iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 33篇
近 24 小時: 33篇
近 7 天: 130篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/9
最近更新: 11/9 21:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 129 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象5 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
彭博社1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Google影片生成Veo 2推向付費版Gemini Whisk圖生影片服務上線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/gemini/video-generation/" target="_blank">Google周三（4/16）宣布</a>影片生成模型Veo 2提供給Gemini Advanced，以圖片生成8秒影片的Whisk Animate服務也上線。Google One AI Premium方案已可使用兩種服務。</p> <p>Veo是Google對OpenAI Sora的回應．可根據用戶輸入的文字提示，生成最長達2分鐘、最高4K（4096 x 2160）解析度畫質的影片。這模型能理解真實世界的物理運作及人類動作，生成流暢的角色運動、逼真場景及更精細的細節表現。</p> <p><a href="https://www.ithome.com.tw/news/167538" target="_blank">2月底Veo 2正式上線</a>，費用為每秒0.5美元。現在起幾周內Veo 2將部署給全球Gemini Advanced，提供Web及手機版，並支援上百種語言。<a href="https://techcrunch.com/2025/04/15/googles-veo-2-video-generator-comes-to-gemini/" target="_blank">Techcrunch報導</a>，目前本模型還未提供給Workspace Business和Edu方案用戶。</p> <p>欲使用這個模型，可在Gemini下拉式選單中選擇Veo 2，輸入文字提示，就能生成8秒720p、16:9橫式格式的MP4影片。Google說，Veo 2每月設有使用次數限制，用戶到了上限會接到通知。這個限制似乎因人而異，<a href="https://www.reddit.com/r/Bard/comments/1k056jg/gemini_app_veo_2_generate_limit_is_roughly_30/?rdt=41571" target="_blank">Reddit用戶估計</a>一個月30次左右，有人1天可用6-8次，有人5次，也有人3次就到頂了。</p> <p>其次，Google Labs去年12月<a href="https://www.ithome.com.tw/news/166542" target="_blank">發表Whisk功能實驗版</a>，讓用戶可上傳圖片或輸入文字提示生成影片檔，現在Google正式推出Whisk Animate，將用戶上傳的圖片以Veo 2製作成8秒影片。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0417-%E6%96%87%EF%BC%8F%E5%9C%96-%E5%BD%B1%E7%89%87%E7%94%9F%E6%88%90-Whisk%20Animate.png" style="width: 600px;" /></p> <p>Google One AI Premium方案（方案內容為Gemini Advanced及2TB儲存空間）訂閱用戶現在已可以使用Veo2模型及Whisk Animate服務。視Whisk在全球各國部署進度而定，訂閱用戶可先在Labs.google/whisk網站試用Whisk Animate服務，臺灣目前還沒有。</p> </div></div></div>
2025/4/17 09:26作者林妍溱https://www.ithome.com.tw/news/168452
蘋果修補已被用於實際攻擊iPhone的CoreAudio、RPAC零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>4月16日蘋果發布<a href="https://support.apple.com/zh-tw/122282">iOS 18.4.1、iPadOS 18.4.1</a>、<a href="https://support.apple.com/zh-tw/122400">macOS Sequoia 15.4.1</a>、<a href="https://support.apple.com/zh-tw/122414">tvOS 18.4.1</a>、<a href="https://support.apple.com/zh-tw/122402">visionOS 2.4.1</a>，修補兩項零時差漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-31200">CVE-2025-31200</a>、<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-31201">CVE-2025-31201</a>，值得留意的是，蘋果表明這些弱點已被用於發動極度複雜的攻擊行動，鎖定特定人士的iPhone下手。</p> <p>根據CVSS風險評分，較為嚴重的是評為高風險的CVE-2025-31200，此漏洞存在於CoreAudio元件，一旦處理含有惡意多媒體檔案的音訊串流，就有可能導致程式碼執行，CVSS風險評為7.5。</p> <p>另一項漏洞CVE-2025-31201，則是存在於RPAC元件，具備任意讀取及寫入權限的攻擊者有機會繞過Pointer Authentication驗證機制，風險值為6.8。</p> </div></div></div>
2025/4/17 09:46作者周峻佑https://www.ithome.com.tw/news/168453
【臺灣資安大會直擊】趨勢科技：企業可以LLM應用架構設計安全邊界檢視風險，以LEARN方法論強化LLM應用安全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>生成式AI帶動大語言模型應用，然而企業使用大語言模型(LLM)，不論是自行訓練或是微調，可能產生資安風險，趨勢科技架構師蔡凱翔建議，可從大型語言模型應用程式的發展生命周期，利用方法論去檢視開發階段中的安全邊界，降低相關的資安風險。</p> <p>「大語言模型的開發生命周期，就是一種機器學習和DevOps的綜合體」，蔡凱翔說，趨勢科技針對大語言模型的資安風險發布報告，建立一套檢視LLM安全的方法論，他在今年臺灣資安大會上對外分享如何實作大語言模型的資安實務。</p> <p>蔡凱翔首先指出，大型語言模型應用程式的開發生命周期可以分為，「資料工程」、「預訓練」、「基礎模型選擇」、「領域適配」、「評估」、「應用開發與整合」、「部署與監控」，不同的開發階段，需要選擇不同的工具或方案開發模型。</p> <p>以「資料工程」階段為例，通常涵蓋資料擷取、資料前處理、資料儲存及管理，不論企業選擇從無到有開發LLM模型，以資料進行預訓練，但是自行開發投入的成本相當昂貴，因此多數企業會選擇開源LLM模型作為基礎模型，不論自行開發模型或使用開源模型，在後續「評估」或是「部署與監控」階段，如果模型開發不如預期或是部署後使用者的回饋反應不佳，都可能重新回到「資料工程」。</p> <p>至於「預訓練」階段，企業需要選擇分詞器(Tokenization)，建立檢查點(Checkpointing)，以及在預訓練過程中，產生不同訓練版本模型的版本控制(Versioning models)；「基礎模型選擇」階段，企業根據自己的需求，選擇使用開源模型或專用模型；「領域適配」階段，企業運用提示工程、RAG或是微調等技術，讓模型適用於特定的任務，以獲得更好的表現。</p> <p>「評估」階段則使用工具或是以人工監方式，檢驗大語言模型的效能、可靠或安全性；「應用開發與整合」階段為LLM應用開發框架，依需求選擇不同的LLM應用開發框架，例如LangChain、Python的開源框架Haystack、LlamaIndex等，或是MCP協定；「部署與監控」階段為部署和監控的方式，與開發應用程式相同，包括部署的模式、部署的策略、可視工具等。</p> <p>蔡凱翔說，企業依照LLM開發生命周期各個階段進行開發，對應涉及到LLM應用架構，這個架構內包含不同的區塊，如DevSecOps區塊、模型訓練區塊、資料來源區塊、資料儲存區塊，還有LLM應用區塊，其中因為AI Agent可能拉出LLM Agent子區塊，「不同區塊的安全邊界當發生信任程度(Trustworthy)的變化，這些邊界代表風險發生的地方」。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202025-04-16%20%E4%B8%8B%E5%8D%888_52_34.jpeg" style="width: 600px; height: 328px;" /></p> <p>他表示，一般而言，資安會發生在信任程度發生變化的時候，例如系統外面的使用者發送的請求，或是使用第三方的套件，這些都是由外到內的過程中，信任程度發生變化，「從LLM應用架構來看，哪些部分會帶來信任程度的改變，就是需要留意是否發生風險的地方」。</p> <p><span style="color:#B22222;"><strong>LLM的10類風險</strong></span></p> <p>這些安全邊界可能出現的安全風險可分為10類，包括「提示注入風險」、「輸出安全風險」、「訓練風險」、「法遵及監管風險」、「代理及控制風險」、「資料曝露風險」、「幻覺風險」、「供應鏈風險」、「資源及可用性風險」、「模型安全風險」。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202025-04-16%20%E4%B8%8B%E5%8D%888_49_36.jpeg" style="width: 600px; height: 347px;" /></p> <p>蔡凱翔以提示注入風險為例，讓AI去做原本設計用途以外的事情，提示注入風險可以分為強制提示、反向心理學、誤導三種攻擊手法，還有直接、間接兩種傳輸方式。例如在不抵觸設計者的安全措施下，利用迂回的方式，讓AI透露炸彈製作的過程，像是請AI撰寫戰爭劇本為理由，要求AI具細糜遺說明演員如何在倉庫中製作炸彈的場景，將惡意的意圖用正常文本作包裝，可能讓AI透露原本不該揭露的資訊。</p> <p>另一種手法是誤導提示，稱為Grandma Prompt(阿嬤提示)，當AI具有類人類的特性，攻擊者可以懷念故去的阿嬤每天說床邊故事為理由，這些床邊故事是關於如何製作槍支，要求AI模仿阿嬤說一個這樣的床邊故事。</p> <p>Grandma Prompt的另一個惡意手法案例是，許多線上服務中常見會使用CAPTCHA，顯示一個圖片，該圖片內容為扭取或是用色彩掩蓋的一串英文字母或數字，藉此來檢驗使用者是否為真的人類，而不是機器人，一般而言，可辨識視覺的AI通常基於安全設計無法回答CAPTCHA驗證圖片中的文字或數字串，攻擊者利用Grandma Prompt手法，以已故阿嬤為情感訴求，將CAPTCHA的驗證圖片剪貼製作為一張阿嬤留下的紀念照片，誘導AI說出CAPTCHA隱藏的文字或數字串。</p> <p>LLM的10類風險中，資料曝露風險可能是另一個企業關心的風險。</p> <p>蔡凱翔表示，通常企業資料被LLM曝露來自三種原因，一是模型訓練資料中含有企業的機敏資料，第二是在RAG的提示資料中使用企業的機敏資料，第三是使用者輸入的資料中含有機敏資料。韓國就曾有新創業者開發AI聊天機器人，因訓練使用韓國知名聊天軟體Kakao Talk約10億條用戶真實對話作訓練，使用者與AI聊天機器人互動時，意外揭露姓名、銀行帳戶等敏感資料，因違反韓國個資法被罰1億韓元(約270萬元台幣)。</p> <p>幻覺為另一個風險，AI產生錯誤虛構的回應資料，這類風險的發生通常是訓練資料裡沒有使用者需要的答案，因此AI綜合參考多個資料來源，自行產生虛構的答案，假設工程師要求AI推薦好用的開發工具套件，AI回覆一個不存在的虛構工具套件，惡意人士製作同名的惡意程式，就可能誘騙不知情的工程師下載惡意程式。</p> <p><span style="color:#B22222;"><strong>結合安全邊界及風險加強LLM應用安全</strong></span></p> <p>綜合LLM的風險及前面提到的LLM應用架構安全邊界，蔡凱翔表示，企業可以根據檢視表檢視在哪些安全邊界應該注意可能產生的風險有哪些。趨勢科技發布的大語言模型的安全白皮書，讓企業可以查表的方式，對照安全邊界及風險。</p> <p>參加應用架構中的安全邊界和可能產生的風險類別：</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202025-04-16%20%E4%B8%8B%E5%8D%888_43_08.jpeg" style="width: 600px; height: 308px;" /></p> <p>趨勢也提出LEARN(Layer,Evaluate,Act,Reinforce,Nurture)的方法論，首先是對LLM應用的架構進行分層(Layer)辨識安全邊界，接下來評估(Evaluate)不同的安全風險，排定高低順序，再採取行動(Act)，在邊界採取緩解風險的措施，持續強化(Reinforce)監控完善安全措施，再依不斷變化的威脅去培養(Nurture)符合法規及技術演變的安全意識文化。</p> </div></div></div>
2025/4/16 20:51作者蘇文彬https://www.ithome.com.tw/news/168451
【資安日報】4月16日，MITRE停止維護CVE等多項專案，傳出與川普大砍行政預算有關
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年初臺灣因立法院大幅刪減政府各式預算，連帶影響政府的資安防禦工作，<a href="https://www.ithome.com.tw/news/167141">以數發部為例</a>，預算刪減4成、凍結2成，將影響我國通訊韌性基礎建設、打詐，並<a href="https://ithome.com.tw/news/168271">衝擊資安產業</a>，如今美國也出現類似情況，影響層面恐更加廣泛。</p> <p>有人取得MITRE主任Yosry Barsoum寫給CVE委員會的信件，提及MITRE維護CVE、CWE等專案的合約到期一事，由於這些專案維護都是仰賴美國國土安全部的預算，外界普遍認為此事就是川普大砍行政預算造成。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168431"><strong style="font-size: 22px;">冒牌電腦版Line針對臺灣而來，恐導致電腦被植入木馬</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/fake-line-pc-website.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/fake-line-pc-website.jpg" style="width: 300px; float: right;" /></a></p> <p>4月15日資安業者趨勢科技提出警告，他們近期發現有駭客佯稱提供即時通訊軟體Line的電腦版本，意圖散布木馬程式的情況。一旦使用者透過Google搜尋「電腦版Line」等關鍵字，就有可能接觸到這些假網站，若是不慎依照指示安裝，電腦就有可能被植入木馬程式，而有可能面臨個資外洩及裝置遭接管的情況。值得留意的是，這波攻擊行動疑似針對臺灣用戶而來。</p> <p>由於Line在臺灣的使用率相當高，再加上趨勢科技看到的假網站大多使用正體中文，因此他們研判，攻擊者的主要目標就是臺灣。我們向趨勢科技進一步了解，該公司表示這次的警示資訊，源自於他們在內部偵測到相關事故，根據初步調查的結果，顯示惡意軟體的類型為木馬程式，因此，他們決定呼籲客戶及使用者要提高警覺。</p> <p><a href="https://www.ithome.com.tw/news/168434"><strong style="font-size: 22px;">MFT檔案共享系統Cleo受害者首度現身，租車業者Hertz證實受害</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Hertz_xv4akY0PYG.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Hertz_xv4akY0PYG.png" style="width: 300px; float: right;" /></a></p> <p>去年12月資安業者Huntress揭露鎖定Cleo旗下MFT檔案傳輸系統的攻擊行動，駭客利用零時差漏洞CVE-2024-55956（CVSS風險評分為9.8分）得逞，隨後勒索軟體駭客Clop聲稱是他們所為，向新聞媒體透露有超過60家企業組織受害，其中一家是遭Termite攻擊的SaaS軟體服務供應商Blue Yonder，如今有企業表明受害。</p> <p>根據Bleeping Computer、Dark Reading、SecurityAffairs、SecurityWeek等多家資安新聞網站報導，大型租車業者Hertz證實，他們在今年2月10日確認發生資料外洩事故，未經授權的第三方人士利用Cleo平臺的零時差漏洞，從去年10月至12月收集Hertz的資料。該公司察覺此事，隨即確認事件影響的範圍，以及個人資料受到影響的人士，並於4月2日完成相關資料分析。</p> <p>對於遭到外流的資料，Hertz表示包含姓名、聯絡資訊、生日、信用卡資訊、駕照等。有極少量人士的社會安全碼（SSN）、護照、醫療照護資料，或是車禍受傷資訊，也可能被外流。</p> <p><a href="https://www.ithome.com.tw/news/168433"><strong style="font-size: 22px;">【臺灣資安大會直擊】AI同事雙面刃，網路犯罪即代理危機浮現</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1）趨勢科技Robert McArdle.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E8%B6%A8%E5%8B%A2%E7%A7%91%E6%8A%80Robert%20McArdle.jpg" style="width: 300px; float: right;" /></a>兩年前生成式AI應用爆發，一年半後代理型AI（Agentic AI）發展備受關注，已成為2025年當紅科技焦點，然而，在企業導入AI相關工具以提升營運效率的同時，網路犯罪組織也正同樣這麼做。</p> <p>2025臺灣資安大會的第一天，負責「前瞻威脅研究」(FTR) 與「敵情監控」(AIM) 團隊的趨勢科技專家，介紹了他們對網路犯罪的最新觀察，同時向所有國內與會者示警，呼籲大家在期待AI Agent應用到來之際，同時也要注意網路犯罪領域可能的重大變革，將出現以AI代理為基礎的新模式──Cybercrime as a Servant。</p> <p>如今AI技術崛起，網路犯罪局勢更加複雜。Robert McArdle指出，網路犯罪市場也會有所轉型，從現在的Cybercrime as a Service，也就是網路犯罪即服務，轉變為AI代理為基礎的Cybercrime as a Servant。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/04/chinese-hackers-target-linux-systems.html">中國駭客UNC5174鎖定Linux而來，散布SnowLight、VShell犯案</a></strong></p> <p><strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/04/chinese-hackers-target-linux-systems.html"></a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/midnight-blizzard-deploys-new-grapeloader-malware-in-embassy-phishing/">俄羅斯駭客APT29鎖定歐洲外交單位下手，散布WineLoader後門</a></strong></p> <p><strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/midnight-blizzard-deploys-new-grapeloader-malware-in-embassy-phishing/"></a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityaffairs.com/176530/security/malicious-npm-packages-to-steal-paypal-credentials.html">惡意NPM套件鎖定PayPal用戶而來，企圖挾持加密貨幣交易</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/04/cisa-and-fbi-warn-fast-flux-is-powering.html">駭客運用Fast Flux手法建置基礎設施，意圖隱匿行蹤</a></strong></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.darkreading.com/vulnerabilities-threats/max-severity-bug-apache-roller-persistent-access">Apache基金會修補部落格平臺Roller風險滿分的漏洞</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168432"><strong style="font-size: 22px;">川普大砍行政預算，CVE與CWE專案的合約本周到期</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/bafkreih5uspf3wg756i4bx22bibyltlhrcuttzx6cwqlqfjz22kcaflsau.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/bafkreih5uspf3wg756i4bx22bibyltlhrcuttzx6cwqlqfjz22kcaflsau.jpg" style="width: 300px; float: right;" /></a>負責管理與維護「常見漏洞披露」（Common Vulnerabilities and Exposures，CVE）資料庫，以及「通用缺陷列表」（Common Weakness Enumeration，CWE）的美國非營利組織MITRE近日傳出，包括這兩項專案的許多專案合約都將在今天到期。外界猜測應是川普大砍美國行政預算所導致。</p> <p>這項消息的曝光，源自於在社交媒體上流傳的信件，是由負責美國國土安全部窗口的MITRE主任Yosry Barsoum寫給CVE委員會，內容提及包括CVE與CWE在內的多項合約，都將在4月15日到期，倘若CVE服務中斷，可能有多方會受到影響，從國家資料庫、工具供應商、事件回應的操作，到各種關鍵基礎設施等。</p> <p>資安專家Brian Martin指出，一旦相關預算消失，CVE編號授權單位再也無法分配ID或交予MITRE快速發布，這是美國國家漏洞資料庫（NVD）的基礎，全球所有依賴CVE與NVD分析漏洞的公司都將受到劇烈影響。</p> <p><a href="https://www.ithome.com.tw/news/168429"><strong style="font-size: 22px;">【臺灣資安大會直擊】前資安院副院長吳啟文：企業積極導入AI應用，資安防禦應也應擴及AI風險</strong></a></p> <p>「資安是持續的風險管理，因此對威脅、趨勢掌握非常重要」，前國家資通安全研究院副院長吳啟文在今年臺灣資安大會中分享在AI時代下的資安防禦思維。</p> <p>如何管理AI可能帶來的風險？吳啟文借用世界經濟論壇WEF的報告，該報告提出平衡AI與網路安全的風險及報酬的6個問題，作為AI應用管理風險的自評依據，這些問題例如對於使用AI技術具有適當的風險承受能力，且被所有風險所有者理解？在考慮新的AI計畫時，適當的平衡風險與報酬？有效的流程以管理追蹤組織AI計畫發展？確保AI部署符合組織政策與法規義務的驗證流程？等等。</p> <p>吳啟文認為，WEF的報告提出的6個問題，可讓企業或組織規畫運用AI技術時，先評估自己的準備是否已經完備，已做到上述問題的要求方能考慮AI應用，如果沒有做到則需要重新考慮是否導入AI應用。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/168418"><strong>【4月15日】總統親臨臺灣資安大會致詞，從國家戰略、產業政策彰顯資安</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168403"><strong>【4月14日】啟用SSL VPN的Fortinet防火牆遭到已知漏洞攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168382"><strong>【4月11日】國家資通安全戰略2025本週正式公布</strong></a></p> </div></div></div>
2025/4/16 14:56作者周峻佑https://www.ithome.com.tw/news/168438
PHP核心執行環境稽核揭露多項漏洞，衝擊PHP-FPM與加密模組安全性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>PHP核心原始碼php-src近期完成由Quarkslab執行的<a href="https://thephp.foundation/blog/2025/04/10/php-core-security-audit-results/">安全性稽核</a>，揭露多項高風險與中度風險漏洞，影響範圍涵蓋PHP-FPM、MySQL驅動與OpenSSL等關鍵模組。該稽核由Sovereign Tech Agency出資，透過開源技術改進基金會（OSTIF）協調，並獲得PHP基金會全力配合，進一步改善即將發布的PHP 8.4版本安全性。</p> <p>本次稽核重點在於php-src中最具風險的模組與流程，範圍包含手動程式碼審查、動態測試與加密層面的評估。Quarkslab依據PHP基金會與OSTIF共同定義的威脅模型，對PHP-FPM主從架構、JSON解碼、MySQL原生驅動、表單上傳處理、PDO模擬預處理陳述式與密碼雜湊相關元件進行深入分析。整體稽核歷時兩個月，涵蓋靜態與動態分析流程，包括針對特定高風險模組開發模糊測試工具，並測試其在oss-fuzz環境下的表現。</p> <p>稽核結果共發現27項問題，其中17項具有安全性風險，包含3項高風險、5項中度風險與9項低風險問題，另有10項屬於資訊性弱點。多數問題已在GitHub安全通報揭露，另有兩項尚未公開之高風險漏洞仍在修補中，預計於修正完成後正式公布。已公布的CVE包含CVE-2024-8929，指出MySQL驅動可能透過惡意伺服器觸發堆積緩衝區過讀（Over-Read），洩露先前請求內容；CVE-2024-9026涉及PHP-FPM日誌訊息潛在竄改風險；CVE-2024-8925為表單資料解析錯誤，可能導致誤解資訊；CVE-2024-8928則為記憶體管理異常可能造成記憶體區段錯誤。</p> <p>PHP-FPM因其長時間在同一程序中執行多個請求，對於記憶體與資源管理的要求格外嚴格，本次稽核特別指出其在UID/GID處理、工作程序日誌管理與表單資料解析方面存在安全風險。另一方面，OpenSSL與libsodium整合部分，則發現數項與起始向量（Initialization Vector，IV）處理、金鑰長度、簽章錯誤行為與文件缺失相關的潛在問題，反映出加密模組在預設參數與使用者行為落差間仍有可改進空間。</p> <p>Quarkslab在報告中肯定PHP核心程式碼整體品質良好，結構一致且符合設計規範，並強調此次發現的多數問題並非源自設計漏洞，而是實作細節與錯誤處理不足所致。PHP基金會也已依稽核建議進行修正，並表示未來將持續改善安全測試流程與靜態分析工具整合，強化持續整合環境下的自動防禦機制。</p> <p>此次稽核雖受限於預算僅涵蓋關鍵模組，官方仍希望未來能透過社群或企業贊助，擴大涵蓋整體程式碼基礎，持續強化PHP的安全性與穩定性。<a href="https://thephp.foundation/assets/files/24-07-1730-REP-V1.4_temp.pdf">稽核報告全文</a>目前已公開，包含所有細項發現與修正建議，開發者可前往OSTIF網站或PHP基金會官方頁面下載閱讀。</p> </div></div></div>
2025/4/16 15:33作者李建興https://www.ithome.com.tw/news/168439
外傳OpenAI有意涉足社交平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr"><a href="https://www.theverge.com/openai/648130/openai-social-network-x-competitor" target="_blank">The Verge本周引述不同消息來源報導</a>，OpenAI正在開發類似X的社交平臺。</p> <p dir="ltr">根據報導，OpenAI已有一個內部原型，它著重於圖片生成能力，同時具備社交動態功能。目前該專案仍處於早期開發階段，但執行長Sam Altman已私下四處詢問大家對該原型的看法。目前並不確定該原型是否會正式或何時推出，也不確定它會被整合到ChatGPT或當作獨立程式發表。</p> <p dir="ltr">The Verge則發現Altman一直釋出各種線索。例如當科技大亨馬斯克（Elon Musk）今年2月打算出價974億美元買下OpenAI時，<a href="https://x.com/sama/status/1889059531625464090?lang=en" target="_blank">Altman直接於馬斯克的X上回嗆</a>：「不了，謝謝，但如果你願意的話，我們可以以97.4億美元買下X。」</p> <p dir="ltr">同樣在今年2月，當<a href="https://www.cnbc.com/2025/02/27/meta-plans-to-release-a-standalone-meta-ai-app.html" target="_blank">CNBC報導</a>Meta有意釋出一個獨立的Meta AI程式之後，<a href="https://x.com/sama/status/1895230925753233763" target="_blank">Altman即說</a>：「好喔，那我們也來做一個社交程式。」</p> <p dir="ltr">總之，看起來OpenAI或Altman對於社交平臺似乎有些興趣，使用者或許也期待看到一個可以透過生成圖片進行交流的平臺。</p> </div></div></div>
2025/4/16 14:24作者陳曉莉https://www.ithome.com.tw/news/168437
Notion公布AI郵件App 可整合Gmail
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">知名AI筆記、待辦清單App <a href="https://www.notion.com/help/guides/getting-started-with-notion-mail" target="_blank">Notion開發商本周公布</a>Notion及Notion Calendar以後最新App Notion Mail，可整合Gmail，以AI協助用戶收發、管理郵件和會議。</p> <p dir="ltr">目前Notion Mail已推出<a href="https://www.notion.com/product/mail" target="_blank">Web及Mac版</a>，正在測試iOS版。Notion Mail目前支援Gmail，但未透露是否或何時支援Outlook。</p> <p dir="ltr">Notion Mail的核心在於結合AI協助管理龐雜的郵件。一開始用戶需允許AI學習如何標籤以訓練Notion AI。啟用郵件右上方的「auto label」後，Notion會逐漸學習用戶習慣及偏好。使用者可以以下方法訓練Notion的AI，包括要求它為來自特定網域（例如訂閱服務、送貨單位）的電子郵件加入標籤，或是來自特定寄件者（如主管、客戶、合作夥伴）、包含特定字詞，如「緊急」、「重要」、「待辦」、「需要行動」或「需要回覆」的郵件特別加上標記。使用一段時間後，Notion Mail即會學習用戶習慣，自動分類將來信分門別類。</p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/0416-Notion%20Mail-auto%20label%EF%BC%8D%EF%BC%B0%EF%BC%AE%EF%BC%A7.png" style="width: 600px;" /></p> <p dir="ltr">Notion Mail強調更有效率的在檢視介面。相對於傳統郵件服務使用標籤和資料夾，Notion Mail除了提供「已讀」、「未讀」等篩選器，還加入其獨有的標籤，如Notion資料庫的「select」或是可以Notion Calendar中的邀約加以篩選。Notion Mail並提供群組功能，允許用戶按照網域、寄件者（如客戶）、或是優先性為信件分群顯示。用戶也自訂優先性標籤，拖拉郵件建立客製化的待辦事項。此外，用戶也可自訂檢視介面，可從頭自訂或是從預設的範本，如「Sales」範本中選擇。</p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/0416-Notion%20Mail-filter-PNG.png" style="width: 600px;" /></p> <p dir="ltr">Notion Mail還提供AI寫信助手，可協助用戶草擬信件、建議用字，用戶並可在類似Notion的環境中排版信件格式、以@加入公司wiki連結，還允許用戶將回覆儲存為片段（snippet）供日後使用。<span style="font-size:14px;"><span style="color:#696969;">圖片來源／Notion</span></span></p> </div></div></div>
2025/4/16 13:42作者林妍溱https://www.ithome.com.tw/news/168436
冒牌電腦版Line針對臺灣而來，恐導致電腦被植入木馬
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>假借提供常見應用程式散布惡意軟體的攻擊手法不時傳出，涵蓋大多數人耳熟能詳的瀏覽器、即時通訊軟體、壓縮軟體等，如今出現專門針對臺灣使用者的攻擊行動。</p> <p>4冃15日<a href="https://blog.trendmicro.com.tw/?p=87492">資安業者趨勢科技提出警告</a>，他們近期發現有駭客佯稱提供即時通訊軟體Line的電腦版本，意圖散布木馬程式的情況。一旦使用者透過Google搜尋「電腦版Line」等關鍵字，就有可能接觸到這些假網站，若是不慎依照指示安裝，電腦就有可能被植入木馬程式，而有可能面臨個資外洩及裝置遭接管的情況。值得留意的是，這波攻擊行動疑似針對臺灣用戶而來。</p> <p>由於Line在臺灣的使用率相當高，再加上趨勢科技看到的假網站大多使用正體中文，因此他們研判，攻擊者的主要目標就是臺灣。我們向趨勢科技進一步了解，該公司表示這次的警示資訊，源自於他們在內部偵測到相關事故，根據初步調查的結果，顯示惡意軟體的類型為木馬程式，因此，他們決定呼籲客戶及使用者要提高警覺。</p> <p>研究人員公布他們看到的假網站網域名稱，包括：</p> <ul> <li>www[.]linec-tw[.]OOO</li> <li>line-chinese[.]OOO</li> <li>line-tw[.]OOO</li> <li>windows-line[.]OOO</li> </ul> <p>雖然趨勢科技並未透露攻擊者的身分，但根據他們提供的假網站螢幕截圖，當中內含不少簡體中文及中國用語，這樣的情況難不讓人聯想攻擊者很可能來自中國。</p> </div></div></div>
2025/4/16 10:22作者周峻佑https://www.ithome.com.tw/news/168431
MFT檔案共享系統Cleo受害者首度現身，租車業者Hertz證實受害
