一次車牌辨識錯誤，更會動搖外界對ETC信心，因此，如何正確辨識車牌，成了遠通電收的重要課題。</p> <p dir="ltr">後來，他們導入人工智慧來辨識車牌號碼，但是如同前面所說的，即使依靠人工智慧處理大量車牌辨識工作，天氣、各種情境下所拍攝到的高速行駛車輛影像，要正確辨識車牌仍不容易正確辨識，如果遇到AI無法辨識的車牌，再交由人工進一步審視。</p> <p dir="ltr">遠通投入數年時間，不斷優化人工辨識車牌技術，他們在內部成立一支跨部門團隊，除了資訊部門參與之外，還有業務、機電、服務、溝通等人員，專門審視車牌辨識誤判的影像，分析出錯的原因，除了優化人工智慧辨識車牌，還包括資料檢核、車道影像，目標是提高AI辨識車牌號碼的正確性，以及交易資料檢核自動化，以降低人工處理的需求。</p> <p dir="ltr">針對容易造成誤判的各種情境影像，為了強化車牌辨識，他們也發展出商業智能來克服，例如當車輛經過門架時，攝影機拍攝的影像，當下的車牌可能被落葉、雨水遮擋難以辨識，當車輛行至下一個門架，再利用拍攝的影像來交叉比對。另外，門架上的攝影機也非一成不變，會自動調整，在拍攝車輛前，先偵測當下環境光線強弱，調整相機參數，以克服車牌影像過曝或過暗的問題。至於某些場合下的車牌影像容易出現的眩光，也在相機內採用特殊設計的紙質過濾光線，減緩眩光。</p> <p dir="ltr">在AI的協助之下，遠通電收辨識車牌的人力降至約70多人，以人工辨識車牌的數量降到每天約3.5萬個，大幅減少了7成5人工車牌辨識需求，誤判的車輛數降到8例，只有2014年每日誤判數的十分之一。</p> <p dir="ltr">高速公路局也與執法單位合作，運用ETC的車牌辨識技術，當辨識到兩地出現相同車牌的車輛，交叉比對資料揪出使用假車牌的汽車，以協助執法單位查緝假車牌案件，後來遠通電收成功將這項AI車牌辨識技術輸出到泰國。</p> <p dir="ltr"><span style="color:#B22222;"><span style="font-size:28px;"><strong>擴大資訊團隊掌握技術自主</strong></span></span></p> <p dir="ltr">ETC上線後，不斷改進系統及服務，鄭之偉形容這段時間是內部IT發展的穩定期，ETC服務日趨穩定後，遠通開始擴增IT人力，目前約70位，占整個公司員工約六分之一。</p> <p dir="ltr">為了掌握核心技術的自主發展能力，ETC開始將原本委外或使用國外方案的核心技術，像是帳務支付系統，或是初期採用國外技術的AI車牌辨識，改由資訊團隊自行研發，也和工研院、新創業者合作，不斷優化AI車牌辨識技術。</p> <p dir="ltr">資訊團隊的擴大，讓遠通電收有能力根據業務需要開發，甚至將資訊服務結合業務專案輸出，例如遠通電收將車牌辨識技術、停車管理平臺、eTag支付系統，提供給停車管理業者使用，讓安裝eTag的車輛車主不需排隊繳費，直接能將車輛駛離停車場，後端系統自動完成eTag扣款交易，部分停車場甚至沒有出入柵欄，進出全靠車牌辨識，汽車甚至不用暫停等待車牌完成辨識。</p> <p dir="ltr">鄭之偉表示，為擴大eTag用戶的使用體驗，讓用戶不只能在國道上使用，在其他場域也能使用，這是遠通電收積極轉型發展的業務之一。相較於國道ETC收費為比較單一的支付環境，不同停車管理場域複雜，且市場高度競爭，因此在發展數位停車業務上，遠通IT扮演了重要的角色。</p> <p dir="ltr">鄭之偉表示，傳統的資訊人員角色以資訊系統維護管理、開發為主，在總經理支持下，鄭之偉自己也親自到馬來西亞、菲律賓等國家拜訪客戶，他也鼓勵下屬轉換心態，讓熟悉各領域的資訊同仁擔任業務工程師，以顧問身分和業務員一起向停車服務業者說明，為了鼓勵資訊人員參與訪談客戶需求、參與設計，之後如果拿下案子後，IT人員也有機會和業務同樣享有獎勵。</p> <p dir="ltr">前幾年的IT發展以技術自主為主，「近兩三年，開始鼓勵技術人員心態轉型，訓練他們擔任業務工程師（Pre-sale），和業務人員一起拜訪客戶，介紹資訊系統特色並訪談客戶的需求。」鄭之偉說。遠通IT從內部後勤支援到化身為解決方案顧問，將自家資訊系統及服務對外輸出。</p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/1226-CIO-%E9%81%A0%E9%80%9A%E9%9B%BB%E6%94%B6-%E6%8A%BD%E8%A8%80.jpg" style="width: 600px;" /></p> <p dir="ltr">不論是因應自家ETC系統及eTag服務優化，或是將ETC系統對外輸出給，也想要建置電子收費系統的國家，依其需求客製化調整，或是系統及服務給國內停車服務業者。</p> <p dir="ltr">從國道收費電子化，到擴展eTag用戶的繳費應用，擴大停車管理資訊服務，業務上的轉型發展，促成遠通電收IT跟著調整。</p> <p dir="ltr">鄭之偉表示，過去國道收費的環境較為單純，但是進入停車管理產業，每個停車場域的案場條件不同，需要依照停車管理業者的需求調整，而且停管業者取得土地使用標案，也都希望儘早推出停車服務，這幾年隨著業務需求的多樣且快速變化，促使遠通擴大IT團隊掌握自主技術，讓工程師角色轉變，走向第一線與停管業者直接討論溝通需求，跨足停車管理資訊服務，促成遠通IT跟著改變。</p> <p dir="ltr">在開發方面，傳統的瀑布式開發模式已難以滿足客戶及市場的需要，市場及客戶的需求不斷變化，在公司高層，特別是遠通電收執行董事兼總經理張永昌的支持下，他們決定導入敏捷開發，以因應客戶的需要。</p> <p dir="ltr">傳統的瀑布式開發需花費較長的時間，如果系統、功能開發完成，可能已不符合消費者，以及停車管理業者的需求，趕不上市場的變化，因此從瀑布式開發走向敏捷開發，突破傳統以部門為單位的方式，他們組成敏捷開發團隊，由專案需要的人才及對專案有興趣的員工組成，通過快速的開發測試更版，讓App或後臺管理功能能夠跟上消費者及停管業者的需要。</p> <p dir="ltr">由於同一時間遠通電收可能服務不同的停車管理業者，這些業者的停車場域條件、需求也不相同，因此遠通電收也將團隊可能畫分不同的專案，各家停管業者停車服務開業的時間不同，遠通電收內部專案各自推動敏捷開發，提高開發的效率。</p> <p dir="ltr">鄭之偉表示，除了技術人員，營運單位也一起參與推動Scrum，透過導入敏捷開發，現在快速迭代，每周要發布好幾個版本。</p> <p dir="ltr">從ETC跨足到停車管理資通訊服務，遠通電收仍以eTag使用者為核心，增加eTag的使用，讓eTag用戶有更豐富的服務體驗。他們還成立專門的子公司遠創智慧，專門提供道路電子化收費、停車管理服務、車輛即服務等系統開發及維運經驗，對外輸出服務外部的客戶，包括海外的客戶。</p> <p dir="ltr">遠通電收從國道電子收費初期，走過外界質疑的低谷，透過不斷調整優化，重建消費者的信心，同時也練出IT改善系統穩定度的好功夫，現在IT更積極配合公司轉型，提供資訊系統及顧問服務對外輸出，讓IT從幕後走向幕前，成為遠通電收轉型的先鋒。