iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 15篇
近 24 小時: 36篇
近 7 天: 133篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/10
最近更新: 11/10 11:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 133 篇內文

4
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

瞄準全球企業市場，中信銀上架首支供應鏈金融解決方案至全球SAP Store
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近日，中國信託銀行和SAP、臺灣IBM公布全新的供應鏈金融解決方案「提早付款專案」。這套專案，是臺灣金融業中，第一支上架至全球SAP Store的服務，能串接至企業端的雲端SAP ERP系統，協助企業提升營運資金效率，優化供應鏈資金調度。同時，這也是中信銀第一支B2B的SaaS服務。</p> <p>過去企業與供應商之間的結算付款模式，企業開立紙本的付款憑證，郵寄至銀行，銀行確認金額無誤後再撥款給供應商，但這樣高度依賴紙本作業的流程，不僅繁瑣也相當耗時，光是國內郵寄，就需要兩至三天。若企業位於海外，郵寄憑證時間更可能超過一週。冗長的處理時間，拉長了供應商取得貨款的時間。</p> <p>後來開始有銀行提供金融供應鏈解決方案，透過數位化方式取代紙本的付款憑證，來縮短企業付款給供應商的作業時間。像中信銀在2023年就推出銀企直連服務，提供一套與企業ERP整合的軟體介面，讓企業自家ERP可以串接到銀行的系統來拋轉資料，來加快撥款的作業，可支援不同廠牌的ERP，像是SAP ERP，甲骨文 ERP或鼎新ERP的介接。</p> <p>但是，這樣的銀企直連服務，企業得自行客製內部ERP來整合中信銀提供的API，這段開發工作並不輕鬆，企業IT部門有時需要花費數月時間。</p> <p>中信銀上架全球SAP Store的提早付款專案模組，類似銀企直連的做法，同樣提供了一套軟體外掛，讓企業ERP透過API傳送匯款帳務資訊到銀行，審核同意後，自動撥款給供應商，省下既有流程中的紙本作業。另外，這些立賬付款資訊也能與企業ERP同步更新，減少錯帳。不過，這項外掛只支援採用雲端版SAP ERP的企業。去年底在SAP Store上架推出，目前已有跨國機電製造商、大型醫材通路商、電子組件通路商採用。</p> <p>中信銀最高資訊主管賈景光表示，這次發布的專案，是延續中信銀法金業務的場景金融策略，協助客戶解決發生在自家場景的痛點，「我們把拼圖拼得更完整，讓不同企業更容易拿到我們的金融服務，更安全解決企業痛點。」</p> <p>對中信銀而言，新的提前付款專案，能讓升級到雲端SAP ERP的企業更快速導入自家服務，有助於吸引更多企業客戶，提高企業金融業績。另一方面，透過將服務上架至SAP Store，中信銀不只可以接觸到全球採用SAP ERP的企業，同時也建立了一套將自家金融服務外掛上架上架至SAP Store的流程，未來也能上架更多金融服務。</p> <p>中信銀看好企業數位轉型浪潮，以及不少大型企業紛紛將自家ERP上雲的趨勢，積極步局雲端供應鏈金融解決方案，中信銀也是少數將ERP系統上雲的金融業者。</p> <p></p> </div></div></div>
2025/4/21 12:52作者李昀璇https://www.ithome.com.tw/news/168504
【資安日報】4月21日，微軟3月修補的NTLM漏洞出現超過10起實際濫用的攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟每個月例行更新（Patch Tuesday）修補的資安漏洞，少則40、50個，多的時候往往會超過100個，也因此大家通常會優先注意已遭到利用的零時差漏洞，以及危險程度較高的弱點，但被認定較不可能被利用的漏洞，若不處理，有可能成為駭客攻擊的目標。</p> <p>最近資安業者Check Point公布針對NTLM雜湊值洩露漏洞CVE-2025-24054的攻擊行動，就是這種例子，他們在一週內看到超過10起攻擊。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168503"><strong style="font-size: 22px;">微軟3月修補的NTLM漏洞危機升溫，至少出現10起實際濫用的攻擊行動</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/img_cmp2_eml.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/img_cmp2_eml.png" style="width: 300px; float: right;" /></a></p> <p>今年3月微軟在例行更新（Patch Tuesday）總共修補57個漏洞，其中有7個零時差漏洞最受到關注，且有6個已有實際攻擊行動而成為焦點，但也有當時公布的資安漏洞，微軟評估利用的可能性不高，觸發漏洞存在必要條件，認為其風險不高，後續被駭客盯上並相繼用於攻擊。例如，當時修補的NTLM雜湊值洩露漏洞CVE-2025-24054（CVSS風險6.5分），近期有資安業者提出警告，在微軟公告一週後，他們察覺有人將其用於實際攻擊行動。</p> <p>資安業者Check Point指出，他們約從3月19日發現相關攻擊，駭客試圖用於洩露NTLM雜湊值或是使用者密碼，並用來入侵受害電腦。到了20至21日，研究人員看到有人試圖針對波蘭及羅馬尼亞的政府機關及企業，利用垃圾郵件接觸受害者，藉此散布Dropbox連結。一旦使用者依照指示開啟，就會觸發與NTLM有關的已知漏洞，從而讓攻擊者能挖掘NTLMv2-SSP雜湊值，而其中一個遭到攻擊者利用的漏洞，就是CVE-2025-24054。值得留意的是，針對這波試圖利用CVE-2025-24054的情況，Check Point自3月19日至25日總共發現超過10起攻擊行動。</p> <p><a href="https://www.ithome.com.tw/news/168506"><strong style="font-size: 22px;">網路上有超過1.6萬臺Fortinet裝置含有符號連結後門</strong></a></p> <p>專門開發各種軟、硬體安全解決方案的美國資安業者Fortinet在今年4月中旬揭露了一個與符號連結（Symbolic Link）有關的後門問題，這是駭客藉由攻陷已知漏洞，建立了一個可連結用戶檔案系統及根檔案系統的符號連結，就算用戶修補了遭到攻擊的安全漏洞，此一符號連結依然存在，因而允許駭客持續存取根檔案系統中的機密配置。Shadowserver基金會的掃描發現，在Fortinet揭露此事後，網路上含有符號連結後門的Fortinet裝置顯著增加，從1.2萬臺增加到近1.7萬臺。</p> <p>當初Fortinet其實是在調查遠端程式執行漏洞CVE-2022-42475與CVE-2023-27997，以及越界寫入漏洞CVE-2024-21762等重大漏洞遭到駭客利用的事件，駭客針對網路上未修補的已知漏洞展開攻擊並非新聞，特別的是Fortinet發現駭客採用了新技術，透過符號連結功能來建立可存取FortiGate防火牆根檔案的能力，就算只能唯讀，卻可向駭客揭露該防火牆設備的系統配置與存取憑證等重要資訊。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=203520&SPOKE_DATE=20250418&COMPANY_ID=2615"><strong style="font-size: 22px;">萬海海運網站遭遇攻擊</strong></a></p> <p>4月18日晚間海運業者萬海於股市公開觀測站發布資安重訊，指出該公司資訊網站當天下午遭到攻擊，他們發現此事後即刻啟動資安防護措施因應，將網站進行隔離。此網站暫時停止提供服務。</p> <p>而對於這起事故可能造成的影響，萬海表示根據他們的初步評估，對公司營運、資訊安全、個資無重大影響。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/04/experts-uncover-new-xorddos-controller.html">殭屍網路XorDDoS透過暴力破解入侵Linux設備，在全球廣泛發動攻擊</a></strong></p> <p><strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/04/experts-uncover-new-xorddos-controller.html"></a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/proton66-part-1-mass-scanning-and-exploit-campaigns/">惡意軟體攻擊行動Proton66鎖定重大漏洞而來，散布勒索軟體SuperBlack</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/04/nodejs-malware-campaign-targets-crypto.html">Node.js惡意軟體攻擊行動鎖定加密貨幣用戶而來，假借提供加密貨幣工具散布惡意酬載</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168502"><strong style="font-size: 22px;">Windows工作排程工具遭揭多項弱點，恐被濫用於提升SYSTEM權限</strong></a></p> <p>資安公司Cymulate研究人員揭露Windows作業系統中的工作排程工具schtasks.exe，存在多項可被濫用的安全弱點，攻擊者可透過合法命令列參數及任務排程XML檔案，在特定條件下繞過使用者帳戶控制（UAC）提示，並以SYSTEM權限執行任意程式。研究人員指出，這些行為雖未被微軟視為漏洞，但其設計邏輯仍可能被惡意人士作為提升權限、橫向移動或隱匿行蹤的工具。</p> <p>針對Cymulate研究人員提出的安全質疑，微軟安全回應中心（MSRC）回覆表示，Author欄位與RegistrationInfo區塊僅為儲存一般任務資訊而設計，並非安全用途，因此不構成漏洞。不過，研究人員認為，使用者與資安人員仍應注意被惡意濫用的系統設計，特別是在系統管理工具與事件記錄這些高度仰賴預設行為可信度的情境。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/asus-warns-of-critical-auth-bypass-flaw-in-routers-using-aicloud/">啟用AiCloud功能的華碩路由器存在重大漏洞，恐被用於繞過身分驗證流程</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/researchers-cvss-severity-rce-vulnerability-erlang-otp-ssh/">SSH程式庫Erlang/OTP存在風險滿分漏洞，攻擊者有機會未經授權執行任意程式碼</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168489"><strong style="font-size: 22px;">資策會導讀臺灣最新出爐的PQC遷移指引，預告兩週後將推出自動化加密盤點工具</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1）臺灣後量子遷移指引正式出爐_攝影羅正漢.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E8%87%BA%E7%81%A3%E5%BE%8C%E9%87%8F%E5%AD%90%E9%81%B7%E7%A7%BB%E6%8C%87%E5%BC%95%E6%AD%A3%E5%BC%8F%E5%87%BA%E7%88%90_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 300px; float: right;" /></a></p> <p>隨著全球主要國家陸續發表後量子密碼遷移指引，為因應量子破解威脅做好準備，臺灣也需積極布局，上個月後量子資安產業聯盟（PQC-CIA）召集人李維斌曾透露，資策會正在負責我國「後量子密碼遷移指引」的制定，如今數位發展部數位產業署於2025臺灣資安大會上正式發表這項指引，目的是協助產業及早因應量子破密威脅的挑戰，讓後PQC遷移能順利過渡。</p> <p>在這場活動中，負責此項指引開發的資策會資安科技研究所主任蕭榮興，有更具體說明。基本上，關於遷移指引對臺灣產業的重要性，這不僅是對齊國際趨勢，最大重點是促使企業瞭解量子破密威脅，重視後量子加密的必要性並加速遷移，並提供企業組織一套清晰的遷移路徑與實施步驟，確保遷移過程安全並且可以實行。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/168486"><strong>【4月18日】趨勢科技公布勒索軟體駭客CrazyHunter攻擊手法</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168466"><strong>【4月17日】CVE專案長年靠美國政府資金運作議題浮上檯面</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168438"><strong>【4月16日】MITRE停止維護CVE等多項專案，恐波及全球資安漏洞分析</strong></a></p> </div></div></div>
2025/4/21 17:09作者周峻佑https://www.ithome.com.tw/news/168530
中國駭客Mustang Panda鎖定緬甸而來，利用StarProxy存取未與網際網路連線的環境
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門針對臺灣、越南、馬來西亞等亞太國家發動攻擊，被稱為Mustang Panda、Earth Preta、RedDelta、TA416的中國駭客組織，在今年2月、3月傳出相關攻擊行動，包含<a href="https://www.ithome.com.tw/news/167511">意圖利用作業系統預載公用程式MAVInject.exe迴避偵測</a>，以及<a href="https://www.ithome.com.tw/news/167944">散布惡意LNK檔案利用尚無修補的零時差漏洞</a>，最近有研究人員發現，這些駭客<a href="https://www.zscaler.com/blogs/security-research/latest-mustang-panda-arsenal-toneshell-and-starproxy-p1">改用新的工具犯案</a>，使得行蹤變得更加難以捉摸。</p> <p>資安業者Zscaler指出，Mustang Panda近期鎖定緬甸而來，該國3月底才因7.7級地震而遭逢重大災難，沒想到現在還必須處理駭客攻擊的問題，他們在2臺受害電腦發現後門程式ToneShell的變種，以及一系列未曾被發現的作案工具，因而高度關注此事。</p> <p>基本上，ToneShell是慣用的後門程式，而這次Zscaler發現，駭客使用的新版本出現顯著的變化，那就是調整了與C2連線的FakeTLS通訊協定，以及在建立用戶端識別編號的做法。這次研究人員總共看到3個版本的ToneShell，它們都由執行檔（EXE）與DLL程式庫組成，駭客藉由正常的執行檔以側載的手法，執行ToneShell的DLL檔案。</p> <p>另一個駭客透過FakeTLS代理流量的作案工具，則是用於橫向移動的StarProxy。研究人員推測，駭客將其用於成功入侵之後，目的是存取無法直接透過網際網路連線的系統。</p> <p>什麼是FakeTLS？研究人員直指這是ToneShell的主要功能，目的是用來隱匿惡意軟體的行蹤，駭客使用FakeTLS標頭，模仿TLS的通訊協定。而過往的ToneShell，藉著FakeTLS標頭模仿TLS 1.2版通訊，而現在Zscaler看到的新版本，則是仿造1.3版TLS通訊，來建立受害電腦與C2之間的連線。</p> <p>此外，這些駭客也運用<a href="https://www.zscaler.com/blogs/security-research/latest-mustang-panda-arsenal-paklog-corklog-and-splatcloak-p2">名為SplatCloak的驅動程式元件工具組</a>，來迴避EDR系統的偵測。SplatCloak的主要用途，是干擾Windows內建的Microsoft Defender及卡巴斯基相關驅動程式的運作，停用核心層級的通知回傳功能。Mustang Panda透過公用程式SplatDropper部署上述的工具包，並設置系統服務來執行。</p> <p>附帶一提的是，駭客運用兩款鍵盤側錄工具PakLOG、CorKLOG，監控使用者鍵盤輸入的內容，以及剪貼簿的資料，兩者主要的差異在於：CorKLOG使用48個字元長度的RC4金鑰加密截取到的資料，並設置工作排程或是服務以便持續於受害電腦運作。</p> </div></div></div>
2025/4/21 16:26作者周峻佑https://www.ithome.com.tw/news/168528
從數據到數位策略的旅程
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/itshu_zhai_-shu_wei_jing_zheng_ce_lue_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">商業周刊</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2018年福特汽車宣布，將投入110億美元在10年的數位轉型。主要是在福特汽車上安裝大量感測器，作為生成數據的源頭，例如即時地偵測引擎性能、煞車系統性能、輪胎胎壓、道路狀況、以及空氣品質等狀態的感測器。福特的感測器能夠以高達每秒50次的速率更新數據，在1小時的車程中，生成約25 GB的數據。</p> <p>有了這些數據，福特能夠提供幾項新的「智慧型」汽車功能。汽車能夠偵測、並提醒駕駛人注意盲點處有其他車輛；幫助駕駛人保持行駛在車道上；在即將撞車前及時自動煞車；（在駕駛人的同意下），偵測到前方交通減緩時減速。電動車提供目前及預測電儲量狀態的資訊，以及計畫車程需要的充電時間量。在充電站，通知使用者是否因為停電、插頭鬆動、或其他類似事件而意外停止充電。車子甚至會規畫路線，確保行程中充飽足夠的電。</p> <p>福特汽車也透過名為「SYNC」的車用通訊系統，以及應用程式商店取得、並透過手機連結的各種APP傳輸數據。福特的APP除了把駕駛人從A點運載至B點，也在開車途中提供適合駕駛人的生活服務，例如一款APP讓駕駛人可以透過智慧型語音助理Alexa訂購星巴克咖啡。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>了解新興的數位生態系</strong></span></span></p> <p>為了釋放數據的新潛力，企業需要數據接收者網路分享數據。這些數據接收者當中有一些位於企業的價值鏈上，例如，福特汽車出產的車子中任何特定元件上的感測數據被拿來和軟體設計部門、AI中心、單位協調數位服務、儲存備用零組件的倉儲中心、服務據點等等接收者分享，全都是福特組織的一部分。這些數據接收者可以協調活動，執行新的數位價值主張，例如預測性維修服務。感測器數據的其他接收者不在價值鏈上，例如亞馬遜（Alexa智慧型音箱）、星巴克、銀行、天氣或交通APP供應商，這些數據接收者調整扮演的角色，實現前文敘述的福特汽車上提供的車上訂購咖啡服務。數據生成者和資訊接收者網路構成數位生態系，對傳統企業而言，這種網路有兩個部分：其一，生產生態系（production ecosystems），由公司的價值鏈形成；其二，消費生態系（consumption ecosystems），不是公司的價值鏈形成的。</p> <p><span style="color:#3366ff;"><strong>生產生態系</strong></span></p> <p>生產生態系是公司「內部」參與生產與銷售產品的各種實體、資產、及活動之間的數位連結，包括供應商、研發、製造、組裝、及通路所形成的。因為公司的整個價值鏈活動有感測裝置，並且有物聯網賦能，才能建立這些連結，因此，生產生態系提供一條能釋放數據價值的內部管道。舉例而言，在公司供應鏈中建立一個感測網路，可以讓公司根據存貨使用狀態的即時數據，完成更緊密的存貨協調。又如，在智慧型工廠裡安裝感測器，讓機器、機器人、或生產與組裝單位之間同步溝通，簡化工作流程，進一步提升作業效率。</p> <p>透過產品中安裝的感測器，生產生態系傳輸產品生成的數據，發展出增進產品性能的特色及服務，創造新價值。當產品根據個別消費者的使用數據來調整特性時，就能做到這點。此外，可以使用有形的指標來追蹤、改善、及展示這類服務的結果，例如，奇異公司為飛機引擎推出「以成果為基準」（outcome-based）的服務：機師依循智慧型引擎指示，節省燃料，奇異公司根據實際的燃料成本降低成果來收費。因此，除了傳統的噴射引擎銷售營收，也增加了營收。</p> <p>其他公司也可以採取類似行動，供應根據數據調整的智慧型產品，改善產品成果。舉例而言，歐樂B（Oral-B）的智慧型牙刷追蹤刷牙結果，並在APP上展示結果，藉此改善刷牙習慣。開拓重工根據感測器監測到的機器使用及磨損狀態即時數據，減少機器故障停工時間。這些例子顯示企業如何從生產生態系釋放新價值，當研發、產品發展、行銷、銷售、及售後服務單位透過數位連結來接收、分析、生成、分享、及應感測數據創造這種價值。感測網路愈精細、愈普遍涵蓋，生產生態系就愈大。</p> <p><span style="color:#3366ff;"><strong>消費生態系</strong></span></p> <p>「消費生態系」與「生產生態系」的不同之處是，「消費生態系」把「外部」連結至公司的價值鏈。消費生態系由一個「外部」實體網路形成，那些外部實體為產品的感測器生成的數據提供互補、完善作業。例如，星巴克根據車子感測器傳來的數據，為駕駛人供應咖啡；一個停車位以數位訊號通知一輛車子，告知這個停車位是空的。跟公司的價值鏈的單位及實體不同的是，公司並不直接控管外部網路。這個獨立實體構成的外部網路隨著更多資產加入數位連結而擴展，例如，當有更多零售商（星巴克以外的零售商）或更多資產（例如停車場）數位連結至福特車的感測器數據，提供互補、完善作業，福特的消費生態系就會擴大。</p> <p>對大多數企業而言，在數據和數位連結的現代發展與進步問世之前，不存在消費生態系。舉例而言，當一個燈泡嵌入感測器後，便形成燈泡的新消費生態系。「智慧型燈泡」內含感測器，收集動作、物件位置、及聲音之類的數據，這些數據為各方開啟創造價值的新機會。消費生態系可能形成多個領域，這取決於智慧型燈泡生成的數據，以及吸引的第三方實體。以動作偵測為例，當住家中無人時，若燈泡的感測器偵測到有動作，就對保全服務生態系和行動應用程式發出警訊。藉由感測及追蹤倉庫裡的存貨狀態，可以形成一個改善補給與物流作業的實體生態系。藉由感測槍擊事件，可以形成一個攝影機數據、911接線員、以及救護車的生態系，改善街道安全性。消費生態系為傳統企業提供新管道，提供釋放數據價值的新方式。</p> <p><span style="color:#3366ff;"><strong>消費生態系與數位平台</strong></span></p> <p>「生產生態系」提供釋放價值的「內部」管道，「消費生態系」則是提供釋放價值的「外部」管道，不過，為了從外部管道衍生價值，公司必須協調各種互補實體之間的數據交易作業；換言之，公司必須以一個數位平台模式來運營。位於波士頓的新創公司星空照明（CIMCON Lighting）開發出能感測槍擊事件的智慧型燈泡，這家公司運營一個平台，連結攝影機之類的物件，以及警察與救護車服務及醫院之類的實體。福特的咖啡訂購服務是透過平台來協調駕駛人、Alexa、星巴克、各種應用程式開發商、以及銀行之間的數據交換。雖然對產品而言，這是一個新概念，但這方法與許多現有的數位平台協調各種第三方彼此交流或交易的模式，例如，臉書協調朋友和群組間的新聞及資訊分享；Uber共乘平台協調駕駛人與乘客之間的交易。</p> <p><span style="color:#3366ff;"><strong>靠數據經營的生態系</strong></span></p> <p>因此，不論是生產生態系或消費生態系，「數據」是串成這些數位生態系的共同脈絡。在生產生態系裡，數據被數位連結的價值鏈加以利用；在消費生態系裡，數據被數位連結的互補實體加以利用。這兩個生態系把企業的競爭範圍從「產品」擴展到產品生成的「數據」，兩個生態系都為企業帶來改變和消費者互動方式的新機會，幫助企業想像數據的無窮潛力。不過，企業必須把不同類型的生態系分開來分析，因為需要不同的業務模式（一個是價值鏈，另一個是平台），不同的業務模式需要不同的能力。認知與了解這些差別，也能幫助企業發想更多的策略選擇，思考打造數位策略更多的方法。（本文摘錄整理自《數位競爭策略》，商業周刊提供）</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98-%E6%95%B8%E4%BD%8D%E7%AB%B6%E7%88%AD%E7%AD%96%E7%95%A5-600.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源_商業周刊</span></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3366ff;"> 書名 </span></span> 數位競爭策略：企業如何從數據中打造競爭優勢、做好數位轉型？（The Future of Competitive Strategy）</strong></p> <p>莫漢．薩布拉曼尼亞（Mohan Subramaniam）／著；李芳齡／譯</p> <p>商業周刊出版</p> <p>定價：450元</p> <p><a href="https://www.imd.org/research-knowledge/digital/books/the-future-of-competitive-strategy/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%95%B8%E4%BD%8D%E7%AB%B6%E7%88%AD%E7%AD%96%E7%95%A5_%E5%9C%962_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_IMD.png" style="width: 200px;" /></a></p> <p><a href="https://www.imd.org/research-knowledge/digital/books/the-future-of-competitive-strategy/" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源_IMD Business School</span></span></a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3366ff;"> 作者簡介 </span></strong></span></p> <p><strong>莫漢．薩布拉曼尼亞（Mohan Subramaniam）</strong></p> <p>國際知名管理學者、數位策略大師，知名企業高階經理人教練。</p> <p>瑞士洛桑國際管理發展學院（IMD Business School）策略與數位轉型教授，曾任康乃狄克大學、波士頓大學及波士頓學院，經常在著名學術期刊發表文獻，目前也擔任《史隆管理評論》（MIT Sloan Management Review）編輯顧問委員會委員。深入研究數位轉型、數據驅動策略與生態系設計等領域，是國際公認數位策略大師。</p> </div></div></div>
2025/4/21 17:04未署名https://www.ithome.com.tw/article/168529
微軟3月修補的NTLM漏洞危機升溫，至少出現10起實際濫用的攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年3月上旬微軟修補NTLM雜湊值洩露漏洞CVE-2025-24054，近期有資安業者提出警告，在微軟公告一週後，他們察覺有人將其用於實際攻擊行動。</p> <p>資安業者Check Point指出，<a href="https://research.checkpoint.com/2025/cve-2025-24054-ntlm-exploit-in-the-wild/">他們約從3月19日發現相關攻擊</a>，駭客試圖用於洩露NTLM雜湊值或是使用者密碼，並用來入侵受害電電腦。到了20至21日，研究人員看到有人試圖針對波蘭及羅馬尼亞的政府機關及企業，利用垃圾郵件接觸受害者，藉此散布Dropbox連結。一旦使用者依照指示開啟，就會觸發與NTLM有關的已知漏洞，從而讓攻擊者能挖掘NTLMv2-SSP雜湊值，而其中一個遭到攻擊者利用的漏洞，就是CVE-2025-24054。</p> <p>由於這項資安漏洞與欺騙有關，當時微軟提及利用的前提是必須與使用者互動，但該公司也特別提到，此弱點只需使用者進行最少的互動，就有可能成功觸發，這些互動包含對惡意檔案進行選取、點選右鍵，以及在開啟或執行檔案以外的其他行為，此漏洞的CVSS風險評為6.5。Check Point指出，攻擊者只要利用特製的library-ms檔案，就能利用這項弱點。</p> <p>針對這波試圖利用CVE-2025-24054的情況，Check Point自3月19日至25日總共發現超過10起攻擊行動，而所有活動的最終目標，就是從受害電腦找出NTLMv2-SSP雜湊值。駭客用來收集相關資料的SMB伺服器，分散於俄羅斯、保加利亞荷蘭、澳洲、土耳其。</p> <p>研究人員提及其中部分攻擊行動的發生過程，他們舉出攻擊波蘭及羅馬尼亞政府機關及企業的事故為例，使用者一旦收到駭客的垃圾信並依照指示點選連結，就會從Dropbox下載壓縮檔xd.zip，若是將此壓縮檔案開啟，由於內含能觸發CVE-2025-24054的檔案xd.library-ms，使用者就會中招，而有可能導致NTLMv2-SSP雜湊值外流。</p> <p>但除此之外，駭客也試圖透過其他方法洩露NTLM雜湊值，例如xd.zip內含的xd.url，就是利用CVE-2024-43451及網路共用資料夾來達到目的。此ZIP檔案也內含Website及LNK檔案，攻擊者藉此建立SMB連線，從而竊取使用者的NTLM雜湊值。</p> <p>針對攻擊者的身分，研究人員根據駭客使用的CVE-2024-43451，以及SMB伺服器的IP位址，這些分別與俄羅斯駭客UAC-0194、APT28（Fancy Bear）有關，他們不排除是俄羅斯國家級駭客所為，但目前沒有進一步的證據能佐證駭客的身分。</p> <p>值得留意的是，Check Point也發現駭客直接挾帶library-ms檔案的惡意郵件，這樣的情況更加危險，因為收信人一旦另存附件，就有可能觸發CVE-2025-24054。</p> </div></div></div>
2025/4/21 12:47作者周峻佑https://www.ithome.com.tw/news/168503
惡意NPM套件藏反向Shell，鎖定電商交易流程滲透伺服器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開源資安公司Socket<a href="https://socket.dev/blog/npm-package-advcash-integration-triggers-reverse-shell">揭露</a>一個名為merchant-advcash的NPM套件，其表面上聲稱支援Advcash金流整合，實則於付款成功時觸發反向Shell，將伺服器權限交由攻擊者遠端控制。該攻擊行為未在套件安裝或匯入時啟動，而是延遲至使用者完成支付流程後才暗地執行，明確鎖定實際部署於電商平臺的生產環境。</p> <p>反向Shell是一種常見的攻擊手法，讓駭客能在受害系統主動發起連線後，遠端取得該系統的指令列控制權。與其從外部強行入侵，攻擊者設計程式讓目標伺服器在特定時機自己連回駭客機器，建立一條可雙向傳輸指令的通道。一旦連線成功，攻擊者便能在背後執行任意指令、存取資料，甚至橫向攻擊其他系統。</p> <p>Advcash常見於諸如加密貨幣交易、高風險投資、線上博弈等灰色市場或高風險電子商務應用網站。此NPM套件偽裝成開發者整合工具，實作包括金額雜湊、商家驗證與交易狀態更新等看似正當的功能。研究人員指出，該模組在處理交易成功通知的url_success()回呼函式，內嵌一段以Node.js撰寫的即時反向Shell程式碼，使用child_process與net模組連線至IP 65.109.184.223、埠號為8443的遠端主機，並將/bin/sh的標準輸入與輸出完整轉交給該連線。</p> <p>該攻擊行為高度隱匿，並藉由付款成功此業務邏輯節點，掩護惡意程式的執行時機，繞過常見的套件安裝監測、靜態掃描與CI工作管線稽核。研究人員表示，其撰寫手法明顯異於低階垃圾套件，而是建構出一個具實際商業邏輯的伺服器端整合模組，具有更高的可信度與部署機會，也更容易被企業系統採用。</p> <p>研究人員認為，此種攻擊方式顯示出惡意行為者對目標環境的熟悉程度與技術熟練度，其目的可能是針對特定場景的交易系統進行滲透。雖然該套件目前已由NPM官方下架，但對於電商平臺、第三方支付整合開發者及資訊安全團隊而言，在處理金流、帳務與用戶操作密切相關的流程，更應注重供應鏈安全防護。</p> <p>研究人員建議開發者導入如CLI掃描器與GitHub拉取請求監控等機制，強化對第三方相依項目的動態與靜態檢查，避免單純仰賴套件描述或README等表面資訊評估其安全性。</p> </div></div></div>
2025/4/21 15:51作者李建興https://www.ithome.com.tw/news/168510
【資安週報】0414~0418，臺灣資安大會CYBERSEC 2025登場，AI資安風險持續受矚目
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>回顧2025年4月第三星期的資安新聞，臺灣資安大會CYBERSEC 2025舉行是主要焦點，本屆規模再創新高，有超過300場的資安專題演講，以及400家資安業者、超過1,500個攤位的參與，吸引2萬位全球產官學界資安專家參與，持續成為企業增進攻防新知，資安產業技術交流與商機拓展的重要平臺。</p> <p>總統賴清德已是連續4年參與這場盛會，不僅展現政府對資安的支持，也延續其擔任行政院長到副總統期間對資安領域的關注。面對瞬息萬變的國際局勢，總統賴清德指出，新版《國家資通安全戰略2025》在本月稍早發布，揭露我國2025年至2028年間的國家資安發展方案將朝三大目標前進，包括：強化全社會資安防禦韌性、豐富資安產業生態系、構築新興科技防禦技術，從制度面、管理面、策略面同步推進，盼整合多方力量，加速我國政府與產業的整體防護水準的提升。</p> <p>面對生成式AI爆紅與AI代理竄起之際，LLM風險這項新興議題，在本星期資安新聞中，佔據大量新聞版面，例如：我們最近發布的封面故事，就是針對最新的OWASP十大LLM應用程式風險2025年版加以介紹，讓大家真正認識背後的各種風險，才能理解為何一再宣導事實查核與防範敏感資訊洩漏；今年臺灣資安大會也有專家介紹最新趨勢，包括網路犯罪領域應用AI代理的示警，以及關於LLM應用程式開發安全架構的實務經驗。</p> <p>●OWASP已公布「十大LLM應用程式安全風險」2025年版，可幫助大眾增進對於LLM風險的理解，過去多起事件更是反映真實世界存在的LLM風險實例。<br /> ●趨勢科技網路犯罪研究前瞻威脅研究總監示警，呼籲大家在期待AI Agent應用的同時，也要注意網路犯罪也透過AI自動化提升攻擊效率。<br /> ●前資安院副院長吳啟文強調資安是持續的風險管理，如何平衡AI帶來的利益及風險是關鍵，他建議組織可從WEF報告提出的6個問題來自評本身是否做好準備。<br /> ●面對LLM風險，趨勢科技提出LLM應用程式開發安全架構的LEARN方法論，剖析LLM應用程式的開發生命週期，並介紹如何分層與識別安全邊界的方法。</p> <p>此外，還有兩則新聞與其他重要議題有關，在後量子密碼學PQC方面，數位發展部數位產業署宣布，專為臺灣設計的PQC遷移指引正式發布；在個資保護方面，今年臺灣個資保護委員會將成立，來自籌備處的隱私科技組專家指出，企業可透過PDCA方法檢視自身資料保護措施的落實，並強調傳統的SMS簡訊或OTP易受中間人攻擊，應評估安全強度更高的MFA。</p> <p>在資安防護上，國際間有4則重大消息，其中美國非營利組織MITRE傳出停止維護CVE等多項專案，引發相當大關注，這是因為CVE的漏洞命名與指派是弱點管理生態系的基礎，一旦漏洞無法集中發布與追蹤，影響甚廣，而這起風波之下，也突顯該專案長年只有美國政府投入給予支持的狀況。</p> <p>●美國政府委託MITRE維護「常見漏洞披露CVE」資料庫與「通用缺陷列表CWE」傳出合約到期，事隔一天有了反轉，將延長合約避免這些專案服務中斷。<br /> ●憑證產業論壇CA/Browser Forum宣布，現行所有SSL/TLS憑證最長效期為398天，明年縮短至200天，4年後2029年將縮短為47天，且每月需更新一次。<br /> ●GitHub推出Security Campaigns，可幫助開發者與資安團隊能有系統性方法來處理，讓企業處理資安債成開發日常，能排定優先處理順序、設定處理期限。<br /> ●PHP核心原始碼（php-src）近期完成安全稽核，主要針對最關鍵元件部分，共發現27項問題，其中17項具安全風險，多數問題是實作細節與錯誤處理不足。</p> <p>至於威脅揭露與漏洞消息方面，CrazyHunter勒索軟體攻擊調查有後續消息，趨勢科技指出該攻擊者使用的作案工具有8成是從GitHub平臺上取得，同時也證實該組織的攻擊目標只鎖定臺灣。</p> <p>還有兩則漏洞攻擊消息，一是有駭客鎖定蘋果零時差漏洞CVE-2025-31200、CVE-2025-31201攻擊，使得蘋果緊急修補，另一是有駭客鎖定上個月微軟修補的漏洞CVE-2025-24054來攻擊，有資安業者發現在修補釋出的8天後，就觀察到鎖定該漏洞的攻擊行動。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/168403"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月14日】啟用SSL VPN的Fortinet防火牆遭到已知漏洞攻擊</span></strong></a></h3> <p>今天我們報導兩起資安事故，其共通點就是針對SSL VPN系統而來，其中，尤以針對Fortinet防火牆設備而來的攻擊行動特別值得留意，因為這起事故雖然針對已知漏洞而來，但該公司還是發布新版防火牆作業系統FortiOS因應。</p> <p>這起事故攻擊者不僅運用了已知漏洞，並透過符號連結（Symbolic Link）手法來回避偵測，但究竟駭客如何取得相關權限而得逞？Fortinet並未說明。</p> <h3><a href="https://www.ithome.com.tw/news/168418"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月15日】總統親臨臺灣資安大會致詞，從國家戰略、產業政策彰顯資安</span></strong></a></h3> <p>亞洲規模最大的資安盛會「臺灣資安大會CYBERSEC 2025」在今天舉行，總統賴清德親臨現場致詞，強調臺灣所處的第一島鏈戰略要衝位置，肩負著民主防線最前線的角色，在網路世界遭受來自各方的駭客攻擊。臺灣威脅態勢加劇的情況，政府也從國家戰略到產業政策來因應。</p> <p>除此之外，美國在臺協會處長谷立言（Raymond F. Greene）致詞當中，也特別宣布相當有指標意義的消息，那就是在臺美合作之下完成了NIST資安框架2.0（Cybersecurity Framework 2.0）的正體中文翻譯。</p> <p><a href="https://www.ithome.com.tw/news/168438"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月16日】MITRE停止維護CVE等多項專案，恐波及全球資安漏洞分析</span></strong></a></p> <p>對於漏洞的分析及研究，「常見漏洞披露（CVE）」資料庫，以及「通用缺陷列表（CWE）」廣泛受到全球資安領域採用，一旦不再維護，影響層面有可能相當廣泛。</p> <p>本週傳出MITRE不再維護CVE、CWE等多項專案的消息，有資安專家指出此事將帶來嚴重衝擊，首先會影響美國國家弱點資料庫（NVD），接著會波及所有使用CVE及NVD分析漏洞的企業組織。</p> <h3><a href="https://www.ithome.com.tw/news/168466"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月17日】CVE專案長年靠美國政府資金運作議題浮上檯面</span></strong></a></h3> <p>這兩天引起全球資安圈高度關注的議題，莫過於美國政府委託MITRE維護「常見漏洞披露（CVE）」資料庫與「通用缺陷列表（CWE）」的合約到期，由於波及所有採用CVE分析漏洞的企業組織，影響層面將可能相當廣泛。</p> <p>事隔一天，美國政府決定依照合約延長維護CVE的時間，該服務暫時免於中斷的災難。但這起風波也凸顯CVE長期倚賴單一國家政府資助的問題，CVE董事會決議轉型非營利基金會。</p> <h3><a href="https://www.ithome.com.tw/news/168486"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月18日】趨勢科技公布勒索軟體駭客CrazyHunter攻擊手法</span></strong></a></h3> <p>這兩個月不斷在臺灣攻擊醫院、上市櫃公司的勒索軟體駭客組織CrazyHunter，在4月初刑事警察局公布駭客身分後，最近有資安業者透露其作案手法，並認為該組織的主要攻擊目標，就是臺灣。</p> <p>本週趨勢科技公布相關調查結果，他們提及駭客利用的工具多半由GitHub就能取得，這代表駭客犯案的門檻並不高。</p> <p> </p> </div></div></div>
