iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 6篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 14:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

微軟4月安全更新導致Server 2025驗證問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟證實，<a href="https://learn.microsoft.com/en-us/windows/release-health/status-windows-server-2025" target="_blank">安裝4月安全更新的部份Windows Server 2025系統網域控制器（domain controller）發生驗證問題</a>。</p> <p><a href="https://windowsforum.com/threads/april-2025-windows-patch-breaks-kerberos-authentication-how-to-fix-and-secure-your-environment.365110/" target="_blank">Windows獨立論壇用戶指出</a>，Server 2016（KB5055521）、2019（KB5055519）、2022（KB5055526）也受到影響。</p> <p>微軟說，Server 2025機器在上個月安全更新中安裝KB5055523後，其Active Directory（AD）網域控制器（Domain Controller）在處理使用憑證型憑證的Kerberos登入或委派時，可能會出現問題，因為這類憑證仰賴AD的msds-KeyCredentialLink欄位中的金鑰信任（Key Trust）機制。</p> <p>這問題可能導致使用Windows Hello for Business（WHfB）金鑰信任（一種無密碼驗證技術），或是部署裝置公鑰驗證（Device Public Key Authentication，又稱Machine PKINIT）的環境發生驗證問題。此外，其他使用這項功能的產品也可能受影響，像是智慧卡驗證、第三方單一登入（single sign-on）以及身分管理系統。</p> <p>微軟解釋，此問題根本原因是4月安全更新為了解決Kerberos驗證中的安全漏洞（CVE-2025-26647），微軟在更新中引入新的憑證驗證行為。更新後，DC會檢查用戶端憑證是否鏈結到NTAuth中的根憑證。由於新的驗證更為嚴格，因此若憑證未鏈結到NTAuth Store的根憑證，即導致驗證失敗。</p> <p>受影響的協定包括Kerberos PKINIT，影響Windows Hello for Business，及二種憑證類Service-for-User (S4U)委派，包含二種委派方式：Kerberos Constrained Delegation (KCD or A2D2 Delegation)及Kerberos Resource-Based Constrained Delegation (RBKCD or A2DF)。</p> <p>暫時解決方案是設定登錄機碼，允許修改值以繞過NTAuth Store檢查（不過會降低安全性）。微軟提供方法如下：</p> <p>HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Kdc</p> <p>AllowNtAuthPolicyBypass = 1</p> <p>微軟說正在製作解決方案，會儘快釋出。</p> <p>這是4月安全更新二周之內第二次引發問題。上周也傳出企業中的Windows 11 22H2、23H2電腦安裝了安全更新KB5055528後，無法從WSUS（Windows Server Update Service）升級到24H2。<a href="https://learn.microsoft.com/en-us/windows/release-health/status-windows-11-22h2#windows-11--version-24h2-might-not-download-via-windows-server-updates-services" target="_blank">微軟上周緊急釋出</a>「<a href="https://techcommunity.microsoft.com/blog/windows-itpro-blog/known-issue-rollback-helping-you-keep-windows-devices-protected-and-productive/2176831" target="_blank">Known Issue Rollback</a>」修補該問題。但IT管理員必須先為受影響的企業電腦設定群組政策。</p> </div></div></div>
2025/5/8 10:52作者林妍溱https://www.ithome.com.tw/news/168819
微軟4月修補的零時差漏洞也遭Play勒索軟體駭客覬覦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.security.com/threat-intelligence/play-ransomware-zero-day" target="_blank">資安廠商賽門鐵克發現</a>，4月初微軟安全更新修補的零時差漏洞，其實也曾遭Play勒索軟體的駭客攻擊，植入竊密程式。</p> <p><a href="https://www.ithome.com.tw/news/168323" target="_blank">上個月微軟發佈Patch Tuesday安全更新修補126項安全漏洞</a>，包含一項零時差漏洞CVE-2025-29824。該漏洞為位於Windows通用事件記錄檔案系統（Common Log File System，CLFS）驅動程式的使用已釋放記憶體（Use After Free，UAF）漏洞，可讓已獲得授權的攻擊者提升本地權限。</p> <p>當時微軟判斷該漏洞已遭被稱為Storm-2460的駭客組織濫用散佈勒索軟體RansomEXX，受害組織包括美國IT業者、委內瑞拉金融業者、西班牙軟體公司、沙烏地阿拉伯零售業者。</p> <p><a href="http://www.security.com/threat-intelligence/play-ransomware-zero-day" target="_blank">但博通旗下資安業者賽門鐵克本周公佈其研究</a>，一個和Play勒索軟體有關的攻擊者也曾利用CVE-2025-29824，對一家美國組織發動惡意程式以提升權限。這組駭客並未部署勒索軟體，但植入了竊資程式Grixba，這個程式被認為和Play勒索軟體背後的Balloonfly有關。</p> <p>Balloonfly至少從2022年6月開始活動，並使用Play勒索軟體為禍，攻擊北美、南美和歐洲多家企業和關鍵基礎架構。</p> <p>在最近的攻擊中，研究人員推斷Balloonfly先是鎖定面向網際網路的Cisco ASA防火牆，然後以某種不明方法在受害者網路上濫用本漏洞移動到Windows機器上。除了Grixba竊資程式及CVE-2025-29824濫用程式外，駭客還部署了其他惡意程式及駭客工具。研究人員尚不知這些程式為何，但是是位於Music資料匣，冒充Palo Alto軟體之名，例如1day.exe。</p> <p>Balloonfly濫用CVE-2025-29824，目的在提升權限並竊取位於C:\ProgramData\Events\中的敏感Windows註冊表資料。在濫用過程中，駭客建立了CLFS log檔及一個DLL檔，後者是用來注入winlogon.exe行程，並且生成二個批次檔。其中一個servtask.bat存在C:\ProgramData下，用於SAM、SYSTEM及SECURITY Registry中的管理員群組中新增用戶，藉此權限。另一個named cmdpostfix.bat則用於刪除活動跡證。</p> <p>基於濫用CVE-2025-29824的手法，研究人員判斷，Balloonfly不同於Storm-2460；Storm-2460是從dllhost.exe行程，在記憶體中啟動濫用行為，而賽門鐵克發現的卻並非無檔案（fileless）濫用行為。因此讓賽門鐵克研究人員相信，在微軟修補之前，漏洞已遭到至少二組攻擊者濫用。</p> </div></div></div>
