iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 12篇
近 24 小時: 12篇
近 7 天: 117篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/9
最近更新: 11/9 12:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 116 篇內文

3
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

路透社2筆關係
彭博社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

日本知名Web郵件系統Active! Mail爆高風險漏洞，並遭攻擊導致服務中斷
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>日本企業與教育機構常用的Web電子郵件系統<a href="http://www.qualitia.com/jp/product/am/function.html">Active! Mail</a>，爆出嚴重資安漏洞<a href="https://www.cve.org/CVERecord?id=CVE-2025-42599">CVE-2025-42599</a>，已有攻擊者利用該漏洞發動攻擊，並造成多家主機代管服務商緊急中止服務。根據開發商<a href="https://www.qualitia.com/jp/news/2025/04/18_1030.html">Qualitia</a>與<a href="https://www.jpcert.or.jp/at/2025/at250010.html">JPCERT/CC</a>公告指出，該漏洞為堆疊型緩衝區溢位，已確認有實際攻擊行為利用此弱點，風險等級為Critical。</p> <p>受該漏洞事件影響，多家主機代管服務商如<a href="https://www.wadax.ne.jp/news/detail.html?no=87195">Wadax</a>、<a href="https://support.optage.co.jp/news/2025/news013.html">Optage</a>與<a href="https://www.kagoya.jp/news/2025042132416/">Kagoya</a>相繼公告暫停提供Active! Mail服務，並協助用戶以其他郵件客戶端因應。目前部分業者已恢復Active! Mail的系統運作，但仍有部分服務尚在修復中。</p> <p>Qualitia於4月16日釋出Active! Mail 6修補版本，對應修正已揭露的CVE-2025-42599漏洞。該漏洞允許遠端未經驗證的攻擊者，僅透過發送特製請求，即可觸發任意程式碼執行，或導致服務中斷。由於該漏洞存在於早期所有6.x版本中，影響範圍涵蓋眾多部署於企業內部或由主機商代管的系統。</p> <p>Qualitia指出，已觀察到利用此漏洞的實際攻擊，且該問題已主動通報JPCERT/CC，並刊載於日本資安通報網站JVN下。漏洞對應的CVSS v3評分為9.8，屬於高風險等級，JPCERT將此事件列為2025年重要資安警示之一，顯示該漏洞已具備廣泛影響與高風險性。</p> <p>Wadax在4月21日早上監測到來自外部的異常存取，為避免潛在入侵擴大，於當日上午9時18分起主動暫停Active! Mail服務，並於稍晚公告指出，此次事件疑似與Qualitia日前公布的漏洞有關。雖然當日下午完成修補版更新作業並一度重啟服務，但由於攻擊仍持續發生，Wadax選擇繼續關閉該系統，直至確認安全為止。其他業者Optage、Kagoya等也採取相似措施，並持續對外提供進度公告。</p> <p>CVE-2025-42599漏洞為堆疊緩衝區，未適當限制寫入長度所導致的緩衝區溢位問題，攻擊者可利用此缺陷覆寫堆疊記憶體結構，進一步控制程式流程，觸發遠端任意程式碼執行。Qualitia提供的修補版本BuildInfo:6.60.06008562已針對該問題進行修正，並建議所有使用者盡快升級至此版本。對於是否已有實際資料外洩或更廣泛的攻擊鏈，廠商目前仍在調查，尚未公開更多細節。</p> </div></div></div>
2025/4/24 14:38作者李建興https://www.ithome.com.tw/news/168586
【臺灣資安大會直擊】持續推動零信任架構，金管會著手發展金融雲端資安監控基準
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「面對網路環境越來越複雜，供應鏈的資安威脅更高，攻擊的規模比以前更大，單一金融機構已經沒辦法靠自己單打獨鬥來面對資安威脅。」金管會副主委莊琇媛4月17日在臺灣資安大會金融安全論壇開場時強調，金融機構面對與日俱增的資安威脅，除了要做好自身的資安防護和資源配置，也要持續關注F-ISAC發布的資安情資，並將資安情資分享給其他金融機構聯防，共同提升資安水準，維持金融體系的資訊安全。</p> <p>莊琇媛也提到，金管會未來將持續推動零信任網路架構，並且，她也提醒，金融機構運用雲端、AI等新興科技，應同時落實相關安全控管，盡最大責任保障客戶權益。</p> <p>為了推動金融機構發展資安，金管會在2020年發布金融資安行動方案1.0，兩年後接著發布2.0版，延續1.0版四大策略，增加了14項精進措施，從鼓勵金融機構擁抱零信任架構，強化核心資料保全、舉辦資安長聯繫會議，推動重大資安事件的支援演訓等。去年7月，金管會發布金融業導入零信任架構參考指引，期望能持續推動金融業導入零信任架構。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/LINE_ALBUM_0417(%E5%9B%9B)%20701A%20-%200945~1015%20%E6%9E%97%E8%A3%95%E6%B3%B0_250423_1.jpg" style="width: 600px;" /></p> <blockquote><p>金管會資訊服務處處長林裕泰也出席2025臺灣資安大會的金融資安論壇，點出金融業導入零信任架構參考指引的重點內容。</p> </blockquote> <p>在論壇中，金管會資訊服務處處長林裕泰再次強調金融機構應導入零信任的原因，並點出金融業導入零信任架構參考指引的重點內容。</p> <p>林裕泰認為，金融機構需要導入零信任架構原因有二，第一，遠距工作與雲端服務普及，企業邊界日益模糊，場域外人員及設備安全控管更加困難，第二，也是他特別強調的觀念，「一定要假設資安有缺口，駭客可能會進到你的內部。」因此，他指出，金融業者應找到內部最重要的資料保護對象，讓駭客在進入內網時，可以經過層層攔阻，「不讓駭客一下就找到資料寶藏，這是我們推動零信任的目的。」林裕泰說。</p> <p>他點出，導入零信任架構共有四大實施原則，分別是風險導向、循序漸進、目標導向，和技術中立。</p> <p>針對風險導向，林裕泰解釋，金融機構不應野心過大、一次全面導入零信任，否則將耗費過多人力、經費與溝通成本。例如，金融機構可以先從遠距辦公、重要應用系統管理者，或是和跨機構協作等高風險場域試行。</p> <p>另外，他也建議金融機構可依分級指標，分階段、循序漸進導入零信任架構。類似美國CISA發布的零信任承受模型，從傳統、初始、進階再到最佳化，逐步精進的方式去實施。從建立靜態指標，到納入動態指標，再發展到整合即時指標，最後則是整合所有指標，建立可快速調適的自動化管理機制。</p> <p>林裕泰解釋，金融機構可依據參考指引中，針對「身份、設備、網路、應用、資料」五大支柱提供的分級對應細項指標，來逐步發展至最佳化階段。「最重要的是，導入產品的過程，要有日誌收集機制。」他表示，導入零信任相關資安產品時，應確保產品本身具備日誌收集機制，並且，產品要能與既有的資安監控和事件應處結合，保護內部重要資料。</p> <h3>金管會開始推動金融雲端資安監控基準</h3> <p>林裕泰提到，金管會約在3、4年前開始發展金融資安監控基準，「但當時都是針對地端的防禦措施，」隨著金管會修正委外規範，越來越多金融機構因應營運或韌性需求上雲，「但雲端的資安防護和地端防護很不一樣。」</p> <p>林裕泰表示，去年上半年，金管會找來相關利害關係者，包含公有雲業者、資安監控廠商和金融機構，共同討論如何發展金融雲端資安監控基準，包括需不需要將雲端服務資安組織發展的基準納入參考範圍，或是需不需要額外針對雲原生工具訂定防護措施。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1BD9F8D4-E898-488C-9990-7685B853A672.jpg" style="width: 600px;" /></p> <blockquote><p><span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">因應委外規範修正，越來越多金融機構因應營運或韌性需求上雲，金管會從去年下半年開始發展金融雲端資安監控基準。(</span><span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">攝影</span><span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">:李昀璇)</span></p> </blockquote> <p>去年下半年，金管會陸續有了部分成果。首先，金管會列出金融機構常用的雲端服務，包含帳號管理、靜態資料儲存、託管虛擬機、稽核記錄、無伺服器服務，和機密金鑰管理，這些服務都納入了金管會研議制定雲端版資安監控基準的範圍。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/43733B66-4C07-4782-B4B5-8A7DB0950485.jpg" style="width: 600px;" /></p> <blockquote><p>金管會在制定金融雲端資安監控基準時，首先列出金融機構常用的雲端服務，包含帳號管理、靜態資料儲存、託管虛擬機、稽核記錄、無伺服器服務，和機密金鑰管理。(攝影:李昀璇)</p> </blockquote> <p>另外，金管會也從攻擊框架出發，運用雲端雲生原生資安工具，來評估國際資安組織與雲端服務商發布的各項安全組態基準文件，能否完全偵測和阻擋各項攻擊行為。</p> <p>林裕泰指出，在雲地混合架構下，企業必須思考資安監控機制的部署方式，例如，是否使用雲端原生工具、是否需在雲端自建SIEM平台，或是為了整合既有地端監控系統，要設置將日誌和警示回傳至地端。除了技術上的考量，成本也是需要權衡的因素。「怎麼在這之間做到權衡，是非常重要的考驗。」林裕泰說。</p> <p>他表示，雲端雖有資安監控工具，但當金融機構要在特定場景，針對特定人、事、時、地、物做進一步的監控和應變處置，就須要在自建的監控平臺額外制定特殊規則。因此，林裕泰表示，金管會也正在制定這些規則，並發展手冊內容，預計在近期開始向金融機構做推廣和教育訓練。並且，金管會未來也會邀請金融機構針對研究結果進行試行，除了期望確認規則的有效性外，也希望減少金融機構的錯誤告警次數，「這是資安監控中非常重要的環節。」他說。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/7BA8BB1E-5F58-41C6-A568-A2C49051EA80.jpg" style="width: 600px;" /></p> <h3>未來將關注AI、供應鏈安全和量子運算</h3> <p>林裕泰表示，金管會繼去年發布零信任導入參考指引，接著發展金融雲端資安監控基準。若這套機制運作順利，後續將進一步拓展至容器或平臺即服務等領域。</p> <p>他指出，人工智慧、供應鏈安全和量子運算，將會是金管會持續關注的議題。包括AI能否協助解決資安人力不足的問題、未來是否可延伸發展 AI 版監控基準，都是可能的推動方向。針對供應鏈安全議題，林裕泰提到，金融機構與合作夥伴的API議題、供應商能否提供安全的原始碼和元件等，都是可關注的方向。另外，他也提到，數位發展部近日發布後量子密碼遷移指引，將會是金融業未來需要研議的議題。</p> <p></p> </div></div></div>
2025/4/23 19:24作者李昀璇https://www.ithome.com.tw/news/168570
研究人員揭露以惡意瀏覽器擴充程式，繞過雲端平臺MFA驗證的Cookie-Bite手法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.varonis.com/blog/cookie-bite" target="_blank">資安業者Varonis揭露一種新攻擊手法</a>，透過竊取cookies繞過多因素驗證（multiple factor authentication，MFA）而能駭入企業Microsoft 365存取檔案、信件。</p> <p>Varonis威脅實驗室研究人員設計出名為Cookie-Bite的手法，利用自製Chrome瀏覽器擴充程式及自動化指令竊取用戶Cookies，且能重複使用來冒充合法使用者，無需密碼，還能多次存取雲端服務。</p> <p>研究人員以概念驗證說明，如何以Cookie-Bite手法駭入Azure存取Microsoft 365服務如Outlook、Teams。首先是建立能聽取驗證事件、並在受害用戶存取login.microsoftonline.com時，竊取Azure Entra ID的session cookies。竊取的目標包括協助完成MFA的ESTSAUTH，以及維持「保持登入狀態」ESTSAUTHPERSISTENT，ESTSAUTH效期僅24小時，ESTSAUTHPERSISTENT則可持續90天。該擴充程式聽到login.microsoftonline.com的連線，擷取前述兩種cookies，利用Google Form將cookie JSON資料傳送給攻擊者。</p> <p>其次是建立PowerShell script，可在每次使用者開啟Chrome時，都自動載入該惡意擴充程式。最後，研究員（或攻擊者）可利用合法的Chrome擴充程式如Cookie-Editor，將竊來的二個cookies注入自己的瀏覽器。接下來，他就能被視為經過驗證的合法用戶，而不需再經過MFA，可自由存取M365、Outlook、Teams或Azure Portal等企業資源，甚至可使用第三方工具TokenSmith、ROADtools和AADInternals等來提升權限、進行橫向移動和非授權App註冊。</p> <p>研究人員表示，除了Azure外，只要知道該用什麼憑證，同樣的手法也可用來攻擊Google Cloud、AWS、GitHub、Okta等雲端平臺。例如Google Workspace的是SAPISID、AWS Management Console的是aws-userInfo、Okta SSO為sid，GitHub為user_session。</p> <p>要防止Cookie-Bite攻擊，企業管理員應監控任何異常登入，最好能設定條件式存取政策（conditional access policies，CAP）以限制特定IP和裝置登入雲端。此外，應限制PowerShell script，改用Python或VBScript。Chrome擴充程式管理方面，管理員最好也能執行Chrome ADMX政策，只允許事前許可的擴充程式執行。</p> </div></div></div>
2025/4/24 12:20作者林妍溱https://www.ithome.com.tw/news/168580
華碩修補BMC元件的資安重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年3月，資安業者Eclypsium揭露American Megatrends（AMI）基板管理控制器（BMC）系統MegaRAC<a href="https://eclypsium.com/blog/ami-megarac-vulnerabilities-bmc-part-3/">重大漏洞CVE-2024-54085</a>，這項漏洞相當危險，<a href="https://nvd.nist.gov/vuln/detail/CVE-2024-54085">CVSS風險評為10分（滿分10分）</a>，本週有設備製造商發布修補程式。</p> <p>4月23日華碩發布<a href="https://www.asus.com/content/asus-product-security-advisory/">資安公告</a>，指出他們為旗下4款主機板發布韌體，修補CVE-2024-54085，這些主機板的型號是：Pro WS W790E-SAGE SE、Pro WS W680M-ACE SE、Pro WS WRX90E-SAGE SE、Pro WS WRX80E-SAGE SE WIFI。</p> <p>針對這項弱點發現的過程，<a href="https://eclypsium.com/blog/ami-megarac-vulnerabilities-bmc-part-3/">Eclypsium指出</a>，源自於他們在驗證AMI修補身分驗證繞過漏洞CVE-2023-34329（CVSS風險為9.1），過程中發現的新弱點。當時Eclypsium確認AMI確實修補了CVE-2023-34329，但他們察覺另一項會造成類似影響的弱點CVE-2024-54085，同樣能被用於繞過身分驗證流程，並確認影響華碩、永擎電子（ASRock Rack）、HPE部分型號的主機板，當時研究人員透過Shodan搜尋引擎，找到超過1千臺伺服器曝險。</p> <p>對於這項弱點帶來的影響，攻擊者能藉由Redfish遠端管理介面或是BMC介面，於本機或遠端觸發漏洞，一旦成功利用漏洞，攻擊者就有機會遠端控制伺服器，並遠端部署惡意軟體、勒索軟體、竄改韌體，並造成主機板BMC或UEFI元件損壞，甚至讓伺服器硬體受損，或是無限循環地重開機，而且受害者無法阻止。</p> <p>值得留意的是，這項漏洞的影響範圍並非僅限單一伺服器。Eclypsium研究人員強調，若是攻擊者從事破壞性攻擊，可透過資料中心的環境，對相同網段的BMC發送惡意命令，導致所有伺服器集體、無限循環地重開機。</p> </div></div></div>
2025/4/24 12:30作者周峻佑https://www.ithome.com.tw/news/168581
Nari Labs開源具備16億參數的文字轉語音模型Dia
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由兩名南韓青年創立的Nari Labs本周二（4/22）<a href="https://github.com/nari-labs/dia" target="_blank">透過GitHub</a>及Hugging Face，開源了具備16億參數的<a href="https://huggingface.co/nari-labs/Dia-1.6B" target="_blank">文字轉語音模型Dia</a>，宣稱它不僅與Google NotebookLM播客的品質相當，甚至超越了ElevenLabs Studio與Sesame的開源模型。Dia發布48小時便在GitHub上獲得超過7,800顆星星，<a href="https://huggingface.co/models" target="_blank">並成為Hugging Face上最受歡迎的模型</a>。</p> <p>Nari Labs創辦者之一的Toby Kim於X上<a href="https://x.com/_doyeob_/status/1914464970764628033" target="_blank">分享了他們的心路歷程</a>，這是一個只有1.5人的團隊，因為另一人還在當兵，而且完全沒有資金，也不是AI專家，是因為受到<a href="https://www.ithome.com.tw/news/164978" target="_blank">Google NotebookLM去年9月所發布的播客（Podcast）功能</a>的啟發。</p> <p>Kim說，他們愛上了NotebookLM的播客功能，但想要有更多的聲音控制，更自由的劇本，試過了市場上所有的文字轉語音（Text-to-Speech，TTS）API，但它們聽起來都不像是真正的人類對話，正巧遇見Google的Research Cloud免費供應TPU予研究人員，於是他們開始學習JAX、Flax、平行運算、叢集編排及Pallas核心等技術，並在3個月後得到一個經過充份訓練的1.6B模型，比預期的還難，卻非常值得。</p> <p>由Nari Labs所建置的Dia模型可直接以文字生成高度逼真的對話，允許使用整調整音訊的輸出，控制情感與音調，而且還能產生各種非語言交流，像是大笑、咳嗽，或是清清嗓子。</p> <p><a href="https://yummy-fir-7a4.notion.site/dia" target="_blank">該實驗室比較了</a>專門發展自然語音的ElevenLabs Studio模型、Sesame的對話語音模型CSM-1B，以及Dia的表現，顯示Dia的確擁有更自然的聲調，更栩栩如生的聲音表情，也有傑出的聲音節奏感。</p> <p>目前Dia只支援英文，安裝該模型的最低系統需求為Windows或Linux作業系統，Python 3.8或以上版本，以及一個Nvidia RTX 3080或以上的GPU，或是直接<a href="https://huggingface.co/spaces/nari-labs/Dia-1.6B" target="_blank">透過Hugging Face Space試用</a>，該實驗室亦正在開發可直接供消費者使用的服務。</p> </div></div></div>
2025/4/24 12:44作者陳曉莉https://www.ithome.com.tw/news/168583
Nvidia全面推出可用來建置AI代理的NeMo平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.nvidia.com/blog/nemo-enterprises-ai-teammates-employee-productivity/" target="_blank">Nvidia周三（4/23）宣布</a>全面推出NeMo平臺，該平臺是由許多微服務組成，它支援許多大型語言模型，並透過資料飛輪（Data Flywheel）來協助開發人員建置最先進的AI代理系統。</p> <p>NeMo所整合的微服務，涵蓋了可加速大型語言模型微調的NeMo Customizer，只需呼叫5次API即可簡化基於客製化與產業評測的AI模型及工作流程評估的NeMo Evaluator，可在僅增加半秒延遲即提高1.4倍合規性保護的NeMo Guardrails。除了上述用來打造AI代理的關鍵元件外，開發人員亦可輔以用來協助AI於資料庫中找到正確知識的NeMo Retriever，以及用來訓練高度準確生成式AI模型的NeMo Curator。</p> <p>至於資料飛輪（Data Flywheel）則是在企業導入AI模型之後，讓AI愈用愈聰明的機制，它指的是AI與環境互動的正向循環，例如當它與使用者互動時，可產生大量的對話紀錄及使用資料，經過NeMo Curator整理之後，再藉由NeMo Evaluator評估其表現，並透過NeMo Customizer進行微調，而使得模型變得更加準確，並且是在最少的人力干預及最大的自主性上實現。</p> <p>Nvidia以資料飛輪的原理貫穿了NeMo平臺，讓AI可透過與使用者的互動不斷地自我強化，在Nvidia AI Enterprise軟體平臺上部署的NeMo不僅容易操作，而且可在任何加速運算基礎設施上執行，包括本地端及雲端。</p> <p>大型企業可能建置多達數百個不同功能的AI代理，例如自動詐欺檢測、購物助理、預測性機器維護或是文件審查等。其中，AT&T已與Arize及Quantiphi合作，利用NeMo打造了一個先進的AI代理，得以處理近萬份且每周更新的企業知識文件。AT&T結合了NeMo Customizer與Evaluator，並針對Mistral 7B進行微調，以實現個人化客服，預防詐欺及網路效能優化，整體AI回應準確率提升了40%。</p> <p>NeMo微服務支援各種熱門的開源模型，包括Llama、Microsoft Phi、Google Gemma、 Mistral與Llama Nemotron Ultra等。</p> <p>目前Meta已透過替Llamastack新增連接器來導入NeMo，諸如Cloudera、Datadog、Dataiku、DataRobot、DataStax、SuperAnnotate及Weights & Biases等AI軟體供應商，亦已於自家平臺整合NeMo。</p> </div></div></div>
2025/4/24 11:57作者陳曉莉https://www.ithome.com.tw/news/168576
以違反數位市場法為由，歐盟對蘋果、Meta各罰款5億及2億歐元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ec.europa.eu/commission/presscorner/detail/en/ip_25_1085" target="_blank">歐盟本周判定</a>蘋果與Meta的業務行為違反《數位市場法》（Digital Markets Act），分別處以5億及2億歐元罰款。</p> <p>這是<a href="https://www.ithome.com.tw/news/161946" target="_blank">歐盟2024年3月啟動</a>對蘋果、Google和Meta是否未遵守數位市場法的調查後的結果。此時正值川普對各國宣布實行高關稅，引發是否為歐盟報復的聯想。</p> <p>歐盟認定蘋果App Store的限制引導條款（anti-steering provisions）違反DMA。DMA下，應用程式開發商應該要能免費告知客戶App Store以外的其他服務選擇，並導引其前往付費。歐盟調查後認定蘋果以「限制引導條款」施加種種限制，剝奪開發商這類自由，iPhone或iPad消費者也無法享受到更便宜的其他服務，違反了DMA規定。</p> <p>歐盟處以蘋果5億歐元罰款之外，也要求蘋果移除技術和商業性限制引導手法，未來也不得再犯。<a href="https://www.ithome.com.tw/news/161608" target="_blank">歐盟去年3月</a>已經就限制引導條款罰款蘋果18.2億歐元。</p> <p>在Meta方面，歐盟認定其「不同意就付錢」的廣告模式違反DMA規定。Meta於2023年11月推出了「不同意就付錢（Consent or Pay）」廣告模式，歐盟的Facebook和Instagram（IG）用戶如果不想支付每月訂閱式免廣告服務，就必須同意Meta匯整其個資以提供個人化廣告。歐盟指出，這種模型未提供「較不個人化」的服務版，也不給用戶行使匯整個資的同意權，違反DMA對守門人（gatekeeper）的規定。</p> <p>在和歐盟數次交涉後，2024年11月Meta推出另一種提供個人化廣告的免費服務。歐盟目前正在評估，並要求Meta提交新廣告模式的影響證據。歐盟考量Meta違法情事的嚴重性，Meta的自我矯正行為以及違法時間僅一年，將罰款減至2億歐元。</p> <p>此外，<a href="https://www.reuters.com/technology/meta-appeals-against-eu-gatekeeper-status-messenger-marketplace-2023-11-15/" target="_blank">去年3月Meta要求</a>將Facebook Marketplace從DMA守門人規定適用範圍移除，考量該平臺企業用戶不足1萬家，歐盟同意Facebook Marketplace不再具備守門人地位。</p> <p><a href="https://www.reuters.com/sustainability/boards-policy-regulation/apple-fined-570-million-meta-228-million-breaching-eu-law-2025-04-23/" target="_blank">蘋果和Meta皆對處份表達抗議</a>。</p> <p>蘋果說遭到歐盟特別針對，且其決定將不利用戶的隱私與安全、迫使其科技免費開放使用。Meta全球公共事務長Joel Kaplan則說歐盟雙重標準，試圖阻撓成功的美國企業，允許中國和歐洲公司特別待遇。兩公司皆表示將上訴。</p> <p>或許還會有美國科技巨擘遭罰。Google和微軟，也分別因搜尋偏袒自家服務，以及<a href="https://www.ithome.com.tw/news/163670" target="_blank">綑綁Teams和Windows</a>，正遭到歐盟調查。</p> </div></div></div>
2025/4/24 10:43作者林妍溱https://www.ithome.com.tw/news/168573
Threads要開始有廣告了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Instagram負責人Adam Mosseri周三（4/23）<a href="https://www.threads.net/@mosseri/post/DIyxg_ctfwd" target="_blank">透過Threads宣布</a>，將更廣泛地於Threads上推出廣告服務。Threads是在今年1月<a href="https://www.facebook.com/business/news/introducing-ads-in-threads" target="_blank">開始測試該平臺上的廣告服務</a>，初期僅於美國及日本市場展開測試，這些廣告是以圖像的方式穿插在Threads動態消息的內容之間。</p> <p>根據外電報導，現在不管是使用Meta的自動廣告投放工具Advantage+，或者是手動投放，在執行新廣告活動時，於Threads上投放廣告的預設值都是開啟的，代表這些新廣告可同時出現在Facebook、Instagram或Threads等平臺，不過，採用手動投放的廣告主也可關閉Threads選項。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0424-threads-ad-by%20Meta.png" style="width: 450px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Meta</span></span></p> <p>Meta為了對抗X，在2023年7月推出Threads平臺，該平臺可與Instagram互通，挾著Instagram的龐大用戶量，<a href="https://s21.q4cdn.com/399680738/files/doc_financials/2024/q4/META-Q4-2024-Prepared-Remarks.pdf" target="_blank">Threads在2024年</a>就吸引了超過3.2億的每月用戶數，目前每天平均新增逾100萬名用戶。</p> </div></div></div>
2025/4/24 10:11作者陳曉莉https://www.ithome.com.tw/news/168571
CISA傳出將停止使用Censys及VirusTotal，恐波及美國政府資安防護能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>4月中旬傳出<a href="https://www.ithome.com.tw/news/168432">美國政府將終止MITRE的維護合約</a>，將導致廣泛受到全球資安領域採用的「常見漏洞披露（CVE）」資料庫，以及「通用缺陷列表（CWE）」等多項專案停止運作，雖然後續美國網路安全暨基礎設施安全局（CISA）<a href="https://www.ithome.com.tw/news/168459">表示他們決定續約</a>，CVE專案的維運暫時不致中斷，但如今傳出CISA將棄用部分資安工具，以縮減維運成本的情況。</p> <p>根據新聞網站<a href="https://www.nextgov.com/cybersecurity/2025/04/cisa-warns-threat-hunting-staff-end-google-censys-contracts-agency-cuts-set/404680/">Nextgov</a>、<a href="https://gbhackers.com/cisa-issues-warning-against-using-censys-virustotal/">GBHackers On Security</a>、<a href="https://cybersecuritynews.com/cisa-threat-hunting-staff-censys-virustotal/">Cyber Security News</a>等媒體報導，有兩名知情人士取得CISA內部信件，指出CISA於4月16日，通知旗下超過500名員工，他們在3月底停止採用Censys的威脅情報服務，接著將於4月20日停止使用知名的惡意軟體分析平臺VirusTotal，CISA正在尋求其他替代方案。針對這項傳聞，CISA、Censys、Google皆拒絕發表評論。</p> <p>其中一名知情人士透露，另外兩家資安承包商Nightwing、Peraton正在歸還公務電話，這樣的情況也與另一家新聞網站Axios於4月初報導相符，他們指出CISA正在縮減這兩家承包商的工作人員。</p> <p>上述的消息，似乎與美國政府正在調整、縮減CISA規模有關，外界認為很可能對聯邦政府網路環境的資安帶來衝擊，影響當局找出及摧毀網路威脅的能力。</p> <p>Nextgov引述另一名熟悉聯邦機構縮減計畫的人士說法，CISA很可能已經終止所有私人公司的威脅獵補合約，並有多項合約遭到縮減。</p> </div></div></div>
2025/4/23 16:24作者周峻佑https://www.ithome.com.tw/news/168563
Android惡意軟體SuperCard X透過NFC中繼攻擊竊取信用卡資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安公司Cleafy<a href="https://www.cleafy.com/cleafy-labs/supercardx-exposing-chinese-speaker-maas-for-nfc-relay-fraud-operation">揭露</a>一款名為SuperCard X的Android惡意軟體，能利用NFC中繼技術，偽造實體信用卡進行詐騙交易。這款惡意軟體採用惡意軟體即服務（MaaS）模式，具備低偵測率與即時資料傳輸能力，已在多起案例中被用於未經授權的POS消費與ATM提款。</p> <p>根據研究人員的分析，SuperCard X有兩個主要元件，其一是部署在受害者裝置上的Reader，以及安裝在攻擊者端的Tapper。Reader應用程式會在用戶授權NFC權限後，於背景中攔截卡片感應時傳輸的資料，並透過HTTP協定與C2伺服器進行通訊，將資料即時轉發至Tapper端。攻擊者可藉由Tapper應用模擬實體卡片，對POS或ATM進行交易操作，繞過實體卡驗證流程。</p> <p>此一中繼攻擊的技術核心，與NFCGate開源專案有高度相似之處。研究團隊發現SuperCard X與2024年ESET所揭露，曾於捷克出現的NGate惡意軟體，在程式碼與功能模組上重疊，推測SuperCard X可能沿用開源工具或前代惡意軟體進行包裝，並導入商業化平臺運營邏輯，使其具備模組化、帳號管理與區域部署的彈性。</p> <p>攻擊者通常先透過SMS或即時通訊軟體發送銀行警告訊息，引導受害者撥打指定電話，進一步在電話交談，誘導受害者透露PIN碼或解除卡片交易限制。隨後，受害者會在攻擊者指示下，安裝看似安全工具的惡意應用程式，也就是Reader模組本體。安裝完成後，攻擊者便會要求受害者將信用卡靠近手機，藉此完成卡片資料的擷取。</p> <p>由於SuperCard X主程式所請求的Android權限，僅包含NFC存取與標準網路存取權限，未使用如SMS攔截、螢幕疊加等典型銀行木馬常見的高風險權限，使得現有的防毒產品難以偵測其惡意行為。該應用甚至採用mTLS進行C2連線的雙向認證，防堵未授權裝置或研究人員分析通訊內容。</p> <p>研究人員指出，SuperCard X在不同地區出現多種客製化版本，例如義大利版本移除登入頁面的註冊功能，改由攻擊者事先建立帳號並提供給受害者使用，以降低操作難度並簡化詐騙流程。此外，新版中也刪除了原本導向Telegram頻道的資訊，顯示該惡意軟體已進入更成熟的運作階段，具備規模化部署與更強的反偵查能力。</p> </div></div></div>
2025/4/23 20:25作者李建興https://www.ithome.com.tw/news/168562