2025/4/21 10:16作者羅正漢https://www.ithome.com.tw/news/168501
網路上有超過1.6萬臺Fortinet裝置含有符號連結後門
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門開發各種軟、硬體安全解決方案的美國資安業者<a href="https://www.fortinet.com/blog/psirt-blogs/analysis-of-threat-actor-activity" target="_blank">Fortinet在今年4月中旬揭露</a>了一個與符號連結有關的後門問題，這是駭客藉由攻陷已知漏洞，建立了一個可連結用戶檔案系統及根檔案系統的符號連結（Symbolic Link），就算用戶修補了遭到攻擊的安全漏洞，此一符號連結依然存在，因而允許駭客持續存取根檔案系統中的機密配置。<a href="https://dashboard.shadowserver.org/statistics/combined/time-series/?date_range=30&source=compromised_website&source=compromised_website6&tag=fortinet-compromised%2B&dataset=unique_ips&style=stacked" target="_blank">ShadowServer的掃描發現</a>，在Fortinet揭露此事後，網路上含有符號連結後門的Fortinet裝置從1.2萬臺增加到近1.7萬臺。</p> <p>當初Fortinet其實是在調查遠端程式執行漏洞CVE-2022-42475與CVE-2023-27997，以及越界寫入漏洞CVE-2024-21762等重大漏洞遭到駭客利用的事件，駭客針對網路上未修補的已知漏洞展開攻擊並非新聞，特別的是Fortinet發現駭客採用了新技術，透過符號連結功能來建立可存取FortiGate防火牆根檔案的能力，就算只能唯讀，卻可向駭客揭露該防火牆設備的系統配置與存取憑證等重要資訊。</p> <p>Symbolic Link是種特殊類型的檔案，透過指定路徑來指向一個檔案或目錄，主要功能包括讓使用者可從一個位置存取位於另一個位置的檔案，或者是作為自多個位置存取同一檔案的快速方法，也能用來簡化路徑名稱，或進行版本管理。</p> <p>但在Fortinet的案例中，駭客在成功駭進FortiGate之後，於用來提供SSL-VPN語言服務的資料夾中，建立了一個連結使用者檔案系統及根檔案系統的符號連結。</p> <p>由於這個符號連結位於系統更新時不會觸及的使用者檔案系統，因此就算用戶部署了已修補漏洞的FortiOS版本，依然會留下這個符號連結，而被稱為符號連結後門。之後駭客只要造訪FortiGate的VPN登入頁面，輸入特定的登入請求，系統就會回傳該設備的敏感配置內容，可能涵蓋存取控制及認證檔案、設備的私鑰與憑證、管理介面的程序與配置、防火牆規則或管理員帳戶資訊等。</p> <p>這讓Fortinet陸續釋出了不同的FortiOS版本，以刪除惡意的符號連結，或是修改了SSL-VPN使用者介面規則以不再支援惡意符號連結，同時建議客戶將所有設備升級到7.6.2、7.4.7、7.2.11、7.0.17或6.4.16，<a href="https://community.fortinet.com/t5/FortiGate/Technical-Tip-Recommended-steps-to-execute-in-case-of-a/ta-p/230694" target="_blank">審核所有設備的配置</a>，把所有配置都視為可能已遭外洩，重置所有管理員及使用者憑證，重置各種金鑰，替換並撤銷可能被竊的憑證，將GUI管理存取權限改至非預設埠，以及關閉任何來自外部介面的管理存取能力等。</p> </div></div></div>
2025/4/21 14:22作者陳曉莉https://www.ithome.com.tw/news/168506
Gemma 3支援QAT技術，消費級GPU就可執行270億參數大模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google Gemma 3模型正式支援QAT（Quantization-Aware Training）技術，同步<a href="https://developers.googleblog.com/en/gemma-3-quantized-aware-trained-state-of-the-art-ai-to-consumer-gpus/">釋出</a>多種已量化版本，讓開發者即便使用消費級顯示卡如Nvidia RTX 3090，也能在本地執行最多達270億參數的語言模型，進一步降低大型人工智慧模型的硬體門檻，擴大本地部署與邊緣運算應用可能性。</p> <p>Gemma 3原始模型以BF16格式於Nvidia H100等高階GPU上執行，可提供先進的推論效能。而本次QAT版本則是透過訓練期間模擬低精度運算，有效抑制傳統量化技術可能帶來的效能衰退，支援int4格式，大幅縮減模型權重所需GPU記憶體容量。Gemma 3 27B模型經QAT後，以int4格式儲存時僅需約14.1 GB VRAM，較原本BF16格式的54 GB顯著降低，實際已可在RTX 3090等顯示卡載入執行。</p> <p>新版本整合主流開源工具與本地推論框架，開發者可透過Ollama、LM Studio、MLX、llama.cpp與gemma.cpp等平臺快速載入，並開始使用QAT版本模型。官方模型目前已於Hugging Face與Kaggle開放下載，支援常見的GGUF格式與Q4_0變體，也可搭配社群貢獻的PTQ模型版本使用。</p> </div></div></div>
2025/4/21 14:30作者李建興https://www.ithome.com.tw/news/168507
Martech雙周報第74期：Salesforce等多家Martech大廠旗下AI代理，開始支援Google的A2A代…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#0000FF;"><strong>重點新聞(0406~0419)</strong></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#AI代理 #MCP</span></span></strong><br /> <strong>Salesforce等多家大型Martech廠商旗下AI代理成為Google的A2A代理協作協定第一批支援者</strong></p> <p><a href="https://developers.googleblog.com/en/a2a-a-new-era-of-agent-interoperability/">Google推出跨平臺AI代理協定A2A（Agent-to-Agent）</a>，來促成不同生態系的AI代理溝通、協作。只要是按A2A協定開發的代理，就能跨平臺、跨服務彼此溝通。目前已有50多間業者支援此協定，其中不乏Martech廠商，如近月不斷推出新GenAI及AI代理功能的Salesforce。</p> <p>A2A協定有幾項促成AI代理協作的方法，包括能力發現（Capability discovery），使AI代理辨識出最適合執行特定任務的協作AI代理；任務管理（Task management），使代理在長時間任務中保持同步，隨時更新任務最新狀態；協作（Collaboration），互相傳遞上下文、回應、任務成果或人類使用者指令，以及使用者體驗協商（User experience negotiation），根據任務來選擇將溝通內容輸出成哪種類型，如iframe、影片、網站表單等。</p> <p>這個技術如何影響行銷人員？Salesforce官方顧問公司Thinkqloud以Salesforce Agentforce為例，此平臺上的AI行銷代理可以指派外部的專業財經新聞代理，擷取與客戶公司相關新聞，同時指派另一位外部代理追蹤競爭對手產品的即時價格更新。最後，由這些由A2A收集的資訊會回傳至Agentforce，給業務人員參考。或者，在遭遇需要與外部公司聯絡的問題時，可以由內部AI代理主動聯絡外部AI代理客服，直接協商出解法。另一個可能應用是，與公司內部財會或行銷系統上的其他廠牌（如SAP）AI代理相互協作完成跨部門任務等。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#SEO #AIO #搜尋廣告 #有機流量</span></span></strong><br /> <strong>Google開始在AI Overview摘要中呈現其他Google搜尋頁面的連結，而非第三方網站連結</strong></p> <p>Google搜尋頁面的GenAI摘要功能AI Overview（AIO）對搜尋廣告曝光及有機流量獲得都帶來衝擊，不斷變動的功能，更使網站主及廣告主都難以捉摸具體影響。近日，他們又正式推出，在AIO摘要呈現其他Google搜尋頁面連結的做法，而非只提供第三方網站連結。Google官方表示，他們發現許多使用者常會於閱讀AIO時，自行啟動另一次Google搜尋。直接在AIO中加入Google搜尋結果頁面，是為了方便使用者進一步研究議題。</p> <p>此舉將對網站主和廣告主造成何種影響，目前業界出現不同方向的預期。部分意見認為，這會促成使用者看到多關鍵字搜尋，因而增加自家網站或廣告曝光機會；另一方則認為，這會排擠網站在AIO摘要中曝光機會，因而抱持悲觀態度。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#AI代理 #CRM</span></span></strong><br /> <strong>HubSpot推出多項行銷用AI代理更新</strong></p> <p><a href="https://www.businesswire.com/news/home/20250410141391/en/HubSpot-Launches-New-and-Enhanced-AI-Agents-Plus-Over-200-Updates-at-Spring-2025-Spotlight">CRM大廠HubSpot近日發表200多項更新，其中包含數個行銷用AI代理更新。</a>新的AI代理系列Breeze Agents包括知識庫代理（Knowledge Base Agent），能即時根據工單資料自動更新企業的知識庫內容。此代理可以與客服代理協作，使後者自動解決客服需求時，能使用更新、更準確的知識。</p> <p>開發AI代理（Prospecting Agent）功能是協助銷售人員資料蒐集，可以自動針對目標客戶展開背景調查，從HubSpot歷史資料、外部網站、新聞、部落格等多個來源擷取資料，並結合產品類型、客群特徵與市場情境，來建議溝通策略。這些洞察，可以HubSpot不同產品線，如Sales Workspace與全新推出的Target Accounts app中存取。</p> <p>內容AI代理（Content Agent）則能根據參考資料自動化生成部落格與網頁內容、根據受眾資料主動建議新內容主題，以及自動完成內容發布作業的不同環節。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#Line行銷 #生成式AI</span></span></strong><br /> <strong>漸強實驗室推出AI助理來整合旗下行銷平臺及對話平臺的功能，進一步整合產品線功能</strong></p> <p>Line行銷科際大廠漸強實驗室推出AI助理AiMon，內建於旗下自動化行銷平臺MAAC與對話互動平臺CAAC，來提供圖文生成、知識查詢及銷售洞察等功能。</p> <p>具體用法包括結合品牌語調、受眾行為與即時資料，來生成圖文，並於LINE官方帳號、簡訊等通路投遞；透過語意主題分析、訊息彙整，來更好進行客服對話或轉接真人；以及整合MAAC及CAAC功能，同時進行自動化行銷及對話式行銷。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#PMax #電商廣告 #AI廣告代投</span></span></strong><br /> <strong>電商廣告主如何運用PMax才能發揮AI代投長處，更避免與其他類型Google廣告專案衝突？5千字深度解析告訴你</strong></p> <p><a href="https://smarter-ecommerce.com/blog/en/google-ads/state-of-performance-max-campaigns-2025/">電商領域的廣告科技商smec釋出State of Performance Max 2025報告，</a>分析500名廣告主超過4,000個行銷專案，在Google AI廣告代投服務Performance Max上執行的結果。</p> <p>5,000字報告中，調查回顧了PMax功能及技術沿革，並根據行銷專案表現指出PMax強弱點，以及PMax實際成效。目前PMax ROAS約為6倍，ROAS中位數為專案目標值的95%至116%。</p> <p>報告還分析，電商廣告主同時使用PMax及Standard Shopping Ads、Demand Gen Ads和Search Ads等不同功能時，應如何調整策略，來綜合不同投廣服務強項提升效益、節省預算、減少重複投廣，以及避免自家專案間競爭價格和版位。</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#iOS ATT #資料隱私 #使用者行為追蹤</span></span></strong><br /> <strong>蘋果涉嫌用ATT追蹤同意機制塑造廣告壟斷地位，遭罰18億歐元</strong></p> <p><a href="https://www.reuters.com/technology/french-antitrust-regulator-fines-apple-150-million-euros-over-privacy-tool-2025-03-31/">法國政府反壟斷機構對蘋果祭出18億歐元罰款</a>，理由是他們利用App追蹤透明機制（ATT，App Tracking Transparency），來塑造個人化廣告業務的壟斷地位。</p> <p>ATT機制會在使用者第一次開啟App時，詢問是否同意自己行為受追蹤，採取預設不同意制度。這使廣告主於蘋果生態系中投放個人化廣告難度和成本都增加。當局認為，這個做法對以廣告收入為主的小型App營運商造成過大衝擊。不只如此，蘋果蒐集自家使用者資料的種種特權，使蘋果鞏固自己在廣告業務上的優勢地位。</p> <p>業界討論提到，ATT剛推出時，蘋果自家App根本沒有詢問追蹤同意，隨後改成具有引導使用者同意的語言來詢問同意，然而蘋果通常會禁止第三方App使用這些用語。目前，法國當局未明確表示蘋果如何改善ATT政策執行方法。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#數位行銷 #數位行銷專案評估</span></span></strong><br /> <strong>CDP Institue推出能估算Martech應用為企業帶來多少效益的免費評估工具</strong></p> <p><a href="https://docs.google.com/forms/d/e/1FAIpQLSfY6loVy6rNWV2dUmwjZgTMGMn-hjKkBKe42ciNhsADWtQSog/viewform">數位行銷科技研究機構CDP Institute推出升級版的行銷情境產生器</a>，新增商業價值計算器功能。這是一個免費快速評估用科技驅動數位行銷的工具，使用者在一個18頁的Google表單輸入數位行銷需求、企業背景，以及欲使用科技等資料。接著，系統會自動產生建議使用情境及計畫。新的商業價值計算器功能，還能估算數位行銷專案所帶來效益。這些計畫書及報告，會透過Email以Word檔案自動寄送。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099FF;">更多Martech動態：</span></strong></span></p> <p>1. <a href="https://www.adexchanger.com/wp-content/uploads/2025/04/Judge-Leonie-Brinkema-ad-tech-decision-DOJ-Google.pdf">美國法院正式認定Google利用DFP和Adx塑造並維持數位廣告界的壟斷地位</a></p> <p>2. <a href="https://newsroom.spotify.com/2025-04-02/spotify-tunes-up-platform-to-make-it-easy-for-advertisers-to-buy-create-and-measure/">Spotify Ad Exchange開放透過Yahoo、TTD、Google等DSP投廣</a></p> <p>3. <a href="https://www.globenewswire.com/news-release/2025/04/08/3057744/0/en/Tealium-achieves-MCP-integration-to-fuel-agentic-AI-initiatives.html">Tealium CDP開始支援MCP，以利打造AI代理工作流程</a></p> <p>4. <a href="https://www.uber.com/newsroom/us-cpg-digital-advertising/">CPG廣告主將能透過Instacart廣告平臺一站式投廣至Instacart及Uber Eats平臺</a></p> <p>5. <a href="https://www.mediapost.com/publications/article/405073/meta-sued-for-allegedly-overcharging-advertisers-b.html">一家廣告主因Meta系統問題多年來溢收高達40億美元廣告競價費而對其提告</a></p> <p>資料來源：iThome整理，2025年4月</p> <p>責任編輯：郭又華</p> <p>圖片來源：Google</p> <p></p> </div></div></div>
2025/4/21 14:39作者郭又華https://www.ithome.com.tw/news/168494
群暉科技消費型NAS將限制使用第三方硬碟
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>DIY用戶常自行買NAS系統在家備份，選擇自己要的硬碟品牌，但<a href="https://www.synology.com/en-eu/company/news/article/DACH_VL_plus/Synology%20is%20increasingly%20relying%20on%20its%20own%20ecosystem%20for%20upcoming%20Plus%20models" target="_blank">群暉科技（Synology）歐洲官網上周宣布</a>未來售出的家用及小型企業的網路附加儲存（Network-Attached Storage，NAS）Plus系列，只對自有品牌及經過認證的他牌硬碟才會提供自動韌體更新、資料去重複功能，<a href="http://www.androidcentral.com/accessories/smart-home/synology-brings-severe-hard-drive-limitations-to-diskstation-models-and-im-pissed" target="_blank">Android Central批評新宣布違背了當初的說詞</a>，當時他們曾表示此政策不影響消費級與SMB產品。</p> <p>群暉科技上周表示，2025年出售的DiskStation Plus系列開始，只有自家硬碟及經過該公司驗證的第三方硬碟，才能相容NAS系列，且獲得全功能和完整支援，理由是使用自有品牌硬碟，能為自家NAS系列提高效能及穩定性。</p> <p>在新措施下，未來全volume的去重複（deduplication）、產品壽命分析、自動韌體更新都只提供給自有硬碟。群暉科技表示，透過自有NAS系統和硬碟的緊密整合，可減少相容性問題，提升系統穩定性和效能。韌體更新和安全修補釋出，則提高資料安全性。</p> <p><a href="https://www.androidcentral.com/heres-why-synology-switched-validated-disks-enterprise-nas-enclosures" target="_blank">群暉科技2021年開始</a>限制企業級NAS機種使用自家硬碟，當時承諾不會影響消費級及SMB產品DiskStation（現簡稱為DS）系列。不過那時該公司已大幅縮減可用的第三方硬碟機種。<a href="https://www.androidcentral.com/accessories/smart-home/synology-brings-severe-hard-drive-limitations-to-diskstation-models-and-im-pissed" target="_blank">Android Central批評新宣布違背了當初的承諾</a>。</p> <p>根據<a href="https://www.synology.com/en-global/compatibility" target="_blank">群暉科技的產品相容清單</a>，部份DS產品只適用自家硬碟。</p> <p>目前，2024年以前出售的Plus，除了XS Plus系列與機架型機種以外都不受影響。但是群暉科技也表示，會持續推動現有Synology NAS系統搬移到新的Plus機種。值得注意的是，群暉科技說，現有相容或「未列相容清單」硬碟的使用，未來也可能會減縮，像是因使用不相容硬碟造成問題或故障時，致使無法建立儲存池，且無法獲得支援。這也暗示，可能舊機種用戶未來也將被迫改變硬碟品牌。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#000000;"> 編按 </span></span> <span style="color:#3366ff;">截至本文發布前，群暉科技臺灣官網並未公告上述產品政策異動，iThome今日（4/21）上午詢問群暉科技臺灣，官方回應重點摘要如下：</span></strong></p> <p><span style="color:#3366ff;"><strong>據客戶服務統計資料顯示，使用經 Synology 驗證硬碟，發生嚴重儲存相關問題的情況，較未經驗證硬碟低了 40%。Synology今年預計上市機種的硬碟相容性清單，皆可在各市場正式推出時，於 Synology 官方網站查詢最新資訊。</strong></span></p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/0421-%E7%BE%A4%E6%9A%89%E7%A7%91%E6%8A%80_%E8%87%BA%E7%81%A3.pdf" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0421-synology-taiwan(2).jpg" style="width: 600px;" /></a></p> </div></div></div>
2025/4/21 12:48作者林妍溱https://www.ithome.com.tw/news/168500
Windows工作排程工具遭揭多項弱點，恐被濫用於提升SYSTEM權限
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安公司Cymulate研究人員<a href="https://cymulate.com/blog/task-scheduler-new-vulnerabilities-for-schtasks-exe/">揭露</a>Windows作業系統中的工作排程工具schtasks.exe，存在多項可被濫用的安全弱點，攻擊者可透過合法命令列參數及任務排程XML檔案，在特定條件下繞過使用者帳戶控制（UAC）提示，並以SYSTEM權限執行任意程式。研究人員指出，這些行為雖未被微軟視為漏洞，但其設計邏輯仍可能被惡意人士作為提升權限、橫向移動或隱匿行蹤的工具。</p> <p>schtasks.exe為Windows任務排程元件的一部分，允許使用者以排程方式執行程式。研究人員發現，當攻擊者已知系統中具有Batch Logon權限帳號的密碼，便可透過/ru與/rp參數註冊任務，並在任務設定XML中指定以該帳號執行，即可觸發系統層級的執行環境，進而執行高權限指令，達到UAC繞過與提升權限效果。</p> <p>除了提升權限機制外，該研究也揭露兩項與規避防護有關的技術。一是可利用XML檔案中的Author欄位輸入超長字串，造成事件記錄中4698號任務建立事件的TaskContent欄位被覆寫，而隱藏任務內容與惡意指令。另一則是透過建立大量含有龐大後設資料的排程任務，在短時間內填滿預設上限為20 MB的Security.evtx安全事件記錄檔，導致事件記錄失效，阻礙後續數位取證與追蹤。</p> <p>值得關注的是，研究證實這些後設資料與記錄覆寫行為，可透過RPC（Remote Procedure Call）方式遠端觸發。研究人員進一步指出，任務排程服務於註冊任務時，並未對後設資料欄位長度加以限制，導致以信任使用者輸入為基礎的事件記錄內容成為攻擊介面。此外，這些後設資料內容也會寫入登錄機碼HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache，當有安全產品以此作為判斷任務可信度依據，也可能受到誤導。</p> <p>針對Cymulate研究人員提出的安全質疑，微軟安全回應中心（MSRC）回覆表示，Author欄位與RegistrationInfo區塊僅為儲存一般任務資訊而設計，並非安全用途，因此不構成漏洞。不過，研究人員認為，使用者與資安人員仍應注意被惡意濫用的系統設計，特別是在系統管理工具與事件記錄這些高度仰賴預設行為可信度的情境。</p> <p>此研究顯示即便未涉及程式錯誤或明確漏洞，攻擊者仍可結合系統設計邏輯與已知帳密，進行權限提升與事件隱匿。研究人員建議企業優先檢視工作排程相關活動與記錄異常，並強化敏感帳號密碼控管、調整事件記錄容量上限設定與UAC政策強化，以降低遭濫用風險。</p> </div></div></div>
2025/4/21 10:55作者李建興https://www.ithome.com.tw/news/168502
大膽走出不一樣的創新路，永豐金證三階段深耕數金
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年二月，金管會通過一項金融科技創新實驗案，這是金融監理沙盒沉寂四年來首見的新案，也是金融監理沙盒上路以來核准的第十案，與四年前通過的第九案，都出自同一間業者，他們是全臺唯一啟動兩項監理沙盒實驗的金融公司。</p> <p>這間公司，既非銀行也非金融科技公司，而是一間券商——永豐金證券。相較其他大型券商傾向穩健經營、維持市占，永豐金證券在數位策略上走出明顯不同路線，更勇於創新。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>三階段深化數位金融</strong></span></span></p> <p>早在2019年，永豐金證券就開始發展數位金融。起初的目標是擴大客源，「沒有客戶，就沒有後續經營。」永豐金證券數位金融處處長蘇威嘉回憶，當時首要任務是增加客戶數量，因此，推動線上開戶，是永豐證數金發展第一階段的主要方向。</p> <p>永豐金證券積極布局線上開戶，2019年正式推出數位證券戶，成為業界第一批推出數位帳戶線上交割戶綁定服務的券商，民眾能在線上直接開立交易帳戶，完成股票交易綁定交割帳戶。隔年持續擴大線上開戶服務範圍，可以一次完成線上臺股和海外複委託開戶。</p> <p>這些在疫情前的數位化發展，讓永豐金證券趕上疫情吹起的數位化浪潮，短短兩年間，開戶數成長率呈倍數成長。</p> <p>2021年更設立了數位化專責單位，永豐金證券正式成立了數位金融處，由蘇威嘉統籌數位發展，一路擔任處長至今。這一年，永豐金證券的線上開戶服務也跨出券商，進一步和同集團的永豐銀行合作，讓民眾能在線上一次同時申辦證券與銀行跨兩家公司的五種數位帳戶，包括銀行臺幣和外幣存款帳戶、信託帳戶、證券帳戶、複委託帳戶。這一步，讓永豐金證券數位證券戶線上開戶數超過14萬，這一年所有的開戶數中，高達八成四來自線上開戶。</p> <p>隨著客戶數逐漸攀升，達成第一個目標後，永豐金證券數位金融在2022年邁入第二階段，開始運用數位化方式，來開創多元化收入。「只要與經紀業務相關、可以創造收入的服務，都盡量嘗試。」蘇威嘉說。</p> <p>這些創新嘗試，有的是提供更多數位化的金融服務，推出海外債券電子交易平台臺，或是將不限定款項借貸服務線上化，提供線上申辦、試算，並快速撥款。</p> <p>也有將多種金融服務整成一站購足的形式，如永豐金證券的存股平臺，從一開始提供存股服務，逐漸發展成了一套整合開戶、下單、存股績效管理的一站式的金融商品購買平臺。</p> <p>不只是金融商品，永豐金證券更開始發展內容服務，以投資、理財文章平臺開始做起，慢慢擴大成提供理財資訊、新聞內容，和教學影片的綜合數位內容平臺。</p> <p>累積超過百萬戶客戶基礎，發展出多項數位化服務後，永豐金證券數位發展在2023年進入第三階段，深化既有服務。「透過數位化方式，讓服務做得更深、更廣。」蘇威嘉強調，這個階段要靠數位科技支持財富管理業務，例如透過IT、自動化技術、AI，來提供資訊、建議給顧問或客戶。「終極目標是，能提供客戶操作建議。」</p> <p>不只數金發展跨入新的階段，2023年這一年，永豐金證券更大膽改變了數位行銷的策略。</p> <p>蘇威嘉解釋，過去券商從事數位行銷多採用傳統作法，例如投放廣告增加曝光，或是經營社群粉絲專頁衝高會員數。然而，隨著同業間競爭越來越激烈，永豐金證券開始思考：「如何區隔化、差別化？」而經營數位媒體內容，包括提供新聞資訊、投資消息，和教學影片，便是讓他們開戶數轉往新階段邁進的關鍵。</p> <p>「深化服務同時，希望也能提供內容。」蘇威嘉解釋，透過這些投資相關的內容，可以從更多管道，接觸他們過往無法觸及的非客戶人群，不只是單純的獲客，而更強調要「全方位」地引流來獲客，「只要是對投資有興趣的民眾，就可以透過這些管道找到我們。」蘇威嘉說。</p> <p>為了發展更多自製的內容，永豐證也在數位金融處下成立數媒經營部，負責規畫數位內容平臺發展策略和行銷營運。目前，永豐金證券的數位內容網站，每個月流量超過三百萬人次瀏覽，自家YouTube頻道訂閱數也超過十萬，帶來了可觀的曝光度。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>自製數位產品，蒐集更多客戶行為數據</strong></span></span></p> <p>永豐金證券積極自製內容，不只是為了擴大接觸客戶的管道，更大目的是要，掌握用戶投資旅程更前段的歷程。</p> <p>蘇威嘉解釋，經營數位內容平臺，他們能追蹤客戶在網站或App上瀏覽的內容，了解客戶對哪些投資主題感興趣。可以更了解不同類型顧客，像是存股型、高頻交易型，或是趨勢投資型客戶，各自的內容偏好。如此一來，不只有機會在潛力顧客還沒開戶或尚未交易階段，就能與顧客建立連結，對永豐證後續開發服務和發展個人化推薦，也能先打下數據基礎。</p> <p>除了數位內容自製，永豐金證券的數位化產品，大多採用自製路線，而非仰賴外部廠商解決方案。</p> <p>傳統券商數位化重點是提供客戶端工具，可是，往往只掌握他們的下單行為，但是永豐證的想法不一樣，蘇威嘉指出：「我們希望透過App，掌握到整個客戶投資旅程。」</p> <p>所以，早在2020年，他就決定採取自製App路線，來提供下單平臺。從客戶開始有資金、思考是否投資、評估風險屬性、挑選標的、開戶，到最終完成下單，這些都是他們想了解的客戶行為。自製數位產品，讓永豐金證券得以掌握到更完整的客戶行為數據。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1231-CDO-600.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">攝影／洪政偉</span></span></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>數據是最根本的基礎，從頭打造數金發展的數據基礎</strong></span></span></p> <p>在推動數位發展歷程中，永豐金證券最看重數據，從2019年至今，投入了近億元來打造數據團隊，也建立了一套交易所即時分析資料庫，彙整了每一天約四千萬筆委託回報數據，再以分析引擎將各項投資情報視覺化，例如市場上強弱勢產業、各股漲跌排名。</p> <p>蘇威嘉認為，統整數據工作中，「錢是其次，主要是投入大量人力和時間的成本。」他回憶，推動數位發展初期最大的挑戰，就是要處理累積三十年歷史的舊資料。永豐金證券曾合併過多家券商，業界早期缺乏資料維護觀念，整併後的數據品質參差不齊，像是同一位客戶竟有兩組身分證字號、客戶庫存為負等異常情況。</p> <p>為了提升數據品質，蘇威嘉坦言，當時花了許多人力重新整理資料，甚至在數金處成立初期，蘇威嘉每天親自帶著數據團隊，來梳理一條條的異常情況，歸納出一套處理原則。</p> <p>「應用是基於資料之上，這是最根本的原則，資料有錯，再怎麼分析都沒有用。」蘇威嘉強調。數位金融處成立之初，也同時設立了專責處理數據的數據部門。這支團隊除了要支援App發展數位服務，也要蒐集客戶行為資料，分析客戶樣態，作為行銷基礎。另一方面，數據團隊還要負責蒐集瀏覽數位內容網站的外部客戶數據，分析未來潛在客群輪廓，做為業務人員評估行銷成效與營運成果的關鍵依據。</p> <p>2021年，永豐金證券開始打造自家的數據心臟，像是建置一套數位足跡採集系統，結合了交易資料、平臺使用習慣、社群互動狀態、行銷回饋資訊、外部開放資料如市場資訊等各種結構與非結構化數據。</p> <p>並且，永豐金證券也將各種不同面向的客戶行為軌跡進行整合，透過大數據分析建立客戶標籤，來建構顧客360度圖譜分析，能協助業務人員提供客製化服務。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>GenAI應用發展路線：知識匯集、挑選商品、選股、交易</strong></span></span></p> <p>在GenAI浪潮崛起後，多年打下的數據基礎，成了永豐金證券發展AI的加速關鍵。</p> <p>早在去年8月，永豐金證券就在下單App上推出兩項生成式AI應用，分別是「AI市場輿情」與「今日新聞快訊」2項功能，前者透過生成式AI彙整市場消息，透過輿情橫條圖顏色占比，提供客戶在投資時參考，後者則是透過生成式AI摘要前一日新聞摘要。每天App都會針對上百檔熱門臺股標的，提供AI市場輿情資訊。</p> <p>耗時一年完成這兩項應用，蘇威嘉提到，開發過程最大挑戰是，如何讓GenAI聽懂人類的指令後，正確地生成資訊。團隊不斷訓練AI學習機制，才讓應用順利上線。蘇威嘉表示，下一階段，將鎖定客戶庫存標的和瀏覽過的股票，提供客制化資訊。</p> <p>蘇威嘉也公開了永豐金證券的AI應用發展路線，將從提供知識匯集、挑選商品，到選股、交易，最後發展到資產管理場景。尤其，未來在資產管理場景的AI應用，他們期望能突破傳統的投資組合計算方式，透過GenAI測試更多投資場景或參數組合。</p> <p>這僅是永豐證其中一個發展方向。蘇威嘉透露，內部正在測試各種AI應用可能性，待確定應用足夠穩定，才會對外推出。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>今年重點推動股票禮品卡</strong></span></span></p> <p>永豐金證券今年的重點專案是，推動股票禮品卡產品，這是今年二月，金管會核准的創新實驗案，實驗期間為一年。在這項實驗案中，永豐金證券會以電子形式發行和販售股票禮品卡，民眾購買禮品卡後可以自行使用，或贈送他人。</p> <p>蘇威嘉解釋，股票禮品卡類似零售商品概念，能讓永豐金證券接近更多新客戶。增加獲客，是永豐金證券現階段推動股票禮品卡的主要目標。蘇威嘉也表示，待股票禮品卡落地完成後，他們仍會持續推動這項產品，包括和第三方合作，拓及更多管道，「是一個很大的潛在市場。」</p> <p>在擁有30年歷史的券商中推動數位金融多年，蘇威嘉不只一次勇於開創新道路。是否有過掙扎？蘇威嘉坦言，沒有掙扎太多，「因為我知道，一定要這樣做，要不然沒有其他方法，」正因不是業界龍頭，讓永豐金證券更敢創新，「我們就是要用其他方式，才能走出不一樣的路。」他說。</p> <p> </p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CDO小檔案 </span></strong></span></p> <p><strong>永豐金證券數位金融處處長蘇威嘉</strong></p> <p>學歷：哥倫比亞大學財務工程系碩士</p> <p>經歷：曾在KBC Financial Products擔任資深交易員。爾後，陸續在永豐金旗下公司擔任要職，曾任永豐金證券（亞洲）營運長、永豐金資產管理（亞洲）總經理、永豐金證券資訊處處長。現任永豐金證券數位金融處處長，統領6大單位，持續往數位經營邁進。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><strong>永豐金證券</strong></p> <p>●地址：臺北市中正區重慶南路一段2號7樓、18樓及20樓</p> <p>●成立時間：1988年</p> <p>●主要業務：永豐金控全資證券子公司，業務範圍涵蓋經紀、自營、承銷、國際、債券及新金融商品等</p> <p>●員工數：截至2024年02月29日，共2,430人</p> <p>●稅後盈餘：2024年累計1-12月稅後盈餘58.28億元。</p> <p>●董事長：朱士廷</p> <p>●總經理：張李章隆</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司數位發展大事記 </span></strong></span></p> <p>●2019年：開始發展數位金融，第一階段重點推動線上開戶。正式推出數位證券戶。推出數位帳戶線上交割戶綁定服務</p> <p>●2020年：推出「豐存股」數位平臺、海外債券電子交易平臺、「永豐金理財網—豐雲學堂」</p> <p>●2021年：數位金融處正式成立。自製下單數位產品「大戶投App」正式上線。推出線上一次同時申辦證券與銀行跨兩家公司五個數位帳戶服務。開始打造自家的數據心臟，建置數位足跡採集系統、顧客360度圖譜分析</p> <p>●2022年：邁入數位金融發展第二階段，開始運用數位化方式，來開創多元化收入。推出不限用途款項借貸2.0服務。金融監理沙盒落地完成，可透過機器人理財系統提供客戶投資建議</p> <p>●2023年：數位金融發展第三階段，深化既有服務，靠數位科技支持財富管理業務。數位金融處下設數媒經營部，負責規畫數位內容平臺發展策略和行銷營運</p> <p>●2024年：在下單App推出兩項生成式AI應用，分別是「AI市場輿情」與「今日新聞快訊」</p> <p>●2025年2月：金管會核准永豐金證券股票禮品卡金融科技創新實驗案</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1231-cdo-960.jpg" width="960" height="420" alt="" title="永豐金證券數位金融處處長蘇威嘉　　（攝影／洪政偉）" /></div></div></div>