2025/5/8 11:04作者林妍溱https://www.ithome.com.tw/news/168824
臺廠普萊德修補交換器、網路設備管理軟體重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>4月25日臺灣工控網路設備製造商普萊德（Planet）發布資安公告，指出旗下部分<a href="https://www.planet.com.tw/en/support/security-advisory/6">型號的交換器</a>、<a href="https://www.planet.com.tw/en/support/security-advisory/7">網路設備管理軟體</a>存在資安漏洞CVE-2025-46271、CVE-2025-46272、CVE-2025-46273、CVE-2025-46274、CVE-2025-46275，這些漏洞可被用於遠端執行任意程式碼（RCE）、權限提升，以及未經授權存取列管裝置，4.0版CVSS風險達到9.3（3.1版風險值介於9.1至9.8分），相當危險，對此，普萊德已發布修補程式因應。</p> <p>我們也進一步向普萊德確認此事，該公司表示他們收到美國網路安全暨基礎設施安全局（CISA）的通報，並於4月24日前完成修補，後續進行公告並回報CISA。</p> <p>而對於上述資安漏洞的影響範圍，CVE-2025-46272、CVE-2025-46275存在於交換器設備WGS-804HPT v2、WGS-4215-8P2S，另外3項漏洞則影響管理軟體UNI-NMS、NMS-500，以及NMS-1000V。</p> <p>其中，CVE-2025-46272為作業系統命令注入漏洞，一旦攻擊者成功觸發，就有機會在未經授權的情況下發動攻擊，並以系統層級權限執行任意命令；另一個存在於交換器的漏洞CVE-2025-46275，則是能被用於權限提升及未經授權存取，起因是重要功能缺乏身分驗證，使得攻擊者能任意建立管理員帳號。</p> <p>其餘影響管理軟體的資安漏洞，CVE-2025-46271可被用於遠端執行任意命令，而且，攻擊者無須取得授權；CVE-2025-46273則是寫死（Hard-coded）帳密弱點，攻擊者有機會得到完全控制；至於CVE-2025-46274，也涉及特定的帳密，攻擊者能藉此操控或監視列管設備。</p> <p>發現這批漏洞的資安業者Immersive Labs<a href="https://www.immersivelabs.com/resources/blog/how-we-discovered-planet-technology-network-device-vulnerabilities">透露如何找到這些漏洞的細節</a>，並指出他們根據物聯網搜尋引擎Shodan、Censys進行搜尋，結果在網際網路上找到4,946臺設備可能曝險，呼籲用戶應儘速處理。</p> </div></div></div>
2025/5/7 17:51作者周峻佑https://www.ithome.com.tw/news/168811
【2025臺灣資安年鑑｜數發部資安署署長蔡福隆】致力打造「可信賴」數位環境，臺灣資安邁向全面升級之路
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/0508-zi_an_nian_jian_-cai_fu_long_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">攝影／洪政偉</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來，隨著雲端運算、物聯網、以及大數據等技術迅速普及，各行各業皆面臨著來自數位領域的前所未有挑戰。在全球數位轉型浪潮席捲各國的當下，資訊安全已不僅僅是技術議題，更關乎國家安全與產業競爭力。</p> <p>臺灣政府在推動數位國家2.0戰略過程中，必須與全球趨勢接軌，從而在技術層面上持續創新。甫接任數位發展部資通安全署署長一職的蔡福隆，先前已經累積豐富的金融監理實戰經驗。而臺灣作為國際舞臺上的重要一員，其資安政策的落實與創新更成為各界關注的焦點。</p> <p>身處全球數位轉型與網路威脅急速演進的時代，建立一個可信賴的資安環境已成為國家安全的重要支柱。蔡福隆強調：「積極對話、公私協力是臺灣面對挑戰、打造堅固防線的必經之路。」</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>從金融監管轉型到國家資安守護者，推動「可信賴」數位環境</strong></span></span></p> <p>蔡福隆曾任金管會主任秘書、金管會資訊處處長等職務，其豐富的金融監理經驗讓他對風險控管與產官合作有著深刻體認，上任僅短短數月，他便肩負起推動臺灣資安政策落實、提升關鍵基礎設施防禦，以及強化國家防護體系的重任。</p> <p>回顧蔡福隆的職涯轉換，不僅體現他在風險控管與嚴謹管理上的專業積累，更反映出資安領域快速變化的迫切需求。畢竟，金融業一向講究風險控管與監理制度，資安領域充滿著瞬息萬變的攻防挑戰，也正是這樣的背景，讓蔡福隆能夠從金融業的嚴格要求中汲取經驗，並以更靈活多變的方式，推動政府跨部會間的協同合作與資安政策落實。</p> <p>「面對日益嚴峻的資安環境，打造一個全民皆備防護意識、機制健全的數位環境，確保資安即國安的理念能真正落實。」他強調，這不僅是一份職務和使命，更是他對臺灣社會與產業負責的承諾。</p> <p>因此，蔡福隆接任資安署長後，訂定的整體目標在於，致力打造「可信賴」的數位環境，推動政策落實，並且深化跨界對話與合作。強調「資安即國安」的重要理念。</p> <p>為此，蔡福隆也想打破外界刻板印象，展現主動對話與透明溝通態度，扮演更積極的角色。過去外界對資安署的角色存在不少誤解，甚至有「資安署長失蹤」之類的揶揄聲音。</p> <p>面對這種情況，蔡福隆採取了積極主動的溝通策略，強調與產官學各界建立更緊密的互動關係。他表示，透過與媒體、業界人士頻繁對話，不僅可以正確傳遞資安署的使命與工作內容，更能獲得各界對資安防護現況的真實反饋，進而不斷改進與完善政策執行。金管會工作期間累積的溝通與監管經驗，讓他深知監管需嚴謹，但同時也必須給予業界充分的發聲空間，以達到政策與市場雙向互動的平衡。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>從個人到國家，打造全社會的資安防禦防線</strong></span></span></p> <p>「資安不僅是專業部門的責任，」蔡福隆認為，隨著資訊技術的普及，網路滲透至生活的每一個角落，從企業、學校到政府機關乃至家庭，每個連接網路的設備都可能成為攻擊的入口，所以資安已經是每個組織、每位公民不可或缺的責任。