iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 11篇
近 24 小時: 11篇
近 7 天: 116篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/9
最近更新: 11/9 11:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 116 篇內文

3
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

路透社2筆關係
彭博社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Nvidia開源AI語音辨識模型Parakeet TDT 0.6B
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://huggingface.co/nvidia/parakeet-tdt-0.6b-v2" target="_blank">Nvidia本周開源</a>支援語音辨識及聽寫專用的AI模型Parakeet TDT 0.6B，可用於對話式AI、語音助理或是需要生成字幕的服務。</p> <p>Parakeet TDT 0.6B為6億參數的自動語音辨識（automatic speech recognition,ASR）模型，專為高品質英語聽寫（transcription）而設計。</p> <p>Parakeet TDT 0.6B為FastConformer架構的XL變種，整合TDT解碼器，並以全注意力（attention）機制訓練而成，它具有很高的語音聽寫速度，一次single pass最長可聽寫24分鐘語音。Parakeet TDT 0.6B在HF-Open-ASR得分榜上達RTFx 3380，詞錯誤率（word error rate）為6.05%，優於其他開放模型。</p> <p>在功能上，Parakeet TDT 0.6B，支援自動斷句、首字母大寫及精準預測字時戳，在口說數字和歌詞的聽寫效能尤佳。支援音源檔案格式涵括.wav和.flac檔。</p> <p>Parakeet TDT 0.6B以寬鬆的CC-BY-4.0授權開源，<a href="https://huggingface.co/nvidia/parakeet-tdt-0.6b-v2/blob/main/README.md" target="_blank">現在已在Hugging Face網站公開</a>。</p> <p>Nvidia表示，該模型支援使用情境涵括需要文字聽寫的開發人員、研究人員、學術和產業人士，其應用包括對話式AI、語音助理、聽寫服務、字幕生成和語音分析平臺。</p> <p>Parakeet TDT 0.6B經過優化，適合執行在Nvidia硬體如GPU，及軟體框架（像是CUDA函式庫）上，能比在純CPU環境上獲致更快的訓練和推論時間。它支援Linux 及NVIDIA Ampere、Blackwell、Hopper與Volta等架構的硬體平臺，RAM最少要2GB。</p> <p>若要操作Parakeet TDT 0.6B或訓練、微調，系統必須安裝Nvidia NeMo工具套件，最好也安裝最新PyTorch版本。</p> </div></div></div>
2025/5/7 10:39作者林妍溱https://www.ithome.com.tw/news/168792
Hugging Face公開AI代理人Open Computer Agent，能使用模型生成圖片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://huggingface.co/spaces/smolagents/computer-agent" target="_blank">Hugging Face昨（6）日公布</a>會使用工具的AI代理人Open Computer Agent，能幫用戶查詢Google Map、維基百科或生成圖片。</p> <p>Open Computer Agent是結合函式庫smolagents、語言模型Qwen2-VL-72B及虛擬桌機E2B Desktop開發而成。Open Computer Agent類似OpenAI的Operator代理人，<a href="https://huggingface.co/spaces/smolagents/computer-agent" target="_blank">目前為一Web服務</a>，允許用戶輸入自然語言文字提示，代用戶執行任務。例如利用Google Maps查詢某公司位置、從瑞士伯恩搭火車到巴塞爾所需時間，或是到Hugging Face Space尋找圖片生成模型Flux 1，再輸入提示讓它生成GPU圖片。</p> <p><a href="https://www.linkedin.com/posts/a-roucher_%F0%9D%97%9F%F0%9D%97%AE%F0%9D%98%82%F0%9D%97%BB%F0%9D%97%B0%F0%9D%97%B5%F0%9D%97%B6%F0%9D%97%BB%F0%9D%97%B4-%F0%9D%97%96%F0%9D%97%BC%F0%9D%97%BA%F0%9D%97%BD%F0%9D%98%82%F0%9D%98%81%F0%9D%97%B2%F0%9D%97%BF-%F0%9D%97%A8%F0%9D%98%80%F0%9D%97%B2-activity-7325549339538305024-H0Rp" target="_blank">Hugging Face的代理人部門主管Aymeric Roucher說明</a>，日愈強大的視覺模型可用於複雜的代理人工作流程，而且Qwen-VL支援內建grounding功能，可辨識出圖片中任一元素的位置（座標），進而做到點擊螢幕截圖中的任何項目，好比人用滑鼠點選畫面上的按鈕或圖示。這代表模型不只是「看得懂圖片內容」，還能對圖片進行互動，這也實現Open Computer Agent自動化代理人的能力。</p> <p>Hugging Face提醒，Open Computer Agent會儲存用戶活動，若不想被紀錄，用戶可以在左邊欄的「store task and agent trace?」取消勾選。而且Open Computer Agent使用的VM會被前往的網頁偵測而以CAPTCHA阻擋，這時需要人力解決。此外，目前Open Computer Agent反應時間有點慢，可能要等上數秒，有時還會卡住不動，重刷網頁即可重新啟動。</p> <p>其他主要AI公司也都推出能使用工具的代理人。<a href="https://www.ithome.com.tw/news/167523" target="_blank">OpenAI的Operator</a>開放付費用戶使用，<a href="https://www.ithome.com.tw/news/167634" target="_blank">Google Gemini則有Project Astra</a>，能在混合及多種語言環境下轉換語言，以多種語言解決複雜主題的問題、或使用Circle to Search翻譯菜單文字。</p> </div></div></div>
2025/5/7 09:34作者林妍溱https://www.ithome.com.tw/news/168790
【2025臺灣資安年鑑｜數發部數產署署長林俊秀】臺灣面對全球數位浪潮的挑戰，政府與產業攜手轉型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在全球數位浪潮席捲之際，臺灣正積極推動各項數位轉型計畫，藉由政府與產業界的緊密合作，期盼能在全球數位產業鏈中占據更有利的地位。面對人才短缺、資金瓶頸與市場通路等多重挑戰，數位發展部數位產業署署長林俊秀表示，數位產業署以其「三支箭」策略（數位信任、數位韌性、數位經濟）為主要核心，不僅著力於防詐、打詐，更以創新與跨部會的協同合作為利器，積極推動臺灣資安、人工智慧（AI）及新興技術的發展。</p> <p>數位產業署也在這一波全球數位轉型的浪潮中，扮演著關鍵角色，林俊秀坦言，這關乎幾個議題：臺灣如何在全球數位產業鏈中占據一席之地？如何面對內外在的挑戰？以及政府又將如何引領臺灣數位產業邁向新的里程碑。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>建立數位信任，推動資安和AI產業發展</strong></span></span></p> <p>政府施政的核心，在於兼顧防弊與興利，落實全民數位轉型。林俊秀表示，過去兩年中，數位產業署透過《電子簽章法》與《詐欺犯罪危害防制條例》等法令，加強打詐措施，並積極推動「三減目標」──減少接觸、減少誤信、減少損害。</p> <p>根據數位產業署目前的統計資料指出，他們已蒐集高達將近7百萬筆（689萬）筆高風險廣告數據，其中金融投資詐騙案例超過八成（86.27％），並以此數據建立詐騙樣態分析系統，運用AI技術及深偽（DeepFake）辨識，為網路詐騙預警提供技術支撐。林俊秀強調，若民眾對網路或數位平臺失去信心，將直接影響整個產業的發展，因此建立「數位信任」是政府工作的基石。</p> <p>他也表示，數位產業署同時負責強化國內資安防護，所以推動資安產業的蓬勃發展也是當務之急。</p> <p>林俊秀進一步提到，臺灣在資安產業方面已有不俗表現，許多新創公司如雨後春筍般湧現，政府透過與臺積電、國際半導體產業協會（SEMI）的合作，推動全球首個由臺灣主導制定的半導體設備資安標準（SEMI E187）。</p> <p>此外，林俊秀表示，數位產業署積極輔導各產業成立資安檢測團隊，並與公協會聯手，成立了資安強化工作小組（Special Interest Group，SIG），協助企業全面檢視公司資安防護現況，光是在2024年底，已與生醫、能源、精密製造等29個協會合作，協助超過385家企業進行資安評級，進一步提升產業整體防護能力及各產業資安意識。</p> <p>「從打詐防弊到興利創新，都是數位產業署肩負的重要使命。」林俊秀認為，在「發展數位經濟」方面，數位產業署將重點放在推動AI產業發展上，除了利用國發基金匡列100億元推動「加強投資AI新創實施方案」，數位產業署還著手打造產業AI算力平臺，採用最新的輝達與AMD晶片資源，提供免費算力給新創團隊訓練模型。</p> <p>面對AI人才的議題，林俊秀則說，政府從高中生啟蒙到在職技術精進，透過「以戰代訓」的模式培育AI人才，使臺灣AI產業逐步形成產業生態，並促進跨部會合作以整合算力、人才與資金，藉此推動中小企業及各行各業導入AI技術，成為實現創新與永續發展的重要驅動力。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0507-%E8%B3%87%E5%AE%89%E5%B9%B4%E9%91%91-%E6%9E%97%E4%BF%8A%E7%A7%80-%E6%8A%BD%E8%A8%801.png" style="width: 600px;" /></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>人才、資金與通路是產業發展的三大瓶頸</strong></span></span></p> <p>林俊秀坦言，臺灣數位產業發展面臨的首要挑戰是人才不足，對於傳統教育體系而言，往往難以快速跟上數位科技與新興技術的發展，許多先進的領域，如人工智慧、資料科學、智慧物聯網（AIoT）等，都亟需大量專業人才。</p> <p>面對這一困境，他指出，政府不僅推動校內教育改革，更積極與民間機構合作，如與TAIA（臺灣人工智慧學校）共同推動「以戰代訓」模式，將實戰訓練融入人才培育計畫中。此舉不但彌補現有教育資源的不足，也縮短從學習到實戰的過渡期，培養出能夠直接投入產業應用的人才。</p> <p>資金投入方面，數位轉型亦面臨新創企業資金不足的問題。林俊秀指出，雖然國發基金已投入一百億元支援AI新創，但許多規模較小的新創團隊依然難以募集到足夠資金，尤其在新科技研發與市場拓展過程中，龐大的資金需求往往成為阻礙發展的絆腳石。</p> <p>相比之下，他發現，國外許多新創企業能夠在成功後吸引投資人持續回流，形成良性循環，而臺灣在這方面仍顯不足。為此，政府希望能夠吸引更多懂得新興科技的創投力量，搭配公私部門合作，降低投資風險，從而促使更多技術創新和產品商業化落地。</p> <p>另一方面，市場通路也是臺灣企業亟需突破的瓶頸。林俊秀認為，臺灣企業長期以來專注於研發和硬體製造，但在市場行銷與國際市場拓展上，常顯得力不從心。而數位產業的特性就是「無國界」，僅依賴國內市場無法滿足全球需求，為此，林俊秀鼓勵企業在初期商業計畫書（BP）中，就應以全球市場為目標，積極尋找國際合作夥伴、聘請具國際視野的人才，並研究如何透過全球化策略擴展銷售通路。「唯有如此，才能打破產業規模受限、轉型進程緩慢的窘境。」他說。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>借勢雲端，推動傳統產業數位轉型</strong></span></span></p> <p>在推動傳統產業數位化方面，數位產業署同樣投入大量資源，協助中小企業克服技術、資金及人才門檻。</p> <p>林俊秀以臺灣雲市集平臺為例，政府自2021年7月起推出此平臺，依靠訂閱制及少量補助，讓各行各業能夠輕鬆採用雲端軟體工具進行轉型。</p> <p>截至2024年3月15日為止，臺灣雲市集已協助超過6萬8,000家次企業上雲，帶動超過11億元投資以及26億元商機。他表示，這樣的雲端服務平臺模式，不僅降低了中小企業進行數位轉型的初期成本，也為資訊服務產業創造了新的商機和市場契機。</p> <p>此外，數位雲服務研發補助計畫也著重於：促進軟體與資訊服務企業利用AI、雲端技術開發智慧便捷的雲端服務，協助各行各業降低營運成本，提高效率，並推動數位轉型的落實。</p> <p>然而，林俊秀惋惜指出，因為今年預算遭到刪減等因素，部分補助計畫，如「數位雲服務研發補助計畫」，面臨暫停申請的局面，這對產業界的確帶來一定衝擊，但也促使政府在未來政策調整中，更加審慎平衡各項資源分配。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>數位信任與資安防護，為數位產業發展奠基</strong></span></span></p> <p>數位產業發展的根本，在於「數位信任」，林俊秀表示，數位安全是促進數位經濟健康發展的重要基石，政府積極推動無密碼辨識技術（FIDO），以及隱碼技術，透過修訂《電子簽章法》與相關子法，落實帳號安全、個資保護與網路交易安全。</p> <p>他認為，這些措施不僅能夠降低被盜用風險，也為各產業提供了建立數位信任的技術支持；數位產業署更透過與第三方支付平臺及網路廣告平臺的合作，推動跨部會聯合打詐，建立完善的詐騙案例數據庫與AI樣態分析系統，協助業界提前預警並迅速辨識可疑行為，確保民眾在享受數位生活便利的同時，免受詐騙與資安威脅的侵害。</p> <p>「數位信任的建立不僅關係到個人資訊安全，也直接影響到整個數位產業的信譽與發展前景。」林俊秀指出，唯有讓民眾在網路交易與數位生活中感受到安全與可靠，臺灣數位產業才能真正躍上國際舞臺，成為全球可信賴的產業生態系。</p> <p>面對數位產業的發展，林俊秀表示，數位產業署將AI技術列為推動臺灣數位經濟發展重點領域。他強調，AI技術既是數位信任的核心，更是一個帶動軟硬整合、創新應用的重要引擎。</p> <p>他表示，政府除了持續投入資金建構AI算力平臺、提供算力資源之外，更透過多元人才培育模式，從高中生啟蒙到技術精進，全面打造AI生態圈。</p> <p>同時，爭取匡列國發基金作為長期資金火車頭，協助業者進行技術研發與市場拓展，成為臺灣數位經濟轉型的重要推手。</p> <p>除了AI，數位產業署也將眼光投向Web3、區塊鏈、元宇宙等新興技術。林俊秀指出，區塊鏈技術在臺灣的應用目前尚停留在虛擬貨幣及NFT層面，但是，數位產業署仍持續關注這些技術的未來潛力。</p> <p>而元宇宙的發展則建立在AR（擴增實境）∕VR（虛擬實境）技術基礎上，他表示，政府透過提供實證展示平臺及跨界交流場域，推動沉浸式內容應用，助力新興數位內容產業的轉型升級。</p> <p>他坦言，儘管面對預算削減等現實挑戰，政府仍不放棄在新興技術領域探索創新應用的可能性，並積極藉由與業界合作、參與國際合作計畫等方式，力圖在全球數位轉型中保持競爭優勢。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0507-%E8%B3%87%E5%AE%89%E5%B9%B4%E9%91%91-%E6%9E%97%E4%BF%8A%E7%A7%80-%E6%8A%BD%E8%A8%802.png" style="width: 600px;" /></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>臺灣具有硬體優勢，缺乏國際行銷視野</strong></span></span></p> <p>儘管臺灣在數位轉型的道路上已取得多項成果，但林俊秀也坦言，推動數位產業最困難的部分在於思維模式的轉型與資源落差的彌補。</p> <p>他認為，臺灣長期以來以硬體製造為主的產業模式，難以直接套用於軟體與數位經濟領域，這就需要在政策與產業實務上不斷創新與調整。</p> <p>事實上，臺灣擁有深厚的硬體製造基礎、成熟的電子電機產業以及完整的產業鏈優勢，這些都為數位轉型提供了堅實的基礎，也讓臺灣在全球數位產業鏈中，得以扮演關鍵的角色。</p> <p>不過，林俊秀表示，臺灣廠商在設計製造及產品整合方面，具有較高的技術水準，但在市場行銷、國際通路拓展及全球化經營方面，仍存在不足。他指出，部分企業因為缺乏「Born Global」的國際視野，導致在開拓海外市場時，面臨重重挑戰。</p> <p>在國際市場合作上，數位產業署持續積極協助臺灣企業參與國際產業論壇、智慧城市展，以及與歐洲復興開發銀行、亞洲開發銀行等國際金融機構，展開合作，藉由跨國交流，拓展海外市場與獲取國際資金支持。</p> <p>雖然近期因預算大幅削減，而使得部分國際合作計畫被迫縮減或是取消，但是，林俊秀依然看好臺灣在全球數位產業中的潛力，認為美中貿易戰等地緣政治因素，反而能促使臺灣強化資安與AI領域，成為可信賴的供應鏈夥伴。</p> <p>「臺灣應利用自身在資通訊領域累積的優勢，積極推動跨部會協作與國際連結，」他強調，藉由建立良好的互信機制，逐步提升國際能見度與市場競爭力，進而在全球數位產業中開創嶄新的局面。</p> <p>林俊秀指出，臺灣數位產業的長期願景在於：打造全球可信賴的數位生態系統，既能滿足國內需求，也能在全球競爭中展現臺灣智慧。以硬體製造為基礎，再結合資安、AI，以及新興技術，臺灣有潛力成為國際間數位產業的重要樞紐，推動整個國家的經濟成長與民眾生活品質的提升。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>數位產業發展目標：從兆元營收到「讓民眾過好日子」</strong></span></span></p> <p>發展數位產業時，數位產業署也要面對部會間需要積極溝通協調、預算穩定度不足，以及國際連結不夠等問題。所以，林俊秀表示，政府也必須採取更加靈活且具前瞻性的策略，讓產業在政府點火後能夠自主發展。</p> <p>他指出，政府將持續整合內部資源，並進行跨部會協作，輔導與投資數位產業；同時，通過完善法規、加強資安防護，以及推動創新技術，政府希望能夠打造安全、透明、可信賴的數位環境，進而吸引更多國內外投資者參與臺灣數位經濟的建設。</p> <p>展望未來三至五年的發展，他表示，數位產業署將以穩固基礎、擴大國際合作為重點，並逐步將資源轉向其他新興產業，以達到由政府引導、市場自行運作的良性循環。</p> <p>從數位信任到全球市場、從人才培育到資金投入，林俊秀認為，政府與業界必須齊心協力，才能克服內部溝通、預算不穩定與市場拓展等多重挑戰，讓臺灣在全球數位競爭中立於不敗之地。</p> <p>展望未來，林俊秀期許臺灣數位產業能夠藉由「以戰帶訓」的模式、跨界整合的新策略，以及政府政策的引導，實現從硬體製造到軟體服務的全面升級，最終，可以成為國際舞臺上不可或缺的數位強國。</p> <p>數位產業署最終目標在於：推動臺灣數位產業成為全球兆元經濟重要支柱。林俊秀明確表示，政府將以部長提出的「兆元產業」為宏大目標，並計畫在2026年實現相關產業產值的突破。</p> <p>林俊秀用一句話總結道：「發展數位產業，就是讓民眾過好日子。」這既是他對臺灣數位產業未來的期許，也象徵著政府與產業界共同追求的目標。</p> <p>他認為，只有當產業真正帶來國民收入與生活品質的提升，數位轉型才具有真正的價值與意義。數位轉型的終極目的不僅在於提升產業競爭力，更在於藉由創新驅動，最終改善國民所得與生活品質。</p> <p><a href="https://www.tenlong.com.tw/products/9789860654349?list_name=srh" target="_blank"><span style="color: rgb(51, 102, 255);"><strong>本文出自《CYBERSEC 2025 臺灣資安年鑑》</strong></span></a></p> <p><a href="https://www.tenlong.com.tw/products/9789860654349?list_name=srh" target="_blank"><span style="color: rgb(51, 102, 255);"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/2025%E8%B3%87%E5%AE%89%E5%B9%B4%E9%91%91%E5%B0%81%E9%9D%A2.png" style="width: 350px;" /></strong></span></a></p> </div></div></div>
2025/5/7 07:00作者黃彥棻https://www.ithome.com.tw/news/168476
Amazon Nova Premier多模態基礎模型上線，可用於複雜任務協作與模型蒸餾
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS正式於Bedrock平臺<a href="https://aws.amazon.com/tw/blogs/aws/amazon-nova-premier-our-most-capable-model-for-complex-tasks-and-teacher-for-model-distillation/">推出Nova Premier基礎模型</a>，該模型具有處理多模態輸入與高複雜度任務的能力，並可作為模型蒸餾的教師模型。Nova Premier同時也是AWS目前能力最強的Nova模型，其設計目標不僅在於執行推理任務，更涵蓋跨工具協作、多階段任務規畫與長上下文理解。</p> <p>Nova Premier在輸入形式上支援文字、圖像與影片，具備高達一百萬Token的上下文處理能力，因此可被用於處理大型技術文件、龐大程式碼庫或多來源資訊整合的情境。AWS指出，該模型已通過17項內部基準測試，綜合表現優於Nova Pro與Lite，並在與業界同級模型的對比中，約半數項目表現相當或更具優勢。</p> <p>Nova Premier模型目標用戶鎖定需要跨資料源整合、策略性任務分解與結果組織的應用場景，例如金融研究、法律分析或大型企業知識圖譜建構。</p> <p>AWS以投資研究為例展示該模型在多代理人架構中的應用。由Nova Premier擔任總控代理人，負責分析查詢、指派子任務給不同子代理人，像是由Nova Pro驅動的資料分析模組，最終整合來自不同金融資料來源的結果，生成完整分析報告。該架構凸顯Nova Premier在複雜任務協調中的角色，具有辨識任務結構、分派處理流程與整合多重結果的能力。</p> <p>除了作為推論模型，Nova Premier也能扮演教師角色，透過Amazon Bedrock的模型蒸餾流程，可自動產生高品質的訓練資料，以蒸餾出Nova Pro、Lite或Micro等較小模型的特定版本，進一步減少部署成本與執行延遲。</p> <p>Nova Premier目前已於美國三個AWS區域N. Virginia、Ohio與Oregon上線。使用者可透過Amazon Bedrock申請模型存取權，並透過Converse API發送訊息內容，包含多模態輸入，獲取回應。</p> </div></div></div>
2025/5/7 07:00作者李建興https://www.ithome.com.tw/news/168779
勒索軟體Babuk繞過EDR防護出現新手法，利用本機安裝程式達到目的
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了讓攻擊行動能順利進行，不被受害企業組織察覺異狀，駭客通常會試圖左右防毒軟體及EDR系統的運作來達到目的，其中一種最常見的手法，是利用存在弱點的舊版驅動程式來進行，<a href="https://www.ithome.com.tw/tags/byovd">這種手法被稱為自帶驅動程式（Bring Your Own Vulnerable Driver，BYOVD）</a>，如今駭客自行攜帶合法檔案的做法出現了變化。</p> <p>保險業者怡安（Aon）旗下的事件回應服務團隊Stroz Friedberg近期觀察到一種運用於實際攻擊行動的新手法，駭客為了迴避SentinelOne端點代理程式的系統偵測與防竄改能力，<a href="https://www.aon.com/en/insights/cyber-labs/bring-your-own-installer-bypassing-sentinelone">他們竟濫用此EDR系統的端點代理程式安裝檔來達到目的</a>，從而成功於受害電腦部署勒索軟體Babuk。研究人員將這種過往未曾出現過的手法，稱做「自帶安裝程式（Bring Your Own Installer）」。</p> <p>對此，怡安向SentinelOne通報他們的發現，該資安業者迅速做出回應，向用戶發布緩解問題的指引。SentinelOne指出，針對本機代理程式升級或降級的作業，管理者可啟用通過線上批准（Online Authorization）的機制來進行審核，來防範相關攻擊。不過值得留意的是，這項政策並未預設啟用，管理者必須手動開啟。</p> <p>針對這起事故發生的過程，怡安指出駭客先是藉由應用系統的已知漏洞，從能夠公開存取的伺服器得到本機管理權限，然後產生多個SentinelOne安裝檔案，這些安裝程式全數具備合法簽章。但究竟駭客如何取得合法的安裝程式，研究人員並未說明。</p> <p>研究人員根據受害電腦的事件記錄資料，指出駭客很可能利用本機升級、降級過程出現的弱點，而能繞過EDR系統的防護。後續他們進一步確認，受害組織並未啟用線上批准機制，使得駭客能在本機執行安裝程式，進行升級或降級的作業。不過，攻擊者又是如何入侵其他部署SentinelOne代理程式的電腦，研究人員沒有交代。</p> <p>究竟駭客濫用合法安裝程式升級或降級的目的為何？怡安指出，MSI安裝檔案在執行的過程裡，會將原本部署代理程式所有的處理程序停用。</p> <p>為了確認駭客的手法，他們架設了實驗環境進行驗證，結果發現在執行MSI檔案之後，電腦就會逐步終止原本端點代理程式的處理程序，約在安裝程式將元件更新前的55秒，會全部停止。換言之，這讓駭客有機可乘，只要此時終止msiexec.exe中斷安裝流程，就能達到停用EDR代理程式的目的。</p> </div></div></div>
2025/5/6 15:55作者周峻佑https://www.ithome.com.tw/news/168773
【臺灣資安大會直擊】惡意程式樣本分析費時費力？資安研究人員運用LLM打造全天全年無休的資安研究助手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>ChatGPT帶動LLM大語言模型應用興起，資安防禦運用LLM也成為外界關心的議題之一，TXOne資安團隊在今年臺灣資安大會分享如何運用LLM技術打造逆向資安專家，7x24監控異常行為，當發現異常事件時向資安團隊提出示警。</p> <p>TXOne資安威脅研究員Yi-An Lin首先指出，資安人員所面臨的難題，根據牛津大學一篇論文顯示，高達99%的大多數警示是誤報，資安專家通常要花費許多時間排查誤報，才能專注處理真正異常警示，例如過去惡意程式Emotet出現，微軟Defender曾因為設定較嚴格的條件，發出誤報警示，儘管微軟事後澄清為誤報，但是資安人員仍花費不少時間排查誤報。</p> <p>Yi-An Lin表示，即使最後查出的可疑樣本，現代偵測引擎有許多的限制，同一個樣本在不同資安廠商的偵測引擎中的惡意程式分類標籤也不一樣，資安人員需要投入許多時間閱讀許多的資料，研究惡意樣本為何會被歸類為特定類型的惡意程式，並且不容易瞭解哪些程式碼導致惡意行為。</p> <p>偵測引擎的一些使用限制，例如「特徵碼比對」（Signature Matching）結果，通常使用Yara規則來判斷，但是很難從判別的字符結果，掌握不同行為之間的關聯及它所代表的意義，而使用「動態分析」（Dynamic Analysis）雖然有利用沙盒環境實驗惡意程式，有助資安人員掌握惡意程式不同行為間的關聯，但是執行動態分析耗費不少時間之外，也可能面臨反分析的種種手法，例如要求輸入特定的Key才能執行惡意程式。</p> <p>另外，如果參考EDR/XDR提供的威脅報告，雖然可以關聯圖呈現事件內不同事件的關係，但是仍缺乏說明解釋，需要研究人員進一步去釐清。</p> <p>上述種種偵測引擎的隱藏限制，提高資安分析團隊在分秒必爭的資安攻防戰下，快速分析研究惡意程式的難度，因此TXOne團隊研究如何運用LLM，協助提高資安威脅研究工作的效率。</p> <p><span style="color:#B22222;"><strong>已有研究論文基礎</strong></span></p> <p>Yi-An Lin表示，TXOne參考微軟曾發表的論文，研究以ChatGPT/GPT4及其他LLM模型解析Binary code，以比較不同模型的表現，該研究利用LLM的自然語言處理來摘要解析Binary code，發現平均的語意相似度達到程式碼的4成7。</p> <p>TXOne受到啟發，嘗試讓LLM能夠更加理解程式碼所執行的動作，因此他們再參考其他幾篇論文，其中一篇將程式轉為控制流程圖，再將流程圖輸入神經模型，讓模型以比較連續性方式理解程式；另一篇論文則是根據行為模式來提高對惡意程式判斷的準確性，例如可疑程式創造一個檔案後，再執行一個行為，例如註冊或反安裝程式，從一連串行為鏈來提高對惡意程式的判斷準確性。</p> <p>參考上述研究論文成果，TXOne團隊探索能不能透過LLM幫助資安人員識別惡意程式。</p> <p>逆向資安威脅研究專家如何利用行為鏈來判別惡意程式？TXOne舉例，當發現一個可疑的樣本首先執行刪除系統回復檔案的行為，以阻止系統回復，其次該樣本利用呼叫及迴圈蒐集Windowsf上的磁碟及檔案及相關的MetaData資訊，接下來發現使用加密演算法ChaCha20加密資料，最後拆解惡意程式樣本建立控制流程圖，從一連串的行為鏈，判斷該惡意程式樣本為勒索軟體，進一步研究後發現，該樣本是去年全球前10名的勒索軟體Black Basta，英國電信龍頭BT曾經受害。</p> <p><span style="color:#B22222;"><strong>利用LLM輔助判別惡意樣本</strong></span></p> <p>在不執行惡意程式樣本下，利用樣本的行為鏈、控制流程圖，最後識別是哪一種惡意軟體，原本由資安威脅研究人員判別，TXOne團隊嘗試由LLM協助判別，來輔助資安威脅研究人員判別惡意程式，將以往需要大量人工研究的過程，在AI輔助下提高工作效率。</p> <p>TXOne資深資安威脅研究員Jair Chen表示，傳統資安威脅研究人員分樣惡意樣本，利用Disassembler將樣本拆解為Code Block，同時也用偵測引擎分析樣本的行為，綜合Code Block及行為來建立控制流程圖，在流程圖中標示特定流程執行的惡意行為，以此建立威脅分類資料庫。威脅分類資料庫依據微軟的定義分為15類惡意程式，如間諜程式、釣魚軟體、勒索軟體、廣告軟體等等，每一類都有各自的惡意行為。</p> <p>Jair Chen指出，之後可以運用AI輔助判別樣本，先輸入惡意程式樣本，拆解出控制流程圖及Assembly Code，LLM模型就能根據威脅分類資料庫、控制流程圖及惡意行為，判別惡意程式類別，並提供解釋及建議。經過測試，一個惡意程式樣本透過Virus Tatal分類，可能判別為木馬、下載器，而透過LLM可能將該樣本分類為後門程式、糯蟲，通過LLM可以得到額外的觀點，這些分類都是惡意程式樣本的一部分。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%96-600(17).jpg" style="width: 600px; height: 378px;" /></p> <p>LLM能提供惡意樣本分類的說明，例如將該樣本分類為後門程式，標示function位置，在DarkFlow Graph的位置，還標示出相關的Assembly Code，並且簡單說明可能造成的影響。資安人員再根據LLM的說明，進一步作其他的研究分析。</p> <p>Jair Chen表示，SOC團隊每天都會收到大量的資安攻擊報告，威脅專家要花費大量時間分析樣本，而LLM使用也有其限制，它對Assembly Code及pseudo-C code的解釋性不足，因此仿照威脅研究專家的工作流程，利用行為鏈和LLM建立一位7x24、全年無休的逆向專家，輔助資安人員對惡意程式的分析及分類。</p> <p> </p> </div></div></div>
2025/5/6 16:22作者蘇文彬https://www.ithome.com.tw/news/168774
安全產品開發流程漸成產業標配，IEC 62443-4-1改版在即，3大重點聚焦：對齊國際、預設安全、SBOM與開源軟體…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>產品資安的態勢在2025年有重大轉變，在全球資安法規與標準的快速演進下，安全軟體開發生命週期（SSDLC）更成為檯面上的焦點，重要性顯著提升，成為應對資安挑戰並確保產品合規的關鍵要求。例如，大家可能沒想過的是，這一兩年，包括造船產業、醫療器材產業等，已經積極透過建立嚴格的資安規範，讓SSDLC成為必備條件。</p> <p>此外，我們這幾年持續報導物聯網安全法規、軟體供應鏈等議題時，經常介紹Security by Default（預設即安全）、SBOM（軟體物料清單）、開源軟體安全等新興資安概念，如今這些概念也成為產品安全合規的實質要求。</p> <h2><strong>安全產品開發流程受重視，IEC 62443-4-1正被產業納入必需要求</strong></h2> <p>過去經常在臺灣資安大會發表演說的國際自動化協會 (ISA) 臺灣分會會長林上智，他今年特別強調SSDLC、IEC 62443-4-1流程標準的重要性，原因在於這些領域出現了顯著的新進展，而他之所以能掌握第一手資訊，正是因為他目前正主導IEC 62443-4-1流程標準的修訂工作。</p> <p>簡單來說，IEC 62443標準，是國際廣泛採納與認可的工業自動化及控制系統標準，而IEC 62443-4-1的部分，主要聚焦在「安全產品開發生命週期要求（Secure product development lifecycle requirements，SPDLC）」。而上述SPDLC其實與SSDLC具有相同的概念，強調：從產品的需求分析、設計、實作與測試，以及產品上線後的缺陷管理、更新，還有使用者手冊等相關文件，一直到產品生命週期結束，都必須將資安要素融入每一個階段。</p> <p>在這次演說中，林上智特別闡釋了IEC 62443-4-1的最新發展現況，揭示其影響性與最新變化。</p> <p>從影響性來看，林上智指出，近年造船產業、醫療產業都已經將IEC 62443-4-1納入強制要求，讓SSDLC要求成為必備。</p> <p>因此我們可以看出，IEC 62443-4-1似乎在產業間變得越來越重要，過去廠商導入可能多是自我要求或供應鏈要求，現在有些產業規範則是明確定義這方面的要求。</p> <p>林上智進一步解釋，以造船產業而言，國際船級協會聯合會（IACS）去年7月正式實施了UR E26與UR E27規範，這是網路安全首次強制要求納入船級規則，換言之，新造船舶若沒有符合UR E26或UR E27的要求，將無法通過驗船，等於無法投保與下水營運，因此，其實質效力已等同於法律法規。</p> <p>其中UR E27最為重要，當中針對船上設備與系統提出具體要求，並明確規範軟體開發流程必須遵循SDLC（軟體開發生命週期）的要求。林上智指出，在UR E27中更是直接引用了IEC 62443-4-1標準，甚至詳細列出相關章節編號，包括SM-8與SUM-2，這突顯了該規範已針對對船舶設備具關鍵影響的開發流程進行了精選，並將其納入強制性要求。</p> <p>以醫療產業而言，包括美國、歐盟、臺灣等食品藥物監管單位，也都針對生產血壓計、MRI等醫療設備製造商提出網路安全要求，上市前都必須通過資安相關的檢驗。這當中最受矚目的一例，是美國食品藥物管理局（FDA）2023年9月發布的醫療器材資安指引，當中清楚載明需參考IEC 62443標準，並直接點名IEC 62443-4-1。由此可見，在其他產業的開發流程中，IEC 62443-4-1標準也被廣泛採用。</p> <p><a href="https://s4.itho.me/sites/default/files/images/(圖2)IEC 62443-4-1_林上智_攝影羅正漢-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E5%9C%962)IEC%2062443-4-1_%E6%9E%97%E4%B8%8A%E6%99%BA_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2-1.jpg" style="width: 600px;" /></a></p> <h2><strong>IEC 62443-4-1標準改版三大方向：對應國際、預設安全、SBOM與開源軟體安全</strong></h2> <p>關於SSDLC的議題，事實上，這些年我們持續報導這方面的消息，不只<a href="https://www.ithome.com.tw/news/140800">IEC 62443-4-1標準開發流程認證</a>受重視，國際間也有諸多重要參考資源，包括<a href="https://www.ithome.com.tw/news/80369">ISO 27034</a>，<a href="https://www.ithome.com.tw/news/153723">NIST SSDF</a>，以及OWASP SAMM等。</p> <p>近年還有美國CISA與多國網路安全單位，亦發布<a href="https://www.ithome.com.tw/news/160862">Security by Design的警報</a>與相關指引，以及最新<a href="https://www.ithome.com.tw/news/162730">歐盟網路韌性法（Cyber Resilience Act，CRA）等法規實施</a>的消息。</p> <p>在這次演說中，林上智搶先公開了IEC 62443-4-1的最新變化，揭露這項標準的現行修訂方向，首先就是強調對齊國際標準與法規態勢而來，另也指出Security by Default、SBOM等面向的強化，在此我們整理出未來3大改版重點：</p> <h3><strong><span style="color: rgb(178, 34, 34);">●改版重點一：對應國際框架與準則</span></strong></h3> <p>目前市面上有眾多標準與框架，這對產品與系統開發商造成了一定的困擾。因此，林上智指出，修訂IEC 62443-4-1的首要任務，就是要與其他國際標準及法規進行全面的比較與對應，以確保更有效對應當前的資安挑戰。</p> <p>例如，他們的4-1工作小組，已檢視美國NIST SSDF軟體開發安全框架（NIST SP 800-218），以了解IEC 62443-4-1是否需要補充或調整，這方面已有成果展現。林上智表示，今年3月他們已發布相關<a href="https://isagca.org/hubfs/2023%20ISA%20Website%20Redesigns/ISAGCA/PDFs/ISAGCA%20NIST%20SSDF%20SP%20800%20FINAL.pdf">白皮書，比較IEC 62443-4-1標準，NIST SSDF框架</a>，找出一些無法對應的項目的原因，納入改版考量，當中也有相當少部分是完全無法對應的內容，主要是顆粒度較細的要求。</p> <p>特別的是，他們也審視了半導體產線設備資安標準規範SEMI E187，當中也有包含開發流程的對應，預計這方面的對應很快就可以公開，而安全功能方面則是會對應到IEC 62443-4-2。</p> <p>另一個大家關注的重點，是最新的歐盟CRA網路韌性法，林上智表示，他們已展開對應分析，若發現IEC 62443-4-1標準與CSA要求存在落差，將會研議在新的條文中進行補強或調整。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E5%9C%961)IEC%2062443-4-1_%E6%9E%97%E4%B8%8A%E6%99%BA_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2-1.jpg" style="width: 600px;" /></p> <h3><strong><span style="color: rgb(178, 34, 34);">●</span></strong><span style="color: rgb(178, 34, 34);"><strong>改版重點二：聚焦「Security by三兄弟」概念強化</strong></span></h3> <p>這次改版的另一大重點，是美國政府與多國網路安全單位不斷提倡的「Security by Design」、「Security by Default」與「Security by Demand」，林上智用Security by三兄弟這樣的簡稱，方便大家認識與記憶。</p> <p>林上智指出，過去IEC 62443-4-1便一再強調Security by Design的原則，因此這部分預計不會有太大的變動。例如，安全功能應該在一開始就被納入考量、設計與實作，而非產品設計完才疊床架屋地進行補強。</p> <p>他更希望大家謹記，Security by Design的意義在於，並非僅僅增加安全功能，而是決定產品是否值得信賴的關鍵。</p> <p>本次改版的重心，主要放在Security by Default、出廠時預設即安全。這意味著使用者在購買產品後，無需進行過多的操作、額外的複雜設定或支付額外費用，即可具備防禦常見攻擊手法的能力，也就是讓使用者「不設定」也安全。</p> <p>不過，林上智指出，要將Security by Default概念融入標準內，並不容易處理，尤其需要考量到工業控制環境中設備使用年限較長等特殊狀況。他以FTP為例說明，由於FTP本身不夠安全，若依預設即關閉的原則處理，但在工廠等特定場景中，就可能出現因FTP關閉而不能生產的情況。</p> <p>換言之，若要讓Security by Default能落實，其實非常看場景、場域與情境。</p> <p>林上智表示，這幾個月來，他們4-1工作小組與美國CISA等單位不斷討論，尤其是Security by Default與可用性的兩難問題，因為Security by Default必需要存在，可是又不能影響可用性。</p> <p>他們目前討論結果是，將從層次更高的風險評估、風險建模，並依照場域、場景、情境來決定產品要怎麼做設定，才是所謂的Security by Default，並持續對外徵集不同意見。</p> <p>同時他也強調，Security by Default不會是獨立的章節，而是會分散到每一個開發章節之內。</p> <h3><strong><span style="color: rgb(178, 34, 34);">●</span></strong><span style="color: rgb(178, 34, 34);"><strong>改版重點三：強化SBOM與開源軟體安全管理</strong></span></h3> <p>最後一個改版重點，是加強對軟體供應鏈與開源軟體的安全管理。</p> <p>林上智指出，在改版會議中，他們深入探討了軟體供應鏈的各項議題，特別是美國政府於2021年發布的行政命令，該命令已經明確要求美國聯邦政府在採購軟體時，必須提供軟體物料清單（SBOM）。</p> <p>過去，IEC 62443-4-1雖然提到軟體裡面要有inventory，也就有這樣的概念存在，但並未明確定義SBOM一詞。因此，本次改版將新增相關要求，強制建立SBOM的管理機制。</p> <p>雖然標準只會規範「應該」做，不會具體規定「如何」做。但林上智在此也分享其經驗，指出目前主流的三種SBOM格式，包括SPDX（ISO 59626）、CycloneDX、SWID（ISO 19770），前兩者是他通常會建議的選項。例如，SPDX是Linux基金會的專案，若業者的產品與嵌入式系統或Linux相關就很適用，轉換為其他格式也可行，但需確保轉換後的正確性；CycloneDX 亦廣泛被採用，其精美的介面令人印象深刻。至於最終選擇何種格式，則取決於企業自身的需求。</p> <p>另一方面，林上智強調，SBOM表可以在軟體開發的不同階段生成，無論是在需求規格階段、程式碼階段，或是建置、測試或執行階段，目前常見作法是在程式碼開發階段產生，但他提醒，需注意可能發生的誤判，因為某些函式庫（library）的使用情況，可能是在執行當下才能確定。目前來看，對於應在何種階段產生SBOM，並無嚴格的規範。</p> <p>或許有些人認為，SBOM僅是一份清單或列表，但林上智強調，SBOM 應被視為一種信任機制。它並非漏洞報告，也不是單純的產出結果，而是協助我們管理軟體的信任基礎。</p> <p>不只是SBOM，另一重點在於開源軟體管理也是改版的強化方向。他解釋，之前IEC 62443-4-1與開源軟體最相關的部分，是SM9章節的第三方套件，但原先規範顆粒度較粗，可能導致管理上的疏漏。</p> <p>因此，這次會特別針對開源軟體進行規範，畢竟，現在很少有開發者會從頭編寫一個完整的程式，其重要性不言而喻。</p> <p>林上智也透露，若企業在開源軟體開發上，遇到不確定如何進行的情況，雖然IEC 62443-4-1本身不會提供具體做法，但會在補充指引增加一些建議。例如，可以參考ISO/IEC 18974標準，此為Linux基金會旗下的專案，聚焦OpenChain安全保障規範，目的是協助企業在使用開源軟體時，透過特定的流程與機制，處理相關的資安注意事項。</p> <p>綜上所述，我們可以了解目前IEC 62443-4-1改版討論的方向與重點，林上智也提到他們正持續徵集意見，以完善這次針對安全開發流程內容的修訂。</p> </div></div></div>