2025/4/21 09:03作者李昀璇https://www.ithome.com.tw/people/168499
Qt AI開發助理更新支援LLM本地部署，強化QML與C++開發體驗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>知名框架開發公司<a href="https://www.qt.io/blog/qt-ai-assistant-v0.9-released-deploy-llms-locally-and-enjoy-the-upgraded-user-experience">Qt宣布釋出Qt人工智慧助理0.9版本</a>，正式支援本地部署大型語言模型，同步推出多項針對QML與C++開發者的功能強化，包括即時文字串流顯示、Google Test測試碼自動產生與程式碼行內註解，進一步提升互動體驗與程式碼可維護性。新版助理需搭配Qt Creator 16.0.1使用，現已開放下載與更新。</p> <p>此次更新的亮點，是支援本地執行的兩款開源大型語言模型，分別是CodeLlama‑7B‑QML與DeepSeekCoder v2 Lite，開發者可透過Ollama架構在個人電腦上執行推論，無須仰賴雲端API，即可在本地進行程式碼完成（Code Completion）。Qt團隊指出，這些模型已針對超過5,000筆QML原始碼樣本進行微調訓練，相較前一版4,000筆資料，進一步強化括號完成等語法細節的預測準確率。</p> <p>根據Qt內部QML100FIM基準測試，CodeLlama‑7B‑QML已具備與Claude 3.7 Sonnet相近的完成品質，而DeepSeekCoder v2 Lite則接近GPT-4o等級的輸出水準。</p> <p>除了模型升級，新版Qt人工智慧助理也也改進多項體驗。文字串流（Text Streaming）機制改為即時顯示人工智慧模型回應，取代過去需等待完整輸出才呈現的作法，縮短等待時間，也提升使用流暢度。更新後的提示視窗內建語法突出顯示功能，可直接突顯程式片段中的關鍵結構，有助於閱讀與理解。</p> <p>因應使用者建議，這次Qt人工智慧助理更新也納入針對C++開發者的Google Test測試碼自動生成功能，可依據現有邏輯自動建立基本測試架構，初步協助導入單元測試。另外，還新增行內註解生成功能，可於QML與C++程式碼中直接加入人工智慧生成的可讀性註解，使用者僅需一鍵套用，可提升團隊協作時的程式透明度與可維護性。</p> <p>Qt表示，未來將持續改進人工智慧助理模型表現與使用者體驗，並探索更多跨平臺與UI開發場景的應用可能性。</p> </div></div></div>
2025/4/21 09:04作者李建興https://www.ithome.com.tw/news/168490
鎖定HPC叢集系統需求，HPE推出採用Xeon 6的1U2路伺服器
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/hpe_proliant_compute_xd230_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.hpe.com/us/en/newsroom/press-release/2025/02/hpe-introduces-next-generation-proliant-servers-engineered-for-advanced-security-ai-automation-and-greater-performance.html">今年2月12日</a>，HPE在ProLiant Compute Gen12系列當中，<a href="https://www.ithome.com.tw/review/168252">發表6款新機型</a>，然而，在這個月初，他們悄悄推出搭配英特爾Xeon 6處理器的1U2路機型，名為ProLiant Compute XD230。</p> <p>該款機型發表的消息，我們最初是在3月代理商群環科技網站的<a href="https://hpe-bestcom.com.tw/shownews/660891686954501">產品情報頁面</a>看到，後續到HPE網站查詢時，也看到他們公開細部技術規格，截至4月中為止，產品資訊已更新至第三個版本。</p> <p>就產品線而言，根據HPE目前揭露的資訊研判，XD230可提供機箱層級至機櫃層級的硬體規模擴充能力，屬於鎖定高效能運算（HPC）與企業資料中心市場的HPE Cray XD2000，此系統目前搭配3種伺服器節點：採用英特爾第五代Xeon Scalable處理器XD220v（1U2路），以及採用AMD第五代EPYC處理器的XD225v（1U2路）、XD295v（2U2路）。</p> <p>今年上半新推出的XD230，名稱與上述三款機型相似，但本身是1U2路的單節點伺服器，而且，處理器採用內建高效能核心（P-core）的英特爾Xeon 6（6900P系列，代號為Granite Rapids-AP），而且支援MRDIMM、8800MT/s速度的記憶體。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20Cray%20XD2000-2025-04-1.jpg" style="width: 198px;" /> <a href="https://s4.itho.me/sites/default/files/images/HPE Cray XD2000-2025-04-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20Cray%20XD2000-2025-04-2.jpg" style="width: 398px;" /></a></p> <p>在這樣的系統組態之中，Xeon 6處理器提供的HPC效能，相當於第五代Xeon Scalable處理器的兩倍（6980P對上8592+），在HPCG效能測試結果當中，前者可達到後者的2.5倍，每瓦效能為1.73倍）。XD230本身也支援熱設計功耗500瓦的Xeon 6處理器款式，可選用封閉迴路型液冷套件或直接液冷（DLC）套件。</p> <p><a href="https://s4.itho.me/sites/default/files/images/XD230-image (9).jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/XD230-image%20(9).jpg" style="width: 600px;" /></a></p> <p>就整臺伺服器而言，ProLiant Compute XD230最多可提供256顆核心，安裝24支DDR5-6400記憶體（最大容量3 TB），而在周邊裝置的擴充能力上，這款機型可安裝3張PCIe 5.0 x16介面卡，兩張OCP 3.0外形的網路卡，以及用於系統開機、支援硬體RAID備援的兩張M.2外形NVMe SSD（NS204i-u模組，類似Dell的BOSS控制器介面卡）。</p> <p>而在系統管理與安全防護上，ProLiant Compute XD230與ProLiant Gen11系列伺服器一樣，都採用ASIC晶片HPE iLO 6（但能換為OpenBMC），以及硬體信任根、UEFI安全開機、具有防竄改能力的韌體更新。</p> <p>關於網路連線規格的支援，XD230不僅能搭配英特爾、博通（Broadcom）、輝達（Nvidia）的10GbE/25GbE與100GbE網路卡，針對高效能運算應用需求，XD230還可選用進階的交織網路元件，像是支撐Cray超級電腦叢集網路環境的Slingshot 400GbE互連網路卡。</p> <p>而在叢集管理軟體的部分，XD230也完全整合HPE Performance Cluster Manager（HPCM，先前稱為CSM或CCMS），此套軟體可提供系統設定、硬體監控與管理、系統映像管理與軟體更新、耗電量管理、獨立軟體開發商與開放原始碼的軟體解決方案，以及AIOps功能。在軟體開發工具的使用上，XD230整合自家的解決方案，像是：HPE Cray Supercomputing Programming Environment（CPE）、HPE Message Passing Interface（MPI），針對第三方的開發工具使用，這款伺服器目前支援<a href="https://gcc.gnu.org/">GCC</a>、<a href="https://developer.nvidia.com/networking/hpc-x">Nvidia HPC-X</a>、<a href="https://www.amd.com/zh-tw/developer/aocc.html">AMD AOCC</a>，以及Perforce TotalView。</p> <p><a href="https://s4.itho.me/sites/default/files/images/HPE Cray XD2000-2025-04-3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20Cray%20XD2000-2025-04-3.png" style="width: 600px;" /></a></p> <p><strong><span style="color:#008080;">產品資訊</span></strong></p> <p><strong><span style="color:#0000FF;">HPE ProLiant Compute XD230</span></strong><br /> ●原廠：HPE<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：1U<br /> ●處理器：1或2顆英特爾Xeon 6 P-Core系列（48至128顆核心）<br /> ●記憶體：24個DDR5插槽（預設RDIMM，6400 MT/s；可支援MCRDIMM，8800 MT/s），最大可安裝至3 TB<br /> ●硬碟容量：10臺2.5吋NVMe固態硬碟，或20臺E3.S NVMe固態硬碟<br /> ●I/O介面：2個PCIe 5.0 x16，可安裝1張全高半長、1張短板，以及兩張OCP 3.0介面卡<br /> ●電源供應器：3200/2400瓦（1+1備援）<br /> ●管理平臺：HPE iLO6（可改用OpenBMC）、HPE OneView</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/4/18 19:26作者李宗翰https://www.ithome.com.tw/review/168474
【資安日報】4月18日，趨勢科技公布勒索軟體駭客CrazyHunter攻擊手法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這兩個月不斷在臺灣攻擊醫院、上市櫃公司的勒索軟體駭客組織CrazyHunter，在4月初刑事警察局公布駭客身分後，最近有資安業者透露其作案手法，並認為該組織的主要攻擊目標，就是臺灣。</p> <p>本週趨勢科技公布相關調查結果，他們提及駭客利用的工具多半由GitHub就能取得，這代表駭客犯案的門檻並不高。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168479"><strong style="font-size: 22px;">趨勢科技證實CrazyHunter鎖定臺灣而來，運用來自GitHub的工具犯案</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/CrazyHunter-Figure7.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/CrazyHunter-Figure7.png" style="width: 300px; float: right;" /></a>從今年2月開始攻擊馬偕、彰基，以及臺灣多家上市櫃公司而引起全臺灣高度關注勒索軟體駭客組織CrazyHunter，4月初刑事警察局公布駭客身分，並表示地檢署已發布通緝，但對於駭客的攻擊手法，近期終於有資安業者公布相關細節。</p> <p>趨勢科技本週透過部落格文章揭露這一系列鎖定臺灣的攻擊調查結果，他們從1月初開始追蹤、調查CrazyHunter，並確認該組織約有8成的作案工具透過GitHub平臺取得，且藉由自帶驅動程式（BYOVD）手法迴避偵測。而根據駭客架設的資料外洩網站，他們專門針對臺灣的企業組織而來，尤其針對醫療保健及教育機構，但也有製造業及工業領域受害的情形。</p> <p>針對駭客使用的工具，最引起研究人員注意的是勒索軟體建置工具Prince，原因是此工具可直接從GitHub取得，且能讓攻擊者輕易產生變種勒索軟體來降低攻擊門檻。此勒索軟體以Go語言打造而成，駭客採用ChaCha20與ECIES演算法加密受害電腦，並置換副檔名為.Hunter。</p> <p><a href="https://www.ithome.com.tw/news/168424"><strong style="font-size: 22px;">【當心提示注入、敏感資訊洩漏、錯誤資訊等問題】已在真實世界發生的LLM資安風險</strong></a></p> <p>當生成式AI技術快速進入企業應用的同時，資安風險也伴隨而來，在知名OWASP Top 10風險排名報告中，已列出並持續更新大型語言模型（LLM）應用的十大安全風險，不僅揭露應用的潛在威脅，也提醒生成式AI服務供應商，以及應用這些技術的企業與個人，應注意這方面的安全問題。</p> <p>別以為這些只是假設在未來發生的情境，有些風險本身就是反映真實世界存在的安全事件。在我們近期報導的國內外資安新聞中，就有一些案例突顯這些問題，並且提醒大家須保持警惕。</p> <p>其中，去年11月在臺灣就發生相關事故，有民眾發現，北捷提供的AI智慧客服服務，竟能用於生成程式碼範例，引發許多網友測試，導致資源遭濫用。這其實就是名列LLM十大風險的「提示詞注入」當中的一種情境，使用者透過特定輸入，誘使AI客服產生超出預期範圍的回應，代表系統可能未有效限制模型的回應範圍，導致被濫用。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/04/state-sponsored-hackers-weaponize.html">北韓、伊朗、俄羅斯駭客發動ClickFix網釣攻擊，散布惡意軟體</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/04/mustang-panda-targets-myanmar-with.html">中國駭客Mustang Panda鎖定緬甸而來，利用StarProxy橫向移動</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/brickstorm-backdoor-targets-european-industries/">中國駭客UNC5221鎖定歐洲，散布後門程式BrickStorm</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/chrome-extensions-with-6-million-installs-have-hidden-tracking-code/">惡意Chrome延伸套件遭下載6百萬次，受害者恐遭監視上網行為</a></strong></p> <p></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/04/experts-uncover-four-new-privilege.html">Windows工作排程元件存在弱點，恐被用於提升權限</a></strong></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168469"><strong style="font-size: 22px;">【臺灣資安大會直擊】個資保護委員會籌備處建議用MFA確保使用者身分安全，並以高安全性多因子驗證來提高攻擊難度</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/1744900536774.jpeg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1744900536774.jpeg" style="width: 300px; float: right;" /></a>「許多人會問個資保護與資訊網路安全到底有什麼關係？答案是兩者之間有關係！」，個人資料保護委員會籌備處隱私科技組組長林逸塵在今年資安大會上這麼說。林逸塵指出，對於資料及資安保護採取PDCA四大步驟，規畫（Plan）、實施（Do）、檢查（Check）、改善（Adjust），數發部產業署在2023年提出詳細的PDCA各步驟要求，可供企業參考，只要公司內有資訊系統，除了要符合資訊服務業者的PDCA四大步驟，還需要遵守各自業別的法律規定及資料保護要求。</p> <p>在PDCA裡，「實施」要求企業需確保資料安全、人員安全、設備安全。林逸塵表示，只要企業有資訊系統及資訊設備，對個資進行存取、新增或修改，就需要符合資料安全、人員安全、設備安全的要求。其中在身分鑑別方面，除了傳統使用的帳號及密碼，近幾年倡導使用多因子驗證（MFA），因不同的因子安全性高低有別，因此，林逸塵也建議應該將因子安全性高低納入考慮，例如採用電子憑證或生物特徵，甚至是將更多的因子綁在一起，提高攻擊的難度。</p> <p><a href="https://www.ithome.com.tw/news/168470"><strong style="font-size: 22px;">【臺灣資安大會直擊】安碁學苑：企業應從實務出發，打造涵蓋內外部人員角色的資安人才梯隊培訓藍圖</strong></a></p> <p>資安威脅複雜程度不斷提升，駭客手法隨著科技創新跟著進化的現今，企業應如何規畫資安人才培育，來支援企業營運韌性？資安訓練服務商安碁學苑營運長劉孟昌列出三項企業可自我檢視的問題：是否具備即戰力的資安團隊？是否有分類與分層次的資安人才培育藍圖？以及，是否具備整合內外部資源、持續進化的能力？</p> <p>劉孟昌進一步解釋，現行環境下，不只資安人才不足成挑戰，培訓資安人才的方式，也可能跟不上日新月異的資安威脅。他觀察，不少企業資安訓練內容，是證照考取導向，或理論導向。這類培訓方法，難以為資安人員應付最新威脅做準備。應該以實務為導向來培育具備即戰力的資安人員，才能對威脅快速反應。</p> <p>不只IT和資安人員需要具備即戰力。劉孟昌認為，企業應該先意識到，每個部門的每個角色都是資安第一線防線。由於每個職位的工作流程，仍是該職位人員最熟悉。企業須普及資安意識及知識到全體員工，才能靠各職位人員辨別工作流程中易被突破的環節或資訊外洩缺口。</p> <p><a href="https://www.ithome.com.tw/news/168178"><strong style="font-size: 22px;">HTTPS憑證產業於3月新增兩項安全要求，7月禁止基於WHOIS的弱驗證</strong></a></p> <p>憑證頒發機構瀏覽器論壇Certification Authority Browser Forum（CA/Browser Forum）近日通過了HTTPS憑證兩項新的安全要求，包括多方發行驗證（Multi-Perspective Issuance Corroboration，MPIC），以及憑證檢查（Linting），並已於今年3月15日正式實施，而這兩項要求都是由Google內部的瀏覽器憑證管理專案Chrome Root Program所提出。</p> <p>除了上述兩項已經施行的憑證頒布安全機制外，Google也已提議淘汰某些基於WHOIS的弱驗證，這些包括透過電子郵件、電話，以及傳真與實體郵件等驗證方法，以推動更安全的網域控制驗證機制，該禁令預計於今年的7月15日生效。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/168466"><strong>【4月17日】CVE專案長年靠美國政府資金運作議題浮上檯面</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168438"><strong>【4月16日】MITRE停止維護CVE等多項專案，恐波及全球資安漏洞分析</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168418"><strong>【4月15日】總統親臨臺灣資安大會致詞，從國家戰略、產業政策彰顯資安</strong></a></p> </div></div></div>
2025/4/18 15:27作者周峻佑https://www.ithome.com.tw/news/168486
專門解析AI模型內部運作原理的Goodfire，展開5,000萬美元的A輪融資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年才創立、專門解析AI模型內部運作原理的<a href="https://www.goodfire.ai/blog/announcing-our-50m-series-a" target="_blank">Goodfire周四（4/17）宣布</a>，正在展開由Menlo Ventures領投的5000萬美元A輪融資，以用來拓展其研究計畫，以及與客戶共同開發可解釋性平臺Ember。</p> <p>Goodfire成立於2024年，在去年8月完成700萬美元的種子輪融資，股東之一是由Menlo Ventures及AI新創Anthropic在同年7月共同創立的1億美元基金<a href="https://menlovc.com/anthology-fund/" target="_blank">Anthology Fund</a>，也是Anthology Fund首批投資的公司之一。Anthropic也參與了Goodfire的A輪融資，其它參與者還包括Lightspeed Venture Partners、B Capital、Work-Bench、Wing及South Park Commons。</p> <p>Goodfire的共同創辦人包括現任執行長Eric Ho，曾共同創辦DeepMind可解釋性團隊的Tom McGrath，曾共同創辦Apollo Research並率先使用稀疏編碼器的Lee Sharkey，以及曾共同創立OpenAI可解釋性團隊的Nick Cammarata。</p> <p>Goodfire所從事的是新興的逆向工程神經網路科學，專注於核心機制的可解釋性研究，目的是實現模型神經網路的腦部手術。由Goodfire所開發的Ember平臺主要用來解碼AI模型內部的神經元，以便直接或可透過程式設計來存取模型的內部想法，企圖解鎖採用、訓練及調整AI模型的新方法，讓使用者得以發現隱藏於模型內的新知識，精確塑造模型的行為並提高模型性能。</p> <p>這是因為AI模型的通常含有數層的神經元，它們經過反覆的訓練與調整，處理大量的資料，而且許多深度學習模型會自動從原始資料中學習特徵，即便是在訓練過程中知道每個權重與偏差的變化，但卻難以追蹤模型的決策過程，因而又被稱為黑箱。隨著AI模型變得愈來愈大，它們也愈來愈不透明，開始有AI專家擔心這些模型在人類不明白其運作原理時所作出的關鍵決策。</p> <p>Ho說，沒有人了解AI模型失效的機制，因此也沒有人知道該如何修復它們，Goodfire的願景是建構各種工具，以讓組織得以從內而外地理解、設計與修復神經網路，而此一技術對於打造安全而強大的基礎模型至關重要。</p> <p>未來Goodfire計畫釋出更多的研究預覽版，以支援涵蓋圖像處理、先進推理語言模型，以及科學建模等領域的可解釋性技術。</p> </div></div></div>
2025/4/18 15:58作者陳曉莉https://www.ithome.com.tw/news/168488
OpenAI測試速度較慢，但價格只有一半的API選項Flex Processing
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://platform.openai.com/docs/guides/flex-processing" target="_blank">OpenAI開始測試</a>一個名為Flex Processing的API選項，顧名思義，它具備彈性處理的特性，回應時間可能比較慢，偶爾還會出現資源不可得的狀態，但它的價格只有傳統API的一半，由於尚處測試階段，因此目前僅支援o3及o4-mini模型。</p> <p>OpenAI說明，Flex Processing可大幅降低開發者在對話補全（Chat Completions）或回應（Responses）請求上的成本，代價是可能會有較慢的回應時間，或是偶爾會出現資源不可得的情況。然而，它非常適合非生產或低優先性的任務，像是模型評估，資料擴充，或是非同步的工作負載等。</p> <p>目前OpenAI平臺的定價頁面上已經出現了Flex API，它的價格與Batch API一致，切換就能看到相關價格。</p> <p>o3模型原本每百萬個輸入Token的價格為10美元，每百萬個輸出Token的價格為40美元，o4-mini每百萬個Token的輸入與輸出則分別是1.1美元與4.4美元，但切換至Flex API之後，它們的價格分別只要5美元、20美元、0.55美元與2.2美元。</p> <p>開發人員只要在API請求中，將service_tier參數設為flex即可啟用該功能，OpenAI提醒，以官方OpenAI SDK送出API請求時，其預設的超時時間為10分鐘，倘若提示過於冗長或任務相對複雜，可能需要提高該數字，此外，當遇到資源不可得時，可採用指數退避機制來重試請求。</p> <p>相較於Batch API主要用來處理大量任務，並非即時，且處理時間的上限長達24小時，Flex Processing依然傾向於即時處理，只是可能會稍微有些延遲。</p> </div></div></div>
2025/4/18 14:44作者陳曉莉https://www.ithome.com.tw/news/168484
微軟Semantic Kernel整合MCP與A2A協定，大幅擴展跨模組AI代理互通性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟開源人工智慧代理開發框架Semantic Kernel，現已支援來自Anthropic與Google的兩項開放協定，分別是MCP（Model Context Protocol）與A2A（Agent‑to‑Agent），進一步強化跨代理上下文共用、工具協作與跨雲環境的互通能力。透過這兩項協定的整合，開發者不僅能在本地與遠端串接多個語言模型、工具與代理，也能實現跨平臺、跨生態的模組化任務委派與功能組合，進一步簡化多代理系統的建構流程。</p> <p>在<a href="https://devblogs.microsoft.com/semantic-kernel/semantic-kernel-adds-model-context-protocol-mcp-support-for-python/">MCP支援</a>方面，Semantic Kernel從Python 1.28.1版本以來，已具有完整客戶端與伺服器角色的能力，可作為MCP主機開放自身的函式與提示詞，還能當作客戶端串接任何符合MCP協定的伺服器。MCP支援多種傳輸層，包括Stdio、SSE與WebSocket，允許開發者根據執行環境選擇合適的串接模式。該機制特別適用於在模型存取受限的場景，透過主機完成文字生成任務，維持封閉環境的運作安全。</p> <p>此外，Semantic Kernel也完成對Google所推的<a href="https://devblogs.microsoft.com/foundry/semantic-kernel-a2a-integration/">A2A協定的初步整合</a>。A2A為一種輕量化的JSON-RPC over HTTP協定，設計目標在於促進不同雲端平臺，人工智慧代理間的非同步上下文交換，避免傳遞敏感憑證與複雜相依元件。微軟提供的整合範例中，建置了一個旅遊代理，能根據任務類型動態路由至匯率查詢代理，或行程規畫代理，並透過A2A的Agent Card機制進行自動探索與任務派送。</p> <p>MCP與A2A協定源自不同技術社群，但其目的皆是提升人工智慧代理間，上下文可用性與功能互操作性。Semantic Kernel整合這兩項協定，擴展了人工智慧系統在不同環境間彈性部署，對企業開發團隊與代理系統設計者而言，可降低多代理協同實作的技術門檻，也對異質系統的模組化人工智慧代理的導入與部署，帶來更高的自由度。</p> <p>目前相關範例已釋出於Semantic Kernel與Google A2A的官方範例儲存庫，微軟也預告將持續擴充整合腳本，包含Azure AI Foundry與Semantic Kernel的整合範例，供開發者參考建構彈性多雲環境人工智慧代理應用。</p> </div></div></div>
2025/4/18 14:54作者李建興https://www.ithome.com.tw/news/168485
Cloud周報第222期：Google AI超級電腦技術架構大升級，日本MUFG兩萬六千名員工改用雲端CRM，英國Ll…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#0000FF;"><strong>雲端重點新聞（2025/3/20～4/15）</strong></span></p> <p><strong>這期介紹Google在Next大會最新發表的AI超級電腦技術架構的最新發表之外，也特別介紹了兩家大型金融集團的上雲成果，一家是日本金融機構日本最大金融集團MUFG（三菱日聯銀行）採用雲端CRM，另一家是英國最大零售銀行集團Lloyds打造了一個全集團通用的雲端GAI平臺</strong></p> <h3><strong><span style="color:#FF0000;">#AI技術架構 #Google產品架構</span><br /> 一張圖揭露Google AI超級電腦架構今年有哪些新產品，從硬體層到軟體都瞄準AI推論</strong></h3> <p>早在2年前，Google就發表了這個AI Hypercomputer超級電腦架構，整合了效能最佳化的硬體、開放軟體與與靈活的消費模式。當年提出這個架構的目標是為了提供AI訓練、微調與服務的效率及生產力。這個AI超級電腦架構可說提供了一套AI基礎設施，可供企業直接取用，或透過Vertex AI開發平臺來調度運用。 </p> <p>在今年Next大會中，AI Hypercomputer從底層硬體、中間開放軟體，到上層消費模式都有更新，Google也用一張圖來盤點這11項新特色。</p> <p>在AI超級電腦架構的底層硬體層，除了發表了專為模型推理所設計的第七代TPU處理器Ironwood之外，也推出了兩款新的GPU虛擬機器實例，包括了正式上市的A4 VM（Nvidia B200）以及目前處於預覽階段的A4X VM，後者搭載了Nvidia GB200。為了支援AI工作負載需要的超低延遲，Google提供了400G頻寬的網路互連和跨雲互聯，是原本頻寬的4倍。可以支援到單一叢集3萬顆GPU。另外也針對AI工作負載的資料存取，推出兩款新的儲存機制上，一像是新的區塊儲存池服務，稱為Hyperdisk Exapools（超磁碟池），可以管理和調度最多數EB的資料量，支援AI叢集每秒高達TB級的資料流量，預計在今年第二季釋出預覽版。</p> <p>Google物件儲存則推出了用Google檔案叢集專案Colossue打造的區域內Rapid Storage（快速儲存）服務，透過gRPC串流技術，可以提供低於1毫秒延遲的亂數讀寫，每秒6TB的資料吞吐量，在單一區域內支援GPU和TPU的資料存取，來支援AI模型訓練之用。針對AI工作負載的資料存取，Google也推出兩款新的儲存機制上，一像是新的區塊儲存池服務，稱為Hyperdisk Exapools（超磁碟池），可以管理和調度最多數EB的資料量，支援AI叢集每秒高達TB級的資料流量，預計在今年第二季釋出預覽版。在物件儲存服務上，推出了用Google檔案叢集專案Colossue打造的區域內Rapid Storage（快速儲存）服務，透過gRPC串流技術，可以提供低於1毫秒延遲的亂數讀寫，每秒6TB的資料吞吐量，在單一區域內支援GPU和TPU的資料存取，來支援AI模型訓練之用。</p> <p>不只訓練，針對AI推論需求，Google也推出了Cloud Storage Anywhere Cache（雲端儲存任意地點快取）可以將既有區域雲端儲存的資料轉移到指定雲端區域的快取上，進一步減少資料讀取的延遲時間和提高吞吐量，例如針對不同地區使用不同的雲端區域快取，來提高AIj推論的反應速度。</p> <p>在AI超級電腦架構中間的開放軟體層，最大新特色是發表了雲端版Pathways，這是一個由Google DeepMind團隊開發的分散式訓練和推論平臺。Pathways可以拆解生成式AI推論服務處理過程，將高耗運算的prefill（預填入）任務和高耗記憶體的Decode（解碼）任務，拆成不同的處理，各自分配不同的運算資源來處理，來優化AI推理的處理。</p> <p>GKE是不少企業常用於執行模型推論的雲端環境之一，Google推出了叢集管理工具Cluster Director升級版，可支援GKE工作負載的管理，像是工作負載配置安排，排程規劃等，來支援AI訓練耕作負載的調度。GKE更推出了兩項支援AI推論的新功能預覽版，推論閘道器和推論快速啟動器，前者可以用來分配和安排大量AI推論請求的負載平衡，後者則可以依據AI模型特色快速配置需要的GKE環境資源。最後一項軟體層新特色是推出可以支援TPU運算的vLLM推論框架，這是一個支援超大吞吐量的快速推論框架，也可使用TPU來計算。</p> <p>在算力消費模式上，可自動調配工作負載的Google動態工作負載排程器（DWS）服務，也宣布支援加速處理器，可以在Flex Start模式下，調度第五代TPU v5e晶片、第六代TPU晶片Trillium，搭載H200的A3 Ultra虛擬機器、搭載B200的A4虛擬機器等。未來還將支援日曆模式，指定日期來調度。DWS更增加了適合長期執行的推論工作負載調度和大範圍訓練任務的負載調度。</p> <h3><strong><span style="color: rgb(255, 0, 0);">#GAI趨勢 #企業需求觀察</span><br /> 美銀研究：GAI帶動AI基礎設施三階段發展，2027年將爆發企業AI需求潮</strong></h3> <p>3月底，美國銀行全球研究部（BofA Global Research）在臺舉辦論壇，美銀超級研究部門主管Tap Liani觀察，「AI基礎設施將進入一個持續多年成長的發展周期。」</p> <p>他剖析，當前AI發展處於基礎設施建設的初期，還沒看到應用程式。大型雲端公司正在打造AI需要的基礎設施，是第一階段，第二階段則是雲端SaaS公司，他們會找到獨特的方式運用AI。但「第三階段才是影響最大的階段，可能從2027年開始，大量企業要找出適合AI的應用。」像是利用AI來創造新的收入，降低成本，尋找新顧客，尋找新的商業模式等。「第三階段的基礎建設規模，將比現在的規模還要大四到五倍。」</p> <p>Tap Liani剖析，因為企業不想將自己的數據交給大型雲端業者，為了將數據留在內部，必須建立自己的基礎設施。未來2、3年，企業會積極開始建立邊緣雲，將創新和算力帶到邊緣環境中。從第一階段到接下來的二、三階段發展，「AI基礎設施將進入一個持續多年成長的發展周期。」</p> <p>AI基礎設施如何降低成本？必須先區分出訓練和推論的不同，訓練不是節省成本最多的階段，推論才是。「AI推論更適合企業的應用，如果推論成本可以降低9成，甚至更高，將加快推論應用的部署，進而加速企業採用GAI。」Tap Liani觀察。</p> <p>從今年GTC主題演講揭露的數據，光是四大公雲業者在2025年就訂了高達360萬張新一代Blackwell GPU卡，比2024年的前一代Hopper GPU訂購量130萬張，多了快三倍。這個數據呼應了美銀超級研究部門主管的觀察，當前處於第一階段的發展，大型雲端積極投入AI基礎設施的建置。等到第三階段，企業大量採用後，知名研究機構如Dell’Oro也曾預測，2028年全球AI資料中心的資本投資規模將高達1兆美元。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%BE%8E%E9%8A%80%E8%B6%85%E7%B4%9A%E7%A0%94%E7%A9%B6%E9%83%A8%E9%96%80%E4%B8%BB%E7%AE%A1.jpg" /></p> <h3><strong><span style="color:#FF0000;">#AI推論 #TPU晶片</span><br /> Google推出第一款瞄準推論AI需求的TPU</strong></h3> <p>剛4月初剛結束的Google年度大會Next，官方統計多達229項宣布，涵蓋了GAI在不同層面的應用需求，從雲端AI基礎架構，到地端GAI部署，推出了多款更強更多模態內容生成的AI模型升級，也涵蓋了後端服務、資料服務到前端GAI開發的輔助，更發表了一系列辦公室生產力套件的GAI升級版本。</p> <p>第一個值得關注的重大新產品是Google Cloud推出第一款瞄準推論AI需求的TPU處理器Ironwood。這是第七代TPU處理器，主要針對大規模推論需求而設計，尤其可用於思考型的模型，像是大型語言模型，進階推理任務的模型或是採取混合專家模型架構的LLM。