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年12月資安業者Huntress揭露<a href="https://www.ithome.com.tw/news/166461">鎖定Cleo旗下MFT檔案傳輸系統的攻擊行動</a>，駭客利用零時差漏洞CVE-2024-55956（CVSS風險評分為9.8分）得逞，<a href="https://www.ithome.com.tw/news/166737">隨後勒索軟體駭客Clop聲稱是他們所為</a>，向新聞媒體透露有超過60家企業組織受害，其中一家是遭Termite攻擊的SaaS軟體服務供應商Blue Yonder，如今有企業表明受害。</p> <p>根據<a href="https://www.bleepingcomputer.com/news/security/hertz-confirms-customer-info-drivers-licenses-stolen-in-data-breach/">Bleeping Computer</a>、<a href="https://www.darkreading.com/vulnerabilities-threats/hertz-falls-victim-cleo-zero-day-attacks">Dark Reading</a>、<a href="https://securityaffairs.com/176562/data-breach/hertz-disclosed-a-data-breach-following-2024-cleo-zero-day-attack.html">SecurityAffairs</a>、<a href="https://www.securityweek.com/hertz-discloses-data-breach-linked-to-cleo-hack/">SecurityWeek</a>等多家資安新聞網站報導，<a href="https://www.hertz.com/content/dam/hertz/global/resources/Notice_of_Data_Incident-United_States.pdf">大型租車業者Hertz證實</a>，他們在今年2月10日確認發生資料外洩事故，未經授權的第三方人士利用Cleo平臺的零時差漏洞，從去年10月至12月收集Hertz的資料。該公司察覺此事，隨即確認事件影響的範圍，以及個人資料受到影響的人士，並於4月2日完成相關資料分析。</p> <p>對於遭到外流的資料，Hertz表示包含姓名、聯絡資訊、生日、信用卡資訊、駕照等。有極少量人士的社會安全碼（SSN）、護照、醫療照護資料，或是車禍受傷資訊，也可能被外流。</p> <p>究竟有多少人受到影響？Hertz並未在這份公告提及。根據SecurityAffairs、SecurityWeek的報導指出，該公司已向美國多州總檢察長辦公室通報此事，其中僅有對於緬因州的通報資料提及，有3,409人受到影響。</p> <p>值得留意的是，SecurityAffairs指出，今年1月Clop新增59家受害企業組織，SecurityWeek取得英國資安業者Comparitech的說法，駭客在過去幾個月已增加數百家受害組織。如此看來，這波零時差漏洞攻擊的影響範圍很有可能還會持續擴大。</p> </div></div></div>
2025/4/16 12:27作者周峻佑https://www.ithome.com.tw/news/168434
川普大砍行政預算，CVE與CWE專案的合約本周到期
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">負責管理與維護「常見漏洞披露」（Common Vulnerabilities and Exposures，CVE）資料庫，以及「通用缺陷列表」（Common Weakness Enumeration，CWE）的<a href="https://bsky.app/profile/tib3rius.bsky.social/post/3lmulrbygoe2g" target="_blank">美國非營利組織MITRE近日傳出</a>，包括這兩項專案的許多專案合約都將在本周三（4/16）到期。外界猜測應是川普大砍美國行政預算所導致。</p> <p dir="ltr">MITRE負責管理美國政府的6個聯邦資助研究與發展中心（Federally Funded Research and Development Center，FFRDC），從國防、航空、醫療、國土安全到網路/資訊安全，以及自這些中心衍生的各種專案。像是<a href="https://www.cve.org/" target="_blank">管理資安漏洞唯一識別碼的CVE專案</a>，從1999年上線迄今，已累積超過27.4萬個CVE；或者是<a href="https://cwe.mitre.org/" target="_blank">專門幫各種漏洞分門別類的CWE專案</a>，於2006年設立，現已統計出超過600個漏洞類別。</p> <p dir="ltr">在社交媒體上流傳的這一張信件，是由負責美國國土安全部窗口的MITRE主任Yosry Barsoum寫給CVE委員會的，表示包括CVE與CWE在內的多項合約，都將在4月15日到期，倘若CVE服務中斷，可能有多方會受到影響，從國家資料庫、工具供應商、事件回應的操作，到各種關鍵基礎設施等。</p> <p dir="ltr"><a href="https://www.linkedin.com/feed/update/urn:li:activity:7318000614334943232/" target="_blank">資安專家Brian Martin指出</a>，一旦相關預算消失，CVE編號授權單位再也無法分配ID或交予MITRE快速發布，這是美國國家漏洞資料庫（NVD）的基礎，但NVD已積壓了超過3萬個漏洞，全球所有依賴CVE與NVD分析漏洞的公司都將受到劇烈影響。</p> <p dir="ltr">不管是CVE或CWE專案，都是源自於美國國土安全部的國家網路安全部門所編列的預算，但最近美國總統川普（Donald Trump）大砍行政預算，令這些組織自身難保。<a href="https://therecord.media/trump-administration-planning-workforce-cuts-at-cisa" target="_blank">根據The Record的報導</a>，美國網路安全暨基礎設施安全局（CISA）正在制定人事刪減計畫，可能會裁撤一半的全職員工跟40%的承包商，波及1,300人。</p> <p dir="ltr"><a href="https://www.csoonline.com/article/3963190/cve-program-faces-swift-end-after-dhs-fails-to-renew-contract-leaving-security-flaw-tracking-in-limbo.html" target="_blank">CSO Online則引述消息來源報導</a>，MITRE從4月15日的午夜開始，就不再於CVE資料庫中添加紀錄，<a href="https://github.com/CVEProject" target="_blank">而會轉至GitHub</a>。CISA也向該報表示，雖然雙方的合約即將到期，但他們正在努力減輕影響，以維護受到全球依賴的CVE服務。</p> </div></div></div>
2025/4/16 11:42作者陳曉莉https://www.ithome.com.tw/news/168432
Google要求Android 15手機儲存容量不得小於32GB
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">Android向來是追求性價比的用戶的手機平臺選擇，而低價手機往往提供相對小的儲存記憶體，但是Google為了提升使用體驗，近日調整Android 15智慧型手機的記憶體容量下限，要求不得少於32GB。</p> <p dir="ltr"><a href="https://www.androidauthority.com/android-15-minimum-storage-requirement-3543169/" target="_blank">Android Authority本周發現</a>Google一份針對搭載Android 15的智慧型手機及Google手機App的新版最低規格，這份規格包含在Google給手機品牌商及製造商的Google Mobile Services授權相關文件中。其中，安裝執行Android 15的智慧型手機，最低應具備32GB的快閃記憶體。而且，32GB中的75%必須配置給資料分區，後者主要儲存系統App及App資料、系統檔案，以及所有用戶App和檔案。</p> <p dir="ltr">在此之前，Android13、14的儲存容量要求是16GB，古早的Android 12則是8GB。</p> <p dir="ltr">如果手機製造商使用的是開源版的AOSP（Android Open Source Project），AOSP授權條款並沒有這規定，廠商也無需照辦。但如果手機廠商希望取得Google行動服務（Google Mobile Services,GMS），包括Google Maps、Gmail、YouTube等受歡迎的App，就必須和Google簽署GMS授權合約。未能滿足要求的手機就無法通過GMS驗證及取得Google Apps。</p> <p dir="ltr">報導指出，Google這項新規定是希望能改良低階Android裝置的使用體驗。更高的記憶體容量意謂用戶和手機業者都能安裝更多App，不過，這不代表儲存運算速度一定會更快，因為還要考慮手機搭載的eMMC儲存晶片效能夠不夠快。</p> <p dir="ltr">其他Android 15系統及功能要求包括：手機必須提供用戶選擇，使之得以分享聯絡資料在緊急通話時給緊急定位服務，這讓手機能將用戶所在位置提供給救援單位。新晶片組必須支援2D、3D圖形運算API Vulkan 1.3以上；提供ANGLE函式庫作為原生OpenGL ES驅動程式以外的選擇；最後，Android 15新授權規定要求RAM為2GB、3GB的手機必須啟用Android低記憶體優化才能獲得認證，RAM為4GB的Android 15手機今年未強制啟用優化，但可能下一代Android會開始要求。</p> </div></div></div>
2025/4/16 09:39作者林妍溱https://www.ithome.com.tw/news/168430
金管會修正「保險業辦理電子商務應注意事項」，放寬多項網路投保規定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>金管會今日修正發布「保險業辦理電子商務應注意事項」，放寬了多項網路投保規定，包括開放團體保險要保單位能以數位形式申辦網路保險服務、放寬旅平險等周邊險種，要保人與被保險人不同人的網路投保限制、開放保險業在自家官網銷售重大疾病保險、辦理定額型健康保險網路投保業務、開放使用票劵或會員點數折抵部分保險費，還有在特定條件下免除抽樣電話訪問工作等規定。</p> <p>過往在家庭旅遊情境中，家屬要為子女投保旅遊相關保險商品，只能以自然人憑證方式證明被保險人的意思表示。這次修正則放寬了部分限制。當要保人和被保險人不同人，且符合二等親之內或有扶養義務及生活關係者，例如，父母為子女投保旅遊相關保險商品時，可使用生物辨識、行動身分識別（Mobile ID）、金融行動身分識別（金融Fast-ID）或數位憑證等方式完成身分確認及意思表示。</p> <p>不過，考量到7歲以上被保險人可能不具備手機門號，無法使用行動身份識別或金融Fast-ID，保險局也開放當被保險人為7歲以上未成年子女，要保人可以透過上傳被保險人的身分證明和投保意願簽名，完成身份確認和意思表示。</p> <p>另外一個修正重點，是開放保險業者能在自家官網上銷售重大疾病保險。過往民眾若要網路投保重大疾病保險，僅能透過主管機關指定的平臺，來向保險公司購買商品。這次修正則放寬了重大疾病保險的銷售通路，讓保險業者也可以在自家官網上販售重大疾病保險商品。同時，保險局也開放業者辦理定額型健康保險的網路投保業務。</p> <p>第三項修正重點，是開放保險業者使用票券或會員點數折抵部分保險費。這項修正，源自於去年國泰產險的異業合作試辦案。在那項試辦案中，民眾只需在國泰產險會員中心完成綁定，就能在繳交汽車險和旅遊險保費時，使用小樹點折抵費用。同時，國泰產險也與PayEasy合作，讓與PayEasy合作的企業員工可採用保險票券來折抵保費。保險局副局長陳清源表示，依據這項試辦案成果，他們修正了這項規定，增列保險業者能讓消費者使用票券或會員點數折抵保險費。但是，業者還是需要建立查驗機制，例如綁定點數業者的會員帳號、驗證票券所屬會員編號等查驗方式，來確保保險費有如數收取。</p> <p>最後，保險局也放寬了抽樣電訪工作的規定。若要保人是以生物辨識、Mobile ID、金融Fast-ID或數位憑證等驗證強度較高的方式完成投保，就能免除抽樣電訪。但是，若保險業者在辦理網路投保或網路保險服務的身份驗證作業發生缺失，在改善缺失前，不適用這項免除規定。</p> <p>不過，在放寬多項規定的同時，保險局也新增了一項條文，明定保險業者要依據網路保險服務事項的風險等級，選擇信賴等級相當的身份驗證機制，例如，將影響保護權益的保險服務事項列為高風險等級。</p> <p></p> </div></div></div>
2025/4/15 18:20作者李昀璇https://www.ithome.com.tw/news/168428
【臺灣資安大會直擊】前資安院副院長吳啟文：企業積極導入AI應用，資安防禦應也應擴及AI風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「資安是持續的風險管理，因此對威脅、趨勢掌握非常重要」，前國家資通安全研究院副院長吳啟文在今年臺灣資安大會中分享在AI時代下的資安防禦思維。</p> <p>傳統的資安威脅可能來自漏洞、惡意軟體或是DDoS，然而AI等技術的快速發展，雖為企業帶來許多正面的優點，也同時使得企業面臨負面的風險增加，吳啟文以透過生成式AI寫程式為例，雖然提高開發的效率，但是其所產生的程式也可能存在漏洞，進而帶來資安風險，或是使用AI造成用戶的資料外洩。</p> <p>另一方面，駭客也可能利用AI寫惡意程式，設計新型態的攻擊，或是利用生成式AI技術，以使得網路釣魚、社交工程的攻擊手法更為逼真，讓更多的使用者上當。</p> <p><strong><span style="color:#B22222;">國外已提出AI的風險管理框架</span></strong></p> <p>鑑於AI的風險不容輕忽，吳啟文表示，國外已針對AI技術發展提出風險管理對策，其中NIST提出風險管理框架AI RMF 1.0，該框架提出4大管理功能，包括治理(Govern)、映射(Map)、測量(Measuree)及管理(Manage)，同時也提出AI可信任的7大特性，安全、資安及韌性、隱私強化、公平性等等。NIST也特別針對生成式AI提出風險管理架構，點出資料隱私等12項重大風險，可對應AI RMF 1.0。</p> <p>OWASP則是提出LLM應用程式的十大風險，例如提示詞注入、未妥善處理輸出內容、訓練資料的下毒攻擊、阻斷服務攻擊、供應鏈攻擊、機敏資料外流、不安全的外掛程式等等。</p> <p><strong><span style="color:#B22222;">政府也將導入AI新科技作為國家未來發展方向</span></strong></p> <p>吳啟文指出，臺灣在前總統蔡英文執政下，提出資安即國安，將資安升級為國家安全的層次，並在2018年提出國家資通安全戰略1.0，提高政府對於資安的重視程度，同時將扶植國內資安產業發展作為執政目標，2021年提出資安即國家戰略2.0，願景為打造韌性安全可信賴的國家。</p> <p>在今年，政府提出最新國家資通安全戰略2025，目的為打造堅韌、安全、可信賴的智慧國家，兩大措施包括戰略夥伴的鏈結，以及堅實資安治理機制及防護，其中堅實資安治理機制及防護底下包含4個支柱，包括全社會防衛韌性、國土防衛與關鍵基礎設施、關鍵產業與供應鏈、人工智慧應用與安全，其中的人工智慧應用與安全，目的為善用AI技術，並且平衡其可能帶來的風險，一方面將AI技術用於全社會防衛韌性、土防衛與關鍵基礎設施、關鍵產業與供應鏈的資安防護，並建立產業生態系；另方面則是要確保AI技術的安全性及可信任性。</p> <p>今年接任職掌國家資通安全政策研擬、規畫及執行的資安署長的前金管會主祕蔡福隆，在接受媒體採訪時，蔡福隆也提出今後國家資通安全政策，除了應用人工智慧等新興科技外，也面臨相應的挑戰，即生成式AI帶來的風險，包括駭客利用AI技術的自動化攻擊，以及釣魚郵件、惡意軟體等。</p> <p><strong style="color: rgb(178, 34, 34);">資安防禦策略應擴及AI風險管理</strong></p> <p>對於如何管理AI可能帶來的風險？吳啟文借用世界經濟論壇WEF的報告，該報告提出平衡AI與網路安全的風險及報酬的6個問題，作為AI應用管理風險的自評依據，這些問題例如對於使用AI技術具有適當的風險承受能力，且被所有風險所有者理解？在考慮新的AI計畫時，適當的平衡風險與報酬？有效的流程以管理追蹤組織AI計畫發展？確保AI部署符合組織政策與法規義務的驗證流程？等等。</p> <p>吳啟文認為，WEF的報告提出的6個問題，可讓企業或組織規畫運用AI技術時，先評估自己的準備是否已經完備，已做到上述問題的要求方能考慮AI應用，如果沒有做到則需要重新考慮是否導入AI應用。</p> <p>在該報告裡也提到AI對網路安全的三個影響，威脅者運用AI提高攻擊的有效性，防禦者則運用AI提高網路安全防禦能力，第三個是AI的網路安全，主要為使用AI可能增加威脅者的攻擊面向，現有資安防禦策略需要擴大到處理AI的新弱點。</p> <p>吳啟文指出，目前國內已有數產署針對AI技術建立評測機制，先以大語言模型LLM為評測對象，參考歐美的AI規範例如NIST RMF、ISO 24028、歐盟議會等等，共提出10個評測項目，包含安全性、可解釋性、韌性、公平性、透明性、可靠性、隱私等等。以手動或自動的方式進行驗證。</p> <p>儘管AI可能帶來負面的風險，但是吳啟文認為，AI為中性技術，AI在資安防禦的事前、事中、事後仍能提供很好的功能，例如在事前，AI能夠自動分析海量的情資，產生比較好的威脅報告，提出預測讓組織及早因應，或是運用AI Honey Pot來蒐集更多情資，也能對新型態的未知威脅提出預測；在事中及事後方面，可利用AI作自動化調查，國外也有SOC運用AI Agent調整調查的規則。</p> </div></div></div>
2025/4/15 20:53作者蘇文彬https://www.ithome.com.tw/news/168429
【資安日報】4月15日，總統親臨臺灣資安大會致詞，從國家戰略、產業政策彰顯資安
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>亞洲規模最大的資安盛會「臺灣資安大會CYBERSEC 2025」在今天舉行，總統賴清德親臨現場致詞，強調臺灣所處的第一島鏈戰略要衝位置，肩負著民主防線最前線的角色，在網路世界遭受來自各方的駭客攻擊。臺灣威脅態勢加劇的情況，政府也從國家戰略到產業政策來因應。</p> <p>除此之外，美國在臺協會處長谷立言（Raymond F. Greene）致詞當中，也特別宣布相當有指標意義的消息，那就是在臺美合作之下完成了NIST資安框架2.0（Cybersecurity Framework 2.0）的正體中文翻譯。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168408"><strong style="font-size: 22px;">駭客聲稱握有Fortinet防火牆零時差漏洞，能未經身分驗證執行任意程式碼</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/GoaWTiyXAAAf9Hp.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/GoaWTiyXAAAf9Hp.jpg" style="width: 300px; float: right;" /></a>本週資安業者Fortinet發布資安公告，指出旗下防火牆遭遇CVE-2022-42475、CVE-2023-27997、CVE-2024-21762等已知漏洞（CVSS風險介於9.2至9.5分）攻擊，駭客鎖定已經啟用SSL VPN功能的設備而來，並透過符號連結（Symbolic Link）建立能持續存取的管道，巧合的是，在此同時也有駭客兜售零時差漏洞。</p> <p>根據Dark Reading、SecurityWeek等資安新聞媒體的報導，4月13日威脅情報業者ThreatMon提出警告，他們發現有人在暗網論壇聲稱握有Fortinet防火牆設備FortiGate的零時差漏洞，攻擊者一旦觸發，就有機會在未經授權的情況下，遠端執行任意程式碼（RCE），並且完整存取防火牆作業系統FortiOS的組態。</p> <p>但這項零時差漏洞的消息真實性如何？目前仍不得而知，ThreatMon沒有進一步說明。而Fortinet揭露的攻擊行動是否與這項漏洞有關，也有待資安研究員後續公布調查結果。</p> <p><a href="https://www.ithome.com.tw/news/168421"><strong style="font-size: 22px;">AI時代駭客犯罪模式出現轉變，趨勢科技指出駭客將AI當傭兵，更容易從事網路犯罪</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/RobertMcArdle-20250414-evo.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/RobertMcArdle-20250414-evo.jpg" style="width: 300px; float: right;" /></a>最近幾年網路犯罪出現分工，網路犯罪者提供作案工具的租用服務，藉此提供打手高靈活性及低成本的作案門檻，其中最常見的就是勒索軟體即服務（Ransomware-as-a-Service）、惡意軟體即服務（Malware-as-a-Service），網路釣魚即服務（Phishing-as-a-Service）等，但隨著AI的廣泛應用，這種「服務化」的網路犯罪生態圈也開始出現變化。</p> <p>趨勢科技指出，他們觀察到上述的網路犯罪即服務（Cybercrime-as-a-Service）的現象，已隨著網路罪犯採用AI技術，轉變成以AI代理基礎的「網路犯罪即傭兵（Cybercrime-as-a-Servant）」，這代表未來網路犯罪生態圈將會出現新的商業模式。目前駭客不僅會利用AI協助開發惡意軟體，也已透過AI針對不同產業、不同語言的使用者，產生專屬的釣魚郵件，而在未來將會有加依賴AI的現象，從AI助理被動提供建議，變成由AI主動執行工作，藉由AI建立自動化流程來提升攻擊效率，進而得到更高的效益。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-resolverrat-malware-targets-pharma-and-healthcare-orgs-worldwide/">惡意軟體ResolverRAT鎖定藥廠及醫療保健產業而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/04/phishing-campaigns-use-real-time-checks.html">網釣攻擊出現新手法，駭客在竊取帳密之前驗證電子郵件信箱</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.darkreading.com/threat-intelligence/paper-werewolf-targets-flash-drives-new-malware">俄羅斯遭到駭客組織Paper Werewolf鎖定，透過USB裝置散布蠕蟲</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/04/pakistan-linked-hackers-expand-targets.html">巴基斯坦駭客SideCopy鎖定印度，散布Spark RAT、CurlBack RAT</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://money.udn.com/money/story/5613/8669222">冒牌電腦版Line針對臺灣而來，恐導致電腦被植入木馬</a></strong></p> <p><strong style="font-size: 20px;"><a href="https://money.udn.com/money/story/5613/8669222"></a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168410"><strong style="font-size: 22px;">Nvidia Container Toolkit修補不全，攻擊者有機會逃脫容器系統</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/CVE-2025-23359-Fig2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2025-23359-Fig2.png" style="width: 300px; float: right;" /></a>GPU大廠Nvidia去年9月發布1.16.2版Container Toolkit，目的是修補涉及時間檢查與時間使用（TOCTOU）造成的競爭條件（Race Condition）漏洞CVE-2024-0132，此漏洞為重大層級，CVSS風險評為9.0分，通報此事的資安業者Wiz指出，由於這項漏洞影響採用Nvidia顯示晶片的容器系統，影響的範圍相當廣，估計有超過35%雲端環境曝險。如今有研究人員發現，Nvidia修補並不完整，攻擊者有機會造成Docker阻斷服務（DoS）的情況。</p> <p>4月10日趨勢科技指出，他們去年10月分析Nvidia發布的修補程式，結果發現修補不全的情況，並確認新的弱點CVE-2025-23359，會影響在Linux平臺運作的Docker效能，此弱點能讓攻擊者逃逸沙箱隔離機制，存取主機敏感資源，並且會導致重要工作中斷的現象，CVSS風險達到9.0（Nvidia評為8.3分），Nvidia於今年2月發布1.17.4版Container Toolkit、24.9.2版GPU Operator予以修補。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168420"><strong style="font-size: 22px;">賴清德總統四度親臨臺灣資安大會，從國家戰略到產業政策彰顯資安重要性</strong></a></p> <p>亞洲規模最大資安盛會「臺灣資安大會CYBERSEC 2025」於4月15日至4月17日假南港展覽館二館舉行，今年舉辦第十一屆，也是總統賴清德連續第四年應邀蒞臨「臺灣資安大會」。</p> <p>今年賴清德總統蒞臨大會致詞時表示，政府將持續推動國產自主研發的資安產品與服務，以降低對外部技術的依賴風險。這項宣示也與近年來政府對「資安即國安」的國家資安戰略，以及政府對於資安新創領域高度扶植政策相呼應，更是臺灣在面對持續不斷的網路威脅的態勢下，如何做到保持高度警覺與應變能量，成為真正「資安堅韌之島」的過程。</p> <p>美國在臺協會處長谷立言（Raymond F. Greene）致詞時表示，資安不僅只是IT技術的課題，更是國家安全與經濟安全的重要環節。這也點出臺美之間，在資安領域已經成為緊密的合作夥伴關係，同時也呼應了美國政府重視亞洲區域，尤其是臺灣在全球供應鏈與網路安全中所扮演的重要角色。</p> <p><a href="https://www.ithome.com.tw/news/168409"><strong style="font-size: 22px;">SSL、TLS憑證最長效期逐年縮短，2029年將減成47天</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/files/0415- Sectigo-47-day SSL_TLS certificates-圖表.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/files/0415-%20Sectigo-47-day%20SSL_TLS%20certificates-%E5%9C%96%E8%A1%A8.png" style="width: 300px; float: right;" /></a>憑證產業論壇CA/B論壇（Certification Authority Browser Forum）做出決議，所有SSL/TLS憑證最長效期將由現行398天縮短9成，到2029年剩47天，且每月需更新一次。</p> <p>CA/B論壇眾家會員廠商於4月11日完成投票，通過蘋果提案的Ballot SC-081v3。4家憑證使用者端（瀏覽器業者）包括蘋果、Google、Mozilla、微軟皆贊成。29家憑證頒發業者（Issuer）24票贊成、5票棄權，無人反對。</p> <p>在最新決議下，CA/B論壇未來將分階段縮短憑證效期。2026年3月15日起，SSL/TLS憑證最長效期會縮短到200天，更新期將改為6個月更新一次。而網域控制驗證（Domain Control Validation，DCV）重覆使用期限也減到200天。2027年3月15日起，憑證最長效期會再短100天。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/168403"><strong>【4月14日】啟用SSL VPN的Fortinet防火牆遭到已知漏洞攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168382"><strong>【4月11日】國家資通安全戰略2025本週正式公布</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168348"><strong>【4月10日】中華資安投資奧義智慧，攜手拓展市場、提升國際能見度</strong></a></p> </div></div></div>
2025/4/15 12:57作者周峻佑https://www.ithome.com.tw/news/168418
AI時代駭客犯罪模式出現轉變，趨勢科技指出駭客將AI當傭兵，更容易從事網路犯罪
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近幾年網路犯罪出現分工，網路犯罪者提供作案工具的租用服務，藉此提供打手高靈活性及低成本的作案門檻，其中最常見的就是勒索軟體即服務（Ransomware-as-a-Service）、惡意軟體即服務（Malware-as-a-Service），網路釣魚即服務（Phishing-as-a-Service）等，但隨著AI的廣泛應用，這種「服務化」的網路犯罪生態圈也開始出現變化。</p> <p>趨勢科技指出，他們觀察到上述的網路犯罪即服務（Cybercrime-as-a-Service）的現象，已隨著網路罪犯採用AI技術，轉變成以AI代理基礎的「網路犯罪即傭兵（Cybercrime-as-a-Servant）」，這代表未來網路犯罪生態圈將會出現新的商業模式。目前駭客不僅會利用AI協助開發惡意軟體，也已透過AI針對不同產業、不同語言的使用者，產生專屬的釣魚郵件，而在未來將會有加依賴AI的現象，從AI助理被動提供建議，變成由AI主動執行工作，藉由AI建立自動化流程來提升攻擊效率，進而得到更高的效益。</p> <p>原本趨勢科技將Cybercrime-as-a-Servant翻成「網路犯罪即代理」，意指駭客會借助AI機器人代理程式的力量犯案，然而原本的「服務」與「Servant」的性質有所不同，翻成代理的用意，很有可能是要突顯運用「AI代理」，但難以涵蓋Servant含有僕人、傭人、傭兵讓駭客能隨傳隨到的特質，因此我們決定將Cybercrime-as-a-Servant翻成「網路犯罪即傭兵」。</p> <p>網路罪犯將AI從「助理」變成「傭兵」，這樣的態勢將使得犯罪的門檻再度降低，攻擊者會擴大攻擊範圍，並試圖尋找更多有利可圖的潛在目標；此外，由於攻擊者需要大量運算資源訓練AI，他們也會攻擊生成式AI服務供應商，或是盜用雲端服務帳號。</p> <p>雖然道高一尺、魔高一丈，駭客導入新技術相當迅速，但趨勢科技網路犯罪研究前瞻威脅研究總監Robert McArdle也提及，根據他們的觀察，駭客手法的演進通常會遵循3種原則，分別是：追求簡單容易的方法、短期且高投資報酬率，以及從既有方式進化（Evolution），而非革命性（Revolution）的改變，而導入AI工具正好符合這樣的需求，因此Robert McArdle認為，企業要透過主動、全面性的資安工具，來因應這種新興威脅態勢。</p> </div></div></div>
2025/4/15 14:12作者周峻佑https://www.ithome.com.tw/news/168421
微軟擴充.NET Aspire部署能力，標準化應用開發到多雲部署流程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟釋出雲端應用開發工具包<a href="https://devblogs.microsoft.com/dotnet/dotnet-aspire-92-is-now-available-with-new-ways-to-deploy/">.NET Aspire 9.2</a>，進一步擴充部署功能，首次導入Publisher架構，讓開發者能統一管理應用程式資源與部署設定，簡化多環境部署流程，並原生支援Docker Compose、Kubernetes與Azure平臺。新版本同步改善Dashboard使用體驗，增強資源視覺化管理與連結能力，強化.NET Aspire作為雲端原生應用開發與管理平臺的定位。</p> <p>.NET Aspire是微軟針對雲端與微服務架構推出的開發堆疊，主要設計目標是簡化.NET應用程式在開發、測試、資源管理到部署的完整流程。此次9.2版的重點更新，是透過Publisher架構讓部署行為標準化，開發者僅需在程式碼中加入必要設定，便可自動產生docker-compose.yaml或Kubernetes的部署描述檔，搭配.NET Aspire CLI工具進行打包與發布，降低手動維護多套部署檔的繁瑣工作。</p> <p>微軟表示，新版Publisher機制整合了來自開源工具Aspir8的經驗，讓開發者不必額外安裝工具，就能在原生.NET Aspire開發環境內，完成容器化與多環境部署設定。目前支援的目標平臺涵蓋Docker Compose、Kubernetes與Azure，未來也可透過擴充撰寫自定義Publisher，滿足其他部署需求。</p> <p>針對應用程式開發過程，.NET Aspire 9.2也針對Dashboard進行多項強化，最大亮點為Resource Graph視覺化功能，能將AppHost中註冊的各類資源，以圖形化方式顯示出彼此關聯，協助開發者快速理解應用架構。更新後的Resource Deep Linking功能也擴充至Azure Cosmos DB、Azure Service Bus、Azure Event Hubs等資源，支援自動傳入連線字串或必要參數至專案，簡化程式碼撰寫與設定管理。</p> <p>需要特別注意的是，.NET Aspire 9.2針對Azure SQL Server與Azure PostgreSQL的部署行為進行了重大變更。新版本預設讓Azure Container Apps中的每個應用程式擁有獨立的Managed Identity，取代過去共用單一身分的做法。此變更將影響資料庫權限管理，Azure SQL Server僅支援一個Azure AD管理員帳號，當多個應用程式部署至同一資料庫，需額外設定專屬使用者與角色權限；Azure PostgreSQL則需透過GRANT命令顯式賦予資料存取權限。此行為變更主要為提升安全性，但現有使用者在升級9.2版時，需特別檢視相容性與存取設定。</p> <p>目前.NET Aspire 9.2已開放使用，開發者可透過升級AppHost專案中的SDK與NuGet套件版本，快速獲取新功能。微軟也建議，已部署至Azure的使用者，應特別留意身分與權限行為變更，以確保應用程式能正確存取資料庫資源。</p> </div></div></div>
2025/4/15 15:26作者李建興https://www.ithome.com.tw/news/168423
英特爾將出售Altera 51%股權，Altera市值腰斬
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.techpowerup.com/335431/intel-announces-strategic-investment-by-silver-lake-in-altera" target="_blank">英特爾（Intel）周一（4/14）宣布</a>，將把51%的Altera業務出售給投資公司Silver Lake，雙方預計於今年下半年完成交易。該交易對Altera的估值為87.5億美元，僅約英特爾<a href="https://www.ithome.com.tw/news/96343" target="_blank">在2015年以167億美元買下Altera時</a>的一半價格。</p> <p>Altera為一可程式化邏輯元件製造商，擁有現場可程式閘陣列（field-programmable gate array，FPGA）技術，所生產的晶片被廣泛應用在電信、無線裝置、汽車、工業應用及網路等領域，當初英特爾買下Altera的原因除了想跨出PC市場之外，也打算在自家處理器中整合FPGA。</p> <p>在英特爾買下Altera的前一年（2014年），Altera仍處於獲利的狀態，<a href="https://www.sec.gov/Archives/edgar/data/768251/000076825115000008/altera10k12312014.htm" target="_blank">當年的淨收入</a>為4.7億美元。不過，在併入英特爾的10年後，Altera在2024年虧損了6.15億美元。在交易完成之後，英特爾將會於自家財報中剝離Altera。</p> <p>英特爾執行長陳立武表示，此一交易體現了該公司將重新聚焦、減少費用結構，以及強化資產負債表的承諾。未來英特爾仍將持有49%的Altera股份。英特爾同一天也宣布由Raghib Hussain接替Sandra Rivera，成為Altera的新執行長，於5月5日生效。</p> <p>取得大多數Altera股權的Silver Lake則是看好Altera在FPGA創新上的表現，指出其可程式解決方案不僅可用來部署既有的工業、通訊及資料中心上，也將被應用在AI、邊緣運算及機器人等新興市場。</p> <p>未來的Altera將獨立經營，並成為全球最大的純FPGA半導體解決方案公司。</p> </div></div></div>