</p> <p>所以，為了完善國家資安應變機制，他指出，資安署以「零信任」網路作為基礎，建構跨領域的國家資安事件應變團隊，確保在面對大規模或複合性網路攻擊時，各界能夠迅速調動資源、協同作戰。他說，這也包括運用人工智慧（AI）技術建立威脅偵測模型，並透過大數據分析實現主動預警，從而及早發現安全漏洞，進行損害管制。</p> <p>再者，資安署也會針對《資安法》納管的政府機關、特定非公務機關、國營事業、行政法人及其他重要單位，蔡福隆指出，資安署將逐步擴大防禦範圍，並結合民間力量推動全民資安防護，建構全社會資安防護網。未來，資安署也會計畫辦理一系列活動，包括資安巡迴研討會、資安競賽、資安月報與線上數位課程，進一步提升民眾對於社交工程攻擊、密碼管理，以及不明連結風險的警覺性。</p> <p>蔡福隆強調，只有通過政府、企業與學界的緊密合作，才能形成一個防禦網，抵禦日益複雜的網路攻擊。未來，資安署會強化公私協力，建立情資共享機制，促進跨部門與跨產業合作，並持續舉辦企業藍隊演練，以實戰檢驗防禦效果。</p> <p>為了協助資通訊產品的安全，蔡福隆表示，資安署將負責審核與發布臺灣資訊產品中發現的資安漏洞，並協調相關廠商及時修補問題。透過鼓勵企業加入TWCERT / CC，進一步強化臺灣企業資訊產品的資安防護能力。</p> <p>全民資安意識的培養，也是全社會資安防禦的重點，蔡福隆表示，在數位化的環境中，民眾的資安意識對整體防護體系至關重要。為了提高全民對資安議題的重視，資安署計畫舉辦多元宣導活動，例如資安月、資安競賽以及線上資安講座等，讓民眾學習如何保護個人資料、正確設置密碼、識別釣魚網站與防範社交工程攻擊。這些活動不僅將普及資安知識，也有助於建立社會對資安議題的共同認知。</p> <p>此外，也會透過與教育部、學界及民間資安專業機構合作，設立獎學金、舉辦資安創新競賽與實戰演練，從青少年到在職人員，全面提升資安素養。</p> <p>為了促進公私部門之間的資安對話，蔡福隆表示，未來將持續與產業、學界及政府部門舉辦跨界座談與論壇，藉由開放式的對話與交流，建立更完善的國家資安防護網路。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0508-%E8%B3%87%E5%AE%89%E5%B9%B4%E9%91%91-%E8%94%A1%E7%A6%8F%E9%9A%86-%E6%8A%BD%E8%A8%801.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">攝影／洪政偉</span></span></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>提升關鍵基礎設施資安防護，建立國家層級威脅模型</strong></span></span></p> <p>蔡福隆指出，關鍵基礎設施（CI）是維繫國家正常運作的命脈，涵蓋油、水、電、交通、通訊、金融、醫療等各個層面，如果任何一處發生資安漏洞，都有可能引發系統性風險，影響國家安全與經濟穩定。</p> <p>因此，資安署也會建立CI資安防衛體系，他指出，運用AI技術與大數據分析，持續蒐集各領域的各種資安威脅特徵，進而建立國家層級的威脅模型。他說：「這樣一來，當異常現象出現時，系統可自動預警並及時調動防禦措施，降低風險。」</p> <p>由於工控系統（OT）具備高度專業性與複雜性，其資安防護需求尤為特殊，蔡福隆表示，為了提升CI工控系統防護能量，資安署預計參考國際標準，訂定各領域可參考的防護指引或工控資安防護基準。</p> <p>另外，蔡福隆說，資安署也會加強邊界保護，重點管控網路進出，確保內部系統不受外部不法存取；同時落實資安稽核，定期檢核各單位是否依據標準落實相關的資安措施，並提供改進建議。</p> <p>同時，資安署江建立專業團隊進行深度的資安檢測，蔡福隆解釋，這類似於人體健康檢查的概念，針對關鍵基礎設施進行更細緻的資安檢測，發掘潛在漏洞並迅速修補。這不僅能夠降低資安風險，也能夠提升整體防禦能力。</p> <p>此外，資安署也會加強OT人員的專業培訓，蔡福隆進一步解釋，資安署將推動專門針對工控系統操作人員的資安培訓，提升他們對於新興威脅的識別與應對能力，確保操作安全。對於《資安法》納管的單位，資安署將提供客製化的輔導，協助機關完善在策略、管理與技術層面德資安防護，並定期組織實地輔導，追蹤防護成效。</p> <p>更重要的是，他表示，為了確保各單位資安防護措施得以落實，資安署將建立與行政院稽核查檢相結合的「IT/OT資安治理成熟度」評估機制，統整分析各單位現況，並針對性地提出改進建議，也會與相關單位合作建立資安防護訊息平臺，共享威脅情報與防護案例，促進跨部門溝通與資源整合。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>強化資安產業發展，推動產品驗測制度</strong></span></span></p> <p>在蔡福隆看來，資安產業不僅是技術的展示，更是作為整個資安生態系的「火車頭」，唯有建立健全的產業生態系，才能有效吸引並培養優秀資安人才，促使政府、產業與學界形成良性循環。</p> <p>所以，他說，資安署將與數位產業署密切合作，從需求面著手，鼓勵國內企業研發自主產品與解決方案。同時，在政府各項計畫中，將優先採用國產資安產品，並推動中小企業採用雲端部署的資安服務，以擴大市場規模，進一步提升臺灣資安產業的國際競爭力。</p> <p>另外，他表示，資安署也和公共工程委員會合作，修訂《資訊服務採購契約範本》，並制定投標業者的資安服務水準（SLA），建立統一的資安合規審查標準。這不僅能確保政府機關在採購時優先選用國產自主產品，還能推動整個產業向著更高標準發展。<br /> 透過推動全社會資安防禦，他表示，政府也會擴大市場對資安產品與服務的需求。各級政府部門、國營事業及民間企業在提升自身防護能力的同時，也將成為資安產品的重要用戶，進而促使國內企業加大自主研發的投入。</p> <p>為了提升臺灣資安產品的國際競爭力，他說，資安署計畫協助國內企業拓展國際市場，爭取政府資源支持，並促成與國際標準接軌的產品認證，讓臺灣資安技術在國際舞臺上大放異彩。「可惜的是，今年出國費用全遭到刪減，原先預計帶臺灣廠商出國參展的計畫也被迫中止。」蔡福隆說。</p> <p>此外，政府將積極與大專院校、研發機構及業界合作，共同打造資安創新平臺，舉辦各類創新競賽與實戰演練，蔡福隆認為，要從根本上培育並留住資安人才，才能推動產業持續進步。</p> <p>資安產品的安全性是整個防護體系中的基石，蔡福隆表示，資安署會針對涉及國家安全的網路產品推動驗測制度，求廠商定期進行安全檢測與漏洞修補，並在採購時優先考慮經驗證合規的產品。</p> <p>他指出，資安署也會評鑑各資安服務廠商的能力，定期訪視廠商的資安措施，透過情資驅動的公私聯防機制，協調處理企業重大資安事件，確保市場上產品的安全性與可靠性。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0508-%E8%B3%87%E5%AE%89%E5%B9%B4%E9%91%91-%E8%94%A1%E7%A6%8F%E9%9A%86-%E6%8A%BD%E8%A8%802.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">攝影／洪政偉</span></span></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>跨國攻防演練CODE 2025將鎖定醫療領域</strong></span></span></p> <p>面對日益複雜的網路攻擊手法，蔡福隆指出，新興科技尤其是人工智慧（AI）與大數據技術將成為防禦端的重要武器。