</p> <p>Google雲目前提供了兩款規模的Ironwood工作負載，一種是256顆TPU的規模，另一個是9,216顆TPU的叢集。這款新TPU單一晶片可以提供最高4,614 TFlops的運算能力，9,216顆TPU的叢集可以提供到42.5 EFlops的算力，是現在世界最強超級電腦El Capitan算力的24倍以上。Ironwood採取液體冷卻設計，每瓦提供的算力是去年第六代TPU的2倍。</p> <p>為了支援如此龐大的算力計算，Google Cloud也搭配使用了DeepMind團隊開發的ML分散式計算框架Pathways，可以將數十萬個Ironwood晶片組合在一起進行分散式運算。<br /> 不只自家開發的TPU，在AI算力支援上，Google Cloud先前就宣布將提供搭載Nvidia B200和GB200兩款GPU的 A4和A4X虛擬機器，Google會成為Nvidia新一代GPU架構晶片Vera Rubin GPU的第一家雲端供應商。</p> <h3><strong><span style="color:#FF0000;">#落地部署 #Gemini</span><br /> Google最強GAI模型Gemini終於支援落地部署了！今年第三季釋出公開預覽版</strong></h3> <p>另一個值得注意的GAI模型重大宣布是，Google Cloud最強大的Gemini模型，開始支援落地部署方式，可以部署到企業內部的Google分散式雲端（GDC）伺服器上，不用連上網際網路也能提供GAI模型推論。可以提供單一伺服器的部署，也能支援到數百個機櫃規模的落地部署。Gemini模型可以部署到採用Nvidia Blackwell架構GPU的系統，目前先支援戴爾的DGX B200和HGX B200系統。在本地端GDC執行的Gemini模型，可以處理百萬等級的上下文，也能具備多模態，處理文字、圖片、聲音和影音等不同資料格式，支援超過100種語言。在GDC上的Gemini運作，安全等級可以提供到美國政府機密與最高機密等級任務的強度。</p> <p>不只Gemini，今年第三季，AI代理服務Google Agentspace搜尋服務，也會推出可以落地部署到GDC伺服器的版本，預建多款AI代理，也能自製。可以支援企業內部的對話式資料搜尋，透過預設的資料連結器，能存取企業多款軟體系統上的內部資料，如Confluence、Jira、ServiceNow和Sharepoint等。本地端部署的Agentspace支援權限感知功能，可依據存取控制清單，來確保搜尋結果的合規和可用權限。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%A4%A7GDC%E7%85%A7%E7%89%87-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Google%20Cloud.jpeg" /></p> <h3><strong><span style="color:#FF0000;">#金融導入SaaS #客戶關係管理</span><br /> 日本最大金融集團導入SaaS版CRM，提供單一顧客視圖支援2萬6千名業務員</strong></h3> <p>日本最大金融集團MUFG（三菱日聯銀行）宣布今年4月將啟用新一代CRM，提供旗下各分行超過2萬6千名業務人員。為了有能力快速更新與提高擴充性，三菱日聯銀行導入SaaS雲端版CRM，導入Salesforce的金融雲服務，來取代內部地端部署方式。</p> <p>新版CRM最大特色是可以集中集團內部和外部的所有顧客數據，在單一畫面上呈現出顧客的完整視圖，讓業務人員更了解顧客來提出建議。另外也提供了銷售人員的AI推薦功能，可以自動針對每一個顧客提供客製化的金融業務建議方案，來加快業務人員的速度。新版CRM特別強化對新手業務人員的輔助，協助他們與顧客的聯繫和接觸時，可以更快做出反應，來提高銷售效率和成功率。三菱日聯銀行導入後，將持續聚焦於提高AI推薦客製化方案的準確性。<br /> 早在今年一月，<a href="https://www.ithome.com.tw/news/166756">他們也公開了多項GenAI成果</a>，像是為全球資本市場業務銷售人員開發的GenAI銷售輔助平臺Markeetgin DX，可用來快速彙整一家企業客戶的趨勢分析。</p> <h3><strong><span style="color:#FF0000;">#金融GAI平臺實例 #代理型AI</span><br /> 英國最大零售銀行集團Lloyds打造雲端通用GAI平臺，加速開發18套GAI應用，還有12套6月上線</strong></h3> <p>英國最大零售銀行集團Lloyds，近日宣布，使用雲端Vertex AI平臺打造了一套全集團通用的GenAI應用平臺，提供給內部300名資料科學家和AI工程師使用。這個新平臺，也整合了 Lloyds金融集團15套原有的模型建置系統，以及上百個集團內子公司在本地端部署的獨立模型。 </p> <p>這個銀行集團旗下包括了英國三大銀行之一Lloyds銀行，除了消金和企金之外，該集團業務還涵蓋了保險，人壽，養老金管理等，顧客超過2,700萬人，企業顧客也超過100萬家，集團規模超過10萬名員工。</p> <p>Lloyds銀行集團數據和分析長Ranil Boteju指出，新GenAI開發平臺可以讓集團各地的資料科學家和AI工程師，遵循統一的安全機制存取GenAI技術，可以活用第三方或開源的大型語言模型，來加速AI創新速度，也能來改善既有的金融服務演算法，像是採用了新的收入驗證演算法，讓顧客貸款申請的財力驗證作業從數天縮短到數秒。</p> <p>Lloyds金融集團在新GAI平臺上已經啟動了80多項AI專案，已有18套GenAI系統上線使用，應用場景涵蓋該集團所有業務，預計今年6月底還會上線12套GenAI系統。<br /> 目前，他們正在研發一款可以改變顧客與銀行互動方式的代理型AI，已經完成雛形，預計今年底推出給顧客。</p> <h3><strong><span style="color:#FF0000;">#SSL憑證 #網站安全</span><br /> 企業官網要注意，SSL憑證明年開始逐年縮短，現行一年更新週期，四年後每個月都要更新</strong></h3> <p>擔心長效期的憑證可能落入駭客手中，助長惡意程式散布， SSL/TLS憑證的效期越來越短。近日，憑證產業論壇CA/Browser Forum（CA/B論壇）做出決議，所有SSL/TLS憑證最長效期將由現行398天縮短9成，到2029年剩47天，且每月需更新一次。企業需要更留意官網憑證效期，避免過期導致網站遭到瀏覽器列入高風險或不安全網站清單。<br /> 現行所有SSL/TLS憑證最長效期為398天，從 2026年3月15日起，SSL/TLS憑證最長效期會縮短到200天，6個月更新一次。而網域控制驗證（DCV）重覆使用期限也減到200天。2027年3月15日起，憑證最長效期會再短100天，3個月更新一次，DCV重覆使用期限同步減為100天。4年後，即2029年3月15日，最長SSL/TLS憑證效期就會減至47天，每個月更新一次，DCV重覆使用期限將只剩10天。</p> <h3><strong><span style="color: rgb(255, 0, 0);">#虛擬化 #ESXi</span><br /> 中斷一年多，博通再次釋出免費版ESXi授權</strong></h3> <p>VMware過去長年提供的免費版ESXi，向來是許多開發者測試或中小企業管理小規模虛擬機器的主要工具，直到去年2月，博通調整VMware永久授權政策時，也決定終止免費版本。事隔一年，<a href="https://www.ithome.com.tw/news/168416">最近博通又低調地開始釋出ESXi 8.0的免費版。</a></p> <p>博通在4月10日發布的ESXi 8.0版更新3e版本的說明文件中，在最新消息提到，這款VMware vSphere Hypervisor 8是一個入門級的虛擬機器管理版本，從這個版本開始，可以從博通支援入口網站上免費下載。不過，目前在中文版ESXi 8.0發布說明中，還沒提到這點。 ESXi 8.0e這個版本不是直接開放下載，使用者需先在博通支援入口網站註冊後才能免費下載。</p> <p><strong>更多新聞</strong></p> <ul> <li>國際能源署IEA預測，全球資料中心到2030年的用電量將增加一倍以上，AI為最大驅動力</li> <li>微軟擴充.NET Aspire部署能力，標準化應用開發到多雲部署流程</li> </ul> <p>責任編輯：王宏仁</p> </div></div></div>
2025/4/18 15:06作者王宏仁https://www.ithome.com.tw/news/168483
CrazyHunter駭客鎖定臺灣而來，運用來自GitHub的工具犯案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從今年2月開始攻擊<a href="https://www.ithome.com.tw/news/167327">馬偕</a>、<a href="https://www.ithome.com.tw/news/167671">彰基</a>，以及臺灣多家上市櫃公司而引起全臺灣高度關注勒索軟體駭客組織<a href="https://www.ithome.com.tw/tags/crazyhunter">CrazyHunter</a>，<a href="https://www.ithome.com.tw/news/168224">4月初刑事警察局公布駭客身分</a>，並表示地檢署已發布通緝，但對於駭客的攻擊手法，近期終於有資安業者公布相關細節。</p> <p>趨勢科技本週<a href="https://www.trendmicro.com/en_us/research/25/d/crazyhunter-campaign.html">透過部落格文章</a>揭露這一系列鎖定臺灣的攻擊調查結果，他們從1月初開始追蹤、調查CrazyHunter，並確認該組織約有8成的作案工具透過GitHub平臺取得，且藉由自帶驅動程式（BYOVD）手法迴避偵測。而根據駭客架設的資料外洩網站，他們專門針對臺灣的企業組織而來，尤其針對醫療保健及教育機構，但也有製造業及工業領域受害的情形。</p> <p>針對駭客使用的工具，最引起研究人員注意的是勒索軟體建置工具Prince，原因是此工具可直接從GitHub取得，且能讓攻擊者輕易產生變種勒索軟體來降低攻擊門檻。此勒索軟體以Go語言打造而成，駭客採用ChaCha20與ECIES演算法加密受害電腦，並置換副檔名為.Hunter。在檔案加密完成後，CrazyHunter會留下勒索訊息Decryption Instructions.txt，並更換桌布，受害者施壓，要求他們支付贖金。</p> <p>研究人員特別提及駭客廣泛從GitHub取得開源工具並加以修改、運用的現象，也突顯想要自行組建惡意攻擊工具的門檻越來越低。其中，駭客從來發動BYOVD攻擊的工具稱為ZammoCide，他們搭配Zemana Anti-Malware含有弱點的驅動程式zam64.sys，藉此終止與EDR有關的處理程序。</p> <p>而對於權限提升及橫向移動，CrazyHunter則是運用名為SharpGPOAbuse的工具，竄改群組原則物件（GPO），而能於受害組織的網路環境部署惡意酬載，並試圖提升權限及橫向移動。</p> </div></div></div>
2025/4/18 12:25作者周峻佑https://www.ithome.com.tw/news/168479
Google預覽新模型Gemini 2.5 Flash，導入思考預算機制提升推理控制彈性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google宣布推出新預覽語言模型<a href="https://developers.googleblog.com/en/start-building-with-gemini-25-flash/">Gemini 2.5 Flash</a>，主打具備可切換推理功能與思考預算（Thinking Budget）控制機制，協助開發者在速度、成本與結果品質之間取得更細緻的平衡。相較先前版本2.0 Flash，本次更新在保留高運算效率的前提，進一步強化對複雜任務的理解與處理能力，特別是可明顯提升需要多步驟推理指令的回答準確度。</p> <p>Gemini 2.5 Flash為Google第一個混合式推理模型，允許開發者透過API或Google AI Studio介面，依據使用場景決定是否啟用模型的思考能力，並可設定Token上限作為推理預算。系統將依據提示字串的難度，自動判斷是否進入推理程序以及推理的長度，避免資源浪費。開發者也可將預算設為0，跳過推理階段，以最低延遲回應簡單問題。</p> <p>在推理能力評估方面，Gemini 2.5 Flash在開源測試平臺LMArena的Hard Prompts測試表現接近旗艦級2.5 Pro模型，表示其已具備處理跨領域計算、邏輯推論與結構分析的能力，同時保有相對輕量的參數規模與運算成本。Google指出，Gemini 2.5 Flash透過可設定的推理預算機制，提供開發者在成本、延遲與品質之間更靈活的控制方式，適用於處理語言理解、資料分析與決策輔助等具備不同複雜度的任務。</p> <p>Gemini 2.5 Flash已於Google AI Studio與Vertex AI平臺開放預覽，開發者可透過新參數thinking_budget控制模型的推理深度，範圍從0至24,576 Tokens，不僅支援API呼叫，也提供圖形化控制介面調整，並可參考官方提供的Gemini Cookbook範例進行試驗。Google表示，未來將持續改進Flash系列模型並擴展適用範圍，預計在進入正式發布階段前，還會釋出更多版本更新與功能細節。</p> </div></div></div>
2025/4/18 14:09作者李建興https://www.ithome.com.tw/news/168482
法院判決Google數位廣告技術違反壟斷法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國司法部（DoJ）在2023年1月聯同美國多州的檢察長<a href="https://www.justice.gov/archives/opa/pr/justice-department-sues-google-monopolizing-digital-advertising-technologies" target="_blank">控告Google壟斷數位廣告技術</a>，而<a href="https://storage.courtlistener.com/recap/gov.uscourts.vaed.533508/gov.uscourts.vaed.533508.1410.0.pdf" target="_blank">美國聯邦法院則在本周四（4/17）裁定</a>，Google在網路廣告及廣告技術市場的主導地位，違反了美國反壟斷法。</p> <p>美國司法部於訴訟文件中指出，Google控制著幾乎所有主要網站出版商用來在網站銷售廣告的數位工具DoubleClick For Publishers（DFP），該出版商廣告伺服器的市占率超過9成；也控制了幫助數百萬大型及小型廣告主購買廣告庫存的Google Ads及Demand Side Platform（DSP），這兩項工具的總市占約為40%；還控制了市占率超過50%、用來媒合出版商及廣告主的廣告交換平臺Google Ad Exchange（AdX）。</p> <p>根據統計，Google在出版商廣告伺服器的市占率達到91%，在廣告交換平臺AdX上的市占率則介於63%及71%之間。此次的判決認為DFP及AdX違法，但廣告購買工具則否。</p> <p>法官Leonard Stark認為，Google利用所控制的DFP出版商伺服器，讓廣告主更容易透過自家的廣告交換平臺AdX取得優勢，例如讓AdX先看到出價，而排擠其它競爭的交換平臺；Google還綁定DFP與AdX，強迫使用DFP的出版商必須同時使用AdX，限制它們選擇其它廣告交換平臺的自由；法官還認為Google藉由諸如AdMeld等競爭對手以進一步鞏固市場地位，並排除潛在競爭者。</p> <p>Stark指出，Google的上述行為已經違反《謝爾曼法反托拉斯法令》（Sherman Antitrust Act）的第一條，透過綁定與排他性來限制自由競爭，以及第二條，透過不正當手段維持壟斷地位。不僅讓Google維持不公平優勢，也壓制了其它創新及價格競爭，危害廣告主及出版商的利益，企圖維持既有的壟斷地位。</p> <p><a href="https://www.justice.gov/opa/pr/department-justice-prevails-landmark-antitrust-case-against-google" target="_blank">司法部在判決出爐的同一天就發布聲明</a>以慶祝勝利；但<a href="https://x.com/newsfromgoogle/status/1912892999047971152" target="_blank">Google負責法律事務的副總裁Lee-Anne Mulholland也說</a>自己贏了一半，且並不認同法院對於出版商工具的看法，因為其實出版商有很多選擇，Google準備提出上訴。</p> <p>除了數位廣告之外，<a href="https://www.ithome.com.tw/news/140636" target="_blank">美國司法部也曾在2020年10月控告Google</a>的搜尋引擎及搜尋廣告違反《謝爾曼法反托拉斯法令》，妨礙市場競爭，而<a href="https://www.ithome.com.tw/news/164309" target="_blank">聯邦法院也在去年8月判決</a>Google敗訴，Google亦選擇繼續上訴。</p> <p>一般而言，在法院裁決Google敗訴後，便開始考慮採用什麼樣的處罰或補救措施，不管是搜尋引擎案件或是數位廣告案件，對於前者，<a href="https://www.ithome.com.tw/news/166148" target="_blank">司法部提議</a>Google應出售Chrome業務，同樣的，在數位廣告案件上，司法部也希望可以迫使Google出售部分數位廣告技術。</p> </div></div></div>
2025/4/18 11:54作者陳曉莉https://www.ithome.com.tw/news/168477
LLM上路，資安停看聽
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">生成式AI已經成為許多人工作與生活的日常，相關的技術進展與應用一有重大突破，往往躍居傳統與新興媒體的熱門議題，例如，用AI生成吉卜力風格的圖像，就引發大家爭相採用，但也引發此舉是否侵犯著作財產權的論戰，<a href="https://www.ithome.com.tw/article/168471" target="_blank"><span style="color:#3366ff;">本期封面故事探討的部分</span></a>，恰巧與LLM有關，不過，聚焦的議題是資安風險。</p> <p dir="ltr">想要了解生成式AI可能面臨的資安問題，目前大家第一個想到的解析框架，來自在應用程式資安防護領域頗富盛名的OWASP組織，他們於2023年5月宣布，成立<a href="https://genai.owasp.org/2023/05/23/announcing-the-owasp-top-10-for-large-language-models-ai-project/" target="_blank">OWASP Top 10 for Large Language Models</a>的計畫，8月發布1.0版內容，後續計畫名稱改為OWASP Top 10 for LLM Applications，最近一次更新是在2024年11月，稱為OWASP Top 10 list for LLM applications for 2025，一個月後，宣布成立<a href="https://genai.owasp.org/2024/12/15/announcing-the-owasp-llm-and-gen-ai-security-project-initiative-for-securing-agentic-applications/" target="_blank">OWASP Gen AI Security</a>計畫，今年3月，更是將OWASP Top 10 for LLM Applications與Generative AI Lists納入OWASP Gen AI Security計畫。</p> <p dir="ltr">而且，OWASP Top 10 for LLM Applications的正式文件內容，目前有英、中、印、葡、俄等5種語言的版本（原本有正體中文版本，很可惜後來被撤下），為了讓更多臺灣關心AI資安議題的人士更了解當中的說明，我們在稍早為了今年臺灣資安大會而籌備的《2025臺灣資安年鑑》，特別企畫「快速認識LLM應用程式10大風險」內容，希望拋磚引玉，協助大家得以做好AI資安。</p> <p dir="ltr">因此，這個專題最初的構想就是快速導讀OWASP Top 10 for LLM Applications，然而，要想出一個能夠簡單表達概念的標題與圖像，卻不是那麼容易。</p> <p dir="ltr">與執筆的資安主編羅正漢討論之後，我們想到用「安心上路」表達大家走向LLM應用的心情與期待，捨棄總是用「機器人」來象徵AI的比喻，而是改用「開車」前往生成式AI啟動的新世界，以此呈現人們駕馭新技術、朝美好未來前進的情景，而且，如果要順利抵達目的地，除了要了解如何駕駛車輛，更重要的是，必須知道路上可能出現哪些危險的狀況，才能夠更充分因應各種突如其來的變故，而在駕車的意象上，我們也刻意選擇「手握方向盤」的畫面，藉此呈現我們對新技術的使用，必須持續而有效地掌握，以便降低失控的可能性。</p> <p dir="ltr">這個場景也讓我聯想到總統賴清德與副總統蕭美琴的競選廣告《在路上》，或許對我們如何安心使用AI帶來一些啟發。時任副總統的賴清德坐在總統蔡英文駕駛的車子，行駛在公路上，他說，外面好像風很大，但沒什麼感覺，因為總統開的車很穩，蔡英文也說，因為有副總統在旁邊照看，所以能夠讓她放心開，此時，導航系統的語音指示說重新調整路段、計算中，蔡英文與賴清德都說我們還是繼續直走、然後接快速道路，蔡英文此時表示，副手這個位置還是真的很重要，不能隨便用湊的，賴清德回應，也許我們做事的方式不一樣，但我們理念是一樣的，蔡英文也強調國會必須過半，國家才能走在對的路上。對照現在臺灣政局如今面臨的動盪，不禁使人感慨握住國家方向盤、影響國家方向的，的確並不只是執政者，在野者的理念與價值若無法與臺灣發展目標對齊，就會造成國家這臺大車無法穩定行駛。</p> <p dir="ltr">之後，兩人交棒，蔡英文下車，改由賴清德擔任駕駛、蕭美琴上車坐在駕駛旁邊的位置，賴清德說，臺灣人很幸福，隨時可以出發、上山下海，他問蕭美琴：「你想怎麼走？」，蕭美琴說：「我們走民主路，民主路一直走」，賴清德也說：「那我們同一路」，接著兩人談到了臺灣有許多部分領先世界其他國家，沒有和平以及民主，就不是臺灣了。</p> <p dir="ltr">人類文明發展到現在，關於國家與社會的有效治理仍是持續探討的議題，領導者與民眾的認知與處世態度都是關鍵，對於AI這樣新興應用而言，也不例外，面對未來，無論興奮或擔憂，別忘了我們是受此影響最大的主體，有了新技術幫忙，還是必須眼觀四面，耳聽八方，善用與發揮我們的心智與行動力，才能充分因應各種變局。</p> <p dir="ltr"><a href="https://www.ithome.com.tw/article/168471" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1230-feng_mian_p1-open-zheng_han_-960x420_kao_bei_0.jpg?itok=t-1C92u0" style="width: 550px;" /></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%94%9F%E6%88%90%E5%BC%8Fai">生成式AI</a></div><div class="field-item odd"><a href="/tags/owasp-top-10-llm-applications">OWASP Top 10 for LLM Applications</a></div><div class="field-item even"><a href="/tags/owasp">OWASP</a></div></div></div>
2025/4/18 09:42作者李宗翰https://www.ithome.com.tw/voice/168440
【臺灣資安大會直擊】安碁學苑：企業應從實務出發，打造涵蓋內外部人員角色的資安人才梯隊培訓藍圖
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安威脅複雜程度不斷提升，駭客手法隨著科技創新跟著進化的現今，企業應如何規畫資安人才培育，來支援企業營運韌性？資安訓練服務商安碁學苑營運長劉孟昌列出三項企業可自我檢視的問題：是否具備即戰力的資安團隊？是否有分類與分層次的資安人才培育藍圖？以及，是否具備整合內外部資源、持續進化的能力？</p> <p>劉孟昌進一步解釋，現行環境下，不只資安人才不足成挑戰，培訓資安人才的方式，也可能跟不上日新月異的資安威脅。他觀察，不少企業資安訓練內容，是證照考取導向，或理論導向。這類培訓方法，難以為資安人員應付最新威脅做準備。應該以實務為導向來培育具備即戰力的資安人員，才能對威脅快速反應。</p> <p>不只IT和資安人員需要具備即戰力。劉孟昌認為，企業應該先意識到，每個部門的每個角色都是資安第一線防線。「公司任何一個職位，都有一定資安職能需求。」他進一步解釋，雖然IT或資安人員具備管理或修補資安缺口的專業知識，不過，每一個職位的工作流程，仍是該職位人員最熟悉。企業須普及資安意識及知識到全體員工，才能靠各職位人員辨別工作流程中易被突破的環節或資訊外洩缺口。</p> <p>這意味著，資安訓練不能只集中在技術人員，而應規畫全公司跨部門、跨職能的資安職能培訓藍圖，不只如此，就連不同設備、系統的外部廠商及人員，也應該納入資安管理框架。「他是不是公司編制？不是。但他是不是在做公司內部的工作？是。」只有如此，才能徹底管理企業資安風險。</p> <p>建立資安職能培訓藍圖時，劉孟昌建議，依照不同專業分類和能力分級，逐層建立資安人才梯隊，來確保資安韌性，進而支援企業營運韌性。他推薦企業及資安人才以國家資通安全研究院2023年的《臺灣資安人才培力研究報告》歸納出來的資訊安全核心角色作為參考，將資安人才分成分析、監管治理、營運維護、調查、情資、保護防禦、安全交付7大類，共19個職務。他補充：「在企業中，通常這些職務不會由19個人負責，而是集中於少數人。」，因此他也推薦有意求職的資安人員，盡可能學習全部19種職務內容。</p> <p>安碁學苑則綜合國家資通安全研究院及NIST資安框架，將資安職能培訓分為專門職能、專業職能、進階職能三階段，從奠定資安工程師的資安專門職能基礎開始，逐漸培訓資安治理主管、弱點防護分析師等管理和技術專業，最後聚焦於資安長、資安產品開發等職位的資安進階職能技能。</p> <p></p> </div></div></div>
2025/4/17 22:38作者郭又華https://www.ithome.com.tw/news/168470
【臺灣資安大會直擊】個資保護委員會籌備處建議用MFA確保使用者身分安全，並以高安全性多因子驗證來提高攻擊難度
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「許多人會問個資保護與資訊網路安全到底有什麼關係？答案是兩者之間有關係!」，個人資料保護委員會籌備處隱私科技組組長林逸塵在今年資安大會上這麼說。</p> <p>在日常生活中，個人隱私資料無所不在，近幾年運動健身盛行之下，物聯網、個人穿戴裝置興起，運動健身App蒐集個人運動數據，使用者分享運動的熱點，這個行為看似和資安無關，但如果再結合更多其他資訊，可能使得原本保密的軍事基地位置被曝露出來。</p> <p>林逸塵以美國NIST的隱私框架1.0為例，目前已釋出1.1版本草案，在該版本的草案中，網路安全風險與資安事件相關，資料的CIA(Confidentiality, Integrity, Availability)，資料的機密性、完整性、可用性，破壞資料的機密性是未經授權或意外傳播個人資料，破壞完整性是未經授權更改資料，例如駭客入侵竄改資料，影響資料的完整性，破壞可用性則是破壞資料正常的存取運用。</p> <p>隱私風險則和隱私事件有關，指的是資料在蒐集、處理、利用的過程中產生的風險。資安事件可與隱私發生交集，即資安事件可能涉及隱私風險議題。</p> <p>美國NIST SP800-53提出資訊的控制措施，對應於隱私框架中，讓外界知道如何運用這些措施確保資料的機密性、完整性、可用性。</p> <p>當資料發生風險的機會愈高、嚴重程度愈高，資料蒐集者(企業)就需要通知資料主體(使用者)可能受到風險的影響，並且向主機單位通知，例如先前知名交通服務業者發生用戶資料外洩，向用戶通知可能產生的影響，並且得向主管機關通報，先前國內醫院被駭的案例，影響到病患資料的機密性、可用性。</p> <p>林逸塵表示，資料的機密性、完整性及可用性的意涵，包涵在國內的個資法第27條，對於非公務機關保有個人資料檔案者，應採取措施，以防止個人資料被竊取、竄改、毀損、滅失或洩漏，業者需要採取技術及組織上的相關措施，不論業者的規模大小，業者需要說明在11項要素做了什麼，若業者無法說明做了什麼，或是說明不夠清楚則可能受罰，依據個資法第48條，如果發生的事件嚴重且不改正，最高可能處1,500萬元罰鍰，已接近於金管會對金融業者的裁罰。</p> <p><span style="color:#B22222;"><strong>資料保護的PDCA四步驟</strong></span></p> <p>林逸塵指出，對於資料及資安保護採取PDCA四大步驟，規畫(Plan)、實施(Do)、檢查(Check)、改善(Adjust)，數發部產業署在2023年提出詳細的PDCA各步驟要求，可供企業參考之用，只要公司內有資訊系統，除了要符合資訊服務業者的PDCA四大步驟，還需要遵守各自業別的法律規定及資料保護要求。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1744900536774.jpeg" style="width: 600px; height: 400px;" /></p> <p>在PDCA的細項要求中，包含了組織性和技術性的要求，組織方面，例如要設置專門管理的單位，執行資料盤點、風險評估、法遵、教育訓練、稽核等等，當不幸發生資料外洩事件，必需通知當事人及主管機關。另外，事件發生後，採取補救改正的措施也相當重要。</p> <p><span style="color:#B22222;"><strong>採用MFA提高駭客攻擊門檻</strong></span></p> <p>在PDCA裡，實施(Do)要求企業需確保資料安全、人員安全、設備安全，林逸塵表示，只要企業有資訊系統及資訊設備，對個資進行存取、新增或修改，就需要符合資料安全、人員安全、設備安全的要求。</p> <p>對於技術性的控制措施，身分驗證、鑑別、權限控管相當重要，其中在身分鑑別方面，除了傳統使用的帳號及密碼，近幾年倡導使用MFA(Multifactor Authentication)多因子驗證，利用兩個以上的身分鑑別因子搭配進行驗證，例如SMS簡訊、OTP、通行碼或識別碼(PIN)、卡片、生物特徵、活體特徵等等。</p> <p>CISA將MFA分為三種類別，一種是使用SMS或語音的MFA，另一種是使用App的MFA(例如OTP)，第三種為防止網釣的MFA(例如FIDO或Public Key Infrastructure)。</p> <p>林逸塵表示，鑑於網路釣魚攻擊手法盛行，目前已有不少採用MFA多因子驗證的情境，例如企業的旅遊管理入口網，除要求用戶輸入帳號密碼，也要求用戶在手機上安裝身分驗證應用程式，從App取得OTP，以多因子驗證使用者的身分。</p> <p>他也以個資委員會籌備處收到的三個案例，駭客利用撞庫攻擊，利用取得的甲網站帳號密碼，來測試登入乙網站，其中一個案例是運動報名網站，業者監控發現網站出現異常流量，多組來自境外IP的暴力攻擊，所幸被防火牆擋下；另一個交通會員系統，則是發現有心人士透過其他管道取得民眾的個資，登入其會員系統，使用其點數兌換商品券。</p> <p>防範的技術性的措施，例如要求用戶設定長密碼，或是企業限制IP，都會造成用戶的不便，林逸塵認為最好的方式是採用MFA，避免干擾用戶，同時也增加攻擊的難度。</p> <p>採用MFA不同的因子安全性高低有別，根據資安院的研究，使用生物特徵的安全性最高，但成本也比較高，使用電子憑證的安全性及成本次之，而使用通行碼的安全性最低，但使用成本較低。</p> <p>值得注意的是，過去常使用的SMS簡訊或OTP作為MFA驗證的因子，但是許多研究證明SMS或OTP可能受到中間人攻擊，因此採用MFC，因此，林逸塵也建議應該將因子安全性高低納入考慮，例如採用電子憑證或生物特徵，甚至是將更多的因子綁在一起，提高攻擊的難度。</p> </div></div></div>
2025/4/17 22:54作者蘇文彬https://www.ithome.com.tw/news/168469
【資安日報】4月17日，CVE專案長年靠美國政府資金運作議題浮上檯面
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這兩天引起全球資安圈高度關注的議題，莫過於美國政府委託MITRE維護「常見漏洞披露（CVE）」資料庫與「通用缺陷列表（CWE）」的合約到期，由於波及所有採用CVE分析漏洞的企業組織，影響層面將可能相當廣泛。</p> <p>事隔一天，美國政府決定依照合約延長維護CVE的時間，該服務暫時免於中斷的災難。但這起風波也凸顯CVE長期倚賴單一國家政府資助的問題，CVE董事會決議轉型非營利基金會。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168453"><strong style="font-size: 22px;">蘋果修補已被用於實際攻擊iPhone的CoreAudio、RPAC零時差漏洞</strong></a></p> <p>4月16日蘋果發布iOS 18.4.1、iPadOS 18.4.1、macOS Sequoia 15.4.1、tvOS 18.4.1、visionOS 2.4.1，修補兩項零時差漏洞CVE-2025-31200、CVE-2025-31201，值得留意的是，蘋果表明這些弱點已被用於發動極度複雜的攻擊行動，鎖定特定人士的iPhone下手。</p> <p>根據CVSS風險評分，較為嚴重的是評為高風險的CVE-2025-31200，此漏洞存在於CoreAudio元件，一旦處理含有惡意多媒體檔案的音訊串流，就有可能導致程式碼執行，CVSS風險評為7.5。</p> <p>另一項漏洞CVE-2025-31201，則是存在於RPAC元件，具備任意讀取及寫入權限的攻擊者有機會繞過Pointer Authentication驗證機制，風險值為6.8。</p> <p><a href="https://www.ithome.com.tw/news/168439"><strong style="font-size: 22px;">PHP核心執行環境稽核揭露多項漏洞，衝擊PHP-FPM與加密模組安全性</strong></a></p> <p>PHP核心原始碼php-src近期完成由Quarkslab執行的安全性稽核，揭露多項高風險與中度風險漏洞，影響範圍涵蓋PHP-FPM、MySQL驅動與OpenSSL等關鍵模組。該稽核由Sovereign Tech Agency出資，透過開源技術改進基金會（OSTIF）協調，並獲得PHP基金會全力配合，進一步改善即將發布的PHP 8.4版本安全性。</p> <p>稽核結果共發現27項問題，其中17項具有安全性風險，包含3項高風險、5項中度風險與9項低風險問題，另有10項屬於資訊性弱點。多數問題已在GitHub安全通報揭露，另有兩項尚未公開之高風險漏洞仍在修補中，預計於修正完成後正式公布。</p> <p>已公布的CVE包含CVE-2024-8929，指出MySQL驅動可能透過惡意伺服器觸發堆積緩衝區過讀（Over-Read），洩露先前請求內容；CVE-2024-9026涉及PHP-FPM日誌訊息潛在竄改風險；CVE-2024-8925為表單資料解析錯誤，可能導致誤解資訊；CVE-2024-8928則為記憶體管理異常可能造成記憶體區段錯誤。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.darkreading.com/cyberattacks-data-breaches/multiple-group-exploiting-ntlm-flaw">多組人馬運用NTLM資安漏洞從事攻擊行動</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/over-16-000-fortinet-devices-compromised-with-symlink-backdoor/">逾1.6萬臺Fortinet防火牆曝露於「符號連結」弱點</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.darkreading.com/threat-intelligence/ransomware-gang-crazyhunter-critical-taiwanese-orgs">CrazyHunter駭客鎖定臺灣而來，運用來自GitHub的工具犯案</a></strong></p> <p></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/chrome-135-firefox-137-updates-patch-severe-vulnerabilities/">Google、Mozilla修補Chrome 135、Firefox 137高風險漏洞</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/oracle-patches-180-vulnerabilities-with-april-2025-cpu/">Oracle發布2025年4月更新，修補180個資安弱點</a></strong></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168459"><strong style="font-size: 22px;">針對MITRE維護CVE和CWE合約到期，美國政府延長合約因應</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/SOCIALWEBCVEProgramQuote_IMAGECTA.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/SOCIALWEBCVEProgramQuote_IMAGECTA.png" style="width: 300px; float: right;" /></a></p> <p>有人取得負責美國國土安全部窗口的MITRE主任Yosry Barsoum發出的信件，內容是向CVE委員會透露，4月15日廣泛受到全球資安領域採用的「常見漏洞披露（CVE）」資料庫，以及「通用缺陷列表（CWE）」等多項專案的維護合約即將到期，影響層面將會相當廣泛，現在出現新的發展。</p> <p>美國網路安全暨基礎設施安全局（CISA）表示，他們決定將延長提供資金的時間，讓CVE專案的服務不致間斷。CISA指出CVE專案對於資安社群極為寶貴，也是他們的優先項目，他們在15日晚間執行了合約當中的延長選項來因應此事。CISA向資安媒體Bleeping Computer、SecurityAffairs透露，合約將延長11個月。</p> <p>雖然CVE暫時逃過停止運作的情形，但在CISA承諾持續提供資金之前，CVE的部分成員決定成立獨立的CVE基金會來因應。該基金會的成立，代表CVE專案這項弱點管理生態圈開始排除單點故障的情況，並確保該專案能持續受到全球信任、以社群驅動邁出重要的一步。他們也將公布CVE基金會的組織架構、過渡規畫，以及社群參與機會等相關細節。</p> <p><a href="https://www.ithome.com.tw/news/168451"><strong style="font-size: 22px;">【臺灣資安大會直擊】趨勢科技：企業可以LLM應用架構設計安全邊界檢視風險，以LEARN方法論強化LLM應用安全</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/截圖 2025-04-16 下午8_52_34.jpeg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202025-04-16%20%E4%B8%8B%E5%8D%888_52_34.jpeg" style="width: 300px; float: right;" /></a>生成式AI帶動大語言模型應用，然而企業使用大語言模型(LLM)，不論是自行訓練或是微調，可能產生資安風險，趨勢科技架構師蔡凱翔建議，可從大型語言模型應用程式的發展生命周期，利用方法論去檢視開發階段中的安全邊界，降低相關的資安風險。</p> <p>「大語言模型的開發生命周期，就是一種機器學習和DevOps的綜合體」，蔡凱翔說，趨勢科技針對大語言模型的資安風險發布報告，建立一套檢視LLM安全的方法論，他在今年臺灣資安大會上對外分享如何實作大語言模型的資安實務。</p> <p>他表示，一般而言，資安會發生在信任程度發生變化的時候，例如系統外面的使用者發送的請求，或是使用第三方的套件，這些都是由外到內的過程中，信任程度發生變化，「從LLM應用架構來看，哪些部分會帶來信任程度的改變，就是需要留意是否發生風險的地方」。</p> <p><a href="https://www.ithome.com.tw/news/168344"><strong style="font-size: 22px;">GitHub推出Security Campaigns，讓企業系統化處理資安債成開發日常</strong></a></p> <p>GitHub宣布正式推出Security Campaigns功能，提供GitHub Advanced Security與GitHub Code Security用戶使用，助企業開發者與資安團隊在既有程式碼，系統性發現並修補尚未解決的安全漏洞，以降低長期累積的安全債風險。</p> <p>雖然不少開發團隊已將修補安全漏洞的工作，納入日常拉取請求流程，透過GitHub的Code Scanning與Copilot Autofix功能，自動偵測與修復新出現的安全問題，但GitHub指出，對於已經存在於程式碼庫的舊漏洞，開發者往往缺乏系統性管理與處理的機制，導致安全債長期累積。</p> <p>Security Campaigns的設計針對此一痛點，其運作方式由資安團隊主導，對企業內多個程式庫進行漏洞風險盤點與篩選，決定優先處理的問題範疇，例如可依據MITRE已知十大常見漏洞類型，或組織自訂條件篩選，建立一個活動範圍明確的修補專案，並設定處理期限。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/168438"><strong>【4月16日】MITRE停止維護CVE等多項專案，恐波及全球資安漏洞分析</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168418"><strong>【4月15日】總統親臨臺灣資安大會致詞，從國家戰略、產業政策彰顯資安</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168403"><strong>【4月14日】啟用SSL VPN的Fortinet防火牆遭到已知漏洞攻擊</strong></a></p> </div></div></div>