2025/4/15 14:47作者陳曉莉https://www.ithome.com.tw/news/168422
VMware最低授權數不調高！博通新公告重申16核心數要求，更加碼釋出免費版ESXi
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>3月底時，英國科技媒體The Register取得一封歐洲大型VMware經銷商給客戶的通知信件，透露Broadcom擬從4月10日調高VMware授權最低機器核心數量，引起許多用戶企業紛紛抱怨，授權成本將增加了，不少媒體，<a href="https://www.ithome.com.tw/news/168141">包括iThome都向Broadcom求證，但都沒有獲得回覆</a>。直到最近，在預定調整日期隔天，4月11日，博通在<a href="https://knowledge.broadcom.com/external/article?legacyId=95927">線上知識庫更新了一份公告</a>，強調VCF和vSAN最低購買量為16核心，等於沒有調整既有的最低授權數量規定。</p> <p>The Register公開了向法國知名VMware經銷商Arrow的客戶通知信件，內容指出，從4月10日起，執行VMware授權的最低核心數量要求，將從每指令行16核大幅升級到72核心。另外一個引起抱怨連連條款則是要求小型企業客戶得從4月初開始，支付遠超過原有購買的授權數，若客戶不在期限前更新授權，將被溢收20%作為罰款。</p> <p>直到3月底這封經銷商的顧客信曝光，引起不少中小型用量的企業抱怨連連，認為是將大幅增加VMware軟體的授權採購成本。</p> <p>一名Arrow在荷蘭的VMware業務經理Mohammed Hachache，在LinkedIn上<a href="https://www.dutchitchannel.nl/news/608581/broadcom-annuleert-bulkorder-van-72-cores-per-order-voor-emea">回覆荷蘭IT頻道創辦人Witold Kepinski</a>，這次最低授權數調整只針對EMEA地區的顧客，而非全球，也就是只有歐洲，中東和非洲的VMware企業顧客受到影響。但此一消息傳出，不只這個地區，其他地區的企業顧客也引起很多的抗議。</p> <p>直到4月10日，也就是傳言新版授權規定實施時間點，<a href="https://www.heise.de/news/Rueckzieher-bei-VMware-Unternehmen-koennen-weiterhin-16-Kerne-lizenzieren-10346897.html">德國科技媒體iX</a>向經銷商確認了博通撤銷新授權規定的消息，也確認過報價單。不過，iX向博通查證時，博通回覆，沒有調整最低授權數的計畫，依舊是每CPU 16核心數的要求，沒有變動。</p> <p>早在前一天，臺灣時間4月9日，VMware業務經理Mohammed Hachache也在Witold Kepinsk授權數調整的討論下提供最新資訊，<a href="https://www.linkedin.com/feed/update/urn:li:activity:7311426335141228544?commentUrn=urn%3Ali%3Acomment%3A%28activity%3A7311426335141228544%2C7312573667001917440%29&replyUrn=urn%3Ali%3Acomment%3A%28activity%3A7311426335141228544%2C7315293888439541763%29&dashCommentUrn=urn%3Ali%3Afsd_comment%3A%287312573667001917440%2Curn%3Ali%3Aactivity%3A7311426335141228544%29&dashReplyUrn=urn%3Ali%3Afsd_comment%3A%287315293888439541763%2Curn%3Ali%3Aactivity%3A7311426335141228544%29">他回覆：</a>「根據昨晚與分銷商的溝通，Broadcom 已取消EMEA地區每個訂單的72個核心。每個人都可以再次單獨購買（每個CPU至少16個內核）。」</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/VMware%E7%B6%93%E9%8A%B7%E5%95%86%E5%9B%9E%E8%A6%86%E6%8E%88%E6%AC%8A%E6%95%B8%E4%B8%8D%E8%AE%8A.png" /></p> <p>根據博通線上知識庫在4月11日更新的一份VCF、VVF核心數計算說明文件中提到，顧客必須購買每個CPU至少16核心的授權數量。這個敘述與原本的規定一樣，沒有變化。<br /> 博通在今年3月6日的財報視訊會議中，透露目前VMware顧客從永久授權，轉為完全訂閱制的比例，已經超過了60%。一萬家大型企業顧客中，也有7成導入VCF解決方案。博通預期，轉換率和採用率都將持續成長，但沒有透露會採取什麼做法來提高轉換率。</p> <h3><span style="color:#FF0000;"><strong>事隔一年，博通再次釋出免費版ESXi 8</strong></span></h3> <p>不過，最近博通在ESXi 8.0版更新3e版本（同樣是4月11日發布）的說明文件中，<a href="https://techdocs.broadcom.com/us/en/vmware-cis/vsphere/vsphere/8-0/release-notes/esxi-update-and-patch-release-notes/vsphere-esxi-80u3e-release-notes.html#GUID-53984120-73f0-4163-b7bd-42740c957112-en_id-af0f5303-6120-4ed4-a509-17899a7d9017">在最新消息提到，</a>這款VMware vSphere Hypervisor 8是一個入門級的虛擬機器管理版本，可以從博通支援入口網站上<strong>免費下載</strong>。目前在中文版ESXi 8.0發布說明中，還沒提到這點。</p> <p>過去多年來，VMware一直提供了免費授權的ESXi版本，也大受開發社群愛用。直到2024年2月，伴隨著永久授權策略的當時調整，博通取消了免費版ESXi的提供。直到最近，又再次釋出免費版ESXi。這個版本不是直接開放下載，而需先在博通支援入口網站註冊後才能免費下載。</p> </div></div></div>
2025/4/15 12:23作者王宏仁https://www.ithome.com.tw/news/168416
駭客聲稱握有Fortinet防火牆零時差漏洞，能未經身分驗證執行任意程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週<a href="https://www.ithome.com.tw/news/168399">資安業者Fortinet發布資安公告</a>，指出旗下防火牆遭遇CVE-2022-42475、CVE-2023-27997、CVE-2024-21762等已知漏洞（CVSS風險介於9.2至9.5分）攻擊，駭客鎖定已經啟用SSL VPN功能的設備而來，並透過符號連結（Symbolic Link）建立能持續存取的管道，巧合的是，在此同時也有駭客兜售零時差漏洞。</p> <p>根據<a href="https://www.darkreading.com/vulnerabilities-threats/fortinet-zero-day-arbitrary-code-execution">Dark Reading</a>、<a href="https://www.securityweek.com/threat-actor-allegedly-selling-fortinet-firewall-zero-day-exploit/">SecurityWeek</a>等資安新聞媒體的報導，4月13日威脅情報業者ThreatMon提出警告，他們發現<a href="https://x.com/MonThreat/status/1911380369292603822">有人在暗網論壇聲稱握有Fortinet防火牆設備FortiGate的零時差漏洞</a>，攻擊者一旦觸發，就有機會在未經授權的情況下，遠端執行任意程式碼（RCE），並且完整存取防火牆作業系統FortiOS的組態。</p> <p>駭客號稱能藉由漏洞存取敏感資料，這些資料包含：本機使用者帳密檔案（當中包含經加密處理的密碼）、管理員帳號權限與信任關係、雙因素驗證狀態，以及完整的防火牆規則、NAT規則、IP映射、內部資產等。</p> <p>但這項零時差漏洞的消息真實性如何？目前仍不得而知，ThreatMon沒有進一步說明。而Fortinet揭露的攻擊行動是否與這項漏洞有關，也有待資安研究員後續公布調查結果。</p> </div></div></div>
2025/4/15 10:12作者周峻佑https://www.ithome.com.tw/news/168408
Nvidia Container Toolkit修補不全，攻擊者有機會逃脫容器系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>GPU大廠Nvidia去年9月<a href="https://www.ithome.com.tw/news/165250">發布1.16.2版Container Toolkit</a>，目的是修補涉及時間檢查與時間使用（TOCTOU）造成的競爭條件（Race Condition）漏洞CVE-2024-0132，此漏洞為重大層級，CVSS風險評為9.0分，通報此事的資安業者Wiz指出，由於這項漏洞影響採用Nvidia顯示晶片的容器系統，影響的範圍相當廣，估計有超過35%雲端環境曝險。如今有研究人員發現，Nvidia修補並不完整，攻擊者有機會造成Docker阻斷服務（DoS）的情況。</p> <p>4月10日趨勢科技指出，<a href="https://www.trendmicro.com/en_us/research/25/d/incomplete-nvidia-patch.html">他們去年10月分析Nvidia發布的修補程式</a>，結果發現修補不全的情況，並確認新的弱點CVE-2025-23359，會影響在Linux平臺運作的Docker效能，此弱點能讓攻擊者逃逸沙箱隔離機制，存取主機敏感資源，並且會導致重要工作中斷的現象，<a href="https://www.zerodayinitiative.com/advisories/ZDI-25-087/">CVSS風險達到9.0</a>（Nvidia評為8.3分），Nvidia<a href="https://nvidia.custhelp.com/app/answers/detail/a_id/5616">於今年2月</a>發布1.17.4版Container Toolkit、24.9.2版GPU Operator予以修補。</p> <p>針對這項漏洞發生的原因，趨勢科技表示在名為mount_files的功能當中，對於物件操作的過程裡缺乏適當鎖定造成，攻擊者有機會用來提升權限，並於主機執行任意程式碼。不過，利用這項漏洞存在必要條件，那就是攻擊者能在容器執行任意程式碼，才能觸發漏洞。</p> <p>研究人員進一步說明攻擊者可能利用漏洞的手法。首先，攻擊者準備兩個惡意容器映像檔，這些映像檔透過磁碟區符號連結（Volume Symlink）進行連結。接著，攻擊者藉由供應鏈攻擊或社交工程手法，於受害組織的環境執行映像檔，這麼做使得他們能藉由競爭條件存取主機的檔案系統。一旦得逞，攻擊者就有機會存取執行容器的底層軟體Container Runtime Unix，從而以root權限執行任意命令，並遠端完全控制受害系統。</p> <p>除了部署新版Container Toolkit，趨勢科技也呼籲用戶應遵循最佳實作來緩解CVE-2024-0132、CVE-2025-23359與其他與Docker檔案系統綑綁的弱點，這些措施包括：限制Docker API的存取及權限、監控Linux掛載列表、定期稽核容器與主機之間的互動。</p> </div></div></div>
2025/4/15 11:17作者周峻佑https://www.ithome.com.tw/news/168410
OpenAI釋出GPT-4.1以取代GPT-4o
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/index/gpt-4-1/" target="_blank">OpenAI周一（4/14）釋出了GPT-4.1、GPT-4.1 mini與GPT-4.1 nano</a>，宣稱它們的性能全面勝過現有的GPT-4o及GPT-4o mini，所支援的脈絡長達100萬個Token，知識截止時間為2024年6月。不過，GPT-4.1將僅透過API供應，ChatGPT則由持續改善的GPT-4o負責，<a href="https://x.com/sama/status/1889755723078443244" target="_blank">至於原本規畫中的GPT-4.5</a>，現在OpenAI則說它只是個預覽版，GPT-4.1擁有許多類似或超越的表現，因此準備在今年的7月14日關閉GPT-4.5。</p> <p>GPT-4.1、GPT-4.1 mini與GPT-4.1 nano等3個不同等級的型號，都支援100萬Token的脈絡長度，其中的GPT-4.1能力最強，適合複雜任務，每輸入/輸出百萬個Token的售價各為2美元及8美元，適用於企業級代理人、高精度AI助理，以及科學研究；GPT-4.1 mini屬於中階模型，每輸入/輸出百萬個Token的售價各為0.4及1.6美元，適用於中大型應用、快速建置原型及自動客服系統等；GPT-4.1 nano每輸入/輸出百萬個Token的售價各為0.1與0.4美元，適合邏輯明確及結構化的簡單任務，像是分類或摘要等，可應用於手機或邊緣運算，執行速度也最快。</p> <p>OpenAI比較了GPT-4o、GPT-4.5、GPT-4.1在許多基準測試上的表現，例如GPT-4.1在用來修復開放原始碼臭蟲的SWE-bench Verified測試中，取得了54.6%的成績，分別比GPT-4o及GPT-4.5高了21.4個百分點與26.6個百分點。或者是在評估指令遵循能力的Scale's MultiChallenge⁠評測上，GPT-4.1也有38.3%的成績，比GPT-4o多了10.5個百分點。在理解影片的Video-MME⁠測試中，GPT-4.1在長篇且無字幕的類別中取得了72%的成績，比GPT-4o多出6.7個百分點。</p> <p>此外，GPT-4.1及GPT-4.1 mini的延遲度，也低於GPT-4o與GPT-4o mini。</p> <p>GPT-4.1可處理多達100萬個Token的脈絡，遠高於GPT-4o的12.8萬個，OpenAI認為這使得GPT-4.1非常適合處理大型的程式碼庫或者是大量的長文件。</p> <p>至於原本準備上架，卻突然宣布腰斬的GPT-4.5，OpenAI則解釋，GPT-4.5是個研究預覽版本，目的是為了探索與試驗一個大型且運算密集的模型，已從開發人員的回饋中學到許多，準備在未來的模型中嵌入GPT-4.5各種受到讚賞的特質，例如創造力、寫作品質與幽默感等。</p> </div></div></div>
2025/4/15 11:32作者陳曉莉https://www.ithome.com.tw/news/168411
Nvidia將首度完全於美國製造AI超級電腦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.nvidia.com/blog/nvidia-manufacture-american-made-ai-supercomputers-us/" target="_blank">Nvidia周一（4/14）宣布</a>，將首度完全於美國生產AI超級電腦，計畫在未來4年內，與台積電、富士康、緯創、Amkor及SPIL合作，在美國興建價值高達5,000億美元的AI基礎設施。根據美國媒體的報導，這是美國同意Nvidia持續出售H20至中國市場的交換條件之一。</p> <p>Nvidia說，AI晶片與超級電腦的供應鏈非常複雜，需要最先進的製造、封裝、組裝與測試技術。已經與許多夥伴合作，投入逾100萬平方英尺的空間，以於亞利桑那州建置與測試Blackwell晶片，並在德州打造AI超級電腦。</p> <p>其中，Blackwell晶片已開始於台積電位於亞利桑那州的晶片工廠開始生產。Nvidia也正與位於德州休士頓的富士康，以及位於德州達拉斯的緯創合作，打造AI超級電腦製造廠，而這兩個工廠預計於未來12個月至15個月內量產。</p> <p>上述僅為Nvidia承諾美國的其中一部分，因為在未來4年內，Nvidia將與台積電、富士康、緯創、Amkor及SPIL合作，在美國興建價值高達5,000億美元的AI基礎設施。</p> <p>Nvidia指出，AI超級電腦是新型資料中心的引擎，其唯一目的是處理AI，為驅動AI產業的基礎設施，預計未來幾年將會在美國建置數十座千兆瓦AI工廠，以期於未來的數十年推動價值數兆美元的經濟安全，並帶來數十萬個工作機會。</p> <p>美國媒體則報導，這是美國與Nvidia的交換條件之一，以讓Nvidia可以向中國市場銷售H20晶片。H20是在美國的施壓下，Nvidia以H100改裝而成的晶片，它不管是在核心數量或是性能上都低於H100，卻是Nvidia可出貨至中國的最高等級晶片，也是DeepSeek用來訓練模型的晶片之一。即便如此，<a href="https://www.banking.senate.gov/newsroom/minority/warren-hawley-call-on-trump-administration-to-quickly-address-export-control-failures-revealed-by-deepseek-breakthrough" target="_blank">美國兩黨議員還是呼籲</a>應該禁止中國取得H20等高階晶片。</p> <p>美國新任總統川普積極地將各種製造業引流回美國，特別是高階晶片與AI。例如<a href="https://www.ithome.com.tw/news/167107" target="_blank">今年1月發表的Stargate計畫</a>（Project Stargate），將偕同OpenAI、甲骨文及軟銀等公司，投入至少5,000億美元發展AI。<a href="https://www.ithome.com.tw/news/167536" target="_blank">蘋果也在2月公布</a>未來4年、以美國製造為優先的高科技投資計畫，預計投入的金額同樣是5,000億美元。<a href="https://pr.tsmc.com/chinese/news/3210" target="_blank">台積電則在3月宣布</a>，除了正在亞利桑那州斥資650億美元的先進半導體製造之外，將再投資1,000億美元於美國的先進半導體製造。</p> </div></div></div>
2025/4/15 12:07作者陳曉莉https://www.ithome.com.tw/news/168412
SSL/TLS憑證最長效期2029年將縮減成47天
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上周憑證產業論壇CA/Browser Forum（CA/B論壇）做出決議，所有SSL/TLS憑證最長效期將由現行398天縮短9成，到2029年剩47天，且每月需更新一次。</p> <p>CA/B論壇眾家會員廠商於4月11日完成投票，<a href="https://groups.google.com/a/groups.cabforum.org/g/servercert-wg/c/bvWh5RN6tYI" target="_blank">通過蘋果提案的Ballot SC-081v3</a>。4家憑證使用者端（瀏覽器業者）包括蘋果、Google、Mozilla、微軟皆贊成。29家憑證頒發（Issuer）業者24票贊成、5票棄權，無人反對。</p> <p>現行所有SSL/TLS憑證最長效期為398天，<a href="https://www.ithome.com.tw/news/138501" target="_blank">2020年蘋果推動且獲得Google及Mozilla支持</a>，由三大瀏覽器業者推動最長效期由825天減為現行時效，主因是長效期的憑證可能落入駭客手中，助長惡意程式散布。</p> <p>在最新決議下，CA/B論壇未來將分階段縮短憑證效期。2026年3月15日起，SSL/TLS憑證最長效期會縮短到200天，更新期將改為6個月更新一次。而網域控制驗證（Domain Control Validation，DCV）重覆使用期限也減到200天。2027年3月15日起，憑證最長效期會再短100天，3個月更新一次，DCV重覆使用期限同步減為100天。4年後，即2029年3月15日，最長SSL/TLS憑證效期就會減至47天，每個月更新一次，DCV重覆使用期限將只剩10天。</p> <p><a href="https://s4.itho.me/sites/default/files/files/0415-%20Sectigo-47-day%20SSL_TLS%20certificates-%E5%9C%96%E8%A1%A8.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0415-%20Sectigo-47-day%20SSL_TLS%20certificates-%E5%9C%96%E8%A1%A8(1).png" style="width: 450px;" /></a></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／Sectigo</span></span></p> <p>同樣投下贊成票的憑證管理方案業者<a href="https://www.businesswire.com/news/home/20250414207334/en/CABrowser-Forum-Passes-Ballot-to-Reduce-SSLTLS-Certificates-to-47-Day-Maximum-Term" target="_blank">Sectigo指出</a>，縮減數位憑證將可提升線上安全、推動憑證數位化管理，並且藉由提升密碼學靈活性，以因應量子運算挑戰。</p> </div></div></div>
2025/4/15 10:45作者林妍溱https://www.ithome.com.tw/news/168409
AI趨勢周報第271期：Google揭新一代TPU、推跨平臺AI代理協定A2A
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞（0406～0410）</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">TPU </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI代理 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> A2A </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Google揭新一代TPU、推跨平臺AI代理協定A2A</strong></span></p> <p>Google雲端年度大會Next 25在4月9日正式登場，Google雲端執行長Thomas Kurian揭露一系列重磅更新，除了有專為推理模型設計的新一代<a href="https://blog.google/products/google-cloud/ironwood-tpu-age-of-inference/">TPU處理器Ironwood</a>，還祭出可支援AI代理跨平臺協作的<a href="https://developers.googleblog.com/en/a2a-a-new-era-of-agent-interoperability/">Agent-to-Agent協定</a>。</p> <p>其中，Ironwood是Google第七代張量處理器（TPU），專為「會思考」的模型設計，比如大型語言模型（LLM）、混合專家（MoE）模型、推理模型，其每個晶片峰值運算能力為4,614 TFLOPs，可因應繁重的AI工作負載。再來，有別於用一套標準將模型、資料和工具連結起來的MCP協定，Google推出Agent-to-Agent協定（簡稱A2A），開發者可用來打造高互通性的代理。也就是說，只要是按A2A協定開發的AI代理，就能跨平臺、跨服務彼此溝通。</p> <p>這對使用者來說，可以選擇不同廠商的AI代理、組合使用，系統可以兼容這些不同來源的代理。對企業來說，他們能在不同平臺或不同雲端服務間，統一管理各個代理，減少技術負擔。這個A2A協定，目前已獲50多家業者支援。<a href="https://developers.googleblog.com/en/a2a-a-new-era-of-agent-interoperability/">（詳全文）</a></p> <p><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/images/TPUv7_Inline_TPUComparison_v3.width-1000.format-webp.webp" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Amazon </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 語音轉語音 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Nova Sonic </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Amazon推出Nova Sonic語音轉語音模型 </strong></span></p> <p>一如去年12月AWS:reInvent年會中預告的，Amazon最近終於推出全新基礎模型Amazon Nova Sonic，將語音理解和語音生成整合在單一的模型中，來實現語音轉語音。使用者可由AWS生成式AI服務Amazon Bedrock上的API使用，來簡化語音應用開發流程，例如客戶服務通話自動化，或是打造旅遊、教育、醫療、娛樂等領域的跨產業AI代理（AI agents）。</p> <p>進一步來說，傳統的語音應用模型，並非單一模型，而是由多個模型組成，比如將語音轉為文字的語音辨識模型、理解並生成回應的大型語言模型（LLM）、將文字再轉為音訊的文字轉語音模型等。這種方法不僅增加開發的複雜性，也難以保留自然對話中重要的聲音情境和細微差別，如語氣、語調韻律和說話風格等。</p> <p>不過，Nova Sonic採不同方法，將語義理解和語音生成功能，整合在單一模型中，讓模型能根據語氣、風格等聲音情境和口語輸入，來調整語音回覆，達到更自然的對話。比如，當模型捕捉到潛在的客戶語氣，從興奮轉為擔憂費用時，AI的語音回覆更具安撫性，並能即時提價格資訊。<a href="https://aws.amazon.com/blogs/aws/introducing-amazon-nova-sonic-human-like-voice-conversations-for-generative-ai-applications/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 開發環境 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 自然語言 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Google新推行動開發環境Firebase Studio，用自然語言就能開發</strong></span></p> <p>Google最近在旗下行動與Web應用開發平臺Firebase中，新推雲端開發環境Firebase Studio，並開放預覽試用。該服務結合AI助理、雲端IDE和Firebase生態系多項開發工具，專門鎖定想快速打造AI應用或全端Web服務的開發者。Firebase Studio的定位，並非取代Android Studio這類原生App開發工具，而是針對Web應用、AI功能和無伺服器架構的開發需求，提供一個可透過瀏覽器操作、整合AI協作機制，並支援即時雲端部署的開發環境。</p> <p>在技術架構上，Firebase Studio繼承Project IDX的雲端虛擬機器架構，開發者可在瀏覽器中使用類似VS Code的編輯介面，包括完整的程式碼輔助、除錯工具和終端機操作能力。與Android Studio著重原生App開發不同，Firebase Studio預設的應用架構以Next.js為基礎，支援React生態系，並內建Genkit模組，自動配置Gemini API金鑰，讓開發者快速在Web應用中加入生成式AI能力。</p> <p>Firebase Studio還加入自然語言驅動的App Prototyping代理工具，開發者可透過文字描述、圖片或草圖，快速產生可執行的Web應用原型，並直接在介面中與Gemini助理互動，修改介面設計、調整程式邏輯或新增功能。這些操作不僅能修改程式碼，也能自動處理Firebase服務的串接設定，例如使用者驗證、資料庫或人工智慧流程整合。<a href="https://firebase.blog/posts/2025/04/introducing-firebase-studio">（詳全文）</a></p> <p><img alt="" src="https://firebasestorage.googleapis.com/v0/b/first-class-blog.appspot.com/o/video%2Fstudio-canvas-ai-prompt.gif?alt=media&token=5336b9b8-1e1e-4ff1-a7ca-c84e7f785af9" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 大型主機 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> IBM </span></strong></span></p> <p><span style="font-size:22px;"><strong>AI推論效能提高50%！IBM推出新一代大型主機z17</strong></span></p> <p>IBM揭露最新一代大型主機IBM z17，是經典Z系列的升級版，主打全面整合AI，範圍涵蓋硬體、軟體和作業系統，要讓企業能即時執行AI，提高營運效率和安全。進一步來說，IBM z17採用新一代 Telum II處理器，內建AI加速器，每天可執行4500億次推論、每次反應時間僅1毫秒，比前一代z16高出50%的AI推論運算量。z17的AI能力可應用於250多種情境，如風險評估、聊天機器人、醫學影像分析、零售防詐等。</p> <p>再來，該主機採用PCIe擴充卡IBM Spyre Accelerator（預計2025第四季推出），可強化z17的生成式AI能力，讓主機可直接執行AI助理、分析內部資料等工作。而且，新系統支援還多模態AI，可同時處理文字、圖像等不同形式的資料，另也整合IBM watsonx系列工具，包含程式助理和Z助手，可助開發者、IT團隊更快偵錯與維護系統。</p> <p>不只如此，在安全性方面，新主機還加入HashiCorp Vault技術，支援跨平臺密鑰與憑證管理，也支援AI自動偵測敏感資料功能，辨識潛在的網路攻擊。這臺z17預計在今年6月18日正式推出。<a href="https://newsroom.ibm.com/z17">（詳全文）</a></p> <p><img alt="" src="https://newsroom.ibm.com/image/New_IBM_z17_Mainframe_banner.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI代理 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 開發管理 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google瞄準AI代理，推出多款代理開發管理工具</strong></span></p> <p>在今年度Cloud Next大會中，Google揭露不少AI代理（Agent）工具，包括在自家AI開發平臺Vertex AI中，新添代理開發工具包<a href="https://developers.googleblog.com/en/agent-development-kit-easy-to-build-multi-agent-applications/">Agent Development Kit（ADK）</a>，專門用來簡化AI代理的建置、測試和部署執行等工作，號稱不必寫到100行程式碼，就能完成代理建置。而且，這款ADK還支援MCP協定。</p> <p>在這個ADK中，還有2項用來開發和部署代理的工具，分別是Agent Garden和Agent Engine。Google預計今年第三季提供ADK公開預覽版。另一項AI代理亮點是<a href="https://blog.google/feed/cloud-next-latest-features-google-agentspace/">Google Agentspace新功能</a>，企業使用者可直接從Chrome搜尋框來使用Agentspace的搜尋、分析和資訊整合功能，也能透過Agent Gallery（代理庫）來快速導入各種代理，或是部署Google自家的代理。</p> <p>為顧及企業資料隱私需求，Google在原本的Google Distributed Cloud（GDC）平臺中，新支援企業本地段部署Gemini系列模型和Agentspace代理應用，預計今年第三季開始提供服務。此外，Google還打造<a href="https://console.cloud.google.com/marketplace/browse?filter=category:ai-agent&hl=en&invt=AbthNw">AI Agent Marketplace市集</a>，收錄第三方各種AI代理，來讓使用者隨插即用。甚至，他們還推出一項實用的自動化流程工具<a href="https://workspace.google.com/blog/product-announcements/new-AI-drives-business-results">Google Workspace Flows</a>，使用者用自然語言描述想完成的流程，AI代理就會自動設計整個邏輯流程，不必寫程式就能完成跨應用的工作自動化。<a href="https://blog.google/products/google-cloud/next-2025/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Anthropic </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Claude </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 聊天機器人 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Anthropic也推200美元月費的個人版Claude方案</strong></span></p> <p>繼OpenAI推出月費高達200美元的Pro方案後，Anthropic日前也宣布，推出相同收費水準的頂級個人版AI聊天機器人訂閱方案Claude Max。此前，Anthropic針對個人用戶，僅有免費方案和每人每月20美元（年費200美元）的Pro方案，免費用戶每天可傳送100則訊息，Pro可享有免費方案5倍用量，每5小時可傳送45則短訊息。</p> <p>Anthropic說Max方案適合與Claude大量對話的用戶，可用來改進作品、分析大量文件和複雜資料。Max又分成2種級別，其中月費100美元的擴充用量方案，適合經常用Claude來執行多種任務的用戶，提供Pro 5倍用量上限。另一種是最大彈性方案，月費200美元，提供Pro 20倍的用量限制，適合每天用Claude執行重要任務的用戶。<a href="https://www.anthropic.com/news/max-plan">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 推理模型 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Nvidia </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Llama </span></strong></span></p> <p><span style="font-size:22px;"><strong>Nvidia揭露新模型，效能超越DeepSeek R1</strong></span></p> <p>Nvidia最近開源Llama-3.1-Nemotron-Ultra-253B-v1模型，號稱效能與DeepSeek R1相當，但只有一半的參數量。進一步來說，這款模型是Nvidia三月宣布的Llama Nemotron系列模型之一，這一系列共有Nano、Super和Ultra三個版本，其中8B參數的Nano可在PC和邊緣裝置執行、49B參數的Super可在單一GPU上執行，253B參數的Ultra則需要多顆GPU執行，其中Nano、Super已經開源。</p> <p>最新發布的Llama-3.1-Nemotron-Ultra以Meta Llama-3.1-405B-Instruct為基礎，可支援128K字詞的上下文長度，能兼顧模型準確性和執行效率。因為，Nvidia用新的神經架構搜尋（NAS）技術，來降低3.1 Ultra所需的記憶體，可支援大型工作負載並減少執行模型需要的GPU數量。此外，Nvidia也用這個方法垂直壓縮本模型，大幅改善延遲性。</p> <p>Llama-3.1-Nemotron-Ultra現已提供商用，可在Hugging Face下載。3.1 Ultra可支援多種應用場景，包含AI代理人系統、聊天機器人、RAG和其他AI應用，不過，模型主要支援程式語言和英文，以及德、法、義、葡、西語、泰語、北印度語等。<a href="https://build.nvidia.com/nvidia/llama-3_1-nemotron-ultra-253b-v1/modelcard">（詳全文）</a></p> <p><img alt="" src="https://assets.ngc.nvidia.com/products/api-catalog/llama-3_1-nemotron-ultra-253b-v1/accuracy_plot.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> WordPress </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 網站架設 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 風格 </span></strong></span></p> <p><span style="font-size:22px;"><strong>WordPress.com推出AI工具架網站</strong></span></p> <p>Automattic旗下網站代管平臺WordPress.com最近提供AI Website Builder網站架設工具，使用者在幾分鐘內就能打造一個新網站，不需樣版，也不需寫程式，只要用自然語言告訴它需要什麼風格或網站用途，就能快速生成。</p> <p>使用者進入AI Website Builder後，可在聊天對話框中盡可能詳述網站需求，例如是要展示作品集、部落格還是商業網站，另也能加進網站名稱或描述想要的風格，比如有趣、簡約、優雅等。接著系統開始建置網站，期間會進一步要求使用者選擇版面、顏色與字體，並完成網站雛型。之後，使用者還能給提示，讓AI工具客製化網站樣貌，例如新增社交媒體圖示等。<a href="https://wordpress.com/blog/2025/04/09/ai-website-builder/">（詳全文）</a></p> <p><img alt="" src="https://en-blog.files.wordpress.com/2025/04/wordpress-ai-website-builder.jpg?w=1600&h=1000&crop=1" /></p> <p>圖片來源／Google、IBM、Amazon、Nvidia、WordPress.com</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. GitHub Copilot正式推出AI代理模式</strong></p> <p><strong>2. Midjourney測試最新一代圖片生成模型V7 </strong></p> <p><strong>3. 歐盟啟動「AI大陸行動計畫」，要趕上美、中AI建設</strong></p> <p>資料來源：iThome整理，2025年4月</p> </div></div></div>