2025/5/6 16:55作者羅正漢https://www.ithome.com.tw/news/168765
惡意軟體佯裝資安工具入侵WordPress網站
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="http://www.wordfence.com/blog/2025/04/interesting-wordpress-malware-disguised-as-legitimate-anti-malware-plugin/" target="_blank">WordPress資安公司Wordfence</a><a href="https://www.wordfence.com/blog/2025/04/interesting-wordpress-malware-disguised-as-legitimate-anti-malware-plugin/">揭露</a><a href="http://www.wordfence.com/blog/2025/04/interesting-wordpress-malware-disguised-as-legitimate-anti-malware-plugin/" target="_blank">一款偽裝成防惡意程式外掛的惡意軟體</a>。該外掛名為WP-antymalwary-bot.php，實際上內含後門程式碼，可遠端執行指令並維持持久控制，並透過REST API與C2伺服器通訊，使攻擊者能操控受感染的網站。</p> <p>該惡意軟體不僅具備多種功能，也刻意模仿正常外掛的結構，企圖降低開發者警覺。程式碼維持WordPress外掛常見的格式與風格，包括完整的說明註解、標準的語法縮排，甚至出現多語言內容，從表面上看起來就像是一般的合法外掛。</p> <p>其核心後門機制，是透過WordPress初始化階段掛入一組特殊函式，監聽網址中的emergency_login參數，當訪客造訪網站並附帶特定明文密碼時，惡意程式會自動從資料庫中抓取第一筆具有管理員權限的使用者帳號，並直接設定登入Cookie，使攻擊者得以無需驗證程序進入網站後臺。由於這一過程完全繞過正常認證機制，且觸發條件單純，只需一組明文密碼與網址參數即可，讓攻擊者能長期隱密地維持控制權。</p> <p>研究人員進一步分析發現，攻擊者藉由注入PHP程式碼至所有布景主題中的header.php，植入廣告腳本或建立重新導向邏輯，藉此引導網站訪客觀看第三方廣告、前往指定網站，或進一步接觸惡意內容。此外，該外掛會將自己儲存在外掛目錄中，並修改wp-cron.php，於訪客造訪網站時自動重建與啟用惡意外掛，形成難以移除的持久性機制。在更新版本中，還觀察到攻擊程式透過WordPress內建定時任務機制，每分鐘向C2伺服器進行回報，傳送網站網址與時間戳記，便於攻擊者追蹤感染情況與維持控制。</p> <p>Wordfence指出，此次觀察到的惡意外掛與2024年6月揭露的供應鏈攻擊案例，在程式撰寫風格與特徵上具有相似性，顯示攻擊者可能正採用人工智慧輔助生成惡意程式碼，進一步降低被辨識機率並提升迭代效率。該惡意程式還設計了Base64編碼廣告連結，與可由遠端指令更新內容機制，不僅模組化程度高，還具備後續動態調整與升級的彈性，研究人員認為該惡意程式碼並非僅一次性使用。</p> </div></div></div>
2025/5/6 16:59作者李建興https://www.ithome.com.tw/news/168777
JetBrains開源Mellum語言模型，專精程式碼理解與補全任務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>JetBrains開源其第一個針對程式碼完成任務設計的語言模型<a href="https://blog.jetbrains.com/ai/2025/04/mellum-goes-open-source-a-purpose-built-llm-for-developers-now-on-hugging-face/">Mellum</a>，並已發布於<a href="https://huggingface.co/JetBrains/Mellum-4b-base">Hugging Face平臺</a>，供研究與開發人員取用。JetBrains稱Mellum為專精模型（Focal Model），其並非試圖涵蓋所有自然語言任務的通用模型，而是聚焦程式碼理解與補全的單一應用場景，藉此在有限參數規模追求最佳的任務適應性與部署效率。</p> <p>Mellum-4b-base模型具有40億個參數，採用類似LLaMA的架構，支援8,192個token的上下文長度，並經由JetBrains團隊從零開始訓練，而非基於現有開源模型進行微調。其訓練資料總量達4.2兆token，涵蓋如The Stack、StarCoder訓練集、CommitPack與英文維基百科等公開語料，針對Java、Python、C/C++、JavaScript、TypeScript、Go、Kotlin、PHP、Rust等語言進行學習，目的在於提供準確且上下文一致的程式碼完成能力。</p> <p>JetBrains表示，Mellum設計概念回歸機器學習早期專精模型的想法，強調深度大於廣度，與當前大型語言模型普遍追求多任務通用能力的趨勢有別。在Mellum架構下，模型不僅在訓練資源上更節省，其可部署的彈性也大幅提升，能在如llama.cpp、Ollama等環境本地執行，也可透過vLLM於雲端部署。</p> <p>在效能表現方面，Mellum-4b-base在JetBrains內部的HumanEval Infilling測試中，單行程式碼完成通過率為66.21％，多行完成為38.5％。此外，在RepoBench與SAFIM等程式碼評測中，Mellum於自身支援的上下文長度範圍，整體效能達到一定的水準。</p> <p>雖然Mellum在效能上仍不及CodeLlama-13B或DeepSeek-Coder-6.7B等規模較大的模型，但JetBrains強調，Mellum的設計目標並非取代通用語言模型，而是適合研究訓練策略、推論效率與模型專精化之用。</p> <p>目前公開的Mellum版本為未經下游任務微調的基本模型，但已可支援進一步的監督式微調（SFT）與強化學習（RLHF）流程。JetBrains同時釋出針對Python語言的SFT版本模型，並預告將陸續推出針對其他語言任務的模型變體，對應不同程式語言與開發場景。</p> </div></div></div>
2025/5/6 15:30作者李建興https://www.ithome.com.tw/news/168772
Amazon Q Developer CLI擴充MCP支援提升資料理解深度
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS在其Amazon Q Developer命令列工具新增MCP（Model Context Protocol）<a href="https://aws.amazon.com/tw/blogs/devops/extend-the-amazon-q-developer-cli-with-mcp/">支援</a>，進一步提升開發人員在本地環境與資料來源互動的靈活性與準確度。該更新使Q Developer能夠接收來自外部資料來源的結構化上下文資訊，進而改善生成程式碼、撰寫SQL查詢與建立測試案例的能力，特別是在處理如資料庫結構等非程式碼內嵌資料時，能提供更符合實際需求的結果。</p> <p>MCP是一項由Anthropic主導的開放協定，目的在於標準化AI模型存取上下文與外部工具的方式。在這套機制下，AWS開發者可在本地機器設定MCP伺服器，讓Q Developer能藉由該伺服器存取特定資料來源，像是PostgreSQL資料庫的結構描述（Schema）資訊，精準生成查詢語句與資料操作邏輯。</p> <p>之前Q Developer雖可透過CLI操作AWS資源與檔案系統，卻難以處理專案外部的資料結構，例如資料表關聯與欄位命名。加入MCP支援後，CLI可透過標準化工具介面與MCP伺服器交換結構資訊，進而提升模型對專案語境的理解深度。</p> <p>在未提供結構描述資訊的情況下，Q Developer僅能產生通用的SQL查詢語句，但啟用MCP伺服器後，便能根據實際的資料表與欄位關係，自動產生語法正確且具備業務邏輯的查詢語句，甚至進行查詢執行與結果解釋。</p> <p>對於在本地開發過程，需要頻繁與資料庫互動的開發人員而言，這項支援可以快速將資料層結構納入開發流程，無需額外撰寫資料存取邏輯或自建中介模組。開發者可透過簡單設定如mcp.json檔案，指派MCP伺服器的執行指令與參數，連結如Amazon RDS上的PostgreSQL資料庫。</p> <p>AWS<a href="https://docs.aws.amazon.com/en_us/amazonq/latest/qdeveloper-ug/command-line-mcp-security.html">表示</a>，Q Developer的工具執行遵循一系列安全設計原則，包括使用者需手動授權工具執行、各MCP伺服器於獨立程序中執行、工具行為公開透明等。官方提醒開發者，在導入第三方MCP工具時，應謹慎評估來源可信度並定期更新，以降低潛在風險。這次更新為早期整合階段，目前僅限於CLI操作環境，但AWS已預告將在未來幾周內擴展至Q Developer的整合式開發環境擴充套件版本。</p> </div></div></div>
2025/5/6 08:00作者李建興https://www.ithome.com.tw/news/168748
【資安日報】5月6日，惡意軟體Phorpiex捲土重來，被用於散布LockBit 3.0及其他作案工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了在受害電腦成功執行惡意軟體，駭客利用惡意軟體載入工具（Loader）、下載工具（Downloader）的情況，越來越常出現。最近有一款前身為殭屍網路病毒的惡意軟體下載工具Phorpiex，引起研究人員的高度關注，因為，駭客拿來散布惡名昭彰的勒索軟體LockBit 3.0。</p> <p>值得留意的是，關於勒索軟體LockBit 3.0的攻擊流程，駭客多半以手動方式操作，透過Phorpiex下載、部署，能讓整個流程高度自動化，而鮮少需要人工介入，使得攻擊者能同時對更多目標下手。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168740"><strong style="font-size: 22px;">惡意軟體下載工具Phorpiex捲土重來，被用於散布LockBit 3.0勒索軟體</strong></a></p> <p>資安公司Cybereason發表威脅分析報告指出，老牌殭屍網路Phorpiex近期再度現身，並被觀察到成為散布LockBit 3.0勒索軟體的載體。Phorpiex在受感染主機上自動下載並執行LockBit勒索程式，無需駭客進行後續操作，由於該攻擊流程高度自動化，與傳統勒索攻擊仰賴人工作業的模式有所不同，因此受到關注。 </p> <p>Phorpiex又名Trik，自2010年起即活躍於各類攻擊活動，最早是以垃圾郵件推送及挖礦行為為主，近年則被用於交付惡意程式。根據Cybereason觀察，該工具近來技術變動不大，甚至仍保留刪除Windows下載區域標記檔，以掩蓋惡意檔案真實來源的老舊行為。</p> <p>除了LockBit，Phorpiex也被用來投遞其他惡意程式，例如：TWIZT與GandCrab。TWIZT會透過捷徑檔觸發下載流程，並建立空白JPEG圖檔判斷是否重複感染，而散布GandCrab的版本則具備反偵測與關閉防毒的功能。</p> <p><a href="https://s4.itho.me/sites/default/files/images/lb infection flow.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/lb%20infection%20flow.png" style="width: 580px;" /></a></p> <p><a href="https://www.ithome.com.tw/news/168754"><strong style="font-size: 22px;">勒索軟體Rhysida聲稱對秘魯政府數位平臺下手，該國否認遭駭</strong></a></p> <p>資安業者Comparitech上周五發現，勒索軟體駭客組織Rhysida在暗網貼文，聲稱攻擊秘魯政府的數位平臺，並張貼疑似來自網址為Gob.pe的多份文件螢幕擷圖作為證據（Gob.pe為祕魯政府數位平臺的網址），駭客宣稱已向祕魯政府要求在7日內支付5個比特幣，來換取資料不被外流。</p> <p>不過，祕魯政府否認此事。資安業者Venarix轉貼祕魯政府的聲明，他們宣稱該國數位平臺<a href="http://www.gob.pe">www.gob.pe</a>並未遭入侵或遭破壞，所有服務皆維持正常運作。</p> <p>該國政府說，社群媒體流傳關於<a href="http://www.gob.pe">www.gob.pe</a>網域被劫持的訊息，並不準確。所謂的資安事件，實際上是發生於<a href="http://www.satp.gob.pe">www.satp.gob.pe</a>網域相關的某服務，但該服務管理與祕魯內閣會議主席（總理）辦公室、或數位政府與轉型秘書處切開。</p> <p><a href="https://www.ithome.com.tw/news/168637"><strong style="font-size: 22px;">電子商務平臺WooCommerce管理員遭鎖定，駭客佯稱網站有漏洞從事網釣</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Screenshot-2025-04-22-at-4_11_51 PM-1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot-2025-04-22-at-4_11_51%E2%80%AFPM-1.png" style="width: 300px; float: right;" /></a></p> <p>近年來鎖定Magento、WooCommerce等電子商城平臺的攻擊行動不時傳出，其中最常見的入侵手法之一，就是利用零時差漏洞或已知漏洞而能得逞，但也有駭客反其道而行，佯稱電商網站有資安弱點為由，從事網釣攻擊。</p> <p>例如，資安業者Patchstack提出警告，他們發現專門針對WooCommerce網站管理員的大規模釣魚攻擊，駭客聲稱經過他們的掃描，網站有重大層級的資安漏洞，這項漏洞能被用於未經授權的狀態下，以管理者身分入侵網站，若是不處理，攻擊者就能竊取網站敏感的使用者資料，包含客戶資訊、訂單細節，以及付款方式的內容。駭客甚至恐嚇管理者，該漏洞可能會導致未經授權的付款，甚至讓網站失去控制。</p> <p>駭客建議網站管理者要儘速依照指示操作，從他們的網站下載修補程式，並以WordPress外掛程式的形式上傳、安裝，然後啟用，網站才會得到保護。然而，上述的一切，都是與駭客聲稱、卻不實際存在的假漏洞有關，一旦網站管理者照做，駭客就會透過後門與新建立的管理員帳號，來入侵受害網站。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-bring-your-own-installer-edr-bypass-used-in-ransomware-attack/">勒索軟體Babuk繞過EDR防護出現新手法，利用合法安裝程式達到目的</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.darkreading.com/cyber-risk/venom-spider-phishing-scheme">駭客組織Venom Spider冒充求職者，鎖定人力資源部門而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/npm-malware-crypto-wallets-mongodb-turkey-code/">惡意NPM套件鎖定CryptoJS用戶而來，企圖竊取加密貨幣錢包、MongoDB資料庫</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168751"><strong style="font-size: 22px;">PHP程式庫ADOdb存在滿分漏洞，280萬套已部署系統恐曝險</strong></a></p> <p>PHP開源專案ADOdb上周釋出5.22.9版，以修補CVSS風險評分等級高達10分的安全漏洞CVE-2025-46337，該漏洞恐危及全球280萬已安裝ADOdb的系統。</p> <p>ADOdb是個熱門的PHP資料庫抽象層，它提供統一的API介面，讓開發人員得以利用相同的語法來操作不同類型的資料庫，相容於MySQL、PostgreSQL、SQLite、Oracle、Microsoft SQL Server、IBM DB2及Sybase等資料庫，而這次所發現的CVE-2025-46337為SQL注入漏洞，出現在ADOdb程式庫的PostgreSQL驅動程式，允許駭客執行任意SQL指令。</p> <p>這是由安全研究人員Marco Nappi意外發現的漏洞，起因是最近想要強化對白盒的了解，於是他開始探索靜態分析安全測試（SAST），並決定利用靜態程式碼分析工具SonarQube來分析用來建置大學網站的開源專案Moodle，以及客戶關係管理專案VtigerCRM。沒想到，Marco Nappi在Moodle或VtigerCRM都找到相同的SQL注入漏洞，進一步檢查才確認，該漏洞其實隱藏在ADOdb元件。</p> <p><a href="https://www.ithome.com.tw/news/168640"><strong style="font-size: 22px;">圖像化資料分析平臺Grafana出現高風險權限繞過漏洞</strong></a></p> <p>圖像化資料分析平臺Grafana發布安全更新，修正多項資安漏洞。其中，高風險漏洞CVE-2025-3260影響Grafana 11.6.0以上的版本，允許具Viewer或Editor角色的使用者繞過儀表板與資料夾的權限設定，查看、編輯或刪除組織內所有儀表板。當系統啟用匿名認證，且匿名用戶被指派為Viewer或Editor角色，未登入使用者也可能無需授權即可操作組織內所有儀表板。</p> <p>根據官方說明，該漏洞發生於新開發的/apis/dashboard.grafana.app/系列端點，在權限檢查邏輯上存在缺陷，影響所有啟用該API的部署環境。雖然組織隔離機制仍然有效，不同組織之間的資料不會因此洩漏，但單一組織內的權限防護卻會失效。該漏洞CVSS評分為8.3屬高風險等級，建議用戶盡速升級至11.6.0+security-01版本或同分支修補版本，即便使用者無法立即升級，也應以網路層封鎖特定API路徑因應。</p> <p><a href="https://www.ithome.com.tw/news/168650"><strong style="font-size: 22px;">研究人員公布使用Linux io_uring迴避偵測的手法</strong></a></p> <p>資安廠商Armo研究人員公布針對Linux的Rootkit，利用Linux提高效能的專屬機制io_uring，來繞過包括Microsoft Defender在內的端點安全工具偵測。</p> <p>io_uring是Linux 5.1引進的高效非同步I/O核心API，透過支援非同步、批量提交I/O，解決傳統處理方法的同步阻塞，或是大量系統呼叫（syscall）的問題。它使用可兩個共享的ring buffer完成用戶空間（user space）和核心空間（kernel space）的溝通，藉由共享緩衝區來大幅減低因複製產生的系統額外的資源消耗（overhead），加速I/O執行。</p> <p>但Armo研究人員發現，io_uring對某些安全工具反而有害，因為它的機制可讓應用程式執行多種行為，而不需使用系統呼叫。因此仰賴系統呼叫偵測的安全產品，就無法偵測到使用io_uring的rootkit。基於io_uring的安全疑慮，Google已經在ChromeOS、Google伺服器及Android關閉io_uring的支援，Docker也預設不支援io_uring；Linux基金會也提供全系統關閉的方法。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/android-security-bulletin-may-2025-multi-vulnerabilities-including-actively-exploited-cve-2025-27363/">Google發布安卓5月例行更新，修補已被用於攻擊的零時差漏洞</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/unauthenticated-dos-vulnerability-crashes-windows-deployment-services-no-patch/">Windows部署服務存在DoS漏洞，攻擊者有機會遠端發動零點擊攻擊</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/168745"><strong>【5月5日】臺灣第一座防詐實驗室正式掛牌上路，玉山金揭金融無塵室發展方向</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168725"><strong>【5月2日】思科、Nvida等多家業者在RSAC 2025推出AI資安工具</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168681"><strong>【4月30日】韓國電信業者SKT資料外洩出現進展，該公司將為用戶換發SIM卡</strong></a></p> </div></div></div>
2025/5/6 11:20作者周峻佑https://www.ithome.com.tw/news/168762
Palantir首季營收成長39%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國大數據分析軟體平臺<a href="https://investors.palantir.com/news-details/2025/Palantir-Reports-Q1-2025-Revenue-Growth-of-39-YY-U-S--Revenue-Growth-of-55-YY-Raises-FY-2025-Revenue-Guidance-to-36-YY-Growth-and-U-S--Comm-Revenue-Guidance-to-68-YY-Crushing-Consensus-Expectations/" target="_blank">Palantir周一（5/5）公布今年第一季財報</a>，該季Palantir創下8.84億美元營收，成長39%，營業利潤（Operating Income）為3.91億美元，每股盈餘為0.13美元。儘管Palantir首季表現符合市場預期，但當天Palantir的盤後股價下挫了9.25%，跌至112.32美元。</p> <p>定位為大數據分析平臺的Palantir主要提供情報服務，在8.84億美元的營收中，有6.28億美元來自美國市場，占整體營收的71%。而在美國市場的營收中，有3.73億美元來自美國政府，成長45%，有2.55億美元來自商業客戶，成長71%。</p> <p>該季Palantir完成了139筆至少超過100萬美元的交易，51筆至少500萬美元的交易，以及31筆至少1,000萬美元的交易，客戶年增量為39%。</p> <p>Palantir預期下一季營收介於9.34億至9.38億美元之間，也調高今年整體的營收預期至38.9億美元至39.02億美元。</p> <p>Palantir共同創辦人暨執行長Alexander Karp表示，隨著愈來愈多組織開始理解大型語言模型（LLM）的價值，以及支撐這些模型的基礎軟體架構的重要性，原本有條不紊的評估及導入過程，已變成一場搶進式的狂熱浪潮，其規模之大令產業與政府機構都加速採用相關技術，並在美國表現得更為明顯。</p> <p>Karp說，該公司長期以來最關注的目標，便是讓美國的國防與情報機構擁有比敵人更致命也更精確的軟體能力，儘管過去曾遭忽視甚或幾近被淘汰，但如今矽谷某些人已開始支持他們，然而，不管時勢或潮流如何，Palantir替美國軍方開發軟體的承諾終將堅定不移。</p> </div></div></div>
2025/5/6 15:06作者陳曉莉https://www.ithome.com.tw/news/168771
Deno 2.3提升跨平臺編譯能力並支援本地NPM套件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://deno.com/blog/v2.3" target="_blank">JavaScript執行環境Deno開發團隊釋出最新2.3版</a>，進一步強化其開發工具鏈，包含擴充編譯功能以支援Node原生模組與外部函式介面（Foreign Function Interface，FFI），以及開放參照本地NPM模組，使Deno在應用部署與開發整合方面更具彈性。</p> <p>針對原生編譯功能的擴充，Deno 2.3讓開發者能將使用如bcrypt這類需要Node原生位元組碼的模組，一併編譯為單一可執行檔。這不僅簡化了部署流程，也讓跨平臺發布獨立程式變得可行。此外，此版本引入—exclude參數，允許排除不需打包的資源，藉此縮小檔案大小，對於希望控制最終產出檔案大小的開發者，提供更多調整空間。</p> <p>在NPM整合方面，過去Deno主要仰賴遠端NPM套件，2.3版本則首度開放透過deno.json設定，匯入本地資料夾中的模組。該變動對於開發NPM套件者來說特別實用，可在不發布到套件資料庫（NPM Registry）的情況下進行測試與驗證。</p> <p>Deno 2.3隨附TypeScript 5.8與V8 13.5，進一步提升語言層級的相容性與執行效能。在效能方面，本次更新改進相依套件的安裝流程，包括快取機制與lockfile格式，使NPM套件的解析速度在多數情境下提升約2.5倍。這些皆屬於底層機制的調整，對於中大型專案或高度依賴模組的開發環境，可實際縮短安裝與建置時間。</p> <p>新版本在工具鏈的整合體驗也有所提升，例如deno check現在可自動掃描整個專案資料夾，無需手動指定檔名；測試時使用—coverage參數也會自動產生覆蓋率報告，簡化測試流程。此外，Deno 2.3進一步強化對OpenTelemetry的支援，新增事件記錄、node:http模組的自動追蹤，以及V8執行階段的性能指標擷取，提升應用程式的可觀測性。</p> <p>整體來說，Deno 2.3更新重點在於提升工具實用性與系統整合，降低與Node.js生態系整合時的技術摩擦，並強化原生應用的編譯與監控能力。</p> </div></div></div>
2025/5/6 14:01作者李建興https://www.ithome.com.tw/news/168768
OpenAI公布新架構，把既有營利公司轉為PBC公司
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/index/evolving-our-structure/" target="_blank">OpenAI周一（5/5）公布該公司的新架構</a>，指出其營利的有限獲利公司將轉型為公益法人公司（Public Benefit Corporation⁠，PBC），但依舊由非營利組織控制。</p> <p>2015年創立的OpenAI原本是家非營利組織，<a href="https://www.ithome.com.tw/news/129281" target="_blank">在2019年改採混合組織架構</a>，除了既有的非營利的OpenAI Nonprofit之外，還設立了可營利的有限獲利公司OpenAI Global，並由OpenAI Nonprofit董事會負責管理OpenAI Global。在此一架構下，諸如微軟等OpenAI股東可透過OpenAI Global獲得回報，但回報上限為100倍。</p> <p>去年底，OpenAI企圖擺脫非營利機構的限制，以及原本設定的股東回報上限，<a href="https://www.ithome.com.tw/news/166735" target="_blank">因而宣布</a>將轉型為營利導向的公司，把OpenAI Global轉型為PBC，由該PBC公司同時承擔公益、社會與股東權益的責任，全權負責OpenAI的營運，而OpenAI Nonprofit除了可獲得該PBC的重要股份之外，已無法再直接管理該PBC，走向純粹的慈善活動。</p> <p>OpenAI的組織改革計畫面臨許多反彈的聲浪，其中之一是Meta。Meta要求加州檢察長阻止OpenAI，抨擊OpenAI的行為可能對矽谷造成重大影響，甚至將改變科技新創的經營模式：投資人可先成立非營利組織，收取數億美元的免稅捐款進行研發，在技術具備商業價值之後，再轉成營利公司來獲利，等於是假公益之名，行商業之實。</p> <p>本周OpenAI即說，在聽取了民間領袖的意見，以及與加州及德拉瓦州檢察長交流之後，決定讓非營利組織保留對OpenAI的控制權。OpenAI創辦人暨執行長Sam Altman強調，希望這個非營利組織是史上規模最大、最有效益的非營利組織，致力於利用AI替人們帶來最高效益；確保民主AI戰勝專制AI；OpenAI成立時是一個非營利組織，現在是一個可監督及控制營利組織的非營利組織，未來也將是如此。</p> <p>至於非營利組織的獲利有限公司則將轉型為PBC，不再採用利潤上限結構，而是轉為正常的資本架構，讓每個人都擁有股票。非營利組織將成為PBC的大股東，並將繼續控制PBC。</p> <p>簡單地說，這次的改變主要是移除了OpenAI股東的100倍獲利上限，替該PBC的股票公開發行舖路。Altman表示，OpenAI希望該公司的服務能夠惠及全人類，目前需要數千億美元的資金，最終可能需要數兆美元。</p> <p><a href="https://www.ithome.com.tw/news/168182" target="_blank">OpenAI在今年3月</a>揭露新一輪的融資活動，打算募資400億美元，完成後的OpenAI市值將攀上3,000億美元；該活動是由日本軟銀集團（SoftBank）主導，條件是OpenAI成功轉型為營利導向的公司。目前並不確定OpenAI本周的宣布是否符合軟銀所列出的條件，但不論如何，軟銀都至少會挹資200億美元。</p> </div></div></div>
2025/5/6 14:12作者陳曉莉https://www.ithome.com.tw/news/168770
微軟逐步終止Authenticator儲存密碼功能，將集中以Edge為主
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.microsoft.com/en-us/account-billing/changes-to-microsoft-authenticator-autofill-09fd75df-dc04-4477-9619-811510805ab6" target="_blank">微軟宣布將從7月起</a>，逐步取消Authenticator管理和autofill密碼或通行密鑰（passkey）的功能，最終把這些管理功能轉到Edge瀏覽器。不過用戶還是可以選擇Google Password Manager或iCloud Keychain。</p> <p>Microsoft Authenticator的autofill功能，可讓用戶將App和網站的密碼儲存在手機上，減少每次登入時輸入密碼驗證的次數。但微軟說它要簡化autofill，好讓密碼可以彈性使用在不同裝置上。伴隨此項變動，Microsoft Authenticator將分階段終止儲存密碼及autofill功能。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0506-microsoft%20authenticator-autofill-1%2B2.png" style="width: 444px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">Microsoft Authenticator的autofill功能示意，圖片來源／微軟</span></span></p> <p>從2025年6月起，用戶就無法再於Authenticator儲存新增密碼。7月間，Authenticator的密碼autofill無法使用。從8月起，Authenticator也無法存取（及autofill）已儲存的密碼。</p> <p>微軟提醒用戶應儘速行動，因為7月之後，Authenticator儲存的支付資訊就會從裝置刪除。8月之後，不但所有儲存的密碼無法從Authenticator取用，生成的密碼若未儲存也將會刪除。</p> <p>於此同時，用戶儲存在Authenticator的密碼以及網址會同步到微軟帳號。用戶可以在Edge瀏覽器存取密碼，重新獲得Autofill功能（如果用戶同意Edge為autofill provider）。微軟強調，用Edge瀏覽器的好處是具備Defender、SmartScreen、Password Monitor（密碼監控器）與InPrivate搜尋等安全功能。</p> <p>想以Edge為Autofill provider的用戶，可以從Edge的「設定」>「一般」>「Autofill & Password」中選擇Edge。之後用戶若想存取密碼，可以循「設定」>「密碼」存取。</p> <p>不想使用Edge、想使用Google Password Manager、Apple iCloud Keychain的用戶，就比較麻煩一點，必須將密碼輸出到想要的服務。然後從Authenticator複製&貼上網址，或是利用Edge的「輸出網址」功能來輸出。支付資訊就必須手動重新輸入。微軟提醒，從Authenticator輸出資料也必須在2025年8月1日以前完成，之後就再也無法用Authenticator（但在Edge還是看得到）。</p> <p>雖然Edge會同步用戶儲存的密碼，但系統生成的密碼卻不會，如果用戶想繼續使用，必須從Authenticator>「Password分頁（password tab）」>「生成器紀錄（generator history）」處，將系統生成的密碼儲存成「已儲存的密碼」。</p> <p>於此同時，微軟說Authenticator會持續支援通行密鑰。如果用戶曾為Microsoft帳設定通行密鑰，必須開啟Authenticator作為通行密鑰供應者。如果Authenticator關閉，通行密鑰也會關閉。</p> <p>這也是微軟推動無密碼登入措施的一環。<a href="https://www.ithome.com.tw/news/168721" target="_blank">微軟上周宣布</a>未來所有新的微軟帳號將預設使用無密碼驗證，以逐漸降低密碼使用。</p> </div></div></div>
2025/5/6 10:24作者林妍溱https://www.ithome.com.tw/news/168758
資安業者警告，來自俄羅斯的Go套件Easyjson可能危及美國國家安全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://huntedlabs.com/the-russian-open-source-project-that-we-cant-live-without/" target="_blank">專門追蹤開源軟體供應鏈安全性的美國資安新創Hunted Labs周一（5/5）警告</a>，他們發現一個Go語言的開源軟體套件Easyjson是由俄羅斯最大社交平臺VK所開發，恐危及美國國家安全。</p> <p>Hunted Labs是利用該公司所開發的Entercept平臺來協助客戶辨識與追蹤所使用的軟體是否受到國外的控制或影響，進而發現Easyjson已被部署在美國政府系統、Fortune五百大企業，以及雲端原生運算基金會（Cloud Native Computing Foundation，CNCF）的許多專案中。</p> <p>Easyjson是個Go語言套件，專門為優化JSON序列化及反序列化過程而設計，藉由生成Go程式碼來實現JSON的編碼與解碼，在雲端原生生態系統中被廣泛採用，受到許多開源與企業專案的仰賴，以於分散式系統中高性能地處理JSON，在金融與分析平臺上的即時資料序列化，以及雲端應用的最佳化，包括容器編排平臺Kubernetes、Kubernetes套件管理工具Helm，以及開源的服務網格Istio都採用了Easyjson。</p> <p>研究人員指出，如Easyjson等序列化工具是在應用程序的底層運行，它們通常是無形的，且緊密整合了系統的各個核心元件，一旦部署就很難移除與替換，一向被預設是可靠的。然而，當它們被武器化時，Easyjson即可能成為供應鏈的後門，可藉由反序列化執行遠端程式攻擊，被用來執行間諜活動或竊取資料，或者是啟用Kill Switch，於特定條件下觸發預設的破壞性功能。</p> <p>其實現階段Easyjson最大的嫌疑來自於它是由VK所開發的，如同美國圍堵華為的最大原因來自於相信它受到中國政府的掌控。</p> <p>VK為俄羅斯的第二大網路公司，是當地最大的入口網站與社交平臺，市占率超過6成，勝過Telegram的42%與臉書的26%，在俄羅斯科技領域的影響力僅次於搜尋引擎Yandex。VK的控股公司MF Technologies雖僅持有4.8%的VK經濟權益，卻擁有57.3%的VK投票權，在2021年時，與俄羅斯總統普丁（Vladimir Putin）關係密切的保險業者Sogaz、控股公司Gazprom-Media及國營技術公司Rostec相繼買下了MF Technologies的所有股份，取得VK的實際控制權，同年即撤換了VK執行長。</p> <p>而在俄烏戰爭之後，不僅是VK程式受到國際制裁，VK執行長Vladimir Kiriyenko也遭到美國、加拿大、英國、歐盟、日本與澳洲等國家的制裁。</p> <p>Hunted Labs表示，VK在俄烏戰爭中一直藉由審查或推廣內容發揮著作用，刪除任何對俄羅斯政府不利的言論，使得他們也對Easyjson這個由俄羅斯貢獻者提交逾85%以上程式碼的專案感到憂心，而該專案現在正處於美國雲端原生生態系統的臍帶位置。</p> </div></div></div>
2025/5/6 11:06作者陳曉莉https://www.ithome.com.tw/news/168761
微軟開放Windows 11 24H2全面部署
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>經過去年的分階段部署後，<a href="https://learn.microsoft.com/en-us/windows/release-health/status-windows-11-24h2" target="_blank">微軟上周宣布</a>Windows 11 24H2將全面推向所有規格符合的Windows PC用戶。</p> <p>微軟說，24H2的部署已進入最後階段，將透過Windows Update部署給所有用戶。除了Windows 11 PC外，如果Windows 10 PC硬碟符合規格要求，開啟「設定」>「Windows Update」，再選擇「檢查更新」，就能看見「下載與安裝」選項。但是過程中如果系統偵測到不相容情形，將就會暫時不顯示更新版。</p> <p>執行Home及Pro版Windows 11的 PC，以及不受IT部門管理的Windows 11 23H2、22H2和21H2 PC將會自動接獲24H2更新。用戶可以選擇電腦重開機的時間或是延後更新。</p> <p>在Copilot+ PC方面，新功能像是Recall與Click To Do預覽版，仍然會階段性部署到Insider測試社群中的特定裝置和市場。</p> <p>但24H2屢傳和某些軟、硬體發生不相容。有此類問題的用戶仍然可設定更新封鎖。有相容問題的軟體包括，用於Windows Hello臉部辨識的相機、Dirac數位音效改進軟體、使用sprotect.sys 驅動程式的應用程式、Intel Smart Sound Technology 驅動程式、Safe Exam Browser 3.7版及舊版反詐騙程式Easy Anti-Cheat等。</p> </div></div></div>
2025/5/6 09:41作者林妍溱https://www.ithome.com.tw/news/168756
Google可能正在開發類似三星Dex的Android桌機模式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.androidauthority.com/android-desktop-mode-leak-3550321/" target="_blank">網路媒體Android Authority發現</a>，Google可能正在開發類似三星Dex一樣，以手機App模擬桌機介面的功能，但正式名稱不確定。</p> <p><a href="https://www.samsung.com/tw/support/apps-services/what-is-samsung-dex/" target="_blank">Dex</a>為三星獨有的控制功能，允許用戶將三星行動裝置（如Galaxy智慧手機或平板）連接至外部顯示器（電視或顯示器），讓用戶在更大螢幕上使用所有手機／平板上所有App、文件、檔案或操作所有設定。但它不像螢幕鏡像（screen mirroring）一樣限制手機上的操作；使用Dex用戶可以同時開啟多個App，例如將球賽投影到電視，一邊開啟瀏覽器上網，同時在Galaxy手機上回覆郵件。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0506-samsung-dex.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／三星</span></span></p> <p><a href="https://www.androidauthority.com/android-desktop-view-3533755/" target="_blank">Android Authority三月時在Android 16 的測試版本中</a>，發現名為Desktop View的功能位於開發人員功能選項中。該功能類似Dex，但是無法在Pixel手機開啟。</p> <p>媒體記者近日測試Android 16 Beta 4，Desktop View功能已可在Pixel手機上開啟，但是介面描述文字改為Desktop Windowing，顯示可能改名。</p> <p><a href="https://www.youtube.com/watch?v=JrE15if_AVs&t=1s" target="_blank">根據記者的示範影片</a>，連接Google最新Pixel手機和電腦螢幕，即可在螢幕下方顯示類似Windows工作列的App行列，允許用戶利用滑鼠像是操作電腦一樣操作手機，也能在多個App間彼此切換或拖曳內容。</p> <p><a href="http://www.youtube.com/watch?v=JrE15if_AVs&t=1s" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0506-Google%20DeX%20by%20Android%20Authority.png" style="width: 600px;" /></a></p> <p><a href="http://www.youtube.com/watch?v=JrE15if_AVs&t=1s" target="_blank"><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源／Android Authority</span></span></a></p> <p>但從本功能開發尚不完整來判斷，Android Authority相信可能不會在秋天隨同Android 16推出，而是在之後的Android 16季度更新甚至Android 17上市。</p> </div></div></div>
