iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 21篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 06:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Google宣布強化安全、IP防護的Gemini in Android Studio for Business
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">Google在Cloud Next 2025大會上<a href="https://android-developers.googleblog.com/2025/04/gemini-in-android-studio-for-business.html" target="_blank">宣布企業用Gemini in Android Studio for Business</a>，協助企業開發Android應用程式，強調對安全及智財的防護。</p> <p dir="ltr">Gemini in Android Studio for Business是專為企業開發設計，提供和Gemini in Android Studio同樣的功能，但更強化隱私、安全和管理功能。在Android應用程式開發方面，和一般版相同，Gemini in Android Studio for Business提供從程式碼撰寫、重構（refactoring）到文件紀錄整個過程的協助。</p> <p dir="ltr">要使用Gemini in Android Studio for Business，開發人員和管理員必須具備Gemini Code Assist標準版或企業版訂閱。Google Cloud管理員則可購買訂閱，並從Google Cloud管理介面，直接將授權指派給同公司的開發人員。</p> <p dir="ltr">在安全方面，Gemini in Android Studio for Business具備Google Cloud內建的安全功能，例如Private Google Access、VPC（virtual private cloud）Service Controls以及具備精細控管的企業存取控管。Google說，使用Gemini Code Assist訂閱服務，可幫助企業滿足SOC 1/2/3、ISO/IEC 27001（資安管理）、27017（雲端安全）、27018（PII保護）及27701（隱私資訊管理）等安全標準的要求。</p> <p dir="ltr">具有Code Assist企業授權的開發人員可獲得客製化效益，他們可以將GitHub、GitLab或BitBucket程式庫（包括本地部署的系統程式碼）連結到Gemini in Android Studio，使Gemini了解開發團隊常用的classes和methods，而提供滿足公司政策或最佳典範（best practice）的程式碼、程式碼建議、和對話回應，不需要開發人員額外花時間整合公司偏好的開發框架。</p> <p dir="ltr">Google還為Gemini in Android Studio for Business提供智財權賠償（<span style="box-sizing: inherit; font-size: x-large;">I</span>P indemnification），即若企業因使用了Gemini提供的程式碼遭第三方業者控告侵權，Google可代為賠償。</p> <p dir="ltr">最後，Google強調，不會使用Gemini in Android Studio for Business內所傳輸的客戶程式碼、輸入內容或建議，來訓練Google任何共用模型。當中涉及的智慧產權都歸企業所有，Google不會儲存任何程式碼。</p> </div></div></div>
2025/4/11 10:23作者林妍溱https://www.ithome.com.tw/news/168359
全球經濟再度面臨重大考驗
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">這個月有個震撼全世界的消息，那就是美國總統川普宣布對各國實施進口商品的對等關稅，4月9日正式生效，時值全球經濟局勢出現重大變化之際，各國都在尋找因應對策，最近這段期間，顯然大家已無暇顧及俄烏戰爭、以哈衝突的問題。</p> <p dir="ltr">以臺灣而言，企業若要將生產製造的產品賣到美國市場，會被加徵32％的關稅，可能受到這項政策影響的產業很多，有公司甚至表示好不容易熬過COVID-19疫情，如今面臨加徵龐大關稅的危機，可能維持4年之久，就像一場沒有病毒的疫情。這樣的比喻看似誇張，然而，後續引發的市場恐慌效應究竟會有多麼巨大，沒人能預測。</p> <p dir="ltr">全球股市也因為關稅加徵議題，正處於強烈震盪狀態。例如，台股加權指數4月8日收盤18459.95點、下跌772.4點，4月9日收盤17391.76點、下跌1,068.19點。美股標普500指數連續四個交易日都處於下挫狀態。此外，4月9日下午川普突然宣布，這項政策暫停實施90天，即刻生效，而且，這段期間僅實施10％的對等關稅，理由是超過75國聯絡美國希望進行談判且未採取報復行動，但對中國徵收的關稅將即刻提高至125％，當天終場標普500指數大漲474點，道瓊工業指數大漲2962點。</p> <p dir="ltr">日股4月10日暴漲近3000點，韓股漲了114.14點。</p> <p dir="ltr">以資通訊產業而言，有媒體綜合各家法人的預測，認為半導體暫時豁免加徵關稅，但網通設備、個人電腦／筆電／伺服器、手機，以及其他電子零件，都會受到相當大程度的影響。</p> <p dir="ltr">以市場炙手可熱的AI伺服器為例，市場研究機構集邦科技（TrendForce）預估2025年出貨年增率，將從28.3％微幅下修至24.5％，原因是全球政治經濟環境不穩定，可能使原廠委託製造商（OEM）或雲端服務供應商（CSP）趨於保守，延緩實際購置伺服器進度，不過，若是各國祭出關稅報復手段、引發更大規模的貿易壁壘，造成全球通膨或消費力衰退，OEM、CSP可能會更進一步減緩布建AI伺服器的腳步，屆時出貨年增率會再縮減至18％。</p> <p dir="ltr">稍早有分析師認為電子代工大廠將被迫加速美國製造，過去幾年已有些廠商正在著手進行，對於尚未至美設廠的業者而言，可能還在考量該跟進或想其他辦法。</p> <p dir="ltr">若是手機和筆電，由於供應鏈複雜、毛利低，終端組裝赴美機率低，業者認為可能會由供應鏈、品牌及消費者分攤關稅成本。</p> <p dir="ltr">至於軟體與雲端服務方面，臺灣出口至美國的軟體可能會受到32％關稅的影響，臺灣的雲端服務廠商是否會受到衝擊，目前尚未見到有分析師談論影響程度。</p> <p dir="ltr">因應這項變局，所有廠商正在思考許多降低風險對策，但顯然單靠分散供應鏈已經無法因應，分散市場已成為勢在必行的作法，而且，更令人擔心的是，美國對等關稅也將引發各國調整關稅的策略，如果廠商決定將需要支付的各種關稅成本轉嫁至客戶、消費者身上，也可能造成產品價格飆升，進而降低採購意願。</p> <p dir="ltr">持續觀察全球經濟情勢變化之餘，企業看來只能見機行事，多數可能會認為採取保守穩健態度，然而，在救亡圖存之餘，組織積極推動轉型的腳步不應就此停歇，單靠維持既有做法，恐怕很難抵禦市場變局，持續投入IT科技創新仍是一條可行之路，因為能夠藉此提升品牌、產品、服務的競爭力，可提供更多業務營運的靈活度，替未來發展帶來更多機會選擇空間。</p> <p> </p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/it">IT</a></div><div class="field-item odd"><a href="/tags/%E7%A7%91%E6%8A%80">科技</a></div><div class="field-item even"><a href="/tags/%E5%89%B5%E6%96%B0">創新</a></div><div class="field-item odd"><a href="/tags/%E8%BD%89%E5%9E%8B">轉型</a></div><div class="field-item even"><a href="/tags/%E9%97%9C%E7%A8%85">關稅</a></div><div class="field-item odd"><a href="/tags/%E4%BE%9B%E6%87%89%E9%8F%88">供應鏈</a></div><div class="field-item even"><a href="/tags/%E5%B7%9D%E6%99%AE">川普</a></div></div></div>
2025/4/11 08:54作者李宗翰https://www.ithome.com.tw/voice/168358
【資安日報】4月10日，中華資安投資奧義智慧，攜手拓展市場、提升國際能見度
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週臺灣資安產業迎來重大策略結盟，那就是資安服務業者中華資安國際宣布投資奧義智慧科技的消息，兩家公司在資本進行合作後，也將進行深度整合，集結各自的專業技術與實戰經驗，共同打造一支「臺灣資安國家隊」。</p> <p>雙方預計將結合奧義智慧在AI資安產品方面的技術，以及中華資安在資安專業服務領域的專業團隊，聯手拓展臺灣市場及提升國際能見度。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168347"><strong style="font-size: 22px;">殭屍網路鎖定中國廠牌TVT的DVR設備，單日攻擊的IP位址數量超過2500個</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/67f42236fd53dfc650fb2b96_AD_4nXc9Qymxnk_xx7lYPi9jx29ge2KcNUSbQsRuJBE0opJ7W3meVTqN7_C6A4p58Ikb3J7nedAc_KYw7blWAs-jJOIT_utcUGGe2m5TzTEBoFlIklUTUKvqewBNlFZ8MY-PdNjLO8u9.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/67f42236fd53dfc650fb2b96_AD_4nXc9Qymxnk_xx7lYPi9jx29ge2KcNUSbQsRuJBE0opJ7W3meVTqN7_C6A4p58Ikb3J7nedAc_KYw7blWAs-jJOIT_utcUGGe2m5TzTEBoFlIklUTUKvqewBNlFZ8MY-PdNjLO8u9.png" style="width: 300px; float: right;" /></a></p> <p>今年2月底至3月上旬，有多組研究人員對於殭屍網路Eleven11bot攻擊升溫提出警告，駭客綁架8.6萬臺物聯網設備，主要目標是華為旗下海思（HiSilicon）的DVR設備，特別是針對執行TVT NVMS9000軟體的裝置而來，當時公布相關發現的資安業者GreyNoise，近期察覺新一波疑為Mirai殭屍網路攻擊活動而提出警告。</p> <p>GreyNoise指出，他們從3月31日開始，看到鎖定NVMS9000設備而來的攻擊行動出現明顯增加的情況，這樣的情況於4月3日達到高峰，有超過2,500個設備IP位址受到攻擊，這樣的規模是之前的3倍之多。由於製造NVMS9000的中國廠商同為（TVT）將設備銷往全球超過120個國家，因此，相關的攻擊行動影響範圍可能很廣泛。</p> <p>這波攻擊的主要目標是美國、英國、德國，分別有6,471、5,738、5,713個IP位址的NVMS9000設備遭遇相關攻擊，駭客試圖利用未登記CVE編號的資訊洩露漏洞動手，企圖得到管理權限，以便控制受害設備。</p> <p><a href="https://www.ithome.com.tw/news/168322"><strong style="font-size: 22px;">傳甲骨文向雲端客戶通報資料外洩</strong></a></p> <p>3月底甲骨文公開否認Oracle Cloud代管客戶資料外洩，但根據彭博社報導，甲骨文近日悄悄向客戶發信通知資料外流事件，承認確有此事。</p> <p>上個月一名為rose87168的人士於駭客論壇張貼公告，聲稱握有超過14萬個Oracle Cloud租戶的資料，資料量多達600萬筆，其中包含單一簽入（SSO）及LDAP的帳密資料欲尋找買主，或是出售存取Oracle Cloud伺服器的憑證資料。但是當時甲骨文否認此事。</p> <p>彭博社指出，至少兩家客戶接獲甲骨文私下通知資料外洩事件。甲骨文告知，駭客駭入1臺8年沒使用的電腦系統，最後造成用戶資料及登入帳密被竊取，包括客戶姓名、Passkey及加密密碼，並說聯邦調查局及資安業者CrowdStrike正在調查。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.darkreading.com/vulnerabilities-threats/china-continues-harassing-ethnic-groups-spyware">中國駭客透過網路論壇散布惡意程式，針對臺灣、維吾爾、圖博人士而來</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/akirabot-abuses-openai-api-spam-website-contact-forms/">惡意程式AkiraBot濫用OpenAI的API，對網站表單進行轟炸</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/threat-actors-set-up-persistent-access-to-hosts-hacked-in-crushftp-attacks/">駭客鎖定CrushFTP已知漏洞，以便在受害組織持續活動</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168338"><strong style="font-size: 22px;">Adobe發布4月例行更新，呼籲優先修補ColdFusion</strong></a></p> <p>4月8日Adobe發布資安公告，修補旗下12款產品當中的54項資安漏洞，其中又以應用程式開發平臺ColdFusion最值得留意，因為該公司將其修補的優先順序列為最高（第1級），這樣的情況並不常見。</p> <p>從漏洞的數量來看，ColdFusion、FrameMaker、After Effects占大宗，分別為15個、10個、7個，但ColdFusion不僅修補的漏洞最多，當中多達11項被列為重大等級，而且，有4項危險程度達到9.1分（滿分10分）。</p> <p>這些漏洞是：CVE-2025-24446、CVE-2025-24447、CVE-2025-30281、CVE-2025-30282，一旦攻擊者成功利用漏洞，就有機會執行任意程式碼，或是讀取任意的檔案及系統。值得留意的是，利用CVE-2025-30281無須使用者互動，但其他漏洞利用存在必要條件：攻擊者必須引誘使用者開啟惡意檔案才能利用CVE-2025-24446、CVE-2025-24447，若是要利用CVE-2025-30282，則必須脅迫使用者在應用程式進行特定活動。</p> <p><a href="https://www.ithome.com.tw/news/168346"><strong style="font-size: 22px;">AWS EC2自動化管理工具SSM Agent存在路徑穿越漏洞，攻擊者有機會用來執行任意指令碼、提升權限</strong></a></p> <p>AWS Systems Manager（SSM）的代理程式使用要小心！資安業者Cymulate本週揭露當中存在發現路徑穿越漏洞，起因是外掛程式ID的驗證不當所致，一旦攻擊者成功利用漏洞，就有機會以root權限執行任意指令碼、在檔案系統非規畫位置建立資料夾，甚至能在系統的敏感區域寫入資料，而有機會達到權限提升的目的。此漏洞已於2月底通報，AWS於3月初發布3.3.1957.0版SSM Agent予以修補。</p> <p>雖然已發布新版SSM Agent緩解弱點，但Amazon在外電報導後提出新的說明，他們強調，這項弱點不會授予新的使用者權限，攻擊鏈仰賴執行SSM文件的使用者具備的權限，因此，Amazon不認為這是權限提升漏洞。他們也呼籲用戶應採用3.3.1802.0以上版本，以免受到這項弱點的影響。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/04/fortinet-urges-fortiswitch-upgrades-to.html">Fortinet修補交換器FortiSwitch重大層級漏洞，若不處理攻擊者能竄改密碼</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/ics-patch-tuesday-vulnerabilities-addressed-by-rockwell-abb-siemens-schneider/">Rockwell、ABB、西門子、施耐德電機發動4月份例行更新</a></strong></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168332"><strong style="font-size: 22px;">中華資安注資奧義智慧6,500萬，共築AI資安防禦新格局</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/67f5ec6eb776effb658fcfa1.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/67f5ec6eb776effb658fcfa1.jpg" style="width: 300px; float: right;" /></a>臺灣資安產業迎來重大策略結盟！資安服務業者中華資安國際（股票代號7765）今（9）日正式宣布，將注資6,500 萬元，入股英屬開曼群島賽博創新科技（CyCraft Technology）。賽博創新科技是臺灣本土AI資安原廠——奧義智慧科技100%控股母公司，目前正積極推動臺灣首次公開募股（IPO）計畫，並已完成申報輔導，股票代號7823。</p> <p>這項增資案，不僅是中華資安強化自身資安服務能量的重要一步，更被視為臺灣資安產業的關鍵里程碑，邁向資源整合、攜手應對日益嚴峻全球資安挑戰。</p> <p>透過本次的資本合作，中華資安與奧義智慧將進行深度整合，集結各自的專業技術與實戰經驗，共同打造一支「臺灣資安國家隊」，展現臺灣在資安領域的強勁實力。</p> <p><a href="https://www.ithome.com.tw/news/168220"><strong style="font-size: 22px;">Gmail推出全程加密功能</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Gmail-E2EE_st1MloEL7u.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Gmail-E2EE_st1MloEL7u.jpg" style="width: 300px; float: right;" /></a>4月1日Google針對Google Workspace用戶推出一項新功能，允許大型企業的Gmail使用者只需要少量操作，就能傳送全程加密（E2EE）的訊息予採用任何電子郵件信箱的任何人，該公司推出這項新功能緣由，主要是慶祝Gmail的21歲生日。</p> <p>Google表示，各種規模的組織都應能獲得安全及保密的通訊，但S/MIME與其它專有解決方案的複雜性，令端對端加密電子郵件成為擁有大量IT資源之組織的特權，Google在過去兩年致力於打破相關障礙，並於簡化E2EE上取得了進展。</p> <p>用戶在Gmail中要開始撰寫郵件時，只要點選收件者欄位右邊的鎖頭圖示，就能啟用E2EE加密。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/168331"><strong>【4月9日】微軟修補CLFS零時差漏洞，若不處理，恐面臨勒索軟體攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168302"><strong>【4月8日】駭客上傳惡意VSCode延伸套件散布挖礦軟體XMRig</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168273"><strong>【4月7日】下載免費VPN行動APP要小心！有五分之一來自中國，上網恐遭監控</strong></a></p> </div></div></div>
2025/4/10 17:46作者周峻佑https://www.ithome.com.tw/news/168348
殭屍網路鎖定中國廠牌TVT的DVR設備，單日攻擊的IP位址數量超過2500個
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年2月底至3月上旬，有多組研究人員對於<a href="https://www.ithome.com.tw/news/167788">殭屍網路Eleven11bot</a>攻擊升溫提出警告，駭客綁架8.6萬臺物聯網設備，主要目標是華為旗下海思（HiSilicon）的DVR設備，特別是針對執行TVT NVMS9000軟體的裝置而來，當時公布相關發現的資安業者GreyNoise，近期<a href="https://www.greynoise.io/blog/surge-exploitation-attempts-tvt-dvrs">察覺新一波疑為Mirai殭屍網路攻擊活動</a>而提出警告。</p> <p>GreyNoise指出，他們從3月31日開始，看到鎖定NVMS9000設備而來的攻擊行動出現明顯增加的情況，這樣的情況於4月3日達到高峰，有超過2,500個設備IP位址受到攻擊，這樣的規模是之前的3倍之多。由於製造NVMS9000的中國廠商同為（TVT）將設備銷往全球超過120個國家，因此，相關的攻擊行動影響範圍可能很廣泛。</p> <p>這波攻擊的主要目標是美國、英國、德國，分別有6,471、5,738、5,713個IP位址的NVMS9000設備遭遇相關攻擊，駭客試圖利用未登記CVE編號的資訊洩露漏洞動手，企圖得到管理權限，以便控制受害設備。雖然GreyNoise並未透露這項漏洞的其他細節，但<a href="https://www.bleepingcomputer.com/news/security/new-mirai-botnet-behind-surge-in-tvt-dvr-exploitation/">資安新聞網站Bleeping Computer指出</a>，GreyNoise提及的漏洞為另一家資安業者SSD Secure Disclosure<a href="https://ssd-disclosure.com/ssd-advisory-nvms9000-information-disclosure/">去年5月揭露</a>，當時SSD Secure Disclosure研究人員指出，攻擊者利用漏洞的唯一條件，就是存取DVR設備開放的連接埠。</p> <p>關於發動此類嘗試攻擊的來源，GreyNoise認為主要是亞太地區，他們在最近一個月看到駭客使用6,619個IP位址發動攻擊，其中來自臺灣的IP位址超過半數占大宗，有3,637個，其次是日本和韓國，有809、542個。</p> </div></div></div>
2025/4/10 16:04作者周峻佑https://www.ithome.com.tw/news/168347
AWS EC2自動化管理工具SSM Agent存在路徑穿越漏洞，攻擊者有機會用來執行任意指令碼、提升權限
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS Systems Manager（SSM）的代理程式使用要小心！資安業者Cymulate本週揭露當中存在發現<a href="https://cymulate.com/blog/aws-ssm-agent-plugin-id-path-traversal/">路徑穿越漏洞</a>，起因是外掛程式ID的驗證不當所致，一旦攻擊者成功利用漏洞，就有機會以root權限執行任意指令碼、在檔案系統非規畫位置建立資料夾，甚至能在系統的敏感區域寫入資料，而有機會達到權限提升的目的。此漏洞已於2月底通報，AWS於3月初發布3.3.1957.0版SSM Agent予以修補。</p> <p>AWS SSM Agent的主要功能，是讓管理者能遠端管理、設定EC2實體及本機伺服器，在AWS的管理及自動處理作業相當重要。管理者藉由JSON或YAML範本打造SSM文件（SSM Document）下達指令，交由SSM Agent執行相關工作，像是執行Shell指令碼、部署軟體、調整系統組態，通常SSM文件會包含執行工作所需的外掛程式，一旦SSM Agent執行，就會根據外掛程式的ID建立資料夾及檔案，而Cymulate找到的資安漏洞，就與外掛程式的ID驗證缺失有關。</p> <p>針對這項路徑漏洞發生的原因，研究人員指出發生在SSM Agent名為pluginutil.go的元件，當中稱為ValidatePluginId的功能，嘗試清理輸入失敗所致，使得攻擊者可運用帶有路徑穿越的符號（如../）設置惡意外掛程式的ID，從而利用漏洞。</p> <p>一旦SSM文件執行，就會以外掛程式的ID建立資料夾，並以root權限建立_script.sh檔案並執行。由於SSM Agent驗證外掛程式的ID存在弱點，使得攻擊者能在非預期的檔案系統路徑建立資料夾並執行指令碼，而有機會提升權限或是從事其他惡意活動。</p> <p>雖然已發布新版SSM Agent緩解弱點，但Amazon在外電報導後<a href="https://thehackernews.com/2025/04/amazon-ec2-ssm-agent-flaw-patched-after.html">提出新的說明</a>，他們強調，這項弱點不會授予新的使用者權限，攻擊鏈仰賴執行SSM文件的使用者具備的權限，因此，Amazon不認為這是權限提升漏洞。他們也呼籲用戶應採用3.3.1802.0以上版本，以免受到這項弱點的影響。</p> </div></div></div>
2025/4/10 13:05作者周峻佑https://www.ithome.com.tw/news/168346
Adobe發布4月例行更新，呼籲優先修補ColdFusion
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>4月8日Adobe發布資安公告，修補旗下12款產品當中的54項資安漏洞，其中又以<a href="https://helpx.adobe.com/security/products/coldfusion/apsb25-15.html">應用程式開發平臺ColdFusion最值得留意</a>，因為該公司將其修補的優先順序列為最高（第1級），這樣的情況並不常見。</p> <p>從漏洞的數量來看，ColdFusion、<a href="https://helpx.adobe.com/security/products/framemaker/apsb25-33.html">FrameMaker</a>、<a href="https://helpx.adobe.com/security/products/after_effects/apsb25-23.html">After Effects</a>占大宗，分別為15個、10個、7個，但Co<span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">l</span>dFusion不僅修補的漏洞最多，當中多達11項被列為重大等級，而且，有4項危險程度達到9.1分（滿分10分）。</p> <p>這些漏洞是：CVE-2025-24446、CVE-2025-24447、CVE-2025-30281、CVE-2025-30282，一旦攻擊者成功利用漏洞，就有機會執行任意程式碼，或是讀取任意的檔案及系統。值得留意的是，利用CVE-2025-30281無須使用者互動，但其他漏洞利用存在必要條件：攻擊者必須引誘使用者開啟惡意檔案才能利用CVE-2025-24446、CVE-2025-24447，若是要利用CVE-2025-30282，則必須脅迫使用者在應用程式進行特定活動。</p> <p>而對於這些漏洞的型態，CVE-2025-24446為輸入驗證不當弱點，CVE-2025-24447涉及未獲信任資料的反序列化處理，至於CVE-2025-30281、CVE-2025-30282，則為不當存取控制及身分驗證不當的弱點。</p> </div></div></div>
2025/4/10 11:47作者周峻佑https://www.ithome.com.tw/news/168338
WordPress.com發表AI工具，用聊天機器人幫你架站
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Automattic旗下的網站代管平臺WordPress.com本周三（4/9）加入了AI陣營，開始<a href="https://wordpress.com/blog/2025/04/09/ai-website-builder/" target="_blank">提供AI Website Builder</a>以讓使用者在幾分鐘內就能建置一個新網站，它不需要樣版，不需要撰寫程式碼，只要告訴它你需要什麼風格或是網站的用途，以與早就提供AI工具的競爭對手<a href="https://www.squarespace.com/blog/how-to-make-a-website-with-ai" target="_blank">Squarespace</a>及<a href="https://support.wix.com/en/article/about-wixs-ai-tools" target="_blank">Wix</a>較勁。</p> <p>在使用者造訪<a href="https://wordpress.com/ai-website-builder/" target="_blank">AI Website Builder</a>之後，在機器人聊天對話框中可以盡可能地詳述所需的網站，例如需要的是作品集網站、部落格或是商業網站，也能加進網站名稱，或是描述想要的風格，例如有趣、友善、簡約、優雅或任何的形容，並描述準備於網站發布的內容類型。</p> <p>而接著就必須登入或註冊WordPress.com，系統則會進一步詢問使用者的需求，然後開始建置，期間會進一步要求使用者選擇版面、顏色與字體，並完成網站雛型。之後使用者還能客製化此一由AI完成的網站樣貌，例如新增社交媒體圖示，變更特定元素或類別的顏色，變更選單項目，或是移動元素等，在最後的客製化階段中，免費版可支援30個提示。</p> <p>倘若購買了WordPress.com的代管服務，那麼就能使用無限數量的提示來客製化網站。</p> <p>WordPress.com表示，AI Website Builder非常適合想要快速且輕鬆啟動美觀網站的任何人，不管是小型企業、自由工作者、創作家、部落客或是開發人員等。</p> </div></div></div>
2025/4/10 12:32作者陳曉莉https://www.ithome.com.tw/news/168341
歐盟啟動「AI大陸行動計畫」，以期趕上美國與中國的AI建設
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歐盟執委會（European Commission，EC）本周三（4/9）<a href="https://ec.europa.eu/commission/presscorner/detail/en/ip_25_1013" target="_blank">宣布啟動「AI大陸行動計畫」</a>（AI Continent Action Plan），準備趕上美國與中國的AI建設，並成為全球於AI領域的領導者。</p> <p>EC說，AI的領導競賽尚未結束，不管是從尖端的基礎模型到專業的AI應用，歐盟都充滿活力，其推動力來自研究、新興技術、蓬勃發展的新創公司，以及擴大規模的企業生態體系統，AI Continent Action Plan將藉由五大關鍵支柱，來提升當地的AI創新能力。</p> <p>在歐盟之前，中國早在2017年便發布《新一代人工智慧發展規畫》，期望該國的AI技術在2020年就能達到全球先進水準，成為AI應用的主要國家，在2025年領先全球，在2030年成為世界主要的AI創新中心，中國對AI的野心涵蓋了智慧城市、智慧醫療、AI製造、自駕車、人臉辨識與自然語言處理等。</p> <p>至於美國則是在2021年通過《國家AI倡議法案》（National AI Initiative Act），致力於發展AI基礎研究、軍事及國防AI、擴大AI教育，也會擬定AI道德規範，到了今年剛上任的川普（Donald Trump）時代，則是在今年1月啟動Stargate Project計畫，由OpenAI、甲骨文、軟銀及MGX等業者共同成立新的AI公司Stargate，準備於美國投入5,000億美元來建設AI基礎設施，美國政府則藉由行政命令來支援其基礎建設，包括能源供應。</p> <p>而歐盟AI Continent Action Plan的五大關鍵，則分別是擴大AI資料及運算基礎設施，增加存取大量及高品質資料的管道，開發演算法並推動各領域採用AI，強化AI技術與人才，以及簡化監管等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0410-AI%20Continent%20Action%20Plan-european%20commission.png" style="width: 450px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／歐盟執委會</span></span></p> <p>其中，在基礎設施的部分，EC準備藉由AI工廠（AI Factories）網路來強化當地的AI與超級電腦基礎設施，目前當地已部署了13家AI工廠，將可支援歐盟的AI新創、產業與研究人員的AI建模及應用。</p> <p>此外，EC也將協助建立多個AI超級工廠（AI Gigafactories，AIGF），與傳統AI工廠不同的是，AI Gigafactories可望配備10萬個最先進的AI晶片，其晶片數量約是現有AI工廠的4倍。這些AI超級工廠將會整合龐大的運算能力與資料中心，以前所未有的規模訓練及開發複雜的AI模型。EC相信，AI超級工廠將會引領下一波的前沿AI模型，以維護歐盟在關鍵工業領域及科學領域的戰略自主權。EC也在同一天向有興趣投資的財團<a href="https://eurohpc-ju.europa.eu/document/download/47492db7-592e-4ad8-b672-9c822f94afa0_en?filename=AI%20GIGAFACTORIES%20CONSULTATION.pdf" target="_blank">徵求意見</a>。</p> <p>根據EC的估計，每一個AI超級工廠的建置費用約落在30~50億歐元之間，歐盟及其成員國最高將負責35%的公共資金，其它則是由私人合作夥伴承擔。</p> </div></div></div>
2025/4/10 12:57作者陳曉莉https://www.ithome.com.tw/news/168345
GitHub推出Security Campaigns，讓企業系統化處理安全債成開發日常
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>GitHub宣布正式推出<a href="https://github.blog/security/application-security/found-means-fixed-reduce-security-debt-at-scale-with-github-security-campaigns/">Security Campaigns</a>功能，提供GitHub Advanced Security與GitHub Code Security用戶使用，助企業開發者與資安團隊在既有程式碼，系統性發現並修補尚未解決的安全漏洞，以降低長期累積的安全債風險。</p> <p>GitHub指出，雖然不少開發團隊已將修補安全漏洞的工作，納入日常拉取請求流程，透過GitHub的Code Scanning與Copilot Autofix功能，自動偵測與修復新出現的安全問題，但對於已經存在於程式碼庫的舊漏洞，開發者往往缺乏系統性管理與處理的機制，導致安全債長期累積。</p> <p>Security Campaigns的設計針對此一痛點，其運作方式由資安團隊主導，對企業內多個程式庫進行漏洞風險盤點與篩選，決定優先處理的問題範疇，例如可依據MITRE已知十大常見漏洞類型，或組織自訂條件篩選，建立一個活動範圍明確的修補專案，並設定處理期限。完成規畫後，系統會自動將活動內容通知相關開發者，並在開發者日常使用的GitHub工作介面中，顯示待處理的漏洞項目。</p> <p>開發者在Security Campaigns指定的修補任務中，可直接應用Copilot Autofix功能，自動取得修補程式碼建議，快速提交拉取請求進行修復。除了程式碼差異與說明文字，Security Campaigns也會自動建立GitHub Issues，讓開發團隊可依需求追蹤、協作或討論修補進度。GitHub進一步提供Campaigns管理介面，讓資安人員可以即時掌握各項修復專案的進度、個別漏洞的處理狀態，以及開發者參與修補工作的活躍程度。</p> <p>在管理流程上，Security Campaigns支援草稿模式，資安人員可事先建立草稿版本，進行範圍與漏洞篩選的反覆調整，確認內容無誤後才正式發布。此外，Security Campaigns具備組織層級的統計功能，可整合顯示所有已完成與進行中的專案資料，方便跨部門或跨專案的治理與稽核需求。</p> <p>GitHub提到，導入Security Campaigns的組織，平均可提升漏洞修補率至55％，高於傳統僅約10％的修補率。</p> </div></div></div>
2025/4/10 13:14作者李建興https://www.ithome.com.tw/news/168344