2025/4/17 16:34作者周峻佑https://www.ithome.com.tw/news/168466
針對MITRE維護CVE和CWE合約到期，美國政府延長合約因應
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有人取得<a href="https://www.ithome.com.tw/news/168432">負責美國國土安全部窗口的MITRE主任Yosry Barsoum發出的信件</a>，內容是向CVE委員會透露，4月15日廣泛受到全球資安領域採用的「常見漏洞披露（CVE）」資料庫，以及「通用缺陷列表（CWE）」等多項專案的維護合約即將到期，影響層面將會相當廣泛，現在出現新的發展。</p> <p>美國網路安全暨基礎設施安全局（CISA）表示，他們決定將延長提供資金的時間，讓CVE專案的服務不致間斷。CISA指出CVE專案對於資安社群極為寶貴，也是他們的優先項目，他們在15日晚間執行了合約當中的延長選項來因應此事。CISA向資安媒體<a href="https://www.bleepingcomputer.com/news/security/cisa-extends-funding-to-ensure-no-lapse-in-critical-cve-services/">Bleeping Computer</a>、<a href="https://securityaffairs.com/176608/security/cisas-11-month-extension-ensures-continuity-of-mitres-cve-program.html">SecurityAffairs</a>透露，合約將延長11個月。</p> <p>MITRE也<a href="http://www.bleepingcomputer.com/news/security/cisa-extends-funding-to-ensure-no-lapse-in-critical-cve-services/">證實</a>了CISA的說法，他們在4月16日上午確認CISA決定提供資金維持CVE、CWE專案的運作，讓這些專案免於服務中斷的命運。MITRE感謝全球網路社群、相關行業、政府機關過去24小時的聲援，並感謝美國政府認可MITRE的角色，他們將持續為全球提供CVE及CWE的服務。</p> <p>雖然CVE暫時逃過停止運作的情形，但在CISA承諾持續提供資金之前，CVE的部分成員決定成立獨立的<a href="https://www.thecvefoundation.org/home">CVE基金會</a>來因應。CVE基金會指出，CVE專案自成立以來都仰賴美國政府的資助，這樣的情況本來就引起CVE董事會的擔憂，因為這項全球資安界依賴的專案資源，都是由單一政府供應資金維持運作，不僅這項專案的持續性存在隱憂，也存在中立性的問題。</p> <p>對此，CVE董事會在收到4月15日MITRE發出的通知後，決定執行由一名CVE成員策畫一年的計畫，那就是將CVE過渡成為獨立的非營利基金會。該基金會的成立，代表CVE專案這項弱點管理生態圈開始排除單點故障的情況，並確保該專案能持續受到全球信任、以社群驅動邁出重要的一步。他們也將公布CVE基金會的組織架構、過渡規畫，以及社群參與機會等相關細節。</p> </div></div></div>
2025/4/17 11:11作者周峻佑https://www.ithome.com.tw/news/168459
Lyft花了1.75億歐元買下FREENOW叫車服務以進軍歐洲市場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://investor.lyft.com/news-and-events/news/news-details/2025/Lyft-Expands-in-Europe-Diversifies-by-Acquiring-FREENOW/default.aspx" target="_blank">北美叫車服務Lyft周三（4/16）宣布</a>，將以1.75億歐元（約1.97億美元）的現金，買下由BMW集團與Mercedes-Benz Mobility共同成立的FREENOW叫車服務，以進軍歐洲市場。雙方預計於今年下半年完成交易。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0417-Lyft%20Expands%20in%20Europe-Acquiring%20FREENOW.png" style="width: 400px;" /></p> <p>Lyft成立於2012年，是美國僅次於Uber的第二大叫車服務，提供汽車、電動滑板車與自行車共享系統，<a href="https://investor.lyft.com/news-and-events/news/news-details/2025/Lyft-Reports-Record-Q4-and-Full-Year-2024-Results/default.aspx" target="_blank">在2024年的乘車交易總額為161億美元</a>，成長17%，營收為58億美元，成長31%，淨收入為2,280萬美元，2023年Lyft還出現3.4億美元的虧損。</p> <p>至於FREENOW則是BMW與Mercedes-Benz Mobility在2019年於德國創立，同樣提供汽車、電動滑板車及共享自行車服務，迄今已在歐洲9個國家的逾150個城市運作。<a href="https://d18rn0p25nwr6d.cloudfront.net/CIK-0001759509/81d8231f-b36a-4e3a-b9ed-3d5a882d835e.pdf" target="_blank">根據Lyft提供給美國證券交易委員會的文件</a>，FREENOW在2024年吸引了630萬名乘客，乘車交易總額超過10億歐元，有9成來自計程車。且FREENOW不管是與計程車工會、私家車車隊或是監管機管都擁有良好的關係。</p> <p>Lyft執行長David Risher表示，這是該公司在北美市場之外最重要的擴張行動，令Lyft進入歐洲市場。</p> <p>這是因為歐洲的程式叫車服務仍有成長空間，約有50%的叫車服務還在線下進行，未來計程車將繼續成為FREENOW當地服務的支柱。</p> <p>接下來Lyft打算透明化與強化FREENOW車主及乘客的福利，未來則計畫讓北美與歐洲用戶可無縫使用任一款應用程式，估計FREENOW可替該公司帶來每年15%的成長，在2027年達到250億美元的乘車交易規模。</p> <p>至於Lyft最大競爭對手Uber，則已於全球逾70個國家的1.5萬個城市提供叫車與快遞服務，<a href="https://investor.uber.com/news-events/news/press-release-details/2025/Uber-Announces-Results-for-Fourth-Quarter-and-Full-Year-2024/default.aspx" target="_blank">Uber在2024年的總交易金額為1,628億美元</a>，成長18%，營收為440億美元，成長18%，淨收入則是65億美元，成長60%，規模比Lyft大上許多。</p> </div></div></div>
2025/4/17 14:30作者陳曉莉https://www.ithome.com.tw/news/168463
JRuby 10整合Ruby 3.4與Java 21全面升級執行效能與相容性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>JRuby團隊宣布推出睽違近十年的重大版本<a href="https://blog.headius.com/2025/04/jruby-10-part-one-whats-new.html">JRuby 10</a>，整合對Ruby 3.4與Java 21的支援，全面更新執行環境與語言相容性，提升應用效能、啟動速度與與JVM生態的整合程度，成為開發者部署高效Ruby應用的新選項。</p> <p>JRuby是一個以Java實作的Ruby執行環境，可在JVM上執行Ruby程式。其重要性在於結合Ruby語言的開發效率與JVM的跨平臺性、高效能與豐富生態，讓Ruby應用能進入企業級部署場景，並與Java、Scala、Kotlin等語言互通，擴大Ruby在雲端、桌面與行動裝置上的應用潛力。</p> <p>JRuby 10最顯著的升級之一是將Ruby相容性從3.1版直接跨越到3.4版，不僅完整導入了Ruby 3.2、3.3與3.4的語言特性，也通過Ruby官方測試套件的完整檢驗。測試結果顯示，JRuby 10成功通過超過5,000項Ruby官方核心類別測試，共190萬項斷言（Assertion），且未出現任何錯誤與失敗，是JRuby歷來新版本發表中最完整的一次相容性更新。</p> <p>與此同時，JRuby 10結束長達十年的Java 8相容期，將最低需求調升至Java 21，使其能正式整合近年來JVM新增的多項關鍵技術。包含Project Loom輕量執行緒、Project Panama的原生函式呼叫支援、AppCDS的類別快取技術，皆已被納入JRuby 10的執行邏輯中。透過這些機制，JRuby在實際測試中展現更低的啟動延遲，並大幅改善長時間執行時的JIT最佳化行為。</p> <p>過去JRuby在效能最佳化時，受限於Java 8平臺上的invokedynamic效能問題，開發者需手動設定才能啟用完整強化功能。JRuby 10則首次預設全面啟動invokedynamic最佳化，不需額外的手動設定，就能充分發揮JRuby對Ruby程式碼的執行效率。以紅黑樹（Red Black Tree）基準測試為例，JRuby 10的整體效能相較9.4版可達到數倍提升，尤其在高密度運算場景下，效果更明顯。</p> <p>針對熱門的Rails框架，JRuby 10現已提供至ActiveRecord 7.1的完整資料庫支援，預計在今年夏季前完成Rails 8的相容性支援。同時，JRuby專案共同領導人Charles Oliver Nutter<a href="https://blog.headius.com/2025/04/jruby-10-part-one-whats-new.html">強調</a>JRuby持續是實現單一程序多核平行處理Rails應用程式的重要平臺，建議開發者在配置Rails應用時，適當調整Puma伺服器執行緒數量及資料庫連接池大小，以達到最佳效能表現。</p> <p>隨著JVM持續演進，JRuby將在未來版本中進一步整合如Project Leyden的預先最佳化快照功能與SIMD、GPU等硬體加速機制，讓Ruby應用可持續受益於JVM前沿技術。Charles Oliver Nutter表示，他們的目標並非單純追趕語言版本，而是將Ruby拓展為能於企業與雲端環境靈活運行的選項，讓熟悉Ruby的開發者能在新一代執行環境中維持語言習慣，同時享有Java平臺的效能與部署彈性。</p> </div></div></div>
2025/4/17 12:28作者李建興https://www.ithome.com.tw/news/168460
OpenAI開源程式碼代理工具Codex CLI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著<a href="https://www.ithome.com.tw/news/168461" target="_blank">OpenAI o3與o4-mini推理模型</a>的發表，<a href="https://github.com/openai/codex" target="_blank">OpenAI也開源了程式碼代理工具Codex CLI</a>，這是個可安裝在開發人員電腦上的命令列介面（Command-line Interface，CLI），現可用來存取OpenAI o3與o4-mini，未來也可支援GPT‑4.1⁠等其它模型。</p> <p>Codex CLI是款輕量級的命令列工具，讓開發人員能夠在電腦上以自然語言與AI模型互動，以修改、執行或生成程式碼，所有的檔案讀寫及命令執行都在本地完成，僅將提示、脈絡與選用的差異摘要發送至模型進行生成，採用Apache-2.0開源授權。不過，因為它連結的是付費的OpenAI模型，因此設定時需要具備一個付費的OpenAI API帳戶。</p> <p>過去OpenAI針對程式撰寫能力最早推出的是<a href="https://www.ithome.com.tw/news/146142" target="_blank">Codex模型與Codex API</a>，在Codex API於2023年退役後，便由GPT-3.5/4模型接手了類似的功能；開發人員也可透過ChatGPT來詢問有關程式碼的問題；或者是採使用GitHub Copilot；有些開發人員還會自行設計工具；或者是透過API再輔以自動化流程。</p> <p>雖然利用ChatGPT的操作最為簡單，而且介面直覺，但主要限制是無法直接於本機上的檔案互動。對熟悉命令列的開發人員而言，可以直接於電腦上安裝Codex CLI，同樣能獲得ChatGPT等級的推理能力，並實際執行程式碼與進行檔案操作。OpenAI將Codex CLI定位為一種可以理解與操作開發人員儲存庫的聊天式開發環境，是連結開發人員電腦及模型的最小介面，可直接將截圖或草圖傳送至模型，還能存取本地端的程式碼。</p> <p>OpenAI祭出了一項100萬美元的計畫，以推動使用Codex CLI及OpenAI模型的各種專案，每次可提供價值2.5萬美元的API額度，<a href="https://openai.com/form/codex-open-source-fund/" target="_blank">並已開放外界申請</a>。</p> </div></div></div>
2025/4/17 12:44作者陳曉莉https://www.ithome.com.tw/news/168462
OpenAI發表o3與o4-mini推理模型，可自動縮放及旋轉圖像以協助推理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI在周三（4/16）<a href="https://openai.com/index/introducing-o3-and-o4-mini/" target="_blank">發表了全新的o3推理模型與輕量的o4-mini推理模型</a>，這兩個新模型最大的特點是具備視覺推理與圖像操作能力，將圖像納入推論過程並對其進行多步驟的視覺分析，可自動對圖像進行縮放、旋轉及剪裁等操作。</p> <p>o系列是OpenAI的推理模型，強調具備關聯性思考能力，但它們在回答之前會思考更長的時間，在回覆使用之前採用了很長的內部思考鏈。OpenAI是在去年9月正式<a href="https://www.ithome.com.tw/news/165026" target="_blank">發表o1</a>，也有輕量級的o1-mini與專業級的o1-pro；OpenAI跳過了o2型號，並在今年2月率先<a href="https://www.ithome.com.tw/news/167177" target="_blank">釋出o3 mini</a>；於本周同時釋出o3與o4 mini。</p> <p>o3與o4 mini最令人驚豔的應該是<a href="https://openai.com/index/thinking-with-images/" target="_blank">它們的圖像思考及推理能力</a>，這兩個模型可藉由各種工具來轉換使用者所上傳的圖像，讓這些圖像得以裁剪、放大與旋轉，還能執行其它簡單的圖像處理技術。</p> <p>例如當使用者上傳了一張今天在海邊拍的照片，遠方的海面上有許多船隻，他將照片上傳並詢問最大艘的船隻叫什麼名字，以及它之後會停靠在哪個港口。由於船隻太遠，o3只好先將照片放大，辨識出使用者的位置，找到最大艘的船，辨識船隻的名字，再上網搜尋以給出答案，但總計花了好幾分鐘。</p> <p>OpenAI表示，使用者可以上傳白板的照片、教科書圖表或手繪的草圖，就算是圖像模糊、顛倒或品質不佳，模型還是可以透過工具動態地處理圖像，當作它推理的一部分。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0417-OpenAI%20o3_reasoning_images_4.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／OpenAI</span></span></p> <p>除了圖像推理能力之外，OpenAI o3擔當該公司目前最強大的推理模型，不管是在程式碼、數學、科學與視覺感知上都有所進步，強調適合需要多方面分析的複雜查詢，根據外部專家的評估，它在困難的現實任務上所犯的重大錯誤比OpenAI o1少了20%。</p> <p>OpenAI比較了o3、o4-mini、o1與o3-mini在解決數學問題、高階科學問題、多模態推理能力、程式碼任務，以及指令遵循上的表現，皆可發現o3與o4-mini明顯優於前一代的產品。</p> <p>o3每輸入100萬個Token的價格為10美元，輸出100萬個Token的價格為40美元；o4-mini每輸入及輸出100萬個Token的價格，則分別是1.1美元及4.4美元。</p> </div></div></div>
2025/4/17 12:04作者陳曉莉https://www.ithome.com.tw/news/168461
微軟發表首個超過20億參數的1-bit模型同樣效能但更省電、不占記憶體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://huggingface.co/microsoft/bitnet-b1.58-2B-4T" target="_blank">微軟本周發表20億參數的1-bit模型BitNet b1.58 LLM家族</a>，稱此新型模型比主流Transformer LLM更不占記憶體且更少耗能，適合在CPU或較小型硬體平臺上執行。</p> <p>微軟研究院與中國科學院研究人員2023年發表名為《BitNet: Scaling 1-bit Transformers for Large Language Models》的論文，首度發表為大語言模型設計的1-bit Transformer架構，稱為BitNet，<a href="https://arxiv.org/abs/2402.17764" target="_blank">去年再發表BitNet b1.58 LLM變種</a>。</p> <p>微軟表示，這是第一個參數20億的開源原生1-bit LLM。它是以4兆字詞的資料集訓練而成，具備4096 token的context length。</p> <p>研究團隊說明，在BitNet b1.58模型中，單一參數或權重是三元（ {-1, 0, 1}）的。此類新模型架構引入BitLinear作為nn.Linear層的替代，能夠訓練1-bit 的權重，訓練出的LLM和同樣參數量及訓練字詞的全精度（FP16）Transformer LLM模型相較，具有相同的困惑度（perplexity）及終端任務效能，但卻能大幅減少了記憶體占用和能源耗損，就延遲性及傳輸率表現而言也更省成本。</p> <p>微軟團隊認為，最重要的是， BitNet b1.58提出了新的模型擴展法則，可用於訓練高效能及低成本的下世代LLM，而且BitNet b1.58對CPU裝置更為友善，更適合執行於邊緣和行動裝置上，顯示出效能和能力。研究人員相信1-bit LLM可催生出新的硬體和為其優化的系統。</p> <p>根據研究團隊比較測試，BitNet b1.58-3B/3.9B版本占用記憶體為2.22GB及2.38GB，遠小於LLaMA-3B的7.89GB。延遲性來看，BitNet b1.58-3B/3.9B各為1.87ms及2.11ms，優於LLaMA-3B的5.07ms。二個BitNet b1.58的PPL以及零樣本訓練準確性表現，也都超越LLaMA-3B。</p> <p><a href="https://arxiv.org/pdf/2402.17764" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0417-BitNet%20b1_58-600.png" style="width: 600px;" /></a></p> <p>微軟已在Hugging Face 開源三個版本的Bitnet-b1.58模型權重，一是<a href="https://huggingface.co/microsoft/bitnet-b1.58-2B-4T" target="_blank">BitNet b1.58 2B4T</a>，適合模型部署。二是Bitnet-b1.58-2B-4T-bf16，僅適合模型訓練或微調。BitNet-b1.58-2B-4T-gguf則包含GGUF格式的權重，相容bitnet.cpp函式庫用於CPU推論。</p> <p>但微軟也警告開發人員，目前Transformers函式庫的執行方式並沒有包含為BitNet設計、高度最佳化的計算核心，因此無法彰顯 BitNet 架構的好處。</p> <p>所以，雖然開發人員可能會因這個模型使用了量化（quantized）的權重而看到節省了一點記憶體，但無法看出速度快、耗能低等效能優勢，因為transformers本身不支援BitNet所需要的底層運算加速。想要體驗論文中提到的效能（包括低功耗和高效率的推論），必須使用官方提供的 C++ 實作版本：bitnet.cpp。</p> </div></div></div>
2025/4/17 10:46作者林妍溱https://www.ithome.com.tw/news/168458
Google影片生成Veo 2推向付費版Gemini Whisk圖生影片服務上線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/gemini/video-generation/" target="_blank">Google周三（4/16）宣布</a>影片生成模型Veo 2提供給Gemini Advanced，以圖片生成8秒影片的Whisk Animate服務也上線。Google One AI Premium方案已可使用兩種服務。</p> <p>Veo是Google對OpenAI Sora的回應．可根據用戶輸入的文字提示，生成最長達2分鐘、最高4K（4096 x 2160）解析度畫質的影片。這模型能理解真實世界的物理運作及人類動作，生成流暢的角色運動、逼真場景及更精細的細節表現。</p> <p><a href="https://www.ithome.com.tw/news/167538" target="_blank">2月底Veo 2正式上線</a>，費用為每秒0.5美元。現在起幾周內Veo 2將部署給全球Gemini Advanced，提供Web及手機版，並支援上百種語言。<a href="https://techcrunch.com/2025/04/15/googles-veo-2-video-generator-comes-to-gemini/" target="_blank">Techcrunch報導</a>，目前本模型還未提供給Workspace Business和Edu方案用戶。</p> <p>欲使用這個模型，可在Gemini下拉式選單中選擇Veo 2，輸入文字提示，就能生成8秒720p、16:9橫式格式的MP4影片。Google說，Veo 2每月設有使用次數限制，用戶到了上限會接到通知。這個限制似乎因人而異，<a href="https://www.reddit.com/r/Bard/comments/1k056jg/gemini_app_veo_2_generate_limit_is_roughly_30/?rdt=41571" target="_blank">Reddit用戶估計</a>一個月30次左右，有人1天可用6-8次，有人5次，也有人3次就到頂了。</p> <p>其次，Google Labs去年12月<a href="https://www.ithome.com.tw/news/166542" target="_blank">發表Whisk功能實驗版</a>，讓用戶可上傳圖片或輸入文字提示生成影片檔，現在Google正式推出Whisk Animate，將用戶上傳的圖片以Veo 2製作成8秒影片。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0417-%E6%96%87%EF%BC%8F%E5%9C%96-%E5%BD%B1%E7%89%87%E7%94%9F%E6%88%90-Whisk%20Animate.png" style="width: 600px;" /></p> <p>Google One AI Premium方案（方案內容為Gemini Advanced及2TB儲存空間）訂閱用戶現在已可以使用Veo2模型及Whisk Animate服務。視Whisk在全球各國部署進度而定，訂閱用戶可先在Labs.google/whisk網站試用Whisk Animate服務，臺灣目前還沒有。</p> </div></div></div>
2025/4/17 09:26作者林妍溱https://www.ithome.com.tw/news/168452
蘋果修補已被用於實際攻擊iPhone的CoreAudio、RPAC零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>4月16日蘋果發布<a href="https://support.apple.com/zh-tw/122282">iOS 18.4.1、iPadOS 18.4.1</a>、<a href="https://support.apple.com/zh-tw/122400">macOS Sequoia 15.4.1</a>、<a href="https://support.apple.com/zh-tw/122414">tvOS 18.4.1</a>、<a href="https://support.apple.com/zh-tw/122402">visionOS 2.4.1</a>，修補兩項零時差漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-31200">CVE-2025-31200</a>、<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-31201">CVE-2025-31201</a>，值得留意的是，蘋果表明這些弱點已被用於發動極度複雜的攻擊行動，鎖定特定人士的iPhone下手。</p> <p>根據CVSS風險評分，較為嚴重的是評為高風險的CVE-2025-31200，此漏洞存在於CoreAudio元件，一旦處理含有惡意多媒體檔案的音訊串流，就有可能導致程式碼執行，CVSS風險評為7.5。</p> <p>另一項漏洞CVE-2025-31201，則是存在於RPAC元件，具備任意讀取及寫入權限的攻擊者有機會繞過Pointer Authentication驗證機制，風險值為6.8。</p> </div></div></div>
2025/4/17 09:46作者周峻佑https://www.ithome.com.tw/news/168453
【臺灣資安大會直擊】趨勢科技：企業可以LLM應用架構設計安全邊界檢視風險，以LEARN方法論強化LLM應用安全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>生成式AI帶動大語言模型應用，然而企業使用大語言模型(LLM)，不論是自行訓練或是微調，可能產生資安風險，趨勢科技架構師蔡凱翔建議，可從大型語言模型應用程式的發展生命周期，利用方法論去檢視開發階段中的安全邊界，降低相關的資安風險。</p> <p>「大語言模型的開發生命周期，就是一種機器學習和DevOps的綜合體」，蔡凱翔說，趨勢科技針對大語言模型的資安風險發布報告，建立一套檢視LLM安全的方法論，他在今年臺灣資安大會上對外分享如何實作大語言模型的資安實務。</p> <p>蔡凱翔首先指出，大型語言模型應用程式的開發生命周期可以分為，「資料工程」、「預訓練」、「基礎模型選擇」、「領域適配」、「評估」、「應用開發與整合」、「部署與監控」，不同的開發階段，需要選擇不同的工具或方案開發模型。</p> <p>以「資料工程」階段為例，通常涵蓋資料擷取、資料前處理、資料儲存及管理，不論企業選擇從無到有開發LLM模型，以資料進行預訓練，但是自行開發投入的成本相當昂貴，因此多數企業會選擇開源LLM模型作為基礎模型，不論自行開發模型或使用開源模型，在後續「評估」或是「部署與監控」階段，如果模型開發不如預期或是部署後使用者的回饋反應不佳，都可能重新回到「資料工程」。</p> <p>至於「預訓練」階段，企業需要選擇分詞器(Tokenization)，建立檢查點(Checkpointing)，以及在預訓練過程中，產生不同訓練版本模型的版本控制(Versioning models)；「基礎模型選擇」階段，企業根據自己的需求，選擇使用開源模型或專用模型；「領域適配」階段，企業運用提示工程、RAG或是微調等技術，讓模型適用於特定的任務，以獲得更好的表現。</p> <p>「評估」階段則使用工具或是以人工監方式，檢驗大語言模型的效能、可靠或安全性；「應用開發與整合」階段為LLM應用開發框架，依需求選擇不同的LLM應用開發框架，例如LangChain、Python的開源框架Haystack、LlamaIndex等，或是MCP協定；「部署與監控」階段為部署和監控的方式，與開發應用程式相同，包括部署的模式、部署的策略、可視工具等。</p> <p>蔡凱翔說，企業依照LLM開發生命周期各個階段進行開發，對應涉及到LLM應用架構，這個架構內包含不同的區塊，如DevSecOps區塊、模型訓練區塊、資料來源區塊、資料儲存區塊，還有LLM應用區塊，其中因為AI Agent可能拉出LLM Agent子區塊，「不同區塊的安全邊界當發生信任程度(Trustworthy)的變化，這些邊界代表風險發生的地方」。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202025-04-16%20%E4%B8%8B%E5%8D%888_52_34.jpeg" style="width: 600px; height: 328px;" /></p> <p>他表示，一般而言，資安會發生在信任程度發生變化的時候，例如系統外面的使用者發送的請求，或是使用第三方的套件，這些都是由外到內的過程中，信任程度發生變化，「從LLM應用架構來看，哪些部分會帶來信任程度的改變，就是需要留意是否發生風險的地方」。</p> <p><span style="color:#B22222;"><strong>LLM的10類風險</strong></span></p> <p>這些安全邊界可能出現的安全風險可分為10類，包括「提示注入風險」、「輸出安全風險」、「訓練風險」、「法遵及監管風險」、「代理及控制風險」、「資料曝露風險」、「幻覺風險」、「供應鏈風險」、「資源及可用性風險」、「模型安全風險」。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202025-04-16%20%E4%B8%8B%E5%8D%888_49_36.jpeg" style="width: 600px; height: 347px;" /></p> <p>蔡凱翔以提示注入風險為例，讓AI去做原本設計用途以外的事情，提示注入風險可以分為強制提示、反向心理學、誤導三種攻擊手法，還有直接、間接兩種傳輸方式。例如在不抵觸設計者的安全措施下，利用迂回的方式，讓AI透露炸彈製作的過程，像是請AI撰寫戰爭劇本為理由，要求AI具細糜遺說明演員如何在倉庫中製作炸彈的場景，將惡意的意圖用正常文本作包裝，可能讓AI透露原本不該揭露的資訊。</p> <p>另一種手法是誤導提示，稱為Grandma Prompt(阿嬤提示)，當AI具有類人類的特性，攻擊者可以懷念故去的阿嬤每天說床邊故事為理由，這些床邊故事是關於如何製作槍支，要求AI模仿阿嬤說一個這樣的床邊故事。</p> <p>Grandma Prompt的另一個惡意手法案例是，許多線上服務中常見會使用CAPTCHA，顯示一個圖片，該圖片內容為扭取或是用色彩掩蓋的一串英文字母或數字，藉此來檢驗使用者是否為真的人類，而不是機器人，一般而言，可辨識視覺的AI通常基於安全設計無法回答CAPTCHA驗證圖片中的文字或數字串，攻擊者利用Grandma Prompt手法，以已故阿嬤為情感訴求，將CAPTCHA的驗證圖片剪貼製作為一張阿嬤留下的紀念照片，誘導AI說出CAPTCHA隱藏的文字或數字串。</p> <p>LLM的10類風險中，資料曝露風險可能是另一個企業關心的風險。</p> <p>蔡凱翔表示，通常企業資料被LLM曝露來自三種原因，一是模型訓練資料中含有企業的機敏資料，第二是在RAG的提示資料中使用企業的機敏資料，第三是使用者輸入的資料中含有機敏資料。韓國就曾有新創業者開發AI聊天機器人，因訓練使用韓國知名聊天軟體Kakao Talk約10億條用戶真實對話作訓練，使用者與AI聊天機器人互動時，意外揭露姓名、銀行帳戶等敏感資料，因違反韓國個資法被罰1億韓元(約270萬元台幣)。</p> <p>幻覺為另一個風險，AI產生錯誤虛構的回應資料，這類風險的發生通常是訓練資料裡沒有使用者需要的答案，因此AI綜合參考多個資料來源，自行產生虛構的答案，假設工程師要求AI推薦好用的開發工具套件，AI回覆一個不存在的虛構工具套件，惡意人士製作同名的惡意程式，就可能誘騙不知情的工程師下載惡意程式。</p> <p><span style="color:#B22222;"><strong>結合安全邊界及風險加強LLM應用安全</strong></span></p> <p>綜合LLM的風險及前面提到的LLM應用架構安全邊界，蔡凱翔表示，企業可以根據檢視表檢視在哪些安全邊界應該注意可能產生的風險有哪些。趨勢科技發布的大語言模型的安全白皮書，讓企業可以查表的方式，對照安全邊界及風險。</p> <p>參加應用架構中的安全邊界和可能產生的風險類別：</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202025-04-16%20%E4%B8%8B%E5%8D%888_43_08.jpeg" style="width: 600px; height: 308px;" /></p> <p>趨勢也提出LEARN(Layer,Evaluate,Act,Reinforce,Nurture)的方法論，首先是對LLM應用的架構進行分層(Layer)辨識安全邊界，接下來評估(Evaluate)不同的安全風險，排定高低順序，再採取行動(Act)，在邊界採取緩解風險的措施，持續強化(Reinforce)監控完善安全措施，再依不斷變化的威脅去培養(Nurture)符合法規及技術演變的安全意識文化。</p> </div></div></div>
2025/4/16 20:51作者蘇文彬https://www.ithome.com.tw/news/168451
【資安日報】4月16日，MITRE停止維護CVE等多項專案，傳出與川普大砍行政預算有關