</p> <hr /> <p dir="ltr"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CIO小檔案 </span></strong></span></p> <p dir="ltr"><strong>遠通電收資訊處協理鄭之偉</strong></p> <p dir="ltr">學歷：中山大學應用數學系</p> <p dir="ltr">經歷：曾在ING 安泰人壽資訊處任職，2000年進入遠傳電信擔任系統工程師及程式設計師，2005年加入遠通電收，歷任開發部副理、開發部經理，一路參與國道ETC服務的開發工作，並在2020年升任資訊處協理，帶領資訊部門團隊至今。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/1226-CIO-%E9%81%A0%E9%80%9A%E9%9B%BB%E6%94%B6-260.jpg" style="width: 260px;" /></p> <p dir="ltr"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p dir="ltr"><strong>遠通電收</strong></p> <p dir="ltr">●地址：新北市板橋區新站路16號15樓</p> <p dir="ltr">●成立時間：2004年</p> <p dir="ltr">●主要業務：國道電子收費營運、數位停車服務</p> <p dir="ltr">●員工數：550人</p> <p dir="ltr">●資本額：30億元</p> <p dir="ltr">●董事長：徐旭東</p> <p dir="ltr">●總經理：張永昌</p> <p dir="ltr"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 資訊部門檔案 </span></strong></span></p> <p dir="ltr">●資訊部門主管職稱：資訊處協理</p> <p dir="ltr">●資訊部門主管姓名：鄭之偉</p> <p dir="ltr">●資訊部門人數：約70人</p> <p dir="ltr"><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> IT大事記 </span></strong></span></p> <p dir="ltr">●2014年：國道電子計程收費系統啟動、ETC App上線</p> <p dir="ltr">●2018年：停車場導入AI車牌辨識系統</p> <p dir="ltr">●2019年：臺北市開放路邊停車可使用eTag停車扣繳服務，成為第一個導入的縣市</p> <p dir="ltr">●2020年：uTagGo App上線，會員可申辦eTag智慧停車代扣繳服務，不需下車、開車、排隊繳費，且可代扣路邊停車費服務。</p> <p dir="ltr">●2021年：推動電子收費核心技術國產化，收費系統改由AI影像辨識技術，以自動辨識車牌號碼，取代過往使用國外車牌辨識引擎。導入大數據優化維護效率，預測設備作為維護管理依據，提升服務可用度。</p> <p dir="ltr">●2023年：成立首個使用微服務架構的綠色數位停車場，迎合停車場應用場景快速迭代更新，導入微服務設計及Kubernetes管理平臺，結合CI/CD快速更版，提升效率及系統可用度。</p> <p dir="ltr">●2024年：導入7x24全天候AI智能客服功能，民眾透過line文字智能客服及語音即自助辦理ETC業務異動服務。</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1226-cio-yuan_tong_-960.jpg" width="960" height="420" alt="" title="遠通電收資訊處協理鄭之偉" /></div></div></div>
2025/3/21 23:56作者蘇文彬https://www.ithome.com.tw/people/168038
MedTech醫療科技雙周報第40期：開源AI趕上閉源AI了？哈佛醫學院研究揭曉
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞（0301～0315）</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 開源模型 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GPT-4 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 哈佛醫學院 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>開源AI趕上閉源AI了？哈佛醫學院研究揭曉</strong></span></p> <p>由美國國衛院（NIH）資助、由哈佛醫學院及2家醫學中心執行的研究發現，開源AI在醫學診斷領域幾乎趕上閉源AI了，即開源模型Llama 3.1 405B在診斷複雜疾病的表現，已與閉源模型GPT-4相當。該研究成果在3月14日刊登於美國醫學會期刊《JAMA Health Forum》上。</p> <p>團隊用這兩個模型，來對《新英格蘭醫學雜誌》診斷挑戰專欄的92個病例進行診斷。結果顯示，Llama 3.1 405B在70%的案例中診斷正確，超越GPT-4的64%，並在41%的案例中，將正確診斷列為第一選項，優於GPT-4的37%。對於22例較新的病例，Llama 3.1 405B的正確率達73%，比GPT-4高出9個百分點。</p> <p>哈佛醫學院助理教授Arjun Manrai指出，就他們所知，這是開源AI首次在複雜臨床病例的判斷上超越GPT-4。這項研究也點出，開源AI有望成為醫學診斷領域的強大競爭者，為醫療機構提供更多選擇。<a href="https://jamanetwork.com/journals/jama-health-forum/fullarticle/2831206">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202025-03-21%20204717.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 老化 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生物年齡 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 預防醫學 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>大阪大學用AI和5滴血精準預測人類真實年齡</strong></span></p> <p>日本大阪大學開發一款AI模型，透過分析類固醇代謝途徑，來預測人體的生物年齡，也就是身體實際的老化程度，而非單純的出生年齡。首先，研究團隊開發一種只需5滴血的檢測方法，可以分析22種關鍵類固醇及其相互作用，比傳統方法更能精準評估健康狀況。團隊認為，既然人體依賴類固醇等荷爾蒙來維持平衡，應可視為老化指標。</p> <p>於是，他們開發一套深度神經網路模型，來計算類固醇比率、評估生物年齡。接著，他們分析數百名受試者的血液樣本，發現生物年齡的個體差異，會隨著時間擴大，就像是河流的下游越來越寬一樣，意味著隨年齡增長，個體間的老化速度差異會越來越明顯。