2025/5/6 09:46作者林妍溱https://www.ithome.com.tw/news/168757
【2025臺灣資安年鑑｜數位發展部部長黃彥男】數位轉型與國安並重，臺灣在數位浪潮下的資安突圍
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/0506-zi_an_nian_jian_-huang_yan_nan_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在全球數位化浪潮席捲之際，臺灣作為高科技產業的重鎮，其資通安全不僅僅是技術層面的挑戰，更深切關係到國家安全、社會穩定以及經濟發展的命脈。面對日益嚴峻的網路威脅與快速演進的數位環境，政府正積極推動數位轉型，並以前瞻性的視野打造堅固的資安防線。</p> <p>在數位經濟迅速崛起的時代，網路安全早已超越單純的技術議題，晉升為攸關國家安全、社會穩定與經濟發展的重要戰略。臺灣在全球數位浪潮中要站穩腳跟，就必須全力推動政府與民間產業的數位轉型。</p> <p>數位發展部部長黃彥男開宗明義指出，數位轉型是當前政府最核心的工作之一，在這場搶先機的賽跑中，人工智慧（AI）的應用和推廣被視為關鍵利器，不僅能優化作業流程，更能推動產業轉型，助力臺灣在全球競爭中脫穎而出。因此，他說，政府在AI推動上，從人才培育、資金補助，到算力、行銷及各項技術設備的投資，進行全方位部署，期望讓臺灣在全球數位浪潮中站穩腳跟。</p> <p>同時，在面對數位經濟時代的國家競賽，臺灣要做到的戰略突圍，黃彥男認為，數位經濟高速公路就是臺灣突圍的關鍵。他指出，作為一座海島，臺灣必須確保網路暢通無阻，不論是面臨天災、人禍，還是戰爭等突發狀況，都必須有完整的備援措施，確保關鍵資訊基礎建設能夠持續運作。他特別指出，不僅政府部門需要加強資安防護，民間與地方政府的網路安全同樣不可忽視。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>全民防護與產業自救是因應資安防護的挑戰</strong></span></span></p> <p>隨著網路發展愈加普及，臺灣網路接觸面日益廣泛，詐騙與各種網路攻擊事件層出不窮，黃彥男認為，這正是「全民防護」的必要性所在。他指出，未來資安防護工作必須從政府、產業到地方政府全方位部署，像是金融、電信、交通等關鍵基礎設施（CI）均屬於攻擊重災區，一旦資訊系統遭駭客入侵，可能導致民眾恐慌與重大社會混亂。為此，政府除了針對公共單位，也積極推動非公共機關及民間企業建立完善防護措施。</p> <p>針對產業層面，黃彥男坦言，政府設有多項計畫來幫助中小企業轉型，但因預算與資源有限，補助計畫常常受制於經費縮減與人才不足，導致部分企業在資安轉型過程中舉步維艱。他也說，政府原先規畫設置免費算力池協助中小企業進行概念驗證（PoC），但因今年立法院大幅刪減預算，不僅想要新購的算力沒有預算購買，只能勉強維持原先的算力池資源，因此，能夠提供給企業做概念驗證的數量很有限，這也是數位部因為預算經費縮減而面臨的挑戰。</p> <p>黃彥男強調，資安防護並非僅靠技術就能解決，關鍵在於全民意識與協同合作。面對以AI技術撰寫病毒或操縱駭客工具的新型網路攻擊，傳統防護措施已顯得不足，必須整合新的監控技術，持續更新防禦系統，才能有效抵禦日益複雜的攻擊手法。所以，此時政府更需要讓全民了解各類攻擊手法，提高警覺與自主防範意識。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>強化數位韌性：從通訊系統到打詐機制</strong></span></span></p> <p>黃彥男表示，數位發展部的施政目標聚焦於「強化數位韌性」、「發展數位經濟」與「積極強化打詐」。在數位韌性方面，政府持續整合海陸空多元通訊系統，包括非同步衛星、5G網路及海纜等，以確保在災難或緊急情況下，政府指揮體系能保持基本通訊需求。</p> <p>他說，具體措施包括維運並推動非同步軌道衛星應變網路，自113年以來，已完成195處關鍵站點建置，並成立網管中心以即時監控運作狀況。此外，政府也發展近地高空通訊技術，利用國內團隊自主研製的高空平臺，結合低污染氫燃料電池，為救災提供自主可控、安全可靠的臨時通訊保障，其通訊服務可持續80小時以上，覆蓋半徑達11公里。</p> <p>在資安防護的層面上，他指出，目前政府運用AI技術發展自動威脅偵測模型，並深化跨國資安聯防及合作，建立全社會的資安防禦能力。另外，每年辦理網路攻防演練，模擬駭客攻擊手法，透過官學研合作，提升內部防護意識與事件應變能力。</p> <p>至於打詐方面，數位發展部積極推動網路詐騙通報查詢網、實施網路廣告實名制，並建構跨部會聯防機制，從源頭降低詐騙風險。截至2025年初，相關措施已使高風險金融投資及身分冒充詐騙廣告案件數大幅下降，降幅分別達93%與98%。政府透過推動網路詐騙通報查詢網、實施網路廣告實名制以及第三方支付平台監控等措施，有效降低高風險金融投資及身份冒充詐騙的案件數。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0506-%E8%B3%87%E5%AE%89%E5%B9%B4%E9%91%91-%E9%BB%83%E5%BD%A5%E7%94%B7-%E6%8A%BD%E8%A8%801.png" style="width: 600px;" /></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>部會合作的挑戰：資源、職權與協調</strong></span></span></p> <p>政府在數位轉型與資安防護方面，除了技術與資金的投入，部會間的協同合作同樣關鍵。黃彥男坦言，數位發展部作為新成立的部會，初期面臨極大挑戰是資源不足，許多經費都來自於計畫經費，以及與其他部會之間職權界線模糊，常常讓民眾誤解「所有網路相關事務都是由數發部處理」。</p> <p>黃彥男表示，上述情況也使得部會在執行各項任務時，除了需要應對技術挑戰，還必須花大量心力與其他部會協調、爭取預算與合作，而且，不論共同解決從網路攻擊、詐騙，到跨部門資安防護等繁雜問題，像是面對如Uber的案例，都必須與交通部等主管部門進行協商，確定監管責任歸屬。</p> <p>黃彥男坦言，與立法院及民間溝通也是一大挑戰。他進一步解釋，由於數位發展部相較其他部會而言，仍屬於新的部會單位，許多人事流動與人力不足，也讓許多人尚未能充分了解政府在資安與數位轉型上的努力，容易以片段訊息來詮釋整體成果，導致負面印象擴大。</p> <p>他指出，政府也正嘗試利用社群媒體及各項宣傳活動，希望能增進與民眾的互動與溝通，讓外界能夠更全面地認識政府在資安防護、網路建設與產業推動上的各項努力與成果。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>預算遭到立院刪除後所面臨的困境</strong></span></span></p> <p>黃彥男坦言，預算與人力不足，是目前推動數位轉型及資安防護工作面臨的最大挑戰之一。數位發展部成立才兩年多，就遭遇經費遭到立法院大幅削減的困境，他解釋，數位發展部整個部門預算被砍掉四成，預算凍結比例超過二成，實際可動用預算大幅縮減，嚴重影響各項計畫的推動。</p> <p>除了預算不足，他表示，人才短缺也成為數位發展部工作推動的瓶頸，無論AI技術人才、資安專業人才或是技術研發團隊，都因為高流動率與業界競爭激烈而難以留住；像是部門內部也有不少資深同仁，因工作負荷過重或待遇不符而離職，這對現有數位發展部政策的推動，以及未來政策執行與技術研發，都帶來長遠的影響。</p> <p>為了應對這些挑戰，黃彥男表示，政府正積極尋求與其他部會協同合作，並向行政院爭取更多資源以穩定並擴充部門力量，未來會將重點聚焦於穩定與提升預算分配，讓資安署及資安院能夠擁有更充裕的運作資金。</p> <p>同時，他也說，政府也會透過各項計畫補助，鼓勵中小企業參與數位轉型，並提供算力、資金及人才培訓等支持，同時建立完善的跨部門協調機制，確保資安政策與數位轉型方案能夠高效落實，減少部會間職權交叉與資源浪費。他也期待，如何讓各界理解並支持政府的數位轉型，只有從根本上解決資源分配問題，才能讓整個數位轉型與資安防護體系運作得更順暢、更具韌性。</p> <p><span style="font-size:28px;"><span style="color:#B22222;"><strong>確保災難時的通訊不中斷是重要工作</strong></span></span></p> <p>在談到國家網路基礎建設與應急救援技術時，黃彥男也提及政府在面對各種災害應變與緊急通訊領域的應用，他表示，針對天災或突發事故導致基地臺斷訊的情況，政府曾利用高空氣球技術，在災害發生後迅速將基地臺部署於空中，確保至少能夠提供數小時的緊急通訊服務。</p> <p>此外，政府正積極研發無人機技術，期望在高空氣球技術基礎上，利用無人機部署臨時基地站，以更靈活、迅速的方式應對災害現場的通訊中斷問題，大幅提升政府在災害救援及應急通訊上的整體應變能力。</p> <p>他認為，這類技術的創新不僅可以在災害發生時救急，長遠來看，更能作為臺灣數位轉型與資安防護體系中的一環，為未來智慧城市、物聯網應用提供強而有力的技術支撐。今年高空氣球基地臺計畫雖然因為預算刪除而被中止，但只要技術創新的想法還在，未來一定還有更多可能性。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0506-%E8%B3%87%E5%AE%89%E5%B9%B4%E9%91%91-%E9%BB%83%E5%BD%A5%E7%94%B7-%E6%8A%BD%E8%A8%802.png" style="width: 600px;" /></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>推動重要法規立法和修法進度</strong></span></span></p> <p>政府正積極推動包括《AI基本法》、《資安法》修法，以及《促進資料創新條例》立法等多項法規。黃彥男表示，由於技術進展太快，法規往往難以與現實技術同步更新，因此在制定相關法案時，政府傾向於採取原則性宣示，並在原則確定後，再進行細部執法措施的補充。</p> <p>例如，制定《AI基本法》的目標在於鼓勵AI技術發展與應用，同時兼顧風險管理與人權保障。他表示，政府在推動《AI基本法》時，也希望與立法院、司法部等各個部會協調溝通，確定各項推動與監管機制，使法規既不過於束縛技術發展，又能在關鍵時刻發揮有效監管作用。</p> <p>針對《資安法》修法，黃彥男認為這是一部影響全國各個領域的重要法規，其管制範圍原先只涵蓋政府部門，以及特定非公務機關，例如金融、電信、交通等關鍵基礎建設領域。</p> <p>目前《資安法》修法已進入立法院一讀，修法的重點在於：希望可以擴大全民防護、加強地方政府的資安防護，以及整合各個跨部門的情報分享與聯防機制。</p> <p>黃彥男表示，未來政府也希望建立一支類似「網路消防隊」的資安團隊，在面對資安攻擊發生時，能迅速協助各單位進行搶救，避免因資安事件造成大規模社會混亂。</p> <p>他指出，政府鼓勵民間及政府部門做到公開資料、共享資料，可以提升AI模型訓練的效率與準確性，同時，強調要建立符合國際標準的資料安全與隱私保護機制。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>聯防打造全民資安防線</strong></span></span></p> <p>關於建立跨部門、跨單位的資安聯防和合作機制，黃彥男同意這已是當務之急，例如，政府原本已經建立許多聯防機制，包括透過CSIRT（資安事件應變小組）、ISAC（資安情報分享中心）等平臺，但真正要做到實現各種資安資訊共享與跨單位協調，仍必須仰賴各界齊心協力，才能在面臨國家級或跨國的資安攻擊時，迅速做出反應，將損害降到最低。</p> <p>此外，政府不僅重視政府和關鍵基礎設施等內部聯防合作，也非常重視與民間、社群媒體之間的溝通，黃彥男表示，未來政府將加大宣傳力度，運用社群平臺，向民眾闡明各項資安措施與成效，爭取更廣泛的理解與支持透過多元宣傳管道，讓民眾了解政府在資安防護上的堅強實力</p> <p>黃彥男也對未來資安產業發展與數位轉型提出展望，他認為，未來的發展不僅限於技術突破，更需要在政策、預算、人力資源與跨部門合作上，建立完整而穩固的防護體系。</p> <p>他強調：「資安關乎國家安全，資安即國安，所有產業都無法脫離資安這個環節。」包括半導體、軍工、甚至是日常生活中各種政府服務，都需要建立相應的安全防護標準，確保各項服務能夠在安全的環境下穩定運作。</p> <p>至於在產業推動方面，他指出，政府也會優先考慮國產資安產品在政府採購上的比重，藉此扶植本土產業，提升整體技術實力；同時，政府也積極參與國際展覽與交流，將臺灣資安技術推向國際舞臺，促進產業升級與國際競爭力。他認為，面對國內外資安技術不斷進步，臺灣必須加速技術研發與政策推動，才能在未來激烈的市場競爭中占得先機。</p> <p>但是，推動資安產業發展與數位轉型並非一蹴可幾，內部的經費不足與人才流失問題，依然是必須迫切解決的難題。黃彥男坦言，唯有在面對挑戰時，不斷調整策略與部署，讓資安與數位轉型工作能夠持續推進，最終打造出一個堅韌、安全、可信賴的數位國家。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>最新資安政策藍圖出爐，目標是打造安全、可信賴的數位環境</strong></span></span></p> <p>預計在今年第三季推出的「第七期（114～117年）國家資通安全發展方案」中，以第六期（110-113年）所取得的成果為基石，更加強調全社會資安防禦與新興資安科技應用。黃彥男表示，過去政府透過各類攻防演練及工控場域建置，已顯著提升關鍵基礎設施韌性，未來將持續推動公私協力模式，促進資安人才的持續補充。</p> <p>至於民間防護，他指出，主要是透過TWCERT/CC推動公私領域聯防，另外在半導體設備SEMI E187的資安標準獲得國際認證，對半導體資安的推動有極大助益。他認為，政府鼓勵業者研發本土產品，推動資安產業國際化，可進一步擴大臺灣資安技術的國際影響力</p> <p>黃彥男也以「務實推動」與「接軌國際」為理念，並以「人本智慧新科技信賴安全新時代」為願景，擘劃出三大目標：發展新興資安科技與培育卓越資安人才；提升國家數位安全領域的攻防能量；共創安全可信賴的數位產業環境。</p> <p>他表示，最新的方案中，政府定位自己在推動資安產業發展中扮演「火車頭」的角色，從政策面，完善各項資安法規與標準，創造產業資安需求，並積極培訓資安人才。</p> <p>第七期方案中則強調產業、人才與政府三大要素構成的資安生態系，未來將從全社會資安防禦、關鍵基礎設施（CI）防護、壯大國家資安產業發展與新興資安科技應用四大面向推動工作。</p> <p>政府將以「務實推動」與「接軌國際」的精神，透過發展新興資安科技與培育卓越資安人才、提升國家數位安全攻防能量，以及共創安全可信賴的數位產業環境，有三大戰略重點，與各部會及產業攜手合作。政府將著重於利用AI自動威脅偵測模型，加強攻防能力。</p> <p>面對日益多樣化的網路攻擊，黃彥男表示，政府致力於建立全社會的資安防禦體系，確保在天災、戰爭等緊急情況下，國家通訊與指揮能夠穩定運作，海纜、低軌衛星、微波通信等多元通訊系統的整合與韌性提升是當前重點工作。</p> <p>此外，他指出，新方案特別強調全社會資安防禦，要求不僅政府單位，民間企業、地方政府及金融、電信等關鍵部門都要提升防護意識，全面建立聯防聯控機制。</p> <p><a href="https://www.tenlong.com.tw/products/9789860654349?list_name=srh" target="_blank"><span style="color: rgb(51, 102, 255);"><strong>本文出自《CYBERSEC 2025 臺灣資安年鑑》</strong></span></a></p> <p><a href="https://www.tenlong.com.tw/products/9789860654349?list_name=srh" target="_blank"><span style="color: rgb(51, 102, 255);"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/2025%E8%B3%87%E5%AE%89%E5%B9%B4%E9%91%91%E5%B0%81%E9%9D%A2.png" style="width: 350px;" /></strong></span></a></p> </div></div></div>
2025/5/6 07:00作者黃彥棻https://www.ithome.com.tw/article/168475
JavaScript執行環境Bun推出主控臺串流機制，改進全端除錯與AI整合流程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>JavaScript執行環境<a href="https://bun.sh/blog/bun-v1.2.12">Bun釋出1.2.12版本</a>，新增可將瀏覽器主控臺（Console）輸出直接串流至終端機的功能，強化除錯效率與人工智慧開發整合彈性，並針對Node.js相容性、記憶體使用量及多個臭蟲進行修正。本次更新雖屬小幅版本，卻對日常開發流程，特別是在全端開發與前端測試情境，提供更進一步的可觀察性與除錯體驗。</p> <p>透過新增的--console旗標，或在伺服器設定中啟用對應選項，開發者現在可將瀏覽器主控臺輸出直接串流至啟動Bun的終端機。這些資訊會明確標示來源，並透過與熱重載共用的連線傳送，無需額外設定即可運作。此機制減少在瀏覽器與終端機之間切換的麻煩，讓除錯流程更集中，也替人工智慧工具提供即時、具上下文的日誌輸入，有助提升自動化分析與協作效率。</p> <p>該功能由社群貢獻實作，現在並非預設啟用，但官方表示未來版本可能考慮設為預設行為。此設計除有助於集中日誌訊息來源，對部署前測試與故障重現也很實用。</p> <p>除了主控臺串流外，Bun在這個版也大幅改善記憶體使用效率。開發者測試顯示，針對React專案熱重載超過300次的情境，Bun從1.2.11版本的約272MB大幅降至1.2.12的150MB，而改進主要來自於Sourcemap處理架構的調整。</p> <p>在Node.js相容性方面，Bun強化對JavaScript執行引擎的快取機制支援，允許將程式碼的編譯結果儲存並重複使用，可有效縮短重啟或重新載入時的等待時間，對於開發時需頻繁重複執行的場景特別實用。同時也新增對網路模組的支援，可靈活設定封鎖特定IP或網段的規則，提升應用程式的控制能力與安全性。HTTP模組也修正多項潛在錯誤，處理特例情境更加穩定。根據官方的資料，Bun目前已通過大多數Node.js計時功能的測試。</p> <p>Bun本次也針對文字解碼相關功能進行修正，調整行為以符合Web標準規範，讓開發者在處理各類文字編碼時能獲得更一致的結果，並避免過去可能因輸入異常資料而產生的錯誤。在穩定性方面，Bun修正了過去在長時間執行熱重載時可能出現的偶發性錯誤，提升開發過程的可靠性。同時也修復了與模組安裝與路徑處理有關的問題，包含部分套件在安裝過程，無法正常執行初始化指令的情況。</p> </div></div></div>
2025/5/5 18:09作者李建興https://www.ithome.com.tw/news/168747
V8引擎支援預編譯註解標籤，提升網頁載入速度
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google旗下的JavaScript引擎V8引入一項名為<a href="https://v8.dev/blog/explicit-compile-hints">Explicit Compile Hints</a>的新功能，允許開發者透過特定註解指示V8在載入JavaScript檔案時，預先編譯其中所有會在頁面載入階段被呼叫的函式，以加速網頁初始載入效率，該功能已隨Chrome 136釋出。</p> <p>在既有的V8執行邏輯，V8會在載入階段決定每個JavaScript函式的編譯時機，是否要立即編譯（Eager Compilation），或延後至實際執行時才編譯（Lazy Compilation）。當選擇延後編譯，函式首次被呼叫時，主執行緒需等待V8完成編譯後才能繼續執行後續邏輯，這在特定情境下可能導致頁面反應延遲，特別是在初次載入過程即需執行的函式較多的情況。</p> <p>此次新增的註解標籤//# allFunctionsCalledOnLoad，開發者可明確告知V8，特定檔案中的函式會在頁面載入時被呼叫，進而啟用預編譯。這項提示會讓V8在載入期間，於背景執行緒進行完整的語法解析與編譯，並與網路請求的下載作業交錯執行，減少主執行緒的等待時間。</p> <p>官方實驗顯示，在針對20個熱門網站進行測試時，有17個網頁的JavaScript載入效能明顯改善，平均可減少約630毫秒的前景解析與編譯時間。</p> <p>這項機制的重點在於精準控制JavaScript的編譯時機。JavaScript語法複雜，即便是判定函式結尾位置，也無法僅靠括號配對而須完整解析語法結構，因此當預先進行語法解析卻不馬上編譯，將導致重複工作與資源浪費。而Explicit Compile Hints讓V8在判斷時能更有依據，避免過度依賴啟發式策略所帶來的不確定性。</p> <p>不過，V8團隊也提醒開發者此功能應謹慎使用。當過多函式被設定為預編譯，不僅會增加記憶體使用，也可能導致背景執行緒負載過重，反而影響整體效能。因此，理想的使用情境是將初始載入過程，確定會執行的關鍵函式集中於單一核心檔案，並對該檔案加註註解，以最大化效果。</p> <p>V8團隊計畫將此功能從檔案層級延伸至函式層級，使開發者能更細緻地指定特定函式進行預編譯。</p> </div></div></div>
2025/5/5 19:20作者李建興https://www.ithome.com.tw/news/168753
勒索軟體Rhysida聲稱對秘魯政府數位平臺下手，但該國否認遭駭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>勒索軟體Rhysida背後的組織上周宣稱攻擊祕魯政府數位平台，但祕魯政府否認。</p> <p>資安業者Comparitech<a href="http://hhttps://twitter.com/Comparitech/status/1918226749919510786">上周五發現</a>Rhysida在暗網貼文公告此事。駭客並張貼疑似來自網址為Gob.pe的多份文件螢幕擷圖作為證據。Gob.pe為祕魯政府數位平台的網址。在Rhysida駭客的公告宣稱，他們已向祕魯政府要求在7日內支付5比特幣來交換。</p> <p>但是祕魯政府否認此事。根據<a href="https://twitter.com/_venarix_/status/1918256380374598077">資安業者Venarix轉貼</a>祕魯政府的聲明，祕魯政府宣稱該國數位單一平台（<a href="http://www.gob.pe">www.gob.pe</a>）並未遭入侵或遭破壞。所有服務皆維持正常運作。</p> <p>該國政府說，社群媒體上流傳的關於 <a href="http://www.gob.pe">www.gob.pe</a> 網域被劫持的訊息並不準確。所謂事件實際上是發生於 <a href="http://www.satp.gob.pe">www.satp.gob.pe</a> 網域相關的某服務，但該服務管理與祕魯內閣會議主席（總理）辦公室、或數位政府與轉型秘書處切開。</p> <p>Rhysida為俄國駭客組織，自2023年5月崛起以來，宣稱成功襲擊的受害組織多達182個。去年7月和12月Rhysida駭客宣稱分別駭入了美國俄亥俄州哥倫布市及西雅圖達科馬機場，導致多家航空公司必須人工處理登機作業。今年1月Rhysida駭客宣稱成功攻擊加拿大魁北克省，勒索10比特幣，約100萬美元贖金。</p> <p>不過這隻勒索程式曾遭破解，去年初南韓網路安全署（KISA）<a href="https://www.ithome.com.tw/news/161270">已公佈解密金鑰</a>。</p> </div></div></div>
2025/5/5 19:20作者林妍溱https://www.ithome.com.tw/news/168754
百萬開發者愛用的AI開發工具Cursor再添火力！母公司成功募資9億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近日英國金融時報（Financial Times，FT）<a href="https://www.ft.com/content/a7b34d53-a844-4e69-a55c-b9dee9a97dd2">引述消息來源報導</a>，專門開發AI程式設計工具Cursor的Anysphere已經完成了新一輪的融資，成功募得9億美元的資金，而且該公司的估計已達到90億美元。</p> <p>Anysphere成立於2022年，當時是由4名來自麻省理工學院（MIT）的Aman Sanger、Arvid Lunnemark、Sualeh Asif 與Michael Truell共同創立，創辦人皆只有二十幾歲，其<a href="https://anysphere.inc">官網上明白寫著</a>，這是一個致力於程式自動化的應用研究實驗室，打算結合AI與人類智慧來培育天才工程師。</p> <p>Anysphere的首個產品為Cursor，它是個程式碼編輯器，介面類似VS Code，支援 Python、TypeScript、React與Go等不同的程式語言，所嵌入的AI讓它能夠理解人類自然語言輸入。該公司在<a href="https://www.cursor.com/cn/blog/series-b">今年1月宣稱</a>，已有數百萬名程式設計師將Cursor列為首選編輯器，透過其專有模型所產生的程式碼數量已凌駕全球任何單一大型語言模型所生成的程式碼，而且每天編問的程式碼超過10億個字元，業務蒸蒸日上且成長迅速，經常性收入已超過1億美元。</p> <p>FT的報導之所以受到外界關注，是因為Anysphere是<a href="https://www.cursor.com/cn/blog/openai-fund">在2023年9月才獲得</a>來自OpenAI的800萬美元種子資金，彼時Anysphere的所有資金只有1,100萬美元；但該公司在2024年8月便<a href="https://www.cursor.com/cn/blog/series-a">完成了A輪融資</a>，成功募得6,000萬美元，公司估值為4億美元；接著在今年1月完成1.05億美元的<a href="https://www.cursor.com/cn/blog/series-b">B輪融資</a>，公司估值已達26億美元。</p> <p>本周FT則說該公司估值已快速增長至90億美元，顯示Anysphere在不到半年的時間，身價便已暴漲3倍有餘，被稱為史上成長最快的AI新創。</p> <p>根據報導，此次是由也投資OpenAI的Thrive Capital領投，其它投資者還包括Andreessen Horowitz與Accel。</p> </div></div></div>
2025/5/5 19:28作者陳曉莉https://www.ithome.com.tw/news/168755
【資安日報】5月5日，臺灣第一座防詐實驗室正式掛牌上路，玉山金揭金融無塵室發展方向
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>數發部在防範網路詐騙上，2023年從金流阻斷的管道著手，補助金融業者發展AI防詐鷹眼系統，促成公私合作共同組成「<a href="https://www.ithome.com.tw/news/164486">鷹眼識詐聯盟</a>」，今年他們有了進一步的行動，上週宣布支持玉山金控、金融科技產業聯盟成立防詐實驗室，目的是希望運用新技術，提高對異常交易、高風險帳戶的偵測識別能力。</p> <p>其中，防詐實驗室的重點計畫「金融無塵室」，玉山金控也在掛牌儀式公開展示這個管制空間。防詐實驗室當中設立的金融無塵室，藉由多層式加密，建立可以整合不同金融資料的環境，目的是讓金融機構能在確保資安合規、安全的情況下合作。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168738"><strong style="font-size: 22px;">駭客攻陷電商平臺Magento供應鏈，連百億規模跨國公司都遭殃</strong></a></p> <p>專門鎖定電子商務資訊安全領域的Sansec揭露，有駭客滲透了開源電子商務平臺Magento的供應鏈，在這些供應鏈業者所提供的外掛程式中嵌入了後門，已波及數百家商店，包括一家價值400億美元的跨國公司。Sansec調查發現，總計有21款第三方擴充套件服務含有同樣的後門，該後門偽裝成授權檢查機制，允許駭客得以在未經授權的情況下執行任意的PHP程式，竊取客戶資料及支付資訊，植入信用卡竊取程式，建立未經授權的管理員帳戶，或是持續控制受到感染的網站等。</p> <p>特別的是，這些後門現身的時間點從2019年到2022年不等，最久的已存在6年，卻一直到今年4月才開始遭到積極利用。</p> <p>被植入後門的應用程式來自3家Magento解決方案供應商Tigren、Magesolution，以及Meetanshi。Sansec說，這3家業者的伺服器已被滲透，才使得駭客能夠在它們的下載伺服器上植入後門，估計全球至少有500家至1,000家商店正在執行含有後門的應用程式。</p> <p><a href="https://www.ithome.com.tw/news/168679"><strong style="font-size: 22px;">Cloudflare緩解了6.5 Tbps大規模DDoS攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/cloudflare-ddos-image2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/cloudflare-ddos-image2.png" style="width: 300px; float: right;" /></a></p> <p>2025年分散式阻斷服務（DDoS）攻擊愈來愈猛烈，資安業者Cloudflare在今年4月緩解6.5 Tbps的DDoS攻擊，再創下史上攻擊流量的新高。</p> <p>近日Cloudflare揭露今年第一季DDoS攻擊態勢，指出第一季該公司阻擋約700次超大流量的攻擊，平均每天有8次，這些攻擊行動的規模，不是流量在1 Tbps以上，就是每秒傳送10億個封包（Bpps）的事故。</p> <p>雖然Cloudflare主要是彙整第一季的態勢，但這次特別提及4月的情況。因為，該公司在4月下半，偵測並阻擋了數十次超大量DDoS攻擊，其攻擊最高峰在6.5 Tbps（或是4.8 Bpps），每波攻擊持續35到45秒之間。從流量的規模來看，6.5 Tbps的攻擊波是迄今公開紀錄最大的DDoS攻擊，超越今年1月的5.6 Tbps；而4.8 Bpps也是迄今公布最多封包量的一次，比前一次的3.15 Bpps多出52%。</p> <p><a href="https://www.ithome.com.tw/news/168743"><strong style="font-size: 22px;">勒索軟體DragonForce東山再起，以橫向聯盟模式提供作案工具，讓打手以自己的名義犯案</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/DragonForce-figure-01.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/DragonForce-figure-01.png" style="width: 300px; float: right;" /></a></p> <p>去年6月傳出臺灣邦交國帛琉遭駭，2萬份政府文件流入暗網，聲稱發動攻擊的勒索軟體駭客組織DragonForce，表示他們是為了經濟目的而犯案，特別的是，當時該組織並未向帛琉政府勒索，外界認為原因是這些駭客背後有中國政府資助。如今這組駭客傳出建立新的經營模式，吸引想建立名號、卻無相關技術的打手上門。</p> <p>資安業者Secureworks指出，DragonForce經營團隊原本採用提供作案工具的租用服務模式（Ransomware-as-a-Service），3月19日之後，開始改以勒索軟體「橫向聯盟（cartel）」名義找尋合作對象，而與過往租用工具的經營模式最大的差異，就是合作社的成員能以自己的品牌從事活動。</p> <p>資安新聞網站Bleeping Computer根據他們聯繫DragonForce代表後得到的資訊，描述新的業務合作模式，他們指出DragonForce通常會在附屬團體收到贖金後，瓜分20%至30%作為平臺的使用費。DragonForce透露，他們是以經濟利益為動機的駭客組織，自己有一套道德準則，反對攻擊癌症病人或是心臟相關的醫療機構。</p> <p><a href="https://www.ithome.com.tw/news/168723"><strong style="font-size: 22px;">Commvault公布被用於攻擊Azure環境的零時差漏洞細節</strong></a></p> <p>今年3月老牌備份軟體領導廠商Commvault表示，他們2月20日接獲微軟的通報，得知有國家級駭客在Azure環境從事未經授權的活動，經過初步調查後確認有部分用戶受到影響，駭客利用了一項零時差漏洞而得逞，如今該公司公布後續的調查結果。</p> <p>4月27日Commvault表示，經過他們進一步調查，確認客戶備份的資料並未遭到未經授權存取，這起事故也沒有對該公司業務營運和交付產品、服務造成重大影響。Commvault與兩家資安業者、有關當局緊密合作，聯手因應此事。</p> <p>該公司也更新前述零時差漏洞的資安公告，指出這項弱點已被登記為CVE-2025-3928列管，CVSS風險評為8.7，並指出若不處理，攻擊者有機會用來部署Web Shell，並損害網頁伺服器。美國網路安全暨基礎設施安全局（CISA）於4月28日，將該漏洞納入已遭利用的漏洞列表（KEV）。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=2&SPOKE_TIME=152248&SPOKE_DATE=20250430&COMPANY_ID=2029"><strong style="font-size: 22px;">針對3月底揭露的資安事故，鋼鐵廠盛餘表示有資料外洩的情況</strong></a></p> <p></p> <p>鋼鐵廠盛餘於3月30日於股市公開觀測站發布資安重訊，指出他們資訊系統遭到網路攻擊，且有主機與電腦感染病毒的情況，經過一個月的調查，該公司再度表示，他們管理的個人資訊及機密資訊，有可能遭到洩露的情況。他們將著手對可能受到影響的利害關係人，發送資安通知，對於遭竊情形與處理措施進行說明。</p> <p>究竟有那些資料曝險，該公司並未進一步說明。不過，該公司進行評估後，認為對公司的營運無重大影響。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://therecord.media/cyberattack-water-supplier-barcelona-spain">西班牙水資源供應商傳出遭遇網路攻擊，部分用戶資料恐外流</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.googlecloudcommunity.com/gc/Community-Blog/Finding-Malware-Unveiling-LUMMAC-V2-with-Google-Security/ba-p/899110">竊資軟體LummaC2藉由ClickFix網釣手法散布，並於記憶體內執行惡意PowerShell指令碼</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://krebsonsecurity.com/2025/05/xai-dev-leaks-api-key-for-private-spacex-tesla-llms/">人工智慧公司xAI私鑰於GitHub流出，特斯拉、SpaceX、X的大型語言模型恐被存取</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/04/triada-malware-preloaded-on-counterfeit.html">低價安卓手機、平板電腦、機上盒驚傳預載惡意軟體Triada，鎖定俄羅斯用戶而來</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityaffairs.com/177020/cyber-crime/ceo-of-cybersecurity-firm-charged-with-installing-malware-on-hospital-systems.html">資安業者Veritaco執行長遭到起訴，起因是此人在醫院的電腦植入惡意軟體</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168638"><strong style="font-size: 22px;">GitLab釋出新版修正Maven Proxy高嚴重性XSS漏洞</strong></a></p> <p>GitLab釋出17.11.1、17.10.5及17.9.7版本，針對社群版與企業版同步進行安全性修正。本次更新重點為修補多個Maven Dependency Proxy元件相關的高嚴重性跨站腳本攻擊（XSS）漏洞與資料洩漏風險，影響範圍涵蓋16.6後的版本號。官方指出，受影響的安裝環境不限於特定部署型式，所有自行管理版本GitLab均建議儘速升級。</p> <p>GitLab公告修補5個安全性問題，有3項為高嚴重性漏洞，其中2個CVE-2025-1763、CVE-2025-2443出現在Maven Dependency Proxy元件，該元件主要用於快取與管理Java專案所需套件下載，但因內容安全政策（CSP）與快取標頭設定不足，攻擊者可能植入惡意腳本，繞過瀏覽器的安全防護機制。另一項高嚴重性漏洞CVE-2025-1908，則與NEL（Network Error Logging）標頭注入有關，可能使攻擊者追蹤使用者瀏覽行為，進一步增加入侵或帳號接管的風險。</p> <p><a href="https://www.ithome.com.tw/news/168680"><strong style="font-size: 22px;">研究人員揭露眾多蘋果AirPlay安全漏洞</strong></a></p> <p>資安業者Oligo揭露23個資安漏洞，這些漏洞涉及蘋果AirPlay協定與AirPlay軟體開發套件（Software Development Kit，SDK），研究人員將它們統稱為AirBorne，蘋果接獲通報後在今年1月修補完成，並登記17個CVE編號列管。不過，Oligo擔心，市場上有數千萬臺的第三方裝置支援AirPlay，恐怕需要數年的時間才能全部修補完成。</p> <p>這些漏洞可能被用來執行遠端程式、存取控制清單、繞過與使用者的互動、任意存取本地端檔案、外洩敏感資訊、中間人攻擊，以及服務阻斷攻擊等。對此，Oligo建議使用者，應更新裝置以降低潛在的安全風險，並在不使用的情況下直接禁用AirPlay接收器；若是要使用相關功能，也要進一步藉由防火牆設定來限制AirPlay存取並採用嚴格的AirPlay設定。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168707"><strong style="font-size: 22px;">玉山金揭金融無塵室最新進展，第二階段要整合跨業資訊、提升軟硬體架構</strong></a></p> <p>玉山金控近日與金融科技產業聯盟、數發部合作成立「防詐實驗室」，並在4月30日正式掛牌啟用。除了對外展示金融無塵室空間，玉山金控也進一步揭露金融無塵室後續的目標。玉山金控指出，他們已在今年2月和中信金控、中華郵政完成金融無塵室第一階段概念驗證（POC），驗證警示帳戶偵測的技術可行性，接下來，金融無塵室的第二階段目標，是要透過結合多元跨業資訊，捕捉更多潛在被害人，並且運用更好的演算法和硬體架構，進一步提升警示精準度。</p> <p>在防詐實驗室掛牌儀式中，玉山金控對外展示了金融無塵室空間，也就是位處於防詐實驗室中的管制室，是實際進行研發和資料分析的場域。玉山金控表示，所有人員進出這個管制室，都需要移除自有裝置，例如不能攜帶手機或自有3C裝置，而且，這個空間也嚴禁任何資料攜出，管制室內部也會有個人專屬使用的對應裝置。</p> <p>資料無塵室（Data Clean Room）是國外近年開始崛起的多方資料協作方式，在安全技術和隱私技術保護下，讓多方資料可以在兼顧用戶隱私和資料安全的環境下進行處理和分析。金融無塵室正是這一類的設計，利用了多層式加密方式，建立一個可以整合不同金融機構資料的環境，確保金融機構能在資料合規、安全的情況下進行合作。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/168725"><strong>【5月2日】思科、Nvida等多家業者在RSAC 2025推出AI資安工具</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168681"><strong>【4月30日】韓國電信業者SKT資料外洩出現進展，該公司將為用戶換發SIM卡</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168660"><strong>【4月29日】1千多臺SAP NetWeaver伺服器傳出遭遇滿分漏洞攻擊</strong></a></p> </div></div></div>
2025/5/5 17:15作者周峻佑https://www.ithome.com.tw/news/168745
【臺灣資安大會直擊】持續推動零信任架構，將來銀行公開今年四項重點計畫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今年臺灣資安大會上，將來銀行資安長康崇原公開他們推動零信任架構的作法，並揭露了將來銀行今年預計推動的四項零信任架構重點計畫，分別是優化最高權限帳號管理、優化身分與存取管理、導入FCB\GCB基準，和調整網路微分段等計畫。</p> <p>康崇原表示，對純網銀而言，他們並沒有ATM、實體分行、分支機構，也沒有大型主機。因此，他們先根據金管會發布的零信任架構參考指引，排除未使用的場域，以高風險、低衝擊的場域選項來綜合評估先行導入的場景。他們選定的場域包含六項，分別是遠距辦公、雲端存取、系統維運管理、應用系統管理、服務供應商，和跨機構協作。其中，遠距辦公和系統維運管理，是將來銀行選定優先導入零信任架構的目標場域。</p> <p>選定目標先行場景後，將來銀行運用零信任架構實作參考原則分級表，來做自評，並運用自評結果，擬定2025年的目標計畫。</p> <p>康崇原提到，將來銀行2025年預計完成四項零信任架構計畫，第一項是優化最高權限帳號管理，包括針對45套金融應用系統的最高權限帳號管理機制進行優化，並依據認證方式，將應用系統分成AD整合和非AD整合類型。</p> <p>第二項計畫是優化身分與存取管理機制，包括針對系統維運管理場域的維運專屬終端、AD主機和對外服務主機，建置第二道身分驗證機制。第三項計畫是導入FCB\GCB基準，包括建立基於屬性存取控制（ABAC, Attribute-Based Access）的存取控制清單，管制主機資源的存取，並規畫分階段導入金融機構組態基準（FCB）。</p> <p>最後一項計畫，是要調整網路微分段，包括規畫辦理中臺、官網、網銀及無障礙網銀等對外服務主機網路微分段調整。</p> <p>除了加強零信任架構，將來銀行也計畫今年導入更多監控告警規則，加強金融資安聯防能力。康崇原表示，他們將根據最新版的資安監控組態基準（MCB v3.0）新增監控告警規則，從現有行內121條規則數，新增至427條監控告警規則，預計今年完成開發。</p> <p></p> </div></div></div>
2025/5/5 18:45作者李昀璇https://www.ithome.com.tw/news/168749
