iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 21篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 05:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

微軟Semantic Kernel整合MCP與A2A協定，大幅擴展跨模組AI代理互通性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟開源人工智慧代理開發框架Semantic Kernel，現已支援來自Anthropic與Google的兩項開放協定，分別是MCP（Model Context Protocol）與A2A（Agent‑to‑Agent），進一步強化跨代理上下文共用、工具協作與跨雲環境的互通能力。透過這兩項協定的整合，開發者不僅能在本地與遠端串接多個語言模型、工具與代理，也能實現跨平臺、跨生態的模組化任務委派與功能組合，進一步簡化多代理系統的建構流程。</p> <p>在<a href="https://devblogs.microsoft.com/semantic-kernel/semantic-kernel-adds-model-context-protocol-mcp-support-for-python/">MCP支援</a>方面，Semantic Kernel從Python 1.28.1版本以來，已具有完整客戶端與伺服器角色的能力，可作為MCP主機開放自身的函式與提示詞，還能當作客戶端串接任何符合MCP協定的伺服器。MCP支援多種傳輸層，包括Stdio、SSE與WebSocket，允許開發者根據執行環境選擇合適的串接模式。該機制特別適用於在模型存取受限的場景，透過主機完成文字生成任務，維持封閉環境的運作安全。</p> <p>此外，Semantic Kernel也完成對Google所推的<a href="https://devblogs.microsoft.com/foundry/semantic-kernel-a2a-integration/">A2A協定的初步整合</a>。A2A為一種輕量化的JSON-RPC over HTTP協定，設計目標在於促進不同雲端平臺，人工智慧代理間的非同步上下文交換，避免傳遞敏感憑證與複雜相依元件。微軟提供的整合範例中，建置了一個旅遊代理，能根據任務類型動態路由至匯率查詢代理，或行程規畫代理，並透過A2A的Agent Card機制進行自動探索與任務派送。</p> <p>MCP與A2A協定源自不同技術社群，但其目的皆是提升人工智慧代理間，上下文可用性與功能互操作性。Semantic Kernel整合這兩項協定，擴展了人工智慧系統在不同環境間彈性部署，對企業開發團隊與代理系統設計者而言，可降低多代理協同實作的技術門檻，也對異質系統的模組化人工智慧代理的導入與部署，帶來更高的自由度。</p> <p>目前相關範例已釋出於Semantic Kernel與Google A2A的官方範例儲存庫，微軟也預告將持續擴充整合腳本，包含Azure AI Foundry與Semantic Kernel的整合範例，供開發者參考建構彈性多雲環境人工智慧代理應用。</p> </div></div></div>
2025/4/18 14:54作者李建興https://www.ithome.com.tw/news/168485
Cloud周報第222期：Google AI超級電腦技術架構大升級，日本MUFG兩萬六千名員工改用雲端CRM，英國Ll…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#0000FF;"><strong>雲端重點新聞（2025/3/20～4/15）</strong></span></p> <p><strong>這期介紹Google在Next大會最新發表的AI超級電腦技術架構的最新發表之外，也特別介紹了兩家大型金融集團的上雲成果，一家是日本金融機構日本最大金融集團MUFG（三菱日聯銀行）採用雲端CRM，另一家是英國最大零售銀行集團Lloyds打造了一個全集團通用的雲端GAI平臺</strong></p> <h3><strong><span style="color:#FF0000;">#AI技術架構 #Google產品架構</span><br /> 一張圖揭露Google AI超級電腦架構今年有哪些新產品，從硬體層到軟體都瞄準AI推論</strong></h3> <p>早在2年前，Google就發表了這個AI Hypercomputer超級電腦架構，整合了效能最佳化的硬體、開放軟體與與靈活的消費模式。當年提出這個架構的目標是為了提供AI訓練、微調與服務的效率及生產力。這個AI超級電腦架構可說提供了一套AI基礎設施，可供企業直接取用，或透過Vertex AI開發平臺來調度運用。 </p> <p>在今年Next大會中，AI Hypercomputer從底層硬體、中間開放軟體，到上層消費模式都有更新，Google也用一張圖來盤點這11項新特色。</p> <p>在AI超級電腦架構的底層硬體層，除了發表了專為模型推理所設計的第七代TPU處理器Ironwood之外，也推出了兩款新的GPU虛擬機器實例，包括了正式上市的A4 VM（Nvidia B200）以及目前處於預覽階段的A4X VM，後者搭載了Nvidia GB200。為了支援AI工作負載需要的超低延遲，Google提供了400G頻寬的網路互連和跨雲互聯，是原本頻寬的4倍。可以支援到單一叢集3萬顆GPU。另外也針對AI工作負載的資料存取，推出兩款新的儲存機制上，一像是新的區塊儲存池服務，稱為Hyperdisk Exapools（超磁碟池），可以管理和調度最多數EB的資料量，支援AI叢集每秒高達TB級的資料流量，預計在今年第二季釋出預覽版。</p> <p>Google物件儲存則推出了用Google檔案叢集專案Colossue打造的區域內Rapid Storage（快速儲存）服務，透過gRPC串流技術，可以提供低於1毫秒延遲的亂數讀寫，每秒6TB的資料吞吐量，在單一區域內支援GPU和TPU的資料存取，來支援AI模型訓練之用。針對AI工作負載的資料存取，Google也推出兩款新的儲存機制上，一像是新的區塊儲存池服務，稱為Hyperdisk Exapools（超磁碟池），可以管理和調度最多數EB的資料量，支援AI叢集每秒高達TB級的資料流量，預計在今年第二季釋出預覽版。在物件儲存服務上，推出了用Google檔案叢集專案Colossue打造的區域內Rapid Storage（快速儲存）服務，透過gRPC串流技術，可以提供低於1毫秒延遲的亂數讀寫，每秒6TB的資料吞吐量，在單一區域內支援GPU和TPU的資料存取，來支援AI模型訓練之用。</p> <p>不只訓練，針對AI推論需求，Google也推出了Cloud Storage Anywhere Cache（雲端儲存任意地點快取）可以將既有區域雲端儲存的資料轉移到指定雲端區域的快取上，進一步減少資料讀取的延遲時間和提高吞吐量，例如針對不同地區使用不同的雲端區域快取，來提高AIj推論的反應速度。</p> <p>在AI超級電腦架構中間的開放軟體層，最大新特色是發表了雲端版Pathways，這是一個由Google DeepMind團隊開發的分散式訓練和推論平臺。Pathways可以拆解生成式AI推論服務處理過程，將高耗運算的prefill（預填入）任務和高耗記憶體的Decode（解碼）任務，拆成不同的處理，各自分配不同的運算資源來處理，來優化AI推理的處理。</p> <p>GKE是不少企業常用於執行模型推論的雲端環境之一，Google推出了叢集管理工具Cluster Director升級版，可支援GKE工作負載的管理，像是工作負載配置安排，排程規劃等，來支援AI訓練耕作負載的調度。GKE更推出了兩項支援AI推論的新功能預覽版，推論閘道器和推論快速啟動器，前者可以用來分配和安排大量AI推論請求的負載平衡，後者則可以依據AI模型特色快速配置需要的GKE環境資源。最後一項軟體層新特色是推出可以支援TPU運算的vLLM推論框架，這是一個支援超大吞吐量的快速推論框架，也可使用TPU來計算。</p> <p>在算力消費模式上，可自動調配工作負載的Google動態工作負載排程器（DWS）服務，也宣布支援加速處理器，可以在Flex Start模式下，調度第五代TPU v5e晶片、第六代TPU晶片Trillium，搭載H200的A3 Ultra虛擬機器、搭載B200的A4虛擬機器等。未來還將支援日曆模式，指定日期來調度。DWS更增加了適合長期執行的推論工作負載調度和大範圍訓練任務的負載調度。</p> <h3><strong><span style="color: rgb(255, 0, 0);">#GAI趨勢 #企業需求觀察</span><br /> 美銀研究：GAI帶動AI基礎設施三階段發展，2027年將爆發企業AI需求潮</strong></h3> <p>3月底，美國銀行全球研究部（BofA Global Research）在臺舉辦論壇，美銀超級研究部門主管Tap Liani觀察，「AI基礎設施將進入一個持續多年成長的發展周期。」</p> <p>他剖析，當前AI發展處於基礎設施建設的初期，還沒看到應用程式。大型雲端公司正在打造AI需要的基礎設施，是第一階段，第二階段則是雲端SaaS公司，他們會找到獨特的方式運用AI。但「第三階段才是影響最大的階段，可能從2027年開始，大量企業要找出適合AI的應用。」像是利用AI來創造新的收入，降低成本，尋找新顧客，尋找新的商業模式等。「第三階段的基礎建設規模，將比現在的規模還要大四到五倍。」</p> <p>Tap Liani剖析，因為企業不想將自己的數據交給大型雲端業者，為了將數據留在內部，必須建立自己的基礎設施。未來2、3年，企業會積極開始建立邊緣雲，將創新和算力帶到邊緣環境中。從第一階段到接下來的二、三階段發展，「AI基礎設施將進入一個持續多年成長的發展周期。」</p> <p>AI基礎設施如何降低成本？必須先區分出訓練和推論的不同，訓練不是節省成本最多的階段，推論才是。「AI推論更適合企業的應用，如果推論成本可以降低9成，甚至更高，將加快推論應用的部署，進而加速企業採用GAI。」Tap Liani觀察。</p> <p>從今年GTC主題演講揭露的數據，光是四大公雲業者在2025年就訂了高達360萬張新一代Blackwell GPU卡，比2024年的前一代Hopper GPU訂購量130萬張，多了快三倍。這個數據呼應了美銀超級研究部門主管的觀察，當前處於第一階段的發展，大型雲端積極投入AI基礎設施的建置。等到第三階段，企業大量採用後，知名研究機構如Dell’Oro也曾預測，2028年全球AI資料中心的資本投資規模將高達1兆美元。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%BE%8E%E9%8A%80%E8%B6%85%E7%B4%9A%E7%A0%94%E7%A9%B6%E9%83%A8%E9%96%80%E4%B8%BB%E7%AE%A1.jpg" /></p> <h3><strong><span style="color:#FF0000;">#AI推論 #TPU晶片</span><br /> Google推出第一款瞄準推論AI需求的TPU</strong></h3> <p>剛4月初剛結束的Google年度大會Next，官方統計多達229項宣布，涵蓋了GAI在不同層面的應用需求，從雲端AI基礎架構，到地端GAI部署，推出了多款更強更多模態內容生成的AI模型升級，也涵蓋了後端服務、資料服務到前端GAI開發的輔助，更發表了一系列辦公室生產力套件的GAI升級版本。</p> <p>第一個值得關注的重大新產品是Google Cloud推出第一款瞄準推論AI需求的TPU處理器Ironwood。這是第七代TPU處理器，主要針對大規模推論需求而設計，尤其可用於思考型的模型，像是大型語言模型，進階推理任務的模型或是採取混合專家模型架構的LLM。</p> <p>Google雲目前提供了兩款規模的Ironwood工作負載，一種是256顆TPU的規模，另一個是9,216顆TPU的叢集。這款新TPU單一晶片可以提供最高4,614 TFlops的運算能力，9,216顆TPU的叢集可以提供到42.5 EFlops的算力，是現在世界最強超級電腦El Capitan算力的24倍以上。Ironwood採取液體冷卻設計，每瓦提供的算力是去年第六代TPU的2倍。</p> <p>為了支援如此龐大的算力計算，Google Cloud也搭配使用了DeepMind團隊開發的ML分散式計算框架Pathways，可以將數十萬個Ironwood晶片組合在一起進行分散式運算。<br /> 不只自家開發的TPU，在AI算力支援上，Google Cloud先前就宣布將提供搭載Nvidia B200和GB200兩款GPU的 A4和A4X虛擬機器，Google會成為Nvidia新一代GPU架構晶片Vera Rubin GPU的第一家雲端供應商。</p> <h3><strong><span style="color:#FF0000;">#落地部署 #Gemini</span><br /> Google最強GAI模型Gemini終於支援落地部署了！今年第三季釋出公開預覽版</strong></h3> <p>另一個值得注意的GAI模型重大宣布是，Google Cloud最強大的Gemini模型，開始支援落地部署方式，可以部署到企業內部的Google分散式雲端（GDC）伺服器上，不用連上網際網路也能提供GAI模型推論。可以提供單一伺服器的部署，也能支援到數百個機櫃規模的落地部署。Gemini模型可以部署到採用Nvidia Blackwell架構GPU的系統，目前先支援戴爾的DGX B200和HGX B200系統。在本地端GDC執行的Gemini模型，可以處理百萬等級的上下文，也能具備多模態，處理文字、圖片、聲音和影音等不同資料格式，支援超過100種語言。在GDC上的Gemini運作，安全等級可以提供到美國政府機密與最高機密等級任務的強度。</p> <p>不只Gemini，今年第三季，AI代理服務Google Agentspace搜尋服務，也會推出可以落地部署到GDC伺服器的版本，預建多款AI代理，也能自製。可以支援企業內部的對話式資料搜尋，透過預設的資料連結器，能存取企業多款軟體系統上的內部資料，如Confluence、Jira、ServiceNow和Sharepoint等。本地端部署的Agentspace支援權限感知功能，可依據存取控制清單，來確保搜尋結果的合規和可用權限。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%A4%A7GDC%E7%85%A7%E7%89%87-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Google%20Cloud.jpeg" /></p> <h3><strong><span style="color:#FF0000;">#金融導入SaaS #客戶關係管理</span><br /> 日本最大金融集團導入SaaS版CRM，提供單一顧客視圖支援2萬6千名業務員</strong></h3> <p>日本最大金融集團MUFG（三菱日聯銀行）宣布今年4月將啟用新一代CRM，提供旗下各分行超過2萬6千名業務人員。為了有能力快速更新與提高擴充性，三菱日聯銀行導入SaaS雲端版CRM，導入Salesforce的金融雲服務，來取代內部地端部署方式。</p> <p>新版CRM最大特色是可以集中集團內部和外部的所有顧客數據，在單一畫面上呈現出顧客的完整視圖，讓業務人員更了解顧客來提出建議。另外也提供了銷售人員的AI推薦功能，可以自動針對每一個顧客提供客製化的金融業務建議方案，來加快業務人員的速度。新版CRM特別強化對新手業務人員的輔助，協助他們與顧客的聯繫和接觸時，可以更快做出反應，來提高銷售效率和成功率。三菱日聯銀行導入後，將持續聚焦於提高AI推薦客製化方案的準確性。<br /> 早在今年一月，<a href="https://www.ithome.com.tw/news/166756">他們也公開了多項GenAI成果</a>，像是為全球資本市場業務銷售人員開發的GenAI銷售輔助平臺Markeetgin DX，可用來快速彙整一家企業客戶的趨勢分析。</p> <h3><strong><span style="color:#FF0000;">#金融GAI平臺實例 #代理型AI</span><br /> 英國最大零售銀行集團Lloyds打造雲端通用GAI平臺，加速開發18套GAI應用，還有12套6月上線</strong></h3> <p>英國最大零售銀行集團Lloyds，近日宣布，使用雲端Vertex AI平臺打造了一套全集團通用的GenAI應用平臺，提供給內部300名資料科學家和AI工程師使用。這個新平臺，也整合了 Lloyds金融集團15套原有的模型建置系統，以及上百個集團內子公司在本地端部署的獨立模型。 </p> <p>這個銀行集團旗下包括了英國三大銀行之一Lloyds銀行，除了消金和企金之外，該集團業務還涵蓋了保險，人壽，養老金管理等，顧客超過2,700萬人，企業顧客也超過100萬家，集團規模超過10萬名員工。</p> <p>Lloyds銀行集團數據和分析長Ranil Boteju指出，新GenAI開發平臺可以讓集團各地的資料科學家和AI工程師，遵循統一的安全機制存取GenAI技術，可以活用第三方或開源的大型語言模型，來加速AI創新速度，也能來改善既有的金融服務演算法，像是採用了新的收入驗證演算法，讓顧客貸款申請的財力驗證作業從數天縮短到數秒。</p> <p>Lloyds金融集團在新GAI平臺上已經啟動了80多項AI專案，已有18套GenAI系統上線使用，應用場景涵蓋該集團所有業務，預計今年6月底還會上線12套GenAI系統。<br /> 目前，他們正在研發一款可以改變顧客與銀行互動方式的代理型AI，已經完成雛形，預計今年底推出給顧客。</p> <h3><strong><span style="color:#FF0000;">#SSL憑證 #網站安全</span><br /> 企業官網要注意，SSL憑證明年開始逐年縮短，現行一年更新週期，四年後每個月都要更新</strong></h3> <p>擔心長效期的憑證可能落入駭客手中，助長惡意程式散布， SSL/TLS憑證的效期越來越短。近日，憑證產業論壇CA/Browser Forum（CA/B論壇）做出決議，所有SSL/TLS憑證最長效期將由現行398天縮短9成，到2029年剩47天，且每月需更新一次。企業需要更留意官網憑證效期，避免過期導致網站遭到瀏覽器列入高風險或不安全網站清單。<br /> 現行所有SSL/TLS憑證最長效期為398天，從 2026年3月15日起，SSL/TLS憑證最長效期會縮短到200天，6個月更新一次。而網域控制驗證（DCV）重覆使用期限也減到200天。2027年3月15日起，憑證最長效期會再短100天，3個月更新一次，DCV重覆使用期限同步減為100天。4年後，即2029年3月15日，最長SSL/TLS憑證效期就會減至47天，每個月更新一次，DCV重覆使用期限將只剩10天。</p> <h3><strong><span style="color: rgb(255, 0, 0);">#虛擬化 #ESXi</span><br /> 中斷一年多，博通再次釋出免費版ESXi授權</strong></h3> <p>VMware過去長年提供的免費版ESXi，向來是許多開發者測試或中小企業管理小規模虛擬機器的主要工具，直到去年2月，博通調整VMware永久授權政策時，也決定終止免費版本。事隔一年，<a href="https://www.ithome.com.tw/news/168416">最近博通又低調地開始釋出ESXi 8.0的免費版。</a></p> <p>博通在4月10日發布的ESXi 8.0版更新3e版本的說明文件中，在最新消息提到，這款VMware vSphere Hypervisor 8是一個入門級的虛擬機器管理版本，從這個版本開始，可以從博通支援入口網站上免費下載。不過，目前在中文版ESXi 8.0發布說明中，還沒提到這點。 ESXi 8.0e這個版本不是直接開放下載，使用者需先在博通支援入口網站註冊後才能免費下載。</p> <p><strong>更多新聞</strong></p> <ul> <li>國際能源署IEA預測，全球資料中心到2030年的用電量將增加一倍以上，AI為最大驅動力</li> <li>微軟擴充.NET Aspire部署能力，標準化應用開發到多雲部署流程</li> </ul> <p>責任編輯：王宏仁</p> </div></div></div>
2025/4/18 15:06作者王宏仁https://www.ithome.com.tw/news/168483
CrazyHunter駭客鎖定臺灣而來，運用來自GitHub的工具犯案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從今年2月開始攻擊<a href="https://www.ithome.com.tw/news/167327">馬偕</a>、<a href="https://www.ithome.com.tw/news/167671">彰基</a>，以及臺灣多家上市櫃公司而引起全臺灣高度關注勒索軟體駭客組織<a href="https://www.ithome.com.tw/tags/crazyhunter">CrazyHunter</a>，<a href="https://www.ithome.com.tw/news/168224">4月初刑事警察局公布駭客身分</a>，並表示地檢署已發布通緝，但對於駭客的攻擊手法，近期終於有資安業者公布相關細節。</p> <p>趨勢科技本週<a href="https://www.trendmicro.com/en_us/research/25/d/crazyhunter-campaign.html">透過部落格文章</a>揭露這一系列鎖定臺灣的攻擊調查結果，他們從1月初開始追蹤、調查CrazyHunter，並確認該組織約有8成的作案工具透過GitHub平臺取得，且藉由自帶驅動程式（BYOVD）手法迴避偵測。而根據駭客架設的資料外洩網站，他們專門針對臺灣的企業組織而來，尤其針對醫療保健及教育機構，但也有製造業及工業領域受害的情形。</p> <p>針對駭客使用的工具，最引起研究人員注意的是勒索軟體建置工具Prince，原因是此工具可直接從GitHub取得，且能讓攻擊者輕易產生變種勒索軟體來降低攻擊門檻。此勒索軟體以Go語言打造而成，駭客採用ChaCha20與ECIES演算法加密受害電腦，並置換副檔名為.Hunter。在檔案加密完成後，CrazyHunter會留下勒索訊息Decryption Instructions.txt，並更換桌布，受害者施壓，要求他們支付贖金。</p> <p>研究人員特別提及駭客廣泛從GitHub取得開源工具並加以修改、運用的現象，也突顯想要自行組建惡意攻擊工具的門檻越來越低。其中，駭客從來發動BYOVD攻擊的工具稱為ZammoCide，他們搭配Zemana Anti-Malware含有弱點的驅動程式zam64.sys，藉此終止與EDR有關的處理程序。</p> <p>而對於權限提升及橫向移動，CrazyHunter則是運用名為SharpGPOAbuse的工具，竄改群組原則物件（GPO），而能於受害組織的網路環境部署惡意酬載，並試圖提升權限及橫向移動。</p> </div></div></div>
2025/4/18 12:25作者周峻佑https://www.ithome.com.tw/news/168479
Google預覽新模型Gemini 2.5 Flash，導入思考預算機制提升推理控制彈性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google宣布推出新預覽語言模型<a href="https://developers.googleblog.com/en/start-building-with-gemini-25-flash/">Gemini 2.5 Flash</a>，主打具備可切換推理功能與思考預算（Thinking Budget）控制機制，協助開發者在速度、成本與結果品質之間取得更細緻的平衡。相較先前版本2.0 Flash，本次更新在保留高運算效率的前提，進一步強化對複雜任務的理解與處理能力，特別是可明顯提升需要多步驟推理指令的回答準確度。</p> <p>Gemini 2.5 Flash為Google第一個混合式推理模型，允許開發者透過API或Google AI Studio介面，依據使用場景決定是否啟用模型的思考能力，並可設定Token上限作為推理預算。系統將依據提示字串的難度，自動判斷是否進入推理程序以及推理的長度，避免資源浪費。開發者也可將預算設為0，跳過推理階段，以最低延遲回應簡單問題。</p> <p>在推理能力評估方面，Gemini 2.5 Flash在開源測試平臺LMArena的Hard Prompts測試表現接近旗艦級2.5 Pro模型，表示其已具備處理跨領域計算、邏輯推論與結構分析的能力，同時保有相對輕量的參數規模與運算成本。Google指出，Gemini 2.5 Flash透過可設定的推理預算機制，提供開發者在成本、延遲與品質之間更靈活的控制方式，適用於處理語言理解、資料分析與決策輔助等具備不同複雜度的任務。</p> <p>Gemini 2.5 Flash已於Google AI Studio與Vertex AI平臺開放預覽，開發者可透過新參數thinking_budget控制模型的推理深度，範圍從0至24,576 Tokens，不僅支援API呼叫，也提供圖形化控制介面調整，並可參考官方提供的Gemini Cookbook範例進行試驗。Google表示，未來將持續改進Flash系列模型並擴展適用範圍，預計在進入正式發布階段前，還會釋出更多版本更新與功能細節。</p> </div></div></div>
2025/4/18 14:09作者李建興https://www.ithome.com.tw/news/168482
法院判決Google數位廣告技術違反壟斷法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國司法部（DoJ）在2023年1月聯同美國多州的檢察長<a href="https://www.justice.gov/archives/opa/pr/justice-department-sues-google-monopolizing-digital-advertising-technologies" target="_blank">控告Google壟斷數位廣告技術</a>，而<a href="https://storage.courtlistener.com/recap/gov.uscourts.vaed.533508/gov.uscourts.vaed.533508.1410.0.pdf" target="_blank">美國聯邦法院則在本周四（4/17）裁定</a>，Google在網路廣告及廣告技術市場的主導地位，違反了美國反壟斷法。</p> <p>美國司法部於訴訟文件中指出，Google控制著幾乎所有主要網站出版商用來在網站銷售廣告的數位工具DoubleClick For Publishers（DFP），該出版商廣告伺服器的市占率超過9成；也控制了幫助數百萬大型及小型廣告主購買廣告庫存的Google Ads及Demand Side Platform（DSP），這兩項工具的總市占約為40%；還控制了市占率超過50%、用來媒合出版商及廣告主的廣告交換平臺Google Ad Exchange（AdX）。</p> <p>根據統計，Google在出版商廣告伺服器的市占率達到91%，在廣告交換平臺AdX上的市占率則介於63%及71%之間。此次的判決認為DFP及AdX違法，但廣告購買工具則否。</p> <p>法官Leonard Stark認為，Google利用所控制的DFP出版商伺服器，讓廣告主更容易透過自家的廣告交換平臺AdX取得優勢，例如讓AdX先看到出價，而排擠其它競爭的交換平臺；Google還綁定DFP與AdX，強迫使用DFP的出版商必須同時使用AdX，限制它們選擇其它廣告交換平臺的自由；法官還認為Google藉由諸如AdMeld等競爭對手以進一步鞏固市場地位，並排除潛在競爭者。</p> <p>Stark指出，Google的上述行為已經違反《謝爾曼法反托拉斯法令》（Sherman Antitrust Act）的第一條，透過綁定與排他性來限制自由競爭，以及第二條，透過不正當手段維持壟斷地位。不僅讓Google維持不公平優勢，也壓制了其它創新及價格競爭，危害廣告主及出版商的利益，企圖維持既有的壟斷地位。</p> <p><a href="https://www.justice.gov/opa/pr/department-justice-prevails-landmark-antitrust-case-against-google" target="_blank">司法部在判決出爐的同一天就發布聲明</a>以慶祝勝利；但<a href="https://x.com/newsfromgoogle/status/1912892999047971152" target="_blank">Google負責法律事務的副總裁Lee-Anne Mulholland也說</a>自己贏了一半，且並不認同法院對於出版商工具的看法，因為其實出版商有很多選擇，Google準備提出上訴。</p> <p>除了數位廣告之外，<a href="https://www.ithome.com.tw/news/140636" target="_blank">美國司法部也曾在2020年10月控告Google</a>的搜尋引擎及搜尋廣告違反《謝爾曼法反托拉斯法令》，妨礙市場競爭，而<a href="https://www.ithome.com.tw/news/164309" target="_blank">聯邦法院也在去年8月判決</a>Google敗訴，Google亦選擇繼續上訴。</p> <p>一般而言，在法院裁決Google敗訴後，便開始考慮採用什麼樣的處罰或補救措施，不管是搜尋引擎案件或是數位廣告案件，對於前者，<a href="https://www.ithome.com.tw/news/166148" target="_blank">司法部提議</a>Google應出售Chrome業務，同樣的，在數位廣告案件上，司法部也希望可以迫使Google出售部分數位廣告技術。</p> </div></div></div>
2025/4/18 11:54作者陳曉莉https://www.ithome.com.tw/news/168477
LLM上路，資安停看聽
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">生成式AI已經成為許多人工作與生活的日常，相關的技術進展與應用一有重大突破，往往躍居傳統與新興媒體的熱門議題，例如，用AI生成吉卜力風格的圖像，就引發大家爭相採用，但也引發此舉是否侵犯著作財產權的論戰，<a href="https://www.ithome.com.tw/article/168471" target="_blank"><span style="color:#3366ff;">本期封面故事探討的部分</span></a>，恰巧與LLM有關，不過，聚焦的議題是資安風險。</p> <p dir="ltr">想要了解生成式AI可能面臨的資安問題，目前大家第一個想到的解析框架，來自在應用程式資安防護領域頗富盛名的OWASP組織，他們於2023年5月宣布，成立<a href="https://genai.owasp.org/2023/05/23/announcing-the-owasp-top-10-for-large-language-models-ai-project/" target="_blank">OWASP Top 10 for Large Language Models</a>的計畫，8月發布1.0版內容，後續計畫名稱改為OWASP Top 10 for LLM Applications，最近一次更新是在2024年11月，稱為OWASP Top 10 list for LLM applications for 2025，一個月後，宣布成立<a href="https://genai.owasp.org/2024/12/15/announcing-the-owasp-llm-and-gen-ai-security-project-initiative-for-securing-agentic-applications/" target="_blank">OWASP Gen AI Security</a>計畫，今年3月，更是將OWASP Top 10 for LLM Applications與Generative AI Lists納入OWASP Gen AI Security計畫。</p> <p dir="ltr">而且，OWASP Top 10 for LLM Applications的正式文件內容，目前有英、中、印、葡、俄等5種語言的版本（原本有正體中文版本，很可惜後來被撤下），為了讓更多臺灣關心AI資安議題的人士更了解當中的說明，我們在稍早為了今年臺灣資安大會而籌備的《2025臺灣資安年鑑》，特別企畫「快速認識LLM應用程式10大風險」內容，希望拋磚引玉，協助大家得以做好AI資安。</p> <p dir="ltr">因此，這個專題最初的構想就是快速導讀OWASP Top 10 for LLM Applications，然而，要想出一個能夠簡單表達概念的標題與圖像，卻不是那麼容易。</p> <p dir="ltr">與執筆的資安主編羅正漢討論之後，我們想到用「安心上路」表達大家走向LLM應用的心情與期待，捨棄總是用「機器人」來象徵AI的比喻，而是改用「開車」前往生成式AI啟動的新世界，以此呈現人們駕馭新技術、朝美好未來前進的情景，而且，如果要順利抵達目的地，除了要了解如何駕駛車輛，更重要的是，必須知道路上可能出現哪些危險的狀況，才能夠更充分因應各種突如其來的變故，而在駕車的意象上，我們也刻意選擇「手握方向盤」的畫面，藉此呈現我們對新技術的使用，必須持續而有效地掌握，以便降低失控的可能性。</p> <p dir="ltr">這個場景也讓我聯想到總統賴清德與副總統蕭美琴的競選廣告《在路上》，或許對我們如何安心使用AI帶來一些啟發。時任副總統的賴清德坐在總統蔡英文駕駛的車子，行駛在公路上，他說，外面好像風很大，但沒什麼感覺，因為總統開的車很穩，蔡英文也說，因為有副總統在旁邊照看，所以能夠讓她放心開，此時，導航系統的語音指示說重新調整路段、計算中，蔡英文與賴清德都說我們還是繼續直走、然後接快速道路，蔡英文此時表示，副手這個位置還是真的很重要，不能隨便用湊的，賴清德回應，也許我們做事的方式不一樣，但我們理念是一樣的，蔡英文也強調國會必須過半，國家才能走在對的路上。對照現在臺灣政局如今面臨的動盪，不禁使人感慨握住國家方向盤、影響國家方向的，的確並不只是執政者，在野者的理念與價值若無法與臺灣發展目標對齊，就會造成國家這臺大車無法穩定行駛。</p> <p dir="ltr">之後，兩人交棒，蔡英文下車，改由賴清德擔任駕駛、蕭美琴上車坐在駕駛旁邊的位置，賴清德說，臺灣人很幸福，隨時可以出發、上山下海，他問蕭美琴：「你想怎麼走？」，蕭美琴說：「我們走民主路，民主路一直走」，賴清德也說：「那我們同一路」，接著兩人談到了臺灣有許多部分領先世界其他國家，沒有和平以及民主，就不是臺灣了。</p> <p dir="ltr">人類文明發展到現在，關於國家與社會的有效治理仍是持續探討的議題，領導者與民眾的認知與處世態度都是關鍵，對於AI這樣新興應用而言，也不例外，面對未來，無論興奮或擔憂，別忘了我們是受此影響最大的主體，有了新技術幫忙，還是必須眼觀四面，耳聽八方，善用與發揮我們的心智與行動力，才能充分因應各種變局。</p> <p dir="ltr"><a href="https://www.ithome.com.tw/article/168471" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1230-feng_mian_p1-open-zheng_han_-960x420_kao_bei_0.jpg?itok=t-1C92u0" style="width: 550px;" /></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%94%9F%E6%88%90%E5%BC%8Fai">生成式AI</a></div><div class="field-item odd"><a href="/tags/owasp-top-10-llm-applications">OWASP Top 10 for LLM Applications</a></div><div class="field-item even"><a href="/tags/owasp">OWASP</a></div></div></div>
2025/4/18 09:42作者李宗翰https://www.ithome.com.tw/voice/168440
【臺灣資安大會直擊】安碁學苑：企業應從實務出發，打造涵蓋內外部人員角色的資安人才梯隊培訓藍圖