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年初臺灣因立法院大幅刪減政府各式預算，連帶影響政府的資安防禦工作，<a href="https://www.ithome.com.tw/news/167141">以數發部為例</a>，預算刪減4成、凍結2成，將影響我國通訊韌性基礎建設、打詐，並<a href="https://ithome.com.tw/news/168271">衝擊資安產業</a>，如今美國也出現類似情況，影響層面恐更加廣泛。</p> <p>有人取得MITRE主任Yosry Barsoum寫給CVE委員會的信件，提及MITRE維護CVE、CWE等專案的合約到期一事，由於這些專案維護都是仰賴美國國土安全部的預算，外界普遍認為此事就是川普大砍行政預算造成。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168431"><strong style="font-size: 22px;">冒牌電腦版Line針對臺灣而來，恐導致電腦被植入木馬</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/fake-line-pc-website.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/fake-line-pc-website.jpg" style="width: 300px; float: right;" /></a></p> <p>4月15日資安業者趨勢科技提出警告，他們近期發現有駭客佯稱提供即時通訊軟體Line的電腦版本，意圖散布木馬程式的情況。一旦使用者透過Google搜尋「電腦版Line」等關鍵字，就有可能接觸到這些假網站，若是不慎依照指示安裝，電腦就有可能被植入木馬程式，而有可能面臨個資外洩及裝置遭接管的情況。值得留意的是，這波攻擊行動疑似針對臺灣用戶而來。</p> <p>由於Line在臺灣的使用率相當高，再加上趨勢科技看到的假網站大多使用正體中文，因此他們研判，攻擊者的主要目標就是臺灣。我們向趨勢科技進一步了解，該公司表示這次的警示資訊，源自於他們在內部偵測到相關事故，根據初步調查的結果，顯示惡意軟體的類型為木馬程式，因此，他們決定呼籲客戶及使用者要提高警覺。</p> <p><a href="https://www.ithome.com.tw/news/168434"><strong style="font-size: 22px;">MFT檔案共享系統Cleo受害者首度現身，租車業者Hertz證實受害</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Hertz_xv4akY0PYG.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Hertz_xv4akY0PYG.png" style="width: 300px; float: right;" /></a></p> <p>去年12月資安業者Huntress揭露鎖定Cleo旗下MFT檔案傳輸系統的攻擊行動，駭客利用零時差漏洞CVE-2024-55956（CVSS風險評分為9.8分）得逞，隨後勒索軟體駭客Clop聲稱是他們所為，向新聞媒體透露有超過60家企業組織受害，其中一家是遭Termite攻擊的SaaS軟體服務供應商Blue Yonder，如今有企業表明受害。</p> <p>根據Bleeping Computer、Dark Reading、SecurityAffairs、SecurityWeek等多家資安新聞網站報導，大型租車業者Hertz證實，他們在今年2月10日確認發生資料外洩事故，未經授權的第三方人士利用Cleo平臺的零時差漏洞，從去年10月至12月收集Hertz的資料。該公司察覺此事，隨即確認事件影響的範圍，以及個人資料受到影響的人士，並於4月2日完成相關資料分析。</p> <p>對於遭到外流的資料，Hertz表示包含姓名、聯絡資訊、生日、信用卡資訊、駕照等。有極少量人士的社會安全碼（SSN）、護照、醫療照護資料，或是車禍受傷資訊，也可能被外流。</p> <p><a href="https://www.ithome.com.tw/news/168433"><strong style="font-size: 22px;">【臺灣資安大會直擊】AI同事雙面刃，網路犯罪即代理危機浮現</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1）趨勢科技Robert McArdle.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E8%B6%A8%E5%8B%A2%E7%A7%91%E6%8A%80Robert%20McArdle.jpg" style="width: 300px; float: right;" /></a>兩年前生成式AI應用爆發，一年半後代理型AI（Agentic AI）發展備受關注，已成為2025年當紅科技焦點，然而，在企業導入AI相關工具以提升營運效率的同時，網路犯罪組織也正同樣這麼做。</p> <p>2025臺灣資安大會的第一天，負責「前瞻威脅研究」(FTR) 與「敵情監控」(AIM) 團隊的趨勢科技專家，介紹了他們對網路犯罪的最新觀察，同時向所有國內與會者示警，呼籲大家在期待AI Agent應用到來之際，同時也要注意網路犯罪領域可能的重大變革，將出現以AI代理為基礎的新模式──Cybercrime as a Servant。</p> <p>如今AI技術崛起，網路犯罪局勢更加複雜。Robert McArdle指出，網路犯罪市場也會有所轉型，從現在的Cybercrime as a Service，也就是網路犯罪即服務，轉變為AI代理為基礎的Cybercrime as a Servant。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/04/chinese-hackers-target-linux-systems.html">中國駭客UNC5174鎖定Linux而來，散布SnowLight、VShell犯案</a></strong></p> <p><strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/04/chinese-hackers-target-linux-systems.html"></a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/midnight-blizzard-deploys-new-grapeloader-malware-in-embassy-phishing/">俄羅斯駭客APT29鎖定歐洲外交單位下手，散布WineLoader後門</a></strong></p> <p><strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/midnight-blizzard-deploys-new-grapeloader-malware-in-embassy-phishing/"></a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityaffairs.com/176530/security/malicious-npm-packages-to-steal-paypal-credentials.html">惡意NPM套件鎖定PayPal用戶而來，企圖挾持加密貨幣交易</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/04/cisa-and-fbi-warn-fast-flux-is-powering.html">駭客運用Fast Flux手法建置基礎設施，意圖隱匿行蹤</a></strong></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.darkreading.com/vulnerabilities-threats/max-severity-bug-apache-roller-persistent-access">Apache基金會修補部落格平臺Roller風險滿分的漏洞</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168432"><strong style="font-size: 22px;">川普大砍行政預算，CVE與CWE專案的合約本周到期</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/bafkreih5uspf3wg756i4bx22bibyltlhrcuttzx6cwqlqfjz22kcaflsau.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/bafkreih5uspf3wg756i4bx22bibyltlhrcuttzx6cwqlqfjz22kcaflsau.jpg" style="width: 300px; float: right;" /></a>負責管理與維護「常見漏洞披露」（Common Vulnerabilities and Exposures，CVE）資料庫，以及「通用缺陷列表」（Common Weakness Enumeration，CWE）的美國非營利組織MITRE近日傳出，包括這兩項專案的許多專案合約都將在今天到期。外界猜測應是川普大砍美國行政預算所導致。</p> <p>這項消息的曝光，源自於在社交媒體上流傳的信件，是由負責美國國土安全部窗口的MITRE主任Yosry Barsoum寫給CVE委員會，內容提及包括CVE與CWE在內的多項合約，都將在4月15日到期，倘若CVE服務中斷，可能有多方會受到影響，從國家資料庫、工具供應商、事件回應的操作，到各種關鍵基礎設施等。</p> <p>資安專家Brian Martin指出，一旦相關預算消失，CVE編號授權單位再也無法分配ID或交予MITRE快速發布，這是美國國家漏洞資料庫（NVD）的基礎，全球所有依賴CVE與NVD分析漏洞的公司都將受到劇烈影響。</p> <p><a href="https://www.ithome.com.tw/news/168429"><strong style="font-size: 22px;">【臺灣資安大會直擊】前資安院副院長吳啟文：企業積極導入AI應用，資安防禦應也應擴及AI風險</strong></a></p> <p>「資安是持續的風險管理，因此對威脅、趨勢掌握非常重要」，前國家資通安全研究院副院長吳啟文在今年臺灣資安大會中分享在AI時代下的資安防禦思維。</p> <p>如何管理AI可能帶來的風險？吳啟文借用世界經濟論壇WEF的報告，該報告提出平衡AI與網路安全的風險及報酬的6個問題，作為AI應用管理風險的自評依據，這些問題例如對於使用AI技術具有適當的風險承受能力，且被所有風險所有者理解？在考慮新的AI計畫時，適當的平衡風險與報酬？有效的流程以管理追蹤組織AI計畫發展？確保AI部署符合組織政策與法規義務的驗證流程？等等。</p> <p>吳啟文認為，WEF的報告提出的6個問題，可讓企業或組織規畫運用AI技術時，先評估自己的準備是否已經完備，已做到上述問題的要求方能考慮AI應用，如果沒有做到則需要重新考慮是否導入AI應用。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/168418"><strong>【4月15日】總統親臨臺灣資安大會致詞，從國家戰略、產業政策彰顯資安</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168403"><strong>【4月14日】啟用SSL VPN的Fortinet防火牆遭到已知漏洞攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168382"><strong>【4月11日】國家資通安全戰略2025本週正式公布</strong></a></p> </div></div></div>
2025/4/16 14:56作者周峻佑https://www.ithome.com.tw/news/168438
PHP核心執行環境稽核揭露多項漏洞，衝擊PHP-FPM與加密模組安全性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>PHP核心原始碼php-src近期完成由Quarkslab執行的<a href="https://thephp.foundation/blog/2025/04/10/php-core-security-audit-results/">安全性稽核</a>，揭露多項高風險與中度風險漏洞，影響範圍涵蓋PHP-FPM、MySQL驅動與OpenSSL等關鍵模組。該稽核由Sovereign Tech Agency出資，透過開源技術改進基金會（OSTIF）協調，並獲得PHP基金會全力配合，進一步改善即將發布的PHP 8.4版本安全性。</p> <p>本次稽核重點在於php-src中最具風險的模組與流程，範圍包含手動程式碼審查、動態測試與加密層面的評估。Quarkslab依據PHP基金會與OSTIF共同定義的威脅模型，對PHP-FPM主從架構、JSON解碼、MySQL原生驅動、表單上傳處理、PDO模擬預處理陳述式與密碼雜湊相關元件進行深入分析。整體稽核歷時兩個月，涵蓋靜態與動態分析流程，包括針對特定高風險模組開發模糊測試工具，並測試其在oss-fuzz環境下的表現。</p> <p>稽核結果共發現27項問題，其中17項具有安全性風險，包含3項高風險、5項中度風險與9項低風險問題，另有10項屬於資訊性弱點。多數問題已在GitHub安全通報揭露，另有兩項尚未公開之高風險漏洞仍在修補中，預計於修正完成後正式公布。已公布的CVE包含CVE-2024-8929，指出MySQL驅動可能透過惡意伺服器觸發堆積緩衝區過讀（Over-Read），洩露先前請求內容；CVE-2024-9026涉及PHP-FPM日誌訊息潛在竄改風險；CVE-2024-8925為表單資料解析錯誤，可能導致誤解資訊；CVE-2024-8928則為記憶體管理異常可能造成記憶體區段錯誤。</p> <p>PHP-FPM因其長時間在同一程序中執行多個請求，對於記憶體與資源管理的要求格外嚴格，本次稽核特別指出其在UID/GID處理、工作程序日誌管理與表單資料解析方面存在安全風險。另一方面，OpenSSL與libsodium整合部分，則發現數項與起始向量（Initialization Vector，IV）處理、金鑰長度、簽章錯誤行為與文件缺失相關的潛在問題，反映出加密模組在預設參數與使用者行為落差間仍有可改進空間。</p> <p>Quarkslab在報告中肯定PHP核心程式碼整體品質良好，結構一致且符合設計規範，並強調此次發現的多數問題並非源自設計漏洞，而是實作細節與錯誤處理不足所致。PHP基金會也已依稽核建議進行修正，並表示未來將持續改善安全測試流程與靜態分析工具整合，強化持續整合環境下的自動防禦機制。</p> <p>此次稽核雖受限於預算僅涵蓋關鍵模組，官方仍希望未來能透過社群或企業贊助，擴大涵蓋整體程式碼基礎，持續強化PHP的安全性與穩定性。<a href="https://thephp.foundation/assets/files/24-07-1730-REP-V1.4_temp.pdf">稽核報告全文</a>目前已公開，包含所有細項發現與修正建議，開發者可前往OSTIF網站或PHP基金會官方頁面下載閱讀。</p> </div></div></div>
2025/4/16 15:33作者李建興https://www.ithome.com.tw/news/168439
外傳OpenAI有意涉足社交平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr"><a href="https://www.theverge.com/openai/648130/openai-social-network-x-competitor" target="_blank">The Verge本周引述不同消息來源報導</a>，OpenAI正在開發類似X的社交平臺。</p> <p dir="ltr">根據報導，OpenAI已有一個內部原型，它著重於圖片生成能力，同時具備社交動態功能。目前該專案仍處於早期開發階段，但執行長Sam Altman已私下四處詢問大家對該原型的看法。目前並不確定該原型是否會正式或何時推出，也不確定它會被整合到ChatGPT或當作獨立程式發表。</p> <p dir="ltr">The Verge則發現Altman一直釋出各種線索。例如當科技大亨馬斯克（Elon Musk）今年2月打算出價974億美元買下OpenAI時，<a href="https://x.com/sama/status/1889059531625464090?lang=en" target="_blank">Altman直接於馬斯克的X上回嗆</a>：「不了，謝謝，但如果你願意的話，我們可以以97.4億美元買下X。」</p> <p dir="ltr">同樣在今年2月，當<a href="https://www.cnbc.com/2025/02/27/meta-plans-to-release-a-standalone-meta-ai-app.html" target="_blank">CNBC報導</a>Meta有意釋出一個獨立的Meta AI程式之後，<a href="https://x.com/sama/status/1895230925753233763" target="_blank">Altman即說</a>：「好喔，那我們也來做一個社交程式。」</p> <p dir="ltr">總之，看起來OpenAI或Altman對於社交平臺似乎有些興趣，使用者或許也期待看到一個可以透過生成圖片進行交流的平臺。</p> </div></div></div>
2025/4/16 14:24作者陳曉莉https://www.ithome.com.tw/news/168437
Notion公布AI郵件App 可整合Gmail
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">知名AI筆記、待辦清單App <a href="https://www.notion.com/help/guides/getting-started-with-notion-mail" target="_blank">Notion開發商本周公布</a>Notion及Notion Calendar以後最新App Notion Mail，可整合Gmail，以AI協助用戶收發、管理郵件和會議。</p> <p dir="ltr">目前Notion Mail已推出<a href="https://www.notion.com/product/mail" target="_blank">Web及Mac版</a>，正在測試iOS版。Notion Mail目前支援Gmail，但未透露是否或何時支援Outlook。</p> <p dir="ltr">Notion Mail的核心在於結合AI協助管理龐雜的郵件。一開始用戶需允許AI學習如何標籤以訓練Notion AI。啟用郵件右上方的「auto label」後，Notion會逐漸學習用戶習慣及偏好。使用者可以以下方法訓練Notion的AI，包括要求它為來自特定網域（例如訂閱服務、送貨單位）的電子郵件加入標籤，或是來自特定寄件者（如主管、客戶、合作夥伴）、包含特定字詞，如「緊急」、「重要」、「待辦」、「需要行動」或「需要回覆」的郵件特別加上標記。使用一段時間後，Notion Mail即會學習用戶習慣，自動分類將來信分門別類。</p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/0416-Notion%20Mail-auto%20label%EF%BC%8D%EF%BC%B0%EF%BC%AE%EF%BC%A7.png" style="width: 600px;" /></p> <p dir="ltr">Notion Mail強調更有效率的在檢視介面。相對於傳統郵件服務使用標籤和資料夾，Notion Mail除了提供「已讀」、「未讀」等篩選器，還加入其獨有的標籤，如Notion資料庫的「select」或是可以Notion Calendar中的邀約加以篩選。Notion Mail並提供群組功能，允許用戶按照網域、寄件者（如客戶）、或是優先性為信件分群顯示。用戶也自訂優先性標籤，拖拉郵件建立客製化的待辦事項。此外，用戶也可自訂檢視介面，可從頭自訂或是從預設的範本，如「Sales」範本中選擇。</p> <p class="rtecenter" dir="ltr"><img alt="" src="https://s4.itho.me/sites/default/files/images/0416-Notion%20Mail-filter-PNG.png" style="width: 600px;" /></p> <p dir="ltr">Notion Mail還提供AI寫信助手，可協助用戶草擬信件、建議用字，用戶並可在類似Notion的環境中排版信件格式、以@加入公司wiki連結，還允許用戶將回覆儲存為片段（snippet）供日後使用。<span style="font-size:14px;"><span style="color:#696969;">圖片來源／Notion</span></span></p> </div></div></div>
2025/4/16 13:42作者林妍溱https://www.ithome.com.tw/news/168436
冒牌電腦版Line針對臺灣而來，恐導致電腦被植入木馬
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>假借提供常見應用程式散布惡意軟體的攻擊手法不時傳出，涵蓋大多數人耳熟能詳的瀏覽器、即時通訊軟體、壓縮軟體等，如今出現專門針對臺灣使用者的攻擊行動。</p> <p>4冃15日<a href="https://blog.trendmicro.com.tw/?p=87492">資安業者趨勢科技提出警告</a>，他們近期發現有駭客佯稱提供即時通訊軟體Line的電腦版本，意圖散布木馬程式的情況。一旦使用者透過Google搜尋「電腦版Line」等關鍵字，就有可能接觸到這些假網站，若是不慎依照指示安裝，電腦就有可能被植入木馬程式，而有可能面臨個資外洩及裝置遭接管的情況。值得留意的是，這波攻擊行動疑似針對臺灣用戶而來。</p> <p>由於Line在臺灣的使用率相當高，再加上趨勢科技看到的假網站大多使用正體中文，因此他們研判，攻擊者的主要目標就是臺灣。我們向趨勢科技進一步了解，該公司表示這次的警示資訊，源自於他們在內部偵測到相關事故，根據初步調查的結果，顯示惡意軟體的類型為木馬程式，因此，他們決定呼籲客戶及使用者要提高警覺。</p> <p>研究人員公布他們看到的假網站網域名稱，包括：</p> <ul> <li>www[.]linec-tw[.]OOO</li> <li>line-chinese[.]OOO</li> <li>line-tw[.]OOO</li> <li>windows-line[.]OOO</li> </ul> <p>雖然趨勢科技並未透露攻擊者的身分，但根據他們提供的假網站螢幕截圖，當中內含不少簡體中文及中國用語，這樣的情況難不讓人聯想攻擊者很可能來自中國。</p> </div></div></div>
2025/4/16 10:22作者周峻佑https://www.ithome.com.tw/news/168431
MFT檔案共享系統Cleo受害者首度現身，租車業者Hertz證實受害
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年12月資安業者Huntress揭露<a href="https://www.ithome.com.tw/news/166461">鎖定Cleo旗下MFT檔案傳輸系統的攻擊行動</a>，駭客利用零時差漏洞CVE-2024-55956（CVSS風險評分為9.8分）得逞，<a href="https://www.ithome.com.tw/news/166737">隨後勒索軟體駭客Clop聲稱是他們所為</a>，向新聞媒體透露有超過60家企業組織受害，其中一家是遭Termite攻擊的SaaS軟體服務供應商Blue Yonder，如今有企業表明受害。</p> <p>根據<a href="https://www.bleepingcomputer.com/news/security/hertz-confirms-customer-info-drivers-licenses-stolen-in-data-breach/">Bleeping Computer</a>、<a href="https://www.darkreading.com/vulnerabilities-threats/hertz-falls-victim-cleo-zero-day-attacks">Dark Reading</a>、<a href="https://securityaffairs.com/176562/data-breach/hertz-disclosed-a-data-breach-following-2024-cleo-zero-day-attack.html">SecurityAffairs</a>、<a href="https://www.securityweek.com/hertz-discloses-data-breach-linked-to-cleo-hack/">SecurityWeek</a>等多家資安新聞網站報導，<a href="https://www.hertz.com/content/dam/hertz/global/resources/Notice_of_Data_Incident-United_States.pdf">大型租車業者Hertz證實</a>，他們在今年2月10日確認發生資料外洩事故，未經授權的第三方人士利用Cleo平臺的零時差漏洞，從去年10月至12月收集Hertz的資料。該公司察覺此事，隨即確認事件影響的範圍，以及個人資料受到影響的人士，並於4月2日完成相關資料分析。</p> <p>對於遭到外流的資料，Hertz表示包含姓名、聯絡資訊、生日、信用卡資訊、駕照等。有極少量人士的社會安全碼（SSN）、護照、醫療照護資料，或是車禍受傷資訊，也可能被外流。</p> <p>究竟有多少人受到影響？Hertz並未在這份公告提及。根據SecurityAffairs、SecurityWeek的報導指出，該公司已向美國多州總檢察長辦公室通報此事，其中僅有對於緬因州的通報資料提及，有3,409人受到影響。</p> <p>值得留意的是，SecurityAffairs指出，今年1月Clop新增59家受害企業組織，SecurityWeek取得英國資安業者Comparitech的說法，駭客在過去幾個月已增加數百家受害組織。如此看來，這波零時差漏洞攻擊的影響範圍很有可能還會持續擴大。</p> </div></div></div>
2025/4/16 12:27作者周峻佑https://www.ithome.com.tw/news/168434
川普大砍行政預算，CVE與CWE專案的合約本周到期
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">負責管理與維護「常見漏洞披露」（Common Vulnerabilities and Exposures，CVE）資料庫，以及「通用缺陷列表」（Common Weakness Enumeration，CWE）的<a href="https://bsky.app/profile/tib3rius.bsky.social/post/3lmulrbygoe2g" target="_blank">美國非營利組織MITRE近日傳出</a>，包括這兩項專案的許多專案合約都將在本周三（4/16）到期。外界猜測應是川普大砍美國行政預算所導致。</p> <p dir="ltr">MITRE負責管理美國政府的6個聯邦資助研究與發展中心（Federally Funded Research and Development Center，FFRDC），從國防、航空、醫療、國土安全到網路/資訊安全，以及自這些中心衍生的各種專案。像是<a href="https://www.cve.org/" target="_blank">管理資安漏洞唯一識別碼的CVE專案</a>，從1999年上線迄今，已累積超過27.4萬個CVE；或者是<a href="https://cwe.mitre.org/" target="_blank">專門幫各種漏洞分門別類的CWE專案</a>，於2006年設立，現已統計出超過600個漏洞類別。</p> <p dir="ltr">在社交媒體上流傳的這一張信件，是由負責美國國土安全部窗口的MITRE主任Yosry Barsoum寫給CVE委員會的，表示包括CVE與CWE在內的多項合約，都將在4月15日到期，倘若CVE服務中斷，可能有多方會受到影響，從國家資料庫、工具供應商、事件回應的操作，到各種關鍵基礎設施等。</p> <p dir="ltr"><a href="https://www.linkedin.com/feed/update/urn:li:activity:7318000614334943232/" target="_blank">資安專家Brian Martin指出</a>，一旦相關預算消失，CVE編號授權單位再也無法分配ID或交予MITRE快速發布，這是美國國家漏洞資料庫（NVD）的基礎，但NVD已積壓了超過3萬個漏洞，全球所有依賴CVE與NVD分析漏洞的公司都將受到劇烈影響。</p> <p dir="ltr">不管是CVE或CWE專案，都是源自於美國國土安全部的國家網路安全部門所編列的預算，但最近美國總統川普（Donald Trump）大砍行政預算，令這些組織自身難保。<a href="https://therecord.media/trump-administration-planning-workforce-cuts-at-cisa" target="_blank">根據The Record的報導</a>，美國網路安全暨基礎設施安全局（CISA）正在制定人事刪減計畫，可能會裁撤一半的全職員工跟40%的承包商，波及1,300人。</p> <p dir="ltr"><a href="https://www.csoonline.com/article/3963190/cve-program-faces-swift-end-after-dhs-fails-to-renew-contract-leaving-security-flaw-tracking-in-limbo.html" target="_blank">CSO Online則引述消息來源報導</a>，MITRE從4月15日的午夜開始，就不再於CVE資料庫中添加紀錄，<a href="https://github.com/CVEProject" target="_blank">而會轉至GitHub</a>。CISA也向該報表示，雖然雙方的合約即將到期，但他們正在努力減輕影響，以維護受到全球依賴的CVE服務。</p> </div></div></div>
2025/4/16 11:42作者陳曉莉https://www.ithome.com.tw/news/168432
Google要求Android 15手機儲存容量不得小於32GB
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">Android向來是追求性價比的用戶的手機平臺選擇，而低價手機往往提供相對小的儲存記憶體，但是Google為了提升使用體驗，近日調整Android 15智慧型手機的記憶體容量下限，要求不得少於32GB。</p> <p dir="ltr"><a href="https://www.androidauthority.com/android-15-minimum-storage-requirement-3543169/" target="_blank">Android Authority本周發現</a>Google一份針對搭載Android 15的智慧型手機及Google手機App的新版最低規格，這份規格包含在Google給手機品牌商及製造商的Google Mobile Services授權相關文件中。其中，安裝執行Android 15的智慧型手機，最低應具備32GB的快閃記憶體。而且，32GB中的75%必須配置給資料分區，後者主要儲存系統App及App資料、系統檔案，以及所有用戶App和檔案。</p> <p dir="ltr">在此之前，Android13、14的儲存容量要求是16GB，古早的Android 12則是8GB。</p> <p dir="ltr">如果手機製造商使用的是開源版的AOSP（Android Open Source Project），AOSP授權條款並沒有這規定，廠商也無需照辦。但如果手機廠商希望取得Google行動服務（Google Mobile Services,GMS），包括Google Maps、Gmail、YouTube等受歡迎的App，就必須和Google簽署GMS授權合約。未能滿足要求的手機就無法通過GMS驗證及取得Google Apps。</p> <p dir="ltr">報導指出，Google這項新規定是希望能改良低階Android裝置的使用體驗。更高的記憶體容量意謂用戶和手機業者都能安裝更多App，不過，這不代表儲存運算速度一定會更快，因為還要考慮手機搭載的eMMC儲存晶片效能夠不夠快。</p> <p dir="ltr">其他Android 15系統及功能要求包括：手機必須提供用戶選擇，使之得以分享聯絡資料在緊急通話時給緊急定位服務，這讓手機能將用戶所在位置提供給救援單位。新晶片組必須支援2D、3D圖形運算API Vulkan 1.3以上；提供ANGLE函式庫作為原生OpenGL ES驅動程式以外的選擇；最後，Android 15新授權規定要求RAM為2GB、3GB的手機必須啟用Android低記憶體優化才能獲得認證，RAM為4GB的Android 15手機今年未強制啟用優化，但可能下一代Android會開始要求。</p> </div></div></div>
2025/4/16 09:39作者林妍溱https://www.ithome.com.tw/news/168430
金管會修正「保險業辦理電子商務應注意事項」，放寬多項網路投保規定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>金管會今日修正發布「保險業辦理電子商務應注意事項」，放寬了多項網路投保規定，包括開放團體保險要保單位能以數位形式申辦網路保險服務、放寬旅平險等周邊險種，要保人與被保險人不同人的網路投保限制、開放保險業在自家官網銷售重大疾病保險、辦理定額型健康保險網路投保業務、開放使用票劵或會員點數折抵部分保險費，還有在特定條件下免除抽樣電話訪問工作等規定。</p> <p>過往在家庭旅遊情境中，家屬要為子女投保旅遊相關保險商品，只能以自然人憑證方式證明被保險人的意思表示。這次修正則放寬了部分限制。當要保人和被保險人不同人，且符合二等親之內或有扶養義務及生活關係者，例如，父母為子女投保旅遊相關保險商品時，可使用生物辨識、行動身分識別（Mobile ID）、金融行動身分識別（金融Fast-ID）或數位憑證等方式完成身分確認及意思表示。</p> <p>不過，考量到7歲以上被保險人可能不具備手機門號，無法使用行動身份識別或金融Fast-ID，保險局也開放當被保險人為7歲以上未成年子女，要保人可以透過上傳被保險人的身分證明和投保意願簽名，完成身份確認和意思表示。</p> <p>另外一個修正重點，是開放保險業者能在自家官網上銷售重大疾病保險。過往民眾若要網路投保重大疾病保險，僅能透過主管機關指定的平臺，來向保險公司購買商品。這次修正則放寬了重大疾病保險的銷售通路，讓保險業者也可以在自家官網上販售重大疾病保險商品。同時，保險局也開放業者辦理定額型健康保險的網路投保業務。</p> <p>第三項修正重點，是開放保險業者使用票券或會員點數折抵部分保險費。這項修正，源自於去年國泰產險的異業合作試辦案。在那項試辦案中，民眾只需在國泰產險會員中心完成綁定，就能在繳交汽車險和旅遊險保費時，使用小樹點折抵費用。同時，國泰產險也與PayEasy合作，讓與PayEasy合作的企業員工可採用保險票券來折抵保費。保險局副局長陳清源表示，依據這項試辦案成果，他們修正了這項規定，增列保險業者能讓消費者使用票券或會員點數折抵保險費。但是，業者還是需要建立查驗機制，例如綁定點數業者的會員帳號、驗證票券所屬會員編號等查驗方式，來確保保險費有如數收取。</p> <p>最後，保險局也放寬了抽樣電訪工作的規定。若要保人是以生物辨識、Mobile ID、金融Fast-ID或數位憑證等驗證強度較高的方式完成投保，就能免除抽樣電訪。但是，若保險業者在辦理網路投保或網路保險服務的身份驗證作業發生缺失，在改善缺失前，不適用這項免除規定。</p> <p>不過，在放寬多項規定的同時，保險局也新增了一項條文，明定保險業者要依據網路保險服務事項的風險等級，選擇信賴等級相當的身份驗證機制，例如，將影響保護權益的保險服務事項列為高風險等級。</p> <p></p> </div></div></div>
2025/4/15 18:20作者李昀璇https://www.ithome.com.tw/news/168428
【臺灣資安大會直擊】前資安院副院長吳啟文：企業積極導入AI應用，資安防禦應也應擴及AI風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「資安是持續的風險管理，因此對威脅、趨勢掌握非常重要」，前國家資通安全研究院副院長吳啟文在今年臺灣資安大會中分享在AI時代下的資安防禦思維。</p> <p>傳統的資安威脅可能來自漏洞、惡意軟體或是DDoS，然而AI等技術的快速發展，雖為企業帶來許多正面的優點，也同時使得企業面臨負面的風險增加，吳啟文以透過生成式AI寫程式為例，雖然提高開發的效率，但是其所產生的程式也可能存在漏洞，進而帶來資安風險，或是使用AI造成用戶的資料外洩。</p> <p>另一方面，駭客也可能利用AI寫惡意程式，設計新型態的攻擊，或是利用生成式AI技術，以使得網路釣魚、社交工程的攻擊手法更為逼真，讓更多的使用者上當。</p> <p><strong><span style="color:#B22222;">國外已提出AI的風險管理框架</span></strong></p> <p>鑑於AI的風險不容輕忽，吳啟文表示，國外已針對AI技術發展提出風險管理對策，其中NIST提出風險管理框架AI RMF 1.0，該框架提出4大管理功能，包括治理(Govern)、映射(Map)、測量(Measuree)及管理(Manage)，同時也提出AI可信任的7大特性，安全、資安及韌性、隱私強化、公平性等等。NIST也特別針對生成式AI提出風險管理架構，點出資料隱私等12項重大風險，可對應AI RMF 1.0。</p> <p>OWASP則是提出LLM應用程式的十大風險，例如提示詞注入、未妥善處理輸出內容、訓練資料的下毒攻擊、阻斷服務攻擊、供應鏈攻擊、機敏資料外流、不安全的外掛程式等等。</p> <p><strong><span style="color:#B22222;">政府也將導入AI新科技作為國家未來發展方向</span></strong></p> <p>吳啟文指出，臺灣在前總統蔡英文執政下，提出資安即國安，將資安升級為國家安全的層次，並在2018年提出國家資通安全戰略1.0，提高政府對於資安的重視程度，同時將扶植國內資安產業發展作為執政目標，2021年提出資安即國家戰略2.0，願景為打造韌性安全可信賴的國家。</p> <p>在今年，政府提出最新國家資通安全戰略2025，目的為打造堅韌、安全、可信賴的智慧國家，兩大措施包括戰略夥伴的鏈結，以及堅實資安治理機制及防護，其中堅實資安治理機制及防護底下包含4個支柱，包括全社會防衛韌性、國土防衛與關鍵基礎設施、關鍵產業與供應鏈、人工智慧應用與安全，其中的人工智慧應用與安全，目的為善用AI技術，並且平衡其可能帶來的風險，一方面將AI技術用於全社會防衛韌性、土防衛與關鍵基礎設施、關鍵產業與供應鏈的資安防護，並建立產業生態系；另方面則是要確保AI技術的安全性及可信任性。</p> <p>今年接任職掌國家資通安全政策研擬、規畫及執行的資安署長的前金管會主祕蔡福隆，在接受媒體採訪時，蔡福隆也提出今後國家資通安全政策，除了應用人工智慧等新興科技外，也面臨相應的挑戰，即生成式AI帶來的風險，包括駭客利用AI技術的自動化攻擊，以及釣魚郵件、惡意軟體等。</p> <p><strong style="color: rgb(178, 34, 34);">資安防禦策略應擴及AI風險管理</strong></p> <p>對於如何管理AI可能帶來的風險？吳啟文借用世界經濟論壇WEF的報告，該報告提出平衡AI與網路安全的風險及報酬的6個問題，作為AI應用管理風險的自評依據，這些問題例如對於使用AI技術具有適當的風險承受能力，且被所有風險所有者理解？在考慮新的AI計畫時，適當的平衡風險與報酬？有效的流程以管理追蹤組織AI計畫發展？確保AI部署符合組織政策與法規義務的驗證流程？等等。</p> <p>吳啟文認為，WEF的報告提出的6個問題，可讓企業或組織規畫運用AI技術時，先評估自己的準備是否已經完備，已做到上述問題的要求方能考慮AI應用，如果沒有做到則需要重新考慮是否導入AI應用。</p> <p>在該報告裡也提到AI對網路安全的三個影響，威脅者運用AI提高攻擊的有效性，防禦者則運用AI提高網路安全防禦能力，第三個是AI的網路安全，主要為使用AI可能增加威脅者的攻擊面向，現有資安防禦策略需要擴大到處理AI的新弱點。</p> <p>吳啟文指出，目前國內已有數產署針對AI技術建立評測機制，先以大語言模型LLM為評測對象，參考歐美的AI規範例如NIST RMF、ISO 24028、歐盟議會等等，共提出10個評測項目，包含安全性、可解釋性、韌性、公平性、透明性、可靠性、隱私等等。以手動或自動的方式進行驗證。</p> <p>儘管AI可能帶來負面的風險，但是吳啟文認為，AI為中性技術，AI在資安防禦的事前、事中、事後仍能提供很好的功能，例如在事前，AI能夠自動分析海量的情資，產生比較好的威脅報告，提出預測讓組織及早因應，或是運用AI Honey Pot來蒐集更多情資，也能對新型態的未知威脅提出預測；在事中及事後方面，可利用AI作自動化調查，國外也有SOC運用AI Agent調整調查的規則。</p> </div></div></div>