ChatGPT支援這麼多種模型怎麼用？OpenA揭露各自強項和擅長任務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI迄今已發表數種模型，每種模型都有所更新或特定的功能，上周OpenAI更新其<a href="https://help.openai.com/en/articles/11165333-chatgpt-enterprise-models-limits">ChatGPT Enterprise的模型介紹</a>，好好地列出了每個模型的強項及所適合的任務。</p> <p>OpenAI提供許多訂閱方案，免費版的ChatGPT Free只能使用功能有限的GPT-4o mini模型，而不管是每月20美元的ChatGPT Plus、每月30美元的ChatGPT Team、每月200美元的ChatGPT Pro，或是大型企業等級的ChatGPT Enterprise都能自行選擇所要使用的模型，只是不同模型都有其用量限制。</p> <p>根據OpenAI的說明，GPT-4o是個完整的多模態模型，幾乎支援所有功能，從搜尋、生成圖像、語音或資料分析，也能輸入各種內容，最適合用來進行日常任務，不管是摘錄會議紀錄、起草專案電子郵件或是校稿等，而它在ChatGPT Enterprise訂閱方案中也可無限使用。</p> <p>而GPT-4.5則適合創意任務，因為它更有情緒智商，有創造力也有協調性，很適合幫忙撰寫新功能的描述，或是寫一封具同理心的道歉信，但每周僅支援20個請求。</p> <p>OpenAI o4-mini 適合快速的技術任務，像是快速的STEM相關查詢、程式設計及視覺推理等，如自CSV檔案中提取關鍵資料點，或是快速修復Python回溯等，支援每天300個請求。</p> <p>OpenAI o4-mini-high 可用來執行那些需要更長思考的技術任務，如數學、撰寫程式碼，或是科學解釋，例如用外行人能夠理解的語言來解釋科學概念，該模型支援每天100個請求。</p> <p>至於OpenAI o3則適合複雜或多步驟的任務，如策略規畫、分析，或是大量或深入的程式碼撰寫，例如制定市場擴張的風險分析，或者是依據競爭資料來起草商業策略，也能根據CSV進行多步驟分析，預測並繪制下一季趨勢等，支援每周100個請求。</p> <p>而OpenAI o1 pro mode基本上奠基於傳統模型上，只是針對高風險與長期的分析任務進行微調，使得它能夠更準確地完成複雜任務，像是可以替歐盟隱私推廣起草詳細的風險分析，或是能夠生成多頁的新興技術研究摘要，也能利用理論模型來建立一個財務預測演算法，但該模型每月只支援5個請求。</p> <p>從所支援的功能及請求數量來看，ChatGPT Enterprise用戶可以毫無顧忌地使用GPT-4o，應該也能自在地切換到OpenAI o4-mini 及OpenAI o4-mini-high ，並相對謹慎地使用GPT-4.5與OpenAI o1 pro mode。</p> </div></div></div>
2025/5/5 18:48作者陳曉莉https://www.ithome.com.tw/news/168750
超高風險！PHP程式庫ADOdb存在滿分漏洞，280萬套已部署系統恐曝險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>PHP開源專案ADOdb<a href="https://github.com/ADOdb/ADOdb/releases">上周釋出v5.22.9</a>，以修補一個CVSS風險評分等級高達10分的安全漏洞CVE-2025-46337，該漏洞恐危及全球280萬已安裝ADOdb的系統。</p> <p>ADOdb是個熱門的PHP資料庫抽象層，它提供一個統一的API介面，讓開發人員得以利用相同的語法來操作不同類型的資料庫，相容於MySQL、PostgreSQL、SQLite、Oracle、Microsoft SQL Server、IBM DB2及Sybase等資料庫，而這次所發現的CVE-2025-46337是個SQL注入漏洞，出現在ADOdb程式庫的PostgreSQL驅動程式中，允許駭客執行任意SQL指令。</p> <p>這是由安全研究人員Marco Nappi意外發現的漏洞。<a href="https://xaliom.blogspot.com/2025/05/from-sast-to-cve-2025-46337.html">Nappi說</a>，他一直是位黑盒滲透測試人員，最近想要強化對白盒的了解，於是開始探索靜態分析安全測試（Static Analysis Security Testing，SAST），並決定利用靜態程式碼分析工具SonarQube來分析用來建置大學網站的開源專案Moodle，以及同樣也是開源的客戶關係管理專案VtigerCRM。</p> <p>沒想到SonarQube不管是在Moodle或VtigerCRM專案上都找到了SQL注入漏洞，進一步檢查才發現該漏洞其實隱藏在ADOdb資料夾中。</p> <p>當程式使用ADOdb連結到PostgreSQL資料庫時，如果開發人員在呼叫pg_insert_id() 函數時，使用了用戶所提供的資料，卻沒有正確地轉義處理，便可能觸發<a href="https://github.com/ADOdb/ADOdb/security/advisories/GHSA-8x27-jwjr-8545">CVE-2025-46337漏洞</a>，允許駭客執行任意SQL指令。</p> <p>該漏洞影響多個PostgreSQL驅動程式，包括postgres64、postgres7、postgres8及postgres9。在最危險的場景中，駭客將可完全控制SQL執行，竊取或刪除資料，甚至自遠端執行程式碼。</p> </div></div></div>
2025/5/5 18:55作者陳曉莉https://www.ithome.com.tw/news/168751
勒索軟體DragonForce東山再起，以合作社模式提供作案工具，讓打手以自己的名義犯案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年6月傳出<a href="https://www.ithome.com.tw/news/163301">臺灣邦交國帛琉遭駭</a>，2萬份政府文件流入暗網，聲稱發動攻擊的勒索軟體駭客組織DragonForce，表示他們是為了經濟目的而犯案，特別的是，當時該組織並未向帛琉政府勒索，外界認為原因是這些駭客背後有中國政府資助。如今這些駭客傳出建立新的經營模式，吸引想要建立自己名號、卻沒有相關技術的打手上門。</p> <p>資安業者Secureworks指出，今年DragonForce經營團隊調整原本提供作案工具的租用服務模式（Ransomware-as-a-Service），<a href="https://www.secureworks.com/blog/ransomware-groups-evolve-affiliate-models">自3月19日改以勒索軟體「合作社（cartel）」名義找尋合作對象</a>，而與過往租用工具的經營模式最大的差異，就是合作社的成員能以自己的品牌從事活動。</p> <p>在合作社經營模式裡，DragonForce提供用戶基礎設施及工具，但特別的是，這些附屬組織不需自行出手部署勒索軟體。DragonForce聲稱提供附屬組織管理面板、加密及勒索工具、檔案儲存系統，以及暗網網站及.onion網域，並提供支援服務。</p> <p>研究人員指出，這種經營模式與其他勒索軟體租用服務相比顯得特別突出，而有可能吸引許多駭客團體上門，因為這樣的合作社服務，不光是降低技術不足的駭客犯案難度，即使是其他經驗充足的駭客也可能趨之若鶩，因為，他們可享受無須部署、維護自己基礎設施的便利性，使得從事相關活動變得更加靈活。</p> <p>資安新聞網站Bleeping Computer也<a href="https://www.bleepingcomputer.com/news/security/dragonforce-expands-ransomware-model-with-white-label-branding-scheme/">透露相關調查結果</a>，他們指出DragonForce通常會在附屬團體收到贖金後，瓜分20%至30%作為平臺的使用費。DragonForce透露，他們是以經濟利益為動機的駭客組織，自己有一套道德準則，反對攻擊癌症病人或是心臟相關的醫療機構。</p> <p>DragonForce告訴Bleeping Computer，他們本質上是以市集的方式來經營，附屬團體可選擇用自己的名號，或是以DragonForce的名義從事活動。</p> </div></div></div>
2025/5/5 16:50作者周峻佑https://www.ithome.com.tw/news/168743
駭客攻陷開源EC平臺Magento供應鏈，連百億規模跨國公司都遭殃
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門鎖定電子商務資訊安全領域的Sansec<a href="https://sansec.io/research/license-backdoor">上周揭露</a>，有駭客滲透了開源電子商務平臺Magento的供應鏈，在這些供應鏈業者所提供的外掛程式中嵌入了後門，已波及數百家商店，包括一家價值400億美元的跨國公司。<br /> Magento是個以PHP撰寫的開源電子商務平臺，在2018年以16.8億美元<a href="https://www.ithome.com.tw/news/123347">賣給了Adobe</a>，現為全球第三大電子商務平臺，市占率約為8%，至於前兩名的Shopify及WooCommerce都有超過20%的市占率。</p> <p>除了核心的Magento開源平臺外，Adobe打造了付費的Commerce版本，以提供代管、客戶支援及其它客製化功能，其生態系統中還包括許多第三方的應用與擴充服務開發商，此次Sansec即發現，總計有21款來自3家公司的第三方擴充服務含有同樣的後門，該後門偽裝成授權檢查機制，允許駭客得以在未經授權的情況下執行任意的PHP程式，竊取客戶資料及支付資訊，植入信用卡竊取程式，建立未經授權的管理員帳戶，或是持續控制受到感染的網站等。</p> <p>特別的是，這些後門現身的時間點從2019年到2022年不等，最久的已存在6年的時間，卻一直到今年4月才開始遭到積極濫用。</p> <p>這21款被植入後門的應用程式來自3家Magento解決方案供應商Tigren、Magesolution與Meetanshi，Sansec說，這3家業者的伺服器已被滲透，才使得駭客能夠在它們的下載伺服器上植入後門，估計全球至少有500家至1,000家商店正在執行含有後門的應用程式，像是Ajaxsuite、Ajaxcart、ImageClean、CurrencySwitcher、FacebookChat、Lookbook或StoreLocator等。</p> <p>Sansec已知會上述受影響的業者，其中的Tigren否認遭到駭客攻擊，而Meetanshi承認被駭客入侵，但否認軟體被竄改。</p> </div></div></div>
2025/5/5 14:17作者陳曉莉https://www.ithome.com.tw/news/168738
【資安週報】0428~0502，新世代資安維運中心Agentic SOC、資安領域專用LLM發展受關注
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>回顧2025年5月第一星期的資安新聞焦點，此時適逢全球大型資安會議RSA Conference 2025舉行，有多家科技大廠在現場公布最新AI資安發展與成果，iThome也在現場進行第一手報導。其中Google推動代理型資安維運中心，Cisco推出首款開放AI資安模型Foundation AI Security最受矚目，同期間亦有 AI 安全防護與科技防詐等新消息發布。</p> <p>（一）SOC資安維運中心隨著AI代理進化，Google宣布朝向Agentic SOC發展，並發表兩款AI資安代理，分別是偵測工程代理（Detection Engineering Agent）和應變處理代理（Response Agent），亦在旗下資安解決方案Security Command Center，新增多項AI Protection功能。</p> <p>（二）資安專業領域LLM的發展受重視，Cisco新釋出Foundation-Sec-8B模型，就是鎖定資安領域而來，以Llama-3.1-8B為基礎，強調用資安領域資料訓練而成，涵蓋漏洞資料、MITRE ATT&CK與各類安全工具文件，並以開放權重方式釋出。</p> <p>（三）AI安全防護新進展，Meta開源多項Llama安全護欄工具，包括可防模型越獄、提示注入攻擊的LlamaFirewall，另也推出可協助分類與標籤的DLP工具、Deepfake詐騙檢測工具，還預告即將開源安全評估套件CyberSec Eval 4。</p> <p>（四）國內新的資安防禦進展，聚焦防詐科技，數發部、金融科技產業聯盟與玉山金控聯手成立防詐實驗室，強調資料無塵室的概念，以金融無塵室空間限制進出人員攜帶手機或自有3C裝置，讓跨機關合作可在兼顧資安與合規下運作。</p> <p>在資安事故與威脅態勢方面，韓國電信龍頭SK Telecom遭駭，引發南韓舉國民眾與全球電信業的關注，因為駭客竊取包含消費者與其USIM卡相關資料，涵蓋IMSI、ISDN等敏感資訊，恐造成民眾數位身分證明被冒用；另有三則與DDoS、勒索軟體及國家級駭客行動有關的重要消息。</p> <p>●韓國電信龍頭SK Telecom於4月遭到入侵，29日公布調查結果，指出攻擊者植入惡意程式並竊走消費者和其USIM卡有關資料，將為2,500萬用戶免費換發SIM卡<br /> ●Cloudflare最新報告2025第一季DDoS攻擊攻擊強度暴增，超過1Tbps的大流量DDoS攻擊平均每日8起，其中一次最大攻擊最高峰達6.5 Tbps，創史上最高。<br /> ●吉隆坡國際機場3月遭遇攻擊，勒索軟體Qilin將將馬來西亞機場控股公司列為受害者，勒索1千萬美元，這是該組織首度對交通運輸產業下手。<br /> ●法國外交部指控俄羅斯駭客組織APT28對當地政府、企業發起網路攻擊，法國網路安全局（ANSSI）亦發布調查報告揭露相關細節及近年遭攻擊的態勢。</p> <p>在漏洞攻擊消息方面，首先，有一起重大危機，是SAP緊急修補SAP NetWeaver應用伺服器零時差漏洞CVE-2025-31324，呼籲用戶盡速修補，資安業者ReliaQuest通報時已發現這個零時差漏洞遭利用，後續再有多家資安業者表明發現相關攻擊行動，資安業者Nextron Systems更是指出，發現超過1,100套NetWeaver系統已被入侵，多是存在於大型企業及關鍵CI環境，影響相當廣泛。</p> <p>另一起攻擊事件是針對Commvault備份管理平臺而來，該公司有兩個漏洞遭攻擊者利用於攻擊行動，首先是該公司3月曾透露在2月接獲通報，有國家級駭客利用零時差漏洞攻擊Azure環境，當時已發布自動更新修補，如今公開此CVE編號是CVE-2025-3928。另外，日前修補CVSS滿分漏洞CVE-2025-34028，修補釋出後也發現遭利用狀況。</p> <p>此外，還有3個已知漏洞，都有證據表明首次出現被積極利用情形，包括上星期Broadcom Brocade Fabric OS修補的漏洞CVE-2025-1976，以及兩個老舊漏洞，分別是Apache HTTP Server的漏洞CVE-2024-38475 ，SonicWall SMA100 的CVE-2023-44221。</p> <p data-end="94" data-start="0">最後還有一項新聞，也是本星期資安無法忽視的話題焦點，因為有研究人員指出微軟4月更新後，C磁碟會出現名為inetpub的資料夾，此狀況引發廣泛用戶討論。微軟表示這是修補漏洞所需，提醒用戶勿刪，但研究人員警告此資料夾可能遭濫用。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/168639"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月28日】SAP、Commvault修補風險達到10分的重大層級漏洞</span></strong></a></h3> <p>最近幾天有多則CVSS資安風險達到10分的消息引起關注，這些包括了SAP NetWeaver的任意檔案上傳漏洞CVE-2025-31324、老牌備份軟體Commvault集中管理工具漏洞CVE-2025-34028、<a href="https://craftcms.com/knowledge-base/craft-cms-cve-2025-32432">內容管理平臺Craft CMS漏洞CVE-2025-32432</a>，以及日前公布的<a href="https://www.ithome.com.tw/news/168538">Erlang/OTP SSH程式庫漏洞CVE-2025-32433</a>，思科確認<a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-erlang-otp-ssh-xyZZy?vs_f=Cisco%20Security%20Advisory%26vs_cat=Security%20Intelligence%26vs_type=RSS%26vs_p=Multiple%20Cisco%20Products%20Unauthenticated%20Remote%20Code%20Execution%20in%20Erlang/OTP%20SSH%20Server%26vs_k=1">旗下部分產品受到影響</a>。 </p> <p>其中最值得留意的部分，是資安業者ReliaQuest在調查資安事故發現的CVE-2025-31324，因為已被用於實際攻擊行動；此外，CVE-2025-34028也相當值得留意，因為近期勒索軟體鎖定備份軟體漏洞的情況，也有增加的趨勢。</p> <h3><a href="https://www.ithome.com.tw/news/168660"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月29日】1千多臺SAP NetWeaver伺服器傳出遭遇滿分漏洞攻擊</span></strong></a></h3> <p>有多家資安業者提出警告，SAP在4月24日修補的資安漏洞CVE-2025-31324，已出現實際的攻擊行動，攻擊者在NetWeaver伺服器部署Web Shell。究竟有多少伺服器受害？有研究人員公布新的調查結果。</p> <p>Shadowserver基金會、網路安全搜尋引擎業者Onyphe、資安業者Nextron Systems先後透露調查結果，值得留意的是，他們揭露的影響範圍有相當大的落差，是否影響範圍還會再擴大，有待進一步的追蹤。</p> <p><a href="https://www.ithome.com.tw/news/168681"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月30日】韓國電信業者SKT資料外洩出現進展，該公司將為用戶換發SIM卡</span></strong></a></p> <p>近期韓國出現數起相當嚴重的資安事故，其中一起是韓國電信龍頭SK Telecom（SKT）遭到入侵的消息，本週該公司宣布，他們將為2,500萬用戶免費SIM卡，目前已有超過400萬用戶申請。</p> <p>值得留意的是，由於該公司SIM卡庫存有限，目前僅有100萬張，必須分批為用戶更換，預估5月底能再更換500萬張，換言之，仍有四分之三無法在5月底前完成更換，後續影響將值得觀察。</p> <h3><a href="https://www.ithome.com.tw/news/168725"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月2日】思科、Nvida等多家業者在RSAC 2025推出AI資安工具</span></strong></a></h3> <p>全球大型資安會議RSA Conference 2025於4月28日至5月1日在美國舊金山舉行，這段期間科技大廠及資安業者紛紛推出AI資安工具，相當熱鬧。</p> <p>其中，包含Google的<a href="https://www.ithome.com.tw/news/168645">新款AI資安代理與次世代自動化Agentic SOC</a>、Cisco推出的開放<a href="https://www.ithome.com.tw/news/168645">AI資安模型Foundation AI Security</a>、Nvidia<a href="https://www.ithome.com.tw/news/168654">強化AI資料運作中心安全的DOCA Argus框架</a>、Palo Alto Networks發表的<a href="https://www.ithome.com.tw/news/168652">Prisma AIRS AI安全管理平臺</a>。巧合的是，Meta也在這段期間<a href="https://www.ithome.com.tw/news/168715">開源多項Llama安全護欄工具</a>。</p> <p> </p> </div></div></div>
2025/5/5 12:00作者羅正漢https://www.ithome.com.tw/news/168734
NotebookLM升級Gemini 2.5 Flash，行動版App即將推出
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google 受歡迎的NotebookLM原本只能從網頁存取，本周預告即將在5月20日釋出Android及iOS版App，將升級使用最新的Gemini 2.5 Flash模型。</p> <p>現在<a href="https://play.google.com/store/apps/details?id=com.google.android.apps.labs.language.tailwind">Google Play Store</a>和<a href="https://apps.apple.com/us/app/notebooklm/id6737527615">蘋果App Store</a>分別顯示NotebookLM應用程式。Play Store說明App即將推出，但是App Store說明預計5月20日釋出。用戶按下「預先註冊」鍵後，等正式版釋出後會獲得下載App的通知。</p> <p>NotebookLM可將用戶上傳的PDF、純文字文件或是貼上來源網址的文章摘要重點，並允許用戶以聊天機器人介面輸入詢問問題。而其中的語音摘要（Audio Overview）功能還能將摘要重點製作成類似Podcast的AI人聲對話，並允許用戶和「AI主持人」互動。NotebookLM去年12月升級使用Gemini 2.0 Flash，</p> <p>上周<a href="https://blog.google/intl/zh-tw/products/explore-get-answers/notebooklm-audio-overviews-50-langauges/">Google台灣宣佈</a>，NtotebookLM中的語音摘要功能將使用Gemini 2.5 Pro。<a href="https://x.com/NotebookLM/status/1918412708426244589">Google已證實</a> 最新的NotebookLM App 將升級使用Gemini 2.5 Flash，該模型是更輕巧、更快速的思維模型，針對複雜及多步驟推理問題，用戶將能看到更完整的答案。</p> <p>這對於許多國家期待NotebookLM的用戶會是雙喜臨門。上周Google<a href="https://www.ithome.com.tw/news/168671NotebookLM">宣佈</a>語音摘要支援包含繁體中文在內的50種語言。</p> </div></div></div>
2025/5/5 14:03作者林妍溱https://www.ithome.com.tw/news/168736
蘋果在美開放用戶連向App Store外部網站、支付服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果<a href="https://developer.apple.com/news/?id=9txfddzf">上周宣佈</a>在美開放App加入連結或按鈕，導引消費者到App Store以外購買或其他行為。但新措施不包含其他地區。</p> <p>9to5Mac網站<a href="https://9to5mac.com/2025/05/01/apple-app-store-guidelines-external-links/">首先引述</a>蘋果寄給開發商的電子郵件寫道，App 審查指引變更是基於遵從美國法院「針對按鍵、外部連結和App中其他行為呼叫」的決定，最新變更影響在App Store美國市集傳佈的應用程式。</p> <p>美國法院法官Yvonne Gonzalez Rogers<a href="https://www.ithome.com.tw/news/168727">上周判決</a>蘋果違反2011年法院在Epic vs Apple官司中，要求蘋果開放App Store第三方支付的命令，反而持續對App Store以外的交易徵收接近30%的費用。法院因此準備啟動刑事調查。儘管蘋果對媒體表達不滿及上訴之意圖，不過周末仍然更新App Store指引以遵從法院命令。</p> <p>根據更新的App Store指引，在3.1.1條款中，美國App Store上的App可以按鍵、外部連結或他行為呼叫方法引導用戶瀏覽其他人持有的NTF集合。此外，3.1.3更新條款說明，限制告知消費者有In-App Purchase（IAP）以外支付管道的規定，不適用美國App Store。</p> <p>3.1.1增修條款則說明，美國App Store上的開發商，不需特別許可即可在其App中加入連結，連向開發人員持有的網站以供購買數位內容或服務。</p> <p>但同時蘋果在3.1.3增修條款說，其他地區App Store的開發商，此時仍不得在App或metadata中加入按鈕或外部連結引導消費者前往購買。若想在App加入外部連結帳號（External Link Account）必需獲得特別許可（entitlement）。</p> <p>蘋果或許也會對歐盟地區App Store做出類似變更。上周歐盟認定蘋果App Store的限制引導條款（anti-steering provisions）違反歐盟數位市場法（Digital Markets Act, DMA），<a href="https://www.ithome.com.tw/news/168573">判處5億歐元的罰金</a>。</p> </div></div></div>
2025/5/5 14:09作者林妍溱https://www.ithome.com.tw/news/168737
【2025臺灣資安年鑑｜國安會諮詢委員李育杰】更強調堅韌觀念，國家資通安全戰略2025定案
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/0505-zi_an_nian_jian_-li_yu_jie_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">攝影／洪政偉</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來，隨著全球數位科技快速演進，網路攻擊不僅更加頻繁，手法也更為多樣且隱密。這些攻擊不再局限於資訊領域，更深入政治、經濟、軍事甚至民生基礎設施，已成為當代國家安全面臨的重要挑戰。在這樣的背景下，臺灣也公布最新的《國家資通安全戰略2025》。</p> <p>《國家資通安全戰略2025》是在因應全球資安威脅升級與新興科技挑戰的背景下，由國安會諮詢委員李育杰等專家與政府高層共同研擬而成，核心目標在於強化臺灣的整體資通安全能力，構築一個兼具韌性與穩定性的數位國家。</p> <p>李育杰指出，臺灣在面臨複合式戰爭形態以及多元化的網路攻擊情境時，若欠缺整合性且前瞻的防護策略，恐將在未來的國際競局中陷入被動。正因如此，政府提出了《國家資通安全戰略2025》，冀望透過更縝密且宏觀的規劃，使臺灣得以應對日趨嚴峻的網路威脅，同時維繫國家安全與社會福祉。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>從《資安即國安》到《國家資通安全戰略2025》</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0505-%E8%B3%87%E5%AE%89%E5%B9%B4%E9%91%91-%E6%9D%8E%E8%82%B2%E6%9D%B0-%E5%9C%96%E8%A1%A8.png" style="text-align: center; width: 600px;" /></p> <p>在民主陣營中，資訊公開與網路自由度高，一方面鼓勵了創新發展，另一方面卻也為網路攻擊提供了相對開放的環境。因此，民主國家在制定國家資安戰略時，更需在維護公民自由與保障國家安全之間找到平衡點。</p> <p>「資安是民主國家的防衛基礎，」李育杰認為，「資安與民主價值並非二選一」，而是如何在制度層面拿捏適當的尺度，建立更堅實的防禦體系，同時仍然尊重人民基本權利。</p> <p>在「國家資通安全戰略2025」之前，臺灣已有數次重要的資安策略發展。李育杰提到，「資安即國安」理念從2016年蔡英文總統執政以來便已成為國家政策的核心之一。</p> <p>最初2018年發布的《資安即國安》版本，以政府內部的資安體制建構為核心目標，推動跨部門的協作，大致確立了資安「鐵三角」的概念，包括強化資安治理、推動關鍵防護技術與培育人才，但因政府組織尚未調整到位，加上預算歸屬與編列方式並不穩定，執行成效雖有進展，卻也受限。</p> <p>而蔡英文政府在2021年推出的《資安即國安2.0》，則更進一步深化了跨部門的聯防架構，政府在延續原有精神的同時，將防護範疇進一步擴大，建立起由國安會、國安局、國防部、調查局、刑事局以及數位發展部共同構成的「資安六塊基」聯防機制。這一變革不僅體現了政府對於資安防護需求的深化認識，也為後續數位發展部的成立鋪平了道路，從而促進了人才培育和資安產業的初步發展。</p> <p>2024年，賴清德總統在就職演說重申，面對來自境外尤其是中國的不斷滲透和各類威脅，臺灣必須從全民意識、法制建構、民主韌性等多個角度入手，形成全面的安全防護體系。他提出，經濟發展策略中將特別重點推動半導體、人工智慧、軍事工業、安全監控，以及次世代通訊這五大信賴產業，藉此構築堅固的國家經濟與安全屏障。</p> <p>在賴清德總統的政策框架下，除了五大信賴產業的發展，更進一步強調要在全社會層面提升防衛韌性，尤其著眼於能源、關鍵基礎設施，以及運輸、金融和資通網路的安全保護。為此，政府在就職滿月的記者會上宣布成立「全社會防衛韌性委員會」，則希望整合民間資源與政府力量，從國防、民生、災防及民主等四大方面，全面強化國家安全網。</p> <p>國安會如今在前期建立的堅實基礎與架構上，加上必須因應日趨嚴重複雜的資安威脅，推出了《國家資通安全戰略2025》，不僅延續了資安即國安2.0版的基本戰略方向，也投入更多資源以擴大資安戰備準備，並加入全社會與重要關鍵產業共同防衛的思維，並以持續打造「堅韌、安全、可信賴的智慧國家」作為新資安戰略的願景。</p> <p>而最新正式公布的《國家資通安全戰略2025》，在延續過去成功經驗的基礎上，特別強化了全社會的防衛韌性、公私協力、關鍵基礎設施的保護以及新興科技應用的安全性。李育杰強調，《國家資通安全戰略2025》延續了《資安即國安2.0版》的基本願景「打造堅韌、安全、可信賴的智慧國家」，但在政策內涵與施行策略上更加細緻且明確，特別突顯『堅韌』的觀念，強調全民共同參與與投入資安防護的重要性。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>國際資安局勢的複雜化與高風險化</strong></span></span></p> <p>全球化與數位化的演進，已使網路成為國家與國家之間角力的重要場域。李育杰表示，過去傳統戰爭以陸海空為主，如今則出現「網路（Cyber）戰」的概念，甚至廣義地涵蓋認知作戰與資訊操控等面向。包括中國、俄羅斯、北韓、伊朗等國家，以及來自非國家組織的駭客集團，都積極運用網路攻擊手法，試圖竊取情報、攫取經濟利益或破壞敵對陣營的基礎設施。</p> <p>由於臺灣面對的資安威脅來源相當清晰，主要來自中國的國家級駭客攻擊。他表示，過去全球主要國家級駭客攻擊團體來自俄羅斯、北韓、伊朗與中國，其中中國對臺灣的威脅尤其明顯且具針對性。</p> <p>此外，臺灣所處的地緣政治環境，已使我們長期面對對岸的滲透與攻擊；若再加上他國或國際駭客集團插手，資安威脅的複雜度與深度已不容小覷。特別是針對關鍵基礎設施所展開的遠端攻擊，往往在戰略上被視為「先聲奪人」或「癱瘓敵方」的重要手段。倘若平時未做好資安防護，戰時將可能飽受重大衝擊。</p> <p>李育杰表示，中國的駭客早已不再只是民間團體，他們透過國家力量與民間企業的「公私協力」，以供應鏈攻擊、Living off the Land（LoTL，通常指的是攻擊者利用目標系統內建的合法工具、軟體或系統功能來發動攻擊）等隱密手法對臺灣展開攻擊。</p> <p>他特別提到2022年美國眾議院議長裴洛西訪臺期間，中國就曾短暫發動「快閃式」網路攻擊示警，這種現象提醒臺灣，未來面對的威脅可能不只是示威，而是真正危及國家安全。</p> <p>除了國家級的資安威脅外，李育杰也特別關注資安威脅從傳統的惡意軟體攻擊逐步轉向以新興科技為手段，尤其是AI與量子運算的應用。他強調：「雖然AI能協助提升資安防護能力，但同時也增加了資安的複雜性，AI工具本身的安全性與風險也必須納入戰略考量。」</p> <p>李育杰表示，未來的資安威脅將不再只是單純的軟體漏洞，而是涉及資料安全、AI模型的操控、資料中毒等更複雜的情境，因此政府需提早布局，從治理機制的角度著手，制定相關的安全標準與政策，提前部署防範措施。</p> <p>李育杰舉例，隨著量子運算技術的日益成熟，現行廣泛使用的RSA、ECC等傳統密碼體系將面臨嚴重的挑戰。他提醒，NIST已提出了後量子密碼（PQC）標準，臺灣也應及早跟進，評估並導入相關技術，確保國家資安不落後於國際趨勢。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0505-%E8%B3%87%E5%AE%89%E5%B9%B4%E9%91%91-%E6%9D%8E%E8%82%B2%E6%9D%B0-%E6%8A%BD%E8%A8%80.png" style="width: 600px;" /></p> <p><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">攝影／洪政偉</span></span></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>資安戰略四大支柱的挑戰</strong></span></span></p> <p>《國家資通安全戰略2025》是臺灣在面對全球資安威脅升級與新興科技挑戰的重要戰略規劃。為了應對日益嚴峻的資安挑戰與國際局勢的變化，政府提出以四大核心支柱進行整體布局與規劃，強化臺灣的整體資通安全能力。</p> <p>第一個支柱為「全社會防衛韌性」。李育杰指出，資安問題的解決不僅僅在於技術層面的提升，更關鍵的是必須從全民的資安認知與參與開始，因此，此支柱的核心是推廣全民資安意識，培養全民參與資安防禦的能力，建立全民共同防禦資安威脅的社會韌性。</p> <p>第二個支柱是「國土與關鍵基礎設施安全」。李育杰強調，現代戰爭形態已經逐漸轉變為混合戰與複合式作戰，而資安攻擊常為傳統戰爭的前奏。特別是關鍵基礎設施一旦遭受攻擊，將會立即且嚴重影響民眾的日常生活與社會安定。因此，針對國土與關鍵基礎設施，必須進一步強化安全治理，避免在危機發生時陷入被動。</p> <p>第三個支柱是「供應鏈安全」。他指出，供應鏈資安在現今國際貿易與政府運作中扮演極為重要的角色，資安成熟度不足的供應商將直接影響整體資安防禦的有效性。因此，政府應設定明確的資安成熟度標準，並要求廠商提供軟硬體產品的資安履歷，透過資安研發檢測及其他措施，建立起堅固的供應鏈資安防護網絡。</p> <p>第四個支柱則是「新興科技導入資安應用」。李育杰表示，人工智慧（AI）等新興技術能有效提升資安產業的防禦效率，降低資安人才的培訓門檻。但在導入新興科技時，也須同步注意新科技可能引發的資安挑戰，例如AI本身的安全風險。因此，新科技的導入必須伴隨更全面的風險管理機制。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>政府與企業的協作策略</strong></span></span></p> <p>李育杰認為，面對日益複雜的資安挑戰，政府必須更積極地與企業合作。他提到，政府目前已在推動資安防護的過程中，強化對供應商的資安成熟度要求，同時推行更為嚴格的資安稽核機制，例如對政府前十大供應商進行紅隊測試，以更主動的方式提高企業資安水準。</p> <p>此外，他特別強調政府應協助企業進行資安自評，建立標準化的自評工具，並將資安自評結果作為企業獲得政府資源或合作機會的評估依據，透過此方式逐步提升產業整體資安實力。他表示：「透過清楚的自評工具，企業能更清楚知道自身資安的現況與不足，進而有動力進行改善。」</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>資安預算正規化：從非常態到經常性支出</strong></span></span></p> <p>李育杰表示，資安建設若要真正落實，資源的投入是最關鍵的環節。然而長久以來，臺灣政府機關對於資安經費的編列仍普遍停留在「臨時性」或「專案性」的概念，導致各機關資安支出缺乏穩定性與連續性。</p> <p>他進一步解釋，目前政府機關的資安支出多半仰賴科技計畫的經費，然而科技計畫通常是以短期目標為主，結案後經費便中斷，無法長期穩定支應資安工作的運作需求。</p> <p>他認為，這樣的模式並不健康，應當將資安經費視為「經常門」預算，就像水電費一般，成為各政府單位必須固定編列的基本開支，而非以專案的形式不定期爭取。</p> <p>李育杰舉例，目前在政府預算體系中，資安支出往往被歸類為「採購」或「專案性支出」，而非經常性預算的一部分。這樣的編列方式導致資安經費每年需重新爭取，缺乏穩定性。例如，某些單位若遇到預算刪減，可能導致防火牆等資安設備無法更新，進而增加資安風險。</p> <p>主計總處的看法是，資安應該有獨立的科目，或者納入資訊相關預算。然而，根據現行法規，這仍需進一步突破。目前，部分資安服務的採購是可行的，但仍存在分類上的爭議。例如，資安服務是否應納入經常門？某些服務涉及勞務委外，而非單純的經常性支出，這也導致預算的彈性受限。</p> <p>他認為，若資安預算能夠納入經常門，就如同人事經費一般，成為必須支出的項目，那麼政府機關將能確保資安維護的持續性，而不會因為經費刪減而影響防護能力。</p> <p>李育杰坦言，長期以來，政府部門對資安的治理多偏重於管理層面，技術層面的投入相對有限。這種觀念源自於早期「資安即管理」的迷思，認為透過完善的管理機制即可降低資安風險。然而，隨著資安威脅日趨複雜，單純的管理手段已無法有效應對攻擊，必須輔以技術防禦，例如零信任架構、多因子認證等。</p> <p>此外，政府資安技術的發展也受到「委外機制」的影響。過去政府多依賴外部廠商提供技術服務，而自身缺乏足夠的技術能力。這導致政府在資安治理上，主要扮演「管理者」的角色，卻難以直接掌控技術實施的細節。</p> <p>然而，資安治理不應僅限於管理，而應涵蓋技術與策略。例如，「公民安全」（Public Safety）概念正在逐步推動，要求承接政府案子的業者須符合一定的資安成熟度標準，確保資安防護從源頭開始。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>零信任架構的導入與挑戰</strong></span></span></p> <p>近年來，「零信任架構」（Zero Trust Architecture, ZTA）成為資安領域的重要策略，強調「永不信任、持續驗證」，確保每一個存取請求都經過嚴格身份驗證。然而，政府部門在導入零信任架構時，仍面臨諸多挑戰，包括技術落地、適用範圍、以及資源配置問題。</p> <p>目前某些單位已經推動零信任架構的部分應用，例如採用多因子驗證（MFA）來強化身份識別。但問題在於，許多機關將「零信任」視為單一技術層面的改善，而非完整的安全框架。例如，有單位以為只要全面導入多因子驗證，就等同於實施零信任架構，然而零信任的核心理念遠不止於此。</p> <p>他認為，零信任理想的做法應該是：盤點關鍵系統，分階段導入——應先針對最具風險的系統進行零信任落實，而非一次性全面導入；建立資安白名單機制——強化存取控制，確保只有授權設備、使用者與應用程式能夠存取敏感資料；強化行為分析機制——透過行為基礎（Behavior-Based）的安全策略，提高偵測異常行為的能力，例如利用機器學習分析用戶行為，判斷是否存在異常存取行為。</p> <p>這樣的策略不僅能讓資源配置更有效率，也能確保零信任的概念真正落實，而不只是流於表面的技術更新。</p> <p>此外，資安風險管理的核心，在於如何根據風險等級分配資源，而非對所有系統一視同仁。例如，在密碼安全的討論中，部分專家認為「後量子密碼學」（Post-Quantum Cryptography, PQC）的導入尚未緊迫，因為現階段並無可用的量子電腦能夠破解現有加密技術；然而，若某些機密資料的保密期限長達20年，則必須考量在未來20年內可能出現的風險，像是針對長期保密需求的系統，優先導入先進加密技術（如PQC）。</p> <p>這種風險管理策略適用於各類資安決策，例如：短期內不涉及高度敏感資訊的系統，則可採用現行加密標準，避免不必要的成本增加。他表示，透過風險評估，確定哪些單位與系統應優先導入零信任架構。這種做法能夠確保資安資源被用在真正關鍵的地方，而不會造成無謂的開銷或效能浪費。</p> <p>政府資安治理的核心挑戰，在於如何建立一個長期穩定、可持續發展的安全框架，而不只是應對短期的威脅。現行的資安治理多偏向「合規導向」，強調政策與法規的遵循，例如制定資安標準、稽核機制等。然而，合規本身並不等同於安全，真正的資安治理應該包含：</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>從「合規導向」轉向「風險導向」</strong></span></span></p> <p>現行政府資安治理多以法規為基準，要求各機關符合標準，但未必能因應不斷變化的攻擊手法。未來應強調風險導向的管理方式，根據威脅趨勢與實際風險調整防禦策略。</p> <p>資安威脅不僅限於單一機關，而是整體政府與產業鏈的問題。例如，若政府機關的委外單位資安能力不足，將對整體安全造成威脅。因此，政府應建立更嚴謹的公民安全標準，確保承包商、供應鏈等皆符合資安要求。</p> <p>李育杰認為，應該提升政府內部技術能力，減少對外部依賴。過去政府在資安技術層面多依賴委外，導致內部缺乏關鍵技術專才，難以掌控核心資安機制。未來應推動資安人才培育計畫，提升政府內部技術能力，確保關鍵資安技術能由內部團隊主導。</p> <p>例如，傳統資安機制多以靜態規則為基礎，例如設定固定的防火牆規則、存取權限等，但這些方式難以應對變化迅速的資安攻擊。未來應導入動態資安監控機制，結合人工智慧分析、威脅情報共享機制，以提升資安防護的即時性與精準度。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 跨部門協作的重要性 </span></strong></span></p> <p>資安不只是資訊部門的責任，而是所有政府單位都應共同關注的議題。因此，政府應推動更有效的跨部門協作機制，以確保資安治理能夠全面落實。例如：建立跨機關資安應變小組——確保發生資安事件時，各機關能快速協作、有效應對，而非各自為政。</p> <p>制定統一的資安標準與最佳實踐——避免不同機關採用不一致的資安政策，導致安全漏洞；強化與產業界的合作——透過與民間企業、資安研究機構的合作，掌握最新攻擊手法與防禦策略。</p> <p>李育杰認為，政府資安治理的未來發展應朝向制度化、技術導向與跨部門協作的方向前進。透過資安預算的正規化、零信任架構的導入、風險導向的資安管理，以及提升政府內部技術能力，才能建立真正穩固的資安防禦體系，應對日益嚴峻的資安挑戰。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>公私協力提升資安治理效率</strong></span></span></p> <p>隨著資安威脅日益複雜，單憑政府力量顯然不足以因應快速演進的資安挑戰，因此《資安戰略2025》特別強調公私協力與國際合作的必要性。</p> <p>李育杰指出，政府與民間必須共同建立更加密切的資訊分享平台，將情資即時交流，形成完整的防禦生態系統。他進一步說明，政府目前計劃推動對前十大政府供應商進行紅隊（Red Team）模擬演練，由廠商自費六成，政府補助四成，進行主動防禦與安全測試，從而提高整體資安防護水準。</p> <p>他舉出美國政府的例子，美國聯邦政府設有18F等單位，專門從產業界聘請專家協助部會進行數位轉型與資安防護，台灣未來也應借鑑類似模式，建立國家級的資安快速反應團隊（如資安快打旋風），定期巡檢各項重要基礎設施，並提供人才培訓、工具分享與國際情報合作，達到提升整體防護能力的目的。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>資安人才培育：降低門檻，提升專業力</strong></span></span></p> <p>李育杰觀察，當前資安人才供不應求，人才的培育速度遠不及產業需求。他認為解決資安人才短缺的問題，必須透過制度性的培育、鼓勵年輕世代投入資安領域，同時輔以先進科技手段，例如運用人工智慧（AI），降低入門門檻，讓更多年輕人能快速投入資安工作。</p> <p>他提到，資安院與資安卓越中心（CCoE）應扮演重要的角色，提供免費的基礎課程，並邀請資安產業內的「大神」擔任講師，提供高階技術訓練，為產業培育真正具備高度能力的人才。此外，透過資安稽核和自評表制度，引導企業或機關自行檢測資安成熟度，從而達到內部自我提升的目的。</p> <p>李育杰表示：「資安的人才永遠不夠，但通過好的AI工具、有效的培訓計畫與公私協力的人才交流機制，能有效紓解人力不足的問題，同時提升整體的防護能力。」</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 未來展望與資安治理的長期策略 </span></strong></span></p> <p>展望未來五年，李育杰認為臺灣在資安領域將面臨三大挑戰：首先是國際地緣政治的持續變化導致資安威脅更加複雜；其次是國內資安治理機制的升級與改革；最後則是資安人才的培育與維持。</p> <p>李育杰建議，臺灣應加強國際合作，不僅與美國、日本、歐盟等民主國家建立緊密的資安合作關係，更要積極參與國際資安論壇與聯合演習，從經驗交流與實務合作中累積實力。</p> <p>在資安治理方面，他強調政府必須持續強化現有機制，例如加強國家資通安全會報的執行力，設立具專業背景的資安執行長來協助行政院副院長的統籌工作，避免因人事更迭而影響資安工作的連續性。</p> <p>此外，李育杰更建議政府應參考國際經驗，成立跨部門的「國家資安戰情協同應變中心」，進行統一的資安情資掌握與協同應變調度，以確保全國資安情勢能得到即時掌控與快速反應。</p> <p>李育杰總結，國家資通安全《資安戰略2025》的推出是一個新起點，政府與企業、公私協力，以及國際間的合作都必須持續深化。「臺灣在資安上的努力不能只是『漸進式』的改變，而是要有大膽且迅速的轉型，以面對迫切的危機。」李育杰表示，只有透過公私部門的通力合作、資安預算的正規化及資安人才的全面培育，才能建構出符合未來需求的完整資安防禦體系。</p> <p><a href="https://www.tenlong.com.tw/products/9789860654349?list_name=srh" target="_blank"><span style="color:#3366ff;"><strong>本文出自《CYBERSEC 2025 臺灣資安年鑑》</strong></span></a></p> <p><a href="https://www.tenlong.com.tw/products/9789860654349?list_name=srh" target="_blank"><span style="color:#3366ff;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/2025%E8%B3%87%E5%AE%89%E5%B9%B4%E9%91%91%E5%B0%81%E9%9D%A2.png" style="width: 350px;" /></strong></span></a></p> <p> </p> </div></div></div>