2025/4/12 19:57作者王若樸https://www.ithome.com.tw/news/168407
【資安日報】4月14日，啟用SSL VPN的Fortinet防火牆遭到已知漏洞攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今天我們報導兩起資安事故，其共通點就是針對SSL VPN系統而來，其中，尤以針對Fortinet防火牆設備而來的攻擊行動特別值得留意，因為這起事故雖然針對已知漏洞而來，但該公司還是發布新版防火牆作業系統FortiOS因應。</p> <p>這起事故攻擊者不僅運用了已知漏洞，並透過符號連結（Symbolic Link）手法來回避偵測，但究竟駭客如何取得相關權限而得逞？Fortinet並未說明。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168399"><strong style="font-size: 22px;">啟用SSL VPN的Fortinet防火牆用戶注意！已知漏洞出現攻擊行動</strong></a></p> <p>今年1月資安業者Arctic Wolf揭露攻擊行動Console Chaos，駭客鎖定Fortinet防火牆的零時差漏洞CVE-2024-55591而來，隔月Fortinet透露這起攻擊行動攻擊者搭配另一項身分驗證繞過漏洞CVE-2025-24472，然而近期出現攻擊者利用已知漏洞的情況。</p> <p>4月10日，資安業者Fortinet發布警告，揭露他們近期發現鎖定該廠牌防火牆FortiGate已知漏洞而來的攻擊行動，攻擊者針對已啟用SSL VPN功能的防火牆設備而來，以便在唯讀存取FortiGate的狀態下，持續讀取受害FortiGate設備的檔案系統，而得以擷取系統組態資訊，這些遭到利用的漏洞，包含：CVE-2022-42475、CVE-2023-27997、CVE-2024-21762，CVSS風險介於9.2至9.5分。</p> <p>Fortinet在察覺此事後啟動PSIRT事件回應工作，開發緩解措施，並與受到影響的客戶合作來因應。該公司呼籲用戶，應更新防火牆作業系統FortiOS至7.6.2、7.4.7、7.2.11、7.0.17、6.4.16版因應這波攻擊。</p> <p><a href="https://www.ithome.com.tw/news/168401"><strong style="font-size: 22px;">中國駭客鎖定Ivanti Connect Secure已知漏洞，對臺灣在內的12個國家發動大規模攻擊</strong></a></p> <p>今年1月、2月，資安業者Ivanti修補旗下SSL VPN系統Connect Secure（ICS）重大層級漏洞CVE-2025-0282、CVE-2025-22457（CVSS風險評為9.0、9.8分），相關漏洞攻擊引起政府單位及資安業者的高度關注，並揭露駭客使用的惡意程式，如今有新的調查結果指出，漏洞攻擊仍在持續進行，且範圍包含臺灣在內的12個國家。</p> <p>臺灣資安業者杜浦數位安全（TeamT5）指出，他們在3月底偵測到中國APT駭客利用上述兩項漏洞攻擊ICS系統的情況，這波攻擊行動已在臺灣、日本、南韓、荷蘭、新加坡、英國、美國、奧地利、澳洲、法國、西班牙、阿拉伯聯合大公國出現災情，而對於駭客攻擊的產業類別也相當廣泛，涵蓋近20個不同的產業，值得留意的是，研究人員在著手分析調查的過程裡，這些駭客很有可能仍持續控制受害組織的網路環境。</p> <p>TeamT5也提及鎖定ICS的攻擊行動升溫的情況，他們自4月以來，發現有大規模嘗試利用ICS漏洞的現象，僅管這些攻擊大部分並未得逞，卻顯著影響這些SSL VPN系統運作，造成不穩定甚至是癱瘓的現象。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/china-admitted-to-us-that-it-conducted-volt-typhoon-attacks-report/">針對中國駭客Volt Typhoon的攻擊事故，中國坦承動機是美國支援臺灣</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/remotemonologue-new-dcom-attack-bypasses-lsass-protection/">新攻擊手法RemoteMonologue能繞過LSASS防護機制</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/tycoon2fa-phishing-kit-targets-microsoft-365-with-new-tricks/">網釣工具包濫用SVG圖檔發動攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.darkreading.com/vulnerabilities-threats/zero-day-centrestack-platform-under-attack">檔案共享平臺CentreStack零時差漏洞出現攻擊行動</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168402"><strong style="font-size: 22px;">Dell修補PowerScale系列NAS系統，包括接管高權限帳號的重大漏洞</strong></a></p> <p>作為一線企業級儲存廠商的Dell，4月7日揭露旗下PowerScale NAS的6項漏洞，並釋出修補。這些漏洞存在於9.4.0.0到9.10.1.0版的OneFS儲存作業系統，會影響到基於OneFS的PowerScale與Isilon系列NAS產品。</p> <p>這些漏洞中，最危險的是CVE-2025-27690，嚴重性被評為9.8分（滿分10分），為使用預設密碼造成，未經身分驗證的攻擊者可藉由遠端存取，接管高權限的用戶帳號。</p> <p>另外5項漏洞CVE-2025-26330、CVE-2025-22471、CVE-2025-26480、CVE-2025-23378、CVE-2025-26479，嚴重性分別為7.0分、6.5分、5.3分，以及兩個3.1分，會導致用戶存取叢集權限停止、拒絕服務、資料外洩與資料完整性等問題。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/jenkins-docker-images-vulnerable-to-ssh-host-key-reuse/">Jenkins的Docker映像檔存在主機金鑰重覆使用的弱點</a></strong></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://cybersec.ithome.com.tw/2025/"><strong style="font-size: 22px;">臺灣資安大會將於4月15至17日舉行</strong></a></p> <p>資安年度盛事「Cybersec 2025臺灣資安大會」即將於4月15日至17日於南港展覽館二館舉行，今年邁入第11週年，以「Team Cybersecurity」為主題，集結全球頂尖資安專家帶來逾300場專業演說，匯集全球400多家資安品牌，預計吸引超過2萬名國內外資安專業人士與會。賴清德總統將會在會議第一天開場致詞，而這是總統連續4年出席這項國際級資安會議。</p> <p>針對今年的大會主題，代表的是當今資安威脅態勢，已是需要全員參與的戰役，每個參與者都是不可或缺，藉由分享洞見、制訂戰略、推動技術創新，所有人必須共同努力，打造未來的資安環境。</p> <p><a href="https://www.ithome.com.tw/news/168178"><strong style="font-size: 22px;">HTTPS憑證產業於3月新增兩項安全要求，7月禁止基於WHOIS的弱驗證</strong></a></p> <p>憑證頒發機構瀏覽器論壇Certification Authority Browser Forum（CA/Browser Forum）近日通過了HTTPS憑證兩項新的安全要求，包括多方發行驗證（Multi-Perspective Issuance Corroboration，MPIC），以及憑證檢查（Linting），並已於今年3月15日正式實施，而這兩項要求都是由Google內部的瀏覽器憑證管理專案Chrome Root Program所提出。</p> <p>此外，Google提議淘汰基於WHOIS的電子郵件、電話，以及傳真與實體郵件等驗證方法，以推動更安全的網域控制驗證機制，該禁令預計於今年的7月15日生效。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/168382"><strong>【4月11日】國家資通安全戰略2025本週正式公布</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168348"><strong>【4月10日】中華資安投資奧義智慧，攜手拓展市場、提升國際能見度</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168331"><strong>【4月9日】微軟修補CLFS零時差漏洞，若不處理，恐面臨勒索軟體攻擊</strong></a></p> </div></div></div>
2025/4/14 18:32作者周峻佑https://www.ithome.com.tw/news/168403
中國駭客鎖定Ivanti Connect Secure已知漏洞，對臺灣在內的12個國家發動大規模攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年1月、2月，資安業者Ivanti修補旗下SSL VPN系統Connect Secure（ICS）重大層級漏洞<a href="https://www.ithome.com.tw/tags/cve-2025-0282">CVE-2025-0282</a>、<a href="https://www.ithome.com.tw/tags/CVE-2025-22457">CVE-2025-22457</a>（CVSS風險評為9.0、9.8分），相關漏洞攻擊引起政府單位及資安業者的高度關注，並揭露駭客使用的惡意程式，如今有新的調查結果指出，漏洞攻擊仍在持續進行，且範圍包含臺灣在內的12個國家。</p> <p>臺灣資安業者杜浦數位安全（TeamT5）指出，他們在3月底偵測到<a href="https://teamt5.org/tw/posts/china-nexus-apt-exploits-ivanti-connect-secure-vpn-vulnerability-to-infiltrate-multiple-entities/">中國APT駭客利用上述兩項漏洞攻擊ICS系統</a>的情況，這波攻擊行動已在臺灣、日本、南韓、荷蘭、新加坡、英國、美國、奧地利、澳洲、法國、西班牙、阿拉伯聯合大公國出現災情，而對於駭客攻擊的產業類別也相當廣泛，涵蓋近20個不同的產業，值得留意的是，研究人員在著手分析調查的過程裡，這些駭客很有可能仍持續控制受害組織的網路環境。</p> <p>針對攻擊行動發生的過程，TeamT5指出，一旦駭客成功利用漏洞，就有機會遠端執行任意程式碼（RCE），從而入侵受害組織的網路環境，並部署惡意軟體。</p> <p>在這波攻擊行動裡，駭客使用的是惡意軟體SpawnChimera，此惡意軟體最早由日本電腦危機處理暨協調中心（JPCERT/CC）揭露，<a href="https://www.ithome.com.tw/news/167430">當時JPCERT/CC指出</a>，此惡意程式具備Spawn家族惡意程式的所有功能，這些惡意程式包括：惡意軟體部署工具Spawnant、網路隧道工具Spawnmole、SSH後門Spawnsnail。而TeamT5看到的SpawnChimera，更進一步整合了事件記錄抹除工具Spawnsloth。附帶一提的是，研究人員提及，SpawnChimera已是中國駭客組織之間共用的惡意軟體，這代表很有可能有多組人馬投入漏洞攻擊活動。</p> <p>TeamT5也提及鎖定ICS的攻擊行動升溫的情況，他們自4月以來，發現有大規模嘗試利用ICS漏洞的現象，僅管這些攻擊大部分並未得逞，卻顯著影響這些SSL VPN系統運作，造成不穩定甚至是癱瘓的現象。</p> </div></div></div>
2025/4/14 17:26作者周峻佑https://www.ithome.com.tw/news/168401
啟用SSL VPN的Fortinet防火牆用戶注意！已知漏洞出現攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年1月資安業者Arctic Wolf揭露攻擊行動Console Chaos，駭客鎖定Fortinet防火牆的<a href="https://www.ithome.com.tw/news/166969">零時差漏洞CVE-2024-55591</a>而來，隔月Fortinet透露這起攻擊行動攻擊者搭配另一項身分驗證繞過漏洞<a href="https://www.ithome.com.tw/news/167334">CVE-2025-24472</a>，然而近期出現攻擊者利用已知漏洞的情況。</p> <p>4月10日，資安業者Fortinet發布警告，揭露<a href="https://www.fortinet.com/blog/psirt-blogs/analysis-of-threat-actor-activity">他們近期發現鎖定該廠牌防火牆FortiGate已知漏洞而來的攻擊行動</a>，攻擊者針對已啟用SSL VPN功能的防火牆設備而來，以便在唯讀存取FortiGate的狀態下，持續讀取受害FortiGate設備的檔案系統，而得以擷取系統組態資訊，這些遭到利用的漏洞，包含：<a href="https://www.ithome.com.tw/tags/cve-2022-42475">CVE-2022-42475</a>、<a href="https://www.ithome.com.tw/tags/CVE-2023-27997">CVE-2023-27997</a>、<a href="https://www.fortiguard.com/psirt/FG-IR-24-015">CVE-2024-21762</a>，CVSS風險介於9.2至9.5分。Fortinet在察覺此事後啟動PSIRT事件回應工作，開發緩解措施，並與受到影響的客戶合作來因應。該公司呼籲用戶，應更新防火牆作業系統FortiOS至7.6.2、7.4.7、7.2.11、7.0.17、6.4.16版因應這波攻擊。</p> <p>對於駭客利用上述的資安漏洞，Fortinet指出駭客的目的是建立唯讀的存取管道，駭客藉由受害防火牆尚未修補的漏洞，將使用者檔案系統（user filesystem，/usr資料夾）及根檔案系統（root filesystem，最上層的/資料夾）當中，用於處理SSL VPN語言檔案的資料夾進行符號連結（Symbolic Link），由於這種竄改手法發生在使用者檔案系統上，使得攻擊者能夠回避偵測。</p> <p>值得留意的是，Fortinet也提及若是受害組織察覺異狀，僅有修補前述已知漏洞，由於攻擊者打造的符號連結很可能還保留在設備上，使得他們有機會藉此持續存取受害的防火牆。Fortinet指出，只有曾經啟用SSL VPN機制的防火牆才會受到影響，未曾啟用這類機制的企業組織不會曝險。</p> </div></div></div>
2025/4/14 15:40作者周峻佑https://www.ithome.com.tw/news/168399
微軟公布抓蟲AI工具Debug-gym 可和外部工具互動改進除錯建議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/en-us/research/blog/debug-gym-an-environment-for-ai-coding-tools-to-learn-how-to-debug-code-like-programmers/" target="_blank">微軟近日公布</a>能幫開發人員除錯（debug）的AI工具Debug-gym，可用除錯工具協助提供更好的除錯建議。</p> <p>現今已經有不少業者提供AI程式撰寫工具，號稱能依據程式碼和錯誤訊息建議除錯方案，但是這些工具在方案失敗時並不會提供其他進一步資訊，使某些錯依舊無法解決。有些用戶覺得AI程式工具無法全盤理解他們想解決的問題。</p> <p>微軟發表的debug-gym是一個輕量代理人開發環境，旨在讓企業開發除錯LLM代理人，它能使用互動式除錯工具，如預設的python debugger（pdb），以積極尋找進一步除錯資訊。透過工具獲得的回饋，Debug-gym擴展代理人的行為和觀察面，使之設定斷點、導覽程式碼、列印變項值，或建立測試函式，甚至改寫程式碼。程式代理人研究、生成新的除錯建議，最後交由人類判斷及核准。在交付之前，這些除錯方法可在相關codebase、程式執行和文件脈絡下進行grounding，而不只是依據訓練資料憑空設想的方案。</p> <p>微軟相信結合適當工具的互動式除錯方法，可幫助程式代理人更有效解決真實的軟工作業。</p> <p>微軟說明，debug-gym有以下特色：它支援全程式庫操作，可存取並編輯整個程式庫，且使用Docker沙箱隔離環境，確保除錯安全。它易於擴充，可輕鬆新增工具與功能。此外，它是文字導向：以JSON等結構化文字呈現資訊，適合整合大型語言模型（LLM）。</p> <p>利用debug-gym，開發人員可以指定資料夾路徑，使用任何自訂程式庫來評估代理人效能。微軟在<a href="https://microsoft.github.io/debug-gym/" target="_blank">debug-gym相關網頁</a>中還提供除錯標竿測試SWE-bench及可練習除錯的程式集Mini-nightmare，提供開發人員練習和衡量LLM除錯代理人效能。</p> <p>微軟並公布以這種方法建立除錯代理人的標竿測試結果。研究團隊使用包括Claude 3.7、OpenAI-o1、OpenAI o3-mini等9種LLM，開發出可下簡單文字（JSON格式）提示的代理人，讓它使用以下除錯工具包括eval、view、pdb、rewrite和listdir以改進除錯解決方案。</p> <p><a href="https://arxiv.org/pdf/2503.21557" target="_blank">初期測試顯示</a>目前上述三個主要模型，能解決解決SWE-bench Lite最多一半的問題，但微軟相信主因在於序列決策行為的訓練資料較少。而且，微軟指出，此種方法的代理人較傳統方法開發出來的代理人，效能已經提升30%、182%及160%，顯示是很有潛力的發展方法。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0414-%E5%BE%AE%E8%BB%9F-DeBug_froggy_bar_chart.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／微軟</span></span></p> </div></div></div>
2025/4/14 12:47作者林妍溱https://www.ithome.com.tw/news/168398
Google Workspace加入AI workflow、Docs整合NotebookLM音訊功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在上周Cloud Next 2025大會上，除了第7代TPU Ironwood、AI代理人開發工具外，<a href="https://workspace.google.com/blog/product-announcements/new-AI-drives-business-results" target="_blank">也發布針對Workspace企業應用的AI工具</a>，包括工作流程Workspace Flow，Docs、Sheets、Vids、Google Meet/Chat也都加入新的AI功能，其中NotebookLM音訊功能整合進Docs中。</p> <p>Google Workspace Flows是以AI自動化企業多步驟處理，為用戶研究、分析和生成內容。用戶可使用Gemini自製AI代理人來處理特定任務，Workspace Flows將之串連成自動化流程，它可參照用戶儲存在Google Drive的檔案，再以Gems執行下一步任務。例如處理客服支援的流程；Workspace Flows先檢視前端送入的表單，分析核心問題、研究可能解決方案、草擬回覆再加上標記，送給人類客服團隊審核並發送。</p> <p><a href="https://www.youtube.com/watch?v=fBmHNeDXYu8" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0414-Workspace%20Flows_use%20Gems_custom%20AI%20agents_3.png" style="width: 600px;" /></a></p> <p>Workspace Flows強調無程式碼執行。使用者只需在提示中以自然語言描述需求，它就會自行設計並建造邏輯驅動的流程，不需寫繁複程式或配置。Google也和夥伴合作，將Workspace串連到第三方工具。目前Workspace已啟動客戶Alpha早期測試方案，企業可以申請早鳥試用。</p> <p>NotebookLM的音訊工具Audio Overview可將用戶上傳的檔案整理成音訊檔，或製作成AI重點摘要的podcast。現在這工具也整合到Workspace 的Google Docs中。企業可以這功能將Docs檔轉成完整語音版本，或生成AI 重點摘要podcast。Google預計幾周內會以Alpha版供測試。</p> <p><a href="https://www.youtube.com/watch?v=FDnDnmIR5Ng" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0414-Audio%20in%20Google%20Docs(1).png" style="width: 600px;" /></a></p> <p>其他功能包括以AI潤飾改善Docs文件的Help me refine，以及分析Sheets試算表的Help me analyze，Workspace去年11月宣佈的影片編輯工具Vids現在升級使用Veo 2模型，強調不僅能為影片加上動畫、轉場效果，還能直接生成動作逼真、樣式多元的高品質商用影片，像是員工訓練、內部公告或行銷素材。強化版Vids也將在幾周內進入Alpha測試。</p> <p><a href="https://www.youtube.com/watch?v=uBf8ysZ_QtM&embeds_referring_euri=https%3A%2F%2Fworkspace.google.com%2F&embeds_referring_origin=https%3A%2F%2Fworkspace.google.com" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0414-Help%20me%20refine%20in%20Google%20Docs.png" style="width: 600px;" /></a></p> <p>最後，Google Meet中的Gemini之前加入Take notes for me功能，可幫用戶製作會議摘要。以此功能為基礎發展，Gemini現在可提供會議回顧，方便用戶快速掌握錯過的會議內容。此外，Google正在開發Google Chat群聊，以@gemini召喚出Gemini加入討論，預計幾周內上架Labs。<span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> </div></div></div>
2025/4/14 11:28作者林妍溱https://www.ithome.com.tw/news/168393
零售IT雙周報第54期：無人機正式送貨前，Amazon如何測試飛行安全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#0000FF;"><strong>重點新聞(0330~0412)</strong></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#智慧物流 #訂單履行 #無人機物流</span></span></strong><br /> <strong>Amazon如何設計一系列實驗，來確保送貨用無人機飛行安全</strong></p> <p>Amazon揭露自家物流無人機的安全測試方法。由於小型無人機沒有行之有年的常見安檢做法，他們綜合參考航空業、汽車業，甚至軍事系統測試做法，來鎖定大致測試方向。</p> <p>接著，他們預想實際可能發生的三大類風險，包括功能性風險（Functional Hazards），如硬體或軟體故障；人為犯錯，也就是操作人員犯錯；以及環境因素，像強風、冰雹，或顧客後院裡放有玩具等環境障礙。每一項潛在風險，都會有對應實驗來確保安全性。</p> <p>功能性風險實驗包括MEP測試，在飛行過程中突然關掉馬達、電子速度控制器或螺旋槳停止運作，以確認它是否仍然能保持飛行、返回發射地點，並降落於特定安全區域。以及備援系統切換測試，模擬主要飛行電腦故障，看無人機是否能順利切換至備援電腦並安全返回。</p> <p>人為犯錯規避方法，則是對操作人員進行測試，確保他們了解並遵守標準作業流程，包括從飛行前檢查到飛行後檢查的完整流程。</p> <p>環境障礙迴避測試，包括在降落地點放雜物，甚至是移動式障礙物，來確保無人機系統知道何時能投遞商品。Amazon還打造出一套空域與任務協調系統（Airspace and Mission Orchestration System），會在飛行前產生操作區域的高解析度模型，據此建立避開建築物、橋樑與電線等已知障礙物的航線。</p> <p>不只如此，雖然無人機只會於遠離機場的空域飛行，且會偵測飛行物用來廣播自己位置的訊號，他們還是執行了許多即時迴避飛行物的實驗，來應對意外情況。做法是，從許多不同角度和速度，在不同情境和高度下，操控直升機衝向無人機，來觀察無人機迴避能力。</p> <p>Amazon表示，這些測試不只是用來通過FAA（美國聯邦航空總署）認證，更有助於自家設計新無人機時參考。即使現在他們已經獲得FAA認證，且未曾發生空安事故，仍在持續設計新實驗，來測試並發展無人機應用新可能。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#生成式AI #服飾設計 #成衣生產</span></span></strong><br /> <strong>Walmart如何用AI及生成式AI加速供應商服飾設計及生產流程，費時從半年降至2個月</strong></p> <p><a href="https://corporate.walmart.com/news/2025/04/09/in-an-ever-changing-environment-walmart-uses-genai-to-create-cool-for-customers">Walmart揭露他們如何用生成式AI，來加速自家服飾供應商設計與生產。</a>傳統服飾設計到生產流程是，設計師會先研究時尚資料，再畫出情緒板，溝通可能顏色、樣式、名稱、概念等。接著，另一批設計師和商家會根據情緒板、販售資料、自身經驗等資訊，來決定最終設計，並產出具體規格給工廠。這一整套流程，通常費時半年。</p> <p>Walmart打造一套名為Trend-to-Product的AI工具，來簡化這個流程中不同環節。首先，他們利用AI爬蟲，協助設計師蒐集網路上不同潮流資訊，將數周的研究時間縮短到數分鐘。接著，AI還能快速生成情緒板，與服飾品牌溝通。決定設計後，再生成完整生產規格，與工廠溝通。從設計到上架流程，總共省下約18周時間。</p> <p>打造這套AI工具的起心動念，是當初有Walmart員工看到一份生成式AI文獻提到，可以用AI來分析既有化合物，甚至打造新化合物的可能性。於是，他們開始發想，是否可以將此概念用於服裝設計，分析既有服飾潮流，並設計新服飾。Trend-to-Product的首席PM Bill Chiodetti更表示，服飾設計只是第一步。他們還計畫擴大應用此工具到其他領域的商品設計，例如化妝品、熟食等。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#AI代理 #第三方網站連結 #站外代購</span></span></strong><br /> <strong>Amazon利用AI代理技術打造代購外站商品功能</strong></p> <p>在推出<a href="https://www.ithome.com.tw/news/167367">可以搜尋外站商品</a>的功能後，<a href="https://www.aboutamazon.com/news/retail/amazon-shopping-app-buy-for-me-brands">Amazon進一步推出可以直接於自家站內購買外站商品的功能</a>。也就是說，顧客可以不跳出網站，即完成站內站外購物操作，進一步強化Amazon作為購物入口網站定位。</p> <p>這個名為Buy for me的功能，顧名思義是利用代理AI技術，替顧客將加密過的姓名、地址、付款資料等資訊提供給外部品牌網站，來代為購物。Amazon表示，他們自己無法查看顧客在其他品牌網站上的歷史訂單等紀錄。目前此功能只支援少數賣家。顧客購買其他外部賣家商品時，則會比照舊模式，跳轉到品牌自家通路。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/bfm.jpg" style="height: 450px;" /></p> <p>此AI代理背後，是利用Amazon近期發表的Nova系列模型及Anthropic的Claude系列模型，並部署在AWS的AI平臺Bedrock上。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#商品上架 #視覺辨識</span></span></strong><br /> <strong>eBay推出行動版AI商品上架功能，根據簡單圖文自動搜尋站上類似商品並自動填入資訊</strong></p> <p><a href="https://innovation.ebayinc.com/stories/ebay-reduces-the-time-to-list-on-mobile-with-new-simplified-selling-tool-now-featuring-magical-listing-ai-technology/">eBay推出行動版商品上架功能。</a>商家只要上傳一張圖片，加上一句商品標題，系統就會自動尋找站上類似商品，用來自動帶入商品資訊到對應欄位。商家可以修改這些欄位資訊，確認無誤後便能上架商品。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ebmmls.jpg" style="height: 450px;" /></p> <p>這是他們一系列用視覺辨識AI及生成式AI來打造商家用工具的又一新做法。過往應用包括自動分析大量商品圖片並分別建立商品檔案的功能、商品照片去背及更換背景功能等。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#商品行銷 #網路素材 #Google商家</span></span></strong><br /> <strong>Google商家推出自動讀取商家資料，以呈現更多資訊在Google Map等行銷通路的做法</strong></p> <p><a href="https://support.google.com/merchants/answer/15760498?hl=en">Google商家開始會自動讀取商家資料，來自動在不同通路呈現相關訊息給使用者</a>。這些資料包括主要社群媒體連結與內容、促銷活動、商品與品牌影像，以及品牌行銷用語等資料，會曝光於搜尋結果、Google Shopping介面以及Google Map等通路。</p> <p>對商家來說，這等於免費獲得更多曝光機會，成為一個積極上傳高品質資料到Google商家的誘因。不只如此，此功能為預設同意，意即Google將能自動取得大量商家資料。</p> <p>這個做法，<a href="https://blog.google/products/search/ai-mode-multimodal-search/">又與近期Google擴大實驗AI多模態搜尋技術</a>，以及更常於搜尋結果頁面顯示AI Overview摘要等做法，時間不謀而合，顯示出他們嘗試強化自家AI搜尋技術的策略方向。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#RMN 2.0 #站外RMN</span></span></strong><br /> <strong>Momo開始經營涵蓋站外行銷通路的RMN</strong></p> <p>電商龍頭Momo預計於4月正式啟動「Momo聯播網」，這是他們RMN業務的一環，可以一站式投廣到站內以及站外媒體平臺。不過，Momo未揭露具體有哪些站外通路。對賣家而言，這有利於簡化廣告主行銷操作及預算分配。對Momo而言，則是有望提升RMN ROAS數字，以及分到更多企業的行銷預算。</p> <p>目前，Momo站內廣告包括關鍵字、展示型及置頂搜尋廣告等形式。比照國外RMN先行者歷程，等同於從只有站內廣告的RMN 1.0，走到橫跨站內站外通路的RMN 2.0階段。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099FF;">更多零售IT動態：</span></strong></span></p> <p>生鮮雜貨平臺<a href="https://investors.instacart.com/news-releases/news-release-details/instacart-launches-ai-powered-universal-campaigns-advertisers">Instacart推出一系列AI驅動的RMN廣告功能，包括跨通路AI代投和AI生成品牌商城頁面等</a></p> <p><a href="https://www.ithome.com.tw/news/168044">Buynomics藉由AI來模擬現實世界買家的行為，來協助企業決定最佳化定價、促銷與產品組合</a></p> <p>3C零售商<a href="https://corporate.bestbuy.com/2025/best-buy-creator-program/">Best Buy推出新創作者合作計畫，讓網紅打造推薦商品網路商城來導購</a></p> <p>統一超商推出會員訂閱制，用會員點數回饋來嘗試吸引顧客到實體門市消費</p> <p>資料來源：iThome整理，2025年4月</p> <p>責任編輯：郭又華</p> <p>圖片來源：</p> <p></p> </div></div></div>