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安威脅複雜程度不斷提升，駭客手法隨著科技創新跟著進化的現今，企業應如何規畫資安人才培育，來支援企業營運韌性？資安訓練服務商安碁學苑營運長劉孟昌列出三項企業可自我檢視的問題：是否具備即戰力的資安團隊？是否有分類與分層次的資安人才培育藍圖？以及，是否具備整合內外部資源、持續進化的能力？</p> <p>劉孟昌進一步解釋，現行環境下，不只資安人才不足成挑戰，培訓資安人才的方式，也可能跟不上日新月異的資安威脅。他觀察，不少企業資安訓練內容，是證照考取導向，或理論導向。這類培訓方法，難以為資安人員應付最新威脅做準備。應該以實務為導向來培育具備即戰力的資安人員，才能對威脅快速反應。</p> <p>不只IT和資安人員需要具備即戰力。劉孟昌認為，企業應該先意識到，每個部門的每個角色都是資安第一線防線。「公司任何一個職位，都有一定資安職能需求。」他進一步解釋，雖然IT或資安人員具備管理或修補資安缺口的專業知識，不過，每一個職位的工作流程，仍是該職位人員最熟悉。企業須普及資安意識及知識到全體員工，才能靠各職位人員辨別工作流程中易被突破的環節或資訊外洩缺口。</p> <p>這意味著，資安訓練不能只集中在技術人員，而應規畫全公司跨部門、跨職能的資安職能培訓藍圖，不只如此，就連不同設備、系統的外部廠商及人員，也應該納入資安管理框架。「他是不是公司編制？不是。但他是不是在做公司內部的工作？是。」只有如此，才能徹底管理企業資安風險。</p> <p>建立資安職能培訓藍圖時，劉孟昌建議，依照不同專業分類和能力分級，逐層建立資安人才梯隊，來確保資安韌性，進而支援企業營運韌性。他推薦企業及資安人才以國家資通安全研究院2023年的《臺灣資安人才培力研究報告》歸納出來的資訊安全核心角色作為參考，將資安人才分成分析、監管治理、營運維護、調查、情資、保護防禦、安全交付7大類，共19個職務。他補充：「在企業中，通常這些職務不會由19個人負責，而是集中於少數人。」，因此他也推薦有意求職的資安人員，盡可能學習全部19種職務內容。</p> <p>安碁學苑則綜合國家資通安全研究院及NIST資安框架，將資安職能培訓分為專門職能、專業職能、進階職能三階段，從奠定資安工程師的資安專門職能基礎開始，逐漸培訓資安治理主管、弱點防護分析師等管理和技術專業，最後聚焦於資安長、資安產品開發等職位的資安進階職能技能。</p> <p></p> </div></div></div>
2025/4/17 22:38作者郭又華https://www.ithome.com.tw/news/168470
【臺灣資安大會直擊】個資保護委員會籌備處建議用MFA確保使用者身分安全，並以高安全性多因子驗證來提高攻擊難度
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「許多人會問個資保護與資訊網路安全到底有什麼關係？答案是兩者之間有關係!」，個人資料保護委員會籌備處隱私科技組組長林逸塵在今年資安大會上這麼說。</p> <p>在日常生活中，個人隱私資料無所不在，近幾年運動健身盛行之下，物聯網、個人穿戴裝置興起，運動健身App蒐集個人運動數據，使用者分享運動的熱點，這個行為看似和資安無關，但如果再結合更多其他資訊，可能使得原本保密的軍事基地位置被曝露出來。</p> <p>林逸塵以美國NIST的隱私框架1.0為例，目前已釋出1.1版本草案，在該版本的草案中，網路安全風險與資安事件相關，資料的CIA(Confidentiality, Integrity, Availability)，資料的機密性、完整性、可用性，破壞資料的機密性是未經授權或意外傳播個人資料，破壞完整性是未經授權更改資料，例如駭客入侵竄改資料，影響資料的完整性，破壞可用性則是破壞資料正常的存取運用。</p> <p>隱私風險則和隱私事件有關，指的是資料在蒐集、處理、利用的過程中產生的風險。資安事件可與隱私發生交集，即資安事件可能涉及隱私風險議題。</p> <p>美國NIST SP800-53提出資訊的控制措施，對應於隱私框架中，讓外界知道如何運用這些措施確保資料的機密性、完整性、可用性。</p> <p>當資料發生風險的機會愈高、嚴重程度愈高，資料蒐集者(企業)就需要通知資料主體(使用者)可能受到風險的影響，並且向主機單位通知，例如先前知名交通服務業者發生用戶資料外洩，向用戶通知可能產生的影響，並且得向主管機關通報，先前國內醫院被駭的案例，影響到病患資料的機密性、可用性。</p> <p>林逸塵表示，資料的機密性、完整性及可用性的意涵，包涵在國內的個資法第27條，對於非公務機關保有個人資料檔案者，應採取措施，以防止個人資料被竊取、竄改、毀損、滅失或洩漏，業者需要採取技術及組織上的相關措施，不論業者的規模大小，業者需要說明在11項要素做了什麼，若業者無法說明做了什麼，或是說明不夠清楚則可能受罰，依據個資法第48條，如果發生的事件嚴重且不改正，最高可能處1,500萬元罰鍰，已接近於金管會對金融業者的裁罰。</p> <p><span style="color:#B22222;"><strong>資料保護的PDCA四步驟</strong></span></p> <p>林逸塵指出，對於資料及資安保護採取PDCA四大步驟，規畫(Plan)、實施(Do)、檢查(Check)、改善(Adjust)，數發部產業署在2023年提出詳細的PDCA各步驟要求，可供企業參考之用，只要公司內有資訊系統，除了要符合資訊服務業者的PDCA四大步驟，還需要遵守各自業別的法律規定及資料保護要求。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1744900536774.jpeg" style="width: 600px; height: 400px;" /></p> <p>在PDCA的細項要求中，包含了組織性和技術性的要求，組織方面，例如要設置專門管理的單位，執行資料盤點、風險評估、法遵、教育訓練、稽核等等，當不幸發生資料外洩事件，必需通知當事人及主管機關。另外，事件發生後，採取補救改正的措施也相當重要。</p> <p><span style="color:#B22222;"><strong>採用MFA提高駭客攻擊門檻</strong></span></p> <p>在PDCA裡，實施(Do)要求企業需確保資料安全、人員安全、設備安全，林逸塵表示，只要企業有資訊系統及資訊設備，對個資進行存取、新增或修改，就需要符合資料安全、人員安全、設備安全的要求。</p> <p>對於技術性的控制措施，身分驗證、鑑別、權限控管相當重要，其中在身分鑑別方面，除了傳統使用的帳號及密碼，近幾年倡導使用MFA(Multifactor Authentication)多因子驗證，利用兩個以上的身分鑑別因子搭配進行驗證，例如SMS簡訊、OTP、通行碼或識別碼(PIN)、卡片、生物特徵、活體特徵等等。</p> <p>CISA將MFA分為三種類別，一種是使用SMS或語音的MFA，另一種是使用App的MFA(例如OTP)，第三種為防止網釣的MFA(例如FIDO或Public Key Infrastructure)。</p> <p>林逸塵表示，鑑於網路釣魚攻擊手法盛行，目前已有不少採用MFA多因子驗證的情境，例如企業的旅遊管理入口網，除要求用戶輸入帳號密碼，也要求用戶在手機上安裝身分驗證應用程式，從App取得OTP，以多因子驗證使用者的身分。</p> <p>他也以個資委員會籌備處收到的三個案例，駭客利用撞庫攻擊，利用取得的甲網站帳號密碼，來測試登入乙網站，其中一個案例是運動報名網站，業者監控發現網站出現異常流量，多組來自境外IP的暴力攻擊，所幸被防火牆擋下；另一個交通會員系統，則是發現有心人士透過其他管道取得民眾的個資，登入其會員系統，使用其點數兌換商品券。</p> <p>防範的技術性的措施，例如要求用戶設定長密碼，或是企業限制IP，都會造成用戶的不便，林逸塵認為最好的方式是採用MFA，避免干擾用戶，同時也增加攻擊的難度。</p> <p>採用MFA不同的因子安全性高低有別，根據資安院的研究，使用生物特徵的安全性最高，但成本也比較高，使用電子憑證的安全性及成本次之，而使用通行碼的安全性最低，但使用成本較低。</p> <p>值得注意的是，過去常使用的SMS簡訊或OTP作為MFA驗證的因子，但是許多研究證明SMS或OTP可能受到中間人攻擊，因此採用MFC，因此，林逸塵也建議應該將因子安全性高低納入考慮，例如採用電子憑證或生物特徵，甚至是將更多的因子綁在一起，提高攻擊的難度。</p> </div></div></div>
2025/4/17 22:54作者蘇文彬https://www.ithome.com.tw/news/168469
【資安日報】4月17日，CVE專案長年靠美國政府資金運作議題浮上檯面
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這兩天引起全球資安圈高度關注的議題，莫過於美國政府委託MITRE維護「常見漏洞披露（CVE）」資料庫與「通用缺陷列表（CWE）」的合約到期，由於波及所有採用CVE分析漏洞的企業組織，影響層面將可能相當廣泛。</p> <p>事隔一天，美國政府決定依照合約延長維護CVE的時間，該服務暫時免於中斷的災難。但這起風波也凸顯CVE長期倚賴單一國家政府資助的問題，CVE董事會決議轉型非營利基金會。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168453"><strong style="font-size: 22px;">蘋果修補已被用於實際攻擊iPhone的CoreAudio、RPAC零時差漏洞</strong></a></p> <p>4月16日蘋果發布iOS 18.4.1、iPadOS 18.4.1、macOS Sequoia 15.4.1、tvOS 18.4.1、visionOS 2.4.1，修補兩項零時差漏洞CVE-2025-31200、CVE-2025-31201，值得留意的是，蘋果表明這些弱點已被用於發動極度複雜的攻擊行動，鎖定特定人士的iPhone下手。</p> <p>根據CVSS風險評分，較為嚴重的是評為高風險的CVE-2025-31200，此漏洞存在於CoreAudio元件，一旦處理含有惡意多媒體檔案的音訊串流，就有可能導致程式碼執行，CVSS風險評為7.5。</p> <p>另一項漏洞CVE-2025-31201，則是存在於RPAC元件，具備任意讀取及寫入權限的攻擊者有機會繞過Pointer Authentication驗證機制，風險值為6.8。</p> <p><a href="https://www.ithome.com.tw/news/168439"><strong style="font-size: 22px;">PHP核心執行環境稽核揭露多項漏洞，衝擊PHP-FPM與加密模組安全性</strong></a></p> <p>PHP核心原始碼php-src近期完成由Quarkslab執行的安全性稽核，揭露多項高風險與中度風險漏洞，影響範圍涵蓋PHP-FPM、MySQL驅動與OpenSSL等關鍵模組。該稽核由Sovereign Tech Agency出資，透過開源技術改進基金會（OSTIF）協調，並獲得PHP基金會全力配合，進一步改善即將發布的PHP 8.4版本安全性。</p> <p>稽核結果共發現27項問題，其中17項具有安全性風險，包含3項高風險、5項中度風險與9項低風險問題，另有10項屬於資訊性弱點。多數問題已在GitHub安全通報揭露，另有兩項尚未公開之高風險漏洞仍在修補中，預計於修正完成後正式公布。</p> <p>已公布的CVE包含CVE-2024-8929，指出MySQL驅動可能透過惡意伺服器觸發堆積緩衝區過讀（Over-Read），洩露先前請求內容；CVE-2024-9026涉及PHP-FPM日誌訊息潛在竄改風險；CVE-2024-8925為表單資料解析錯誤，可能導致誤解資訊；CVE-2024-8928則為記憶體管理異常可能造成記憶體區段錯誤。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.darkreading.com/cyberattacks-data-breaches/multiple-group-exploiting-ntlm-flaw">多組人馬運用NTLM資安漏洞從事攻擊行動</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/over-16-000-fortinet-devices-compromised-with-symlink-backdoor/">逾1.6萬臺Fortinet防火牆曝露於「符號連結」弱點</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.darkreading.com/threat-intelligence/ransomware-gang-crazyhunter-critical-taiwanese-orgs">CrazyHunter駭客鎖定臺灣而來，運用來自GitHub的工具犯案</a></strong></p> <p></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/chrome-135-firefox-137-updates-patch-severe-vulnerabilities/">Google、Mozilla修補Chrome 135、Firefox 137高風險漏洞</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/oracle-patches-180-vulnerabilities-with-april-2025-cpu/">Oracle發布2025年4月更新，修補180個資安弱點</a></strong></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168459"><strong style="font-size: 22px;">針對MITRE維護CVE和CWE合約到期，美國政府延長合約因應</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/SOCIALWEBCVEProgramQuote_IMAGECTA.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/SOCIALWEBCVEProgramQuote_IMAGECTA.png" style="width: 300px; float: right;" /></a></p> <p>有人取得負責美國國土安全部窗口的MITRE主任Yosry Barsoum發出的信件，內容是向CVE委員會透露，4月15日廣泛受到全球資安領域採用的「常見漏洞披露（CVE）」資料庫，以及「通用缺陷列表（CWE）」等多項專案的維護合約即將到期，影響層面將會相當廣泛，現在出現新的發展。</p> <p>美國網路安全暨基礎設施安全局（CISA）表示，他們決定將延長提供資金的時間，讓CVE專案的服務不致間斷。CISA指出CVE專案對於資安社群極為寶貴，也是他們的優先項目，他們在15日晚間執行了合約當中的延長選項來因應此事。CISA向資安媒體Bleeping Computer、SecurityAffairs透露，合約將延長11個月。</p> <p>雖然CVE暫時逃過停止運作的情形，但在CISA承諾持續提供資金之前，CVE的部分成員決定成立獨立的CVE基金會來因應。該基金會的成立，代表CVE專案這項弱點管理生態圈開始排除單點故障的情況，並確保該專案能持續受到全球信任、以社群驅動邁出重要的一步。他們也將公布CVE基金會的組織架構、過渡規畫，以及社群參與機會等相關細節。</p> <p><a href="https://www.ithome.com.tw/news/168451"><strong style="font-size: 22px;">【臺灣資安大會直擊】趨勢科技：企業可以LLM應用架構設計安全邊界檢視風險，以LEARN方法論強化LLM應用安全</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/截圖 2025-04-16 下午8_52_34.jpeg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202025-04-16%20%E4%B8%8B%E5%8D%888_52_34.jpeg" style="width: 300px; float: right;" /></a>生成式AI帶動大語言模型應用，然而企業使用大語言模型(LLM)，不論是自行訓練或是微調，可能產生資安風險，趨勢科技架構師蔡凱翔建議，可從大型語言模型應用程式的發展生命周期，利用方法論去檢視開發階段中的安全邊界，降低相關的資安風險。</p> <p>「大語言模型的開發生命周期，就是一種機器學習和DevOps的綜合體」，蔡凱翔說，趨勢科技針對大語言模型的資安風險發布報告，建立一套檢視LLM安全的方法論，他在今年臺灣資安大會上對外分享如何實作大語言模型的資安實務。</p> <p>他表示，一般而言，資安會發生在信任程度發生變化的時候，例如系統外面的使用者發送的請求，或是使用第三方的套件，這些都是由外到內的過程中，信任程度發生變化，「從LLM應用架構來看，哪些部分會帶來信任程度的改變，就是需要留意是否發生風險的地方」。</p> <p><a href="https://www.ithome.com.tw/news/168344"><strong style="font-size: 22px;">GitHub推出Security Campaigns，讓企業系統化處理資安債成開發日常</strong></a></p> <p>GitHub宣布正式推出Security Campaigns功能，提供GitHub Advanced Security與GitHub Code Security用戶使用，助企業開發者與資安團隊在既有程式碼，系統性發現並修補尚未解決的安全漏洞，以降低長期累積的安全債風險。</p> <p>雖然不少開發團隊已將修補安全漏洞的工作，納入日常拉取請求流程，透過GitHub的Code Scanning與Copilot Autofix功能，自動偵測與修復新出現的安全問題，但GitHub指出，對於已經存在於程式碼庫的舊漏洞，開發者往往缺乏系統性管理與處理的機制，導致安全債長期累積。</p> <p>Security Campaigns的設計針對此一痛點，其運作方式由資安團隊主導，對企業內多個程式庫進行漏洞風險盤點與篩選，決定優先處理的問題範疇，例如可依據MITRE已知十大常見漏洞類型，或組織自訂條件篩選，建立一個活動範圍明確的修補專案，並設定處理期限。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/168438"><strong>【4月16日】MITRE停止維護CVE等多項專案，恐波及全球資安漏洞分析</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168418"><strong>【4月15日】總統親臨臺灣資安大會致詞，從國家戰略、產業政策彰顯資安</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168403"><strong>【4月14日】啟用SSL VPN的Fortinet防火牆遭到已知漏洞攻擊</strong></a></p> </div></div></div>
2025/4/17 16:34作者周峻佑https://www.ithome.com.tw/news/168466
針對MITRE維護CVE和CWE合約到期，美國政府延長合約因應
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有人取得<a href="https://www.ithome.com.tw/news/168432">負責美國國土安全部窗口的MITRE主任Yosry Barsoum發出的信件</a>，內容是向CVE委員會透露，4月15日廣泛受到全球資安領域採用的「常見漏洞披露（CVE）」資料庫，以及「通用缺陷列表（CWE）」等多項專案的維護合約即將到期，影響層面將會相當廣泛，現在出現新的發展。</p> <p>美國網路安全暨基礎設施安全局（CISA）表示，他們決定將延長提供資金的時間，讓CVE專案的服務不致間斷。CISA指出CVE專案對於資安社群極為寶貴，也是他們的優先項目，他們在15日晚間執行了合約當中的延長選項來因應此事。CISA向資安媒體<a href="https://www.bleepingcomputer.com/news/security/cisa-extends-funding-to-ensure-no-lapse-in-critical-cve-services/">Bleeping Computer</a>、<a href="https://securityaffairs.com/176608/security/cisas-11-month-extension-ensures-continuity-of-mitres-cve-program.html">SecurityAffairs</a>透露，合約將延長11個月。</p> <p>MITRE也<a href="http://www.bleepingcomputer.com/news/security/cisa-extends-funding-to-ensure-no-lapse-in-critical-cve-services/">證實</a>了CISA的說法，他們在4月16日上午確認CISA決定提供資金維持CVE、CWE專案的運作，讓這些專案免於服務中斷的命運。MITRE感謝全球網路社群、相關行業、政府機關過去24小時的聲援，並感謝美國政府認可MITRE的角色，他們將持續為全球提供CVE及CWE的服務。</p> <p>雖然CVE暫時逃過停止運作的情形，但在CISA承諾持續提供資金之前，CVE的部分成員決定成立獨立的<a href="https://www.thecvefoundation.org/home">CVE基金會</a>來因應。CVE基金會指出，CVE專案自成立以來都仰賴美國政府的資助，這樣的情況本來就引起CVE董事會的擔憂，因為這項全球資安界依賴的專案資源，都是由單一政府供應資金維持運作，不僅這項專案的持續性存在隱憂，也存在中立性的問題。</p> <p>對此，CVE董事會在收到4月15日MITRE發出的通知後，決定執行由一名CVE成員策畫一年的計畫，那就是將CVE過渡成為獨立的非營利基金會。該基金會的成立，代表CVE專案這項弱點管理生態圈開始排除單點故障的情況，並確保該專案能持續受到全球信任、以社群驅動邁出重要的一步。他們也將公布CVE基金會的組織架構、過渡規畫，以及社群參與機會等相關細節。</p> </div></div></div>
2025/4/17 11:11作者周峻佑https://www.ithome.com.tw/news/168459
Lyft花了1.75億歐元買下FREENOW叫車服務以進軍歐洲市場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://investor.lyft.com/news-and-events/news/news-details/2025/Lyft-Expands-in-Europe-Diversifies-by-Acquiring-FREENOW/default.aspx" target="_blank">北美叫車服務Lyft周三（4/16）宣布</a>，將以1.75億歐元（約1.97億美元）的現金，買下由BMW集團與Mercedes-Benz Mobility共同成立的FREENOW叫車服務，以進軍歐洲市場。雙方預計於今年下半年完成交易。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0417-Lyft%20Expands%20in%20Europe-Acquiring%20FREENOW.png" style="width: 400px;" /></p> <p>Lyft成立於2012年，是美國僅次於Uber的第二大叫車服務，提供汽車、電動滑板車與自行車共享系統，<a href="https://investor.lyft.com/news-and-events/news/news-details/2025/Lyft-Reports-Record-Q4-and-Full-Year-2024-Results/default.aspx" target="_blank">在2024年的乘車交易總額為161億美元</a>，成長17%，營收為58億美元，成長31%，淨收入為2,280萬美元，2023年Lyft還出現3.4億美元的虧損。</p> <p>至於FREENOW則是BMW與Mercedes-Benz Mobility在2019年於德國創立，同樣提供汽車、電動滑板車及共享自行車服務，迄今已在歐洲9個國家的逾150個城市運作。<a href="https://d18rn0p25nwr6d.cloudfront.net/CIK-0001759509/81d8231f-b36a-4e3a-b9ed-3d5a882d835e.pdf" target="_blank">根據Lyft提供給美國證券交易委員會的文件</a>，FREENOW在2024年吸引了630萬名乘客，乘車交易總額超過10億歐元，有9成來自計程車。且FREENOW不管是與計程車工會、私家車車隊或是監管機管都擁有良好的關係。</p> <p>Lyft執行長David Risher表示，這是該公司在北美市場之外最重要的擴張行動，令Lyft進入歐洲市場。</p> <p>這是因為歐洲的程式叫車服務仍有成長空間，約有50%的叫車服務還在線下進行，未來計程車將繼續成為FREENOW當地服務的支柱。</p> <p>接下來Lyft打算透明化與強化FREENOW車主及乘客的福利，未來則計畫讓北美與歐洲用戶可無縫使用任一款應用程式，估計FREENOW可替該公司帶來每年15%的成長，在2027年達到250億美元的乘車交易規模。</p> <p>至於Lyft最大競爭對手Uber，則已於全球逾70個國家的1.5萬個城市提供叫車與快遞服務，<a href="https://investor.uber.com/news-events/news/press-release-details/2025/Uber-Announces-Results-for-Fourth-Quarter-and-Full-Year-2024/default.aspx" target="_blank">Uber在2024年的總交易金額為1,628億美元</a>，成長18%，營收為440億美元，成長18%，淨收入則是65億美元，成長60%，規模比Lyft大上許多。</p> </div></div></div>
2025/4/17 14:30作者陳曉莉https://www.ithome.com.tw/news/168463
JRuby 10整合Ruby 3.4與Java 21全面升級執行效能與相容性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>JRuby團隊宣布推出睽違近十年的重大版本<a href="https://blog.headius.com/2025/04/jruby-10-part-one-whats-new.html">JRuby 10</a>，整合對Ruby 3.4與Java 21的支援，全面更新執行環境與語言相容性，提升應用效能、啟動速度與與JVM生態的整合程度，成為開發者部署高效Ruby應用的新選項。</p> <p>JRuby是一個以Java實作的Ruby執行環境，可在JVM上執行Ruby程式。其重要性在於結合Ruby語言的開發效率與JVM的跨平臺性、高效能與豐富生態，讓Ruby應用能進入企業級部署場景，並與Java、Scala、Kotlin等語言互通，擴大Ruby在雲端、桌面與行動裝置上的應用潛力。</p> <p>JRuby 10最顯著的升級之一是將Ruby相容性從3.1版直接跨越到3.4版，不僅完整導入了Ruby 3.2、3.3與3.4的語言特性，也通過Ruby官方測試套件的完整檢驗。測試結果顯示，JRuby 10成功通過超過5,000項Ruby官方核心類別測試，共190萬項斷言（Assertion），且未出現任何錯誤與失敗，是JRuby歷來新版本發表中最完整的一次相容性更新。</p> <p>與此同時，JRuby 10結束長達十年的Java 8相容期，將最低需求調升至Java 21，使其能正式整合近年來JVM新增的多項關鍵技術。包含Project Loom輕量執行緒、Project Panama的原生函式呼叫支援、AppCDS的類別快取技術，皆已被納入JRuby 10的執行邏輯中。透過這些機制，JRuby在實際測試中展現更低的啟動延遲，並大幅改善長時間執行時的JIT最佳化行為。</p> <p>過去JRuby在效能最佳化時，受限於Java 8平臺上的invokedynamic效能問題，開發者需手動設定才能啟用完整強化功能。JRuby 10則首次預設全面啟動invokedynamic最佳化，不需額外的手動設定，就能充分發揮JRuby對Ruby程式碼的執行效率。以紅黑樹（Red Black Tree）基準測試為例，JRuby 10的整體效能相較9.4版可達到數倍提升，尤其在高密度運算場景下，效果更明顯。</p> <p>針對熱門的Rails框架，JRuby 10現已提供至ActiveRecord 7.1的完整資料庫支援，預計在今年夏季前完成Rails 8的相容性支援。同時，JRuby專案共同領導人Charles Oliver Nutter<a href="https://blog.headius.com/2025/04/jruby-10-part-one-whats-new.html">強調</a>JRuby持續是實現單一程序多核平行處理Rails應用程式的重要平臺，建議開發者在配置Rails應用時，適當調整Puma伺服器執行緒數量及資料庫連接池大小，以達到最佳效能表現。</p> <p>隨著JVM持續演進，JRuby將在未來版本中進一步整合如Project Leyden的預先最佳化快照功能與SIMD、GPU等硬體加速機制，讓Ruby應用可持續受益於JVM前沿技術。Charles Oliver Nutter表示，他們的目標並非單純追趕語言版本，而是將Ruby拓展為能於企業與雲端環境靈活運行的選項，讓熟悉Ruby的開發者能在新一代執行環境中維持語言習慣，同時享有Java平臺的效能與部署彈性。</p> </div></div></div>
2025/4/17 12:28作者李建興https://www.ithome.com.tw/news/168460
OpenAI開源程式碼代理工具Codex CLI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著<a href="https://www.ithome.com.tw/news/168461" target="_blank">OpenAI o3與o4-mini推理模型</a>的發表，<a href="https://github.com/openai/codex" target="_blank">OpenAI也開源了程式碼代理工具Codex CLI</a>，這是個可安裝在開發人員電腦上的命令列介面（Command-line Interface，CLI），現可用來存取OpenAI o3與o4-mini，未來也可支援GPT‑4.1⁠等其它模型。</p> <p>Codex CLI是款輕量級的命令列工具，讓開發人員能夠在電腦上以自然語言與AI模型互動，以修改、執行或生成程式碼，所有的檔案讀寫及命令執行都在本地完成，僅將提示、脈絡與選用的差異摘要發送至模型進行生成，採用Apache-2.0開源授權。不過，因為它連結的是付費的OpenAI模型，因此設定時需要具備一個付費的OpenAI API帳戶。</p> <p>過去OpenAI針對程式撰寫能力最早推出的是<a href="https://www.ithome.com.tw/news/146142" target="_blank">Codex模型與Codex API</a>，在Codex API於2023年退役後，便由GPT-3.5/4模型接手了類似的功能；開發人員也可透過ChatGPT來詢問有關程式碼的問題；或者是採使用GitHub Copilot；有些開發人員還會自行設計工具；或者是透過API再輔以自動化流程。</p> <p>雖然利用ChatGPT的操作最為簡單，而且介面直覺，但主要限制是無法直接於本機上的檔案互動。對熟悉命令列的開發人員而言，可以直接於電腦上安裝Codex CLI，同樣能獲得ChatGPT等級的推理能力，並實際執行程式碼與進行檔案操作。OpenAI將Codex CLI定位為一種可以理解與操作開發人員儲存庫的聊天式開發環境，是連結開發人員電腦及模型的最小介面，可直接將截圖或草圖傳送至模型，還能存取本地端的程式碼。</p> <p>OpenAI祭出了一項100萬美元的計畫，以推動使用Codex CLI及OpenAI模型的各種專案，每次可提供價值2.5萬美元的API額度，<a href="https://openai.com/form/codex-open-source-fund/" target="_blank">並已開放外界申請</a>。</p> </div></div></div>
2025/4/17 12:44作者陳曉莉https://www.ithome.com.tw/news/168462
OpenAI發表o3與o4-mini推理模型，可自動縮放及旋轉圖像以協助推理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI在周三（4/16）<a href="https://openai.com/index/introducing-o3-and-o4-mini/" target="_blank">發表了全新的o3推理模型與輕量的o4-mini推理模型</a>，這兩個新模型最大的特點是具備視覺推理與圖像操作能力，將圖像納入推論過程並對其進行多步驟的視覺分析，可自動對圖像進行縮放、旋轉及剪裁等操作。</p> <p>o系列是OpenAI的推理模型，強調具備關聯性思考能力，但它們在回答之前會思考更長的時間，在回覆使用之前採用了很長的內部思考鏈。OpenAI是在去年9月正式<a href="https://www.ithome.com.tw/news/165026" target="_blank">發表o1</a>，也有輕量級的o1-mini與專業級的o1-pro；OpenAI跳過了o2型號，並在今年2月率先<a href="https://www.ithome.com.tw/news/167177" target="_blank">釋出o3 mini</a>；於本周同時釋出o3與o4 mini。</p> <p>o3與o4 mini最令人驚豔的應該是<a href="https://openai.com/index/thinking-with-images/" target="_blank">它們的圖像思考及推理能力</a>，這兩個模型可藉由各種工具來轉換使用者所上傳的圖像，讓這些圖像得以裁剪、放大與旋轉，還能執行其它簡單的圖像處理技術。</p> <p>例如當使用者上傳了一張今天在海邊拍的照片，遠方的海面上有許多船隻，他將照片上傳並詢問最大艘的船隻叫什麼名字，以及它之後會停靠在哪個港口。由於船隻太遠，o3只好先將照片放大，辨識出使用者的位置，找到最大艘的船，辨識船隻的名字，再上網搜尋以給出答案，但總計花了好幾分鐘。</p> <p>OpenAI表示，使用者可以上傳白板的照片、教科書圖表或手繪的草圖，就算是圖像模糊、顛倒或品質不佳，模型還是可以透過工具動態地處理圖像，當作它推理的一部分。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0417-OpenAI%20o3_reasoning_images_4.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／OpenAI</span></span></p> <p>除了圖像推理能力之外，OpenAI o3擔當該公司目前最強大的推理模型，不管是在程式碼、數學、科學與視覺感知上都有所進步，強調適合需要多方面分析的複雜查詢，根據外部專家的評估，它在困難的現實任務上所犯的重大錯誤比OpenAI o1少了20%。</p> <p>OpenAI比較了o3、o4-mini、o1與o3-mini在解決數學問題、高階科學問題、多模態推理能力、程式碼任務，以及指令遵循上的表現，皆可發現o3與o4-mini明顯優於前一代的產品。</p> <p>o3每輸入100萬個Token的價格為10美元，輸出100萬個Token的價格為40美元；o4-mini每輸入及輸出100萬個Token的價格，則分別是1.1美元及4.4美元。</p> </div></div></div>
2025/4/17 12:04作者陳曉莉https://www.ithome.com.tw/news/168461