2025/5/5 07:00作者黃彥棻https://www.ithome.com.tw/article/168473
風雨無懼
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>慢跑是我目前唯一長期固定從事的運動，多數天氣變化均不能成為阻礙我運動的理由，除非遇上打雷閃電、以及颱風這類大型致災氣象。平時很少外出跑步的人們，可能遇到吹大風、下大雨、低溫等狀況，就會打退堂鼓，但對於如我一般不認真但持續的臺灣業餘跑者而言，雨中慢跑雖然有點狼狽，但其實不會有太大影響，因為就算穿著的衣服、褲子、襪子都淋濕，感到有點寒冷，只要身體持續運動、不失溫，仍有足夠體力，還是能夠繼續運動，而且，跑步結束後趕快去洗澡更衣，就能回到原本的生活作息，並不會因此著涼、感冒。</p> <p>身處在這個變化莫測、苦樂輪轉不休的世界，我們可以樂觀看待各種改變，因為雖然無法每天都晴朗，但也不會每天都下雨，而且，晴天、多雲、雨天各有其存在的必要。晴天跑步雖不必擔心淋濕，但也面臨曝曬與水份大量流失之苦；雨天跑步的身體不舒服是不同面向，不僅需設法習慣潮溼、涼冷的感受，衣褲鞋襪因為緊黏身上、持續摩擦，而可能造成破皮，但好處是不需忍耐高溫，也不需擔心過度曝曬對皮膚的傷害；至於多雲，雖然沒有前兩種天氣帶來的麻煩與不便，但如果遇到沒風、濕氣過重的環境狀態，還是要面對悶熱之苦。</p> <p>其實，無論面臨何種天氣，準備好適當的因應對策，就有機會能夠減緩不適感。舉例來說，如果我們想要降低陽光、高溫的影響，可以改變運動的時間、地點，像是避開相對較炎熱的時段，尋找有更多遮蔽物的跑步路線；擔心下雨會著涼、影響視線，以及造成擦傷，我們可以戴上帽子、穿上長袖運動衣褲，以及在可能造成劇烈摩擦的皮膚部位貼上醫療透氣膠帶，增加抵抗力與防護力。</p> <p>這令我想到越演越烈的網路資安威脅，以及全球地緣政治衝突，為人類社會的發展帶來極大的阻礙，但並非束手無策。世界從來沒停止改變，當大量歹徒、狂人崛起，關於民主、自由、法治的良善價值該如何守護與弘揚，再度成為每個人都必須面對的議題。</p> <p>對於極端份子而言，他們有著各式理由埋怨、憤恨這個世界的不公義，想要不計任何代價地討回他們認為的公道。對於一般人而言，許多過去我們認為理所當然的價值，背後其實隱藏與累積各種沒被注意到的問題，導致這些變成有心人士操弄、扭曲，甚至抹黑的對象，如今只能設法從即將或正在爆發的大混亂變局當中，進行深刻的反思與重建。隨著多方對峙情勢日益劇烈、擴散，我們要有足夠的心理韌性去迎接這股潮流，並且具備見招拆招、見機行事的敏捷性與彈性。</p> <p><a href="https://www.tenlong.com.tw/products/9789860654349?list_name=srh" target="_blank"><span style="color: rgb(51, 102, 255);"><strong>本文出自《CYBERSEC 2025 臺灣資安年鑑》</strong></span></a></p> <p><a href="https://www.tenlong.com.tw/products/9789860654349?list_name=srh" target="_blank"><span style="color: rgb(51, 102, 255);"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/2025%E8%B3%87%E5%AE%89%E5%B9%B4%E9%91%91%E5%B0%81%E9%9D%A2.png" style="width: 350px;" /></strong></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E5%B9%B4%E9%91%91">臺灣資安年鑑</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E5%AE%89">資安</a></div><div class="field-item even"><a href="/tags/%E9%9F%8C%E6%80%A7">韌性</a></div></div></div>
2025/5/5 07:00作者李宗翰https://www.ithome.com.tw/voice/168498
Anthropic擴展Claude研究與整合能力，可更廣泛連接工作應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Anthropic宣布Claude<a href="https://www.anthropic.com/news/integrations">推出</a>整合與研究功能更新，進一步提升在企業與開發者工作流程的實用性與可擴展性。此次更新一方面導入整合機制，讓Claude能透過MCP（Model Context Protocol）與多種外部應用程式直接連動，另一方面則擴大研究模式的資料涵蓋範圍與深度，支援更複雜的查詢分析需求。</p> <p>整合功能以去年推出的MCP標準為基礎，之前僅支援本機端的Claude Desktop，現在擴展至可連線遠端MCP伺服器，使Claude能在桌面與雲端應用間彈性互通。Anthropic提到，開發者可透過官方文件或利用Cloudflare等工具，在約30分鐘內完成自訂整合，Claude能從中取得更豐富的工作情境資訊，包含專案進度、任務狀態與內部知識架構，更全面地支援跨平臺應用。</p> <p>目前可連接的第三方應用涵蓋Atlassian的Jira與Confluence、Zapier、Cloudflare、Intercom、Asana、Square、Sentry、PayPal、Linear與Plaid，之後還會加入Stripe與GitLab等服務。以Zapier為例，開發者可透過其串接各種工具預建置流程，讓Claude能直接存取HubSpot銷售資料或根據日程生成會議摘要。</p> <p>在Jira與Confluence環境中，Claude則能同時建立多筆工作項目與頁面內容，協助產品開發團隊進行知識彙整與任務分配。整合Intercom，Claude可分析使用者回饋，自動將錯誤回報記錄到Linear，建立起從用戶對話到錯誤追蹤的完整處理鏈。</p> <p>另一方面，Claude的Research模式也進行更新，原本僅能搜尋網路與Google Workspace，現在已可延伸至所有已連結的整合應用，進行跨系統的多來源分析。進階研究模式會將使用者的請求拆解為多個子問題，針對每個子問題進行深入查詢後整合，報告生成時間介於5至45分鐘間，並全程附上原始資料來源的註解，確保透明度與追溯性。</p> </div></div></div>
2025/5/5 05:00作者李建興https://www.ithome.com.tw/news/168730
Martech雙周報第75期：Chrome又要沿用第三方Cookie，但美國司法部已經要求Google出售瀏覽器經營權
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#0000FF;"><strong>重點新聞(0420~0503)</strong></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#隱私權沙盒 #第三方Cookie #瀏覽器行銷</span></span></strong><br /> <strong>Google又要沿用第三方Cookie，但2025年的Martech業界不一樣了</strong></p> <p><a href="https://privacysandbox.com/news/privacy-sandbox-next-steps/">自於去年7月宣布要放棄於Chrome中封鎖第三方Cookie的計畫之後，Google再度向外界確認，Chrome將維持目前處理Cookie的方式</a>，也不會在使用者遭遇第三方Cookie時跳出提示。原本，他們預計於介面顯眼處，詢問使用者是否要一次性關閉第三方Cookie，不過本次宣布中未再提及。使用者仍可以自行進入瀏覽器設定中關閉第三方Cookie。</p> <p>至於已發展多年的隱私權沙盒，負責該計畫的Google副總裁Anthony Chavez表示，Google認知到，這系列技術在支援整體廣告生態系統上的任務將有所調整，不再作為一個完全取代Cookie技術。不過，他們沒有揭露更多未來發展計畫。</p> <p>自2019年宣布於Google Chrome瀏覽器停用第三方Cookie，Martech應用情況、全球隱私權法規環境、不同瀏覽器相關政策，甚至Google對於Chrome的經營權，都今非昔比。儘管第三方Cookie仍廣為Martech業界採用，但自第一方數據發展出的技術和應用，如RMN、數據無塵室、Conversions API、CDP，都已經在Martech業界佔有重要地位。</p> <p>受到隱私權法規環境，以及不同瀏覽器經營者的各自理由影響，許多廣告主和出版商不再敢單靠瀏覽器相關技術，來進行數位廣告活動及資料拋轉。IAB Tech Lab就推出了只靠伺服器間拋轉作為資料傳輸方法的框架Trusted Server，希望將降低數位廣告業界對瀏覽器的依賴。</p> <p>不過，Chrome停用第三方Cookie，未來還可能有變數。近期一系列針對Google的反壟斷判決中，Google連連失利，且可能被美國司法部強制出售Chrome經營權。除了市占率66%的Chrome，其他近30%市佔率的主流瀏覽器，如Safari、Firefox、Edge等，都停用或即將停用第三方Cookie。屆時，新經營者是否會跟隨業界做法停用第三方Cookie，仍有待觀察。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#廣告安全 #廣告詐騙</span></span></strong><br /> <strong>Google發表2024年廣告安全報告，受AI技術突破所賜一年處置上百億則不良廣告</strong></p> <p><a href="https://blog.google/intl/zh-tw/company-news/technology/google-ads-safety-report-2024/">Google發表2024年廣告安全報告，揭露自家打擊廣告詐騙等不良行為的成果。今年，他們移除超過51億則廣告，限制超過91億則廣告，並停權超過 3,920 萬個廣告帳戶。</a></p> <p>他們使用LLM來自動化處理不良廣告。相較於傳統ML模型，LLM只需要更少資料，就能做出更精準判斷。去年Google為自家打擊不良廣告用的LLM新增50項功能強化，來進一步增加可自動化處理的案件，讓人類員工能處理更模糊、複雜的案例，再用這些複雜案例處理情況，回頭訓練LLM。</p> <p>2024年有97%廣告版位商網頁，是由AI來支援內容偵測與政策執行。借助這些模型，Google大幅提升網站審查速度、加快出版商成為Google Ads廣告通路的流程，同時防止廣告出現在違規網頁上。</p> <p>隨著AI技術不斷進步，廣告詐騙手法也更加升級，使Google必須不斷根據業界新興的犯罪手法來祭出因應措施。其中一個近期十分猖獗的做法式，利用AI生成圖像或音訊，暗示自己與名人有關聯，藉此推送詐騙廣告。因應此趨勢，Google籌組出有100多位專家的專責團隊，分析這些詐騙手法並制定應對措施。他們已永久停權超過70萬個這類違規的廣告主帳戶，且去年此類詐騙廣告的通報數量下降了90%。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#PMax #AI代投廣告 #行銷成效追蹤 #跨通路行銷</span></span></strong><br /> <strong>Performance Max終於推出通路層級行銷資料分析功能</strong></p> <p><a href="https://blog.google/products/ads-commerce/channel-performance-reporting-coming-to-performance-max/">Google AI廣告代投Performance Max推出通路等及行銷成效分析功能。</a>PMax會自動投廣到搜尋、YouTube、Gmail、地圖、探索頁面、購物廣告及Google Ads不同通路，不過以往，廣告主無法得知自家廣告在不同通路的表現。</p> <p>下個月開始，PMax介面中會出現視覺化分析功能，呈現廣告在不同通路的曝光、互動、轉換、成本等結果。廣告主可以根據這些資料，來制定改善對策，例如看到廣告在Youtube曝光最多，因而優先提升影片廣告品質等。系統還會自動辨認出部分廣告專案問題，並推薦廣告主改善方法。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/pmaxcl.jpg" style="width: 600px;" /></p> <p>PMax還預計升級兩種既有成效資料分析功能。首先是更細緻的搜尋關鍵字報告功能，未來將與一般Google Search廣告及一般購物廣告的報告細緻度相同，而不會只有目前的部分數據可看。</p> <p>再來是素材等級成效報告。未來，廣告主不只可以看到哪件行銷素材促成更高轉換率，還能看到曝光情況、點擊率、成本等資料。並且，可以看到同素材在搜尋關鍵字廣告及展示型廣告專案中的表現，與PMax表現相互比較。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/pmaxal.jpg" style="width: 600px;" /></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#生成式AI #個人化體驗</span></span></strong><br /> <strong>WIX推出即時生成個人化網站內容功能</strong></p> <p><a href="https://www.globenewswire.com/news-release/2025/04/23/3066430/0/en/Wix-Introduces-Adaptive-Content-Feature-with-AI-to-Personalize-Web-Experiences-for-Site-Visitors.html">Low-code網站製作工具Wix推出可以根據使用者類型來即時生成網站內容的功能。</a>運作模式是，網站主先設定分群規則例如裝置、國家、語言、是否初訪等，以及生成內容方向，例如商品介紹、品牌行銷等。甚至，可以用拖拉式介面，詳細設置網站AI的工作步驟與邏輯。設置完後，可以先模擬不同流程下，AI生成的內容。當使用者造訪網站，AI便能根據這些步驟，來即時生成內容，而不過度偏離網站主本意。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/image-01-editor.png" style="width: 600px;" /></p> <p>Wix推出此功能意味著，中小型規模的網站主不需要大量IT資源或導入MA系統，也能做到一定程度的個人化體驗和分眾行銷。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#遊戲廣告 #沉浸式廣告</span></span></strong><br /> <strong>Roblox與Google Ads、Doubleverify合作，推出更多遊戲內廣告投放及測量的選項</strong></p> <p>元宇宙遊戲Roblox近月不斷擴大自家遊戲內廣告業務。近日，他們開始支援<a href="https://blog.google/products/ads-commerce/immersive-ads-roblox/">透過Google Ads來投放廣告</a>，增加廣告主投放管道。他們還與<a href="https://doubleverify.com/doubleverify-extends-gaming-measurement-suite-through-strategic-partnership-with-roblox/">廣告安全與成效測量商Doubleverify合作</a>，開始測量Roblox桌機、行動裝置及遊戲主機遊戲中的展示型廣告、影片廣告，以及看廣告拿獎勵類廣告的成效。</p> <p>Roblox日活躍玩家有超過8,500萬人，不僅規模巨大，更是遊戲廣告、沉浸式廣告等廣告類型的先行者。正式成為Google Ads廣告通路之一，以及能為業界中具有公信力的Doubleverify測量廣告成效和品質，是這類新興廣告類型逐漸打入業界的里程碑。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#生成式AI #聊天機器人導購</span></span></strong><br /> <strong>ChatGPT將推出商品推薦及無跳轉購物功能</strong></p> <p>在開發者不斷於ChatGPT挖出Shopify相關購物程式碼後，<a href="https://www.linkedin.com/posts/openai_search-has-become-one-of-our-most-popular-activity-7322742656608980992-e4QI">OpenAI終於宣布，將於ChatGPT新增多項新購物功能，包括呈現商品細節、價格、評論功能，更好的商品推薦功能，以及直接購買商品功能。</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/cgpts.jpg" style="height: 450px;" /></p> <p>OpenAI強調，這些商品推薦結果是根據每次對話產生，每次都是獨立事件，而非廣告。不過，當生成式AI聊天機器人的購物功能越發強大，儼然成為一個從搜尋到購物的全漏斗行銷及零售通路，對於行銷人員來說，如何受到LLM青睞，將成為更重要的課題。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099FF;">更多Martech動態：</span></strong></span></p> <p>1. <a href="https://news.adobe.com/news/2025/04/adobe-revolutionizes-ai-assisted-creativity-firefly">Adobe推出Firefly新模型Image Model 4，同時自家GenAI創作平臺開始支援用Google和OpenAI旗下模型來進行動靜態影像生成</a></p> <p>2. <a href="https://www.yahooinc.com/press/yahoo-dsp-launches-conversion-api-to-enhance-campaign-measurement-and-optimization">Yahoo DSP跟上潮流，推出可以直接從伺服器端拋轉行銷數據給廣告主的CAPI</a></p> <p>3. <a href="https://support.google.com/youtube/thread/18138167?hl=en&msgid=340138072">Youtube開始測試AI Overview搜尋功能，用影片輪盤方式呈現與搜尋內容相關的影片片段</a></p> <p>4. <a href="https://amt.org.tw/research/martech-map/744-taiwan-martech-landscape-v6">亞太行銷數位轉型聯盟協會推出臺灣Martech版圖第六版</a></p> <p>5. <a href="https://www.zenapse.com/about-us/newsroom/articles/lg-adsolutions">LG導入AI情緒分析科技商Zenapse的技術來打造CTV廣告產品</a></p> <p>6. <a href="https://newsroom.paypal-corp.com/2025-04-29-PayPal-Launches-Offsite-Ads-Unlocking-the-Power-of-Transaction-Data-Off-Platform">Paypal自家廣告平臺開始支援投放廣告到外部通路</a></p> <p>資料來源：iThome整理，2025年5月</p> <p>責任編輯：郭又華</p> <p>圖片來源：Google、OpenAI、Wix</p> <p></p> </div></div></div>
2025/5/3 11:01作者郭又華https://www.ithome.com.tw/news/168729
【臺灣資安大會直擊】中信銀首揭金融資安韌性三大對策：建立縱深防禦工程、落實穿透測試、確認資安作業有效性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「資安韌性，是讓敵人攻不破。即使攻破也打不穿，打穿也可以立即復原。」中國信託銀行資安長吳佑文在今年臺灣資安大會上表示，他們過去幾年在建立資安韌性上投入許多心力，而在金融資安論壇中，中信銀首次對外公開自家的資安韌性對策，包括建立縱深防禦工程、落實穿透（walk through testing）測試、確認資安作業有效性等策略。</p> <p>企業即便做好基本的資安措施，仍需要面對防護面必定有缺口的事實，「這是我們第一個會面臨的挑戰。」吳佑文說道。面對這項挑戰，中信銀的策略是建立縱深防禦工程，根據MITRE ATT&CK TTP手法來設置防禦對策。例如，針對社交工程攻擊，設置電子郵件的資安機制。</p> <p>不過，即便設置了縱深防禦工程，這些機制還是有極大機率不如預期般發揮功效。吳佑文透露，他們內部設置的防禦機制，幾乎每一項都曾被偵測到程度不一的有效性問題，甚至有完全失效的狀況。「這就是我們面臨的第二個挑戰。」他說。</p> <p>針對第二項挑戰，中信銀的對策是落實穿透測試，驗證每項資安控制措施的有效性。例如，針對檔案監控機制，中信銀的測試方法是放置無關檔案至受測伺服器，並預期系統偵測到異常檔案時需告警，且相關人員得在時效內處理問題。</p> <p>中信銀第三項資安韌性對策，是確認資安作業有效性。「必須盤點關鍵資安作業，設計如何驗證作業有效性。」吳佑文說明，他們的作法有三步驟，第一步是盤點關鍵資安作業，依據作業重要性及驗證可行性等條件，來排序優先驗證項目。再來是分析資安控制的有效性要件，最後則是設計有效性的驗證機制，並設計監控KPI，每月定期追蹤，確保資安作業被落實。</p> <p>以對外系統弱點掃描作業為例，有效性要件包括掃描範圍完整性、弱點特徵碼正確更新，弱點掃描設定妥適、弱點掃瞄作業正常完成，接著再針對每一項要件設定檢核做法，並設計KPI指標。</p> <p>吳佑文表示，這些措施完成後，可因應約99%的攻擊事件，但仍有1%的極端情境無法靠既有控制措施防範。「金融零信任指引會是我們的救生符，可以應付未知的攻擊手法。」他說，面對極端情境網攻，除了根據零信任指引來應對，也需規畫極端情境應變計畫。「只有做到這個程度，才能實現所謂的金融韌性。」</p> <p></p> </div></div></div>
2025/5/2 18:35作者李昀璇https://www.ithome.com.tw/news/168732
蘋果違反法院的反托拉斯裁決，恐面臨刑事調查
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://storage.courtlistener.com/recap/gov.uscourts.cand.364265/gov.uscourts.cand.364265.1508.0_2.pdf" target="_blank">美國聯邦法院法官Yvonne Gonzalez Rogers周三（4/30）裁決</a>，蘋果故意違反了法院要求蘋果開放第三方支付的命令，還有高階主管因此而作了偽證，要求展開刑事調查，並要蘋果限制作出改變。蘋果則說要針對此一判決提出上訴。</p> <p>此案始於2020年，當時Epic Games在iOS版與Android版的《要塞英雄》（Fortnite）遊戲中，自行加入了官方支付機制，以繞過App Store與Google Play的程式付費機制，同時遭到蘋果與Google將遊戲下架，促使Epic Games提出訴訟。美國聯邦法官在2021年9月作出裁決，要求蘋果不得強迫開發者使用蘋果支付，接著在2024年駁回蘋果的上訴，促使蘋果允許開發者於程式中嵌入外部連結，以採用其它支付機制。</p> <p>然而，法官發現蘋果故意違反上述禁令，並持續其反競爭行為。例如倘若使用者是從程式內連至外部網站完成交易，蘋果仍會向開發者收取27%的手續費，就算是在點擊連結之後的7天內才完成交易，依然必須支付27%手續費，該比例接近蘋果支付所收取的30%。</p> <p>此外，蘋果也限制了開發者與使用者之間的交流，例如當使用者要連往外部支付網站時，蘋果會跳出一個全螢幕的安全警告頁面；同時也僅允許開發者提供靜態的連結，不得針對用戶身分生成客製化的動態連結；亦禁止開發人員於程式中說明外部支付的折扣或付款方式。</p> <p>至於在作偽證的部分，蘋果財務副總裁Alex Roman向法官表示，上述的蘋果政策都是基於安全及用戶體驗的考量，然而，法院調查了蘋果的內部文件與郵件，卻發現蘋果高層討論的其實是「如何儘可能讓開發者少使用外部連結」，或是「如何設計新流程以維持原有的App Store收入」，認為Roman可能涉及藐視法庭或偽證罪，並指示檢察官展開調查。</p> <p>總之，Rogers要求蘋果在14天內必須提交一份全新的合規修正方案，警告蘋果若再採用「技術性遵守」手段來限制開發者，可能會面臨額外的強制命令或是懲罰性裁罰。</p> <p><a href="https://x.com/TimSweeneyEpic/status/1917716512347152499" target="_blank">Epic Games創辦人暨執行長Tim Sweeney指出</a>，若是蘋果願意把免費的蘋果稅框架部署至全球，那麼Epic Games下周就會把《要塞英雄》送回全球的App Store，並放棄所有相關的訴訟。</p> <p>有趣的是，與Epic Games站在同一陣線，亦不斷抨擊蘋果稅的Spotify也在該判決出爐的隔天<a href="https://newsroom.spotify.com/2025-05-01/following-landmark-court-ruling-spotify-submits-new-app-update-to-apple-to-benefit-u-s-consumers/" target="_blank">就更新了App Store上的程式</a>，新程式將提供商品價格與促銷資訊，可直接點選購買連結，也能使用除了蘋果之外的各種支付選項，雖然此一更新仍待蘋果審核，但Spotify相信，本周的裁決意味著蘋果的改變應該要立即生效才是。</p> </div></div></div>
2025/5/2 16:33作者陳曉莉https://www.ithome.com.tw/news/168727
從築巢到聯防：鴻騰精密CSIRT破繭而出，成為鴻海集團首位FIRST成員
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在資安威脅日益嚴峻的今日，企業的資安防護能力已不再是IT部門的單一課題，而是攸關企業存續與競爭力的核心關鍵。對於在全球擁有龐大據點與供應鏈的高科技製造業而言，這場沒有硝煙的戰爭尤其艱鉅。</p> <p>鴻海科技集團旗下的鴻騰精密（FIT），正是這波資安浪潮中的積極應對者。從2023年3月正式成立專責的資安事件應變團隊（CSIRT），到今年10月成功加入國際資安組織FIRST（Forum of Incident Response and Security Teams，事件回應和安全團隊論壇），鴻騰精密不僅為自身築起更堅實的資安堡壘，更成為鴻海集團內第一個加入FIRST的成員，肩負起領頭羊與集團資安聯防窗口的重任。</p> <p>鴻騰精密資訊部資深經理杜偉欽表示，該公司CSIRT團隊從無到有、從內部建置到邁向國際的歷程，都有賴公司執行長親自主導「由上而下」的變革，才能夠讓鴻騰精密的CSIRT團隊真正扎根，並且扮演全鴻海集團領頭羊的角色。</p> <h2><strong>CSIRT應運網路威脅而生，執行長力挺「由上而下」的變革</strong></h2> <p>「我們的CSIRT團隊是在2023年的3月成立，到正式加入FIRST國際資安組織，算起來至今也才一年多。」杜偉欽開宗明義地說道。相較於許多企業，鴻騰精密的資安團隊成立時間並不算早，但背後的推動力與決心卻異常堅定。</p> <p>杜偉欽指出，成立CSIRT的首要原因，直指當前不斷升級的外部資安威脅。他表示，隨著駭客攻擊手法越趨精密，企業必須具備更強的應變能力，才能有效保護公司最重要的數據資料與核心系統，進而確保業務的持續運作。這不僅是被動的防禦，更是Proactive（積極主動）的應對。</p> <p>然而，促成CSIRT團隊誕生的關鍵，則是來自公司最高管理階層對資安的強烈重視與支持。「其實是我們CEO非常重視資安這一塊，他認為，整個資安對我們公司的發展是非常重要的。」杜偉欽強調，因為有執行長的重視，讓資安從單純的技術議題，一躍成為影響公司發展全局的策略性議題。</p> <p>這份高度重視其來有自，儘管我們未直接證實與供應鏈攻擊的關係，杜偉欽坦言，外部環境的資安威脅的嚴峻挑戰，確實是重要考量。他說：「公司為什麼會重視資安，也和外部的一些製造業遭遇一些駭客攻擊，造成公司營運上的損失有關。」</p> <p>他進一步解釋，特別像是鴻騰精密這樣在全球擁有約五、六萬名員工、廠區資訊邊界不斷擴張的大型跨國公司，資安防禦難免存在漏洞。「如果沒有一個專責團隊負責修補漏洞並抵禦駭客入侵，就可能面臨嚴重的安全風險。」他說。</p> <p>「所以執行長就希望要盡快成立這個資安團隊作為因應。」杜偉欽語重心長地說，資安防禦最有效的方法，確實是「top down」，就是從上而下，而且從上而下它的效果才會快。</p> <p>杜偉欽表示，正是在執行長的授意之下，CSIRT團隊才得以快速且有效地組建起來。團隊成立後，首要任務便是針對全球各廠區的漏洞進行檢測與修補，並加強駭客入侵的防禦。</p> <h2><strong>公司傾注資源，打造資安菁英團隊</strong></h2> <p>一個專責的資安團隊需要什麼樣的人才？杜偉欽透露，鴻騰精密的CSIRT團隊目前有八位成員，全部都是專責的資安專業人員與主管。這支團隊的組成有其獨特性，「我們當初其實都是從外界尋找合適的資安專業人才進來我們公司。」他說。</p> <p>他進一步解釋，原先公司內部，只有一位從資訊部門轉調過來的資安人員，他深知，由外部引進專業資安人才立竿見影，能成為「即戰力」，但了解公司內部人員的重要性也不容忽視。</p> <p>「團隊內部還是要有懂得公司和產業專業知識領域（Domain）的人，」他指出，公司的CSIRT團隊成員可能不知道公司內部的地形、地貌，但是，因為有一個清楚公司裡面地形地貌識途老馬幫忙帶路，也非常有利於資安團隊的運作，以及對內外部的協調溝通。</p> <p>因此，杜偉欽表示，鴻騰精密CSIRT團隊成員的結構是這樣組成的：一位是從公司內部資訊部門轉任資安，其他七位則是從外部招募進來的資安專家。他認為，這種外部專業與內部經驗的結合，目的就是在打造一支既有國際視野，但又了解公司內部運作的高效團隊。</p> <p>成立專責且高效的CSIRT團隊，絕非僅僅編列人力與預算就能達成。杜偉欽也詳細說明從三個面向投入資源，以支持團隊的運作與成長。</p> <p>首先是組織調整。他表示，公司設立資安部門，這是過去沒有的；加上，這個專責部門在通報層級上也獲得提升，目前通報給資訊長，未來則會直接向CEO報告。</p> <p>更重要的是，公司也著手成立資安治理委員會。這個委員會的主席將從資訊長變更為CEO，成員則由各事業群的第一階高階主管擔任。杜偉欽強調：「這個資安治理委員會的成立，也讓公司資安治理層級，從原先IT層級拉到公司治理層級。」這也顯示，公司已將資安提升至與整體公司治理同等重要的戰略高度。</p> <p>其次是人力與培訓。除了從外部引進資安專業人才，杜偉欽指出，公司也大力支持團隊成員接受專業培訓。例如，公司會派員參加資安院舉辦的CCOE（國家資安卓越中心）課程，或是沙崙資安基地等機構提供的教育訓練。</p> <p>此外，鴻騰精密也積極參與國內的資安社群與情報分享平臺，例如SP-ISAC（科學園區資安資訊與分析中心）、TWCERT/CC（臺灣電腦網路危機處理暨協調中心）以及臺灣資安主管聯盟。他說：「這些都是為了不斷提升團隊的專業能力與視野。」</p> <p>最後則是技術資源。杜偉欽表示，公司投入資源、購置先進的資安工具與設備，用以強化監控能力並進行資安健康檢查。然而，資安技術與威脅變化迅速，團隊需要持續學習與更新技術，因為舊有技術已不足以應付外部威脅。特別是現在駭客也開始運用AI發動攻擊，已成為新的趨勢。為此，他表示，鴻騰精密甚至與公司內部的AI大數據部門合作，試圖利用AI來發掘資安設備可能遺漏的問題。</p> <p>在技術資源分配上，杜偉欽坦言，CSIRT團隊也面臨挑戰，因為這不僅是購買資安設備的問題而已，還需要IT部門的配合，例如強化基礎設施（Infra）的架構。杜偉欽解釋，資安部門在做資源調配時，必須權衡考量，決定第一階段要先強化哪些部分。例如，網路存取控管（Network Access Control, NAC）的強化、老舊防火牆的替換等，都是因為這些舊設備已無法應付新的攻擊，需要採購新方案補強。</p> <h2><strong>CSIRT成立的兩大挑戰：跨部門協作與技術變革</strong></h2> <p>成立全新的專責資安部門，並在全公司推動資安政策，過程並非一帆風順。杜偉欽坦言，最大的挑戰之一就是跨部門協作。</p> <p>他表示，資安部門作為一個新成立的單位，在推動資安政策時，常常會遇到其他部門的反彈，例如：以前可以這麼做，為什麼現在不能這麼做等等。這往往需要投入大量時間進行跨部門溝通、宣導，甚至舉辦各種會前說明，解釋為何這些政策是必要的。</p> <p>鴻騰精密在公司內部向所有主管、同仁進行資安重要性的宣導，並解釋社交工程等常見攻擊手法，就是為了讓公司的每個人能夠意識到「資訊安全、人人有責」，因為，資安不是資安部門單獨的責任，而是需要所有人共同參與。</p> <p>杜偉欽感嘆，不同部門的協作需要時間磨合，尤其是在資安事件發生時的快速反應。例如，如何界定資安事件的層級（一級、二級），需要通報到哪一層級的主管或哪個部門，這些都必須預先定義清楚，才能在狀況發生時迅速應對。</p> <p>另一個挑戰則是技術更新。資安技術和威脅模式不斷演變。杜偉欽指出，團隊必須持續學習、更新技術，以應對日益複雜的攻擊手法。例如，現在有許多駭客利用AI進行攻擊已是現實，所以，資安團隊不僅要懂得掌握傳統的資安防禦手段，還要思考，應該如何利用AI來協助防禦。</p> <p>在技術補強方面，杜偉欽特別點出了從「資安觀點」和「IT觀點」看IT基礎設施（Infra）補強的差異。他認為，IT或Infra部門的補強措施，往往著重於各自的業務範疇，例如Infra團隊專注網路安全，AP（應用程式）團隊專注軟體開發，彼此相對獨立。</p> <p>但是，如果從資安觀點來看，補強措施必須是全面向的，包括軟體、硬體設施，以及資安政策的管控等，需要能夠從「點線面」進行全盤性的規畫與落實。杜偉欽表示，資安的切入點通常是從系統的資訊流（flow）出發，藉由檢視資訊流經過哪些跨部門單位，需要進行什麼樣的強化或補強措施，「這是一種較少本位主義、更注重橫向跨部門管理的視角。」他說。</p> <p>不過，這也導致了跨領域溝通的困難。他強調，資安團隊必須與Infra團隊溝通基礎架構的強化需求，與AP團隊溝通軟體安全問題；但這些溝通往往需要跨領域的知識（know-how）。</p> <p>他強調，如果資安團隊成員不具備足夠的跨領域知識，在進行跨部門的討論過程中，很容易被其他部門以技術細節「打槍」，甚至被質疑專業能力。因此，杜偉欽強調，資安部門在招募相關的資安人員時，「真的是精挑細選」。</p> <p>鴻騰精密與鴻海集團的關係，也影響了其資安戰略。杜偉欽表示，鴻海作為母集團，會定期與子公司召開會議，宣導各種資安知識、分享資安事件或情資，而且集團也會要求所有子公司，不管在資安政策、宣導、訓練與防禦上，都必須保持一致性。</p> <p>這源於資安界常說的「木桶理論」：一個木桶能裝多少水，取決於最短的那塊板，在資安領域，漏洞缺口就是最短板。因此，集團必然要求整體資安防護能力的一致性，避免任何一個短板成為整體風險。杜偉欽表示，這也促使鴻騰精密必須不斷檢視，確認內部還有哪些未完成或需補強的部分，並盡快落實。他說：「我們不敢說我們做到最好，可是我們會盡力把它變得更好。」</p> <h2><strong>加入FIRST不只情報共享，更要「資安聯防」</strong></h2> <p>在談論鴻騰精密為何選擇加入FIRST組織之前，有必要先了解FIRST是什麼。FIRST是「Forum of Incident Response and Security Teams」的縮寫，意即「全球事件應變與安全團隊論壇」。</p> <p>FIRST被譽為資安事件應變領域的「premier organization」（頂尖組織）和「recognized global leader」（公認的全球領導者）；其核心使命是「Improving Security Together」（共同改善安全），這也體現在其組織名稱中。</p> <p>FIRST匯聚了來自政府、商業和教育機構的各種電腦安全事件應變團隊。其主要目標是：「促進事件預防方面的合作與協調，激發對事件的快速反應，並促進成員與廣大社群之間的資訊分享」。</p> <p>加入FIRST，能讓資安事件應變團隊更有效地應對資訊安全事件，無論是 reactive（被動應對）還是 proactive（主動預防）。除了建立一個全球事件應變社群中的信任網絡，FIRST也提供多種加值服務。目前，FIRST在全球擁有超過700個成員，遍布非洲、美洲、亞洲、歐洲和大洋洲。</p> <p>臺灣已有多家公司陸續申請加入FIRST，杜偉欽表示，鴻騰精密選擇以CSIRT團隊身份申請加入FIRST，主要有幾個原因。</p> <p>首先是情報共享。在全球資安威脅無國界的時代，能快速獲取最新的資安情報至關重要。他說：「希望透過這個FIRST國際資安組織，獲得最新的資安情報，來提升我們的防護能力。」此外，FIRST組織也經常舉辦各種論壇和研討會，也是提升團隊專業能力的重要途徑。</p> <p>其次是國際合作。資安防禦單打獨鬥難以成功，需要「聯合防禦」。杜偉欽強調：「希望能夠跟其他公司，包含臺灣或是國際的資安團隊合作，共同應對全球的資安威脅。」他生動地比喻，這就像古代的烽火臺，一個地方發出警訊，其他烽火臺迅速響應，共同抵禦敵人。這就是「一方有難、八方支援」的資安聯防精神。他表示，當鴻騰精密資安團隊從FIRST收到全球C2伺服器的IP清單時，除了力即將清單匯入公司防火牆最新規則外，也可以立即分享給集團，讓其他子公司也能迅速進行防禦阻擋。杜偉欽也體認到，加入FIRST國際資安組織，目的不只是要做到「獨善其身」，更是希望能「兼善」整個集團，甚至對臺灣科技業的資安聯防有所助益。</p> <p>第三是學習經驗。目前加入FIRST的臺灣成員，截至去年十二月底約有22個而且還在持續增加中，加入的成員名單涵蓋情資單位、高科技製造業以及資安公司等。杜偉欽表示，透過這個多元化的資安團隊社群，可以達到「學習其他公司成員加入FIRST的經驗，以提升自身能力」的目標。他認為，公司資安團隊從其他公司面對資安事件的應變作為中學習，並與其他成員分享自身的經驗，藉此不斷自我提升與改善。</p> <h2><strong>漫長而嚴謹的入會之路，準備過程就是寶藏</strong></h2> <p>加入FIRST並非一蹴可幾，需要經過漫長且嚴謹的審核過程。杜偉欽回溯了鴻騰精密的入會歷程，「經過一年的醞釀跟籌備，我們大概從2024年的6月開始，邀請FIRST會員來推薦我們。」他們邀請了TWCERT/CC和TeamT5這兩個臺灣的FIRST會員進行推薦。</p> <p>推薦後，FIRST會進行實地查驗。杜偉欽提到：「FIRST在去年8月份的時候，就來鴻騰精密做現場的視察，然後鴻騰精密也跟FIRST進行相關簡報。」簡報內容則涵蓋團隊的能力與運作流程。直到去年9月份，鴻騰精密則收到了FIRST現場訪視報告；並且該公司在9月中旬，正式向FIRST提交申請文件，進入審查程序；直到去年10月18號，才正式取得會員資格。</p> <p>這個過程不只是一個簡單的申請表單。杜偉欽解釋，在審核過程中，公司必須證明其能力符合FIRST的要求，這包括，鴻騰精密必須提供團隊成員的專業證照、公司資安治理的規範，以及資安事件應變流程等文件。這些資料都需要經過嚴格審核，甚至需要以流程圖的方式清晰呈現團隊的專業流程，並陳述加入FIRST的原因，而且，FIRST設有委員會，每個月都會召開會議，審查申請者的資格。</p> <p>「我們不是從2023年成立CSIRT之後，就馬上申請加入FIRST，而是籌備了好一段時間，先提升自身能量後，覺得已經準備好了才去申請加入FIRST。」杜偉欽強調。</p> <p>他認為，光是為了準備加入FIRST所做的內部整頓與能力提升工作，本身就已經非常有價值了。而成功加入後，能夠「第一手拿到一些重要的國際情資，然後又可以學習，又可以掌握一些攻擊趨勢等等」，對於公司整體資安防禦能力的強化與提升「是非常有幫助的」。</p> <h2><strong>加入FIRST帶來的質變與量變，從能力到商譽的全面提升</strong></h2> <p>加入FIRST之後，對鴻騰精密CSIRT團隊帶來了哪些具體的「質變」與「量變」呢？</p> <p>在質變方面，杜偉欽認為最顯著的是「提升資安團隊的專業水平跟應變能力」，透過參加FIRST的培訓與研討會，團隊得以學習最新的資安技術與趨勢。</p> <p>在量變方面，則是「擴大鴻騰精密取得的資安情報來源」，他表示，加入FIRST讓該公司資安團隊能夠獲取更廣泛的資安情報，從而提升公司和集團的防護能力。</p> <p>杜偉欽認為，對該公司帶來的效益則體現在多個層面。首先是「提升或增強鴻騰精密在國際上專業領域的影響力」，進而在資安領域提升公司的品牌形象與市場地位。但他特別強調，最關鍵的效益是「商譽的提升」。</p> <p>「讓大家都覺得，鴻騰精密重視資安，那是一種很無形的信任度。」杜偉欽解釋，這種信任度的提升，不僅來自客戶和合作夥伴，也包括投資人，有助於促進公司的整體業務發展。</p> <p>對於客戶而言，鴻騰精密是其供應鏈中的一環，供應鏈安全至關重要。「強化自身資安能力，能增強客戶的信心，進而對業務發展產生正面助益。」杜偉欽說道，這就像半導體產業對供應商提出的SEMI E187設備合規要求一樣，供應鏈安全已成為必要的合作前提。</p> <p>此外，加入FIRST也有助於提升公司的合規性。他指出，公司內部規範得以符合國際資安標準與法規，這不僅讓未來的產品制度更符合規定，也向客戶傳達產品經過嚴格管制的訊息，這都對公司帶來顯著的成效。</p> <h2><strong>情資時間差的決勝關鍵，扮演集團資安「領頭羊」</strong></h2> <p>在眾多效益中，杜偉欽特別強調加入FIRST在情資時間差帶來的優勢。他指出，鴻海集團本身是TWCERT/CC的成員，而鴻騰精密除了加入SP-ISAC，現在又多了FIRST這個國際情資來源。雖然SP-ISAC和TWCERT/CC也會轉發國際情資，但可能需要經過篩選過濾，存在情資的時間差。尤其TWCERT/CC是週休二日，並無法提供24x7的服務。</p> <p>但他強調，加入FIRST之後，鴻騰精密可以「直接獲得」第一手國際組織的資安情資，而擁有專責資安單位的鴻騰精密就可以立即進行第一手分析，甚至有機會在集團內部其他單位尚未收到相關的情資訊息之前，以更快的速度對內部提供情資。杜偉欽認為，這不僅能防禦鴻騰精密自身，也能協助防禦整個鴻海集團。</p> <p>杜偉欽語重心長地說，駭客最喜歡在週五下班後發動攻擊，利用週末的空檔可以做很多事情，如果企業直到週一上班才發現遭到攻擊，後果往往非常嚴重。透過FIRST提供的跨時區、全天候的國際情資，就像是「全世界的資安情資聯合」，能彌補單一組織或區域中心的不足。</p> <p>能否及時獲取情報差異巨大。杜偉欽舉例：「有公司可能前天被攻擊，但你如果是一個禮拜後再知道，跟你前一天就知道，這是有差異的。」提早得知潛在威脅，就能提早預防。例如，將重要的IOC（入侵指標）或黑名單匯入防火牆或防毒系統，第一時間阻擋攻擊，避免被植入惡意程式。這正是加入這個國際情資組織的主要目標。</p> <p>作為鴻海集團第一家加入FIRST的公司，雖然成立CSIRT的時間相對較晚，但入會的積極性可謂走在前面。杜偉欽表示，鴻騰精密希望扮演「領頭羊」的角色，透過自身的加入經驗，帶動集團內其他公司也加入FIRST。</p> <p>「這並不意味著，鴻騰精密之後就變成窗口，而是希望透過我們加入FIRST，有示範效應，可以帶動其他公司的加入。」他強調，就像當年群創光電加入FIRST帶動其他高科技製造業加入一樣；而鴻騰精密取得的第一手情資和累積的入會、運作經驗，都會回饋分享給集團內的公司。</p> <p>杜偉欽引用「一雙筷子容易折斷，但十雙筷子折不斷」的比喻，說明資安聯防的重要性。當集團內有一個單位成為FIRST成員，累積了國際合作和情報應用的經驗，並願意分享，這對整個集團的資安防護力量而言，是一種提升。</p> <p>他更將視野拉高到整個臺灣製造業，當一個臺灣企業遭到駭客攻擊時，無論是基於政治或民族因素引發的攻擊，如果能迅速透過國際平臺或其他聯防機制發出警報，其他企業就能立即提高警覺，採取防禦措施。</p> <p>他認為，這對於高科技製造業占據重要地位的臺灣經濟基礎來說，建立資安聯防標準並共同提升防禦能力，是至關重要的。供應鏈任何一個環節的漏洞，都可能影響整體臺灣的安全。</p> <p>「透過這樣加入的經驗，能夠讓更多公司，包含我們集團內和外面的公司，有更多人來加入。」杜偉欽如此期許。</p> <h2><strong>CSIRT團隊的下一步，做到永續學習與深化合作</strong></h2> <p>成功加入FIRST之後，杜偉欽表示，鴻騰精密CSIRT團隊的下一步，首先，持續提升自身能力，因為資安技術日新月異，團隊必須保持在這個領域的領先地位。例如，不能等到其他企業已經在做AI防禦了，自己卻還停留在過去。因此，持續學習是必須的。</p> <p>其次，深化國際合作。杜偉欽表示，這包括加強與國內外FIRST成員的合作，共同應對全球資安挑戰。例如，有針對臺灣企業發動的DDoS攻擊，便可以透過與刑事單位或FIRST成員交流，分享攻擊來源IP並討論防禦策略。他重申，面對全球性的網路攻擊，單打獨鬥是行不通的，必須依靠合作。</p> <p>團隊也在思考，當其他企業遭受攻擊時，自己能從中學到什麼，以及當自身遭到攻擊時，下一步應該如何應對。杜偉欽表示，CSIRT團隊會透過報告總結經驗，並與其他團隊交流，探索技術創新。</p> <p>例如，針對DDoS攻擊的多種手法，特別是慢速攻擊或針對VPN的攻擊。他指出，臺灣的高科技製造業者，經常覺得自身核心系統沒有暴露在外網而輕忽風險，但駭客透過攻擊VPN可能癱瘓遠端工作，造成公司營運中斷。他認為，這些都是資安團隊需要不斷思考和準備的課題。</p> <p>總體而言，鴻騰精密從成立CSIRT到加入FIRST，不僅是企業內部資安能力的躍升，更是將自身融入全球資安聯防體系的重要一步。杜偉欽強調，作為鴻海集團的先鋒，其經驗的分享與帶動效應，有望為集團乃至臺灣高科技製造業的整體資安防護，注入更強大的動能，共同抵禦無所不在的網路威脅。</p> <p>「面對這場資安保衛戰，唯有透過持續學習、深化合作與情資共享，才能在這場與駭客的軍備競賽中取得優勢。」杜偉欽說道。</p> </div></div></div>