2025/4/14 12:12作者郭又華https://www.ithome.com.tw/news/168373
【資安週報】0407~0411，國家資通安全戰略2025正式公布，建立國家資安戰情協同應變中心
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2025年4月第二星期的資安新聞，國內最重要的消息，就是我們在上個月報導即將公布的《國家資通安全戰略 2025》，由國家安全會議出版，4月8日正式於總統府網站發布，揭露了我國接下來的新資安戰略，將聚焦從4大支柱出發，包括：全社會防衛韌性、國土防衛與關鍵基礎設施、關鍵產業與供應鏈，以及AI應用與安全。</p> <p>特別的是，報告中提到「國家資安戰情協同應變中心」的建立，以及「國家資安風險地圖」的規畫，我們認為將是一大重點，可讓綜觀全局的聯防體系更為具體，突顯國內資安聯防對此方面的重視。</p> <p>在資安事故方面，國內2家上市櫃公司發布資安事件重訊，一是旅行箱製造商萬國通路，另一是LCD偏光板廠力特光電。後續我們還發現暗網情資顯示，勒索軟體組織Qilin與Devman同時宣稱力特光電為其受害者。</p> <p>還有一項消息值得國內重視，英國國家網路安全中心（NCSC）示警，發現中國駭客正鎖定臺灣、圖博、維吾爾族的團體與個人，散布間諜軟體BadBazaar和Moonshine，其手法包括假冒知名品牌App引誘安裝並要求手機各式權限。</p> <p>在資安威脅方面，針對開發人員散布惡意套件，以及VPN安全隱憂的消息是主要焦點，有多起消息揭露顯現出這些狀況需要被重視。</p> <p>●供應鏈資安業者發現本月4日有10個惡意VSCode擴充套件上架，目的是植入挖礦程式XMRig，但其顯示下載超過百萬次，可能駭客製造套件受歡迎的假象。<br /> ●北韓駭客Lazarus散布惡意NPM套件近期消息不斷，再有資安業者揭露其行動利用11個惡意NPM套件來散布木馬，並指出套件下架前已有5千多次下載。<br /> ●威脅情報業者警告，有駭客在3月底利用近2.4萬個IP位置，大量掃描Palo Alto Networks的GlobalProtect入口網站。<br /> ●非營利組織Tech Transparency Project（TTP）揭露蘋果App Store前百大免費VPN，多數開發廠商身分不透明，調查發現有2成的服務擁有者是中國公司。</p> <p>在漏洞消息方面，本週有微軟、Adobe、SAP等多家廠商發布4月例行更新，需要大家儘快修補與因應，還有4個新遭利用漏洞的消息需密切關住，已被美國CISA列入已知漏洞利用清單（KEV）。</p> <p>其中2起漏洞利用有更多消息揭露，微軟的漏洞CVE-2025-29824是被駭客組織Storm-2460利用於勒索軟體攻擊，CrushFTP的漏洞CVE-2025-31161攻擊也疑似為勒索軟體組織所為，另還出現CVE爭奪情形，因為此漏洞為Outpost24向CrushFTP通報，而VulnCheck另先將此漏洞指派CVE（CVE-2025-2825），導致重複與讓外界誤解狀況，MITRE已刪除後者並保留紀錄</p> <p>●微軟修補Windows CLFS零時差漏洞CVE-2025-29824<br /> ●Gladinet修補安全文件共享平臺CentreStack零時差漏洞CVE-2025-30406<br /> ●檔案伺服器軟體CrushFTP於3月修補的漏洞CVE-2025-31161<br /> ●Linux Kernel去年12月修補的漏洞CVE-2024-53197、CVE-2024-53150</p> <p>還有一個尚未列入KEV的漏洞利用消息，是資安業者ESET最近公開1月修補的漏洞CVE-2024-11859，通報的卡巴斯基亦揭露此漏洞遭利用的情況，指出是調查中國駭客ToddyCat攻擊行動所發現。</p> <p>在資安產業動向上，國內有一件重大策略結盟消息，奧義智慧科技母公司賽博創新科技（CyCraft-KY）揭露新的增資案，獲得上櫃公司中華資安國際注資6,500萬。目前CyCraft-KY（7823）正推動首次公開募股（IPO）計畫，中華資安（7765）也正申請轉上市。</p> <p>關於其他資安防禦重要新聞，Gmail推出E2EE全程加密功能，用戶在撰寫郵件時，點選收件者欄位右邊的鎖頭圖示就能啟用。</p> <p> </p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/168273"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月7日】下載免費VPN行動APP要小心！有五分之一來自中國，上網恐遭監控</span></strong></a></h3> <p>中國軟體業者透過多層轉投資的空殼公司，意圖隱匿中國身分，於蘋果App Store、Google Play store市集上架免費的VPN應用程式，這樣的情況相當值得留意，因為一般使用者難以追溯源頭，而有可能成為中國政府跟蹤上網流量的對象。</p> <p>揭露此事的非營利組織Tech Transparency Project（TTP）指出，他們在美國蘋果App Store前100名的免費VPN應用程式裡，發現有五分之一App來自中國，這樣的情況意味著使用者很容易下載到中國業者打造的應用程式。</p> <h3><a href="https://www.ithome.com.tw/news/168302"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月8日】駭客上傳惡意VSCode延伸套件散布挖礦軟體XMRig</span></strong></a></h3> <p>駭客盯上微軟Visual Studio Code（VSCode）用戶的情況，近期有越來越頻繁的現象，最近資安業者Koi Security揭露的攻擊行動引起關注，因為駭客上傳的惡意延伸套件，短短不到4天之內，總共就被下載超過100萬次。</p> <p>但真的有這麼多人上當受騙嗎？研究人員認為，這些下載次數很有可能是人工灌水產生，目的是製造套件受到大量採用的假象，來降低開發人員的戒心。</p> <p><a href="https://www.ithome.com.tw/news/168331"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月9日】微軟修補CLFS零時差漏洞，若不處理，恐面臨勒索軟體攻擊</span></strong></a></p> <p>這個星期二（4月8日）是許多廠商發布4月例行更新的日子，微軟、Adobe、SAP，以及多家廠商在這天為旗下產品進行修補，其中，微軟在這次修補126個漏洞相當引起關注，因為數量是上個月的兩倍多。</p> <p>值得留意的是，其中已有被用於實際攻擊行動的零時差漏洞CVE-2025-29824，微軟威脅情報中心（MSTIC）與安全事件回應中心（MSRC）指出，駭客組織Storm-2460鎖定有限數量的目標發動攻擊。</p> <h3><a href="https://www.ithome.com.tw/news/168348"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月10日】中華資安投資奧義智慧，攜手拓展市場、提升國際能見度</span></strong></a></h3> <p>本週臺灣資安產業迎來重大策略結盟，那就是資安服務業者中華資安國際宣布投資奧義智慧科技的消息，兩家公司在資本進行合作後，也將進行深度整合，集結各自的專業技術與實戰經驗，共同打造一支「臺灣資安國家隊」。</p> <p>雙方預計將結合奧義智慧在AI資安產品方面的技術，以及中華資安在資安專業服務領域的專業團隊，聯手拓展臺灣市場及提升國際能見度。</p> <h3><a href="https://www.ithome.com.tw/news/168382"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月11日】國家資通安全戰略2025本週正式公布</span></strong></a></h3> <p>延續蔡英文前總統的「資安即國安」的戰略核心基礎，賴清德團隊本週正式公布《國家資通安全戰略 2025——資安即國安》，當中提及現今臺灣的資安態勢相當嚴峻，光是是漸進式的做法，恐難以應付相關威脅。</p> <p>這個新戰略的頒布，意義重大，因為不光是為臺灣確立國家安全的願景，更強調要提升全社會的防衛韌性。</p> <p> </p> </div></div></div>
2025/4/14 10:13作者羅正漢https://www.ithome.com.tw/news/168383
全球資料中心到2030年的用電量將增加一倍以上，AI為最大驅動力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr"><a href="https://www.iea.org/reports/energy-and-ai" target="_blank">國際能源署（International Energy Agency，IEA）上周發布一項研究報告</a>，指出全球資料中心到2030年的用電量將增加一倍以上，達到945太瓦時（TWh），將約等於當今日本的總用電量。AI將是此一成長最大的驅動力，在這期間，針對AI最佳化的資料中心電力需求預計會增加4倍；然而，AI也可能改善電網的輸電容量，可能超越這期間資料中心所增加的電力負載。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/0413-global-data-centre-electricity-consumption-by-equipment-base-case-2020-2030_International%20Energy%20Agency%EF%BC%8CIEA_Licence%20CC%20BY%204_0.png" style="width: 600px;" /></p> <p dir="ltr"><span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;">圖片來源／<a href="https://www.iea.org/data-and-statistics/charts/global-data-centre-electricity-consumption-by-equipment-base-case-2020-2030" target="_blank">IEA (2025), Global data centre electricity consumption, by equipment, Base Case, 2020-2030, IEA, Paris</a> , Licence:<a href="https://creativecommons.org/licenses/by/4.0/" target="_blank">(CC BY 4.0)</a></span></span></p> <p dir="ltr">儘管AI運算帶來龐大的電力需求，再加上它的採用與影響存在著不確定性，但IEA認為，AI的快速發展與巨大潛力已經讓它成為企業策略、經濟政策與地緣政治的核心。AI與能源亦是相輔相成，AI的變革潛力取決於能源，同時AI也有可能改變能源產業。</p> <p dir="ltr">在2024年時，全球資料中心的耗電量為415太瓦時，約占全球總用電量的1.5%，其中使用最多資料中心電力的是美國（45%），其次是中國的25%，以及歐洲的15%。但到了2030年，資料中心的用電量將達到945太瓦時，多過於現在全日本的用電量，接近全球總用電量的3%。</p> <p dir="ltr"><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);"><img alt="" src="https://s4.itho.me/sites/default/files/images/0413-data-centre-electricity-consumption-by-region-base-case-2020-2030_International%20Energy%20Agency%EF%BC%8CIEA_Licence%20CC%20BY%204_0.png" style="width: 600px;" /></span></span></p> <p dir="ltr"><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源／</span><a href="https://www.iea.org/data-and-statistics/charts/data-centre-electricity-consumption-by-region-base-case-2020-2030" target="_blank"><span style="color: rgb(105, 105, 105);">IEA 2025; Data centre electricity consumption by region, Base Case, 2020-2030</span></a><span style="color: rgb(105, 105, 105);">, </span><a href="https://creativecommons.org/licenses/by/4.0/" target="_blank"><span style="color: rgb(105, 105, 105);">(CC BY 4.0)</span></a></span></p> <p dir="ltr">而AI將是主要驅動力。AI有多耗電？IEA估計，一個典型的、鎖定AI的資料中心所消耗的電力，約等於10萬個家庭的用電量，而現在正在興建的最大的AI資料中心的耗電量更是它的20倍。</p> <p dir="ltr">以美國為例，從現在到2030年，資料中心的電力消耗將占所有電力需求成長的近一半，在AI的推動下，2030年時，美國用來處理資料的電力將超越所有能源密集商品的總和，涵蓋鋁、鋼、水泥與化學製品等傳統的重工業用電。</p> <p dir="ltr">在更廣泛的先進國家中，資料中心可望帶動超過20%的電力需求成長，其中許多國家的電力需求已多年停滯或下滑，卻因AI而重新成長。</p> <p dir="ltr"><a href="https://www.iea.org/reports/energy-and-ai/energy-demand-from-ai" target="_blank">IEA指出</a>，基於AI的加速伺服器用電量預計每年成長30%，傳統伺服器用電量的每年成長幅度則是9%，加速伺服器占了全球資料中心成長幅度的一半，傳統伺服器占約20%，其它IT設備與基礎設施則分別占了10%與20%的成長規模。</p> <p dir="ltr">中國、美國、日本及歐洲更是資料中心用電量成長最快的地區，從現在到2030年，中國資料中心的電力需求將成長170%，美國將成長130%，日本將成長80%，歐洲則是成長70%。</p> <p dir="ltr">雖然AI可能加劇一些能源安全壓力，但IEA也看好AI協助解決其它問題的潛力，包括協助平衡日益複雜、分散及數位化的電網，改善可再生能源的預測及整合，精確定位故障的電網，增加輸電線路的容量，以在不建造任何新線路的情況下釋出高175吉瓦（GW），將高於資料中心從今至2030年所增加的電力負載。</p> </div></div></div>
2025/4/13 23:19作者陳曉莉https://www.ithome.com.tw/news/168391
川普豁免手機、筆電、晶片與半導體設備關稅
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">美國已分別在今年4月5日及4月9日，對各國實施10%與更高的進口關稅，不過，<a href="https://content.govdelivery.com/bulletins/gd/USDHSCBP-3db9e55?wgt_ref=USDHSCBP_WIDGET_2" target="_blank">白宮上周五（4/11）宣布</a>，將豁免包括手機、筆電與晶片在內等20項產品的關稅，且自4月5日生效，已被課稅的可申請退稅。<a href="https://www.cnbc.com/2025/04/12/trump-exempts-phones-computers-chips-tariffs-apple-dell.html" target="_blank">根據CNBC的報導</a>，美國總統川普（Donald Trump）的新決定是為了讓企業有時間將生產移轉至美國。</p> <p dir="ltr">被豁免的產品涵蓋了平板電腦、各種小/中/大型電腦、光碟機，以及相關的零件與配件；亦包含硬碟、記憶體及光碟機；手機、路由器及基地臺設備；包括二極體及太陽能模組在內的光電元件及感應器；IC及SoC晶片；以及半導體製造設備等。</p> <p dir="ltr">此一豁免亦惠及原本被課稅最重的中國。根據美國媒體的報導，川普本周將會進一步說明該政策。</p> <p dir="ltr">川普在今年1月一上任就簽署了《美國優先貿易政策》（America First Trade Policy）總統備忘錄，之後決定向各國徵收至少10%或更高的關稅，以弭平美國與其它國家之間的貿易逆差，並將製造業拉回美國，在4月上線後，川普宣稱美國已收到逾75個國家的協商請求，此外，在宣布豁免特定產品關稅的同一天，<a href="https://www.whitehouse.gov/articles/2025/04/the-state-of-play-why-president-trumps-tariffs-are-necessary/" target="_blank">白宮亦揭露許</a>多企業也因此向美國輸誠。</p> <p dir="ltr">例如蘋果宣布要在美國投資5,000億美元以進行製造及培訓，Nvidia宣布在未來4年內將針對美國製造投入數千億美元，台積電也宣布要投資1,000億美元以於美國製造晶片，仁寶（Compal Electronics）考慮於美國擴張。</p> <p dir="ltr">除了電子業之外，汽車產業的BMW、現代汽車、本田、Nissan與福斯（Volkswagen），也都決定或考慮將擴大美國產線或將產線移至美國市場。更有一半的日本公司因為美國的關稅政策，打算增加在美國的投資。</p> <p dir="ltr">白宮指出，美國在工業上的損失令該國難以生產船舶、藥品或其它必需品，屬於國家安全緊急事件，而各國與各大企業的舉動也令美國認為，川普所宣布的關稅政策是必要的。</p> </div></div></div>
2025/4/13 22:11作者陳曉莉https://www.ithome.com.tw/news/168384
支援PCIe 5，效能與容量大幅突破，金士頓推新款資料中心SSD
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/jin_shi_dun_dc3000me_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這兩年來，<a href="https://www.ithome.com.tw/tags/pcie-50-ssd">支援PCIe 5.0的企業級與資料中心固態硬碟產品</a>越來越多，4月初金士頓終於也跟進，發表該公司首款PCIe 5.0資料中心固態硬碟，名為DC3000ME，產品外形為目前伺服器與儲存設備最普遍採用的2.5吋U.2，暫時無推出其他版本的規畫，因此，短期之內，他們在這款產品當中，應該不會有E1.S、E3.S這類外形的選擇。</p> <p>在使用的NAND快閃記憶體技術類型上，DC3000ME導入相對成熟、更適合企業級產品的eTLC（Enhanced TLC），儲存耐用度（每日寫入量）均為1，平均故障間隔（MTBF）為2百萬小時，提供5年有限保固與免費技術支援。值得注意的是，在單臺裝置的最大儲存容量規格上，DC3000ME也有突破——首度最大可提供15.36 TB（既有產品最高提供7.68 TB）。</p> <p>關於DC3000ME鎖定的應用類型，金士頓表示，可廣泛涵蓋多種環境的資料儲存需求，像是人工智慧（AI）、高效能運算（HPC）、線上交易處理系統（OLTP）、雲端服務、邊緣運算、軟體定義儲存，以及通用伺服器。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Kingston伺服器及資料中心 SSD 固態硬碟.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Kingston%E4%BC%BA%E6%9C%8D%E5%99%A8%E5%8F%8A%E8%B3%87%E6%96%99%E4%B8%AD%E5%BF%83%20SSD%20%E5%9B%BA%E6%85%8B%E7%A1%AC%E7%A2%9F.jpg" style="width: 600px;" /></a></p> <p>比起市面上已推出的PCIe 5.0資料中心固態硬碟，金士頓這款產品的I/O效能算是旗鼓相當，甚至處於領先地位。DC3000ME用於4 KB資料循序讀取處理時，全系列機型可達14,000 MB/s，而寫入效能最高為10,000 MB/s（7.68 TB容量的款式）；用於4 KB資料隨機讀取處理時，DC3000ME最高為280萬IOPS（7.68 TB容量的款式，3.84 TB與15.36 TB款式為270萬IOPS）；用於4 KB資料隨機寫入處理時，最高為50萬IOPS（7.68 TB容量的款式，3.84 TB與15.36 TB款式各為30萬與40萬IOPS）。</p> <p>而在存取延遲的部分，DC3000ME的15.36 TB款式若用於讀取資料，延遲低於10微秒，而寫入資料時，延遲低於70微秒。</p> <p>而在安全性與資安方面的特色，DC3000ME可針對突發斷電狀況，提供預防資料因此遺失的能力（Power Loss Protection，PLP），也內建硬體層級的加密保護（採用256位元AES演算法，支援TCG Opal 2.0規範）。關於管理功能的部分，DC3000ME支援NVMe-MI 1.2b，IT人員可透過頻外管理（out-of-band management）的方式進行遠端控管；同時，這臺NVMe固態儲存裝置也能夠支援128個命名空間的使用方式。</p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong><span style="color:#0000FF;">金士頓DC3000ME</span></strong><br /> ●原廠：金士頓<br /> ●建議售價：廠商未提供<br /> ●儲存容量：15.36 TB、7.68 TB、3.84 TB<br /> ●外形：U.2，2.5吋厚度15公釐<br /> ●儲存媒體：3D NAND，TLC<br /> ●最高讀寫速度：循序14,000 MB/s與10,000 MB/s，隨機280萬IOPS與50萬IOPS<br /> ●使用介面：PCIe 5.0 x4<br /> ●耐用度：每日寫入量為1<br /> ●耗電量：最大24瓦<br /> ●可靠度：200萬小時MTBF<br /> ●保固期間：5年有限</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/4/11 22:59作者李宗翰https://www.ithome.com.tw/review/168362
OpenAI推Pioneers Program，助企業打造AI專家模型與產業評測標準
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI宣布推出全新<a href="https://openai.com/index/openai-pioneers-program/">Pioneers Program</a>，聚焦企業導入人工智慧技術，並藉由建立產業專屬評測標準與專家模型，協助開發團隊解決，人工智慧應用落地過程中常面臨的效能瓶頸與可信度問題。該計畫將優先招募來自法律、金融、保險、醫療、會計等高影響力產業的新創公司，與OpenAI研究團隊合作，共同開發領域專屬的模型評測機制與支援客製化模型強化技術。</p> <p>OpenAI指出，隨著各行各業快速採用人工智慧，市場上缺乏能夠準確反映產業真實需求的模型評測標準，不僅使得企業難以衡量模型在特定情境下的實際表現，也衍生出人工智慧在商業應用中可靠性不足的疑慮。透過Pioneers Program，OpenAI將與企業共同設計並公開產業專屬的評測標準，協助開發者釐清模型能力邊界、辨識效能缺口，進一步成為各領域模型最佳化與品質管控的基準。</p> <p>另一方面，Pioneers Program也將導入OpenAI近期廣泛應用於模型微調的RFT（Reinforcement Fine Tuning）技術，讓企業能以更小量的資料、更聚焦的任務，訓練出專精特定應用的專家模型。這類模型特別適合處理高複雜度、高專業度或高風險的任務，包含法律文本分析、財務報表審查、醫療紀錄處理等，預期能強化人工智慧模型在產業垂直場景中的實用性與效能穩定度。</p> <p>OpenAI將提供完整的模型微調流程協作，包含資料準備、目標設計、模型訓練與效能驗證，最終產出的專家模型可由企業自行決定部署方式，並支援大規模上線。</p> <p>OpenAI強調該計畫的第一梯次，將以新創公司為主要合作對象，目標是與具有實際市場應用需求、並已投入人工智慧產品開發的團隊，探索人工智慧在產業的最佳實踐方式。目前，Pioneers Program已開放企業報名，OpenAI表示，後續將陸續公布各產業的評測標準設計成果，並分享實際應用案例與經驗，作為開發者社群與業界參考。</p> </div></div></div>
2025/4/11 21:25作者李建興https://www.ithome.com.tw/news/168381
【資安日報】4月11日，國家資通安全戰略2025本週正式公布
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>延續蔡英文前總統的「資安即國安」的戰略核心基礎，賴清德團隊本週正式公布《國家資通安全戰略 2025——資安即國安》，當中提及現今臺灣的資安態勢相當嚴峻，光是是漸進式的做法，恐難以應付相關威脅。</p> <p>這個新戰略的頒布，意義重大，因為不光是為臺灣確立國家安全的願景，更強調要提升全社會的防衛韌性。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168378"><strong style="font-size: 22px;">中國駭客透過網路論壇散布惡意程式，針對臺灣、維吾爾、圖博人士而來</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/TibetOne-uvePhKKshd.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/TibetOne-uvePhKKshd.png" style="width: 300px; float: right;" /></a></p> <p>英國國家網路安全中心（NCSC）針對臺灣、圖博、維吾爾族的團體與個人提出警告，中國駭客正在使用間諜軟體BadBazaar和Moonshine，鎖定可能對中國政府認為會帶來威脅的人士發動攻擊，對手機進行監控。</p> <p>這些駭客主要針對與臺灣、圖博、新疆維吾爾自治區、民主運動（包含香港），以及法輪功有關的人士而來，針對的對象涵蓋非政府組織（NGO）、記者，以及與上述對象有往來的企業及人士而來。</p> <p>針對駭客散布間諜軟體的手法，NCSC指出主要是採用木馬化（Trojanising）合法應用程式的方式進行，將惡意功能埋入，一旦使用者不慎安裝，這些「應用程式」在使用者不知情的情況下，取得各式權限，這些包含：麥克風、相機、手機簡訊、相片、地理位置資料。</p> <p><a href="https://www.ithome.com.tw/news/168367"><strong style="font-size: 22px;">俄羅斯駭客EncryptHub遭起底，此人黑錢白錢都要拿，既從事網路犯罪卻又通報漏洞拿獎金</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-1_blur.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-1_blur.png" style="width: 300px; float: right;" /></a>上個月微軟修補微軟管理主控臺（MMC）零時差漏洞CVE-2025-26633（MSC EvilTwin），通報此事的趨勢科技指出，將其用於實際攻擊的駭客身分，為匿稱為EncryptHub、LARVA-208、Water Gamayun的俄羅斯駭客組織。有另一家資安業者針對該組織進行調查，指出駭客不只從事網路犯罪，也一方面從事白帽駭客的工作，向企業通報漏洞賺取獎金。</p> <p>資安業者Outpost24指出，他們針對EncryptHub著手進行調查，結果發現駭客一系列的操作安全（OPSEC）失誤，曝露了該組織的生態系統關鍵元件，使得研究人員能夠更深入映射駭客的手法，並詳細剖析他們的攻擊鏈。</p> <p>研究人員特別提及，EncryptHub一面從事網路犯罪，卻也想要參與資安研究員的工作，其中兩個微軟於今年3月修補的資安漏洞CVE-2025-24061、CVE-2025-24071，就是EncryptHub使用SkorikARI的名字成功通報。但Outpost24認為，EncryptHub很有可能也將上述兩項漏洞用於攻擊行動。</p> <p><a href="https://www.ithome.com.tw/news/168374"><strong style="font-size: 22px;">美國感應器製造商Sensata遭勒索軟體攻擊</strong></a></p> <p>感應器製造商Sensata透過8-K表格向美國證券交易委員會通報，該公司在4月6日遭到勒索軟體攻擊，部分裝置遭到加密，而且已有文件被竊。</p> <p>Sensata表示在發現攻擊之後，立即啟動回應機制，企圖遏止攻擊行動，包括主動關閉網路，也在第三方資安專家的協助下展開調查，並通知執法部門，但他們並未透露駭客的來歷或所使用的勒索軟體。</p> <p>此攻擊行動已經影響了Sensata的日常運作，包括出貨、取貨、生產製造，以及其他各種業務。Sensata實施了臨時措施以恢復某些功能，目前尚無法確定全面恢復的時間表。根據初步調查的結獰，該公司亦發現有部分內部文件被竊，正在識別及審查所涉及文件。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/hackers-target-ssrf-bugs-in-ec2-hosted-sites-to-steal-aws-credentials/">AWS EC2代管的網站存在已知SSRF弱點，已被用於竊取AWS帳密資料</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/akirabot-abuses-openai-api-spam-website-contact-forms/">惡意程式AkiraBot濫用OpenAI的API，對網站表單進行轟炸</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/russian-hackers-attack-western-military-mission-using-malicious-drive/">俄羅斯駭客Gamaredon鎖定烏克蘭軍事行動而來，企圖透過外接式裝置竊取機密資料</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168270"><strong style="font-size: 22px;">無線點對點檔案傳輸應用程式Quick Share存在弱點，可造成服務中斷、未經授權寫入檔案</strong></a></p> <p>去年8月資安業者SafeBreach指出，他們在Google與三星合作推出的無線檔案傳輸機制Quick Share當中，發現10項資安漏洞，並將它們統稱為QuickShell，Google獲報後將這些漏洞登記為CVE-2024-38271、CVE-2024-38272（4.0版CVSS風險評為5.9、7.1）並進行修補，如今SafeBreach透露，他們檢查Google的修補程式，發現新的弱點CVE-2024-10668，攻擊者有機會在未經授權的情況下將檔案傳送到用戶設備。</p> <p>針對研究人員的發現，Google發布1.0.2002.2版Quick Share進行修補，並將這些弱點登記為CVE-2024-10668，CVSS風險評為5.9分。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/kibana-code-injection-vulnerability-prototype-pollution-threat-cve-2024-12556/">Kibana存在原型汙染威脅，攻擊者恐用於注入程式碼</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/joomla-security-alert-critical-sql-injection-mfa-bypass-vulnerabilities-uncovered/">Joomla存在SQL注入漏洞，以及可繞過多因素驗證的弱點</a></strong></p> <p></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168380"><strong style="font-size: 22px;">國家資通安全戰略2025本週正式公布</strong></a></p> <p>4月9日國家資通安全研究院發布最新一期的國際資安政策法制觀測週報，當中特別提及4月8日國家安全會議正式公布的《國家資通安全戰略 2025——資安即國安》，強調我國為了因應迫切的危機，包含國家支援的駭客活動、AI與量子科技的潛在威脅、勒索軟體攻擊、智慧財產間諜等各式挑戰，難以透過漸進式的做法來應對，應該要大幅提升資安應變目標、能力與韌性。</p> <p>新公布的資安戰略主要以四大支柱為核心，涵蓋全社會防衛韌性、國土防衛與關鍵基礎設施、關鍵產業與供應鏈，以及AI應用與安全。</p> <p>此戰略採取兩大準則實行，分別是資安治理與防護，以及戰略夥伴鏈結。再者，其執行的基礎是經由國家資安戰情協同應變中心主導，整合六塊基礎聯防體系、跨部會協防體系，以及戰略夥伴國際合作的運作；另一方面，本戰略也強調正規化強化國家資通安全會報及資訊資安預算。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/168348"><strong>【4月10日】中華資安投資奧義智慧，攜手拓展市場、提升國際能見度</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168331"><strong>【4月9日】微軟修補CLFS零時差漏洞，若不處理，恐面臨勒索軟體攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168302"><strong>【4月8日】駭客上傳惡意VSCode延伸套件散布挖礦軟體XMRig</strong></a></p> </div></div></div>
2025/4/11 17:51作者周峻佑https://www.ithome.com.tw/news/168382
中國駭客透過網路論壇散布惡意程式，針對臺灣、維吾爾、圖博人士而來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英國國家網路安全中心（NCSC）針對臺灣、圖博、維吾爾族的團體與個人提出警告，<a href="https://www.ncsc.gov.uk/news/ncsc-partners-share-guidance-for-communities-at-high-risk-of-digital-surveillance">中國駭客正在使用間諜軟體BadBazaar和Moonshine</a>，鎖定可能對中國政府認為會帶來威脅的人士發動攻擊，對手機進行監控。</p> <p>這些駭客主要針對與臺灣、圖博、新疆維吾爾自治區、民主運動（包含香港），以及法輪功有關的人士而來，針對的對象涵蓋非政府組織（NGO）、記者，以及與上述對象有往來的企業及人士而來。</p> <p>針對駭客散布間諜軟體的手法，NCSC指出主要是採用木馬化（Trojanising）合法應用程式的方式進行，將惡意功能埋入，一旦使用者不慎安裝，這些「應用程式」在使用者不知情的情況下，取得各式權限，這些包含：麥克風、相機、手機簡訊、相片、地理位置資料。</p> <p>對於駭客佯稱提供的應用程式，NCSC指出包含了WhatsApp、Skype等知名品牌的軟體，但也有針對攻擊目標而來的幌子，像是Tibet One、Audio Quran，這些冒牌App支援受害者慣用的語言，駭客利用網路論壇引誘目標上門。</p> </div></div></div>
2025/4/11 15:19作者周峻佑https://www.ithome.com.tw/news/168378
國家資通安全戰略2025本週正式公布