</p> <p>在這項研究中，他們還發現壓力荷爾蒙皮質醇與老化息息相關。當皮質醇比率增加2倍，生物年齡大約提高1.5倍，顯示長期壓力可能加速老化。團隊認為，AI預測生物年齡的應用，可以推動個人健康監測，應用於疾病早期偵測、專屬健康計畫，或是提供延緩老化的生活建議。大阪大學團隊表示，他們將繼續擴大資料集、加入更多生物標誌物，來優化模型、解析老化機制。<a href="https://www.science.org/doi/10.1126/sciadv.adt2624">（詳全文）</a></p> <p><img alt="" src="https://www.science.org/cms/10.1126/sciadv.adt2624/asset/f3ec60ec-9698-48dc-966c-a018106c2233/assets/images/large/sciadv.adt2624-f1.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 阮綜合醫院 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> FHIR </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span></p> <p><span style="font-size:22px;"><strong>阮綜合醫院聯手業者打造生成式AI平臺</strong></span></p> <p>高雄阮綜合醫院日前聯手軟體業者昕力資訊，展示共同打造的醫療生成式AI平臺，可提供醫護人員個人化服務，如將文件或資料提取、轉換、整理等，加速資料處理流程。</p> <p>他們以昕力資訊的digiRunner API管理平臺為基礎，來打造簡化醫事流程的功能，可針對醫院不同角色，設定各種專屬服務，例如AI智能搜尋魔板可根據醫事人員需求，提取必要的醫療資訊系統（HIS）資料，自動整合並分析病患資料，再以生成式AI來產出關鍵摘要，節省醫護人員整理資料的時間。另一項功能是癌藥事審FHIR格式轉換，可透過AI智能分析，自動將原始資料轉換為符合國際醫療資料交換標準FHIR的格式，幾秒就能完成，解決過去格式不符合FHIR、需人工花時間處理的痛點。尤其，該功能也保有微調彈性，供醫護人員調整轉換後的內容。<a href="https://www.tpisoftware.com/media-center/516">（詳全文）</a></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Dragon Copilot </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>微軟推出Dragon Copilot醫療語音AI助理</strong></span></strong></p> <p>微軟發表醫療用AI語音助理Dragon Copilot，結合了Dragon Medical One的語音輸入技術、DAX Copilot的環境語音技術，以及AI輔助紀錄能力，可提高臨床文件處理效率、減少醫護的行政負擔。微軟預計先於美國和加拿大推出，之後再擴展至英國、德國、法國和荷蘭。</p> <p>Dragon Copilot核心功能包括多語言語音輸入、即時文件整理、個人化筆記格式和AI輔助撰寫，可依臨床需求自動生成診療摘要、轉診信和診後報告，減少醫護人員的文書工作時間。此外，Dragon Copilot內建AI助理，可快速檢索醫療知識、支援語音指令來操作EHR。微軟表示，這個助理符合美國醫療標準與隱私法規，適用醫院門診、住院和急診等場域。<a href="https://news.microsoft.com/2025/03/03/microsoft-dragon-copilot-provides-the-healthcare-industrys-first-unified-voice-ai-assistant-that-enables-clinicians-to-streamline-clinical-documentation-surface-information-and-automate-task/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">X光 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 超音波 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GE醫療 </span></strong></span></p> <p><span style="font-size:22px;"><strong>GE醫療要打造自主醫學影像設備</strong></span></p> <p>日前，GE醫療在Nvidia GTC年度大會上宣布擴大與Nvidia的合作，要來開發高度自主的醫學影像技術，第一波鎖定X光技術和自動化超音波應用。進一步來說，GE醫療要用Nvidia Isaac for Healthcare平臺和Nvidia Cosmos平臺，來分別合成資料、模擬各種影像掃描情境，並在虛擬環境中訓練、測試和調整自主超音波設備和X光設備，以確保其正確性。</p> <p>在這些模擬情境中，GE醫療也將訓練機器，自動執行醫事人員在病患檢查室內的重複性工作，讓醫護團隊有更多時間來照顧病患、處理複雜的病例。此外，雙方還要探索機器與病患的互動技術，來打造自動化應用，引導病患完成X光掃描流程。<a href="https://investor.gehealthcare.com/news-releases/news-release-details/ge-healthcare-and-nvidia-reimagine-diagnostic-imaging-autonomous">（詳全文）</a></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">出院預測 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 再住院率 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 機器學習 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>澳洲用AI預測出院時機，可節省73萬澳元成本</strong></span></strong></p> <p>日前，南澳Lyell McEwin醫院和當地阿得雷德大學共同開發一款名為Adelaide Score的AI應用，透過機器學習分析病患的生命體徵和實驗室數據，預測病患在12小時和24小時內的出院機率。這套AI會讀取患者過去48小時的病歷數據，並與電子病歷（EMR）系統自動連結，加速篩選病患。</p> <p>他們在2024年4月與18個內外科團隊展開了28天試驗，結果發現，這套AI可以將再住院率降至5%（去年同期為7%）、住院時間中位數減少至2.9天（去年同期為3.1天），重點是該AI降低了住院人數，可節省73.57萬澳元（約48萬美元）。目前，團隊考慮將Adelaide Score擴展至澳洲東部各州。<a href="https://www.adelaide.edu.au/newsroom/news/list/2025/02/20/new-goal-achieved-for-the-adelaide-score">（詳全文）</a></p> <p>圖片來源／哈佛醫學院、大阪大學</p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> MedTech醫療科技近期新聞 </span></strong></span></strong></p> <p><strong><strong>1. 印度最大醫療集團Apollo Hospitals聯手3M旗下醫資業者，<a href="https://www.healthcareitnews.com/news/asia/apollo-hospitals-enters-new-collaboration-augment-cardiovascular-care">打造AI心血管疾病風險預測工具</a></strong></strong></p> <p>資料來源：iThome整理，2025年3月</p> </div></div></div>