IBM推出z17，AI推論效能提升50%、整合HashiCorp管理功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>持續加碼為AI優化，<a href="https://newsroom.ibm.com/z17" target="_blank">IBM宣布推出採用最新處理器</a><a href="http://newsroom.ibm.com/z17" target="_blank">Telum II</a><a href="https://newsroom.ibm.com/z17" target="_blank">的新一代大型主機z17</a>，推論效能提升50%，新增AI代理人及助理，此外也整合新併入的HashiCorp安全及基礎架構管理功能。</p> <p>IBM在發表<a href="https://www.ithome.com.tw/news/150272" target="_blank">z16</a>三年後推出的z17，是5年設計開發的成果，包含300多項美國專利。伴隨z17，IBM也宣布z/OS 3.2、AI助理與管理套件、AI加速器Spyre Accelerator，以及新併入的<a href="https://www.ithome.com.tw/news/162514" target="_blank">HashiCorp的多雲安全管理功能</a>。</p> <p>z17採用最新的Telum II處理器，包含第二代SoC AI加速器，快取較上一代增加40%。IBM表示，z17支援250多種AI應用場景，包括減少信貸風險、管理聊天機器人服務、支援醫療分析及防範零售犯罪等，不再只限於營運性的AI業務。z17在信用卡詐欺防制的深度學習模型時，具備1毫秒的反應效能，每天能執行4500億次推論運算，比z16多50%。</p> <p>IBM也預告加速晶片Spyre Accelerator，今年第4季推出。Spyre Accelerator記憶體高達1TB，透過PCIe卡介面整合。Spyre Accelerator為主機執行生成式AI包括AI助理而設計，例如使用主機系統內的資料。Spyre Accelerator（圖右）與Telum II處理器（圖左）合併可支援多模型AI運算任務。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0410-IBM%20Telum%20II%20(left)%20and%20Spyre%20(right)%20chips.png" style="width: 600px;" /></p> <p>IBM也預覽z/OS 3.2作業系統。新版本支援硬體加速的AI功能，以及系統管理所需的AI分析。z/OS 3.2並支援新的資料存取方法、NoSQL資料庫和混合雲端資料運算。</p> <p>在安全方面，Z17首度整合了IBM 2024年收購HashiCorp的基礎架構管理工具，目前包含身份驗證方案IBM Vault，可確保Z主機的密碼、憑證、金鑰、令牌等機密資料。而利用Telum II及自然語言處理，Z17可提供敏感資料的發現和分類。IBM Threat Detection for z/OS則可偵測異常行為或網路攻擊。</p> <p>IBM也為z17加入AI助理，包括IBM watsonx Code Assistant for Z及watsonx Assistant for z，簡化開發人員及IT管理員的工作。5月將推出的管理套件IBM Z Operations Unite可蒐集Z主機多個來源的效能指標和log，幫助偵測異常、確保營運效能，Z Operations Unite亦整合了watsonx Assistant for z。</p> <p>Z17預計2025年6月18日出貨。<span style="font-size:14px;"><span style="color:#696969;">圖片來源／IBM</span></span></p> </div></div></div>
2025/4/10 11:59作者林妍溱https://www.ithome.com.tw/news/168339
Google開源多代理人互通協定Agent2Agent及多代理人開發套件、公布代理人市集
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AI代理人應用興起，在Google Cloud Next 2025上，<a href="https://developers.googleblog.com/en/a2a-a-new-era-of-agent-interoperability/" target="_blank">Google宣布</a>多代理人互通協定Agent2Agent讓不同廠商及平臺的代理人能互通並共同協作，也開源了多代理人開發套件Agent Development Kit（ADK），以及代理人市集Agent Gallery。</p> <p>現今愈來愈多企業自行打造和部署代理人以自動化公司內作業流程，從下單買新筆電到協助客服人員，或是支援供應鏈規劃。為了發揮代理人AI的潛力，協助企業提高生產力，眾多代理人必需要能在多代理人環境中相互協同，以跨越個別資料系統和應用。</p> <p>為此Google宣布代理人互通開放協定，名為Agent2Agent（A2A），並已向大眾開源。本模型是補強Anthropic的Model Context Protocol（MCP）協定，目的在解決企業大規模部署多代理人系統的挑戰，以提供不同底層框架或廠商的代理人彼此協同的標準。</p> <p>目前A2A已經獲得50多家技術廠商合作，包括Atlassian、Box、Cohere、 Langchain、MongoDB，以及提供應用和網上服務的Intuit、PayPal、Salesforce、SAP、ServiceNow、UKG 及Workday等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0410-google%20cloud-next%2025-Agent2Agent%20Protocol-partener-4.png" style="width: 600px;" /></p> <p>Google說明，A2A五大設計原則包括以下。一讓代理人能以自然、非結構型態相互協同，即使彼此記憶、工具與上下文不同。其次，A2A是以現有常見標準如HTTP、SSE、JSON-RPC等為基礎，可使代理人容易與企業現有IT資產整合。三、為維護安全，A2A支援企業等級的驗證和授權標準，類似OpenAPI驗證規格。四、它也必須要能支援各種任務，從簡單快速的工作，到需時數小時、甚至因為牽涉人而長達數天的深度研究，而A2A此時也要能對用戶提供即時回應、通知和狀態更新。最後，A2A要能彈性支援不同模態，包括文字、聲音和串流影片。</p> <p>Google已<a href="https://github.com/google/A2A" target="_blank">在GitHub公布A2A協定</a>草案規格，程式碼及範例。</p> <p>G<a href="https://storage.googleapis.com/gweb-developer-goog-blog-assets/original_videos/A2A_demo_v4.mp4" target="_blank">oogle以遴選面試為例說明A2A協同</a>，人事部經理在統一介面（如Google宣布的Agentspace）要求代理人根據工作經歷、技能和地點挑選出受試者，該代理人再和其他代理人合作，例如安排受試者進一步面談，面談完後，另一代理人啟動背景調查。</p> <p><span style="color:#B22222;"><strong>代理人開發工具、代理人市集</strong></span></p> <p><a href="https://google.github.io/adk-docs/" target="_blank">Google並開源了</a>讓企業開發多代理人的<a href="https://developers.googleblog.com/en/agent-development-kit-easy-to-build-multi-agent-applications/" target="_blank">代理人開發套件（Agent Development Kit，ADK）</a>。ADK內建搜尋、程式執行、MCP工具、也整合第三方函式庫LangChain或LlamaIndex或代理人，包括LangGraph或CrewAI。ADK可和Google Gemini或Vertex AI平臺上第三方模型共用，也提供LiteLLM整合，可整合Anthropic、Meta、Mistral AI及 AI21 Labs等多種模型。</p> <p>針對沒有足夠開發人員的組織，<a href="https://cloud.google.com/blog/products/ai-machine-learning/google-agentspace-enables-the-agent-driven-enterprise" target="_blank">Google則宣布</a>其代理人平臺AgentSpace加入代理人市集Agent Gallery和無程式碼開發服務Agent Designer。現在企業可以從Chrome Enterprise的搜尋列直接存取Agentspace，搜尋由Google和第三方業者提供的代理人。而Google自己也上架了自有新代理人包括Deep Research和Idea Generation，幫助企業發想、生成和驗證業務相關的想法，或合成出更紮實的資訊。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0410-google%20cloud-Agent%20Gallery-dea%20Generation%20agent.png" style="width: 600px;" /></p> <p>Agent Gallery和Agent Designer目前提供企業加入等候清單，排隊加入測試。Agent Designer現為預覽版。<span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Google</span></p> </div></div></div>
2025/4/10 11:10作者林妍溱https://www.ithome.com.tw/news/168336
Google揭新一代TPU、推跨平臺AI代理協定A2A和多種代理開發部署工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google雲端年度大會Next 25在4月9日正式登場，Google雲端執行長Thomas Kurian揭露一系列重磅更新，範圍涵蓋AI超級電腦架構（AI Hypercomputer）、Vertex AI平臺、辦公生產力工具和安全等領域，除了有專為推理模型設計的新一代TPU處理器Ironwood，還聚焦AI代理，祭出可支援AI代理跨平臺協作的Agent-to-Agent協定、多代理開發工具包ADK、流程自動化工具Google Workspace Flows，以及AI威脅偵測工具Google Unified Security等。</p> <p><span style="font-size:22px;"><strong>AI基礎設施亮點：專為大模型設計的Ironwood處理器</strong></span></p> <p>首先登場的是<a href="https://blog.google/products/google-cloud/ironwood-tpu-age-of-inference/">Google第七代張量處理器（TPU）Ironwood</a>。這款TPU專為「會思考」的模型設計，比如大型語言模型（LLM）、混合專家（MoE）模型、推理模型，這類模型通常需要大量的平行處理和高效能的記憶體存取。</p> <p>而Ironwood的每個晶片峰值運算能力為4,614 TFLOPs，可因應繁重的AI工作負載，且Ironwood有兩種晶片配置（256個晶片和9,216個晶片），當擴展到9,216個晶片時，其運算能力可達42.5 exaFLOP，是全球最大超級電腦El Capitan的24倍之多，適合用來執行複雜的AI模型。</p> <p>也因此，Google也將Ironwood用來優化AI超級電腦架構，提供更強大、高效能的運算資源給用戶。除此之外，AI超級電腦架構也有其他軟硬體更新，像是更好的叢集管理、更好的GKE推論能力等，來供使用者訓練和執行模型。</p> <p>在AI基礎設施部分，Google雲端還推出一項網路基礎設施新服務Cloud WAN，來提供高效能的網路連接，供企業因應AI應用帶來的高度分散網路需求。</p> <p><span style="font-size:22px;"><strong>AI代理亮點：A2A協定、代理管理、辦公流程自動化、威脅偵測</strong></span></p> <p>雲端AI新工具是今年度Google雲端大會的一大亮點，特別是AI代理（Agents）。</p> <p>首先，有別於用一套標準將模型、資料和工具連結起來的Model Context Protocol（MCP）協定，Google祭出一個<a href="https://developers.googleblog.com/en/a2a-a-new-era-of-agent-interoperability/">Agent-to-Agent協定（簡稱A2A）</a>，要讓開發者用來打造高互通性的代理。也就是說，只要是按A2A協定開發的代理，就能跨平臺、跨服務彼此溝通。</p> <p>這對使用者來說，可以選擇不同廠商的AI代理、組合使用，系統可以兼容這些不同來源的代理。對企業來說，他們能在不同平臺或不同雲端服務間，統一管理各個代理，減少技術負擔。這個A2A協定，目前已獲50多家業者支援。（如下圖）</p> <p><img alt="" src="https://storage.googleapis.com/gweb-developer-goog-blog-assets/images/image1_yEPzdSr.original.png" /></p> <p>不只如此，Google還在自家AI開發平臺Vertex AI中，新添不少AI代理工具，其一是<a href="https://cloud.google.com/blog/products/ai-machine-learning/build-and-manage-multi-system-agents-with-vertex-ai?e=48754805">代理開發工具包Agent Development Kit（ADK）</a>，專門用來簡化AI代理的建置、測試和部署執行，號稱不必寫到100行程式碼，就能完成代理建置。而且，這款ADK還支援MCP協定。</p> <p>在這個ADK中，還有2項用來開發和部署代理的工具，分別是Agent Garden和Agent Engine。其中，前者包含可直接使用的代理範本和工具，來協助開發者快速打造AI代理，後者則讓使用者將AI代理程式部署到正式環境時，不必重建整個代理系統，還能管理代理程式的基礎架構、擴展性、評估、監控和安全等。</p> <p>不過，Google預計今年第三季提供ADK公開預覽版。</p> <p>另一項AI代理亮點是<a href="https://cloud.google.com/blog/products/ai-machine-learning/google-agentspace-enables-the-agent-driven-enterprise?e=48754805">Google Agentspace新功能</a>，包括企業使用者可直接從Chrome搜尋框來使用Agentspace的搜尋、分析和資訊整合功能，也能透過Agent Gallery（代理庫）來快速導入各種代理，或是部署Google自家的代理。這些Agentspace新功能，目前只開放白名單用戶使用。為顧及企業資料隱私需求，Google也計畫推出Google Distributed Cloud（GDC）平臺，來支援企業本地段部署Gemini系列模型和Agentspace代理應用，預計今年第三季開始提供GDC。</p> <p>此外，Google還打造AI Agent Marketplace市集，收錄第三方各種AI代理，來讓使用者隨插即用。甚至，他們還推出一項實用的<a href="https://workspace.google.com/blog/product-announcements/new-ai-drives-business-results">自動化流程工具Google Workspace Flows</a>，使用者用自然語言描述想完成的流程，AI代理就會自動設計整個邏輯流程，不必寫程式就能完成跨應用的工作自動化。</p> <p>就連這次新推的AI威脅偵測和反應服務Google Unified Security，都與AI代理有關，借助新Gemini模型驅動的AI代理來自動分析系統、偵測威脅並給予建議。</p> <p><span style="font-size:22px;"><strong>Vertex AI平臺支援更多生成式多模態模型和Google地圖資訊</strong></span></p> <p>除了AI代理，在今日大會中，Google雲端也宣布不少模型更新，其中亮點是<a href="https://cloud.google.com/blog/products/ai-machine-learning/expanding-generative-media-for-enterprise-on-vertex-ai?e=48754805">Vertex AI平臺支援更多生成式多模態模型</a>，包含這次新納入的文字轉音樂模型Lyria，整體就涵蓋了影片、圖像、語音和音樂。等於使用者配合既有的圖像、語音和影片生成能力，可以從一段簡單的文字開始，逐步生成圖像、影片，並自動加入音樂與旁白，實現完整的生成式內容製作。</p> <p>就既有模型來說，Google也進行優化和更新。比如，他們替文字轉影片模型Veo 2增添新功能，如鏡頭控制、影片編輯工具，使用者能更細緻地調整影片內容、快速重製和優化。Google也為文字轉語音模型Chirp 3新添客製化功能，使用者只需提供10秒音訊，就能生成專屬聲音模型。此外，Chirp 3 還支援AI配音疊加至既有錄音，並提供辨識說話者的語音轉錄功能。</p> <p>同時，Google也優化了文字轉圖片模型Imagen 3的品質，讓圖像中缺失或不自然的處理更細膩自然，尤其在物件移除和修圖場景中，能更自然呈現。</p> <p>不只是多模態模型支援，Thomas Kurian也揭露，<a href="https://mapsplatform.google.com/resources/blog/grounding-with-google-maps-now-available-in-vertex-ai-power-your-ai-responses-with-google-maps-information/">Vertex AI平臺還將支援Google地圖資訊</a>，讓使用者的大型語言模型可即時存取Google地圖資訊，來提供更準確的回答。不過，該功能為實驗版，且只限於美國使用。</p> <p></p> </div></div></div>
2025/4/10 01:40作者王若樸https://www.ithome.com.tw/news/168333
提供iLO 7與更多液冷搭配，HPE伺服器正式開啟第12世代
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/hpe_proliant_compute_dl360_gen12_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年下半，HPE伺服器產品線ProLiant Compute系列邁入第12代，陸續發表<a href="https://www.ithome.com.tw/review/163787">DL384 Gen12</a>、<a href="https://community.hpe.com/t5/ai-unlocked/hpe-proliant-compute-dl380a-gen12-expands-performance-with/ba-p/7229518">DL380a Gen12</a>，這項消息最初是在該公司6月舉行的年度全球用戶大會Discover發布，接下來推出的新機型，就是今年2月上旬發表的8款產品，裡面有6款預計這季上市，響應2月24日英特爾推出搭載高效能核心（P-core）的Xeon 6處理器，HPE這6款伺服器也在同時登場，正式揭開ProLiant Compute Gen12的序幕，導入伺服器領域首創的多種資安防護功能，可針對複雜的工作負載提供最佳化效能，並且運用AI強化的管理機制，進而大幅提升生產力。</p> <h3><span style="color:#0000FF;"><strong>處理器搭配英特爾Xeon 6系列，提供更多支援液冷的機型</strong></span></h3> <p>我們現在來看看其中一款採用1U2路組態的機型DL360 Gen12，相較於上一代產品DL360 Gen11，兩款機型同樣提供32個DDR5記憶體模組插槽，最多可安裝至8 TB容量，但DL360 Gen12最高支援6400 MT/s，DL360 Gen11支援5600 MT/s；硬碟儲存均可搭配4臺3.5吋硬碟、10臺2.5吋硬碟，以及20臺E3.S固態硬碟；PCIe皆能擴充3張5.0 x16介面卡，全高、短板，以及全長或短板。</p> <p>關於處理器的規格，既有的DL360 Gen11可搭配兩顆英特爾第四代或第五代Xeon Scalable系列，最多能設置120顆或128顆核心；最新推出的DL360 Gen12，搭配用於資料中心與邊緣環境的英特爾Xeon 6處理器，最多能設置288顆核心（Xeon 6 with E-core），或是最多能設置172顆核心（Xeon 6 with P-core）。</p> <p>在效能最佳化、能源使用效率、成本效益的表現上，HPE根據內部測量的耗電與效能數據指出，相較於ProLiant Gen10世代的伺服器，若是採用86核心英特爾Xeon 6處理器的ProLiant Compute Gen12，每瓦效能領先幅度高達41％，每年可節省耗電量的比例為65％；而且，每一臺ProLiant Compute Gen12伺服器提供的運算效能，相當於7臺ProLiant Gen10世代的伺服器，企業得以釋放更多的資料中心空間。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Consolidating With HPE ProLiant Compute Gen12 Servers2Consolidating With HPE ProLiant Compute Gen12 Servers1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Consolidating%20With%20HPE%20ProLiant%20Compute%20Gen12%20Servers2Consolidating%20With%20HPE%20ProLiant%20Compute%20Gen12%20Servers1.png" style="width: 600px;" /></a></p> <p>為了因應更高能源使用效率的嚴苛要求，HPE針對ProLiant Compute Gen12的英特爾處理器平臺單路與雙路伺服器，提供選購的直接液冷（Direct Liquid Cooling，DLC）配置。</p> <p>以DL360 Gen12為例，用戶有三種散熱選擇，首先是氣冷搭配標準或高效能散熱座與風扇組件，第二種是出廠預設採用封閉迴路型液冷（Closed-loop Liquid Cooling，CLLC）的散熱座與風扇套件，第三種是直接液冷與風扇組件。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Liquid cooling for HPE ProLiant Compute systems-2025-03.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Liquid%20cooling%20for%20HPE%20ProLiant%20Compute%20systems-2025-03.jpg" style="width: 600px;" /></a></p> <p>關於封閉迴路型液冷的組態，先前HPE在DL360 Gen11、DL560 Gen11、DL325 Gen11支援，現在能在DL360 Gen12與DL320 Gen 12提供，透過這樣自給自足的系統，可在封閉管線迴路循環輸送冷卻液，能免除為此建置外部液冷基礎設施的需求，提供有彈性、有效率的冷卻解決方案，使這兩款機型能部署在各種資料中心環境。</p> <p><a href="https://s4.itho.me/sites/default/files/images/DL360 Gen12-Closed Loop Liquid Cooling.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/DL360%20Gen12-Closed%20Loop%20Liquid%20Cooling.jpg" style="width: 600px;" /></a></p> <p>而直接液冷的選項，HPE在ProLiant Gen11系列機型裡面，僅有DL360、DL380、DL365、DL385支援，到了ProLiant Compute Gen12世代，DL380a率先引進這項搭配，後續則有DL360、DL380提供。</p> <p><a href="https://s4.itho.me/sites/default/files/images/DL360 Gen12-7.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/DL360%20Gen12-7.jpg" style="width: 600px;" /></a></p> <p>ProLiant Compute Gen12配合環境保護與資源永續的作法，除了標榜節能減碳，HPE也特別提到當伺服器面臨產品生命週期步入終點之際，為了確保資源透過安全、可信賴的方式進行回收，他們也提供<a href="https://www.hpe.com/us/en/collaterals/collateral.a50007976enw.html">「產品到府淘汰服務Onsite Decommission Services」</a>，能夠回收設備，並將其運送至通過HPE授權的分類與回收中心。</p> <h3><span style="color:#0000FF;"><strong>伺服器管理平臺iLO升級至第7代，增添抗量子運算加密防護</strong></span></h3> <p>以安全性方面的功能而言，ProLiant Compute Gen12能在伺服器使用的每一個環節，可涵蓋最底層的晶片到最上層的雲端服務，以及產品生命週期的每一個階段，都內建企業級防護機制。</p> <p>所謂的晶片層級的安全性，是指HPE在此搭配該公司發展的新一代伺服器管理平臺：iLO 7，當中內建強化、專屬資安處理器，稱為安全隔離區（Secure Enclave），這是專為HPE產品與雲端服務從頭開始進行工程設計的元件。除此之外，iLO 7在伺服器硬體配置方面，支援開放運算計畫組織訂定的資料中心模組化硬體系統（OCP DC-MHS）規格，以及單體式主機板（Monolith Boards），而且，針對液冷元件的使用，也支援冷卻液洩漏偵測機制。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/iLO7.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/iLO7-GUID-76C6188D-5911-42E0-9B02-2FB712885F89-high.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/iLO7-GUID-76C6188D-5911-42E0-9B02-2FB712885F89-high.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/HPE iLO7 demo2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20iLO7%20demo2.png" style="width: 298px;" /></a></p> <p>配備iLO 7這顆晶片之後，ProLiant Compute伺服器最大的特色，在於可協助企業對抗未來資安威脅，HPE強調該批產品是全世界率先做好抗量子運算密碼學（Quantum-resistant cryptography）準備的伺服器，支援<a href="https://www.ithome.com.tw/tags/pqc">後量子密碼學（PQC）</a>的防護，而且能符合高層次的密碼學處理標準，也就是美國聯邦資訊處理標準<a href="https://www.ithome.com.tw/news/153817">FIPS 140-3 Level 3</a>的產品資安認證。</p> <p>在ProLiant Compute Gen12的iLO7，將具體提供哪些相關功能？首先是HPE專門打造的安全隔離區，會在iLO這顆ASIC晶片當中，嵌入獨立、實體的防竄改安全系統，符合FIPS 140-3 Level 3硬體防護需求，能將自定API對iLO韌體的內部存取降至最低程度，透過這種存取限制，進一步縮減可能攻擊系統機密資訊的管道。</p> <p><a href="https://s4.itho.me/sites/default/files/images/HPE iLO7 demo1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20iLO7%20demo1.jpg" style="width: 600px;" /></a></p> <p>第二，是韌體快閃記憶體的資訊更新，當中採用能夠抗量子運算的演算法進行簽署，也就是運用美國國家安全局頒布的CNSA 2.0所許可的演算法（Leighton-Micali Signatures，LMS），進行簽署與身分認證，保護範圍涵蓋iLO晶片、BIOS，以及複合型可程式化邏輯裝置（CPLD），預防攻擊者運用量子電腦建立難以分辨真偽的惡意韌體，而且，iLO7還能認證其他運用抗量子運算演算法簽署的韌體資訊更新，為後續安全性防護提供強化機制。</p> <p><a href="https://s4.itho.me/sites/default/files/images/iLO7-GUID-6D1224AC-7406-409D-9FD0-2E5CF41FB9CA-high.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/iLO7-GUID-6D1224AC-7406-409D-9FD0-2E5CF41FB9CA-high.png" style="width: 500px;" /></a></p> <p>第三，是這批伺服器產品內建的矽信任根採用抗量子運算演算法。在伺服器處於系統關機的狀態，iLO7所用的韌體都會通過此類演算法的身分認證，預防惡意人士運用量子電腦發動的攻擊與實體存取，可確保真正的韌體不會被替代成惡意的版本。</p> <p>在伺服器硬體嵌入iLO 7之後，企業可透過安全隔離區建立難以破壞的信任鏈，以此對抗韌體攻擊，而且產生涵蓋整座工廠，以及整個HPE信任供應鏈的完整透明度。</p> <p>相較之下，ProLiant Compute Gen11與DL384 Gen12搭配的伺服器管理平臺是iLO 6，已提供基於韌體與硬體等兩個層級的防護。</p> <p><a href="https://s4.itho.me/sites/default/files/images/iLO version mapping.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/iLO%20version%20mapping.jpg" style="width: 600px;" /></a></p> <h3><span style="color:#0000FF;"><strong>結合自家雲端伺服器集中管理服務，可獲取AI洞察分析功能，提升IT營運效率</strong></span></h3> <p>關於ProLiant Compute Gen12提供AI強化的管理機制，主要是指該公司發展的雲端管理服務Compute Ops Management，可協助企業執行伺服器環境的防護與自動管理，當中提供的主動與預測性自動化處理功能，現在可透過AI驅動的洞察分析機制，提供強化功能，並且能經由電力使用量的預測，協助改善能源使用效率，促使企業能夠設置使用上限，進而控制成本與碳排放量，以達到世界級的水準。</p> <p>同時，HPE也在此提供全球地圖的檢視方式，可簡化管理，協助企業能橫跨分散式IT環境與多家廠商的工具套件整合，快速識別伺服器運作狀態的問題，根據市場研究機構Forrester的分析，每年每小時的停機時間可因此減少4.8小時；在此同時，HPE也提供伺服器自動註冊登錄功能，可簡化伺服器設定與持續管理作業，特別適合當地IT人力資源缺乏的遠端與分支辦公室伺服器部署。</p> <p><a href="https://s4.itho.me/sites/default/files/images/The Projected Total Economic Impact Of HPE Compute Ops Management-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/The%20Projected%20Total%20Economic%20Impact%20Of%20HPE%20Compute%20Ops%20Management-1.png" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong><span style="color:#0000FF;">HPE ProLiant Compute DL360 Gen12</span></strong><br /> ●原廠：HPE<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：1U<br /> ●處理器：1或2顆英特爾Xeon 6系列（8至144顆核心）<br /> ●記憶體：32個DDR5插槽（每通道兩個DIMM為5200 MT/s，每通道1個DIMM為6400 MT/s），最大可安裝至8 TB<br /> ●硬碟容量：3種硬碟槽選擇，可容納4臺3.5吋硬碟，10臺2.5吋SAS或SATA或NVMe硬碟，20臺E3.S固態硬碟的硬碟槽<br /> ●I/O介面：5個PCIe 5.0 x16，可安裝1張全高半長、1張半高半長、1張全高半長或半高半長，兩張OCP 3.0介面卡<br /> ●電源供應器：1800至2200/1600/1000/800瓦（1+1備援）<br /> ●管理平臺：HPE iLO7（可改用OpenBMC）、HPE OneView</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/4/9 23:48作者李宗翰https://www.ithome.com.tw/review/168252
中國駭客ToddyCat鎖定ESET防毒漏洞而來，以此暗中載入惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週資安業者ESET<a href="https://support.eset.com/en/ca8810-dll-search-order-hijacking-vulnerability-in-eset-products-for-windows-fixed">發布資安公告</a>，他們在1月下旬修補由資安業者卡巴斯基通報的CVE-2024-11859，此為DLL循序搜尋挾持漏洞，影響該公司Windows版防毒軟體，以及Exchange伺服器和SharePoint伺服器的防護系統，攻擊者若是取得管理員權限，有機會藉此載入惡意的DLL檔案並執行，4.0版CVSS風險評為6.8。本週卡巴斯基也<a href="https://securelist.com/toddycat-apt-exploits-vulnerability-in-eset-software-for-dll-proxying/116086/">公布這項漏洞遭到利用的情況</a>。</p> <p>對於這項漏洞可能會帶來的危險，ESET指出，攻擊者有機會在特定資料夾植入惡意DLL程式庫，並透過該廠牌命令列掃描工具ESET Command Line Scanner執行，使得駭客植入的程式庫取代系統的正常版本。不過，他們也提及利用這項漏洞必須搭配特定條件，那就是攻擊者必須事先取得管理員權限。</p> <p>至於駭客利用漏洞的過程，卡巴斯基透露，這項弱點他們是在去年初發現，當時他們在調查中國駭客ToddyCat涉及的資安事故，於多臺受害裝置偵測到名為version.dll的可疑檔案。研究人員進一步調查，該DLL檔案為64位元程式庫，駭客以C++打造而成，是名為TCESB的複雜工具。</p> <p>值得留意的是，TCESB的所有功能，都是從系統裡相同檔名的系統檔案version.dll，研究人員指出駭客運用了名為DLL代理程式手法（DLL-proxying，也稱為Hijack Execution Flow），他們直接從正常DLL檔案導入所有功能，而非直接在惡意DLL檔案實作，由於功能呼叫都會重新導向正常的DLL檔案，使得應用程式載入惡意DLL仍能正常運作，但同時攻擊者可在背景執行惡意程式碼。</p> <p>不過，光是上述手法，攻擊者無法執行及控制惡意程式，研究人員進一步調查，才確認ToddyCat利用了CVE-2024-11859來載入TCESB。駭客以用於繞過端點防護機制的工具EDRSandBlast為基礎打造TCESB，修改原本的EDRSandBlast程式碼加入惡意軟體功能。</p> <p>值得一提的是，ToddyCat為了迴避偵測，他們也運用自帶驅動程式（BYOVD）手法，濫用存在CVE-2021-36276弱點的Dell公用程式元件DBUtilDrv2.sys，以便達到目的。</p> </div></div></div>
2025/4/9 16:48作者周峻佑https://www.ithome.com.tw/news/168330