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>4月9日國家資通安全研究院發布<a href="https://www.nics.nat.gov.tw/core_business/information_security_information_sharing/International_Cybersecurity_Policy_Observation/cfd9b7ef-29eb-442f-84bc-6b3540a8721b">最新一期的國際資安政策法制觀測週報</a>，當中特別提及4月8日國家安全會議正式公布的<a href="https://www.president.gov.tw/File/Doc/9d056651-e4a0-4d51-adeb-5fee5ee71299">《國家資通安全戰略 2025——資安即國安》</a>，強調我國為了因應迫切的危機，包含國家支援的駭客活動、AI與量子科技的潛在威脅、勒索軟體攻擊、智慧財產間諜等各式挑戰，難以透過漸進式的做法來應對，應該要大幅提升資安應變目標、能力與韌性。</p> <p>新公布的資安戰略主要以四大支柱為核心，涵蓋全社會防衛韌性、國土防衛與關鍵基礎設施、關鍵產業與供應鏈，以及AI應用與安全。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2025_IELYV5hiY.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025_IELYV5hiY.jpg" style="height: 409px; width: 285px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2025_YvVCuV0A.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025_YvVCuV0A.jpg" style="width: 285px;" /></a></p> <p>此戰略採取兩大準則實行，分別是資安治理與防護，以及戰略夥伴鏈結。再者，其執行的基礎是經由國家資安戰情協同應變中心主導，整合六塊基礎聯防體系、跨部會協防體系，以及戰略夥伴國際合作的運作；另一方面，本戰略也強調正規化強化國家資通安全會報及資訊資安預算。</p> <p>而在落實戰略的具體措施，國家安全會議也提出多項工作，包含推行零信任架構、部署後量子密碼、建置資安菁英團隊、提升全民資安意識、盤點關鍵基礎設施（CI）風險，並將AI應用於資安防護等。</p> </div></div></div>
2025/4/11 16:37作者周峻佑https://www.ithome.com.tw/news/168380
美國感應器製造商Sensata遭勒索軟體攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">美國感應器製造商Sensata上周<a href="https://www.sec.gov/ix?doc=/Archives/edgar/data/1477294/000147729425000047/st-20250406.htm" target="_blank">透過8-K表格向美國證券交易委員會告知</a>，該公司在4月6日遭到勒索軟體攻擊，使得公司網路上的某些裝置遭到加密，而且已有文件被竊。</p> <p dir="ltr">根據<a href="https://www.sensata.com/sites/default/files/a/sensata-fact-sheet.pdf" target="_blank">Sensata的公司簡介</a>，該公司主要生產關鍵任務的感應器、電子保護元件，以及由多款感應器組成的各種解決方案，以協助客戶應對日益複雜的工程及營運效能要求。目前該公司在全球15個國家提供逾4.7萬種產品，每年售出11億個裝置，客戶涵蓋汽車、重型機車、越野車、工業及航太領域。Sensata<a href="https://s22.q4cdn.com/327799861/files/doc_financials/2024/q4/Sensata-Q4-2024-Earnings-Press-Release.pdf" target="_blank">在2024年的營收為39.3億美元</a>，擁有超過1.8萬名員工。</p> <p dir="ltr">Sensata並未於文件中說明駭客的來歷或所使用的勒索軟體，僅說在發現攻擊之後，該公司立即啟動回應機制，企圖遏止攻擊行動，包括主動關閉網路，也在第三方資安專家的協助下展開調查，並通知執法部門。</p> <p dir="ltr">儘管如此，此一攻擊行動已經暫時影響了Sensata的日常運作，包括出貨、取貨、生產製造，以及其它各種支援功能。Sensata實施了臨時措施以恢復某些功能，全尚無法確定全面恢復的時間表。</p> <p dir="ltr">此外，Sensata的初步調查亦發現有部分的公司文件被竊，正在識別及審查所涉及文件。</p> <p dir="ltr">由於尚不清楚此一攻擊事件所造成的全部範圍與影響，還未能估計它是否會對Sensata經營業績與財務帶來重大傷害。</p> </div></div></div>
2025/4/11 13:00作者陳曉莉https://www.ithome.com.tw/news/168374
Anthropic也推出200美元月費的個人版Claude聊天機器人方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">繼OpenAI推出月費高達200美元的Pro方案後，<a href="https://www.anthropic.com/news/max-plan" target="_blank">Anthropic也在本周宣佈</a>，推出相同收費水準的頂級個人版AI聊天機器人訂閱方案Claude Max。</p> <p dir="ltr">Anthropic的Claude 3.5 Sonnet是現今業界被認為最好的LLM之一，<a href="https://www.anthropic.com/news/anthropic-raises-series-e-at-usd61-5b-post-money-valuation" target="_blank">Anthropic上個月宣佈</a>在E輪募資中增資35億美元，使總市值突破615億。</p> <p dir="ltr">在此之前Anthropic針對個人用戶，僅有免費方案及每人每月20美元（年費200美元）的Pro方案。免費用戶每天可傳送100則訊息，<a href="https://support.anthropic.com/en/articles/8325612-does-claude-pro-have-any-usage-limits" target="_blank">Pro可享有免費方案5倍用量</a>，每5小時可傳送45則短訊息。</p> <p dir="ltr">Anthropic 說Max方案適合與Claude大量對話改進其作品、工作中使用大量文件和複雜資料、工作有急迫交件日，以及每天都會向Claude報到的人。Max又分成2種級別。其中月費100美元的擴充用量方案適合在多種任務上經常使用Claude的用戶，提供Pro 5倍用量上限。另一為最大彈性方案，月費200美元，提供Pro 20倍的用量限制，適合每天使用Claude執行「重要任務」的用戶。</p> <p dir="ltr">Max方案用戶除了獲得較大用量上限、較高輸出上限外，還可根據特別需求擴大用量，優先使用新功能和模型，以及在流量尖峰時確保頻寬。</p> <p dir="ltr">Claude另外還有設計給企業或部門使用的方案，包括每人每月25美元的Team方案及100美元的Enterprise方案。</p> </div></div></div>
2025/4/11 13:40作者林妍溱https://www.ithome.com.tw/news/168375
ChatGPT開始記得與用戶的互動歷史紀錄
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr"><a href="https://x.com/OpenAI/status/1910378768172212636" target="_blank">OpenAI周四（4/10）宣布</a>，即日起ChatGPT將會記得使用者過去與該聊天機器人的互動內容，以提供更個人化的回覆，也會根據使用者的喜好與興趣，以在使用者寫作、獲得建議或學習等提供更有用的協助。該功能已向全球的ChatGPT Plus及ChatGPT Pro用戶推出，但歐洲經濟區、英國、瑞士、挪威、冰島及列支敦士登等市場並未支援該功能。</p> <p dir="ltr">讓ChatGPT記得與使用者互動內容的好處是它可以參考過去的聊天紀錄，以提供更相關及更有用的回應，新的對話會建立在ChatGPT對使用者的已知資訊上，讓互動更順暢也更貼近用戶。</p> <p dir="ltr">其實OpenAI去年就開始小規模測試ChatGPT的記憶功能，當時仍需使用者手動啟用，本周的更新則讓記憶功能自動啟用，ChatGPT會根據雙方的對話記住使用者曾描述的興趣、偏好或目標等。使用者亦可透過設定中的個人化選項關閉記憶功能，若只是偶爾希望聊天內容不要被記憶，則可選擇臨時聊天功能。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/0411-Memory-ChatGPT.png" style="width: 500px;" /></p> <p dir="ltr"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／OpenAI</span></span></p> <p dir="ltr">ChatGPT用戶只需要新增一個聊天，接著點選臨時聊天，其內容就不會顯示於歷史紀錄中，也不會被用來訓練模型，但可能會被保留30天。</p> <p dir="ltr">歐洲經濟區等地的歐洲用戶之所以無法立即存取記憶功能，是源自於當地有相對嚴格的隱私法令，也開始實施新的AI規範AI Act，為了避免觸犯當地法令，OpenAI選擇暫緩部署。</p> <p dir="ltr">此外，除了ChatGPT Plus及ChatGPT Pro用戶之外，ChatGPT Team、ChatGPT Enterprise及ChatGPT Edu用戶也將在未來幾周取得ChatGPT的記憶功能。</p> <p dir="ltr">不僅是ChatGPT，Google Gemini也已於今年2月<a href="https://blog.google/feed/gemini-referencing-past-chats/" target="_blank">釋出了類似功能</a>。</p> </div></div></div>
2025/4/11 15:20作者陳曉莉https://www.ithome.com.tw/news/168377
俄羅斯駭客EncryptHub遭起底，此人黑白兩道通吃，既從事網路犯罪卻又通報漏洞拿獎金
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上個月<a href="https://www.ithome.com.tw/news/167819">微軟修補微軟管理主控臺（MMC）零時差漏洞CVE-2025-26633</a>（MSC EvilTwin），<a href="https://ithome.com.tw/news/168113">通報此事的趨勢科技指出</a>，將其用於實際攻擊的駭客身分，為匿稱為EncryptHub、LARVA-208、Water Gamayun的俄羅斯駭客組織，這些人利用上述漏洞，<a href="https://www.trendmicro.com/en_us/research/25/c/deep-dive-into-water-gamayun.html">在受害組織部署多種惡意程式</a>，其中包括竊資軟體Rhadamanthys、StealC、EncryptHub，以及後門程式DarkWisp、SilentPrism。有另一家資安業者針對該組織進行調查，指出駭客不只從事網路犯罪，<a href="https://outpost24.com/blog/unmasking-encrypthub-chatgpt-partner-crime/">也一方面從事白帽駭客的工作</a>，向企業通報漏洞賺取獎金。</p> <p>資安業者Outpost24指出，他們針對EncryptHub著手進行調查，結果發現駭客一系列的操作安全（OPSEC）失誤，曝露了該組織的生態系統關鍵元件，使得研究人員能夠更深入映射駭客的手法，並詳細剖析他們的攻擊鏈。</p> <p>研究人員指出，<a href="https://outpost24.com/blog/unveiling-encrypthub-multi-stage-malware/">他們確認</a>駭客使用PowerShell指令碼進行多階段攻擊，收集系統資料、外流有價值的資訊、迴避偵測、注入惡意酬載，以及部署竊資軟體。駭客偏好優先竊取含有帳密資料的事件記錄檔案，使用按部署惡意軟體數量付費（Pay-Per-Install，PPI）的第三方服務散布惡意程式，此外，他們也相當關切資安態勢，會將特定漏洞用於實際攻擊。附帶一提的是，這些駭客疑似也想要打造名為EncryptRAT的遠端存取工具，向其他網路罪犯兜售。</p> <p>但特別的是，Outpost24發現該組織背後，其實是1名10年前逃離家鄉烏克蘭的人士。此人一邊工作一邊自學電腦相關技能，直到2022年初疑似因入獄而停止活動，出獄後以網頁及應用程式開發服務接案，除此之外，他也投入漏洞懸賞抓漏，但僅有少數成果。EncryptHub在收入不足的情況下，於2024年上半開始從事網路犯罪。</p> <p>研究人員特別提及，EncryptHub一面從事網路犯罪，卻也想要參與資安研究員的工作，其中兩個微軟於今年3月修補的資安漏洞CVE-2025-24061、CVE-2025-24071，就是EncryptHub使用SkorikARI的名字成功通報。但Outpost24認為，EncryptHub很有可能也將上述兩項漏洞用於攻擊行動。</p> <p>Outpost24特別強調EncryptHub廣泛在網路犯罪的各式工作運用ChatGPT的現象，此人透過AI聊天機器人打造了Telegram機器人、C2伺服器、釣魚網站、郵件伺服器，以及位於洋蔥網路（.onion）的服務，甚至編寫惡意程式，或是用來了解他人製作的程式碼並改進，以及與自己的作案工具整合。</p> <p>此外，EncryptHub也使用ChatGPT進行寫作及翻譯，甚至討論未來的職涯──繼續從事網路犯罪，還是轉戰白帽駭客。</p> <p>但究竟研究人員如何得知如此詳盡的細節？Outpost24指出，EncryptHub重覆使用相似的密碼（200個帳號有82組密碼幾乎相同），將駭客活動與個人生活混合使用相同的網路帳號、電子郵件信箱及基礎設施，再者，駭客建置的C2伺服器並未採取適當保護措施，任何人都能在不需通過身分驗證的情況下存取所有檔案，因此他們才能掌握相關資訊。</p> </div></div></div>
2025/4/11 12:19作者周峻佑https://www.ithome.com.tw/news/168367
因應川普關稅政策，第一季全球PC出貨量上揚
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">市場研究機構<a href="https://canalys.com/newsroom/worldwide-pc-shipments-q1-2025" target="_blank">Canalys本周三（4/9）指出</a>，因應美國總統川普（Donald Trump）的關稅政策，全球個人電腦出貨量在今年第一季成長了9.4%，原因是製造商與通路搶著在成本升高之前儲存庫存。</p> <p dir="ltr">川普是在今年的1月20日簽署《美國優先貿易政策》總統備忘錄（America First Trade Policy），指示美國政府調查美國貿易持續逆差的原因，接著在2月13日簽署《互惠貿易與關稅》（Reciprocal Trade and Tariffs）總統備忘錄，指示麾下審查美國貿易合作夥伴的非互惠貿易行為，並在4月1日收到調查結果之後，<a href="https://www.whitehouse.gov/presidential-actions/2025/04/regulating-imports-with-a-reciprocal-tariff-to-rectify-trade-practices-that-contribute-to-large-and-persistent-annual-united-states-goods-trade-deficits/" target="_blank">於隔天宣布美國進入緊急狀態</a>。</p> <p dir="ltr">川普的緊急理由是，美國與其它國家之間的貿易存在著巨大的逆差，對美國的國家安全與經濟構成巨大威脅，於是決定向各國徵收高額關稅，最低標準為10%，自4月5日凌晨生效；<a href="https://www.whitehouse.gov/wp-content/uploads/2025/04/Annex-I.pdf" target="_blank">但針對貿易逆差過大的國家則徵收更高的關稅</a>，例如從臺灣出口商品至美國將被徵收32%的關稅，於4月9日凌晨生效。</p> <p dir="ltr">在全球股市因此而出現了連續幾天大幅振盪之後，川普4月9日<a href="https://truthsocial.com/@realDonaldTrump/posts/114309144289505174" target="_blank">透過他的社交平臺Truth Social宣布</a>，除了中國之外，其它逾75個國家皆已致電美國以進行協商，因此將預計實施的高額關稅延後90天，惟立即統一執行10%的關稅政策。至於中國則因對缺乏對全球市場的尊重，關稅則立即提高到125%。</p> <p dir="ltr">由於Canalys的調查是在已知美國將提高關稅之後、川普宣布延後之前，在預期關稅調漲的狀況下，原始設備製造商紛紛提高對美國的出貨量。</p> <p dir="ltr">Canalys的調查顯示，今年第一季全球PC的出貨量成長9.4%，達到6,270萬臺，其中，筆電出貨量為4,940萬臺，成長10%，桌上型電腦出貨量成長8%，為1,330萬臺。</p> <p dir="ltr">Canalys首席分析師 Ishan Dutt指出，今年首季PC出貨量的成長，來自於供應商對美關稅壁壘的預期心理，因而加速對美國的發貨，例如聯想與惠普在今年第一季針對美國的出貨量分別成長了20%與13%，以讓製造商及通路能夠於成本上漲之前儲存庫存。</p> <p dir="ltr">另一<a href="https://www.idc.com/getdoc.jsp?containerId=prUS53304025" target="_blank">市場研究機構IDC亦說</a>第一季的全球PC出貨量為6,320萬臺，與Canalys的調查相似，但IDC所計算的PC出貨量成長幅度僅有4.9%。</p> <p dir="ltr">一致的是，IDC認為第一季的出貨量明顯增加，反映出業者企圖避開美國的關稅政策。</p> <p dir="ltr">這兩家業者的調查都是在川普宣布暫停高額關稅之前，並都預期美國關稅政策的不確定性，再加上可能衍生的通膨壓力與全球經濟衰退風險，都將對今年接下來幾季的PC需求帶來負面影響。</p> <p dir="ltr">IDC全球裝置追蹤部門副總裁Ryan Reith指出，迄今PC供應鏈尚未發生任何的劇烈變化或調整，這是因為目前狀況仍變動不居，難以作出重大的商業決策，不過，他們依舊認為，若未來PC等硬體設備的價格增加，絕大多數都會轉嫁給消費者。</p> </div></div></div>
2025/4/11 14:14作者陳曉莉https://www.ithome.com.tw/news/168372
Firebase Studio開放預覽，結合AI助理與雲端IDE加速全端應用開發流程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google旗下行動與Web應用開發平臺Firebase，宣布推出全新雲端開發環境<a href="https://firebase.blog/posts/2025/04/introducing-firebase-studio">Firebase Studio</a>，並開放預覽試用。該服務結合人工智慧助理、雲端IDE與Firebase生態系多項開發工具，鎖定希望快速打造人工智慧應用或全端Web服務的開發者，進一步擴大Firebase在應用開發領域的產品版圖。</p> <p>Firebase Studio的定位，並非取代Android Studio這類原生App開發工具，而是針對Web應用、人工智慧功能與無伺服器架構的開發需求，提供一個可透過瀏覽器操作、整合人工智慧協作機制，並支援即時雲端部署的開發環境。</p> <p>在技術架構上，Firebase Studio繼承Project IDX的雲端虛擬機器架構，開發者可在瀏覽器中使用類似VS Code的編輯介面，具備完整的程式碼輔助、除錯工具與終端機操作能力。與Android Studio著重原生App開發不同，Firebase Studio預設的應用架構以Next.js為基礎，支援React生態系，並內建Genkit模組，自動配置Gemini API金鑰，讓開發者能快速在Web應用中加入生成式人工智慧能力。</p> <p>Firebase Studio特別針對人工智慧應用開發，加入自然語言驅動的App Prototyping代理工具，開發者可透過文字描述、圖片或草圖，快速產生可執行的Web應用原型，並直接在介面中與Gemini助理互動，修改介面設計、調整程式邏輯或新增功能。這些操作不僅能修改程式碼，也能自動處理Firebase服務的串接設定，例如使用者驗證、資料庫或人工智慧流程整合。</p> <p>Firebase Studio提供CodeOSS編輯環境，讓熟悉程式碼操作的開發者可自由編輯專案。完成開發後，開發者可透過Firebase App Hosting，將Web應用快速部署至Firebase平臺，系統自動處理建置、CDN快取與伺服器端算繪，並能即時產生可供手機或其他裝置掃描測試的QR code，方便進行行動裝置上的介面與功能驗證。</p> <p>Firebase Studio針對Web應用與人工智慧應用場景，適合開發行動裝置可瀏覽的PWA應用或企業內部工具，並提供可擴充的虛擬機器環境，支援Nix語言自訂套件與環境配置。開發者也可匯入本機或GitHub、GitLab、Bitbucket等平臺的既有程式碼，並共享自訂模板供團隊使用。</p> <p>Google表示，Firebase Studio預覽版開放所有開發者免費使用3個Workspace，Google Developer Program會員可使用10個，付費的Premium會員則可使用30個。部分進階服務如Firebase App Hosting部署則需綁定Google雲端帳單。Google同時預告，未來將陸續開放Gemini Code Assist代理功能，支援程式碼搬遷、人工智慧模型測試與自動文件生成，進一步強化人工智慧輔助開發的能力。</p> </div></div></div>
2025/4/11 14:20作者李建興https://www.ithome.com.tw/news/168371
Nvidia公布Llama-3.1 Nemotron Ultra 效能超越DeepSeek R1 但僅一半參數量
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">Nvidia本周<a href="https://huggingface.co/nvidia/Llama-3_1-Nemotron-Ultra-253B-v1#evaluation-results" target="_blank">開源Llama-3.1-Nemotron-Ultra-253B-v1模型</a>，宣稱效能和DeepSeek R1相當，但僅一半的參數量。</p> <p dir="ltr">Llama-3.1-Nemotron-Ultra是Nvidia<a href="https://www.ithome.com.tw/news/167942" target="_blank">三月GTC大會上宣布的</a>Llama Nemotron系列。Nano可在PC和邊緣裝置執行、Super可在單一GPU上執行，而Ultra模型則適用於多顆GPU的伺服器。其中<a href="https://huggingface.co/nvidia/Llama-3_3-Nemotron-Super-49B-v1" target="_blank">Super（49B</a>）以及Nano（<a href="https://build.nvidia.com/nvidia/llama-3_1-nemotron-nano-8b-v1" target="_blank">8B</a>）也已經開源。</p> <p dir="ltr">最新發布的Llama-3.1-Nemotron-Ultra是Meta Llama-3.1-405B-Instruct的衍生，為推理、人類聊天偏好、以及RAG和工具呼叫等任務後訓練。Llama-3.1-Nemotron-Ultra支援128K字詞的context length，欲執行推論，最好搭配單一8xH100節點。</p> <p dir="ltr">Llama-3.1-Nemotron-Ultra能兼顧模型準確性和執行效率（資料吞吐量）。Nvidia利用新的神經架構搜尋（Neural Architecture Search，NAS）技術來降低3.1 Ultra的記憶體大小，可支援大型工作負載並減少執行模型需要的GPU數量，因而可在模型準確性和效率之間取得平衡。此外，利用本方法垂直壓縮本模型，也大幅改善延遲性。</p> <p dir="ltr">Nvidia說，Llama-3.1-Nemotron-Ultra經過多階段後訓練，來改進其推理及非推理能力。後訓練方法包括為培養數學、編程、推理、聊天做的監督微調階段，以及為推理、聊天與指令遵從而進行的群組關聯政策優化（Group Relative Policy Optimization，GRPO）演算法。</p> <p dir="ltr">Nvidia也列出Llama-3.1-Nemotron-Ultra和參數兩倍大（6710億參數）的DeepSeek R1、和Llama 4 Behemoth、4000億參數Llama 4 Maverick及Llama 3.1 405B的標竿測試結果比較。其中在科學推理（GPQA Diamond）、複雜運算（AIME 2024）、程式撰寫、指令遵循中，Llama-3.1-Nemotron-Ultra都超越同儕，僅在複雜數學和聊天測試中由DeepSeek R1居冠。在所有項目中，Llama-3.1-Nemotron-Ultra也都大幅超越其源出的Llama 3.1-405B。</p> <p dir="ltr">Llama-3.1-Nemotron-Ultra現在已可提供商用，<a href="https://huggingface.co/nvidia/Llama-3_1-Nemotron-Ultra-253B-v1#evaluation-results" target="_blank">可在Hugging Face下載</a>。3.1 Ultra可支援多種應用場景，包含AI代理人系統、聊天機器人、擷取增強生成（RAG）和其他AI應用，也適合一般指令遵循的任務。本模型主要支援英文和程式語言，但也支援德、法、義、葡、西語、泰語及北印度語（Hindi）。</p> </div></div></div>
2025/4/11 12:54作者林妍溱https://www.ithome.com.tw/news/168360
Google宣布強化安全、IP防護的Gemini in Android Studio for Business
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">Google在Cloud Next 2025大會上<a href="https://android-developers.googleblog.com/2025/04/gemini-in-android-studio-for-business.html" target="_blank">宣布企業用Gemini in Android Studio for Business</a>，協助企業開發Android應用程式，強調對安全及智財的防護。</p> <p dir="ltr">Gemini in Android Studio for Business是專為企業開發設計，提供和Gemini in Android Studio同樣的功能，但更強化隱私、安全和管理功能。在Android應用程式開發方面，和一般版相同，Gemini in Android Studio for Business提供從程式碼撰寫、重構（refactoring）到文件紀錄整個過程的協助。</p> <p dir="ltr">要使用Gemini in Android Studio for Business，開發人員和管理員必須具備Gemini Code Assist標準版或企業版訂閱。Google Cloud管理員則可購買訂閱，並從Google Cloud管理介面，直接將授權指派給同公司的開發人員。</p> <p dir="ltr">在安全方面，Gemini in Android Studio for Business具備Google Cloud內建的安全功能，例如Private Google Access、VPC（virtual private cloud）Service Controls以及具備精細控管的企業存取控管。Google說，使用Gemini Code Assist訂閱服務，可幫助企業滿足SOC 1/2/3、ISO/IEC 27001（資安管理）、27017（雲端安全）、27018（PII保護）及27701（隱私資訊管理）等安全標準的要求。</p> <p dir="ltr">具有Code Assist企業授權的開發人員可獲得客製化效益，他們可以將GitHub、GitLab或BitBucket程式庫（包括本地部署的系統程式碼）連結到Gemini in Android Studio，使Gemini了解開發團隊常用的classes和methods，而提供滿足公司政策或最佳典範（best practice）的程式碼、程式碼建議、和對話回應，不需要開發人員額外花時間整合公司偏好的開發框架。</p> <p dir="ltr">Google還為Gemini in Android Studio for Business提供智財權賠償（<span style="box-sizing: inherit; font-size: x-large;">I</span>P indemnification），即若企業因使用了Gemini提供的程式碼遭第三方業者控告侵權，Google可代為賠償。</p> <p dir="ltr">最後，Google強調，不會使用Gemini in Android Studio for Business內所傳輸的客戶程式碼、輸入內容或建議，來訓練Google任何共用模型。當中涉及的智慧產權都歸企業所有，Google不會儲存任何程式碼。</p> </div></div></div>
2025/4/11 10:23作者林妍溱https://www.ithome.com.tw/news/168359
全球經濟再度面臨重大考驗
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">這個月有個震撼全世界的消息，那就是美國總統川普宣布對各國實施進口商品的對等關稅，4月9日正式生效，時值全球經濟局勢出現重大變化之際，各國都在尋找因應對策，最近這段期間，顯然大家已無暇顧及俄烏戰爭、以哈衝突的問題。</p> <p dir="ltr">以臺灣而言，企業若要將生產製造的產品賣到美國市場，會被加徵32％的關稅，可能受到這項政策影響的產業很多，有公司甚至表示好不容易熬過COVID-19疫情，如今面臨加徵龐大關稅的危機，可能維持4年之久，就像一場沒有病毒的疫情。這樣的比喻看似誇張，然而，後續引發的市場恐慌效應究竟會有多麼巨大，沒人能預測。</p> <p dir="ltr">全球股市也因為關稅加徵議題，正處於強烈震盪狀態。例如，台股加權指數4月8日收盤18459.95點、下跌772.4點，4月9日收盤17391.76點、下跌1,068.19點。美股標普500指數連續四個交易日都處於下挫狀態。此外，4月9日下午川普突然宣布，這項政策暫停實施90天，即刻生效，而且，這段期間僅實施10％的對等關稅，理由是超過75國聯絡美國希望進行談判且未採取報復行動，但對中國徵收的關稅將即刻提高至125％，當天終場標普500指數大漲474點，道瓊工業指數大漲2962點。</p> <p dir="ltr">日股4月10日暴漲近3000點，韓股漲了114.14點。</p> <p dir="ltr">以資通訊產業而言，有媒體綜合各家法人的預測，認為半導體暫時豁免加徵關稅，但網通設備、個人電腦／筆電／伺服器、手機，以及其他電子零件，都會受到相當大程度的影響。</p> <p dir="ltr">以市場炙手可熱的AI伺服器為例，市場研究機構集邦科技（TrendForce）預估2025年出貨年增率，將從28.3％微幅下修至24.5％，原因是全球政治經濟環境不穩定，可能使原廠委託製造商（OEM）或雲端服務供應商（CSP）趨於保守，延緩實際購置伺服器進度，不過，若是各國祭出關稅報復手段、引發更大規模的貿易壁壘，造成全球通膨或消費力衰退，OEM、CSP可能會更進一步減緩布建AI伺服器的腳步，屆時出貨年增率會再縮減至18％。</p> <p dir="ltr">稍早有分析師認為電子代工大廠將被迫加速美國製造，過去幾年已有些廠商正在著手進行，對於尚未至美設廠的業者而言，可能還在考量該跟進或想其他辦法。</p> <p dir="ltr">若是手機和筆電，由於供應鏈複雜、毛利低，終端組裝赴美機率低，業者認為可能會由供應鏈、品牌及消費者分攤關稅成本。</p> <p dir="ltr">至於軟體與雲端服務方面，臺灣出口至美國的軟體可能會受到32％關稅的影響，臺灣的雲端服務廠商是否會受到衝擊，目前尚未見到有分析師談論影響程度。</p> <p dir="ltr">因應這項變局，所有廠商正在思考許多降低風險對策，但顯然單靠分散供應鏈已經無法因應，分散市場已成為勢在必行的作法，而且，更令人擔心的是，美國對等關稅也將引發各國調整關稅的策略，如果廠商決定將需要支付的各種關稅成本轉嫁至客戶、消費者身上，也可能造成產品價格飆升，進而降低採購意願。</p> <p dir="ltr">持續觀察全球經濟情勢變化之餘，企業看來只能見機行事，多數可能會認為採取保守穩健態度，然而，在救亡圖存之餘，組織積極推動轉型的腳步不應就此停歇，單靠維持既有做法，恐怕很難抵禦市場變局，持續投入IT科技創新仍是一條可行之路，因為能夠藉此提升品牌、產品、服務的競爭力，可提供更多業務營運的靈活度，替未來發展帶來更多機會選擇空間。</p> <p> </p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/it">IT</a></div><div class="field-item odd"><a href="/tags/%E7%A7%91%E6%8A%80">科技</a></div><div class="field-item even"><a href="/tags/%E5%89%B5%E6%96%B0">創新</a></div><div class="field-item odd"><a href="/tags/%E8%BD%89%E5%9E%8B">轉型</a></div><div class="field-item even"><a href="/tags/%E9%97%9C%E7%A8%85">關稅</a></div><div class="field-item odd"><a href="/tags/%E4%BE%9B%E6%87%89%E9%8F%88">供應鏈</a></div><div class="field-item even"><a href="/tags/%E5%B7%9D%E6%99%AE">川普</a></div></div></div>
2025/4/11 08:54作者李宗翰https://www.ithome.com.tw/voice/168358
【資安日報】4月10日，中華資安投資奧義智慧，攜手拓展市場、提升國際能見度