【臺灣資安大會】趨勢科技：企業推動AI應用資安策略應面面俱到，可從資料、模型開發、員工使用及基礎架構管理著手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「當企業使用愈來愈多的AI技術，有沒有立很好且完整的監督機制，掌握企業內有多少員工運用AI？有多少語言模型被應用在產品線上？」趨勢科技產品管理部協理沈維明臺灣資安大會上這麼說。</p> <p>隨著LLM模型技術發展，為企業應用生成式AI打開大門，更多的企業增加對GenAI的投資，但是GenAI相應產生的風險，企業該如何有效控管？</p> <p>沈維明表示，現今LLM大語言模型發展三個趨勢，首先是LLM每百萬Token成本，在保持準確性之下，每年降低40倍；其次是較小參數規模的LLM模型，在某些方面的效能表現不輸於較大參數的模型；第三是模型壓縮技術快速發展，得以在較低規格的伺服器上執行，在壓縮和效能上取得平衡點。</p> <p>目前觀察的大語言模型發展趨勢，大語言模型愈來愈小，也愈來愈專精，效能表現也愈來愈好，甚至有專門研究，研究大語言模型如何透過更有效率的壓縮，經過壓縮後也能產生相近的效果，「這意謂著大語言模型的應用會變得更廣泛，以往只能在高階規格的設備上才能執行，現在逐漸往終端裝置或邊緣運算發展，例如在工廠的產線做加值應用」，沈維明說。</p> <p>不少調查報告顯示，有更多的企業表示將增加對AI的投資，運用AI的場景，也從先前多聚焦於客服機器人，開始向核心業務發展，企業運用AI提高生產力、建立差異化，這些已是市場上明顯觀察得到的趨勢。</p> <p><span style="color:#B22222;"><strong>建立AI資安風險的可視性</strong></span></p> <p>在AI的時代，資安風險也隨之增加，攻擊手法愈來愈不一樣，愈來愈快速、刁鑽，難以偵測防範。</p> <p>從AI應用的生命周期來看，相關的風險來自資料、AI模型及代理、App及使用，以及底層的基礎架構及管理。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%96-9-600.jpg" style="width: 600px; height: 365px;" /></p> <p>沈維明指出，首先是資料部分，當企業運用GenAI，需要使用許多訓練資料、企業內部資料、外部資料，讓語言模型學習企業內文化、內規及作業方式，如何妥善管理資料，避免機敏性的資料不小心外洩出去，為控管AI風險的重要課題之一。</p> <p>其次是AI模型及代理，企業導入AI Agent，Agent與Agent之間的溝通協定，或是企業利用代理工作流將供應鏈串連在一起，需要考慮到可能的潛在風險。</p> <p>最後是AI App及使用，大部分的資安問題來自於人，因此思考如何控管AI風險，也要將員工如何使用AI的行為納入考慮。</p> <p>在資料、模型及代理、App及使用三者之外，底層的基礎架構及管理也相當重要，不論是使用雲端IaaS、SaaS或地端，都需要妥善的控管潛在風險。</p> <p>沈維明表示，企業需要建立AI風險的可視性，才能對資源使用排出優先順序，制定策略將潛在的風險妥善管理或予以分散風險。</p> <p><strong><span style="color:#B22222;">GAI風險的經典案例</span></strong></p> <p>上述資料、模型及代理、App及使用，已出現經典的案例，沈維明分享幾個知名的案例。</p> <p>在資料管理方面，一個案例是韓國新創業者推出AI聊天機器人Lee Luda，運用超過10億筆Kakao Talk用戶對話資料訓練，Lee Luda與使用者對話，意外洩露用戶的敏感資料，被聯合訴訟，韓國政府也對此開罰，該業者面臨商譽及金額的損失。</p> <p>在AI模型及代理開發方面，許多企業在訓練、微調模型的過程中，可能使用第三方的開發工具或框架，以加快AI的建置，一個案例是使用開源工具Flowise，因為對於採用的開源工具不熟悉，導致在沒有很好的權限控管之下，企業將AI服務放到網路上，導致敏感的個資、企業資料、健康資料曝露出來。</p> <p>另一個案例是軟體被發現CVE 9.0的漏洞，由於沒有及時修補，導致容器被攻陷，濫用Nvidia GPU及雲端資源。</p> <p>在App及使用方面，一個攻擊的案例是，曾有一位白帽駭客利用Prompt Injection的入侵手法，使ChatGPT幫他產生惡意軟體；日本曾出現一個案例，一名沒有技術背景的人士，在沒有利用漏洞的情形下，利用AI工具產生勒索軟體。</p> <p>沈維明表示，企業需要建立很好的方法去掌握內部員工使用哪些AI工具，企業應該如何因應？上述各種案例就像開時速300公里的跑車，如果沒有設計很好的煞車系統，不會知道何時會發生車禍。如同趨勢科技執行長所說，我們並不是要讓企業的AI應用停下來，而是在安全的框架下，當面臨危險或風險時稍微減速跨過去，或是預防接下來可能發生的問題。</p> <p><span style="color:#B22222;"><strong>依不同的風險制定防護策略</strong></span></p> <p>針對上述的攻擊案例或手法，企業可以參考資安業者公開的威脅研究，例如趨勢科技針對AI風險發布白皮書，供外界免費下載，持續更新針對AI攻擊的最新手法，企業可參考白皮書加強AI應用的資安防護。另外，趨勢科技的威脅研究團隊也在官網公開最新的威脅研究成果，以及建議企業可以如何布建安全防護，可以作為企業參考。</p> <p>「思考資安或AI議題，一個很重要的方向是建立完整的可視性（Visibility）」，沈維明表示，現在資安涵蓋的範圍相當廣泛，電子郵件、身分、網路不同領域都有資安廠商，企業要先建立完整的可視性，掌握匯整後的資訊，進而採取行動。</p> <p>目前趨勢科技提出Vision One，其中的資安曝險管理CREM（Cyber Risk Exposure Management），以協助企業針對內部不同層面，如電子郵件、網路、雲端，進行風險評估，幫助CISO評估企業內部的風險指數高低，包括造成風險的弱點在哪些，例如目前企業的電子郵件面臨的網路釣魚風險高低等。</p> <p>企業推動AI應用發展，另一個面臨的議題是法遵，除了國外，臺灣也已開始針對產業建立AI應用相關的規範，特別是金融業方面，未來會有更多的規範，針對AI應用的情境及問責、責任，提供更明確的規範，趨勢已提供工具，讓企業資安或稽核人員檢視實務和法規規範間的落差。</p> <p>針對AI使用行為的防護，目前可以參考一些AI Gateway方案，可協助企業釐清風險，並透過rule-based的控管員工的AI使用行為。</p> <p>至於AI應用開發中的container保護，沈維明認為，大多集中在對runtime的保護，建議也要強化pre-runtime部分，即開發的CI/CD階段，開發階段最容易被忽視，建議可從開發到部署加強保護。</p> <p>許多企業目前已經上雲，但是諸如金融或政府，可能因為法遵對資料的要求，AI應用需要落地，在地端資料中心或私有雲環境部署AI應用，這類部署常常會因為條件有不同的變化，他建議企業思考AI的資安策略，要顧及到雲端部署的AI防護，在地端部署也要能做到一致的防護。</p> </div></div></div>
2025/4/23 18:56作者蘇文彬https://www.ithome.com.tw/news/168569
【資安日報】4月23日，殭屍網路RustoBot在臺灣、日本、越南、墨西哥發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近3至4年，資安界疾呼開發人員軟體開發安全議題，其中一項做法應透過記憶體安全程式語言進行開發，Rust是最受到推薦的程式語言之一，但現在駭客也將其用來開發惡意軟體。</p> <p>本週資安業者Fortinet揭露的殭屍網路RustoBot，就是典型的例子。值得留意的是，此殭屍網路的攻擊範圍，涵蓋臺灣在內的4個國家，且鎖定市面上常見的兩家路由器下手，後續態勢相當值得我們留意。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168560"><strong style="font-size: 22px;">殭屍網路RustoBot鎖定Totolink、居易路由器而來，在臺灣、日本、越南、墨西哥發動攻擊</strong></a></p> <p>資安業者Fortinet揭露名為RustoBot的殭屍網路，並指出駭客主要鎖定Totolink及居易特定型號的路由器而來，利用已知漏洞發動攻擊，鎖定臺灣、日本、越南、墨西哥科技產業而來。</p> <p>對於這起攻擊行動發現的過程，Fortinet指出，他們在今年1月至2月，察覺鎖定Totolink漏洞的攻擊出現顯著增加的趨勢，駭客利用的弱點出現在名為cstecgi.cgi的CGI檔案，其中包含出現在setUpgradeFW、pingCheck兩項功能的重大層級命令注入漏洞CVE-2022-26210、CVE-2022-26187（CVSS風險皆為9.8分）。</p> <p>研究人員取得惡意酬載進行分析，結果發現駭客也利用命令注入漏洞CVE-2024-12987，此漏洞影響居易科技（DrayTek）設備Vigor2960、Vigor300B，CVSS風險評為7.3。</p> <p><a href="https://s4.itho.me/sites/default/files/images/fig01-rustobot-botnet.jpeg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig01-rustobot-botnet.jpeg" style="width: 580px;" /></a></p> <p><a href="https://www.ithome.com.tw/news/168528"><strong style="font-size: 22px;">中國駭客Mustang Panda鎖定緬甸而來，利用StarProxy存取未與網際網路連線的環境</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/mustang_panda_fig_1_p1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/mustang_panda_fig_1_p1.png" style="width: 300px; float: right;" /></a>專門針對臺灣、越南、馬來西亞等亞太國家發動攻擊，被稱為Mustang Panda、Earth Preta、RedDelta、TA416的中國駭客組織，在今年2月、3月傳出相關攻擊行動，包含意圖利用作業系統預載公用程式MAVInject.exe迴避偵測，以及散布惡意LNK檔案利用尚無修補的零時差漏洞，最近有研究人員發現，這些駭客改用新的工具犯案，使得行蹤變得更加難以捉摸。</p> <p>資安業者Zscaler指出，Mustang Panda近期鎖定緬甸而來，該國3月底才因7.7級地震而遭逢重大災難，沒想到現在還必須處理駭客攻擊的問題，他們在2臺受害電腦發現後門程式ToneShell的變種，以及一系列未曾被發現的作案工具，因而高度關注此事。</p> <p>基本上，ToneShell是慣用的後門程式，而這次Zscaler發現，駭客使用的新版本出現顯著的變化，那就是調整了與C2連線的FakeTLS通訊協定，以及在建立用戶端識別編號的做法。</p> <p><a href="https://www.ithome.com.tw/news/168510"><strong style="font-size: 22px;">惡意NPM套件藏反向Shell，鎖定電商交易流程滲透伺服器</strong></a></p> <p>開源資安公司Socket揭露名為merchant-advcash的NPM套件，其表面上聲稱支援Advcash金流系統整合，實則於付款成功時觸發反向Shell，將伺服器權限交由攻擊者遠端控制。該攻擊行為未在套件安裝或匯入時啟動，而是延遲至使用者完成支付流程後才暗地執行，明確鎖定實際部署於電商平臺的生產環境。</p> <p>該攻擊行為高度隱匿，並藉由付款成功此業務邏輯節點，掩護惡意程式的執行時機，繞過常見的套件安裝監測、靜態掃描與CI工作管線稽核。研究人員表示，其撰寫手法明顯異於低階垃圾套件，而是建構出一個具實際商業邏輯的伺服器端整合模組，具有更高的可信度與部署機會，也更容易被企業系統採用。</p> <p>研究人員認為，此種攻擊方式顯示出惡意行為者對目標環境的熟悉程度與技術熟練度，其目的可能是針對特定場景的交易系統進行滲透。雖然該套件目前已由NPM官方下架，但對於電商平臺、第三方支付整合開發者及資訊安全團隊而言，在處理金流、帳務與用戶操作密切相關的流程，更應注重供應鏈安全防護。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/sk-telecom-warns-customer-usim-data-exposed-in-malware-attack/">韓國大型電信業者SK Telecom警告用戶，駭客透過惡意軟體企圖取得USIM敏感資料</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/active-mail-rce-flaw-exploited-in-attacks-on-japanese-orgs/">日本網頁電子信箱系統存在重大漏洞，駭客用於攻擊當地大型企業組織</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/04/docker-malware-exploits-teneo-web3-node.html">惡意軟體鎖定Docker而來，利用Web3服務節點挖礦</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/phishers-abuse-google-oauth-to-spoof-google-in-dkim-replay-attack/">網釣攻擊濫用Google OAuth，並搭配DKIM中繼手法進行</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168538"><strong style="font-size: 22px;">Erlang/OTP SSH程式庫爆出滿分等級漏洞，攻擊者可未經驗證執行程式碼</strong></a></p> <p>德國波鴻魯爾大學研究人員揭露CVE-2025-32433，是Erlang/OTP SSH程式庫的重大安全漏洞，CVSS評分達到滿分10分，屬最嚴重等級的遠端程式碼執行漏洞。該漏洞來自SSH協定訊息處理邏輯缺陷，允許未經驗證的用戶透過精心設計的協定封包，在尚未完成身分驗證的階段，繞過安全機制直接執行指令，進而全面控制或癱瘓目標系統。</p> <p>根據Erlang於GitHub公告的資安通報，受影響版本涵蓋OTP-25、OTP-26與OTP-27分支的多個版本，當系統或應用層採用Erlang/OTP提供的SSH伺服器模組，極可能處於高風險環境。官方已針對各分支釋出修補版本，分別為OTP-25.3.2.20、OTP-26.2.5.11與OTP-27.3.3，建議用戶盡快升級，若是未能立即修補的情況下，IT人員應考慮先行停用SSH服務，或透過防火牆限制外部存取。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/04/gcp-cloud-composer-bug-let-attackers.html">GCP編輯器工具存在權限提升漏洞，攻擊者可透過PyPI套件觸發</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168557"><strong style="font-size: 22px;">CVE漏洞資料庫專案業務一度出現中斷危機，歐盟替代方案受關注</strong></a></p> <p>美國漏洞資料庫計畫CVE、CWE本月傳出可能中斷服務消息，引發業界對仰賴單一政府維護的全球漏洞資料庫疑慮，加速其他人或政府建立並行資料庫，作為替代或備援方案。</p> <p>美國非營利組織MITRE傳出承攬的多項美國政府專案即將到期，包括其維護的「常見漏洞披露（CVE）」及「通用缺陷列表（CWE）」等資料庫。外界猜測是川普政府刪減行政預算之故。不過隔日美國主管機關CISA就證實將延長專案至少11個月，使得對資安人員的重要資源暫時解除斷炊危機。</p> <p>但這次事件也讓業界注意到單一漏洞資料庫的「單一失敗點（single point of failure）」風險，繼CVE董事會成員宣布成立CVE基金會，將該專案轉型為獨立的非營利組織，歐盟網路安全管理署（ENISA）於2024年6月宣布啟動的歐盟漏洞資料庫（EU Vulnerability Databased，EUVD），將有望成為美國國家弱點資料庫（NVD）的替代選項。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/168545"><strong>【4月22日】中壢長慎醫院遭駭客組織NightSpire攻擊，部分業務受到衝擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168530"><strong>【4月21日】微軟3月修補的NTLM漏洞出現超過10起實際濫用的攻擊行動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168486"><strong>【4月18日】趨勢科技公布勒索軟體駭客CrazyHunter攻擊手法</strong></a></p> </div></div></div>
2025/4/23 16:55作者周峻佑https://www.ithome.com.tw/news/168567
殭屍網路RustoBot鎖定Totolink、居易路由器而來，在臺灣、日本、越南、墨西哥發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來，記憶體安全議題受到重視，IT產業開始推行程式語言<a href="http://www.ithome.com.tw/tags/rust">Rust</a>來開發軟體，但現在駭客也跟上腳步，利用這種程式語言打造殭屍網路病毒。</p> <p>資安業者Fortinet揭露<a href="https://www.fortinet.com/blog/threat-research/new-rust-botnet-rustobot-is-routed-via-routers">名為RustoBot的殭屍網路</a>，並指出駭客主要鎖定Totolink及居易特定型號的路由器而來，利用已知漏洞發動攻擊，鎖定臺灣、日本、越南、墨西哥科技產業而來。</p> <p>對於這起攻擊行動發現的過程，Fortinet指出，他們在今年1月至2月，察覺鎖定Totolink漏洞的攻擊出現顯著增加的趨勢，駭客利用的弱點出現在名為cstecgi.cgi的CGI檔案，其中包含出現在setUpgradeFW、pingCheck兩項功能的重大層級命令注入漏洞<a href="https://nvd.nist.gov/vuln/detail/cve-2022-26210">CVE-2022-26210</a>、<a href="https://nvd.nist.gov/vuln/detail/cve-2022-26187">CVE-2022-26187</a>（CVSS風險皆為9.8分）。</p> <p>研究人員取得惡意酬載進行分析，結果發現駭客也利用<a href="https://www.ithome.com.tw/news/166783">命令注入漏洞CVE-2024-12987</a>，此漏洞影響居易科技（DrayTek）設備Vigor2960、Vigor300B，CVSS風險評為7.3。</p> <p>攻擊者一旦利用上述漏洞成功入侵受害設備，就會根據設備的系統架構，透過指令碼下載RustoBot。根據駭客使用的惡意酬載，這波攻擊大部分針對Totolink設備而來。</p> </div></div></div>
2025/4/23 14:52作者周峻佑https://www.ithome.com.tw/news/168560
【臺灣資安大會直擊】酷澎如何用LLM檢測AI安全性與可信度
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著大型語言模型（LLM）應用普及，負責任AI、AI安全性、AI可信度，成為企業要保護商譽及資訊安全，更須注重的議題。酷澎資安工程總監周彥儒說：「只要是風險之所在，就是驗測之所在。反覆驗證LLM安全才能避免輸出有害內容，建立信任。」</p> <p>他觀察，目前LLM安全驗測主要方式是，用Excel檔或其他資料集形式的大量測試問題，輸入LLM，人工審查回應是合乎企業對模型的要求。不過，這種驗證做法有4個常見挑戰：成本過高、無法重現結果、人類標準不一，以及對抗式攻擊的風險。</p> <p>首先是成本過高。周彥儒解釋，成本不只是金錢，更重要的是時間成本，以及能夠驗測的題目量。他估算，一個人進行提示詞製作，輸入LLM，取得回應，人工評估，每小時做20題已經算多，一整天下來，驗測不到200題。要深入且全面安全驗測，這個數量遠遠不夠。</p> <p>再來是結果無法重現。當驗測人員疑似找到問題，就算輸入相同提示詞，LLM每次輸出結果都不盡相同，無法重現模型問題，來鎖定問題、深入研究。</p> <p>人類標準不一意即，即使使用同樣驗測範例，不同人、情境、企業、領域、文化，對於公平性和道德的見解都會不同。當牽涉到沒有標準答案的問答，問題會更加明顯。</p> <p>最後一項挑戰來自對抗式攻擊的風險，周彥儒指出，即便模型驗測結果理想，只要有人使用帶有惡意的參數微調或訓練資料，有可能令模型產生截然不同的生成內容，使先前辛苦驗測、調整模型前功盡棄。</p> <p><strong>LLM驗測流程要融入最佳實踐方法，自動化是大前提</strong></p> <p>周彥儒一一給出這4大挑戰的解法。首先，面對成本過高問題，驗測者應打造自動化驗測機制，來大量重複執行驗測。有了自動化驗測機制，還能使其他挑戰的解法變得可行。</p> <p>例如，要解可重現性挑戰，可使用蒙地卡羅模擬（Monte Carlo Simulation），自動對提示詞作出些微變化，進行大量測試，來看出現不合格回應的機率高低，並評估風險是否可接受。「既然LLM是一種基於機率的模型，驗證方法也該是一種機率性驗證。」他說。</p> <p>針對人類標準不一挑戰，企業可以先制定統一判斷基準，讓驗測機制一視同仁的自動化執行，避免人類判斷的不穩定性。不只如此，周彥儒還建議加上多數決機制，讓驗測機制再次判斷審查回應的結論是否合理，做為第二層保險。舉例來說，可以讓多個模型驗測相同問答，當多數模型判斷LLM回答合格，才真正合格。</p> <p>因應對抗式攻擊的方法，則是由驗測人員掌握好對抗式攻擊的TPP（技巧、戰術、程序），並教導給自動化驗測機制，使其能反覆針對攻擊方法來測試模型防禦力。</p> <p>酷澎綜合前述前述4大挑戰的應對概念，採取LLM-as-a-Judge做法，打造出一套用LLML驗測其他LLM的自動化驗測機制。</p> <p><strong>針對LLM驗測四大挑戰設計LLM-as-a-Judge機制</strong></p> <p>酷澎的LLM-as-a-Judge自動化測驗機制，分為Planner、Tester、Evaluator三個元件。</p> <p>Planner負責分析「模型可能如何出錯」。做法是，透過對話，對受驗測LLM做預測試，來了解模型特性，以及在不同應用情境上，會面臨到何種威脅。有這些資料，才能決定設計實際驗測題目的方向。</p> <p>Tester則負責測試「模型有沒有可能出錯」，根據Planner提供的問題設計方向，生成實際驗測問題，來確認受測LLM是否會出現Planner所設想的風險。這些問題，會根據輸入輸出是否符合預期，分為4類情境的問題。輸入輸出都符合預期，屬於一般使用情境（Use case）。輸入不符預期，輸出符合預期，屬於邊緣案例或意外案例（Edge case）。例如，當客服機器人被用來當文書處理機器人，就屬於Edge case問題。</p> <p>輸入符合預期，但輸出不符合預期，則是幻覺（Hallucination）。輸入輸出都不符預期，則是攻擊（Attack）。「防範攻擊是最需要創意的，因為要想像，自己想不到的攻擊方式，如何產生不預期的權限提升或回應。」</p> <p>周彥儒建議，企業自己驗測LLM時，也需要針對這4大類情境來設計題目，並充分應用不同情境所對應的驗測技術。</p> <p>Evaluator則負責判斷「模型是否真的出錯」，從模型回答Tester問題的結果，判斷受測模型是否符合Planner預想的風險情況，並告訴測試人員，受測模型在哪些面向，存在何種問題。不只如此，Evaluator還需要回饋Planner和Tester，對受測模型的出題方向和題目設計，能如何優化。</p> <p><strong>追蹤驗測機制的重要KPI，來改善驗測品質</strong></p> <p>酷澎也對這3個元件設置不同的KPI來追蹤，以持續改善驗測品質。</p> <p>酷澎追蹤Planner的KPI是，Planner生成問題集中，預想威脅與模型實際使用情境的對齊程度，以F1分數表示。周彥儒進一步說明，Planner功能表現良好與否，取決於題目設計方向是否符合實際模型功能與應用場景。舉例來說，當一個模型功能只負責檔案歸類，根本沒有RAG能力，更沒有其他存取外部資料功能。就算拿個資外洩的題目測試，且模型有回應，也只能得出「會產生幻覺」的結論，但並沒有真正個資外洩風險。</p> <p>Tester的KPI則是受測模型被驗證集攻擊的ASR（攻擊成功率）。透過比較受測模型和其他模型的ASR，酷澎可以比較出，受測模型經過Tester驗測後，提升多少防禦能力。從模型被攻擊成功的情況分布中，還可以看到，Tester產生的題目，是深度還是廣度上不足。周彥儒說，只有兩者兼具，才能確保驗測內容具足夠代表性，能完整找出模型的風險。</p> <p>Evaluator的KPI則是模型回應與人類反應的相符程度，同樣以F1分數來表示，並分為一致性、複雜性、真實性、有害性等不同面向。這些指標是用來評估，自動化驗證機制判斷回應為合格時，是否確實符合企業價值。</p> <p><strong>強化LLM驗測品質的未來計畫</strong></p> <p>周彥儒說，酷澎鎖定了3個未來可以強化LLM驗測品質的方向。</p> <p>首先是導入動態的價值判斷基準。同一個LLM回應，於不同情境下，可接受程度應該不同。舉例來說，如果今天有人被困在坍方的山洞，需要學習製作炸彈來逃出生天，LLM生成炸藥製作教學，就相較其他情境下更合情合理。現行靜態基準，則較難針對個別情境來判斷回應是否合乎企業價值。</p> <p>再來，是嘗試多模態驗測，而非只驗測語言輸入輸出。隨著LLM能力強化，更多人開始利用AI生成圖片、音訊、影片等內容。這些生成結果，也可能產生風險，因而需要驗測。</p> <p>最後則是運用聯邦學習。周彥儒表示，當LLM應用普及到不同場景、系統、裝置，不同環境都需要顧及各自資料隱私和保密性。此時，便能採用聯邦學習技術，來綜合不同場景的驗測經驗和資料，進一步改善LLM驗測品質。</p> <p></p> </div></div></div>
2025/4/23 15:38作者郭又華https://www.ithome.com.tw/news/168561
導致藍色當機畫面的RDP漏洞遭利用，Kimsuky用於攻擊韓國軟體、能源、金融產業
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>曾在6年前引發大規模攻擊的漏洞BlueKeep（CVE-2019-0708，CVSS風險為9.8分），<a href="https://www.ithome.com.tw/news/133987">當時駭客引發全球各地藍色當機畫面（BSOD）災情</a>，如今傳出一年半前又有人使用這項漏洞從事攻擊行動，直到最近才被公開。</p> <p>資安業者AhnLab揭露<a href="https://asec.ahnlab.com/en/87554/">北韓駭客發起的攻擊行動Larva-24005</a>，被稱做<a href="https://www.ithome.com.tw/tags/kimsuky">Kimsuky、APT43、Emerald Sleet、TA427、Velvet Chollima</a>的駭客組織，透過遠端桌面連線（RDP）軟體的資安弱點BlueKeep滲透受害組織，得逞後部署惡意軟體MySpy、RDPWrap，建立能夠持續存取的管道。這些駭客也側錄受害者鍵盤輸入的內容，來進行後續的監控。</p> <p>這波攻擊主要針對韓國的軟體、能源、金融產業而來，駭客自2023年10月開始，對韓國及日本寄送釣魚信來接觸受害者。AhnLab根據駭客的基礎設施進行分析，攻擊行動很可能從2023年9月就已經進行，而且，駭客攻擊的範圍相當廣，不光是韓國及日本，還包括了美國、中國、德國、新加坡、南非、荷蘭、墨西哥、越南、比利時、英國、加拿大、泰國、波蘭。</p> <p>對於整起事故發生的過程，研究人員推測Kimsuky主要是透過BlueKeep取得初始入侵管道，但除此之外，他們也看到駭客運用其他的手法來達到目的，例如：使用釣魚郵件挾帶特定檔案，或是觸發Office方程式編輯器漏洞<a href="https://www.ithome.com.tw/tags/cve-2017-11882-0">CVE-2017-11882</a>（風險值為7.8）。</p> <p>一旦成功取得初始入侵管道，這些駭客就會運用惡意軟體載入工具，部署MySpy、RDPwarp，並竄改系統組態，開放RDP連線存取。最終駭客會在受害電腦植入KimaLogger或RandomQuery等側錄工具，收集使用者鍵盤輸入的內容。</p> </div></div></div>
2025/4/23 12:25作者周峻佑https://www.ithome.com.tw/news/168556
美漏洞資料庫計畫危機歐盟替代方案受關注
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國漏洞資料庫計畫CVE、CWE本月一度傳出可能中斷，也引發業界對單一全球漏洞資料庫模式的疑慮，並且加速其他人或政府建立並行資料庫，作為替代或備援方案。</p> <p><a href="https://www.ithome.com.tw/news/168432" target="_blank">本月美國非營利組織MITRE傳出</a>承攬的多項美國政府專案即將到期，包括其維護的「常見漏洞披露」（Common Vulnerabilities and Exposures，CVE）資料庫，以及「通用缺陷列表」（Common Weakness Enumeration，CWE）等資料庫。外界猜測是川普政府刪減行政預算之故。<a href="https://www.ithome.com.tw/news/168459" target="_blank">不過隔日美國主管機關CISA就證實將延長專案至少11個月</a>，使得對資安人員的重要資源暫時解除斷炊危機。</p> <p>上周MITRE計畫告急消息傳來時，包含MITRE、CISA、NIST、Cisco、微軟、Broadcom等CVE董事會（CVE Board）會員<a href="https://www.thecvefoundation.org/home" target="_blank">宣布成立CVE基金會（CVE Foundation）</a>，發展策略上將把CVE計畫轉為獨立的非營利組織，以確保CVE計畫的長期穩定及獨立性。</p> <p>然而<a href="https://www.theregister.com/2025/04/18/splintering_cve_bug_tracking/" target="_blank">The Register報導指出</a>，這次事件也讓業界注意到單一漏洞資料庫的「單一失敗點（single point of failure）」風險，需要有和其他單位維護的漏洞資料庫，作為美國NVD資料庫以外的選擇，或提供備援、替代方案。</p> <p>目前最有潛力的選項是歐盟在NIS2（Network and Information Security Directive 2）下，由歐盟網路安全管理署（European Union Agency for Cybersecurity，ENISA）於2024年6月<a href="https://www.enisa.europa.eu/news/another-step-forward-towards-responsible-vulnerability-disclosure-in-europe" target="_blank">宣布啟動打造歐盟漏洞資料庫（EU Vulnerability Databased，EUVD）</a>，作為公開存取的資源。</p> <p><a href="https://euvd.enisa.europa.eu/" target="_blank">目前EUVD還只是Beta版</a>。本資料庫允許用戶透過CVSS 或EPSS（Exploit Prediction Scoring System）風險分數、產品、廠商、編號發派者、漏洞刊出日期<a href="https://euvd.enisa.europa.eu/search" target="_blank">查詢漏洞</a>，也可以選擇查詢所有漏洞或已被濫用的漏洞。</p> <p>EUVD計畫使用另一套編號系統，也提供漏洞簡介、文件及修補程式等連結。這使得每項漏洞會有EUVD、CVE及GSD三種編號。<a href="https://github.com/cloudsecurityalliance/gsd-database/" target="_blank">GSD是由雲端安全聯盟（Cloud Security Alliance）維運的GSD資料庫</a>。</p> <p>ENISA對媒體指出，EUVD宗旨為確保多項公開資訊的互連，ENISA也正和歐盟會員國及執委會合作，確保EUVD系統的韌性。</p> <p>安全廠商及分析師指出，EU和美國資料庫一般情況下還是會互相協同，但個別資料庫的出現，可能會因為歐盟和美國政府立場或法規問題，導致對自有資料庫的偏袒。但是EU資料庫的出現意味著，歐盟對美國政府確保CVE單一資料庫的穩定承諾缺乏信心。</p> </div></div></div>
2025/4/23 12:37作者林妍溱https://www.ithome.com.tw/news/168557
OpenAI出席Google反壟斷案聽證會，透露有興趣買下自Google拆分的Chrome
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國法院本周開始衡量Google搜尋違反反托拉斯法令的補救措施，並傳喚了OpenAI的ChatGPT負責人Nick Turley，根據<a href="https://www.bloomberg.com/news/articles/2025-04-22/chatgpt-chief-calls-search-crucial-for-openai-in-google-trial" target="_blank">彭博社（Bloomberg）</a>與<a href="https://www.reuters.com/sustainability/boards-policy-regulation/google-contemplated-exclusive-gemini-ai-deals-with-android-makers-2025-04-22/" target="_blank">路透社（Reuters）</a>的報導，Turley作證時除了表示曾經企圖與Google搜尋合作，但遭拒絕之外，<a href="https://www.bloomberg.com/news/articles/2025-04-22/openai-would-buy-google-s-chrome-browser-chatgpt-chief-says" target="_blank">也說要是法院要求Google拆分Chrome，OpenAI也有興趣購買</a>。</p> <p>美國法院是在去年8月判決Google利用不當手段維持搜尋引擎的壟斷地位，提告的美國司法部還建議了幾項補救措施，包括要求Google剝離對Chrome的控制權，必要時亦應考慮剝離Android，以邊際成本向競爭對手提供搜尋索引，以及禁止Google與第三方簽署排他性合約等。</p> <p>Turley在法庭上表示，該公司從未只想建立簡單的ChatGPT，而是想要打造一個可以協助使用者完成任務的超級助手，然而，由於大型語言模型缺乏最新資訊且容易產生幻覺，或是在不知道時編造錯誤的答案，因此非常需要搜尋引擎功能。</p> <p>這使得OpenAI於2024年初開始打造自己的搜尋索引，卻發現它窒礙難行，於是在同年8月向Google求助，希望能存取Google搜尋索引，因為Google曾與Meta AI訂定類似的合約。Turley說，Google在口頭上拒絕了OpenAI，但未曾以書面回應。</p> <p>OpenAI與Google之間屬於潛在的競爭對手，OpenAI企圖建立自己的搜尋索引，而Google則極力發展自家的AI搜尋。根據市場調查機構Statcounter的數據，<a href="https://gs.statcounter.com/search-engine-market-share" target="_blank">Google搜尋市占率在今年首度跌破90%</a>，儘管Statcounter並未把OpenAI視為Google搜尋的競爭對手，但另一家專門提供SEO服務的數位行銷業者<a href="https://www.highervisibility.com/seo/learn/how-people-search/" target="_blank">HigherVisibility針對1,500名美國人的調查發現</a>，已有高達71.5%的受訪者會使用ChatGPT等AI工具進行搜尋，但大部分是用來補充傳統搜尋引擎，而非取代，目前以AI來搜尋的頻率還不是太高。</p> <p>另一方面，司法部建議Google可以剝離Chrome，以避免Google利用市占率居冠的自家瀏覽器來推廣自家搜尋引擎。Turley則說，萬一法院要求Google拆分Chrome，那麼OpenAI將有興趣買下Chrome，而且不只是OpenAI，應該還有其它業者也想要Chrome。</p> <p>Turley認為，如果可以將ChatGPT整合到Chrome中，將可帶來非常難以置信的體驗，這使得OpenAI有能力向使用者介紹以AI為優先的體驗，解決散布ChatGPT的難題。</p> <p><a href="https://gs.statcounter.com/browser-market-share" target="_blank">Statcounter的數據顯示</a>，Chrome瀏覽器的市占率為66.2%，遙遙領先第二名Safari的17.6%，以及第三名Microsoft Edge的5.2%。</p> </div></div></div>