【資安日報】4月9日，微軟修補CLFS零時差漏洞，若不處理，恐面臨勒索軟體攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這個星期二（4月8日）是許多廠商發布4月例行更新的日子，微軟、Adobe、SAP，以及多家廠商在這天為旗下產品進行修補，其中，微軟在這次修補126個漏洞相當引起關注，因為數量是上個月的兩倍多。</p> <p>值得留意的是，其中已有被用於實際攻擊行動的零時差漏洞CVE-2025-29824，微軟威脅情報中心（MSTIC）與安全事件回應中心（MSRC）指出，駭客組織Storm-2460鎖定有限數量的目標發動攻擊。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168330"><strong style="font-size: 22px;">中國駭客ToddyCat鎖定ESET防毒漏洞而來，以此暗中載入惡意程式</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/toddycat-apt-exploits13.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/toddycat-apt-exploits13.png" style="width: 300px; float: right;" /></a></p> <p>上週資安業者ESET發布資安公告，他們在1月下旬修補由資安業者卡巴斯基通報的CVE-2024-11859，此為DLL循序搜尋挾持漏洞，影響該公司Windows版防毒軟體，以及Exchange伺服器和SharePoint伺服器的防護系統，攻擊者若是取得管理員權限，有機會藉此載入惡意的DLL檔案並執行，4.0版CVSS風險評為6.8。本週卡巴斯基也公布這項漏洞遭到利用的情況。</p> <p>對於這項漏洞可能會帶來的危險，ESET指出，攻擊者有機會在特定資料夾植入惡意DLL程式庫，並透過該廠牌命令列掃描工具ESET Command Line Scanner執行，使得駭客植入的程式庫取代系統的正常版本。不過，他們也提及利用這項漏洞必須搭配特定條件，那就是攻擊者必須事先取得管理員權限。</p> <p>至於駭客利用漏洞的過程，卡巴斯基透露，這項弱點他們是在去年初發現，當時他們在調查中國駭客ToddyCat涉及的資安事故，駭客利用漏洞執行名為TCESB的複雜工具。</p> <p><a href="https://www.ithome.com.tw/news/168319"><strong style="font-size: 22px;">Ivanti SSL VPN漏洞攻擊拉警報，全球5千臺伺服器曝險</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Ivanti_ux3HIst6FK.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Ivanti_ux3HIst6FK.png" style="width: 300px; float: right;" /></a></p> <p>4月3日資安業者Ivanti發布資安公告，指出旗下的SSL VPN系統Connect Secure（ICS）存在重大層級的資安漏洞CVE-2025-22457，影響22.7R2.5以前的版本，值得留意的是，他們已經掌握有部分用戶遭攻擊的情況，隔日美國網路安全暨基礎設施安全局（CISA）也將其列入已遭利用的漏洞列表（KEV）。</p> <p>針對這項漏洞被用於攻擊行動的情況，協助調查的資安業者Mandiant公布相關調查結果，他們看到中國駭客UNC5221於3月中旬開始利用這項弱點，得逞後便會在受害組織部署惡意程式載入工具TrailBlaze，以及後門程式BrushFire。</p> <p>值得留意的是，仍有不少ICS系統尚未套用新版程式而曝險，Shadowserver基金會指出，他們在4月6日進行掃描，結果發現網際網路上有5,113臺ICS伺服器尚未修補，美國、日本最多，分別有1,399、700臺；值得留意的是，臺灣有297臺ICS尚未修補，比鄰近的中國、韓國的250及242臺都要來得多。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=3&SPOKE_TIME=174133&SPOKE_DATE=20250408&COMPANY_ID=9950"><strong style="font-size: 22px;">旅行箱製造商萬國通路遭遇網路攻擊</strong></a></p> <p></p> <p>4月8日傍晚旅行箱製造商萬國通路於股市公開觀測站發布資安重訊，表示他們的資安單位查知遭受攻擊的情況，事發當下他們啟動相關防禦機制並進行復原，初步評估這起事故對公司營運無重大影響，沒有個資或內部文件外流的情況，亦未造成重大損失。</p> <p>而對於這起事故的類型，萬國通路並未進一步說明，但他們特別提及對相關檔案進行全面、徹底掃描，並在確保資訊安全的情況下，陸續恢復資訊系統的運作。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/everest-ransomwares-dark-web-leak-site-defaced-now-offline/">勒索軟體Everest暗網網站遭到破壞，研究人員指出攻擊者利用WordPress漏洞得逞</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/04/cryptocurrency-miner-and-clipper.html">駭客假借提供Office附加元件為幌子，意圖在俄羅斯散布RAT木馬及挖礦軟體</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/04/uac-0226-deploys-giftedcrook-stealer.html">烏克蘭遭到鎖定，駭客企圖透過惡意Excel檔案散布竊資軟體GiftedCrook</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.cna.com.tw/news/aipl/202504080109.aspx">中國鎖定台積電赴美投資等時事對臺進行認知作戰，今年已出現超過51萬則爭議訊息</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168323"><strong style="font-size: 22px;">微軟發布4月份例行更新，修補已被用於勒索軟體攻擊的CLFS零時差漏洞</strong></a></p> <p>4月8日微軟發布本月份例行更新（Patch Tuesday），修補126個資安漏洞，數量超過2月及3月（63、57個）的總和。從漏洞的類型來看，有49個權限提升漏洞、31個遠端程式碼執行（RCE）漏洞、17個資訊洩露漏洞、14個阻斷服務（DoS）漏洞、9個安全功能繞過漏洞，以及3個能被用於欺騙的漏洞；而從漏洞的嚴重程度而言，有11個被評為重大層級，巧合的是，這些都是RCE漏洞。</p> <p>值得留意的是，其中有一項零時差漏洞CVE-2025-29824，已被用於實際攻擊行動。這項漏洞存在於通用事件記錄檔案系統（CLFS），為權限提升漏洞，起因是CLFS驅動程式具有記憶體釋放後再存取使用（Use After Free，UAF）弱點，取得授權的攻擊者有機會於本機提升權限為SYSTEM，CVSS風險為7.8。</p> <p>針對這項漏洞被用於實際攻擊行動的情況，微軟威脅情報中心（MSTIC）與安全事件回應中心（MSRC）特別為此發布部落格文章，當中指出駭客組織Storm-2460鎖定有限數量的目標，將此漏洞用於勒索軟體攻擊。</p> <p><a href="https://www.ithome.com.tw/news/168325"><strong style="font-size: 22px;">SAP修補重大層級程式碼注入漏洞、身分驗證繞過漏洞</strong></a></p> <p>4月8日SAP發布本月例行更新，總共針對20項漏洞發布或更新資安公告，值得留意的是，其中有3項CVSS風險接近滿分的重大層級漏洞，相當危險。</p> <p>這些漏洞為CVE-2025-27429、CVE-2025-31330、CVE-2025-30016，分別出現在S/4HANA、Landscape Transformation、Financial Consolidation等應用系統。其中，CVE-2025-27429、CVE-2025-31330都是程式碼注入漏洞，危險程度達到9.9分（滿分10分），CVE-2025-30016為身分驗證繞過漏洞，危險程度為9.8分。</p> <p>針對CVE-2025-27429、CVE-2025-31330，SAP指出具有使用者權限的攻擊者能在曝露的功能模組觸發，而有機會在繞過基本的授權檢核機制的情況下，在系統注入任意的ABAP程式碼。SAP指出這些漏洞形同後門，會導致攻擊者能完全控制整個系統，破壞其機密性、完整性，以及可用性。</p> <p><a href="https://www.ithome.com.tw/news/168292"><strong style="font-size: 22px;">Google將修補已存在23年的瀏覽器歷史記錄洩露漏洞</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/ExplainerImage3.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/ExplainerImage3.jpg" style="width: 300px; float: right;" /></a>瀏覽器使用者都應該熟悉在所造訪的網站點選某個連結時，該連結就會變色，目的是讓使用者知道已點選過，改善使用者瀏覽網路的體驗，然而這項機制卻被有心人士用來窺探使用者的瀏覽歷史記錄，於是Google準備在最新的Chrome 136透過將記錄分割，修補此種存在於瀏覽器產業長達23年的隱私漏洞。目前Google已於4月初的Beta版Chrome 136進行測試，Chrome 136正式版本預計於4月29日發布。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/whatsapp-vulnerability-could-facilitate-remote-code-execution/">Meta修補電腦版WhatsApp可被用於欺騙的漏洞</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/168302"><strong>【4月8日】駭客上傳惡意VSCode延伸套件散布挖礦軟體XMRig</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168273"><strong>【4月7日】下載免費VPN行動APP要小心！有五分之一來自中國，上網恐遭監控</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168247"><strong>【4月4日】因應量子破密威脅，臺灣今年將推出PQC遷移指引</strong></a></p> </div></div></div>
2025/4/9 16:57作者周峻佑https://www.ithome.com.tw/news/168331
中華資安注資奧義智慧6,500萬，共築AI資安防禦新格局
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣資安產業迎來重大策略結盟！資安服務業者中華資安國際（股票代號7765）今（9）日正式宣布，將注資6,500 萬元，入股英屬開曼群島賽博創新科技（CyCraft Technology）。</p> <p>賽博創新科技是臺灣本土AI資安原廠——奧義智慧科技100%控股母公司，目前正積極推動臺灣首次公開募股（IPO）計畫，並已完成申報輔導，股票代號7823。</p> <p>這項增資案，不僅是中華資安強化自身資安服務能量的重要一步，更被視為臺灣資安產業的關鍵里程碑，邁向資源整合、攜手應對日益嚴峻全球資安挑戰。</p> <p>透過本次的資本合作，中華資安與奧義智慧將進行深度整合，集結各自的專業技術與實戰經驗，共同打造一支「臺灣資安國家隊」，展現臺灣在資安領域的強勁實力。</p> <h2><strong>資本與產品、技術深度整合，攜手拓展臺灣市場</strong></h2> <p>中華資安作為中華電信集團旗下的資安專業服務公司，長期以來穩居臺灣資安託管服務提供商（Managed Security Service Provider，MSSP）領導品牌的地位，擁有豐富的資安攻防實戰經驗；奧義智慧則以其領先的AI人工智慧自動化技術，在資安解決方案領域嶄露頭角，專注於解決產業長期面臨的資安痛點。此次中華資安對奧義智慧母公司賽博創新的增資，就是對奧義智慧在AI資安技術與發展潛力的肯定。</p> <p>雙方預計將從拓展臺灣市場及提升國際能見度等兩大面向進行合作，首先，AI技術賦能資安服務，有助於聯手擴大臺灣市場版圖。此次中華資安增資的核心目標之一，便是：結合奧義智慧在AI資安產品方面的技術，以及中華資安在資安專業服務領域的專業團隊，共同為臺灣市場提供更具競爭力的資安解決方案。</p> <p>面對日益猖獗且手法不斷翻新的全球資安威脅，此次的聯手合作，將可為臺灣的公部門、上市櫃公司，乃至於其他承受資安風險的中小企業，提供高效且具備成本效益的資安防護。</p> <p>奧義智慧的AI核心產品XASM（多模態曝險管理）平臺，就整合了EASM（外部曝險管理）、IASM（身分特權衝擊分析）與 EDR / MDR（端點偵測與回應）等多項關鍵防禦功能。透過此次增資，奧義智慧能夠加速AI資安技術在各個不同產業的落地應用，並可提升臺灣整體資安防護水位。</p> <p>對中華資安而言，透過此次增資合作，體現該公司對本土資安技術的高度支持。例如，中華資安借助事前檢測、事中監控應變、事後鑑識回復等全方位資安產品及服務，為客戶提供從端點到雲端的全方位防護，能夠有效抵禦各種複雜的資安攻擊。</p> <p>中華資安國際總經理洪進福表示，奧義智慧是臺灣少數具備端點與威脅管理資安產品自主研發能力的資安公司，透過與奧義智慧的策略聯盟及增資，中華資安將能為客戶提供更具創新性、更值得信賴的資安服務外，也有助於奧義智慧持續投入研發，推出更多符合市場需求的AI資安產品，並在激烈的資安市場中站穩腳跟。</p> <h2><strong>以「臺灣資安國家隊」之名，開創國際拓銷新模式</strong></h2> <p>除了深耕臺灣市場，此次中華資安對賽博創新的增資，更著眼於共同拓展國外資安市場，提升臺灣資安產業在國際舞臺上的能見度。</p> <p>臺灣在資安領域累積了豐富的經驗與競爭力，透過組建「臺灣資安國家隊」，將能更有效地將臺灣的AI資安防護能量推向國際，協助周邊國家提升資安防護能力，開創國際資安拓銷的新商業模式。</p> <p>賽博創新（奧義智慧控股母公司）執行長吳明蔚表示，這次合作是臺灣最強AI資安原廠，與最強資安服務大廠的共好雙贏，也為共同拓展國際市場提供重要的資源支持。</p> <p>他強調，這不僅代表AI技術賦能頂尖資安專家，更展現臺灣環境孕育出100%臺灣可以自主研發專利技術，並且做到自產軟體即服務（Software as a Service，SaaS）經營國際品牌的實力，期許能以「Taiwan Can Help」的願景，將AI資安服務能量，拓展至國內外的各行各業。</p> <p>從此次中華資安增資賽博創新合作案來看，不僅在資金、技術與市場三方面取得突破，更打破過往臺灣資安廠商單打獨鬥的局面，以更具規模和整合性的方式參與國際競爭，反映出臺灣資安產業正迎來新的成長契機與轉型時代。</p> <p>而透過「臺灣資安國家隊」的品牌形象，吳明蔚表示，這也將能更好地展現臺灣在資安領域的整體實力，並提升臺灣資安產業在國際市場上的話語權，並為臺灣本土資安業者開啟一條充滿競爭力的新商業模式。</p> <p>此次增資合作案的中華資安與賽博創新，雙方不僅各自擁有獨到的市場定位與技術優勢，還通過高度整合形成一加一大於二的效應。未來，隨著市場需求的不斷變化及全球資安威脅的日益升級，這種合作模式或許將成為資安業者效法的典範，並有機會進一步促進國內外產業鏈的協同發展。</p> </div></div></div>
2025/4/9 18:57作者黃彥棻https://www.ithome.com.tw/news/168332
微軟發布4月份例行更新，修補已被用於勒索軟體攻擊的CLFS零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>4月8日<a href="https://msrc.microsoft.com/update-guide/releaseNote/2025-Apr">微軟發布本月份例行更新（Patch Tuesday）</a>，修補126個資安漏洞，數量超過<a href="https://www.ithome.com.tw/news/167325">2月</a>及<a href="https://www.ithome.com.tw/news/167819">3月</a>（63、57個）的總和。從漏洞的類型來看，有49個權限提升漏洞、31個遠端程式碼執行（RCE）漏洞、17個資訊洩露漏洞、14個阻斷服務（DoS）漏洞、9個安全功能繞過漏洞，以及3個能被用於欺騙的漏洞；而從漏洞的嚴重程度而言，有11個被評為重大層級，巧合的是，這些都是RCE漏洞。</p> <p>值得留意的是，其中有一項零時差漏洞<a href="https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2025-29824">CVE-2025-29824</a>，已被用於實際攻擊行動。這項漏洞存在於通用事件記錄檔案系統（CLFS），為權限提升漏洞，起因是CLFS驅動程式出現記憶體釋放後再存取使用（Use After Free，UAF）弱點，取得授權的攻擊者有機會於本機提升權限為SYSTEM，CVSS風險為7.8。</p> <p>針對這項漏洞被用於實際攻擊行動的情況，微軟威脅情報中心（MSTIC）與安全事件回應中心（MSRC）<a href="https://www.microsoft.com/en-us/security/blog/2025/04/08/exploitation-of-clfs-zero-day-leads-to-ransomware-activity/">發布部落格</a>指出，駭客組織Storm-2460鎖定有限數量的目標，將其用於勒索軟體攻擊。</p> <p>這些遭到鎖定的目標，包含：美國IT業者及房仲業者、委內瑞拉金融業者、西班牙軟體公司、沙烏地阿拉伯零售業者。</p> <p>究竟駭客如何入侵受害組織，微軟表示不清楚，但他們看到駭客在部署惡意程式PipeMagic之後，透過名為dllhost.exe的處理程序，試圖於記憶體內觸發漏洞，得逞後將有效酬載先後注入winlogon.exe、procdump.exe，以及另一個dllhost.exe，接著從LSASS截取使用者帳密資料，然後對受害電腦部署勒索軟體。根據駭客留下的勒索訊息當中，他們提及的暗網網域，微軟指出這起事故與勒索軟體RansomExx有關。</p> </div></div></div>
2025/4/9 12:56作者周峻佑https://www.ithome.com.tw/news/168323
SAP修補重大層級程式碼注入漏洞、身分驗證繞過漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>4月8日SAP發布本月例行更新，<a href="https://support.sap.com/en/my-support/knowledge-base/security-notes-news/april-2025.html">總共針對20項漏洞發布或更新資安公告</a>，值得留意的是，其中有3項CVSS風險接近滿分的重大層級漏洞，相當危險。</p> <p>這些漏洞為<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-27429">CVE-2025-27429</a>、<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-31330">CVE-2025-31330</a>、<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-30016">CVE-2025-30016</a>，分別出現在S/4HANA、Landscape Transformation、Financial Consolidation等應用系統。其中，CVE-2025-27429、CVE-2025-31330都是程式碼注入漏洞，危險程度達到9.9分（滿分10分），CVE-2025-30016為身分驗證繞過漏洞，危險程度為9.8分。</p> <p>針對CVE-2025-27429、CVE-2025-31330，SAP指出具有使用者權限的攻擊者能在曝露的功能模組觸發，而有機會在繞過基本的授權檢核機制的情況下，在系統注入任意的ABAP程式碼。SAP指出這些漏洞形同後門，會導致攻擊者能完全控制整個系統，破壞其機密性、完整性，以及可用性。</p> <p>對於SAP在兩項漏洞提出幾乎完全一模一樣的說明，<a href="https://onapsis.com/blog/sap-patch-day-april-2025/">資安業者Onapsis表示</a>，這兩個其實是相同的弱點，都存在於SAP的ECC選用附加元件資料遷移伺服器（Data Migration Server，DMIS），不過攻擊者想要利用存在必要條件，那就是要在對應的函數功能或是模組，通過S_RFC授權。</p> <p>而對於第3項重大漏洞CVE-2025-30016，SAP指出，這是能讓攻擊者在未經授權的情況下存取管理員帳號的弱點，起因是身分驗證機制不當造成，同樣高度影響應用系統的機密性、完整性，以及可用性。</p> </div></div></div>
2025/4/9 15:34作者周峻佑https://www.ithome.com.tw/news/168325
史丹佛大學AI指數報告：中國AI論文及專利數量最多，美國先進AI模型數量超越全球總和
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">美國史丹佛大學（Stanford University）的人本AI研究中心（Human-Centered Artificial Intelligence，HAI）本周<a href="https://hai.stanford.edu/ai-index/2025-ai-index-report" target="_blank">公布了2025年的AI指數（2025 AI Index Report）報告</a>，指出AI的能力愈來愈先進，也愈來愈融入人們的生活中，企業大幅投入AI，使用AI的成本也愈來愈低，儘管中國在AI專利及論文數量上取勝，但美國擁有全球最多的先進AI模型，超越全球總和。</p> <p dir="ltr">研究人員在2023年導入了3項基準測試來衡量先進AI系統，包括測試AI理解多模態內容能力的MMMU（Massive Multitask Multimodal Understanding），評估AI在高階專業知識領域之問答能力的GPQA（Graduate-level Professional Questions and Answers），以及測試AI於軟體工程中撰寫程式碼及解決問題能力的SWE-bench（Software Engineering Benchmark），HAI則發現，一年後先進AI系統在上述評測的表現，分別提升了18.8、48.9與67.3個百分點。</p> <p dir="ltr">此外，AI系統在生成高品質影片上也有了重大進展，而在某些情況下，特別是有時間壓力時，AI模型代理人在程式設計任務上的表現甚至超越人類。</p> <p dir="ltr">全球的AI風潮可從論文數量、專利數量、模型數量，以及投資金額一窺究竟。從2013年到2023年之間，電腦科學或其它相關領域的AI論文有接近3倍的成長，從10.2萬份成長至24.2萬篇。在2023年時，全球的AI論文中有23.2%來自中國，中國AI論文被引用的比例也最高，達23.2%。不過，在最常被引用的前100名AI論文中，美國貢獻了50篇，中國貢獻了34篇，德國與香港各自貢獻了7篇。</p> <p dir="ltr">值得注意的是，在電腦科學類別的論文中，與AI有關的論文在2013年僅占了21.6%，到了2023年已增加至41.8%。</p> <p dir="ltr">在專利的部分，自2010年至2023年間，全球的AI專利數量從3,833個增加到122,511個，光是在2024年的AI專利數量就增加了29.6%。在所有的AI專利中，中國占了69.7%，穩居全球之冠，美國占了14.2%。過去美國曾取得全球最多AI專利，但在2017年之後被中國超越，雙方差距更逐漸擴大。</p> <p dir="ltr">然而，美國在先進AI模型數量上凌駕全球。2024年，美國總計生產了40個先進AI模型，超越了全球先進AI模型的總和，包括中國的15個，以及歐洲的3個。</p> <p dir="ltr">由於多數企業都開始擁抱AI，也讓私人機構對AI的投資金額愈來愈多，光是在2024年，美國的私人AI投資達到了1,091億美元，是中國93億美元的十多倍，也是英國45億美元的24倍。其中，生成式AI是投資重鎮，於2024年在全球吸引了339億美元的資金，相較於2023年成長了18.7%。</p> <p dir="ltr">不過，隨著AI模型愈來愈大，其運算要求及能源消耗也愈來愈多，使得業者更積極改善機器學習的硬體效能與能源效率，而在業者相繼投入，競爭加劇的狀況下，AI模型的使用成本也愈來愈低。例如在一個MMLU得分相當於GPT-3.5的AI模型上，其每100萬個Token的查詢費用從2022年11月的20美元，降到了2024年10月的0.07美元，大約調降了280倍；大型語言模型的推論價格每年則會調降9~900倍不等。</p> <p dir="ltr">該研究報告也調查了全球對於AI的看法，平均而言，2024年有55%的使用者認為AI產品及服務對人類是利大於弊的，略高於2022年的52%。若是從不同國家的角度來看，中國（83%）、印尼（80%）與泰國（77%）使用者明顯偏向於認同AI有利於人類。至於擁有最多先進AI模型的美國人對AI的樂觀程度則不到40%，其它對AI的樂觀程度低於50%的國家，還有瑞士、瑞典、紐西蘭、荷蘭、愛爾蘭、英國、德國、法國與加拿大等。</p> </div></div></div>
2025/4/9 16:57作者陳曉莉https://www.ithome.com.tw/news/168328
Ivanti SSL VPN漏洞攻擊拉警報，全球5千臺伺服器曝險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>4月3日資安業者Ivanti<a href="https://forums.ivanti.com/s/article/April-Security-Advisory-Ivanti-Connect-Secure-Policy-Secure-ZTA-Gateways-CVE-2025-22457">發布資安公告</a>，指出旗下的SSL VPN系統Connect Secure（ICS）存在重大層級的資安漏洞CVE-2025-22457，影響22.7R2.5以前的版本，值得留意的是，他們已經掌握有部分用戶遭攻擊的情況，隔日美國網路安全暨基礎設施安全局（CISA）也將其<a href="https://www.cisa.gov/news-events/alerts/2025/04/04/ivanti-releases-security-updates-connect-secure-policy-secure-zta-gateways-vulnerability-cve-2025">列入已遭利用的漏洞列表（KEV）</a>。</p> <p>針對這項漏洞，Ivanti指出是記憶體緩衝區溢位造成，未通過身分驗證的攻擊者能遠端執行任意程式碼，CVSS風險達到9.0分，該公司已在今年2月發布的22.7R2.6版為ICS用戶修補。他們提及部分尚未套用更新的用戶遭到攻擊的情況，其中有些是已終止支援（EOS）的Pulse Connect Secure 9.1x。</p> <p>附帶一提的是，Ivanti提及Ivanti Policy Secure、ZTA Gateways也存在這項漏洞，他們預計在4月19至21日發布相關更新程式。</p> <p>針對這項漏洞被用於攻擊行動的情況，協助調查的資安業者Mandiant公布相關調查結果，他們看到<a href="https://cloud.google.com/blog/topics/threat-intelligence/china-nexus-exploiting-critical-ivanti-vulnerability">中國駭客UNC5221於3月中旬開始利用這項弱點</a>，得逞後便會在受害組織部署惡意程式載入工具TrailBlaze，以及後門程式BrushFire。此外，這些駭客在去年底<a href="https://www.ithome.com.tw/news/166944">利用CVE-2025-0282的攻擊行動</a>裡，運用的Spawn系列的惡意程式，他們也在今年3月的活動使用。</p> <p>然而，值得留意的是，仍有不少ICS系統尚未套用新版程式而曝險，Shadowserver基金會指出，他們在4月6日進行掃描，<a href="https://x.com/Shadowserver/status/1909294016006398431">結果發現網際網路上有5,113臺ICS伺服器尚未修補</a>，美國、日本最多，分別有1,399、700臺；值得留意的是，臺灣有297臺ICS尚未修補，比鄰近的中國、韓國的250及242臺都要來得多。</p> </div></div></div>
2025/4/9 11:35作者周峻佑https://www.ithome.com.tw/news/168319
傳甲骨文向雲端客戶通報資料外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>三月底甲骨文公開否認Oracle Cloud代管客戶資料外洩，<a href="https://www.bloomberg.com/news/articles/2025-04-02/oracle-tells-clients-of-second-recent-hack-log-in-data-stolen" target="_blank">但彭博報導</a>，甲骨文近日悄悄向客戶發信通知資料外流事件。</p> <p>上個月一名為rose87168的人士於駭客論壇張貼公告，<a href="https://www.ithome.com.tw/news/168074" target="_blank">聲稱握有</a>超過14萬個Oracle Cloud租戶的資料，資料量多達600萬筆，其中包含單一簽入（SSO）及LDAP的帳密資料欲尋找買主，或是出售存取Oracle Cloud伺服器的憑證資料。但是當時甲骨文否認此事。</p> <p><a href="https://www.bloomberg.com/news/articles/2025-04-02/oracle-tells-clients-of-second-recent-hack-log-in-data-stolen" target="_blank">彭博報導</a>，至少兩家客戶接獲甲骨文私下通知資料外洩事件。甲骨文告知，一名駭客駭入一臺8年沒用的電腦系統，最後造成用戶資料及登入憑證被竊取，包括客戶姓名、passkey及加密密碼，並說聯邦調查局及資安業者CrowdStrike正在調查。</p> <p>甲骨文宣稱駭客竊走的客戶個資既不是最新，也非完整的客戶資料。但是其中一家客戶說它2024年的登入資料遭竊。</p> <p>一家資安業者<a href="https://cybelangel.com/oracle-data-leak-breaking-news/" target="_blank">CyberAngel的消息來源指出</a>，Oracle Cloud中的第一代（Gen 1）伺服器遭到入侵，但第二代伺服器（Gen 2）不受影響，二者亦不相互連繫。在受害系統上，攻擊者利用2020年的Java漏洞，在甲骨文身份系統植入Webshell及竊密程式。本次攻擊主要目標在從甲骨文身份驗證管理（IDM）資料庫取走資料。甲骨文發現，攻擊者可能最早在今年1 月，就混入甲骨文的共享身份驗證服務，甲骨文2月才發現此事並展開調查。隨後駭客向甲骨文勒索2,000萬美元，並於3月在駭客論壇上兜售資料。</p> <p>這是甲骨文今年初外傳第二起資料外洩。另一起是和儲存醫院電子病歷的<a href="https://www.ithome.com.tw/news/168175" target="_blank">Oracle Health</a>有關。但甲骨文不願主動聯繫受影響的病患，也未提供醫院客戶充分的溝通管道和事件資訊，令醫院客戶不滿。</p> <p><a href="https://www.theregister.com/2025/04/02/oracle_breach_class_action/" target="_blank">The Register報導</a>，兩次資料外洩事件引發一家律師事務所對甲骨文提起集體控告。</p> </div></div></div>
2025/4/9 12:42作者林妍溱https://www.ithome.com.tw/news/168322
Llama 4問世反應平平，開發人員認效能表現言過其實
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta本周公布旗艦模型Llama 4家族，不過一些開發人員試用後，發現標竿測試結果經過操弄。也有人覺得Llama 4模型效能並不如Meta說的那麼高。</p> <p><a href="https://www.ithome.com.tw/news/168262" target="_blank">Llama 4是Meta第一個以混合專家（mixture of experts，MoE）架構訓練的模型家族</a>。Meta並已開源二個Llama 4模型，包括總參數4000億的Maverick和1090億的Scout，為了確保高效能，兩者都設計使用170億活躍參數。Meta也搬出數據，顯示比競爭者GPT 4o、Gemini 2.0來得好，也和DeepSeek v3互有高下。</p> <p>Meta公布Llama 4 Maverick的LMArena Chatbot Arena LLM效能測試排行榜，顯示為第2名（第1名為Gemini-2.5 Pro Experimental），超越GPT-4.5 preview、Gemini 2.0 Flash Thinking Experimental。但在該排行榜上評比得分1417分的是「實驗聊天版（experimental chat version）」的Llama 4 Maverick。Meta在官方部落格也承認「對話性優化過」的版本，不同於開放下載的版本。<a href="https://t.co/y3GvhbVz65" target="_blank">一名試用過的開發人員就表示</a>LMArena的版本一定做過特別處理。</p> <p>因此這表示，Meta似乎是以一個做過優化的模型版本獲得佳績，但不發布，而是發表原始版本。<a href="https://techcrunch.com/2025/04/06/metas-benchmarks-for-its-new-ai-models-are-a-bit-misleading/" target="_blank">Techcrunch分析</a>，這會讓開發人員難以預測模型在特定情境下該有的效能表現。Meta尚未對此評論。</p> <p>另外，也有人對Llama 4的實際表現感到失望。例如Meta大力突顯Llama 4 Scout加大了context length為10M字詞，能提供更高品質的回應，但研究人員認為言過其實。<a href="https://arstechnica.com/ai/2025/04/metas-surprise-llama-4-drop-exposes-the-gap-between-ai-ambition-and-reality/" target="_blank">Ars Technica引述獨立研究人員Simon Willison發現</a>，受到AI第三方服務供應平臺系統如Groq、Fireworks限制，Scout最多只到128K字詞，無法完全發揮其潛力。Willison還透過OpenRouter服務使用Scout，要求它將一篇約2萬字詞的線上討論做重點摘要，但結果「根本一團糟」（complete junk output），還出現不斷跳針重覆的段落。</p> <p>有使用者認為，170億活動參數在今天而言已經太少，但<a href="https://www.reddit.com/r/LocalLLaMA/comments/1jt7hlc/metas_llama_4_fell_short/?rdt=60262" target="_blank">另一些使用者認為</a>，Llama 4平庸的測試成績是急就章的結果，顯示開發團隊沒有足夠時間熟悉MoE架構就被迫交出成果。</p> <p><a href="https://arstechnica.com/ai/2025/02/its-a-lemon-openais-largest-ai-model-ever-arrives-to-mixed-reviews/" target="_blank">Ars Technica則分析</a>，GPT-4.5和Llama 4的評價褒貶不一，其高成本和效能限制可能反映，只擴展單一AI模型架構的作法已經走到死胡同。</p> </div></div></div>
2025/4/9 11:18作者林妍溱https://www.ithome.com.tw/news/168318
Google Gemini 2.5 Pro Experimental開始支援Deep Research
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/gemini/deep-research-gemini-2-5-pro-experimental/" target="_blank">Google周二（4/8）宣布</a>，已於<a href="https://www.ithome.com.tw/news/168176" target="_blank">3月底發表</a>的Gemini 2.5 Pro Experimental最新模型中支援個人AI研究助理 Deep Research，可供所有Gemini Advanced訂閱用戶使用。</p> <p>Deep Research在去年12月<a href="https://www.ithome.com.tw/news/166493" target="_blank">首度亮相</a>，為Gemini模型的第一個代理人工具，在使用者輸入問題之後，它會先建立一個多步驟的研究計畫，使用者可變更或批准該計畫，確定後Deep Research就能代表使用者深入分析來自網路的相關資訊，例如分析競爭對手的產品，展開盡職調查，了解特定的主題，或是比較不同的產品。並在今年2月開始<a href="https://blog.google/feed/deep-research-gemini-mobile/" target="_blank">支援Android及iOS平臺</a>。</p> <p>除了Google之外，<a href="https://www.ithome.com.tw/news/167180" target="_blank">OpenAI</a>、<a href="https://www.ithome.com.tw/news/167399" target="_blank">Perplexity AI</a>及<a href="https://www.ithome.com.tw/news/168263" target="_blank">微軟</a>，也都紛紛在今年於旗下的AI模型中提供Deep Research。</p> <p>本周Google比較了Gemini與OpenAI的Deep Research，並由人類使用者負責評分，發現Gemini版本的Deep Research不管是在指令遵循，全面性，完整性，以及撰寫品質上的表現，都明顯優於OpenAI。</p> </div></div></div>
2025/4/9 11:41作者陳曉莉https://www.ithome.com.tw/news/168320
中榮推動ESG永續發展有成，靠IT精進病歷管理年省超過6,800萬張用紙、縮減急診病患就醫流程時間