2025/4/15 20:53作者蘇文彬https://www.ithome.com.tw/news/168429
【資安日報】4月15日，總統親臨臺灣資安大會致詞，從國家戰略、產業政策彰顯資安
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>亞洲規模最大的資安盛會「臺灣資安大會CYBERSEC 2025」在今天舉行，總統賴清德親臨現場致詞，強調臺灣所處的第一島鏈戰略要衝位置，肩負著民主防線最前線的角色，在網路世界遭受來自各方的駭客攻擊。臺灣威脅態勢加劇的情況，政府也從國家戰略到產業政策來因應。</p> <p>除此之外，美國在臺協會處長谷立言（Raymond F. Greene）致詞當中，也特別宣布相當有指標意義的消息，那就是在臺美合作之下完成了NIST資安框架2.0（Cybersecurity Framework 2.0）的正體中文翻譯。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168408"><strong style="font-size: 22px;">駭客聲稱握有Fortinet防火牆零時差漏洞，能未經身分驗證執行任意程式碼</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/GoaWTiyXAAAf9Hp.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/GoaWTiyXAAAf9Hp.jpg" style="width: 300px; float: right;" /></a>本週資安業者Fortinet發布資安公告，指出旗下防火牆遭遇CVE-2022-42475、CVE-2023-27997、CVE-2024-21762等已知漏洞（CVSS風險介於9.2至9.5分）攻擊，駭客鎖定已經啟用SSL VPN功能的設備而來，並透過符號連結（Symbolic Link）建立能持續存取的管道，巧合的是，在此同時也有駭客兜售零時差漏洞。</p> <p>根據Dark Reading、SecurityWeek等資安新聞媒體的報導，4月13日威脅情報業者ThreatMon提出警告，他們發現有人在暗網論壇聲稱握有Fortinet防火牆設備FortiGate的零時差漏洞，攻擊者一旦觸發，就有機會在未經授權的情況下，遠端執行任意程式碼（RCE），並且完整存取防火牆作業系統FortiOS的組態。</p> <p>但這項零時差漏洞的消息真實性如何？目前仍不得而知，ThreatMon沒有進一步說明。而Fortinet揭露的攻擊行動是否與這項漏洞有關，也有待資安研究員後續公布調查結果。</p> <p><a href="https://www.ithome.com.tw/news/168421"><strong style="font-size: 22px;">AI時代駭客犯罪模式出現轉變，趨勢科技指出駭客將AI當傭兵，更容易從事網路犯罪</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/RobertMcArdle-20250414-evo.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/RobertMcArdle-20250414-evo.jpg" style="width: 300px; float: right;" /></a>最近幾年網路犯罪出現分工，網路犯罪者提供作案工具的租用服務，藉此提供打手高靈活性及低成本的作案門檻，其中最常見的就是勒索軟體即服務（Ransomware-as-a-Service）、惡意軟體即服務（Malware-as-a-Service），網路釣魚即服務（Phishing-as-a-Service）等，但隨著AI的廣泛應用，這種「服務化」的網路犯罪生態圈也開始出現變化。</p> <p>趨勢科技指出，他們觀察到上述的網路犯罪即服務（Cybercrime-as-a-Service）的現象，已隨著網路罪犯採用AI技術，轉變成以AI代理基礎的「網路犯罪即傭兵（Cybercrime-as-a-Servant）」，這代表未來網路犯罪生態圈將會出現新的商業模式。目前駭客不僅會利用AI協助開發惡意軟體，也已透過AI針對不同產業、不同語言的使用者，產生專屬的釣魚郵件，而在未來將會有加依賴AI的現象，從AI助理被動提供建議，變成由AI主動執行工作，藉由AI建立自動化流程來提升攻擊效率，進而得到更高的效益。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-resolverrat-malware-targets-pharma-and-healthcare-orgs-worldwide/">惡意軟體ResolverRAT鎖定藥廠及醫療保健產業而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/04/phishing-campaigns-use-real-time-checks.html">網釣攻擊出現新手法，駭客在竊取帳密之前驗證電子郵件信箱</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.darkreading.com/threat-intelligence/paper-werewolf-targets-flash-drives-new-malware">俄羅斯遭到駭客組織Paper Werewolf鎖定，透過USB裝置散布蠕蟲</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/04/pakistan-linked-hackers-expand-targets.html">巴基斯坦駭客SideCopy鎖定印度，散布Spark RAT、CurlBack RAT</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://money.udn.com/money/story/5613/8669222">冒牌電腦版Line針對臺灣而來，恐導致電腦被植入木馬</a></strong></p> <p><strong style="font-size: 20px;"><a href="https://money.udn.com/money/story/5613/8669222"></a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168410"><strong style="font-size: 22px;">Nvidia Container Toolkit修補不全，攻擊者有機會逃脫容器系統</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/CVE-2025-23359-Fig2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/CVE-2025-23359-Fig2.png" style="width: 300px; float: right;" /></a>GPU大廠Nvidia去年9月發布1.16.2版Container Toolkit，目的是修補涉及時間檢查與時間使用（TOCTOU）造成的競爭條件（Race Condition）漏洞CVE-2024-0132，此漏洞為重大層級，CVSS風險評為9.0分，通報此事的資安業者Wiz指出，由於這項漏洞影響採用Nvidia顯示晶片的容器系統，影響的範圍相當廣，估計有超過35%雲端環境曝險。如今有研究人員發現，Nvidia修補並不完整，攻擊者有機會造成Docker阻斷服務（DoS）的情況。</p> <p>4月10日趨勢科技指出，他們去年10月分析Nvidia發布的修補程式，結果發現修補不全的情況，並確認新的弱點CVE-2025-23359，會影響在Linux平臺運作的Docker效能，此弱點能讓攻擊者逃逸沙箱隔離機制，存取主機敏感資源，並且會導致重要工作中斷的現象，CVSS風險達到9.0（Nvidia評為8.3分），Nvidia於今年2月發布1.17.4版Container Toolkit、24.9.2版GPU Operator予以修補。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168420"><strong style="font-size: 22px;">賴清德總統四度親臨臺灣資安大會，從國家戰略到產業政策彰顯資安重要性</strong></a></p> <p>亞洲規模最大資安盛會「臺灣資安大會CYBERSEC 2025」於4月15日至4月17日假南港展覽館二館舉行，今年舉辦第十一屆，也是總統賴清德連續第四年應邀蒞臨「臺灣資安大會」。</p> <p>今年賴清德總統蒞臨大會致詞時表示，政府將持續推動國產自主研發的資安產品與服務，以降低對外部技術的依賴風險。這項宣示也與近年來政府對「資安即國安」的國家資安戰略，以及政府對於資安新創領域高度扶植政策相呼應，更是臺灣在面對持續不斷的網路威脅的態勢下，如何做到保持高度警覺與應變能量，成為真正「資安堅韌之島」的過程。</p> <p>美國在臺協會處長谷立言（Raymond F. Greene）致詞時表示，資安不僅只是IT技術的課題，更是國家安全與經濟安全的重要環節。這也點出臺美之間，在資安領域已經成為緊密的合作夥伴關係，同時也呼應了美國政府重視亞洲區域，尤其是臺灣在全球供應鏈與網路安全中所扮演的重要角色。</p> <p><a href="https://www.ithome.com.tw/news/168409"><strong style="font-size: 22px;">SSL、TLS憑證最長效期逐年縮短，2029年將減成47天</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/files/0415- Sectigo-47-day SSL_TLS certificates-圖表.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/files/0415-%20Sectigo-47-day%20SSL_TLS%20certificates-%E5%9C%96%E8%A1%A8.png" style="width: 300px; float: right;" /></a>憑證產業論壇CA/B論壇（Certification Authority Browser Forum）做出決議，所有SSL/TLS憑證最長效期將由現行398天縮短9成，到2029年剩47天，且每月需更新一次。</p> <p>CA/B論壇眾家會員廠商於4月11日完成投票，通過蘋果提案的Ballot SC-081v3。4家憑證使用者端（瀏覽器業者）包括蘋果、Google、Mozilla、微軟皆贊成。29家憑證頒發業者（Issuer）24票贊成、5票棄權，無人反對。</p> <p>在最新決議下，CA/B論壇未來將分階段縮短憑證效期。2026年3月15日起，SSL/TLS憑證最長效期會縮短到200天，更新期將改為6個月更新一次。而網域控制驗證（Domain Control Validation，DCV）重覆使用期限也減到200天。2027年3月15日起，憑證最長效期會再短100天。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/168403"><strong>【4月14日】啟用SSL VPN的Fortinet防火牆遭到已知漏洞攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168382"><strong>【4月11日】國家資通安全戰略2025本週正式公布</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168348"><strong>【4月10日】中華資安投資奧義智慧，攜手拓展市場、提升國際能見度</strong></a></p> </div></div></div>
2025/4/15 12:57作者周峻佑https://www.ithome.com.tw/news/168418
AI時代駭客犯罪模式出現轉變，趨勢科技指出駭客將AI當傭兵，更容易從事網路犯罪
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近幾年網路犯罪出現分工，網路犯罪者提供作案工具的租用服務，藉此提供打手高靈活性及低成本的作案門檻，其中最常見的就是勒索軟體即服務（Ransomware-as-a-Service）、惡意軟體即服務（Malware-as-a-Service），網路釣魚即服務（Phishing-as-a-Service）等，但隨著AI的廣泛應用，這種「服務化」的網路犯罪生態圈也開始出現變化。</p> <p>趨勢科技指出，他們觀察到上述的網路犯罪即服務（Cybercrime-as-a-Service）的現象，已隨著網路罪犯採用AI技術，轉變成以AI代理基礎的「網路犯罪即傭兵（Cybercrime-as-a-Servant）」，這代表未來網路犯罪生態圈將會出現新的商業模式。目前駭客不僅會利用AI協助開發惡意軟體，也已透過AI針對不同產業、不同語言的使用者，產生專屬的釣魚郵件，而在未來將會有加依賴AI的現象，從AI助理被動提供建議，變成由AI主動執行工作，藉由AI建立自動化流程來提升攻擊效率，進而得到更高的效益。</p> <p>原本趨勢科技將Cybercrime-as-a-Servant翻成「網路犯罪即代理」，意指駭客會借助AI機器人代理程式的力量犯案，然而原本的「服務」與「Servant」的性質有所不同，翻成代理的用意，很有可能是要突顯運用「AI代理」，但難以涵蓋Servant含有僕人、傭人、傭兵讓駭客能隨傳隨到的特質，因此我們決定將Cybercrime-as-a-Servant翻成「網路犯罪即傭兵」。</p> <p>網路罪犯將AI從「助理」變成「傭兵」，這樣的態勢將使得犯罪的門檻再度降低，攻擊者會擴大攻擊範圍，並試圖尋找更多有利可圖的潛在目標；此外，由於攻擊者需要大量運算資源訓練AI，他們也會攻擊生成式AI服務供應商，或是盜用雲端服務帳號。</p> <p>雖然道高一尺、魔高一丈，駭客導入新技術相當迅速，但趨勢科技網路犯罪研究前瞻威脅研究總監Robert McArdle也提及，根據他們的觀察，駭客手法的演進通常會遵循3種原則，分別是：追求簡單容易的方法、短期且高投資報酬率，以及從既有方式進化（Evolution），而非革命性（Revolution）的改變，而導入AI工具正好符合這樣的需求，因此Robert McArdle認為，企業要透過主動、全面性的資安工具，來因應這種新興威脅態勢。</p> </div></div></div>
2025/4/15 14:12作者周峻佑https://www.ithome.com.tw/news/168421
微軟擴充.NET Aspire部署能力，標準化應用開發到多雲部署流程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟釋出雲端應用開發工具包<a href="https://devblogs.microsoft.com/dotnet/dotnet-aspire-92-is-now-available-with-new-ways-to-deploy/">.NET Aspire 9.2</a>，進一步擴充部署功能，首次導入Publisher架構，讓開發者能統一管理應用程式資源與部署設定，簡化多環境部署流程，並原生支援Docker Compose、Kubernetes與Azure平臺。新版本同步改善Dashboard使用體驗，增強資源視覺化管理與連結能力，強化.NET Aspire作為雲端原生應用開發與管理平臺的定位。</p> <p>.NET Aspire是微軟針對雲端與微服務架構推出的開發堆疊，主要設計目標是簡化.NET應用程式在開發、測試、資源管理到部署的完整流程。此次9.2版的重點更新，是透過Publisher架構讓部署行為標準化，開發者僅需在程式碼中加入必要設定，便可自動產生docker-compose.yaml或Kubernetes的部署描述檔，搭配.NET Aspire CLI工具進行打包與發布，降低手動維護多套部署檔的繁瑣工作。</p> <p>微軟表示，新版Publisher機制整合了來自開源工具Aspir8的經驗，讓開發者不必額外安裝工具，就能在原生.NET Aspire開發環境內，完成容器化與多環境部署設定。目前支援的目標平臺涵蓋Docker Compose、Kubernetes與Azure，未來也可透過擴充撰寫自定義Publisher，滿足其他部署需求。</p> <p>針對應用程式開發過程，.NET Aspire 9.2也針對Dashboard進行多項強化，最大亮點為Resource Graph視覺化功能，能將AppHost中註冊的各類資源，以圖形化方式顯示出彼此關聯，協助開發者快速理解應用架構。更新後的Resource Deep Linking功能也擴充至Azure Cosmos DB、Azure Service Bus、Azure Event Hubs等資源，支援自動傳入連線字串或必要參數至專案，簡化程式碼撰寫與設定管理。</p> <p>需要特別注意的是，.NET Aspire 9.2針對Azure SQL Server與Azure PostgreSQL的部署行為進行了重大變更。新版本預設讓Azure Container Apps中的每個應用程式擁有獨立的Managed Identity，取代過去共用單一身分的做法。此變更將影響資料庫權限管理，Azure SQL Server僅支援一個Azure AD管理員帳號，當多個應用程式部署至同一資料庫，需額外設定專屬使用者與角色權限；Azure PostgreSQL則需透過GRANT命令顯式賦予資料存取權限。此行為變更主要為提升安全性，但現有使用者在升級9.2版時，需特別檢視相容性與存取設定。</p> <p>目前.NET Aspire 9.2已開放使用，開發者可透過升級AppHost專案中的SDK與NuGet套件版本，快速獲取新功能。微軟也建議，已部署至Azure的使用者，應特別留意身分與權限行為變更，以確保應用程式能正確存取資料庫資源。</p> </div></div></div>
2025/4/15 15:26作者李建興https://www.ithome.com.tw/news/168423
英特爾將出售Altera 51%股權，Altera市值腰斬
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.techpowerup.com/335431/intel-announces-strategic-investment-by-silver-lake-in-altera" target="_blank">英特爾（Intel）周一（4/14）宣布</a>，將把51%的Altera業務出售給投資公司Silver Lake，雙方預計於今年下半年完成交易。該交易對Altera的估值為87.5億美元，僅約英特爾<a href="https://www.ithome.com.tw/news/96343" target="_blank">在2015年以167億美元買下Altera時</a>的一半價格。</p> <p>Altera為一可程式化邏輯元件製造商，擁有現場可程式閘陣列（field-programmable gate array，FPGA）技術，所生產的晶片被廣泛應用在電信、無線裝置、汽車、工業應用及網路等領域，當初英特爾買下Altera的原因除了想跨出PC市場之外，也打算在自家處理器中整合FPGA。</p> <p>在英特爾買下Altera的前一年（2014年），Altera仍處於獲利的狀態，<a href="https://www.sec.gov/Archives/edgar/data/768251/000076825115000008/altera10k12312014.htm" target="_blank">當年的淨收入</a>為4.7億美元。不過，在併入英特爾的10年後，Altera在2024年虧損了6.15億美元。在交易完成之後，英特爾將會於自家財報中剝離Altera。</p> <p>英特爾執行長陳立武表示，此一交易體現了該公司將重新聚焦、減少費用結構，以及強化資產負債表的承諾。未來英特爾仍將持有49%的Altera股份。英特爾同一天也宣布由Raghib Hussain接替Sandra Rivera，成為Altera的新執行長，於5月5日生效。</p> <p>取得大多數Altera股權的Silver Lake則是看好Altera在FPGA創新上的表現，指出其可程式解決方案不僅可用來部署既有的工業、通訊及資料中心上，也將被應用在AI、邊緣運算及機器人等新興市場。</p> <p>未來的Altera將獨立經營，並成為全球最大的純FPGA半導體解決方案公司。</p> </div></div></div>
2025/4/15 14:47作者陳曉莉https://www.ithome.com.tw/news/168422
VMware最低授權數不調高！博通新公告重申16核心數要求，更加碼釋出免費版ESXi
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>3月底時，英國科技媒體The Register取得一封歐洲大型VMware經銷商給客戶的通知信件，透露Broadcom擬從4月10日調高VMware授權最低機器核心數量，引起許多用戶企業紛紛抱怨，授權成本將增加了，不少媒體，<a href="https://www.ithome.com.tw/news/168141">包括iThome都向Broadcom求證，但都沒有獲得回覆</a>。直到最近，在預定調整日期隔天，4月11日，博通在<a href="https://knowledge.broadcom.com/external/article?legacyId=95927">線上知識庫更新了一份公告</a>，強調VCF和vSAN最低購買量為16核心，等於沒有調整既有的最低授權數量規定。</p> <p>The Register公開了向法國知名VMware經銷商Arrow的客戶通知信件，內容指出，從4月10日起，執行VMware授權的最低核心數量要求，將從每指令行16核大幅升級到72核心。另外一個引起抱怨連連條款則是要求小型企業客戶得從4月初開始，支付遠超過原有購買的授權數，若客戶不在期限前更新授權，將被溢收20%作為罰款。</p> <p>直到3月底這封經銷商的顧客信曝光，引起不少中小型用量的企業抱怨連連，認為是將大幅增加VMware軟體的授權採購成本。</p> <p>一名Arrow在荷蘭的VMware業務經理Mohammed Hachache，在LinkedIn上<a href="https://www.dutchitchannel.nl/news/608581/broadcom-annuleert-bulkorder-van-72-cores-per-order-voor-emea">回覆荷蘭IT頻道創辦人Witold Kepinski</a>，這次最低授權數調整只針對EMEA地區的顧客，而非全球，也就是只有歐洲，中東和非洲的VMware企業顧客受到影響。但此一消息傳出，不只這個地區，其他地區的企業顧客也引起很多的抗議。</p> <p>直到4月10日，也就是傳言新版授權規定實施時間點，<a href="https://www.heise.de/news/Rueckzieher-bei-VMware-Unternehmen-koennen-weiterhin-16-Kerne-lizenzieren-10346897.html">德國科技媒體iX</a>向經銷商確認了博通撤銷新授權規定的消息，也確認過報價單。不過，iX向博通查證時，博通回覆，沒有調整最低授權數的計畫，依舊是每CPU 16核心數的要求，沒有變動。</p> <p>早在前一天，臺灣時間4月9日，VMware業務經理Mohammed Hachache也在Witold Kepinsk授權數調整的討論下提供最新資訊，<a href="https://www.linkedin.com/feed/update/urn:li:activity:7311426335141228544?commentUrn=urn%3Ali%3Acomment%3A%28activity%3A7311426335141228544%2C7312573667001917440%29&replyUrn=urn%3Ali%3Acomment%3A%28activity%3A7311426335141228544%2C7315293888439541763%29&dashCommentUrn=urn%3Ali%3Afsd_comment%3A%287312573667001917440%2Curn%3Ali%3Aactivity%3A7311426335141228544%29&dashReplyUrn=urn%3Ali%3Afsd_comment%3A%287315293888439541763%2Curn%3Ali%3Aactivity%3A7311426335141228544%29">他回覆：</a>「根據昨晚與分銷商的溝通，Broadcom 已取消EMEA地區每個訂單的72個核心。每個人都可以再次單獨購買（每個CPU至少16個內核）。」</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/VMware%E7%B6%93%E9%8A%B7%E5%95%86%E5%9B%9E%E8%A6%86%E6%8E%88%E6%AC%8A%E6%95%B8%E4%B8%8D%E8%AE%8A.png" /></p> <p>根據博通線上知識庫在4月11日更新的一份VCF、VVF核心數計算說明文件中提到，顧客必須購買每個CPU至少16核心的授權數量。這個敘述與原本的規定一樣，沒有變化。<br /> 博通在今年3月6日的財報視訊會議中，透露目前VMware顧客從永久授權，轉為完全訂閱制的比例，已經超過了60%。一萬家大型企業顧客中，也有7成導入VCF解決方案。博通預期，轉換率和採用率都將持續成長，但沒有透露會採取什麼做法來提高轉換率。</p> <h3><span style="color:#FF0000;"><strong>事隔一年，博通再次釋出免費版ESXi 8</strong></span></h3> <p>不過，最近博通在ESXi 8.0版更新3e版本（同樣是4月11日發布）的說明文件中，<a href="https://techdocs.broadcom.com/us/en/vmware-cis/vsphere/vsphere/8-0/release-notes/esxi-update-and-patch-release-notes/vsphere-esxi-80u3e-release-notes.html#GUID-53984120-73f0-4163-b7bd-42740c957112-en_id-af0f5303-6120-4ed4-a509-17899a7d9017">在最新消息提到，</a>這款VMware vSphere Hypervisor 8是一個入門級的虛擬機器管理版本，可以從博通支援入口網站上<strong>免費下載</strong>。目前在中文版ESXi 8.0發布說明中，還沒提到這點。</p> <p>過去多年來，VMware一直提供了免費授權的ESXi版本，也大受開發社群愛用。直到2024年2月，伴隨著永久授權策略的當時調整，博通取消了免費版ESXi的提供。直到最近，又再次釋出免費版ESXi。這個版本不是直接開放下載，而需先在博通支援入口網站註冊後才能免費下載。</p> </div></div></div>
2025/4/15 12:23作者王宏仁https://www.ithome.com.tw/news/168416
駭客聲稱握有Fortinet防火牆零時差漏洞，能未經身分驗證執行任意程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週<a href="https://www.ithome.com.tw/news/168399">資安業者Fortinet發布資安公告</a>，指出旗下防火牆遭遇CVE-2022-42475、CVE-2023-27997、CVE-2024-21762等已知漏洞（CVSS風險介於9.2至9.5分）攻擊，駭客鎖定已經啟用SSL VPN功能的設備而來，並透過符號連結（Symbolic Link）建立能持續存取的管道，巧合的是，在此同時也有駭客兜售零時差漏洞。</p> <p>根據<a href="https://www.darkreading.com/vulnerabilities-threats/fortinet-zero-day-arbitrary-code-execution">Dark Reading</a>、<a href="https://www.securityweek.com/threat-actor-allegedly-selling-fortinet-firewall-zero-day-exploit/">SecurityWeek</a>等資安新聞媒體的報導，4月13日威脅情報業者ThreatMon提出警告，他們發現<a href="https://x.com/MonThreat/status/1911380369292603822">有人在暗網論壇聲稱握有Fortinet防火牆設備FortiGate的零時差漏洞</a>，攻擊者一旦觸發，就有機會在未經授權的情況下，遠端執行任意程式碼（RCE），並且完整存取防火牆作業系統FortiOS的組態。</p> <p>駭客號稱能藉由漏洞存取敏感資料，這些資料包含：本機使用者帳密檔案（當中包含經加密處理的密碼）、管理員帳號權限與信任關係、雙因素驗證狀態，以及完整的防火牆規則、NAT規則、IP映射、內部資產等。</p> <p>但這項零時差漏洞的消息真實性如何？目前仍不得而知，ThreatMon沒有進一步說明。而Fortinet揭露的攻擊行動是否與這項漏洞有關，也有待資安研究員後續公布調查結果。</p> </div></div></div>
2025/4/15 10:12作者周峻佑https://www.ithome.com.tw/news/168408
Nvidia Container Toolkit修補不全，攻擊者有機會逃脫容器系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>GPU大廠Nvidia去年9月<a href="https://www.ithome.com.tw/news/165250">發布1.16.2版Container Toolkit</a>，目的是修補涉及時間檢查與時間使用（TOCTOU）造成的競爭條件（Race Condition）漏洞CVE-2024-0132，此漏洞為重大層級，CVSS風險評為9.0分，通報此事的資安業者Wiz指出，由於這項漏洞影響採用Nvidia顯示晶片的容器系統，影響的範圍相當廣，估計有超過35%雲端環境曝險。如今有研究人員發現，Nvidia修補並不完整，攻擊者有機會造成Docker阻斷服務（DoS）的情況。</p> <p>4月10日趨勢科技指出，<a href="https://www.trendmicro.com/en_us/research/25/d/incomplete-nvidia-patch.html">他們去年10月分析Nvidia發布的修補程式</a>，結果發現修補不全的情況，並確認新的弱點CVE-2025-23359，會影響在Linux平臺運作的Docker效能，此弱點能讓攻擊者逃逸沙箱隔離機制，存取主機敏感資源，並且會導致重要工作中斷的現象，<a href="https://www.zerodayinitiative.com/advisories/ZDI-25-087/">CVSS風險達到9.0</a>（Nvidia評為8.3分），Nvidia<a href="https://nvidia.custhelp.com/app/answers/detail/a_id/5616">於今年2月</a>發布1.17.4版Container Toolkit、24.9.2版GPU Operator予以修補。</p> <p>針對這項漏洞發生的原因，趨勢科技表示在名為mount_files的功能當中，對於物件操作的過程裡缺乏適當鎖定造成，攻擊者有機會用來提升權限，並於主機執行任意程式碼。不過，利用這項漏洞存在必要條件，那就是攻擊者能在容器執行任意程式碼，才能觸發漏洞。</p> <p>研究人員進一步說明攻擊者可能利用漏洞的手法。首先，攻擊者準備兩個惡意容器映像檔，這些映像檔透過磁碟區符號連結（Volume Symlink）進行連結。接著，攻擊者藉由供應鏈攻擊或社交工程手法，於受害組織的環境執行映像檔，這麼做使得他們能藉由競爭條件存取主機的檔案系統。一旦得逞，攻擊者就有機會存取執行容器的底層軟體Container Runtime Unix，從而以root權限執行任意命令，並遠端完全控制受害系統。</p> <p>除了部署新版Container Toolkit，趨勢科技也呼籲用戶應遵循最佳實作來緩解CVE-2024-0132、CVE-2025-23359與其他與Docker檔案系統綑綁的弱點，這些措施包括：限制Docker API的存取及權限、監控Linux掛載列表、定期稽核容器與主機之間的互動。</p> </div></div></div>
2025/4/15 11:17作者周峻佑https://www.ithome.com.tw/news/168410
OpenAI釋出GPT-4.1以取代GPT-4o
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/index/gpt-4-1/" target="_blank">OpenAI周一（4/14）釋出了GPT-4.1、GPT-4.1 mini與GPT-4.1 nano</a>，宣稱它們的性能全面勝過現有的GPT-4o及GPT-4o mini，所支援的脈絡長達100萬個Token，知識截止時間為2024年6月。不過，GPT-4.1將僅透過API供應，ChatGPT則由持續改善的GPT-4o負責，<a href="https://x.com/sama/status/1889755723078443244" target="_blank">至於原本規畫中的GPT-4.5</a>，現在OpenAI則說它只是個預覽版，GPT-4.1擁有許多類似或超越的表現，因此準備在今年的7月14日關閉GPT-4.5。</p> <p>GPT-4.1、GPT-4.1 mini與GPT-4.1 nano等3個不同等級的型號，都支援100萬Token的脈絡長度，其中的GPT-4.1能力最強，適合複雜任務，每輸入/輸出百萬個Token的售價各為2美元及8美元，適用於企業級代理人、高精度AI助理，以及科學研究；GPT-4.1 mini屬於中階模型，每輸入/輸出百萬個Token的售價各為0.4及1.6美元，適用於中大型應用、快速建置原型及自動客服系統等；GPT-4.1 nano每輸入/輸出百萬個Token的售價各為0.1與0.4美元，適合邏輯明確及結構化的簡單任務，像是分類或摘要等，可應用於手機或邊緣運算，執行速度也最快。</p> <p>OpenAI比較了GPT-4o、GPT-4.5、GPT-4.1在許多基準測試上的表現，例如GPT-4.1在用來修復開放原始碼臭蟲的SWE-bench Verified測試中，取得了54.6%的成績，分別比GPT-4o及GPT-4.5高了21.4個百分點與26.6個百分點。或者是在評估指令遵循能力的Scale's MultiChallenge⁠評測上，GPT-4.1也有38.3%的成績，比GPT-4o多了10.5個百分點。在理解影片的Video-MME⁠測試中，GPT-4.1在長篇且無字幕的類別中取得了72%的成績，比GPT-4o多出6.7個百分點。</p> <p>此外，GPT-4.1及GPT-4.1 mini的延遲度，也低於GPT-4o與GPT-4o mini。</p> <p>GPT-4.1可處理多達100萬個Token的脈絡，遠高於GPT-4o的12.8萬個，OpenAI認為這使得GPT-4.1非常適合處理大型的程式碼庫或者是大量的長文件。</p> <p>至於原本準備上架，卻突然宣布腰斬的GPT-4.5，OpenAI則解釋，GPT-4.5是個研究預覽版本，目的是為了探索與試驗一個大型且運算密集的模型，已從開發人員的回饋中學到許多，準備在未來的模型中嵌入GPT-4.5各種受到讚賞的特質，例如創造力、寫作品質與幽默感等。</p> </div></div></div>
2025/4/15 11:32作者陳曉莉https://www.ithome.com.tw/news/168411
Nvidia將首度完全於美國製造AI超級電腦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.nvidia.com/blog/nvidia-manufacture-american-made-ai-supercomputers-us/" target="_blank">Nvidia周一（4/14）宣布</a>，將首度完全於美國生產AI超級電腦，計畫在未來4年內，與台積電、富士康、緯創、Amkor及SPIL合作，在美國興建價值高達5,000億美元的AI基礎設施。根據美國媒體的報導，這是美國同意Nvidia持續出售H20至中國市場的交換條件之一。</p> <p>Nvidia說，AI晶片與超級電腦的供應鏈非常複雜，需要最先進的製造、封裝、組裝與測試技術。已經與許多夥伴合作，投入逾100萬平方英尺的空間，以於亞利桑那州建置與測試Blackwell晶片，並在德州打造AI超級電腦。</p> <p>其中，Blackwell晶片已開始於台積電位於亞利桑那州的晶片工廠開始生產。Nvidia也正與位於德州休士頓的富士康，以及位於德州達拉斯的緯創合作，打造AI超級電腦製造廠，而這兩個工廠預計於未來12個月至15個月內量產。</p> <p>上述僅為Nvidia承諾美國的其中一部分，因為在未來4年內，Nvidia將與台積電、富士康、緯創、Amkor及SPIL合作，在美國興建價值高達5,000億美元的AI基礎設施。</p> <p>Nvidia指出，AI超級電腦是新型資料中心的引擎，其唯一目的是處理AI，為驅動AI產業的基礎設施，預計未來幾年將會在美國建置數十座千兆瓦AI工廠，以期於未來的數十年推動價值數兆美元的經濟安全，並帶來數十萬個工作機會。</p> <p>美國媒體則報導，這是美國與Nvidia的交換條件之一，以讓Nvidia可以向中國市場銷售H20晶片。H20是在美國的施壓下，Nvidia以H100改裝而成的晶片，它不管是在核心數量或是性能上都低於H100，卻是Nvidia可出貨至中國的最高等級晶片，也是DeepSeek用來訓練模型的晶片之一。即便如此，<a href="https://www.banking.senate.gov/newsroom/minority/warren-hawley-call-on-trump-administration-to-quickly-address-export-control-failures-revealed-by-deepseek-breakthrough" target="_blank">美國兩黨議員還是呼籲</a>應該禁止中國取得H20等高階晶片。</p> <p>美國新任總統川普積極地將各種製造業引流回美國，特別是高階晶片與AI。例如<a href="https://www.ithome.com.tw/news/167107" target="_blank">今年1月發表的Stargate計畫</a>（Project Stargate），將偕同OpenAI、甲骨文及軟銀等公司，投入至少5,000億美元發展AI。<a href="https://www.ithome.com.tw/news/167536" target="_blank">蘋果也在2月公布</a>未來4年、以美國製造為優先的高科技投資計畫，預計投入的金額同樣是5,000億美元。<a href="https://pr.tsmc.com/chinese/news/3210" target="_blank">台積電則在3月宣布</a>，除了正在亞利桑那州斥資650億美元的先進半導體製造之外，將再投資1,000億美元於美國的先進半導體製造。</p> </div></div></div>