2025/4/23 13:03作者陳曉莉https://www.ithome.com.tw/news/168558
傳華為Ascend 910C晶片出貨在即效能比美Nvidia H100
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.reuters.com/world/china/huawei-readies-new-ai-chip-mass-shipment-china-seeks-nvidia-alternatives-sources-2025-04-21/" target="_blank">路透社本周引述二名消息來源報導</a>，華為最新AI晶片昇騰（Ascend） 910C已開始量產，最快在下個月出貨給中國客戶。</p> <p>消息人士指出，910C採用新架構獲致效能提升。該GPU是將2顆910B處理器整合封裝，使其具備910B兩倍的效能和記憶體，此外，910C也較前代更能支援多元AI運算任務。據稱，910C效能已媲美美國政府禁止Nvidia賣給中國的H100 GPU。</p> <p><a href="https://www.tomshardware.com/tech-industry/artificial-intelligence/deepseek-research-suggests-huaweis-ascend-910c-delivers-60-percent-nvidia-h100-inference-performance" target="_blank">Tom's Hardware則報導</a>，910c執行推論的效能是H100的60%，雖然不足以取代H100，但可減少中國對Nvidia的依賴。</p> <p>路透社消息見報後<a href="https://finance.yahoo.com/news/nvidia-stock-falls-as-chinas-huawei-reportedly-boosts-ai-chip-production-after-trumps-export-ban-125546073.html" target="_blank">Nvidia股價</a>一度重挫4.5%。Nvidia執行長黃仁勳也立即趕赴中國會見相關高層，被視為「顧樁」舉動。</p> <p>目前不知910C的代工廠為誰。2022年拜登政府禁止Nvidia出售高階GPU如H100至中國，僅允許銷售低階產品如H20，同時美國也禁止晶圓代工龍頭台積電為華為生產晶片。然而去年台積電為中國客戶算能科技（Sophgo）生產的晶片．被發現用於華為的910B晶片，引發美國商務部調查。</p> <p>川普上任後，對中國施行更強硬貿易戰手段，包括徵收巨幅關稅。此外川普政府也宣布禁止Nivida銷售H20給中國，讓後者因無法出貨，認列55億美元相關支出。</p> <p>然而近幾年美國的技術禁令激發中國業者自主研發及生產，也讓美國業者在中國市占下滑。美國對中國祭出的H100禁令，讓當地新創業者摩爾線程（Moore Threads）、天數智芯（Iluvatar CoreX）興起，欲搶占Nvidia留下的市場缺口。</p> <p>華為方面，910C外，<a href="https://www.zaobao.com.sg/news/china/story20250421-6221101" target="_blank">報載</a>其下一代晶片Ascend 920可能下半年出貨。Ascend 920採用中國業者中芯國際的6奈米製程生產，效能超過900 TFLOP（每秒浮點運算次數），使用HBM3（第四代高頻寬記憶體）模組。多家<a href="https://finance.sina.com.cn/stock/hkstock/ggscyd/2025-04-21/doc-inetwvfy8850579.shtml" target="_blank">媒體報導</a>已可達取代H20的水準，而其下一代<a href="https://www.tomshardware.com/pc-components/gpus/huawei-introduces-the-ascend-920-ai-chip-to-fill-the-void-left-by-nvidias-h20" target="_blank">920c</a>專為Transformer及Mixture of Experts（MoE）AI架構開發，推論效能還可再提升30%到40%。</p> </div></div></div>
2025/4/23 10:47作者林妍溱https://www.ithome.com.tw/news/168553
Google宣布將保留Chrome中的第三方Cookie
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>自於<a href="https://www.ithome.com.tw/news/164065" target="_blank">去年7月宣布</a>要放棄於Chrome中封鎖第三方Cookie的計畫之後，<a href="https://privacysandbox.com/news/privacy-sandbox-next-steps/" target="_blank">Google本周二（4/22）再度向外界確認</a>，Chrome將維持目前處理Cookie的方式，也不會在使用者遭遇第三方Cookie時跳出提示。</p> <p>當使用者以瀏覽器造訪網站時，網站會在使用者裝置上存放名為Cookie的小檔案，記錄使用者的登入狀態或偏好，此為第一方Cookie；但當使用者所造訪的網站含有來自其它業者的廣告時，也會自動下載這些第三方的Cookie，廣告主即可在每次遇見使用者時，記錄並存取其裝置上的自家Cookie來追蹤使用者的行為，以投放目標式廣告。不管是蘋果的Safari或是Mozilla的Firefox等瀏覽器，都已於預設值封鎖了Cookie。</p> <p>儘管Cookie有違使用者隱私，但仰賴廣告收入的Chrome並不想貿然停用Cookie，於是在2019年提出了隱私沙箱（Privacy Sandbox），以更具隱私的方式將使用者分門別類，而廣告主則可據此向群組發送廣告，並計畫以隱私沙箱全面取代Cookie。</p> <p>但此舉惹來許多監管機構、開發人員及隱私團體的質疑，包括懷疑隱私沙箱的安全性，以及Google是否利用隱私沙箱來圖利自家廣告服務，或者是Google是否企圖控制目標式廣告的架構。就連廣告主也認為這樣的方式，不見得能夠觸及真正的消費者。</p> <p>總之，現在Google已決定維持現階段Chrome瀏覽器處理Cookie的方式，亦即使用者可透過Chrome的隱私與安全設定，來決定是否全面封鎖第三方Cookie，而且Chrome也不會在使用者遇見第三方Cookie時跳出新的獨立提示，以免影響使用經驗。</p> <p>Google決定將保護用戶隱私的力氣，花在Chrome的無痕模式（Incognito Mode），該模式原本的預設值就封鎖了Cookie，且Google更計畫在今年第三季針對該模式推出IP保護機制。</p> <p><a href="https://github.com/GoogleChrome/ip-protection" target="_blank">該機制利用兩層代理伺服器來遮蔽用戶的真實IP位址</a>，以防止第三方網站利用使用者的IP位址進行跨站追蹤。</p> <p>至於已發展多年的隱私沙箱，負責該計畫的Google副總裁Anthony Chavez表示，Google現在已經理解，隱私沙箱的各種API在支援整體生態系統上的任務將有所調整。這也意謂著隱私沙箱將從取代Cookie的角色中退場。</p> </div></div></div>
2025/4/23 11:03作者陳曉莉https://www.ithome.com.tw/news/168554
惡意NPM套件偽裝Telegram函式庫，植入SSH後門攻擊Linux開發者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安公司Socket<a href="https://socket.dev/blog/npm-malware-targets-telegram-bot-developers">揭露</a>一項針對Telegram機器人開發者的供應鏈攻擊事件，攻擊者透過在NPM平臺發布與熱門函式庫名稱相近的惡意套件，誘導開發者誤用，進而在Linux系統中植入具持久性存取能力的SSH後門，並將系統資訊回傳至攻擊者伺服器。</p> <p>攻擊者鎖定使用node-telegram-bot-api函式庫進行開發的社群，推出三個偽冒套件，名稱分別為 node-telegram-utils、node-telegram-bots-api與node-telegram-util。這些惡意套件複製原函式庫的說明文件與GitHub頁面連結，甚至以Starjacking手法借用原專案超過19,000星數背書，在NPM頁面側欄混淆視聽，讓開發者在瀏覽與安裝時難以察覺異常。</p> <p>一旦安裝這些惡意套件，系統便會自動執行一段隱藏在函式庫初始化過程中的addBotId()非同步函式。該函式會在偵測到執行平臺為Linux時進行多項操作，包括寫入兩組預設的攻擊者SSH公鑰至~/.ssh/authorized_keys，形成無需密碼的遠端登入後門，即使其中一組金鑰遭到移除，攻擊者仍可透過備援金鑰重新取得存取權限。此外，惡意程式也會回傳系統使用者帳號名稱與外部IP至遠端伺服器，作為確認感染成功的指標。</p> <p>根據研究人員的分析，該後門程式碼共約40行，嵌入於正常函式庫的架構，具高度隱蔽性。開發者在匯入套件時，如果沒有進行程式碼審查或相依性檢測，就可能忽略隱藏的惡意邏輯。更嚴重的是，單純移除套件並不會清除被植入的SSH金鑰，系統仍存在風險。</p> <p>目前三個惡意套件的總下載量僅約300次，但由於其鎖定對象為開發者本機與伺服器環境，當遭滲透就可能成為進一步攻擊其他內部系統的跳板，風險大於一般用戶端感染事件。研究人員建議開發團隊落實相依套件來源的稽核流程，善用掃描工具等多層防護措施，在專案建置與套件匯入階段攔截可疑元件，將安全性檢查前移至開發初期階段，可以更好地確保軟體供應鏈完整性。</p> </div></div></div>
2025/4/23 08:34作者李建興https://www.ithome.com.tw/news/168546
中研院開源內部使用的AI語音轉錄平臺，可助企業打造AI語音轉錄服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中研院內部使用的AI逐字稿服務，近期中研院對外開源該服務使用的<a href="https://www.facebook.com/share/p/1EzNtoNmtp/">AI語音轉錄平臺程式碼</a>，開源專案TranscriptHub，該平臺採用MIT授權，可用於商用使用，讓企業或公務機關建置內部的AI轉錄服務，搭配Whisper模型，用於會議內容或研討會演講錄音內容，快速製作AI逐字稿。</p> <p>生成式AI在全球帶動風潮，中研院也在2023年開始嘗試生成式AI技術，其中為了解決會議內容或演講內容傳統人工整理逐字稿的痛點，中研院資訊服務處採用OpenAI的Whisper模型開發內部使用的AI逐字稿服務，在不斷改良下，AI逐字稿可以自動辨識中文、英語、法語、德語、西班牙語、義大利語、日語、荷蘭語等進行轉錄。</p> <p>中研院資訊服務處長陳伶志表示，資訊服務處最初在內部使用Whisper模型，沒有開放中研院的業務單位使用，只有專案方式與業務單位合作，儘管當時的Whisper模型辨識已有一定的準確度，但是辨識的準確度可能不符使用者的期待，公家單位對辨識結果要求更高，因此資訊服務處花費相當多的時間與使用者溝通，直到後來WhisperX問世，辨識的結果更快更準。</p> <p>資訊服務處在2024年陸續接受其他單位委託，業務單位提供錄音檔案，資訊服務處協助辨識，再將辨識結果提供給業務單位，隨著各個單位的AI辨識需求增加，資訊服務處工作量也增加，陳伶志決定讓AI辨識逐字稿走向服務化、自動化發展，來減輕資訊團隊的負擔。</p> <p>因此他們將其發展為AI服務平臺，並且和院內帳號系統連結，正好中研院近期積極推動FIDO，將AI逐字稿服務和FIDO身分驗證結合，以算力資源珍貴為由，員工如果想要使用AI逐字稿，就需要先用FIDO驗證身分，讓AI服務成為內部推動FIDO的誘因，今年2月進一步開放全院員工使用。</p> <p>陳伶志表示，最初以為AI逐字稿服務使用會以會議內容為主，但是有不少研究人員用於研討會或訪談內容，相關的需求漸漸開始增加。資訊服務處以Whisper模型為基礎，建置院內的AI逐字稿服務，目的是希望讓沒有IT能力的單位也能使用AI服務，避免他們使用外部的服務或軟體，造成資安控管的風險增加，「與其控管，不如提供服務讓其他單位來使用」。</p> <p>由於中研院資訊服務處開發AI逐字稿服務，吸引外界的興趣，中研院資訊服務處近期整理程式碼，近期在GitHub上開源AI語音轉錄平臺，專案名稱AS-AIGC/TranscriptHub。</p> <p>陳伶志表示，不少感興趣的單位為業務單位，但是基於資安考量，希望建置落地的AI逐字稿服務，因此向中研院資訊服務處表達興趣，因此資訊服務處開源AI逐字稿，讓外部單位也能夠自行建置落地的AI逐字稿服務，或是委托外部的資訊服務廠商協助建置，同時也能透過開放讓外界使用，蒐集各方的意見，不斷優化、增加新功能。（下圖來源：陳伶志提供）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%96-600(16).jpg" style="width: 600px; height: 333px;" /></p> <p>中研院內部測試使用期間，除了行政單位的會議紀錄需求，還有老師、研究人員的研討會、訪談內容，有的錄音時間2到4個小時，曾佔用大量的算力資源，影響其他專案使用資源的權益，為避免資源被過度佔用，中研院目前將AI逐字稿的錄音檔大小限制在200MB，轉檔資料保留1個月。</p> <p>陳伶志自己測試AI逐字稿，以2小時的會議錄音檔為例，如果為WAV格式，檔案大小約為1GB左右，轉為MP3後，檔案大小才低於200MB，使用者如果有更長的錄音檔轉檔需求，就需要切割檔案後再轉檔。他認為目前AI逐字稿辨識整體而言準確率表現不錯，但是對於專有名詞或人名、地名可能出現錯誤辨識，此外，同時間多人一起講話會難以辨識，或是講話的語氣突然變小聲，可能造成錯誤辨識，建議使用者利用轉錄後的SRT檔，根據錄音的時間序重新調整辨識的內容。中研院的AI逐字稿可針對錄音檔內不同講者辨識Speaker，再手動修改Speaker名稱。</p> <p><span style="color:#B22222;"><strong>中研院內部部署方式</strong></span></p> <p>中研院開發部署AI逐字稿，最初使用RTX4090顯卡作為算力資源，後來增加至2片4090，但是AI逐字稿仍要與其他專案競爭算力資源，去年底中研院再採購2片H100，才將模型推論、RAG移到H100上執行，讓2片RTX4090作為AI逐字稿的專用算力資源。</p> <p>中研院部署AI服務，也同時兼顧管理的方便及資安風險。</p> <p>陳伶志表示，AI逐字稿服務的目的是讓行政單位使用的較低規格的電腦也能使用AI辨識逐字稿，因此採用Web的服務模式，讓其他單位也能容易使用，原本的2片RTX4090增加採購2片H100之後，將Web服務和內部算力資源切開，將Ollama的運算集中到H100的算力資源，RTX 4090則作AI逐字稿服務的專用資源，切割的目的也考量到資安風險問題，Web服務容易被攻陷，一方面減少上面開啟的Port服務，前端機器減少運算需求，前端機器只以存取控管、登入UI為主，使用者上傳的音檔在轉檔完成後即刪除，轉檔後的逐字稿檔案則保留一個月。</p> <p>在RTX 4090、H100之後，中研院今年準備再建置更新的算力資源，規畫採購L40S GPU，專門用於處理院內的API服務，未來隨著效能更高的新算力資源建置，陳伶志表示，未來AI逐字稿會持續跟進Whisper更新，隨著新的算力資源加入，也不排除從RTX4090轉移到H100資源。</p> </div></div></div>
2025/4/22 19:04作者蘇文彬https://www.ithome.com.tw/news/168547
謊稱美國政府效率部，勒索軟體Fog打著政府機構的名號犯案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近兩到三年，不斷有新的勒索軟體出現，這些駭客通常都在短短幾個月攻擊大量受害組織，從而得到資安圈的關注，但如今有新興的駭客團體打著美國政府團隊的名號，吸引研究人員的目光。</p> <p>趨勢科技近期發現<a href="https://www.trendmicro.com/en_us/research/25/d/fog-ransomware-concealed-within-binary-loaders-linking-themselve.html">勒索軟體Fog最新一波攻擊行動</a>，他們一共在惡意軟體分析平臺VirusTotal看到9個惡意酬載，這些檔案上傳的時間介於3月27日至4月2日，一旦執行，受害電腦的檔案就會被加密，並將副檔名竄改成.flocked，然後留下勒索訊息。特別的是，研究人員發現駭客在勒索訊息當中，自稱是美國的政府效率部（Department of Government Efficiency，DOGE），由於3月底DOGE才有成員被起底<a href="https://www.reuters.com/world/us/doge-staffer-big-balls-provided-tech-support-cybercrime-ring-records-show-2025-03-26/">疑似曾協助網路罪犯竊取資料</a>，這樣的情況引起他們注意。</p> <p>針對攻擊行動發生的過程，趨勢科技指出駭客透過釣魚郵件接觸受害組織，信件挾帶聲稱是與調整薪資有關的LNK附件，一旦收信人開啟，電腦就會下載PowerShell指令碼stage1.ps1並執行，啟動多階段的攻擊流程，接收勒索軟體載入工具及其他的PowerShell指令碼。附帶一提的是，stage1.ps1還會在受害電腦開啟與政治有關的YouTube影片，但為何攻擊者這麼做，研究人員沒有說明。</p> <p>在攻擊過程裡，駭客利用Ktool.exe提升權限，並搭配存在弱點的Intel網路卡診斷驅動程式iQVW64.sys來達到目的。</p> <p>最終駭客在執行勒索軟體之前，藉由檢查受害電腦的系統配置，例如：處理器數量、記憶體、MAC位址、系統登錄檔等資訊，來判斷是否在沙箱環境，排除後才會加密電腦檔案並留下勒索訊息。</p> </div></div></div>
2025/4/22 15:17作者周峻佑https://www.ithome.com.tw/news/168543
中壢長慎醫院傳出遭駭客組織NightSpire攻擊，駭客聲稱竊得800 GB資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年2月、3月，<a href="https://www.ithome.com.tw/tags/crazyhunter">勒索軟體駭客組織CrazyHunter</a>傳出對<a href="https://www.ithome.com.tw/news/167327">馬偕</a>、<a href="https://www.ithome.com.tw/news/167671">彰基</a>發動攻擊，衛生福利部不排除駭客將系統性對全臺中大型醫院下手，如今傳出也有其他駭客加入攻擊醫院的行列。</p> <p>根據民視新聞網<a href="https://www.ftvnews.com.tw/news/detail/2025420W0228">4月20日的報導</a>，位於桃園中壢的老年專科醫院長慎醫院，於4月13日遭到駭客組織NightSpire攻擊，導致網路掛號、初診、醫師開處方箋等業務停擺。長慎醫院也在網站發出公告，表示電腦系統異常，他們暫停掛號並改為現場叫號，醫師手寫處方因應。</p> <p>民視新聞網取得資深資安顧問鴻創資訊總經理陳建銘的說法，指出駭客癱瘓該院的掛號及看診系統，並竊得800 GB資料。</p> <p>究竟長慎醫院部分營運停擺是否為遭到攻擊所致？根據<a href="https://www.cna.com.tw/news/ahel/202504210223.aspx">中央社</a>、<a href="https://udn.com/news/story/7320/8687940">聯合新聞網</a>、<a href="https://tw.nextapple.com/life/20250421/AE49726919D4C2CDC2063ECABB39C97B">壹蘋新聞網</a>等多家媒體報導，隔天（21日）衛生福利部資訊處長李建璋接受媒體採訪證實此事，表示他們接獲長慎醫院通報，將進一步了解整體情況，依照相關應變流程處理。</p> <p>桃園市政府衛生局向中央社透露整起事故的處理流程，14日長慎醫院透過電話通知此事，他們立即引導依據衛福部制訂的<a href="https://www.mohw.gov.tw/cp-18-81758-1.html">《醫院面對勒索軟體攻擊的應變指南》</a>進行後續處理，執行相關通報作業並中斷院內外網路，長慎醫院當天完成通報並委託資訊系統廠商掃描所有主機，並於15日至警局報案。</p> <p>中壢分局也證實院方到普仁派出所報案，並指出長慎醫院收到駭客寄送勒索信的情況，由於駭客聲稱是國際駭客，他們不排除是境外組織所為。</p> <p>而對於駭客竊得的資料，聯合新聞網、壹蘋新聞網提及，恐有逾8萬人病歷外流。</p> <p>今天資安業者竣盟科技也揭露<a href="https://blog.billows.com.tw/?p=3670">他們的調查結果</a>，駭客聲稱握有13萬張含有病徵及個資的醫療影像、10萬份電子病歷文件，以及數百萬筆實驗室、X光、CT、MRI的記錄。而對於駭客入侵的手法，竣盟科技認為很有可能透過釣魚郵件、社交工程，也不排除是利用尚未修補的已知漏洞得逞。</p> <p>4月21日長慎醫院在網站上<a href="https://www.chansn.com.tw/news-detail.php?id=91">發出新的公告</a>，表示他們在14日察覺資訊系統異常，經初步調查確認遭受駭客攻擊，經過多天的處理，已逐步恢復正常。但這起事故是否為勒索軟體攻擊？長慎醫院並未說明。</p> </div></div></div>
2025/4/22 16:38作者周峻佑https://www.ithome.com.tw/news/168544
【資安日報】4月22日，中壢長慎醫院遭駭客組織NightSpire攻擊，部分業務受到衝擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼勒索軟體駭客組織CrazyHunter攻擊馬偕和彰基，有駭客組織也加入行列，對臺灣中大型醫院發動攻擊，而引起全臺高度關注。</p> <p>根據國內多家媒體報導，駭客組織NightSpire攻擊中壢長慎醫院，並聲稱竊得大量病歷資料，由於長慎醫院是老年專科醫院，專門照顧洗腎、糖尿病等慢性病患者，一旦資料外流，不光是病人隱私曝光，還有可能影響連續就醫的記錄，干擾醫生的診斷。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168544"><strong style="font-size: 22px;">中壢長慎醫院傳出遭駭客組織NightSpire攻擊，駭客聲稱竊得800 GB資料</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/NightSpire-image-7.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/NightSpire-image-7.png" style="width: 300px; float: right;" /></a></p> <p>今年2月、3月，勒索軟體駭客組織CrazyHunter傳出對馬偕、彰基發動攻擊，衛生福利部不排除駭客將系統性對全臺中大型醫院下手，如今傳出也有其他駭客加入攻擊醫院的行列。</p> <p>根據民視新聞網4月20日的報導，位於桃園中壢的老年專科醫院長慎醫院，於4月13日遭到駭客組織NightSpire攻擊，導致網路掛號、初診、醫師開處方箋等業務停擺。長慎醫院也在網站發出公告，表示電腦系統異常，他們暫停掛號並改為現場叫號，醫師手寫處方因應。後續21日中央社、聯合新聞網、壹蘋新聞網等多家媒體報導，衛生福利部資訊處長李建璋接受媒體採訪證實此事。</p> <p>今天資安業者竣盟科技也揭露他們的調查結果，駭客聲稱握有13萬張含有病徵及個資的醫療影像、10萬份電子病歷文件，以及數百萬筆實驗室、X光、CT、MRI的記錄。而對於駭客入侵的手法，竣盟科技認為很有可能透過釣魚郵件、社交工程，也不排除是利用尚未修補的已知漏洞得逞。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=225229&SPOKE_DATE=20250420&COMPANY_ID=6187"><strong style="font-size: 22px;">萬潤科技部分資訊系統遭受病毒攻擊</strong></a></p> <p></p> <p>專門研發半導體製程設備、被動元件製程設備、LED製程設備的萬潤科技，於4月20日在股市公開觀測站發布資安重訊，表示有資訊系統遭受網路攻擊的情況，且病毒入侵部分主機與電腦。但對於駭客使用的病毒為何，該公司並未透露。</p> <p>針對這起事故可能帶來的影響，萬潤表示根據初步評估，對於公司營運無重大影響，沒有個資、機密或重要文件外流的跡象。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/supercard-x-android-malware-use-stolen-cards-in-nfc-relay-attacks/">安卓惡意軟體SuperCard X透過NFC中繼攻擊竊取信用卡資料</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.security.com/threat-intelligence/billbug-china-espionage">中國駭客鎖定東南亞而來，透過防毒軟體元件載入作案工具</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://therecord.media/japan-warns-of-unauthorized-trades-hacked-accounts">日本警告挾持證券帳號攻擊升溫，駭客網路下單中國股票並洗劫數億美元資產</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/scallywag-ad-fraud-operation-generated-14-billion-ad-requests-per-day/">WordPress廣告詐欺外掛一天產生14億請求</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168537"><strong style="font-size: 22px;">深度學習框架PyTorch存在重大漏洞，恐被用於RCE攻擊</strong></a></p> <p>研究人員Ji'an Zhou在深度學習框架PyTorch發現重大層級的漏洞CVE-2025-32434，指出該框架在使用名為torch.load的功能，並搭配weights_only=True的功能參數載入模型的過程裡，他能夠突破安全防護機制並遠端執行任意程式碼（RCE），4.0版CVSS風險達到9.3分（滿分10分），相當危險。這項弱點影響去年10月發布的2.5.1版，PyTorch於今年1月推出的2.6.0版予以修補。</p> <p>如前所述，CVE-2025-32434的問題，在於特定功能的使用方式可能產生資安風險。Ji'an Zhou指出，照理來說，torch.load是底層資料載入工具，而weights_only=True是高階模型載入API的配置，通常不會一起使用，PyTorch的正式文件卻提及，開發者應同時使用兩者來降低相關資安風險，然而，這麼做，反而產生問題。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2025-21204-system-level-privilege-escalation-in-windows-update-stack-exposed-poc-released/">針對微軟4月例行更新修補的權限提升漏洞CVE-2025-21204，研究人員公布細節</a></strong></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168534"><strong style="font-size: 22px;">Microsoft 365將預設關閉ActiveX</strong></a></p> <p>微軟4月中旬公告，基於安全考量，微軟將預設關閉Microsoft 365及Office 2024中的ActiveX。去年9月微軟決定預設關閉Office及M365應用程式中的ActiveX，但是還要用戶主動選擇。那時用戶需在「信任中心設定」頁中的ActiveX設定選項，選擇「以最小限制關閉所有控制項前提示我」。但微軟說，這設定可能讓攻擊者利用社交工程或惡意檔案濫用，而為惡意活動開了大門。新的預設設定可完全封鎖控制、降低惡意程式碼執行的風險。因此，用戶如果開啟包含ActiveX控制項的檔案，M365應用程式的上方就會顯示：「封鎖內容：本檔案內的ActiveX內容已經封鎖。」</p> <p>不過，只有在之前從未手動設定ActiveX設定的用戶會收到這通知。關閉ActiveX物件後，用戶就無法再和M365 ActiveX物件互動或新增物件。現有檔案的ActiveX物件則會呈現靜態圖像，但無法再使用。</p> <p><a href="https://www.ithome.com.tw/news/168481"><strong style="font-size: 22px;">後量子資安產業聯盟成立屆滿一年，數產署頒布專為臺灣設計的PQC遷移指引</strong></a></p> <p>去年臺灣資安大會上，數位發展部數位產業署宣布成立「後量子資安產業聯盟」（PQC-CIA），目標是凝聚我國產官學研能量，確保臺灣具有後量子密碼準備（PQC Ready）的能力，同時加速後量子資安產業的發展，如今一年過去，該聯盟揭露最新成果。</p> <p>在2025 CYBERSEC臺灣資安大會第二天（4月16日），數產署與PQC-CIA聯盟在臺灣資安館展區宣布，正式發表我國首版《後量子密碼遷移指引》1.0版，目的是幫助對於PQC遷移毫無頭緒的臺灣企業組織，能有一套可依循的具體工作項目來展開行動。</p> <p>對於我國後量子產業發展，數位發展部數位產業署署長林俊秀指出，臺灣已經關注PQC議題多年，從學界到產業，現在國內已經有7家業者，投入後量子密碼實測，已有初期成果展現，並需要更多產業投入。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/168530"><strong>【4月21日】微軟3月修補的NTLM漏洞出現超過10起實際濫用的攻擊行動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168486"><strong>【4月18日】趨勢科技公布勒索軟體駭客CrazyHunter攻擊手法</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168466"><strong>【4月17日】CVE專案長年靠美國政府資金運作議題浮上檯面</strong></a></p> </div></div></div>
2025/4/22 17:11作者周峻佑https://www.ithome.com.tw/news/168545
深度學習框架PyTorch存在重大漏洞，恐被用於RCE攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>研究人員Ji'an Zhou在深度學習框架PyTorch發現重大層級的漏洞CVE-2025-32434，指出該框架在使用名為torch.load的功能，並搭配weights_only=True的功能參數載入模型的過程裡，他能夠突破安全防護機制並遠端執行任意程式碼（RCE），<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-32434">4.0版CVSS風險達到9.3分</a>（滿分10分），相當危險。這項弱點影響去年10月發布的2.5.1版，PyTorch於<a href="https://github.com/pytorch/pytorch/releases/tag/v2.6.0">今年1月推出的2.6.0版</a>予以修補。</p> <p>由於PyTorch廣泛受到產業及學術界採用，是主流的深度學習框架，不僅是深度學習技術標準化的重要推手，也是OpenAI、Meta等公司採用、作為生成式AI的主要開發平臺，一旦出現資安漏洞，將會帶來相當廣泛且深遠的影響。</p> <p>如前所述，CVE-2025-32434的問題，在於特定功能的使用方式可能產生資安風險。Ji'an Zhou指出，照理來說，torch.load是底層資料載入工具，而weights_only=True是高階模型載入API的配置，通常不會一起使用，PyTorch的正式文件卻提及，開發者應同時使用兩者來降低相關資安風險，然而，這麼做，反而產生問題。</p> <p>針對這項弱點發生的原因，Ji'an Zhou未說明細節，資安業者卡巴斯基<a href="http://www.kaspersky.com/blog/vulnerability-in-pytorch-framework/53311/">進一步解析並提出解決的方式</a>。他們指出，該漏洞起因是PyTorch載入模型的過程裡，反序列化不正確造成，建議開發人員儘速升級為新版PyTorch，而對於無法即時套用更新的用戶，最好不要同時使用torch.load和weights_only=True載入模型，以降低曝險。</p> <p>資安業者Cyble旗下的新聞網站The Cyber Express，<a href="https://thecyberexpress.com/pytorch-vulnerability-cve-2025-32434/">也對開發人員提出緩解上述弱點的建議</a>：除了應將PyTorch升級至2.6.0版，也要稽核從公開儲存庫取得的第三方AI模型，同時，最好追蹤GitHub上的資安公告，以便掌握此漏洞的最新資訊。</p> </div></div></div>
2025/4/22 12:08作者周峻佑https://www.ithome.com.tw/news/168537
Meta將利用AI來辨識那些偽裝成人的青少年帳戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://about.fb.com/news/2025/04/meta-parents-new-technology-enroll-teens-teen-accounts/" target="_blank">Meta周一（4/21）宣布</a>，將於美國測試新的AI技術，以辨識那些偽裝成成人的青少年帳戶，並將它們改為青少年的帳戶設定。</p> <p>Meta所定義的青少年是13到17歲的使用者，由青少年所建立的帳戶預設值為私密的，僅允許已接受的追蹤者查看內容；青少年只能接收來自他們已追蹤或已建立連結者的私訊，以預防陌生人的騷擾；系統會自動將青少年帳戶設定為最嚴格的內容過濾模式，限制暴力或整形手術等內容；僅允許被追蹤者標註或提及青少年帳戶；當使用時間超過60分鐘時，系統會發出提醒，晚上10點至早上7點自動啟用睡眠模式，通知改為靜音；16歲以下用戶需獲得家長同意才能進行直播；16歲以下的青少年必須取得父母或監護人的同意，才能更改上述限制。</p> <p>儘管青少年帳戶具備家長監控功能，允許家長查看小孩的部分帳戶活動，例如追蹤或被追蹤的對象，但不包含訊息內容；以及讓家長設定使用時間等限制，或是提醒青少年該休息了等等。但家長監控功能必須要青少年同意才會啟用。</p> <p>Meta從去年開始推廣青少年帳戶，首先是去年9月於Instagram平臺上部署，去年底延伸至Facebook，今年4月再擴及Messenger，但目前相關帳戶僅部署於美國、英國、加拿大及澳洲等市場，預計今年將擴大至全球市場。根據Meta的統計，從去年9月迄今，全球已有5,400個青少年帳戶，在13~15歲的青少年中，有97%持續使用Meta對青少年的保護措施。</p> <p>Meta表示，有超過9成的受訪家長認為新的青少年帳戶保護措施，有助於他們在Instagram上支持家中的青少年。</p> <p>不論如何，總是會有青少年想要繞過平臺或家長的限制，而謊報年齡以建立成人帳戶，過去Meta便已透過AI來辨識這些偽成人，只是多有錯置，也教育家長如何與青少年溝通，讓他們如實建立青少年帳戶，因為了解年齡最有效的方法是獲得家長批准並驗證年齡。不過，有鑑於不少家長很忙，再加上AI愈來愈進步，Meta將開始於美國測試新的AI技術，專門查找那些即使列出成人生日，但懷疑屬於青少年的帳戶，並將這些帳戶改為青少年設定。</p> </div></div></div>