</p> <p>因此，他表示，資安署將運用AI技術，建立自動化防禦平臺，整合各類資安資料，進行實時威脅分析與預警。這將有助於在駭客利用AI技術進行自動化攻擊時，迅速調整防禦策略，縮短反應時間，降低損害風險。</p> <p>蔡福隆強調，資安署也會推動平臺化與自動化整合多元資安防護工具，打造統一的防禦平臺，使各類安全產品能夠協同運作，形成自動化的防禦網路。這不僅提升防禦效率，也為產業界提供一個標準化的技術參考。</p> <p>此外，他指出，資安署將持續關注生成式AI等新興技術的發展，研究如何將其應用於入侵偵測、行為分析及安全事件處理上，確保在技術競賽中不落人後外，網路攻擊無國界，蔡福隆認為，國際合作是提升整體資安防護能力的關鍵。所以，資安署深化與友好國家的資安交流，與各國資安機構簽署合作備忘錄（MOU），進行雙邊情資交換與技術交流；定期舉辦前瞻資安探索會議（ACE）等國內外資安專家座談會，探討資安防護的最新挑戰與對策。藉由共享最佳實務與經驗，為臺灣資安政策的制定提供參考，進一步提升整體防護效能。</p> <p>像是今年在臺灣舉辦的跨國網路攻防演練「CODE 2025」，資安署將以醫療領域作為演練主題，邀請國外專家組成紅隊，並由國內包括馬偕醫院、臺大醫院、國泰醫院、新光醫院與長庚醫院等醫療機構組成藍隊，進行真實攻防模擬演練。這不僅有助於檢驗國內關鍵領域的防護能力，也促進國際間資安經驗的交流與共享。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>「信賴資安，守護臺灣」的政策藍圖與全國共識</strong></span></span></p> <p>蔡福隆認為，資安是持續精進的風險管理工作，唯有透過政府、產業與學界的攜手合作，才能在面對日益嚴峻的網路威脅時，構築堅不可摧的防護網。</p> <p>他指出，「信賴資安，守護臺灣！」更是臺灣資安政策藍圖，隨著「第七期國家資通安全發展方案」預計於今年第三季正式發布，屆時，臺灣的資安政策將進一步從藍圖轉化為具體措施，全面提升國家數位韌性。</p> <p>他也說，「第七期國家資通安全發展方案」不僅是資安署未來四年的行動指南，更是臺灣邁向安全數位時代的重要里程碑。隨著各項政策措施逐步落實，臺灣將在全球資安領域展現更強的競爭力與領導力，為全國民眾帶來一個更安全、穩健的數位未來。</p> <p>同時，蔡福隆也強調，人才是資安防護的根本，臺灣必須從政府、產業與學界三個層面系統性地擴大人才培育力度，例如：今年將有近500位非資訊背景的公務人員接受轉職訓練，同時辦理資安長共識營、資安主管研習及政府藍隊實戰培育等課程。與此同時，與17家大專院校簽訂合作協議，共同追蹤培訓品質與成效，並鼓勵報考高考三級資通安全類科。</p> <p>面對內部人力短缺、預算壓力及國際經費削減等挑戰，他表示，資安署將持續與各界深入對話，借鏡其他領域成功經驗，務實推動資安防護措施落實，確保臺灣資安防線不會斷裂，為國家數位未來保駕護航。蔡福隆期許能透過卓越人才的培育、壯大資安產業與公私協力的積極對話，構築一個安全可信賴的數位環境。</p> <p>在全球網路威脅不斷升級的背景下，駭客利用生成式AI等先進技術發動攻擊的現實，臺灣必須以全社會之力，共同構築安全、可信賴的資安環境。</p> <p>蔡福隆表示，資安署從完善全國資安防禦體系、強化關鍵基礎設施防護、推動自主資安產品研發與國際合作等一系列政策措施，到透過跨部門協作及公私合作，凝聚全國共識，都為臺灣打造堅韌的資安防線，並為迎接未來挑戰奠定堅實基礎。</p> <p>蔡福隆指出：「政府的角色是協調者，通過政策引導與市場激勵，讓每一位國民、每一個企業都能參與進來，共同守護我們的數位家園。」</p> <p><a href="https://www.tenlong.com.tw/products/9789860654349?list_name=srh" target="_blank"><span style="color: rgb(51, 102, 255);"><strong>本文出自《CYBERSEC 2025 臺灣資安年鑑》</strong></span></a></p> <p><a href="https://www.tenlong.com.tw/products/9789860654349?list_name=srh" target="_blank"><span style="color: rgb(51, 102, 255);"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/2025%E8%B3%87%E5%AE%89%E5%B9%B4%E9%91%91%E5%B0%81%E9%9D%A2.png" style="width: 350px;" /></strong></span></a></p> </div></div></div>
2025/5/8 07:00作者黃彥棻https://www.ithome.com.tw/article/168480
圖像化LLM應用開發工具Langflow存在RCE漏洞，CISA證實已被用於實際攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.cisa.gov/news-events/alerts/2025/05/05/cisa-adds-one-known-exploited-vulnerability-catalog">美國CISA已證實</a>，圖像化LLM應用開發工具Langflow的遠端程式碼執行漏洞CVE-2025-3248，已被實際用於攻擊行動。Langflow是一套開源工具，支援以圖形化方式設計大型語言模型流程，讓開發者能透過拖放元件的方式，快速組合出可執行的人工智慧代理流程，然而，其高彈性的設計也伴隨著潛在風險，特別是在執行環境缺乏適當安全防護時，容易成為攻擊目標。</p> <p>資安公司Horizon3.ai研究人員進一步<a href="https://horizon3.ai/attack-research/disclosures/unsafe-at-any-speed-abusing-python-exec-for-unauth-rce-in-langflow-ai/">說明</a>CVE-2025-3248的成因，是Langflow早期版本在處理程式碼驗證時缺乏適當的安全控管。具體來說，攻擊者可透過未加認證保護的API端點/api/v1/validate/code提交特製的Python函式碼，並利用裝飾器（Decorator）或預設參數中的表示式，在函式尚未執行時即觸發任意程式碼的執行。</p> <p>由於Langflow原本設計即允許使用者修改與執行Python程式碼來控制人工智慧元件，因此在缺乏沙箱或額外限制的情況，一旦認證機制設定不當，將導致攻擊者可遠端取得主機控制權。</p> <p>研究人員指出，這類攻擊可被用來開啟反向Shell、讀取環境變數，或取得系統帳號等資訊，並可能作為後續橫向移動或擴大攻擊範圍的起點。值得注意的是，雖然Langflow開發團隊曾在社群中說明，該工具預設不具沙箱機制，執行環境的安全應由使用者自行負責，但實際部署情況顯示，大量實例未採取基本防護，直接曝露於公開網路，進一步擴大了漏洞被濫用的風險。</p> <p>此次漏洞影響自Langflow專案啟動以來至1.2.x的所有版本，<a href="https://github.com/langflow-ai/langflow/releases/tag/1.3.0" target="_blank">官方已於2025年3月底釋出1.3.0版</a>，將高風險的程式碼驗證端點加上身分驗證保護，並建議用戶盡快升級。CISA則呼籲所有組織，尤其是將Langflow部署於網際網路環境的組織，務必立即檢查並限制可存取的端點，或改以虛擬私有雲方式進行隔離部署。</p> </div></div></div>