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球溫室氣體排放的增加，導致愈來愈頻繁的氣候變遷，溫室氣體排放一般印象認為，製造業、能源石化產業居多，但你知道嗎？醫療保健業在碳排也有不小的占比，在全球淨零減碳的運動中，醫療保健業也無法置身事外。</p> <p>臺中榮總（簡稱中榮）永續發展委員會執行長蔡鴻文在今年數位永續高峰會上引用世界銀行與健康無害組織（HCWH）在2019年共同估算的資料，2011年全球排放約520億噸二氧化碳，其中醫療保健部門即排放26億公噸，約占全球排放的5%；臺灣的醫療照護體系碳足跡在全國占比為4.6%，高於全球平均的4.4%，平均每人溫室氣體排放約0.52公噸，相較世界各國偏高。（以下簡報圖片來源：中榮）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%96-600(14).jpg" style="width: 600px; height: 320px;" /></p> <p>「臺灣的醫療業界的碳排數據高於全球平均，國內醫療產業比較後面才關注這項議題，例如臺中榮總近兩三年才比較有系統、組織的推動減碳」，蔡鴻文解釋，國內醫療院所如亞東醫院、新光醫院因為其母公司本身為製造業，較早就開始推動，然而，純醫療院所在永續發展的起步上則相對較晚。</p> <p><span style="color:#B22222;"><strong>醫療產業也面臨低碳法遵要求</strong></span></p> <p>全球氣候變遷不只衝擊企業的永續經營，劇烈的氣候變化如氣溫升高、空氣中懸浮物增加，對民眾的身體健康帶來負面影響，例如引發心血管疾病、呼吸道過敏等等，甚至出現新型態的疾病，提高民眾健康面臨的風險，甚至進一步產生心理健康問題。</p> <p>民眾健康風險增加，民眾就醫需求增加，增加醫療產業的負擔，醫療產業在照顧民眾的健康之外，也和其他產業同樣，在企業永續經營上面臨全球或各國對溫室氣體排放的法遵要求。</p> <p>以我國為例，國發會在2022年提出我國2050淨零轉型目標，提出建築、運輸、工業、能源電力的減碳漸進發展目標，環境部也在2023年2月公布「氣候變遷因應法」，今年1月國家氣候變遷對策委員會宣告臺灣自主提出2032年減量32%正負2%的目標，「新的宣告將時程加快、目標加大，中榮身為公立醫院也同樣負有責任」，蔡鴻文說。</p> <p>不只中央政府，地方政府也動起來，2024年2月臺北市、臺中市、高雄市配合政府法規及國際淨零的趨勢先後訂立自治條例，以中榮所在的臺中市為例，臺中制定永續淨零自治條例規定，就將醫療院所納入永續認證場所，去年7月舉行專家會議，制定臺中市醫療機構的低碳認證辦法，今年2月臺中市政府衛生局推動醫療機構低碳認證計畫的7項審查標準，包括領導、能源、水、食物、運輸、建築、廢棄物7個面向，各項評分標準獲得80分以上，才能取得低碳認證。</p> <p><strong>國發會提出淨零減碳政策路徑，醫療業對策：</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%96-600(15).jpg" style="width: 600px; height: 318px;" /></p> <p>蔡鴻文表示，相較於製造業提供產品，在減碳永續的作法上偏重環境，醫療業主要提供醫療服務，目前在ESG的環境（Environment）面向除了聚焦於減碳，例如增加採用太陽能板，水資源再利用，對於碳管理發展客觀量化的工具，醫療則是服務業的一種，以提供好的醫療服務為目的，醫院永續經營偏重治理（Governace），但是這部分衡量的標準比較抽象，目前在國外已開始針對醫療服務業治理方面，逐漸發展出量化標準，相信衡量的方法慢慢會從質性發展至量化。</p> <p>「對醫院而言，永續發展已經不是選項，是必然參與執行的任務」，他說，醫療產業應該面對、克服這個難題。</p> <p><span style="color:#B22222;"><strong>兼顧永續發展及醫療品質</strong></span></p> <p>為了推動永續發展，中榮在2023年成立永續發展委員會，由院長、副院長擔任正副召集人，並由心臟科外科醫師的蔡鴻文擔任執行長，在推動中榮永續發展的過程中，蔡鴻文深深感受到醫院推動ESG過程所遭遇的挑戰。</p> <p>在製造業使用節能減碳的語言和員工溝通很適合，但是在醫療業，以同樣語言要去說服醫護人員，使用節能減碳的語言、方式是行不通的。以開刀房為例，醫院裡的開刀房室內溫度通常比較冷，會耗費許多電，成為醫院節能減碳的目標之一，但是開刀房維持比較低的溫度是為了一定的換氣量，才能降低細菌的傳染力，「如果沒有更好的說帖，根本無法對話，因為病人的權利是最重要的」，必需使用醫療產業共同的語言，在永續和服務品質之間找到合適的方式。</p> <p>「因此在醫院推動ESG，我們開宗明義不講碳、不講慈善、不講治理，原則是在我們的作為之下，保持高水準的醫療品質、醫病關係、永續經營」，蔡鴻文說。</p> <p>蔡鴻文表示，許多企業在推動永續發展及經營時，兩者可能各做各的，可能是平行推動，甚至隨著時間愈來愈遠，往往需要重新校準方向，「最好的方式是將企業永續發展的策略和經營整合在一起」。</p> <p><strong><span style="color:#B22222;">2023年開始以系統化方式推動ESG</span></strong></p> <p>2023年可以說是中榮有系統地推動ESG永續發展的元年，鑑於醫護人員對ESG永續發展比較陌生，先安排課程培訓人員，並且簽定倡議合作為主，同時參觀學習其他企業的ESG作法，進入下半年的推動期，院內成立永續發展委員會，啟動溫室氣體盤查，並與金融機構簽署永續合作協定，制定永續發展報告書資料蒐集及網站構架。</p> <p>2024年進入茁壯期，中榮研擬的永續報告書獲得SGS驗證，對外正式發布2023年永續報告書及網站，為中榮第一本永續報告書，接下來將中榮自己的經驗，參與國內的永續倡議活動，以及國際的綠色醫療相關活動。蔡鴻文指出，參與國內外的活動除了建立同仁的成就感，也希望從觀摩學習他人的推動經驗。</p> <p>而配合政府淨零減碳的政策，衛福部於2024年提出醫療產業淨零排放的路徑規畫，循序漸進引導醫療機構發展淨零減碳，共有「盤查」、「減量」、「監控」、「創能」、「淨零」5個階段。</p> <p>首先是2024年的「盤查」階段，對溫室氣體排放進行盤查，對碳排熱點作減量規畫及評估；2025到2027年為「減量」階段，對排放熱點及系統進行減量及汰換；2028到2030年為「監控」階段，規畫能源管理及監控系統；2031到2040年為「創能」階段，擴大對再生能源的投資及綠建築；2041到2050年是「淨零」，推動創新技術如智慧醫療、環保醫療設備的開發，通過再生能源、效率提升、碳權抵換等方式實現淨零排放。</p> <p>中榮自己則有一套2024年至2050年的溫室氣體減量路徑圖（草案），分為碳盤查、碳管理、碳減量到碳中和，2030年以減量32%為目標，2040年目標為減量70%，到2050年減量達到90%，剩餘的10%因無法減量則以碳權抵換處理。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%961-600.jpg" style="width: 600px; height: 347px;" /></p> <p>為了減少碳排，中榮在院內推動廢棄物減量及再利用，包括生物性廢棄物、廚餘的減量，以及感染物滅菌再利用，其中廚餘減量後，利用廚餘處理機將熟廚餘降到0。</p> <p>在能源管理方面，院內每天約有1萬多人出入，大量使用電梯導致能源耗用的增加，因此在電梯導入智慧管理，利用人流智能監控技術，減少將近13%的耗電，並且透過電力回收機制減少約2成的能耗。</p> <p>至於醫療作業方面的碳排，對於碳排較高的麻醉氣體，或是用於氣喘的MDI藥物加強管理，在條件允許下，中榮鼓勵醫師使用較低碳排的替代性方案，例如加強每月麻醉氣體使用量的監控，提高全靜脈麻醉，對於MDI藥物新增高碳排用藥提醒，由醫生勘酌情形使用DPI替代。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%962-600.jpg" style="width: 600px; height: 327px;" /></p> <p>建築是另一個中榮淨零減碳的目標，新的門診大樓在設計上導入智慧、安全、節能設計，導入智慧電錶、能源管理系統，來推動綠建築的設計；未來規畫建置的新建築，包括第三醫療大樓、質子醫療中心、科技大樓、宿舍等也導入永續智慧的設計。</p> <p><span style="color:#B22222;"><strong>IT加速數位轉型發展</strong></span></p> <p>中榮也在IT的支持下，加速推動數位轉型，特別是重要的病歷管理，過去使用紙本病歷，多年下來累積大量紙本病歷，除了需要占用更多空間保存，也增加管理上的困難，2009年中榮開始施行電子病歷，後續結合流程改善，2011年推動電子病歷無紙化，2020年推動同意書數位簽署，並且於2021年在疾病分類採用AI ICD-10編碼，2022年推動報告格式結構化，後續再推動門診紀錄結構化、病患意見結構化，2024年還與Nvidia合作改進電子病歷系統。</p> <p>新的智能醫療病歷管理為ESG帶來效益，每年平均節省紙張列印費用約3,420萬元，平均節省6,887萬張用紙，並省下148萬平方公尺儲存空間，每年減少超過1,650公噸碳排，除了降低對環境的衝擊，提高的病歷資訊即時性，加快病歷調閱的速度、減少病人等待。</p> <p>中榮數位轉型也從早期大型主機轉為開放系統、推動電子病歷系統，後續推動以病人為中心的資訊整合管理系統，到2013年至2019年推動大數據、智慧醫療照護應用，最近5年則強調人工智慧、數位科技運用、物聯網、國家級資料庫、大數據等發展。</p> <p>在IT的協助下精實病人的就醫流程，透過整合不同的系統，來讓資訊更容易被參與就醫流程的不同團隊取得，精實化病人從門診評估，安排檢查、醫囑用藥、住院收治的流程，以安排開刀住院的病人為例，降低病人住院一天，目前病患只要在手術當天住院即可。另外，中榮也設立門診治療中心，將過去需要住院收治的病患，在門診治療中心就能接受治療。</p> <p>對於近期引發關注的急診壅塞問題，蔡鴻文指出，為減緩急診壅塞問題，中榮提出6項精進作法，將急診病人就醫歷程拆分為十幾個工作流，透過Power BI來監控各個工作流的處理時間分析急診病人就醫歷程中不同工作流程所花費的時間，就能找出瓶頸，進一步優化流程，這項策略所產生的效益，以急診病人轉住院等待時間超過24小時的比率，從2019年的41.6%降到2023年的1.7%。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%964-600.jpg" style="width: 600px; height: 323px;" /></p> <p>該院也積極導入數位科技來提高醫療效率，以遠距診療為例，結合運用IoT及5G網路建立的遠距診療服務，讓缺乏專科醫師的偏遠地區民眾，就近於當地的診所完檢查後，將檢查影像傳送到中榮，由中榮的治療團隊提供醫囑、用藥建議，以節省偏遠地區民眾交通往返，也達到醫療服務減碳永續的目的。中榮統計急性腦中風，2024年共有21例是透過遠距會診提供協助。其他還有5G救護車，在載運病人到院之前，可以先將病人的檢查資訊及影像送到院方作好收治準備。</p> <p> </p> </div></div></div>
2025/4/9 11:57作者蘇文彬https://www.ithome.com.tw/news/168303
【資安日報】4月8日，駭客上傳惡意VSCode延伸套件散布挖礦軟體XMRig
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客盯上微軟Visual Studio Code（VSCode）用戶的情況，近期有越來越頻繁的現象，最近資安業者Koi Security揭露的攻擊行動引起關注，因為駭客上傳的惡意延伸套件，短短不到4天之內，總共就被下載超過100萬次。</p> <p>但真的有這麼多人上當受騙嗎？研究人員認為，這些下載次數很有可能是人工灌水產生，目的是製造套件受到大量採用的假象，來降低開發人員的戒心。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168294"><strong style="font-size: 22px;">散布挖礦軟體的惡意VSCode延伸套件下載百萬次，有灌水騙取信任之嫌</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/1KwlCFbVDd6BVMP10R4w54Q.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1KwlCFbVDd6BVMP10R4w54Q.png" style="width: 300px; float: right;" /></a></p> <p>駭客上傳NPM、PyPI惡意套件攻擊開發人員的情況日益頻繁，但也有針對使用微軟Visual Studio Code（VSCode）的開發者而來的情況，最近有資安業者發現，攻擊者在市集提供惡意擴充套件，企圖利用受害電腦挖礦。</p> <p>供應鏈資安業者Koi Security指出，他們透過威脅情報平臺ExtensionTotal找到10個惡意VSCode擴充套件，這些套件總共已被下載超過100萬次，一旦開發人員不慎安裝，電腦就有可能被植入挖礦程式XMRig，為駭客挖取門羅幣（Monero）。</p> <p>研究人員指出，這些套件在4月4日於微軟的VSCode市集上架，其中最多人下載的是Prettier — Code for VSCode、Discord Rich Presence for VS Code、Rojo — Roblox Studio Sync，分別有95.5萬、18.9萬、11.7萬次下載。針對這些套件在不到一週就出現大量下載的情況，Koi Security認為並不尋常，很有可能是攻擊者人工產生的數字，目的是製造擴充套件廣泛受到信任及採用的假象，以減少開發人員的懷疑。</p> <p><a href="https://www.ithome.com.tw/news/168291"><strong style="font-size: 22px;">北韓駭客Lazarus透過NPM套件散布惡意軟體BeaverTail，意圖竊取帳密資料及數位資產</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/bbd2fb8c601145b1b63b9b188f97f6dd5bda1f86-2042x1040.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/bbd2fb8c601145b1b63b9b188f97f6dd5bda1f86-2042x1040.png" style="width: 300px; float: right;" /></a></p> <p>北韓駭客針對開發人員而來的惡意套件攻擊行動不斷傳出，但如今駭客採取更為隱密的手法，使得開發人員更容易上當。</p> <p>資安業者Socket指出，他們看到北韓駭客Lazarus新一波的Contagious Interview攻擊行動，駭客意圖透過11個惡意NPM套件，散布具備遠端存取木馬（RAT）功能的惡意程式BeaverTail，這些套件偽裝成陣列處理、事件記錄、除錯、事件處理，以及API處理的工具，意圖針對開發人員下手，竊取敏感的帳密資料及金融資產。</p> <p>Socket研究人員向NPM通報此事，惡意套件全數遭到下架，在此之前這些套件總共被下載超過5,600次。值得留意的是，這些駭客的攻擊步調並未趨緩，他們持續建置新的NPM帳號，並在NPM、GitHub、Bitbucket部署惡意程式碼。</p> <p><a href="https://www.ithome.com.tw/news/168288"><strong style="font-size: 22px;">駭客利用近2.4萬個IP位址掃描Palo Alto Networks GlobalProtect登入網站</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/67eae72d908becaefe75cc73_AD_4nXcMg4Wql1PaSc8K1AfL0HIrceDQrQbd3wf3aNelONCp8J94UIV-dY8ps2cNJBF8EJujXbYuArj1hnss1gdG5E_uwPB0miIxZubf9fJ5I062xg29Kzt69A40dgrZCtUBdwrCqxjI.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/67eae72d908becaefe75cc73_AD_4nXcMg4Wql1PaSc8K1AfL0HIrceDQrQbd3wf3aNelONCp8J94UIV-dY8ps2cNJBF8EJujXbYuArj1hnss1gdG5E_uwPB0miIxZubf9fJ5I062xg29Kzt69A40dgrZCtUBdwrCqxjI.png" style="width: 300px; float: right;" /></a></p> <p>駭客鎖定企業的SSL VPN系統下手，企圖藉此取得初期入侵的管道，這樣的現象不時傳出，如今有研究人員發現針對特定廠牌系統的大規模攻擊活動，呼籲用戶要採取相關措施因應。</p> <p>3月底威脅情報業者GreyNoise提出警告，他們觀察到針對Palo Alto Networks的GlobalProtect入口網站新一波的掃描登入活動，最近1個月有近2.4萬（23,958）個來源IP位址嘗試存取這些SSL VPN系統。針對這樣的情況，Palo Alto Networks表示他們已掌握GreyNoise部落格揭露的內容，將積極監控相關情勢、確認可能會造成的影響，並評估是否需要採取緩解措施。</p> <p>這波攻擊從3月17日出現，持續至26日，大部分的攻擊來自美國及加拿大，分別有16,249及5,823個IP位址，但也有來自芬蘭、荷蘭、俄羅斯的攻擊。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=153258&SPOKE_DATE=20250407&COMPANY_ID=3051"><strong style="font-size: 22px;">力特光電資訊系統遭受網路攻擊</strong></a></p> <p>4月7日下午偏光板製造商力特光電科技於股市公開觀測站發布資安重訊，指出該公司資訊系統遭到駭客攻擊的情況，事發當下他們啟動相關防禦機制，初步評估這起事故對公司營運無重大影響，也沒有個資或內部文件外流的情況。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.darkreading.com/vulnerabilities-threats/toddycat-apt-eset-bug-silent-malware">中國駭客ToddyCat鎖定ESET防毒已知漏洞而來，以此暗中載入惡意程式</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/carding-tool-abusing-woocommerce-api-downloaded-34k-times-on-pypi/">惡意PyPI套件鎖定WooCommerce電子商務網站而來，已被下載3.4萬次</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/poisonseed-phishing-campaign-behind-emails-with-wallet-seed-phrases/">網釣攻擊PoisonSeed鎖定CRM及行銷郵件管理系統而來，目標是進行供應鏈詐騙</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/toll-payment-text-scam-returns-in-massive-phishing-wave/">駭客假冒通行費收款機構E-ZPass發送iMessege與簡訊，意圖騙取民眾個資及信用卡資料</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168301"><strong style="font-size: 22px;">Google發布4月份安卓例行更新，修補已遭利用的零時差漏洞</strong></a></p> <p>4月7日Google發布本月安卓例行更新，總共修補62個資安漏洞，值得留意的是，他們提及有兩個漏洞CVE-2024-53150、CVE-2024-53197，出現局部、針對特定目標進行濫用的跡象。</p> <p>上述兩項漏洞最早是去年12月揭露，存在於Linux核心，CVSS風險評分都達到7.8分，屬高風險層級漏洞。</p> <p>其中，權限提升漏洞CVE-2024-53197特別引起注意，因為這正是傳出去年12月被塞爾維亞警方濫用的其中一項漏洞，揭露此事的國際特赦組織（Amnesty International）指出，當時塞爾維亞警方利用數位鑑識業者Cellebrite的工具，觸發3項零時差漏洞，企圖解鎖社運人士的手機。附帶一提的是，另外兩項被串連的資安漏洞CVE-2024-53104、CVE-2024-50302，Google先後於2月、3月完成修補。</p> <p><a href="https://www.ithome.com.tw/news/168295"><strong style="font-size: 22px;">OpenVPN存在資安弱點，若不處理恐被用於癱瘓伺服器運作</strong></a></p> <p>4月2日開源VPN軟體OpenVPN發布2.6.14版，主要是修補阻斷服務（DoS）漏洞CVE-2025-2704，這項弱點影響2.6.1至2.6.13版，以伺服器模式執行，並且採用TLS Crypt v2（--tls-crypt-v2）組態的OpenVPN，CVSS風險評為7.5分。</p> <p>一旦攻擊者在初期交握的過程裡，藉由中斷或重放網路封包，就有可能觸發這項漏洞，造成OpenVPN中斷服務的現象。值得留意的是，攻擊者可遠端利用這項弱點。</p> <p>對於漏洞的影響範圍，OpenVPN強調，用戶端不受這項漏洞影響，未使用TLS Crypt v2的伺服器端不受影響，2.4及2.5版OpenVPN也不受影響。</p> <p><strong style="font-size: 22px;">其他資安防禦措施</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/six-arrested-for-ai-powered-investment-scams-that-stole-20-million/">西班牙逮捕6名從事加密貨幣投資詐騙的嫌犯，不法所得近2千萬歐元</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/168273"><strong>【4月7日】下載免費VPN行動APP要小心！有五分之一來自中國，上網恐遭監控</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168247"><strong>【4月4日】因應量子破密威脅，臺灣今年將推出PQC遷移指引</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168231"><strong>【4月3日】刑事局揭露接連攻擊臺灣的駭客CrazyHunter身分</strong></a></p> </div></div></div>
2025/4/8 17:40作者周峻佑https://www.ithome.com.tw/news/168302
Google發布4月份安卓例行更新，修補已遭利用的零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>4月7日Google<a href="https://source.android.com/docs/security/bulletin/2025-04-01?hl=zh-tw">發布本月安卓例行更新</a>，總共修補62個資安漏洞，值得留意的是，他們提及有兩個漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2024-53150">CVE-2024-53150</a>、<a href="https://nvd.nist.gov/vuln/detail/CVE-2024-53197">CVE-2024-53197</a>，出現局部、針對特定目標進行濫用的跡象。</p> <p>上述兩項漏洞最早是去年12月揭露，存在於Linux核心，CVSS風險評分都達到7.8分，屬高風險層級漏洞。</p> <p>其中，權限提升漏洞CVE-2024-53197特別引起注意，因為這正是傳出<a href="https://securitylab.amnesty.org/latest/2025/02/cellebrite-zero-day-exploit-used-to-target-phone-of-serbian-student-activist/">去年12月被塞爾維亞警方濫用</a>的其中一項漏洞，揭露此事的國際特赦組織（Amnesty International）指出，當時塞爾維亞警方利用數位鑑識業者Cellebrite的工具，觸發3項零時差漏洞，企圖解鎖社運人士的手機。附帶一提的是，另外兩項被串連的資安漏洞CVE-2024-53104、CVE-2024-50302，Google先後於<a href="https://www.ithome.com.tw/news/167218">2月</a>、<a href="https://www.ithome.com.tw/news/167657">3月</a>完成修補。</p> <p>另一項已遭利用的漏洞CVE-2024-53150，存在於USB元件，屬於資訊洩露類型的漏洞，但攻擊者如何運用在實際攻擊行動，有待研究人員進一步公布相關資訊。</p> </div></div></div>
2025/4/8 17:29作者周峻佑https://www.ithome.com.tw/news/168301
散布挖礦軟體的惡意VSCode延伸套件下載百萬次，有灌水騙取信任之嫌
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客上傳NPM、PyPI惡意套件攻擊開發人員的情況日益頻繁，但也有針對使用微軟Visual Studio Code（VSCode）的開發者而來的情況，最近有資安業者發現，攻擊者在市集提供惡意擴充套件，企圖利用受害電腦挖礦。</p> <p>供應鏈資安業者Koi Security指出，他們透過威脅情報平臺ExtensionTotal<a href="https://blog.extensiontotal.com/mining-in-plain-sight-the-vs-code-extension-cryptojacking-campaign-19ca12904b59">找到10個惡意VSCode擴充套件</a>，這些套件總共已被下載超過100萬次，一旦開發人員不慎安裝，電腦就有可能被植入挖礦程式XMRig，為駭客挖取門羅幣（Monero）。</p> <p>研究人員指出，這些套件在4月4日於微軟的VSCode市集上架，其中最多人下載的是Prettier — Code for VSCode、Discord Rich Presence for VS Code、Rojo — Roblox Studio Sync，分別有95.5萬、18.9萬、11.7萬次下載。針對這些套件在不到一週就出現大量下載的情況，Koi Security認為並不尋常，很有可能是攻擊者人工產生的數字，目的是製造擴充套件廣泛受到信任及採用的假象，以減少開發人員的懷疑。</p> <p>然而一旦開發人員安裝這些套件，電腦就會從C2伺服器下載PowerShell指令碼並執行，此指令碼停用Microsoft Update更新機制、於Microsoft Defender設置白名單資料夾，並建立工作排程、提升權限，最終部署XMRig。</p> <p>值得留意的是，這些惡意套件也都具備駭客宣稱的功能，以Prettier — Code for VSCode而言，攻擊者也可能一併安裝正常的程式碼格式化工具<a href="https://marketplace.visualstudio.com/items?itemName=esbenp.prettier-vscode">Prettier - Code formatter</a>；以Discord Rich Presence for VS Code而言，攻擊者也可能一併安裝正常的在Discord顯示VScode執行狀態的<a href="https://marketplace.visualstudio.com/items?itemName=icrawl.discord-vscode">Discord Presence</a>；以Rojo — Roblox Studio Sync而言，攻擊者也可能一併安裝正常的Roblox Studio同步工具<a href="https://marketplace.visualstudio.com/items?itemName=evaera.vscode-rojo">Rojo - Roblox Studio Sync</a>，因此，開發人員不太容易察覺攻擊者在背景執行惡意PowerShell指令碼的情況。</p> </div></div></div>
2025/4/8 15:29作者周峻佑https://www.ithome.com.tw/news/168294
GitHub Copilot正式推出AI代理模式，可支援MCP，更釋出GitHub MCP伺服器的開放原始碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>GitHub Copilot正式推出AI代理模式（Agent Mode），可以根據自然語言指令自動、迭代式的編寫與修正程式碼、分析執行錯誤並自動調整，甚至自動存取和生存所需檔案來完成任務。他們還宣布正式推出Copilot code review AI代理，以及讓開發者可以不斷按Tab來自動完成程式碼的Next edit suggestions功能。</p> <p>Agent Mode正逐漸開放給所有VS Code用戶，預計數周內全面完成。用戶也可以選擇<a href="https://code.visualstudio.com/updates/v1_99">手動啟用</a>。隨著正式版本推出，此功能<a href="https://github.blog/news-insights/product-news/github-copilot-agent-mode-activated/">開始支援MCP</a>，使AI能在存取外部系統及工具時，具備更多情境知識。不只如此，<a href="https://github.com/github/github-mcp-server">GitHub還開源釋出了MCP伺服器程式碼，開發者能將MCP伺服器部署於自家環境，來存取GitHub上資源，打造AI代理工作流程。</a></p> <p>目前<a href="https://github.com/punkpeye/awesome-mcp-servers">GitHub平臺上已經發展出一定規模的MCP生態系，且仍在不斷增長。</a>Agent Mode可以運用MCP功能，來存取生態系中不同伺服器及功能，來達成跨程式碼儲存庫（Repository）和程式碼搜索、創建Pull Requests等開發用任務，以及執行其他跨領域任務，例如連接到圖文生成工具，來製作開發中應用程式的素材。微軟計畫未來對。</p> <p>目前，GitHub Copilot相關功能預設使用GPT-4o模型，使用者可以免費或付費改用Claude 3.5、Claude 3.7 Sonnet、Claude 3.7 Sonnet Thinking、Gemini 2.0 Flash，以及GPT o3-mini。</p> <p>要付費改用Claude 3.7 Sonnet等進階模型，需使用Premium Request功能。根據模型不同，需花費不同數量的Premium Request次數。Copilot Pro訂閱戶將於5月5日起每月獲得300次Premium Request。Copilot Business及Copilot Enterprise訂閱戶，則會在5月中開始每月分別獲得300次和1000次Premium Request。在此之前，這些進階模型使用是不限次數的，可以藉此機會盡量試用。</p> <p>GitHub還推出Copilot Pro+計劃，適用於個人用戶，每月可獲得1500次Premium Request，並能存取GPT-4.5等最新模型，費用為每月39美元。</p> <p>除了方案中的Premium Request次數，GitHub還推出加購方案，每次額外Premium Request收費0.04美元。</p> <p></p> </div></div></div>
2025/4/8 16:00作者郭又華https://www.ithome.com.tw/news/168289
Mozilla將改善Firefox擴充程式資料同意機制，提供一致體驗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.mozilla.org/addons/2025/04/03/rethinking-extension-data-consent-clarity-consistency-and-control/" target="_blank">Mozilla上周披露</a>，旗下的Firefox瀏覽器團隊正著手改革Firefox擴充程式在徵求用戶同意資料使用的方式，旨在簡化開發人員的資料請求作業，並準備把相關請求整合在Firefox擴充程式的安裝流程中，預計於今年內實現。</p> <p><a href="https://extensionworkshop.com/documentation/publish/add-on-policies/#data-disclosure-collection-and-management" target="_blank">根據Firefox擴充程式政策</a>，開發人員在打造任何需要蒐集或傳輸用戶資料的Firefox擴充程式時，都必須建立並顯示一個取得使用者同意的對話框，並清楚地列出所需蒐集的資料類型，同時明確告知用戶接受或拒絕資料蒐集所帶來的影響。不過，開發人員必須自己設計與實現取得相關資料的使用者同意介面，導致不同的擴充程式都有自己的實現方式。</p> <p>現在Firefox正在建置一項新功能，讓開發人員能夠利用標準化的清單來指定擴充程式所要蒐集與傳輸的資料類型，另一方面，當Firefox用戶要安裝新的擴充程式時，也會顯示該擴充程式所要求的資料蒐集類型及所需的權限清單。使用者可以選擇同意資料蒐集或權限請求，繼續安裝擴充程式，或者拒絕並取消安裝流程。</p> <p>Firefox團隊打算藉由更新WebExtensions擴充程式API，以納入這些資料蒐集選項，讓開發人員更容易實現；新的擴充程式資料同意流程則會被整合到Firefox擴充程式的安裝流程中，不論是在開發端或使用者端都能帶來更一致的體驗。</p> </div></div></div>
2025/4/8 15:02作者陳曉莉https://www.ithome.com.tw/news/168293
駭客利用近2.4萬個IP位址掃描Palo Alto Networks GlobalProtect登入網站
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客鎖定企業的SSL VPN系統下手，企圖藉此取得初期入侵的管道，這樣的現象不時傳出，如今有研究人員發現針對特定廠牌系統的大規模攻擊活動，呼籲用戶要採取相關措施因應。</p> <p>3月底<a href="https://www.greynoise.io/blog/surge-palo-alto-networks-scanner-activity">威脅情報業者GreyNoise提出警告</a>，他們觀察到針對Palo Alto Networks的GlobalProtect入口網站新一波的掃描登入活動，最近1個月有近2.4萬（23,958）個來源IP位址嘗試存取這些SSL VPN系統。針對這樣的情況，<a href="https://www.bleepingcomputer.com/news/security/nearly-24-000-ips-behind-wave-of-palo-alto-global-protect-scans/">Palo Alto Networks表示</a>他們已掌握GreyNoise部落格揭露的內容，將積極監控相關情勢、確認可能會造成的影響，並評估是否需要採取緩解措施。</p> <p>這波攻擊從3月17日出現，持續至26日，大部分的攻擊來自美國及加拿大，分別有16,249及5,823個IP位址，但也有來自芬蘭、荷蘭、俄羅斯的攻擊。而對於攻擊者主要下手的標的，主要是位於美國的GlobalProtect主機，但英國、愛爾蘭、俄羅斯、新加坡也出現相關攻擊。</p> <p>GreyNoise指出，在這段期間，他們也發現鎖定該廠牌防火牆作業系統<a href="https://www.ithome.com.tw/tags/pan-os">PAN-OS</a>的攻擊行動，其中針對PAN-OS Crawler的活動於3月26日達到高峰，當時有2,580個IP位址發動攻擊。對此，GreyNoise呼籲Palo Alto Networks用戶，應儘速檢視3月份的事件記錄內容，並執行詳細的調查，進一步釐清是否有遭到入侵的跡象。</p> <p>有鑑於駭客專門鎖定Palo Alto Networks的資安系統而來，GreyNoise認為這樣的現象與去年4月<a href="https://www.ithome.com.tw/news/162516">思科揭露的攻擊行動ArcaneDoor</a>有共通之處，當時駭客組織UAT4356（Storm-1849）專門針對思科的ASA防火牆設備而來，專門針對思科的ASA防火牆設備而來，從而在受害組織的網路環境植入後門程式。由於這波攻擊針對GlobalProtect入口網站而來，也很難不讓人聯想近期該公司修補的PAN-OS資安漏洞<a href="https://www.ithome.com.tw/news/166075">CVE-2024-0012</a>、<a href="https://www.ithome.com.tw/news/166075">CVE-2025-0108、CVE-2025-0109、CVE-2025-0111</a>，都是出現於網頁管理介面，且有部分被用於實際攻擊行動。</p> </div></div></div>
2025/4/8 11:34作者周峻佑https://www.ithome.com.tw/news/168288
Google即將修補已存在23年的瀏覽器歷史紀錄外洩漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>瀏覽器使用者都應該熟悉在所造訪的網站點選某個連結時，該連結就會變色，以讓使用者知道已點選過，這是透過CSS :visited偽類（pseudo-class）技術來完成，有鑑於其目的是為了改善使用者瀏覽網路的體驗，卻被其它有心人士用來窺探使用者的瀏覽歷史紀錄，於是Google準備在最新的Chrome 136透過將紀錄分割，以修補此一已存在於瀏覽器產業23年的隱私漏洞。</p> <p>在用來控制網頁外觀的階層樣式表（Cascading Style Sheets，CSS）中，有一個名為:visited的偽類（pseudo-class）選擇器，可用來選取使用者已造訪過的連結元素，並使其變色，以讓使用者區分已造訪及未造訪的連結。</p> <p>然而，由於系統會在供應該連結的每個網站上都顯示「已造訪」，而允許其它網站也能檢查使用者所造訪過的網站，讓第三方有機會了解使用者的瀏覽習慣及興趣，結合其它資訊建立更完整的用戶檔案，或是根據使用者興趣量身打造網釣訊息，也能投放未經使用者同意的目標式廣告，使得Google決定採用分區金鑰（Partition Key）來終結該功能遭到第三方濫用的情況。</p> <p>例如使用者正在瀏覽A站，並點選了連結以前往B站，系統即會將B站新增至使用者的:visited紀綠中，之後當使用者造訪其它網站時，若該站也提供了B站的連結，它也會顯示:visited，外洩了使用者的蹤跡。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0408-chrome-links2_856.png" style="width: 500px;" /></p> <p><a href="https://github.com/explainers-by-googlers/Partitioning-visited-links-history?tab=readme-ov-file#citations" target="_blank">Google的作法</a>是在Chrome中利用3種金鑰來儲存使用者所造訪過的連結，包括使用者實際點選的連結網址、瀏覽器位址欄位所顯示的頂級網域名稱，以及實際顯示該連結的原始框架，未來只有使用者於相同的環境中（同樣的頂級網域名稱與框架來源）看到相同的網域名稱連結時，才會變色，標記為已造訪。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0408-chrome-links(3).png" style="width: 500px;" /></p> <p>在透過金鑰分割造訪紀錄後，當使用者瀏覽A站，並自A站點選了連結以到達B站，系統的造訪紀錄存放的是「A站+B站」，於是，在使用者造訪第三方網站之後，B站連結就不會顯示為:visited。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0408-chrome-links(2).png" style="width: 500px;" /></p> <p>不過，該設計有一個名為自我連結（self links）的例外，亦即在同一個網域名稱之下，不受上述限制，例如維基百科（Wikipedia），仍能在不同的頁面上呈現:visited。</p> <p>目前Google已於4月初釋出的Chrome 136 Beta版中測試該功能，Chrome 136正式版預計於4月29日出爐。</p> <p>其實Google是在2008年推出Chrome瀏覽器，迄今不過16年，但有關:visited的隱私漏洞早就現身於其它更早發表的瀏覽器中，且一直未被修復，<a href="https://developer.chrome.com/blog/visited-links" target="_blank">Google軟體工程師Kyra Seevers表示</a>，Chrome將成為第一個消滅此一隱私問題的主要瀏覽器。<span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> </div></div></div>
2025/4/8 13:17作者陳曉莉https://www.ithome.com.tw/news/168292
Midjourney測試最新一代圖片生成模型V7
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在上個正式版推出將近8個月後，Midjourney終於公布最新一代<a href="https://www.midjourney.com/updates/v7-alpha" target="_blank">圖片生成器Midjourney V7</a>，新增價格只要1/2的草稿模式，而高速版成本為V6的2倍。</p> <p>Midjourney上周公告，已經開放社群測試V7的Alpha版。<a href="https://updates.midjourney.com/version-6-1/" target="_blank">上個正式版本V6.1推出</a>已是去年7月底的事。</p> <p>Midjourney說，V7的文字提示理解更聰明、圖片提示也更棒、生成的圖片畫質具有更好的質感，生成的人物身體、手及各種物件在各種細節上都更具一致性。</p> <p>V7是第一個預設啟用個人化的模型，使用者必須解鎖個人化才能使用。這個過程約5分鐘。之後用戶可以隨時開或關。</p> <p>Midjourney V7另一重要功能是「草稿模式」。它是以較低品質生成圖，成本只要一半，且速度快10倍。Midjourney Web版在開啟提示列時改成「對話模式」，用戶可以自然語言調整圖像，例如把貓換成貓頭鷹，或換成夜晚場景。草稿模式支援語音，點擊麥克風圖示啟用可邊講邊畫。草稿模式方便將想法快速改良，等確定後可在圖片點選「enhance（升級）」或「vary（變換）」，Midjourney就會在標準模式生成完整畫質的圖片。</p> <p>V7未來推出時會含2個模式：Turbo及Relax模式。Midjourney沒有多做解釋，只說Turbo模式作業收費會比V6一般模式高2倍。標準速度的V7還需要多點時間優化，稍晚才會推出。</p> <p>根據<a href="https://midjourneyv6.org/midjourney-v6-pricing/" target="_blank">Midjourney V6的價格表</a>，4個等級訂閱月費由10到120美元。</p> <p>Midjourney未來60天內每1、2周會推出新功能，下個推出的主要功能是V7新字元及物件參照。</p> <p>Midjourney提醒，V7 Alpha版還有許多缺點，請用戶小心使用，<a href="https://discord.com/channels/662267976984297473/989270517401911316" target="_blank">也邀請用戶提供</a>反饋意見。</p> </div></div></div>