2025/4/22 12:23作者陳曉莉https://www.ithome.com.tw/news/168539
Erlang/OTP SSH函式庫爆出滿分等級漏洞，攻擊者可未經驗證執行程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由德國波鴻魯爾大學研究人員揭露的<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-32433">CVE-2025-32433</a>，是Erlang/OTP SSH函式庫的一項重大安全漏洞，CVSS v3評分達10.0分，屬最嚴重等級的遠端程式碼執行漏洞。該漏洞來自SSH協定訊息處理邏輯缺陷，允許未經驗證的用戶透過精心設計的協定封包，在尚未完成身分驗證的階段，繞過安全機制直接執行指令，進而全面控制或癱瘓目標系統。</p> <p>根據<a href="https://github.com/erlang/otp/security/advisories/GHSA-37cp-fgq5-7wc2">Erlang官方於GitHub公告的資安通報</a>，受影響版本涵蓋OTP-25、OTP-26與OTP-27分支的多個次要版本，當系統或應用層採用Erlang/OTP提供的SSH伺服器模組，極可能處於高風險環境。官方已針對各分支釋出修補版本，分別為OTP-25.3.2.20、OTP-26.2.5.11與OTP-27.3.3，建議用戶盡快升級，並在未能立即修補的情況下，考慮先行停用SSH服務或透過防火牆限制外部存取。</p> <p>此漏洞主要涉及伺服器在處理未經驗證用戶所送出的SSH協定訊息，缺乏應有的封鎖行為。根據<a href="https://github.com/erlang/otp/compare/OTP-27.3.2...OTP-27.3.3">程式碼修補內容</a>，後續版本已加入RFC 4252所規範的驗證前封包處理邏輯，當伺服器接收到不應出現的訊息時，會主動中斷連線並記錄異常訊息。這項修正從根本上防止未經授權的封包被處理並進入後續執行流程。</p> <p>引起關注的另一層面，則是有研究人員實驗性地使用GPT-4等人工智慧模型，在尚無公開攻擊程式的情況下，透過閱讀通報內容與比對修補差異，<a href="https://github.com/ProDefense/CVE-2025-32433/blob/main/README.md">自動生成概念驗證攻擊碼</a>，並成功於本機測試環境觸發漏洞。這代表人工智慧工具雖已具備協助完成漏洞分析、行為比對與初步攻擊模擬的能力，但在提升資安研究效率提升的同時，也加快漏洞武器化的速度。</p> <p>Erlang/OTP廣泛用於即時通訊、分散式系統與高並行應用場景。對於具有SSH遠端管理功能的環境，該漏洞的潛在影響重大，建議開發者檢視服務架構中採用的Erlang/OTP SSH模組，並依照官方建議進行修補與風險控管。</p> <p>目前此漏洞仍處於NVD補充分析階段，尚未公布完整的CWE分類與攻擊細節，但已有數個第三方單位陸續針對其可能危害發表觀察與攻防測試紀錄。</p> </div></div></div>
2025/4/22 12:39作者李建興https://www.ithome.com.tw/news/168538
Microsoft 365將預設關閉ActiveX
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcommunity.microsoft.com/blog/microsoft365insiderblog/activex-disabled-by-default-in-microsoft-365/4403157" target="_blank">微軟4月中旬公告</a>，基於安全考量，<a href="https://support.microsoft.com/en-us/office/activex-controls-are-disabled-by-default-in-microsoft-365-and-office-2024-9cae60f8-478c-42c6-978c-eca072525d64?preview=true" target="_blank">微軟將預設關閉Microsoft 365及Office 2024中的ActiveX</a>。</p> <p>ActiveX是很強大的工具，ActiveX控制項可讓使用者與web應用程式互動，同時，Web應用程式亦可藉由ActiveX控制項存取電腦。<a href="https://techcommunity.microsoft.com/blog/microsoft365insiderblog/activex-disabled-by-default-in-microsoft-365/4403157" target="_blank">微軟說</a>，ActiveX為Microsoft 365（M365）創造豐富互動，但是它可存取系統深度資源，也帶來安全風險。從4月開始，Windows版Word、Excel、PowerPoint及Visio將預設關閉ActiveX控制項。它不會再通知用戶，而是已經關閉所有控制項。</p> <p>由於微軟產品屢次<a href="https://www.ithome.com.tw/news/56000" target="_blank">發現存在ActiveX漏洞</a>。微軟Edge瀏覽器早在2015年就<a href="https://www.ithome.com.tw/news/95781" target="_blank">不再支援ActiveX</a>。</p> <p>去年9月微軟決定預設關閉Office/M365應用程式中的ActiveX，但是還要用戶主動選擇。那時用戶需在「信任中心設定」頁中的ActiveX 設定項，選擇「以最小限制關閉所有控制項前提示我」選項。但微軟說，這設定可能讓攻擊者利用社交工程或惡意檔案濫用，而為惡意活動開了大門。新的預設設定可完全封鎖控制、降低惡意程式碼執行的風險。因此用戶如果開啟包含ActiveX控制項的檔案，M365應用程式的上方就會顯示：「封鎖內容：本檔案內的ActiveX內容已經封鎖。」</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0422-ActiveX%20disabled%20by%20default%20in%20Microsoft%20365.png" style="width: 600px;" /></p> <p>只有在之前從未手動設定ActiveX設定的用戶會收到這通知。關閉ActiveX物件後，用戶就無法再和M365 ActiveX物件互動或新增物件。現有檔案的ActiveX物件則會呈現靜態圖像，但無法再使用。</p> <p>用戶若有把握檔案是安全的，還是可啟用ActiveX控制項。方法是選擇上方功能列的「檔案」>「選項」「信任中心」>「信任中心設定」>「ActiveX設定」，勾選「以最小限制啟用所有控制項前提示我（Prompt me before enabling all controls with minimal restrictions）」，再按下「OK」。</p> <p>不過要注意的是，啟用ActiveX後，會適用所有Office/M365應用程式，而非只適用於單一檔案。</p> <p>企業用戶可能會發現ActiveX設定是灰色無法使用狀態，這表示管理員已統一設定了ActiveX政策。</p> </div></div></div>
2025/4/22 11:15作者林妍溱https://www.ithome.com.tw/news/168534
法院開庭討論Google如何補救搜尋壟斷，結果將於夏季出爐
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國法官Amit Mehta本周一（4/21）開始主持一場預計持續數周的聽證會，以討論在判決Google的搜尋引擎違反壟斷法令之後，該公司將採取哪些補救措施，而美國司法部（DOJ）以一貫的態度認為，法官應該要求Google剝離旗下的Chrome瀏覽器。此一聽證會的結果可望於今年夏天出爐，而Google已經決定要就搜尋引擎違反托拉斯法一案提出上訴。</p> <p>此案是由美國司法部所提出，<a href="https://www.ithome.com.tw/news/164309" target="_blank">法院於去年8月判決</a>Google利用不當手段維持搜尋引擎的壟斷地位；司法部也控告Google的數位廣告技術違反壟斷法令，<a href="https://www.ithome.com.tw/news/168477" target="_blank">法院則在今年4月認定</a>Google供出版商銷售廣告的DoubleClick For Publishers（DFP），以及用來媒合出版商及廣告主的廣告交換平臺Google Ad Exchange（AdX）違法。</p> <p>對於Google搜尋的壟斷，美國司法部早<a href="https://storage.courtlistener.com/recap/gov.uscourts.dcd.223205/gov.uscourts.dcd.223205.1062.0.pdf" target="_blank">在去年11月</a>就遞交法院文件<a href="https://www.ithome.com.tw/news/166148" target="_blank">以提出建議</a>，包括禁止Google與第三方簽訂排他性合約，以避免排擠競爭對手；還要求Google剝離對Chrome的控制權，以及必要時亦應考慮剝離Android，以促進公平競爭。</p> <p>雖然違反壟斷法的是搜尋引擎，但司法部認為Google利用擁有主導地位的Chrome瀏覽器來優先推廣Google搜尋，同樣的，在行動平臺上具主導地位的Android也內建了Google搜尋，這些用來分發搜尋服務的平臺都是造成搜尋壟斷的關鍵角色。</p> <p>此外，司法部亦要求Google以邊際成本向競爭對手供應搜尋索引及用戶資料，以促進競爭；提高廣告效果的透明度，改善廣告商的控制權；以及禁止Google在新裝置上預裝自家的搜尋引擎，並應提供選擇視窗，以讓用戶選擇其它搜尋引擎；以及設立技術委員會來監督Google的遵循情況。</p> <p>由於本周司法部及Google就要在法庭上展開攻防，負責Google法規事務的副總裁Lee-Anne Mulholland前一天就公開<a href="https://blog.google/outreach-initiatives/public-policy/doj-search-remedies-apr-2025/" target="_blank">說明了Google的立場</a>，闡明Google已經決定要對此案提出上訴，但在此之前，法院必須先決定有哪些補救措施。</p> <p>對於美國司法部的提議，Mulholland認為，人們使用Google是因為他們想用Google，而非被迫，當司法部逼迫瀏覽器或手機將預設值改為諸如Bing等其它搜尋服務時，人們將更不容易存取Google。</p> <p>此外，司法部認為Google搜尋的散布方式會提高價格並減緩創新，但裝置製造商或Firefox等瀏覽器業者其實仰賴從搜尋中所獲得的收入，取消相關收入將會增加手機成本，並妨礙使用者每天使用的瀏覽器。Mulholland也批評司法部的建議將迫使Google與名不見經傳的公司分享敏感的搜尋查詢，危及使用者的隱私。</p> <p>對於拆分Google耗費大量心力且免費提供的Chrome及Android，則可能會破壞這兩個平臺，同時傷害建立在這些平臺上的企業，Mulholland指出，若將Chrome與Android自Google的技術、安全及基礎設施剝離，不僅會帶來網路安全與國家安全風險，還會提高裝置成本。</p> <p>因此，<a href="https://blog.google/outreach-initiatives/public-policy/google-remedies-proposal-dec-2024/" target="_blank">Google提出了自家的建議</a>，認為應該讓瀏覽器業者自由選擇最適合的任何搜尋引擎，或是輪替所預設的搜尋引擎，而不應採用極端的補救措施。</p> </div></div></div>
2025/4/22 11:25作者陳曉莉https://www.ithome.com.tw/news/168536
微軟系統出包誤將部分Entra帳號鎖定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟坦承，由於內部Log系統錯誤，導致上周部分企業用戶的Entra帳號遭到鎖定無法存取。</p> <p>上周多家組織反映在登入Entra帳號時，接獲系統端發出帳號密碼疑似外洩的訊息，為了確保用戶帳號安全而自動將Entra帳號鎖定。用戶一度認定元兇是新上線的安全功能MACE憑證註銷（MACE Credential Revocation）。<a href="https://www.reddit.com/r/sysadmin/comments/1k2pmkz/comment/mo33q3f/?rdt=53535" target="_blank">不過微軟管理員周末對影響用戶說明</a>，原因是內部Log系統擺烏龍。</p> <p>用戶登入Entra時，微軟管理系統標準程序應該只記錄用戶token的metadata，像是發行時間或用戶ID等，但在4月18日卻將部分用戶的短效更新令牌（refresh token）本體記錄下來。更新令牌是一種憑證，用於獲取新的存取令牌（access tokens），而無需用戶重新進行身分驗證，可提升用戶體驗。</p> <p>這次Log系統出包，微軟團隊很快就發現並修正問題。為了保護用戶於是主動讓這些令牌失效，可是失效程序意外觸發Entra ID Protection的警示訊息，發送給用戶，同時將其帳號鎖定。這批警示是在臺北時間4月20日中午12:00到下午5:00左右發出。</p> <p>微軟說這些令牌沒有遭到未授權存取的跡象。此外，若微軟發現真的有未經授權存取令牌，也會啟動標準安全事件回應和通報流程。</p> <p>微軟提醒受影響的管理員，可以在某些使用者被Entra標註為高風險時，利用「Confirm User Safe」的管理員功能解除警報。</p> </div></div></div>
2025/4/22 09:58作者林妍溱https://www.ithome.com.tw/news/168533
GitLab 17.11擴充AI功能並強化法遵框架與控制項支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://about.gitlab.com/releases/2025/04/17/gitlab-17-11-released">GitLab釋出17.11版本</a>，正式推出自訂法規遵循框架與全新法規要求設定機制，讓開發與資安團隊可依據組織所需遵守的標準與法規，精細定義稽核項目與對應控制項，強化內部法遵治理與審查透明度。</p> <p>同時，此版本擴充開箱即用的法遵控制數量，從原本5項提升至超過50項，可自動檢查專案設定、合併請求規則與安全機制，支援SOC2、NIST、ISO 27001與GitLab CIS Benchmark等常見標準，並可於標準遵循報告中呈現與要求間的對應關係。此外，也可對應組織內部或GitLab平臺外部的控制項，統一於GitLab法遵中心呈現，用作法遵證據與稽核依據。</p> <p>GitLab 17.11也同步宣布GitLab Duo with Amazon Q進入正式發布階段，該功能向Ultimate版本的自託管部署使用者開放，透過整合Amazon Q人工智慧代理，可直接於開發流程中執行如程式碼生成、Java版本升級、自動化審查與單元測試生成等操作。使用者僅需透過Issue或Merge Request操作介面輸入/q dev、/q review、/q transform或/q test等指令，即可觸發人工智慧輔助任務，無須切換工具或額外撰寫腳本，減少重複性工作。</p> <p>除人工智慧功能與法遵強化外，本次更新也擴充工作項目Issue、Epic與Task的自訂欄位支援，開發者可於群組層級建立文字、數值、單選與多選欄位，並套用至所屬專案，以更具結構化的方式記錄業務需求與任務屬性。CI/CD部分則新增工作管線輸入機制，取代過去風險較高的工作管線變數，提供更安全且易於控管的參數注入方法，並支援排程、下游與觸發式流程情境。</p> </div></div></div>
2025/4/22 08:12作者李建興https://www.ithome.com.tw/news/168518
瞄準全球企業市場，中信銀上架首支供應鏈金融解決方案至全球SAP Store
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近日，中國信託銀行和SAP、臺灣IBM公布全新的供應鏈金融解決方案「提早付款專案」。這套專案，是臺灣金融業中，第一支上架至全球SAP Store的服務，能串接至企業端的雲端SAP ERP系統，協助企業提升營運資金效率，優化供應鏈資金調度。同時，這也是中信銀第一支B2B的SaaS服務。</p> <p>過去企業與供應商之間的結算付款模式，企業開立紙本的付款憑證，郵寄至銀行，銀行確認金額無誤後再撥款給供應商，但這樣高度依賴紙本作業的流程，不僅繁瑣也相當耗時，光是國內郵寄，就需要兩至三天。若企業位於海外，郵寄憑證時間更可能超過一週。冗長的處理時間，拉長了供應商取得貨款的時間。</p> <p>後來開始有銀行提供金融供應鏈解決方案，透過數位化方式取代紙本的付款憑證，來縮短企業付款給供應商的作業時間。像中信銀在2023年就推出銀企直連服務，提供一套與企業ERP整合的軟體介面，讓企業自家ERP可以串接到銀行的系統來拋轉資料，來加快撥款的作業，可支援不同廠牌的ERP，像是SAP ERP，甲骨文 ERP或鼎新ERP的介接。</p> <p>但是，這樣的銀企直連服務，企業得自行客製內部ERP來整合中信銀提供的API，這段開發工作並不輕鬆，企業IT部門有時需要花費數月時間。</p> <p>中信銀上架全球SAP Store的提早付款專案模組，類似銀企直連的做法，同樣提供了一套軟體外掛，讓企業ERP透過API傳送匯款帳務資訊到銀行，審核同意後，自動撥款給供應商，省下既有流程中的紙本作業。另外，這些立賬付款資訊也能與企業ERP同步更新，減少錯帳。不過，這項外掛只支援採用雲端版SAP ERP的企業。去年底在SAP Store上架推出，目前已有跨國機電製造商、大型醫材通路商、電子組件通路商採用。</p> <p>中信銀最高資訊主管賈景光表示，這次發布的專案，是延續中信銀法金業務的場景金融策略，協助客戶解決發生在自家場景的痛點，「我們把拼圖拼得更完整，讓不同企業更容易拿到我們的金融服務，更安全解決企業痛點。」</p> <p>對中信銀而言，新的提前付款專案，能讓升級到雲端SAP ERP的企業更快速導入自家服務，有助於吸引更多企業客戶，提高企業金融業績。另一方面，透過將服務上架至SAP Store，中信銀不只可以接觸到全球採用SAP ERP的企業，同時也建立了一套將自家金融服務外掛上架上架至SAP Store的流程，未來也能上架更多金融服務。</p> <p>中信銀看好企業數位轉型浪潮，以及不少大型企業紛紛將自家ERP上雲的趨勢，積極步局雲端供應鏈金融解決方案，中信銀也是少數將ERP系統上雲的金融業者。</p> <p></p> </div></div></div>
2025/4/21 12:52作者李昀璇https://www.ithome.com.tw/news/168504
【資安日報】4月21日，微軟3月修補的NTLM漏洞出現超過10起實際濫用的攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟每個月例行更新（Patch Tuesday）修補的資安漏洞，少則40、50個，多的時候往往會超過100個，也因此大家通常會優先注意已遭到利用的零時差漏洞，以及危險程度較高的弱點，但被認定較不可能被利用的漏洞，若不處理，有可能成為駭客攻擊的目標。</p> <p>最近資安業者Check Point公布針對NTLM雜湊值洩露漏洞CVE-2025-24054的攻擊行動，就是這種例子，他們在一週內看到超過10起攻擊。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168503"><strong style="font-size: 22px;">微軟3月修補的NTLM漏洞危機升溫，至少出現10起實際濫用的攻擊行動</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/img_cmp2_eml.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/img_cmp2_eml.png" style="width: 300px; float: right;" /></a></p> <p>今年3月微軟在例行更新（Patch Tuesday）總共修補57個漏洞，其中有7個零時差漏洞最受到關注，且有6個已有實際攻擊行動而成為焦點，但也有當時公布的資安漏洞，微軟評估利用的可能性不高，觸發漏洞存在必要條件，認為其風險不高，後續被駭客盯上並相繼用於攻擊。例如，當時修補的NTLM雜湊值洩露漏洞CVE-2025-24054（CVSS風險6.5分），近期有資安業者提出警告，在微軟公告一週後，他們察覺有人將其用於實際攻擊行動。</p> <p>資安業者Check Point指出，他們約從3月19日發現相關攻擊，駭客試圖用於洩露NTLM雜湊值或是使用者密碼，並用來入侵受害電腦。到了20至21日，研究人員看到有人試圖針對波蘭及羅馬尼亞的政府機關及企業，利用垃圾郵件接觸受害者，藉此散布Dropbox連結。一旦使用者依照指示開啟，就會觸發與NTLM有關的已知漏洞，從而讓攻擊者能挖掘NTLMv2-SSP雜湊值，而其中一個遭到攻擊者利用的漏洞，就是CVE-2025-24054。值得留意的是，針對這波試圖利用CVE-2025-24054的情況，Check Point自3月19日至25日總共發現超過10起攻擊行動。</p> <p><a href="https://www.ithome.com.tw/news/168506"><strong style="font-size: 22px;">網路上有超過1.6萬臺Fortinet裝置含有符號連結後門</strong></a></p> <p>專門開發各種軟、硬體安全解決方案的美國資安業者Fortinet在今年4月中旬揭露了一個與符號連結（Symbolic Link）有關的後門問題，這是駭客藉由攻陷已知漏洞，建立了一個可連結用戶檔案系統及根檔案系統的符號連結，就算用戶修補了遭到攻擊的安全漏洞，此一符號連結依然存在，因而允許駭客持續存取根檔案系統中的機密配置。Shadowserver基金會的掃描發現，在Fortinet揭露此事後，網路上含有符號連結後門的Fortinet裝置顯著增加，從1.2萬臺增加到近1.7萬臺。</p> <p>當初Fortinet其實是在調查遠端程式執行漏洞CVE-2022-42475與CVE-2023-27997，以及越界寫入漏洞CVE-2024-21762等重大漏洞遭到駭客利用的事件，駭客針對網路上未修補的已知漏洞展開攻擊並非新聞，特別的是Fortinet發現駭客採用了新技術，透過符號連結功能來建立可存取FortiGate防火牆根檔案的能力，就算只能唯讀，卻可向駭客揭露該防火牆設備的系統配置與存取憑證等重要資訊。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=203520&SPOKE_DATE=20250418&COMPANY_ID=2615"><strong style="font-size: 22px;">萬海海運網站遭遇攻擊</strong></a></p> <p>4月18日晚間海運業者萬海於股市公開觀測站發布資安重訊，指出該公司資訊網站當天下午遭到攻擊，他們發現此事後即刻啟動資安防護措施因應，將網站進行隔離。此網站暫時停止提供服務。</p> <p>而對於這起事故可能造成的影響，萬海表示根據他們的初步評估，對公司營運、資訊安全、個資無重大影響。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/04/experts-uncover-new-xorddos-controller.html">殭屍網路XorDDoS透過暴力破解入侵Linux設備，在全球廣泛發動攻擊</a></strong></p> <p><strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/04/experts-uncover-new-xorddos-controller.html"></a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/proton66-part-1-mass-scanning-and-exploit-campaigns/">惡意軟體攻擊行動Proton66鎖定重大漏洞而來，散布勒索軟體SuperBlack</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/04/nodejs-malware-campaign-targets-crypto.html">Node.js惡意軟體攻擊行動鎖定加密貨幣用戶而來，假借提供加密貨幣工具散布惡意酬載</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168502"><strong style="font-size: 22px;">Windows工作排程工具遭揭多項弱點，恐被濫用於提升SYSTEM權限</strong></a></p> <p>資安公司Cymulate研究人員揭露Windows作業系統中的工作排程工具schtasks.exe，存在多項可被濫用的安全弱點，攻擊者可透過合法命令列參數及任務排程XML檔案，在特定條件下繞過使用者帳戶控制（UAC）提示，並以SYSTEM權限執行任意程式。研究人員指出，這些行為雖未被微軟視為漏洞，但其設計邏輯仍可能被惡意人士作為提升權限、橫向移動或隱匿行蹤的工具。</p> <p>針對Cymulate研究人員提出的安全質疑，微軟安全回應中心（MSRC）回覆表示，Author欄位與RegistrationInfo區塊僅為儲存一般任務資訊而設計，並非安全用途，因此不構成漏洞。不過，研究人員認為，使用者與資安人員仍應注意被惡意濫用的系統設計，特別是在系統管理工具與事件記錄這些高度仰賴預設行為可信度的情境。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/asus-warns-of-critical-auth-bypass-flaw-in-routers-using-aicloud/">啟用AiCloud功能的華碩路由器存在重大漏洞，恐被用於繞過身分驗證流程</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/researchers-cvss-severity-rce-vulnerability-erlang-otp-ssh/">SSH程式庫Erlang/OTP存在風險滿分漏洞，攻擊者有機會未經授權執行任意程式碼</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168489"><strong style="font-size: 22px;">資策會導讀臺灣最新出爐的PQC遷移指引，預告兩週後將推出自動化加密盤點工具</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1）臺灣後量子遷移指引正式出爐_攝影羅正漢.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E8%87%BA%E7%81%A3%E5%BE%8C%E9%87%8F%E5%AD%90%E9%81%B7%E7%A7%BB%E6%8C%87%E5%BC%95%E6%AD%A3%E5%BC%8F%E5%87%BA%E7%88%90_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 300px; float: right;" /></a></p> <p>隨著全球主要國家陸續發表後量子密碼遷移指引，為因應量子破解威脅做好準備，臺灣也需積極布局，上個月後量子資安產業聯盟（PQC-CIA）召集人李維斌曾透露，資策會正在負責我國「後量子密碼遷移指引」的制定，如今數位發展部數位產業署於2025臺灣資安大會上正式發表這項指引，目的是協助產業及早因應量子破密威脅的挑戰，讓後PQC遷移能順利過渡。</p> <p>在這場活動中，負責此項指引開發的資策會資安科技研究所主任蕭榮興，有更具體說明。基本上，關於遷移指引對臺灣產業的重要性，這不僅是對齊國際趨勢，最大重點是促使企業瞭解量子破密威脅，重視後量子加密的必要性並加速遷移，並提供企業組織一套清晰的遷移路徑與實施步驟，確保遷移過程安全並且可以實行。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/168486"><strong>【4月18日】趨勢科技公布勒索軟體駭客CrazyHunter攻擊手法</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168466"><strong>【4月17日】CVE專案長年靠美國政府資金運作議題浮上檯面</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168438"><strong>【4月16日】MITRE停止維護CVE等多項專案，恐波及全球資安漏洞分析</strong></a></p> </div></div></div>
2025/4/21 17:09作者周峻佑https://www.ithome.com.tw/news/168530
中國駭客Mustang Panda鎖定緬甸而來，利用StarProxy存取未與網際網路連線的環境
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門針對臺灣、越南、馬來西亞等亞太國家發動攻擊，被稱為Mustang Panda、Earth Preta、RedDelta、TA416的中國駭客組織，在今年2月、3月傳出相關攻擊行動，包含<a href="https://www.ithome.com.tw/news/167511">意圖利用作業系統預載公用程式MAVInject.exe迴避偵測</a>，以及<a href="https://www.ithome.com.tw/news/167944">散布惡意LNK檔案利用尚無修補的零時差漏洞</a>，最近有研究人員發現，這些駭客<a href="https://www.zscaler.com/blogs/security-research/latest-mustang-panda-arsenal-toneshell-and-starproxy-p1">改用新的工具犯案</a>，使得行蹤變得更加難以捉摸。</p> <p>資安業者Zscaler指出，Mustang Panda近期鎖定緬甸而來，該國3月底才因7.7級地震而遭逢重大災難，沒想到現在還必須處理駭客攻擊的問題，他們在2臺受害電腦發現後門程式ToneShell的變種，以及一系列未曾被發現的作案工具，因而高度關注此事。</p> <p>基本上，ToneShell是慣用的後門程式，而這次Zscaler發現，駭客使用的新版本出現顯著的變化，那就是調整了與C2連線的FakeTLS通訊協定，以及在建立用戶端識別編號的做法。這次研究人員總共看到3個版本的ToneShell，它們都由執行檔（EXE）與DLL程式庫組成，駭客藉由正常的執行檔以側載的手法，執行ToneShell的DLL檔案。</p> <p>另一個駭客透過FakeTLS代理流量的作案工具，則是用於橫向移動的StarProxy。研究人員推測，駭客將其用於成功入侵之後，目的是存取無法直接透過網際網路連線的系統。</p> <p>什麼是FakeTLS？研究人員直指這是ToneShell的主要功能，目的是用來隱匿惡意軟體的行蹤，駭客使用FakeTLS標頭，模仿TLS的通訊協定。而過往的ToneShell，藉著FakeTLS標頭模仿TLS 1.2版通訊，而現在Zscaler看到的新版本，則是仿造1.3版TLS通訊，來建立受害電腦與C2之間的連線。</p> <p>此外，這些駭客也運用<a href="https://www.zscaler.com/blogs/security-research/latest-mustang-panda-arsenal-paklog-corklog-and-splatcloak-p2">名為SplatCloak的驅動程式元件工具組</a>，來迴避EDR系統的偵測。SplatCloak的主要用途，是干擾Windows內建的Microsoft Defender及卡巴斯基相關驅動程式的運作，停用核心層級的通知回傳功能。Mustang Panda透過公用程式SplatDropper部署上述的工具包，並設置系統服務來執行。</p> <p>附帶一提的是，駭客運用兩款鍵盤側錄工具PakLOG、CorKLOG，監控使用者鍵盤輸入的內容，以及剪貼簿的資料，兩者主要的差異在於：CorKLOG使用48個字元長度的RC4金鑰加密截取到的資料，並設置工作排程或是服務以便持續於受害電腦運作。</p> </div></div></div>
2025/4/21 16:26作者周峻佑https://www.ithome.com.tw/news/168528
從數據到數位策略的旅程