2025/3/21 20:55作者王若樸https://www.ithome.com.tw/news/168037
【資安日報】3月21日，VS Code擴充套件市集成為駭客散布勒索軟體的新管道
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期駭客濫用微軟開源IDE編輯器Visual Studio Code（VS Code）的情況不時傳出，在我們本週報導<a href="https://www.ithome.com.tw/news/167954">中國駭客MirrorFace利用這套IDE工具的內建功能隱匿行蹤之後</a>，又有駭客上架有問題的擴充套件，意圖散布勒索軟體。</p> <p>值得留意的是，有研究人員向資安新聞網站透露，駭客早在4個月前就開始上架能發動攻擊的惡意套件，他們當時通報此事卻疑似因為鮮少用戶下載而被忽視，這代表微軟可能得調整相關機制來因應。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168033"><strong style="font-size: 22px;">駭客上架有問題的VS Code擴充套件，意圖散布勒索軟體</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/GmaEwAQXAAAEBsf.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/GmaEwAQXAAAEBsf.png" style="width: 300px; float: right;" /></a></p> <p>繼NPM、PyPI套件庫成為駭客偏好散布惡意軟體的管道後，有人也鎖定微軟開源IDE編輯器Visual Studio Code（VS Code）的擴充套件下手，於市集上架惡意套件散布勒索軟體。</p> <p>資安業者ReversingLabs發現兩個惡意套件ahban.shiba、ahban.cychelloworld，並指出開發人員如果在自己的電腦部署這些套件，電腦就有可能被植入勒索軟體。他們向VS Code市集通報此事，這些套件已經下架。</p> <p>研究人員分析套件的內容，發現內含與PowerShell命令有關的程式碼，功能是從C2下載PowerShell指令碼型態的有效酬載，並於受害電腦執行。</p> <p><a href="https://www.ithome.com.tw/news/168034"><strong style="font-size: 22px;">2萬個WordPress網站淪陷，遭到惡意軟體攻擊DollyWay入侵</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/dollyway-v3.jpeg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/dollyway-v3.jpeg" style="width: 300px; float: right;" /></a></p> <p>主機代管業者GoDaddy的資安研究團隊指出，他們發現自2016年開始的網站惡意軟體攻擊行動DollyWay，迄今已入侵超過2萬個網站。駭客透過惡意流量導向系統（Traffic Direction System，TDS）、C2節點形成的分散式網路基礎設施，鎖定WordPress網站而來。而在最新一波攻擊行動，駭客進一步採用加密資料傳輸、複雜的注入手法，以及自動化的重複感染機制。</p> <p>特別的是，這批駭客還會幫受害網站更新WordPress、移除其他惡意軟體，而這麼做的目的是為了進一步完全控制，不讓其他駭客瓜分受害網站的資源。</p> <p>為了持續在受害網站活動，駭客設置了重複感染機制，首先他們將惡意PHP程式碼以WPCode小工具的形式，注入所有啟用的外掛程式。一旦受害網站遭到感染，駭客的活動就不會停止，因為每次只要有任意的WordPress網頁開啟，就會啟動重複感染鏈，即使網站管理員察覺，也很難徹底清除。</p> <p><a href="https://www.ithome.com.tw/news/167993"><strong style="font-size: 22px;">去年公布的ChatGPT附加元件SSRF漏洞出現攻擊行動，美國政府機關是頭號目標</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/veriti-traffic-analysis-01.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/veriti-traffic-analysis-01.jpg" style="width: 300px; float: right;" /></a>去年3月有研究人員公布ChatGPT commit f9f4bbc存在伺服器偽造請求（SSRF）漏洞CVE-2024-27564，此漏洞被列為中度風險層級，存在名為pictureproxy.php的元件，CVSS風險為6.5，近期有資安業者警告，該漏洞已被用於實際攻擊。</p> <p>資安業者Veriti發現有人從今年1月開始將這項漏洞用於實際攻擊，惡意行為源自單一惡意IP位址，總共發動10,479次嘗試利用，主要目標是金融機構，原因是攻擊者偏好尋找以AI為基礎的服務及API整合的環境下手，但醫療照護、政府機關也有災情。</p> <p>根據受害產業與地理位置來看，駭客的頭號目標是美國的政府機關。三分之一的攻擊行動針對美國企業組織而來占大宗，但德國、泰國、印尼、哥倫比亞、英國也有災情。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.cna.com.tw/news/asoc/202503190387.aspx">稅務抽獎活動中獎人都是「彭家軍」！法務部調查局證實是駭客作弊擾亂抽獎結果</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/hackers-target-cisco-smart-licensing-utility-vulnerabilities/">思科軟體授權管理工具存在重大漏洞，已有駭客試圖進行利用</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/03/six-governments-likely-use-israeli.html">不只義大利！