微軟發表首個超過20億參數的1-bit模型同樣效能但更省電、不占記憶體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://huggingface.co/microsoft/bitnet-b1.58-2B-4T" target="_blank">微軟本周發表20億參數的1-bit模型BitNet b1.58 LLM家族</a>，稱此新型模型比主流Transformer LLM更不占記憶體且更少耗能，適合在CPU或較小型硬體平臺上執行。</p> <p>微軟研究院與中國科學院研究人員2023年發表名為《BitNet: Scaling 1-bit Transformers for Large Language Models》的論文，首度發表為大語言模型設計的1-bit Transformer架構，稱為BitNet，<a href="https://arxiv.org/abs/2402.17764" target="_blank">去年再發表BitNet b1.58 LLM變種</a>。</p> <p>微軟表示，這是第一個參數20億的開源原生1-bit LLM。它是以4兆字詞的資料集訓練而成，具備4096 token的context length。</p> <p>研究團隊說明，在BitNet b1.58模型中，單一參數或權重是三元（ {-1, 0, 1}）的。此類新模型架構引入BitLinear作為nn.Linear層的替代，能夠訓練1-bit 的權重，訓練出的LLM和同樣參數量及訓練字詞的全精度（FP16）Transformer LLM模型相較，具有相同的困惑度（perplexity）及終端任務效能，但卻能大幅減少了記憶體占用和能源耗損，就延遲性及傳輸率表現而言也更省成本。</p> <p>微軟團隊認為，最重要的是， BitNet b1.58提出了新的模型擴展法則，可用於訓練高效能及低成本的下世代LLM，而且BitNet b1.58對CPU裝置更為友善，更適合執行於邊緣和行動裝置上，顯示出效能和能力。研究人員相信1-bit LLM可催生出新的硬體和為其優化的系統。</p> <p>根據研究團隊比較測試，BitNet b1.58-3B/3.9B版本占用記憶體為2.22GB及2.38GB，遠小於LLaMA-3B的7.89GB。延遲性來看，BitNet b1.58-3B/3.9B各為1.87ms及2.11ms，優於LLaMA-3B的5.07ms。二個BitNet b1.58的PPL以及零樣本訓練準確性表現，也都超越LLaMA-3B。</p> <p><a href="https://arxiv.org/pdf/2402.17764" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0417-BitNet%20b1_58-600.png" style="width: 600px;" /></a></p> <p>微軟已在Hugging Face 開源三個版本的Bitnet-b1.58模型權重，一是<a href="https://huggingface.co/microsoft/bitnet-b1.58-2B-4T" target="_blank">BitNet b1.58 2B4T</a>，適合模型部署。二是Bitnet-b1.58-2B-4T-bf16，僅適合模型訓練或微調。BitNet-b1.58-2B-4T-gguf則包含GGUF格式的權重，相容bitnet.cpp函式庫用於CPU推論。</p> <p>但微軟也警告開發人員，目前Transformers函式庫的執行方式並沒有包含為BitNet設計、高度最佳化的計算核心，因此無法彰顯 BitNet 架構的好處。</p> <p>所以，雖然開發人員可能會因這個模型使用了量化（quantized）的權重而看到節省了一點記憶體，但無法看出速度快、耗能低等效能優勢，因為transformers本身不支援BitNet所需要的底層運算加速。想要體驗論文中提到的效能（包括低功耗和高效率的推論），必須使用官方提供的 C++ 實作版本：bitnet.cpp。</p> </div></div></div>
2025/4/17 10:46作者林妍溱https://www.ithome.com.tw/news/168458
Google影片生成Veo 2推向付費版Gemini Whisk圖生影片服務上線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/gemini/video-generation/" target="_blank">Google周三（4/16）宣布</a>影片生成模型Veo 2提供給Gemini Advanced，以圖片生成8秒影片的Whisk Animate服務也上線。Google One AI Premium方案已可使用兩種服務。</p> <p>Veo是Google對OpenAI Sora的回應．可根據用戶輸入的文字提示，生成最長達2分鐘、最高4K（4096 x 2160）解析度畫質的影片。這模型能理解真實世界的物理運作及人類動作，生成流暢的角色運動、逼真場景及更精細的細節表現。</p> <p><a href="https://www.ithome.com.tw/news/167538" target="_blank">2月底Veo 2正式上線</a>，費用為每秒0.5美元。現在起幾周內Veo 2將部署給全球Gemini Advanced，提供Web及手機版，並支援上百種語言。<a href="https://techcrunch.com/2025/04/15/googles-veo-2-video-generator-comes-to-gemini/" target="_blank">Techcrunch報導</a>，目前本模型還未提供給Workspace Business和Edu方案用戶。</p> <p>欲使用這個模型，可在Gemini下拉式選單中選擇Veo 2，輸入文字提示，就能生成8秒720p、16:9橫式格式的MP4影片。Google說，Veo 2每月設有使用次數限制，用戶到了上限會接到通知。這個限制似乎因人而異，<a href="https://www.reddit.com/r/Bard/comments/1k056jg/gemini_app_veo_2_generate_limit_is_roughly_30/?rdt=41571" target="_blank">Reddit用戶估計</a>一個月30次左右，有人1天可用6-8次，有人5次，也有人3次就到頂了。</p> <p>其次，Google Labs去年12月<a href="https://www.ithome.com.tw/news/166542" target="_blank">發表Whisk功能實驗版</a>，讓用戶可上傳圖片或輸入文字提示生成影片檔，現在Google正式推出Whisk Animate，將用戶上傳的圖片以Veo 2製作成8秒影片。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0417-%E6%96%87%EF%BC%8F%E5%9C%96-%E5%BD%B1%E7%89%87%E7%94%9F%E6%88%90-Whisk%20Animate.png" style="width: 600px;" /></p> <p>Google One AI Premium方案（方案內容為Gemini Advanced及2TB儲存空間）訂閱用戶現在已可以使用Veo2模型及Whisk Animate服務。視Whisk在全球各國部署進度而定，訂閱用戶可先在Labs.google/whisk網站試用Whisk Animate服務，臺灣目前還沒有。</p> </div></div></div>
2025/4/17 09:26作者林妍溱https://www.ithome.com.tw/news/168452
蘋果修補已被用於實際攻擊iPhone的CoreAudio、RPAC零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>4月16日蘋果發布<a href="https://support.apple.com/zh-tw/122282">iOS 18.4.1、iPadOS 18.4.1</a>、<a href="https://support.apple.com/zh-tw/122400">macOS Sequoia 15.4.1</a>、<a href="https://support.apple.com/zh-tw/122414">tvOS 18.4.1</a>、<a href="https://support.apple.com/zh-tw/122402">visionOS 2.4.1</a>，修補兩項零時差漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-31200">CVE-2025-31200</a>、<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-31201">CVE-2025-31201</a>，值得留意的是，蘋果表明這些弱點已被用於發動極度複雜的攻擊行動，鎖定特定人士的iPhone下手。</p> <p>根據CVSS風險評分，較為嚴重的是評為高風險的CVE-2025-31200，此漏洞存在於CoreAudio元件，一旦處理含有惡意多媒體檔案的音訊串流，就有可能導致程式碼執行，CVSS風險評為7.5。</p> <p>另一項漏洞CVE-2025-31201，則是存在於RPAC元件，具備任意讀取及寫入權限的攻擊者有機會繞過Pointer Authentication驗證機制，風險值為6.8。</p> </div></div></div>
2025/4/17 09:46作者周峻佑https://www.ithome.com.tw/news/168453
【臺灣資安大會直擊】趨勢科技：企業可以LLM應用架構設計安全邊界檢視風險，以LEARN方法論強化LLM應用安全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>生成式AI帶動大語言模型應用，然而企業使用大語言模型(LLM)，不論是自行訓練或是微調，可能產生資安風險，趨勢科技架構師蔡凱翔建議，可從大型語言模型應用程式的發展生命周期，利用方法論去檢視開發階段中的安全邊界，降低相關的資安風險。</p> <p>「大語言模型的開發生命周期，就是一種機器學習和DevOps的綜合體」，蔡凱翔說，趨勢科技針對大語言模型的資安風險發布報告，建立一套檢視LLM安全的方法論，他在今年臺灣資安大會上對外分享如何實作大語言模型的資安實務。</p> <p>蔡凱翔首先指出，大型語言模型應用程式的開發生命周期可以分為，「資料工程」、「預訓練」、「基礎模型選擇」、「領域適配」、「評估」、「應用開發與整合」、「部署與監控」，不同的開發階段，需要選擇不同的工具或方案開發模型。</p> <p>以「資料工程」階段為例，通常涵蓋資料擷取、資料前處理、資料儲存及管理，不論企業選擇從無到有開發LLM模型，以資料進行預訓練，但是自行開發投入的成本相當昂貴，因此多數企業會選擇開源LLM模型作為基礎模型，不論自行開發模型或使用開源模型，在後續「評估」或是「部署與監控」階段，如果模型開發不如預期或是部署後使用者的回饋反應不佳，都可能重新回到「資料工程」。</p> <p>至於「預訓練」階段，企業需要選擇分詞器(Tokenization)，建立檢查點(Checkpointing)，以及在預訓練過程中，產生不同訓練版本模型的版本控制(Versioning models)；「基礎模型選擇」階段，企業根據自己的需求，選擇使用開源模型或專用模型；「領域適配」階段，企業運用提示工程、RAG或是微調等技術，讓模型適用於特定的任務，以獲得更好的表現。</p> <p>「評估」階段則使用工具或是以人工監方式，檢驗大語言模型的效能、可靠或安全性；「應用開發與整合」階段為LLM應用開發框架，依需求選擇不同的LLM應用開發框架，例如LangChain、Python的開源框架Haystack、LlamaIndex等，或是MCP協定；「部署與監控」階段為部署和監控的方式，與開發應用程式相同，包括部署的模式、部署的策略、可視工具等。</p> <p>蔡凱翔說，企業依照LLM開發生命周期各個階段進行開發，對應涉及到LLM應用架構，這個架構內包含不同的區塊，如DevSecOps區塊、模型訓練區塊、資料來源區塊、資料儲存區塊，還有LLM應用區塊，其中因為AI Agent可能拉出LLM Agent子區塊，「不同區塊的安全邊界當發生信任程度(Trustworthy)的變化，這些邊界代表風險發生的地方」。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202025-04-16%20%E4%B8%8B%E5%8D%888_52_34.jpeg" style="width: 600px; height: 328px;" /></p> <p>他表示，一般而言，資安會發生在信任程度發生變化的時候，例如系統外面的使用者發送的請求，或是使用第三方的套件，這些都是由外到內的過程中，信任程度發生變化，「從LLM應用架構來看，哪些部分會帶來信任程度的改變，就是需要留意是否發生風險的地方」。</p> <p><span style="color:#B22222;"><strong>LLM的10類風險</strong></span></p> <p>這些安全邊界可能出現的安全風險可分為10類，包括「提示注入風險」、「輸出安全風險」、「訓練風險」、「法遵及監管風險」、「代理及控制風險」、「資料曝露風險」、「幻覺風險」、「供應鏈風險」、「資源及可用性風險」、「模型安全風險」。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202025-04-16%20%E4%B8%8B%E5%8D%888_49_36.jpeg" style="width: 600px; height: 347px;" /></p> <p>蔡凱翔以提示注入風險為例，讓AI去做原本設計用途以外的事情，提示注入風險可以分為強制提示、反向心理學、誤導三種攻擊手法，還有直接、間接兩種傳輸方式。例如在不抵觸設計者的安全措施下，利用迂回的方式，讓AI透露炸彈製作的過程，像是請AI撰寫戰爭劇本為理由，要求AI具細糜遺說明演員如何在倉庫中製作炸彈的場景，將惡意的意圖用正常文本作包裝，可能讓AI透露原本不該揭露的資訊。</p> <p>另一種手法是誤導提示，稱為Grandma Prompt(阿嬤提示)，當AI具有類人類的特性，攻擊者可以懷念故去的阿嬤每天說床邊故事為理由，這些床邊故事是關於如何製作槍支，要求AI模仿阿嬤說一個這樣的床邊故事。</p> <p>Grandma Prompt的另一個惡意手法案例是，許多線上服務中常見會使用CAPTCHA，顯示一個圖片，該圖片內容為扭取或是用色彩掩蓋的一串英文字母或數字，藉此來檢驗使用者是否為真的人類，而不是機器人，一般而言，可辨識視覺的AI通常基於安全設計無法回答CAPTCHA驗證圖片中的文字或數字串，攻擊者利用Grandma Prompt手法，以已故阿嬤為情感訴求，將CAPTCHA的驗證圖片剪貼製作為一張阿嬤留下的紀念照片，誘導AI說出CAPTCHA隱藏的文字或數字串。</p> <p>LLM的10類風險中，資料曝露風險可能是另一個企業關心的風險。</p> <p>蔡凱翔表示，通常企業資料被LLM曝露來自三種原因，一是模型訓練資料中含有企業的機敏資料，第二是在RAG的提示資料中使用企業的機敏資料，第三是使用者輸入的資料中含有機敏資料。韓國就曾有新創業者開發AI聊天機器人，因訓練使用韓國知名聊天軟體Kakao Talk約10億條用戶真實對話作訓練，使用者與AI聊天機器人互動時，意外揭露姓名、銀行帳戶等敏感資料，因違反韓國個資法被罰1億韓元(約270萬元台幣)。</p> <p>幻覺為另一個風險，AI產生錯誤虛構的回應資料，這類風險的發生通常是訓練資料裡沒有使用者需要的答案，因此AI綜合參考多個資料來源，自行產生虛構的答案，假設工程師要求AI推薦好用的開發工具套件，AI回覆一個不存在的虛構工具套件，惡意人士製作同名的惡意程式，就可能誘騙不知情的工程師下載惡意程式。</p> <p><span style="color:#B22222;"><strong>結合安全邊界及風險加強LLM應用安全</strong></span></p> <p>綜合LLM的風險及前面提到的LLM應用架構安全邊界，蔡凱翔表示，企業可以根據檢視表檢視在哪些安全邊界應該注意可能產生的風險有哪些。趨勢科技發布的大語言模型的安全白皮書，讓企業可以查表的方式，對照安全邊界及風險。</p> <p>參加應用架構中的安全邊界和可能產生的風險類別：</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202025-04-16%20%E4%B8%8B%E5%8D%888_43_08.jpeg" style="width: 600px; height: 308px;" /></p> <p>趨勢也提出LEARN(Layer,Evaluate,Act,Reinforce,Nurture)的方法論，首先是對LLM應用的架構進行分層(Layer)辨識安全邊界，接下來評估(Evaluate)不同的安全風險，排定高低順序，再採取行動(Act)，在邊界採取緩解風險的措施，持續強化(Reinforce)監控完善安全措施，再依不斷變化的威脅去培養(Nurture)符合法規及技術演變的安全意識文化。</p> </div></div></div>
2025/4/16 20:51作者蘇文彬https://www.ithome.com.tw/news/168451
【資安日報】4月16日，MITRE停止維護CVE等多項專案，傳出與川普大砍行政預算有關
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年初臺灣因立法院大幅刪減政府各式預算，連帶影響政府的資安防禦工作，<a href="https://www.ithome.com.tw/news/167141">以數發部為例</a>，預算刪減4成、凍結2成，將影響我國通訊韌性基礎建設、打詐，並<a href="https://ithome.com.tw/news/168271">衝擊資安產業</a>，如今美國也出現類似情況，影響層面恐更加廣泛。</p> <p>有人取得MITRE主任Yosry Barsoum寫給CVE委員會的信件，提及MITRE維護CVE、CWE等專案的合約到期一事，由於這些專案維護都是仰賴美國國土安全部的預算，外界普遍認為此事就是川普大砍行政預算造成。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168431"><strong style="font-size: 22px;">冒牌電腦版Line針對臺灣而來，恐導致電腦被植入木馬</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/fake-line-pc-website.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/fake-line-pc-website.jpg" style="width: 300px; float: right;" /></a></p> <p>4月15日資安業者趨勢科技提出警告，他們近期發現有駭客佯稱提供即時通訊軟體Line的電腦版本，意圖散布木馬程式的情況。一旦使用者透過Google搜尋「電腦版Line」等關鍵字，就有可能接觸到這些假網站，若是不慎依照指示安裝，電腦就有可能被植入木馬程式，而有可能面臨個資外洩及裝置遭接管的情況。值得留意的是，這波攻擊行動疑似針對臺灣用戶而來。</p> <p>由於Line在臺灣的使用率相當高，再加上趨勢科技看到的假網站大多使用正體中文，因此他們研判，攻擊者的主要目標就是臺灣。我們向趨勢科技進一步了解，該公司表示這次的警示資訊，源自於他們在內部偵測到相關事故，根據初步調查的結果，顯示惡意軟體的類型為木馬程式，因此，他們決定呼籲客戶及使用者要提高警覺。</p> <p><a href="https://www.ithome.com.tw/news/168434"><strong style="font-size: 22px;">MFT檔案共享系統Cleo受害者首度現身，租車業者Hertz證實受害</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Hertz_xv4akY0PYG.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Hertz_xv4akY0PYG.png" style="width: 300px; float: right;" /></a></p> <p>去年12月資安業者Huntress揭露鎖定Cleo旗下MFT檔案傳輸系統的攻擊行動，駭客利用零時差漏洞CVE-2024-55956（CVSS風險評分為9.8分）得逞，隨後勒索軟體駭客Clop聲稱是他們所為，向新聞媒體透露有超過60家企業組織受害，其中一家是遭Termite攻擊的SaaS軟體服務供應商Blue Yonder，如今有企業表明受害。</p> <p>根據Bleeping Computer、Dark Reading、SecurityAffairs、SecurityWeek等多家資安新聞網站報導，大型租車業者Hertz證實，他們在今年2月10日確認發生資料外洩事故，未經授權的第三方人士利用Cleo平臺的零時差漏洞，從去年10月至12月收集Hertz的資料。該公司察覺此事，隨即確認事件影響的範圍，以及個人資料受到影響的人士，並於4月2日完成相關資料分析。</p> <p>對於遭到外流的資料，Hertz表示包含姓名、聯絡資訊、生日、信用卡資訊、駕照等。有極少量人士的社會安全碼（SSN）、護照、醫療照護資料，或是車禍受傷資訊，也可能被外流。</p> <p><a href="https://www.ithome.com.tw/news/168433"><strong style="font-size: 22px;">【臺灣資安大會直擊】AI同事雙面刃，網路犯罪即代理危機浮現</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1）趨勢科技Robert McArdle.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E8%B6%A8%E5%8B%A2%E7%A7%91%E6%8A%80Robert%20McArdle.jpg" style="width: 300px; float: right;" /></a>兩年前生成式AI應用爆發，一年半後代理型AI（Agentic AI）發展備受關注，已成為2025年當紅科技焦點，然而，在企業導入AI相關工具以提升營運效率的同時，網路犯罪組織也正同樣這麼做。</p> <p>2025臺灣資安大會的第一天，負責「前瞻威脅研究」(FTR) 與「敵情監控」(AIM) 團隊的趨勢科技專家，介紹了他們對網路犯罪的最新觀察，同時向所有國內與會者示警，呼籲大家在期待AI Agent應用到來之際，同時也要注意網路犯罪領域可能的重大變革，將出現以AI代理為基礎的新模式──Cybercrime as a Servant。</p> <p>如今AI技術崛起，網路犯罪局勢更加複雜。Robert McArdle指出，網路犯罪市場也會有所轉型，從現在的Cybercrime as a Service，也就是網路犯罪即服務，轉變為AI代理為基礎的Cybercrime as a Servant。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/04/chinese-hackers-target-linux-systems.html">中國駭客UNC5174鎖定Linux而來，散布SnowLight、VShell犯案</a></strong></p> <p><strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/04/chinese-hackers-target-linux-systems.html"></a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/midnight-blizzard-deploys-new-grapeloader-malware-in-embassy-phishing/">俄羅斯駭客APT29鎖定歐洲外交單位下手，散布WineLoader後門</a></strong></p> <p><strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/midnight-blizzard-deploys-new-grapeloader-malware-in-embassy-phishing/"></a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityaffairs.com/176530/security/malicious-npm-packages-to-steal-paypal-credentials.html">惡意NPM套件鎖定PayPal用戶而來，企圖挾持加密貨幣交易</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/04/cisa-and-fbi-warn-fast-flux-is-powering.html">駭客運用Fast Flux手法建置基礎設施，意圖隱匿行蹤</a></strong></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.darkreading.com/vulnerabilities-threats/max-severity-bug-apache-roller-persistent-access">Apache基金會修補部落格平臺Roller風險滿分的漏洞</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168432"><strong style="font-size: 22px;">川普大砍行政預算，CVE與CWE專案的合約本周到期</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/bafkreih5uspf3wg756i4bx22bibyltlhrcuttzx6cwqlqfjz22kcaflsau.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/bafkreih5uspf3wg756i4bx22bibyltlhrcuttzx6cwqlqfjz22kcaflsau.jpg" style="width: 300px; float: right;" /></a>負責管理與維護「常見漏洞披露」（Common Vulnerabilities and Exposures，CVE）資料庫，以及「通用缺陷列表」（Common Weakness Enumeration，CWE）的美國非營利組織MITRE近日傳出，包括這兩項專案的許多專案合約都將在今天到期。外界猜測應是川普大砍美國行政預算所導致。</p> <p>這項消息的曝光，源自於在社交媒體上流傳的信件，是由負責美國國土安全部窗口的MITRE主任Yosry Barsoum寫給CVE委員會，內容提及包括CVE與CWE在內的多項合約，都將在4月15日到期，倘若CVE服務中斷，可能有多方會受到影響，從國家資料庫、工具供應商、事件回應的操作，到各種關鍵基礎設施等。</p> <p>資安專家Brian Martin指出，一旦相關預算消失，CVE編號授權單位再也無法分配ID或交予MITRE快速發布，這是美國國家漏洞資料庫（NVD）的基礎，全球所有依賴CVE與NVD分析漏洞的公司都將受到劇烈影響。</p> <p><a href="https://www.ithome.com.tw/news/168429"><strong style="font-size: 22px;">【臺灣資安大會直擊】前資安院副院長吳啟文：企業積極導入AI應用，資安防禦應也應擴及AI風險</strong></a></p> <p>「資安是持續的風險管理，因此對威脅、趨勢掌握非常重要」，前國家資通安全研究院副院長吳啟文在今年臺灣資安大會中分享在AI時代下的資安防禦思維。</p> <p>如何管理AI可能帶來的風險？吳啟文借用世界經濟論壇WEF的報告，該報告提出平衡AI與網路安全的風險及報酬的6個問題，作為AI應用管理風險的自評依據，這些問題例如對於使用AI技術具有適當的風險承受能力，且被所有風險所有者理解？在考慮新的AI計畫時，適當的平衡風險與報酬？有效的流程以管理追蹤組織AI計畫發展？確保AI部署符合組織政策與法規義務的驗證流程？等等。</p> <p>吳啟文認為，WEF的報告提出的6個問題，可讓企業或組織規畫運用AI技術時，先評估自己的準備是否已經完備，已做到上述問題的要求方能考慮AI應用，如果沒有做到則需要重新考慮是否導入AI應用。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/168418"><strong>【4月15日】總統親臨臺灣資安大會致詞，從國家戰略、產業政策彰顯資安</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168403"><strong>【4月14日】啟用SSL VPN的Fortinet防火牆遭到已知漏洞攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168382"><strong>【4月11日】國家資通安全戰略2025本週正式公布</strong></a></p> </div></div></div>
2025/4/16 14:56作者周峻佑https://www.ithome.com.tw/news/168438
PHP核心執行環境稽核揭露多項漏洞，衝擊PHP-FPM與加密模組安全性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>PHP核心原始碼php-src近期完成由Quarkslab執行的<a href="https://thephp.foundation/blog/2025/04/10/php-core-security-audit-results/">安全性稽核</a>，揭露多項高風險與中度風險漏洞，影響範圍涵蓋PHP-FPM、MySQL驅動與OpenSSL等關鍵模組。該稽核由Sovereign Tech Agency出資，透過開源技術改進基金會（OSTIF）協調，並獲得PHP基金會全力配合，進一步改善即將發布的PHP 8.4版本安全性。</p> <p>本次稽核重點在於php-src中最具風險的模組與流程，範圍包含手動程式碼審查、動態測試與加密層面的評估。Quarkslab依據PHP基金會與OSTIF共同定義的威脅模型，對PHP-FPM主從架構、JSON解碼、MySQL原生驅動、表單上傳處理、PDO模擬預處理陳述式與密碼雜湊相關元件進行深入分析。整體稽核歷時兩個月，涵蓋靜態與動態分析流程，包括針對特定高風險模組開發模糊測試工具，並測試其在oss-fuzz環境下的表現。</p> <p>稽核結果共發現27項問題，其中17項具有安全性風險，包含3項高風險、5項中度風險與9項低風險問題，另有10項屬於資訊性弱點。多數問題已在GitHub安全通報揭露，另有兩項尚未公開之高風險漏洞仍在修補中，預計於修正完成後正式公布。已公布的CVE包含CVE-2024-8929，指出MySQL驅動可能透過惡意伺服器觸發堆積緩衝區過讀（Over-Read），洩露先前請求內容；CVE-2024-9026涉及PHP-FPM日誌訊息潛在竄改風險；CVE-2024-8925為表單資料解析錯誤，可能導致誤解資訊；CVE-2024-8928則為記憶體管理異常可能造成記憶體區段錯誤。</p> <p>PHP-FPM因其長時間在同一程序中執行多個請求，對於記憶體與資源管理的要求格外嚴格，本次稽核特別指出其在UID/GID處理、工作程序日誌管理與表單資料解析方面存在安全風險。另一方面，OpenSSL與libsodium整合部分，則發現數項與起始向量（Initialization Vector，IV）處理、金鑰長度、簽章錯誤行為與文件缺失相關的潛在問題，反映出加密模組在預設參數與使用者行為落差間仍有可改進空間。</p> <p>Quarkslab在報告中肯定PHP核心程式碼整體品質良好，結構一致且符合設計規範，並強調此次發現的多數問題並非源自設計漏洞，而是實作細節與錯誤處理不足所致。PHP基金會也已依稽核建議進行修正，並表示未來將持續改善安全測試流程與靜態分析工具整合，強化持續整合環境下的自動防禦機制。</p> <p>此次稽核雖受限於預算僅涵蓋關鍵模組，官方仍希望未來能透過社群或企業贊助，擴大涵蓋整體程式碼基礎，持續強化PHP的安全性與穩定性。<a href="https://thephp.foundation/assets/files/24-07-1730-REP-V1.4_temp.pdf">稽核報告全文</a>目前已公開，包含所有細項發現與修正建議，開發者可前往OSTIF網站或PHP基金會官方頁面下載閱讀。</p> </div></div></div>
2025/4/16 15:33作者李建興https://www.ithome.com.tw/news/168439
外傳OpenAI有意涉足社交平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr"><a href="https://www.theverge.com/openai/648130/openai-social-network-x-competitor" target="_blank">The Verge本周引述不同消息來源報導</a>，OpenAI正在開發類似X的社交平臺。</p> <p dir="ltr">根據報導，OpenAI已有一個內部原型，它著重於圖片生成能力，同時具備社交動態功能。目前該專案仍處於早期開發階段，但執行長Sam Altman已私下四處詢問大家對該原型的看法。目前並不確定該原型是否會正式或何時推出，也不確定它會被整合到ChatGPT或當作獨立程式發表。</p> <p dir="ltr">The Verge則發現Altman一直釋出各種線索。例如當科技大亨馬斯克（Elon Musk）今年2月打算出價974億美元買下OpenAI時，<a href="https://x.com/sama/status/1889059531625464090?lang=en" target="_blank">Altman直接於馬斯克的X上回嗆</a>：「不了，謝謝，但如果你願意的話，我們可以以97.4億美元買下X。」</p> <p dir="ltr">同樣在今年2月，當<a href="https://www.cnbc.com/2025/02/27/meta-plans-to-release-a-standalone-meta-ai-app.html" target="_blank">CNBC報導</a>Meta有意釋出一個獨立的Meta AI程式之後，<a href="https://x.com/sama/status/1895230925753233763" target="_blank">Altman即說</a>：「好喔，那我們也來做一個社交程式。」</p> <p dir="ltr">總之，看起來OpenAI或Altman對於社交平臺似乎有些興趣，使用者或許也期待看到一個可以透過生成圖片進行交流的平臺。</p> </div></div></div>
2025/4/16 14:24作者陳曉莉https://www.ithome.com.tw/news/168437
Notion公布AI郵件App 可整合Gmail
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">知名AI筆記、待辦清單App <a href="https://www.notion.com/help/guides/getting-started-with-notion-mail" target="_blank">Notion開發商本周公布</a>Notion及Notion Calendar以後最新App Notion Mail，可整合Gmail，以AI協助用戶收發、管理郵件和會議。</p> <p dir="ltr">目前Notion Mail已推出<a href="https://www.notion.com/product/mail" target="_blank">Web及Mac版</a>，正在測試iOS版。Notion Mail目前支援Gmail，但未透露是否或何時支援Outlook。</p> <p dir="ltr">Notion Mail的核心在於結合AI協助管理龐雜的郵件。一開始用戶需允許AI學習如何標籤以訓練Notion AI。啟用郵件右上方的「auto label」後，Notion會逐漸學習用戶習慣及偏好。使用者可以以下方法訓練Notion的AI，包括要求它為來自特定網域（例如訂閱服務、送貨單位）的電子郵件加入標籤，或是來自特定寄件者（如主管、客戶、合作夥伴）、包含特定字詞，如「緊急」、「重要」、「待辦」、「需要行動」或「需要回覆」的郵件特別加上標記。使用一段時間後，Notion Mail即會學習用戶習慣，自動分類將來信分門別類。</p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/0416-Notion%20Mail-auto%20label%EF%BC%8D%EF%BC%B0%EF%BC%AE%EF%BC%A7.png" style="width: 600px;" /></p> <p dir="ltr">Notion Mail強調更有效率的在檢視介面。相對於傳統郵件服務使用標籤和資料夾，Notion Mail除了提供「已讀」、「未讀」等篩選器，還加入其獨有的標籤，如Notion資料庫的「select」或是可以Notion Calendar中的邀約加以篩選。Notion Mail並提供群組功能，允許用戶按照網域、寄件者（如客戶）、或是優先性為信件分群顯示。用戶也自訂優先性標籤，拖拉郵件建立客製化的待辦事項。此外，用戶也可自訂檢視介面，可從頭自訂或是從預設的範本，如「Sales」範本中選擇。</p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/0416-Notion%20Mail-filter-PNG.png" style="width: 600px;" /></p> <p dir="ltr">Notion Mail還提供AI寫信助手，可協助用戶草擬信件、建議用字，用戶並可在類似Notion的環境中排版信件格式、以@加入公司wiki連結，還允許用戶將回覆儲存為片段（snippet）供日後使用。<span style="font-size:14px;"><span style="color:#696969;">圖片來源／Notion</span></span></p> </div></div></div>