2025/5/8 08:11作者李建興https://www.ithome.com.tw/news/168806
ServiceNow用AI打通CRM流程中臺與前線協作斷點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>ServiceNow宣布全面重構其<a href="https://www.servicenow.com/blogs/2025/reinventing-crm-why-hasnt-yours-changed">CRM平臺</a>，將人工智慧作為核心設計理念，整合銷售、客服與履行（Fulfillment）流程，取代過去依賴多套系統與人工操作的碎片化處理方式，使跨部門的顧客服務流程得以結構化、自動化。</p> <p>官方指出，這次改版不僅是將人工智慧套用在原有系統上，而是從底層的工作流程設計、資料模型到整體平臺整合方式進行重新設計。新架構強調從前線接觸點，如客服中心與聊天機器人一路延伸至中後臺的任務履行，藉由人工智慧驅動的流程與自動執行能力，加快顧客請求的處理速度，同時減少人力介入的需求。</p> <p>不同於傳統CRM聚焦於通訊管道整合與顧客資料管理，ServiceNow主打「讓人工智慧直接參與執行」。透過代理型工作流程（agentic workflows），人工智慧不僅能理解需求與推薦處理方式，現在還會主動執行指令，並根據情境判斷是否需交由人員介入。</p> <p>在聯絡中心整合方面，ServiceNow提出與聯絡中心即服務（Contact Center as a Service，CCaaS）平臺結合的操作介面，讓人員與人工智慧在同一作業環境協作。平臺內建語音與即時訊息控制功能，並具備統一的路由邏輯與績效追蹤機制，簡化部署流程並縮短導入時間。</p> <p>人工智慧的應用也擴展至外勤與銷售場景，ServiceNow透過共通資料模型整合派工、智慧排程、作業紀錄與外包協作等功能，使企業能以一致的方式處理諸如電信裝機、到府維修或保固處理等流程，有助於不同服務通路的標準化。</p> <p>在銷售流程方面，ServiceNow於2025年4月宣布併購人工智慧驅動、具組合彈性的CPQ（Configure、Price、Quote）解決方案業者Logik.ai，並將其技術整合進新一代CRM平臺中，強化即時報價與複雜配置的處理能力，協助銷售團隊加快成交速度並提升整體生產效率。</p> <p>此外，ServiceNow也提供多種業界專屬模組，結合產業特定資料結構，如零售業的門市階層、銀行的支付接口、電信業支援的TM Forum API，並內建常見流程範本，例如政府許可作業或製造業的保固理賠處理。此次更新進一步導入人工智慧代理，使這些產業模組不僅可快速配置流程，也能自動執行標準化任務，助企業用更少的客製程式碼建構具產業邏輯的應用，加快部署與交付效率。</p> </div></div></div>
2025/5/8 08:14作者李建興https://www.ithome.com.tw/news/168817
【資安日報】5月7日，勒索軟體駭客自帶安裝程式，繞過EDR防護機制加密檔案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了避免受害企業組織察覺異狀，導致攻擊行動東窗事發，駭客無不設法迴避資安系統的偵測，其中，在端點電腦當中，他們集中針對EDR系統而來，最常見的方式就是利用名為自帶驅動程式（BYOVD）的手法。</p> <p>但最近保險業者怡安（Aon）發現一種相當特別的手法，駭客利用EDR本機安裝程式在更新電腦元件的過程裡，會停用相關服務的機制而得逞，是否會有其他人馬效仿有待觀察。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168773"><strong style="font-size: 22px;">勒索軟體Babuk繞過EDR防護出現新手法，利用本機安裝程式達到目的</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/aon-cyber-labs-blog-sentinelone-bypass-2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/aon-cyber-labs-blog-sentinelone-bypass-2.png" style="width: 300px; float: right;" /></a></p> <p>為了讓攻擊行動能順利進行，不被受害企業組織察覺異狀，駭客通常會試圖左右防毒軟體及EDR系統的運作來達到目的，其中一種最常見的手法，是利用存在弱點的舊版驅動程式來進行，這種手法被稱為自帶驅動程式（BYOVD），如今駭客自行攜帶合法檔案的做法出現了變化。</p> <p>保險業者怡安（Aon）旗下的事件回應服務團隊Stroz Friedberg近期觀察到一種運用於實際攻擊行動的新手法，駭客為了迴避SentinelOne端點代理程式的系統偵測與防竄改能力，他們竟濫用此EDR系統的端點代理程式安裝檔來達到目的，從而成功於受害電腦部署勒索軟體Babuk。研究人員將這種過往未曾出現過的手法，稱做「自帶安裝程式（Bring Your Own Installer）」。</p> <p>對此，怡安向SentinelOne通報他們的發現，該資安業者迅速做出回應，向用戶發布緩解問題的指引。SentinelOne指出，針對本機代理程式升級或降級的作業，管理者可啟用通過線上批准（Online Authorization）的機制來進行審核，來防範相關攻擊。不過值得留意的是，這項政策並未預設啟用，管理者必須手動開啟。</p> <p><a href="https://www.ithome.com.tw/news/168799"><strong style="font-size: 22px;">多家英國零售業者傳出遭到勒索軟體DragonForce攻擊</strong></a></p> <p>資安業者Secureworks於4月下旬提出警告，勒索軟體駭客組織DragonForce改變經營策略，從原本提供作案工具的租用服務模式（Ransomware-as-a-Service），在3月19日之後開始改以勒索軟體「橫向聯盟（cartel）」名義找尋合作對象。最近兩週，傳出有駭客團體連續對英國零售業者下手，使用的犯案工具就是勒索軟體DragonForce。</p> <p>根據英國廣播公司（BBC）、衛報（The Guardian）、 ITV News、資安新聞網站Bleeping Computer等多家媒體的報導，英國瑪莎百貨（Marks & Spencer，M&S）、連鎖超市Co-op、精品百貨公司哈洛德（Harrods）接連傳出遭到網路攻擊，背後的攻擊者身分，傳出很可能是被稱為Scattered Spider、0ktapus、Octo Tempest、UNC3944的駭客組織所為。</p> <p>5月1日英國國家安全網路中心（NCSC）發布新聞稿證實，他們的確收到相關網路攻擊事故的通報，並與受害的零售業者進行合作，因應相關資安事故。NCSC也在4日二度發布公告，呼籲企業應參考他們提出的最佳實務指南，防範相關的攻擊行動。