6國政府驚傳以間諜軟體Paragon及WhatsApp零時差漏洞進行監控</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.cna.com.tw/news/asoc/202503200345.aspx">昇銳電子傳出將中國監視器改標臺灣製造賣給公部門</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168029"><strong style="font-size: 22px;">群暉公布去年Pwn2Own找到的NAS重大漏洞細節，並指出若不處理攻擊者有機會發動RCE攻擊</strong></a></p> <p>3月19日NAS廠商群暉更新多個去年發布的資安公告，針對去年10月舉行的漏洞挖掘競賽Pwn2Own Ireland 2024當中，找到的NAS設備漏洞，揭露細部資訊，提醒用戶注意部分漏洞非常危險。對此，我們也向群暉進一步詢問，該公司表示他們已提供修補程式，絕大多數用戶已套用更新，此外，有鑑於這些漏洞相當嚴重，群暉也破例為生命週期結束（EOL）的DSM 6.2版提供修補。</p> <p>根據CVSS風險評分，最危險的是分數達到10分滿分的CVE-2024-10442，這是被稱為「差一錯誤（Off-by-One Error，OBOE）」的程式邏輯錯誤漏洞，存在於NAS設備的遠端複製軟體Replication Service，以及Synology Unified Controller（DSM UC），一旦利用這項漏洞，攻擊者就有機會遠端執行任意程式碼。群暉特別提及，攻擊者還有可能透過未知的管道造成更為廣泛的危害。</p> <p><a href="https://www.ithome.com.tw/news/168007"><strong style="font-size: 22px;">Veeam修補備份軟體重大漏洞，駭客可利用漏洞執行遠端程式碼</strong></a></p> <p>備份與資料保護軟體廠商Veeam，於3月19日揭露影響備份軟體的重大漏洞，並釋出修補。</p> <p>這個編號為CVE-2025-23120的漏洞，是由watchTowr安全研究人員Piotr Bazydlo發現與通報，為嚴重性等級9.9的重大漏洞，存在於Veeam Backup & Recovery備份軟體12.3.0.310版以前，所有12.x版軟體中，會導致經過驗證的網域使用者，能夠從遠端存取系統，並且任意執行各種程式碼胡搞瞎搞，進而影響整個Veeam備份環境。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/wordpress-security-plugin-wp-ghost-vulnerable-to-remote-code-execution-bug/">WordPress資安外掛WP Ghost存在重大漏洞，攻擊者有機會發動RCE攻擊</a></strong></p> <p> </p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/168004"><strong>【3月20日】PHP已知重大漏洞攻擊行動升溫，臺灣是主要攻擊目標</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167955"><strong>【3月19日】11組國家級駭客劍指Windows尚無修補的零時差漏洞，散布惡意LNK檔案發動攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/167922"><strong>【3月18日】駭客組織CrazyHunter聲稱攻擊臺灣上市公司科定</strong></a></p> </div></div></div>
2025/3/21 17:06作者周峻佑https://www.ithome.com.tw/news/168035
2萬個WordPress網站淪陷，遭到惡意軟體攻擊DollyWay入侵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>主機代管業者GoDaddy的資安研究團隊指出，<a href="https://www.godaddy.com/resources/news/dollyway-world-domination">他們發現自2016年開始的網站惡意軟體攻擊行動DollyWay</a>，迄今已入侵超過2萬個網站。駭客透過惡意流量導向系統（Traffic Direction System，TDS）、C2節點形成的分散式網路基礎設施，鎖定WordPress網站而來。而在最新一波攻擊行動，駭客進一步採用加密資料傳輸、複雜的注入手法，以及自動化的重複感染機制。</p> <p>特別的是，這批駭客還會幫受害網站更新WordPress、移除其他惡意軟體，而這麼做的目的是為了進一步完全控制，不讓其他駭客瓜分受害網站的資源。</p> <p>針對惡意軟體DollyWay，研究人員指出這是專門針對WordPress網站開發的作案工具，駭客利用在受害網站建置的C2及TDS節點，將使用者重新導向到VexTrio與LosPollos的廣告連結進行牟利。截至今年2月，他們看到其中1萬個被感染的網站裡，出現1千萬個冒牌網頁，這些網頁內含惡意指令碼，針對不同的IP位址使用者而來。這款惡意軟體已經進化第三代，駭客運用wp-content/counts.php指令碼，將特定的受害網站設置為C2或是TDS。</p> <p>為了持續在受害網站活動，駭客設置了重複感染機制，首先他們將惡意PHP程式碼以WPCode小工具的形式，注入所有啟用的外掛程式。一旦受害網站遭到感染，駭客的活動就不會停止，因為每次只要有任意的WordPress網頁開啟，就會啟動重複感染鏈，即使網站管理員察覺，也很難徹底清除。</p> <p>這個感染鏈大致分成4個步驟。首先是從特定的名單裡，停用Wordfence、Ninja Firewall、All-In-One Security（AIOS）等資安外掛。</p> <p>接著惡意程式找到已經感染的外掛程式或WPCode小工具，再度對注入的DollyWay程式碼進行混淆處理。而對於已經啟用，但尚未感染的外掛程式，駭客會對其注入經混淆處理的DollyWay程式碼。最後刪除受害網站所有的WPCode小工具，並植入新的惡意版本。</p> <p>附帶一提的是，由於WPCode在WordPress管理介面當中相當顯眼，為了避免管理員察覺異狀，他們也刪除主控臺所有WPCode選單，並從外掛程式列表移除WPCode。</p> </div></div></div>
2025/3/21 16:53作者周峻佑https://www.ithome.com.tw/news/168034