2025/4/15 12:07作者陳曉莉https://www.ithome.com.tw/news/168412
SSL/TLS憑證最長效期2029年將縮減成47天
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上周憑證產業論壇CA/Browser Forum（CA/B論壇）做出決議，所有SSL/TLS憑證最長效期將由現行398天縮短9成，到2029年剩47天，且每月需更新一次。</p> <p>CA/B論壇眾家會員廠商於4月11日完成投票，<a href="https://groups.google.com/a/groups.cabforum.org/g/servercert-wg/c/bvWh5RN6tYI" target="_blank">通過蘋果提案的Ballot SC-081v3</a>。4家憑證使用者端（瀏覽器業者）包括蘋果、Google、Mozilla、微軟皆贊成。29家憑證頒發（Issuer）業者24票贊成、5票棄權，無人反對。</p> <p>現行所有SSL/TLS憑證最長效期為398天，<a href="https://www.ithome.com.tw/news/138501" target="_blank">2020年蘋果推動且獲得Google及Mozilla支持</a>，由三大瀏覽器業者推動最長效期由825天減為現行時效，主因是長效期的憑證可能落入駭客手中，助長惡意程式散布。</p> <p>在最新決議下，CA/B論壇未來將分階段縮短憑證效期。2026年3月15日起，SSL/TLS憑證最長效期會縮短到200天，更新期將改為6個月更新一次。而網域控制驗證（Domain Control Validation，DCV）重覆使用期限也減到200天。2027年3月15日起，憑證最長效期會再短100天，3個月更新一次，DCV重覆使用期限同步減為100天。4年後，即2029年3月15日，最長SSL/TLS憑證效期就會減至47天，每個月更新一次，DCV重覆使用期限將只剩10天。</p> <p><a href="https://s4.itho.me/sites/default/files/files/0415-%20Sectigo-47-day%20SSL_TLS%20certificates-%E5%9C%96%E8%A1%A8.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0415-%20Sectigo-47-day%20SSL_TLS%20certificates-%E5%9C%96%E8%A1%A8(1).png" style="width: 450px;" /></a></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／Sectigo</span></span></p> <p>同樣投下贊成票的憑證管理方案業者<a href="https://www.businesswire.com/news/home/20250414207334/en/CABrowser-Forum-Passes-Ballot-to-Reduce-SSLTLS-Certificates-to-47-Day-Maximum-Term" target="_blank">Sectigo指出</a>，縮減數位憑證將可提升線上安全、推動憑證數位化管理，並且藉由提升密碼學靈活性，以因應量子運算挑戰。</p> </div></div></div>
2025/4/15 10:45作者林妍溱https://www.ithome.com.tw/news/168409
AI趨勢周報第271期：Google揭新一代TPU、推跨平臺AI代理協定A2A
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞（0406～0410）</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">TPU </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI代理 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> A2A </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Google揭新一代TPU、推跨平臺AI代理協定A2A</strong></span></p> <p>Google雲端年度大會Next 25在4月9日正式登場，Google雲端執行長Thomas Kurian揭露一系列重磅更新，除了有專為推理模型設計的新一代<a href="https://blog.google/products/google-cloud/ironwood-tpu-age-of-inference/">TPU處理器Ironwood</a>，還祭出可支援AI代理跨平臺協作的<a href="https://developers.googleblog.com/en/a2a-a-new-era-of-agent-interoperability/">Agent-to-Agent協定</a>。</p> <p>其中，Ironwood是Google第七代張量處理器（TPU），專為「會思考」的模型設計，比如大型語言模型（LLM）、混合專家（MoE）模型、推理模型，其每個晶片峰值運算能力為4,614 TFLOPs，可因應繁重的AI工作負載。再來，有別於用一套標準將模型、資料和工具連結起來的MCP協定，Google推出Agent-to-Agent協定（簡稱A2A），開發者可用來打造高互通性的代理。也就是說，只要是按A2A協定開發的AI代理，就能跨平臺、跨服務彼此溝通。</p> <p>這對使用者來說，可以選擇不同廠商的AI代理、組合使用，系統可以兼容這些不同來源的代理。對企業來說，他們能在不同平臺或不同雲端服務間，統一管理各個代理，減少技術負擔。這個A2A協定，目前已獲50多家業者支援。<a href="https://developers.googleblog.com/en/a2a-a-new-era-of-agent-interoperability/">（詳全文）</a></p> <p><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/images/TPUv7_Inline_TPUComparison_v3.width-1000.format-webp.webp" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Amazon </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 語音轉語音 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Nova Sonic </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Amazon推出Nova Sonic語音轉語音模型 </strong></span></p> <p>一如去年12月AWS:reInvent年會中預告的，Amazon最近終於推出全新基礎模型Amazon Nova Sonic，將語音理解和語音生成整合在單一的模型中，來實現語音轉語音。使用者可由AWS生成式AI服務Amazon Bedrock上的API使用，來簡化語音應用開發流程，例如客戶服務通話自動化，或是打造旅遊、教育、醫療、娛樂等領域的跨產業AI代理（AI agents）。</p> <p>進一步來說，傳統的語音應用模型，並非單一模型，而是由多個模型組成，比如將語音轉為文字的語音辨識模型、理解並生成回應的大型語言模型（LLM）、將文字再轉為音訊的文字轉語音模型等。這種方法不僅增加開發的複雜性，也難以保留自然對話中重要的聲音情境和細微差別，如語氣、語調韻律和說話風格等。</p> <p>不過，Nova Sonic採不同方法，將語義理解和語音生成功能，整合在單一模型中，讓模型能根據語氣、風格等聲音情境和口語輸入，來調整語音回覆，達到更自然的對話。比如，當模型捕捉到潛在的客戶語氣，從興奮轉為擔憂費用時，AI的語音回覆更具安撫性，並能即時提價格資訊。<a href="https://aws.amazon.com/blogs/aws/introducing-amazon-nova-sonic-human-like-voice-conversations-for-generative-ai-applications/">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 開發環境 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 自然語言 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Google新推行動開發環境Firebase Studio，用自然語言就能開發</strong></span></p> <p>Google最近在旗下行動與Web應用開發平臺Firebase中，新推雲端開發環境Firebase Studio，並開放預覽試用。該服務結合AI助理、雲端IDE和Firebase生態系多項開發工具，專門鎖定想快速打造AI應用或全端Web服務的開發者。Firebase Studio的定位，並非取代Android Studio這類原生App開發工具，而是針對Web應用、AI功能和無伺服器架構的開發需求，提供一個可透過瀏覽器操作、整合AI協作機制，並支援即時雲端部署的開發環境。</p> <p>在技術架構上，Firebase Studio繼承Project IDX的雲端虛擬機器架構，開發者可在瀏覽器中使用類似VS Code的編輯介面，包括完整的程式碼輔助、除錯工具和終端機操作能力。與Android Studio著重原生App開發不同，Firebase Studio預設的應用架構以Next.js為基礎，支援React生態系，並內建Genkit模組，自動配置Gemini API金鑰，讓開發者快速在Web應用中加入生成式AI能力。</p> <p>Firebase Studio還加入自然語言驅動的App Prototyping代理工具，開發者可透過文字描述、圖片或草圖，快速產生可執行的Web應用原型，並直接在介面中與Gemini助理互動，修改介面設計、調整程式邏輯或新增功能。這些操作不僅能修改程式碼，也能自動處理Firebase服務的串接設定，例如使用者驗證、資料庫或人工智慧流程整合。<a href="https://firebase.blog/posts/2025/04/introducing-firebase-studio">（詳全文）</a></p> <p><img alt="" src="https://firebasestorage.googleapis.com/v0/b/first-class-blog.appspot.com/o/video%2Fstudio-canvas-ai-prompt.gif?alt=media&token=5336b9b8-1e1e-4ff1-a7ca-c84e7f785af9" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 大型主機 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 生成式AI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> IBM </span></strong></span></p> <p><span style="font-size:22px;"><strong>AI推論效能提高50%！IBM推出新一代大型主機z17</strong></span></p> <p>IBM揭露最新一代大型主機IBM z17，是經典Z系列的升級版，主打全面整合AI，範圍涵蓋硬體、軟體和作業系統，要讓企業能即時執行AI，提高營運效率和安全。進一步來說，IBM z17採用新一代 Telum II處理器，內建AI加速器，每天可執行4500億次推論、每次反應時間僅1毫秒，比前一代z16高出50%的AI推論運算量。z17的AI能力可應用於250多種情境，如風險評估、聊天機器人、醫學影像分析、零售防詐等。</p> <p>再來，該主機採用PCIe擴充卡IBM Spyre Accelerator（預計2025第四季推出），可強化z17的生成式AI能力，讓主機可直接執行AI助理、分析內部資料等工作。而且，新系統支援還多模態AI，可同時處理文字、圖像等不同形式的資料，另也整合IBM watsonx系列工具，包含程式助理和Z助手，可助開發者、IT團隊更快偵錯與維護系統。</p> <p>不只如此，在安全性方面，新主機還加入HashiCorp Vault技術，支援跨平臺密鑰與憑證管理，也支援AI自動偵測敏感資料功能，辨識潛在的網路攻擊。這臺z17預計在今年6月18日正式推出。<a href="https://newsroom.ibm.com/z17">（詳全文）</a></p> <p><img alt="" src="https://newsroom.ibm.com/image/New_IBM_z17_Mainframe_banner.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI代理 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 開發管理 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google瞄準AI代理，推出多款代理開發管理工具</strong></span></p> <p>在今年度Cloud Next大會中，Google揭露不少AI代理（Agent）工具，包括在自家AI開發平臺Vertex AI中，新添代理開發工具包<a href="https://developers.googleblog.com/en/agent-development-kit-easy-to-build-multi-agent-applications/">Agent Development Kit（ADK）</a>，專門用來簡化AI代理的建置、測試和部署執行等工作，號稱不必寫到100行程式碼，就能完成代理建置。而且，這款ADK還支援MCP協定。</p> <p>在這個ADK中，還有2項用來開發和部署代理的工具，分別是Agent Garden和Agent Engine。Google預計今年第三季提供ADK公開預覽版。另一項AI代理亮點是<a href="https://blog.google/feed/cloud-next-latest-features-google-agentspace/">Google Agentspace新功能</a>，企業使用者可直接從Chrome搜尋框來使用Agentspace的搜尋、分析和資訊整合功能，也能透過Agent Gallery（代理庫）來快速導入各種代理，或是部署Google自家的代理。</p> <p>為顧及企業資料隱私需求，Google在原本的Google Distributed Cloud（GDC）平臺中，新支援企業本地段部署Gemini系列模型和Agentspace代理應用，預計今年第三季開始提供服務。此外，Google還打造<a href="https://console.cloud.google.com/marketplace/browse?filter=category:ai-agent&hl=en&invt=AbthNw">AI Agent Marketplace市集</a>，收錄第三方各種AI代理，來讓使用者隨插即用。甚至，他們還推出一項實用的自動化流程工具<a href="https://workspace.google.com/blog/product-announcements/new-AI-drives-business-results">Google Workspace Flows</a>，使用者用自然語言描述想完成的流程，AI代理就會自動設計整個邏輯流程，不必寫程式就能完成跨應用的工作自動化。<a href="https://blog.google/products/google-cloud/next-2025/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Anthropic </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Claude </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 聊天機器人 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Anthropic也推200美元月費的個人版Claude方案</strong></span></p> <p>繼OpenAI推出月費高達200美元的Pro方案後，Anthropic日前也宣布，推出相同收費水準的頂級個人版AI聊天機器人訂閱方案Claude Max。此前，Anthropic針對個人用戶，僅有免費方案和每人每月20美元（年費200美元）的Pro方案，免費用戶每天可傳送100則訊息，Pro可享有免費方案5倍用量，每5小時可傳送45則短訊息。</p> <p>Anthropic說Max方案適合與Claude大量對話的用戶，可用來改進作品、分析大量文件和複雜資料。Max又分成2種級別，其中月費100美元的擴充用量方案，適合經常用Claude來執行多種任務的用戶，提供Pro 5倍用量上限。另一種是最大彈性方案，月費200美元，提供Pro 20倍的用量限制，適合每天用Claude執行重要任務的用戶。<a href="https://www.anthropic.com/news/max-plan">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 推理模型 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Nvidia </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Llama </span></strong></span></p> <p><span style="font-size:22px;"><strong>Nvidia揭露新模型，效能超越DeepSeek R1</strong></span></p> <p>Nvidia最近開源Llama-3.1-Nemotron-Ultra-253B-v1模型，號稱效能與DeepSeek R1相當，但只有一半的參數量。進一步來說，這款模型是Nvidia三月宣布的Llama Nemotron系列模型之一，這一系列共有Nano、Super和Ultra三個版本，其中8B參數的Nano可在PC和邊緣裝置執行、49B參數的Super可在單一GPU上執行，253B參數的Ultra則需要多顆GPU執行，其中Nano、Super已經開源。</p> <p>最新發布的Llama-3.1-Nemotron-Ultra以Meta Llama-3.1-405B-Instruct為基礎，可支援128K字詞的上下文長度，能兼顧模型準確性和執行效率。因為，Nvidia用新的神經架構搜尋（NAS）技術，來降低3.1 Ultra所需的記憶體，可支援大型工作負載並減少執行模型需要的GPU數量。此外，Nvidia也用這個方法垂直壓縮本模型，大幅改善延遲性。</p> <p>Llama-3.1-Nemotron-Ultra現已提供商用，可在Hugging Face下載。3.1 Ultra可支援多種應用場景，包含AI代理人系統、聊天機器人、RAG和其他AI應用，不過，模型主要支援程式語言和英文，以及德、法、義、葡、西語、泰語、北印度語等。<a href="https://build.nvidia.com/nvidia/llama-3_1-nemotron-ultra-253b-v1/modelcard">（詳全文）</a></p> <p><img alt="" src="https://assets.ngc.nvidia.com/products/api-catalog/llama-3_1-nemotron-ultra-253b-v1/accuracy_plot.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> WordPress </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 網站架設 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 風格 </span></strong></span></p> <p><span style="font-size:22px;"><strong>WordPress.com推出AI工具架網站</strong></span></p> <p>Automattic旗下網站代管平臺WordPress.com最近提供AI Website Builder網站架設工具，使用者在幾分鐘內就能打造一個新網站，不需樣版，也不需寫程式，只要用自然語言告訴它需要什麼風格或網站用途，就能快速生成。</p> <p>使用者進入AI Website Builder後，可在聊天對話框中盡可能詳述網站需求，例如是要展示作品集、部落格還是商業網站，另也能加進網站名稱或描述想要的風格，比如有趣、簡約、優雅等。接著系統開始建置網站，期間會進一步要求使用者選擇版面、顏色與字體，並完成網站雛型。之後，使用者還能給提示，讓AI工具客製化網站樣貌，例如新增社交媒體圖示等。<a href="https://wordpress.com/blog/2025/04/09/ai-website-builder/">（詳全文）</a></p> <p><img alt="" src="https://en-blog.files.wordpress.com/2025/04/wordpress-ai-website-builder.jpg?w=1600&h=1000&crop=1" /></p> <p>圖片來源／Google、IBM、Amazon、Nvidia、WordPress.com</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. GitHub Copilot正式推出AI代理模式</strong></p> <p><strong>2. Midjourney測試最新一代圖片生成模型V7 </strong></p> <p><strong>3. 歐盟啟動「AI大陸行動計畫」，要趕上美、中AI建設</strong></p> <p>資料來源：iThome整理，2025年4月</p> </div></div></div>
2025/4/12 19:57作者王若樸https://www.ithome.com.tw/news/168407
【資安日報】4月14日，啟用SSL VPN的Fortinet防火牆遭到已知漏洞攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今天我們報導兩起資安事故，其共通點就是針對SSL VPN系統而來，其中，尤以針對Fortinet防火牆設備而來的攻擊行動特別值得留意，因為這起事故雖然針對已知漏洞而來，但該公司還是發布新版防火牆作業系統FortiOS因應。</p> <p>這起事故攻擊者不僅運用了已知漏洞，並透過符號連結（Symbolic Link）手法來回避偵測，但究竟駭客如何取得相關權限而得逞？Fortinet並未說明。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168399"><strong style="font-size: 22px;">啟用SSL VPN的Fortinet防火牆用戶注意！已知漏洞出現攻擊行動</strong></a></p> <p>今年1月資安業者Arctic Wolf揭露攻擊行動Console Chaos，駭客鎖定Fortinet防火牆的零時差漏洞CVE-2024-55591而來，隔月Fortinet透露這起攻擊行動攻擊者搭配另一項身分驗證繞過漏洞CVE-2025-24472，然而近期出現攻擊者利用已知漏洞的情況。</p> <p>4月10日，資安業者Fortinet發布警告，揭露他們近期發現鎖定該廠牌防火牆FortiGate已知漏洞而來的攻擊行動，攻擊者針對已啟用SSL VPN功能的防火牆設備而來，以便在唯讀存取FortiGate的狀態下，持續讀取受害FortiGate設備的檔案系統，而得以擷取系統組態資訊，這些遭到利用的漏洞，包含：CVE-2022-42475、CVE-2023-27997、CVE-2024-21762，CVSS風險介於9.2至9.5分。</p> <p>Fortinet在察覺此事後啟動PSIRT事件回應工作，開發緩解措施，並與受到影響的客戶合作來因應。該公司呼籲用戶，應更新防火牆作業系統FortiOS至7.6.2、7.4.7、7.2.11、7.0.17、6.4.16版因應這波攻擊。</p> <p><a href="https://www.ithome.com.tw/news/168401"><strong style="font-size: 22px;">中國駭客鎖定Ivanti Connect Secure已知漏洞，對臺灣在內的12個國家發動大規模攻擊</strong></a></p> <p>今年1月、2月，資安業者Ivanti修補旗下SSL VPN系統Connect Secure（ICS）重大層級漏洞CVE-2025-0282、CVE-2025-22457（CVSS風險評為9.0、9.8分），相關漏洞攻擊引起政府單位及資安業者的高度關注，並揭露駭客使用的惡意程式，如今有新的調查結果指出，漏洞攻擊仍在持續進行，且範圍包含臺灣在內的12個國家。</p> <p>臺灣資安業者杜浦數位安全（TeamT5）指出，他們在3月底偵測到中國APT駭客利用上述兩項漏洞攻擊ICS系統的情況，這波攻擊行動已在臺灣、日本、南韓、荷蘭、新加坡、英國、美國、奧地利、澳洲、法國、西班牙、阿拉伯聯合大公國出現災情，而對於駭客攻擊的產業類別也相當廣泛，涵蓋近20個不同的產業，值得留意的是，研究人員在著手分析調查的過程裡，這些駭客很有可能仍持續控制受害組織的網路環境。</p> <p>TeamT5也提及鎖定ICS的攻擊行動升溫的情況，他們自4月以來，發現有大規模嘗試利用ICS漏洞的現象，僅管這些攻擊大部分並未得逞，卻顯著影響這些SSL VPN系統運作，造成不穩定甚至是癱瘓的現象。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/china-admitted-to-us-that-it-conducted-volt-typhoon-attacks-report/">針對中國駭客Volt Typhoon的攻擊事故，中國坦承動機是美國支援臺灣</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/remotemonologue-new-dcom-attack-bypasses-lsass-protection/">新攻擊手法RemoteMonologue能繞過LSASS防護機制</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/tycoon2fa-phishing-kit-targets-microsoft-365-with-new-tricks/">網釣工具包濫用SVG圖檔發動攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.darkreading.com/vulnerabilities-threats/zero-day-centrestack-platform-under-attack">檔案共享平臺CentreStack零時差漏洞出現攻擊行動</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168402"><strong style="font-size: 22px;">Dell修補PowerScale系列NAS系統，包括接管高權限帳號的重大漏洞</strong></a></p> <p>作為一線企業級儲存廠商的Dell，4月7日揭露旗下PowerScale NAS的6項漏洞，並釋出修補。這些漏洞存在於9.4.0.0到9.10.1.0版的OneFS儲存作業系統，會影響到基於OneFS的PowerScale與Isilon系列NAS產品。</p> <p>這些漏洞中，最危險的是CVE-2025-27690，嚴重性被評為9.8分（滿分10分），為使用預設密碼造成，未經身分驗證的攻擊者可藉由遠端存取，接管高權限的用戶帳號。</p> <p>另外5項漏洞CVE-2025-26330、CVE-2025-22471、CVE-2025-26480、CVE-2025-23378、CVE-2025-26479，嚴重性分別為7.0分、6.5分、5.3分，以及兩個3.1分，會導致用戶存取叢集權限停止、拒絕服務、資料外洩與資料完整性等問題。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/jenkins-docker-images-vulnerable-to-ssh-host-key-reuse/">Jenkins的Docker映像檔存在主機金鑰重覆使用的弱點</a></strong></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://cybersec.ithome.com.tw/2025/"><strong style="font-size: 22px;">臺灣資安大會將於4月15至17日舉行</strong></a></p> <p>資安年度盛事「Cybersec 2025臺灣資安大會」即將於4月15日至17日於南港展覽館二館舉行，今年邁入第11週年，以「Team Cybersecurity」為主題，集結全球頂尖資安專家帶來逾300場專業演說，匯集全球400多家資安品牌，預計吸引超過2萬名國內外資安專業人士與會。賴清德總統將會在會議第一天開場致詞，而這是總統連續4年出席這項國際級資安會議。</p> <p>針對今年的大會主題，代表的是當今資安威脅態勢，已是需要全員參與的戰役，每個參與者都是不可或缺，藉由分享洞見、制訂戰略、推動技術創新，所有人必須共同努力，打造未來的資安環境。</p> <p><a href="https://www.ithome.com.tw/news/168178"><strong style="font-size: 22px;">HTTPS憑證產業於3月新增兩項安全要求，7月禁止基於WHOIS的弱驗證</strong></a></p> <p>憑證頒發機構瀏覽器論壇Certification Authority Browser Forum（CA/Browser Forum）近日通過了HTTPS憑證兩項新的安全要求，包括多方發行驗證（Multi-Perspective Issuance Corroboration，MPIC），以及憑證檢查（Linting），並已於今年3月15日正式實施，而這兩項要求都是由Google內部的瀏覽器憑證管理專案Chrome Root Program所提出。</p> <p>此外，Google提議淘汰基於WHOIS的電子郵件、電話，以及傳真與實體郵件等驗證方法，以推動更安全的網域控制驗證機制，該禁令預計於今年的7月15日生效。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/168382"><strong>【4月11日】國家資通安全戰略2025本週正式公布</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168348"><strong>【4月10日】中華資安投資奧義智慧，攜手拓展市場、提升國際能見度</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168331"><strong>【4月9日】微軟修補CLFS零時差漏洞，若不處理，恐面臨勒索軟體攻擊</strong></a></p> </div></div></div>
2025/4/14 18:32作者周峻佑https://www.ithome.com.tw/news/168403
中國駭客鎖定Ivanti Connect Secure已知漏洞，對臺灣在內的12個國家發動大規模攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年1月、2月，資安業者Ivanti修補旗下SSL VPN系統Connect Secure（ICS）重大層級漏洞<a href="https://www.ithome.com.tw/tags/cve-2025-0282">CVE-2025-0282</a>、<a href="https://www.ithome.com.tw/tags/CVE-2025-22457">CVE-2025-22457</a>（CVSS風險評為9.0、9.8分），相關漏洞攻擊引起政府單位及資安業者的高度關注，並揭露駭客使用的惡意程式，如今有新的調查結果指出，漏洞攻擊仍在持續進行，且範圍包含臺灣在內的12個國家。</p> <p>臺灣資安業者杜浦數位安全（TeamT5）指出，他們在3月底偵測到<a href="https://teamt5.org/tw/posts/china-nexus-apt-exploits-ivanti-connect-secure-vpn-vulnerability-to-infiltrate-multiple-entities/">中國APT駭客利用上述兩項漏洞攻擊ICS系統</a>的情況，這波攻擊行動已在臺灣、日本、南韓、荷蘭、新加坡、英國、美國、奧地利、澳洲、法國、西班牙、阿拉伯聯合大公國出現災情，而對於駭客攻擊的產業類別也相當廣泛，涵蓋近20個不同的產業，值得留意的是，研究人員在著手分析調查的過程裡，這些駭客很有可能仍持續控制受害組織的網路環境。</p> <p>針對攻擊行動發生的過程，TeamT5指出，一旦駭客成功利用漏洞，就有機會遠端執行任意程式碼（RCE），從而入侵受害組織的網路環境，並部署惡意軟體。</p> <p>在這波攻擊行動裡，駭客使用的是惡意軟體SpawnChimera，此惡意軟體最早由日本電腦危機處理暨協調中心（JPCERT/CC）揭露，<a href="https://www.ithome.com.tw/news/167430">當時JPCERT/CC指出</a>，此惡意程式具備Spawn家族惡意程式的所有功能，這些惡意程式包括：惡意軟體部署工具Spawnant、網路隧道工具Spawnmole、SSH後門Spawnsnail。而TeamT5看到的SpawnChimera，更進一步整合了事件記錄抹除工具Spawnsloth。附帶一提的是，研究人員提及，SpawnChimera已是中國駭客組織之間共用的惡意軟體，這代表很有可能有多組人馬投入漏洞攻擊活動。</p> <p>TeamT5也提及鎖定ICS的攻擊行動升溫的情況，他們自4月以來，發現有大規模嘗試利用ICS漏洞的現象，僅管這些攻擊大部分並未得逞，卻顯著影響這些SSL VPN系統運作，造成不穩定甚至是癱瘓的現象。</p> </div></div></div>
2025/4/14 17:26作者周峻佑https://www.ithome.com.tw/news/168401
啟用SSL VPN的Fortinet防火牆用戶注意！已知漏洞出現攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年1月資安業者Arctic Wolf揭露攻擊行動Console Chaos，駭客鎖定Fortinet防火牆的<a href="https://www.ithome.com.tw/news/166969">零時差漏洞CVE-2024-55591</a>而來，隔月Fortinet透露這起攻擊行動攻擊者搭配另一項身分驗證繞過漏洞<a href="https://www.ithome.com.tw/news/167334">CVE-2025-24472</a>，然而近期出現攻擊者利用已知漏洞的情況。</p> <p>4月10日，資安業者Fortinet發布警告，揭露<a href="https://www.fortinet.com/blog/psirt-blogs/analysis-of-threat-actor-activity">他們近期發現鎖定該廠牌防火牆FortiGate已知漏洞而來的攻擊行動</a>，攻擊者針對已啟用SSL VPN功能的防火牆設備而來，以便在唯讀存取FortiGate的狀態下，持續讀取受害FortiGate設備的檔案系統，而得以擷取系統組態資訊，這些遭到利用的漏洞，包含：<a href="https://www.ithome.com.tw/tags/cve-2022-42475">CVE-2022-42475</a>、<a href="https://www.ithome.com.tw/tags/CVE-2023-27997">CVE-2023-27997</a>、<a href="https://www.fortiguard.com/psirt/FG-IR-24-015">CVE-2024-21762</a>，CVSS風險介於9.2至9.5分。Fortinet在察覺此事後啟動PSIRT事件回應工作，開發緩解措施，並與受到影響的客戶合作來因應。該公司呼籲用戶，應更新防火牆作業系統FortiOS至7.6.2、7.4.7、7.2.11、7.0.17、6.4.16版因應這波攻擊。</p> <p>對於駭客利用上述的資安漏洞，Fortinet指出駭客的目的是建立唯讀的存取管道，駭客藉由受害防火牆尚未修補的漏洞，將使用者檔案系統（user filesystem，/usr資料夾）及根檔案系統（root filesystem，最上層的/資料夾）當中，用於處理SSL VPN語言檔案的資料夾進行符號連結（Symbolic Link），由於這種竄改手法發生在使用者檔案系統上，使得攻擊者能夠回避偵測。</p> <p>值得留意的是，Fortinet也提及若是受害組織察覺異狀，僅有修補前述已知漏洞，由於攻擊者打造的符號連結很可能還保留在設備上，使得他們有機會藉此持續存取受害的防火牆。Fortinet指出，只有曾經啟用SSL VPN機制的防火牆才會受到影響，未曾啟用這類機制的企業組織不會曝險。</p> </div></div></div>
2025/4/14 15:40作者周峻佑https://www.ithome.com.tw/news/168399