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/itshu_zhai_-shu_wei_jing_zheng_ce_lue_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">商業周刊</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2018年福特汽車宣布，將投入110億美元在10年的數位轉型。主要是在福特汽車上安裝大量感測器，作為生成數據的源頭，例如即時地偵測引擎性能、煞車系統性能、輪胎胎壓、道路狀況、以及空氣品質等狀態的感測器。福特的感測器能夠以高達每秒50次的速率更新數據，在1小時的車程中，生成約25 GB的數據。</p> <p>有了這些數據，福特能夠提供幾項新的「智慧型」汽車功能。汽車能夠偵測、並提醒駕駛人注意盲點處有其他車輛；幫助駕駛人保持行駛在車道上；在即將撞車前及時自動煞車；（在駕駛人的同意下），偵測到前方交通減緩時減速。電動車提供目前及預測電儲量狀態的資訊，以及計畫車程需要的充電時間量。在充電站，通知使用者是否因為停電、插頭鬆動、或其他類似事件而意外停止充電。車子甚至會規畫路線，確保行程中充飽足夠的電。</p> <p>福特汽車也透過名為「SYNC」的車用通訊系統，以及應用程式商店取得、並透過手機連結的各種APP傳輸數據。福特的APP除了把駕駛人從A點運載至B點，也在開車途中提供適合駕駛人的生活服務，例如一款APP讓駕駛人可以透過智慧型語音助理Alexa訂購星巴克咖啡。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>了解新興的數位生態系</strong></span></span></p> <p>為了釋放數據的新潛力，企業需要數據接收者網路分享數據。這些數據接收者當中有一些位於企業的價值鏈上，例如，福特汽車出產的車子中任何特定元件上的感測數據被拿來和軟體設計部門、AI中心、單位協調數位服務、儲存備用零組件的倉儲中心、服務據點等等接收者分享，全都是福特組織的一部分。這些數據接收者可以協調活動，執行新的數位價值主張，例如預測性維修服務。感測器數據的其他接收者不在價值鏈上，例如亞馬遜（Alexa智慧型音箱）、星巴克、銀行、天氣或交通APP供應商，這些數據接收者調整扮演的角色，實現前文敘述的福特汽車上提供的車上訂購咖啡服務。數據生成者和資訊接收者網路構成數位生態系，對傳統企業而言，這種網路有兩個部分：其一，生產生態系（production ecosystems），由公司的價值鏈形成；其二，消費生態系（consumption ecosystems），不是公司的價值鏈形成的。</p> <p><span style="color:#3366ff;"><strong>生產生態系</strong></span></p> <p>生產生態系是公司「內部」參與生產與銷售產品的各種實體、資產、及活動之間的數位連結，包括供應商、研發、製造、組裝、及通路所形成的。因為公司的整個價值鏈活動有感測裝置，並且有物聯網賦能，才能建立這些連結，因此，生產生態系提供一條能釋放數據價值的內部管道。舉例而言，在公司供應鏈中建立一個感測網路，可以讓公司根據存貨使用狀態的即時數據，完成更緊密的存貨協調。又如，在智慧型工廠裡安裝感測器，讓機器、機器人、或生產與組裝單位之間同步溝通，簡化工作流程，進一步提升作業效率。</p> <p>透過產品中安裝的感測器，生產生態系傳輸產品生成的數據，發展出增進產品性能的特色及服務，創造新價值。當產品根據個別消費者的使用數據來調整特性時，就能做到這點。此外，可以使用有形的指標來追蹤、改善、及展示這類服務的結果，例如，奇異公司為飛機引擎推出「以成果為基準」（outcome-based）的服務：機師依循智慧型引擎指示，節省燃料，奇異公司根據實際的燃料成本降低成果來收費。因此，除了傳統的噴射引擎銷售營收，也增加了營收。</p> <p>其他公司也可以採取類似行動，供應根據數據調整的智慧型產品，改善產品成果。舉例而言，歐樂B（Oral-B）的智慧型牙刷追蹤刷牙結果，並在APP上展示結果，藉此改善刷牙習慣。開拓重工根據感測器監測到的機器使用及磨損狀態即時數據，減少機器故障停工時間。這些例子顯示企業如何從生產生態系釋放新價值，當研發、產品發展、行銷、銷售、及售後服務單位透過數位連結來接收、分析、生成、分享、及應感測數據創造這種價值。感測網路愈精細、愈普遍涵蓋，生產生態系就愈大。</p> <p><span style="color:#3366ff;"><strong>消費生態系</strong></span></p> <p>「消費生態系」與「生產生態系」的不同之處是，「消費生態系」把「外部」連結至公司的價值鏈。消費生態系由一個「外部」實體網路形成，那些外部實體為產品的感測器生成的數據提供互補、完善作業。例如，星巴克根據車子感測器傳來的數據，為駕駛人供應咖啡；一個停車位以數位訊號通知一輛車子，告知這個停車位是空的。跟公司的價值鏈的單位及實體不同的是，公司並不直接控管外部網路。這個獨立實體構成的外部網路隨著更多資產加入數位連結而擴展，例如，當有更多零售商（星巴克以外的零售商）或更多資產（例如停車場）數位連結至福特車的感測器數據，提供互補、完善作業，福特的消費生態系就會擴大。</p> <p>對大多數企業而言，在數據和數位連結的現代發展與進步問世之前，不存在消費生態系。舉例而言，當一個燈泡嵌入感測器後，便形成燈泡的新消費生態系。「智慧型燈泡」內含感測器，收集動作、物件位置、及聲音之類的數據，這些數據為各方開啟創造價值的新機會。消費生態系可能形成多個領域，這取決於智慧型燈泡生成的數據，以及吸引的第三方實體。以動作偵測為例，當住家中無人時，若燈泡的感測器偵測到有動作，就對保全服務生態系和行動應用程式發出警訊。藉由感測及追蹤倉庫裡的存貨狀態，可以形成一個改善補給與物流作業的實體生態系。藉由感測槍擊事件，可以形成一個攝影機數據、911接線員、以及救護車的生態系，改善街道安全性。消費生態系為傳統企業提供新管道，提供釋放數據價值的新方式。</p> <p><span style="color:#3366ff;"><strong>消費生態系與數位平台</strong></span></p> <p>「生產生態系」提供釋放價值的「內部」管道，「消費生態系」則是提供釋放價值的「外部」管道，不過，為了從外部管道衍生價值，公司必須協調各種互補實體之間的數據交易作業；換言之，公司必須以一個數位平台模式來運營。位於波士頓的新創公司星空照明（CIMCON Lighting）開發出能感測槍擊事件的智慧型燈泡，這家公司運營一個平台，連結攝影機之類的物件，以及警察與救護車服務及醫院之類的實體。福特的咖啡訂購服務是透過平台來協調駕駛人、Alexa、星巴克、各種應用程式開發商、以及銀行之間的數據交換。雖然對產品而言，這是一個新概念，但這方法與許多現有的數位平台協調各種第三方彼此交流或交易的模式，例如，臉書協調朋友和群組間的新聞及資訊分享；Uber共乘平台協調駕駛人與乘客之間的交易。</p> <p><span style="color:#3366ff;"><strong>靠數據經營的生態系</strong></span></p> <p>因此，不論是生產生態系或消費生態系，「數據」是串成這些數位生態系的共同脈絡。在生產生態系裡，數據被數位連結的價值鏈加以利用；在消費生態系裡，數據被數位連結的互補實體加以利用。這兩個生態系把企業的競爭範圍從「產品」擴展到產品生成的「數據」，兩個生態系都為企業帶來改變和消費者互動方式的新機會，幫助企業想像數據的無窮潛力。不過，企業必須把不同類型的生態系分開來分析，因為需要不同的業務模式（一個是價值鏈，另一個是平台），不同的業務模式需要不同的能力。認知與了解這些差別，也能幫助企業發想更多的策略選擇，思考打造數位策略更多的方法。（本文摘錄整理自《數位競爭策略》，商業周刊提供）</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98-%E6%95%B8%E4%BD%8D%E7%AB%B6%E7%88%AD%E7%AD%96%E7%95%A5-600.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源_商業周刊</span></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3366ff;"> 書名 </span></span> 數位競爭策略：企業如何從數據中打造競爭優勢、做好數位轉型？（The Future of Competitive Strategy）</strong></p> <p>莫漢．薩布拉曼尼亞（Mohan Subramaniam）／著；李芳齡／譯</p> <p>商業周刊出版</p> <p>定價：450元</p> <p><a href="https://www.imd.org/research-knowledge/digital/books/the-future-of-competitive-strategy/" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%95%B8%E4%BD%8D%E7%AB%B6%E7%88%AD%E7%AD%96%E7%95%A5_%E5%9C%962_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_IMD.png" style="width: 200px;" /></a></p> <p><a href="https://www.imd.org/research-knowledge/digital/books/the-future-of-competitive-strategy/" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源_IMD Business School</span></span></a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3366ff;"> 作者簡介 </span></strong></span></p> <p><strong>莫漢．薩布拉曼尼亞（Mohan Subramaniam）</strong></p> <p>國際知名管理學者、數位策略大師，知名企業高階經理人教練。</p> <p>瑞士洛桑國際管理發展學院（IMD Business School）策略與數位轉型教授，曾任康乃狄克大學、波士頓大學及波士頓學院，經常在著名學術期刊發表文獻，目前也擔任《史隆管理評論》（MIT Sloan Management Review）編輯顧問委員會委員。深入研究數位轉型、數據驅動策略與生態系設計等領域，是國際公認數位策略大師。</p> </div></div></div>
2025/4/21 17:04未署名https://www.ithome.com.tw/article/168529
微軟3月修補的NTLM漏洞危機升溫，至少出現10起實際濫用的攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年3月上旬微軟修補NTLM雜湊值洩露漏洞CVE-2025-24054，近期有資安業者提出警告，在微軟公告一週後，他們察覺有人將其用於實際攻擊行動。</p> <p>資安業者Check Point指出，<a href="https://research.checkpoint.com/2025/cve-2025-24054-ntlm-exploit-in-the-wild/">他們約從3月19日發現相關攻擊</a>，駭客試圖用於洩露NTLM雜湊值或是使用者密碼，並用來入侵受害電電腦。到了20至21日，研究人員看到有人試圖針對波蘭及羅馬尼亞的政府機關及企業，利用垃圾郵件接觸受害者，藉此散布Dropbox連結。一旦使用者依照指示開啟，就會觸發與NTLM有關的已知漏洞，從而讓攻擊者能挖掘NTLMv2-SSP雜湊值，而其中一個遭到攻擊者利用的漏洞，就是CVE-2025-24054。</p> <p>由於這項資安漏洞與欺騙有關，當時微軟提及利用的前提是必須與使用者互動，但該公司也特別提到，此弱點只需使用者進行最少的互動，就有可能成功觸發，這些互動包含對惡意檔案進行選取、點選右鍵，以及在開啟或執行檔案以外的其他行為，此漏洞的CVSS風險評為6.5。Check Point指出，攻擊者只要利用特製的library-ms檔案，就能利用這項弱點。</p> <p>針對這波試圖利用CVE-2025-24054的情況，Check Point自3月19日至25日總共發現超過10起攻擊行動，而所有活動的最終目標，就是從受害電腦找出NTLMv2-SSP雜湊值。駭客用來收集相關資料的SMB伺服器，分散於俄羅斯、保加利亞荷蘭、澳洲、土耳其。</p> <p>研究人員提及其中部分攻擊行動的發生過程，他們舉出攻擊波蘭及羅馬尼亞政府機關及企業的事故為例，使用者一旦收到駭客的垃圾信並依照指示點選連結，就會從Dropbox下載壓縮檔xd.zip，若是將此壓縮檔案開啟，由於內含能觸發CVE-2025-24054的檔案xd.library-ms，使用者就會中招，而有可能導致NTLMv2-SSP雜湊值外流。</p> <p>但除此之外，駭客也試圖透過其他方法洩露NTLM雜湊值，例如xd.zip內含的xd.url，就是利用CVE-2024-43451及網路共用資料夾來達到目的。此ZIP檔案也內含Website及LNK檔案，攻擊者藉此建立SMB連線，從而竊取使用者的NTLM雜湊值。</p> <p>針對攻擊者的身分，研究人員根據駭客使用的CVE-2024-43451，以及SMB伺服器的IP位址，這些分別與俄羅斯駭客UAC-0194、APT28（Fancy Bear）有關，他們不排除是俄羅斯國家級駭客所為，但目前沒有進一步的證據能佐證駭客的身分。</p> <p>值得留意的是，Check Point也發現駭客直接挾帶library-ms檔案的惡意郵件，這樣的情況更加危險，因為收信人一旦另存附件，就有可能觸發CVE-2025-24054。</p> </div></div></div>
2025/4/21 12:47作者周峻佑https://www.ithome.com.tw/news/168503
惡意NPM套件藏反向Shell，鎖定電商交易流程滲透伺服器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開源資安公司Socket<a href="https://socket.dev/blog/npm-package-advcash-integration-triggers-reverse-shell">揭露</a>一個名為merchant-advcash的NPM套件，其表面上聲稱支援Advcash金流整合，實則於付款成功時觸發反向Shell，將伺服器權限交由攻擊者遠端控制。該攻擊行為未在套件安裝或匯入時啟動，而是延遲至使用者完成支付流程後才暗地執行，明確鎖定實際部署於電商平臺的生產環境。</p> <p>反向Shell是一種常見的攻擊手法，讓駭客能在受害系統主動發起連線後，遠端取得該系統的指令列控制權。與其從外部強行入侵，攻擊者設計程式讓目標伺服器在特定時機自己連回駭客機器，建立一條可雙向傳輸指令的通道。一旦連線成功，攻擊者便能在背後執行任意指令、存取資料，甚至橫向攻擊其他系統。</p> <p>Advcash常見於諸如加密貨幣交易、高風險投資、線上博弈等灰色市場或高風險電子商務應用網站。此NPM套件偽裝成開發者整合工具，實作包括金額雜湊、商家驗證與交易狀態更新等看似正當的功能。研究人員指出，該模組在處理交易成功通知的url_success()回呼函式，內嵌一段以Node.js撰寫的即時反向Shell程式碼，使用child_process與net模組連線至IP 65.109.184.223、埠號為8443的遠端主機，並將/bin/sh的標準輸入與輸出完整轉交給該連線。</p> <p>該攻擊行為高度隱匿，並藉由付款成功此業務邏輯節點，掩護惡意程式的執行時機，繞過常見的套件安裝監測、靜態掃描與CI工作管線稽核。研究人員表示，其撰寫手法明顯異於低階垃圾套件，而是建構出一個具實際商業邏輯的伺服器端整合模組，具有更高的可信度與部署機會，也更容易被企業系統採用。</p> <p>研究人員認為，此種攻擊方式顯示出惡意行為者對目標環境的熟悉程度與技術熟練度，其目的可能是針對特定場景的交易系統進行滲透。雖然該套件目前已由NPM官方下架，但對於電商平臺、第三方支付整合開發者及資訊安全團隊而言，在處理金流、帳務與用戶操作密切相關的流程，更應注重供應鏈安全防護。</p> <p>研究人員建議開發者導入如CLI掃描器與GitHub拉取請求監控等機制，強化對第三方相依項目的動態與靜態檢查，避免單純仰賴套件描述或README等表面資訊評估其安全性。</p> </div></div></div>
2025/4/21 15:51作者李建興https://www.ithome.com.tw/news/168510
【資安週報】0414~0418，臺灣資安大會CYBERSEC 2025登場，AI資安風險持續受矚目
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>回顧2025年4月第三星期的資安新聞，臺灣資安大會CYBERSEC 2025舉行是主要焦點，本屆規模再創新高，有超過300場的資安專題演講，以及400家資安業者、超過1,500個攤位的參與，吸引2萬位全球產官學界資安專家參與，持續成為企業增進攻防新知，資安產業技術交流與商機拓展的重要平臺。</p> <p>總統賴清德已是連續4年參與這場盛會，不僅展現政府對資安的支持，也延續其擔任行政院長到副總統期間對資安領域的關注。面對瞬息萬變的國際局勢，總統賴清德指出，新版《國家資通安全戰略2025》在本月稍早發布，揭露我國2025年至2028年間的國家資安發展方案將朝三大目標前進，包括：強化全社會資安防禦韌性、豐富資安產業生態系、構築新興科技防禦技術，從制度面、管理面、策略面同步推進，盼整合多方力量，加速我國政府與產業的整體防護水準的提升。</p> <p>面對生成式AI爆紅與AI代理竄起之際，LLM風險這項新興議題，在本星期資安新聞中，佔據大量新聞版面，例如：我們最近發布的封面故事，就是針對最新的OWASP十大LLM應用程式風險2025年版加以介紹，讓大家真正認識背後的各種風險，才能理解為何一再宣導事實查核與防範敏感資訊洩漏；今年臺灣資安大會也有專家介紹最新趨勢，包括網路犯罪領域應用AI代理的示警，以及關於LLM應用程式開發安全架構的實務經驗。</p> <p>●OWASP已公布「十大LLM應用程式安全風險」2025年版，可幫助大眾增進對於LLM風險的理解，過去多起事件更是反映真實世界存在的LLM風險實例。<br /> ●趨勢科技網路犯罪研究前瞻威脅研究總監示警，呼籲大家在期待AI Agent應用的同時，也要注意網路犯罪也透過AI自動化提升攻擊效率。<br /> ●前資安院副院長吳啟文強調資安是持續的風險管理，如何平衡AI帶來的利益及風險是關鍵，他建議組織可從WEF報告提出的6個問題來自評本身是否做好準備。<br /> ●面對LLM風險，趨勢科技提出LLM應用程式開發安全架構的LEARN方法論，剖析LLM應用程式的開發生命週期，並介紹如何分層與識別安全邊界的方法。</p> <p>此外，還有兩則新聞與其他重要議題有關，在後量子密碼學PQC方面，數位發展部數位產業署宣布，專為臺灣設計的PQC遷移指引正式發布；在個資保護方面，今年臺灣個資保護委員會將成立，來自籌備處的隱私科技組專家指出，企業可透過PDCA方法檢視自身資料保護措施的落實，並強調傳統的SMS簡訊或OTP易受中間人攻擊，應評估安全強度更高的MFA。</p> <p>在資安防護上，國際間有4則重大消息，其中美國非營利組織MITRE傳出停止維護CVE等多項專案，引發相當大關注，這是因為CVE的漏洞命名與指派是弱點管理生態系的基礎，一旦漏洞無法集中發布與追蹤，影響甚廣，而這起風波之下，也突顯該專案長年只有美國政府投入給予支持的狀況。</p> <p>●美國政府委託MITRE維護「常見漏洞披露CVE」資料庫與「通用缺陷列表CWE」傳出合約到期，事隔一天有了反轉，將延長合約避免這些專案服務中斷。<br /> ●憑證產業論壇CA/Browser Forum宣布，現行所有SSL/TLS憑證最長效期為398天，明年縮短至200天，4年後2029年將縮短為47天，且每月需更新一次。<br /> ●GitHub推出Security Campaigns，可幫助開發者與資安團隊能有系統性方法來處理，讓企業處理資安債成開發日常，能排定優先處理順序、設定處理期限。<br /> ●PHP核心原始碼（php-src）近期完成安全稽核，主要針對最關鍵元件部分，共發現27項問題，其中17項具安全風險，多數問題是實作細節與錯誤處理不足。</p> <p>至於威脅揭露與漏洞消息方面，CrazyHunter勒索軟體攻擊調查有後續消息，趨勢科技指出該攻擊者使用的作案工具有8成是從GitHub平臺上取得，同時也證實該組織的攻擊目標只鎖定臺灣。</p> <p>還有兩則漏洞攻擊消息，一是有駭客鎖定蘋果零時差漏洞CVE-2025-31200、CVE-2025-31201攻擊，使得蘋果緊急修補，另一是有駭客鎖定上個月微軟修補的漏洞CVE-2025-24054來攻擊，有資安業者發現在修補釋出的8天後，就觀察到鎖定該漏洞的攻擊行動。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/168403"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月14日】啟用SSL VPN的Fortinet防火牆遭到已知漏洞攻擊</span></strong></a></h3> <p>今天我們報導兩起資安事故，其共通點就是針對SSL VPN系統而來，其中，尤以針對Fortinet防火牆設備而來的攻擊行動特別值得留意，因為這起事故雖然針對已知漏洞而來，但該公司還是發布新版防火牆作業系統FortiOS因應。</p> <p>這起事故攻擊者不僅運用了已知漏洞，並透過符號連結（Symbolic Link）手法來回避偵測，但究竟駭客如何取得相關權限而得逞？Fortinet並未說明。</p> <h3><a href="https://www.ithome.com.tw/news/168418"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月15日】總統親臨臺灣資安大會致詞，從國家戰略、產業政策彰顯資安</span></strong></a></h3> <p>亞洲規模最大的資安盛會「臺灣資安大會CYBERSEC 2025」在今天舉行，總統賴清德親臨現場致詞，強調臺灣所處的第一島鏈戰略要衝位置，肩負著民主防線最前線的角色，在網路世界遭受來自各方的駭客攻擊。臺灣威脅態勢加劇的情況，政府也從國家戰略到產業政策來因應。</p> <p>除此之外，美國在臺協會處長谷立言（Raymond F. Greene）致詞當中，也特別宣布相當有指標意義的消息，那就是在臺美合作之下完成了NIST資安框架2.0（Cybersecurity Framework 2.0）的正體中文翻譯。</p> <p><a href="https://www.ithome.com.tw/news/168438"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月16日】MITRE停止維護CVE等多項專案，恐波及全球資安漏洞分析</span></strong></a></p> <p>對於漏洞的分析及研究，「常見漏洞披露（CVE）」資料庫，以及「通用缺陷列表（CWE）」廣泛受到全球資安領域採用，一旦不再維護，影響層面有可能相當廣泛。</p> <p>本週傳出MITRE不再維護CVE、CWE等多項專案的消息，有資安專家指出此事將帶來嚴重衝擊，首先會影響美國國家弱點資料庫（NVD），接著會波及所有使用CVE及NVD分析漏洞的企業組織。</p> <h3><a href="https://www.ithome.com.tw/news/168466"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月17日】CVE專案長年靠美國政府資金運作議題浮上檯面</span></strong></a></h3> <p>這兩天引起全球資安圈高度關注的議題，莫過於美國政府委託MITRE維護「常見漏洞披露（CVE）」資料庫與「通用缺陷列表（CWE）」的合約到期，由於波及所有採用CVE分析漏洞的企業組織，影響層面將可能相當廣泛。</p> <p>事隔一天，美國政府決定依照合約延長維護CVE的時間，該服務暫時免於中斷的災難。但這起風波也凸顯CVE長期倚賴單一國家政府資助的問題，CVE董事會決議轉型非營利基金會。</p> <h3><a href="https://www.ithome.com.tw/news/168486"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月18日】趨勢科技公布勒索軟體駭客CrazyHunter攻擊手法</span></strong></a></h3> <p>這兩個月不斷在臺灣攻擊醫院、上市櫃公司的勒索軟體駭客組織CrazyHunter，在4月初刑事警察局公布駭客身分後，最近有資安業者透露其作案手法，並認為該組織的主要攻擊目標，就是臺灣。</p> <p>本週趨勢科技公布相關調查結果，他們提及駭客利用的工具多半由GitHub就能取得，這代表駭客犯案的門檻並不高。</p> <p> </p> </div></div></div>
2025/4/21 10:16作者羅正漢https://www.ithome.com.tw/news/168501
網路上有超過1.6萬臺Fortinet裝置含有符號連結後門
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門開發各種軟、硬體安全解決方案的美國資安業者<a href="https://www.fortinet.com/blog/psirt-blogs/analysis-of-threat-actor-activity" target="_blank">Fortinet在今年4月中旬揭露</a>了一個與符號連結有關的後門問題，這是駭客藉由攻陷已知漏洞，建立了一個可連結用戶檔案系統及根檔案系統的符號連結（Symbolic Link），就算用戶修補了遭到攻擊的安全漏洞，此一符號連結依然存在，因而允許駭客持續存取根檔案系統中的機密配置。<a href="https://dashboard.shadowserver.org/statistics/combined/time-series/?date_range=30&source=compromised_website&source=compromised_website6&tag=fortinet-compromised%2B&dataset=unique_ips&style=stacked" target="_blank">ShadowServer的掃描發現</a>，在Fortinet揭露此事後，網路上含有符號連結後門的Fortinet裝置從1.2萬臺增加到近1.7萬臺。</p> <p>當初Fortinet其實是在調查遠端程式執行漏洞CVE-2022-42475與CVE-2023-27997，以及越界寫入漏洞CVE-2024-21762等重大漏洞遭到駭客利用的事件，駭客針對網路上未修補的已知漏洞展開攻擊並非新聞，特別的是Fortinet發現駭客採用了新技術，透過符號連結功能來建立可存取FortiGate防火牆根檔案的能力，就算只能唯讀，卻可向駭客揭露該防火牆設備的系統配置與存取憑證等重要資訊。</p> <p>Symbolic Link是種特殊類型的檔案，透過指定路徑來指向一個檔案或目錄，主要功能包括讓使用者可從一個位置存取位於另一個位置的檔案，或者是作為自多個位置存取同一檔案的快速方法，也能用來簡化路徑名稱，或進行版本管理。</p> <p>但在Fortinet的案例中，駭客在成功駭進FortiGate之後，於用來提供SSL-VPN語言服務的資料夾中，建立了一個連結使用者檔案系統及根檔案系統的符號連結。</p> <p>由於這個符號連結位於系統更新時不會觸及的使用者檔案系統，因此就算用戶部署了已修補漏洞的FortiOS版本，依然會留下這個符號連結，而被稱為符號連結後門。之後駭客只要造訪FortiGate的VPN登入頁面，輸入特定的登入請求，系統就會回傳該設備的敏感配置內容，可能涵蓋存取控制及認證檔案、設備的私鑰與憑證、管理介面的程序與配置、防火牆規則或管理員帳戶資訊等。</p> <p>這讓Fortinet陸續釋出了不同的FortiOS版本，以刪除惡意的符號連結，或是修改了SSL-VPN使用者介面規則以不再支援惡意符號連結，同時建議客戶將所有設備升級到7.6.2、7.4.7、7.2.11、7.0.17或6.4.16，<a href="https://community.fortinet.com/t5/FortiGate/Technical-Tip-Recommended-steps-to-execute-in-case-of-a/ta-p/230694" target="_blank">審核所有設備的配置</a>，把所有配置都視為可能已遭外洩，重置所有管理員及使用者憑證，重置各種金鑰，替換並撤銷可能被竊的憑證，將GUI管理存取權限改至非預設埠，以及關閉任何來自外部介面的管理存取能力等。</p> </div></div></div>
2025/4/21 14:22作者陳曉莉https://www.ithome.com.tw/news/168506
Gemma 3支援QAT技術，消費級GPU就可執行270億參數大模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google Gemma 3模型正式支援QAT（Quantization-Aware Training）技術，同步<a href="https://developers.googleblog.com/en/gemma-3-quantized-aware-trained-state-of-the-art-ai-to-consumer-gpus/">釋出</a>多種已量化版本，讓開發者即便使用消費級顯示卡如Nvidia RTX 3090，也能在本地執行最多達270億參數的語言模型，進一步降低大型人工智慧模型的硬體門檻，擴大本地部署與邊緣運算應用可能性。</p> <p>Gemma 3原始模型以BF16格式於Nvidia H100等高階GPU上執行，可提供先進的推論效能。而本次QAT版本則是透過訓練期間模擬低精度運算，有效抑制傳統量化技術可能帶來的效能衰退，支援int4格式，大幅縮減模型權重所需GPU記憶體容量。Gemma 3 27B模型經QAT後，以int4格式儲存時僅需約14.1 GB VRAM，較原本BF16格式的54 GB顯著降低，實際已可在RTX 3090等顯示卡載入執行。</p> <p>新版本整合主流開源工具與本地推論框架，開發者可透過Ollama、LM Studio、MLX、llama.cpp與gemma.cpp等平臺快速載入，並開始使用QAT版本模型。官方模型目前已於Hugging Face與Kaggle開放下載，支援常見的GGUF格式與Q4_0變體，也可搭配社群貢獻的PTQ模型版本使用。</p> </div></div></div>
2025/4/21 14:30作者李建興https://www.ithome.com.tw/news/168507
Martech雙周報第74期：Salesforce等多家Martech大廠旗下AI代理，開始支援Google的A2A代…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#0000FF;"><strong>重點新聞(0406~0419)</strong></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#AI代理 #MCP</span></span></strong><br /> <strong>Salesforce等多家大型Martech廠商旗下AI代理成為Google的A2A代理協作協定第一批支援者</strong></p> <p><a href="https://developers.googleblog.com/en/a2a-a-new-era-of-agent-interoperability/">Google推出跨平臺AI代理協定A2A（Agent-to-Agent）</a>，來促成不同生態系的AI代理溝通、協作。只要是按A2A協定開發的代理，就能跨平臺、跨服務彼此溝通。目前已有50多間業者支援此協定，其中不乏Martech廠商，如近月不斷推出新GenAI及AI代理功能的Salesforce。</p> <p>A2A協定有幾項促成AI代理協作的方法，包括能力發現（Capability discovery），使AI代理辨識出最適合執行特定任務的協作AI代理；任務管理（Task management），使代理在長時間任務中保持同步，隨時更新任務最新狀態；協作（Collaboration），互相傳遞上下文、回應、任務成果或人類使用者指令，以及使用者體驗協商（User experience negotiation），根據任務來選擇將溝通內容輸出成哪種類型，如iframe、影片、網站表單等。</p> <p>這個技術如何影響行銷人員？Salesforce官方顧問公司Thinkqloud以Salesforce Agentforce為例，此平臺上的AI行銷代理可以指派外部的專業財經新聞代理，擷取與客戶公司相關新聞，同時指派另一位外部代理追蹤競爭對手產品的即時價格更新。最後，由這些由A2A收集的資訊會回傳至Agentforce，給業務人員參考。或者，在遭遇需要與外部公司聯絡的問題時，可以由內部AI代理主動聯絡外部AI代理客服，直接協商出解法。另一個可能應用是，與公司內部財會或行銷系統上的其他廠牌（如SAP）AI代理相互協作完成跨部門任務等。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#SEO #AIO #搜尋廣告 #有機流量</span></span></strong><br /> <strong>Google開始在AI Overview摘要中呈現其他Google搜尋頁面的連結，而非第三方網站連結</strong></p> <p>Google搜尋頁面的GenAI摘要功能AI Overview（AIO）對搜尋廣告曝光及有機流量獲得都帶來衝擊，不斷變動的功能，更使網站主及廣告主都難以捉摸具體影響。近日，他們又正式推出，在AIO摘要呈現其他Google搜尋頁面連結的做法，而非只提供第三方網站連結。Google官方表示，他們發現許多使用者常會於閱讀AIO時，自行啟動另一次Google搜尋。直接在AIO中加入Google搜尋結果頁面，是為了方便使用者進一步研究議題。</p> <p>此舉將對網站主和廣告主造成何種影響，目前業界出現不同方向的預期。部分意見認為，這會促成使用者看到多關鍵字搜尋，因而增加自家網站或廣告曝光機會；另一方則認為，這會排擠網站在AIO摘要中曝光機會，因而抱持悲觀態度。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#AI代理 #CRM</span></span></strong><br /> <strong>HubSpot推出多項行銷用AI代理更新</strong></p> <p><a href="https://www.businesswire.com/news/home/20250410141391/en/HubSpot-Launches-New-and-Enhanced-AI-Agents-Plus-Over-200-Updates-at-Spring-2025-Spotlight">CRM大廠HubSpot近日發表200多項更新，其中包含數個行銷用AI代理更新。</a>新的AI代理系列Breeze Agents包括知識庫代理（Knowledge Base Agent），能即時根據工單資料自動更新企業的知識庫內容。此代理可以與客服代理協作，使後者自動解決客服需求時，能使用更新、更準確的知識。</p> <p>開發AI代理（Prospecting Agent）功能是協助銷售人員資料蒐集，可以自動針對目標客戶展開背景調查，從HubSpot歷史資料、外部網站、新聞、部落格等多個來源擷取資料，並結合產品類型、客群特徵與市場情境，來建議溝通策略。這些洞察，可以HubSpot不同產品線，如Sales Workspace與全新推出的Target Accounts app中存取。</p> <p>內容AI代理（Content Agent）則能根據參考資料自動化生成部落格與網頁內容、根據受眾資料主動建議新內容主題，以及自動完成內容發布作業的不同環節。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#Line行銷 #生成式AI</span></span></strong><br /> <strong>漸強實驗室推出AI助理來整合旗下行銷平臺及對話平臺的功能，進一步整合產品線功能</strong></p> <p>Line行銷科際大廠漸強實驗室推出AI助理AiMon，內建於旗下自動化行銷平臺MAAC與對話互動平臺CAAC，來提供圖文生成、知識查詢及銷售洞察等功能。</p> <p>具體用法包括結合品牌語調、受眾行為與即時資料，來生成圖文，並於LINE官方帳號、簡訊等通路投遞；透過語意主題分析、訊息彙整，來更好進行客服對話或轉接真人；以及整合MAAC及CAAC功能，同時進行自動化行銷及對話式行銷。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#PMax #電商廣告 #AI廣告代投</span></span></strong><br /> <strong>電商廣告主如何運用PMax才能發揮AI代投長處，更避免與其他類型Google廣告專案衝突？5千字深度解析告訴你</strong></p> <p><a href="https://smarter-ecommerce.com/blog/en/google-ads/state-of-performance-max-campaigns-2025/">電商領域的廣告科技商smec釋出State of Performance Max 2025報告，</a>分析500名廣告主超過4,000個行銷專案，在Google AI廣告代投服務Performance Max上執行的結果。</p> <p>5,000字報告中，調查回顧了PMax功能及技術沿革，並根據行銷專案表現指出PMax強弱點，以及PMax實際成效。目前PMax ROAS約為6倍，ROAS中位數為專案目標值的95%至116%。</p> <p>報告還分析，電商廣告主同時使用PMax及Standard Shopping Ads、Demand Gen Ads和Search Ads等不同功能時，應如何調整策略，來綜合不同投廣服務強項提升效益、節省預算、減少重複投廣，以及避免自家專案間競爭價格和版位。</p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 153, 255);">#iOS ATT #資料隱私 #使用者行為追蹤</span></span></strong><br /> <strong>蘋果涉嫌用ATT追蹤同意機制塑造廣告壟斷地位，遭罰18億歐元</strong></p> <p><a href="https://www.reuters.com/technology/french-antitrust-regulator-fines-apple-150-million-euros-over-privacy-tool-2025-03-31/">法國政府反壟斷機構對蘋果祭出18億歐元罰款</a>，理由是他們利用App追蹤透明機制（ATT，App Tracking Transparency），來塑造個人化廣告業務的壟斷地位。</p> <p>ATT機制會在使用者第一次開啟App時，詢問是否同意自己行為受追蹤，採取預設不同意制度。這使廣告主於蘋果生態系中投放個人化廣告難度和成本都增加。當局認為，這個做法對以廣告收入為主的小型App營運商造成過大衝擊。不只如此，蘋果蒐集自家使用者資料的種種特權，使蘋果鞏固自己在廣告業務上的優勢地位。</p> <p>業界討論提到，ATT剛推出時，蘋果自家App根本沒有詢問追蹤同意，隨後改成具有引導使用者同意的語言來詢問同意，然而蘋果通常會禁止第三方App使用這些用語。目前，法國當局未明確表示蘋果如何改善ATT政策執行方法。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#數位行銷 #數位行銷專案評估</span></span></strong><br /> <strong>CDP Institue推出能估算Martech應用為企業帶來多少效益的免費評估工具</strong></p> <p><a href="https://docs.google.com/forms/d/e/1FAIpQLSfY6loVy6rNWV2dUmwjZgTMGMn-hjKkBKe42ciNhsADWtQSog/viewform">數位行銷科技研究機構CDP Institute推出升級版的行銷情境產生器</a>，新增商業價值計算器功能。這是一個免費快速評估用科技驅動數位行銷的工具，使用者在一個18頁的Google表單輸入數位行銷需求、企業背景，以及欲使用科技等資料。接著，系統會自動產生建議使用情境及計畫。新的商業價值計算器功能，還能估算數位行銷專案所帶來效益。這些計畫書及報告，會透過Email以Word檔案自動寄送。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099FF;">更多Martech動態：</span></strong></span></p> <p>1. <a href="https://www.adexchanger.com/wp-content/uploads/2025/04/Judge-Leonie-Brinkema-ad-tech-decision-DOJ-Google.pdf">美國法院正式認定Google利用DFP和Adx塑造並維持數位廣告界的壟斷地位</a></p> <p>2. <a href="https://newsroom.spotify.com/2025-04-02/spotify-tunes-up-platform-to-make-it-easy-for-advertisers-to-buy-create-and-measure/">Spotify Ad Exchange開放透過Yahoo、TTD、Google等DSP投廣</a></p> <p>3. <a href="https://www.globenewswire.com/news-release/2025/04/08/3057744/0/en/Tealium-achieves-MCP-integration-to-fuel-agentic-AI-initiatives.html">Tealium CDP開始支援MCP，以利打造AI代理工作流程</a></p> <p>4. <a href="https://www.uber.com/newsroom/us-cpg-digital-advertising/">CPG廣告主將能透過Instacart廣告平臺一站式投廣至Instacart及Uber Eats平臺</a></p> <p>5. <a href="https://www.mediapost.com/publications/article/405073/meta-sued-for-allegedly-overcharging-advertisers-b.html">一家廣告主因Meta系統問題多年來溢收高達40億美元廣告競價費而對其提告</a></p> <p>資料來源：iThome整理，2025年4月</p> <p>責任編輯：郭又華</p> <p>圖片來源：Google</p> <p></p> </div></div></div>