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/botnet-exploits-old-geovision-iot-devices-via-cve-2024-6047-cve-2024-11120/">GeoVision物聯網裝置遭到鎖定，殭屍網路利用已知漏洞滲透</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.darkreading.com/cyberattacks-data-breaches/researcher-patched-commvault-bug-exploitable">疑修補不全！針對Commvault修補的備份管理平臺滿分漏洞，研究人員發現仍然可被利用</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityaffairs.com/177522/hacking/experts-warn-of-a-second-wave-of-attacks-targeting-sap-netweaver-bug-cve-2025-31324.html">4月SAP修補的NetWeaver滿分漏洞再傳攻擊行動</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/fake-ssa-emails-trick-users-installing-screenconnect-rat/">駭客佯稱美國社會安全局，企圖散布ScreenConnect RAT並控制受害電腦</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168798"><strong style="font-size: 22px;">資料視覺化系統Kibana爆高風險原型污染漏洞</strong></a></p> <p>Elastic發布安全公告，指出其開源資料視覺化平臺Kibana存在CVSS風險評為9.1分的CVE-2025-25014，屬原型污染（Prototype Pollution）<span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">漏洞</span>，攻擊者可藉由特製HTTP請求，針對啟用機器學習與報表功能的Kibana實例觸發任意程式碼執行，影響層面涵蓋自架環境與Elastic Cloud使用者。</p> <p>根據Elastic說明，此漏洞影響Kibana 8.3.0至8.17.5、8.18.0以及9.0.0版本，在同時啟用機器學習與報表功能的條件便會產生攻擊面，攻擊者透過特製惡意載荷進行原型鏈（Prototype Chain）汙染後，最終得以控制執行流程。儘管漏洞需在通過Kibana內部權限驗證的前提下才能觸發，但由於攻擊可在無使用者互動的情況下實現遠端程式碼執行，Elastic仍將其評為重大等級。</p> <p>Elastic推出8.17.6、8.18.1、9.0.1版修補，建議所有受影響部署儘速升級。若無法立即更新，該公司建議暫時停用特定功能來緩解這項弱點。</p> <p><a href="https://www.ithome.com.tw/news/168797"><strong style="font-size: 22px;">Google發布安卓5月例行更新，修補已被用於攻擊的零時差漏洞</strong></a></p> <p></p> <p>5月5日Google發布安卓作業系統5月安全更新，修補45個安全漏洞，並警告其中的CVE-2025-27363可能已遭利用。</p> <p>此漏洞存在於FreeType元件中。FreeType是個開源的字型引擎，可用來解析與呈現字型檔案內容，支援點陣字型及向量字型，它並非用來排版，而是專注於將字型資訊轉換成圖形輪廓或點陣圖，讓開發者可在螢幕或列印設備上正確顯示文字。</p> <p>這是由Facebook安全團隊在3月所發現，當FreeType在解析TrueType GX與可變字型的子字型結構時，可能會觸發越界寫入漏洞，而允許駭客於系統上執行任意程式碼，波及採用FreeType 2.13.0及以下版本，當時Facebook研究人員便說該漏洞可能已遭到駭客利用。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/critical-aws-amplify-studio-flaw-allows-code-execution-update-now/">AWS Amplify Studio存在重大漏洞，攻擊者有機會執行任意JavaScript指令碼</a></strong></p> <p></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168791"><strong style="font-size: 22px;">針對NSO Group濫用WhatsApp漏洞的判決出爐，需賠償1.6億美元</strong></a></p> <p>2019年Meta控告以色列間諜軟體開發商NSO Group，指控該公司濫用即時通訊通訊軟體WhatsApp零時差濁洞，於超過1,400臺行動裝置植入間諜軟體Pegasus，竊取裝置上的電子郵件、簡訊內容，甚至可自遠端啟用手機麥克風與攝影機。去年底法官做出裁決，認定NSO Group不光違反WhatApp的服務條款，也違反美國《電腦詐欺與濫用法案（Computer Fraud and Abuse Act，CFAA）》，加州《電腦資料存取與詐欺法案（Computer Data Access and Fraud Act，CDAFA）》，如今進一步的判決出爐。</p> <p>本週二（5月6日）美國法院陪審團裁定，NSO Group必須支付逾1.6億美元的懲罰賠償，以及逾40萬美元的補償予Meta。儘管NSO Group執行長Yaron Shohat曾宣稱，該公司的財務困難而無力賠償，但Meta指出，陪審團強制NSO Group支付賠償金的決定，將對那些鎖定美國與全球使用者的非法行為及惡意產業帶來威懾效果。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168715"><strong style="font-size: 22px;">Meta開源多項Llama安全護欄工具，防範AI越獄、提示注入、不安全外掛</strong></a></p> <p>近期Meta公開Llama模型安全工具，可用於防範Llama模型越獄、提示注入攻擊，此外也發表SOC AI安全評估工具、以及供企業防止資料外洩、與deepfake詐騙的檢測工具。</p> <p>最新的LlamaFirewall是LLM護欄工具，它作用於使用者和LLM模型、以及模型與代理人之間，可與Meta的防護模型像是Llama Guard、Prompt Guard，以及和CodeShield過濾工具、掃瞄工具協同，以偵測並防止提示注入、不安全程式碼，或是和可疑的LLM外掛互動。</p> <p>Llama Guard 4為可客製化Llama Guard模型的最新版，為120億參數的多模態安全模型，能理解多模態包括文字和圖片輸入。Guard 4並提供多個模型檢查點及互動式notebook方便用戶微調。</p> <p><a href="https://www.ithome.com.tw/news/168721"><strong style="font-size: 22px;">新Microsoft帳戶將預設使用無密碼登入</strong></a></p> <p>為降低密碼洩露造成的資安風險，微軟持續推進無密碼（passwordless）登入機制，他們於5月1日宣布，未來新增的Microsoft帳戶將預設使用無密碼登入，也會改進介面提高使用簡便性。