2025/4/8 12:35作者林妍溱https://www.ithome.com.tw/news/168290
北韓駭客Lazarus透過NPM套件散布惡意軟體BeaverTail，意圖竊取帳密資料及數位資產
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>北韓駭客針對開發人員而來的惡意套件攻擊行動不斷傳出，但如今駭客採取更為隱密的手法，使得開發人員更容易上當。</p> <p>資安業者Socket指出，他們看到北韓駭客Lazarus<a href="https://socket.dev/blog/lazarus-expands-malicious-npm-campaign-11-new-packages-add-malware-loaders-and-bitbucket">新一波的Contagious Interview攻擊行動</a>，駭客意圖透過11個惡意NPM套件，散布具備遠端存取木馬（RAT）功能的惡意程式BeaverTail，這些套件偽裝成陣列處理、事件記錄、除錯、事件處理，以及API處理的工具，意圖針對開發人員下手，竊取敏感的帳密資料及金融資產。</p> <p>Socket研究人員向NPM通報此事，惡意套件全數遭到下架，在此之前這些套件總共被下載超過5,600次。值得留意的是，這些駭客的攻擊步調並未趨緩，他們持續建置新的NPM帳號，並在NPM、GitHub、Bitbucket部署惡意程式碼。</p> <p>在這波攻擊行動裡，駭客的惡意程式出現顯著的變化，為了迴避自動偵測的資安系統與人工程式碼審核，駭客採用了十六進位的字串編碼進行處理。</p> <p>再者，過往這些駭客還會濫用GitHub，但這次研究人員發現，部分惡意NPM帳號也與另一個程式碼儲存庫Bitbucket連結，這種做法很有可能讓開發人員產生錯覺，以為這些NPM套件受到開發者積極維護而降低戒心。</p> </div></div></div>
2025/4/8 12:36作者周峻佑https://www.ithome.com.tw/news/168291
OpenAI可能正在測試為ChatGPT圖片生成功能加入浮水印技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在引發吉卜力風潮正、負面評價後，OpenAI可能將為ChatGPT圖片生成功能加入浮水印。</p> <p>一名用戶在疑似ChatGPT的新版程式碼中<a href="https://x.com/btibor91/status/1908442874884350110" target="_blank">發現數個新功能</a>，包含新的ImageGen浮水印、共享貼文等功能。</p> <p>OpenAI 3月底將ChatGPT圖片生成器<a href="https://www.ithome.com.tw/news/168083" target="_blank">升級使用GPT-4o</a>，並增加吉卜力風格的生成功能，允許用戶上傳相片並以ChatGPT生成，吸引數百萬用戶使用並分享了宮崎駿動畫風的圖片。這再度激發AI生成圖片侵害版權的討論。<a href="https://techcrunch.com/2025/03/26/openais-viral-studio-ghibli-moment-highlights-ai-copyright-concerns/" target="_blank">Techcrunch引述</a>智財權律師說法，「畫風」並不受版權法保護，但是AI業者極可能是未經作者同意以其作品訓練AI模型，就構成侵權行為。</p> <p>OpenAI是否真的會為ChatGPT圖片生成器加入浮水印功能，甚至該浮水印功能是否意在於防止AI照片以假亂真不得而知。<a href="https://www.bleepingcomputer.com/news/artificial-intelligence/openai-tests-watermarking-for-chatgpt-4o-image-generation-model/" target="_blank">BleepingComputer引述消息來源指出</a>，OpenAI近日正在測試浮水印，但這只是提供給免費版ChatGPT生成的圖片。如果用戶為付費訂閱戶，則生成的圖片就不會有浮水印。</p> <p><a href="https://www.ithome.com.tw/news/158496" target="_blank">Google DeepMind</a>、<a href="https://www.ithome.com.tw/news/166614" target="_blank">Meta</a>、<a href="https://www.theverge.com/2023/10/10/23911381/adobe-ai-generated-content-symbol-watermark" target="_blank">Adobe</a>都已研發了圖片浮水印技術用以分辨AI生成的圖片。</p> </div></div></div>
2025/4/8 11:56作者林妍溱https://www.ithome.com.tw/news/168287
MedTech醫療科技雙周報第41期：用想的就能說話，最新技術可即時合成更自然的語音
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞（0316～0331）</span></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> BCI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 語音合成 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 神經訊號 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>用想的就能說話，最新技術可即時合成更自然的腦語音</strong></span></p> <p>最近，來自加州大學柏克萊分校和舊金山分校的研究團隊共同在《Nature Neuroscience》期刊發表一項新技術，打破了長久以來的腦波-語音合成延遲問題，可幾乎即時根據腦部訊號來合成語音，重度癱瘓患者透過腦機介面（BCI）就能直接合成語音，聲音還能更自然。</p> <p>一直以來，這種語音BCI的最大挑戰是延遲過長。以往的系統從使用者「嘗試說話」到「發出聲音」平均要等待8秒，嚴重影響對話的流暢度。這次，研究團隊利用侵入式高密度皮質電極，在大腦運動皮質區截取控制說話的神經訊號，再以AI語音模型來解碼、生成語音，並將延遲縮短到1秒內。此外，研究團隊也用受試者受傷前的語音樣本和AI模型，合成貼近受試者的語音，提高自然度和情感連結。</p> <p>這種方法不只適用皮質電極這一種腦波設備，多種腦機裝置都能搭配使用，比如微電極陣列（MEA），就連不需要開腦的表面肌電圖（sEMG，也就是貼在臉上的感應器）也可以。團隊的AI模型語言泛化能力也不錯，就算輸入新詞彙，也能準確生成語音。團隊表示，未來將進一步開發能解碼語調、情緒和強弱的語音特徵，來呈現更自然的人機語音互動。<a href="https://engineering.berkeley.edu/news/2025/03/brain-to-voice-neuroprosthesis-restores-naturalistic-speech/">（詳全文）</a></p> <p><img alt="" src="https://scx2.b-cdn.net/gfx/news/hires/2025/brain-to-voice-interfa.jpg" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 衛福部 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 健康臺灣深耕計畫 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 智慧醫療 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>衛福部揭健康臺灣深耕計畫，鎖定智慧科技醫療等4領域</strong></span></p> <p>衛福部科技發展組技監劉明勳在3月27日的行政院會後記者會中說明健康臺灣深耕計畫方向，該計畫自2025年起至2029年止、為期5年共500億元預算支援，瞄準4大範疇，包括導入智慧科技醫療、優化醫療工作條件、規畫多元人才培訓、社會責任醫療永續等。</p> <p>這些範疇又可細分為18個目標，就導入智慧科技醫療這個範疇來說，旗下有5個目標，如AI科技協助臨床醫療、引進國際接軌的醫療科技及技術、優化醫療照護流程和效率、醫療數據共享和安全、朝智慧醫院發展等。又或是社會責任醫療永續其下也有5個目標，包括落實分級醫療並發展社區醫療照護體系、協助政府提高醫療資源可及性和公平性、營造健康生活型態、減少碳足跡與推動綠色醫院，以及建立環境、社會和治理管理模式等。</p> <p>劉明勳表示，政府將採補助方式來落實這些目標，補助對象包括醫療機構、社區醫療群、醫學會或醫事相關公學會。補助策略則是由下而上提出創新具體做法，同時為避免強者恆大，衛福部也鼓勵大型醫療機構投入部分經費，保障弱勢單位。另，劉明勳也強調，計畫補助不會重複給予。<a href="https://www.youtube.com/watch?v=ejprmKX2NDY&t=1579s&ab_channel=%E8%A1%8C%E6%94%BF%E9%99%A2%E9%96%8B%E9%BA%A5%E5%95%A6-2">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202025-04-07%20200529.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">高醫體系 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 檢驗 </span></strong></span></p> <p><span style="font-size:22px;"><strong>高醫展示5大智慧醫療成果</strong></span></p> <p>高雄醫學大學暨醫療體系日前在2025高雄智慧城市展中，展示5項智慧醫療創新技術，包括高雄醫學大學附設中和紀念醫院（簡稱高醫）設置的AI大數據分析智慧檢驗服務流程，以及與業者共同研發的乳房攝影影像品質檢測系統、氣管內管異常警示系統、心因性猝死風險預警系統等三大AI醫療模型。</p> <p>特別的是，高醫今年還融入微型展元素，在現場打造縮小版的超高速檢體自動傳送系統，讓民眾近距離觀察AI驅動的智慧檢驗流程。這套系統可讓檢體運送從35分鐘縮短為3分鐘，跨棟傳輸檢體甚至只需23秒，現場展示的迷你軌道傳輸也呈現條碼辨識、自動分流和AI決策等流程。這項技術不只降低人工運送風險，還因為AI即時監控，能確保檢體快速送達、報告迅速生成，大幅縮短病患等待時間。</p> <p>高醫體系醫療機構也展出許多智慧醫療應用，比如高醫岡山醫院展示智慧藥局、小港醫院展示全方位智慧復康巴士、高雄市立旗津醫院展示旗津長照島智慧健康全齡照護藍圖等服務，展示高醫體系智慧醫療特色。<a href="https://www.kmuh.org.tw/KMUHInterWeb/News/BrdactDetail/1001124108?actid=424870">（詳全文）</a></p> <p><strong><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 小港醫院 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 復康巴士 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI </span></strong></span></strong></p> <p><strong><span style="font-size: 22px;"><strong>小港醫院展示智慧復康巴士</strong></span></strong></p> <p>在3月下旬的高雄智慧城市展覽中，小港醫院展出智慧化復康巴士病友門診就醫流程，由AI驅動智慧系統應用，來優化整體就醫體驗。小港醫院表示，根據調查，許多復康巴士病友因長時間等候或診間流程不順，導致錯過回程車次，影響就診安排。於是，小港醫院聯手高雄市交通局，導入醫療快速通關服務，涵蓋從掛號、報到、候診、看診、檢驗、領藥、批價等就醫環節，透過AI自動判讀、優化流程，確保病人順利就醫並準時搭乘復康巴士返家。</p> <p>進一步來說，小港醫院整合高雄客運API預約系統，當病人預約復康巴士車程，高雄客運就會傳輸當日搭乘復康巴士到院就診名單，跨平臺介接小港醫院當天的就診資料庫系統。病人到院後，服務臺設置的電子白板會介接當日搭乘復康巴士預約清單，志工能提供最合適的就診路線和電梯搭乘指引。病人診間報到後，門診智慧會標註[輪椅]符號，協助優先看診，而看診後的批價、檢驗、檢查等流程，也會有醫院職員優先協助。小港醫院也另外建置Line互動式資訊平臺，來提供病人或照護者就醫資訊。</p> <p>小港醫院表示，該計畫實施後明顯改善復康巴士病友就醫體驗，病人準點搭乘率從65.6%提升至100%，病人平均候診時間也減少50%，提高診間運作效率。而且，醫護人員診療干擾次數還降至零，病人滿意度也提升至90%。這項應用還獲得2025智慧城市創新應用獎，也是全國唯一智慧醫療獲獎。<a href="https://www.facebook.com/story.php?story_fbid=1124640346131893&id=100057578134573">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">產後護理 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 非接觸 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 呼吸偵測 </span></strong></span></p> <p><span style="font-size:22px;"><strong>璽悅產後護理之家導入AI 3.0，協助照護母嬰</strong></span></p> <p>璽悅產後護理之家分館明水館在今年3月正式啟用，與緯創醫學科技、國科會、雲林科技大學和臺大護理學系合作，導入AI 3.0健康監測系統。該系統可即時追蹤新生兒心跳、呼吸、體溫、影像與聲音等五大指標，還能以AI辨識技術來進行異常偵測，並發送通知，使用者也能透過專屬App隨時查看新生兒狀況，提高照護透明度。</p> <p>早在6年前，璽悅產後護理之家就開始採用AI零接觸新生兒智能照護系統，至今已照顧超過8,500名新生兒。傳統的新生兒照護方式，仰賴護理人員量測寶寶生理數值，每天定時進行2到3次量測，卻不易即時發現寶寶的異常生理數據。但透過AI系統24小時主動偵測寶寶呼吸、心跳數據，每日量測的生理數值可超過34,000次，可即時發現異常狀況。</p> <p>尤其，他們導入的系統可在新生兒發燒前4小時，偵測到較頻繁的呼吸，並發送異常提醒，讓護理人員先查看寶寶狀況。除了嬰兒照護，璽悅產後護理之家最近也導入另一套系統，來在不打擾產婦休息的情況下，以高隱私、零接觸方式主動偵測浴廁活動狀況，能即時發出異常提醒，確保母嬰安全。<a href="https://money.udn.com/money/story/5724/8629786">（詳全文）</a></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;">蛋白質結構 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Google DeepMind </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 帕金森氏症 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>Google DeepMind揭露3項蛋白質結構預測應用</strong></span></strong></p> <p>3月27日，Google DeepMind團隊和新加坡科研局（A*STAR）分享了蛋白質預測模型AlphaFold及其資料庫的亮點應用，比如用來理解水稻磷酸化過程的蛋白質結構，找出能在惡劣條件下生長的優良水稻，或是用來尋找蜜蜂免疫系統中的關鍵蛋白質結構，以及理解STIP1蛋白質結構，也就是一種能減少帕金森氏症患者大腦中蛋白質聚合的蛋白質。</p> <p>Google DeepMind生命科學產品經理Dhavanthi Hariharan指出，團隊打造出Alpha fold 2，可用胺基酸序列精準預測出高品質的蛋白質結構後，還在2021年與歐洲生物資訊研究所聯手釋出AlphaFold蛋白質結構資料庫，包含2億個蛋白質結構預測，免費提供給研究單位使用。該資料庫在全球已有250萬名使用者，其中超過100萬名使用者來自亞太地區。</p> <p>在臺灣，則有27,000名使用者採用了AlphaFold資料庫，範圍涵蓋結構同源性搜尋、理解蛋白質功能，以及生成精確的序列比對。例如，臺大研究員用AlphaFold來鑑定和表徵參與配子融合的蛋白質超家族，也就是具有相似核心結構的蛋白質群體，並運用其準確性，來進行結構同源性搜尋。<a href="https://ithome.com.tw/news/168117">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202025-03-27%20185718.png" style="width: 942px; height: 453px;" /></p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 勒索軟體 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Medusa </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 醫療業 </span></strong></span></strong></p> <p><strong><span style="font-size:22px;"><strong>FBI警告醫療健康等產業業者小心Medusa勒索軟體</strong></span></strong></p> <p>3月中，美國網路安全暨基礎設施安全局（CISA）、聯邦調查局（FBI）和多州資訊共享與分析中心（MS-ISAC）發布聯合警告，指出Medusa勒索軟體組織至2025年2月已影響美國300多個關鍵基礎設施部門組織，包含醫療、教育、法律、保險、科技和製造等產業。</p> <p>據安全機構分析，Medusa最初是一個閉環勒索軟體變種，由單一團隊負責所有開發和運營。後來，Medusa演變為勒索軟體即服務（RaaS）模式，也發展出附屬組織；Medusa的開發者會在網路犯罪論壇和黑市中招募人手，提供100美元至100萬美元不等的報酬，來吸引駭客加入、專為Medusa作業。</p> <p>這些成員會使用特定技術和合法工具（如Advanced IP Scanner和SoftPerfect Network Scanner等）來建立入侵據點、避免被偵測。相關單位建議，組織可透過修補作業系統、軟體和韌體，來降低已知漏洞的風險，並分割網路區段來限制橫向移動，同時過濾網路流量，防止不明或不可信來源存取內部系統的遠端服務。<a href="https://www.cisa.gov/sites/default/files/2025-03/aa25-071a-stopransomware-medusa-ransomware.pdf">（詳全文）</a></p> <p>圖片來源／加州大學柏克萊分校、衛福部、Google DeepMind</p> <p><strong><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> MedTech醫療科技近期新聞 </span></strong></span></strong></p> <p><strong><strong>1. 傳蘋果正開發AI醫生，最快明年春季隨iOS 19.4釋出</strong></strong></p> <p>資料來源：iThome整理，2025年4月</p> </div></div></div>
2025/4/7 20:17作者王若樸https://www.ithome.com.tw/news/168275
【資安日報】4月7日，下載免費VPN行動APP要小心！有五分之一來自中國，上網恐遭監控
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國軟體業者透過多層轉投資的空殼公司，意圖隱匿中國身分，於蘋果App Store、Google Play store市集上架免費的VPN應用程式，這樣的情況相當值得留意，因為一般使用者難以追溯源頭，而有可能成為中國政府跟蹤上網流量的對象。</p> <p>揭露此事的非營利組織Tech Transparency Project（TTP）指出，他們在美國蘋果App Store前100名的免費VPN應用程式裡，發現有五分之一App來自中國，這樣的情況意味著使用者很容易下載到中國業者打造的應用程式。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168272"><strong style="font-size: 22px;">5款VPN程式背景不單純！疑為與中國軍方有關的資安業者控制</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/ftcmsfaabed51-d667-4d6f-b96f-9b5.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/ftcmsfaabed51-d667-4d6f-b96f-9b5.png" style="width: 300px; float: right;" /></a></p> <p>蘋果、Google近年來對上架於App Store及Play Store市集的應用程式，把關越來越嚴格，兩業者都禁止VPN應用程式在未經使用者同意下，收集或利用使用者的資料，然而，有中國公司推出的VPN服務刻意隱瞞來源，疑似打算暗中收集用戶的資料。</p> <p>金融時報引述非營利組織Tech Transparency Project（TTP）的調查報告指出，上架於蘋果App Store美國的免費VPN應用程式當中，前100名的應用程式中，有五分之一實際上的擁有者是中國公司，很可能會依據中國法律被要求將使用者資料交予中國政府。其中有5款VPN程式更是與中國資安業者奇虎360有關，由於美國國防部指控這是中國軍方所屬的公司，這代表美國用戶很有可能面臨將上網行蹤曝露給中國軍方的資安風險。</p> <p>TTP進一步指出，他們發現App Store許多VPN應用程式的開發廠商身分不透明，透過數家海外的空殼公司隱藏實際身分。經TTP彙整全球公司資料，確認20款VPN應用程式背後皆來自中國，這些App已被下載超過7千萬次，TTP強調，這些App未明確標示來自中國，美國用戶難以識別，因此可能安裝了這些應用程式而遭到監控。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityboulevard.com/2025/04/hunters-international-dumps-ransomware-goes-full-on-extortion/">勒索軟體駭客組織Hunters International轉換攻擊策略，專注竊取資料並向企業勒索</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/04/north-korean-hackers-deploy-beavertail.html">北韓駭客透過NPM套件散布惡意軟體BeaverTail，意圖在受害電腦部署後門</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/04/fin7-deploys-anubis-backdoor-to-hijack.html">駭客組織FIN7利用後門程式Anubis挾持Windows電腦</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168266"><strong style="font-size: 22px;">開源欄式儲存格式Apache Parquet含有可被執行任意程式碼的嚴重漏洞</strong></a></p> <p>Apache基金會在今年3月16日釋出了Apache Parquet Java 1.15.1，默默地修補了可用來執行任意程式碼、被列為最高嚴重等級的CVSS 10.0漏洞CVE-2025-30065，影響Apache Parquet 1.15.0及之前的所有版本，該漏洞於今年4月初被披露，4月3日便出現該漏洞的概念性驗證程式。</p> <p>軟體供應鏈解決方案供應商Endor Labs指出，CVE-2025-30065被歸類為反序列化不受信任的資料（Deserialization of Untrusted Data）漏洞，這類的漏洞可能影響匯入Parquet檔案的資料處理流程與分析系統，特別是當這些檔案來自外部或不可靠的來源時，若遭駭客竄改，便可能觸發漏洞。</p> <p>倘若駭客能夠誘導系統讀取惡意Parquet檔案，便有機會自遠端執行程式碼，得以完全掌控系統，竊取或竄改資料，也能植入惡意程式或中斷既有服務等。</p> <p><a href="https://www.ithome.com.tw/news/168267"><strong style="font-size: 22px;">WinRAR含有可繞過微軟MotW安全警告的漏洞</strong></a></p> <p>日本電腦緊急應變團隊暨協調中心（JPCERT/CC）日前揭露位於WinRAR中的安全漏洞CVE-2025-31334，可繞過微軟內建於Windows平臺上的Mark of the Web（MoTW）安全機制，讓使用者無意間執行惡意程式。</p> <p>此漏洞由日本資安業者Mitsui Bussan Secure Directions發現，攻擊者能引誘使用者開啟指向執行檔的符號連結（Symbolic Link）時，繞過MoTW的警告功能。不過，在Windows的初始配置中，只有管理員才具備建立符號連結的權限。</p> <p>該漏洞波及WinRAR 7.10及之前的版本，RARLAB也已在3月24日釋出的WinRAR 7.11修補。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/verizon-call-filter-api-flaw-exposed-customers-incoming-call-history/">Verizon來電過濾App存在漏洞，攻擊者有機會存取其他用戶的事件記錄資料</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/vulnerabilities-expose-cisco-meraki-and-ece-products-to-dos-attacks/">思科發布Meraki、Enterprise Chat and Email設備更新，修補阻斷服務漏洞</a></strong></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168271"><strong style="font-size: 22px;">政府預算遭凍結危機敲響國安警鐘，資安業者面臨多重衝擊</strong></a></p> <p>「資安即國安」這句耳熟能詳的口號，如今在政府包括數位發展部預算遭到大幅刪除與凍結的消息下，顯得格外沉重，許多政府部分重要機關的預算（包含資安預算）正面臨嚴峻的挑戰，許多規畫好的年度防禦預算遭到大幅度的削減，最高幅度甚至達到數十個百分比。</p> <p>以數位發展部的預算為例，立法院就將預算刪除四成、凍結二成，直接影響了數位發展部的施政步調，更直接影響政府在資安領域的投入。顧問公司KPMG安侯建業顧問部營運長謝昀澤提出警示，「此舉無疑是為國家安全敞開大門，其後果可能不堪設想。」他坦言，這一決策除了可能令政府自身防護機制遭遇風險外，也對整個資安產業產生極大衝擊。</p> <p>另有不具名資安業者表示，面對臺灣政府現有的資安人力不足，必須大量依賴各種資訊和資安委外人力輔助，此次的預算凍結，可能會影響到原先就已經不足的資安和資訊委外的預算和人力編制，甚至會出現「劣幣驅逐良幣」的後遺症。</p> <p><a href="https://www.ithome.com.tw/news/168261"><strong style="font-size: 22px;">Google發表資安AI模型Sec-Gemini</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/sec-gemini-mcq-v2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/sec-gemini-mcq-v2.png" style="width: 300px; float: right;" /></a>4月4日Google發表針對資安的實驗性AI模型Sec-Gemini v1，該模型建立在Gemini模型之上，同時整合了Google威脅情報、OSV漏洞資料庫，以及Mandiant威脅情報，並免費提供給特定的組織、機構、專家，以及非政府組織以供研究之用，並已開放申請。</p> <p>Google表示，有效地支援安全維運工作流程需要最先進的推理能力，以及廣泛的現代資安知識，Sec-Gemini v1藉由結合Gemini的高階功能、接近即時的網路安全知識，以及工具來實現此一目標，該組合可於關鍵網路安全工作流程上展現卓越的性能，包括事件根本原因分析、威脅分析，以及理解安全漏洞所帶來的影響。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/168247"><strong>【4月4日】因應量子破密威脅，臺灣今年將推出PQC遷移指引</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168231"><strong>【4月3日】刑事局揭露接連攻擊臺灣的駭客CrazyHunter身分</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168228"><strong>【4月2日】駭客聲稱握有28億筆X用戶詳細資料</strong></a></p> </div></div></div>
2025/4/7 18:41作者周峻佑https://www.ithome.com.tw/news/168273
Fintech周報第264期：Amazon展示以Nova Act模型自動完成線上支付流程；金管會計畫將主動拜訪金融業者…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><strong><span style="font-size: 18px;"><span style="color: rgb(139, 69, 19);">3/25-4/2金融科技精選新聞</span></span></strong></h3> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><strong style="font-size: 16px;"><span style="color: rgb(0, 0, 205);">#生成式AI</span></strong><strong style="font-size: 16px;"><span style="color: rgb(0, 0, 205);"> #Amazon</span></strong></h3> <h3>Amazon展示以Nova Act模型自動完成線上支付流程</h3> <p>Amazon近日發表可於網頁瀏覽器中執行各種任務的Amazon Nova Act模型，以及供開發人員存取該模型的Amazon Nova Act SDK預覽版，除了能夠協助使用者搜尋、回答有關螢幕的問題，Amazon技術人員也在官方影片中展示，如何設定讓模型在固定時段瀏覽特定餐廳網站，將常點的餐點加入購物車，並輸入地址和添加小費，最後完成付款。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><strong style="font-size: 16px;"><span style="color: rgb(0, 0, 205);">#金管會</span></strong><strong style="font-size: 16px;"><span style="color: rgb(0, 0, 205);"> #金融創新</span></strong></h3> <h3>金管會計畫將主動拜訪金融業者，挖掘金融創新案件</h3> <p>金管會近日宣布啟動「隱璞尋光計畫」，將在4月中開始主動拜訪金融業者和金融科技公司，挖掘金融業創新潛力案件，並鼓勵業者申請業務試辦或創新實驗。</p> <p>這項計畫預計時長8個月，金管會創新處處長胡則華表示，目前預定會拜會的金融業有12家，分別是台北富邦銀行，永豐金證券、富邦人壽、國泰世華銀行、群益金鼎證券、國泰人壽、中信銀行、好好證券、台灣人壽、將來銀行、阿爾發投顧，和富邦產險。拜訪層級則是金融業中的創新部門主管。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><strong style="font-size: 16px;"><span style="color: rgb(0, 0, 205);">#電子支付</span></strong><strong style="font-size: 16px;"><span style="color: rgb(0, 0, 205);"> #紙本支票</span></strong></h3> <h3>為了防範金融詐欺和減少行政成本，川普要求聯邦政府以電子支付取代紙本支票</h3> <p>近日，美國總統川普簽署了一項行政命令，要採用快速、安全的電子支付來取代紙本支票。這項命令規定，從2025 年9月30日起，聯邦政府將停止簽發所有紙本支票支出，包括政府內部支付、福利、支付給供應商的開銷和退稅。並且，所有行政部門和機構都要轉換採用電子形式進行支付，無論是透過信用卡或金融卡、直接存款、即時支付還是數位錢包。此外，這項命令還規定，在法律允許的情況下，民眾向政府支付費用、罰款和稅金也必須以電子方式支付。</p> <p>美國白宮發布新聞稿表示，推動政府採用電子支付，是為了防範金融詐欺，和減少不必要的行政成本。他們提到，光是2024財年，維護數位化紙本記錄所需的基礎設施和專用技術，就花費美國納稅人超過6.57億美元。並且，他們也提到，國庫支票遺失或被盜、退回且無法送達、或被更改的可能性比電子資金轉帳高出 16倍。反之，數位支付更有效率、成本更低、且更不容易發生詐欺。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><strong style="font-size: 16px;"><span style="color: rgb(0, 0, 205);">#生成式AI</span></strong><strong style="font-size: 16px;"><span style="color: rgb(0, 0, 205);"> #渣打銀行</span></strong></h3> <h3>渣打銀行向全球超過7萬名員工推出GenAI員工助手SC GPT</h3> <p>渣打銀行近日宣布，他們在全球41個市場推出了GenAI員工助手SC GPT，提供全球7萬名員工使用，包括協助客製化銷售和行銷工作、增加營運效率和員工生產力、提高軟體工程自動化、輔助衡量、管理、紀錄風險，和輔助撰寫風險報告。渣打銀行計畫，在未來幾個月內將SC GPT擴展到另外10個市場。</p> <p>目前，渣打銀行正在開發一個更客製化的SC GPT版本，透過採用集團數據，來解決渣打銀行特定問題。此外，渣打銀行表示，這個升級版本，將能輔助各國當地團隊開發滿足特定市場需求的客製化解決方案，例如數位行銷內容生成、翻譯、和提供產品、服務諮詢的客戶服務。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><strong style="font-size: 16px;"><span style="color: rgb(0, 0, 205);">#保險LLM</span></strong><strong style="font-size: 16px;"><span style="color: rgb(0, 0, 205);"> #Sompo Japan</span></strong></h3> <h3>日本大型產險公司宣布開發專屬LLM</h3> <p>日本第三大產險公司Sompo Japan Insurance近日宣布，已經從去年底開始開發專屬LLM，並預計在今年4月完成模型開發。他們認為，現成LLM在處理保險相關資料時，無法提供足夠精確的回應，因此選擇開發專屬LLM。</p> <p>Sompo Japan過去曾打造一款內部GenAI應用，透過讓現成模型學習公司內部業務規定、手冊和QA資料，來自動回應員工的查詢。然而，在實驗過程中，他們發現由於模型訓練資料中包含複雜圖表資料，並且許多日本企業專用文件和表格都有獨特的格式，導致現成模型難以精準理解資料，並提供準確回應。因此，Sompo Japan決定使用自家資料、內部規章與常見問答來量身訂做專屬LLM，提高模型回應保險業務問題的準度。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><strong style="font-size: 16px;"><span style="color: rgb(0, 0, 205);">#信用卡公司</span></strong><strong style="font-size: 16px;"><span style="color: rgb(0, 0, 205);"> #釣魚網站</span></strong></h3> <h3>日本多間大型信用卡公司聯手主動關閉釣魚網站</h3> <p>根據日本反網路釣魚工作小組的調查，日本2024年的網路釣魚案件數量約為170萬件，相較前一年增加約50萬件。</p> <p>近日，日本8間信用卡公司宣布，未來將聯合關閉釣魚網站，防止釣魚網站竊取信用卡資訊。這8間信用卡公司包含日本信用卡發行量最大的樂天信用卡、JCB、三井住友信用卡，和三菱UFJ NICOS等日本主要信用卡公司。</p> <p>這8間信用卡公司表示，將積極偵測釣魚網站，並要求託管釣魚網站的供應商關閉釣魚網站。例如，向網路瀏覽器廠商彙報該網站為釣魚網站，或是向網路服務供應商提報未經授權的使用紀錄，抑或是要求網域名稱註冊商讓網域名稱無效，並通知日本反網路釣魚工作小組。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><strong style="font-size: 16px;"><span style="color: rgb(0, 0, 205);">#凱基金控</span></strong><strong style="font-size: 16px;"><span style="color: rgb(0, 0, 205);"> #AI發展藍圖</span></strong></h3> <h3>凱基金控揭集團AI發展藍圖，2025年要建集團AI平臺、發展商用金融AI服務</h3> <p>凱基金控近日在法說會上揭露集團ＡＩ發展藍圖，他們將聚焦商業應用、智能助手、金融智慧、平臺科技四大領域，來建構集團AI能力，驅動集團全面發展智能化。</p> <p>延續去年的三大推動方向，今年凱基金控和子公司計畫持續擴大集團AI發展、開發AI金融商業服務應用，例如建立金融財經與財管投資分析的AI智能服務，以及開發集團One KGI資訊數位平臺，和整合集團行銷工具。</p> <h3><strong style="font-size: 16px;"><span style="color: rgb(0, 0, 205);">#永豐銀行</span></strong><strong style="font-size: 16px;"><span style="color: rgb(0, 0, 205);"> #數位企業卡</span></strong></h3> <h3>永豐銀行的數位企業卡產品開始支援鼎新ERP系統，能自動核銷員工差旅費用</h3> <p>永豐銀行近日宣布，已將自家發行的數位企業卡產品與鼎新ERP系統整合，若企業用戶同時採用永豐銀數位企業卡和鼎新ERP系統，就能自動進行員工差旅費用核銷流程，節省逾30％作業時間。</p> <p>永豐銀行表示，目前同時使用永豐金流服務和鼎新ERP系統的既有企業客戶，共有超過2000戶。永豐銀行預計先專注經營這批共同客戶，再逐步拓展服務項目與範圍。</p> <h3>其他重要Fintech新聞</h3> <ul> <li>凱基銀行推國內首張加密貨幣信用卡，信用卡點數可直接兌換數位資產</li> <li>三井住友銀行與富士通合作，將提供AI資料分析服務</li> </ul> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">責任編輯／李昀璇</span></p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">圖片來源／Amazon</p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">資料來源：iThome整理，2025年4月</p> <p></p> </div></div></div>