駭客上架有問題的VS Code擴充套件，意圖散布勒索軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼NPM、PyPI套件庫成為駭客偏好散布惡意軟體的管道後，有人也鎖定微軟開源IDE編輯器Visual Studio Code（VS Code）的擴充套件下手，於市集上架惡意套件散布勒索軟體。</p> <p>資安業者ReversingLabs<a href="https://x.com/ReversingLabs/status/1902355039265411208">發現兩個惡意套件ahban.shiba、ahban.cychelloworld</a>，並指出開發人員如果在自己的電腦部署這些套件，電腦就有可能被植入勒索軟體。他們向VS Code市集通報此事，這些套件已經下架。</p> <p>研究人員分析套件的內容，發現內含與PowerShell命令有關的程式碼，功能是從C2下載PowerShell指令碼型態的有效酬載，並於受害電腦執行。</p> <p>而這個有效酬載應該就是勒索軟體，會在受害電腦的桌面名為testShiba的資料夾當中加密檔案，完成後顯示勒索訊息，要求開發人員支付1個加密貨幣ShibaCoin贖金，換取復原檔案的金鑰。不過，駭客並未提供加密貨幣錢包資訊，因此研究人員推測，很有可能還有其他帶有這類資訊的新版有效酬載。</p> <p>值得留意的是，這些惡意套件可能上架接近4個月之久，才被發現有問題。<a href="https://www.bleepingcomputer.com/news/security/vscode-extensions-found-downloading-early-stage-ransomware/">資安新聞網站Bleeping Computer指出</a>，資安研究員Italy Kruk透露他們在去年11月底就偵測到ahban.cychelloworld有問題並通報，但因為套件下載次數相當少，微軟並未優先進行處理。駭客後來又上傳了5個版本，而且全數通過微軟的審核流程。對比<a href="https://www.bleepingcomputer.com/news/security/vscode-extensions-with-9-million-installs-pulled-over-security-risks/">微軟最近不慎下架近9百萬人下載的套件</a>，針對這兩種誤判，Bleeping Computer認為，微軟可能必須調整相關機制來因應。</p> </div></div></div>
2025/3/21 15:43作者周峻佑https://www.ithome.com.tw/news/168033
群暉公布去年Pwn2Own找到的NAS重大漏洞細節，並指出若不處理攻擊者有機會發動RCE攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>3月19日臺廠網路設備製造商群暉更新多則去年發布的資安公告內容，公布在去年10月舉行的漏洞挖掘競賽Pwn2Own Ireland 2024當中，找到的NAS設備漏洞細節，並指出當中有部分漏洞非常危險。對此，我們也向群暉進一步詢問，該公司表示他們已提供修補程式，絕大多數用戶已套用更新，此外，有鑑於這些漏洞相當嚴重，群暉也破例為生命週期結束（EOL）的DSM 6.2版提供修補。</p> <p>根據CVSS風險評分，<a href="https://www.synology.com/en-global/security/advisory/Synology_SA_24_22">最危險的是分數達到10分滿分的CVE-2024-10442</a>，這是被稱為「差一錯誤（Off-by-One Error，OBOE）」的程式邏輯錯誤漏洞，存在於NAS設備備份快照的複寫套件Replication Service，以及Synology Unified Controller（DSM UC），一旦利用這項漏洞，攻擊者就有機會遠端執行任意程式碼。群暉特別提及，攻擊者還有可能透過未知的管道造成更為廣泛的危害。</p> <p>另外1個評為9.8分的重大層級漏洞CVE-2024-10441也相當值得留意。該漏洞<a href="https://www.synology.com/en-global/security/advisory/Synology_SA_24_20">存在於7.2版以上版本的DSM</a>，以及<a href="https://www.synology.com/en-global/security/advisory/Synology_SA_24_23">BeeStation Manager（BSM）</a>的系統外掛程式，為不當編碼及輸入逃逸漏洞，攻擊者也同樣能用來遠端執行任意程式碼。</p> </div></div></div>
2025/3/21 12:56作者周峻佑https://www.ithome.com.tw/news/168029
Martech雙周報第72期：AI搜尋浪潮到來，不同Martech業者怎麼看廣告流量衝擊與應對方法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#0000ff;"><strong>重點新聞(0302~0315)</strong></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI #行銷轉換 #SEO</span></span></strong><br /> <strong>Adobe研究：美國去年購物季，從GenAI工具導向零售網站的流量年增1300%</strong></p> <p><a href="https://blog.adobe.com/en/publish/2025/03/17/adobe-analytics-traffic-to-us-retail-websites-from-generative-ai-sources-jumps-1200-percent">Adobe研究顯示，在2024年11月1日到12月31日</a>，也就是購物高峰期間，從生成式AI工具導向零售網站的流量較前一年增加1,300％。Cyber Monday節日當天，甚至來到1,950％。此趨勢在高峰期後依舊，到2025年2月，來自生成式AI來源的流量較2024年7月增加1,200％。不只如此，AI在零售的轉換率也快速追上非AI流量，從去年7月落後0.8%，到現在只有少0.2%。對有意進行行銷漏斗底層（轉換）行銷的廣告主來說，這意味著生成式AI作為行銷通路的重要性逐漸提升。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/aiconveaetadgo.jpg" style="width: 600px;" /></p> <p>Adobe對5,000名美國消費者進行的調查中，39%消費者曾經使用過生成式AI進行線上購物，53%消費者計劃在今年使用。消費者使用生成式AI執行的購物任務包括進行研究、接收產品推薦、尋找優惠、尋找禮物點子、尋找獨特產品以及創建購物清單。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI #AI人才 #媒體創作工具</span></span></strong><br /> <strong>Taboola在臺灣擴大招募AI人才，研發全球級Martech產品的生成式AI應用</strong></p> <p>Martech公司巨頭Taboola於擴大招募AI人才，研發全球產品線的深度學習及生成式AI應用。臺灣是Taboola這是全球第四座、亞洲第一座AI研發中心，目前已經聘有40名臺灣AI人才。