2025/4/16 13:42作者林妍溱https://www.ithome.com.tw/news/168436
冒牌電腦版Line針對臺灣而來，恐導致電腦被植入木馬
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>假借提供常見應用程式散布惡意軟體的攻擊手法不時傳出，涵蓋大多數人耳熟能詳的瀏覽器、即時通訊軟體、壓縮軟體等，如今出現專門針對臺灣使用者的攻擊行動。</p> <p>4冃15日<a href="https://blog.trendmicro.com.tw/?p=87492">資安業者趨勢科技提出警告</a>，他們近期發現有駭客佯稱提供即時通訊軟體Line的電腦版本，意圖散布木馬程式的情況。一旦使用者透過Google搜尋「電腦版Line」等關鍵字，就有可能接觸到這些假網站，若是不慎依照指示安裝，電腦就有可能被植入木馬程式，而有可能面臨個資外洩及裝置遭接管的情況。值得留意的是，這波攻擊行動疑似針對臺灣用戶而來。</p> <p>由於Line在臺灣的使用率相當高，再加上趨勢科技看到的假網站大多使用正體中文，因此他們研判，攻擊者的主要目標就是臺灣。我們向趨勢科技進一步了解，該公司表示這次的警示資訊，源自於他們在內部偵測到相關事故，根據初步調查的結果，顯示惡意軟體的類型為木馬程式，因此，他們決定呼籲客戶及使用者要提高警覺。</p> <p>研究人員公布他們看到的假網站網域名稱，包括：</p> <ul> <li>www[.]linec-tw[.]OOO</li> <li>line-chinese[.]OOO</li> <li>line-tw[.]OOO</li> <li>windows-line[.]OOO</li> </ul> <p>雖然趨勢科技並未透露攻擊者的身分，但根據他們提供的假網站螢幕截圖，當中內含不少簡體中文及中國用語，這樣的情況難不讓人聯想攻擊者很可能來自中國。</p> </div></div></div>
2025/4/16 10:22作者周峻佑https://www.ithome.com.tw/news/168431
MFT檔案共享系統Cleo受害者首度現身，租車業者Hertz證實受害
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年12月資安業者Huntress揭露<a href="https://www.ithome.com.tw/news/166461">鎖定Cleo旗下MFT檔案傳輸系統的攻擊行動</a>，駭客利用零時差漏洞CVE-2024-55956（CVSS風險評分為9.8分）得逞，<a href="https://www.ithome.com.tw/news/166737">隨後勒索軟體駭客Clop聲稱是他們所為</a>，向新聞媒體透露有超過60家企業組織受害，其中一家是遭Termite攻擊的SaaS軟體服務供應商Blue Yonder，如今有企業表明受害。</p> <p>根據<a href="https://www.bleepingcomputer.com/news/security/hertz-confirms-customer-info-drivers-licenses-stolen-in-data-breach/">Bleeping Computer</a>、<a href="https://www.darkreading.com/vulnerabilities-threats/hertz-falls-victim-cleo-zero-day-attacks">Dark Reading</a>、<a href="https://securityaffairs.com/176562/data-breach/hertz-disclosed-a-data-breach-following-2024-cleo-zero-day-attack.html">SecurityAffairs</a>、<a href="https://www.securityweek.com/hertz-discloses-data-breach-linked-to-cleo-hack/">SecurityWeek</a>等多家資安新聞網站報導，<a href="https://www.hertz.com/content/dam/hertz/global/resources/Notice_of_Data_Incident-United_States.pdf">大型租車業者Hertz證實</a>，他們在今年2月10日確認發生資料外洩事故，未經授權的第三方人士利用Cleo平臺的零時差漏洞，從去年10月至12月收集Hertz的資料。該公司察覺此事，隨即確認事件影響的範圍，以及個人資料受到影響的人士，並於4月2日完成相關資料分析。</p> <p>對於遭到外流的資料，Hertz表示包含姓名、聯絡資訊、生日、信用卡資訊、駕照等。有極少量人士的社會安全碼（SSN）、護照、醫療照護資料，或是車禍受傷資訊，也可能被外流。</p> <p>究竟有多少人受到影響？Hertz並未在這份公告提及。根據SecurityAffairs、SecurityWeek的報導指出，該公司已向美國多州總檢察長辦公室通報此事，其中僅有對於緬因州的通報資料提及，有3,409人受到影響。</p> <p>值得留意的是，SecurityAffairs指出，今年1月Clop新增59家受害企業組織，SecurityWeek取得英國資安業者Comparitech的說法，駭客在過去幾個月已增加數百家受害組織。如此看來，這波零時差漏洞攻擊的影響範圍很有可能還會持續擴大。</p> </div></div></div>
2025/4/16 12:27作者周峻佑https://www.ithome.com.tw/news/168434
川普大砍行政預算，CVE與CWE專案的合約本周到期
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">負責管理與維護「常見漏洞披露」（Common Vulnerabilities and Exposures，CVE）資料庫，以及「通用缺陷列表」（Common Weakness Enumeration，CWE）的<a href="https://bsky.app/profile/tib3rius.bsky.social/post/3lmulrbygoe2g" target="_blank">美國非營利組織MITRE近日傳出</a>，包括這兩項專案的許多專案合約都將在本周三（4/16）到期。外界猜測應是川普大砍美國行政預算所導致。</p> <p dir="ltr">MITRE負責管理美國政府的6個聯邦資助研究與發展中心（Federally Funded Research and Development Center，FFRDC），從國防、航空、醫療、國土安全到網路/資訊安全，以及自這些中心衍生的各種專案。像是<a href="https://www.cve.org/" target="_blank">管理資安漏洞唯一識別碼的CVE專案</a>，從1999年上線迄今，已累積超過27.4萬個CVE；或者是<a href="https://cwe.mitre.org/" target="_blank">專門幫各種漏洞分門別類的CWE專案</a>，於2006年設立，現已統計出超過600個漏洞類別。</p> <p dir="ltr">在社交媒體上流傳的這一張信件，是由負責美國國土安全部窗口的MITRE主任Yosry Barsoum寫給CVE委員會的，表示包括CVE與CWE在內的多項合約，都將在4月15日到期，倘若CVE服務中斷，可能有多方會受到影響，從國家資料庫、工具供應商、事件回應的操作，到各種關鍵基礎設施等。</p> <p dir="ltr"><a href="https://www.linkedin.com/feed/update/urn:li:activity:7318000614334943232/" target="_blank">資安專家Brian Martin指出</a>，一旦相關預算消失，CVE編號授權單位再也無法分配ID或交予MITRE快速發布，這是美國國家漏洞資料庫（NVD）的基礎，但NVD已積壓了超過3萬個漏洞，全球所有依賴CVE與NVD分析漏洞的公司都將受到劇烈影響。</p> <p dir="ltr">不管是CVE或CWE專案，都是源自於美國國土安全部的國家網路安全部門所編列的預算，但最近美國總統川普（Donald Trump）大砍行政預算，令這些組織自身難保。<a href="https://therecord.media/trump-administration-planning-workforce-cuts-at-cisa" target="_blank">根據The Record的報導</a>，美國網路安全暨基礎設施安全局（CISA）正在制定人事刪減計畫，可能會裁撤一半的全職員工跟40%的承包商，波及1,300人。</p> <p dir="ltr"><a href="https://www.csoonline.com/article/3963190/cve-program-faces-swift-end-after-dhs-fails-to-renew-contract-leaving-security-flaw-tracking-in-limbo.html" target="_blank">CSO Online則引述消息來源報導</a>，MITRE從4月15日的午夜開始，就不再於CVE資料庫中添加紀錄，<a href="https://github.com/CVEProject" target="_blank">而會轉至GitHub</a>。CISA也向該報表示，雖然雙方的合約即將到期，但他們正在努力減輕影響，以維護受到全球依賴的CVE服務。</p> </div></div></div>
2025/4/16 11:42作者陳曉莉https://www.ithome.com.tw/news/168432
Google要求Android 15手機儲存容量不得小於32GB
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">Android向來是追求性價比的用戶的手機平臺選擇，而低價手機往往提供相對小的儲存記憶體，但是Google為了提升使用體驗，近日調整Android 15智慧型手機的記憶體容量下限，要求不得少於32GB。</p> <p dir="ltr"><a href="https://www.androidauthority.com/android-15-minimum-storage-requirement-3543169/" target="_blank">Android Authority本周發現</a>Google一份針對搭載Android 15的智慧型手機及Google手機App的新版最低規格，這份規格包含在Google給手機品牌商及製造商的Google Mobile Services授權相關文件中。其中，安裝執行Android 15的智慧型手機，最低應具備32GB的快閃記憶體。而且，32GB中的75%必須配置給資料分區，後者主要儲存系統App及App資料、系統檔案，以及所有用戶App和檔案。</p> <p dir="ltr">在此之前，Android13、14的儲存容量要求是16GB，古早的Android 12則是8GB。</p> <p dir="ltr">如果手機製造商使用的是開源版的AOSP（Android Open Source Project），AOSP授權條款並沒有這規定，廠商也無需照辦。但如果手機廠商希望取得Google行動服務（Google Mobile Services,GMS），包括Google Maps、Gmail、YouTube等受歡迎的App，就必須和Google簽署GMS授權合約。未能滿足要求的手機就無法通過GMS驗證及取得Google Apps。</p> <p dir="ltr">報導指出，Google這項新規定是希望能改良低階Android裝置的使用體驗。更高的記憶體容量意謂用戶和手機業者都能安裝更多App，不過，這不代表儲存運算速度一定會更快，因為還要考慮手機搭載的eMMC儲存晶片效能夠不夠快。</p> <p dir="ltr">其他Android 15系統及功能要求包括：手機必須提供用戶選擇，使之得以分享聯絡資料在緊急通話時給緊急定位服務，這讓手機能將用戶所在位置提供給救援單位。新晶片組必須支援2D、3D圖形運算API Vulkan 1.3以上；提供ANGLE函式庫作為原生OpenGL ES驅動程式以外的選擇；最後，Android 15新授權規定要求RAM為2GB、3GB的手機必須啟用Android低記憶體優化才能獲得認證，RAM為4GB的Android 15手機今年未強制啟用優化，但可能下一代Android會開始要求。</p> </div></div></div>
2025/4/16 09:39作者林妍溱https://www.ithome.com.tw/news/168430
金管會修正「保險業辦理電子商務應注意事項」，放寬多項網路投保規定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>金管會今日修正發布「保險業辦理電子商務應注意事項」，放寬了多項網路投保規定，包括開放團體保險要保單位能以數位形式申辦網路保險服務、放寬旅平險等周邊險種，要保人與被保險人不同人的網路投保限制、開放保險業在自家官網銷售重大疾病保險、辦理定額型健康保險網路投保業務、開放使用票劵或會員點數折抵部分保險費，還有在特定條件下免除抽樣電話訪問工作等規定。</p> <p>過往在家庭旅遊情境中，家屬要為子女投保旅遊相關保險商品，只能以自然人憑證方式證明被保險人的意思表示。這次修正則放寬了部分限制。當要保人和被保險人不同人，且符合二等親之內或有扶養義務及生活關係者，例如，父母為子女投保旅遊相關保險商品時，可使用生物辨識、行動身分識別（Mobile ID）、金融行動身分識別（金融Fast-ID）或數位憑證等方式完成身分確認及意思表示。</p> <p>不過，考量到7歲以上被保險人可能不具備手機門號，無法使用行動身份識別或金融Fast-ID，保險局也開放當被保險人為7歲以上未成年子女，要保人可以透過上傳被保險人的身分證明和投保意願簽名，完成身份確認和意思表示。</p> <p>另外一個修正重點，是開放保險業者能在自家官網上銷售重大疾病保險。過往民眾若要網路投保重大疾病保險，僅能透過主管機關指定的平臺，來向保險公司購買商品。這次修正則放寬了重大疾病保險的銷售通路，讓保險業者也可以在自家官網上販售重大疾病保險商品。同時，保險局也開放業者辦理定額型健康保險的網路投保業務。</p> <p>第三項修正重點，是開放保險業者使用票券或會員點數折抵部分保險費。這項修正，源自於去年國泰產險的異業合作試辦案。在那項試辦案中，民眾只需在國泰產險會員中心完成綁定，就能在繳交汽車險和旅遊險保費時，使用小樹點折抵費用。同時，國泰產險也與PayEasy合作，讓與PayEasy合作的企業員工可採用保險票券來折抵保費。保險局副局長陳清源表示，依據這項試辦案成果，他們修正了這項規定，增列保險業者能讓消費者使用票券或會員點數折抵保險費。但是，業者還是需要建立查驗機制，例如綁定點數業者的會員帳號、驗證票券所屬會員編號等查驗方式，來確保保險費有如數收取。</p> <p>最後，保險局也放寬了抽樣電訪工作的規定。若要保人是以生物辨識、Mobile ID、金融Fast-ID或數位憑證等驗證強度較高的方式完成投保，就能免除抽樣電訪。但是，若保險業者在辦理網路投保或網路保險服務的身份驗證作業發生缺失，在改善缺失前，不適用這項免除規定。</p> <p>不過，在放寬多項規定的同時，保險局也新增了一項條文，明定保險業者要依據網路保險服務事項的風險等級，選擇信賴等級相當的身份驗證機制，例如，將影響保護權益的保險服務事項列為高風險等級。</p> <p></p> </div></div></div>
2025/4/15 18:20作者李昀璇https://www.ithome.com.tw/news/168428
【臺灣資安大會直擊】前資安院副院長吳啟文：企業積極導入AI應用，資安防禦應也應擴及AI風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「資安是持續的風險管理，因此對威脅、趨勢掌握非常重要」，前國家資通安全研究院副院長吳啟文在今年臺灣資安大會中分享在AI時代下的資安防禦思維。</p> <p>傳統的資安威脅可能來自漏洞、惡意軟體或是DDoS，然而AI等技術的快速發展，雖為企業帶來許多正面的優點，也同時使得企業面臨負面的風險增加，吳啟文以透過生成式AI寫程式為例，雖然提高開發的效率，但是其所產生的程式也可能存在漏洞，進而帶來資安風險，或是使用AI造成用戶的資料外洩。</p> <p>另一方面，駭客也可能利用AI寫惡意程式，設計新型態的攻擊，或是利用生成式AI技術，以使得網路釣魚、社交工程的攻擊手法更為逼真，讓更多的使用者上當。</p> <p><strong><span style="color:#B22222;">國外已提出AI的風險管理框架</span></strong></p> <p>鑑於AI的風險不容輕忽，吳啟文表示，國外已針對AI技術發展提出風險管理對策，其中NIST提出風險管理框架AI RMF 1.0，該框架提出4大管理功能，包括治理(Govern)、映射(Map)、測量(Measuree)及管理(Manage)，同時也提出AI可信任的7大特性，安全、資安及韌性、隱私強化、公平性等等。NIST也特別針對生成式AI提出風險管理架構，點出資料隱私等12項重大風險，可對應AI RMF 1.0。</p> <p>OWASP則是提出LLM應用程式的十大風險，例如提示詞注入、未妥善處理輸出內容、訓練資料的下毒攻擊、阻斷服務攻擊、供應鏈攻擊、機敏資料外流、不安全的外掛程式等等。</p> <p><strong><span style="color:#B22222;">政府也將導入AI新科技作為國家未來發展方向</span></strong></p> <p>吳啟文指出，臺灣在前總統蔡英文執政下，提出資安即國安，將資安升級為國家安全的層次，並在2018年提出國家資通安全戰略1.0，提高政府對於資安的重視程度，同時將扶植國內資安產業發展作為執政目標，2021年提出資安即國家戰略2.0，願景為打造韌性安全可信賴的國家。</p> <p>在今年，政府提出最新國家資通安全戰略2025，目的為打造堅韌、安全、可信賴的智慧國家，兩大措施包括戰略夥伴的鏈結，以及堅實資安治理機制及防護，其中堅實資安治理機制及防護底下包含4個支柱，包括全社會防衛韌性、國土防衛與關鍵基礎設施、關鍵產業與供應鏈、人工智慧應用與安全，其中的人工智慧應用與安全，目的為善用AI技術，並且平衡其可能帶來的風險，一方面將AI技術用於全社會防衛韌性、土防衛與關鍵基礎設施、關鍵產業與供應鏈的資安防護，並建立產業生態系；另方面則是要確保AI技術的安全性及可信任性。</p> <p>今年接任職掌國家資通安全政策研擬、規畫及執行的資安署長的前金管會主祕蔡福隆，在接受媒體採訪時，蔡福隆也提出今後國家資通安全政策，除了應用人工智慧等新興科技外，也面臨相應的挑戰，即生成式AI帶來的風險，包括駭客利用AI技術的自動化攻擊，以及釣魚郵件、惡意軟體等。</p> <p><strong style="color: rgb(178, 34, 34);">資安防禦策略應擴及AI風險管理</strong></p> <p>對於如何管理AI可能帶來的風險？吳啟文借用世界經濟論壇WEF的報告，該報告提出平衡AI與網路安全的風險及報酬的6個問題，作為AI應用管理風險的自評依據，這些問題例如對於使用AI技術具有適當的風險承受能力，且被所有風險所有者理解？在考慮新的AI計畫時，適當的平衡風險與報酬？有效的流程以管理追蹤組織AI計畫發展？確保AI部署符合組織政策與法規義務的驗證流程？等等。</p> <p>吳啟文認為，WEF的報告提出的6個問題，可讓企業或組織規畫運用AI技術時，先評估自己的準備是否已經完備，已做到上述問題的要求方能考慮AI應用，如果沒有做到則需要重新考慮是否導入AI應用。</p> <p>在該報告裡也提到AI對網路安全的三個影響，威脅者運用AI提高攻擊的有效性，防禦者則運用AI提高網路安全防禦能力，第三個是AI的網路安全，主要為使用AI可能增加威脅者的攻擊面向，現有資安防禦策略需要擴大到處理AI的新弱點。</p> <p>吳啟文指出，目前國內已有數產署針對AI技術建立評測機制，先以大語言模型LLM為評測對象，參考歐美的AI規範例如NIST RMF、ISO 24028、歐盟議會等等，共提出10個評測項目，包含安全性、可解釋性、韌性、公平性、透明性、可靠性、隱私等等。以手動或自動的方式進行驗證。</p> <p>儘管AI可能帶來負面的風險，但是吳啟文認為，AI為中性技術，AI在資安防禦的事前、事中、事後仍能提供很好的功能，例如在事前，AI能夠自動分析海量的情資，產生比較好的威脅報告，提出預測讓組織及早因應，或是運用AI Honey Pot來蒐集更多情資，也能對新型態的未知威脅提出預測；在事中及事後方面，可利用AI作自動化調查，國外也有SOC運用AI Agent調整調查的規則。</p> </div></div></div>
2025/4/15 20:53作者蘇文彬https://www.ithome.com.tw/news/168429
【資安日報】4月15日，總統親臨臺灣資安大會致詞，從國家戰略、產業政策彰顯資安
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>亞洲規模最大的資安盛會「臺灣資安大會CYBERSEC 2025」在今天舉行，總統賴清德親臨現場致詞，強調臺灣所處的第一島鏈戰略要衝位置，肩負著民主防線最前線的角色，在網路世界遭受來自各方的駭客攻擊。臺灣威脅態勢加劇的情況，政府也從國家戰略到產業政策來因應。</p> <p>除此之外，美國在臺協會處長谷立言（Raymond F. Greene）致詞當中，也特別宣布相當有指標意義的消息，那就是在臺美合作之下完成了NIST資安框架2.0（Cybersecurity Framework 2.0）的正體中文翻譯。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168408"><strong style="font-size: 22px;">駭客聲稱握有Fortinet防火牆零時差漏洞，能未經身分驗證執行任意程式碼</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/GoaWTiyXAAAf9Hp.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/GoaWTiyXAAAf9Hp.jpg" style="width: 300px; float: right;" /></a>本週資安業者Fortinet發布資安公告，指出旗下防火牆遭遇CVE-2022-42475、CVE-2023-27997、CVE-2024-21762等已知漏洞（CVSS風險介於9.2至9.5分）攻擊，駭客鎖定已經啟用SSL VPN功能的設備而來，並透過符號連結（Symbolic Link）建立能持續存取的管道，巧合的是，在此同時也有駭客兜售零時差漏洞。</p> <p>根據Dark Reading、SecurityWeek等資安新聞媒體的報導，4月13日威脅情報業者ThreatMon提出警告，他們發現有人在暗網論壇聲稱握有Fortinet防火牆設備FortiGate的零時差漏洞，攻擊者一旦觸發，就有機會在未經授權的情況下，遠端執行任意程式碼（RCE），並且完整存取防火牆作業系統FortiOS的組態。</p> <p>但這項零時差漏洞的消息真實性如何？目前仍不得而知，ThreatMon沒有進一步說明。而Fortinet揭露的攻擊行動是否與這項漏洞有關，也有待資安研究員後續公布調查結果。</p> <p><a href="https://www.ithome.com.tw/news/168421"><strong style="font-size: 22px;">AI時代駭客犯罪模式出現轉變，趨勢科技指出駭客將AI當傭兵，更容易從事網路犯罪</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/RobertMcArdle-20250414-evo.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/RobertMcArdle-20250414-evo.jpg" style="width: 300px; float: right;" /></a>最近幾年網路犯罪出現分工，網路犯罪者提供作案工具的租用服務，藉此提供打手高靈活性及低成本的作案門檻，其中最常見的就是勒索軟體即服務（Ransomware-as-a-Service）、惡意軟體即服務（Malware-as-a-Service），網路釣魚即服務（Phishing-as-a-Service）等，但隨著AI的廣泛應用，這種「服務化」的網路犯罪生態圈也開始出現變化。</p> <p>趨勢科技指出，他們觀察到上述的網路犯罪即服務（Cybercrime-as-a-Service）的現象，已隨著網路罪犯採用AI技術，轉變成以AI代理基礎的「網路犯罪即傭兵（Cybercrime-as-a-Servant）」，這代表未來網路犯罪生態圈將會出現新的商業模式。目前駭客不僅會利用AI協助開發惡意軟體，也已透過AI針對不同產業、不同語言的使用者，產生專屬的釣魚郵件，而在未來將會有加依賴AI的現象，從AI助理被動提供建議，變成由AI主動執行工作，藉由AI建立自動化流程來提升攻擊效率，進而得到更高的效益。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-resolverrat-malware-targets-pharma-and-healthcare-orgs-worldwide/">惡意軟體ResolverRAT鎖定藥廠及醫療保健產業而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/04/phishing-campaigns-use-real-time-checks.html">網釣攻擊出現新手法，駭客在竊取帳密之前驗證電子郵件信箱</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.darkreading.com/threat-intelligence/paper-werewolf-targets-flash-drives-new-malware">俄羅斯遭到駭客組織Paper Werewolf鎖定，透過USB裝置散布蠕蟲</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/04/pakistan-linked-hackers-expand-targets.html">巴基斯坦駭客SideCopy鎖定印度，散布Spark RAT、CurlBack RAT</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://money.udn.com/money/story/5613/8669222">冒牌電腦版Line針對臺灣而來，恐導致電腦被植入木馬</a></strong></p> <p><strong style="font-size: 20px;"><a href="https://money.udn.com/money/story/5613/8669222"></a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168410"><strong style="font-size: 22px;">Nvidia Container Toolkit修補不全，攻擊者有機會逃脫容器系統</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/CVE-2025-23359-Fig2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2025-23359-Fig2.png" style="width: 300px; float: right;" /></a>GPU大廠Nvidia去年9月發布1.16.2版Container Toolkit，目的是修補涉及時間檢查與時間使用（TOCTOU）造成的競爭條件（Race Condition）漏洞CVE-2024-0132，此漏洞為重大層級，CVSS風險評為9.0分，通報此事的資安業者Wiz指出，由於這項漏洞影響採用Nvidia顯示晶片的容器系統，影響的範圍相當廣，估計有超過35%雲端環境曝險。如今有研究人員發現，Nvidia修補並不完整，攻擊者有機會造成Docker阻斷服務（DoS）的情況。</p> <p>4月10日趨勢科技指出，他們去年10月分析Nvidia發布的修補程式，結果發現修補不全的情況，並確認新的弱點CVE-2025-23359，會影響在Linux平臺運作的Docker效能，此弱點能讓攻擊者逃逸沙箱隔離機制，存取主機敏感資源，並且會導致重要工作中斷的現象，CVSS風險達到9.0（Nvidia評為8.3分），Nvidia於今年2月發布1.17.4版Container Toolkit、24.9.2版GPU Operator予以修補。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168420"><strong style="font-size: 22px;">賴清德總統四度親臨臺灣資安大會，從國家戰略到產業政策彰顯資安重要性</strong></a></p> <p>亞洲規模最大資安盛會「臺灣資安大會CYBERSEC 2025」於4月15日至4月17日假南港展覽館二館舉行，今年舉辦第十一屆，也是總統賴清德連續第四年應邀蒞臨「臺灣資安大會」。</p> <p>今年賴清德總統蒞臨大會致詞時表示，政府將持續推動國產自主研發的資安產品與服務，以降低對外部技術的依賴風險。這項宣示也與近年來政府對「資安即國安」的國家資安戰略，以及政府對於資安新創領域高度扶植政策相呼應，更是臺灣在面對持續不斷的網路威脅的態勢下，如何做到保持高度警覺與應變能量，成為真正「資安堅韌之島」的過程。</p> <p>美國在臺協會處長谷立言（Raymond F. Greene）致詞時表示，資安不僅只是IT技術的課題，更是國家安全與經濟安全的重要環節。這也點出臺美之間，在資安領域已經成為緊密的合作夥伴關係，同時也呼應了美國政府重視亞洲區域，尤其是臺灣在全球供應鏈與網路安全中所扮演的重要角色。</p> <p><a href="https://www.ithome.com.tw/news/168409"><strong style="font-size: 22px;">SSL、TLS憑證最長效期逐年縮短，2029年將減成47天</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/files/0415- Sectigo-47-day SSL_TLS certificates-圖表.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/files/0415-%20Sectigo-47-day%20SSL_TLS%20certificates-%E5%9C%96%E8%A1%A8.png" style="width: 300px; float: right;" /></a>憑證產業論壇CA/B論壇（Certification Authority Browser Forum）做出決議，所有SSL/TLS憑證最長效期將由現行398天縮短9成，到2029年剩47天，且每月需更新一次。</p> <p>CA/B論壇眾家會員廠商於4月11日完成投票，通過蘋果提案的Ballot SC-081v3。4家憑證使用者端（瀏覽器業者）包括蘋果、Google、Mozilla、微軟皆贊成。29家憑證頒發業者（Issuer）24票贊成、5票棄權，無人反對。</p> <p>在最新決議下，CA/B論壇未來將分階段縮短憑證效期。2026年3月15日起，SSL/TLS憑證最長效期會縮短到200天，更新期將改為6個月更新一次。而網域控制驗證（Domain Control Validation，DCV）重覆使用期限也減到200天。2027年3月15日起，憑證最長效期會再短100天。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/168403"><strong>【4月14日】啟用SSL VPN的Fortinet防火牆遭到已知漏洞攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168382"><strong>【4月11日】國家資通安全戰略2025本週正式公布</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168348"><strong>【4月10日】中華資安投資奧義智慧，攜手拓展市場、提升國際能見度</strong></a></p> </div></div></div>
2025/4/15 12:57作者周峻佑https://www.ithome.com.tw/news/168418
AI時代駭客犯罪模式出現轉變，趨勢科技指出駭客將AI當傭兵，更容易從事網路犯罪
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近幾年網路犯罪出現分工，網路犯罪者提供作案工具的租用服務，藉此提供打手高靈活性及低成本的作案門檻，其中最常見的就是勒索軟體即服務（Ransomware-as-a-Service）、惡意軟體即服務（Malware-as-a-Service），網路釣魚即服務（Phishing-as-a-Service）等，但隨著AI的廣泛應用，這種「服務化」的網路犯罪生態圈也開始出現變化。</p> <p>趨勢科技指出，他們觀察到上述的網路犯罪即服務（Cybercrime-as-a-Service）的現象，已隨著網路罪犯採用AI技術，轉變成以AI代理基礎的「網路犯罪即傭兵（Cybercrime-as-a-Servant）」，這代表未來網路犯罪生態圈將會出現新的商業模式。目前駭客不僅會利用AI協助開發惡意軟體，也已透過AI針對不同產業、不同語言的使用者，產生專屬的釣魚郵件，而在未來將會有加依賴AI的現象，從AI助理被動提供建議，變成由AI主動執行工作，藉由AI建立自動化流程來提升攻擊效率，進而得到更高的效益。</p> <p>原本趨勢科技將Cybercrime-as-a-Servant翻成「網路犯罪即代理」，意指駭客會借助AI機器人代理程式的力量犯案，然而原本的「服務」與「Servant」的性質有所不同，翻成代理的用意，很有可能是要突顯運用「AI代理」，但難以涵蓋Servant含有僕人、傭人、傭兵讓駭客能隨傳隨到的特質，因此我們決定將Cybercrime-as-a-Servant翻成「網路犯罪即傭兵」。</p> <p>網路罪犯將AI從「助理」變成「傭兵」，這樣的態勢將使得犯罪的門檻再度降低，攻擊者會擴大攻擊範圍，並試圖尋找更多有利可圖的潛在目標；此外，由於攻擊者需要大量運算資源訓練AI，他們也會攻擊生成式AI服務供應商，或是盜用雲端服務帳號。</p> <p>雖然道高一尺、魔高一丈，駭客導入新技術相當迅速，但趨勢科技網路犯罪研究前瞻威脅研究總監Robert McArdle也提及，根據他們的觀察，駭客手法的演進通常會遵循3種原則，分別是：追求簡單容易的方法、短期且高投資報酬率，以及從既有方式進化（Evolution），而非革命性（Revolution）的改變，而導入AI工具正好符合這樣的需求，因此Robert McArdle認為，企業要透過主動、全面性的資安工具，來因應這種新興威脅態勢。</p> </div></div></div>
2025/4/15 14:12作者周峻佑https://www.ithome.com.tw/news/168421