2025/5/2 16:45作者黃彥棻https://www.ithome.com.tw/news/168728
Redis放棄SSPL授權回歸開源，釋出Redis 8整合核心與Stack功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歷經一年自核心授權轉為SSPL的實驗與討論後，Redis<a href="https://redis.io/blog/agplv3/">宣布</a>從Redis 8起改採AGPLv3開源授權，這結束了自2021年以來，針對進階模組採行封閉授權的多版本策略，期望與開源社群重新接軌。Redis 8同步整合原本僅限Redis Stack的模組功能，包括JSON、Time Series、機率型資料型別與查詢引擎，回歸單一核心版本供開發者直接使用所有功能。</p> <p>這次轉換的背景與大型雲端平臺的關係密切，Redis執行長Rowan Trollope表示，在AWS與GCP等超大規模雲端服務供應商廣泛部署Redis，並建立獨立維運分支的情況下，如何維持開源模式的同時確保專案本身可持續發展，是近年來開源公司普遍面臨的課題。</p> <p>過去Redis為避免直接使用SSPL引發社群反彈，選擇以雙軌方式發展Redis社群版與Redis Stack，將進階功能模組如RedisJSON與RedisTimeSeries納入Stack版本，並採用較嚴格的授權保護商業利益。不過，雙版本策略也造成開發體驗分歧與維運負擔，導致主線功能開發緩慢，引起部分使用者與貢獻者的不滿。</p> <p>Redis團隊在2024年3月正式將核心程式碼轉為SSPL授權，這導致AWS與Google需各自維護分支，而且該決策並未獲得開源社群正面回應，也未獲OSI認可，Redis創辦人<a href="https://antirez.com/news/151">Salvatore Sanfilippo（antirez）</a>於同年11月重新加入開發團隊，推動Redis重回真正的開源授權。經內部技術與策略評估後，Redis團隊最終決定自Redis 8起採用AGPLv3授權，這不僅符合OSI認可的開源定義，也要求部署於雲端提供服務的雲端供應商，需一併釋出修改後的原始碼，進而達到開源公平性與商業防禦的平衡。</p> <p><a href="http://antirez.com/news/151" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0502-Redis%20is%20open%20source%20again-600.png" style="width: 600px;" /></a></p> <p><a href="https://redis.io/blog/redis-8-ga/" target="_blank">Redis 8</a>加入了一個全新資料型別Vector Sets，由antirez設計，支援高效率處理向量資料，有望擴展Redis在搜尋與人工智慧應用場景的應用潛力。 Redis官方表示，這次整合不僅簡化開發流程，也將Redis Stack具代表性的功能模組全面納入核心主版本，之後將以單一發行版開發，集中改善效能與模組穩定性。</p> <p>根據Redis公布的資料，Redis 8在多項核心指令的執行速度上提升高達87％，整體處理吞吐量也提升至前一版的2倍。</p> </div></div></div>
2025/5/2 16:48作者李建興https://www.ithome.com.tw/news/168726
【資安月報】2025年4月，臺灣資安產業蓬勃發展，PQC、零信任、產品資安受矚目，LLM安全風險因應成最新主軸
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>回顧2025年4月的資安新聞，隨著臺灣資安大會連續3天盛大舉行，臺灣政府發布國家資通安全戰略2025，還有多項LLM安全風險的示警與應對的消息，都讓我們更進一步了解臺灣與全球資安領域的蓬勃發展與態勢演變，因此，這些資訊的傳達成為我們本月首先關注的3大焦點。</p> <p>其他還有3個層面的議題，同樣值得我們重視，包括臺灣資安事件現況、國際產業安全進展，以及預算影響資安專案的狀況。在此我們彙整6大資安焦點，帶大家快速回顧本月的關鍵新聞與趨勢。<br /> </p> <p><strong style="color: rgb(255, 0, 0);">（一）2025臺灣資安大會登場</strong></p> <p>CYBERSEC 2025 臺灣資安大會本月登場，橫跨30大資安議題，從網路韌性法到跨界整合，吸引400家廠商、1,500個攤位進駐，為期三天的活動吸引2萬名來自全球產官學界的資安專家參與，顯示企業對資安重視日益提升。</p> <p>今年的CYBERSEC ARENA資安競技場War Game，更是特別引進美國海軍戰爭學院於美國Black Hat和DEF CON發表的臺灣情境資安模擬遊戲，透過建模、模擬與兵推技術，模擬真實資安威脅與戰略應對。</p> <p>臺灣政府也持續展現政府對於資安的重視與支持，總統賴清德去年520上任，截至目前為止，他已連續四年親自蒞臨，並在今年大會致詞談到未來四年重要的資安推動工作，我們不只要強化全社會資安韌性、關鍵CI防護，同時強調發展資安產業生態系，持續推動國產自主研發的資安產品與服務，以降低對外部技術的依賴風險，並要應對 AI、大數據、IoT與5G乃至未來6G技術的快速普及，研究新興科技防禦技術；美國在台協會（AIT）處長谷立言也在現場公布臺美合作成果，包括今年3月主導舉辦5場聚焦半導體供應鏈防護的資安活動，並透露經濟部標準檢驗局已完成美國「NIST網路安全框架 2.0」的繁體中文版，同時強調資安不僅是IT技術課題，更是國家與經濟安全的重要環節。<br /> </p> <p><span style="color:#FF0000;"><strong>（二）臺灣多項資安新舉措揭露</strong></span></p> <p>在國家資安防禦動向，本月臺灣政府有多項重大進展，最重要是《國家資通安全戰略 2025》在8日發布，揭露我國2025到2028這四年的重要工作，涵蓋4大層面，包括：全社會防衛韌性、國土防衛與關鍵CI、關鍵產業與供應鏈，以及AI應用與安全，同時也提及建立國家資安戰情協同應變中心，突顯我國更聚焦國安層級聯防體系的發展，還有資安院算正規化的進展。</p> <p>還有其他多項新進展於臺灣資安大會揭露，涵蓋PQC、零信任、產品資安、個資保護，以下是我們關注的4個重大突破：<br /> ●數發部數產署與後量子資安產業聯盟（PQC-CIA）宣布，專為臺灣設計的「後量子密碼遷移指引」出爐，並於4月底公布取得自動化加密盤點工具的聯繫管道。<br /> ●金管會闡釋金融業導入零信任架構參考指引重要性，應從身分、設備、網路、應用程式、資料出發，另公布目前正發展金融雲端資安監控基準。<br /> ●資安院解析多國法規已對ICT產品訂明確安全要求，同時公布推動產業發展產品資安的3項計畫，涵蓋安全軟體開發與檢測的人才培育、推動PSIRT與建立資安院Bounty，以及國際法規的接軌。<br /> ●個資保護委員會今年即將成立，籌備處專家建議參考國際間的隱私框架，並用高強度MFA來確保使用者身分安全。<br /> </p> <p><span style="color:#FF0000;"><strong>（三）LLM安全風險成2025年重要焦點</strong></span></p> <p>LLM應用風潮在這兩年持續發酵，然而其資安風險問題容易被忽略，我們在4月製作封面故事闡述此議題，並從OWASP Top 10著手，透過簡單易懂的闡釋方式，幫助讓大家了解提示詞注入、敏感資訊揭露、資料與模型投毒、錯誤資訊等LLM應用10大風險。同時我們也以真實世界發生的狀況來舉例，讓大家可以更清楚，當AI客服回應超出應有用途，員工將公司機敏資料上傳公用AI服務，以及AI幻覺回應被使用者誤信的狀況。</p> <p>另一方面，隨著LLM推理模型與AI代理（AI Agent）的快速迭代，今年臺灣資安大會的主題演說或各項議程中，我們明顯觀察到，現場有多位專家演說都聚焦LLM風險。在此我們挑出一些重點，例如：有針對企業推動AI應用上的建議，包括要有面面俱到的資安管理策略，建議可從資料、模型開發、員工使用及基礎架構管理來著手，以及探討LLM風險驗測的困境，並建議可打造自動化驗測機制、採取LLM-as-a-Judge做法，還有建議組織可從平衡AI利益及風險出發，依據WEF報告提出的6項問題來自評是否做好準備；另一方面，也有針對AI代理驅動網路犯罪商業模式Cybercrime-as-a-Servant的示警。<br /> </p> <p><span style="color:#FF0000;"><strong>（四）臺灣資安事件頻傳，勒索軟體攻擊持續嚴峻</strong></span></p> <p>根據公開資訊觀測站刊登的重大訊息公告，本月有9家上市公司發布資安重訊，另外還有1起事故發生在地區醫院。其中勒索軟體攻擊是主要焦點，像是振曜、沛亨的事故與CrazyHunter有關，還有桃園中壢長慎醫院、倍力的事故則與NightSpire有關。這段期間，國內也接連有資訊服務商遭攻擊，需要特別留意。</p> <p>●第一週4起，盛餘鋼鐵公告部份主機與電腦遭病毒攻擊（4月底發補充公告，員工個資可能外洩）；振曜科技、沛亨半導體表示部分資訊系統遭受駭客攻擊；精誠資訊獲匿名網路勒贖信件。<br /> ●第二週2起，力特光電公告資訊系統遭駭客攻擊；萬國通路表示發生資安事件。<br /> ●第四週3起，萬海航運公告資訊網站遭攻擊；萬潤科技表示部份主機與電腦遭病毒攻擊；倍力資訊表示資訊系統遭受攻擊。</p> <p>此外，CrazyHunter的真實身分在4月初被查獲，臺灣刑事警察局公布犯嫌為中國浙江籍20歲的羅姓男子。</p> <p>還有一項消息需要民眾多加留意，那就是有資安業者發現攻擊者散播常用軟體，對方佯稱提供即時通訊軟體LINE，並透過搜尋引擎最佳化（SEO）方式散布，讓民眾在Google搜尋第一頁就會看到仿冒LINE下載的網站，意圖植入木馬程式。<br /> </p> <p><span style="color:#FF0000;"><strong>（五）國際多項產業安全重要進展</strong></span></p> <p>走出臺灣，我們看到其他國家有多項資安防禦新進展受關注，例如，持續演進的MITRE ATT&CK框架發布17.0新版本，同時針對VMware虛擬化平臺發布新矩陣；CA/Browser Forum針對HTTPS憑證祭出新的2項安全要求，通過可有效防禦BGP劫持的多方發行驗證（MPIC），以及降低誤發憑證風險的憑證檢查（Linting）；美國NIST發布1.1版的《NIST隱私架構》，以配合NIST CSF 2.0與AI RMF的修訂變化。</p> <p>還有一些重要消息，例如GitHub推出Security Campaigns，協助企業開發團隊處理安全債更系統化並融於開發日常，還有Google發表資安AI模型Sec-Gemini，另也針對Gmail推出全程加密功能等。<br /> </p> <p><span style="color:#FF0000;"><strong>（六）預算影響</strong></span><strong style="color: rgb(255, 0, 0);">資安專案</strong><span style="color:#FF0000;"><strong>運作問題浮上檯面</strong></span></p> <p>因為具有國會多數優勢的在野黨大幅刪減與凍結政府預算，影響臺灣資安發展，像是我國的資通安全署、資安研究院的計畫深受影響，面臨專案擱置或延後等，因為這些單位上層機關數位發展部所編列的預算，被大幅刪除與凍結。</p> <p>無獨有偶，其他國家也發生類似狀況，美國非營利組織MITRE傳出因該國政府預算刪減，將使維護CVE等多項專案停擺，此事更是引發全球關注，因為CVE的公布與指派已成全球漏洞管理基礎機制，一旦CVE漏洞無法集中發布與追蹤，將對整體資安生態造成衝擊。</p> <p>雖然美國CISA隨後介入支援提供運作資金，但這起事件也突顯CVE等體系的穩定運作，長年只有美國政府投入給予支持。目前CVE基金會已成立作為因應，不過歐盟漏洞資料庫（EUVD）Beta版的發展也受關注。<br /> </p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/168264"><strong><span style="color: rgb(178, 34, 34);">【資安週報】0331~0404，CrazyHunter攻擊擴大至臺灣企業集團，刑事局偵破其真實身分為中國浙江羅姓男子</span></strong></a></h3> <p>在2025年4月第一週的資安新聞中，關於CrazyHunter鎖定臺灣醫院與上市公司攻擊的消息仍然不斷，臺灣振曜集團有3家公司遭受攻擊，不過，警方在偵辦進度上取得重大突破，先前在馬偕醫院事故後，已成立專案小組，如今發現犯案者是中國浙江籍羅姓駭客，而這也是國內警方第一次能關聯出勒索軟體攻擊者真實身分</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/168383"><strong><span style="color: rgb(178, 34, 34);">【資安週報】0407~0411，國家資通安全戰略2025正式公布，建立國家資安戰情協同應變中心</span></strong></a></h3> <p>回顧2025年4月第二星期的資安新聞，臺灣最新國家資安戰略出爐是主要焦點，當中揭露了我國國安層級聯防體系的發展，以整合六塊基礎聯防體系、跨部會協防體系與戰略夥伴國際合作；其他網路攻擊活動的揭露，以多起勒索軟體攻擊臺灣與全球的消息，還有中國駭客鎖定臺灣、圖博、維吾爾族散布間諜軟體的情形最需留意</p> <p style="margin: 0px;"> </p> <h3><a href="https://www.ithome.com.tw/news/168501"><strong><span style="color: rgb(178, 34, 34);">【資安週報】0414~0418，臺灣資安大會CYBERSEC 2025登場，AI資安風險持續受矚目</span></strong></a></h3> <p>在2025年4月第三星期的資安新聞，此時適逢一年一度資安產業盛事臺灣資安大會CYBERSEC 2025舉行，強調「Team Cybersecurity」與「全社會資安防禦韌性」，今年涵蓋30個熱門資安議題，AI資安風險更是重要主軸</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/168630"><strong><span style="color: rgb(178, 34, 34);">【資安週報】0421~0425，駭客組織NightSpire橫行全球，臺灣傳長慎醫院、倍力資訊遭攻擊</span></strong></a></h3> <p>回顧2025年4月第四星期的資安新聞，臺灣有長慎醫院、萬海航運、萬潤科技、倍力資訊遭遇網路攻擊事件的情形，其中影響國內醫院與資訊軟體整合服務商的事故最受關注；國際間有日本Web郵件系統Active! Mail遭零時差漏洞攻擊鎖定，以及南韓多個產業遭攻擊者以老舊BlueKeep漏洞攻擊的狀況</p> <p> </p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/168181">【2025年3月資安月報，出現專門鎖定臺灣攻擊的勒索軟體，CrazyHunter攻擊目標從醫院擴大至上市櫃公司</a><br /> </h3> <h3><a href="https://www.ithome.com.tw/news/167727">【2025年2月資安月報，臺灣海纜遭人為破壞、醫院遭勒索軟體攻擊，關鍵CI防護受考驗】</a><br /> </h3> <h3><a href="https://www.ithome.com.tw/news/167154">【2025年1月資安月報，國家級駭客的網路間諜攻擊事件不斷，海纜與國家通訊韌性也受到考驗】</a><br /> </h3> <h3><a href="https://www.ithome.com.tw/news/166878">【2024年12月資安月報，美國9家電信業遭中國駭客Salt Typhoon滲透，政府呼籲使用全程加密的即時通訊App】</a><br /> </h3> <h3><a href="https://www.ithome.com.tw/news/166394">【2024年11月資安月報，身分安全與AI成資安熱點，電信業滲透事件敲響警鐘】</a><br /> </h3> <h3><a href="https://www.ithome.com.tw/news/165787">【2024年10月資安月報】關切資安法修法、零信任、CMMC 2.0與資訊作戰，迎向不斷變化的資安威脅考驗</a></h3> </div></div></div>
2025/5/2 12:15作者羅正漢https://www.ithome.com.tw/news/168722
【資安日報】5月2日，思科、Nvida等多家業者在RSAC 2025推出AI資安工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球大型資安會議RSA Conference<span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </span>2025於4月28日至5月1日在美國舊金山舉行，這段期間科技大廠及資安業者紛紛推出AI資安工具，相當熱鬧。</p> <p>其中，包含Google的<a href="https://www.ithome.com.tw/news/168645">新款AI資安代理與次世代自動化Agentic SOC</a>、Cisco推出的開放<a href="https://www.ithome.com.tw/news/168645">AI資安模型Foundation AI Security</a>、Nvidia<a href="https://www.ithome.com.tw/news/168654">強化AI資料運作中心安全的DOCA Argus框架</a>、Palo Alto Networks發表的<a href="https://www.ithome.com.tw/news/168652">Prisma AIRS AI安全管理平臺</a>。巧合的是，Meta也在這段期間<a href="https://www.ithome.com.tw/news/168715">開源多項Llama安全護欄工具</a>。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168724"><strong style="font-size: 22px;">蘋果警告超過100個國家的iPhone用戶已遭間諜軟體鎖定</strong></a></p> <p>根據新聞網站TechCrunch及The Guardian報導，蘋果本周寄發通知，警告100多個國家的iPhone用戶已面臨政府間諜軟體攻擊風險。</p> <p>其中一名用戶為義大利調查新聞媒體Fanpage記者Ciro Pellegrino，另一個是荷蘭社會運動人士Eva Vlaardingerbroek。蘋果告知偵測到針對用戶iPhone的精準傭兵間諜軟體（Mercenary Spyware）。蘋果說雖然不是絕對肯定，但對偵測結果有高度信心，請用戶不要掉以輕心。Pellegrino引述蘋果表示，該訊息已發送給100個國家受影響的用戶。</p> <p>The Guardian報導提及，Pellegrino是義大利今年被傭兵間諜軟體鎖定的第6人。今年二月同家媒體總編Francesco Cancellato也收到WhatsApp通知。The Guardian報導，受害者iPhone感染的間諜軟體來自以色列公司Paragon Solutions，其他被傭兵間諜軟體鎖定者，還包括援救難民的神父及人權運動人士。</p> <p><a href="https://www.ithome.com.tw/news/168720"><strong style="font-size: 22px;">吉隆坡國際機場3月遭遇攻擊，勒索軟體Qilin聲稱是他們所為</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Malaysia-Airports-Holdings-ransomware-claim-via-Qilin.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Malaysia-Airports-Holdings-ransomware-claim-via-Qilin.jpg" style="width: 300px; float: right;" /></a></p> <p>3月25日馬來西亞機場及馬來西亞國家網路安全局（NACSA）發布聯合聲明，證實吉隆坡國際機場（KLIA）特定電腦系統於3月23日遭遇網路攻擊。近期有駭客組織出面，宣稱這起事故是他們所為。</p> <p>根據4月28日科技新聞網站Comparitech的報導，勒索軟體駭客組織Qilin將馬來西亞機場控股公司（Malaysia Airports Holdings Berhad，MAHB）列為受害者，並號稱從中竊得超過2 TB資料並公開。Comparitech提及，駭客偷到的資料，就是來自吉隆坡國際機場，而這是Qilin首度對交通運輸產業下手的情形。</p> <p>附帶一提的是，Comparitech提到MAHB首長曾透露駭客向他們勒索1千萬美元，但MAHB拒絕妥協。</p> <p><a href="https://www.ithome.com.tw/news/168714"><strong style="font-size: 22px;">駭客論壇BreachForums因使用舊版軟體元件遭駭</strong></a></p> <p>知名駭客論壇BreachForums上周遭到不明人士駭入下線，原因是用了有漏洞的舊版軟體。</p> <p>BreachForums是許多駭客公告或兜售駭得的企業重要資料或程式碼的地下論壇。4月15日BreachForums突然關閉，引發可能遭到警方查緝及管理員被捕等傳言。其創辦者Conor Brian Fitzpatrick（ID為Pompompurin），他在2021年駭入美國聯邦調查局（FBI）郵件系統偽冒信件闖出名號。此人於2022年創立的BreachForums，成為英語世界最大的地下論壇，成員高達34萬。2023年他在美國政府查緝行動中被捕後，BreachForums管理權伴隨網站被當局查封而幾經易主。</p> <p>根據Cybernews和SecurityAffairs報導，BreachForums在今年4月15日前後遭遇安全事故斷線，當時的管理員Anastasia試圖重啟失敗。4月29日一名成員Momondo發文宣稱是最新管理員，並解釋斷線原因。他表示BreachForums因為底層軟體MyBB為有漏洞的過期版本，出現了PHP零時差漏洞，由於未能安裝新版，可能遭到第三方組織或是執法機關存取。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/hackers-abuse-ipv6-networking-feature-to-hijack-software-updates/">中國駭客濫用IPv6發動對手中間人攻擊，挾持軟體更新散布惡意程式</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/malicious-pypi-packages-abuse-gmail-websockets-to-hijack-systems/">惡意NPM套件濫用Gmail及WebSocket挾持開發者電腦</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/wordpress-plugin-disguised-as-a-security-tool-injects-backdoor/">惡意軟體佯裝資安工具入侵WordPress網站</a></strong></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://cybersecuritynews.com/chrome-136-released/">Chrome 136修補存在長達20年的隱私弱點</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/docker-registry-vulnerability/">macOS版Docker存在漏洞，攻擊者有機會透過任意機碼繞過身分驗證</a></strong></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168696"><strong style="font-size: 22px;">Cisco釋出首款開放權重資安大語言模型，助力AI資安維運與防護</strong></a></p> <p>Cisco在RSAC 2025上，宣布推出首款開放AI資安模型Foundation AI Security，Cisco執行副總裁暨產品長Jeetu Patel表示，這是Cisco新成立的Foundation AI團隊針對資安領域應用所推出的第一個大語言模型，Cisco將以開放權重的方式釋出模型，協助資安人員更容易將AI應用於資安分析、維運與防護等工作。</p> <p>本次推出的Foundation AI Security基礎語言模型（Foundation-Sec-8B），是以Llama-3.1-8B為基礎，挑選資安領域文本資料進行持續預訓練，擁有80億個參數。Patel指出，訓練資料的類型涵蓋資安情資報告、弱點漏洞資料庫、資安事件應變處理文件與相關資安標準等，最後從高達9000億個Token的資料量中篩選出最適合的50億個Token進行訓練。</p> <p>Cisco指出，Foundation AI Security模型主要針對三大資安應用場景進行最佳化，包括資安營運中心（SOC）作業加速，可提供自動化資安事件分類、資安事件摘要生成、案件記錄撰寫及證據蒐集；提升主動式威脅防禦，如模擬攻擊情境、漏洞優先排序、攻擊手法（TTPs）映射與模擬攻擊者行為；以及提供資安建議、配置驗證、合規評估，協助提升整體資安態勢。</p> <p><a href="https://www.ithome.com.tw/news/168654"><strong style="font-size: 22px;">強化AI資料中心即時威脅偵測，Nvidia推出DOCA Argus</strong></a></p> <p>Nvidia宣布推出DOCA Argus資安框架，目的在於強化人工智慧資料中心，對運算節點的即時威脅偵測與反應能力。此框架建立於Nvidia BlueField DPU平臺之上，主打無代理設計，可直接在DPU上執行記憶體鑑識與異常分析，提供即便是在主機遭入侵也能持續運作的防護機制，特別針對容器化與多租戶人工智慧環境進行最佳化。</p> <p>DOCA Argus屬於Nvidia DOCA軟體架構的一部分，與Morpheus資安人工智慧框架及Nvidia AI Enterprise軟體堆疊整合，具備在人工智慧工作負載執行期間，即時辨識記憶體中可疑活動與特徵樣態的能力。其資料路徑偵測與分析功能，針對模型推論節點可能出現的異常行為，藉由與SIEM、XDR、SOAR系統的整合，實現自動化事件回應與威脅緩解。</p> <p>與傳統依賴主機端代理程式的解決方案不同，Argus直接運作於基礎設施層，攻擊者難以察覺，且不占用主機CPU或記憶體資源，對高效能人工智慧訓練與推論作業影響極低。官方表示，其偵測速度較傳統無代理方案快上千倍，有助於縮短回應時間並減少誤報。</p> <p><a href="https://www.ithome.com.tw/news/168684"><strong style="font-size: 22px;">數發部與玉山金控聯手成立防詐實驗室，以跨業合作試驗防詐聯防技術</strong></a></p> <p>數發部進一步深化科技防詐策略，在金管會見證下，4月30日與玉山金控成立防詐實驗室，首波由玉山金控、中華郵政、中信金控、金融科技產業聯盟、Google Cloud及Line加入，未來該實驗室將在數發部協助下，建立跨部會、跨領域科技防詐聯防機制。</p> <p>數發部長黃彥男表示，數發部推動防詐，過去在網路詐騙做了許多努力，在金流阻詐方面，2023年補助金融業者發展AI防詐鷹眼系統，促成公私合作共同組成「鷹眼識詐聯盟」，今年進一步支持玉山金控、金融科技產業聯盟成立防詐實驗室，希望運用新技術，提高對異常交易、高風險帳戶的偵測識別能力，以防阻詐騙行為。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/168681"><strong>【4月30日】韓國電信業者SKT資料外洩出現進展，該公司將為用戶換發SIM卡</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168660"><strong>【4月29日】1千多臺SAP NetWeaver伺服器傳出遭遇滿分漏洞攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168639"><strong>【4月28日】SAP、Commvault修補風險達到10分的重大層級漏洞</strong></a></p> </div></div></div>
2025/5/2 14:37作者周峻佑https://www.ithome.com.tw/news/168725
【臺灣資安大會直擊】API資安威脅成挑戰，富邦金建立六項機制管控API安全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>金管會自2019年起推動開放銀行，讓金融機構可透過Open API方式，和第三方服務業者合作共享金融數據，發展更多創新金融服務。不過，當API成為了系統間交換數據與服務的重要橋樑，卻也帶來了資料外洩、服務中斷等資安風險。「API是一個橋梁，當這個橋梁開啟，等於開了一個口。」富邦金控資安長蘇清偉在臺灣資安大會中強調控管API的重要性。</p> <h3>API面臨的威脅和挑戰</h3> <p>蘇清偉提到，企業管理API時，主要面臨三大威脅與挑戰。第一種挑戰，企業可能因多種因素導致API脫離管控，例如已經棄用卻仍被使用的殭屍API，或是正在使用但未受企業管理的影子API，又或是鮮少使用導致企業遺忘的API。這些不受管控和保護的API，都會產生不可見的風險。</p> <p>第二種挑戰，是資料外洩風險。企業常透過API進行資料傳遞，然而，API端點配置不當或採用未加密的資料傳輸方式，可能導致機敏資料外洩。第三種挑戰，是難以偵測、發現的API攻擊行為，因為駭客可以透過合法管道掩護非法行為，潛入企業內部伺機行動。</p> <h3>六項機制管控API安全</h3> <p>面臨這些API管控威脅和挑戰，財金公司曾修訂Open API規範，增訂三項金融業者應遵循的必要措施，分別是，第一，金融機構應建立API盤點機制，對網際網路有開啟服務的API，也應建立認證機制，並針對API設計和安全建立妥適的防禦機制。第二，金融機構傳輸內容若涉及機敏資料，要建立端點對端點的加密機制。最後，API在上線前，或API系統架構異動，又或是API既有功能異動時，金融機構需要依照OWASP公布的Top10 API Security Risks項目辦理並通過檢測，且由資安專責單位確認完成改善。</p> <p>除了遵照這些規範管理API，富邦金控也額外建立六項機制，來管控API安全性。並且，富邦金控子公司皆遵循這些機制。蘇清偉表示，第一項機制，是將API文件標準化，他們會規範要使用JSON或YAML格式來描述API的結構和行為，並採用OpenAPI Specification作為API文件標準。「定義清楚後，往後才更容易處理API維運工作。」蘇清偉強調。</p> <p>第二項機制，是自動化產生API文件。利用OpenAPI規範文件，自動生成API文件，並隨著API版本迭代自動產生文件，讓文件永遠保持在最新版本。第三項是透明化機制，建立清晰的API文件讓開發人員能快速上手，減少反覆溝通的時間成本，並且，當API發生錯誤時，讓開發人員能快速釐清問題。</p> <p>蘇清偉解釋，API管理生命周期涵蓋了從API的構思、設計、開發、測試、部署，到維運的過程，而富邦金控內部會將資安措施列入SOP文件，讓IT人員在開發、設計API時，就遵循資安規範，避免後續檢測才發現問題。例如，他們在文件中列出了遵循OWASP Top10 API Security Risks訂定的設計標準、設定說明、設計場景、設計要點和測試要點，供IT人員參考每個要點對應的解決方案。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/C50F45EA-FD8E-47C6-8D18-AC0A1EF8769F.jpg" style="width: 600px;" /></p> <blockquote><p>富邦在文件中列出了遵循OWASP Top10 API Security Risks訂定的設計標準、設定說明、設計場景、設計要點和測試要點。</p> </blockquote> <p>在上架Open API前，富邦金控內部會要求業務單位會同資安單位進行各項風險評估作業，並建立通報機制留存評估紀錄，避免下架API帶來的影響。而在API上架時，他們會先區分出API屬於Open API或是內部使用等類型，再界定API的風險程度。若API屬於Open API，則需上架至API管理平臺。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/E30F7D77-9D0D-4845-8038-4A3B4AD6D6B7.jpg" style="width: 600px;" /></p> <blockquote><p>富邦金控也<span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">針對API上下架</span>訂定了處理機制。</p> </blockquote> <p>當後續要下架Open API時，蘇清偉強調，務必要按照規定下架，避免產生被遺忘的API。富邦金控的作法是，資訊單位向業務單位確認API已無運作需求後，由資訊單位提前公告API預定下架日期，並通知受影響的單位和後續相關配合事項。最後，資訊單位也要留存下架過程的完整紀錄。「資安實踐像Case by Case，每一個Case都要到位。」蘇清偉最後強調，無論是哪一項科技技術，都應該落實盤點動作，並且評估可能發生的威脅、可供參考的資料和解決方案，最後不斷檢視既有做法。</p> <p></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/8215A9F3-E483-4894-BB02-E74A7FEB9C41.jpg" style="width: 600px;" /></p> <blockquote><p dir="ltr" style="line-height:1.38;margin-top:0pt;margin-bottom:0pt;"><span id="docs-internal-guid-f8aca6ea-7fff-1bd7-2ba1-2f9cd0d897da"><span style="font-size: 11pt; font-family: Arial, sans-serif; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; font-variant-emoji: normal; vertical-align: baseline; white-space-collapse: preserve;">在富邦的API管理架構中，WAF作為重要角色，能對進出網路應用程式的流量進行檢查過濾、監控和阻斷，並針對攻擊特徵碼進行防範，找出已知存在的惡意行為。WAF後方則部署API Security模組，即時監控和檢視API威脅事件、針對API資料流進行解析，並建立完整可視性的API清單。</span></span></p> </blockquote> <p dir="ltr" style="line-height:1.38;margin-top:0pt;margin-bottom:0pt;"> </p> </div></div></div>
2025/5/2 15:15作者李昀璇https://www.ithome.com.tw/news/168669
Commvault公布被用於攻擊Azure環境的零時差漏洞細節
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年3月老牌備份軟體領導廠商Commvault表示，<a href="https://www.commvault.com/blogs/security-advisory-march-7-2025">他們2月20日接獲微軟的通報</a>，得知有國家級駭客在Azure環境從事未經授權的活動，經過初步調查後確認有部分用戶受到影響，駭客利用了一項零時差漏洞而得逞，如今該公司公布後續的調查結果。</p> <p>4月27日Commvault表示，<a href="https://www.commvault.com/blogs/notice-security-advisory-update">經過他們進一步調查</a>，確認客戶備份的資料並未遭到未經授權存取，這起事故也沒有對該公司業務營運和交付產品、服務造成重大影響。Commvault與兩家資安業者、有關當局緊密合作，聯手因應此事。</p> <p>該公司也更新前述零時差漏洞的<a href="https://documentation.commvault.com/securityadvisories/CV_2025_03_1.html">資安公告</a>，指出這項弱點已被登記為CVE-2025-3928列管，CVSS風險評為8.7，並指出若不處理，攻擊者有機會用來部署Web Shell，並損害網頁伺服器。美國網路安全暨基礎設施安全局（CISA）於4月28日，<a href="https://www.cisa.gov/news-events/alerts/2025/04/28/cisa-adds-three-known-exploited-vulnerabilities-catalog">將該漏洞納入已遭利用的漏洞列表（KEV）</a>。</p> <p>此漏洞影響CommServe、Web Server、Command Center元件，不影響用戶端電腦，他們已發布11.36.46、11.32.89、11.28.141、11.20.217版進行修補。值得一提的是，Commvault也提及這項弱點影響SaaS用戶的情況，他們已為用戶套用相關修補程式。</p> <p>附帶一提的是，Commvault也在最佳實務的知識庫文章裡，提供了<a href="https://kb.commvault.com/article/87661">入侵指標（IoC）</a>，並指出管理員應將他們提供的IP位址加入黑名單，除透過政策封鎖，也要在Azure的登入事件記錄進行監控。</p> <p>由於Commvault最近才公布另一個CVSS風險評為10分資安漏洞<a href="https://www.ithome.com.tw/news/168623">CVE-2025-34028</a>，使得該備份軟體的安全引起外界高度關注。雖然CVE-2025-3928被列為高風險，但已有攻擊行動且似乎仍在發展，後續情形有待觀察。</p> </div></div></div>
2025/5/2 12:17作者周峻佑https://www.ithome.com.tw/news/168723