2025/4/7 15:43作者李昀璇https://www.ithome.com.tw/news/168269
5款VPN程式背景不單純！疑為與中國軍方有關的資安業者控制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果、Google近年來對上架於App Store及Play Store市集的應用程式，把關越來越嚴格，兩業者都禁止VPN應用程式在未經使用者同意下，收集或利用使用者的資料，然而，有中國公司推出的VPN服務刻意隱瞞來源，疑似打算暗中收集用戶的資料。</p> <p>金融時報<a href="https://www.ft.com/content/709df467-7a96-4d2a-a9f6-18242fcb0ddf">引述</a>非營利組織Tech Transparency Project（TTP）<a href="http://www.techtransparencyproject.org/articles/apple-offers-apps-with-ties-to-chinese-military">的調查報告</a>指出，上架於蘋果App Store美國的免費VPN應用程式當中，前100名的應用程式中，有五分之一實際上的擁有者是中國公司，很可能會依據中國法律被要求將使用者資料交予中國政府。其中有5款VPN程式更是與中國資安業者奇虎360有關，由於美國國防部指控這是中國軍方所屬的公司，這代表美國用戶很有可能面臨將上網行蹤曝露給中國軍方的資安風險。</p> <p>基本上，透過VPN連線能避免使用者的來源IP位址曝光，進一步保護上網隱私，避免遭受監控。然而經營這種服務的業者若是心懷不軌，他們就有可能讀取使用者網路流量，再加上中國法律要求當地業者必須提供政府存取用戶資料的權限，使得來自中國的VPN應用程式特別危險。</p> <p>TTP進一步指出，他們發現App Store許多VPN應用程式的開發廠商身分不透明，透過數家海外的空殼公司隱藏實際身分。經TTP彙整全球公司資料，確認20款VPN應用程式背後皆來自中國，這些App已被下載超過7千萬次，TTP強調，這些App未明確標示來自中國，美國用戶難以識別，因此可能安裝了這些應用程式而遭到監控。</p> <p>其中，TTP點名有5款App與奇虎360有關，這些應用程式是：Turbo VPN、VPN Proxy Master、Thunder VPN、Snap VPN、Signal Secure VPN。金融時報指出，他們與蘋果進一步確認此事後，該公司下架了Thunder VPN和Snap VPN。</p> <p>值得留意的是，TTP提及的應用程式也有安卓版本。金融時報引述應用程式資料分析業者Sensor Tower的統計，指出其中3款App在兩大應用程式市集今年已下載超過100萬次。</p> <p>TTP如何證實這些應用程式源自中國？以App Store排名第13的Turbo VPN為例，該應用的開發者是Innovative Connecting Pte. Ltd.，此公司在新加坡登記，而該公司唯一股東是位於開曼群島的Lemon Seed Technology Ltd.。</p> <p>另一方面，TTP找到奇虎360於2019年向上海證券交易所呈交的年度報告提及，該公司以6,490萬美元及一項無型資產，買下Lemon Seed，以及Lemon Clove Pte. Ltd.與Autumn Breeze Pte. Ltd.等3家公司。因此，這代表Innovative Connecting隸屬於奇虎360。</p> </div></div></div>
2025/4/7 17:53作者周峻佑https://www.ithome.com.tw/news/168272
無線點對點檔案傳輸應用程式Quick Share存在弱點，可造成服務中斷、未經授權寫入檔案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年8月資安業者SafeBreach指出，他們在Google與三星合作推出的無線檔案傳輸機制Quick Share當中，<a href="https://www.ithome.com.tw/news/164493">發現10項資安漏洞</a>，並將它們統稱為QuickShell，Google獲報後將這些漏洞登記為CVE-2024-38271、CVE-2024-38272（4.0版CVSS風險評為5.9、7.1）並進行修補，如今SafeBreach透露，他們檢查Google的修補程式，<a href="https://www.safebreach.com/blog/an-update-on-quickshell-sharing-is-caring-about-an-rce-attack-chain-on-quick-share/">發現新的弱點CVE-2024-10668</a>，攻擊者有機會在未經授權的情況下將檔案傳送到用戶設備，對此，Google獲報後也在去年11月進行修補。</p> <p>Quick Share功能與蘋果裝置提供的AirDrop相當類似，是能夠在安卓、Chromebook、Windows電腦之間進行點對點傳輸應用程式，裝置之間，會透過藍牙、Wi-Fi、WebRTC、NFC等通訊協定傳輸檔案。</p> <p>SafeBreach研究人員針對Google發布的修補程式進行驗證，結果發現其中兩項漏洞並未完全緩解。</p> <p>其中一項是對於遠端阻斷服務的弱點未正確修補的情況。原本的弱點是在攻擊者發送的檔案當中，含有無效的UTF-8連續位元組（continuation bytes），就有可能造成Quick Share停擺的情況，而Google修補的方式，就是加入了檔名驗證機制，確保檔名開頭不會使用特定的元素。但這樣的做法並未針對實際的根本原因下手，使得研究人員還是能夠透過特定的檔名來觸發漏洞。</p> <p>另一個修補不完整的情況存在於身分驗證繞過漏洞CVE-2024-38272，SafeBreach發現，其中針對Windows版Quick Share未經授權遠端檔案寫入弱點的修補程式，他們還是能夠繞過的現象。研究人員進一步指出，Google並未直接進行修補能被寫入的弱點，而是將利用此漏洞寫入的內容標示為未知檔案，並在檔案傳輸結束後刪除。結果研究人員發現，他們同時在檔案傳輸的連線階段（Session）傳送2個檔案，就有機會將其中一個檔案留在受害電腦。</p> <p>針對上述研究人員的發現，Google發布1.0.2002.2版Quick Share進行修補，並將這些弱點登記為CVE-2024-10668，CVSS風險評為5.9分。</p> </div></div></div>
2025/4/7 16:00作者周峻佑https://www.ithome.com.tw/news/168270
政府預算遭凍結危機敲響國安警鐘，資安業者面臨多重衝擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「資安即國安」這句耳熟能詳的口號，如今在政府包括數位發展部預算遭到大幅刪除與凍結的消息下，顯得格外沉重，許多政府部分重要機關的預算（包含資安預算）正面臨嚴峻的挑戰，許多規畫好的年度防禦預算遭到大幅度的削減，最高幅度甚至達到數十個百分比。</p> <p>以數位發展部的預算為例，立法院就將預算刪除四成、凍結二成，直接影響了數位發展部的施政步調，更直接影響政府在資安領域的投入。顧問公司KPMG安侯建業顧問部營運長謝昀澤提出警示，「此舉無疑是為國家安全敞開大門，其後果可能不堪設想。」他坦言，這一決策除了可能令政府自身防護機制遭遇風險外，也對整個資安產業產生極大衝擊。</p> <p>另有不具名資安業者表示，面對臺灣政府現有的資安人力不足，必須大量依賴各種資訊和資安委外人力輔助，此次的預算凍結，可能會影響到原先就已經不足的資安和資訊委外的預算和人力編制，甚至會出現「劣幣驅逐良幣」的後遺症。</p> <p>另外，謝昀澤也認為，對於目前處於弱勢的資安業者而言，政府的每一項政策決定都直接影響著其生存與發展空間，未來，若政府不能及時補足資安防護的經費缺口，不僅可能引發大規模民眾個資外洩、重要施政系統癱瘓，更有可能讓臺灣在面對國際網路攻防戰時陷入被動局面。</p> <h2><strong>資安防禦體系亮紅燈，國安恐現重大漏洞</strong></h2> <p>面對現今網路攻擊技術日益進步與手段不斷翻新的現狀，政府與產業界如何協同合作，調整資安預算的配置，已經成為決定未來國家安全防線強弱的關鍵；從中央機關到地方政府，再到資安產業各環節，每個環節的連鎖反應都不容忽視。</p> <p>謝昀澤表示，從政府機關的年度資安防禦預算到委外防護服務，再到新興科技研究的前瞻性佈局，資安業者正面臨前所未有的挑戰和壓力。他指出，資安即國安，當政府在重要國安預算上出現刪減，不僅代表現有的防禦措施將面臨風險，更可能引發一連串連鎖反應，讓網路攻擊者乘虛而入。</p> <p>謝昀澤更是開宗明義地點出，資安預算的刪減與凍結，首當其衝的就是國家整體的資安防禦能力。他憂心表示，部分政府機關已經開始大幅削減原先規畫好的年度資安防禦預算，這意味著，許多原本應該進行的資安強化措施，例如老舊系統或防火牆的更新可能被迫暫緩。</p> <p>他表示，這些過時的設備和技術往往存在較多的安全漏洞，容易成為駭客攻擊的目標；一旦更新計畫擱置，政府機關的資訊系統將更加脆弱，暴露在日益複雜和精密的網路威脅之下。</p> <p>「這就像在戰場上，士兵的武器裝備老舊不堪，卻又沒有足夠的訓練面對新型態的敵人，無疑是『開門迎敵』，將國家置於極度危險的境地。」謝昀澤語重心長地說。</p> <p>更令人擔憂的是，年度的員工資安訓練與資安風險應對計畫，也可能因此遭到擱置。謝昀澤強調，資安不僅僅是技術問題，更涉及到使用者的安全意識和應對突發事件的能力。</p> <p>他進一步指出，倘若缺乏定期的培訓，公務人員可能難以辨識和防範最新的網路釣魚、社交工程等攻擊手法，無意間成為駭客入侵的幫兇；同時，風險應對計畫的停擺意味著，一旦發生資安事件，政府機關可能無法及時有效地應對，導致損失擴大。</p> <p>謝昀澤以過去各國政府的案例示警，資安預算不足極易導致大規模民眾個資外洩、重要施政系統停擺、核心基礎建設遭駭客狙擊，甚至選舉計票系統遭入侵修改等國安等級事件頻繁發生。</p> <p>「這些並非危言聳聽，而是根據過往經驗所提出的嚴正警告。」謝昀澤正色表示，一旦這些國安等級的事件發生，其造成的損失不僅僅是金錢上的，更可能動搖政府的公信力，甚至影響社會的穩定與國家的安全。</p> <h2><strong>新興科技發展受阻，資安實力恐被國際拋在腦後</strong></h2> <p>隨著科技的日新月異，生成式AI、量子運算、物聯網及5G等新興科技正以前所未有的速度發展，這些新興科技在帶來便利的同時，也帶來了全新的資安挑戰。謝昀澤強調，面對這些未知的風險，政府機關原本就應該投入大量的資源進行前瞻性研究，以確保能夠即時應對科技所帶來的資安威脅。</p> <p>然而，當數位發展部的預算遭到大幅刪減，連帶使得政府對於新興技術的研究、標準制定與安全驗證等工作，都將被迫大幅延後甚至刪除計畫，這將導致相關的防禦機制無法同步發展，使得國家在面對新興科技帶來的資安威脅時更加被動。</p> <p>他也舉例指出，國際間已經有駭客開始利用AI進行更精準的社交工程攻擊，或是藉由量子運算來威脅傳統的加密技術。他憂慮地表示，臺灣在這些前瞻性資安領域的資源本就相對有限，數位發展部的包括資安預算的縮減，勢必會進一步拉大與國際在資安實力上的差距。</p> <p>更令人擔憂的是，資安預算的縮水，也可能導致政府無法及時導入新技術來強化自身的安全防護。謝昀澤比喻，這就像是駭客使用「人工智慧」的工具來發動攻擊，而我們的防護卻仍然停留在依賴「工人智慧」的階段，這將使得老舊的系統與架構面臨更高的風險。</p> <p>在全球資安威脅日益複雜的今天，謝昀澤認為，政府若無法與時俱進地提升資安防護能力，無疑將使國家安全暴露在更大的風險之中。</p> <h2><strong>產業監管力道減弱，醫療資安就是具體實例</strong></h2> <p>數位發展部預算遭刪除、凍結的衝擊下，受到影響的不僅限於政府部門本身，連帶影響主管機關對產業的監督、稽核與管理能力。謝昀澤指出，政府在資安方面的預算投入下降，也會造成主管機關在執行相關任務時，面臨資源大幅縮水的困境。</p> <p>謝昀澤以近期大型醫院遭到駭客大規模勒索造成醫療危機的事件為例，強調過去醫療產業的資安防護，除了依靠醫院本身投入之外，也非常依賴主管機關進行監督與補助。</p> <p>如果主管機關的資安預算，因為直接刪除或間接排擠而減少投入，他坦言，這對於原本就已經脆弱的醫療產業而言，無疑是一個重大的打擊，對民眾醫療的隱私更是重傷，畢竟，醫療機構掌握著大量的病患個人資料和健康資訊，一旦洩漏，後果不堪設想。</p> <p>他表示，主管機關若缺乏足夠的資源進行有效的監管和指導，將難以確保醫療產業的資安水準，而醫療系統的癱瘓，不僅會影響民眾的就醫權益，更可能在緊急時刻造成無法挽回的生命損失。由此可見，政府在產業資安監管方面的投入，對於維護社會的正常運作與民眾的生命財產安全至關重要。</p> <p>同樣的道理也適用於其他關鍵基礎設施和重要產業，謝昀澤表示，像是金融、能源、交通等領域的資安穩定，直接關係到社會的正常運作和經濟的持續發展。如果主管機關因預算不足，導致無法有效履行監管職責，將可能導致這些產業的資安風險不斷累積，一旦爆發大規模資安事件，將對國家造成難以估量的損失。</p> <h2><strong>預算刪減恐劣幣驅逐良幣，財畫法致重複投資各自為政</strong></h2> <p>除了上述的影響之外，政府資安預算的刪減與凍結，也將對國內的資安產業造成衝擊。根據不具名的資安業者表示，臺灣政府現有的資安編制人力本來就處於不足的狀態，再加上今年預算刪除和凍結的影響，不僅原先的人力缺口將會擴大，連帶原本依賴資安委外和協防的委外人力預算也可能受到波及。</p> <p>該名資安業者認為，這種情況可能導致委外廠商為了符合更低的預算，不得不降低服務品質，甚至出現「劣幣驅逐良幣」的現象。更令人擔憂的是，他也發現，為了節省成本，部分委外廠商可能會派遣經驗不足、但成本較低的無經驗人員來提供服務，這反而可能造成國家資安出現更大的漏洞。</p> <p>該名資安業者認為，資安防護是一項需具備一定專業的工作，需要經驗豐富的專業人員，才能有效應對各種複雜的網路威脅。他認為，如果因為預算限制而降低了資安服務的品質，無疑是撿了芝麻丟了西瓜，最終將付出更為慘痛的代價。</p> <p>此外，針對政府資安預算的分配問題，另外一名不具名資安業者認為，基於政府資訊系統向上集中及區域聯防的概念，無論從整體總成本或防禦綜效的角度來看，資安政策、制度及大型資安計畫，都應該由中央主管機關來統籌規畫與分配，地方政府則負責配合執行，比較能夠達到預期的防護效果。</p> <p>該名不具名資安業者特別提到，如果依照立法院修正通過的《財政收支劃分法》（財畫法）進行資安預算的分配，可能會有過多的資安預算會由地方縣市政府主導，這樣很可能發生重複投資但又防護效率低下的情況，最終導致資源的浪費。</p> <p>資安防護需要整體的協調與合作，才能發揮最大的效益，如果各自為政，不僅無法有效整合資源，反而可能讓整體防護體系出現漏洞。該名不具名資安業者認為，如何合理地分配中央與地方的資安預算，建立一個統一且高效的資安防護體系，是政府亟需重視的課題。</p> <h2><strong>建立可被期待的資安施政指標，提升預算支用效益</strong></h2> <p>面對資安預算縮減可能帶來的諸多風險，謝昀澤呼籲，對於政府機關資安預算的執行成果，應建立合理且可期待的資安KPI（關鍵績效指標）。他認為，這些指標應以民眾關注的角度著手，同時朝KEEP（Key-Point、Effectiveness、Efficiency、Participate）方向設計。</p> <p>謝昀澤舉例說明，例如：可以設定降低特定產業個資外洩事件，或參與國際聯防取得情資，有效禦敵於境外的具體事蹟等指標，用以彰顯資安預算支用的實際成效。</p> <p>他認為，透過明確的目標和可衡量的成果，不僅可以讓民眾了解政府在資安方面的努力與成果，也可以提高資安預算的執行效率、提升政府部門對於資安預算的重視程度，進而更有效地運用資源，提升國家的整體資安防護能力。謝昀澤表示，這也能讓民眾更直觀地感受到，政府在資安方面的努力和成效，也可以建立民眾對政府資安能力的信心。</p> <p>政府資安預算的刪減與凍結，無疑將對國家安全造成多方面的負面影響，從直接削弱國安防禦能力、阻礙新興科技發展、減弱產業監管力道，也會衝擊資安產業發展，甚至會導致中央與地方資安防護效率降低等，每一個環節都可能成為國家安全體系中的脆弱點。</p> <p>面對日益複雜與嚴峻的網路威脅，資安防護絕非一蹴可幾，更需要持續且穩定的資源投入。謝昀澤強調，政府應審慎評估：資安預算刪減可能帶來的嚴重後果，並重新檢視現有的預算分配機制，以確保資安防護工作能夠得到充分的支持。</p> <p>如何真正落實「資安即國安」理念，為國家安全構築一道堅實的防護網，謝昀澤坦言，這是政府必須直面且無法迴避的挑戰，「一旦發生重大資安事件，所付出的代價將遠遠超過今日節省的預算，屆時後悔莫及。」他說道。</p> <p>他也建議，政府應重新審視資安預算的重要性，加大投入力度，並建立完善的資安防護體系和監管機制，方能有效應對日益嚴峻的網路安全挑戰，確保國家安全和社會穩定。</p> <p>同時，謝昀澤認為，政府也應該建立明確且可被期待的資安施政指標，將有助於提升預算執行成效，並增強民眾對政府資安工作的信任。畢竟，他說：「在全球數位化加速發展的今天，資安已成為國家發展的基石，任何輕忽都可能付出沉重的代價。」</p> <p>面對看不見的敵人，謝昀澤認為，政府和民眾都應該保持高度警惕，並以前瞻性的眼光，為國家的資訊安全做好萬全的準備。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/600-%E8%AC%9D%E6%98%80%E6%BE%A4_KPMG%E6%8F%90%E4%BE%9B.jpg" style="width: 600px; height: 401px;" /></p> <blockquote><p>顧問公司KPMG安侯建業顧問部營運長謝昀澤表示，立法院大幅刪除政府預算的決策，除了可能令政府自身防護機制遭遇風險外，也對整個資安產業產生極大衝擊。</p> </blockquote> <p> </p> <p> </p> </div></div></div>
2025/4/7 16:16作者黃彥棻https://www.ithome.com.tw/news/168271
【資安週報】0331~0404，CrazyHunter攻擊擴大至臺灣企業集團，刑事局偵破其真實身分為中國浙江羅姓男子
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>回顧2025年4月第一星期的資安新聞，臺灣多起網路攻擊事件引發資安圈高度關注，CrazyHunter勒索軟體攻擊再成焦點，因為國內振曜集團旗下有3家公司同時被鎖定，顯示攻擊規模更擴大。</p> <p>特別的是，攻擊者在這次行動中，還在恐嚇訊息當中，點名嘲諷臺灣資安業者TeamT5，聲稱入侵其客戶，TeamT5當日即駁斥這項消息，強調受害企業非他們的客戶。此狀況可能與TeamT5先前揭露CrazyHunter攻擊手法的舉動有關，因此駭客故意用詆毀方式來干擾國內情資聯防。</p> <p>後續該攻擊者的真實身分浮上檯面，臺灣刑事警察局宣布，自2月馬偕醫院報案、成立專案調查小組以來，已查明鎖定臺灣醫院與上市櫃公司攻擊的CrazyHunter，其真實身分為一名20歲的中國浙江籍羅姓男子，地檢署已發布通緝。警方並提醒國內企業組織當心攻擊再度發生，目前調查案例多是從已知漏洞入侵。</p> <p>另一起國內知名SI大廠精誠資訊的資安事件，同樣受到國內關注，因為很多政府單位與金融業是其客戶，不過目前尚未有進一步消息揭露。</p> <p>●再傳CrazyHunter勒索軟體攻擊消息，振曜科技、沛亨半導體、東荃科技這3家業者同時遇害，前兩家為上櫃公司均發布資安重訊揭露受害。<br /> ●精誠資訊發布資安重訊，表示接獲獲匿名網路勒贖信件，已向法務部調查局報案。是否有資料遭竊取情形，目前尚無從得知，有待後續更多消息揭露。<br /> ●鋼鐵廠盛餘發布資安重訊，表示資訊系統遭受駭客網路攻擊，部份主機與電腦遭受病毒攻擊，已啟動防禦機制及備援作業。</p> <p>在資安威脅態勢方面，有2起消息值得我們關切，包括有惡意程式載入工具CoffeeLoader會冒充華碩軟體、利用GPU執行程式碼，以及安卓惡意軟體PJobRAT再度出沒，近期正鎖定臺灣使用者而來。還有新型網釣工具包具備進階能力，以及老舊未維護NPM被駭客鎖定的情形，同樣需要留意。</p> <p>●新款惡意程式載入工具CoffeeLoader被揭露，攻擊過程會冒充華碩電腦整合設定軟體，以利用GPU來執行程式碼，進而規避資安偵測。<br /> ●之前曾鎖定印度的安卓惡意軟體PJobRAT，最近臺灣有多個使用者受害的情形，攻擊者主要是假借提供交友或即時通訊App來散布。<br /> ●發現駭客用PhaaS服務出現新的網釣工具包Morphing Meerkat，能力更為先進，可濫用MX Record、重開放導向漏洞，進而動態偽造登錄網頁。<br /> ●多個NPM老套件久未維護，成駭客攻擊破口，研究人員推測可能與NPM帳號遭重用密碼攻擊，或網域過期遭他人接管有關。</p> <p>在資料外洩事件方面，國際間接連有重大消息傳出，例如，社群網站X驚傳28億用戶資料外洩的消息，遠超實際用戶數，可能是多組檔案整併而成；多家美國醫院收到甲骨文Oracle Health通知其電子病歷系統Cerner遭駭，而該公司的處理方式也引發爭議；三星德國分公司客服工單系統資料外流，有駭客公開27萬筆該公司客服的資料。</p> <p>在漏洞利用方面，主要焦點是Ivanti修補已遭利用零時差漏洞CVE-2025-22457，影響其Connect Secure、Policy Secure與ZTA Gateway產品。還有其他重要漏洞修補消息，例如，Dell揭露與修補Unity系列儲存陣列漏洞，公告中不只列出Unity OS本身的16個漏洞，還包含第三方軟體或工具的741個漏洞，涵蓋列出涵蓋Linux Kernel、Apache HTTP Server、Docker等131種元件。</p> <p>至於資安防禦方面，臺灣後量子密碼學PQC遷移將有新進展，除了工研院已經設計後量子晶片公版平臺，希望協助縮短產品開發週期，在PQC遷移指引方面，隨著美國與歐洲已有行動，資策會也預計將於今年4月中旬舉行的臺灣資安大會發表臺灣的PQC遷移指引。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/168171"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【3月31日】安卓惡意軟體PJobRAT鎖定臺灣使用者而來</span></strong></a></h3> <p>沉寂多年的安卓惡意程式PJobRAT，如今資安業者Sophos揭露最新一波的攻擊行動，指出這次駭客的主要目標，就是臺灣。</p> <p>值得留意的是，雖然這波為期近兩年的攻擊行動，大約在去年10月似乎已經停止，之後似乎並未出現新的攻勢，但研究人員也無法完全確定是否會出現後續活動，因此臺灣使用者還是要提高警覺。</p> <h3><a href="https://www.ithome.com.tw/news/168186"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月1日】CrazyHunter勒索攻擊規模擴大，同時對同集團旗下3家公司出手</span></strong></a></h3> <p>勒索軟體駭客CrazyHunter肆虐，接連對臺灣大型企業組織而來的情況，已發生多起，如今攻勢並未緩和，甚至發生一口氣攻擊多家公司的現象。自2月開始這些駭客攻擊國內兩家大型醫院引起外界關注，從3月下旬開始，他們先後針對環保裝潢加工板材業者科定、喬山健康科技下手，如今再傳新的資安事故。</p> <p>值得留意的是，這次駭客一起對振曜集團3家公司出手，甚至竄改網頁嘲笑國內資安業者TeamT5防護不力。對此杜浦數位安全（TeamT5）澄清此事，表示這些公司並非他們的客戶，也沒有部署相關防護工具。</p> <p><a href="https://www.ithome.com.tw/news/168228"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月2日】駭客聲稱握有28億筆X用戶詳細資料</span></strong></a></p> <p>本週有兩起資料外洩事故引起資安圈關注，一是駭客聲稱竊得逾28億筆社群網站X（推特）的使用者資料，另一起則是針對資安業者Check Point而來，駭客號稱偷到許多內部資料，並開出超過千萬臺幣的價碼兜售。</p> <p>其中比較值得留意的是X的資安事故，由於至截稿為止該公司並未對此做出說明，後續發展相當值得觀察。</p> <h3><a href="https://www.ithome.com.tw/news/168231"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月3日】刑事局揭露接連攻擊臺灣的駭客CrazyHunter身分</span></strong></a></h3> <p>過往捉拿犯案的勒索軟體駭客組織，我們多半聽聞歐美國家偵辦、主導這類執法行動的消息，但如今臺灣也針對這類駭客的調查有新的突破，找出攻擊者的真實身分。</p> <p>刑事警察局宣布找到接連攻擊臺灣醫院、上市櫃公司的駭客CrazyHunter真實身分，掌握明確的犯罪事證，地檢署也對這名駭客發布通輯。</p> <h3><a href="https://www.ithome.com.tw/news/168247"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月4日】因應量子破密威脅，臺灣今年將推出PQC遷移指引</span></strong></a></h3> <p>量子密碼破解威脅是近年來資安界相當重視的資安議題，自去年量子密碼PQC標準正式發布後，臺灣也積極應對這樣的問題，後量子資安產業聯盟（PQC-CIA）召集人李維斌近期透露最新進展。</p> <p>李維斌在上個月舉行的後量子密碼研討會中表示，他們已經打造了「後量子晶片公版平臺」，接下來還會進一步提供產業的遷移指引。</p> </div></div></div>
2025/4/7 09:52作者羅正漢https://www.ithome.com.tw/news/168264
Google Gemini 2.5 Pro預覽版開放，價格比GPT-4.5便宜
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">Google 最新旗艦模型Gemini 2.5 Pro在兩周前<a href="https://www.ithome.com.tw/news/168081" target="_blank">提供實驗版</a>後，上周末以公開預覽版（public preview）<a href="https://www.ithome.com.tw/news/168176" target="_blank">開放開發人員訂閱</a>，並提供比對手GPT-4.5更低的價格方案。</p> <p dir="ltr">Gemini 2.5系列模型是結合強化式學習及思維鏈等技術，能在回答前進行一系列推理思考，以處理更複雜問題、提供精準答案，並支援AI代理人。Google Gemini 2.5 Pro Experimental是Gemini 2.5 Experimental第一個問世的版本。</p> <p dir="ltr">二周前Google將Gemini 2.5 Pro Experimental透過AI開發平臺Google AI Studio免費提供給開發商及企業用戶。Google說見識到開發商的熱情和Gemini 2.5 Pro的動能，為了使這強大模型為更多開發人員所用，因此推出Gemini 2.5 Pro公開預覽版，先透過付費平臺AI Studio的API開放，很快會在AI代管平臺Vertex AI上架。</p> <p dir="ltr">Google強調<a href="https://ai.google.dev/gemini-api/docs/pricing" target="_blank">公開預覽版提供更高的用量上限，價格</a>相當有競爭力。對輸入/輸出量小於及等於200k字詞的用戶而言，輸入/輸出價格為每100萬字詞1.25美元/10美元。若是輸入/輸出量大於200k字詞的用戶，輸入/輸出價格為2.5美元/15美元。而且，相較於Experimental版，使用公開預覽版不會被用於改良Google產品。</p> <p dir="ltr">Gemini 2.5 Pro的價格約等同於GPT-4o（每百萬字詞2.5美元/10美元）。相對之下，<a href="https://openai.com/api/pricing/" target="_blank">OpenAI稍早公布的GPT-4.5</a>定價為每百萬字詞75美元及150美元。</p> <p dir="ltr">但如果開發人員還是不想花錢，Gemini 2.5 Pro Experimental仍然以較少的用量上限免費提供，版本為gemini-2.5-pro-exp-03-25模型。</p> <hr /> <p> </p> </div></div></div>
2025/4/7 14:39作者林妍溱https://www.ithome.com.tw/news/168268
開源欄式儲存格式Apache Parquet含有可被執行任意程式碼的嚴重漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr"><a href="https://parquet.apache.org/blog/" target="_blank">Apache基金會在今年3月16日釋出了Apache Parquet Java 1.15.1</a>，默默地修補了可用來執行任意程式碼、被列為最高嚴重等級的CVSS 10.0漏洞CVE-2025-30065，影響Apache Parquet 1.15.0及之前的所有版本，<a href="https://www.openwall.com/lists/oss-security/2025/04/01/1" target="_blank">該漏洞於今年4月初被披露</a>，<a href="https://github.com/h3st4k3r/CVE-2025-30065" target="_blank">4月3日便出現該漏洞的概念性驗證程式</a>。</p> <p dir="ltr">Apache Parquet 為一開源的欄式儲存格式（Columnar Storage Format，直式），專門用來在大數據處理框架中儲存與查詢大量資料，不同於傳統的行式儲存（Row-based Storage，橫式），以欄位為單位更能有效率地壓縮及讀取特定欄位，被廣泛應用在大數據處理及分析平臺，包括Hadoop、Spark與Flink等大數據框架，亦有許多客製化應用程式整合了Parquet Java程式碼。</p> <p dir="ltr"><a href="https://www.endorlabs.com/learn/critical-rce-vulnerability-in-apache-parquet-cve-2025-30065---advisory-and-analysis" target="_blank">軟體供應鏈解決方案供應商Endor Labs指出</a>，CVE-2025-30065被歸類為反序列化不受信任的資料（Deserialization of Untrusted Data）漏洞，這類的漏洞可能影響匯入Parquet檔案的資料處理流程與分析系統，特別是當這些檔案來自外部或不可靠的來源時，若遭駭客竄改，便可能觸發漏洞。</p> <p dir="ltr">倘若駭客能夠誘導系統讀取惡意Parquet檔案，便有機會自遠端執行程式碼，得以完全掌控系統，竊取或竄改資料，也能植入惡意程式或中斷既有服務等。</p> <p dir="ltr">儘管該漏洞可能帶來嚴重的威脅，但先決條件是系統必須導入來自不可靠來源的Parquet檔案。<a href="https://techcommunity.microsoft.com/blog/microsoftdefendercloudblog/guidance-for-handling-cve-2025-30065-using-microsoft-security-capabilities/4401362" target="_blank">微軟認為</a>，此一狀況於大多數的生產環境中並不常見，因此於現實世界中遭到利用的可能性並不高。</p> <p dir="ltr">只是微軟也提醒，這並不代表它完全沒有風險，一個潛在的途徑是開發人員自Stack Overflow或GitHub等社群論壇導入範例 Parquet文件，並無意中於本地機器上執行了惡意程式碼。</p> </div></div></div>
2025/4/7 12:48作者陳曉莉https://www.ithome.com.tw/news/168266
WinRAR含有可繞過微軟MotW安全警告的漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">日本電腦資安應變小組（Computer Security Incident Response Team，CSIRT）日前<a href="https://jvn.jp/en/jp/JVN59547048/" target="_blank">揭露了一個位於WinRAR中的安全漏洞CVE-2025-31334</a>，可繞過微軟內建於Windows平臺上的Mark of the Web（MoTW）安全機制，讓使用者無意間執行惡意程式。</p> <p dir="ltr">WinRAR是由RARLAB所開發的壓縮及解壓縮軟體，用來處理各種壓縮檔案格式，特別是.rar與.zip。MoTW則是Windows用來標記自網路下載文件的安全功能，當使用者企圖打開具備MoTW標記的檔案時，Windows即會跳出警告，提供用戶該檔案來自網路，可能存在著風險。</p> <p dir="ltr">而由日本資安業者Mitsui Bussan Secure Directions所發現的CVE-2025-31334漏洞，則能在開啟指向一個執行檔的符號連結（Symbolic Link）時，繞過MoTW的警告功能。不過，在Windows的初始配置中，只有管理員才具備建立符號連結的權限。</p> <p dir="ltr">該漏洞波及WinRAR 7.10及之前的版本，<a href="https://www.win-rar.com/singlenewsview.html?&tx_ttnews%5Btt_news%5D=270&cHash=416c1cad742ef041004fb1c4adb44574" target="_blank">RARLAB也已在3月24日釋出的WinRAR 7.11修補了此一問題</a>。</p> <hr /> <p> </p> </div></div></div>
2025/4/7 13:10作者陳曉莉https://www.ithome.com.tw/news/168267
微軟Copilot新增Deep Research、網頁搜尋等代理人功能、Vision推向桌機/手機版
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.microsoft.com/blog/2025/04/04/your-ai-companion/" target="_blank">微軟上星期公布Copilot AI助理新增多項代理人功能</a>，包括深度研究（Deep Research）與搜尋、購物能力，並且具備為使用者執行多種任務。而幫用戶讀取螢幕內容的Copilot Vision也推向了Windows和行動版本。</p> <p dir="ltr">微軟AI部門主管Mustafa Suleyman在微軟上周慶祝50周年時，宣布一系列Copilot功能。</p> <p dir="ltr">Copilot Vision的電腦視覺能力可理解用戶正在讀取的螢幕內容，聽取使用者指令動作。去年10月公布時只整合於Edge瀏覽器中，現在正式推向Windows版及手機Copilot應用程式。Windows版Copilot可操作多種應用程式、瀏覽器分析和檔案，能讀取文件，解答用戶問題、翻譯、摘錄重點，提供分析洞見，或是搜尋、變更設定、組織檔案、協同專案作業，完全不需開關檔案或切換不同應用程式。而在手機上，Copilot Vision可以利用手機相機「看」周遭環境，或是分析手機串流的視訊或儲存的相片。例如用戶可以讓它判斷一下眼前的植物健康狀態，以及建議如何照護，或是掃視辦公室環境請它建議如何裝飾。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/0407-microsoft%20copilot-Copilot%20Vision.png" style="width: 548px;" /></p> <p dir="ltr">現在Copilot Vision將先推給測試方案Insiders用戶，之後逐步推向更多用戶。手機版Vision將部署到iOS及Android版Copilot App。</p> <p dir="ltr">微軟也為Copilot AI助理加入多項代理人功能，包括當前最夯的Deep Research、Copilot Search in Bing、podcast等。一如Google Gemini、OpenAI ChatGPT，Copilot的Deep Research也可執行多步驟搜尋計畫，搜尋網上來源及大量文件與圖片，來完成複雜的研究任務。Copilot Search in Bing搜尋整合了傳統搜尋及生成式搜尋，Bing會交叉比對多個網站提供更完整的回答，加入引用來源及進一步搜尋建議。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/0407-microsoft%20copilot-deep%20research-600.png" style="width: 600px;" /></p> <p dir="ltr">此外，現在Copilot也加入了類似Google NotebookLM中的Audio Overview的功能，它能分析用戶提供的檔案或網站資訊，並生成個人化podcast，為用戶解釋主題，例如解說旅遊計畫、新的休閒活動、困難專案或學校作業。當用戶聽取podcast時還能持續和Copilot對話互動。</p> <p dir="ltr">其他代理人功能包括可幫用戶研究及比較購物選項、並提供建議的Shopping、及將混亂想法整理成有系統文件的Pages。Copilot也提供Actions幫用戶訂表演票、訂餐廳或上網下單，合作店家包括1-800-Flowers.com、Booking.com、Expedia、Kayak、OpenTable、Priceline、Tripadvisor、Skyscanner、Viator和Vrbo。</p> <p dir="ltr">微軟強調，隨著用戶和Copilot互動愈久，它會愈了解用戶喜好而提供更精準而個人化的協助。該公司預告正在開發一項Google、OpenAI等其他大廠沒有的個人化功能，允許用戶選擇Copilot外觀，如動物、水果或其他擬人化造型。</p> <p dir="ltr"> </p> <hr /> <p> </p> </div></div></div>