微軟擴充.NET Aspire部署能力，標準化應用開發到多雲部署流程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟釋出雲端應用開發工具包<a href="https://devblogs.microsoft.com/dotnet/dotnet-aspire-92-is-now-available-with-new-ways-to-deploy/">.NET Aspire 9.2</a>，進一步擴充部署功能，首次導入Publisher架構，讓開發者能統一管理應用程式資源與部署設定，簡化多環境部署流程，並原生支援Docker Compose、Kubernetes與Azure平臺。新版本同步改善Dashboard使用體驗，增強資源視覺化管理與連結能力，強化.NET Aspire作為雲端原生應用開發與管理平臺的定位。</p> <p>.NET Aspire是微軟針對雲端與微服務架構推出的開發堆疊，主要設計目標是簡化.NET應用程式在開發、測試、資源管理到部署的完整流程。此次9.2版的重點更新，是透過Publisher架構讓部署行為標準化，開發者僅需在程式碼中加入必要設定，便可自動產生docker-compose.yaml或Kubernetes的部署描述檔，搭配.NET Aspire CLI工具進行打包與發布，降低手動維護多套部署檔的繁瑣工作。</p> <p>微軟表示，新版Publisher機制整合了來自開源工具Aspir8的經驗，讓開發者不必額外安裝工具，就能在原生.NET Aspire開發環境內，完成容器化與多環境部署設定。目前支援的目標平臺涵蓋Docker Compose、Kubernetes與Azure，未來也可透過擴充撰寫自定義Publisher，滿足其他部署需求。</p> <p>針對應用程式開發過程，.NET Aspire 9.2也針對Dashboard進行多項強化，最大亮點為Resource Graph視覺化功能，能將AppHost中註冊的各類資源，以圖形化方式顯示出彼此關聯，協助開發者快速理解應用架構。更新後的Resource Deep Linking功能也擴充至Azure Cosmos DB、Azure Service Bus、Azure Event Hubs等資源，支援自動傳入連線字串或必要參數至專案，簡化程式碼撰寫與設定管理。</p> <p>需要特別注意的是，.NET Aspire 9.2針對Azure SQL Server與Azure PostgreSQL的部署行為進行了重大變更。新版本預設讓Azure Container Apps中的每個應用程式擁有獨立的Managed Identity，取代過去共用單一身分的做法。此變更將影響資料庫權限管理，Azure SQL Server僅支援一個Azure AD管理員帳號，當多個應用程式部署至同一資料庫，需額外設定專屬使用者與角色權限；Azure PostgreSQL則需透過GRANT命令顯式賦予資料存取權限。此行為變更主要為提升安全性，但現有使用者在升級9.2版時，需特別檢視相容性與存取設定。</p> <p>目前.NET Aspire 9.2已開放使用，開發者可透過升級AppHost專案中的SDK與NuGet套件版本，快速獲取新功能。微軟也建議，已部署至Azure的使用者，應特別留意身分與權限行為變更，以確保應用程式能正確存取資料庫資源。</p> </div></div></div>
2025/4/15 15:26作者李建興https://www.ithome.com.tw/news/168423
英特爾將出售Altera 51%股權，Altera市值腰斬
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.techpowerup.com/335431/intel-announces-strategic-investment-by-silver-lake-in-altera" target="_blank">英特爾（Intel）周一（4/14）宣布</a>，將把51%的Altera業務出售給投資公司Silver Lake，雙方預計於今年下半年完成交易。該交易對Altera的估值為87.5億美元，僅約英特爾<a href="https://www.ithome.com.tw/news/96343" target="_blank">在2015年以167億美元買下Altera時</a>的一半價格。</p> <p>Altera為一可程式化邏輯元件製造商，擁有現場可程式閘陣列（field-programmable gate array，FPGA）技術，所生產的晶片被廣泛應用在電信、無線裝置、汽車、工業應用及網路等領域，當初英特爾買下Altera的原因除了想跨出PC市場之外，也打算在自家處理器中整合FPGA。</p> <p>在英特爾買下Altera的前一年（2014年），Altera仍處於獲利的狀態，<a href="https://www.sec.gov/Archives/edgar/data/768251/000076825115000008/altera10k12312014.htm" target="_blank">當年的淨收入</a>為4.7億美元。不過，在併入英特爾的10年後，Altera在2024年虧損了6.15億美元。在交易完成之後，英特爾將會於自家財報中剝離Altera。</p> <p>英特爾執行長陳立武表示，此一交易體現了該公司將重新聚焦、減少費用結構，以及強化資產負債表的承諾。未來英特爾仍將持有49%的Altera股份。英特爾同一天也宣布由Raghib Hussain接替Sandra Rivera，成為Altera的新執行長，於5月5日生效。</p> <p>取得大多數Altera股權的Silver Lake則是看好Altera在FPGA創新上的表現，指出其可程式解決方案不僅可用來部署既有的工業、通訊及資料中心上，也將被應用在AI、邊緣運算及機器人等新興市場。</p> <p>未來的Altera將獨立經營，並成為全球最大的純FPGA半導體解決方案公司。</p> </div></div></div>
2025/4/15 14:47作者陳曉莉https://www.ithome.com.tw/news/168422
VMware最低授權數不調高！博通新公告重申16核心數要求，更加碼釋出免費版ESXi
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>3月底時，英國科技媒體The Register取得一封歐洲大型VMware經銷商給客戶的通知信件，透露Broadcom擬從4月10日調高VMware授權最低機器核心數量，引起許多用戶企業紛紛抱怨，授權成本將增加了，不少媒體，<a href="https://www.ithome.com.tw/news/168141">包括iThome都向Broadcom求證，但都沒有獲得回覆</a>。直到最近，在預定調整日期隔天，4月11日，博通在<a href="https://knowledge.broadcom.com/external/article?legacyId=95927">線上知識庫更新了一份公告</a>，強調VCF和vSAN最低購買量為16核心，等於沒有調整既有的最低授權數量規定。</p> <p>The Register公開了向法國知名VMware經銷商Arrow的客戶通知信件，內容指出，從4月10日起，執行VMware授權的最低核心數量要求，將從每指令行16核大幅升級到72核心。另外一個引起抱怨連連條款則是要求小型企業客戶得從4月初開始，支付遠超過原有購買的授權數，若客戶不在期限前更新授權，將被溢收20%作為罰款。</p> <p>直到3月底這封經銷商的顧客信曝光，引起不少中小型用量的企業抱怨連連，認為是將大幅增加VMware軟體的授權採購成本。</p> <p>一名Arrow在荷蘭的VMware業務經理Mohammed Hachache，在LinkedIn上<a href="https://www.dutchitchannel.nl/news/608581/broadcom-annuleert-bulkorder-van-72-cores-per-order-voor-emea">回覆荷蘭IT頻道創辦人Witold Kepinski</a>，這次最低授權數調整只針對EMEA地區的顧客，而非全球，也就是只有歐洲，中東和非洲的VMware企業顧客受到影響。但此一消息傳出，不只這個地區，其他地區的企業顧客也引起很多的抗議。</p> <p>直到4月10日，也就是傳言新版授權規定實施時間點，<a href="https://www.heise.de/news/Rueckzieher-bei-VMware-Unternehmen-koennen-weiterhin-16-Kerne-lizenzieren-10346897.html">德國科技媒體iX</a>向經銷商確認了博通撤銷新授權規定的消息，也確認過報價單。不過，iX向博通查證時，博通回覆，沒有調整最低授權數的計畫，依舊是每CPU 16核心數的要求，沒有變動。</p> <p>早在前一天，臺灣時間4月9日，VMware業務經理Mohammed Hachache也在Witold Kepinsk授權數調整的討論下提供最新資訊，<a href="https://www.linkedin.com/feed/update/urn:li:activity:7311426335141228544?commentUrn=urn%3Ali%3Acomment%3A%28activity%3A7311426335141228544%2C7312573667001917440%29&replyUrn=urn%3Ali%3Acomment%3A%28activity%3A7311426335141228544%2C7315293888439541763%29&dashCommentUrn=urn%3Ali%3Afsd_comment%3A%287312573667001917440%2Curn%3Ali%3Aactivity%3A7311426335141228544%29&dashReplyUrn=urn%3Ali%3Afsd_comment%3A%287315293888439541763%2Curn%3Ali%3Aactivity%3A7311426335141228544%29">他回覆：</a>「根據昨晚與分銷商的溝通，Broadcom 已取消EMEA地區每個訂單的72個核心。每個人都可以再次單獨購買（每個CPU至少16個內核）。」</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/VMware%E7%B6%93%E9%8A%B7%E5%95%86%E5%9B%9E%E8%A6%86%E6%8E%88%E6%AC%8A%E6%95%B8%E4%B8%8D%E8%AE%8A.png" /></p> <p>根據博通線上知識庫在4月11日更新的一份VCF、VVF核心數計算說明文件中提到，顧客必須購買每個CPU至少16核心的授權數量。這個敘述與原本的規定一樣，沒有變化。<br /> 博通在今年3月6日的財報視訊會議中，透露目前VMware顧客從永久授權，轉為完全訂閱制的比例，已經超過了60%。一萬家大型企業顧客中，也有7成導入VCF解決方案。博通預期，轉換率和採用率都將持續成長，但沒有透露會採取什麼做法來提高轉換率。</p> <h3><span style="color:#FF0000;"><strong>事隔一年，博通再次釋出免費版ESXi 8</strong></span></h3> <p>不過，最近博通在ESXi 8.0版更新3e版本（同樣是4月11日發布）的說明文件中，<a href="https://techdocs.broadcom.com/us/en/vmware-cis/vsphere/vsphere/8-0/release-notes/esxi-update-and-patch-release-notes/vsphere-esxi-80u3e-release-notes.html#GUID-53984120-73f0-4163-b7bd-42740c957112-en_id-af0f5303-6120-4ed4-a509-17899a7d9017">在最新消息提到，</a>這款VMware vSphere Hypervisor 8是一個入門級的虛擬機器管理版本，可以從博通支援入口網站上<strong>免費下載</strong>。目前在中文版ESXi 8.0發布說明中，還沒提到這點。</p> <p>過去多年來，VMware一直提供了免費授權的ESXi版本，也大受開發社群愛用。直到2024年2月，伴隨著永久授權策略的當時調整，博通取消了免費版ESXi的提供。直到最近，又再次釋出免費版ESXi。這個版本不是直接開放下載，而需先在博通支援入口網站註冊後才能免費下載。</p> </div></div></div>
2025/4/15 12:23作者王宏仁https://www.ithome.com.tw/news/168416
駭客聲稱握有Fortinet防火牆零時差漏洞，能未經身分驗證執行任意程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週<a href="https://www.ithome.com.tw/news/168399">資安業者Fortinet發布資安公告</a>，指出旗下防火牆遭遇CVE-2022-42475、CVE-2023-27997、CVE-2024-21762等已知漏洞（CVSS風險介於9.2至9.5分）攻擊，駭客鎖定已經啟用SSL VPN功能的設備而來，並透過符號連結（Symbolic Link）建立能持續存取的管道，巧合的是，在此同時也有駭客兜售零時差漏洞。</p> <p>根據<a href="https://www.darkreading.com/vulnerabilities-threats/fortinet-zero-day-arbitrary-code-execution">Dark Reading</a>、<a href="https://www.securityweek.com/threat-actor-allegedly-selling-fortinet-firewall-zero-day-exploit/">SecurityWeek</a>等資安新聞媒體的報導，4月13日威脅情報業者ThreatMon提出警告，他們發現<a href="https://x.com/MonThreat/status/1911380369292603822">有人在暗網論壇聲稱握有Fortinet防火牆設備FortiGate的零時差漏洞</a>，攻擊者一旦觸發，就有機會在未經授權的情況下，遠端執行任意程式碼（RCE），並且完整存取防火牆作業系統FortiOS的組態。</p> <p>駭客號稱能藉由漏洞存取敏感資料，這些資料包含：本機使用者帳密檔案（當中包含經加密處理的密碼）、管理員帳號權限與信任關係、雙因素驗證狀態，以及完整的防火牆規則、NAT規則、IP映射、內部資產等。</p> <p>但這項零時差漏洞的消息真實性如何？目前仍不得而知，ThreatMon沒有進一步說明。而Fortinet揭露的攻擊行動是否與這項漏洞有關，也有待資安研究員後續公布調查結果。</p> </div></div></div>
2025/4/15 10:12作者周峻佑https://www.ithome.com.tw/news/168408
Nvidia Container Toolkit修補不全，攻擊者有機會逃脫容器系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>GPU大廠Nvidia去年9月<a href="https://www.ithome.com.tw/news/165250">發布1.16.2版Container Toolkit</a>，目的是修補涉及時間檢查與時間使用（TOCTOU）造成的競爭條件（Race Condition）漏洞CVE-2024-0132，此漏洞為重大層級，CVSS風險評為9.0分，通報此事的資安業者Wiz指出，由於這項漏洞影響採用Nvidia顯示晶片的容器系統，影響的範圍相當廣，估計有超過35%雲端環境曝險。如今有研究人員發現，Nvidia修補並不完整，攻擊者有機會造成Docker阻斷服務（DoS）的情況。</p> <p>4月10日趨勢科技指出，<a href="https://www.trendmicro.com/en_us/research/25/d/incomplete-nvidia-patch.html">他們去年10月分析Nvidia發布的修補程式</a>，結果發現修補不全的情況，並確認新的弱點CVE-2025-23359，會影響在Linux平臺運作的Docker效能，此弱點能讓攻擊者逃逸沙箱隔離機制，存取主機敏感資源，並且會導致重要工作中斷的現象，<a href="https://www.zerodayinitiative.com/advisories/ZDI-25-087/">CVSS風險達到9.0</a>（Nvidia評為8.3分），Nvidia<a href="https://nvidia.custhelp.com/app/answers/detail/a_id/5616">於今年2月</a>發布1.17.4版Container Toolkit、24.9.2版GPU Operator予以修補。</p> <p>針對這項漏洞發生的原因，趨勢科技表示在名為mount_files的功能當中，對於物件操作的過程裡缺乏適當鎖定造成，攻擊者有機會用來提升權限，並於主機執行任意程式碼。不過，利用這項漏洞存在必要條件，那就是攻擊者能在容器執行任意程式碼，才能觸發漏洞。</p> <p>研究人員進一步說明攻擊者可能利用漏洞的手法。首先，攻擊者準備兩個惡意容器映像檔，這些映像檔透過磁碟區符號連結（Volume Symlink）進行連結。接著，攻擊者藉由供應鏈攻擊或社交工程手法，於受害組織的環境執行映像檔，這麼做使得他們能藉由競爭條件存取主機的檔案系統。一旦得逞，攻擊者就有機會存取執行容器的底層軟體Container Runtime Unix，從而以root權限執行任意命令，並遠端完全控制受害系統。</p> <p>除了部署新版Container Toolkit，趨勢科技也呼籲用戶應遵循最佳實作來緩解CVE-2024-0132、CVE-2025-23359與其他與Docker檔案系統綑綁的弱點，這些措施包括：限制Docker API的存取及權限、監控Linux掛載列表、定期稽核容器與主機之間的互動。</p> </div></div></div>
2025/4/15 11:17作者周峻佑https://www.ithome.com.tw/news/168410
OpenAI釋出GPT-4.1以取代GPT-4o
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/index/gpt-4-1/" target="_blank">OpenAI周一（4/14）釋出了GPT-4.1、GPT-4.1 mini與GPT-4.1 nano</a>，宣稱它們的性能全面勝過現有的GPT-4o及GPT-4o mini，所支援的脈絡長達100萬個Token，知識截止時間為2024年6月。不過，GPT-4.1將僅透過API供應，ChatGPT則由持續改善的GPT-4o負責，<a href="https://x.com/sama/status/1889755723078443244" target="_blank">至於原本規畫中的GPT-4.5</a>，現在OpenAI則說它只是個預覽版，GPT-4.1擁有許多類似或超越的表現，因此準備在今年的7月14日關閉GPT-4.5。</p> <p>GPT-4.1、GPT-4.1 mini與GPT-4.1 nano等3個不同等級的型號，都支援100萬Token的脈絡長度，其中的GPT-4.1能力最強，適合複雜任務，每輸入/輸出百萬個Token的售價各為2美元及8美元，適用於企業級代理人、高精度AI助理，以及科學研究；GPT-4.1 mini屬於中階模型，每輸入/輸出百萬個Token的售價各為0.4及1.6美元，適用於中大型應用、快速建置原型及自動客服系統等；GPT-4.1 nano每輸入/輸出百萬個Token的售價各為0.1與0.4美元，適合邏輯明確及結構化的簡單任務，像是分類或摘要等，可應用於手機或邊緣運算，執行速度也最快。</p> <p>OpenAI比較了GPT-4o、GPT-4.5、GPT-4.1在許多基準測試上的表現，例如GPT-4.1在用來修復開放原始碼臭蟲的SWE-bench Verified測試中，取得了54.6%的成績，分別比GPT-4o及GPT-4.5高了21.4個百分點與26.6個百分點。或者是在評估指令遵循能力的Scale's MultiChallenge⁠評測上，GPT-4.1也有38.3%的成績，比GPT-4o多了10.5個百分點。在理解影片的Video-MME⁠測試中，GPT-4.1在長篇且無字幕的類別中取得了72%的成績，比GPT-4o多出6.7個百分點。</p> <p>此外，GPT-4.1及GPT-4.1 mini的延遲度，也低於GPT-4o與GPT-4o mini。</p> <p>GPT-4.1可處理多達100萬個Token的脈絡，遠高於GPT-4o的12.8萬個，OpenAI認為這使得GPT-4.1非常適合處理大型的程式碼庫或者是大量的長文件。</p> <p>至於原本準備上架，卻突然宣布腰斬的GPT-4.5，OpenAI則解釋，GPT-4.5是個研究預覽版本，目的是為了探索與試驗一個大型且運算密集的模型，已從開發人員的回饋中學到許多，準備在未來的模型中嵌入GPT-4.5各種受到讚賞的特質，例如創造力、寫作品質與幽默感等。</p> </div></div></div>
2025/4/15 11:32作者陳曉莉https://www.ithome.com.tw/news/168411
Nvidia將首度完全於美國製造AI超級電腦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.nvidia.com/blog/nvidia-manufacture-american-made-ai-supercomputers-us/" target="_blank">Nvidia周一（4/14）宣布</a>，將首度完全於美國生產AI超級電腦，計畫在未來4年內，與台積電、富士康、緯創、Amkor及SPIL合作，在美國興建價值高達5,000億美元的AI基礎設施。根據美國媒體的報導，這是美國同意Nvidia持續出售H20至中國市場的交換條件之一。</p> <p>Nvidia說，AI晶片與超級電腦的供應鏈非常複雜，需要最先進的製造、封裝、組裝與測試技術。已經與許多夥伴合作，投入逾100萬平方英尺的空間，以於亞利桑那州建置與測試Blackwell晶片，並在德州打造AI超級電腦。</p> <p>其中，Blackwell晶片已開始於台積電位於亞利桑那州的晶片工廠開始生產。Nvidia也正與位於德州休士頓的富士康，以及位於德州達拉斯的緯創合作，打造AI超級電腦製造廠，而這兩個工廠預計於未來12個月至15個月內量產。</p> <p>上述僅為Nvidia承諾美國的其中一部分，因為在未來4年內，Nvidia將與台積電、富士康、緯創、Amkor及SPIL合作，在美國興建價值高達5,000億美元的AI基礎設施。</p> <p>Nvidia指出，AI超級電腦是新型資料中心的引擎，其唯一目的是處理AI，為驅動AI產業的基礎設施，預計未來幾年將會在美國建置數十座千兆瓦AI工廠，以期於未來的數十年推動價值數兆美元的經濟安全，並帶來數十萬個工作機會。</p> <p>美國媒體則報導，這是美國與Nvidia的交換條件之一，以讓Nvidia可以向中國市場銷售H20晶片。H20是在美國的施壓下，Nvidia以H100改裝而成的晶片，它不管是在核心數量或是性能上都低於H100，卻是Nvidia可出貨至中國的最高等級晶片，也是DeepSeek用來訓練模型的晶片之一。即便如此，<a href="https://www.banking.senate.gov/newsroom/minority/warren-hawley-call-on-trump-administration-to-quickly-address-export-control-failures-revealed-by-deepseek-breakthrough" target="_blank">美國兩黨議員還是呼籲</a>應該禁止中國取得H20等高階晶片。</p> <p>美國新任總統川普積極地將各種製造業引流回美國，特別是高階晶片與AI。例如<a href="https://www.ithome.com.tw/news/167107" target="_blank">今年1月發表的Stargate計畫</a>（Project Stargate），將偕同OpenAI、甲骨文及軟銀等公司，投入至少5,000億美元發展AI。<a href="https://www.ithome.com.tw/news/167536" target="_blank">蘋果也在2月公布</a>未來4年、以美國製造為優先的高科技投資計畫，預計投入的金額同樣是5,000億美元。<a href="https://pr.tsmc.com/chinese/news/3210" target="_blank">台積電則在3月宣布</a>，除了正在亞利桑那州斥資650億美元的先進半導體製造之外，將再投資1,000億美元於美國的先進半導體製造。</p> </div></div></div>
2025/4/15 12:07作者陳曉莉https://www.ithome.com.tw/news/168412
SSL/TLS憑證最長效期2029年將縮減成47天
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上周憑證產業論壇CA/Browser Forum（CA/B論壇）做出決議，所有SSL/TLS憑證最長效期將由現行398天縮短9成，到2029年剩47天，且每月需更新一次。</p> <p>CA/B論壇眾家會員廠商於4月11日完成投票，<a href="https://groups.google.com/a/groups.cabforum.org/g/servercert-wg/c/bvWh5RN6tYI" target="_blank">通過蘋果提案的Ballot SC-081v3</a>。4家憑證使用者端（瀏覽器業者）包括蘋果、Google、Mozilla、微軟皆贊成。29家憑證頒發（Issuer）業者24票贊成、5票棄權，無人反對。</p> <p>現行所有SSL/TLS憑證最長效期為398天，<a href="https://www.ithome.com.tw/news/138501" target="_blank">2020年蘋果推動且獲得Google及Mozilla支持</a>，由三大瀏覽器業者推動最長效期由825天減為現行時效，主因是長效期的憑證可能落入駭客手中，助長惡意程式散布。</p> <p>在最新決議下，CA/B論壇未來將分階段縮短憑證效期。2026年3月15日起，SSL/TLS憑證最長效期會縮短到200天，更新期將改為6個月更新一次。而網域控制驗證（Domain Control Validation，DCV）重覆使用期限也減到200天。2027年3月15日起，憑證最長效期會再短100天，3個月更新一次，DCV重覆使用期限同步減為100天。4年後，即2029年3月15日，最長SSL/TLS憑證效期就會減至47天，每個月更新一次，DCV重覆使用期限將只剩10天。</p> <p><a href="https://s4.itho.me/sites/default/files/files/0415-%20Sectigo-47-day%20SSL_TLS%20certificates-%E5%9C%96%E8%A1%A8.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0415-%20Sectigo-47-day%20SSL_TLS%20certificates-%E5%9C%96%E8%A1%A8(1).png" style="width: 450px;" /></a></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／Sectigo</span></span></p> <p>同樣投下贊成票的憑證管理方案業者<a href="https://www.businesswire.com/news/home/20250414207334/en/CABrowser-Forum-Passes-Ballot-to-Reduce-SSLTLS-Certificates-to-47-Day-Maximum-Term" target="_blank">Sectigo指出</a>，縮減數位憑證將可提升線上安全、推動憑證數位化管理，並且藉由提升密碼學靈活性，以因應量子運算挑戰。</p> </div></div></div>
2025/4/15 10:45作者林妍溱https://www.ithome.com.tw/news/168409
AI趨勢周報第271期：Google揭新一代TPU、推跨平臺AI代理協定A2A
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞（0406～0410）</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">TPU </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI代理 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> A2A </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Google揭新一代TPU、推跨平臺AI代理協定A2A</strong></span></p> <p>Google雲端年度大會Next 25在4月9日正式登場，Google雲端執行長Thomas Kurian揭露一系列重磅更新，除了有專為推理模型設計的新一代<a href="https://blog.google/products/google-cloud/ironwood-tpu-age-of-inference/">TPU處理器Ironwood</a>，還祭出可支援AI代理跨平臺協作的<a href="https://developers.googleblog.com/en/a2a-a-new-era-of-agent-interoperability/">Agent-to-Agent協定</a>。</p> <p>其中，Ironwood是Google第七代張量處理器（TPU），專為「會思考」的模型設計，比如大型語言模型（LLM）、混合專家（MoE）模型、推理模型，其每個晶片峰值運算能力為4,614 TFLOPs，可因應繁重的AI工作負載。再來，有別於用一套標準將模型、資料和工具連結起來的MCP協定，Google推出Agent-to-Agent協定（簡稱A2A），開發者可用來打造高互通性的代理。也就是說，只要是按A2A協定開發的AI代理，就能跨平臺、跨服務彼此溝通。</p> <p>這對使用者來說，可以選擇不同廠商的AI代理、組合使用，系統可以兼容這些不同來源的代理。對企業來說，他們能在不同平臺或不同雲端服務間，統一管理各個代理，減少技術負擔。這個A2A協定，目前已獲50多家業者支援。<a href="https://developers.googleblog.com/en/a2a-a-new-era-of-agent-interoperability/">（詳全文）</a></p> <p><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/images/TPUv7_Inline_TPUComparison_v3.width-1000.format-webp.webp" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Amazon </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 語音轉語音 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Nova Sonic </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Amazon推出Nova Sonic語音轉語音模型 </strong></span></p> <p>一如去年12月AWS:reInvent年會中預告的，Amazon最近終於推出全新基礎模型Amazon Nova Sonic，將語音理解和語音生成整合在單一的模型中，來實現語音轉語音。使用者可由AWS生成式AI服務Amazon Bedrock上的API使用，來簡化語音應用開發流程，例如客戶服務通話自動化，或是打造旅遊、教育、醫療、娛樂等領域的跨產業AI代理（AI agents）。</p> <p>進一步來說，傳統的語音應用模型，並非單一模型，而是由多個模型組成，比如將語音轉為文字的語音辨識模型、理解並生成回應的大型語言模型（LLM）、將文字再轉為音訊的文字轉語音模型等。這種方法不僅增加開發的複雜性，也難以保留自然對話中重要的聲音情境和細微差別，如語氣、語調韻律和說話風格等。</p> <p>不過，Nova Sonic採不同方法，將語義理解和語音生成功能，整合在單一模型中，讓模型能根據語氣、風格等聲音情境和口語輸入，來調整語音回覆，達到更自然的對話。比如，當模型捕捉到潛在的客戶語氣，從興奮轉為擔憂費用時，AI的語音回覆更具安撫性，並能即時提價格資訊。<a href="https://aws.amazon.com/blogs/aws/introducing-amazon-nova-sonic-human-like-voice-conversations-for-generative-ai-applications/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 開發環境 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 自然語言 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Google新推行動開發環境Firebase Studio，用自然語言就能開發</strong></span></p> <p>Google最近在旗下行動與Web應用開發平臺Firebase中，新推雲端開發環境Firebase Studio，並開放預覽試用。該服務結合AI助理、雲端IDE和Firebase生態系多項開發工具，專門鎖定想快速打造AI應用或全端Web服務的開發者。Firebase Studio的定位，並非取代Android Studio這類原生App開發工具，而是針對Web應用、AI功能和無伺服器架構的開發需求，提供一個可透過瀏覽器操作、整合AI協作機制，並支援即時雲端部署的開發環境。</p> <p>在技術架構上，Firebase Studio繼承Project IDX的雲端虛擬機器架構，開發者可在瀏覽器中使用類似VS Code的編輯介面，包括完整的程式碼輔助、除錯工具和終端機操作能力。與Android Studio著重原生App開發不同，Firebase Studio預設的應用架構以Next.js為基礎，支援React生態系，並內建Genkit模組，自動配置Gemini API金鑰，讓開發者快速在Web應用中加入生成式AI能力。</p> <p>Firebase Studio還加入自然語言驅動的App Prototyping代理工具，開發者可透過文字描述、圖片或草圖，快速產生可執行的Web應用原型，並直接在介面中與Gemini助理互動，修改介面設計、調整程式邏輯或新增功能。這些操作不僅能修改程式碼，也能自動處理Firebase服務的串接設定，例如使用者驗證、資料庫或人工智慧流程整合。<a href="https://firebase.blog/posts/2025/04/introducing-firebase-studio">（詳全文）</a></p> <p><img alt="" src="https://firebasestorage.googleapis.com/v0/b/first-class-blog.appspot.com/o/video%2Fstudio-canvas-ai-prompt.gif?alt=media&token=5336b9b8-1e1e-4ff1-a7ca-c84e7f785af9" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 大型主機 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> IBM </span></strong></span></p> <p><span style="font-size:22px;"><strong>AI推論效能提高50%！IBM推出新一代大型主機z17</strong></span></p> <p>IBM揭露最新一代大型主機IBM z17，是經典Z系列的升級版，主打全面整合AI，範圍涵蓋硬體、軟體和作業系統，要讓企業能即時執行AI，提高營運效率和安全。進一步來說，IBM z17採用新一代 Telum II處理器，內建AI加速器，每天可執行4500億次推論、每次反應時間僅1毫秒，比前一代z16高出50%的AI推論運算量。z17的AI能力可應用於250多種情境，如風險評估、聊天機器人、醫學影像分析、零售防詐等。