</p> <p>微軟於2021年9月宣布Microsoft帳號全面支援無密碼登入，甚至提供用戶移除所設密碼，允許用戶以臉部、指紋辨識、通行密鑰（Passkey）、Microsoft Authenticator應用程式，以及USB硬體金鑰等機制進行身分驗證。去年，微軟進一步將通行密鑰導入消費性應用程式和服務，例如：Copilot及Xbox。該公司宣稱，超過99%的用戶利用Windows Hello登入Microsoft帳號。</p> <p>此外，未來Windows將採無密碼優先的登入提示機制，而不會直接顯示所有可用登入方式，系統將會自動偵測最佳方法並設為預設。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/168762"><strong>【5月6日】惡意軟體Phorpiex捲土重來，被用於散布LockBit 3.0及其他作案工具</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168745"><strong>【5月5日】臺灣第一座防詐實驗室正式掛牌上路，玉山金揭金融無塵室發展方向</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168725"><strong>【5月2日】思科、Nvida等多家業者在RSAC 2025推出AI資安工具</strong></a></p> </div></div></div>
2025/5/7 13:57作者周峻佑https://www.ithome.com.tw/news/168800
Google釋出Gemini 2.5 Pro I/O版，重點強化程式撰寫與前端開發表現
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google釋出大型語言模型<a href="http://developers.googleblog.com/en/gemini-2-5-pro-io-improved-coding-performance/">Gemini 2.5 Pro I/O版本</a>，作為今年開發者大會Google I/O前的重要預先更新。此次更新針對程式撰寫、使用者介面設計與前端應用開發表現進行強化，並在<a href="https://web.lmarena.ai/leaderboard">WebDev Arena即時對戰平臺</a>領先Claude 3.7與GPT-4.1等先進模型。</p> <p>根據由LMSYS營運的WebDev Arena即時對戰平臺資料，Gemini 2.5 Pro I/O版（gemini-2.5-pro-preview-05-06）獲得1419.95的高分，超越Anthropic Claude 3.7的1357.10，與OpenAI GPT-4.1的1261.35，在眾多語言模型中名列前茅，是目前Web前端開發領域表現最佳的模型。</p> <p>WebDev Arena平臺評估語言模型在前端開發任務中的實用表現，評分依據來自使用者對雙模型輸出的匿名偏好投票，投票結果經由Elo演算法轉換為分數，建立模型間的相對排名。評比重點包含介面邏輯正確性、視覺一致性與開發流程中的可用性。</p> <p>Gemini 2.5 Pro的更新重點，在於提升模型處理前端任務的上下文理解與生成品質，尤其在處理設計樣式細節，還有程式結構變動上表現更為出色。Google指出，該模型不僅可協助完成CSS屬性調整與元件生成，也能針對UI設計原型的風格一致性提供具體建議，有助於既有應用的功能擴充與樣式統一。I/O版也針對函式呼叫的準確率與觸發成功率進行最佳化，使模型在執行多步驟任務時表現更穩定。</p> <p>Google展示了Gemini 2.5 Pro在AI Studio中的應用案例，透過<a href="https://aistudio.google.com/app/apps/bundled/video-to-learning-app?showPreview=true">Video to Learning App</a>流程，將YouTube影片內容轉成互動式學習應用，展現該模型整合視覺理解與前端邏輯建構的能力。</p> <p>目前Gemini 2.5 Pro I/O版已透過Gemini API於Google AI Studio釋出，企業使用者則可透過Vertex AI應用該模型。對於既有開發者而言，若已採用早前的03-25版，無需額外操作即可自動使用新版，且價格維持不變。</p> </div></div></div>
2025/5/7 15:43作者李建興https://www.ithome.com.tw/news/168805
多家英國零售業者傳出遭到勒索軟體DragonForce攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Secureworks於<a href="https://www.ithome.com.tw/news/168743">4月下旬提出警告</a>，勒索軟體駭客組織DragonForce改變經營策略，從原本提供作案工具的租用服務模式（Ransomware-as-a-Service），在3月19日之後開始改以勒索軟體「橫向聯盟（cartel）」名義找尋合作對象。最近兩週，傳出有駭客團體連續對英國零售業者下手，使用的犯案工具就是勒索軟體DragonForce。</p> <p>根據英國廣播公司（BBC）、衛報（The Guardian）、 ITV News、資安新聞網站Bleeping Computer等多家媒體的報導，英國瑪莎百貨（Marks & Spencer，M&S）、連鎖超市Co-op、精品百貨公司哈洛德（Harrods）接連傳出遭到網路攻擊，背後的攻擊者身分，傳出很可能是被稱為Scattered Spider、0ktapus、Octo Tempest、UNC3944的駭客組織所為。</p> <p>5月1日英國國家安全網路中心（NCSC）發布新聞稿證實，<a href="https://www.ncsc.gov.uk/news/retailers-incident">他們的確收到相關網路攻擊事故的通報</a>，並與受害的零售業者進行合作，因應相關資安事故。NCSC也在4日<a href="https://www.ncsc.gov.uk/blog-post/incidents-impacting-retailers">二度發布公告</a>，呼籲企業應參考他們提出的最佳實務指南，防範相關的攻擊行動。</p> <p>而對於攻擊者的身分，NCSC表示尚在調查，無法確定所有的攻擊是否相關，或是由相同駭客犯案。</p> <p>最早傳出遭到攻擊的是瑪莎百貨，該公司<a href="https://www.londonstockexchange.com/news-article/MKS/cyber-incident-update/16999905">於4月22日向英國倫敦交易所通報</a>遭遇網路攻擊事故，並表示他們在察覺此事後對商店進行臨時、局部的調整，來保護客戶。M&S強調，商店、網站、App正常維持運作。</p> <p>該公司也在23日<a href="https://corporate.marksandspencer.com/media/press-releases/cyber-incident-further-update">於網站發布公告</a>，表示他們暫停提供非接觸式付款服務，以及接受網路商店的Click & Collect訂單；25日範圍進一步擴大：<a href="https://corporate.marksandspencer.com/media/press-releases/cyber-incident-further-update-0">他們停止整個網站及App下單的業務</a>。