2025/4/7 09:52作者林妍溱https://www.ithome.com.tw/news/168263
Google發表鎖定資安的AI模型Sec-Gemini v1
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr"><a href="https://security.googleblog.com/2025/04/google-launches-sec-gemini-v1-new.html" target="_blank">Google上周五（4/4）發表</a>針對資安的實驗性AI模型Sec-Gemini v1，該模型建立在Gemini模型之上，同時整合了Google威脅情報、OSV漏洞資料庫，以及Mandiant威脅情報，並免費提供給特定的組織、機構、專家，以及非政府組織以供研究之用，<a href="https://docs.google.com/forms/d/1MBVz-2Zf7u8fEiZlP2_Kw_ZIlu-NQ372dkodFhqcYaQ/viewform?edit_requested=true" target="_blank">並已開放申請</a>。</p> <p dir="ltr">Google表示，有效地支援安全維運工作流程需要最先進的推理能力，以及廣泛的現代資安知識，Sec-Gemini v1藉由結合Gemini的高階功能、接近即時的網路安全知識，以及工具來實現此一目標，該組合可於關鍵網路安全工作流程上展現卓越的性能，包括事件根本原因分析、威脅分析，以及理解安全漏洞所帶來的影響。</p> <p dir="ltr">其中，Gemini為Google所訓練的多模態大型語言模型，類似OpenAI的GPT系列以及Anthropic的Claude系列模型；Google威脅情報（Google Threat Intelligence，GTI）則是整合了Google在全球的安全分析與專業能力；OSV（Open Source Vulnerabilities）是個由Google主導的開源漏洞資料庫與服務；Mandiant則是在2022年被Google以54億美元納入麾下的資安業者。</p> <p dir="ltr">由於Sec-Gemini v1整合了上述的關鍵資料，使得它在用來評估資安專家對威脅情報理解能力的CTI-MCQ（Cyber Threat Intelligence – Multiple Choice Questions）基準測試中明顯超越了OpenAI的多個GPT版本、Anthrop/c的Sonnet-3.5 v2、DeepSeek v3與Mistral AI的Mistral Large等競爭對手。</p> <p dir="ltr">也在分析資安事件根本原因的Cybersecurity Threat Intelligence-Root Cause Mapping（CTI-RCM）基準測試中凌駕上述模型，此一測試評估了大型語言模型理解漏洞描述的細微差別，以識別形成漏洞的根本原因，並依照CWE準確分類。</p> <p dir="ltr">例如Sec-Gemini v1能夠判斷Salt Typhoon是個中國間諜駭客組織，可全面描述Salt Typhoon的特性，並揭露該組織所使用的安全漏洞細節。</p> <p dir="ltr">Google指出，攻擊者只需要成功發現並利用一個資安漏洞，但防禦者卻必須抵抗所有網路威脅，此一不對稱性使得保護系統變得異常艱難、耗時且容易出錯，導入AI的資安工作流程可大幅放大資安人員的效能，有機會扭轉此一劣勢。</p> </div></div></div>
2025/4/7 08:22作者陳曉莉https://www.ithome.com.tw/news/168261
Meta公布MoE架構開發的Llama 4 開源4000億、1090億參數的Maverick
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">回應新崛起的DeepSeek，<a href="https://ai.meta.com/blog/llama-4-multimodal-intelligence/" target="_blank">Meta上周末公布第一個混合專家（mixture of experts，MoE）模型家族Llama 4</a>，並同時開源4000億參數的Maverick及1090億參數的Scout，此外預覽高達2兆參數量的Behemoth。</p> <p dir="ltr">Llama 4是Meta第一個以混合專家（mixture of experts，MoE）架構訓練的模型家族。Llama 4訓練資料涵蓋包含大量文字、圖像與影片，涵括200種語言，總字詞（token）數為30兆，是Llama 3的兩倍以上。</p> <p dir="ltr">今天開源的二個Llama 4模型，Maverick和Scout都有1700億活躍參數，其中Maverick的MoE層使用128個專家及一個共享專家，總參數4000億，1M context windows。Scout則有16個專家，總模型參數1090億，10M context windows。Scout適合單一顆H100 GPU平臺。Maverick可快速部署在一臺H100 DGX主機上，或採分散式推論架構提升效率。</p> <p dir="ltr">二個模型現在已在<a href="https://www.llama.com/" target="_blank">Llama.com</a>及<a href="https://huggingface.co/meta-llama" target="_blank">Hugging Face</a>開放下載。Meta未來幾天內會提供給合作夥伴。</p> <p dir="ltr">基於混合專家架構，Llama 4單一字詞僅啟動一小部份參數，因此在訓練和推論更省運算效能，在固定運算資源下能提供比密集模型更好的品質。同時Meta使用了新技術訓練。像是運用早期融合（early fusion）手法，可在整合模型骨幹上整合大量無標籤的文字和視覺字詞。Meta也改良視覺編碼器，讓視覺編碼器更適應LLM。Meta並開發了一個新技術MetaP，使參數可以在不同的batch size、模型規模、訓練長度中保持良好遷移性。</p> <p dir="ltr">藉由MoE架構平行化最佳化配合動態分配GPU資源，提高訓練彈性，打破傳統分散式架構需要全部模型同時載入的限制，如此一來，相較於前一代架構，訓練效率提升約10倍。</p> <p dir="ltr">後訓練部份包含三階段方法，包括輕量監督微調（lightweight supervised fine-tuning，SFT）、線上強化學習（online reinforcement learning，Online RL）及輕量偏好最佳化（lightweight direct preference optimization，DPO），以提升模型難度的適應能力，同時確保對話語言的品質和智慧平衡。</p> <p dir="ltr">談及結果，4000億參數的Llama 4 Maverick在跨語言、影像與程式碼能力表現優異，在多數任務上（尤其是影像、推理、多語言、長上下文）優於GPT-4o、Gemini 2.0。而在程式與邏輯推理能力上，與DeepSeek V3.1（更大模型）互有高下。而1090億參數的Scout則將支援的context length由Llama 3的128K擴大到10M字詞，其標竿測試結果也超越Gemma 3、Gemini 2.0 Flash-Lite和Mistral 3.1。</p> <p dir="ltr">此外，Meta也公布正在訓練中的教師模型Llama 4 Behemoth。整個Llama 4是以FP8精度進行高效率預訓練，而Llama 4 Behemoth則是利用Llama 4 Behemoth FP8精度及3.2萬GPUs上預訓練，達到390 TFLOPs/GPU，它是今天公布最大的MoE架構多模態模型，每字詞使用288B活躍參數，具16專家模組（Experts），總參數達2兆，是Meta最強、最聰明的模型之一，Llama 4 Maverick正是以Behemoth為教師模型協同蒸餾而成。</p> <p dir="ltr">Behemoth在理工、科學標竿測試如MATH-500和GPQA Diamond分數，超越GPT-4.5、Claude Sonnet 3.7及Gemini 2.0 Pro。</p> <p dir="ltr">Llama 4 Maverick及Scout，除了開放給開發人員，消費者現在也可以透過應用程式WhatsApp、Messenger、Instagram Direct或Meta AI網站感受Llama 4。</p> </div></div></div>
2025/4/7 08:54作者林妍溱https://www.ithome.com.tw/news/168262
Nutanix強化資料庫AI與資安，支援向量資料搜尋與透明加密
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/ndb_2.7-dashboard-main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以超融合基礎架構（HCI）起家的Nutanix，後續延伸、擴充多種產品線，像是統一儲存系統（Unified Storage），可涵蓋區塊儲存、檔案儲存、物件儲存、整合威脅偵測的資料安全防護、整合資料備份還原的資料保護，他們也提供資料庫系統即服務（DBaaS）的解決方案，原本稱為<a href="https://www.ithome.com.tw/review/140690">Nutanix Era</a>，2022年5月後，改名為Nutanix Database Service（NDB），截至今年為止，已發布兩次改版，分別是1月登場的2.7版，以及3月釋出的2.8版。</p> <p><a href="https://s4.itho.me/sites/default/files/images/NDB 2_6-GVZ9KwDX0AAe328.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/NDB%202_6-GVZ9KwDX0AAe328.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/ndb-WITH AND WITHOUT.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ndb-WITH%20AND%20WITHOUT.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/NDB Configuration and Best Practices-ndbsegnet.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/NDB%20Configuration%20and%20Best%20Practices-ndbsegnet.png" style="width: 298px;" /></a></p> <p>2.7版主打三大特色：支援AI工作負載與擴充資料庫功能、強化安全性，以及拓展多雲環境的服務提供。</p> <p>首先，為了響應熱門的AI與機器學習應用需求，NDB 2.7增設PostgreSQL延伸應用套件，支援PostgreSQL用於向量相似度搜尋的外掛套件<a href="https://github.com/pgvector/pgvector">pgvector</a>，對於開發大型語言模型（LLM）、檢索增強生成（RAG）等AI應用的人員而言。pgvector這套軟體工具相當重要，因為它能將PostgreSQL資料庫轉為向量資料庫，能儲存與搜尋向量資料，現在有了pgvector的幫忙，NDB用戶可在此以原生機制組建與執行對話機器人、AI輔助操作、多模態AI，或是AI推薦系統。</p> <p>NDB 2.7也支援PostgreSQL其他外掛套件與功能模組，像是用於資料分割（partition）建立與管理的<a href="https://github.com/pgpartman/pg_partman">pg_partman</a>、資料邏輯持續複製（logical streaming replication）的<a href="https://github.com/2ndQuadrant/pglogical">pglogical</a>、追蹤所有SQL語句規畫與執行統計資訊的<a href="https://www.postgresql.org/docs/current/pgstatstatements.html">pg_stat_statements</a>，可分別提供資料庫分割、邏輯複製，以及效能監控。</p> <p><a href="https://portal.nutanix.com/page/documents/details?targetId=Nutanix-NDB-PostgreSQL-Database-Management-Guide-v2_7:top-postgresql-extensions-c.html"><img alt="" src="https://s4.itho.me/sites/default/files/images/NDB%20Interoperability%20with%20PostgreSQL%20Extensions.png" style="width: 600px;" /></a></p> <p>關於資料的分區儲存（Sharding），企業可經由NDB 2.7針對MongoDB資料庫系統，執行分區叢集（sharded clusters）的建立（provision）與退役（decommission），因應嚴苛的資料寫入需求。</p> <p><a href="https://s4.itho.me/sites/default/files/images/BP-2200-MongoDB-Sharding-NDB_image1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/BP-2200-MongoDB-Sharding-NDB_image1.png" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/BP-2200-MongoDB-Sharding-NDB_image4.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/BP-2200-MongoDB-Sharding-NDB_image4.png" style="width: 298px;" /></a></p> <p>在資料庫環境的支援，NDB 2.7支援新版MongoDB（7.0.15）與PostgreSQL（16.6），可確保用戶能存取資料庫系統新增的功能，以及資安強化機制，而在作業系統的部分，NDB 2.7在PostgreSQL的使用上，能額外支援Rocky Linux 9.4，提供更廣泛的環境部署選擇。而在最新推出的<a href="https://magander.se/nutanix-database-service-ndb-2-8/">NDB 2.8</a>，開始支援MongoDB 8.0與PostgreSQL 17這兩個資料庫系統，以及作業系統RHEL 9.5、Rocky Linux 9.5。</p> <p><a href="https://s4.itho.me/sites/default/files/images/NDB 2_8-Gm4ENN5WEAAouSr.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/NDB%202_8-Gm4ENN5WEAAouSr.jpg" style="width: 600px;" /></a></p> <p>而在<a href="https://magander.se/nutanix-database-service-ndb-2-6/">前次改版（2.6）</a>，NDB支援的資料庫系統類型與版本，以及作業系統版本更是大幅增加，像是EDB Postgres Advanced Server（EPAS）16（RHEL 8.8）、MongoDB 6.0與7.0（RHEL 8.10），以及MySQL 8.0.36（RHEL 8.8/8.10/9.4）、MariaDB 10.6.17（RHEL 8.8/8.10/9.4）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/NDB-2024-09-Support DB and OS.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/NDB-2024-09-Support%20DB%20and%20OS.jpg" style="width: 600px;" /></a></p> <p>在安全性強化方面，NDB 2.7提供兩項特色，一是在MongoDB提供原生的透明資料加密（TDE）功能，也針對PostgreSQL的EDB EPAS與社群版本，支援Thales公司的資料安全平臺CipherTrust，提升靜態資料保護能力；另一是提供自定使用者帳號（Custom User Accounts）的機制，用戶現在可針對MongoDB、PostgreSQL，自行設置資料庫系統與作業系統的使用者名稱，提供更多控制資料庫環境資安態勢的功能。</p> <p>在多雲環境的運用上，NDB的資料庫引擎可執行在公有雲業者AWS設置的Nutanix Cloud Clusters（NC2 on AWS）平臺，<a href="https://www.nutanix.com/blog/nutanix-database-service-is-now-available-on-azure-marketplace">在2024年11月初，Nutanix宣布NDB 2.6.1正式推出</a>，也提到同樣的資料庫引擎能執行在另一家公有雲業者Azure設置的<a href="https://azuremarketplace.microsoft.com/en-us/marketplace/apps/nutanixinc.nc2_azure?tab=Overview">NC2（NC2 on Azure）</a>，企業可將NDB部署到Azure裸機型態的雲端執行個體服務，如此一來，企業能在內部環境建置NDB單一執行個體，搭配另一個執行在NC2 on Azure的高可用性資料庫系統。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-09-NC2-Architecture.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-09-NC2-Architecture.png" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/nc2 on azure.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/nc2%20on%20azure.png" style="width: 298px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong><span style="color:#0000FF;">Nutanix Database Service</span></strong><br /> ●原廠：Nutanix<br /> ●建議售價：廠商未提供<br /> ●最新版本：2.8<br /> ●作業系統需求：<br /> ●支援伺服器虛擬化平臺：Nutanix AHV（AOS 7.0、6.10、6.8.N、6.5）、VMware ESXi（vSphere 8.0、7.0）<br /> ●基本組成元件：在Nutanix叢集之中，執行NDB伺服器虛擬機器（NDB前端服務、NDB後端服務、NDB代理程式，作為控制層）、資料庫伺服器虛擬機器（來源資料庫伺服器、目標資料庫伺服器）<br /> ●支援的資料庫系統類型：Oracle、SQL Server、PostgreSQL、MySQL、MongoDB<br /> ●提供的服務：一鍵建立資料庫系統、副本資料管理、資料庫備份還原、一鍵修補</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/4/5 11:39作者李宗翰https://www.ithome.com.tw/review/168183
蘋果將Apple Intelligence推向歐盟、登上Vision Pro
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr"><a href="https://www.apple.com/newsroom/2025/03/apple-intelligence-features-expand-to-new-languages-and-regions-today/" target="_blank">蘋果宣布Apple Intelligence在歐盟推出</a>，新增歐系、日、韓等8種語言支援，此外Apple Intelligence可首度在Vision Pro上使用。</p> <p dir="ltr">蘋果於3月底釋出iOS 18.4、iPadOS 18.4及macOS Sequoia 15.4，加入法、德、義、西、巴西葡語、日、韓及簡體中文，以及新加坡與印度英文支援。而隨著歐系語言的支援，Apple Intelligence也正式登陸歐盟區，允許iPhone與iPad用戶使用。</p> <p dir="ltr">另外，蘋果宣布Apple Intelligence執行平臺將擴及Vision Pro頭戴裝置，獲得第一批AI功能。包括在影像樂園（Image Playground）編修圖片、以Genmoji製作表情符號、以Writing Tools校閱、改寫或為文章摘錄重點，或是在Writing Tools中叫出ChatGPT從頭撰寫文字等。</p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/0404-Apple-Intelligence-visionOS-2-4-create%20Genmoji.png" style="width: 600px;" /></p> <p dir="ltr">新版iOS、iPadOS與macOS還增加Apple Intelligence新功能，包含可優先顯示急迫或有時間性的通訊內容、輸入描述文字在Mac上建立回憶影片（memory movie）以及在「影像樂園」中加入素描風的繪製功能，可用於繪製學院或高精細度的素描。</p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/0404-apple%20intelligence-Priority%20Notifications.png" style="width: 573px;" /></p> <p dir="ltr">Meta也在上個月<a href="https://www.ithome.com.tw/news/168026" target="_blank">將Meta AI推向41個歐洲國家</a>，包含歐盟及21個海外領土。Meta通訊App包括Facebook、Instagram（IG）、WhatsApp及FB Messenger將整合Meta AI部份功能，包括群組聊天助理、搜尋內容及網際網路等。<span style="font-size:14px;"><span style="color:#696969;">圖片來源／蘋果</span></span></p> </div></div></div>
2025/4/4 14:31作者林妍溱https://www.ithome.com.tw/news/168250
微軟Windows 365 Link準系統開賣了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr"><a href="https://blogs.windows.com/windowsexperience/2025/04/02/maximize-productivity-and-roi-with-windows-365-new-innovations-now-generally-available/" target="_blank">微軟本周三（4/2）宣布</a>，其雲端電腦裝置Windows 365 Link正式開賣了，初期僅支援美國、加拿大、英國、德國、澳洲與日本市場，美國售價為349.99美元。</p> <p dir="ltr">Windows 365 Link是微軟專替Windows 365用戶推出的雲端運算裝置，微軟稱它為首款雲端PC裝置，它的尺寸很小，只有12x12x3公分，重約418公克。它配備3個USB A連結埠，一個USB C連結埠，一個音訊插孔，一個乙太網路連結埠，以及電源連結裝置，內建8GB記憶體，64GB儲存空間，採用英特爾晶片，支援Wi-Fi 6E與藍牙5.3，可連結最多兩臺4K顯示器，亦具備基於Windows的小型作業系統，並無風扇設計。</p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/0404-Windows%20365%20Link-front%2Bback(1).png" style="width: 400px;" /></p> <p dir="ltr">不過，這是微軟專為企業打造的Windows 365準系統，僅支援Windows 365 Enterprise、Windows 365 Frontline及 Windows 365 Business等版本的訂閱用戶，尚未支援Windows 365 Government，也未於一般通路上架。</p> <p dir="ltr">根據微軟的說明，開機後的Windows 365 Link可在幾秒內連至Windows 365，在登錄此一雲端電腦後，即可在微軟雲端存取熟悉的Windows桌面，組織的IT團隊能夠藉由Microsoft Intune同時管理Windows 365 Link及其它PC。Windows 365 Link允沒有本地管理員用戶，也沒有本地資料儲存，亦無本地應用程式，它並不允許使用者於本地裝置上執行或安裝任何軟體，也可設定禁止將該裝置上的資料複製至USB磁碟。</p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/0404-Microsoft%20Intune-Windows%20365%20Link.png" style="width: 600px;" /></p> <p dir="ltr">此外，Windows 365 Link的預設值會在夜間無人使用時自動進行更新，旨在降低組織於添購裝置與管理上的成本。<span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> </div></div></div>
2025/4/4 15:19作者陳曉莉https://www.ithome.com.tw/news/168251
Amazon Project Kuiper、Alphabet子公司都在策畫連網服務挑戰Starlink
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">Amazon的Project Kuiper將於4月初安裝第一批衛星，準備推出衛星連網服務。Alphabet則於近日從Google X射月計畫（Moonshot）獨立出Taara，推出雷射光網路服務。</p> <p dir="ltr"><a href="https://www.aboutamazon.com/news/innovation-at-amazon/project-kuiper-satellite-internet-first-launch" target="_blank">Amazon周三（4/2）宣布</a>，衛星連網系統Project Kuiper計畫將和洛克希德馬丁與波音合資成立的聯合發射聯盟（United Launch Alliance，ULA）合作第一次衛星載送任務，名為Kuiper Atlas 1（KA-01）。ULA的Atlas V運載火箭將自佛羅里達州卡納維爾角太空軍基地升空，將Project Kuiper 27顆衛星送向地面450公里上空的近地軌道，預定4月9日升空，一旦準備就緒，Project Kuiper就可為地表提供高速連網服務。</p> <p dir="ltr">Amazon預計今年稍晚開通商用服務。Project Kuiper第一代衛星連網系統規劃3,200多顆低軌衛星，KA-1是Amazon預定的80多次火箭載送任務的首次。Amazon未來幾年內還會再和ULA公司合作以Atlas V及更大的Vulcan Centaur火箭載送40餘次。其他合作火箭供應商包括Arianespace、Blue Origin和馬斯克的SpaceX。</p> <p dir="ltr">Amazon說其衛星系統和子系統，包括相位陣列天線、處理器、太陽能陣列、推進系統和衛星間光纖連線，都較<a href="https://www.ithome.com.tw/news/159140" target="_blank">2023年10月測試的原型</a>大幅改進。這些衛星外層包覆Kuiper獨有的介質膜塗層，可將反射的太陽光分散而不會干擾地面站的太空人。</p> <p dir="ltr"><a href="https://www.aboutamazon.com/news/innovation-at-amazon/heres-your-first-look-at-project-kuipers-low-cost-customer-terminals" target="_blank">Amazon曾說明</a>Project Kuiper的技術元素。Project Kuiper客戶終端機、衛星和地面閘道器都使用該公司設計的基頻晶片，代號Prometheus。Prometheus在單一封裝內整合5G數據機晶片及微波回傳天線，提供點對點連線。Project Kuiper每顆衛星可處理最高1 Tbps的資料量。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/0404-Project%20Kuiper%E2%80%99s%20low-cost%20customer%20terminals-2.jpg" /></p> <p dir="ltr">圖片來源／Amazon</p> <p dir="ltr">Amazon預計其客戶終端機訂價不到500美元，可為家庭及企業提供最高1Gbps的連線速度，比擬Starlink Mini。</p> <p dir="ltr">Google母公司Alphabet則是在上個月，<a href="https://x.company/projects/taara/" target="_blank">將Google X Moonshot新創計畫分拆出獨立子公司</a><a href="http://x.company/projects/taara/" target="_blank">Taara</a>。Taara靈感源自2021年收攤的高空連網汽球計畫Project Loon，其第一個產品光橋（Lightbridge）原理是以收、發終端建立不可見雷射光束來傳送資料，並以預測演算法確保光的對齊。Taara旨在為光纖網路舖設不易或成本高昂地區，像是密集都會、河流或高山峻嶺提供高速連網服務，連接距離可長達20公里。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/0404-Taara.png" /></p> <p dir="ltr"><img alt="" src="https://storage.googleapis.com/gweb-x-cdn/x/uploads/3fee919274779073e172009a2da7bd8f3ca35302.gif" /></p> <p dir="ltr">圖片來源／Taara</p> <p dir="ltr"><a href="https://x.company/blog/posts/taara-chip/" target="_blank">該團隊3月初宣布的同名晶片Taara</a>，可以將傳輸能力整合於小型設備中，總經理Mahesh Krishnaswamy指出，最高傳輸吞吐量可來到20 gigabit/s。<a href="https://www.ft.com/content/1331c131-7b89-47ab-8dd2-3ce6c6a2307a" target="_blank">金融時報報導</a>，Taara已取得Series X Capital的投資，Alphabet為Taara少數股東（minority stake holder）。</p> <p dir="ltr">Project Kuiper和Taara試圖挑戰馬斯克SpaceX的Starlink服務。截至2025年3月，Starlink的連網服務已在全球130個國家、地區或市場提供。而SpaceX在近地軌道部署的衛星超過7,100顆。SpaceX去年開始推出不需地面基地臺的手機直連衛星的Starlink文字訊息服務，並在12月<a href="https://www.ithome.com.tw/news/166608" target="_blank">於紐西蘭部署第一個涵蓋全境的文字訊息服務</a>。</p> </div></div></div>
2025/4/4 13:58作者林妍溱https://www.ithome.com.tw/news/168249
外傳英特爾與台積電將合資新公司，台積電占兩成股份
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr"><a href="https://www.theinformation.com/articles/intel-tsmc-tentatively-agree-form-chipmaking-joint-venture" target="_blank">The Information本周引述消息來源報導</a>，全球最大晶片製造商台積電（TSMC）已與美國晶片製造商英特爾（Intel）達成初步協議，將成立新公司以共同經營英特爾的晶圓製造業務，其中，台積電將握有兩成股份，大多數股權將落在英特爾及其它半導體公司的手上。</p> <p dir="ltr">根據報導，台積電在此一合資公司中將分享部分晶圓製造技術，協助英特爾提升製造效率，確保其晶片代工業務的穩定運作。</p> <p dir="ltr">台積電協助競爭對手的晶圓製造主要來自於美國總統川普（Donald Trump）的推動，<a href="https://www.whitehouse.gov/articles/2025/03/another-historic-investment-secured-under-president-trump/" target="_blank">川普與台積電執行長魏哲家在今年3月共同宣布</a>，台積電將針對該公司於美國亞利桑那州的半導體製造業務投資1,000億美元，創下美國史上最大的外國直接投資，也讓台積電在美國的投資總額達到1,650億美元。</p> <p dir="ltr">由於台積電為全球高階晶片的主要製造商，市占率高達9成，原本英特爾打算急起直追，<a href="https://www.ithome.com.tw/news/143423" target="_blank">在2021年宣布設立晶圓代工服務（Intel Foundry Services，IFS）事業群</a>，去年更說打算拆分Intel Foundry，讓它成為獨立的子公司。</p> <p dir="ltr">英特爾的IFS業務似乎成效不彰，<a href="https://www.intc.com/news-events/press-releases/detail/1716/intel-reports-third-quarter-2024-financial-results" target="_blank">於2024年第三季時僅替該公司帶進44億美元的營收</a>，<a href="https://investor.tsmc.com/english/encrypt/files/encrypt_file/reports/2024-10/bde3d1cb4c490f895059ce201f88e6b57bcc03b8/FS.pdf" target="_blank">同一時期的台積電營收則為235億美元</a>。</p> <p dir="ltr">此外，英特爾還在去年第三季創下166億美元的虧損紀錄，<a href="https://www.intc.com/news-events/press-releases/detail/1726/intel-reports-fourth-quarter-and-full-year-2024-financial" target="_blank">2024年的年度虧損為188億美元</a>。消息傳出後，台積電周四（4/3）於美國股市的股價下滑了8.48%，以111.69美元作收，英特爾則上漲了2.05%，收在22.43美元。</p> </div></div></div>
2025/4/4 13:12作者陳曉莉https://www.ithome.com.tw/news/168248
【資安日報】4月4日，因應量子破密威脅，臺灣今年將推出PQC遷移指引