</p> <p>再來，該主機採用PCIe擴充卡IBM Spyre Accelerator（預計2025第四季推出），可強化z17的生成式AI能力，讓主機可直接執行AI助理、分析內部資料等工作。而且，新系統支援還多模態AI，可同時處理文字、圖像等不同形式的資料，另也整合IBM watsonx系列工具，包含程式助理和Z助手，可助開發者、IT團隊更快偵錯與維護系統。</p> <p>不只如此，在安全性方面，新主機還加入HashiCorp Vault技術，支援跨平臺密鑰與憑證管理，也支援AI自動偵測敏感資料功能，辨識潛在的網路攻擊。這臺z17預計在今年6月18日正式推出。<a href="https://newsroom.ibm.com/z17">（詳全文）</a></p> <p><img alt="" src="https://newsroom.ibm.com/image/New_IBM_z17_Mainframe_banner.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI代理 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 開發管理 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google瞄準AI代理，推出多款代理開發管理工具</strong></span></p> <p>在今年度Cloud Next大會中，Google揭露不少AI代理（Agent）工具，包括在自家AI開發平臺Vertex AI中，新添代理開發工具包<a href="https://developers.googleblog.com/en/agent-development-kit-easy-to-build-multi-agent-applications/">Agent Development Kit（ADK）</a>，專門用來簡化AI代理的建置、測試和部署執行等工作，號稱不必寫到100行程式碼，就能完成代理建置。而且，這款ADK還支援MCP協定。</p> <p>在這個ADK中，還有2項用來開發和部署代理的工具，分別是Agent Garden和Agent Engine。Google預計今年第三季提供ADK公開預覽版。另一項AI代理亮點是<a href="https://blog.google/feed/cloud-next-latest-features-google-agentspace/">Google Agentspace新功能</a>，企業使用者可直接從Chrome搜尋框來使用Agentspace的搜尋、分析和資訊整合功能，也能透過Agent Gallery（代理庫）來快速導入各種代理，或是部署Google自家的代理。</p> <p>為顧及企業資料隱私需求，Google在原本的Google Distributed Cloud（GDC）平臺中，新支援企業本地段部署Gemini系列模型和Agentspace代理應用，預計今年第三季開始提供服務。此外，Google還打造<a href="https://console.cloud.google.com/marketplace/browse?filter=category:ai-agent&hl=en&invt=AbthNw">AI Agent Marketplace市集</a>，收錄第三方各種AI代理，來讓使用者隨插即用。甚至，他們還推出一項實用的自動化流程工具<a href="https://workspace.google.com/blog/product-announcements/new-AI-drives-business-results">Google Workspace Flows</a>，使用者用自然語言描述想完成的流程，AI代理就會自動設計整個邏輯流程，不必寫程式就能完成跨應用的工作自動化。<a href="https://blog.google/products/google-cloud/next-2025/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Anthropic </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Claude </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 聊天機器人 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Anthropic也推200美元月費的個人版Claude方案</strong></span></p> <p>繼OpenAI推出月費高達200美元的Pro方案後，Anthropic日前也宣布，推出相同收費水準的頂級個人版AI聊天機器人訂閱方案Claude Max。此前，Anthropic針對個人用戶，僅有免費方案和每人每月20美元（年費200美元）的Pro方案，免費用戶每天可傳送100則訊息，Pro可享有免費方案5倍用量，每5小時可傳送45則短訊息。</p> <p>Anthropic說Max方案適合與Claude大量對話的用戶，可用來改進作品、分析大量文件和複雜資料。Max又分成2種級別，其中月費100美元的擴充用量方案，適合經常用Claude來執行多種任務的用戶，提供Pro 5倍用量上限。另一種是最大彈性方案，月費200美元，提供Pro 20倍的用量限制，適合每天用Claude執行重要任務的用戶。<a href="https://www.anthropic.com/news/max-plan">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 推理模型 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Nvidia </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Llama </span></strong></span></p> <p><span style="font-size:22px;"><strong>Nvidia揭露新模型，效能超越DeepSeek R1</strong></span></p> <p>Nvidia最近開源Llama-3.1-Nemotron-Ultra-253B-v1模型，號稱效能與DeepSeek R1相當，但只有一半的參數量。進一步來說，這款模型是Nvidia三月宣布的Llama Nemotron系列模型之一，這一系列共有Nano、Super和Ultra三個版本，其中8B參數的Nano可在PC和邊緣裝置執行、49B參數的Super可在單一GPU上執行，253B參數的Ultra則需要多顆GPU執行，其中Nano、Super已經開源。</p> <p>最新發布的Llama-3.1-Nemotron-Ultra以Meta Llama-3.1-405B-Instruct為基礎，可支援128K字詞的上下文長度，能兼顧模型準確性和執行效率。因為，Nvidia用新的神經架構搜尋（NAS）技術，來降低3.1 Ultra所需的記憶體，可支援大型工作負載並減少執行模型需要的GPU數量。此外，Nvidia也用這個方法垂直壓縮本模型，大幅改善延遲性。</p> <p>Llama-3.1-Nemotron-Ultra現已提供商用，可在Hugging Face下載。3.1 Ultra可支援多種應用場景，包含AI代理人系統、聊天機器人、RAG和其他AI應用，不過，模型主要支援程式語言和英文，以及德、法、義、葡、西語、泰語、北印度語等。<a href="https://build.nvidia.com/nvidia/llama-3_1-nemotron-ultra-253b-v1/modelcard">（詳全文）</a></p> <p><img alt="" src="https://assets.ngc.nvidia.com/products/api-catalog/llama-3_1-nemotron-ultra-253b-v1/accuracy_plot.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> WordPress </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 網站架設 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 風格 </span></strong></span></p> <p><span style="font-size:22px;"><strong>WordPress.com推出AI工具架網站</strong></span></p> <p>Automattic旗下網站代管平臺WordPress.com最近提供AI Website Builder網站架設工具，使用者在幾分鐘內就能打造一個新網站，不需樣版，也不需寫程式，只要用自然語言告訴它需要什麼風格或網站用途，就能快速生成。</p> <p>使用者進入AI Website Builder後，可在聊天對話框中盡可能詳述網站需求，例如是要展示作品集、部落格還是商業網站，另也能加進網站名稱或描述想要的風格，比如有趣、簡約、優雅等。接著系統開始建置網站，期間會進一步要求使用者選擇版面、顏色與字體，並完成網站雛型。之後，使用者還能給提示，讓AI工具客製化網站樣貌，例如新增社交媒體圖示等。<a href="https://wordpress.com/blog/2025/04/09/ai-website-builder/">（詳全文）</a></p> <p><img alt="" src="https://en-blog.files.wordpress.com/2025/04/wordpress-ai-website-builder.jpg?w=1600&h=1000&crop=1" /></p> <p>圖片來源／Google、IBM、Amazon、Nvidia、WordPress.com</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. GitHub Copilot正式推出AI代理模式</strong></p> <p><strong>2. Midjourney測試最新一代圖片生成模型V7 </strong></p> <p><strong>3. 歐盟啟動「AI大陸行動計畫」，要趕上美、中AI建設</strong></p> <p>資料來源：iThome整理，2025年4月</p> </div></div></div>
2025/4/12 19:57作者王若樸https://www.ithome.com.tw/news/168407
【資安日報】4月14日，啟用SSL VPN的Fortinet防火牆遭到已知漏洞攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今天我們報導兩起資安事故，其共通點就是針對SSL VPN系統而來，其中，尤以針對Fortinet防火牆設備而來的攻擊行動特別值得留意，因為這起事故雖然針對已知漏洞而來，但該公司還是發布新版防火牆作業系統FortiOS因應。</p> <p>這起事故攻擊者不僅運用了已知漏洞，並透過符號連結（Symbolic Link）手法來回避偵測，但究竟駭客如何取得相關權限而得逞？Fortinet並未說明。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168399"><strong style="font-size: 22px;">啟用SSL VPN的Fortinet防火牆用戶注意！已知漏洞出現攻擊行動</strong></a></p> <p>今年1月資安業者Arctic Wolf揭露攻擊行動Console Chaos，駭客鎖定Fortinet防火牆的零時差漏洞CVE-2024-55591而來，隔月Fortinet透露這起攻擊行動攻擊者搭配另一項身分驗證繞過漏洞CVE-2025-24472，然而近期出現攻擊者利用已知漏洞的情況。</p> <p>4月10日，資安業者Fortinet發布警告，揭露他們近期發現鎖定該廠牌防火牆FortiGate已知漏洞而來的攻擊行動，攻擊者針對已啟用SSL VPN功能的防火牆設備而來，以便在唯讀存取FortiGate的狀態下，持續讀取受害FortiGate設備的檔案系統，而得以擷取系統組態資訊，這些遭到利用的漏洞，包含：CVE-2022-42475、CVE-2023-27997、CVE-2024-21762，CVSS風險介於9.2至9.5分。</p> <p>Fortinet在察覺此事後啟動PSIRT事件回應工作，開發緩解措施，並與受到影響的客戶合作來因應。該公司呼籲用戶，應更新防火牆作業系統FortiOS至7.6.2、7.4.7、7.2.11、7.0.17、6.4.16版因應這波攻擊。</p> <p><a href="https://www.ithome.com.tw/news/168401"><strong style="font-size: 22px;">中國駭客鎖定Ivanti Connect Secure已知漏洞，對臺灣在內的12個國家發動大規模攻擊</strong></a></p> <p>今年1月、2月，資安業者Ivanti修補旗下SSL VPN系統Connect Secure（ICS）重大層級漏洞CVE-2025-0282、CVE-2025-22457（CVSS風險評為9.0、9.8分），相關漏洞攻擊引起政府單位及資安業者的高度關注，並揭露駭客使用的惡意程式，如今有新的調查結果指出，漏洞攻擊仍在持續進行，且範圍包含臺灣在內的12個國家。</p> <p>臺灣資安業者杜浦數位安全（TeamT5）指出，他們在3月底偵測到中國APT駭客利用上述兩項漏洞攻擊ICS系統的情況，這波攻擊行動已在臺灣、日本、南韓、荷蘭、新加坡、英國、美國、奧地利、澳洲、法國、西班牙、阿拉伯聯合大公國出現災情，而對於駭客攻擊的產業類別也相當廣泛，涵蓋近20個不同的產業，值得留意的是，研究人員在著手分析調查的過程裡，這些駭客很有可能仍持續控制受害組織的網路環境。</p> <p>TeamT5也提及鎖定ICS的攻擊行動升溫的情況，他們自4月以來，發現有大規模嘗試利用ICS漏洞的現象，僅管這些攻擊大部分並未得逞，卻顯著影響這些SSL VPN系統運作，造成不穩定甚至是癱瘓的現象。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/china-admitted-to-us-that-it-conducted-volt-typhoon-attacks-report/">針對中國駭客Volt Typhoon的攻擊事故，中國坦承動機是美國支援臺灣</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/remotemonologue-new-dcom-attack-bypasses-lsass-protection/">新攻擊手法RemoteMonologue能繞過LSASS防護機制</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/tycoon2fa-phishing-kit-targets-microsoft-365-with-new-tricks/">網釣工具包濫用SVG圖檔發動攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.darkreading.com/vulnerabilities-threats/zero-day-centrestack-platform-under-attack">檔案共享平臺CentreStack零時差漏洞出現攻擊行動</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168402"><strong style="font-size: 22px;">Dell修補PowerScale系列NAS系統，包括接管高權限帳號的重大漏洞</strong></a></p> <p>作為一線企業級儲存廠商的Dell，4月7日揭露旗下PowerScale NAS的6項漏洞，並釋出修補。這些漏洞存在於9.4.0.0到9.10.1.0版的OneFS儲存作業系統，會影響到基於OneFS的PowerScale與Isilon系列NAS產品。</p> <p>這些漏洞中，最危險的是CVE-2025-27690，嚴重性被評為9.8分（滿分10分），為使用預設密碼造成，未經身分驗證的攻擊者可藉由遠端存取，接管高權限的用戶帳號。</p> <p>另外5項漏洞CVE-2025-26330、CVE-2025-22471、CVE-2025-26480、CVE-2025-23378、CVE-2025-26479，嚴重性分別為7.0分、6.5分、5.3分，以及兩個3.1分，會導致用戶存取叢集權限停止、拒絕服務、資料外洩與資料完整性等問題。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/jenkins-docker-images-vulnerable-to-ssh-host-key-reuse/">Jenkins的Docker映像檔存在主機金鑰重覆使用的弱點</a></strong></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://cybersec.ithome.com.tw/2025/"><strong style="font-size: 22px;">臺灣資安大會將於4月15至17日舉行</strong></a></p> <p>資安年度盛事「Cybersec 2025臺灣資安大會」即將於4月15日至17日於南港展覽館二館舉行，今年邁入第11週年，以「Team Cybersecurity」為主題，集結全球頂尖資安專家帶來逾300場專業演說，匯集全球400多家資安品牌，預計吸引超過2萬名國內外資安專業人士與會。賴清德總統將會在會議第一天開場致詞，而這是總統連續4年出席這項國際級資安會議。</p> <p>針對今年的大會主題，代表的是當今資安威脅態勢，已是需要全員參與的戰役，每個參與者都是不可或缺，藉由分享洞見、制訂戰略、推動技術創新，所有人必須共同努力，打造未來的資安環境。</p> <p><a href="https://www.ithome.com.tw/news/168178"><strong style="font-size: 22px;">HTTPS憑證產業於3月新增兩項安全要求，7月禁止基於WHOIS的弱驗證</strong></a></p> <p>憑證頒發機構瀏覽器論壇Certification Authority Browser Forum（CA/Browser Forum）近日通過了HTTPS憑證兩項新的安全要求，包括多方發行驗證（Multi-Perspective Issuance Corroboration，MPIC），以及憑證檢查（Linting），並已於今年3月15日正式實施，而這兩項要求都是由Google內部的瀏覽器憑證管理專案Chrome Root Program所提出。</p> <p>此外，Google提議淘汰基於WHOIS的電子郵件、電話，以及傳真與實體郵件等驗證方法，以推動更安全的網域控制驗證機制，該禁令預計於今年的7月15日生效。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/168382"><strong>【4月11日】國家資通安全戰略2025本週正式公布</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168348"><strong>【4月10日】中華資安投資奧義智慧，攜手拓展市場、提升國際能見度</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168331"><strong>【4月9日】微軟修補CLFS零時差漏洞，若不處理，恐面臨勒索軟體攻擊</strong></a></p> </div></div></div>
2025/4/14 18:32作者周峻佑https://www.ithome.com.tw/news/168403
中國駭客鎖定Ivanti Connect Secure已知漏洞，對臺灣在內的12個國家發動大規模攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年1月、2月，資安業者Ivanti修補旗下SSL VPN系統Connect Secure（ICS）重大層級漏洞<a href="https://www.ithome.com.tw/tags/cve-2025-0282">CVE-2025-0282</a>、<a href="https://www.ithome.com.tw/tags/CVE-2025-22457">CVE-2025-22457</a>（CVSS風險評為9.0、9.8分），相關漏洞攻擊引起政府單位及資安業者的高度關注，並揭露駭客使用的惡意程式，如今有新的調查結果指出，漏洞攻擊仍在持續進行，且範圍包含臺灣在內的12個國家。</p> <p>臺灣資安業者杜浦數位安全（TeamT5）指出，他們在3月底偵測到<a href="https://teamt5.org/tw/posts/china-nexus-apt-exploits-ivanti-connect-secure-vpn-vulnerability-to-infiltrate-multiple-entities/">中國APT駭客利用上述兩項漏洞攻擊ICS系統</a>的情況，這波攻擊行動已在臺灣、日本、南韓、荷蘭、新加坡、英國、美國、奧地利、澳洲、法國、西班牙、阿拉伯聯合大公國出現災情，而對於駭客攻擊的產業類別也相當廣泛，涵蓋近20個不同的產業，值得留意的是，研究人員在著手分析調查的過程裡，這些駭客很有可能仍持續控制受害組織的網路環境。</p> <p>針對攻擊行動發生的過程，TeamT5指出，一旦駭客成功利用漏洞，就有機會遠端執行任意程式碼（RCE），從而入侵受害組織的網路環境，並部署惡意軟體。</p> <p>在這波攻擊行動裡，駭客使用的是惡意軟體SpawnChimera，此惡意軟體最早由日本電腦危機處理暨協調中心（JPCERT/CC）揭露，<a href="https://www.ithome.com.tw/news/167430">當時JPCERT/CC指出</a>，此惡意程式具備Spawn家族惡意程式的所有功能，這些惡意程式包括：惡意軟體部署工具Spawnant、網路隧道工具Spawnmole、SSH後門Spawnsnail。而TeamT5看到的SpawnChimera，更進一步整合了事件記錄抹除工具Spawnsloth。附帶一提的是，研究人員提及，SpawnChimera已是中國駭客組織之間共用的惡意軟體，這代表很有可能有多組人馬投入漏洞攻擊活動。</p> <p>TeamT5也提及鎖定ICS的攻擊行動升溫的情況，他們自4月以來，發現有大規模嘗試利用ICS漏洞的現象，僅管這些攻擊大部分並未得逞，卻顯著影響這些SSL VPN系統運作，造成不穩定甚至是癱瘓的現象。</p> </div></div></div>
2025/4/14 17:26作者周峻佑https://www.ithome.com.tw/news/168401
啟用SSL VPN的Fortinet防火牆用戶注意！已知漏洞出現攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年1月資安業者Arctic Wolf揭露攻擊行動Console Chaos，駭客鎖定Fortinet防火牆的<a href="https://www.ithome.com.tw/news/166969">零時差漏洞CVE-2024-55591</a>而來，隔月Fortinet透露這起攻擊行動攻擊者搭配另一項身分驗證繞過漏洞<a href="https://www.ithome.com.tw/news/167334">CVE-2025-24472</a>，然而近期出現攻擊者利用已知漏洞的情況。</p> <p>4月10日，資安業者Fortinet發布警告，揭露<a href="https://www.fortinet.com/blog/psirt-blogs/analysis-of-threat-actor-activity">他們近期發現鎖定該廠牌防火牆FortiGate已知漏洞而來的攻擊行動</a>，攻擊者針對已啟用SSL VPN功能的防火牆設備而來，以便在唯讀存取FortiGate的狀態下，持續讀取受害FortiGate設備的檔案系統，而得以擷取系統組態資訊，這些遭到利用的漏洞，包含：<a href="https://www.ithome.com.tw/tags/cve-2022-42475">CVE-2022-42475</a>、<a href="https://www.ithome.com.tw/tags/CVE-2023-27997">CVE-2023-27997</a>、<a href="https://www.fortiguard.com/psirt/FG-IR-24-015">CVE-2024-21762</a>，CVSS風險介於9.2至9.5分。Fortinet在察覺此事後啟動PSIRT事件回應工作，開發緩解措施，並與受到影響的客戶合作來因應。該公司呼籲用戶，應更新防火牆作業系統FortiOS至7.6.2、7.4.7、7.2.11、7.0.17、6.4.16版因應這波攻擊。</p> <p>對於駭客利用上述的資安漏洞，Fortinet指出駭客的目的是建立唯讀的存取管道，駭客藉由受害防火牆尚未修補的漏洞，將使用者檔案系統（user filesystem，/usr資料夾）及根檔案系統（root filesystem，最上層的/資料夾）當中，用於處理SSL VPN語言檔案的資料夾進行符號連結（Symbolic Link），由於這種竄改手法發生在使用者檔案系統上，使得攻擊者能夠回避偵測。</p> <p>值得留意的是，Fortinet也提及若是受害組織察覺異狀，僅有修補前述已知漏洞，由於攻擊者打造的符號連結很可能還保留在設備上，使得他們有機會藉此持續存取受害的防火牆。Fortinet指出，只有曾經啟用SSL VPN機制的防火牆才會受到影響，未曾啟用這類機制的企業組織不會曝險。</p> </div></div></div>
2025/4/14 15:40作者周峻佑https://www.ithome.com.tw/news/168399
微軟公布抓蟲AI工具Debug-gym 可和外部工具互動改進除錯建議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.microsoft.com/en-us/research/blog/debug-gym-an-environment-for-ai-coding-tools-to-learn-how-to-debug-code-like-programmers/" target="_blank">微軟近日公布</a>能幫開發人員除錯（debug）的AI工具Debug-gym，可用除錯工具協助提供更好的除錯建議。</p> <p>現今已經有不少業者提供AI程式撰寫工具，號稱能依據程式碼和錯誤訊息建議除錯方案，但是這些工具在方案失敗時並不會提供其他進一步資訊，使某些錯依舊無法解決。有些用戶覺得AI程式工具無法全盤理解他們想解決的問題。</p> <p>微軟發表的debug-gym是一個輕量代理人開發環境，旨在讓企業開發除錯LLM代理人，它能使用互動式除錯工具，如預設的python debugger（pdb），以積極尋找進一步除錯資訊。透過工具獲得的回饋，Debug-gym擴展代理人的行為和觀察面，使之設定斷點、導覽程式碼、列印變項值，或建立測試函式，甚至改寫程式碼。程式代理人研究、生成新的除錯建議，最後交由人類判斷及核准。在交付之前，這些除錯方法可在相關codebase、程式執行和文件脈絡下進行grounding，而不只是依據訓練資料憑空設想的方案。</p> <p>微軟相信結合適當工具的互動式除錯方法，可幫助程式代理人更有效解決真實的軟工作業。</p> <p>微軟說明，debug-gym有以下特色：它支援全程式庫操作，可存取並編輯整個程式庫，且使用Docker沙箱隔離環境，確保除錯安全。它易於擴充，可輕鬆新增工具與功能。此外，它是文字導向：以JSON等結構化文字呈現資訊，適合整合大型語言模型（LLM）。</p> <p>利用debug-gym，開發人員可以指定資料夾路徑，使用任何自訂程式庫來評估代理人效能。微軟在<a href="https://microsoft.github.io/debug-gym/" target="_blank">debug-gym相關網頁</a>中還提供除錯標竿測試SWE-bench及可練習除錯的程式集Mini-nightmare，提供開發人員練習和衡量LLM除錯代理人效能。</p> <p>微軟並公布以這種方法建立除錯代理人的標竿測試結果。研究團隊使用包括Claude 3.7、OpenAI-o1、OpenAI o3-mini等9種LLM，開發出可下簡單文字（JSON格式）提示的代理人，讓它使用以下除錯工具包括eval、view、pdb、rewrite和listdir以改進除錯解決方案。</p> <p><a href="https://arxiv.org/pdf/2503.21557" target="_blank">初期測試顯示</a>目前上述三個主要模型，能解決解決SWE-bench Lite最多一半的問題，但微軟相信主因在於序列決策行為的訓練資料較少。而且，微軟指出，此種方法的代理人較傳統方法開發出來的代理人，效能已經提升30%、182%及160%，顯示是很有潛力的發展方法。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0414-%E5%BE%AE%E8%BB%9F-DeBug_froggy_bar_chart.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／微軟</span></span></p> </div></div></div>
2025/4/14 12:47作者林妍溱https://www.ithome.com.tw/news/168398
Google Workspace加入AI workflow、Docs整合NotebookLM音訊功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在上周Cloud Next 2025大會上，除了第7代TPU Ironwood、AI代理人開發工具外，<a href="https://workspace.google.com/blog/product-announcements/new-AI-drives-business-results" target="_blank">也發布針對Workspace企業應用的AI工具</a>，包括工作流程Workspace Flow，Docs、Sheets、Vids、Google Meet/Chat也都加入新的AI功能，其中NotebookLM音訊功能整合進Docs中。</p> <p>Google Workspace Flows是以AI自動化企業多步驟處理，為用戶研究、分析和生成內容。用戶可使用Gemini自製AI代理人來處理特定任務，Workspace Flows將之串連成自動化流程，它可參照用戶儲存在Google Drive的檔案，再以Gems執行下一步任務。例如處理客服支援的流程；Workspace Flows先檢視前端送入的表單，分析核心問題、研究可能解決方案、草擬回覆再加上標記，送給人類客服團隊審核並發送。</p> <p><a href="https://www.youtube.com/watch?v=fBmHNeDXYu8" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0414-Workspace%20Flows_use%20Gems_custom%20AI%20agents_3.png" style="width: 600px;" /></a></p> <p>Workspace Flows強調無程式碼執行。使用者只需在提示中以自然語言描述需求，它就會自行設計並建造邏輯驅動的流程，不需寫繁複程式或配置。Google也和夥伴合作，將Workspace串連到第三方工具。目前Workspace已啟動客戶Alpha早期測試方案，企業可以申請早鳥試用。</p> <p>NotebookLM的音訊工具Audio Overview可將用戶上傳的檔案整理成音訊檔，或製作成AI重點摘要的podcast。現在這工具也整合到Workspace 的Google Docs中。企業可以這功能將Docs檔轉成完整語音版本，或生成AI 重點摘要podcast。Google預計幾周內會以Alpha版供測試。</p> <p><a href="https://www.youtube.com/watch?v=FDnDnmIR5Ng" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0414-Audio%20in%20Google%20Docs(1).png" style="width: 600px;" /></a></p> <p>其他功能包括以AI潤飾改善Docs文件的Help me refine，以及分析Sheets試算表的Help me analyze，Workspace去年11月宣佈的影片編輯工具Vids現在升級使用Veo 2模型，強調不僅能為影片加上動畫、轉場效果，還能直接生成動作逼真、樣式多元的高品質商用影片，像是員工訓練、內部公告或行銷素材。強化版Vids也將在幾周內進入Alpha測試。</p> <p><a href="https://www.youtube.com/watch?v=uBf8ysZ_QtM&embeds_referring_euri=https%3A%2F%2Fworkspace.google.com%2F&embeds_referring_origin=https%3A%2F%2Fworkspace.google.com" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0414-Help%20me%20refine%20in%20Google%20Docs.png" style="width: 600px;" /></a></p> <p>最後，Google Meet中的Gemini之前加入Take notes for me功能，可幫用戶製作會議摘要。以此功能為基礎發展，Gemini現在可提供會議回顧，方便用戶快速掌握錯過的會議內容。此外，Google正在開發Google Chat群聊，以@gemini召喚出Gemini加入討論，預計幾周內上架Labs。<span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> </div></div></div>
2025/4/14 11:28作者林妍溱https://www.ithome.com.tw/news/168393