蘋果警告100國iPhone用戶已遭間諜軟體鎖定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcrunch.com/2025/04/30/apple-notifies-new-victims-of-spyware-attacks-across-the-world/" target="_blank">Techcrunch</a>及<a href="https://www.theguardian.com/world/2025/may/01/second-italian-journalist-allegedly-targeted-with-mercenary-spyware" target="_blank">The Guardian</a>報導，蘋果本周寄發通知，警告100多個國家的iPhone用戶已面臨政府間諜軟體攻擊風險。</p> <p>其中一名用戶為義大利調查新聞媒體<a href="https://www.fanpage.it/" target="_blank">Fanpage</a>記者Ciro Pellegrino，另一個是荷蘭社會運動人士Eva Vlaardingerbroek。蘋果告知偵測到針對用戶iPhone的精準傭兵間諜軟體（mercenary spyware）。蘋果說雖然不是絕對肯定，但對偵測結果有高度信心，請用戶不要掉以輕心。<a href="https://www.fanpage.it/politica/sono-il-secondo-giornalista-di-fanpage-ad-essere-stato-spiato-e-ancora-non-so-da-chi-ne-perche/" target="_blank">Pellegrino引述蘋果表示</a>，該訊息已發送給100個國家受影響的用戶。</p> <p><a href="https://support.apple.com/zh-tw/102174" target="_blank">根據蘋果傭兵間諜軟體威脅通知的說明</a>，用戶是基於其身份或是職業而遭到這類攻擊鎖定。傭兵間諜軟體的攻擊行動成本高達數百萬美元，且複雜度極高，歷來與國家、政府有關，國家可能使用專門業者開發的軟體NSO Group的Pegasus發動攻擊。攻擊對象是極少數個人，通常是記者、社運人士、政治家和外交官。由於此類攻擊多為針對個人發動攻擊，且通常活動期很短，難以偵測和預防。</p> <p>蘋果透過兩種方式通知這些用戶。一是當使用者登入Apple帳號後，頁面最上方會顯示威脅通知，也會傳送電子郵件通知。通知中告知用戶採取這些步驟保護裝置，包括啟用「封閉模式」，並建議用戶尋求專門組織協助，如Access Now的Digital Security Helpline。</p> <p>The Guardian報導，Pellegrino是義大利今年被傭兵間諜軟體鎖定的第6人。<a href="https://www.ithome.com.tw/news/167253" target="_blank">今年二月同家媒體總編Francesco Cancellato也收到WhatsApp通知</a>。Guardian報導，受害者iPhone感染的間諜軟體來自以色列公司Paragon Solutions。其他被傭兵間諜軟體鎖定者還包括援救難民的神父及人權運動人士。</p> </div></div></div>
2025/5/2 12:28作者林妍溱https://www.ithome.com.tw/news/168724
吉隆坡國際機場3月遭遇攻擊，勒索軟體Qilin聲稱是他們所為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>3月25日馬來西亞機場及馬來西亞國家網路安全局（NACSA）<a href="https://www.malaysiaairports.com.my/en/media-centre/news/1562">發布聯合聲明</a>，證實吉隆坡國際機場（KLIA）特定電腦系統於3月23日遭遇網路攻擊。近期有駭客組織出面，宣稱這起事故是他們所為。</p> <p>根據4月28日<a href="https://www.comparitech.com/news/ransomware-gang-says-it-hacked-the-malaysias-kuala-lumpur-international-airport/">科技新聞網站Comparitech的報導</a>，勒索軟體駭客組織<a href="https://www.ithome.com.tw/tags/qilin">Qilin</a>將馬來西亞機場控股公司（Malaysia Airports Holdings Berhad，MAHB）列為受害者，並號稱從中竊得超過2 TB資料並公開。Comparitech提及，駭客偷到的資料，就是來自吉隆坡國際機場，而這是Qilin首度對交通運輸產業下手的情形。</p> <p>附帶一提的是，Comparitech提到MAHB首長曾透露駭客向他們勒索1千萬美元，但MAHB拒絕妥協。</p> <p>資安業者HookPhish也揭露這項消息，指出<a href="https://www.hookphish.com/blog/ransomware-group-qilin-hits-malaysia-airports-holdings-berhad/">駭客於4月25日將MAHB列為受害者</a>。</p> <p>勒索軟體Qilin也被稱為Agenda，約自2022年8月開始活動，以勒索軟體租用服務（Ransomware-as-a-Service）尋求打手上門，通常會藉由網路釣魚攻擊尋找目標。其中近期引起全球關注的事故，是去年6月<a href="https://www.ithome.com.tw/news/163329">攻擊病理學暨診斷服務供應商Synnovis</a>，導致英國倫敦數家醫院被迫中斷部分服務。</p> <p>值得留意的是，Comparitech資安研究團隊發現這些駭客的攻擊範圍有不斷擴大的趨勢，雖然駭客今年聲稱有14個企業組織受害，但他們發現，尚有156家企業組織也疑似遭遇攻擊。</p> </div></div></div>
2025/5/2 11:18作者周峻佑https://www.ithome.com.tw/news/168720
新Microsoft帳戶將預設使用無密碼登入
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟持續推進無密碼（passwordless）登入以降低密碼洩露的資安風險。<a href="https://www.microsoft.com/en-us/security/blog/2025/05/01/pushing-passkeys-forward-microsofts-latest-updates-for-simpler-safer-sign-ins/" target="_blank">微軟昨（1）日宣布</a>未來新增的Microsoft帳戶將預設使用無密碼登入，也會改進介面提高使用簡便性。</p> <p><a href="https://www.ithome.com.tw/news/146743" target="_blank">微軟於2021年9月宣布</a>Microsoft帳號全面支援無密碼登入，甚至提供用戶移除所設密碼，允許用戶以臉部、指紋辨識通行密鑰（Passkey）、Microsoft Authenticator手機App或是USB硬體金鑰登入Microsoft帳號。去年也將通行密鑰登入導入消費性App和服務如Copilot及Xbox。微軟說超過99%的人利用Windows Hello登入Microsoft帳號。</p> <p>為持續推進無密碼登入，微軟宣布從介面上促進無密碼登入的措施。</p> <p>首先，<a href="https://techcommunity.microsoft.com/blog/microsoft-entra-blog/new-user-experience-for-consumer-authentication/3822035" target="_blank">微軟今年三月簡化</a>Microsoft帳號登入流程，登入介面會自動帶入電子郵件信箱，用戶不再輸入密碼，而只需輸入一個一次性的驗證碼。用戶也會被導引新增以Windows Hello註冊臉部或指紋辨識。</p> <p>而為進一步簡化使用體驗，未來新增的Microsoft帳號將預設使用無密碼登入，系統會提供新用戶數種方法選擇。</p> <p>此外，Windows將採無密碼優先的登入提示。系統不會顯示所有可用登入方式，而是會自動偵測最佳方法並設為預設。例如用戶同時有密碼和設定了一次性驗證碼，Windows會提示讓用戶使用後者，而非密碼登入。登入後，Windows系統會再提示用戶註冊通行密鑰，下次用戶再登入時，系統就會提示用戶以通行密鑰登入。微軟實驗可以節省20%的密碼使用，意謂著提高安全性。</p> </div></div></div>
2025/5/2 11:28作者林妍溱https://www.ithome.com.tw/news/168721
微軟公布Phi-4-Reasoning模型系列
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://azure.microsoft.com/en-us/blog/one-year-of-phi-small-language-models-making-big-leaps-in-ai/" target="_blank">微軟昨（1）日公布最新一代小語言模型（SLM）推理版本Phi-4-Reasoning系列</a>，包括Phi-4-reasoning、Phi-4-reasoning-plus和最小的Phi-4-mini-reasoning，強調效能媲美參數量大的模型。微軟預告，新模型之後將會用於支援Copilot+ PC的AI功能。</p> <p>這是微軟自去年4月公布輕量模型<a href="https://www.ithome.com.tw/news/162479" target="_blank">Phi-3</a>後最新進展。Phi-3今年1月推進到<a href="https://www.ithome.com.tw/news/166893" target="_blank">Phi-4</a>，並開源<a href="https://huggingface.co/microsoft/phi-4" target="_blank">140億參數版本</a>。隨後一個月又發表了<a href="https://www.ithome.com.tw/news/167591" target="_blank">Phi-4多模態模型</a>。</p> <p>最新的Phi-4-reasoning為140億參數的開源權重推理模型，是以Phi-4為基礎，利用OpenAI o3-mini示範作為訓練資料，以監督式微調訓練而成。它能有效運用推論時的額外運算資源來生成詳盡的推論串，context length為32k token。而Phi-4-reasoning-plus則是以Phi-4-reasoning為基礎強化學習訓練，比起Phi-4-reasoning，能用更多推論時運算資源，並使用1.5倍的字詞（token）量來提供更準確的回應。</p> <p>微軟說，Phi-4-reasoning運用精心安排的訓練資料和高品質的合成資料集，可展現媲美大模型的效能。根據微軟提供的AIME 25、HMMT Feb 25、OmniMath及GPQA等標竿測試數據，Phi-4-reasoning比起Phi-4明顯進步，而在推理能力如數學、程式、解決演算問題與規劃中，都超越DeepSeek-R1 Distill 70B，而且逼近DeepSeek-R1 671B MoE。同時間，二個模型在AIME 25及GPQA測試略遜o3-mini，但OmniMath測試表現卻雙雙超越。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0502-Phi-4-reasoning-benchmark-%E5%BE%AE%E8%BB%9F.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>Phi-4-reasoning及Phi-4-reasoning-plus在所有項目都超越OpenAI-o1-mini。Phi-4-reasoning家族和DeepSeek-R1 671B MoE相比，則是勝負各半。</p> <p>目前二款模型已在<a href="https://ai.azure.com/explore/models/Phi-4-reasoning/version/1/registry/azureml?tid=72f988bf-86f1-41af-91ab-2d7cd011db47" target="_blank">Azure AI Foundry</a>及<a href="https://huggingface.co/microsoft/Phi-4-reasoning-plus" target="_blank">Hugging Face</a>開放。</p> <p>微軟還公布了Phi-4-mini-reasoning，是一輕巧的transformer-based語言模型，利用DeepSeek-R1模型的合成資料，包括從中學到博士等級數學題目訓練而成，可以說專為數學推理優化。Phi-4-mini-reasoning參數量僅3.84B，支援128k context length，適合教育、教學應用，也能輕易在筆電等邊緣裝置或是行動裝置上執行。雖然規模小巧，但微軟搬出數據顯示，Phi-4-mini-reasoning在常見數學標竿測試超越參數量二倍大的模型如OpenThinker-70B、Bespoke-Stratos-7B、DeepSeek-R1-Distill-Qwen-7B與DeepSeek-R1-Distill-Llama-8B，甚至在Math-500測試中超越OpenAI o1-mini。</p> <p>Phi-4-mini-reasoning也在<a href="https://huggingface.co/microsoft/Phi-4-mini-reasoning/blob/main/Phi-4-Mini-Reasoning.pdf" target="_blank">Azure AI Foundry</a>、<a href="https://aka.ms/phi4-mini-reasoning/hf" target="_blank">Hugging Face</a>上公開。</p> <p>微軟表示，Phi模型已經用於Copilot+ PC上，像是經過為NPU優化的Phi Silica變種已用在支援Click to Do等AI功能。微軟預告，Phi-4-reasoning和mini版都會針對Phi Silica的低位元優化（low-bit optimizations）進行調整，目的是讓它們能夠直接在新一代PC的NPU上執行。這意謂它們不再完全依賴雲端資源，而是能本地運作，提高AI回應的速度與隱私保護。</p> </div></div></div>
2025/5/2 09:53作者林妍溱https://www.ithome.com.tw/news/168717
組織摩擦形成的風險與機會
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/itshu_zhai_-mo_ca_ji_hua_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">先覺出版</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>某個週一早上九點十四分，咖啡都還沒開始發揮作用，一封共一千兩百六十六字的電子郵件（不包括附件的七千兩百六十六字），就出現在我們的收件匣。這是史丹佛大學副教務長發送給兩千多名教職員工的信件，邀請我們在當週週六出席會議，一同集思廣益，為新成立的永續發展學院擬定使命。儘管信裡客氣地說知道大家有多忙，但為了解讀這封信所耗費的時間，仍遠超乎我們的預期。</p> <p>任何曾以員工或客戶的身分跟組織糾纏過的人，應該都曾有某個片刻或某一天、甚至是連續數月或數年，覺得設計和管理這個組織的老大，根本不尊重底下人的時間。在碰到一些似乎存心想逼瘋人，而不是提供我們需要的簡單答案、服務或退款的體制時，很多人也會有同樣的感慨。還有那些讓人度日如年的會議，不但議程不明確，還不知所云地拖上好幾小時。或者你不得不和一些曾經有意義，但現在已經過時、沒意義又沒效率的規則、程序、傳統和技術纏鬥，讓人恨得想揪頭髮。所有這些都是摩擦，會蠶食我們對工作的主動性、投入和熱情。摩擦也會傷害我們的同事和服務的對象，因而損害組織的生產力、創新和聲譽。</p> <p>這是壞消息。好消息是，有很多對策可以減輕摩擦問題造成的損害，進而減少或消除此類麻煩，甚至根本不讓摩擦有冒頭的機會。無論你能影響的是一、兩個人，或是成千上百人，每位領導者都可以成為解決方案的一部分。</p> <p>我們會探討為何與何時這種摩擦是有破壞力或有益的，或是好壞參半。最重要的是，我們會探討如何像摩擦修復師一樣思考和生活，讓正確的事情變得更容易，讓錯誤的事情變得更困難，不讓工作把人壓垮或逼瘋。</p> <p>我們著手研究這項挑戰，想知道是否能為摩擦問題提供一些解決方案。我們對一些苦於摩擦問題的公司進行了案例研究，包括阿斯特捷利康製藥、Uber和捷藍航空等。我們進行並參考其他學術研究，教授了數十門課程和工作坊，開發了摩擦問題的解決方案──包括與亞薩那工作創新實驗室（Asana's Work Innovation Lab）合作開發的「會議重設」工具，用來幫助人消除和改進糟糕的會議。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>好的摩擦不夠多</strong></span></span></p> <p>我們很快就發現，成為「無摩擦組織」的目標是錯誤的。是的，大多數組織的管理者都會製造太多負面摩擦。但許多人也忽略了硬幣的反面，讓員工和顧客太容易做出錯誤的事。我們當然喜歡輕鬆簡單，就像從Lyft或Uber叫車、從 Airbnb訂房或從亞馬遜公司訂購商品。但有時組織應該讓事情變得更難或不可能完成。</p> <p>這正是六歲的布魯克．奈澤爾（Brooke Neitzel）的父母對亞馬遜Echo Dot智慧音箱的感想。布魯克問這個聲控裝置：「Alexa，你可以和我一起玩娃娃屋嗎？能幫我買個娃娃屋嗎？」Alexa這個最無摩擦的裝置，立即確認一筆價值一百六十二美元的KidKraft Sparkle Mansion娃娃屋訂單，第二天就送貨到家。可想而之，布魯克對事件的轉折興奮無比，她宣布自己愛上這位虛擬朋友，她的父母可就沒那麼興奮了。</p> <p>不受約束又過度自信的領導者，如果愛上有缺陷的想法，可能會比布魯克浪費更多錢，因為沒足夠的組織減速阻礙，防止他們將不成熟的創意推向市場。二○一一年，Google共同創辦人謝爾蓋．布林就是這樣，當時他深深著迷於酷炫的Google Glass原型──一款內建攝影鏡頭、麥克風和螢幕的穿戴式智慧眼鏡。結果就是一個用花錢代替思考的經典案例。儘管Glass開發團隊抗議，說它還是一個未完成的原型，但謝爾蓋仍舊大張旗鼓地將它推向市場。根據《紐約時報》報導，在二○一二年的Google開發會議上，「戴著Glass的跳傘運動員降落在禮堂頂部，騎著自行車衝過屋頂進入會議廳後，現場歡聲雷動」。</p> <p>然而，等大眾開始試用這款眼鏡，現實就開始打臉。Glass不斷爆發問題，包括硬體和軟體錯誤、電池壽命過短，還有未解決的隱私問題。技術評論家認為它是「有史以來最糟糕的產品」。如果經過更多的思考和開發，原本可能成為下一個必備設備的Glass，迅速降格成不酷的化身，就連謝爾蓋沒多久也不再戴了。Google將這個產品下架，開發團隊中幾位氣憤尷尬的成員也辭職了。問題不在Glass原型，而是在於組織讓躁進又大權在握的謝爾蓋，太容易在錯誤的時間做錯誤的事情。</p> <p>消除創新過程中過多的摩擦，還存在其他危險。我們曾經聽過一位迪士尼高階主管抱怨，公司在開發樂園的新遊樂設施和新電影上浪費了太多時間和金錢──流程效率極低，需要簡化。然而，根據大量研究指出，要想正確地進行創意工作，團隊需要放慢速度、掙扎並提出大量糟糕的點子，才能找到難得的好點子。在皮克斯共同創辦人艾德．卡特莫爾擔任總裁的三十二年裡，皮克斯製作了一系列熱門電影，包括《玩具總動員》和《超人特攻隊》系列。艾德認為，如果皮克斯聽取這位高階主管的建議，那無異於殺雞取卵。他寫信給我們說：「我們的目標不是效率，而是做出好作品，甚至是偉大的作品。我們迭代七到九次，這個過程中存在摩擦。」</p> <p>組織也應該讓領導者的經營管理更難追趕流行。一家大型保險公司的經理人不堪其擾地告訴我們，他的執行長「愛上每一種當月風格，以及每一位推銷這些風格的顧問」。這位經理人接受過設計思維、精實創業、敏捷管理和數位轉型等方面的培訓，上司希望他能全部用出來。結果他花了太多時間參加培訓課程、工作小組會議，以及與同事一起琢磨「我們的上頭主管想聽到的廢話」，幾乎沒什麼時間做本職工作。這些頂頭上司和謝爾蓋．布林差不多，讓員工太難完成工作。</p> <p>即時通訊軟體Slack和Zoom這類目的在消除摩擦的技術，也讓「不知人間疾苦」的領導者，太容易與同事和客戶進行冗長又彎彎繞繞的溝通，他們沒有意識到或不在意，經由科技輔助下的喋喋不休對同事帶來的負擔。在一些職場，經理人大幅利用科技讓自己的工作變得更輕鬆，卻讓其他人的工作變得更困難。在過去，行政人員幫醫生、律師和科學家處理批准預算、費用和時間表等繁瑣事務，現在他們使用軟體將這些雜務丟回給他們曾經服務的人。亞利桑那州立大學的巴里．博茲曼表示，你我當中有越來越多人陷入這種「機械官僚主義」（robotic bureaucracy）的泥潭──這些電腦生成的無情行政要求，造成「因一千個十分鐘任務而致死」。</p> <p><strong><span style="color:#B22222;"><span style="font-size:28px;">如何像摩擦修復師一樣思考</span></span></strong></p> <p>這項為期七年的計畫讓我們知道，摩擦修復師的基本信念是：如果我們專注於該讓什麼變得更容易和更快，以及該讓什麼變得更困難和更慢，員工和客戶的生活就會變得更美好。此外，如果將注意力轉向尋找摩擦問題出現的時間和地方、了解原因並制定補救措施，那麼我們的組織就會更加人性化和高效創新，也能提高獲利。</p> <p>這種基本信念，也就是讓正確的事情變得更容易、讓錯誤的事情變得更困難的頑強奉獻精神，透過在我們的計畫中浮現並貫穿全書的三個信念而得到強化。這些信念幫助摩擦修復師不沉湎於無益的唉聲嘆氣，而是採取具體行動，並激勵其他人加入他們的使命。第一個信念是：我有責任修復摩擦，你也是。<strong>（本文摘錄整理自《摩擦計畫》，先覺出版提供）</strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%91%A9%E6%93%A6%E8%A8%88%E7%95%AB_600-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%85%88%E8%A6%BA%E5%87%BA%E7%89%88.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源_先覺出版</span></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> 摩擦計畫：史丹佛教授的零內耗管理，讓正確事變簡單、錯誤事變難（The Friction Project）</strong></p> <p>羅伯．蘇頓（Robert I. Sutton）、哈吉．拉奧（Huggy Rao）／著；蔡丹婷／譯</p> <p>先覺出版</p> <p>定價：450元</p> <p> </p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/WEB_author_%E6%91%A9%E6%93%A6%E8%A8%88%E7%95%AB_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%8F%B2%E4%B8%B9%E4%BD%9B%E5%A4%A7%E5%AD%B8.png" style="width: 150px;" /></p> <p><strong>羅伯．蘇頓（Robert I. Sutton）</strong></p> <p>組織心理學家，史丹佛大學管理科學與工程教授，有8本著作。他被美國雜誌《商業2.0》評選為「當代頂尖商業大師」。以敢於「打破常規」而聞名，時常提出「離經叛道」的觀點，引起學術界及管理人士的激辯。<a href="https://stvp.stanford.edu/contributor/bob-sutton/" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源_史丹佛大學</span></span></a></p> <p> </p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/WEB_author-2_%E6%91%A9%E6%93%A6%E8%A8%88%E7%95%AB_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E5%8F%B2%E4%B8%B9%E4%BD%9B%E5%A4%A7%E5%AD%B8.png" style="width: 150px;" /></p> <p><strong>哈吉．拉奧（Huggy Rao）</strong></p> <p>史丹佛大學商學研究所組織行為教授，專長為組織變革。曾獲美國社會學協會「傑出學術成就獎」、西北大學凱洛管理學院「傑出教學獎」。《卓越，可以擴散》共同作者，並著有《市場叛將》（Market Rebels）。<span style="font-size:14px;"><a href="https://www.gsb.stanford.edu/faculty-research/faculty/voices/hayagreeva-rao" target="_blank"><span style="color:#696969;">圖片來源_史丹佛大學</span></a></span></p> </div></div></div>
2025/5/2 10:42未署名https://www.ithome.com.tw/article/168718
AWS首季營收成長17%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ir.aboutamazon.com/news-release/news-release-details/2025/Amazon-com-Announces-First-Quarter-Results/default.aspx" target="_blank">Amazon周四（5/1）公布今年第一季財報</a>，該季Amazon總計創下1,557億美元的整體營收，成長9%。其中，北美電子商務營收為929億美元，成長7.6%，國際電子商務營收為335億美元，成長4.9%，AWS營收為293億美元，成長17%，財報出爐當天，Amazon盤後股價下滑了3.21%，跌至184.1美元。</p> <p>儘管電子商務替Amazon帶來8成以上的營收，但在扣除營業成本及營業費用的營業利潤（Operating Income）中，AWS的表現最佳。該季Amazon的營業利潤為184億美元，成長20%，其中，北美市場占了58億美元，成長16%，國際市場占了10億美元，成長11%，AWS占了115億美元，成長22%。</p> <p>Amazon在該季推出了<a href="https://www.ithome.com.tw/news/167595" target="_blank">付費版的AI助理Alexa+</a>，<a href="https://www.ithome.com.tw/news/168249" target="_blank">發射Project Kuiper首批低軌通訊衛星</a>，也發表了<a href="https://www.ithome.com.tw/news/167637" target="_blank">首款量子晶片原型Ocelot</a>。</p> <p>Amazon在財報中並未提出美國總統川普（Donald Trump）的關稅政策對該公司可能造成的影響，但畢竟Amazon是全球最大的電子商務平臺，有大量的商品來自中國或其它國家，還在去年底推出了<a href="https://www.ithome.com.tw/news/166011" target="_blank">Amazon Haul</a>，企圖對抗來自中國的低價電子商務平臺Temu與Shein。</p> <p>本周即傳出Amazon打算在Amazon Haul的商品中顯示關稅成本，但消息一出美國白宮立即發難，宣稱Amazon的行為是敵對的政治行為，使得Amazon發布聲明，表示這只是一項提議，從未得到批准，也不會發生。</p> <p>然而，根據外電報導，Amazon在財報電話會議中透露，有鑑於關稅的不確定性，他們對第二季的預期並不高。</p> <p>另一方面，Amazon執行長Andy Jassy在<a href="https://s2.q4cdn.com/299287126/files/doc_financials/2025/ar/2024-Shareholder-Letter-Final.pdf" target="_blank">今年4月寫給股東的信件中</a>表示AI很重要，而且需要大量的資本投資，客戶對AWS的需求成長愈快，Amazon所要購買的資料中心、硬體與晶片就愈多，現在該公司AI收入的年成長率已超過3位數，年收入運行率也已達到數十億美元。</p> <p>不過，Jassy認為，AI不應該像現在這麼貴，晶片是最大罪魁禍首，因為迄今為止，大多數的AI都是由同一家晶片供應商（Nvidia）所建構的，而且很昂貴。他相信由Amazon所打造的Trainium應該有所幫助，因為相較於GPU推動的運算實例，新的Trainium 2可提供好上30%~40%的性價比。</p> <p>Amazon在2015年買下了以色列的微電子開發公司Annapurna Labs，Annapurna陸續開發了CPU、ASIC，也在去年11月發表用來訓練AI模型的Trainium 2。其實不只是Amazon企圖擺脫Nvidia，Google也自行設計了Tensor Processing Unit（TPU），現已進展至第六代，<a href="https://www.ithome.com.tw/news/159884" target="_blank">微軟亦有Maia系列的AI加速器</a>。</p> </div></div></div>
2025/5/2 11:13作者陳曉莉https://www.ithome.com.tw/news/168719
蘋果財報出爐，關稅恐將替下一季添增9億美元成本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.apple.com/newsroom/2025/05/apple-reports-second-quarter-results/" target="_blank">蘋果周四（5/1）公布</a>該公司截至3月29日的2025財年第二季財報，該季蘋果創下954億美元的營收，成長5%，每股盈餘為1.65美元，刷新該季歷史紀錄，但受美國總統川普（Donald Trump）關稅政策的影響，蘋果執行長庫克（Tim Cook）估計蘋果下一季將會增加9億美元的成本，使得蘋果公布財報當天的盤後股價下滑了3.78%，跌至205.25美元。</p> <p>蘋果營收成長幅度雖然已經趨緩，但除了穿戴與家用裝置的銷售出現微幅下滑之外，其它的硬體及服務營收都仍維持成長狀態，毛利率亦高達47.05%，然而，川普的關稅政策明顯將衝擊蘋果對未來的展望。</p> <p><a href="https://variety.com/2025/biz/news/apple-earnings-march-2025-tariffs-impact-1236384168/" target="_blank">根據Variety的報導</a>，庫克在財報電話會議上表示，倘若情況不變，川普的關稅政策將讓蘋果今年6月季度的成本增加9億美元，6月季度在美國銷售的iPhone大多數將來自印度，進口到美國的iPad、Mac及其它產品則大多會在越南生產，而中國將會成為非美國市場的蘋果產品最大製造國。</p> <p>但6月以後他就不知道了，庫克坦承，他無法確定關稅會帶來什麼後果。關稅於財報通常會被列在銷售成本中，進而影響毛利，今年3月季度的蘋果毛利為448.7億美元。</p> <p><a href="https://www.cnbc.com/2025/05/01/apple-aapl-earnings-report-q2-2025-.html" target="_blank">庫克亦向CNBC透露</a>，iPhone使用了大量美國本土生產的晶片，蘋果今年計畫從美國購買190億顆晶片。</p> <p><a href="https://www.apple.com/newsroom/pdfs/fy2025-q2/FY25_Q2_Consolidated_Financial_Statements.pdf" target="_blank">在蘋果3月季度的表現中</a>，iPhone營收為468.4億美元，成長1.9%；該季的Mac銷售量為79.5億美元，成長6.7%；iPad銷售量為64億美元，成長15.2%；穿戴與家用裝置的營收為75.2億美元，下滑5%；服務營收達到266.5億美元，成長11.6%。整體而言，蘋果的硬體產品帶進687億美元的營收，僅成長2.7%，服務營收已占蘋果整體營收的28%，且有11.6%的兩位數成長。</p> </div></div></div>
2025/5/2 09:21作者陳曉莉https://www.ithome.com.tw/news/168716
維基百科揭露AI政策，將以AI來輔助而非取代志工
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">維基媒體基金會（Wikimedia Foundation）周三（4/30）<a href="https://wikimediafoundation.org/news/2025/04/30/our-new-ai-strategy-puts-wikipedias-humans-first/" target="_blank">揭露維基百科（Wikipedia）的AI政策</a>，指出維基百科背後的志工社群才是該平臺之所以成功的關鍵因素，這些志工對於知識的關心與投入是AI無法取代的，他們也並不打算以AI來取代由人類策畫的知識，而是要利用AI來輔助這些志工。</p> <p dir="ltr">維基百科成立於2001年1月，當時便邀請全球志工來共同編撰一個開放的百科全書，迄今已吸引4,900萬名全球志工註冊，每個月都進行編輯的活躍志工超過11.8萬，由志工負責維護的內容包括蒐集可靠來源以編輯條目內容，事實查核及引用的管理，審核及巡查是否有誤或遭到破壞，以及建立共識，或是設計資訊框及導航工具等。</p> <p dir="ltr">維基媒體基金會則是2003年才成立的非營利機構，負責支援與維護維基百科或其它專案，主要提供財務、法律及技術上的支援。</p> <p dir="ltr">該基金會表示，自從AI風行以來，一直有人詢問他們什麼時候要以AI來取代維基百科上以人工來整理的知識，然而，他們並不打算這麼做。</p> <p dir="ltr">該基金會認為，志工對知識的關心與投入是AI無法取代的，反之，他們將利用AI來建議一些可移除技術障礙的功能，讓志工能夠將寶貴的時間應用在想完成的任務上，推動志工的發展。</p> <p dir="ltr">主要的投資將聚焦在生成式AI所擅長的領域，像是利用AI來協助版主及巡查員的任務，自動執行繁瑣工作；藉由AI來提高維基百科上資訊的可發現性，讓志工更有時間來審核、判斷與建立共識；透過對自動翻譯及本土化的AI支援，以協助志工來分享當地的觀點或背景；以及利用AI的引導與教學，來加速新手志工的培訓流程。</p> <p dir="ltr">總之，維基媒體基金會將採用以人為中心的作法，優先考慮人類的主導權，也會優先採用開源或是開放權重的AI技術，同時重視透明性，亦將以更細緻、更具彈性的方式來處理維基百科的多語言特性。</p> </div></div></div>
2025/5/1 17:44作者陳曉莉https://www.ithome.com.tw/news/168713
駭客論壇BreachForums因使用舊版軟體元件遭駭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">知名駭客論壇BreachForums上周遭到不明人士駭入下線，原因是用了有漏洞的舊版軟體。</p> <p dir="ltr">BreachForums是許多駭客公告或兜售駭得的企業重要資料或程式碼的地下論壇。4月15日BreachForums突然關閉，引發可能遭到警方查緝及管理員被捕等傳言。其創辦者為代號Pompompurin的Conor Brian Fitzpatrick，他在2021年駭入美國聯邦調查局（FBI）郵件系統偽冒信件聞名。Fitzpatrick 2022年創立的BreachForums成為英語世界最大的地下論壇，成員高達34萬。<a href="https://www.justice.gov/archives/opa/pr/justice-department-announces-arrest-founder-one-world-s-largest-hacker-forums-and-disruption" target="_blank">2023年他在美國政府查緝行動中被捕後</a>，BreachForums管理權伴隨網站被當局查封而幾經易主。</p> <p dir="ltr">根據<a href="https://cybernews.com/cybercrime/breachforums-zero-day-attack-unpatched-software-new-admin/" target="_blank">Cybernews</a>和<a href="https://securityaffairs.com/177146/hacking/the-turmoil-following-breachforums-shutdown-confusion-risks-and-a-new-beginning.html" target="_blank">SecurityAffairs</a>報導，BreachForums在今年4月15日前後遭遇安全事故斷線，當時的管理員Anastasia試圖重啟失敗。4月29日一名代號Momondo的成員發文宣稱是最新管理員，並解釋斷線原因。</p> <p dir="ltr">他表示BreachForums因為底層軟體MyBB為有漏洞的過期版本，出現了PHP零時差漏洞，由於未能安裝最新版，可能遭到第三方組織或是執法機關存取。</p> <p dir="ltr">FBI並未說明是否策劃了這次攻擊。<a href="https://cyberint.com/blog/research/fbi-strikes-again-breachforums-seized/" target="_blank">2024年5月FBI再度出手查封了</a>由第二代管理員Blaphomet主持的BreachForums。隨後接手的ShinyHunters及USDoD後來也雙雙失聯。報導指出，在4月BreachForums安全事件中，第三代管理員Anastasia聲稱兩人被捕，因此他決定結束論壇，並將該站資料庫及原始碼以2,000美元出售。</p> <p dir="ltr">最新接手的Momondo自稱是Pompompurin創始團隊的成員，他另一篇貼文說明和Anastasia沒有合作關係。Momodo強調沒有管理成員被捕，BreachForums基礎架構完整性也沒有被破壞。他公開募款欲振興該論壇，並說將強化BreachForums的安全及透明度，以「貫徹團結社群的使命。」</p> </div></div></div>
2025/5/1 17:48作者林妍溱https://www.ithome.com.tw/news/168714
Meta開源多項Llama安全護欄工具防範AI越獄、提示注入、不安全外掛
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr"><a href="https://ai.meta.com/blog/ai-defenders-program-llama-protection-tools/" target="_blank">Meta本周公開了Llama模型安全工具</a>，以防範Llama模型越獄、提示注入攻擊，此外也發表SOC AI安全評估工具、以及供企業防止資料外洩、與deepfake詐騙的檢測工具。</p> <p dir="ltr"><a href="https://www.llama.com/llama-protections/" target="_blank">最新的LlamaFirewall是LLM護欄工具</a>，它作用於使用者和LLM模型、以及模型與代理人之間，可與Meta的防護模型像是Llama Guard、Prompt Guard，以及和CodeShield過濾工具、掃瞄工具協同，以偵測並防止提示注入、不安全程式碼，或是和可疑的LLM外掛互動。</p> <p dir="ltr"><a href="https://github.com/huggingface/blog/blob/main/llama-guard-4.md" target="_blank">Llama Guard 4</a>為可客製化Llama Guard模型的最新版，為120億參數的多模態安全模型，能理解多模態包括文字和圖片輸入。Guard 4並提供多個模型檢查點及互動式notebook方便用戶微調。</p> <p dir="ltr">Meta並提供2個Prompt Guard 2指令安全模型。Prompt Guard 2 86M為Prompt Guard分類器模型的最新版，提高了越獄及指示注入的偵測能力。Prompt Guard 2 22M則為輕巧版，聲稱較86M版降低75%延遲性及運算需求。如同Prompt Guard，新模型都可支援非英語的提示輸入檢查。</p> <p dir="ltr">上述安全工具已於<a href="https://www.llama.com/llama-protections/" target="_blank">Llama Protections</a>網站、<a href="https://huggingface.co/meta-llama" target="_blank">Hugging Face</a>及<a href="https://github.com/meta-llama/PurpleLlama" target="_blank">GitHub</a>向社群公開。</p> <p dir="ltr">除了Llama護欄工具，Meta也發表開源安全評估套件<a href="https://github.com/meta-llama/PurpleLlama/tree/main/CybersecurityBenchmarks/benchmark" target="_blank">CyberSec Eval 4</a>二項工具。一為Meta和CrowdStrike合作開發，以量測安全監控中心（SOC）AI效能的CyberSOC Eval框架，本工具很快會公開。第二則是AutoPatchBench，用以評估Llama和其他AI系統自動修補安全漏洞的能力。</p> <p dir="ltr">Meta另外透過Llama Defender方案，將二項安全工具分享給特定合作夥伴。一為Automated Sensitive Doc Classification Tool，可分類、標籤內部重要文件，防止員工無授權存取或散布，目前已可<a href="https://github.com/meta-llama/PurpleLlama/tree/main/SensitiveDocClassification" target="_blank">在GitHub下載</a>。二是Llama Generated Audio Detector & Llama Audio Watermark Detector，可偵測文件或照片是否為AI生成，防止詐騙或釣魚，本工具已提供給ZenDesk、Bell Canada及AT&T整合於其系統中。<a href="https://www.llama.com/llama-protections/ai-defenders" target="_blank">其他企業也可申請加入</a>。</p> <p dir="ltr">最後，Meta為WhatsApp也展示了名為<a href="https://engineering.fb.com/2025/04/29/security/whatsapp-private-processing-ai-tools/" target="_blank">Private Processing的工具</a>。該工具和Meta AI一樣能協助摘錄未讀訊息、或是潤飾信件，但它能確保隱私，連Meta或WhatsApp都無法存取。不過該工具目前仍由Meta和安全專家合作改善中，日後才會正式推出。</p> </div></div></div>