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週臺灣資安產業迎來重大策略結盟，那就是資安服務業者中華資安國際宣布投資奧義智慧科技的消息，兩家公司在資本進行合作後，也將進行深度整合，集結各自的專業技術與實戰經驗，共同打造一支「臺灣資安國家隊」。</p> <p>雙方預計將結合奧義智慧在AI資安產品方面的技術，以及中華資安在資安專業服務領域的專業團隊，聯手拓展臺灣市場及提升國際能見度。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168347"><strong style="font-size: 22px;">殭屍網路鎖定中國廠牌TVT的DVR設備，單日攻擊的IP位址數量超過2500個</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/67f42236fd53dfc650fb2b96_AD_4nXc9Qymxnk_xx7lYPi9jx29ge2KcNUSbQsRuJBE0opJ7W3meVTqN7_C6A4p58Ikb3J7nedAc_KYw7blWAs-jJOIT_utcUGGe2m5TzTEBoFlIklUTUKvqewBNlFZ8MY-PdNjLO8u9.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/67f42236fd53dfc650fb2b96_AD_4nXc9Qymxnk_xx7lYPi9jx29ge2KcNUSbQsRuJBE0opJ7W3meVTqN7_C6A4p58Ikb3J7nedAc_KYw7blWAs-jJOIT_utcUGGe2m5TzTEBoFlIklUTUKvqewBNlFZ8MY-PdNjLO8u9.png" style="width: 300px; float: right;" /></a></p> <p>今年2月底至3月上旬，有多組研究人員對於殭屍網路Eleven11bot攻擊升溫提出警告，駭客綁架8.6萬臺物聯網設備，主要目標是華為旗下海思（HiSilicon）的DVR設備，特別是針對執行TVT NVMS9000軟體的裝置而來，當時公布相關發現的資安業者GreyNoise，近期察覺新一波疑為Mirai殭屍網路攻擊活動而提出警告。</p> <p>GreyNoise指出，他們從3月31日開始，看到鎖定NVMS9000設備而來的攻擊行動出現明顯增加的情況，這樣的情況於4月3日達到高峰，有超過2,500個設備IP位址受到攻擊，這樣的規模是之前的3倍之多。由於製造NVMS9000的中國廠商同為（TVT）將設備銷往全球超過120個國家，因此，相關的攻擊行動影響範圍可能很廣泛。</p> <p>這波攻擊的主要目標是美國、英國、德國，分別有6,471、5,738、5,713個IP位址的NVMS9000設備遭遇相關攻擊，駭客試圖利用未登記CVE編號的資訊洩露漏洞動手，企圖得到管理權限，以便控制受害設備。</p> <p><a href="https://www.ithome.com.tw/news/168322"><strong style="font-size: 22px;">傳甲骨文向雲端客戶通報資料外洩</strong></a></p> <p>3月底甲骨文公開否認Oracle Cloud代管客戶資料外洩，但根據彭博社報導，甲骨文近日悄悄向客戶發信通知資料外流事件，承認確有此事。</p> <p>上個月一名為rose87168的人士於駭客論壇張貼公告，聲稱握有超過14萬個Oracle Cloud租戶的資料，資料量多達600萬筆，其中包含單一簽入（SSO）及LDAP的帳密資料欲尋找買主，或是出售存取Oracle Cloud伺服器的憑證資料。但是當時甲骨文否認此事。</p> <p>彭博社指出，至少兩家客戶接獲甲骨文私下通知資料外洩事件。甲骨文告知，駭客駭入1臺8年沒使用的電腦系統，最後造成用戶資料及登入帳密被竊取，包括客戶姓名、Passkey及加密密碼，並說聯邦調查局及資安業者CrowdStrike正在調查。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.darkreading.com/vulnerabilities-threats/china-continues-harassing-ethnic-groups-spyware">中國駭客透過網路論壇散布惡意程式，針對臺灣、維吾爾、圖博人士而來</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/akirabot-abuses-openai-api-spam-website-contact-forms/">惡意程式AkiraBot濫用OpenAI的API，對網站表單進行轟炸</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/threat-actors-set-up-persistent-access-to-hosts-hacked-in-crushftp-attacks/">駭客鎖定CrushFTP已知漏洞，以便在受害組織持續活動</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168338"><strong style="font-size: 22px;">Adobe發布4月例行更新，呼籲優先修補ColdFusion</strong></a></p> <p>4月8日Adobe發布資安公告，修補旗下12款產品當中的54項資安漏洞，其中又以應用程式開發平臺ColdFusion最值得留意，因為該公司將其修補的優先順序列為最高（第1級），這樣的情況並不常見。</p> <p>從漏洞的數量來看，ColdFusion、FrameMaker、After Effects占大宗，分別為15個、10個、7個，但ColdFusion不僅修補的漏洞最多，當中多達11項被列為重大等級，而且，有4項危險程度達到9.1分（滿分10分）。</p> <p>這些漏洞是：CVE-2025-24446、CVE-2025-24447、CVE-2025-30281、CVE-2025-30282，一旦攻擊者成功利用漏洞，就有機會執行任意程式碼，或是讀取任意的檔案及系統。值得留意的是，利用CVE-2025-30281無須使用者互動，但其他漏洞利用存在必要條件：攻擊者必須引誘使用者開啟惡意檔案才能利用CVE-2025-24446、CVE-2025-24447，若是要利用CVE-2025-30282，則必須脅迫使用者在應用程式進行特定活動。</p> <p><a href="https://www.ithome.com.tw/news/168346"><strong style="font-size: 22px;">AWS EC2自動化管理工具SSM Agent存在路徑穿越漏洞，攻擊者有機會用來執行任意指令碼、提升權限</strong></a></p> <p>AWS Systems Manager（SSM）的代理程式使用要小心！資安業者Cymulate本週揭露當中存在發現路徑穿越漏洞，起因是外掛程式ID的驗證不當所致，一旦攻擊者成功利用漏洞，就有機會以root權限執行任意指令碼、在檔案系統非規畫位置建立資料夾，甚至能在系統的敏感區域寫入資料，而有機會達到權限提升的目的。此漏洞已於2月底通報，AWS於3月初發布3.3.1957.0版SSM Agent予以修補。</p> <p>雖然已發布新版SSM Agent緩解弱點，但Amazon在外電報導後提出新的說明，他們強調，這項弱點不會授予新的使用者權限，攻擊鏈仰賴執行SSM文件的使用者具備的權限，因此，Amazon不認為這是權限提升漏洞。他們也呼籲用戶應採用3.3.1802.0以上版本，以免受到這項弱點的影響。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/04/fortinet-urges-fortiswitch-upgrades-to.html">Fortinet修補交換器FortiSwitch重大層級漏洞，若不處理攻擊者能竄改密碼</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/ics-patch-tuesday-vulnerabilities-addressed-by-rockwell-abb-siemens-schneider/">Rockwell、ABB、西門子、施耐德電機發動4月份例行更新</a></strong></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168332"><strong style="font-size: 22px;">中華資安注資奧義智慧6,500萬，共築AI資安防禦新格局</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/67f5ec6eb776effb658fcfa1.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/67f5ec6eb776effb658fcfa1.jpg" style="width: 300px; float: right;" /></a>臺灣資安產業迎來重大策略結盟！資安服務業者中華資安國際（股票代號7765）今（9）日正式宣布，將注資6,500 萬元，入股英屬開曼群島賽博創新科技（CyCraft Technology）。賽博創新科技是臺灣本土AI資安原廠——奧義智慧科技100%控股母公司，目前正積極推動臺灣首次公開募股（IPO）計畫，並已完成申報輔導，股票代號7823。</p> <p>這項增資案，不僅是中華資安強化自身資安服務能量的重要一步，更被視為臺灣資安產業的關鍵里程碑，邁向資源整合、攜手應對日益嚴峻全球資安挑戰。</p> <p>透過本次的資本合作，中華資安與奧義智慧將進行深度整合，集結各自的專業技術與實戰經驗，共同打造一支「臺灣資安國家隊」，展現臺灣在資安領域的強勁實力。</p> <p><a href="https://www.ithome.com.tw/news/168220"><strong style="font-size: 22px;">Gmail推出全程加密功能</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Gmail-E2EE_st1MloEL7u.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Gmail-E2EE_st1MloEL7u.jpg" style="width: 300px; float: right;" /></a>4月1日Google針對Google Workspace用戶推出一項新功能，允許大型企業的Gmail使用者只需要少量操作，就能傳送全程加密（E2EE）的訊息予採用任何電子郵件信箱的任何人，該公司推出這項新功能緣由，主要是慶祝Gmail的21歲生日。</p> <p>Google表示，各種規模的組織都應能獲得安全及保密的通訊，但S/MIME與其它專有解決方案的複雜性，令端對端加密電子郵件成為擁有大量IT資源之組織的特權，Google在過去兩年致力於打破相關障礙，並於簡化E2EE上取得了進展。</p> <p>用戶在Gmail中要開始撰寫郵件時，只要點選收件者欄位右邊的鎖頭圖示，就能啟用E2EE加密。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/168331"><strong>【4月9日】微軟修補CLFS零時差漏洞，若不處理，恐面臨勒索軟體攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168302"><strong>【4月8日】駭客上傳惡意VSCode延伸套件散布挖礦軟體XMRig</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168273"><strong>【4月7日】下載免費VPN行動APP要小心！有五分之一來自中國，上網恐遭監控</strong></a></p> </div></div></div>
2025/4/10 17:46作者周峻佑https://www.ithome.com.tw/news/168348
殭屍網路鎖定中國廠牌TVT的DVR設備，單日攻擊的IP位址數量超過2500個
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年2月底至3月上旬，有多組研究人員對於<a href="https://www.ithome.com.tw/news/167788">殭屍網路Eleven11bot</a>攻擊升溫提出警告，駭客綁架8.6萬臺物聯網設備，主要目標是華為旗下海思（HiSilicon）的DVR設備，特別是針對執行TVT NVMS9000軟體的裝置而來，當時公布相關發現的資安業者GreyNoise，近期<a href="https://www.greynoise.io/blog/surge-exploitation-attempts-tvt-dvrs">察覺新一波疑為Mirai殭屍網路攻擊活動</a>而提出警告。</p> <p>GreyNoise指出，他們從3月31日開始，看到鎖定NVMS9000設備而來的攻擊行動出現明顯增加的情況，這樣的情況於4月3日達到高峰，有超過2,500個設備IP位址受到攻擊，這樣的規模是之前的3倍之多。由於製造NVMS9000的中國廠商同為（TVT）將設備銷往全球超過120個國家，因此，相關的攻擊行動影響範圍可能很廣泛。</p> <p>這波攻擊的主要目標是美國、英國、德國，分別有6,471、5,738、5,713個IP位址的NVMS9000設備遭遇相關攻擊，駭客試圖利用未登記CVE編號的資訊洩露漏洞動手，企圖得到管理權限，以便控制受害設備。雖然GreyNoise並未透露這項漏洞的其他細節，但<a href="https://www.bleepingcomputer.com/news/security/new-mirai-botnet-behind-surge-in-tvt-dvr-exploitation/">資安新聞網站Bleeping Computer指出</a>，GreyNoise提及的漏洞為另一家資安業者SSD Secure Disclosure<a href="https://ssd-disclosure.com/ssd-advisory-nvms9000-information-disclosure/">去年5月揭露</a>，當時SSD Secure Disclosure研究人員指出，攻擊者利用漏洞的唯一條件，就是存取DVR設備開放的連接埠。</p> <p>關於發動此類嘗試攻擊的來源，GreyNoise認為主要是亞太地區，他們在最近一個月看到駭客使用6,619個IP位址發動攻擊，其中來自臺灣的IP位址超過半數占大宗，有3,637個，其次是日本和韓國，有809、542個。</p> </div></div></div>
2025/4/10 16:04作者周峻佑https://www.ithome.com.tw/news/168347
AWS EC2自動化管理工具SSM Agent存在路徑穿越漏洞，攻擊者有機會用來執行任意指令碼、提升權限
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS Systems Manager（SSM）的代理程式使用要小心！資安業者Cymulate本週揭露當中存在發現<a href="https://cymulate.com/blog/aws-ssm-agent-plugin-id-path-traversal/">路徑穿越漏洞</a>，起因是外掛程式ID的驗證不當所致，一旦攻擊者成功利用漏洞，就有機會以root權限執行任意指令碼、在檔案系統非規畫位置建立資料夾，甚至能在系統的敏感區域寫入資料，而有機會達到權限提升的目的。此漏洞已於2月底通報，AWS於3月初發布3.3.1957.0版SSM Agent予以修補。</p> <p>AWS SSM Agent的主要功能，是讓管理者能遠端管理、設定EC2實體及本機伺服器，在AWS的管理及自動處理作業相當重要。管理者藉由JSON或YAML範本打造SSM文件（SSM Document）下達指令，交由SSM Agent執行相關工作，像是執行Shell指令碼、部署軟體、調整系統組態，通常SSM文件會包含執行工作所需的外掛程式，一旦SSM Agent執行，就會根據外掛程式的ID建立資料夾及檔案，而Cymulate找到的資安漏洞，就與外掛程式的ID驗證缺失有關。</p> <p>針對這項路徑漏洞發生的原因，研究人員指出發生在SSM Agent名為pluginutil.go的元件，當中稱為ValidatePluginId的功能，嘗試清理輸入失敗所致，使得攻擊者可運用帶有路徑穿越的符號（如../）設置惡意外掛程式的ID，從而利用漏洞。</p> <p>一旦SSM文件執行，就會以外掛程式的ID建立資料夾，並以root權限建立_script.sh檔案並執行。由於SSM Agent驗證外掛程式的ID存在弱點，使得攻擊者能在非預期的檔案系統路徑建立資料夾並執行指令碼，而有機會提升權限或是從事其他惡意活動。</p> <p>雖然已發布新版SSM Agent緩解弱點，但Amazon在外電報導後<a href="https://thehackernews.com/2025/04/amazon-ec2-ssm-agent-flaw-patched-after.html">提出新的說明</a>，他們強調，這項弱點不會授予新的使用者權限，攻擊鏈仰賴執行SSM文件的使用者具備的權限，因此，Amazon不認為這是權限提升漏洞。他們也呼籲用戶應採用3.3.1802.0以上版本，以免受到這項弱點的影響。</p> </div></div></div>
2025/4/10 13:05作者周峻佑https://www.ithome.com.tw/news/168346
Adobe發布4月例行更新，呼籲優先修補ColdFusion
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>4月8日Adobe發布資安公告，修補旗下12款產品當中的54項資安漏洞，其中又以<a href="https://helpx.adobe.com/security/products/coldfusion/apsb25-15.html">應用程式開發平臺ColdFusion最值得留意</a>，因為該公司將其修補的優先順序列為最高（第1級），這樣的情況並不常見。</p> <p>從漏洞的數量來看，ColdFusion、<a href="https://helpx.adobe.com/security/products/framemaker/apsb25-33.html">FrameMaker</a>、<a href="https://helpx.adobe.com/security/products/after_effects/apsb25-23.html">After Effects</a>占大宗，分別為15個、10個、7個，但Co<span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">l</span>dFusion不僅修補的漏洞最多，當中多達11項被列為重大等級，而且，有4項危險程度達到9.1分（滿分10分）。</p> <p>這些漏洞是：CVE-2025-24446、CVE-2025-24447、CVE-2025-30281、CVE-2025-30282，一旦攻擊者成功利用漏洞，就有機會執行任意程式碼，或是讀取任意的檔案及系統。值得留意的是，利用CVE-2025-30281無須使用者互動，但其他漏洞利用存在必要條件：攻擊者必須引誘使用者開啟惡意檔案才能利用CVE-2025-24446、CVE-2025-24447，若是要利用CVE-2025-30282，則必須脅迫使用者在應用程式進行特定活動。</p> <p>而對於這些漏洞的型態，CVE-2025-24446為輸入驗證不當弱點，CVE-2025-24447涉及未獲信任資料的反序列化處理，至於CVE-2025-30281、CVE-2025-30282，則為不當存取控制及身分驗證不當的弱點。</p> </div></div></div>
2025/4/10 11:47作者周峻佑https://www.ithome.com.tw/news/168338
WordPress.com發表AI工具，用聊天機器人幫你架站
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Automattic旗下的網站代管平臺WordPress.com本周三（4/9）加入了AI陣營，開始<a href="https://wordpress.com/blog/2025/04/09/ai-website-builder/" target="_blank">提供AI Website Builder</a>以讓使用者在幾分鐘內就能建置一個新網站，它不需要樣版，不需要撰寫程式碼，只要告訴它你需要什麼風格或是網站的用途，以與早就提供AI工具的競爭對手<a href="https://www.squarespace.com/blog/how-to-make-a-website-with-ai" target="_blank">Squarespace</a>及<a href="https://support.wix.com/en/article/about-wixs-ai-tools" target="_blank">Wix</a>較勁。</p> <p>在使用者造訪<a href="https://wordpress.com/ai-website-builder/" target="_blank">AI Website Builder</a>之後，在機器人聊天對話框中可以盡可能地詳述所需的網站，例如需要的是作品集網站、部落格或是商業網站，也能加進網站名稱，或是描述想要的風格，例如有趣、友善、簡約、優雅或任何的形容，並描述準備於網站發布的內容類型。</p> <p>而接著就必須登入或註冊WordPress.com，系統則會進一步詢問使用者的需求，然後開始建置，期間會進一步要求使用者選擇版面、顏色與字體，並完成網站雛型。之後使用者還能客製化此一由AI完成的網站樣貌，例如新增社交媒體圖示，變更特定元素或類別的顏色，變更選單項目，或是移動元素等，在最後的客製化階段中，免費版可支援30個提示。</p> <p>倘若購買了WordPress.com的代管服務，那麼就能使用無限數量的提示來客製化網站。</p> <p>WordPress.com表示，AI Website Builder非常適合想要快速且輕鬆啟動美觀網站的任何人，不管是小型企業、自由工作者、創作家、部落客或是開發人員等。</p> </div></div></div>
2025/4/10 12:32作者陳曉莉https://www.ithome.com.tw/news/168341
歐盟啟動「AI大陸行動計畫」，以期趕上美國與中國的AI建設
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歐盟執委會（European Commission，EC）本周三（4/9）<a href="https://ec.europa.eu/commission/presscorner/detail/en/ip_25_1013" target="_blank">宣布啟動「AI大陸行動計畫」</a>（AI Continent Action Plan），準備趕上美國與中國的AI建設，並成為全球於AI領域的領導者。</p> <p>EC說，AI的領導競賽尚未結束，不管是從尖端的基礎模型到專業的AI應用，歐盟都充滿活力，其推動力來自研究、新興技術、蓬勃發展的新創公司，以及擴大規模的企業生態體系統，AI Continent Action Plan將藉由五大關鍵支柱，來提升當地的AI創新能力。</p> <p>在歐盟之前，中國早在2017年便發布《新一代人工智慧發展規畫》，期望該國的AI技術在2020年就能達到全球先進水準，成為AI應用的主要國家，在2025年領先全球，在2030年成為世界主要的AI創新中心，中國對AI的野心涵蓋了智慧城市、智慧醫療、AI製造、自駕車、人臉辨識與自然語言處理等。</p> <p>至於美國則是在2021年通過《國家AI倡議法案》（National AI Initiative Act），致力於發展AI基礎研究、軍事及國防AI、擴大AI教育，也會擬定AI道德規範，到了今年剛上任的川普（Donald Trump）時代，則是在今年1月啟動Stargate Project計畫，由OpenAI、甲骨文、軟銀及MGX等業者共同成立新的AI公司Stargate，準備於美國投入5,000億美元來建設AI基礎設施，美國政府則藉由行政命令來支援其基礎建設，包括能源供應。</p> <p>而歐盟AI Continent Action Plan的五大關鍵，則分別是擴大AI資料及運算基礎設施，增加存取大量及高品質資料的管道，開發演算法並推動各領域採用AI，強化AI技術與人才，以及簡化監管等。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0410-AI%20Continent%20Action%20Plan-european%20commission.png" style="width: 450px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／歐盟執委會</span></span></p> <p>其中，在基礎設施的部分，EC準備藉由AI工廠（AI Factories）網路來強化當地的AI與超級電腦基礎設施，目前當地已部署了13家AI工廠，將可支援歐盟的AI新創、產業與研究人員的AI建模及應用。</p> <p>此外，EC也將協助建立多個AI超級工廠（AI Gigafactories，AIGF），與傳統AI工廠不同的是，AI Gigafactories可望配備10萬個最先進的AI晶片，其晶片數量約是現有AI工廠的4倍。這些AI超級工廠將會整合龐大的運算能力與資料中心，以前所未有的規模訓練及開發複雜的AI模型。EC相信，AI超級工廠將會引領下一波的前沿AI模型，以維護歐盟在關鍵工業領域及科學領域的戰略自主權。EC也在同一天向有興趣投資的財團<a href="https://eurohpc-ju.europa.eu/document/download/47492db7-592e-4ad8-b672-9c822f94afa0_en?filename=AI%20GIGAFACTORIES%20CONSULTATION.pdf" target="_blank">徵求意見</a>。</p> <p>根據EC的估計，每一個AI超級工廠的建置費用約落在30~50億歐元之間，歐盟及其成員國最高將負責35%的公共資金，其它則是由私人合作夥伴承擔。</p> </div></div></div>
2025/4/10 12:57作者陳曉莉https://www.ithome.com.tw/news/168345
GitHub推出Security Campaigns，讓企業系統化處理安全債成開發日常
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>GitHub宣布正式推出<a href="https://github.blog/security/application-security/found-means-fixed-reduce-security-debt-at-scale-with-github-security-campaigns/">Security Campaigns</a>功能，提供GitHub Advanced Security與GitHub Code Security用戶使用，助企業開發者與資安團隊在既有程式碼，系統性發現並修補尚未解決的安全漏洞，以降低長期累積的安全債風險。</p> <p>GitHub指出，雖然不少開發團隊已將修補安全漏洞的工作，納入日常拉取請求流程，透過GitHub的Code Scanning與Copilot Autofix功能，自動偵測與修復新出現的安全問題，但對於已經存在於程式碼庫的舊漏洞，開發者往往缺乏系統性管理與處理的機制，導致安全債長期累積。</p> <p>Security Campaigns的設計針對此一痛點，其運作方式由資安團隊主導，對企業內多個程式庫進行漏洞風險盤點與篩選，決定優先處理的問題範疇，例如可依據MITRE已知十大常見漏洞類型，或組織自訂條件篩選，建立一個活動範圍明確的修補專案，並設定處理期限。完成規畫後，系統會自動將活動內容通知相關開發者，並在開發者日常使用的GitHub工作介面中，顯示待處理的漏洞項目。</p> <p>開發者在Security Campaigns指定的修補任務中，可直接應用Copilot Autofix功能，自動取得修補程式碼建議，快速提交拉取請求進行修復。除了程式碼差異與說明文字，Security Campaigns也會自動建立GitHub Issues，讓開發團隊可依需求追蹤、協作或討論修補進度。GitHub進一步提供Campaigns管理介面，讓資安人員可以即時掌握各項修復專案的進度、個別漏洞的處理狀態，以及開發者參與修補工作的活躍程度。</p> <p>在管理流程上，Security Campaigns支援草稿模式，資安人員可事先建立草稿版本，進行範圍與漏洞篩選的反覆調整，確認內容無誤後才正式發布。此外，Security Campaigns具備組織層級的統計功能，可整合顯示所有已完成與進行中的專案資料，方便跨部門或跨專案的治理與稽核需求。</p> <p>GitHub提到，導入Security Campaigns的組織，平均可提升漏洞修補率至55％，高於傳統僅約10％的修補率。</p> </div></div></div>
2025/4/10 13:14作者李建興https://www.ithome.com.tw/news/168344
IBM推出z17，AI推論效能提升50%、整合HashiCorp管理功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>持續加碼為AI優化，<a href="https://newsroom.ibm.com/z17" target="_blank">IBM宣布推出採用最新處理器</a><a href="http://newsroom.ibm.com/z17" target="_blank">Telum II</a><a href="https://newsroom.ibm.com/z17" target="_blank">的新一代大型主機z17</a>，推論效能提升50%，新增AI代理人及助理，此外也整合新併入的HashiCorp安全及基礎架構管理功能。</p> <p>IBM在發表<a href="https://www.ithome.com.tw/news/150272" target="_blank">z16</a>三年後推出的z17，是5年設計開發的成果，包含300多項美國專利。伴隨z17，IBM也宣布z/OS 3.2、AI助理與管理套件、AI加速器Spyre Accelerator，以及新併入的<a href="https://www.ithome.com.tw/news/162514" target="_blank">HashiCorp的多雲安全管理功能</a>。</p> <p>z17採用最新的Telum II處理器，包含第二代SoC AI加速器，快取較上一代增加40%。IBM表示，z17支援250多種AI應用場景，包括減少信貸風險、管理聊天機器人服務、支援醫療分析及防範零售犯罪等，不再只限於營運性的AI業務。z17在信用卡詐欺防制的深度學習模型時，具備1毫秒的反應效能，每天能執行4500億次推論運算，比z16多50%。</p> <p>IBM也預告加速晶片Spyre Accelerator，今年第4季推出。Spyre Accelerator記憶體高達1TB，透過PCIe卡介面整合。Spyre Accelerator為主機執行生成式AI包括AI助理而設計，例如使用主機系統內的資料。Spyre Accelerator（圖右）與Telum II處理器（圖左）合併可支援多模型AI運算任務。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0410-IBM%20Telum%20II%20(left)%20and%20Spyre%20(right)%20chips.png" style="width: 600px;" /></p> <p>IBM也預覽z/OS 3.2作業系統。新版本支援硬體加速的AI功能，以及系統管理所需的AI分析。z/OS 3.2並支援新的資料存取方法、NoSQL資料庫和混合雲端資料運算。</p> <p>在安全方面，Z17首度整合了IBM 2024年收購HashiCorp的基礎架構管理工具，目前包含身份驗證方案IBM Vault，可確保Z主機的密碼、憑證、金鑰、令牌等機密資料。而利用Telum II及自然語言處理，Z17可提供敏感資料的發現和分類。IBM Threat Detection for z/OS則可偵測異常行為或網路攻擊。</p> <p>IBM也為z17加入AI助理，包括IBM watsonx Code Assistant for Z及watsonx Assistant for z，簡化開發人員及IT管理員的工作。5月將推出的管理套件IBM Z Operations Unite可蒐集Z主機多個來源的效能指標和log，幫助偵測異常、確保營運效能，Z Operations Unite亦整合了watsonx Assistant for z。</p> <p>Z17預計2025年6月18日出貨。<span style="font-size:14px;"><span style="color:#696969;">圖片來源／IBM</span></span></p> </div></div></div>
2025/4/10 11:59作者林妍溱https://www.ithome.com.tw/news/168339
Google開源多代理人互通協定Agent2Agent及多代理人開發套件、公布代理人市集
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AI代理人應用興起，在Google Cloud Next 2025上，<a href="https://developers.googleblog.com/en/a2a-a-new-era-of-agent-interoperability/" target="_blank">Google宣布</a>多代理人互通協定Agent2Agent讓不同廠商及平臺的代理人能互通並共同協作，也開源了多代理人開發套件Agent Development Kit（ADK），以及代理人市集Agent Gallery。</p> <p>現今愈來愈多企業自行打造和部署代理人以自動化公司內作業流程，從下單買新筆電到協助客服人員，或是支援供應鏈規劃。為了發揮代理人AI的潛力，協助企業提高生產力，眾多代理人必需要能在多代理人環境中相互協同，以跨越個別資料系統和應用。</p> <p>為此Google宣布代理人互通開放協定，名為Agent2Agent（A2A），並已向大眾開源。本模型是補強Anthropic的Model Context Protocol（MCP）協定，目的在解決企業大規模部署多代理人系統的挑戰，以提供不同底層框架或廠商的代理人彼此協同的標準。</p> <p>目前A2A已經獲得50多家技術廠商合作，包括Atlassian、Box、Cohere、 Langchain、MongoDB，以及提供應用和網上服務的Intuit、PayPal、Salesforce、SAP、ServiceNow、UKG 及Workday等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0410-google%20cloud-next%2025-Agent2Agent%20Protocol-partener-4.png" style="width: 600px;" /></p> <p>Google說明，A2A五大設計原則包括以下。一讓代理人能以自然、非結構型態相互協同，即使彼此記憶、工具與上下文不同。其次，A2A是以現有常見標準如HTTP、SSE、JSON-RPC等為基礎，可使代理人容易與企業現有IT資產整合。三、為維護安全，A2A支援企業等級的驗證和授權標準，類似OpenAPI驗證規格。四、它也必須要能支援各種任務，從簡單快速的工作，到需時數小時、甚至因為牽涉人而長達數天的深度研究，而A2A此時也要能對用戶提供即時回應、通知和狀態更新。最後，A2A要能彈性支援不同模態，包括文字、聲音和串流影片。</p> <p>Google已<a href="https://github.com/google/A2A" target="_blank">在GitHub公布A2A協定</a>草案規格，程式碼及範例。</p> <p>G<a href="https://storage.googleapis.com/gweb-developer-goog-blog-assets/original_videos/A2A_demo_v4.mp4" target="_blank">oogle以遴選面試為例說明A2A協同</a>，人事部經理在統一介面（如Google宣布的Agentspace）要求代理人根據工作經歷、技能和地點挑選出受試者，該代理人再和其他代理人合作，例如安排受試者進一步面談，面談完後，另一代理人啟動背景調查。</p> <p><span style="color:#B22222;"><strong>代理人開發工具、代理人市集</strong></span></p> <p><a href="https://google.github.io/adk-docs/" target="_blank">Google並開源了</a>讓企業開發多代理人的<a href="https://developers.googleblog.com/en/agent-development-kit-easy-to-build-multi-agent-applications/" target="_blank">代理人開發套件（Agent Development Kit，ADK）</a>。ADK內建搜尋、程式執行、MCP工具、也整合第三方函式庫LangChain或LlamaIndex或代理人，包括LangGraph或CrewAI。ADK可和Google Gemini或Vertex AI平臺上第三方模型共用，也提供LiteLLM整合，可整合Anthropic、Meta、Mistral AI及 AI21 Labs等多種模型。</p> <p>針對沒有足夠開發人員的組織，<a href="https://cloud.google.com/blog/products/ai-machine-learning/google-agentspace-enables-the-agent-driven-enterprise" target="_blank">Google則宣布</a>其代理人平臺AgentSpace加入代理人市集Agent Gallery和無程式碼開發服務Agent Designer。現在企業可以從Chrome Enterprise的搜尋列直接存取Agentspace，搜尋由Google和第三方業者提供的代理人。而Google自己也上架了自有新代理人包括Deep Research和Idea Generation，幫助企業發想、生成和驗證業務相關的想法，或合成出更紮實的資訊。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0410-google%20cloud-Agent%20Gallery-dea%20Generation%20agent.png" style="width: 600px;" /></p> <p>Agent Gallery和Agent Designer目前提供企業加入等候清單，排隊加入測試。Agent Designer現為預覽版。<span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Google</span></p> </div></div></div>
2025/4/10 11:10作者林妍溱https://www.ithome.com.tw/news/168336