零售IT雙周報第54期：無人機正式送貨前，Amazon如何測試飛行安全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#0000FF;"><strong>重點新聞(0330~0412)</strong></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#智慧物流 #訂單履行 #無人機物流</span></span></strong><br /> <strong>Amazon如何設計一系列實驗，來確保送貨用無人機飛行安全</strong></p> <p>Amazon揭露自家物流無人機的安全測試方法。由於小型無人機沒有行之有年的常見安檢做法，他們綜合參考航空業、汽車業，甚至軍事系統測試做法，來鎖定大致測試方向。</p> <p>接著，他們預想實際可能發生的三大類風險，包括功能性風險（Functional Hazards），如硬體或軟體故障；人為犯錯，也就是操作人員犯錯；以及環境因素，像強風、冰雹，或顧客後院裡放有玩具等環境障礙。每一項潛在風險，都會有對應實驗來確保安全性。</p> <p>功能性風險實驗包括MEP測試，在飛行過程中突然關掉馬達、電子速度控制器或螺旋槳停止運作，以確認它是否仍然能保持飛行、返回發射地點，並降落於特定安全區域。以及備援系統切換測試，模擬主要飛行電腦故障，看無人機是否能順利切換至備援電腦並安全返回。</p> <p>人為犯錯規避方法，則是對操作人員進行測試，確保他們了解並遵守標準作業流程，包括從飛行前檢查到飛行後檢查的完整流程。</p> <p>環境障礙迴避測試，包括在降落地點放雜物，甚至是移動式障礙物，來確保無人機系統知道何時能投遞商品。Amazon還打造出一套空域與任務協調系統（Airspace and Mission Orchestration System），會在飛行前產生操作區域的高解析度模型，據此建立避開建築物、橋樑與電線等已知障礙物的航線。</p> <p>不只如此，雖然無人機只會於遠離機場的空域飛行，且會偵測飛行物用來廣播自己位置的訊號，他們還是執行了許多即時迴避飛行物的實驗，來應對意外情況。做法是，從許多不同角度和速度，在不同情境和高度下，操控直升機衝向無人機，來觀察無人機迴避能力。</p> <p>Amazon表示，這些測試不只是用來通過FAA（美國聯邦航空總署）認證，更有助於自家設計新無人機時參考。即使現在他們已經獲得FAA認證，且未曾發生空安事故，仍在持續設計新實驗，來測試並發展無人機應用新可能。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#生成式AI #服飾設計 #成衣生產</span></span></strong><br /> <strong>Walmart如何用AI及生成式AI加速供應商服飾設計及生產流程，費時從半年降至2個月</strong></p> <p><a href="https://corporate.walmart.com/news/2025/04/09/in-an-ever-changing-environment-walmart-uses-genai-to-create-cool-for-customers">Walmart揭露他們如何用生成式AI，來加速自家服飾供應商設計與生產。</a>傳統服飾設計到生產流程是，設計師會先研究時尚資料，再畫出情緒板，溝通可能顏色、樣式、名稱、概念等。接著，另一批設計師和商家會根據情緒板、販售資料、自身經驗等資訊，來決定最終設計，並產出具體規格給工廠。這一整套流程，通常費時半年。</p> <p>Walmart打造一套名為Trend-to-Product的AI工具，來簡化這個流程中不同環節。首先，他們利用AI爬蟲，協助設計師蒐集網路上不同潮流資訊，將數周的研究時間縮短到數分鐘。接著，AI還能快速生成情緒板，與服飾品牌溝通。決定設計後，再生成完整生產規格，與工廠溝通。從設計到上架流程，總共省下約18周時間。</p> <p>打造這套AI工具的起心動念，是當初有Walmart員工看到一份生成式AI文獻提到，可以用AI來分析既有化合物，甚至打造新化合物的可能性。於是，他們開始發想，是否可以將此概念用於服裝設計，分析既有服飾潮流，並設計新服飾。Trend-to-Product的首席PM Bill Chiodetti更表示，服飾設計只是第一步。他們還計畫擴大應用此工具到其他領域的商品設計，例如化妝品、熟食等。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#AI代理 #第三方網站連結 #站外代購</span></span></strong><br /> <strong>Amazon利用AI代理技術打造代購外站商品功能</strong></p> <p>在推出<a href="https://www.ithome.com.tw/news/167367">可以搜尋外站商品</a>的功能後，<a href="https://www.aboutamazon.com/news/retail/amazon-shopping-app-buy-for-me-brands">Amazon進一步推出可以直接於自家站內購買外站商品的功能</a>。也就是說，顧客可以不跳出網站，即完成站內站外購物操作，進一步強化Amazon作為購物入口網站定位。</p> <p>這個名為Buy for me的功能，顧名思義是利用代理AI技術，替顧客將加密過的姓名、地址、付款資料等資訊提供給外部品牌網站，來代為購物。Amazon表示，他們自己無法查看顧客在其他品牌網站上的歷史訂單等紀錄。目前此功能只支援少數賣家。顧客購買其他外部賣家商品時，則會比照舊模式，跳轉到品牌自家通路。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/bfm.jpg" style="height: 450px;" /></p> <p>此AI代理背後，是利用Amazon近期發表的Nova系列模型及Anthropic的Claude系列模型，並部署在AWS的AI平臺Bedrock上。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#商品上架 #視覺辨識</span></span></strong><br /> <strong>eBay推出行動版AI商品上架功能，根據簡單圖文自動搜尋站上類似商品並自動填入資訊</strong></p> <p><a href="https://innovation.ebayinc.com/stories/ebay-reduces-the-time-to-list-on-mobile-with-new-simplified-selling-tool-now-featuring-magical-listing-ai-technology/">eBay推出行動版商品上架功能。</a>商家只要上傳一張圖片，加上一句商品標題，系統就會自動尋找站上類似商品，用來自動帶入商品資訊到對應欄位。商家可以修改這些欄位資訊，確認無誤後便能上架商品。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ebmmls.jpg" style="height: 450px;" /></p> <p>這是他們一系列用視覺辨識AI及生成式AI來打造商家用工具的又一新做法。過往應用包括自動分析大量商品圖片並分別建立商品檔案的功能、商品照片去背及更換背景功能等。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#商品行銷 #網路素材 #Google商家</span></span></strong><br /> <strong>Google商家推出自動讀取商家資料，以呈現更多資訊在Google Map等行銷通路的做法</strong></p> <p><a href="https://support.google.com/merchants/answer/15760498?hl=en">Google商家開始會自動讀取商家資料，來自動在不同通路呈現相關訊息給使用者</a>。這些資料包括主要社群媒體連結與內容、促銷活動、商品與品牌影像，以及品牌行銷用語等資料，會曝光於搜尋結果、Google Shopping介面以及Google Map等通路。</p> <p>對商家來說，這等於免費獲得更多曝光機會，成為一個積極上傳高品質資料到Google商家的誘因。不只如此，此功能為預設同意，意即Google將能自動取得大量商家資料。</p> <p>這個做法，<a href="https://blog.google/products/search/ai-mode-multimodal-search/">又與近期Google擴大實驗AI多模態搜尋技術</a>，以及更常於搜尋結果頁面顯示AI Overview摘要等做法，時間不謀而合，顯示出他們嘗試強化自家AI搜尋技術的策略方向。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#RMN 2.0 #站外RMN</span></span></strong><br /> <strong>Momo開始經營涵蓋站外行銷通路的RMN</strong></p> <p>電商龍頭Momo預計於4月正式啟動「Momo聯播網」，這是他們RMN業務的一環，可以一站式投廣到站內以及站外媒體平臺。不過，Momo未揭露具體有哪些站外通路。對賣家而言，這有利於簡化廣告主行銷操作及預算分配。對Momo而言，則是有望提升RMN ROAS數字，以及分到更多企業的行銷預算。</p> <p>目前，Momo站內廣告包括關鍵字、展示型及置頂搜尋廣告等形式。比照國外RMN先行者歷程，等同於從只有站內廣告的RMN 1.0，走到橫跨站內站外通路的RMN 2.0階段。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099FF;">更多零售IT動態：</span></strong></span></p> <p>生鮮雜貨平臺<a href="https://investors.instacart.com/news-releases/news-release-details/instacart-launches-ai-powered-universal-campaigns-advertisers">Instacart推出一系列AI驅動的RMN廣告功能，包括跨通路AI代投和AI生成品牌商城頁面等</a></p> <p><a href="https://www.ithome.com.tw/news/168044">Buynomics藉由AI來模擬現實世界買家的行為，來協助企業決定最佳化定價、促銷與產品組合</a></p> <p>3C零售商<a href="https://corporate.bestbuy.com/2025/best-buy-creator-program/">Best Buy推出新創作者合作計畫，讓網紅打造推薦商品網路商城來導購</a></p> <p>統一超商推出會員訂閱制，用會員點數回饋來嘗試吸引顧客到實體門市消費</p> <p>資料來源：iThome整理，2025年4月</p> <p>責任編輯：郭又華</p> <p>圖片來源：</p> <p></p> </div></div></div>
2025/4/14 12:12作者郭又華https://www.ithome.com.tw/news/168373
【資安週報】0407~0411，國家資通安全戰略2025正式公布，建立國家資安戰情協同應變中心
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2025年4月第二星期的資安新聞，國內最重要的消息，就是我們在上個月報導即將公布的《國家資通安全戰略 2025》，由國家安全會議出版，4月8日正式於總統府網站發布，揭露了我國接下來的新資安戰略，將聚焦從4大支柱出發，包括：全社會防衛韌性、國土防衛與關鍵基礎設施、關鍵產業與供應鏈，以及AI應用與安全。</p> <p>特別的是，報告中提到「國家資安戰情協同應變中心」的建立，以及「國家資安風險地圖」的規畫，我們認為將是一大重點，可讓綜觀全局的聯防體系更為具體，突顯國內資安聯防對此方面的重視。</p> <p>在資安事故方面，國內2家上市櫃公司發布資安事件重訊，一是旅行箱製造商萬國通路，另一是LCD偏光板廠力特光電。後續我們還發現暗網情資顯示，勒索軟體組織Qilin與Devman同時宣稱力特光電為其受害者。</p> <p>還有一項消息值得國內重視，英國國家網路安全中心（NCSC）示警，發現中國駭客正鎖定臺灣、圖博、維吾爾族的團體與個人，散布間諜軟體BadBazaar和Moonshine，其手法包括假冒知名品牌App引誘安裝並要求手機各式權限。</p> <p>在資安威脅方面，針對開發人員散布惡意套件，以及VPN安全隱憂的消息是主要焦點，有多起消息揭露顯現出這些狀況需要被重視。</p> <p>●供應鏈資安業者發現本月4日有10個惡意VSCode擴充套件上架，目的是植入挖礦程式XMRig，但其顯示下載超過百萬次，可能駭客製造套件受歡迎的假象。<br /> ●北韓駭客Lazarus散布惡意NPM套件近期消息不斷，再有資安業者揭露其行動利用11個惡意NPM套件來散布木馬，並指出套件下架前已有5千多次下載。<br /> ●威脅情報業者警告，有駭客在3月底利用近2.4萬個IP位置，大量掃描Palo Alto Networks的GlobalProtect入口網站。<br /> ●非營利組織Tech Transparency Project（TTP）揭露蘋果App Store前百大免費VPN，多數開發廠商身分不透明，調查發現有2成的服務擁有者是中國公司。</p> <p>在漏洞消息方面，本週有微軟、Adobe、SAP等多家廠商發布4月例行更新，需要大家儘快修補與因應，還有4個新遭利用漏洞的消息需密切關住，已被美國CISA列入已知漏洞利用清單（KEV）。</p> <p>其中2起漏洞利用有更多消息揭露，微軟的漏洞CVE-2025-29824是被駭客組織Storm-2460利用於勒索軟體攻擊，CrushFTP的漏洞CVE-2025-31161攻擊也疑似為勒索軟體組織所為，另還出現CVE爭奪情形，因為此漏洞為Outpost24向CrushFTP通報，而VulnCheck另先將此漏洞指派CVE（CVE-2025-2825），導致重複與讓外界誤解狀況，MITRE已刪除後者並保留紀錄</p> <p>●微軟修補Windows CLFS零時差漏洞CVE-2025-29824<br /> ●Gladinet修補安全文件共享平臺CentreStack零時差漏洞CVE-2025-30406<br /> ●檔案伺服器軟體CrushFTP於3月修補的漏洞CVE-2025-31161<br /> ●Linux Kernel去年12月修補的漏洞CVE-2024-53197、CVE-2024-53150</p> <p>還有一個尚未列入KEV的漏洞利用消息，是資安業者ESET最近公開1月修補的漏洞CVE-2024-11859，通報的卡巴斯基亦揭露此漏洞遭利用的情況，指出是調查中國駭客ToddyCat攻擊行動所發現。</p> <p>在資安產業動向上，國內有一件重大策略結盟消息，奧義智慧科技母公司賽博創新科技（CyCraft-KY）揭露新的增資案，獲得上櫃公司中華資安國際注資6,500萬。目前CyCraft-KY（7823）正推動首次公開募股（IPO）計畫，中華資安（7765）也正申請轉上市。</p> <p>關於其他資安防禦重要新聞，Gmail推出E2EE全程加密功能，用戶在撰寫郵件時，點選收件者欄位右邊的鎖頭圖示就能啟用。</p> <p> </p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/168273"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月7日】下載免費VPN行動APP要小心！有五分之一來自中國，上網恐遭監控</span></strong></a></h3> <p>中國軟體業者透過多層轉投資的空殼公司，意圖隱匿中國身分，於蘋果App Store、Google Play store市集上架免費的VPN應用程式，這樣的情況相當值得留意，因為一般使用者難以追溯源頭，而有可能成為中國政府跟蹤上網流量的對象。</p> <p>揭露此事的非營利組織Tech Transparency Project（TTP）指出，他們在美國蘋果App Store前100名的免費VPN應用程式裡，發現有五分之一App來自中國，這樣的情況意味著使用者很容易下載到中國業者打造的應用程式。</p> <h3><a href="https://www.ithome.com.tw/news/168302"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月8日】駭客上傳惡意VSCode延伸套件散布挖礦軟體XMRig</span></strong></a></h3> <p>駭客盯上微軟Visual Studio Code（VSCode）用戶的情況，近期有越來越頻繁的現象，最近資安業者Koi Security揭露的攻擊行動引起關注，因為駭客上傳的惡意延伸套件，短短不到4天之內，總共就被下載超過100萬次。</p> <p>但真的有這麼多人上當受騙嗎？研究人員認為，這些下載次數很有可能是人工灌水產生，目的是製造套件受到大量採用的假象，來降低開發人員的戒心。</p> <p><a href="https://www.ithome.com.tw/news/168331"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月9日】微軟修補CLFS零時差漏洞，若不處理，恐面臨勒索軟體攻擊</span></strong></a></p> <p>這個星期二（4月8日）是許多廠商發布4月例行更新的日子，微軟、Adobe、SAP，以及多家廠商在這天為旗下產品進行修補，其中，微軟在這次修補126個漏洞相當引起關注，因為數量是上個月的兩倍多。</p> <p>值得留意的是，其中已有被用於實際攻擊行動的零時差漏洞CVE-2025-29824，微軟威脅情報中心（MSTIC）與安全事件回應中心（MSRC）指出，駭客組織Storm-2460鎖定有限數量的目標發動攻擊。</p> <h3><a href="https://www.ithome.com.tw/news/168348"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月10日】中華資安投資奧義智慧，攜手拓展市場、提升國際能見度</span></strong></a></h3> <p>本週臺灣資安產業迎來重大策略結盟，那就是資安服務業者中華資安國際宣布投資奧義智慧科技的消息，兩家公司在資本進行合作後，也將進行深度整合，集結各自的專業技術與實戰經驗，共同打造一支「臺灣資安國家隊」。</p> <p>雙方預計將結合奧義智慧在AI資安產品方面的技術，以及中華資安在資安專業服務領域的專業團隊，聯手拓展臺灣市場及提升國際能見度。</p> <h3><a href="https://www.ithome.com.tw/news/168382"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月11日】國家資通安全戰略2025本週正式公布</span></strong></a></h3> <p>延續蔡英文前總統的「資安即國安」的戰略核心基礎，賴清德團隊本週正式公布《國家資通安全戰略 2025——資安即國安》，當中提及現今臺灣的資安態勢相當嚴峻，光是是漸進式的做法，恐難以應付相關威脅。</p> <p>這個新戰略的頒布，意義重大，因為不光是為臺灣確立國家安全的願景，更強調要提升全社會的防衛韌性。</p> <p> </p> </div></div></div>
2025/4/14 10:13作者羅正漢https://www.ithome.com.tw/news/168383
全球資料中心到2030年的用電量將增加一倍以上，AI為最大驅動力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr"><a href="https://www.iea.org/reports/energy-and-ai" target="_blank">國際能源署（International Energy Agency，IEA）上周發布一項研究報告</a>，指出全球資料中心到2030年的用電量將增加一倍以上，達到945太瓦時（TWh），將約等於當今日本的總用電量。AI將是此一成長最大的驅動力，在這期間，針對AI最佳化的資料中心電力需求預計會增加4倍；然而，AI也可能改善電網的輸電容量，可能超越這期間資料中心所增加的電力負載。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/0413-global-data-centre-electricity-consumption-by-equipment-base-case-2020-2030_International%20Energy%20Agency%EF%BC%8CIEA_Licence%20CC%20BY%204_0.png" style="width: 600px;" /></p> <p dir="ltr"><span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;">圖片來源／<a href="https://www.iea.org/data-and-statistics/charts/global-data-centre-electricity-consumption-by-equipment-base-case-2020-2030" target="_blank">IEA (2025), Global data centre electricity consumption, by equipment, Base Case, 2020-2030, IEA, Paris</a> , Licence:<a href="https://creativecommons.org/licenses/by/4.0/" target="_blank">(CC BY 4.0)</a></span></span></p> <p dir="ltr">儘管AI運算帶來龐大的電力需求，再加上它的採用與影響存在著不確定性，但IEA認為，AI的快速發展與巨大潛力已經讓它成為企業策略、經濟政策與地緣政治的核心。AI與能源亦是相輔相成，AI的變革潛力取決於能源，同時AI也有可能改變能源產業。</p> <p dir="ltr">在2024年時，全球資料中心的耗電量為415太瓦時，約占全球總用電量的1.5%，其中使用最多資料中心電力的是美國（45%），其次是中國的25%，以及歐洲的15%。但到了2030年，資料中心的用電量將達到945太瓦時，多過於現在全日本的用電量，接近全球總用電量的3%。</p> <p dir="ltr"><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);"><img alt="" src="https://s4.itho.me/sites/default/files/images/0413-data-centre-electricity-consumption-by-region-base-case-2020-2030_International%20Energy%20Agency%EF%BC%8CIEA_Licence%20CC%20BY%204_0.png" style="width: 600px;" /></span></span></p> <p dir="ltr"><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源／</span><a href="https://www.iea.org/data-and-statistics/charts/data-centre-electricity-consumption-by-region-base-case-2020-2030" target="_blank"><span style="color: rgb(105, 105, 105);">IEA 2025; Data centre electricity consumption by region, Base Case, 2020-2030</span></a><span style="color: rgb(105, 105, 105);">, </span><a href="https://creativecommons.org/licenses/by/4.0/" target="_blank"><span style="color: rgb(105, 105, 105);">(CC BY 4.0)</span></a></span></p> <p dir="ltr">而AI將是主要驅動力。AI有多耗電？IEA估計，一個典型的、鎖定AI的資料中心所消耗的電力，約等於10萬個家庭的用電量，而現在正在興建的最大的AI資料中心的耗電量更是它的20倍。</p> <p dir="ltr">以美國為例，從現在到2030年，資料中心的電力消耗將占所有電力需求成長的近一半，在AI的推動下，2030年時，美國用來處理資料的電力將超越所有能源密集商品的總和，涵蓋鋁、鋼、水泥與化學製品等傳統的重工業用電。</p> <p dir="ltr">在更廣泛的先進國家中，資料中心可望帶動超過20%的電力需求成長，其中許多國家的電力需求已多年停滯或下滑，卻因AI而重新成長。</p> <p dir="ltr"><a href="https://www.iea.org/reports/energy-and-ai/energy-demand-from-ai" target="_blank">IEA指出</a>，基於AI的加速伺服器用電量預計每年成長30%，傳統伺服器用電量的每年成長幅度則是9%，加速伺服器占了全球資料中心成長幅度的一半，傳統伺服器占約20%，其它IT設備與基礎設施則分別占了10%與20%的成長規模。</p> <p dir="ltr">中國、美國、日本及歐洲更是資料中心用電量成長最快的地區，從現在到2030年，中國資料中心的電力需求將成長170%，美國將成長130%，日本將成長80%，歐洲則是成長70%。</p> <p dir="ltr">雖然AI可能加劇一些能源安全壓力，但IEA也看好AI協助解決其它問題的潛力，包括協助平衡日益複雜、分散及數位化的電網，改善可再生能源的預測及整合，精確定位故障的電網，增加輸電線路的容量，以在不建造任何新線路的情況下釋出高175吉瓦（GW），將高於資料中心從今至2030年所增加的電力負載。</p> </div></div></div>
2025/4/13 23:19作者陳曉莉https://www.ithome.com.tw/news/168391
川普豁免手機、筆電、晶片與半導體設備關稅
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">美國已分別在今年4月5日及4月9日，對各國實施10%與更高的進口關稅，不過，<a href="https://content.govdelivery.com/bulletins/gd/USDHSCBP-3db9e55?wgt_ref=USDHSCBP_WIDGET_2" target="_blank">白宮上周五（4/11）宣布</a>，將豁免包括手機、筆電與晶片在內等20項產品的關稅，且自4月5日生效，已被課稅的可申請退稅。<a href="https://www.cnbc.com/2025/04/12/trump-exempts-phones-computers-chips-tariffs-apple-dell.html" target="_blank">根據CNBC的報導</a>，美國總統川普（Donald Trump）的新決定是為了讓企業有時間將生產移轉至美國。</p> <p dir="ltr">被豁免的產品涵蓋了平板電腦、各種小/中/大型電腦、光碟機，以及相關的零件與配件；亦包含硬碟、記憶體及光碟機；手機、路由器及基地臺設備；包括二極體及太陽能模組在內的光電元件及感應器；IC及SoC晶片；以及半導體製造設備等。</p> <p dir="ltr">此一豁免亦惠及原本被課稅最重的中國。根據美國媒體的報導，川普本周將會進一步說明該政策。</p> <p dir="ltr">川普在今年1月一上任就簽署了《美國優先貿易政策》（America First Trade Policy）總統備忘錄，之後決定向各國徵收至少10%或更高的關稅，以弭平美國與其它國家之間的貿易逆差，並將製造業拉回美國，在4月上線後，川普宣稱美國已收到逾75個國家的協商請求，此外，在宣布豁免特定產品關稅的同一天，<a href="https://www.whitehouse.gov/articles/2025/04/the-state-of-play-why-president-trumps-tariffs-are-necessary/" target="_blank">白宮亦揭露許</a>多企業也因此向美國輸誠。</p> <p dir="ltr">例如蘋果宣布要在美國投資5,000億美元以進行製造及培訓，Nvidia宣布在未來4年內將針對美國製造投入數千億美元，台積電也宣布要投資1,000億美元以於美國製造晶片，仁寶（Compal Electronics）考慮於美國擴張。</p> <p dir="ltr">除了電子業之外，汽車產業的BMW、現代汽車、本田、Nissan與福斯（Volkswagen），也都決定或考慮將擴大美國產線或將產線移至美國市場。更有一半的日本公司因為美國的關稅政策，打算增加在美國的投資。</p> <p dir="ltr">白宮指出，美國在工業上的損失令該國難以生產船舶、藥品或其它必需品，屬於國家安全緊急事件，而各國與各大企業的舉動也令美國認為，川普所宣布的關稅政策是必要的。</p> </div></div></div>
2025/4/13 22:11作者陳曉莉https://www.ithome.com.tw/news/168384
支援PCIe 5，效能與容量大幅突破，金士頓推新款資料中心SSD
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/jin_shi_dun_dc3000me_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這兩年來，<a href="https://www.ithome.com.tw/tags/pcie-50-ssd">支援PCIe 5.0的企業級與資料中心固態硬碟產品</a>越來越多，4月初金士頓終於也跟進，發表該公司首款PCIe 5.0資料中心固態硬碟，名為DC3000ME，產品外形為目前伺服器與儲存設備最普遍採用的2.5吋U.2，暫時無推出其他版本的規畫，因此，短期之內，他們在這款產品當中，應該不會有E1.S、E3.S這類外形的選擇。</p> <p>在使用的NAND快閃記憶體技術類型上，DC3000ME導入相對成熟、更適合企業級產品的eTLC（Enhanced TLC），儲存耐用度（每日寫入量）均為1，平均故障間隔（MTBF）為2百萬小時，提供5年有限保固與免費技術支援。值得注意的是，在單臺裝置的最大儲存容量規格上，DC3000ME也有突破——首度最大可提供15.36 TB（既有產品最高提供7.68 TB）。</p> <p>關於DC3000ME鎖定的應用類型，金士頓表示，可廣泛涵蓋多種環境的資料儲存需求，像是人工智慧（AI）、高效能運算（HPC）、線上交易處理系統（OLTP）、雲端服務、邊緣運算、軟體定義儲存，以及通用伺服器。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Kingston伺服器及資料中心 SSD 固態硬碟.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Kingston%E4%BC%BA%E6%9C%8D%E5%99%A8%E5%8F%8A%E8%B3%87%E6%96%99%E4%B8%AD%E5%BF%83%20SSD%20%E5%9B%BA%E6%85%8B%E7%A1%AC%E7%A2%9F.jpg" style="width: 600px;" /></a></p> <p>比起市面上已推出的PCIe 5.0資料中心固態硬碟，金士頓這款產品的I/O效能算是旗鼓相當，甚至處於領先地位。DC3000ME用於4 KB資料循序讀取處理時，全系列機型可達14,000 MB/s，而寫入效能最高為10,000 MB/s（7.68 TB容量的款式）；用於4 KB資料隨機讀取處理時，DC3000ME最高為280萬IOPS（7.68 TB容量的款式，3.84 TB與15.36 TB款式為270萬IOPS）；用於4 KB資料隨機寫入處理時，最高為50萬IOPS（7.68 TB容量的款式，3.84 TB與15.36 TB款式各為30萬與40萬IOPS）。</p> <p>而在存取延遲的部分，DC3000ME的15.36 TB款式若用於讀取資料，延遲低於10微秒，而寫入資料時，延遲低於70微秒。</p> <p>而在安全性與資安方面的特色，DC3000ME可針對突發斷電狀況，提供預防資料因此遺失的能力（Power Loss Protection，PLP），也內建硬體層級的加密保護（採用256位元AES演算法，支援TCG Opal 2.0規範）。關於管理功能的部分，DC3000ME支援NVMe-MI 1.2b，IT人員可透過頻外管理（out-of-band management）的方式進行遠端控管；同時，這臺NVMe固態儲存裝置也能夠支援128個命名空間的使用方式。</p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong><span style="color:#0000FF;">金士頓DC3000ME</span></strong><br /> ●原廠：金士頓<br /> ●建議售價：廠商未提供<br /> ●儲存容量：15.36 TB、7.68 TB、3.84 TB<br /> ●外形：U.2，2.5吋厚度15公釐<br /> ●儲存媒體：3D NAND，TLC<br /> ●最高讀寫速度：循序14,000 MB/s與10,000 MB/s，隨機280萬IOPS與50萬IOPS<br /> ●使用介面：PCIe 5.0 x4<br /> ●耐用度：每日寫入量為1<br /> ●耗電量：最大24瓦<br /> ●可靠度：200萬小時MTBF<br /> ●保固期間：5年有限</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/4/11 22:59作者李宗翰https://www.ithome.com.tw/review/168362
OpenAI推Pioneers Program，助企業打造AI專家模型與產業評測標準
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI宣布推出全新<a href="https://openai.com/index/openai-pioneers-program/">Pioneers Program</a>，聚焦企業導入人工智慧技術，並藉由建立產業專屬評測標準與專家模型，協助開發團隊解決，人工智慧應用落地過程中常面臨的效能瓶頸與可信度問題。該計畫將優先招募來自法律、金融、保險、醫療、會計等高影響力產業的新創公司，與OpenAI研究團隊合作，共同開發領域專屬的模型評測機制與支援客製化模型強化技術。</p> <p>OpenAI指出，隨著各行各業快速採用人工智慧，市場上缺乏能夠準確反映產業真實需求的模型評測標準，不僅使得企業難以衡量模型在特定情境下的實際表現，也衍生出人工智慧在商業應用中可靠性不足的疑慮。透過Pioneers Program，OpenAI將與企業共同設計並公開產業專屬的評測標準，協助開發者釐清模型能力邊界、辨識效能缺口，進一步成為各領域模型最佳化與品質管控的基準。</p> <p>另一方面，Pioneers Program也將導入OpenAI近期廣泛應用於模型微調的RFT（Reinforcement Fine Tuning）技術，讓企業能以更小量的資料、更聚焦的任務，訓練出專精特定應用的專家模型。這類模型特別適合處理高複雜度、高專業度或高風險的任務，包含法律文本分析、財務報表審查、醫療紀錄處理等，預期能強化人工智慧模型在產業垂直場景中的實用性與效能穩定度。</p> <p>OpenAI將提供完整的模型微調流程協作，包含資料準備、目標設計、模型訓練與效能驗證，最終產出的專家模型可由企業自行決定部署方式，並支援大規模上線。</p> <p>OpenAI強調該計畫的第一梯次，將以新創公司為主要合作對象，目標是與具有實際市場應用需求、並已投入人工智慧產品開發的團隊，探索人工智慧在產業的最佳實踐方式。目前，Pioneers Program已開放企業報名，OpenAI表示，後續將陸續公布各產業的評測標準設計成果，並分享實際應用案例與經驗，作為開發者社群與業界參考。</p> </div></div></div>
2025/4/11 21:25作者李建興https://www.ithome.com.tw/news/168381
【資安日報】4月11日，國家資通安全戰略2025本週正式公布