2025/5/1 18:12作者林妍溱https://www.ithome.com.tw/news/168715
Meta首季營收成長16%，Threads用戶數衝上3.5億
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr"><a href="https://investor.atmeta.com/investor-news/press-release-details/2025/Meta-Reports-First-Quarter-2025-Results/default.aspx" target="_blank">Meta周三（4/30）公布今年第一季財報</a>，顯示該季創下423億美元的營收，成長16%，淨收入（Net Income）達到166億美元，成長了35%，當天Meta的盤後股價大漲5.36%，為578.45美元。</p> <p dir="ltr"><a href="https://s21.q4cdn.com/399680738/files/doc_financials/2025/q1/Earnings-Presentation-Q1-2025-FINAL.pdf" target="_blank">從Meta公布的營收簡報來看</a>，程式家族（Family of Apps）的收入為419億美元，高於去年同期的360億美元，其營業利潤（Operating Income）是218億美元，也高於去年同期的177億美元；而Reality Labs首季的收入則是4.1億美元，低於去年同期的4.4億美元，虧損了42.1億美元，高於去年同期38.5億美元的虧損。</p> <p dir="ltr">迄今Meta的程式家族用戶還在成長當中，但成長已明顯趨緩，例如今年首季的每日用戶數為34.3億，僅略勝去年同期的32.4億及上一季的33.5億。</p> <p dir="ltr"><a href="https://siliconangle.com/2025/04/30/meta-platforms-crushes-wall-streets-earnings-revenue-targets/" target="_blank">而根據SiliconANGLE報導</a>，Meta創辦人暨執行長祖克柏（Mark Zuckerberg）於財報會議上揭露，用來與X較勁的Threads每月用戶數已從今年1月的3.2億成長3.5億；Meta AI數位助理的每月用戶數也從今年1月的7億人增加到10億人，而且Meta AI也在日前成為獨立程式。</p> <p dir="ltr">Meta已開始於Threads上展開廣告服務，亦打算在Meta AI整合廣告服務或是推出具備進階功能的付費訂閱服務。</p> <p dir="ltr">目前Meta主要的市場為北美，第一季替該公司帶進186億美元的營收，居次的是歐洲的96.8億美元，未包含中國市場的亞太地區以84.4億美元排名第三，而祖克柏也從不遮掩對中國市場的企圖心。</p> </div></div></div>
2025/5/1 16:46作者陳曉莉https://www.ithome.com.tw/news/168711
Google Gemini可幫你修圖學習新語言
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">Google昨（30）日<a href="https://blog.google/products/gemini/image-editing/" target="_blank">宣布Gemini圖片編輯功能</a>，以及正在實驗中的語言學習功能。</p> <p dir="ltr">Google今年稍早<a href="https://developers.googleblog.com/en/experiment-with-gemini-20-flash-native-image-generation/" target="_blank">在Al Studio上架</a>圖片編輯功能，現在將之推向Gemini聊天機器人。</p> <p dir="ltr">這項功能可以編修AI生成，或是使用者從相片或電腦上傳的相片。Gemini可為圖片變更背景、更換物件或添加某些元素，例如為相片人物變更髮色。</p> <p dir="ltr">配合圖片編輯功能上線，Gemini可具備多步驟編輯功能，可提供文、圖整合的結果，例如使用者可要求Gemini生成關於龍的床邊故事，先給出草稿，再隨著故事進行添加圖片。</p> <p dir="ltr">另外，Google正在<a href="https://labs.google/" target="_blank">實驗三項AI語言學習功能</a>，未來可能會整合到Gemini。第一項是Tiny Lesson，使用者可在Gemini輸入一些情境，例如「我掉了護照，正在尋找中」，Gemini就提供適合情境的字彙和文法，或是建議其他用詞，例如報警等。第二項是Slang Hang，可經由Gemini提供更口語化的字彙，可以更貼近母語者的用法。第三項實驗功能為WordCam，利用Gemini的視覺辨識能力，用戶拍攝周遭環境，Gemini即偵測並以你正在學習的語言標出物件名稱。</p> <p dir="ltr">三項實驗功能皆已經開放臺灣用戶公測，也支援繁體中文。有興趣的用戶可以到<a href="https://labs.google/lll/en/" target="_blank">Google Labs</a>以Google帳號登入測試。</p> </div></div></div>
2025/5/1 17:19作者林妍溱https://www.ithome.com.tw/news/168712
GCC 15.1採用C23為預設標準，同步納入Rust與COBOL支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://gcc.gnu.org/gcc-15/changes.html">GCC（GNU Compiler Collection）正式推出15.1版本</a>，這是該專案近年來涵蓋面向最廣的一次重大更新，不僅更換C語言的預設標準，也正式將Rust與COBOL納入支援，呈現出GCC從傳統C編譯器轉型為多語言編譯核心的發展方向。對開發者而言，GCC 15.1在語言相容性、靜態分析能力與平台支援上的全面強化，提供更現代化、多元且可擴充的開發環境選擇。</p> <p>GCC 15.1是GCC 15系列的第一個穩定版本。針對C語言，預設語言標準由gnu17切換為gnu23，開發者如果未在建構參數中明確指定，將自動採用C23語法與編譯規則。C23標準導入多項語言現代化設計，如#embed指令、命名迴圈、位元操作內建函式與型別診斷改善，GCC也同步改進錯誤訊息，提供具修正建議的提示，協助開發者加速轉換。</p> <p>在語言支援上，GCC此次新增對Rust與COBOL的原生支援。Rust前端gccrs已能正確處理Rust 1.49語法與標準函式庫，包括for迴圈、錯誤傳遞運算子、let-else、索引與自動解參照（Dereferencing），並已成功編譯完整的core與alloc模組。雖然尚未支援較新的語法與完整std函式庫，但此進展已足以涵蓋基礎系統程式設計需求，進一步替GCC納入Linux核心子系統中的Rust元件鋪路。至於COBOL，新引入的gcobol編譯器遵循ISO/IEC 1989:2023標準，在x86-64與AArch64架構上可通過大部分測試項目，企業可善用於維運老舊系統。</p> <p>診斷與分析能力提升也是GCC 15.1的一大重點。-fanalyzer分析器經過多項強化，不僅能顯示多步驟控制流程，還能透過表情符號與ASCII圖形標示錯誤節點，有助於視覺化追蹤錯誤。此外，GCC進一步支援SARIF診斷格式，開發者可輸出結構化JSON結果供其他工具分析，提升於CI/CD或DevSecOps流程中的可整合性。</p> <p>硬體架構與最佳化方面，該版本對AArch64新增多款CPU支援，包括Apple M1/M2/M3、Qualcomm Oryon與Nvidia Grace，並針對SVE與SME指令集進行自動最佳化處理。x86-64則引入AVX10.2、AMX-FP8與MOVRS等新一代指令集，GCC也在此版本中淘汰對Xeon Phi平臺的支援。標準C++函式庫libstdc++同步引入C++23與部分C++26草案功能，例如flat_map、views::concat與constexpr排序演算法等，並新增針對std::format的編碼與格式化支援。</p> </div></div></div>
2025/5/1 15:37作者李建興https://www.ithome.com.tw/news/168706
微軟財報出爐，雲端服務成長33%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr"><a href="https://www.microsoft.com/en-us/Investor/earnings/FY-2025-Q3/press-release-webcast" target="_blank">微軟周三（4/30）公布</a>截至今年3月31日的2025財年第三季財報，顯示該季創下701億美元營收，成長13%，淨收入（Net Income）為258億美元，成長18%，由於不管是營收或獲利都超越華爾街分析師的期待，使得當天微軟的盤後股價上漲了6.93%，達422.66美元。</p> <p dir="ltr">微軟執行長Satya Nadella表示，雲端運算與AI是每一家企業擴大產出、降低成本與加速成長的關鍵要素，因此，微軟從AI的基礎設施、平臺到應用程式，正在整個技術堆疊上持續創新，以滿足客戶的需求。</p> <p dir="ltr">若以部門營收來看，生產力與業務流程（Productivity and Business Processes）締造299億美元的營收，成長10%；智慧雲端（Intelligent Cloud）創下268億美元的營收，成長21%；更多個人運算（More Personal Computing）占了134億美元，成長6%。</p> <p dir="ltr">在微軟特定產品及服務類別的成長幅度中，成長最快的是Azure與其它雲端服務，成長幅度達33%，居次的是伺服器產品及雲端服務的22%，Microsoft Cloud以20%的成長幅度排名第三，Microsoft 365相關服務也都有兩位數成長，顯示雲端收入已經成為微軟的成長支柱。</p> <p dir="ltr">微軟財務長Amy Hood則說，該季Microsoft Cloud成長20%，創下了424億美元的營收，主要是受惠於市場對於微軟所提供的差異化產品的需求。</p> <p dir="ltr">Microsoft Cloud主要提供企業等級的雲端服務，涵蓋了公有雲平臺Azure、雲端生產力工具Microsoft 365、客戶關係管理暨企業資源規畫平臺Dynamics 365、商業智慧平臺Power Platform，以及GitHub Copilot與Microsoft Copilot等，換句話說，這些由雲端支援的企業服務已占了微軟總營收的6成比重。</p> <p dir="ltr"><a href="https://view.officeapps.live.com/op/view.aspx?src=https://microsoft.com/en-us/investor/earnings/FY-2025-Q3/Document/DownloadDocument/57/OutlookFY25Q3.pptx" target="_blank">至於微軟對下一季的展望</a>，除了預期更多個人運算類別的營收會下滑之外，相信智慧雲端的成長將超過3成，生產力與業務流程也會有14%的成長幅度，有著樂觀的預期。</p> </div></div></div>
2025/5/1 15:49作者陳曉莉https://www.ithome.com.tw/news/168710
【臺灣資安大會直擊】了解攻擊者可能如何構思侵入行動，勿打造友善駭客的環境
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>做好資安防護既要瞻前也要顧後，但是，想面面俱到已經越來越困難，於是，我們通常會根據風險程度的高低，決定處理的優先順序，也希望能持續提升各種IT與OT環境運作狀態的能見度，以及促成更多資安合作、強化網路威脅情資的交流，盡可能減少防護盲點，然而，還有什麼原則是我們不能忽略的？</p> <p>《孫子兵法》〈謀攻篇〉有云：「知彼知己，百戰不殆；不知彼而知己，一勝一負；不知彼，不知己，每戰必敗。」掌握網路威脅情資正是實現「知彼」的關鍵，但除了被列為入侵概念模型<a href="https://www.ithome.com.tw/news/108022">痛苦金字塔</a>難度最高的「戰略、戰術、程序（TTP）」，培養「駭客思維（The Hacker Mindset）」，懂得「從駭客的角度思考（Think Like a Hacker）」也是許多資安專家不斷向大家呼籲要重視的議題！</p> <p>在2025臺灣資安大會期間，自由資安顧問PD Lee的演講透過多個實例呈現這個思維的必要性，他開出的題目相當別開生面，而且意思簡單直接，就叫做「我打你應該，不打你悲哀」，當中點出兩個重點。</p> <p>首先，是深化「知己」的面向。他提醒大家注意：「駭客想的和你不一樣」對於防守方而言，需要更廣泛地瞭解本身暴露的資安弱點，因為這些對於攻擊者昭然若揭的缺失，應該會讓攻擊者覺得「應該要出手教訓一下，不趁機撈點什麼好處，恐怕對不起自己」，PD在這裡談到的例子，並不只是見諸媒體報導的各種已知與未知的產品資安漏洞，還包括新興科技帶來的影響，以及產品與服務供應端無法明顯察覺、卻暴露在使用者面前的各種存取漏洞。</p> <p>第二個議題，則是深化「知彼」的面向。處於網路威脅層出不窮，很多人都厭倦只能等著挨打、善後，想反擊卻又怕遭到報復，於是，我們都想知道<a href="https://www.ithome.com.tw/news/168709">「攻擊是最好的防守嗎？」對此，PD說明他採取的反制方式，</a>是將攻擊者的滲透活動轉為可控狀態。</p> <p>當防守方察覺自身環境遭到滲透，除了依循傳統資安事件處理流程，他認為，還能運用一些方法掌控入侵者的攻擊步調，例如，靈活收集、分析與掌握各種攻擊情報、瞭解對方C2攻擊網路的布局，進行諜對諜的臥底與反監控，並且接管攻擊中繼站、反滲透至對方儲存攻擊工具與受害者大量機敏資料的網站系統，如此一來，可提前一步做好防禦、中斷C2攻擊網路，甚至有機會逮到潛入組織內部負責裡應外合的惡意人士。</p> <h3><strong><span style="color:#0000FF;">瞭解駭客思維，才能更有效對抗駭客</span></strong></h3> <p>想要扭轉資安攻守不對稱的劣勢，不能只靠事中的行為監測與事後的應變、追緝，PD引用周星馳電影《九品芝麻官》的經典臺詞：「貪官要奸，清官要比貪官更奸！」提出另類解讀，他說：「駭客黑，IT要比駭客更黑！這樣你才有辦法跟駭客打架。」</p> <p>了解駭客思維有哪些好處？</p> <p>首先，可以跟上駭客的腳步。</p> <p>身處企業單位，資安人員通常是以法規遵循跟制度規範為主，但法律標準的調整，通常都要經過嚴謹的審核機制，所以往往會落後攻擊實務好幾年，因此，不能單靠這些防範，當我們了解駭客思路之後，就可以避免另一《九品芝麻官》經典台詞「拿明朝的劍斬清朝的官」，用守舊的防禦策略來阻擋駭客最新攻擊。</p> <p>另一個我們能建立的防禦優勢，就是避免在資通訊系統當中，實作「友善駭客（Hacker Friendly）」的危險設計。有時企業會開發或研發一些新的產品或服務，此時如果能在過程中，導入駭客思維，就可以避免設計出讓駭客產生攻擊慾望的系統。</p> <h3><span style="color:#0000FF;"><strong>新科技大大模糊個人隱私與機密資料保護界線，防禦規則要與時俱進</strong></span></h3> <p>所謂的「Hacker Friendly」是指什麼？大家可能先想到的是AI，這幾年的臺灣資安大會就有多場演講談及此事，因為新技術可用在增進工作效率，也可以大大增加駭客的攻擊效率，但PD提出的狀況是近期曾引發討論但後續沒引發重視的例子。</p> <p>首先，是智慧型眼鏡，PD表示，AI太紅了，所以大家比較少提到這類裝置帶來的威脅。</p> <p>事實上，相關爭議近期就在臺灣上演。去年12月20日有議員到檢調單位應訊作證，23日被網紅從新聞影片抓包他當時進入檢調單位，已戴上可錄影錄音的智慧眼鏡，隨即引發大眾關注，議員當天向媒體回應表示，智慧眼鏡只在接受媒體採訪時配戴，審訊過程沒使用，24日檢察官為此分案偵辦，到了今年4月21日，地檢署正式傳喚議員說明。</p> <p>PD的演講並未提到上述爭議，而是解釋幾種實際應用方式，說明智慧眼鏡導致的隱私與機密外洩風險。</p> <p>以雷朋的Meta智慧眼鏡為例，當使用者透過智慧眼鏡拍照側錄現場畫面時，智慧眼鏡邊框的拍攝指示燈會啟用，但其實是有方法能讓燈不亮，網路上可以找到很多破解拍攝亮燈的方式，而在這樣旁人不知不覺的情況下，相關的影像和聲音就會被智慧眼鏡擷取下來、再轉存至智慧型手機。</p> <p>為了驗證其可行性，PD表示，他演講前一天特別到大巨蛋觀看棒球比賽，在所謂的髮香區（啦啦隊應園區），透過智慧眼鏡擷取啦啦隊女孩的表演畫面。當然，透過智慧型手機或相機就能達到同樣目的，他刻意用智慧眼鏡做這件事的意義，一方面是為了吸引聽眾們反思，一方面則要帶出「肩窺（Shoulder Surfing）」議題，PD認為，智慧眼鏡真正可怕之處，在於肩窺的再利用。</p> <p><a href="https://s4.itho.me/sites/default/files/images/PD Lee-2025-04-20-Hacker friendly.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PD%20Lee-2025-04-20-Hacker%20friendly.jpg" style="width: 600px;" /></a></p> <p>在智慧眼鏡這類應用尚未真正浮上檯面之前，肩窺一般是指一人透過肉眼在另一個人背後偷窺，以便看到他電腦或手機正在輸入或顯示的登入密碼、簡易個資，然而，有了智慧眼鏡的幫忙，等於不再受限個人眼力，可看到與記錄更多資訊。PD舉出幾種現實生活的肩窺再利用場景，請大家想想其危險程度。</p> <p>第一個例子，是消費者手機第三方支付App程式顯示的QR code。若一群人在連鎖量販超市排隊結帳時，隊伍前面的顧客打開支付App，後面的顧客透過智慧眼鏡可以拍下QR code，然後以此立即進行線上購物，就能得逞。</p> <p>另一個例子則是發生在大型活動或展覽。例如，在資安大會期間，不可避免地，很多廠商人員會在現場操作手邊的電腦處理工作，過程中可能開啟公司機密或敏感檔案，有的人不以為意，認為路人經過、對電腦顯示器看一眼，不會有什麼事，然而，若透過智慧眼鏡，可能都得以拍攝到這些內容。</p> <p>第三個例子是證照考試，當我們進到考場應試，透過智慧眼鏡，就能將考試題目全部拍攝下來，甚至遇到無法回答的問題，還能就近問AI請它幫忙解答，但目前各種考場都沒有相關的限制跟規範。</p> <p>對此，PD呼籲防禦策略也要跟著新技術的發展而修正、進化，才能夠有效防禦駭客攻擊。</p> <p>除了上述PD口中說明的例子，他當天演講的過程當中，其實也悄悄展示此類威脅，因為那時他特別戴上雷朋的Meta智慧眼鏡，一邊進行演講，會後他把臺下大家聆聽的現場狀況拍下來、貼在自己的臉書頁面，這時我們才意識到除了聽眾狂拍講者的簡報與神情，原來自己也被講者拍了，認識PD、當天在現場聽演講的人，可能還會想到PD為何突然戴上一副厚框眼鏡，原來是有這層用意。</p> <h3><span style="color:#0000FF;"><strong>日常生活常見的友善駭客設計</strong></span></h3> <p>除了AI或智慧眼鏡這類仍在發展的新興科技，我們都知道現有的IT系統與服務，都可能存在各種影響資安的瑕疵，其中，又以軟體或應用程式的漏洞為最大宗，目前已在大眾與科技媒體的持續追蹤報導之下，能見度與受到重視的程度越來越高，但是，還有一些更隱而未現的資安危機，需要大家投入更大關注，PD在這場演講點出兩個議題。</p> <p><strong><span style="color:#FF0000;">業務邏輯漏洞</span></strong></p> <p>基本上，一般資安漏洞的成因，往往與技術處理方式不良有關，像是程式碼、程式庫、記憶體的錯誤處理或缺陷，以及組態設定不當，能明顯呈現不正常操作的問題，而且，大多能透過工具掃描、偵測，即可找出這類漏洞，例如，常見的SQL Injection、遠端程式碼執行（RCE）、跨網站指令碼執行（XSS）。</p> <p>除此之外，還有另一種非技術取向的業務邏輯漏洞（Business Logic Vulnerability）發生在流程設計、業務邏輯、操作流程，操作看似正常，偵測問題的難度較高，可能需要人為介入、進行判斷，以電子商務網站應用為例，商品價格、折扣的教義處理過程，未進行一致性與正確性驗證，此漏洞有可能遭到有心人士的操弄或濫用，導致重大商業損失。</p> <p>PD對此提出兩個常見且易懂的例子，第一個與個資的有限度公開揭露有關。北部有個地下水利防洪設施的線上預約參訪系統，民眾完成登記後，可檢視預約名單，雖然當中的個資套用去識別化的處理（將預計參觀者姓名中間的字取代為*），然而，若預約參觀民眾的姓名只有兩個字，就會直接暴露出來，顯然資料遮罩規則的邏輯沒妥善處理這種情況。PD表示，目前該系統已經移除這項功能，上述姓名資料遮罩不全的例外狀況也跟著解除。事實上，這是常見的邏輯漏洞，而且是IT技術人員容易忽略、使用者卻能清楚察覺個資保護不夠完善的問題。</p> <p><span style="color:#FF0000;"><strong>短網址</strong></span></p> <p>人們透過網路交換各種資訊時，除了透過電子郵件夾帶各種檔案，也常透過網址連結的提供，以便對方能以此開啟頁面或下載檔案，然而，網址的基本組成要素：網域名稱可能很長，再加上頁面路徑與各種參數，使得大家更樂於使用短網址（Shorten URL），然而，這類網址雖然簡單、易於輸入與記憶，但也遮蔽許多重要資訊，影響資安過濾機制與人為判斷能力。</p> <p>PD在這次資安大會談到的另一種現象，那就是同家公司的短網址網域名稱不一致，可能使得用戶無法判斷這些短網址是否由該廠商發出。</p> <p>他舉出的例子是國內某家電信業者的短網址簡訊，發話端電話號碼開頭確實是該公司專屬短碼，但奇怪的是，簡訊列出的短網址網域名稱並未統一，而是有好幾種，例如ABC是業者公司名稱的縮寫，但他們對用戶宣導此事的簡訊，列出短網址網域名稱有abc5g.co、abc5g.com、abc.tw，但後續卻有另一通簡訊的短網址，網域名稱是abc.my，令人摸不著頭緒。PD批評，一般人可能連廠商網站的網域名稱都無法記住，業者這麼做將導致大家需要多記住幾個網域名稱，如果有好幾家電信公司都如此，民眾等於要同時記住十幾個網域名稱。</p> <p><a href="https://s4.itho.me/sites/default/files/images/PD-shorten URL1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PD-shorten%20URL1.jpg" style="width: 300px;" /></a></p> <p>為了突顯這個問題是否造成大家的混淆，PD在他的簡報特別列出6個網域名稱，考考所有聽眾哪一個是該公司官方短網址的網域名稱，但這些能令人聯想到該公司名稱的網域名稱組合，其實都不是。PD先前也曾就此情況聯繫該公司客服專線，結果對方也搞不清楚公司短網址的網域名稱到底有多少，經過多方聯繫處理之後，才確認這些簡訊是該公司所發出的。</p> <p><a href="https://s4.itho.me/sites/default/files/images/PD-shorten URL2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PD-shorten%20URL2.jpg" style="width: 500px;" /></a></p> <p>除了網域名稱，短網址另一個更多人可能沒想過的資安危機，是網域名稱後面連接的一連串英文、數字與符號組成。PD認為，真正可怕的是這個部分，他舉出的例子是要保書，當我們進行線上投保或網路購物索取商品相關保險時，需要下載與回傳要保單，通常業者會將帶有檔案下載短網址的簡訊傳送至消費者手機，之後完成簽署、回傳，而這些短網址後半段的文數字描述其實也是一種網址路徑，但有了這些資訊，有心人士可運用暴力破解的方式，從中找到大量可下載的合約文件。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PD-shorten%20URL3.jpg" style="width: 600px;" /></p> <p>PD開玩笑地說，有時會因此找到一些奇怪的東西，像是會員禮或兌換券，可換咖啡或蛋捲冰淇淋，但更可怕的是，能夠下載業者提供給消費者的正式文件，雖然這些文件本身加上密碼，但許多業者大多以消費者的身分證字號，作為文件開啟的密碼，所以，還是能夠透過暴力破解的方式，針對這些下載至電腦的離線文件檔案，找到可開啟內容的密碼。因此，攻擊者是可以經由上述方式，拿到上萬份、幾十萬份的合約跟機密文件。</p> <p>諷刺的是，這些正式文件下載的網址，為了提升自我保護，避免被找出網址組成的共通模式，進而被預測到其他文件下載的網址，通常會加一堆參數跟UID，使得網址描述變得很長，但為了讓消費者方便存取文件，卻把下載的網址縮得很短，導致網址內容組成容易預測，等於前功盡棄、白白做工，他不禁想問：負責這部分處理的人到底在忙些什麼？</p> <p>總結智慧眼鏡、邏輯漏洞、短網址等問題，PD請大家想想看：當我們設計產品與機制時，如果沒考慮到駭客思維，就有可能設計出有問題的系統，更可怕的是，類似讓使用者能間接下載大量機密文件的方式，很多單位都有這類狀況。</p> <p>要減少上述問題的發生，需要事前預防、事中察覺，以及事後修復，去年PD曾跟相關單位提供這些資訊，所以目前在金融資訊的處理上，此類弱點應該已經減少，或搭配其他強化安全性的方式，例如，當瀏覽器開啟短網址跳轉時，會需要輸入帳號密碼以驗證身分，接下來，才可以得到一些資訊，但他相信一定還有很多的漏網之魚還沒有查到，他呼籲大家如果各位發現這種狀況，記得回報一下這些相關單位，請他們不要再用這種方式讓使用者去下載機密文件。</p> </div></div></div>
2025/5/1 12:28作者李宗翰https://www.ithome.com.tw/news/168708
【臺灣資安大會直擊】先下手為強的另一種資安左移策略！掌握可能遭攻擊的先機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>除了積極鞏固防線，盡可能不要犯錯，以免增加入侵者的可乘之機，許多人可能也會想到能否反擊？使對方更不敢輕易越雷池一步！但也擔心因此激怒對方而發起更劇烈、更難以招架的報復行動，而得不償失。過往我們知道的資安反制手段是<a href="https://www.ithome.com.tw/tags/deception">欺敵（Deception）</a>，設下陷阱進行誘捕，進而獲得主動防禦能力，自由資安顧問PD Lee的演講在2025臺灣資安大會，也針對這項議題進行探討，他說明一種更進階、危險性也更高的作法，他稱之為「逆襲中繼站」，透過他實務操作的經驗，為大家提供不同的防守思路。</p> <p>首先，他特別警告，若要採取這樣的作法，千萬不要透過自家辦公室的網路環境進行反擊，因為攻擊者一旦發現有受害者從他們原本鎖定的網路環境反擊，有可能會對這個網路發動報復行動，例如DDoS攻擊，然而，CDN或網路流量清洗的防禦服務，可能需要滿足一些條件，才能幫忙緩解辦公室的網路環境所面臨的大規模網路流量。</p> <p>實務上，要如何進行「逆襲中繼站」？PD表示，在傳統資安事件處理流程當中，當他察覺遭到攻擊，會開始分析樣本、找出C2中繼站、封鎖C2，接著將樣本提交給防毒軟體廠商或資安廠商，並且清查所有受影響的設備跟主機，設法恢復運作，之後執行安全評估，了解該實施的補強，避免駭客再次用同樣的方式打進來。</p> <p>但是，在過程中，PD還會再做一件事情：試著「打回去」，一旦成功，會接管攻擊者部署的中繼站，若運氣好，還能進入對方的「兵器庫（駭客存放攻擊工具的地方）」，找到後，能每天分析攻擊者上架的各種工具樣本。因此，當攻擊者對他負責的單位發動實際攻擊之前，就能夠先擋下來；在防守方完成上述「超前部署」，攻擊者發動攻勢之後，會出現看似成功部署、資料卻一直無法回傳。PD說，這可能讓對方打到懷疑人生。</p> <p>在某些情境下，上述做法也有機會帶來意外收穫，例如，潛伏在單位內部的一些惡意使用者，有可能會浮出檯面。</p> <p>逆襲中繼站之所以可行，其實，也跟黑色產業的角色分工有關，PD以東南亞、非政府網軍的生態為例說明，點出攻擊者分為兩種，一是要價高、數量稀少的Hacker，他們能負責搜集跟挖掘各種資安漏洞，以及量身打造後門，另一是OP，有些人會負責建置與維護中繼站環境，或是實際發動社交工程，多種負擔很重的攻擊工作會交給OP執行，有些人可能是忠於黑色產業主事者、聽話的自己人，負責回收偷盜、搶劫到的個資名單或機密資料，避免駭客取得資料後，不只上繳至組織，還擅自偷偷轉賣牟利。</p> <h3><strong><span style="color:#0000FF;">找到中繼站，反滲透至攻擊者的基礎設施</span></strong></h3> <p>對於防守方而言，如果能找到中繼站，接下來如果想要對攻擊者進行反制，該如何著手？PD列出4種常見作法：善用已知漏洞或不當配置、未公開漏洞、偽造被入侵環境進行反監控，以及社交工程，前兩種與最後一種都是攻擊者常用的伎倆，共通點是以其人之道還治其人之身，並不難理解，反監控則與上述的欺敵或誘捕的概念有關。</p> <p>無論採用傳統的資安事故應變流程或進行反制攻擊者的行動，要突破的共通關卡，就是分析樣本、找到中繼站，PD提供兩種方法：運用資安事故應變處理工具（IR Tools）、沙箱檢測環境（Sandbox），像是VirusTotal、Any.Run、Cuckoo Sandbox。</p> <p><a href="https://s4.itho.me/sites/default/files/images/PD-IR1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PD-IR1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/PD-IR2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PD-IR2.jpg" style="width: 298px;" /></a></p> <p>在上傳疑似帶有惡意軟體的樣本時，PD提醒大家不要上傳可能包含公司機密資料的樣本，因為他過去常在這些平臺找到臺灣企業的機密文件，上傳資料的人可能以為他找到的檔案裡面有病毒，於是，將這些他判斷為惡意文件的資料，直接送至沙箱檢測環境分析，結果反而因此意外暴露機敏資料。</p> <p>而在分析樣本的過程中，由於攻擊者有時也會對這些惡意檔案進行<a href="https://ithelp.ithome.com.tw/articles/10253504?sc=rss.iron">混淆（Obfuscation）</a>，PD用自己做的樣本舉例說明，當中採用兩次ROT13（迴轉13位，一種替換式密碼），以及兩次Base64編碼處理，他提醒大家實務採用的手法可能會更複雜。而解開這些遮蔽之後，就有機會找到底下的中繼站位置。有時防守方會發現對方的惡意檔案設計不良，甚至直接把金鑰寫死在裡面，此時就可以上傳防守方寫好的webshell，進而拿下這臺中繼站。</p> <h3><span style="color:#0000FF;"><strong>偵測是否存在已知、未修補的漏洞，以及組態設定不當等狀況</strong></span></h3> <p>找到中繼站以後，接下來防守方可對這些節點執行資安弱點掃描，尋找可乘之機，如果當中存在一些已知的漏洞，接下來就可以到GitHub、ExploitDB等地方，找對應的漏洞濫用方法。</p> <p>另一個突破點是防守方本身也經常存在的資安空隙，那就是組態設定不當（Misconfiguration），但對於攻擊方而言，他們設置的IT基礎設施之所以存在這些風險，與他們平常接觸的線上技術教學資源，存在檔案下載來源複雜、可能藏有後門，以及技術文章與軟體版本過時等問題。</p> <p>PD表示，由於特定國家實施嚴格的網路管制措施，因此，當地網路論壇相關教學文章提到的軟體，若要下載使用，必須修改來源才能取得更新；另一種情況是，攻擊者所用的軟體大多是經過修改的版本，例如，用於滲透測試與數位鑑識的Kali Linux，但水能載舟亦能覆舟，這套系統也經常被黑帽駭客改裝，因此，攻擊者可能採用的是非標準、訂製的「魔改」版本；軟體下載的位置可能也不是工具作者管理的站點，而是放在百度雲盤、迅雷等網站，供人下載，PD表示，這些檔案本身可能存在安全性疑慮，因為經過分析後，會發現當中被增添一些後門或資安漏洞。</p> <p>再來就是教學文章的問題，有些內容會使讀者以為是最新整理的資訊，但仔細一看會發現這是其他網站發布的舊文，而且，上面提到軟體套件是五六年前的，若攻擊者參考這些搬磚的過期文章去架構系統，會導致所建置的IT環境本身就是存在資安漏洞的舊版系統。</p> <h3><span style="color:#0000FF;"><strong>小心水坑式攻擊</strong></span></h3> <p>另一個PD要提醒大家注意使用風險的現象，則是水坑式攻擊（Watering hole），他這裡舉的例子是IT人員複製、貼上技術文章列出的指令，以及程式碼的內容，要注意裡面是否被加料。這類問題不僅危害一般IT人員，但也損及運用這些內容的攻擊者。</p> <p>當我們在安裝、設定Linux系統的一些軟體套件，有時會需要輸入一大串指令，因此，我們可能會從教學文章直接複製一段相關內容，轉貼至系統執行，然而，有可能我們以為複製的文字敘述跟網頁呈現的一樣，但如果將這些內容轉貼至文字編輯器，逐一比對會發現中間突然多了一段指令敘述，PD舉的例子是被插入一個下載Shell並且執行的敘述，這個偷偷夾帶攻擊的手法並不難，對方只是在網頁的JavaScript加了一段event listener指令碼，因此，當有人到教學文章網頁複製這段批次指令執行緒敘述時，以為只是單純安裝一個軟體套件，但也同時被偷安裝了後門程式。</p> <p>關於這類針對複製貼上偷加料的竄改手法，2018、2019年就出現過案例，<a href="https://www.ithome.com.tw/news/148701">2022年1月iThome也曾編譯過相關資安新聞</a>，PD感慨地說，大部分的資安設備都沒辦法偵測到這種手法，所以，IT要自強、不能只靠設備，因為你會發現很多攻擊手法單靠設備是擋不掉的，而且少有廠商宣傳這種攻擊手法，所以你可能就忽略掉這種攻擊手法。</p> <h3><span style="color:#0000FF;"><strong>刻意收集與掌握未公開的漏洞</strong></span></h3> <p>已知資安漏洞的公開消息多到不可勝數，但若是作為攻擊型的資安人員，本身應該都儲備一些沒有公開的資安漏洞，如果在企業端工作時，其實是有不少機會可蒐集到這些情報。PD說，當他在甲方（業主）任職，是他找到最多零時差漏洞的時候，因為每年第四季有許多資安廠商會將設備送來測試，希望企業能編列預算採購，而且，這些都是百萬、千萬等級的產品，平常資安人員其實沒有機會接觸到這麼高檔的設備。</p> <p>而在實際測試與研究之後，他發現高檔的IT系統，像是ERP、BPM、CRM的內部系統，有時比家用版產品還要脆弱，顛覆越貴越好的刻板印象——越貴的、越少人接觸的設備或系統，潛在的資安漏洞可能反而更多。而將這些資訊累積起來，日後可用於發布CVE漏洞，也能當做反制網路攻擊活動的知識庫</p> <h3><strong><span style="color:#0000FF;">偽造被入侵環境進行反監控</span></strong></h3> <p>除了奪下中繼站的控制權，防守方遭到侵入的系統雖然安全性受到危害，但其實也是反制攻擊者的重要武器，因為可以把受害主機轉生為客製化的Honeypot，藉此偽造看似遭駭、實則已被資安人員列管觀察的環境，進行反監控。</p> <p>哪些系統較適合扮演這種角色？PD認為，會是相對獨立運作的環境，例如，有些使用單位的行銷部門，可能會找個懂電腦的人，自行架設WordPress平臺、在上面設置行銷網站，以便推動業務運作，但這些系統大多完全沒有考慮到安全性，因此，往往很容易被攻陷，一旦發現此類狀況出現，確認遭駭系統沒有機密資訊之後，他會建立一個隔離網段，再將受害系統複製、搬入——可透過實體轉虛擬機器（P2V）的轉換工具，將遭駭網站系統、連同被植入的後門程式轉為虛擬機器，然後放在虛擬化系統上面執行，接下來，就可以如同設置水族箱，把遭駭系統「養」在裡面，然後對其進行觀察。</p> <p>在上述隔離環境當中，防守方可以植入網路封包擷取與分析器（Sniffer）、鍵盤側錄程式（Keylogger），但可能會被攻擊者發現有人正在監控他們的活動，有可能是其他也想分一杯羹、甚至企圖整碗端去的駭客組織，因此，PD建議可以運用IP-guard、iMonitor或神網進行側錄與觀察，而這些產品是目前臺灣企業常用的員工行為監控工具，反而不會打草驚蛇，因為攻擊者原本就預期受害系統本身有這樣的常態防護措施。</p> <p>PD表示，如果運氣夠好，在反監控的過程中，防守方有機會搜刮到攻擊者使用的工具、加密金鑰，以及得知濫用的資安漏洞，後續可憑藉這些重要情報順勢反制。</p> <h3><strong><span style="color:#0000FF;">發動社交工程、打探攻擊者情報</span></strong></h3> <p>在資安防護領域，一談到社交工程，常令人聯想到網路釣魚，攻擊者常用一些伎倆或誘餌促使受害者上鉤（開啟惡意網站或下載執行惡意軟體），而對於防守方而言，若要進行反擊，是否也可以對其誘騙，進而牽制攻擊者的行動？</p> <p>在PD的演講裡面提到，防守方為了能更近距離獲得更多攻擊者的情報，也可以透過間接互動的方式與其進行溝通，他也借用「社交工程」一詞代稱這樣的刺探。</p> <p>實際上，會以何種形式進行？PD表示，有時他發現所保護的單位有主機遭到入侵，他會在系統裡面偽裝成另一批打進去的攻擊者，留下一些文字試圖與入侵者對話，在大多數情況下，得不到任何回應，但偶爾還是會出現例外，於是，彼此就開始展開一來一往的對話，他還因為這樣而收到攻擊者的工作招攬邀約，也藉此多了解對方的底細，但他坦言這種互動的成功率很低。</p> <p>另一種大家比較能想像的作法，就是混入特定社群媒體的駭客技術討論頻道，進行臥底、伺機蒐集相關的攻擊資訊，不過，也要小心黑吃黑的風險，因為他發現有些人雖然無償提供很多好用的工具套件，但經過分析後，發現這些檔案有問題，背後別有居心。</p> <h3><strong><span style="color:#0000FF;">接管中繼站</span></strong></h3> <p>當防守方奪下攻擊者的中繼站之後，還有很多可以加工的部分，以便持續監控、掌握對方更多動態。舉例來說，PD他會在僅透過FTP協定傳輸檔案的命令與控制節點，安裝網頁伺服器，例如檔案分享伺服器軟體HFS（HTTP File Server）；如果中繼站本身有網頁介面，他會啟用目錄瀏覽（Directory Listing），如此一來，防守方能更容易查看中繼站存放的各種檔案與資料夾，可以隨時監控上面的資料是否更新。</p> <p>有時，防守方如果遇到中繼站全都使用相同的金鑰的狀況，這意味著，只要攻下一個中繼站，後續可以繼續擴展、奪走更多中繼站，PD說，運氣好的話，可進到攻擊方的「兵器庫」與儲存區，這是最核心、最重要的部位。</p> <p>接下來，該如何觀察這兩個區域的動態？PD先從檔案與資料夾的時間著手，例如，可發現攻擊工具更新的頻率或是否有增減，也能針對這些樣本進行分析，以便超前部署對應的防禦規則。例如，防守方本身如果已設置端點偵測與應變系統（EDR），可以自行撰寫一些YARA規則協助偵測、透過EDR執行防禦，會更有效率，因為這麼一來，即使使用者不慎中招，仍有很高的機率能讓攻擊失效；網路防火牆的部分，被滲透的防守方也可以運用這些資訊先行封鎖中繼站，之後就算使用者不慎點選、開啟惡意網址連結，或被植入惡意軟體，也將因此受到防火牆阻隔，無法將擷取的資料傳回中繼站。</p> <p><a href="https://s4.itho.me/sites/default/files/images/PD-Hacker backoffice1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PD-Hacker%20backoffice1.jpg" style="width: 600px;" /></a></p> <p>而在回傳資料儲存區的部分，作為監控當中動態的防守方，可以注意幾個現象，像是：每個資料夾可能代表對不同目標搜括的資料，可確認上面是否有自家單位的資料，若發現有其他公司的資料，最好以間接方式提醒對方檢查，而不要直接通報，因為反制畢竟是遊走合法邊緣的手法，很難預料遭駭者接收這些訊息後的反應；個別資料夾的點閱數量高低也有意義，因為這可能表示目標中招的機會較大，若是發現部分資料夾突然消失，可能代表攻擊者打完、收工，以免被受害者察覺。</p> <p><a href="https://s4.itho.me/sites/default/files/images/PD-Hacker backoffice2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PD-Hacker%20backoffice2.jpg" style="width: 600px;" /></a></p> <h3><span style="color:#0000FF;"><strong>揪出內鬼</strong></span></h3> <p>若能有效實施上述這些制敵機先的手段，攻擊者在遲遲無法獲得戰果的狀況下，若他們事先派人在受害單位臥底，可能就會接到其他裡應外合的命令，以便讓惡意連線與資料外洩的活動能恢復正常運作，但此舉有可能反而導致「內鬼」曝光。</p> <p>PD表示，過去曾遇過攻擊者因為受困於防守方的超前部署，於是開始聯絡潛伏在受害單位的惡意使用者，請他們檢查相關的攻擊連線是否正常，而防守方之所以察覺這種異狀，是因為檢視防火牆連線記錄時，發現有使用者電腦本身並沒有接收惡意程式的樣本、卻有連至C2中繼站的記錄，而對應到此人的真實身分時，也發現他是被鎖定攻擊目標之外的其他部門人員；為了進一步確認該名使用者是否有不當行為，防守方還特地調閱工作場所的視訊監控系統，比對相關的時序，結果畫面顯示：這位使用者操作電腦連至中繼站之前，先到角落接了一通電話，然後回到座位、將手機放在桌面上，接著在電腦上鍵入一段網址，進行這些操作的時間與非感染電腦新連上中繼站的時間相符，後續請法務人員與其洽談，對方也坦白自己是受朋友囑託而做，於是，潛伏在內部的惡意使用者就此正式曝光。</p> <h3><strong><span style="color:#0000FF;">務實理解反擊的風險與優點</span></strong></h3> <p>分享自身的實戰經驗後，PD一再提醒「反擊駭客絕對不是一個最有效的防禦方式」，希望大家謹慎考量是否適合這麼做。然而，不入虎穴，焉得虎子，如果能在有足夠自保能力的狀態下，的確有機會扭轉「後發制於人」的傳統被動防守劣勢，甚至也能將這樣的反擊視為「後發先至」、「後發制人」，提供顛覆既有模式的防守思路。</p> <p>為何防守方不敢反擊？簡而言之，擔心失控、遭到反噬、更大程度的反撲。PD列出三點考量：首先，這麼做的技術門檻很高，防守方必須同時熟悉攻擊跟事故應變的技術第二是有法律風險，攻擊者設置的中繼站有可能坐落在第三方受害者的環境，當我們攻擊這樣的中繼站，可能會被視為攻擊無辜的第三方，所以存在違法風險；最重要的是，防守方面臨的攻擊可能來自四面八方，發起入侵活動的可能不只一家，然而，攻守之間往往處於不對稱的態勢，防守方的人力有限，即使能針對部分攻擊者的活動進行一些超前部署，但其他厲害的人還是會攻打我們，所以不能單靠反擊來進行所有的防禦。</p> <p>不論防守方最終是否決定採取這樣冒險的手段，但反擊所能帶來的一些好處，還是值得大家省思，例如，防守方內部應具備一定程度的威脅研究與分析能力，而非全然仰賴外部（資安廠商與資安產品）收集與產生的情資。PD表示，透過這樣的行動，可以研究對方的攻擊手法，他會把這些搬到自己架設的環境進行模擬，可藉此驗證現有的防禦機制與政策，看看是否能擋下攻擊，若無法招架，可將這些研究內容、證據整理成報告，以此實證資料分析結果向使用單位申請一些資源，以便預先部署更進階的防禦措施。</p> <p>為什麼要這樣做？PD表示，過去使用單位總是要等到被攻擊者打進內部環境、進行麻煩的善後處理，才有辦法促使意識到問題嚴重性的高層，更願意投入資源以強化資安，但此時傷害已經造成，若能活用上述「超前部署」策略，就可以在事發之前獲得足夠佐證，進而藉此爭取所需的防禦資源，能以更精準、務實的方式實現「防患於未然」。</p> </div></div></div>
2025/5/1 12:28作者李宗翰https://www.ithome.com.tw/news/168709