2025/4/21 14:39作者郭又華https://www.ithome.com.tw/news/168494
群暉科技消費型NAS將限制使用第三方硬碟
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>DIY用戶常自行買NAS系統在家備份，選擇自己要的硬碟品牌，但<a href="https://www.synology.com/en-eu/company/news/article/DACH_VL_plus/Synology%20is%20increasingly%20relying%20on%20its%20own%20ecosystem%20for%20upcoming%20Plus%20models" target="_blank">群暉科技（Synology）歐洲官網上周宣布</a>未來售出的家用及小型企業的網路附加儲存（Network-Attached Storage，NAS）Plus系列，只對自有品牌及經過認證的他牌硬碟才會提供自動韌體更新、資料去重複功能，<a href="http://www.androidcentral.com/accessories/smart-home/synology-brings-severe-hard-drive-limitations-to-diskstation-models-and-im-pissed" target="_blank">Android Central批評新宣布違背了當初的說詞</a>，當時他們曾表示此政策不影響消費級與SMB產品。</p> <p>群暉科技上周表示，2025年出售的DiskStation Plus系列開始，只有自家硬碟及經過該公司驗證的第三方硬碟，才能相容NAS系列，且獲得全功能和完整支援，理由是使用自有品牌硬碟，能為自家NAS系列提高效能及穩定性。</p> <p>在新措施下，未來全volume的去重複（deduplication）、產品壽命分析、自動韌體更新都只提供給自有硬碟。群暉科技表示，透過自有NAS系統和硬碟的緊密整合，可減少相容性問題，提升系統穩定性和效能。韌體更新和安全修補釋出，則提高資料安全性。</p> <p><a href="https://www.androidcentral.com/heres-why-synology-switched-validated-disks-enterprise-nas-enclosures" target="_blank">群暉科技2021年開始</a>限制企業級NAS機種使用自家硬碟，當時承諾不會影響消費級及SMB產品DiskStation（現簡稱為DS）系列。不過那時該公司已大幅縮減可用的第三方硬碟機種。<a href="https://www.androidcentral.com/accessories/smart-home/synology-brings-severe-hard-drive-limitations-to-diskstation-models-and-im-pissed" target="_blank">Android Central批評新宣布違背了當初的承諾</a>。</p> <p>根據<a href="https://www.synology.com/en-global/compatibility" target="_blank">群暉科技的產品相容清單</a>，部份DS產品只適用自家硬碟。</p> <p>目前，2024年以前出售的Plus，除了XS Plus系列與機架型機種以外都不受影響。但是群暉科技也表示，會持續推動現有Synology NAS系統搬移到新的Plus機種。值得注意的是，群暉科技說，現有相容或「未列相容清單」硬碟的使用，未來也可能會減縮，像是因使用不相容硬碟造成問題或故障時，致使無法建立儲存池，且無法獲得支援。這也暗示，可能舊機種用戶未來也將被迫改變硬碟品牌。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#000000;"> 編按 </span></span> <span style="color:#3366ff;">截至本文發布前，群暉科技臺灣官網並未公告上述產品政策異動，iThome今日（4/21）上午詢問群暉科技臺灣，官方回應重點摘要如下：</span></strong></p> <p><span style="color:#3366ff;"><strong>據客戶服務統計資料顯示，使用經 Synology 驗證硬碟，發生嚴重儲存相關問題的情況，較未經驗證硬碟低了 40%。Synology今年預計上市機種的硬碟相容性清單，皆可在各市場正式推出時，於 Synology 官方網站查詢最新資訊。</strong></span></p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/0421-%E7%BE%A4%E6%9A%89%E7%A7%91%E6%8A%80_%E8%87%BA%E7%81%A3.pdf" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0421-synology-taiwan(2).jpg" style="width: 600px;" /></a></p> </div></div></div>
2025/4/21 12:48作者林妍溱https://www.ithome.com.tw/news/168500
Windows工作排程工具遭揭多項弱點，恐被濫用於提升SYSTEM權限
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安公司Cymulate研究人員<a href="https://cymulate.com/blog/task-scheduler-new-vulnerabilities-for-schtasks-exe/">揭露</a>Windows作業系統中的工作排程工具schtasks.exe，存在多項可被濫用的安全弱點，攻擊者可透過合法命令列參數及任務排程XML檔案，在特定條件下繞過使用者帳戶控制（UAC）提示，並以SYSTEM權限執行任意程式。研究人員指出，這些行為雖未被微軟視為漏洞，但其設計邏輯仍可能被惡意人士作為提升權限、橫向移動或隱匿行蹤的工具。</p> <p>schtasks.exe為Windows任務排程元件的一部分，允許使用者以排程方式執行程式。研究人員發現，當攻擊者已知系統中具有Batch Logon權限帳號的密碼，便可透過/ru與/rp參數註冊任務，並在任務設定XML中指定以該帳號執行，即可觸發系統層級的執行環境，進而執行高權限指令，達到UAC繞過與提升權限效果。</p> <p>除了提升權限機制外，該研究也揭露兩項與規避防護有關的技術。一是可利用XML檔案中的Author欄位輸入超長字串，造成事件記錄中4698號任務建立事件的TaskContent欄位被覆寫，而隱藏任務內容與惡意指令。另一則是透過建立大量含有龐大後設資料的排程任務，在短時間內填滿預設上限為20 MB的Security.evtx安全事件記錄檔，導致事件記錄失效，阻礙後續數位取證與追蹤。</p> <p>值得關注的是，研究證實這些後設資料與記錄覆寫行為，可透過RPC（Remote Procedure Call）方式遠端觸發。研究人員進一步指出，任務排程服務於註冊任務時，並未對後設資料欄位長度加以限制，導致以信任使用者輸入為基礎的事件記錄內容成為攻擊介面。此外，這些後設資料內容也會寫入登錄機碼HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache，當有安全產品以此作為判斷任務可信度依據，也可能受到誤導。</p> <p>針對Cymulate研究人員提出的安全質疑，微軟安全回應中心（MSRC）回覆表示，Author欄位與RegistrationInfo區塊僅為儲存一般任務資訊而設計，並非安全用途，因此不構成漏洞。不過，研究人員認為，使用者與資安人員仍應注意被惡意濫用的系統設計，特別是在系統管理工具與事件記錄這些高度仰賴預設行為可信度的情境。</p> <p>此研究顯示即便未涉及程式錯誤或明確漏洞，攻擊者仍可結合系統設計邏輯與已知帳密，進行權限提升與事件隱匿。研究人員建議企業優先檢視工作排程相關活動與記錄異常，並強化敏感帳號密碼控管、調整事件記錄容量上限設定與UAC政策強化，以降低遭濫用風險。</p> </div></div></div>
2025/4/21 10:55作者李建興https://www.ithome.com.tw/news/168502
大膽走出不一樣的創新路，永豐金證三階段深耕數金
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年二月，金管會通過一項金融科技創新實驗案，這是金融監理沙盒沉寂四年來首見的新案，也是金融監理沙盒上路以來核准的第十案，與四年前通過的第九案，都出自同一間業者，他們是全臺唯一啟動兩項監理沙盒實驗的金融公司。</p> <p>這間公司，既非銀行也非金融科技公司，而是一間券商——永豐金證券。相較其他大型券商傾向穩健經營、維持市占，永豐金證券在數位策略上走出明顯不同路線，更勇於創新。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>三階段深化數位金融</strong></span></span></p> <p>早在2019年，永豐金證券就開始發展數位金融。起初的目標是擴大客源，「沒有客戶，就沒有後續經營。」永豐金證券數位金融處處長蘇威嘉回憶，當時首要任務是增加客戶數量，因此，推動線上開戶，是永豐證數金發展第一階段的主要方向。</p> <p>永豐金證券積極布局線上開戶，2019年正式推出數位證券戶，成為業界第一批推出數位帳戶線上交割戶綁定服務的券商，民眾能在線上直接開立交易帳戶，完成股票交易綁定交割帳戶。隔年持續擴大線上開戶服務範圍，可以一次完成線上臺股和海外複委託開戶。</p> <p>這些在疫情前的數位化發展，讓永豐金證券趕上疫情吹起的數位化浪潮，短短兩年間，開戶數成長率呈倍數成長。</p> <p>2021年更設立了數位化專責單位，永豐金證券正式成立了數位金融處，由蘇威嘉統籌數位發展，一路擔任處長至今。這一年，永豐金證券的線上開戶服務也跨出券商，進一步和同集團的永豐銀行合作，讓民眾能在線上一次同時申辦證券與銀行跨兩家公司的五種數位帳戶，包括銀行臺幣和外幣存款帳戶、信託帳戶、證券帳戶、複委託帳戶。這一步，讓永豐金證券數位證券戶線上開戶數超過14萬，這一年所有的開戶數中，高達八成四來自線上開戶。</p> <p>隨著客戶數逐漸攀升，達成第一個目標後，永豐金證券數位金融在2022年邁入第二階段，開始運用數位化方式，來開創多元化收入。「只要與經紀業務相關、可以創造收入的服務，都盡量嘗試。」蘇威嘉說。</p> <p>這些創新嘗試，有的是提供更多數位化的金融服務，推出海外債券電子交易平台臺，或是將不限定款項借貸服務線上化，提供線上申辦、試算，並快速撥款。</p> <p>也有將多種金融服務整成一站購足的形式，如永豐金證券的存股平臺，從一開始提供存股服務，逐漸發展成了一套整合開戶、下單、存股績效管理的一站式的金融商品購買平臺。</p> <p>不只是金融商品，永豐金證券更開始發展內容服務，以投資、理財文章平臺開始做起，慢慢擴大成提供理財資訊、新聞內容，和教學影片的綜合數位內容平臺。</p> <p>累積超過百萬戶客戶基礎，發展出多項數位化服務後，永豐金證券數位發展在2023年進入第三階段，深化既有服務。「透過數位化方式，讓服務做得更深、更廣。」蘇威嘉強調，這個階段要靠數位科技支持財富管理業務，例如透過IT、自動化技術、AI，來提供資訊、建議給顧問或客戶。「終極目標是，能提供客戶操作建議。」</p> <p>不只數金發展跨入新的階段，2023年這一年，永豐金證券更大膽改變了數位行銷的策略。</p> <p>蘇威嘉解釋，過去券商從事數位行銷多採用傳統作法，例如投放廣告增加曝光，或是經營社群粉絲專頁衝高會員數。然而，隨著同業間競爭越來越激烈，永豐金證券開始思考：「如何區隔化、差別化？」而經營數位媒體內容，包括提供新聞資訊、投資消息，和教學影片，便是讓他們開戶數轉往新階段邁進的關鍵。</p> <p>「深化服務同時，希望也能提供內容。」蘇威嘉解釋，透過這些投資相關的內容，可以從更多管道，接觸他們過往無法觸及的非客戶人群，不只是單純的獲客，而更強調要「全方位」地引流來獲客，「只要是對投資有興趣的民眾，就可以透過這些管道找到我們。」蘇威嘉說。</p> <p>為了發展更多自製的內容，永豐證也在數位金融處下成立數媒經營部，負責規畫數位內容平臺發展策略和行銷營運。目前，永豐金證券的數位內容網站，每個月流量超過三百萬人次瀏覽，自家YouTube頻道訂閱數也超過十萬，帶來了可觀的曝光度。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>自製數位產品，蒐集更多客戶行為數據</strong></span></span></p> <p>永豐金證券積極自製內容，不只是為了擴大接觸客戶的管道，更大目的是要，掌握用戶投資旅程更前段的歷程。</p> <p>蘇威嘉解釋，經營數位內容平臺，他們能追蹤客戶在網站或App上瀏覽的內容，了解客戶對哪些投資主題感興趣。可以更了解不同類型顧客，像是存股型、高頻交易型，或是趨勢投資型客戶，各自的內容偏好。如此一來，不只有機會在潛力顧客還沒開戶或尚未交易階段，就能與顧客建立連結，對永豐證後續開發服務和發展個人化推薦，也能先打下數據基礎。</p> <p>除了數位內容自製，永豐金證券的數位化產品，大多採用自製路線，而非仰賴外部廠商解決方案。</p> <p>傳統券商數位化重點是提供客戶端工具，可是，往往只掌握他們的下單行為，但是永豐證的想法不一樣，蘇威嘉指出：「我們希望透過App，掌握到整個客戶投資旅程。」</p> <p>所以，早在2020年，他就決定採取自製App路線，來提供下單平臺。從客戶開始有資金、思考是否投資、評估風險屬性、挑選標的、開戶，到最終完成下單，這些都是他們想了解的客戶行為。自製數位產品，讓永豐金證券得以掌握到更完整的客戶行為數據。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/1231-CDO-600.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">攝影／洪政偉</span></span></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>數據是最根本的基礎，從頭打造數金發展的數據基礎</strong></span></span></p> <p>在推動數位發展歷程中，永豐金證券最看重數據，從2019年至今，投入了近億元來打造數據團隊，也建立了一套交易所即時分析資料庫，彙整了每一天約四千萬筆委託回報數據，再以分析引擎將各項投資情報視覺化，例如市場上強弱勢產業、各股漲跌排名。</p> <p>蘇威嘉認為，統整數據工作中，「錢是其次，主要是投入大量人力和時間的成本。」他回憶，推動數位發展初期最大的挑戰，就是要處理累積三十年歷史的舊資料。永豐金證券曾合併過多家券商，業界早期缺乏資料維護觀念，整併後的數據品質參差不齊，像是同一位客戶竟有兩組身分證字號、客戶庫存為負等異常情況。</p> <p>為了提升數據品質，蘇威嘉坦言，當時花了許多人力重新整理資料，甚至在數金處成立初期，蘇威嘉每天親自帶著數據團隊，來梳理一條條的異常情況，歸納出一套處理原則。</p> <p>「應用是基於資料之上，這是最根本的原則，資料有錯，再怎麼分析都沒有用。」蘇威嘉強調。數位金融處成立之初，也同時設立了專責處理數據的數據部門。這支團隊除了要支援App發展數位服務，也要蒐集客戶行為資料，分析客戶樣態，作為行銷基礎。另一方面，數據團隊還要負責蒐集瀏覽數位內容網站的外部客戶數據，分析未來潛在客群輪廓，做為業務人員評估行銷成效與營運成果的關鍵依據。</p> <p>2021年，永豐金證券開始打造自家的數據心臟，像是建置一套數位足跡採集系統，結合了交易資料、平臺使用習慣、社群互動狀態、行銷回饋資訊、外部開放資料如市場資訊等各種結構與非結構化數據。</p> <p>並且，永豐金證券也將各種不同面向的客戶行為軌跡進行整合，透過大數據分析建立客戶標籤，來建構顧客360度圖譜分析，能協助業務人員提供客製化服務。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>GenAI應用發展路線：知識匯集、挑選商品、選股、交易</strong></span></span></p> <p>在GenAI浪潮崛起後，多年打下的數據基礎，成了永豐金證券發展AI的加速關鍵。</p> <p>早在去年8月，永豐金證券就在下單App上推出兩項生成式AI應用，分別是「AI市場輿情」與「今日新聞快訊」2項功能，前者透過生成式AI彙整市場消息，透過輿情橫條圖顏色占比，提供客戶在投資時參考，後者則是透過生成式AI摘要前一日新聞摘要。每天App都會針對上百檔熱門臺股標的，提供AI市場輿情資訊。</p> <p>耗時一年完成這兩項應用，蘇威嘉提到，開發過程最大挑戰是，如何讓GenAI聽懂人類的指令後，正確地生成資訊。團隊不斷訓練AI學習機制，才讓應用順利上線。蘇威嘉表示，下一階段，將鎖定客戶庫存標的和瀏覽過的股票，提供客制化資訊。</p> <p>蘇威嘉也公開了永豐金證券的AI應用發展路線，將從提供知識匯集、挑選商品，到選股、交易，最後發展到資產管理場景。尤其，未來在資產管理場景的AI應用，他們期望能突破傳統的投資組合計算方式，透過GenAI測試更多投資場景或參數組合。</p> <p>這僅是永豐證其中一個發展方向。蘇威嘉透露，內部正在測試各種AI應用可能性，待確定應用足夠穩定，才會對外推出。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>今年重點推動股票禮品卡</strong></span></span></p> <p>永豐金證券今年的重點專案是，推動股票禮品卡產品，這是今年二月，金管會核准的創新實驗案，實驗期間為一年。在這項實驗案中，永豐金證券會以電子形式發行和販售股票禮品卡，民眾購買禮品卡後可以自行使用，或贈送他人。</p> <p>蘇威嘉解釋，股票禮品卡類似零售商品概念，能讓永豐金證券接近更多新客戶。增加獲客，是永豐金證券現階段推動股票禮品卡的主要目標。蘇威嘉也表示，待股票禮品卡落地完成後，他們仍會持續推動這項產品，包括和第三方合作，拓及更多管道，「是一個很大的潛在市場。」</p> <p>在擁有30年歷史的券商中推動數位金融多年，蘇威嘉不只一次勇於開創新道路。是否有過掙扎？蘇威嘉坦言，沒有掙扎太多，「因為我知道，一定要這樣做，要不然沒有其他方法，」正因不是業界龍頭，讓永豐金證券更敢創新，「我們就是要用其他方式，才能走出不一樣的路。」他說。</p> <p> </p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> CDO小檔案 </span></strong></span></p> <p><strong>永豐金證券數位金融處處長蘇威嘉</strong></p> <p>學歷：哥倫比亞大學財務工程系碩士</p> <p>經歷：曾在KBC Financial Products擔任資深交易員。爾後，陸續在永豐金旗下公司擔任要職，曾任永豐金證券（亞洲）營運長、永豐金資產管理（亞洲）總經理、永豐金證券資訊處處長。現任永豐金證券數位金融處處長，統領6大單位，持續往數位經營邁進。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司檔案 </span></strong></span></p> <p><strong>永豐金證券</strong></p> <p>●地址：臺北市中正區重慶南路一段2號7樓、18樓及20樓</p> <p>●成立時間：1988年</p> <p>●主要業務：永豐金控全資證券子公司，業務範圍涵蓋經紀、自營、承銷、國際、債券及新金融商品等</p> <p>●員工數：截至2024年02月29日，共2,430人</p> <p>●稅後盈餘：2024年累計1-12月稅後盈餘58.28億元。</p> <p>●董事長：朱士廷</p> <p>●總經理：張李章隆</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 公司數位發展大事記 </span></strong></span></p> <p>●2019年：開始發展數位金融，第一階段重點推動線上開戶。正式推出數位證券戶。推出數位帳戶線上交割戶綁定服務</p> <p>●2020年：推出「豐存股」數位平臺、海外債券電子交易平臺、「永豐金理財網—豐雲學堂」</p> <p>●2021年：數位金融處正式成立。自製下單數位產品「大戶投App」正式上線。推出線上一次同時申辦證券與銀行跨兩家公司五個數位帳戶服務。開始打造自家的數據心臟，建置數位足跡採集系統、顧客360度圖譜分析</p> <p>●2022年：邁入數位金融發展第二階段，開始運用數位化方式，來開創多元化收入。推出不限用途款項借貸2.0服務。金融監理沙盒落地完成，可透過機器人理財系統提供客戶投資建議</p> <p>●2023年：數位金融發展第三階段，深化既有服務，靠數位科技支持財富管理業務。數位金融處下設數媒經營部，負責規畫數位內容平臺發展策略和行銷營運</p> <p>●2024年：在下單App推出兩項生成式AI應用，分別是「AI市場輿情」與「今日新聞快訊」</p> <p>●2025年2月：金管會核准永豐金證券股票禮品卡金融科技創新實驗案</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/1231-cdo-960.jpg" width="960" height="420" alt="" title="永豐金證券數位金融處處長蘇威嘉　　（攝影／洪政偉）" /></div></div></div>
2025/4/21 09:03作者李昀璇https://www.ithome.com.tw/people/168499
Qt AI開發助理更新支援LLM本地部署，強化QML與C++開發體驗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>知名框架開發公司<a href="https://www.qt.io/blog/qt-ai-assistant-v0.9-released-deploy-llms-locally-and-enjoy-the-upgraded-user-experience">Qt宣布釋出Qt人工智慧助理0.9版本</a>，正式支援本地部署大型語言模型，同步推出多項針對QML與C++開發者的功能強化，包括即時文字串流顯示、Google Test測試碼自動產生與程式碼行內註解，進一步提升互動體驗與程式碼可維護性。新版助理需搭配Qt Creator 16.0.1使用，現已開放下載與更新。</p> <p>此次更新的亮點，是支援本地執行的兩款開源大型語言模型，分別是CodeLlama‑7B‑QML與DeepSeekCoder v2 Lite，開發者可透過Ollama架構在個人電腦上執行推論，無須仰賴雲端API，即可在本地進行程式碼完成（Code Completion）。Qt團隊指出，這些模型已針對超過5,000筆QML原始碼樣本進行微調訓練，相較前一版4,000筆資料，進一步強化括號完成等語法細節的預測準確率。</p> <p>根據Qt內部QML100FIM基準測試，CodeLlama‑7B‑QML已具備與Claude 3.7 Sonnet相近的完成品質，而DeepSeekCoder v2 Lite則接近GPT-4o等級的輸出水準。</p> <p>除了模型升級，新版Qt人工智慧助理也也改進多項體驗。文字串流（Text Streaming）機制改為即時顯示人工智慧模型回應，取代過去需等待完整輸出才呈現的作法，縮短等待時間，也提升使用流暢度。更新後的提示視窗內建語法突出顯示功能，可直接突顯程式片段中的關鍵結構，有助於閱讀與理解。</p> <p>因應使用者建議，這次Qt人工智慧助理更新也納入針對C++開發者的Google Test測試碼自動生成功能，可依據現有邏輯自動建立基本測試架構，初步協助導入單元測試。另外，還新增行內註解生成功能，可於QML與C++程式碼中直接加入人工智慧生成的可讀性註解，使用者僅需一鍵套用，可提升團隊協作時的程式透明度與可維護性。</p> <p>Qt表示，未來將持續改進人工智慧助理模型表現與使用者體驗，並探索更多跨平臺與UI開發場景的應用可能性。</p> </div></div></div>
2025/4/21 09:04作者李建興https://www.ithome.com.tw/news/168490
鎖定HPC叢集系統需求，HPE推出採用Xeon 6的1U2路伺服器
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/hpe_proliant_compute_xd230_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.hpe.com/us/en/newsroom/press-release/2025/02/hpe-introduces-next-generation-proliant-servers-engineered-for-advanced-security-ai-automation-and-greater-performance.html">今年2月12日</a>，HPE在ProLiant Compute Gen12系列當中，<a href="https://www.ithome.com.tw/review/168252">發表6款新機型</a>，然而，在這個月初，他們悄悄推出搭配英特爾Xeon 6處理器的1U2路機型，名為ProLiant Compute XD230。</p> <p>該款機型發表的消息，我們最初是在3月代理商群環科技網站的<a href="https://hpe-bestcom.com.tw/shownews/660891686954501">產品情報頁面</a>看到，後續到HPE網站查詢時，也看到他們公開細部技術規格，截至4月中為止，產品資訊已更新至第三個版本。</p> <p>就產品線而言，根據HPE目前揭露的資訊研判，XD230可提供機箱層級至機櫃層級的硬體規模擴充能力，屬於鎖定高效能運算（HPC）與企業資料中心市場的HPE Cray XD2000，此系統目前搭配3種伺服器節點：採用英特爾第五代Xeon Scalable處理器XD220v（1U2路），以及採用AMD第五代EPYC處理器的XD225v（1U2路）、XD295v（2U2路）。</p> <p>今年上半新推出的XD230，名稱與上述三款機型相似，但本身是1U2路的單節點伺服器，而且，處理器採用內建高效能核心（P-core）的英特爾Xeon 6（6900P系列，代號為Granite Rapids-AP），而且支援MRDIMM、8800MT/s速度的記憶體。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20Cray%20XD2000-2025-04-1.jpg" style="width: 198px;" /> <a href="https://s4.itho.me/sites/default/files/images/HPE Cray XD2000-2025-04-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20Cray%20XD2000-2025-04-2.jpg" style="width: 398px;" /></a></p> <p>在這樣的系統組態之中，Xeon 6處理器提供的HPC效能，相當於第五代Xeon Scalable處理器的兩倍（6980P對上8592+），在HPCG效能測試結果當中，前者可達到後者的2.5倍，每瓦效能為1.73倍）。XD230本身也支援熱設計功耗500瓦的Xeon 6處理器款式，可選用封閉迴路型液冷套件或直接液冷（DLC）套件。</p> <p><a href="https://s4.itho.me/sites/default/files/images/XD230-image (9).jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/XD230-image%20(9).jpg" style="width: 600px;" /></a></p> <p>就整臺伺服器而言，ProLiant Compute XD230最多可提供256顆核心，安裝24支DDR5-6400記憶體（最大容量3 TB），而在周邊裝置的擴充能力上，這款機型可安裝3張PCIe 5.0 x16介面卡，兩張OCP 3.0外形的網路卡，以及用於系統開機、支援硬體RAID備援的兩張M.2外形NVMe SSD（NS204i-u模組，類似Dell的BOSS控制器介面卡）。</p> <p>而在系統管理與安全防護上，ProLiant Compute XD230與ProLiant Gen11系列伺服器一樣，都採用ASIC晶片HPE iLO 6（但能換為OpenBMC），以及硬體信任根、UEFI安全開機、具有防竄改能力的韌體更新。</p> <p>關於網路連線規格的支援，XD230不僅能搭配英特爾、博通（Broadcom）、輝達（Nvidia）的10GbE/25GbE與100GbE網路卡，針對高效能運算應用需求，XD230還可選用進階的交織網路元件，像是支撐Cray超級電腦叢集網路環境的Slingshot 400GbE互連網路卡。</p> <p>而在叢集管理軟體的部分，XD230也完全整合HPE Performance Cluster Manager（HPCM，先前稱為CSM或CCMS），此套軟體可提供系統設定、硬體監控與管理、系統映像管理與軟體更新、耗電量管理、獨立軟體開發商與開放原始碼的軟體解決方案，以及AIOps功能。在軟體開發工具的使用上，XD230整合自家的解決方案，像是：HPE Cray Supercomputing Programming Environment（CPE）、HPE Message Passing Interface（MPI），針對第三方的開發工具使用，這款伺服器目前支援<a href="https://gcc.gnu.org/">GCC</a>、<a href="https://developer.nvidia.com/networking/hpc-x">Nvidia HPC-X</a>、<a href="https://www.amd.com/zh-tw/developer/aocc.html">AMD AOCC</a>，以及Perforce TotalView。</p> <p><a href="https://s4.itho.me/sites/default/files/images/HPE Cray XD2000-2025-04-3.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/HPE%20Cray%20XD2000-2025-04-3.png" style="width: 600px;" /></a></p> <p><strong><span style="color:#008080;">產品資訊</span></strong></p> <p><strong><span style="color:#0000FF;">HPE ProLiant Compute XD230</span></strong><br /> ●原廠：HPE<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：1U<br /> ●處理器：1或2顆英特爾Xeon 6 P-Core系列（48至128顆核心）<br /> ●記憶體：24個DDR5插槽（預設RDIMM，6400 MT/s；可支援MCRDIMM，8800 MT/s），最大可安裝至3 TB<br /> ●硬碟容量：10臺2.5吋NVMe固態硬碟，或20臺E3.S NVMe固態硬碟<br /> ●I/O介面：2個PCIe 5.0 x16，可安裝1張全高半長、1張短板，以及兩張OCP 3.0介面卡<br /> ●電源供應器：3200/2400瓦（1+1備援）<br /> ●管理平臺：HPE iLO6（可改用OpenBMC）、HPE OneView</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/4/18 19:26作者李宗翰https://www.ithome.com.tw/review/168474