</p> <p>Taboola會選擇臺灣設置研發中心，一大原因是先前國科會博士創新之星計畫（X Talent）使他們接觸到臺灣AI人才，因而將台北辦公室作為生成式AI技術研發重地。Taboola資深研發副總裁Tal Sliwowicz表示，他們開發團隊都是跨國協作，臺灣AI人才一加入就會負責全球性的AI類產品開發。</p> <p>目前Taboola的AI和生成式AI產品包括各式給廣告主和出版方的內容製作工具、AI投廣助手與代理人、自動化廣告代投工具等。他們於臺灣的知名客戶包括Uniqlo、Momo、現代汽車、 TVBS、風傳媒等。</p> <p>Tal Sliwowicz也揭露Taboola對現在生成式AI影響網站及廣告流量的看法。他觀察，生成式AI正在改變網路使用者消費網站內容的模式，這會對出版商流量造成影響。出版商可能採用的新做法包括，用生成式AI製作更大量內容，以及積極與生成式AI平臺和工具進行內容授權等合作。Taboola作為廣告代理及科技商，希望在這個轉變中扮演的角色是，用自家科技促成出版商和廣告主，能於生成式AI平臺這個新通路持續獲得曝光，並做到個人化內容推薦。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#生成式AI #AI代理人</span></span></strong><br /> <strong>Adobe推出AI代理人與模型調度功能，以及更多GenAI行銷功能</strong></p> <p><a href="https://news.adobe.com/news/2025/03/adobe-summit-2025-adobe-ai-platform-unites-creativity-marketing">Adobe在自家年度大會上推出一系列AI與生成式AI類新功能。</a>首先是Experience Platform Agent Orchestrator，行銷人員能一站式管理和調度行銷流程中所使用到的Adobe及第三方AI代理人，來加速整體行銷作業。</p> <p>另一個新功能是Brand Concierge，企業可以用此功能建立和設定引導AI代理人，讓他們引導顧客探索和購買品牌商品。此功能可以製作B2C和B2B代理人，後者可以根據顧客關係提供專屬內容，並處理後續業務作業。</p> <p>行銷內容製作方面，Adobe推出GenStudio Foundation，這是一個串聯內容製作系列產品線及行銷科技產品線的GenAI平臺，可以一站式製作內容並管理行銷規畫、行銷專案、內容素材，以及數據洞察。此平臺和Microsoft Advertising Platform、Google Campaign Manager 360、及LinkedIn Ads等外部平臺串聯，支援快速行銷內容發布，也與第三方平臺整合，包括IntelligenceBank、Acxiom、Lithero、PwC、Saifr和 Stensul等廠商的平臺。</p> <p>其他新功能包括行銷內容表現的分析功能，可以提供素材屬性等級（如圖片裡的顏色、物件等）洞察、生成式AI模型Firefly的多個API，以及Firefly新內容處理功能等。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#SEO #AI搜尋 #影片行銷 #生成式AI</span></span></strong><br /> <strong>Brightedge研究：教學類和示範類Youtube影片最受AI Overviews搜尋功能青睞</strong></p> <p><a href="https://www.brightedge.com/blog/youtubes-growing-impact-google-ai-overviews-what-marketers-need-know">老牌SEO廠商Brightedge研究顯示</a>，Google的AI搜尋功能AI Overviews呈現影片連結時，特別青睞Youtube，其他影片網站幾乎未出現於AI摘要中。從影片形式來看，教學類影片（How-to）跟示範類（Visual demo）類最容易曝光，在所有曝光的Youtube影片中占比分別為35.6%和32.5%。第三名則是產品測試或開箱類影片，占比22.5%。主題方面，則是以醫療保健和電子商務類最容易曝光，兩者加起來超過7成曝光占比。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/2(66).png" style="width: 600px;" /></p> <p>Brightedge建議，廣告主若要在AI Overviews曝光，最好優先選擇Youtube作為影片平臺。內容策略則是跟著目前曝光占比走，製作商品或服務相關的教學、示範及開箱影片。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#電話客服 #AI口音修正</span></span></strong><br /> <strong>Teleperformance開始用AI即時修改客服人員英文口音，來降低溝通障礙</strong></p> <p><a href="https://www.tp.com/en-us/services/digital-cx-and-ai/artificial-intelligence/real-time-speech-understanding/">世界最大電話服務中心營運商Teleperformance開始用AI來「軟化」海外服務中心人員的英文口音，並減少雜音、提升音質。</a></p> <p>英語系國家常常在海外開設電話服務中心，並聘用印度等外籍客服人員，導致客服溝通困難。此做法是希望可以將客服人員聲音轉變成顧客較熟悉的口音，以降低通話時間、增加解決率。儘管部分討論認為，此舉有種族歧視意味，不過Teleperformance及此口音轉化技術的廠商Sanas表示，這反而能降低顧客排斥異國客服人員的情況，有助於降低種族歧視。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#RMN #API #第三方平臺</span></span></strong><br /> <strong>Walmart RMN推出可以讓開發者透過第三方程式來投放和測量廣告的API</strong></p> <p>去年RMN營收高達40億美元的Walmart推出Display Advertising API。開發者可以用來打造儀表版、自動化投放工具等應用，或者是結合第三方平臺功能來投放和測量在Walmart RMN的廣告。</p> <p>近年Walmart逐漸開放自家廣告平臺給廣告主。繼推出只能拋轉廣告數據的Reporting API，以及透過Walmart內部數據分析服務Luminate來操作廣告平臺後，現在更進一步，開放開發者可以透過外部程式來與自家廣告平臺互動。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#聯盟式行銷 #行銷成效追蹤 #瀏覽器行銷</span></span></strong><br /> <strong>回應Honey聯盟式行銷爭議，Google禁止Chrome擴充功能未經同意插入聯盟行銷連結</strong></p> <p><a href="https://www.ithome.com.tw/news/166820">今年年初，我們報導過Honey等Chrome外掛利用聯盟式行銷（Affiliate Marketing）的行銷追蹤機制，</a>來獲取行銷傭金的爭議。