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>延續蔡英文前總統的「資安即國安」的戰略核心基礎，賴清德團隊本週正式公布《國家資通安全戰略 2025——資安即國安》，當中提及現今臺灣的資安態勢相當嚴峻，光是是漸進式的做法，恐難以應付相關威脅。</p> <p>這個新戰略的頒布，意義重大，因為不光是為臺灣確立國家安全的願景，更強調要提升全社會的防衛韌性。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168378"><strong style="font-size: 22px;">中國駭客透過網路論壇散布惡意程式，針對臺灣、維吾爾、圖博人士而來</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/TibetOne-uvePhKKshd.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/TibetOne-uvePhKKshd.png" style="width: 300px; float: right;" /></a></p> <p>英國國家網路安全中心（NCSC）針對臺灣、圖博、維吾爾族的團體與個人提出警告，中國駭客正在使用間諜軟體BadBazaar和Moonshine，鎖定可能對中國政府認為會帶來威脅的人士發動攻擊，對手機進行監控。</p> <p>這些駭客主要針對與臺灣、圖博、新疆維吾爾自治區、民主運動（包含香港），以及法輪功有關的人士而來，針對的對象涵蓋非政府組織（NGO）、記者，以及與上述對象有往來的企業及人士而來。</p> <p>針對駭客散布間諜軟體的手法，NCSC指出主要是採用木馬化（Trojanising）合法應用程式的方式進行，將惡意功能埋入，一旦使用者不慎安裝，這些「應用程式」在使用者不知情的情況下，取得各式權限，這些包含：麥克風、相機、手機簡訊、相片、地理位置資料。</p> <p><a href="https://www.ithome.com.tw/news/168367"><strong style="font-size: 22px;">俄羅斯駭客EncryptHub遭起底，此人黑錢白錢都要拿，既從事網路犯罪卻又通報漏洞拿獎金</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure-1_blur.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure-1_blur.png" style="width: 300px; float: right;" /></a>上個月微軟修補微軟管理主控臺（MMC）零時差漏洞CVE-2025-26633（MSC EvilTwin），通報此事的趨勢科技指出，將其用於實際攻擊的駭客身分，為匿稱為EncryptHub、LARVA-208、Water Gamayun的俄羅斯駭客組織。有另一家資安業者針對該組織進行調查，指出駭客不只從事網路犯罪，也一方面從事白帽駭客的工作，向企業通報漏洞賺取獎金。</p> <p>資安業者Outpost24指出，他們針對EncryptHub著手進行調查，結果發現駭客一系列的操作安全（OPSEC）失誤，曝露了該組織的生態系統關鍵元件，使得研究人員能夠更深入映射駭客的手法，並詳細剖析他們的攻擊鏈。</p> <p>研究人員特別提及，EncryptHub一面從事網路犯罪，卻也想要參與資安研究員的工作，其中兩個微軟於今年3月修補的資安漏洞CVE-2025-24061、CVE-2025-24071，就是EncryptHub使用SkorikARI的名字成功通報。但Outpost24認為，EncryptHub很有可能也將上述兩項漏洞用於攻擊行動。</p> <p><a href="https://www.ithome.com.tw/news/168374"><strong style="font-size: 22px;">美國感應器製造商Sensata遭勒索軟體攻擊</strong></a></p> <p>感應器製造商Sensata透過8-K表格向美國證券交易委員會通報，該公司在4月6日遭到勒索軟體攻擊，部分裝置遭到加密，而且已有文件被竊。</p> <p>Sensata表示在發現攻擊之後，立即啟動回應機制，企圖遏止攻擊行動，包括主動關閉網路，也在第三方資安專家的協助下展開調查，並通知執法部門，但他們並未透露駭客的來歷或所使用的勒索軟體。</p> <p>此攻擊行動已經影響了Sensata的日常運作，包括出貨、取貨、生產製造，以及其他各種業務。Sensata實施了臨時措施以恢復某些功能，目前尚無法確定全面恢復的時間表。根據初步調查的結獰，該公司亦發現有部分內部文件被竊，正在識別及審查所涉及文件。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/hackers-target-ssrf-bugs-in-ec2-hosted-sites-to-steal-aws-credentials/">AWS EC2代管的網站存在已知SSRF弱點，已被用於竊取AWS帳密資料</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/akirabot-abuses-openai-api-spam-website-contact-forms/">惡意程式AkiraBot濫用OpenAI的API，對網站表單進行轟炸</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/russian-hackers-attack-western-military-mission-using-malicious-drive/">俄羅斯駭客Gamaredon鎖定烏克蘭軍事行動而來，企圖透過外接式裝置竊取機密資料</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168270"><strong style="font-size: 22px;">無線點對點檔案傳輸應用程式Quick Share存在弱點，可造成服務中斷、未經授權寫入檔案</strong></a></p> <p>去年8月資安業者SafeBreach指出，他們在Google與三星合作推出的無線檔案傳輸機制Quick Share當中，發現10項資安漏洞，並將它們統稱為QuickShell，Google獲報後將這些漏洞登記為CVE-2024-38271、CVE-2024-38272（4.0版CVSS風險評為5.9、7.1）並進行修補，如今SafeBreach透露，他們檢查Google的修補程式，發現新的弱點CVE-2024-10668，攻擊者有機會在未經授權的情況下將檔案傳送到用戶設備。</p> <p>針對研究人員的發現，Google發布1.0.2002.2版Quick Share進行修補，並將這些弱點登記為CVE-2024-10668，CVSS風險評為5.9分。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/kibana-code-injection-vulnerability-prototype-pollution-threat-cve-2024-12556/">Kibana存在原型汙染威脅，攻擊者恐用於注入程式碼</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/joomla-security-alert-critical-sql-injection-mfa-bypass-vulnerabilities-uncovered/">Joomla存在SQL注入漏洞，以及可繞過多因素驗證的弱點</a></strong></p> <p></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168380"><strong style="font-size: 22px;">國家資通安全戰略2025本週正式公布</strong></a></p> <p>4月9日國家資通安全研究院發布最新一期的國際資安政策法制觀測週報，當中特別提及4月8日國家安全會議正式公布的《國家資通安全戰略 2025——資安即國安》，強調我國為了因應迫切的危機，包含國家支援的駭客活動、AI與量子科技的潛在威脅、勒索軟體攻擊、智慧財產間諜等各式挑戰，難以透過漸進式的做法來應對，應該要大幅提升資安應變目標、能力與韌性。</p> <p>新公布的資安戰略主要以四大支柱為核心，涵蓋全社會防衛韌性、國土防衛與關鍵基礎設施、關鍵產業與供應鏈，以及AI應用與安全。</p> <p>此戰略採取兩大準則實行，分別是資安治理與防護，以及戰略夥伴鏈結。再者，其執行的基礎是經由國家資安戰情協同應變中心主導，整合六塊基礎聯防體系、跨部會協防體系，以及戰略夥伴國際合作的運作；另一方面，本戰略也強調正規化強化國家資通安全會報及資訊資安預算。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/168348"><strong>【4月10日】中華資安投資奧義智慧，攜手拓展市場、提升國際能見度</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168331"><strong>【4月9日】微軟修補CLFS零時差漏洞，若不處理，恐面臨勒索軟體攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168302"><strong>【4月8日】駭客上傳惡意VSCode延伸套件散布挖礦軟體XMRig</strong></a></p> </div></div></div>
2025/4/11 17:51作者周峻佑https://www.ithome.com.tw/news/168382
中國駭客透過網路論壇散布惡意程式，針對臺灣、維吾爾、圖博人士而來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>英國國家網路安全中心（NCSC）針對臺灣、圖博、維吾爾族的團體與個人提出警告，<a href="https://www.ncsc.gov.uk/news/ncsc-partners-share-guidance-for-communities-at-high-risk-of-digital-surveillance">中國駭客正在使用間諜軟體BadBazaar和Moonshine</a>，鎖定可能對中國政府認為會帶來威脅的人士發動攻擊，對手機進行監控。</p> <p>這些駭客主要針對與臺灣、圖博、新疆維吾爾自治區、民主運動（包含香港），以及法輪功有關的人士而來，針對的對象涵蓋非政府組織（NGO）、記者，以及與上述對象有往來的企業及人士而來。</p> <p>針對駭客散布間諜軟體的手法，NCSC指出主要是採用木馬化（Trojanising）合法應用程式的方式進行，將惡意功能埋入，一旦使用者不慎安裝，這些「應用程式」在使用者不知情的情況下，取得各式權限，這些包含：麥克風、相機、手機簡訊、相片、地理位置資料。</p> <p>對於駭客佯稱提供的應用程式，NCSC指出包含了WhatsApp、Skype等知名品牌的軟體，但也有針對攻擊目標而來的幌子，像是Tibet One、Audio Quran，這些冒牌App支援受害者慣用的語言，駭客利用網路論壇引誘目標上門。</p> </div></div></div>
2025/4/11 15:19作者周峻佑https://www.ithome.com.tw/news/168378
國家資通安全戰略2025本週正式公布
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>4月9日國家資通安全研究院發布<a href="https://www.nics.nat.gov.tw/core_business/information_security_information_sharing/International_Cybersecurity_Policy_Observation/cfd9b7ef-29eb-442f-84bc-6b3540a8721b">最新一期的國際資安政策法制觀測週報</a>，當中特別提及4月8日國家安全會議正式公布的<a href="https://www.president.gov.tw/File/Doc/9d056651-e4a0-4d51-adeb-5fee5ee71299">《國家資通安全戰略 2025——資安即國安》</a>，強調我國為了因應迫切的危機，包含國家支援的駭客活動、AI與量子科技的潛在威脅、勒索軟體攻擊、智慧財產間諜等各式挑戰，難以透過漸進式的做法來應對，應該要大幅提升資安應變目標、能力與韌性。</p> <p>新公布的資安戰略主要以四大支柱為核心，涵蓋全社會防衛韌性、國土防衛與關鍵基礎設施、關鍵產業與供應鏈，以及AI應用與安全。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2025_IELYV5hiY.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025_IELYV5hiY.jpg" style="height: 409px; width: 285px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2025_YvVCuV0A.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025_YvVCuV0A.jpg" style="width: 285px;" /></a></p> <p>此戰略採取兩大準則實行，分別是資安治理與防護，以及戰略夥伴鏈結。再者，其執行的基礎是經由國家資安戰情協同應變中心主導，整合六塊基礎聯防體系、跨部會協防體系，以及戰略夥伴國際合作的運作；另一方面，本戰略也強調正規化強化國家資通安全會報及資訊資安預算。</p> <p>而在落實戰略的具體措施，國家安全會議也提出多項工作，包含推行零信任架構、部署後量子密碼、建置資安菁英團隊、提升全民資安意識、盤點關鍵基礎設施（CI）風險，並將AI應用於資安防護等。</p> </div></div></div>
2025/4/11 16:37作者周峻佑https://www.ithome.com.tw/news/168380
美國感應器製造商Sensata遭勒索軟體攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">美國感應器製造商Sensata上周<a href="https://www.sec.gov/ix?doc=/Archives/edgar/data/1477294/000147729425000047/st-20250406.htm" target="_blank">透過8-K表格向美國證券交易委員會告知</a>，該公司在4月6日遭到勒索軟體攻擊，使得公司網路上的某些裝置遭到加密，而且已有文件被竊。</p> <p dir="ltr">根據<a href="https://www.sensata.com/sites/default/files/a/sensata-fact-sheet.pdf" target="_blank">Sensata的公司簡介</a>，該公司主要生產關鍵任務的感應器、電子保護元件，以及由多款感應器組成的各種解決方案，以協助客戶應對日益複雜的工程及營運效能要求。目前該公司在全球15個國家提供逾4.7萬種產品，每年售出11億個裝置，客戶涵蓋汽車、重型機車、越野車、工業及航太領域。Sensata<a href="https://s22.q4cdn.com/327799861/files/doc_financials/2024/q4/Sensata-Q4-2024-Earnings-Press-Release.pdf" target="_blank">在2024年的營收為39.3億美元</a>，擁有超過1.8萬名員工。</p> <p dir="ltr">Sensata並未於文件中說明駭客的來歷或所使用的勒索軟體，僅說在發現攻擊之後，該公司立即啟動回應機制，企圖遏止攻擊行動，包括主動關閉網路，也在第三方資安專家的協助下展開調查，並通知執法部門。</p> <p dir="ltr">儘管如此，此一攻擊行動已經暫時影響了Sensata的日常運作，包括出貨、取貨、生產製造，以及其它各種支援功能。Sensata實施了臨時措施以恢復某些功能，全尚無法確定全面恢復的時間表。</p> <p dir="ltr">此外，Sensata的初步調查亦發現有部分的公司文件被竊，正在識別及審查所涉及文件。</p> <p dir="ltr">由於尚不清楚此一攻擊事件所造成的全部範圍與影響，還未能估計它是否會對Sensata經營業績與財務帶來重大傷害。</p> </div></div></div>
2025/4/11 13:00作者陳曉莉https://www.ithome.com.tw/news/168374
Anthropic也推出200美元月費的個人版Claude聊天機器人方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">繼OpenAI推出月費高達200美元的Pro方案後，<a href="https://www.anthropic.com/news/max-plan" target="_blank">Anthropic也在本周宣佈</a>，推出相同收費水準的頂級個人版AI聊天機器人訂閱方案Claude Max。</p> <p dir="ltr">Anthropic的Claude 3.5 Sonnet是現今業界被認為最好的LLM之一，<a href="https://www.anthropic.com/news/anthropic-raises-series-e-at-usd61-5b-post-money-valuation" target="_blank">Anthropic上個月宣佈</a>在E輪募資中增資35億美元，使總市值突破615億。</p> <p dir="ltr">在此之前Anthropic針對個人用戶，僅有免費方案及每人每月20美元（年費200美元）的Pro方案。免費用戶每天可傳送100則訊息，<a href="https://support.anthropic.com/en/articles/8325612-does-claude-pro-have-any-usage-limits" target="_blank">Pro可享有免費方案5倍用量</a>，每5小時可傳送45則短訊息。</p> <p dir="ltr">Anthropic 說Max方案適合與Claude大量對話改進其作品、工作中使用大量文件和複雜資料、工作有急迫交件日，以及每天都會向Claude報到的人。Max又分成2種級別。其中月費100美元的擴充用量方案適合在多種任務上經常使用Claude的用戶，提供Pro 5倍用量上限。另一為最大彈性方案，月費200美元，提供Pro 20倍的用量限制，適合每天使用Claude執行「重要任務」的用戶。</p> <p dir="ltr">Max方案用戶除了獲得較大用量上限、較高輸出上限外，還可根據特別需求擴大用量，優先使用新功能和模型，以及在流量尖峰時確保頻寬。</p> <p dir="ltr">Claude另外還有設計給企業或部門使用的方案，包括每人每月25美元的Team方案及100美元的Enterprise方案。</p> </div></div></div>
2025/4/11 13:40作者林妍溱https://www.ithome.com.tw/news/168375
ChatGPT開始記得與用戶的互動歷史紀錄
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr"><a href="https://x.com/OpenAI/status/1910378768172212636" target="_blank">OpenAI周四（4/10）宣布</a>，即日起ChatGPT將會記得使用者過去與該聊天機器人的互動內容，以提供更個人化的回覆，也會根據使用者的喜好與興趣，以在使用者寫作、獲得建議或學習等提供更有用的協助。該功能已向全球的ChatGPT Plus及ChatGPT Pro用戶推出，但歐洲經濟區、英國、瑞士、挪威、冰島及列支敦士登等市場並未支援該功能。</p> <p dir="ltr">讓ChatGPT記得與使用者互動內容的好處是它可以參考過去的聊天紀錄，以提供更相關及更有用的回應，新的對話會建立在ChatGPT對使用者的已知資訊上，讓互動更順暢也更貼近用戶。</p> <p dir="ltr">其實OpenAI去年就開始小規模測試ChatGPT的記憶功能，當時仍需使用者手動啟用，本周的更新則讓記憶功能自動啟用，ChatGPT會根據雙方的對話記住使用者曾描述的興趣、偏好或目標等。使用者亦可透過設定中的個人化選項關閉記憶功能，若只是偶爾希望聊天內容不要被記憶，則可選擇臨時聊天功能。</p> <p dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/0411-Memory-ChatGPT.png" style="width: 500px;" /></p> <p dir="ltr"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／OpenAI</span></span></p> <p dir="ltr">ChatGPT用戶只需要新增一個聊天，接著點選臨時聊天，其內容就不會顯示於歷史紀錄中，也不會被用來訓練模型，但可能會被保留30天。</p> <p dir="ltr">歐洲經濟區等地的歐洲用戶之所以無法立即存取記憶功能，是源自於當地有相對嚴格的隱私法令，也開始實施新的AI規範AI Act，為了避免觸犯當地法令，OpenAI選擇暫緩部署。</p> <p dir="ltr">此外，除了ChatGPT Plus及ChatGPT Pro用戶之外，ChatGPT Team、ChatGPT Enterprise及ChatGPT Edu用戶也將在未來幾周取得ChatGPT的記憶功能。</p> <p dir="ltr">不僅是ChatGPT，Google Gemini也已於今年2月<a href="https://blog.google/feed/gemini-referencing-past-chats/" target="_blank">釋出了類似功能</a>。</p> </div></div></div>
2025/4/11 15:20作者陳曉莉https://www.ithome.com.tw/news/168377
俄羅斯駭客EncryptHub遭起底，此人黑白兩道通吃，既從事網路犯罪卻又通報漏洞拿獎金
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上個月<a href="https://www.ithome.com.tw/news/167819">微軟修補微軟管理主控臺（MMC）零時差漏洞CVE-2025-26633</a>（MSC EvilTwin），<a href="https://ithome.com.tw/news/168113">通報此事的趨勢科技指出</a>，將其用於實際攻擊的駭客身分，為匿稱為EncryptHub、LARVA-208、Water Gamayun的俄羅斯駭客組織，這些人利用上述漏洞，<a href="https://www.trendmicro.com/en_us/research/25/c/deep-dive-into-water-gamayun.html">在受害組織部署多種惡意程式</a>，其中包括竊資軟體Rhadamanthys、StealC、EncryptHub，以及後門程式DarkWisp、SilentPrism。有另一家資安業者針對該組織進行調查，指出駭客不只從事網路犯罪，<a href="https://outpost24.com/blog/unmasking-encrypthub-chatgpt-partner-crime/">也一方面從事白帽駭客的工作</a>，向企業通報漏洞賺取獎金。</p> <p>資安業者Outpost24指出，他們針對EncryptHub著手進行調查，結果發現駭客一系列的操作安全（OPSEC）失誤，曝露了該組織的生態系統關鍵元件，使得研究人員能夠更深入映射駭客的手法，並詳細剖析他們的攻擊鏈。</p> <p>研究人員指出，<a href="https://outpost24.com/blog/unveiling-encrypthub-multi-stage-malware/">他們確認</a>駭客使用PowerShell指令碼進行多階段攻擊，收集系統資料、外流有價值的資訊、迴避偵測、注入惡意酬載，以及部署竊資軟體。駭客偏好優先竊取含有帳密資料的事件記錄檔案，使用按部署惡意軟體數量付費（Pay-Per-Install，PPI）的第三方服務散布惡意程式，此外，他們也相當關切資安態勢，會將特定漏洞用於實際攻擊。附帶一提的是，這些駭客疑似也想要打造名為EncryptRAT的遠端存取工具，向其他網路罪犯兜售。</p> <p>但特別的是，Outpost24發現該組織背後，其實是1名10年前逃離家鄉烏克蘭的人士。此人一邊工作一邊自學電腦相關技能，直到2022年初疑似因入獄而停止活動，出獄後以網頁及應用程式開發服務接案，除此之外，他也投入漏洞懸賞抓漏，但僅有少數成果。EncryptHub在收入不足的情況下，於2024年上半開始從事網路犯罪。</p> <p>研究人員特別提及，EncryptHub一面從事網路犯罪，卻也想要參與資安研究員的工作，其中兩個微軟於今年3月修補的資安漏洞CVE-2025-24061、CVE-2025-24071，就是EncryptHub使用SkorikARI的名字成功通報。但Outpost24認為，EncryptHub很有可能也將上述兩項漏洞用於攻擊行動。</p> <p>Outpost24特別強調EncryptHub廣泛在網路犯罪的各式工作運用ChatGPT的現象，此人透過AI聊天機器人打造了Telegram機器人、C2伺服器、釣魚網站、郵件伺服器，以及位於洋蔥網路（.onion）的服務，甚至編寫惡意程式，或是用來了解他人製作的程式碼並改進，以及與自己的作案工具整合。</p> <p>此外，EncryptHub也使用ChatGPT進行寫作及翻譯，甚至討論未來的職涯──繼續從事網路犯罪，還是轉戰白帽駭客。</p> <p>但究竟研究人員如何得知如此詳盡的細節？Outpost24指出，EncryptHub重覆使用相似的密碼（200個帳號有82組密碼幾乎相同），將駭客活動與個人生活混合使用相同的網路帳號、電子郵件信箱及基礎設施，再者，駭客建置的C2伺服器並未採取適當保護措施，任何人都能在不需通過身分驗證的情況下存取所有檔案，因此他們才能掌握相關資訊。</p> </div></div></div>
2025/4/11 12:19作者周峻佑https://www.ithome.com.tw/news/168367
因應川普關稅政策，第一季全球PC出貨量上揚
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">市場研究機構<a href="https://canalys.com/newsroom/worldwide-pc-shipments-q1-2025" target="_blank">Canalys本周三（4/9）指出</a>，因應美國總統川普（Donald Trump）的關稅政策，全球個人電腦出貨量在今年第一季成長了9.4%，原因是製造商與通路搶著在成本升高之前儲存庫存。</p> <p dir="ltr">川普是在今年的1月20日簽署《美國優先貿易政策》總統備忘錄（America First Trade Policy），指示美國政府調查美國貿易持續逆差的原因，接著在2月13日簽署《互惠貿易與關稅》（Reciprocal Trade and Tariffs）總統備忘錄，指示麾下審查美國貿易合作夥伴的非互惠貿易行為，並在4月1日收到調查結果之後，<a href="https://www.whitehouse.gov/presidential-actions/2025/04/regulating-imports-with-a-reciprocal-tariff-to-rectify-trade-practices-that-contribute-to-large-and-persistent-annual-united-states-goods-trade-deficits/" target="_blank">於隔天宣布美國進入緊急狀態</a>。</p> <p dir="ltr">川普的緊急理由是，美國與其它國家之間的貿易存在著巨大的逆差，對美國的國家安全與經濟構成巨大威脅，於是決定向各國徵收高額關稅，最低標準為10%，自4月5日凌晨生效；<a href="https://www.whitehouse.gov/wp-content/uploads/2025/04/Annex-I.pdf" target="_blank">但針對貿易逆差過大的國家則徵收更高的關稅</a>，例如從臺灣出口商品至美國將被徵收32%的關稅，於4月9日凌晨生效。</p> <p dir="ltr">在全球股市因此而出現了連續幾天大幅振盪之後，川普4月9日<a href="https://truthsocial.com/@realDonaldTrump/posts/114309144289505174" target="_blank">透過他的社交平臺Truth Social宣布</a>，除了中國之外，其它逾75個國家皆已致電美國以進行協商，因此將預計實施的高額關稅延後90天，惟立即統一執行10%的關稅政策。至於中國則因對缺乏對全球市場的尊重，關稅則立即提高到125%。</p> <p dir="ltr">由於Canalys的調查是在已知美國將提高關稅之後、川普宣布延後之前，在預期關稅調漲的狀況下，原始設備製造商紛紛提高對美國的出貨量。</p> <p dir="ltr">Canalys的調查顯示，今年第一季全球PC的出貨量成長9.4%，達到6,270萬臺，其中，筆電出貨量為4,940萬臺，成長10%，桌上型電腦出貨量成長8%，為1,330萬臺。</p> <p dir="ltr">Canalys首席分析師 Ishan Dutt指出，今年首季PC出貨量的成長，來自於供應商對美關稅壁壘的預期心理，因而加速對美國的發貨，例如聯想與惠普在今年第一季針對美國的出貨量分別成長了20%與13%，以讓製造商及通路能夠於成本上漲之前儲存庫存。</p> <p dir="ltr">另一<a href="https://www.idc.com/getdoc.jsp?containerId=prUS53304025" target="_blank">市場研究機構IDC亦說</a>第一季的全球PC出貨量為6,320萬臺，與Canalys的調查相似，但IDC所計算的PC出貨量成長幅度僅有4.9%。</p> <p dir="ltr">一致的是，IDC認為第一季的出貨量明顯增加，反映出業者企圖避開美國的關稅政策。</p> <p dir="ltr">這兩家業者的調查都是在川普宣布暫停高額關稅之前，並都預期美國關稅政策的不確定性，再加上可能衍生的通膨壓力與全球經濟衰退風險，都將對今年接下來幾季的PC需求帶來負面影響。</p> <p dir="ltr">IDC全球裝置追蹤部門副總裁Ryan Reith指出，迄今PC供應鏈尚未發生任何的劇烈變化或調整，這是因為目前狀況仍變動不居，難以作出重大的商業決策，不過，他們依舊認為，若未來PC等硬體設備的價格增加，絕大多數都會轉嫁給消費者。</p> </div></div></div>
2025/4/11 14:14作者陳曉莉https://www.ithome.com.tw/news/168372
Firebase Studio開放預覽，結合AI助理與雲端IDE加速全端應用開發流程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google旗下行動與Web應用開發平臺Firebase，宣布推出全新雲端開發環境<a href="https://firebase.blog/posts/2025/04/introducing-firebase-studio">Firebase Studio</a>，並開放預覽試用。該服務結合人工智慧助理、雲端IDE與Firebase生態系多項開發工具，鎖定希望快速打造人工智慧應用或全端Web服務的開發者，進一步擴大Firebase在應用開發領域的產品版圖。</p> <p>Firebase Studio的定位，並非取代Android Studio這類原生App開發工具，而是針對Web應用、人工智慧功能與無伺服器架構的開發需求，提供一個可透過瀏覽器操作、整合人工智慧協作機制，並支援即時雲端部署的開發環境。</p> <p>在技術架構上，Firebase Studio繼承Project IDX的雲端虛擬機器架構，開發者可在瀏覽器中使用類似VS Code的編輯介面，具備完整的程式碼輔助、除錯工具與終端機操作能力。與Android Studio著重原生App開發不同，Firebase Studio預設的應用架構以Next.js為基礎，支援React生態系，並內建Genkit模組，自動配置Gemini API金鑰，讓開發者能快速在Web應用中加入生成式人工智慧能力。</p> <p>Firebase Studio特別針對人工智慧應用開發，加入自然語言驅動的App Prototyping代理工具，開發者可透過文字描述、圖片或草圖，快速產生可執行的Web應用原型，並直接在介面中與Gemini助理互動，修改介面設計、調整程式邏輯或新增功能。這些操作不僅能修改程式碼，也能自動處理Firebase服務的串接設定，例如使用者驗證、資料庫或人工智慧流程整合。</p> <p>Firebase Studio提供CodeOSS編輯環境，讓熟悉程式碼操作的開發者可自由編輯專案。完成開發後，開發者可透過Firebase App Hosting，將Web應用快速部署至Firebase平臺，系統自動處理建置、CDN快取與伺服器端算繪，並能即時產生可供手機或其他裝置掃描測試的QR code，方便進行行動裝置上的介面與功能驗證。</p> <p>Firebase Studio針對Web應用與人工智慧應用場景，適合開發行動裝置可瀏覽的PWA應用或企業內部工具，並提供可擴充的虛擬機器環境，支援Nix語言自訂套件與環境配置。開發者也可匯入本機或GitHub、GitLab、Bitbucket等平臺的既有程式碼，並共享自訂模板供團隊使用。</p> <p>Google表示，Firebase Studio預覽版開放所有開發者免費使用3個Workspace，Google Developer Program會員可使用10個，付費的Premium會員則可使用30個。部分進階服務如Firebase App Hosting部署則需綁定Google雲端帳單。Google同時預告，未來將陸續開放Gemini Code Assist代理功能，支援程式碼搬遷、人工智慧模型測試與自動文件生成，進一步強化人工智慧輔助開發的能力。</p> </div></div></div>
2025/4/11 14:20作者李建興https://www.ithome.com.tw/news/168371
Nvidia公布Llama-3.1 Nemotron Ultra 效能超越DeepSeek R1 但僅一半參數量
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">Nvidia本周<a href="https://huggingface.co/nvidia/Llama-3_1-Nemotron-Ultra-253B-v1#evaluation-results" target="_blank">開源Llama-3.1-Nemotron-Ultra-253B-v1模型</a>，宣稱效能和DeepSeek R1相當，但僅一半的參數量。</p> <p dir="ltr">Llama-3.1-Nemotron-Ultra是Nvidia<a href="https://www.ithome.com.tw/news/167942" target="_blank">三月GTC大會上宣布的</a>Llama Nemotron系列。Nano可在PC和邊緣裝置執行、Super可在單一GPU上執行，而Ultra模型則適用於多顆GPU的伺服器。其中<a href="https://huggingface.co/nvidia/Llama-3_3-Nemotron-Super-49B-v1" target="_blank">Super（49B</a>）以及Nano（<a href="https://build.nvidia.com/nvidia/llama-3_1-nemotron-nano-8b-v1" target="_blank">8B</a>）也已經開源。</p> <p dir="ltr">最新發布的Llama-3.1-Nemotron-Ultra是Meta Llama-3.1-405B-Instruct的衍生，為推理、人類聊天偏好、以及RAG和工具呼叫等任務後訓練。Llama-3.1-Nemotron-Ultra支援128K字詞的context length，欲執行推論，最好搭配單一8xH100節點。</p> <p dir="ltr">Llama-3.1-Nemotron-Ultra能兼顧模型準確性和執行效率（資料吞吐量）。Nvidia利用新的神經架構搜尋（Neural Architecture Search，NAS）技術來降低3.1 Ultra的記憶體大小，可支援大型工作負載並減少執行模型需要的GPU數量，因而可在模型準確性和效率之間取得平衡。此外，利用本方法垂直壓縮本模型，也大幅改善延遲性。</p> <p dir="ltr">Nvidia說，Llama-3.1-Nemotron-Ultra經過多階段後訓練，來改進其推理及非推理能力。後訓練方法包括為培養數學、編程、推理、聊天做的監督微調階段，以及為推理、聊天與指令遵從而進行的群組關聯政策優化（Group Relative Policy Optimization，GRPO）演算法。</p> <p dir="ltr">Nvidia也列出Llama-3.1-Nemotron-Ultra和參數兩倍大（6710億參數）的DeepSeek R1、和Llama 4 Behemoth、4000億參數Llama 4 Maverick及Llama 3.1 405B的標竿測試結果比較。其中在科學推理（GPQA Diamond）、複雜運算（AIME 2024）、程式撰寫、指令遵循中，Llama-3.1-Nemotron-Ultra都超越同儕，僅在複雜數學和聊天測試中由DeepSeek R1居冠。在所有項目中，Llama-3.1-Nemotron-Ultra也都大幅超越其源出的Llama 3.1-405B。</p> <p dir="ltr">Llama-3.1-Nemotron-Ultra現在已可提供商用，<a href="https://huggingface.co/nvidia/Llama-3_1-Nemotron-Ultra-253B-v1#evaluation-results" target="_blank">可在Hugging Face下載</a>。3.1 Ultra可支援多種應用場景，包含AI代理人系統、聊天機器人、擷取增強生成（RAG）和其他AI應用，也適合一般指令遵循的任務。本模型主要支援英文和程式語言，但也支援德、法、義、葡、西語、泰語及北印度語（Hindi）。</p> </div></div></div>
2025/4/11 12:54作者林妍溱https://www.ithome.com.tw/news/168360