【資安日報】4月18日，趨勢科技公布勒索軟體駭客CrazyHunter攻擊手法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這兩個月不斷在臺灣攻擊醫院、上市櫃公司的勒索軟體駭客組織CrazyHunter，在4月初刑事警察局公布駭客身分後，最近有資安業者透露其作案手法，並認為該組織的主要攻擊目標，就是臺灣。</p> <p>本週趨勢科技公布相關調查結果，他們提及駭客利用的工具多半由GitHub就能取得，這代表駭客犯案的門檻並不高。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168479"><strong style="font-size: 22px;">趨勢科技證實CrazyHunter鎖定臺灣而來，運用來自GitHub的工具犯案</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/CrazyHunter-Figure7.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/CrazyHunter-Figure7.png" style="width: 300px; float: right;" /></a>從今年2月開始攻擊馬偕、彰基，以及臺灣多家上市櫃公司而引起全臺灣高度關注勒索軟體駭客組織CrazyHunter，4月初刑事警察局公布駭客身分，並表示地檢署已發布通緝，但對於駭客的攻擊手法，近期終於有資安業者公布相關細節。</p> <p>趨勢科技本週透過部落格文章揭露這一系列鎖定臺灣的攻擊調查結果，他們從1月初開始追蹤、調查CrazyHunter，並確認該組織約有8成的作案工具透過GitHub平臺取得，且藉由自帶驅動程式（BYOVD）手法迴避偵測。而根據駭客架設的資料外洩網站，他們專門針對臺灣的企業組織而來，尤其針對醫療保健及教育機構，但也有製造業及工業領域受害的情形。</p> <p>針對駭客使用的工具，最引起研究人員注意的是勒索軟體建置工具Prince，原因是此工具可直接從GitHub取得，且能讓攻擊者輕易產生變種勒索軟體來降低攻擊門檻。此勒索軟體以Go語言打造而成，駭客採用ChaCha20與ECIES演算法加密受害電腦，並置換副檔名為.Hunter。</p> <p><a href="https://www.ithome.com.tw/news/168424"><strong style="font-size: 22px;">【當心提示注入、敏感資訊洩漏、錯誤資訊等問題】已在真實世界發生的LLM資安風險</strong></a></p> <p>當生成式AI技術快速進入企業應用的同時，資安風險也伴隨而來，在知名OWASP Top 10風險排名報告中，已列出並持續更新大型語言模型（LLM）應用的十大安全風險，不僅揭露應用的潛在威脅，也提醒生成式AI服務供應商，以及應用這些技術的企業與個人，應注意這方面的安全問題。</p> <p>別以為這些只是假設在未來發生的情境，有些風險本身就是反映真實世界存在的安全事件。在我們近期報導的國內外資安新聞中，就有一些案例突顯這些問題，並且提醒大家須保持警惕。</p> <p>其中，去年11月在臺灣就發生相關事故，有民眾發現，北捷提供的AI智慧客服服務，竟能用於生成程式碼範例，引發許多網友測試，導致資源遭濫用。這其實就是名列LLM十大風險的「提示詞注入」當中的一種情境，使用者透過特定輸入，誘使AI客服產生超出預期範圍的回應，代表系統可能未有效限制模型的回應範圍，導致被濫用。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/04/state-sponsored-hackers-weaponize.html">北韓、伊朗、俄羅斯駭客發動ClickFix網釣攻擊，散布惡意軟體</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/04/mustang-panda-targets-myanmar-with.html">中國駭客Mustang Panda鎖定緬甸而來，利用StarProxy橫向移動</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/brickstorm-backdoor-targets-european-industries/">中國駭客UNC5221鎖定歐洲，散布後門程式BrickStorm</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/chrome-extensions-with-6-million-installs-have-hidden-tracking-code/">惡意Chrome延伸套件遭下載6百萬次，受害者恐遭監視上網行為</a></strong></p> <p></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/04/experts-uncover-four-new-privilege.html">Windows工作排程元件存在弱點，恐被用於提升權限</a></strong></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168469"><strong style="font-size: 22px;">【臺灣資安大會直擊】個資保護委員會籌備處建議用MFA確保使用者身分安全，並以高安全性多因子驗證來提高攻擊難度</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/1744900536774.jpeg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1744900536774.jpeg" style="width: 300px; float: right;" /></a>「許多人會問個資保護與資訊網路安全到底有什麼關係？答案是兩者之間有關係！」，個人資料保護委員會籌備處隱私科技組組長林逸塵在今年資安大會上這麼說。林逸塵指出，對於資料及資安保護採取PDCA四大步驟，規畫（Plan）、實施（Do）、檢查（Check）、改善（Adjust），數發部產業署在2023年提出詳細的PDCA各步驟要求，可供企業參考，只要公司內有資訊系統，除了要符合資訊服務業者的PDCA四大步驟，還需要遵守各自業別的法律規定及資料保護要求。</p> <p>在PDCA裡，「實施」要求企業需確保資料安全、人員安全、設備安全。林逸塵表示，只要企業有資訊系統及資訊設備，對個資進行存取、新增或修改，就需要符合資料安全、人員安全、設備安全的要求。其中在身分鑑別方面，除了傳統使用的帳號及密碼，近幾年倡導使用多因子驗證（MFA），因不同的因子安全性高低有別，因此，林逸塵也建議應該將因子安全性高低納入考慮，例如採用電子憑證或生物特徵，甚至是將更多的因子綁在一起，提高攻擊的難度。</p> <p><a href="https://www.ithome.com.tw/news/168470"><strong style="font-size: 22px;">【臺灣資安大會直擊】安碁學苑：企業應從實務出發，打造涵蓋內外部人員角色的資安人才梯隊培訓藍圖</strong></a></p> <p>資安威脅複雜程度不斷提升，駭客手法隨著科技創新跟著進化的現今，企業應如何規畫資安人才培育，來支援企業營運韌性？資安訓練服務商安碁學苑營運長劉孟昌列出三項企業可自我檢視的問題：是否具備即戰力的資安團隊？是否有分類與分層次的資安人才培育藍圖？以及，是否具備整合內外部資源、持續進化的能力？</p> <p>劉孟昌進一步解釋，現行環境下，不只資安人才不足成挑戰，培訓資安人才的方式，也可能跟不上日新月異的資安威脅。他觀察，不少企業資安訓練內容，是證照考取導向，或理論導向。這類培訓方法，難以為資安人員應付最新威脅做準備。應該以實務為導向來培育具備即戰力的資安人員，才能對威脅快速反應。</p> <p>不只IT和資安人員需要具備即戰力。劉孟昌認為，企業應該先意識到，每個部門的每個角色都是資安第一線防線。由於每個職位的工作流程，仍是該職位人員最熟悉。企業須普及資安意識及知識到全體員工，才能靠各職位人員辨別工作流程中易被突破的環節或資訊外洩缺口。</p> <p><a href="https://www.ithome.com.tw/news/168178"><strong style="font-size: 22px;">HTTPS憑證產業於3月新增兩項安全要求，7月禁止基於WHOIS的弱驗證</strong></a></p> <p>憑證頒發機構瀏覽器論壇Certification Authority Browser Forum（CA/Browser Forum）近日通過了HTTPS憑證兩項新的安全要求，包括多方發行驗證（Multi-Perspective Issuance Corroboration，MPIC），以及憑證檢查（Linting），並已於今年3月15日正式實施，而這兩項要求都是由Google內部的瀏覽器憑證管理專案Chrome Root Program所提出。</p> <p>除了上述兩項已經施行的憑證頒布安全機制外，Google也已提議淘汰某些基於WHOIS的弱驗證，這些包括透過電子郵件、電話，以及傳真與實體郵件等驗證方法，以推動更安全的網域控制驗證機制，該禁令預計於今年的7月15日生效。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/168466"><strong>【4月17日】CVE專案長年靠美國政府資金運作議題浮上檯面</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168438"><strong>【4月16日】MITRE停止維護CVE等多項專案，恐波及全球資安漏洞分析</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168418"><strong>【4月15日】總統親臨臺灣資安大會致詞，從國家戰略、產業政策彰顯資安</strong></a></p> </div></div></div>
2025/4/18 15:27作者周峻佑https://www.ithome.com.tw/news/168486
專門解析AI模型內部運作原理的Goodfire，展開5,000萬美元的A輪融資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年才創立、專門解析AI模型內部運作原理的<a href="https://www.goodfire.ai/blog/announcing-our-50m-series-a" target="_blank">Goodfire周四（4/17）宣布</a>，正在展開由Menlo Ventures領投的5000萬美元A輪融資，以用來拓展其研究計畫，以及與客戶共同開發可解釋性平臺Ember。</p> <p>Goodfire成立於2024年，在去年8月完成700萬美元的種子輪融資，股東之一是由Menlo Ventures及AI新創Anthropic在同年7月共同創立的1億美元基金<a href="https://menlovc.com/anthology-fund/" target="_blank">Anthology Fund</a>，也是Anthology Fund首批投資的公司之一。Anthropic也參與了Goodfire的A輪融資，其它參與者還包括Lightspeed Venture Partners、B Capital、Work-Bench、Wing及South Park Commons。</p> <p>Goodfire的共同創辦人包括現任執行長Eric Ho，曾共同創辦DeepMind可解釋性團隊的Tom McGrath，曾共同創辦Apollo Research並率先使用稀疏編碼器的Lee Sharkey，以及曾共同創立OpenAI可解釋性團隊的Nick Cammarata。</p> <p>Goodfire所從事的是新興的逆向工程神經網路科學，專注於核心機制的可解釋性研究，目的是實現模型神經網路的腦部手術。由Goodfire所開發的Ember平臺主要用來解碼AI模型內部的神經元，以便直接或可透過程式設計來存取模型的內部想法，企圖解鎖採用、訓練及調整AI模型的新方法，讓使用者得以發現隱藏於模型內的新知識，精確塑造模型的行為並提高模型性能。</p> <p>這是因為AI模型的通常含有數層的神經元，它們經過反覆的訓練與調整，處理大量的資料，而且許多深度學習模型會自動從原始資料中學習特徵，即便是在訓練過程中知道每個權重與偏差的變化，但卻難以追蹤模型的決策過程，因而又被稱為黑箱。隨著AI模型變得愈來愈大，它們也愈來愈不透明，開始有AI專家擔心這些模型在人類不明白其運作原理時所作出的關鍵決策。</p> <p>Ho說，沒有人了解AI模型失效的機制，因此也沒有人知道該如何修復它們，Goodfire的願景是建構各種工具，以讓組織得以從內而外地理解、設計與修復神經網路，而此一技術對於打造安全而強大的基礎模型至關重要。</p> <p>未來Goodfire計畫釋出更多的研究預覽版，以支援涵蓋圖像處理、先進推理語言模型，以及科學建模等領域的可解釋性技術。</p> </div></div></div>
2025/4/18 15:58作者陳曉莉https://www.ithome.com.tw/news/168488
OpenAI測試速度較慢，但價格只有一半的API選項Flex Processing
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://platform.openai.com/docs/guides/flex-processing" target="_blank">OpenAI開始測試</a>一個名為Flex Processing的API選項，顧名思義，它具備彈性處理的特性，回應時間可能比較慢，偶爾還會出現資源不可得的狀態，但它的價格只有傳統API的一半，由於尚處測試階段，因此目前僅支援o3及o4-mini模型。</p> <p>OpenAI說明，Flex Processing可大幅降低開發者在對話補全（Chat Completions）或回應（Responses）請求上的成本，代價是可能會有較慢的回應時間，或是偶爾會出現資源不可得的情況。然而，它非常適合非生產或低優先性的任務，像是模型評估，資料擴充，或是非同步的工作負載等。</p> <p>目前OpenAI平臺的定價頁面上已經出現了Flex API，它的價格與Batch API一致，切換就能看到相關價格。</p> <p>o3模型原本每百萬個輸入Token的價格為10美元，每百萬個輸出Token的價格為40美元，o4-mini每百萬個Token的輸入與輸出則分別是1.1美元與4.4美元，但切換至Flex API之後，它們的價格分別只要5美元、20美元、0.55美元與2.2美元。</p> <p>開發人員只要在API請求中，將service_tier參數設為flex即可啟用該功能，OpenAI提醒，以官方OpenAI SDK送出API請求時，其預設的超時時間為10分鐘，倘若提示過於冗長或任務相對複雜，可能需要提高該數字，此外，當遇到資源不可得時，可採用指數退避機制來重試請求。</p> <p>相較於Batch API主要用來處理大量任務，並非即時，且處理時間的上限長達24小時，Flex Processing依然傾向於即時處理，只是可能會稍微有些延遲。</p> </div></div></div>
2025/4/18 14:44作者陳曉莉https://www.ithome.com.tw/news/168484
微軟Semantic Kernel整合MCP與A2A協定，大幅擴展跨模組AI代理互通性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟開源人工智慧代理開發框架Semantic Kernel，現已支援來自Anthropic與Google的兩項開放協定，分別是MCP（Model Context Protocol）與A2A（Agent‑to‑Agent），進一步強化跨代理上下文共用、工具協作與跨雲環境的互通能力。透過這兩項協定的整合，開發者不僅能在本地與遠端串接多個語言模型、工具與代理，也能實現跨平臺、跨生態的模組化任務委派與功能組合，進一步簡化多代理系統的建構流程。</p> <p>在<a href="https://devblogs.microsoft.com/semantic-kernel/semantic-kernel-adds-model-context-protocol-mcp-support-for-python/">MCP支援</a>方面，Semantic Kernel從Python 1.28.1版本以來，已具有完整客戶端與伺服器角色的能力，可作為MCP主機開放自身的函式與提示詞，還能當作客戶端串接任何符合MCP協定的伺服器。MCP支援多種傳輸層，包括Stdio、SSE與WebSocket，允許開發者根據執行環境選擇合適的串接模式。該機制特別適用於在模型存取受限的場景，透過主機完成文字生成任務，維持封閉環境的運作安全。</p> <p>此外，Semantic Kernel也完成對Google所推的<a href="https://devblogs.microsoft.com/foundry/semantic-kernel-a2a-integration/">A2A協定的初步整合</a>。A2A為一種輕量化的JSON-RPC over HTTP協定，設計目標在於促進不同雲端平臺，人工智慧代理間的非同步上下文交換，避免傳遞敏感憑證與複雜相依元件。微軟提供的整合範例中，建置了一個旅遊代理，能根據任務類型動態路由至匯率查詢代理，或行程規畫代理，並透過A2A的Agent Card機制進行自動探索與任務派送。</p> <p>MCP與A2A協定源自不同技術社群，但其目的皆是提升人工智慧代理間，上下文可用性與功能互操作性。Semantic Kernel整合這兩項協定，擴展了人工智慧系統在不同環境間彈性部署，對企業開發團隊與代理系統設計者而言，可降低多代理協同實作的技術門檻，也對異質系統的模組化人工智慧代理的導入與部署，帶來更高的自由度。</p> <p>目前相關範例已釋出於Semantic Kernel與Google A2A的官方範例儲存庫，微軟也預告將持續擴充整合腳本，包含Azure AI Foundry與Semantic Kernel的整合範例，供開發者參考建構彈性多雲環境人工智慧代理應用。</p> </div></div></div>
2025/4/18 14:54作者李建興https://www.ithome.com.tw/news/168485
Cloud周報第222期：Google AI超級電腦技術架構大升級，日本MUFG兩萬六千名員工改用雲端CRM，英國Ll…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#0000FF;"><strong>雲端重點新聞（2025/3/20～4/15）</strong></span></p> <p><strong>這期介紹Google在Next大會最新發表的AI超級電腦技術架構的最新發表之外，也特別介紹了兩家大型金融集團的上雲成果，一家是日本金融機構日本最大金融集團MUFG（三菱日聯銀行）採用雲端CRM，另一家是英國最大零售銀行集團Lloyds打造了一個全集團通用的雲端GAI平臺</strong></p> <h3><strong><span style="color:#FF0000;">#AI技術架構 #Google產品架構</span><br /> 一張圖揭露Google AI超級電腦架構今年有哪些新產品，從硬體層到軟體都瞄準AI推論</strong></h3> <p>早在2年前，Google就發表了這個AI Hypercomputer超級電腦架構，整合了效能最佳化的硬體、開放軟體與與靈活的消費模式。當年提出這個架構的目標是為了提供AI訓練、微調與服務的效率及生產力。這個AI超級電腦架構可說提供了一套AI基礎設施，可供企業直接取用，或透過Vertex AI開發平臺來調度運用。 </p> <p>在今年Next大會中，AI Hypercomputer從底層硬體、中間開放軟體，到上層消費模式都有更新，Google也用一張圖來盤點這11項新特色。</p> <p>在AI超級電腦架構的底層硬體層，除了發表了專為模型推理所設計的第七代TPU處理器Ironwood之外，也推出了兩款新的GPU虛擬機器實例，包括了正式上市的A4 VM（Nvidia B200）以及目前處於預覽階段的A4X VM，後者搭載了Nvidia GB200。為了支援AI工作負載需要的超低延遲，Google提供了400G頻寬的網路互連和跨雲互聯，是原本頻寬的4倍。可以支援到單一叢集3萬顆GPU。另外也針對AI工作負載的資料存取，推出兩款新的儲存機制上，一像是新的區塊儲存池服務，稱為Hyperdisk Exapools（超磁碟池），可以管理和調度最多數EB的資料量，支援AI叢集每秒高達TB級的資料流量，預計在今年第二季釋出預覽版。</p> <p>Google物件儲存則推出了用Google檔案叢集專案Colossue打造的區域內Rapid Storage（快速儲存）服務，透過gRPC串流技術，可以提供低於1毫秒延遲的亂數讀寫，每秒6TB的資料吞吐量，在單一區域內支援GPU和TPU的資料存取，來支援AI模型訓練之用。針對AI工作負載的資料存取，Google也推出兩款新的儲存機制上，一像是新的區塊儲存池服務，稱為Hyperdisk Exapools（超磁碟池），可以管理和調度最多數EB的資料量，支援AI叢集每秒高達TB級的資料流量，預計在今年第二季釋出預覽版。在物件儲存服務上，推出了用Google檔案叢集專案Colossue打造的區域內Rapid Storage（快速儲存）服務，透過gRPC串流技術，可以提供低於1毫秒延遲的亂數讀寫，每秒6TB的資料吞吐量，在單一區域內支援GPU和TPU的資料存取，來支援AI模型訓練之用。</p> <p>不只訓練，針對AI推論需求，Google也推出了Cloud Storage Anywhere Cache（雲端儲存任意地點快取）可以將既有區域雲端儲存的資料轉移到指定雲端區域的快取上，進一步減少資料讀取的延遲時間和提高吞吐量，例如針對不同地區使用不同的雲端區域快取，來提高AIj推論的反應速度。</p> <p>在AI超級電腦架構中間的開放軟體層，最大新特色是發表了雲端版Pathways，這是一個由Google DeepMind團隊開發的分散式訓練和推論平臺。Pathways可以拆解生成式AI推論服務處理過程，將高耗運算的prefill（預填入）任務和高耗記憶體的Decode（解碼）任務，拆成不同的處理，各自分配不同的運算資源來處理，來優化AI推理的處理。</p> <p>GKE是不少企業常用於執行模型推論的雲端環境之一，Google推出了叢集管理工具Cluster Director升級版，可支援GKE工作負載的管理，像是工作負載配置安排，排程規劃等，來支援AI訓練耕作負載的調度。GKE更推出了兩項支援AI推論的新功能預覽版，推論閘道器和推論快速啟動器，前者可以用來分配和安排大量AI推論請求的負載平衡，後者則可以依據AI模型特色快速配置需要的GKE環境資源。最後一項軟體層新特色是推出可以支援TPU運算的vLLM推論框架，這是一個支援超大吞吐量的快速推論框架，也可使用TPU來計算。</p> <p>在算力消費模式上，可自動調配工作負載的Google動態工作負載排程器（DWS）服務，也宣布支援加速處理器，可以在Flex Start模式下，調度第五代TPU v5e晶片、第六代TPU晶片Trillium，搭載H200的A3 Ultra虛擬機器、搭載B200的A4虛擬機器等。未來還將支援日曆模式，指定日期來調度。DWS更增加了適合長期執行的推論工作負載調度和大範圍訓練任務的負載調度。</p> <h3><strong><span style="color: rgb(255, 0, 0);">#GAI趨勢 #企業需求觀察</span><br /> 美銀研究：GAI帶動AI基礎設施三階段發展，2027年將爆發企業AI需求潮</strong></h3> <p>3月底，美國銀行全球研究部（BofA Global Research）在臺舉辦論壇，美銀超級研究部門主管Tap Liani觀察，「AI基礎設施將進入一個持續多年成長的發展周期。」</p> <p>他剖析，當前AI發展處於基礎設施建設的初期，還沒看到應用程式。大型雲端公司正在打造AI需要的基礎設施，是第一階段，第二階段則是雲端SaaS公司，他們會找到獨特的方式運用AI。但「第三階段才是影響最大的階段，可能從2027年開始，大量企業要找出適合AI的應用。」像是利用AI來創造新的收入，降低成本，尋找新顧客，尋找新的商業模式等。「第三階段的基礎建設規模，將比現在的規模還要大四到五倍。」</p> <p>Tap Liani剖析，因為企業不想將自己的數據交給大型雲端業者，為了將數據留在內部，必須建立自己的基礎設施。未來2、3年，企業會積極開始建立邊緣雲，將創新和算力帶到邊緣環境中。從第一階段到接下來的二、三階段發展，「AI基礎設施將進入一個持續多年成長的發展周期。」</p> <p>AI基礎設施如何降低成本？必須先區分出訓練和推論的不同，訓練不是節省成本最多的階段，推論才是。「AI推論更適合企業的應用，如果推論成本可以降低9成，甚至更高，將加快推論應用的部署，進而加速企業採用GAI。」Tap Liani觀察。</p> <p>從今年GTC主題演講揭露的數據，光是四大公雲業者在2025年就訂了高達360萬張新一代Blackwell GPU卡，比2024年的前一代Hopper GPU訂購量130萬張，多了快三倍。這個數據呼應了美銀超級研究部門主管的觀察，當前處於第一階段的發展，大型雲端積極投入AI基礎設施的建置。等到第三階段，企業大量採用後，知名研究機構如Dell’Oro也曾預測，2028年全球AI資料中心的資本投資規模將高達1兆美元。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%BE%8E%E9%8A%80%E8%B6%85%E7%B4%9A%E7%A0%94%E7%A9%B6%E9%83%A8%E9%96%80%E4%B8%BB%E7%AE%A1.jpg" /></p> <h3><strong><span style="color:#FF0000;">#AI推論 #TPU晶片</span><br /> Google推出第一款瞄準推論AI需求的TPU</strong></h3> <p>剛4月初剛結束的Google年度大會Next，官方統計多達229項宣布，涵蓋了GAI在不同層面的應用需求，從雲端AI基礎架構，到地端GAI部署，推出了多款更強更多模態內容生成的AI模型升級，也涵蓋了後端服務、資料服務到前端GAI開發的輔助，更發表了一系列辦公室生產力套件的GAI升級版本。</p> <p>第一個值得關注的重大新產品是Google Cloud推出第一款瞄準推論AI需求的TPU處理器Ironwood。這是第七代TPU處理器，主要針對大規模推論需求而設計，尤其可用於思考型的模型，像是大型語言模型，進階推理任務的模型或是採取混合專家模型架構的LLM。</p> <p>Google雲目前提供了兩款規模的Ironwood工作負載，一種是256顆TPU的規模，另一個是9,216顆TPU的叢集。這款新TPU單一晶片可以提供最高4,614 TFlops的運算能力，9,216顆TPU的叢集可以提供到42.5 EFlops的算力，是現在世界最強超級電腦El Capitan算力的24倍以上。Ironwood採取液體冷卻設計，每瓦提供的算力是去年第六代TPU的2倍。</p> <p>為了支援如此龐大的算力計算，Google Cloud也搭配使用了DeepMind團隊開發的ML分散式計算框架Pathways，可以將數十萬個Ironwood晶片組合在一起進行分散式運算。<br /> 不只自家開發的TPU，在AI算力支援上，Google Cloud先前就宣布將提供搭載Nvidia B200和GB200兩款GPU的 A4和A4X虛擬機器，Google會成為Nvidia新一代GPU架構晶片Vera Rubin GPU的第一家雲端供應商。</p> <h3><strong><span style="color:#FF0000;">#落地部署 #Gemini</span><br /> Google最強GAI模型Gemini終於支援落地部署了！今年第三季釋出公開預覽版</strong></h3> <p>另一個值得注意的GAI模型重大宣布是，Google Cloud最強大的Gemini模型，開始支援落地部署方式，可以部署到企業內部的Google分散式雲端（GDC）伺服器上，不用連上網際網路也能提供GAI模型推論。可以提供單一伺服器的部署，也能支援到數百個機櫃規模的落地部署。Gemini模型可以部署到採用Nvidia Blackwell架構GPU的系統，目前先支援戴爾的DGX B200和HGX B200系統。在本地端GDC執行的Gemini模型，可以處理百萬等級的上下文，也能具備多模態，處理文字、圖片、聲音和影音等不同資料格式，支援超過100種語言。在GDC上的Gemini運作，安全等級可以提供到美國政府機密與最高機密等級任務的強度。</p> <p>不只Gemini，今年第三季，AI代理服務Google Agentspace搜尋服務，也會推出可以落地部署到GDC伺服器的版本，預建多款AI代理，也能自製。可以支援企業內部的對話式資料搜尋，透過預設的資料連結器，能存取企業多款軟體系統上的內部資料，如Confluence、Jira、ServiceNow和Sharepoint等。本地端部署的Agentspace支援權限感知功能，可依據存取控制清單，來確保搜尋結果的合規和可用權限。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%A4%A7GDC%E7%85%A7%E7%89%87-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Google%20Cloud.jpeg" /></p> <h3><strong><span style="color:#FF0000;">#金融導入SaaS #客戶關係管理</span><br /> 日本最大金融集團導入SaaS版CRM，提供單一顧客視圖支援2萬6千名業務員</strong></h3> <p>日本最大金融集團MUFG（三菱日聯銀行）宣布今年4月將啟用新一代CRM，提供旗下各分行超過2萬6千名業務人員。為了有能力快速更新與提高擴充性，三菱日聯銀行導入SaaS雲端版CRM，導入Salesforce的金融雲服務，來取代內部地端部署方式。</p> <p>新版CRM最大特色是可以集中集團內部和外部的所有顧客數據，在單一畫面上呈現出顧客的完整視圖，讓業務人員更了解顧客來提出建議。另外也提供了銷售人員的AI推薦功能，可以自動針對每一個顧客提供客製化的金融業務建議方案，來加快業務人員的速度。新版CRM特別強化對新手業務人員的輔助，協助他們與顧客的聯繫和接觸時，可以更快做出反應，來提高銷售效率和成功率。三菱日聯銀行導入後，將持續聚焦於提高AI推薦客製化方案的準確性。<br /> 早在今年一月，<a href="https://www.ithome.com.tw/news/166756">他們也公開了多項GenAI成果</a>，像是為全球資本市場業務銷售人員開發的GenAI銷售輔助平臺Markeetgin DX，可用來快速彙整一家企業客戶的趨勢分析。</p> <h3><strong><span style="color:#FF0000;">#金融GAI平臺實例 #代理型AI</span><br /> 英國最大零售銀行集團Lloyds打造雲端通用GAI平臺，加速開發18套GAI應用，還有12套6月上線</strong></h3> <p>英國最大零售銀行集團Lloyds，近日宣布，使用雲端Vertex AI平臺打造了一套全集團通用的GenAI應用平臺，提供給內部300名資料科學家和AI工程師使用。這個新平臺，也整合了 Lloyds金融集團15套原有的模型建置系統，以及上百個集團內子公司在本地端部署的獨立模型。 </p> <p>這個銀行集團旗下包括了英國三大銀行之一Lloyds銀行，除了消金和企金之外，該集團業務還涵蓋了保險，人壽，養老金管理等，顧客超過2,700萬人，企業顧客也超過100萬家，集團規模超過10萬名員工。</p> <p>Lloyds銀行集團數據和分析長Ranil Boteju指出，新GenAI開發平臺可以讓集團各地的資料科學家和AI工程師，遵循統一的安全機制存取GenAI技術，可以活用第三方或開源的大型語言模型，來加速AI創新速度，也能來改善既有的金融服務演算法，像是採用了新的收入驗證演算法，讓顧客貸款申請的財力驗證作業從數天縮短到數秒。</p> <p>Lloyds金融集團在新GAI平臺上已經啟動了80多項AI專案，已有18套GenAI系統上線使用，應用場景涵蓋該集團所有業務，預計今年6月底還會上線12套GenAI系統。<br /> 目前，他們正在研發一款可以改變顧客與銀行互動方式的代理型AI，已經完成雛形，預計今年底推出給顧客。</p> <h3><strong><span style="color:#FF0000;">#SSL憑證 #網站安全</span><br /> 企業官網要注意，SSL憑證明年開始逐年縮短，現行一年更新週期，四年後每個月都要更新</strong></h3> <p>擔心長效期的憑證可能落入駭客手中，助長惡意程式散布， SSL/TLS憑證的效期越來越短。近日，憑證產業論壇CA/Browser Forum（CA/B論壇）做出決議，所有SSL/TLS憑證最長效期將由現行398天縮短9成，到2029年剩47天，且每月需更新一次。企業需要更留意官網憑證效期，避免過期導致網站遭到瀏覽器列入高風險或不安全網站清單。<br /> 現行所有SSL/TLS憑證最長效期為398天，從 2026年3月15日起，SSL/TLS憑證最長效期會縮短到200天，6個月更新一次。而網域控制驗證（DCV）重覆使用期限也減到200天。2027年3月15日起，憑證最長效期會再短100天，3個月更新一次，DCV重覆使用期限同步減為100天。4年後，即2029年3月15日，最長SSL/TLS憑證效期就會減至47天，每個月更新一次，DCV重覆使用期限將只剩10天。</p> <h3><strong><span style="color: rgb(255, 0, 0);">#虛擬化 #ESXi</span><br /> 中斷一年多，博通再次釋出免費版ESXi授權</strong></h3> <p>VMware過去長年提供的免費版ESXi，向來是許多開發者測試或中小企業管理小規模虛擬機器的主要工具，直到去年2月，博通調整VMware永久授權政策時，也決定終止免費版本。事隔一年，<a href="https://www.ithome.com.tw/news/168416">最近博通又低調地開始釋出ESXi 8.0的免費版。</a></p> <p>博通在4月10日發布的ESXi 8.0版更新3e版本的說明文件中，在最新消息提到，這款VMware vSphere Hypervisor 8是一個入門級的虛擬機器管理版本，從這個版本開始，可以從博通支援入口網站上免費下載。不過，目前在中文版ESXi 8.0發布說明中，還沒提到這點。 ESXi 8.0e這個版本不是直接開放下載，使用者需先在博通支援入口網站註冊後才能免費下載。</p> <p><strong>更多新聞</strong></p> <ul> <li>國際能源署IEA預測，全球資料中心到2030年的用電量將增加一倍以上，AI為最大驅動力</li> <li>微軟擴充.NET Aspire部署能力，標準化應用開發到多雲部署流程</li> </ul> <p>責任編輯：王宏仁</p> </div></div></div>
2025/4/18 15:06作者王宏仁https://www.ithome.com.tw/news/168483
CrazyHunter駭客鎖定臺灣而來，運用來自GitHub的工具犯案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從今年2月開始攻擊<a href="https://www.ithome.com.tw/news/167327">馬偕</a>、<a href="https://www.ithome.com.tw/news/167671">彰基</a>，以及臺灣多家上市櫃公司而引起全臺灣高度關注勒索軟體駭客組織<a href="https://www.ithome.com.tw/tags/crazyhunter">CrazyHunter</a>，<a href="https://www.ithome.com.tw/news/168224">4月初刑事警察局公布駭客身分</a>，並表示地檢署已發布通緝，但對於駭客的攻擊手法，近期終於有資安業者公布相關細節。</p> <p>趨勢科技本週<a href="https://www.trendmicro.com/en_us/research/25/d/crazyhunter-campaign.html">透過部落格文章</a>揭露這一系列鎖定臺灣的攻擊調查結果，他們從1月初開始追蹤、調查CrazyHunter，並確認該組織約有8成的作案工具透過GitHub平臺取得，且藉由自帶驅動程式（BYOVD）手法迴避偵測。而根據駭客架設的資料外洩網站，他們專門針對臺灣的企業組織而來，尤其針對醫療保健及教育機構，但也有製造業及工業領域受害的情形。</p> <p>針對駭客使用的工具，最引起研究人員注意的是勒索軟體建置工具Prince，原因是此工具可直接從GitHub取得，且能讓攻擊者輕易產生變種勒索軟體來降低攻擊門檻。此勒索軟體以Go語言打造而成，駭客採用ChaCha20與ECIES演算法加密受害電腦，並置換副檔名為.Hunter。在檔案加密完成後，CrazyHunter會留下勒索訊息Decryption Instructions.txt，並更換桌布，受害者施壓，要求他們支付贖金。</p> <p>研究人員特別提及駭客廣泛從GitHub取得開源工具並加以修改、運用的現象，也突顯想要自行組建惡意攻擊工具的門檻越來越低。其中，駭客從來發動BYOVD攻擊的工具稱為ZammoCide，他們搭配Zemana Anti-Malware含有弱點的驅動程式zam64.sys，藉此終止與EDR有關的處理程序。</p> <p>而對於權限提升及橫向移動，CrazyHunter則是運用名為SharpGPOAbuse的工具，竄改群組原則物件（GPO），而能於受害組織的網路環境部署惡意酬載，並試圖提升權限及橫向移動。</p> </div></div></div>
2025/4/18 12:25作者周峻佑https://www.ithome.com.tw/news/168479
Google預覽新模型Gemini 2.5 Flash，導入思考預算機制提升推理控制彈性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google宣布推出新預覽語言模型<a href="https://developers.googleblog.com/en/start-building-with-gemini-25-flash/">Gemini 2.5 Flash</a>，主打具備可切換推理功能與思考預算（Thinking Budget）控制機制，協助開發者在速度、成本與結果品質之間取得更細緻的平衡。相較先前版本2.0 Flash，本次更新在保留高運算效率的前提，進一步強化對複雜任務的理解與處理能力，特別是可明顯提升需要多步驟推理指令的回答準確度。</p> <p>Gemini 2.5 Flash為Google第一個混合式推理模型，允許開發者透過API或Google AI Studio介面，依據使用場景決定是否啟用模型的思考能力，並可設定Token上限作為推理預算。系統將依據提示字串的難度，自動判斷是否進入推理程序以及推理的長度，避免資源浪費。開發者也可將預算設為0，跳過推理階段，以最低延遲回應簡單問題。</p> <p>在推理能力評估方面，Gemini 2.5 Flash在開源測試平臺LMArena的Hard Prompts測試表現接近旗艦級2.5 Pro模型，表示其已具備處理跨領域計算、邏輯推論與結構分析的能力，同時保有相對輕量的參數規模與運算成本。Google指出，Gemini 2.5 Flash透過可設定的推理預算機制，提供開發者在成本、延遲與品質之間更靈活的控制方式，適用於處理語言理解、資料分析與決策輔助等具備不同複雜度的任務。</p> <p>Gemini 2.5 Flash已於Google AI Studio與Vertex AI平臺開放預覽，開發者可透過新參數thinking_budget控制模型的推理深度，範圍從0至24,576 Tokens，不僅支援API呼叫，也提供圖形化控制介面調整，並可參考官方提供的Gemini Cookbook範例進行試驗。Google表示，未來將持續改進Flash系列模型並擴展適用範圍，預計在進入正式發布階段前，還會釋出更多版本更新與功能細節。</p> </div></div></div>
2025/4/18 14:09作者李建興https://www.ithome.com.tw/news/168482