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>量子密碼破解威脅是近年來資安界相當重視的資安議題，自去年量子密碼PQC標準正式發布後，臺灣也積極應對這樣的問題，後量子資安產業聯盟（PQC-CIA）召集人李維斌近期透露最新進展。</p> <p>李維斌在上個月舉行的後量子密碼研討會中表示，他們已經打造了「後量子晶片公版平臺」，接下來還會進一步提供產業的遷移指引。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168169"><strong style="font-size: 22px;">檢查URL的網域名稱還是有可能被帶到惡意網站！網釣工具包Morphing Meerkat濫用DNS MX記錄、重開放導向漏洞</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/a-phishing-tale-of-doh-and-dns-mx-abuse-figure-2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/a-phishing-tale-of-doh-and-dns-mx-abuse-figure-2.png" style="width: 300px; float: right;" /></a></p> <p>為了引誘打手從事網路釣魚攻擊活動，能夠仿冒各式知名品牌的網釣工具包不斷推出，並以租用的型式（Phishing-as-a-Service，PhaaS）提供給賣家運用，但近期研究人員看到同時整合DNS郵件交換記錄（MX Record）、DNS-Over-HTTPS（DOH）的新型態網釣套件工具包，使得相關攻擊活動的調查變得更加困難。</p> <p>資安業者Infoblox揭露名為Morphing Meerkat的網釣工具包，駭客最早可能從2020年1月就開始活動，總共仿冒114個品牌來進行相關攻擊。研究人員先是發現有數千封使用該工具包發送的垃圾郵件，但特別的是，有超過半數郵件來源與兩家網際網路服務供應商（ISP）有關，分別是英國業者Iomart、美國業者HostPapa，研究人員認為，這代表相關的攻擊是精心策畫，並透過通用系統來進行。</p> <p>研究人員提及，此網釣工具包較其他的PhaaS平臺來得先進，原因是Morphing Meerkat不只具備發送大量垃圾郵件的能力，還配備能讓繞過資安系統的機制。其中，他們提及該工具包可藉由DoubleClick廣告伺服器的重新導向漏洞，產生網釣連結，從而繞過電子郵件防護系統；再者，駭客也透過已遭感染的WordPress網站，將使用者重新導向網釣內容；此外，攻擊者還利用DNS MX記錄來確認受害者的郵件服務供應商，從而動態偽造登錄網頁。</p> <p><a href="https://www.ithome.com.tw/news/168184"><strong style="font-size: 22px;">惡意軟體Resurge鎖定Ivanti的SSL VPN漏洞而來</strong></a></p> <p>今年1月資安業者Ivanti修補旗下SSL VPN系統Connect Secure重大層級漏洞CVE-2025-0282，後續資安業者Mandiant、日本電腦危機處理暨協調中心（JPCERT/CC）揭露相關攻擊行動，如今美國也公布相關調查結果，指出駭客使用的惡意軟體出現新的變種。</p> <p>3月28日美國網路安全暨基礎設施安全局（CISA）發布惡意軟體攻擊警告，要企業組織對名為Resurge的惡意軟體提高警覺，因為攻擊者滲透受害組織的管道，就是針對尚未修補CVE-2025-0282的Ivanti Connect Secure（ICS）設備下手而得逞。</p> <p>此惡意程式為JPCERT/CC揭露的SpawnChimera變種，Resurge具備SpawnChimera多種能力，其中一種是會讓ICS主機不斷重開機，然而CISA指出，Resurge具備其他功能，而會對受害組織造成更大的威脅。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/recent-github-supply-chain-attack-traced-to-leaked-spotbugs-token/">針對發生在3月份的GitHub供應鏈攻擊事故，研究人員揭露是鎖定Coinbase而來</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/04/over-1500-postgresql-servers.html">逾1500臺PostgreSQL伺服器遭到鎖定，駭客發動無檔案挖礦攻擊</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/04/microsoft-warns-of-tax-themed-email.html">駭客假借稅務為由，透過PDF和QR Code散布惡意軟體</a></strong></p> <p> </p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168229"><strong style="font-size: 22px;">蘋果修補舊版iOS、iPadOS、macOS三個零時差漏洞</strong></a></p> <p>3月31日蘋果發布一系列更新，其中iOS與iPadOS 15.8.4、16.7.11，以及macOS Sonoma 14.7.5、Ventura 13.7.5安全更新相當值得留意，因為該公司修補3個已被積極利用的零時差漏洞。Apple證實這些漏洞已遭用於針對性極高、技術成熟的攻擊行動，目標為特定個人使用者。</p> <p>其中，CVE-2025-24200是與實體存取有關的權限處理問題，允許攻擊者在未經授權的情況下，在裝置鎖定時關閉USB限制模式，該模式原為保護iOS裝置在未解鎖狀態下，不被外部USB配件存取敏感資料。蘋果解釋，此漏洞與授權狀態管理機制不全有關，並已透過改善狀態管理進行修補。</p> <p>另一項修補的漏洞為CVE-2025-24201，存在於WebKit瀏覽器排版引擎，該元件為Safari以及多數第三方App所共用。攻擊者可透過特製的網頁內容，觸發記憶體越界寫入行為，成功後有機會逃脫網頁內容沙箱，進而執行未授權動作。Apple指出，此項更新為對iOS 17.2中先前修補措施的補強，針對的是使用早期版本的裝置。</p> <p>第三個零時差漏洞CVE-2025-24085，則是影響macOS平臺。攻擊者可利用惡意應用程式，在未經使用者知情同意的情況下，存取系統中的敏感資訊，包括行事曆資料。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/ivanti-patches-connect-secure-zero-day-exploited-since-mid-march/">Ivanti修補Connect Secure已遭中國駭客利用的零時差漏洞</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/max-severity-rce-flaw-discovered-in-widely-used-apache-parquet/">Apache基金會修補Parquet危險層級達到10分的重大層級漏洞</a></strong></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168238"><strong style="font-size: 22px;">因應量子破密威脅，臺灣今年將推出PQC遷移指引，預計4月臺灣資安大會發布</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/NSA-PQC-Transition-Timing-September-10-2022X_圖片來源NSA.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/NSA-PQC-Transition-Timing-September-10-2022X_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90NSA.png" style="width: 300px; float: right;" /></a>為了應對量子破密的潛在威脅，去年8月後量子密碼PQC標準（FIPS 203、FIPS 204與FIPS 205）正式發布，成全球資安界矚目的焦點，然而，PQC遷移的問題仍迫在眉睫，以及臺灣如何在此浪潮掌握先機，是我們持續關注的焦點。</p> <p>最近3月一場後量子密碼研討會上，有最新進展揭露，說明美國國家安全局（NSA）公布的6大軟硬體領域更新時間表，同時也揭露國內進度，包括已經打造「後量子晶片公版平臺」，接下來今年4月臺灣資安大會期間，還會公布「臺灣後量子遷移產業指引」。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/168231"><strong>【4月3日】刑事局揭露接連攻擊臺灣的駭客CrazyHunter身分</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168186"><strong>【4月2日】駭客聲稱握有28億筆X用戶詳細資料</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168186"><strong>【4月1日】CrazyHunter勒索攻擊規模擴大，同時對同集團旗下3家公司出手</strong></a></p> </div></div></div>
2025/4/4 12:03作者周峻佑https://www.ithome.com.tw/news/168247
因應量子破密威脅，臺灣今年將推出PQC遷移指引，預計4月臺灣資安大會發布
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了應對量子破密的潛在威脅，去年8月<a href="https://www.ithome.com.tw/news/164456">後量子密碼PQC標準（FIPS 203、FIPS 204與FIPS 205）正式發布</a>，成全球資安界矚目的焦點，然而，PQC遷移的問題仍迫在眉睫，以及臺灣如何在此浪潮掌握先機，是我們持續關注的焦點。</p> <p>最近3月一場後量子密碼研討會上，有最新進展揭露，說明美國國家安全局（NSA）公布的6大軟硬體領域更新時間表，同時也揭露國內進度，包括已經打造「後量子晶片公版平臺」，接下來今年4月臺灣資安大會期間，還會公布「臺灣後量子遷移產業指引」。</p> <h3><strong>PQC遷移時間急迫，資訊產業各個環節都須及早做準備</strong></h3> <p>對於量子運算帶來的Y2Q ( Years to Quantum ) 威脅，也就是量子電腦能力發展到足以破壞現有的公鑰加密系統，這個時間點何時到來，雖然至今仍無法確定，但我們需要提前準備。</p> <p>在此會議中，身為<a href="https://www.ithome.com.tw/news/162922">後量子資安產業聯盟（PQC-CIA）</a>召集人的李維斌表示：為什麼大家都在講PQC遷移，而不是指PQC修補，因為轉換過程複雜、範圍廣，需要很長時間才能完成，並不是Patch就結束的事情。</p> <p>這也意味著，我們不能等到威脅發生才去因應，而是需要及早準備，提前讓整個環境都升級就緒。</p> <p>他提醒，現在很多對於量子電腦的討論，都是多少年後成熟、進入商業化階段，但攻擊者不需等到商用，只要有利可圖、利益大於成本，就會開始使用。</p> <p>對於臺灣產業而言，在今日的量子技術變革下，不只是量子電腦發展需要重視，量子破密威脅的因應發展，是我們的挑戰也是我們的機會。</p> <p>李維斌強調，這不能只靠國家政策來支撐，產業也要自立自強，同時國內也要有環境來發展。因此，去年5月我國數位發展部數位產業署宣布成立PQC-CIA聯盟，期望整合產業、研發單位、學界或政府資源，以加速臺灣PQC資安產業發展，並確保臺灣具備後量子密碼準備能力。</p> <p><a href="https://s4.itho.me/sites/default/files/images/NSA-PQC-Transition-Timing-September-10-2022X_圖片來源NSA.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/NSA-PQC-Transition-Timing-September-10-2022X_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90NSA.png" style="width: 600px;" /></a></p> <p>在PQC遷移與發展上，有哪些新消息值得關注？在本場會議中，所有專家都引用了美國國安局（NSA）提出的CNSA 2.0藍圖，因為當中展現6種資訊領域的導入時程。包括：軟體／韌體簽章，網頁瀏覽器／伺服器與雲端服務、傳統網路設備、作業系統、利基型設備，以及客製化應用程式與舊有設備。</p> <p>這也顯現出，整體環境要升級PQC，是需要非常多面向共同配合，才能徹底發揮效用。</p> <p>簡單來說，在這6項的過渡時程中，從現在到2030年，希望達到第一個里程碑，此時預定完成部署的領域，是軟體／韌體簽章、傳統網路設備，其餘則要求2033年完成，當中又以客製化應用程式與舊有設備，是最難升級轉換的部分。這樣的時程，距今雖然還有5到8年，但已有專家認為這樣的遷移時間並不夠。</p> <p>對於臺灣而言，依據NSA提出的時程，李維斌強調，我們也要在後量子遷移過程掌握商機。例如，臺灣可從軟韌體簽章切入PQC產品場域驗證，進而帶動產業的遷移與發展。</p> <p>具體而言，未來四年（2025年到2028年）的推動策略可循序漸進，逐年設定目標：首先從PQC簽章軟硬體方案的「技術驗證」起步，接續推動電子簽章與IoT應用場景的「應用驗證」，進一步擴展至製造、通訊、醫療、移動裝置與安控等產業的「場域驗證」，再邁向「產品驗證」。希望透過此階段式推進，有望促成臺灣建立成功案例並進軍國際市場。</p> <p>關於最新PQC-CIA聯盟的最新進展，李維斌提到工研院與資策會已有具體作為。首先，工研院已經設計一款後量子公版平臺，目的是希望因應驗證市場需求、協助業者縮短產品開發週期；其次，資策會即將發布我國的PQC遷移指引，協助企業及早因應。</p> <p>在同日另一場演講中，資策會資安所主任蕭榮興強調，美國與歐洲目前皆已公布後量子加密遷移指引，為因應未來資安威脅積極布局，因此，臺灣亦須正視PQC遷移的重要性，有了具體的技術與實務指引，才能促使企業加以重視並實際行動</p> <p>現階段，他們正參考歐美國家的作法，目前評估是以美國指引為主、荷蘭指引為輔，結合兩者內容互補，希望建立臺灣適用的指引，不僅藉此協助政府機關，還要能讓技術供應商與一般企業採用。</p> <p>同時他也預告，臺灣這項PQC遷移指引的發布，將在今年4月中旬舉行的臺灣資安大會揭露。</p> <p><a href="https://s4.itho.me/sites/default/files/images/PXL_20240905_035254674.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20240905_035254674.jpg" style="width: 600px;" /></a></p> <p><span style="color: rgb(105, 105, 105);"><strong>關於工研院設計的PQC晶片與應用的公版平臺，</strong></span><strong style="color: rgb(105, 105, 105);">我們</strong><span style="color: rgb(105, 105, 105);"><strong>在2024年9月國際半導體展上的SECPAAS資安專區，曾看到實際展示，至於接下來的重點將是PQC遷移指引，資策會預計將於今年4月中旬舉行的臺灣資安大會發表。（攝影／羅正漢）</strong></span></p> </div></div></div>
2025/4/3 20:37作者羅正漢https://www.ithome.com.tw/news/168238
傳Google Gemini部門高層異動 NotebookLM主管上位
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr"><a href="https://www.semafor.com/article/04/02/2025/google-gemini-shakes-up-ai-leadership-sissie-hsiao-steps-down-replaced-by-josh-woodward" target="_blank">科技媒體Semafor報導</a>，Google Gemini部門人事異動，長年掌門人Sissie Hsiao將下臺，由帶領開發NotebookLM的主管取代。</p> <p dir="ltr">報導指出，Sissie Hsiao將立刻下臺，原職缺由Google Labs主管Josh Woodward遞補。Google Labs開發產品包括大受歡迎的NotebookLM。</p> <p dir="ltr">Sissie Hsiao是Google任職19年的老將，長年率領Google Assistant及AI聊天機器人（原名Bard的）Gemini開發。在OpenAI崛起後，2023年她進一步整合Google Assistant和Bard，並使Bard/Gemini成為策略重心。<a href="https://www.ithome.com.tw/news/165589" target="_blank">不過這個部門在2024年被併入DeepMind</a>。本月<a href="https://www.ithome.com.tw/news/167889" target="_blank">Google宣布Google Assistant將走入歷史</a>，未來由Gemini取而代之。</p> <p dir="ltr">Sissie Hsiao仍將留在Google，會在短暫休息後轉任他職。Woodward則會在接管Gemini部門同時持續掌管Google Labs。Google DeepMind執行長Demis Hassabis指出，這項人事可為「實現Gemini App下一革命精準聚焦」。</p> <p dir="ltr">所有Google主管皆未對此消息評論。</p> <p dir="ltr">Semafor分析，這意謂Google AI發展重點，將從底層模型轉向以模型為中心的應用服務。Google開源的Transformer可說是AI模型先驅，並為當今多元AI應用提供基礎架構；但如今反而是OpenAI以其生成式AI聊天機器人成為產業領導者，OpenAI ChatGPT及GPT模型正是以Transformer為基礎。</p> <p dir="ltr">Notebook LM是Google頗具特色的應用，它能快速摘錄文章重點，回答用戶關於文章的問題或激發新想法。<a href="https://www.ithome.com.tw/news/164978" target="_blank">Notebook LM還推出Audio Overview</a>，將文章以AI變成podcast的兩人對談內容。</p> <p dir="ltr">Google是另一個傳出AI高層異動的大廠。<a href="https://www.ithome.com.tw/news/168040" target="_blank">三月底彭博報導</a>，蘋果執行長庫克（Tim Cook）近日撤換開發Siri的AI部門主管John Giannandrea，調派Vision Pro主管Mike Rockwell接管，據稱原因是，蘋果iPhone上的Siri現代化進度落後，無法隨同去年的iPhone 16甚至今年的iPhone 16e出貨。</p> </div></div></div>
2025/4/3 19:16作者林妍溱https://www.ithome.com.tw/news/168237
Wikimedia去年的多媒體內容頻寬用量大幅成長50%，主要來自AI機器人的資料爬蟲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr"><a href="https://diff.wikimedia.org/2025/04/01/how-crawlers-impact-the-operations-of-the-wikimedia-projects/" target="_blank">維基媒體基金會（Wikimedia Foundation）周二（4/1）表示</a>，自2024年以來，外界對於由志工建立的維基媒體社群的內容需求大幅攀升，特別是維基共享資源（Wikimedia Commons）上所存放的1.44億個圖像、影片或其它檔案，下載相關多媒體內容的頻寬成長了50%，其增長主要來自於AI模型的爬蟲機器人，因此該基金會訂定了年度計畫，預計減少20%的爬蟲請求，以及降低30%的爬蟲資料傳輸流量，以節省資源及頻寬，供真正需要服務的開發者使用。</p> <p dir="ltr">該基金會指出，維基媒體的各個專案一直是全球最大的開放知識集合，不管是人類搜尋或是商用產品的存取都仰賴它們，其中，內容一直是搜尋引擎結果的關鍵組成部分，同時也會將使用者引導至維基媒體的網頁，然而，AI的興起使其動態產生了變化，他們觀察到請求數量明顯增加，所增加的流量中大多數是來自於替大型語言模型（LLM）或其它案例蒐集資料的爬蟲機器人，而這些流量大部分並沒有註明所取得的資料來源，同時還對維基媒體的底層基礎設施造成了大量的負擔。</p> <p dir="ltr">根據維基媒體基金會的統計，自2024年1月以來，用於下載多媒體內容的頻寬增加了50%，此一增長並非來自人類，主要來自自動化程式，這些爬蟲程式抓取Wikimedia Commons影像目錄中的公開許可圖像，以將圖像提供給AI模型。該平臺的基礎設施可承受高關注事件發生時，人類於短時間相繼造訪所形成的流量高峰，然而，若花費大量的時間與資源來回應非人為的流量時，該平臺容納異常事件的空間就會縮小，也衍生出愈來愈大的風險與成本。</p> <p dir="ltr">維基媒體基金會是藉由全球的資料中心網路替使用者提供內容，當一篇文章被多次請求時，他們會在離使用者最近的資料中心記住或快取它們，倘若某篇文章很久未被請求，那麼則會自核心資料中心供應，意味著此一請求必須行經從靠近使用者的資料中心到核心資料中心的所有路徑，再將其儲存在區域資料中心。</p> <p dir="ltr">人類讀者與機器人的差別在於，人類通常會造訪特定或相似的主題，但爬蟲機器人通常是批量閱讀大量的頁面，包括那些很少被存取的冷門頁面，意謂著許多請求會被轉至核心資料中心，消耗更多的資源。</p> <p dir="ltr">在維基媒體進行系統遷移時，發現機器人瀏覽的網頁數量僅占全體的35%，但造訪其核心資料中心的流量卻高達65%。</p> <p dir="ltr">維基媒體基金會強調，他們的內容是免費的，但基礎設施不是，新的財政年度將著重於負責任地使用基礎設施，將工程資源優先用來該基金會的各種專案、貢獻者，以及人類對知識的存取，準備減少20%由機器人產生的流量，降低30%的爬蟲機器人使用頻寬，估計到今年第4季時，將有50%的自動化流量可歸因於已知的開發人員或應用程式，提高基礎設施的可持續性並防止濫用。</p> </div></div></div>
2025/4/3 16:21作者陳曉莉https://www.ithome.com.tw/news/168235
微軟Copilot+ PC AI功能擴至AMD、Intel平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr"><a href="https://blogs.windows.com/windowsexperience/2025/03/31/expanding-copilot-pc-experiences-across-amd-intel-and-snapdragon-powered-devices/" target="_blank">微軟周三（4/2）公布Copilot+ PC專屬的AI功能到搭載AMD及Intel CPU的機器</a>，將在三、四月透過Windows 11功能更新發布給消費用戶。</p> <p dir="ltr">AMD Ryzen AI 300系列、Intel Ultra 200V將可和Qualcomm Snapdragon X系列一樣獲得AI功能。第一波功能包括即時字幕、Cocreator、Restyle影像和影像建立（Restyle Image、Image Creator）。即時字幕（Live Captions）可即時翻譯視訊會議、podcast及影片回放內容。AMD及Intel-based 用戶現在已可使用本功能，將非英文內容翻成英文。</p> <p dir="ltr">其次是小畫家中的Cocreator，允許用戶在小畫家中畫圖，再以文字提示下指示美化、改善，或創作個人作品。第三項功能是相片App中的Restyle影像及影像建立工具。Restyle影像允許用戶把照片加入藝術風格，像是油畫、素描或現代畫風格。影像建立工具可讓用戶下達詳細指示來生成圖片，可用於個人創作、行銷素材或故事插畫。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/0403-copilot%2B%20pc-Cocreator-windows%2011%20Updated.jpeg" style="width: 600px;" /></p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/0403-copilot%2B%20pc-Restyle%20Image%20and%20Image%20Creator%20in%20Photos.png" style="width: 600px;" /></p> <p dir="ltr"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p dir="ltr">微軟同時宣布二項Copilot+ PC的新功能，包括即時字幕的簡體中文翻譯，以及升級版語音存取。即時字幕之前只提供英文版，現在擴大到簡體中文版，使得即時字幕可提供40多種語言翻成英文、27種語言翻成簡中字幕。語音存取則為允許用戶以描述性結構與不同語言交雜與Copilot對話。這次更新補足了之前Copilot學習複雜步驟、指令和句型的欠缺的能力，也是Copilot+ PC上第一個使用NPU的語音存取版本。</p> <p dir="ltr">這二項功能會先提供給Qualcomm Snapdragon X平臺的Copilot+ PC，但是AMD及Intel平臺隨後跟上。</p> <p dir="ltr">上述更新將透過三月份Windows非安全預覽更新部署給Copilot+ PC用戶，四月起微軟會透過控管的功能部署（controlled feature rollout，CFR）把這些功能提供給消費者。</p> </div></div></div>
2025/4/3 16:41作者林妍溱https://www.ithome.com.tw/news/168236
Apple修補舊版iOS、iPadOS、macOS中三個零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Apple針對尚在支援範圍內的舊版作業系統，包括iOS與iPadOS <a href="https://support.apple.com/en-asia/122345">15.8.4</a>、<a href="https://support.apple.com/en-asia/122346">16.7.11</a>，以及macOS <a href="https://support.apple.com/en-asia/122374">Sonoma 14.7.5</a>、<a href="https://support.apple.com/en-asia/122375">Ventura 13.7.5</a>等發布安全更新，修補三個已被積極利用的零時差漏洞。Apple證實這些漏洞已遭用於針對性極高、技術成熟的攻擊行動，目標為特定個人使用者。</p> <p>其中，CVE-2025-24200是一個與實體存取有關的權限處理問題，允許攻擊者在未經授權的情況下，在裝置鎖定時關閉USB限制模式，該模式原為保護iOS裝置在未解鎖狀態下，不被外部USB配件存取敏感資料。Apple解釋，此漏洞與授權狀態管理機制不全有關，並已透過改善狀態管理進行修補。</p> <p>另一項修補的漏洞為CVE-2025-24201，存在於Apple的WebKit網頁引擎中，該元件為Safari以及多數第三方App所共用。攻擊者可透過特製的網頁內容，觸發記憶體越界寫入行為，成功後有機會逃脫網頁內容沙箱，進而執行未授權動作。Apple指出，此項更新為對iOS 17.2中先前修補措施的補強，針對的是使用早期版本的裝置。</p> <p>Apple修補的第三個零時差漏洞CVE-2025-24085，則是影響macOS平臺。攻擊者可利用惡意應用程式，在未經使用者知情同意的情況下，存取系統中的敏感資訊，包括行事曆資料。此問題同樣已被Apple標記為遭積極利用，這次一併對macOS Sonoma、Ventura進行修補。</p> <p>這波更新顯示，舊版作業系統在針對性攻擊中仍存在高度風險，容易成為攻擊者鎖定的目標，Apple建議所有使用受影響系統的使用者盡快更新，開發者與系統管理人員可透過Apple安全更新頁面查閱完整的修補清單與CVE編號，評估其在產品開發與企業環境中的風險。</p> </div></div></div>
2025/4/3 14:27作者李建興https://www.ithome.com.tw/news/168229
Raspberry Pi公布上市後首次年度財報
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">於去年6月<a href="https://www.ithome.com.tw/news/163412" target="_blank">以RPI為代號登上</a>英國倫敦證券交易所（LSE）的單板電腦開發商Raspberry Pi，<a href="https://polaris.brighterir.com/public/raspberry_pi/news/rns/story/r78o0zw" target="_blank">周三（4/2）發表</a>了截至去年12月底的2024年年度財務報告，指出該公司在去年創下2.6億美元的營收，下滑2%，稅前利潤為1,630萬美元，下滑了67%。Raspberry Pi解釋，營收與獲利的下滑主要來自於調整庫存。當天該公司的股價上漲了1.53%，以478便士（Penny，1/100英鎊）作收。</p> <p dir="ltr">在2009年創立的Raspberry Pi原本是家基金會，主要開發便宜的樹莓派單板電腦以推動計算機科學的研究，沒想到原本鎖定學生族群的單板電腦引來了全球開發人員及自造者的搶購，於2012年成立了商業實體Raspberry Pi （Trading） Ltd，2021年將商業實體更名為Raspberry Pi Ltd，之後還成立了新的控股公司Raspberry Pi Holdings，並以控股公司登上倫敦股市，Raspberry Pi基金會現為該控股公司的最大股東，握有49.08%的股份。</p> <p dir="ltr">Raspberry Pi去年總計發布了22款新產品，授權117家經銷商負責銷售，銷售量達700萬個，其中，於2023年10月上市的<a href="https://www.ithome.com.tw/news/159043" target="_blank">Raspberry Pi 5</a>就占了190萬個。</p> <p dir="ltr">該公司也公布在現有的員工中，有48%為工程師，高於2023年的44%。</p> <p dir="ltr">至於對未來的展望，Raspberry Pi說，隨著通路庫存已正常化，估計今年的需求將穩定成長，就算整體經濟與地緣政治持續存在不確定性，但該公司依舊處於強勢地位，相信毛利也會成長，並已獲得足夠的記憶體來滿足今年第四季的需求。</p> </div></div></div>
2025/4/3 14:50作者陳曉莉https://www.ithome.com.tw/news/168234
【資安日報】4月3日，刑事局揭露接連攻擊臺灣的駭客CrazyHunter身分
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過往捉拿犯案的勒索軟體駭客組織，我們多半聽聞歐美國家偵辦、主導這類執法行動的消息，但如今臺灣也針對這類駭客的調查有新的突破，找出攻擊者的真實身分。</p> <p>刑事警察局宣布找到接連攻擊臺灣醫院、上市櫃公司的駭客CrazyHunter真實身分，掌握明確的犯罪事證，地檢署也對這名駭客發布通輯。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168224"><strong style="font-size: 22px;">接連攻擊臺灣醫院企業的CrazyHunter現形，主嫌身分為20歲中國籍羅姓駭客</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/CrazyHunter.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/CrazyHunter.png" style="width: 300px; float: right;" /></a></p> <p>臺灣這兩個月接連發生遭CrazyHunter勒索軟體攻擊的事件，從2月馬偕醫院、3月彰基醫院受害以來，接續又有國內多家上市櫃公司遇害，由於這些攻擊專門鎖定臺灣攻擊，情況相當嚴峻。4月2日刑事警察局宣布他們有了新的突破，首次揭露了勒索軟體攻擊的幕後真兇。</p> <p>刑事警察局科技犯罪防制中心主任林建隆在記者會上表示，自2月6日馬偕紀念醫院遭攻擊並報案後，他們聯合刑警大隊科技偵查隊成立專案小組偵辦，如今調查出犯嫌是一名20歲的中國浙江籍羅姓駭客。林建隆強調，地檢署現已發布通緝，顯示偵查結果已掌握明確的犯罪事證。此外，這次能夠發布通緝的另一大關鍵，就是成功追查出嫌犯的真實年籍資料。</p> <p>由於攻擊者位於境外，後續警方將依據《海峽兩岸共同打擊犯罪及司法互助協議》，尋求中國的協助追查。只是，能否真的跨國逮捕歸案需要運氣，但不可否認的是，相比過去勒索軟體犯罪的偵辦，總是由歐美國家主導，臺灣警方能以專業技術更清楚辨識出幕後攻擊的真實身分，可堪稱是全球勒索軟體防護上的一大突破。</p> <p><a href="https://www.ithome.com.tw/news/168179"><strong style="font-size: 22px;">WordPress外掛程式資料夾成網路攻擊溫床！網站被植入惡意程式及垃圾內容</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/webshell.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/webshell.png" style="width: 300px; float: right;" /></a></p> <p>資安業者Sucuri於2月中旬揭露新型態的WordPress網站攻擊行動，駭客鎖定Must-Use Plugins（mu-plugins）外掛程式資料夾而來，藉此在網站植入後門程式，以便遠端執行惡意程式碼，如今相關攻擊規模再度擴大，駭客濫用上述外掛程式來埋入更多惡意軟體，並進一步對網站使用者發動攻擊。</p> <p>研究人員發現，駭客濫用部署這類外掛程式的資料夾wp-content/mu-plugins/，置入惡意程式碼，他們一共看到3種型態的攻擊行動。</p> <p>其中一種是假借提供更新的名義，將網站使用者重新導向外部網站的惡意軟體攻擊。第2種則是在網站植入Web Shell，使得攻擊者能夠執行任意程式碼，從而近乎完全控制整個網站。最後一種是注入垃圾內容的工具，駭客利用指令碼在網站裡注入垃圾內容，從而用來提升搜尋引擎最佳化（SEO）排名，或是從事詐欺行為。</p> <p><a href="https://www.ithome.com.tw/news/168221"><strong style="font-size: 22px;">NPM老套件久未維護成攻擊破口，淪為資訊竊取惡意工具</strong></a></p> <p>DevOps廠商Sonatype揭露一系列長年存在於NPM儲存庫中的加密貨幣相關套件，其最新版本被惡意竄改，內含用以竊取環境變數等敏感資訊的混淆腳本。受影響的套件部分存在時間已超過9年，由於這些舊有開源專案未積極維護，便成為攻擊者鎖定的攻擊入口。</p> <p>Sonatype資安研究人員分析，涉及的套件涵蓋區塊鏈SDK、使用者介面函式庫、開發工具組態與型別定義等，常見於加密貨幣與Web3應用開發的模組。其中country-currency-map套件的下載量更累積達近29萬次，近期上架的2.1.8版本即為被植入惡意程式碼的版本。該套件5年來未曾更新，其GitHub原始碼儲存庫也無異動紀錄，卻在近日於NPM上出現新版，說明攻擊並未透過原始碼貢獻流程，而是直接操控NPM發布權限。</p> <p>值得注意的是，本次事件涉及多個維護者不同、用途不一的套件，卻在相近時間內陸續出現異常版本，研究人員推測可能與NPM帳號遭重用密碼攻擊，或網域過期遭他人接管有關。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/shelby-malware-abuses-github-for-control-and-data-theft/">惡意軟體Shelby鎖定中東而來，透過GitHub接收命令、外傳竊得資料</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/koiloader-reloaded-new-variant-uses-lnk-abuse-script-chains-and-powershell-to-deliver-stealer-payload/">惡意軟體載入工具KoiLoader透過LNK檔案散布，藉由PowerShell傳遞竊資軟體</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/microsoft-teams-vishing-deploy-malware-via-teamviewer/">駭客組織Storm-1811利用微軟Teams訊息及語音網釣發動攻擊，藉由TeamViewer部署惡意軟體</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.darkreading.com/cyberattacks-data-breaches/irans-mois-linked-apt34-spies-allies-iraq-yemen">伊朗駭客MuddyWater鎖定盟國伊拉克、葉門從事網路間諜活動</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168218"><strong style="font-size: 22px;">Canon印表機存在重大層級漏洞，攻擊者有機會用以執行任意程式碼</strong></a></p> <p>3月28日Canon發布安全公告，警告多款多功能事務機及雷射印表機驅動程式存在重大風險漏洞，可能讓攻擊者執行任意程式碼。</p> <p>本波安全更新修補的漏洞CVE-2025-1268為一EMF Recode處理過程中的越界漏洞。EMF Recode是微軟在Windows 11 加入的圖形渲染與性能優化技術，特別是在EMF（Enhanced Metafile）格式的處理上。這項漏洞可能造成用戶無法列印，而如果為惡意應用程式存取了列印功能，可能允許攻擊者執行任意程式碼。</p> <p>CVE-2025-1268 CVSS風險值達9.4，屬重大風險。受CVE-2025-1268漏洞影響的Canon驅動程式包括V3.12版以前的PCL6、PS、UFR II LIPS4及LIPSLX，適用機器涵括數款大型、小型多功能事務機及雷射印表機。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/vyos-and-debian-systems-vulnerable-to-man-in-the-middle-attacks-cve-2025-30095/">網路作業系統VyOS存在中間人攻擊漏洞，以Debain為基礎的作業系統也可能曝險</a></strong></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168168"><strong style="font-size: 22px;">Google推動安全機制前移，Android程式碼撰寫階段即啟動政策違規提醒</strong></a></p> <p>Google針對Android與Google Play生態系統宣布多項強化措施，涵蓋開發工具、API更新與政策支援，目標是協助開發者有效建構安全、可信任的應用程式環境，同時防堵詐騙與惡意行為。Google藉由更新平臺安全機制，逐步推進安全設計前移，並簡化政策法遵的落實流程。</p> <p>該公司在Play Console中擴充預先檢查功能，新增對隱私權政策連結與登入憑證要求的檢查項目，接下來一年將持續擴大適用範圍，要讓開發者在提交應用程式之前就先發現潛在問題。此外，Android Studio也開始導入與政策法遵相關的即時通知機制，當開發者在編寫程式碼階段違反特定規定時，系統將即時提醒，讓修正作業能前移至更早期的開發階段。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/168186"><strong>【4月2日】駭客聲稱握有28億筆X用戶詳細資料</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168186"><strong>【4月1日】CrazyHunter勒索攻擊規模擴大，同時對同集團旗下3家公司出手</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168171"><strong>【3月31日】安卓惡意軟體PJobRAT鎖定臺灣使用者而來</strong></a></p> <p> </p> </div></div></div>
2025/4/3 12:00作者周峻佑https://www.ithome.com.tw/news/168231