回應此爭議，Google更新Chrome Web Store擴充功能的聯盟行銷政策，從6月10日起全面禁止擴充功能未經用戶同意，插入聯盟連結、推廣碼或Cookie。之前，Honey就是透過加入自家追蹤Cookie，來獲得行銷追蹤機制的歸功。</p> <p>此次政策更新明確要求所有涉及聯盟行銷的擴充功能，必須讓用戶在安裝前、介面中，以及Chrome Web Store的擴充功能頁面清楚了解其聯盟行銷行為。並且，只能在對用戶提供直接利益，例如折扣、回饋或即時優惠，才可透過擴充功能引導聯盟連結。（<a href="https://www.ithome.com.tw/news/166820">詳全文</a>）</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099ff;">#網路流量追蹤 #行動裝置</span></span></strong><br /> <strong>Similarweb開始追蹤行動App流量，品牌曝光追蹤範圍更完整</strong></p> <p>知名網站流量分析商Similarweb近期收購App流量分析商42matters後，<a href="https://www.similarweb.com/corp/apps/">推出App Intelligence服務</a>，開始追蹤58個國家中，超過4百萬支iOS和Android App的流量。這是一個基礎但重要的更新。Similarweb能同時分析網站和行動App數位通路的流量，意味著網站主和品牌可以得到更完整的曝光分析結果。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099FF;">更多Martech動態：</span></strong></span></p> <p><a href="https://happylee.blog/rs/media-in-ai-organic-search/">91APP產品長李昆謀整理出一系列調查及趨勢，分享AI搜尋時代來臨時，數位媒體等出版方（Publisher）的搜尋流量如何改變、如何應對。</a></p> <p><a href="https://www.ithome.com.tw/news/167675">Salesforce推出AgentExchange，供企業探索、試用與購買AI Agent類功能</a></p> <p><a href="https://status.search.google.com/incidents/zpmwuSwifjDjfrVdaZUx">Google搜尋完成大型演算法更新</a></p> <p>資料來源：iThome整理，2025年3月</p> <p>責任編輯：郭又華</p> <p>圖片來源：Adobe、Brightedge</p> <p></p> </div></div></div>
2025/3/21 14:29作者郭又華https://www.ithome.com.tw/news/168013
OpenAI推出新語音模型，增強語音辨識準確度與語氣控制能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI<a href="https://openai.com/index/introducing-our-next-generation-audio-models/">宣布推出</a>新一代語音轉文字與文字轉語音模型，擴展API功能強化多語言語音代理開發能力。新模型在語音辨識準確度、語音合成表現與客製化能力皆有提升，相較於舊版Whisper與其他競爭對手模型，在字詞錯誤率（WER）方面表現良好。</p> <p>新語音轉文字模型gpt-4o-transcribe與gpt-4o-mini-transcribe在多語言語音辨識上進行強化，透過強化學習與大規模語音資料集預訓練，提升對不同語言、口音、語速變化與噪音環境的適應能力。根據FLEURS基準測試結果，gpt-4o-transcribe的WER明顯低於Whisper-large-v2與Whisper-large-v3，特別是在英語、歐洲語系與部分亞洲語言的表現優於競爭對手，而在中文、阿拉伯語、印地語等語言的準確度仍有進步空間。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/131%20-%20Introducing%20next-generation%20audio%20models%20in%20the%20API%20-%20OpenAI%20-%20%5Bopenai_com%5D.png" style="width: 580px;" /></p> <p>OpenAI同時推出新一代文字轉語音模型gpt-4o-mini-tts，強化語音輸出的可調整性，開發者可透過指令控制語氣與風格，例如讓語音代理以同理心客服或沉穩播報員的方式說話，提供語音應用更高的靈活度。OpenAI仍維持對語音合成技術的安全管控，目前僅提供人工預設語音，並透過監測確保語音輸出符合既定標準。</p> <p>這次OpenAI語音模型的提升主要來自於數個重要改進。首先，OpenAI採用了針對語音資料的特化預訓練，使模型能夠更精確地學習語音中的細微變化與語境關係。其次，透過進階的模型蒸餾技術，較小的模型gpt-4o-mini-transcribe與gpt-4o-mini-tts得以從更大型的模型學習語音轉錄與語音合成的能力，確保運算效率與準確率。此外，語音轉文字模型採用強化學習機制，以進一步降低轉錄錯誤與語音錯誤辨識的發生率，特別是在低資源語言與非標準語音的處理穩定有所提升。</p> <p>OpenAI API的語音轉文字與文字轉語音功能目前已全面開放，並提供與Agents SDK的整合，簡化語音應用開發流程。</p> </div></div></div>
2025/3/21 14:54作者李建興https://www.ithome.com.tw/news/168030
Veeam修補備份軟體重大漏洞，駭客可利用漏洞執行遠端程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>備份與資料保護軟體廠商Veeam，於3月19日揭露影響備份軟體的1項<a href="https://www.veeam.com/kb4724">重大漏洞</a>，並釋出修補。</p> <p>這個編號為CVE-2025-23120的漏洞，是由watchTowr安全研究人員Piotr Bazydlo發現與通報，為嚴重性等級9.9的重大漏洞，存在於Veeam Backup & Recovery備份軟體12.3.0.310版以前，所有12.x版軟體中，會導致經過驗證的網域使用者，能夠從遠端存取系統，並且任意執行各種程式碼胡搞瞎搞，進而影響整個Veeam備份環境。</p> <p>解決方法是將Veeam Backup & Recovery備份軟體更新到<a href="https://www.veeam.com/kb4696">12.3.1版（build 12.3.1.1139）</a>。</p> </div></div></div>
2025/3/21 13:55作者張明德https://www.ithome.com.tw/news/168007