法院判決Google數位廣告技術違反壟斷法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國司法部（DoJ）在2023年1月聯同美國多州的檢察長<a href="https://www.justice.gov/archives/opa/pr/justice-department-sues-google-monopolizing-digital-advertising-technologies" target="_blank">控告Google壟斷數位廣告技術</a>，而<a href="https://storage.courtlistener.com/recap/gov.uscourts.vaed.533508/gov.uscourts.vaed.533508.1410.0.pdf" target="_blank">美國聯邦法院則在本周四（4/17）裁定</a>，Google在網路廣告及廣告技術市場的主導地位，違反了美國反壟斷法。</p> <p>美國司法部於訴訟文件中指出，Google控制著幾乎所有主要網站出版商用來在網站銷售廣告的數位工具DoubleClick For Publishers（DFP），該出版商廣告伺服器的市占率超過9成；也控制了幫助數百萬大型及小型廣告主購買廣告庫存的Google Ads及Demand Side Platform（DSP），這兩項工具的總市占約為40%；還控制了市占率超過50%、用來媒合出版商及廣告主的廣告交換平臺Google Ad Exchange（AdX）。</p> <p>根據統計，Google在出版商廣告伺服器的市占率達到91%，在廣告交換平臺AdX上的市占率則介於63%及71%之間。此次的判決認為DFP及AdX違法，但廣告購買工具則否。</p> <p>法官Leonard Stark認為，Google利用所控制的DFP出版商伺服器，讓廣告主更容易透過自家的廣告交換平臺AdX取得優勢，例如讓AdX先看到出價，而排擠其它競爭的交換平臺；Google還綁定DFP與AdX，強迫使用DFP的出版商必須同時使用AdX，限制它們選擇其它廣告交換平臺的自由；法官還認為Google藉由諸如AdMeld等競爭對手以進一步鞏固市場地位，並排除潛在競爭者。</p> <p>Stark指出，Google的上述行為已經違反《謝爾曼法反托拉斯法令》（Sherman Antitrust Act）的第一條，透過綁定與排他性來限制自由競爭，以及第二條，透過不正當手段維持壟斷地位。不僅讓Google維持不公平優勢，也壓制了其它創新及價格競爭，危害廣告主及出版商的利益，企圖維持既有的壟斷地位。</p> <p><a href="https://www.justice.gov/opa/pr/department-justice-prevails-landmark-antitrust-case-against-google" target="_blank">司法部在判決出爐的同一天就發布聲明</a>以慶祝勝利；但<a href="https://x.com/newsfromgoogle/status/1912892999047971152" target="_blank">Google負責法律事務的副總裁Lee-Anne Mulholland也說</a>自己贏了一半，且並不認同法院對於出版商工具的看法，因為其實出版商有很多選擇，Google準備提出上訴。</p> <p>除了數位廣告之外，<a href="https://www.ithome.com.tw/news/140636" target="_blank">美國司法部也曾在2020年10月控告Google</a>的搜尋引擎及搜尋廣告違反《謝爾曼法反托拉斯法令》，妨礙市場競爭，而<a href="https://www.ithome.com.tw/news/164309" target="_blank">聯邦法院也在去年8月判決</a>Google敗訴，Google亦選擇繼續上訴。</p> <p>一般而言，在法院裁決Google敗訴後，便開始考慮採用什麼樣的處罰或補救措施，不管是搜尋引擎案件或是數位廣告案件，對於前者，<a href="https://www.ithome.com.tw/news/166148" target="_blank">司法部提議</a>Google應出售Chrome業務，同樣的，在數位廣告案件上，司法部也希望可以迫使Google出售部分數位廣告技術。</p> </div></div></div>
2025/4/18 11:54作者陳曉莉https://www.ithome.com.tw/news/168477
LLM上路，資安停看聽
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">生成式AI已經成為許多人工作與生活的日常，相關的技術進展與應用一有重大突破，往往躍居傳統與新興媒體的熱門議題，例如，用AI生成吉卜力風格的圖像，就引發大家爭相採用，但也引發此舉是否侵犯著作財產權的論戰，<a href="https://www.ithome.com.tw/article/168471" target="_blank"><span style="color:#3366ff;">本期封面故事探討的部分</span></a>，恰巧與LLM有關，不過，聚焦的議題是資安風險。</p> <p dir="ltr">想要了解生成式AI可能面臨的資安問題，目前大家第一個想到的解析框架，來自在應用程式資安防護領域頗富盛名的OWASP組織，他們於2023年5月宣布，成立<a href="https://genai.owasp.org/2023/05/23/announcing-the-owasp-top-10-for-large-language-models-ai-project/" target="_blank">OWASP Top 10 for Large Language Models</a>的計畫，8月發布1.0版內容，後續計畫名稱改為OWASP Top 10 for LLM Applications，最近一次更新是在2024年11月，稱為OWASP Top 10 list for LLM applications for 2025，一個月後，宣布成立<a href="https://genai.owasp.org/2024/12/15/announcing-the-owasp-llm-and-gen-ai-security-project-initiative-for-securing-agentic-applications/" target="_blank">OWASP Gen AI Security</a>計畫，今年3月，更是將OWASP Top 10 for LLM Applications與Generative AI Lists納入OWASP Gen AI Security計畫。</p> <p dir="ltr">而且，OWASP Top 10 for LLM Applications的正式文件內容，目前有英、中、印、葡、俄等5種語言的版本（原本有正體中文版本，很可惜後來被撤下），為了讓更多臺灣關心AI資安議題的人士更了解當中的說明，我們在稍早為了今年臺灣資安大會而籌備的《2025臺灣資安年鑑》，特別企畫「快速認識LLM應用程式10大風險」內容，希望拋磚引玉，協助大家得以做好AI資安。</p> <p dir="ltr">因此，這個專題最初的構想就是快速導讀OWASP Top 10 for LLM Applications，然而，要想出一個能夠簡單表達概念的標題與圖像，卻不是那麼容易。</p> <p dir="ltr">與執筆的資安主編羅正漢討論之後，我們想到用「安心上路」表達大家走向LLM應用的心情與期待，捨棄總是用「機器人」來象徵AI的比喻，而是改用「開車」前往生成式AI啟動的新世界，以此呈現人們駕馭新技術、朝美好未來前進的情景，而且，如果要順利抵達目的地，除了要了解如何駕駛車輛，更重要的是，必須知道路上可能出現哪些危險的狀況，才能夠更充分因應各種突如其來的變故，而在駕車的意象上，我們也刻意選擇「手握方向盤」的畫面，藉此呈現我們對新技術的使用，必須持續而有效地掌握，以便降低失控的可能性。</p> <p dir="ltr">這個場景也讓我聯想到總統賴清德與副總統蕭美琴的競選廣告《在路上》，或許對我們如何安心使用AI帶來一些啟發。時任副總統的賴清德坐在總統蔡英文駕駛的車子，行駛在公路上，他說，外面好像風很大，但沒什麼感覺，因為總統開的車很穩，蔡英文也說，因為有副總統在旁邊照看，所以能夠讓她放心開，此時，導航系統的語音指示說重新調整路段、計算中，蔡英文與賴清德都說我們還是繼續直走、然後接快速道路，蔡英文此時表示，副手這個位置還是真的很重要，不能隨便用湊的，賴清德回應，也許我們做事的方式不一樣，但我們理念是一樣的，蔡英文也強調國會必須過半，國家才能走在對的路上。對照現在臺灣政局如今面臨的動盪，不禁使人感慨握住國家方向盤、影響國家方向的，的確並不只是執政者，在野者的理念與價值若無法與臺灣發展目標對齊，就會造成國家這臺大車無法穩定行駛。</p> <p dir="ltr">之後，兩人交棒，蔡英文下車，改由賴清德擔任駕駛、蕭美琴上車坐在駕駛旁邊的位置，賴清德說，臺灣人很幸福，隨時可以出發、上山下海，他問蕭美琴：「你想怎麼走？」，蕭美琴說：「我們走民主路，民主路一直走」，賴清德也說：「那我們同一路」，接著兩人談到了臺灣有許多部分領先世界其他國家，沒有和平以及民主，就不是臺灣了。</p> <p dir="ltr">人類文明發展到現在，關於國家與社會的有效治理仍是持續探討的議題，領導者與民眾的認知與處世態度都是關鍵，對於AI這樣新興應用而言，也不例外，面對未來，無論興奮或擔憂，別忘了我們是受此影響最大的主體，有了新技術幫忙，還是必須眼觀四面，耳聽八方，善用與發揮我們的心智與行動力，才能充分因應各種變局。</p> <p dir="ltr"><a href="https://www.ithome.com.tw/article/168471" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1230-feng_mian_p1-open-zheng_han_-960x420_kao_bei_0.jpg?itok=t-1C92u0" style="width: 550px;" /></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%94%9F%E6%88%90%E5%BC%8Fai">生成式AI</a></div><div class="field-item odd"><a href="/tags/owasp-top-10-llm-applications">OWASP Top 10 for LLM Applications</a></div><div class="field-item even"><a href="/tags/owasp">OWASP</a></div></div></div>
2025/4/18 09:42作者李宗翰https://www.ithome.com.tw/voice/168440
【臺灣資安大會直擊】安碁學苑：企業應從實務出發，打造涵蓋內外部人員角色的資安人才梯隊培訓藍圖
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安威脅複雜程度不斷提升，駭客手法隨著科技創新跟著進化的現今，企業應如何規畫資安人才培育，來支援企業營運韌性？資安訓練服務商安碁學苑營運長劉孟昌列出三項企業可自我檢視的問題：是否具備即戰力的資安團隊？是否有分類與分層次的資安人才培育藍圖？以及，是否具備整合內外部資源、持續進化的能力？</p> <p>劉孟昌進一步解釋，現行環境下，不只資安人才不足成挑戰，培訓資安人才的方式，也可能跟不上日新月異的資安威脅。他觀察，不少企業資安訓練內容，是證照考取導向，或理論導向。這類培訓方法，難以為資安人員應付最新威脅做準備。應該以實務為導向來培育具備即戰力的資安人員，才能對威脅快速反應。</p> <p>不只IT和資安人員需要具備即戰力。劉孟昌認為，企業應該先意識到，每個部門的每個角色都是資安第一線防線。「公司任何一個職位，都有一定資安職能需求。」他進一步解釋，雖然IT或資安人員具備管理或修補資安缺口的專業知識，不過，每一個職位的工作流程，仍是該職位人員最熟悉。企業須普及資安意識及知識到全體員工，才能靠各職位人員辨別工作流程中易被突破的環節或資訊外洩缺口。</p> <p>這意味著，資安訓練不能只集中在技術人員，而應規畫全公司跨部門、跨職能的資安職能培訓藍圖，不只如此，就連不同設備、系統的外部廠商及人員，也應該納入資安管理框架。「他是不是公司編制？不是。但他是不是在做公司內部的工作？是。」只有如此，才能徹底管理企業資安風險。</p> <p>建立資安職能培訓藍圖時，劉孟昌建議，依照不同專業分類和能力分級，逐層建立資安人才梯隊，來確保資安韌性，進而支援企業營運韌性。他推薦企業及資安人才以國家資通安全研究院2023年的《臺灣資安人才培力研究報告》歸納出來的資訊安全核心角色作為參考，將資安人才分成分析、監管治理、營運維護、調查、情資、保護防禦、安全交付7大類，共19個職務。他補充：「在企業中，通常這些職務不會由19個人負責，而是集中於少數人。」，因此他也推薦有意求職的資安人員，盡可能學習全部19種職務內容。</p> <p>安碁學苑則綜合國家資通安全研究院及NIST資安框架，將資安職能培訓分為專門職能、專業職能、進階職能三階段，從奠定資安工程師的資安專門職能基礎開始，逐漸培訓資安治理主管、弱點防護分析師等管理和技術專業，最後聚焦於資安長、資安產品開發等職位的資安進階職能技能。</p> <p></p> </div></div></div>
2025/4/17 22:38作者郭又華https://www.ithome.com.tw/news/168470
【臺灣資安大會直擊】個資保護委員會籌備處建議用MFA確保使用者身分安全，並以高安全性多因子驗證來提高攻擊難度
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「許多人會問個資保護與資訊網路安全到底有什麼關係？答案是兩者之間有關係!」，個人資料保護委員會籌備處隱私科技組組長林逸塵在今年資安大會上這麼說。</p> <p>在日常生活中，個人隱私資料無所不在，近幾年運動健身盛行之下，物聯網、個人穿戴裝置興起，運動健身App蒐集個人運動數據，使用者分享運動的熱點，這個行為看似和資安無關，但如果再結合更多其他資訊，可能使得原本保密的軍事基地位置被曝露出來。</p> <p>林逸塵以美國NIST的隱私框架1.0為例，目前已釋出1.1版本草案，在該版本的草案中，網路安全風險與資安事件相關，資料的CIA(Confidentiality, Integrity, Availability)，資料的機密性、完整性、可用性，破壞資料的機密性是未經授權或意外傳播個人資料，破壞完整性是未經授權更改資料，例如駭客入侵竄改資料，影響資料的完整性，破壞可用性則是破壞資料正常的存取運用。</p> <p>隱私風險則和隱私事件有關，指的是資料在蒐集、處理、利用的過程中產生的風險。資安事件可與隱私發生交集，即資安事件可能涉及隱私風險議題。</p> <p>美國NIST SP800-53提出資訊的控制措施，對應於隱私框架中，讓外界知道如何運用這些措施確保資料的機密性、完整性、可用性。</p> <p>當資料發生風險的機會愈高、嚴重程度愈高，資料蒐集者(企業)就需要通知資料主體(使用者)可能受到風險的影響，並且向主機單位通知，例如先前知名交通服務業者發生用戶資料外洩，向用戶通知可能產生的影響，並且得向主管機關通報，先前國內醫院被駭的案例，影響到病患資料的機密性、可用性。</p> <p>林逸塵表示，資料的機密性、完整性及可用性的意涵，包涵在國內的個資法第27條，對於非公務機關保有個人資料檔案者，應採取措施，以防止個人資料被竊取、竄改、毀損、滅失或洩漏，業者需要採取技術及組織上的相關措施，不論業者的規模大小，業者需要說明在11項要素做了什麼，若業者無法說明做了什麼，或是說明不夠清楚則可能受罰，依據個資法第48條，如果發生的事件嚴重且不改正，最高可能處1,500萬元罰鍰，已接近於金管會對金融業者的裁罰。</p> <p><span style="color:#B22222;"><strong>資料保護的PDCA四步驟</strong></span></p> <p>林逸塵指出，對於資料及資安保護採取PDCA四大步驟，規畫(Plan)、實施(Do)、檢查(Check)、改善(Adjust)，數發部產業署在2023年提出詳細的PDCA各步驟要求，可供企業參考之用，只要公司內有資訊系統，除了要符合資訊服務業者的PDCA四大步驟，還需要遵守各自業別的法律規定及資料保護要求。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1744900536774.jpeg" style="width: 600px; height: 400px;" /></p> <p>在PDCA的細項要求中，包含了組織性和技術性的要求，組織方面，例如要設置專門管理的單位，執行資料盤點、風險評估、法遵、教育訓練、稽核等等，當不幸發生資料外洩事件，必需通知當事人及主管機關。另外，事件發生後，採取補救改正的措施也相當重要。</p> <p><span style="color:#B22222;"><strong>採用MFA提高駭客攻擊門檻</strong></span></p> <p>在PDCA裡，實施(Do)要求企業需確保資料安全、人員安全、設備安全，林逸塵表示，只要企業有資訊系統及資訊設備，對個資進行存取、新增或修改，就需要符合資料安全、人員安全、設備安全的要求。</p> <p>對於技術性的控制措施，身分驗證、鑑別、權限控管相當重要，其中在身分鑑別方面，除了傳統使用的帳號及密碼，近幾年倡導使用MFA(Multifactor Authentication)多因子驗證，利用兩個以上的身分鑑別因子搭配進行驗證，例如SMS簡訊、OTP、通行碼或識別碼(PIN)、卡片、生物特徵、活體特徵等等。</p> <p>CISA將MFA分為三種類別，一種是使用SMS或語音的MFA，另一種是使用App的MFA(例如OTP)，第三種為防止網釣的MFA(例如FIDO或Public Key Infrastructure)。</p> <p>林逸塵表示，鑑於網路釣魚攻擊手法盛行，目前已有不少採用MFA多因子驗證的情境，例如企業的旅遊管理入口網，除要求用戶輸入帳號密碼，也要求用戶在手機上安裝身分驗證應用程式，從App取得OTP，以多因子驗證使用者的身分。</p> <p>他也以個資委員會籌備處收到的三個案例，駭客利用撞庫攻擊，利用取得的甲網站帳號密碼，來測試登入乙網站，其中一個案例是運動報名網站，業者監控發現網站出現異常流量，多組來自境外IP的暴力攻擊，所幸被防火牆擋下；另一個交通會員系統，則是發現有心人士透過其他管道取得民眾的個資，登入其會員系統，使用其點數兌換商品券。</p> <p>防範的技術性的措施，例如要求用戶設定長密碼，或是企業限制IP，都會造成用戶的不便，林逸塵認為最好的方式是採用MFA，避免干擾用戶，同時也增加攻擊的難度。</p> <p>採用MFA不同的因子安全性高低有別，根據資安院的研究，使用生物特徵的安全性最高，但成本也比較高，使用電子憑證的安全性及成本次之，而使用通行碼的安全性最低，但使用成本較低。</p> <p>值得注意的是，過去常使用的SMS簡訊或OTP作為MFA驗證的因子，但是許多研究證明SMS或OTP可能受到中間人攻擊，因此採用MFC，因此，林逸塵也建議應該將因子安全性高低納入考慮，例如採用電子憑證或生物特徵，甚至是將更多的因子綁在一起，提高攻擊的難度。</p> </div></div></div>
2025/4/17 22:54作者蘇文彬https://www.ithome.com.tw/news/168469
【資安日報】4月17日，CVE專案長年靠美國政府資金運作議題浮上檯面
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這兩天引起全球資安圈高度關注的議題，莫過於美國政府委託MITRE維護「常見漏洞披露（CVE）」資料庫與「通用缺陷列表（CWE）」的合約到期，由於波及所有採用CVE分析漏洞的企業組織，影響層面將可能相當廣泛。</p> <p>事隔一天，美國政府決定依照合約延長維護CVE的時間，該服務暫時免於中斷的災難。但這起風波也凸顯CVE長期倚賴單一國家政府資助的問題，CVE董事會決議轉型非營利基金會。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168453"><strong style="font-size: 22px;">蘋果修補已被用於實際攻擊iPhone的CoreAudio、RPAC零時差漏洞</strong></a></p> <p>4月16日蘋果發布iOS 18.4.1、iPadOS 18.4.1、macOS Sequoia 15.4.1、tvOS 18.4.1、visionOS 2.4.1，修補兩項零時差漏洞CVE-2025-31200、CVE-2025-31201，值得留意的是，蘋果表明這些弱點已被用於發動極度複雜的攻擊行動，鎖定特定人士的iPhone下手。</p> <p>根據CVSS風險評分，較為嚴重的是評為高風險的CVE-2025-31200，此漏洞存在於CoreAudio元件，一旦處理含有惡意多媒體檔案的音訊串流，就有可能導致程式碼執行，CVSS風險評為7.5。</p> <p>另一項漏洞CVE-2025-31201，則是存在於RPAC元件，具備任意讀取及寫入權限的攻擊者有機會繞過Pointer Authentication驗證機制，風險值為6.8。</p> <p><a href="https://www.ithome.com.tw/news/168439"><strong style="font-size: 22px;">PHP核心執行環境稽核揭露多項漏洞，衝擊PHP-FPM與加密模組安全性</strong></a></p> <p>PHP核心原始碼php-src近期完成由Quarkslab執行的安全性稽核，揭露多項高風險與中度風險漏洞，影響範圍涵蓋PHP-FPM、MySQL驅動與OpenSSL等關鍵模組。該稽核由Sovereign Tech Agency出資，透過開源技術改進基金會（OSTIF）協調，並獲得PHP基金會全力配合，進一步改善即將發布的PHP 8.4版本安全性。</p> <p>稽核結果共發現27項問題，其中17項具有安全性風險，包含3項高風險、5項中度風險與9項低風險問題，另有10項屬於資訊性弱點。多數問題已在GitHub安全通報揭露，另有兩項尚未公開之高風險漏洞仍在修補中，預計於修正完成後正式公布。</p> <p>已公布的CVE包含CVE-2024-8929，指出MySQL驅動可能透過惡意伺服器觸發堆積緩衝區過讀（Over-Read），洩露先前請求內容；CVE-2024-9026涉及PHP-FPM日誌訊息潛在竄改風險；CVE-2024-8925為表單資料解析錯誤，可能導致誤解資訊；CVE-2024-8928則為記憶體管理異常可能造成記憶體區段錯誤。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.darkreading.com/cyberattacks-data-breaches/multiple-group-exploiting-ntlm-flaw">多組人馬運用NTLM資安漏洞從事攻擊行動</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/over-16-000-fortinet-devices-compromised-with-symlink-backdoor/">逾1.6萬臺Fortinet防火牆曝露於「符號連結」弱點</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.darkreading.com/threat-intelligence/ransomware-gang-crazyhunter-critical-taiwanese-orgs">CrazyHunter駭客鎖定臺灣而來，運用來自GitHub的工具犯案</a></strong></p> <p></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/chrome-135-firefox-137-updates-patch-severe-vulnerabilities/">Google、Mozilla修補Chrome 135、Firefox 137高風險漏洞</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/oracle-patches-180-vulnerabilities-with-april-2025-cpu/">Oracle發布2025年4月更新，修補180個資安弱點</a></strong></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168459"><strong style="font-size: 22px;">針對MITRE維護CVE和CWE合約到期，美國政府延長合約因應</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/SOCIALWEBCVEProgramQuote_IMAGECTA.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/SOCIALWEBCVEProgramQuote_IMAGECTA.png" style="width: 300px; float: right;" /></a></p> <p>有人取得負責美國國土安全部窗口的MITRE主任Yosry Barsoum發出的信件，內容是向CVE委員會透露，4月15日廣泛受到全球資安領域採用的「常見漏洞披露（CVE）」資料庫，以及「通用缺陷列表（CWE）」等多項專案的維護合約即將到期，影響層面將會相當廣泛，現在出現新的發展。</p> <p>美國網路安全暨基礎設施安全局（CISA）表示，他們決定將延長提供資金的時間，讓CVE專案的服務不致間斷。CISA指出CVE專案對於資安社群極為寶貴，也是他們的優先項目，他們在15日晚間執行了合約當中的延長選項來因應此事。CISA向資安媒體Bleeping Computer、SecurityAffairs透露，合約將延長11個月。</p> <p>雖然CVE暫時逃過停止運作的情形，但在CISA承諾持續提供資金之前，CVE的部分成員決定成立獨立的CVE基金會來因應。該基金會的成立，代表CVE專案這項弱點管理生態圈開始排除單點故障的情況，並確保該專案能持續受到全球信任、以社群驅動邁出重要的一步。他們也將公布CVE基金會的組織架構、過渡規畫，以及社群參與機會等相關細節。</p> <p><a href="https://www.ithome.com.tw/news/168451"><strong style="font-size: 22px;">【臺灣資安大會直擊】趨勢科技：企業可以LLM應用架構設計安全邊界檢視風險，以LEARN方法論強化LLM應用安全</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/截圖 2025-04-16 下午8_52_34.jpeg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202025-04-16%20%E4%B8%8B%E5%8D%888_52_34.jpeg" style="width: 300px; float: right;" /></a>生成式AI帶動大語言模型應用，然而企業使用大語言模型(LLM)，不論是自行訓練或是微調，可能產生資安風險，趨勢科技架構師蔡凱翔建議，可從大型語言模型應用程式的發展生命周期，利用方法論去檢視開發階段中的安全邊界，降低相關的資安風險。</p> <p>「大語言模型的開發生命周期，就是一種機器學習和DevOps的綜合體」，蔡凱翔說，趨勢科技針對大語言模型的資安風險發布報告，建立一套檢視LLM安全的方法論，他在今年臺灣資安大會上對外分享如何實作大語言模型的資安實務。</p> <p>他表示，一般而言，資安會發生在信任程度發生變化的時候，例如系統外面的使用者發送的請求，或是使用第三方的套件，這些都是由外到內的過程中，信任程度發生變化，「從LLM應用架構來看，哪些部分會帶來信任程度的改變，就是需要留意是否發生風險的地方」。</p> <p><a href="https://www.ithome.com.tw/news/168344"><strong style="font-size: 22px;">GitHub推出Security Campaigns，讓企業系統化處理資安債成開發日常</strong></a></p> <p>GitHub宣布正式推出Security Campaigns功能，提供GitHub Advanced Security與GitHub Code Security用戶使用，助企業開發者與資安團隊在既有程式碼，系統性發現並修補尚未解決的安全漏洞，以降低長期累積的安全債風險。</p> <p>雖然不少開發團隊已將修補安全漏洞的工作，納入日常拉取請求流程，透過GitHub的Code Scanning與Copilot Autofix功能，自動偵測與修復新出現的安全問題，但GitHub指出，對於已經存在於程式碼庫的舊漏洞，開發者往往缺乏系統性管理與處理的機制，導致安全債長期累積。</p> <p>Security Campaigns的設計針對此一痛點，其運作方式由資安團隊主導，對企業內多個程式庫進行漏洞風險盤點與篩選，決定優先處理的問題範疇，例如可依據MITRE已知十大常見漏洞類型，或組織自訂條件篩選，建立一個活動範圍明確的修補專案，並設定處理期限。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/168438"><strong>【4月16日】MITRE停止維護CVE等多項專案，恐波及全球資安漏洞分析</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168418"><strong>【4月15日】總統親臨臺灣資安大會致詞，從國家戰略、產業政策彰顯資安</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168403"><strong>【4月14日】啟用SSL VPN的Fortinet防火牆遭到已知漏洞攻擊</strong></a></p> </div></div></div>
2025/4/17 16:34作者周峻佑https://www.ithome.com.tw/news/168466
針對MITRE維護CVE和CWE合約到期，美國政府延長合約因應
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有人取得<a href="https://www.ithome.com.tw/news/168432">負責美國國土安全部窗口的MITRE主任Yosry Barsoum發出的信件</a>，內容是向CVE委員會透露，4月15日廣泛受到全球資安領域採用的「常見漏洞披露（CVE）」資料庫，以及「通用缺陷列表（CWE）」等多項專案的維護合約即將到期，影響層面將會相當廣泛，現在出現新的發展。</p> <p>美國網路安全暨基礎設施安全局（CISA）表示，他們決定將延長提供資金的時間，讓CVE專案的服務不致間斷。CISA指出CVE專案對於資安社群極為寶貴，也是他們的優先項目，他們在15日晚間執行了合約當中的延長選項來因應此事。CISA向資安媒體<a href="https://www.bleepingcomputer.com/news/security/cisa-extends-funding-to-ensure-no-lapse-in-critical-cve-services/">Bleeping Computer</a>、<a href="https://securityaffairs.com/176608/security/cisas-11-month-extension-ensures-continuity-of-mitres-cve-program.html">SecurityAffairs</a>透露，合約將延長11個月。</p> <p>MITRE也<a href="http://www.bleepingcomputer.com/news/security/cisa-extends-funding-to-ensure-no-lapse-in-critical-cve-services/">證實</a>了CISA的說法，他們在4月16日上午確認CISA決定提供資金維持CVE、CWE專案的運作，讓這些專案免於服務中斷的命運。MITRE感謝全球網路社群、相關行業、政府機關過去24小時的聲援，並感謝美國政府認可MITRE的角色，他們將持續為全球提供CVE及CWE的服務。</p> <p>雖然CVE暫時逃過停止運作的情形，但在CISA承諾持續提供資金之前，CVE的部分成員決定成立獨立的<a href="https://www.thecvefoundation.org/home">CVE基金會</a>來因應。CVE基金會指出，CVE專案自成立以來都仰賴美國政府的資助，這樣的情況本來就引起CVE董事會的擔憂，因為這項全球資安界依賴的專案資源，都是由單一政府供應資金維持運作，不僅這項專案的持續性存在隱憂，也存在中立性的問題。</p> <p>對此，CVE董事會在收到4月15日MITRE發出的通知後，決定執行由一名CVE成員策畫一年的計畫，那就是將CVE過渡成為獨立的非營利基金會。該基金會的成立，代表CVE專案這項弱點管理生態圈開始排除單點故障的情況，並確保該專案能持續受到全球信任、以社群驅動邁出重要的一步。他們也將公布CVE基金會的組織架構、過渡規畫，以及社群參與機會等相關細節。</p> </div></div></div>
2025/4/17 11:11作者周峻佑https://www.ithome.com.tw/news/168459
Lyft花了1.75億歐元買下FREENOW叫車服務以進軍歐洲市場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://investor.lyft.com/news-and-events/news/news-details/2025/Lyft-Expands-in-Europe-Diversifies-by-Acquiring-FREENOW/default.aspx" target="_blank">北美叫車服務Lyft周三（4/16）宣布</a>，將以1.75億歐元（約1.97億美元）的現金，買下由BMW集團與Mercedes-Benz Mobility共同成立的FREENOW叫車服務，以進軍歐洲市場。雙方預計於今年下半年完成交易。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0417-Lyft%20Expands%20in%20Europe-Acquiring%20FREENOW.png" style="width: 400px;" /></p> <p>Lyft成立於2012年，是美國僅次於Uber的第二大叫車服務，提供汽車、電動滑板車與自行車共享系統，<a href="https://investor.lyft.com/news-and-events/news/news-details/2025/Lyft-Reports-Record-Q4-and-Full-Year-2024-Results/default.aspx" target="_blank">在2024年的乘車交易總額為161億美元</a>，成長17%，營收為58億美元，成長31%，淨收入為2,280萬美元，2023年Lyft還出現3.4億美元的虧損。</p> <p>至於FREENOW則是BMW與Mercedes-Benz Mobility在2019年於德國創立，同樣提供汽車、電動滑板車及共享自行車服務，迄今已在歐洲9個國家的逾150個城市運作。<a href="https://d18rn0p25nwr6d.cloudfront.net/CIK-0001759509/81d8231f-b36a-4e3a-b9ed-3d5a882d835e.pdf" target="_blank">根據Lyft提供給美國證券交易委員會的文件</a>，FREENOW在2024年吸引了630萬名乘客，乘車交易總額超過10億歐元，有9成來自計程車。且FREENOW不管是與計程車工會、私家車車隊或是監管機管都擁有良好的關係。</p> <p>Lyft執行長David Risher表示，這是該公司在北美市場之外最重要的擴張行動，令Lyft進入歐洲市場。</p> <p>這是因為歐洲的程式叫車服務仍有成長空間，約有50%的叫車服務還在線下進行，未來計程車將繼續成為FREENOW當地服務的支柱。</p> <p>接下來Lyft打算透明化與強化FREENOW車主及乘客的福利，未來則計畫讓北美與歐洲用戶可無縫使用任一款應用程式，估計FREENOW可替該公司帶來每年15%的成長，在2027年達到250億美元的乘車交易規模。</p> <p>至於Lyft最大競爭對手Uber，則已於全球逾70個國家的1.5萬個城市提供叫車與快遞服務，<a href="https://investor.uber.com/news-events/news/press-release-details/2025/Uber-Announces-Results-for-Fourth-Quarter-and-Full-Year-2024/default.aspx" target="_blank">Uber在2024年的總交易金額為1,628億美元</a>，成長18%，營收為440億美元，成長18%，淨收入則是65億美元，成長60%，規模比Lyft大上許多。</p> </div></div></div>
2025/4/17 14:30作者陳曉莉https://www.ithome.com.tw/news/168463