Google揭新一代TPU、推跨平臺AI代理協定A2A和多種代理開發部署工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google雲端年度大會Next 25在4月9日正式登場，Google雲端執行長Thomas Kurian揭露一系列重磅更新，範圍涵蓋AI超級電腦架構（AI Hypercomputer）、Vertex AI平臺、辦公生產力工具和安全等領域，除了有專為推理模型設計的新一代TPU處理器Ironwood，還聚焦AI代理，祭出可支援AI代理跨平臺協作的Agent-to-Agent協定、多代理開發工具包ADK、流程自動化工具Google Workspace Flows，以及AI威脅偵測工具Google Unified Security等。</p> <p><span style="font-size:22px;"><strong>AI基礎設施亮點：專為大模型設計的Ironwood處理器</strong></span></p> <p>首先登場的是<a href="https://blog.google/products/google-cloud/ironwood-tpu-age-of-inference/">Google第七代張量處理器（TPU）Ironwood</a>。這款TPU專為「會思考」的模型設計，比如大型語言模型（LLM）、混合專家（MoE）模型、推理模型，這類模型通常需要大量的平行處理和高效能的記憶體存取。</p> <p>而Ironwood的每個晶片峰值運算能力為4,614 TFLOPs，可因應繁重的AI工作負載，且Ironwood有兩種晶片配置（256個晶片和9,216個晶片），當擴展到9,216個晶片時，其運算能力可達42.5 exaFLOP，是全球最大超級電腦El Capitan的24倍之多，適合用來執行複雜的AI模型。</p> <p>也因此，Google也將Ironwood用來優化AI超級電腦架構，提供更強大、高效能的運算資源給用戶。除此之外，AI超級電腦架構也有其他軟硬體更新，像是更好的叢集管理、更好的GKE推論能力等，來供使用者訓練和執行模型。</p> <p>在AI基礎設施部分，Google雲端還推出一項網路基礎設施新服務Cloud WAN，來提供高效能的網路連接，供企業因應AI應用帶來的高度分散網路需求。</p> <p><span style="font-size:22px;"><strong>AI代理亮點：A2A協定、代理管理、辦公流程自動化、威脅偵測</strong></span></p> <p>雲端AI新工具是今年度Google雲端大會的一大亮點，特別是AI代理（Agents）。</p> <p>首先，有別於用一套標準將模型、資料和工具連結起來的Model Context Protocol（MCP）協定，Google祭出一個<a href="https://developers.googleblog.com/en/a2a-a-new-era-of-agent-interoperability/">Agent-to-Agent協定（簡稱A2A）</a>，要讓開發者用來打造高互通性的代理。也就是說，只要是按A2A協定開發的代理，就能跨平臺、跨服務彼此溝通。</p> <p>這對使用者來說，可以選擇不同廠商的AI代理、組合使用，系統可以兼容這些不同來源的代理。對企業來說，他們能在不同平臺或不同雲端服務間，統一管理各個代理，減少技術負擔。這個A2A協定，目前已獲50多家業者支援。（如下圖）</p> <p><img alt="" src="https://storage.googleapis.com/gweb-developer-goog-blog-assets/images/image1_yEPzdSr.original.png" /></p> <p>不只如此，Google還在自家AI開發平臺Vertex AI中，新添不少AI代理工具，其一是<a href="https://cloud.google.com/blog/products/ai-machine-learning/build-and-manage-multi-system-agents-with-vertex-ai?e=48754805">代理開發工具包Agent Development Kit（ADK）</a>，專門用來簡化AI代理的建置、測試和部署執行，號稱不必寫到100行程式碼，就能完成代理建置。而且，這款ADK還支援MCP協定。</p> <p>在這個ADK中，還有2項用來開發和部署代理的工具，分別是Agent Garden和Agent Engine。其中，前者包含可直接使用的代理範本和工具，來協助開發者快速打造AI代理，後者則讓使用者將AI代理程式部署到正式環境時，不必重建整個代理系統，還能管理代理程式的基礎架構、擴展性、評估、監控和安全等。</p> <p>不過，Google預計今年第三季提供ADK公開預覽版。</p> <p>另一項AI代理亮點是<a href="https://cloud.google.com/blog/products/ai-machine-learning/google-agentspace-enables-the-agent-driven-enterprise?e=48754805">Google Agentspace新功能</a>，包括企業使用者可直接從Chrome搜尋框來使用Agentspace的搜尋、分析和資訊整合功能，也能透過Agent Gallery（代理庫）來快速導入各種代理，或是部署Google自家的代理。這些Agentspace新功能，目前只開放白名單用戶使用。為顧及企業資料隱私需求，Google也計畫推出Google Distributed Cloud（GDC）平臺，來支援企業本地段部署Gemini系列模型和Agentspace代理應用，預計今年第三季開始提供GDC。</p> <p>此外，Google還打造AI Agent Marketplace市集，收錄第三方各種AI代理，來讓使用者隨插即用。甚至，他們還推出一項實用的<a href="https://workspace.google.com/blog/product-announcements/new-ai-drives-business-results">自動化流程工具Google Workspace Flows</a>，使用者用自然語言描述想完成的流程，AI代理就會自動設計整個邏輯流程，不必寫程式就能完成跨應用的工作自動化。</p> <p>就連這次新推的AI威脅偵測和反應服務Google Unified Security，都與AI代理有關，借助新Gemini模型驅動的AI代理來自動分析系統、偵測威脅並給予建議。</p> <p><span style="font-size:22px;"><strong>Vertex AI平臺支援更多生成式多模態模型和Google地圖資訊</strong></span></p> <p>除了AI代理，在今日大會中，Google雲端也宣布不少模型更新，其中亮點是<a href="https://cloud.google.com/blog/products/ai-machine-learning/expanding-generative-media-for-enterprise-on-vertex-ai?e=48754805">Vertex AI平臺支援更多生成式多模態模型</a>，包含這次新納入的文字轉音樂模型Lyria，整體就涵蓋了影片、圖像、語音和音樂。等於使用者配合既有的圖像、語音和影片生成能力，可以從一段簡單的文字開始，逐步生成圖像、影片，並自動加入音樂與旁白，實現完整的生成式內容製作。</p> <p>就既有模型來說，Google也進行優化和更新。比如，他們替文字轉影片模型Veo 2增添新功能，如鏡頭控制、影片編輯工具，使用者能更細緻地調整影片內容、快速重製和優化。Google也為文字轉語音模型Chirp 3新添客製化功能，使用者只需提供10秒音訊，就能生成專屬聲音模型。此外，Chirp 3 還支援AI配音疊加至既有錄音，並提供辨識說話者的語音轉錄功能。</p> <p>同時，Google也優化了文字轉圖片模型Imagen 3的品質，讓圖像中缺失或不自然的處理更細膩自然，尤其在物件移除和修圖場景中，能更自然呈現。</p> <p>不只是多模態模型支援，Thomas Kurian也揭露，<a href="https://mapsplatform.google.com/resources/blog/grounding-with-google-maps-now-available-in-vertex-ai-power-your-ai-responses-with-google-maps-information/">Vertex AI平臺還將支援Google地圖資訊</a>，讓使用者的大型語言模型可即時存取Google地圖資訊，來提供更準確的回答。不過，該功能為實驗版，且只限於美國使用。</p> <p></p> </div></div></div>
2025/4/10 01:40作者王若樸https://www.ithome.com.tw/news/168333
提供iLO 7與更多液冷搭配，HPE伺服器正式開啟第12世代
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/hpe_proliant_compute_dl360_gen12_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年下半，HPE伺服器產品線ProLiant Compute系列邁入第12代，陸續發表<a href="https://www.ithome.com.tw/review/163787">DL384 Gen12</a>、<a href="https://community.hpe.com/t5/ai-unlocked/hpe-proliant-compute-dl380a-gen12-expands-performance-with/ba-p/7229518">DL380a Gen12</a>，這項消息最初是在該公司6月舉行的年度全球用戶大會Discover發布，接下來推出的新機型，就是今年2月上旬發表的8款產品，裡面有6款預計這季上市，響應2月24日英特爾推出搭載高效能核心（P-core）的Xeon 6處理器，HPE這6款伺服器也在同時登場，正式揭開ProLiant Compute Gen12的序幕，導入伺服器領域首創的多種資安防護功能，可針對複雜的工作負載提供最佳化效能，並且運用AI強化的管理機制，進而大幅提升生產力。</p> <h3><span style="color:#0000FF;"><strong>處理器搭配英特爾Xeon 6系列，提供更多支援液冷的機型</strong></span></h3> <p>我們現在來看看其中一款採用1U2路組態的機型DL360 Gen12，相較於上一代產品DL360 Gen11，兩款機型同樣提供32個DDR5記憶體模組插槽，最多可安裝至8 TB容量，但DL360 Gen12最高支援6400 MT/s，DL360 Gen11支援5600 MT/s；硬碟儲存均可搭配4臺3.5吋硬碟、10臺2.5吋硬碟，以及20臺E3.S固態硬碟；PCIe皆能擴充3張5.0 x16介面卡，全高、短板，以及全長或短板。</p> <p>關於處理器的規格，既有的DL360 Gen11可搭配兩顆英特爾第四代或第五代Xeon Scalable系列，最多能設置120顆或128顆核心；最新推出的DL360 Gen12，搭配用於資料中心與邊緣環境的英特爾Xeon 6處理器，最多能設置288顆核心（Xeon 6 with E-core），或是最多能設置172顆核心（Xeon 6 with P-core）。</p> <p>在效能最佳化、能源使用效率、成本效益的表現上，HPE根據內部測量的耗電與效能數據指出，相較於ProLiant Gen10世代的伺服器，若是採用86核心英特爾Xeon 6處理器的ProLiant Compute Gen12，每瓦效能領先幅度高達41％，每年可節省耗電量的比例為65％；而且，每一臺ProLiant Compute Gen12伺服器提供的運算效能，相當於7臺ProLiant Gen10世代的伺服器，企業得以釋放更多的資料中心空間。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Consolidating With HPE ProLiant Compute Gen12 Servers2Consolidating With HPE ProLiant Compute Gen12 Servers1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Consolidating%20With%20HPE%20ProLiant%20Compute%20Gen12%20Servers2Consolidating%20With%20HPE%20ProLiant%20Compute%20Gen12%20Servers1.png" style="width: 600px;" /></a></p> <p>為了因應更高能源使用效率的嚴苛要求，HPE針對ProLiant Compute Gen12的英特爾處理器平臺單路與雙路伺服器，提供選購的直接液冷（Direct Liquid Cooling，DLC）配置。</p> <p>以DL360 Gen12為例，用戶有三種散熱選擇，首先是氣冷搭配標準或高效能散熱座與風扇組件，第二種是出廠預設採用封閉迴路型液冷（Closed-loop Liquid Cooling，CLLC）的散熱座與風扇套件，第三種是直接液冷與風扇組件。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Liquid cooling for HPE ProLiant Compute systems-2025-03.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Liquid%20cooling%20for%20HPE%20ProLiant%20Compute%20systems-2025-03.jpg" style="width: 600px;" /></a></p> <p>關於封閉迴路型液冷的組態，先前HPE在DL360 Gen11、DL560 Gen11、DL325 Gen11支援，現在能在DL360 Gen12與DL320 Gen 12提供，透過這樣自給自足的系統，可在封閉管線迴路循環輸送冷卻液，能免除為此建置外部液冷基礎設施的需求，提供有彈性、有效率的冷卻解決方案，使這兩款機型能部署在各種資料中心環境。</p> <p><a href="https://s4.itho.me/sites/default/files/images/DL360 Gen12-Closed Loop Liquid Cooling.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/DL360%20Gen12-Closed%20Loop%20Liquid%20Cooling.jpg" style="width: 600px;" /></a></p> <p>而直接液冷的選項，HPE在ProLiant Gen11系列機型裡面，僅有DL360、DL380、DL365、DL385支援，到了ProLiant Compute Gen12世代，DL380a率先引進這項搭配，後續則有DL360、DL380提供。</p> <p><a href="https://s4.itho.me/sites/default/files/images/DL360 Gen12-7.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/DL360%20Gen12-7.jpg" style="width: 600px;" /></a></p> <p>ProLiant Compute Gen12配合環境保護與資源永續的作法，除了標榜節能減碳，HPE也特別提到當伺服器面臨產品生命週期步入終點之際，為了確保資源透過安全、可信賴的方式進行回收，他們也提供<a href="https://www.hpe.com/us/en/collaterals/collateral.a50007976enw.html">「產品到府淘汰服務Onsite Decommission Services」</a>，能夠回收設備，並將其運送至通過HPE授權的分類與回收中心。</p> <h3><span style="color:#0000FF;"><strong>伺服器管理平臺iLO升級至第7代，增添抗量子運算加密防護</strong></span></h3> <p>以安全性方面的功能而言，ProLiant Compute Gen12能在伺服器使用的每一個環節，可涵蓋最底層的晶片到最上層的雲端服務，以及產品生命週期的每一個階段，都內建企業級防護機制。</p> <p>所謂的晶片層級的安全性，是指HPE在此搭配該公司發展的新一代伺服器管理平臺：iLO 7，當中內建強化、專屬資安處理器，稱為安全隔離區（Secure Enclave），這是專為HPE產品與雲端服務從頭開始進行工程設計的元件。除此之外，iLO 7在伺服器硬體配置方面，支援開放運算計畫組織訂定的資料中心模組化硬體系統（OCP DC-MHS）規格，以及單體式主機板（Monolith Boards），而且，針對液冷元件的使用，也支援冷卻液洩漏偵測機制。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/iLO7.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/iLO7-GUID-76C6188D-5911-42E0-9B02-2FB712885F89-high.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/iLO7-GUID-76C6188D-5911-42E0-9B02-2FB712885F89-high.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/HPE iLO7 demo2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20iLO7%20demo2.png" style="width: 298px;" /></a></p> <p>配備iLO 7這顆晶片之後，ProLiant Compute伺服器最大的特色，在於可協助企業對抗未來資安威脅，HPE強調該批產品是全世界率先做好抗量子運算密碼學（Quantum-resistant cryptography）準備的伺服器，支援<a href="https://www.ithome.com.tw/tags/pqc">後量子密碼學（PQC）</a>的防護，而且能符合高層次的密碼學處理標準，也就是美國聯邦資訊處理標準<a href="https://www.ithome.com.tw/news/153817">FIPS 140-3 Level 3</a>的產品資安認證。</p> <p>在ProLiant Compute Gen12的iLO7，將具體提供哪些相關功能？首先是HPE專門打造的安全隔離區，會在iLO這顆ASIC晶片當中，嵌入獨立、實體的防竄改安全系統，符合FIPS 140-3 Level 3硬體防護需求，能將自定API對iLO韌體的內部存取降至最低程度，透過這種存取限制，進一步縮減可能攻擊系統機密資訊的管道。</p> <p><a href="https://s4.itho.me/sites/default/files/images/HPE iLO7 demo1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20iLO7%20demo1.jpg" style="width: 600px;" /></a></p> <p>第二，是韌體快閃記憶體的資訊更新，當中採用能夠抗量子運算的演算法進行簽署，也就是運用美國國家安全局頒布的CNSA 2.0所許可的演算法（Leighton-Micali Signatures，LMS），進行簽署與身分認證，保護範圍涵蓋iLO晶片、BIOS，以及複合型可程式化邏輯裝置（CPLD），預防攻擊者運用量子電腦建立難以分辨真偽的惡意韌體，而且，iLO7還能認證其他運用抗量子運算演算法簽署的韌體資訊更新，為後續安全性防護提供強化機制。</p> <p><a href="https://s4.itho.me/sites/default/files/images/iLO7-GUID-6D1224AC-7406-409D-9FD0-2E5CF41FB9CA-high.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/iLO7-GUID-6D1224AC-7406-409D-9FD0-2E5CF41FB9CA-high.png" style="width: 500px;" /></a></p> <p>第三，是這批伺服器產品內建的矽信任根採用抗量子運算演算法。在伺服器處於系統關機的狀態，iLO7所用的韌體都會通過此類演算法的身分認證，預防惡意人士運用量子電腦發動的攻擊與實體存取，可確保真正的韌體不會被替代成惡意的版本。</p> <p>在伺服器硬體嵌入iLO 7之後，企業可透過安全隔離區建立難以破壞的信任鏈，以此對抗韌體攻擊，而且產生涵蓋整座工廠，以及整個HPE信任供應鏈的完整透明度。</p> <p>相較之下，ProLiant Compute Gen11與DL384 Gen12搭配的伺服器管理平臺是iLO 6，已提供基於韌體與硬體等兩個層級的防護。</p> <p><a href="https://s4.itho.me/sites/default/files/images/iLO version mapping.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/iLO%20version%20mapping.jpg" style="width: 600px;" /></a></p> <h3><span style="color:#0000FF;"><strong>結合自家雲端伺服器集中管理服務，可獲取AI洞察分析功能，提升IT營運效率</strong></span></h3> <p>關於ProLiant Compute Gen12提供AI強化的管理機制，主要是指該公司發展的雲端管理服務Compute Ops Management，可協助企業執行伺服器環境的防護與自動管理，當中提供的主動與預測性自動化處理功能，現在可透過AI驅動的洞察分析機制，提供強化功能，並且能經由電力使用量的預測，協助改善能源使用效率，促使企業能夠設置使用上限，進而控制成本與碳排放量，以達到世界級的水準。</p> <p>同時，HPE也在此提供全球地圖的檢視方式，可簡化管理，協助企業能橫跨分散式IT環境與多家廠商的工具套件整合，快速識別伺服器運作狀態的問題，根據市場研究機構Forrester的分析，每年每小時的停機時間可因此減少4.8小時；在此同時，HPE也提供伺服器自動註冊登錄功能，可簡化伺服器設定與持續管理作業，特別適合當地IT人力資源缺乏的遠端與分支辦公室伺服器部署。</p> <p><a href="https://s4.itho.me/sites/default/files/images/The Projected Total Economic Impact Of HPE Compute Ops Management-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/The%20Projected%20Total%20Economic%20Impact%20Of%20HPE%20Compute%20Ops%20Management-1.png" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong><span style="color:#0000FF;">HPE ProLiant Compute DL360 Gen12</span></strong><br /> ●原廠：HPE<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：1U<br /> ●處理器：1或2顆英特爾Xeon 6系列（8至144顆核心）<br /> ●記憶體：32個DDR5插槽（每通道兩個DIMM為5200 MT/s，每通道1個DIMM為6400 MT/s），最大可安裝至8 TB<br /> ●硬碟容量：3種硬碟槽選擇，可容納4臺3.5吋硬碟，10臺2.5吋SAS或SATA或NVMe硬碟，20臺E3.S固態硬碟的硬碟槽<br /> ●I/O介面：5個PCIe 5.0 x16，可安裝1張全高半長、1張半高半長、1張全高半長或半高半長，兩張OCP 3.0介面卡<br /> ●電源供應器：1800至2200/1600/1000/800瓦（1+1備援）<br /> ●管理平臺：HPE iLO7（可改用OpenBMC）、HPE OneView</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/4/9 23:48作者李宗翰https://www.ithome.com.tw/review/168252
中國駭客ToddyCat鎖定ESET防毒漏洞而來，以此暗中載入惡意程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週資安業者ESET<a href="https://support.eset.com/en/ca8810-dll-search-order-hijacking-vulnerability-in-eset-products-for-windows-fixed">發布資安公告</a>，他們在1月下旬修補由資安業者卡巴斯基通報的CVE-2024-11859，此為DLL循序搜尋挾持漏洞，影響該公司Windows版防毒軟體，以及Exchange伺服器和SharePoint伺服器的防護系統，攻擊者若是取得管理員權限，有機會藉此載入惡意的DLL檔案並執行，4.0版CVSS風險評為6.8。本週卡巴斯基也<a href="https://securelist.com/toddycat-apt-exploits-vulnerability-in-eset-software-for-dll-proxying/116086/">公布這項漏洞遭到利用的情況</a>。</p> <p>對於這項漏洞可能會帶來的危險，ESET指出，攻擊者有機會在特定資料夾植入惡意DLL程式庫，並透過該廠牌命令列掃描工具ESET Command Line Scanner執行，使得駭客植入的程式庫取代系統的正常版本。不過，他們也提及利用這項漏洞必須搭配特定條件，那就是攻擊者必須事先取得管理員權限。</p> <p>至於駭客利用漏洞的過程，卡巴斯基透露，這項弱點他們是在去年初發現，當時他們在調查中國駭客ToddyCat涉及的資安事故，於多臺受害裝置偵測到名為version.dll的可疑檔案。研究人員進一步調查，該DLL檔案為64位元程式庫，駭客以C++打造而成，是名為TCESB的複雜工具。</p> <p>值得留意的是，TCESB的所有功能，都是從系統裡相同檔名的系統檔案version.dll，研究人員指出駭客運用了名為DLL代理程式手法（DLL-proxying，也稱為Hijack Execution Flow），他們直接從正常DLL檔案導入所有功能，而非直接在惡意DLL檔案實作，由於功能呼叫都會重新導向正常的DLL檔案，使得應用程式載入惡意DLL仍能正常運作，但同時攻擊者可在背景執行惡意程式碼。</p> <p>不過，光是上述手法，攻擊者無法執行及控制惡意程式，研究人員進一步調查，才確認ToddyCat利用了CVE-2024-11859來載入TCESB。駭客以用於繞過端點防護機制的工具EDRSandBlast為基礎打造TCESB，修改原本的EDRSandBlast程式碼加入惡意軟體功能。</p> <p>值得一提的是，ToddyCat為了迴避偵測，他們也運用自帶驅動程式（BYOVD）手法，濫用存在CVE-2021-36276弱點的Dell公用程式元件DBUtilDrv2.sys，以便達到目的。</p> </div></div></div>
2025/4/9 16:48作者周峻佑https://www.ithome.com.tw/news/168330
【資安日報】4月9日，微軟修補CLFS零時差漏洞，若不處理，恐面臨勒索軟體攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這個星期二（4月8日）是許多廠商發布4月例行更新的日子，微軟、Adobe、SAP，以及多家廠商在這天為旗下產品進行修補，其中，微軟在這次修補126個漏洞相當引起關注，因為數量是上個月的兩倍多。</p> <p>值得留意的是，其中已有被用於實際攻擊行動的零時差漏洞CVE-2025-29824，微軟威脅情報中心（MSTIC）與安全事件回應中心（MSRC）指出，駭客組織Storm-2460鎖定有限數量的目標發動攻擊。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168330"><strong style="font-size: 22px;">中國駭客ToddyCat鎖定ESET防毒漏洞而來，以此暗中載入惡意程式</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/toddycat-apt-exploits13.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/toddycat-apt-exploits13.png" style="width: 300px; float: right;" /></a></p> <p>上週資安業者ESET發布資安公告，他們在1月下旬修補由資安業者卡巴斯基通報的CVE-2024-11859，此為DLL循序搜尋挾持漏洞，影響該公司Windows版防毒軟體，以及Exchange伺服器和SharePoint伺服器的防護系統，攻擊者若是取得管理員權限，有機會藉此載入惡意的DLL檔案並執行，4.0版CVSS風險評為6.8。本週卡巴斯基也公布這項漏洞遭到利用的情況。</p> <p>對於這項漏洞可能會帶來的危險，ESET指出，攻擊者有機會在特定資料夾植入惡意DLL程式庫，並透過該廠牌命令列掃描工具ESET Command Line Scanner執行，使得駭客植入的程式庫取代系統的正常版本。不過，他們也提及利用這項漏洞必須搭配特定條件，那就是攻擊者必須事先取得管理員權限。</p> <p>至於駭客利用漏洞的過程，卡巴斯基透露，這項弱點他們是在去年初發現，當時他們在調查中國駭客ToddyCat涉及的資安事故，駭客利用漏洞執行名為TCESB的複雜工具。</p> <p><a href="https://www.ithome.com.tw/news/168319"><strong style="font-size: 22px;">Ivanti SSL VPN漏洞攻擊拉警報，全球5千臺伺服器曝險</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Ivanti_ux3HIst6FK.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Ivanti_ux3HIst6FK.png" style="width: 300px; float: right;" /></a></p> <p>4月3日資安業者Ivanti發布資安公告，指出旗下的SSL VPN系統Connect Secure（ICS）存在重大層級的資安漏洞CVE-2025-22457，影響22.7R2.5以前的版本，值得留意的是，他們已經掌握有部分用戶遭攻擊的情況，隔日美國網路安全暨基礎設施安全局（CISA）也將其列入已遭利用的漏洞列表（KEV）。</p> <p>針對這項漏洞被用於攻擊行動的情況，協助調查的資安業者Mandiant公布相關調查結果，他們看到中國駭客UNC5221於3月中旬開始利用這項弱點，得逞後便會在受害組織部署惡意程式載入工具TrailBlaze，以及後門程式BrushFire。</p> <p>值得留意的是，仍有不少ICS系統尚未套用新版程式而曝險，Shadowserver基金會指出，他們在4月6日進行掃描，結果發現網際網路上有5,113臺ICS伺服器尚未修補，美國、日本最多，分別有1,399、700臺；值得留意的是，臺灣有297臺ICS尚未修補，比鄰近的中國、韓國的250及242臺都要來得多。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=3&SPOKE_TIME=174133&SPOKE_DATE=20250408&COMPANY_ID=9950"><strong style="font-size: 22px;">旅行箱製造商萬國通路遭遇網路攻擊</strong></a></p> <p></p> <p>4月8日傍晚旅行箱製造商萬國通路於股市公開觀測站發布資安重訊，表示他們的資安單位查知遭受攻擊的情況，事發當下他們啟動相關防禦機制並進行復原，初步評估這起事故對公司營運無重大影響，沒有個資或內部文件外流的情況，亦未造成重大損失。</p> <p>而對於這起事故的類型，萬國通路並未進一步說明，但他們特別提及對相關檔案進行全面、徹底掃描，並在確保資訊安全的情況下，陸續恢復資訊系統的運作。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/everest-ransomwares-dark-web-leak-site-defaced-now-offline/">勒索軟體Everest暗網網站遭到破壞，研究人員指出攻擊者利用WordPress漏洞得逞</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/04/cryptocurrency-miner-and-clipper.html">駭客假借提供Office附加元件為幌子，意圖在俄羅斯散布RAT木馬及挖礦軟體</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/04/uac-0226-deploys-giftedcrook-stealer.html">烏克蘭遭到鎖定，駭客企圖透過惡意Excel檔案散布竊資軟體GiftedCrook</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.cna.com.tw/news/aipl/202504080109.aspx">中國鎖定台積電赴美投資等時事對臺進行認知作戰，今年已出現超過51萬則爭議訊息</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168323"><strong style="font-size: 22px;">微軟發布4月份例行更新，修補已被用於勒索軟體攻擊的CLFS零時差漏洞</strong></a></p> <p>4月8日微軟發布本月份例行更新（Patch Tuesday），修補126個資安漏洞，數量超過2月及3月（63、57個）的總和。從漏洞的類型來看，有49個權限提升漏洞、31個遠端程式碼執行（RCE）漏洞、17個資訊洩露漏洞、14個阻斷服務（DoS）漏洞、9個安全功能繞過漏洞，以及3個能被用於欺騙的漏洞；而從漏洞的嚴重程度而言，有11個被評為重大層級，巧合的是，這些都是RCE漏洞。</p> <p>值得留意的是，其中有一項零時差漏洞CVE-2025-29824，已被用於實際攻擊行動。這項漏洞存在於通用事件記錄檔案系統（CLFS），為權限提升漏洞，起因是CLFS驅動程式具有記憶體釋放後再存取使用（Use After Free，UAF）弱點，取得授權的攻擊者有機會於本機提升權限為SYSTEM，CVSS風險為7.8。</p> <p>針對這項漏洞被用於實際攻擊行動的情況，微軟威脅情報中心（MSTIC）與安全事件回應中心（MSRC）特別為此發布部落格文章，當中指出駭客組織Storm-2460鎖定有限數量的目標，將此漏洞用於勒索軟體攻擊。</p> <p><a href="https://www.ithome.com.tw/news/168325"><strong style="font-size: 22px;">SAP修補重大層級程式碼注入漏洞、身分驗證繞過漏洞</strong></a></p> <p>4月8日SAP發布本月例行更新，總共針對20項漏洞發布或更新資安公告，值得留意的是，其中有3項CVSS風險接近滿分的重大層級漏洞，相當危險。</p> <p>這些漏洞為CVE-2025-27429、CVE-2025-31330、CVE-2025-30016，分別出現在S/4HANA、Landscape Transformation、Financial Consolidation等應用系統。其中，CVE-2025-27429、CVE-2025-31330都是程式碼注入漏洞，危險程度達到9.9分（滿分10分），CVE-2025-30016為身分驗證繞過漏洞，危險程度為9.8分。</p> <p>針對CVE-2025-27429、CVE-2025-31330，SAP指出具有使用者權限的攻擊者能在曝露的功能模組觸發，而有機會在繞過基本的授權檢核機制的情況下，在系統注入任意的ABAP程式碼。SAP指出這些漏洞形同後門，會導致攻擊者能完全控制整個系統，破壞其機密性、完整性，以及可用性。</p> <p><a href="https://www.ithome.com.tw/news/168292"><strong style="font-size: 22px;">Google將修補已存在23年的瀏覽器歷史記錄洩露漏洞</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/ExplainerImage3.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/ExplainerImage3.jpg" style="width: 300px; float: right;" /></a>瀏覽器使用者都應該熟悉在所造訪的網站點選某個連結時，該連結就會變色，目的是讓使用者知道已點選過，改善使用者瀏覽網路的體驗，然而這項機制卻被有心人士用來窺探使用者的瀏覽歷史記錄，於是Google準備在最新的Chrome 136透過將記錄分割，修補此種存在於瀏覽器產業長達23年的隱私漏洞。目前Google已於4月初的Beta版Chrome 136進行測試，Chrome 136正式版本預計於4月29日發布。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/whatsapp-vulnerability-could-facilitate-remote-code-execution/">Meta修補電腦版WhatsApp可被用於欺騙的漏洞</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/168302"><strong>【4月8日】駭客上傳惡意VSCode延伸套件散布挖礦軟體XMRig</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168273"><strong>【4月7日】下載免費VPN行動APP要小心！有五分之一來自中國，上網恐遭監控</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168247"><strong>【4月4日】因應量子破密威脅，臺灣今年將推出PQC遷移指引</strong></a></p> </div></div></div>
2025/4/9 16:57作者周峻佑https://www.ithome.com.tw/news/168331