</p> <p>究竟攻擊者的身分為何？<a href="https://www.bleepingcomputer.com/news/security/marks-and-spencer-breach-linked-to-scattered-spider-ransomware-attack/">根據Bleeping Computer的報導</a>，有知情人士向他們透露，攻擊者是Scattered Spider，駭客很可能在今年2月就成功入侵，並竊得NTDS.dit檔案，而能對網域環境上下其手，到了4月24日，這些駭客在VMware ESXi主機部署勒索軟體DragonForce，加密虛擬機器。</p> <p>無獨有偶，<a href="https://www.bleepingcomputer.com/news/security/uk-retailer-co-op-shuts-down-some-it-systems-after-hack-attempt/">4月30日Co-op也傳出網路環境遭到入侵</a>，發言人透露，有人試圖未經授權存取部分系統，該公司採取積極的因應措施來確保系統安全，而對於部分後臺辦公室與客服中心造成影響。但隔日新聞媒體ITV News<a href="https://x.com/ITVJoel/status/1917669565254738138">取得Co-op內部信件</a>，指出員工暫時無法使用VPN存取內部系統，並要求員工在使用Teams及接收郵件必須提高警覺。</p> <p>5月2日，<a href="https://www.bleepingcomputer.com/news/security/co-op-confirms-data-theft-after-dragonforce-ransomware-claims-attack/">Co-op向Bleeping Computer透露新的調查結果</a>，表示他們確認駭客從其中1個系統挖掘資料，內容包含該公司現任及前任員工的資訊，例如：姓名、聯絡方式，但不含他們的密碼及金融資料。</p> <p>Bleeping Computer取得消息人士的說法，得知攻擊手法與瑪莎百貨的事故有所雷同：駭客在4月22日發動社交工程攻擊，得逞後重設員工的密碼，並利用其帳號破壞Co-op的網路環境，試圖取得NTDS.dit檔案。</p> <p>對於攻擊者的身分，<a href="https://www.bbc.com/news/articles/crkx3vy54nzo">BBC指出就是勒索軟體DragonForce的附屬組織</a>，他們與駭客進行對話，對方聲稱握有2千萬參與會員獎勵計畫的客戶資料。</p> <p>駭客聲稱透過Teams向Co-op資安團隊進行勒索，並提供BBC螢幕截圖證明此事。此外，他們也宣稱攻擊了哈洛德百貨。</p> <p>值得留意的是，5月1日哈洛德<a href="https://www.bleepingcomputer.com/news/security/harrods-the-next-uk-retailer-targeted-in-a-cyberattack/">向媒體證實遭遇網路攻擊</a>，但駭客並未得逞，該公司所有店面仍照常營業，為了進行防範，他們還是限制網站的存取，不過，客戶仍可在harrods.com購物。</p> <p>目前這些資安事故已經傳出造成嚴重混亂，<a href="https://www.theguardian.com/business/2025/may/03/inside-the-marks-and-spencer-cyber-attack-chaos">衛報指出</a>，瑪莎百貨因暫停將已經包裝好的食物交給雜貨零售業者歐卡多（Ocado），導致一度有大量食物被迫丟棄。再者，雖然瑪莎百貨執行長Stuart Machin呼籲民眾改到實體門市消費，降低事故帶來的衝擊，但貨架上已出現部分商品被清空的情況，銷售的服飾只剩下零星尺碼，而且，店員無法透過IT系統替客戶確認商品庫存。</p> <p>我們也實際存取Co-op網站確認是否有相關的公告資訊，結果發現，該公司網站出現拒絕存取的錯誤訊息。</p> </div></div></div>
2025/5/7 13:12作者周峻佑https://www.ithome.com.tw/news/168799
Google調查專家：中國網攻威脅達到空前高峰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來中國對臺網路攻擊力道不僅未減，更持續將攻擊目標擴及全球多國政府與民間企業。在美國RSAC 2025資安會議期間，Google在一場針對媒體的資安情資分享會上，將所有討論焦點都放在中國與北韓問題上，而絲毫未提蘇俄與伊朗，就充分顯現中國威脅已成為全球資安最重大的課題。</p> <p>資安業界堪稱APT（Advanced Persistent Threat）調查專家的Mandiant，在過往舉辦的資安情資分享會上，通常都會揭露蘇俄、中國、伊朗及中國等網攻四大寇的最新攻擊手法，不過，在今年四月底這場情資分享會上，主持座談的Google威脅情資副總裁Sandra Joyce（曾是Mandiant執行副總裁），一開場就直接切入中國網路攻擊的問題，她說：「中國近年來持續展現出最有創新性的網路攻擊手法。」如今，中國針對西方國家所發動的網路間諜攻擊行動，不論是數量與強度，都達到了空前的高峰。</p> <p>自從Mandiant在2013年發布APT 1報告，揭露駐扎於上海市浦東新區的中國人民解放軍61398部隊就是中國的網路攻擊部隊之後，Mandiant Consulting技術長Charles Carmakal指出，中國一直持續發動網路間諜攻擊，而且即便美國前總統歐巴馬在2015年與中國簽署互不入侵對方企業網路竊取商業機密的協議，也無助於緩解情勢，他表示，時至今日，中國針對西方企業的網路攻擊與間諜入侵行動，在數量與強度上都飆升到了前所未有的程度。</p> <p>Carmakal指出，現今中國網路攻擊鎖定的目標，幾乎都是中國政府感興趣的對象，比如半導體公司、資訊科技公司、電信公司、政府機關及國防承包商等。如今中國的網路攻擊手法已經不像2015年前那樣大範圍胡亂掃射，而是更聚焦在與中國國家戰略目標高度相關的特定產業與特定組織機構。</p> <p>近年來中國網路攻擊行動已經不再仰賴釣魚郵件等傳統入侵手法，轉而先研究各類資訊產品的漏洞，尤其是一些企業網路與資安防護產品，再利用這些漏洞進行更致命、更難察覺的零時差攻擊（Zero-day exploit）。</p> <p>據Google的調查，中國政府主要透過二種方法掌握資訊產品的漏洞，Carmakal指出，第一種方法是直接購買這些資訊科技產品，透過逆向工程方式進行研究，以找到產品的弱點與軟體弱洞；另一種方式則是透過中國法律獨有的「國有漏洞」制度，據2021年中國發布的《網路產品安全漏洞管理規定》，任何中國公民發現某個產品存在資安漏洞，必須向政府通報，而且不得將未公開的漏洞資訊提供給供應商以外的境外組織與個人，也就是說，任何由中國人民發現的資安漏洞，都將被政府所掌握。<br /> Google威脅情資首席分析師John Hultquist則指出，中國甚至在國內大規模舉辦漏洞發掘競賽，讓參賽者彼此競爭，以找出更多商用資訊產品的漏洞。</p> <p>目前已經有多起事件顯示資訊科技公司遭中國駭客入侵潛伏，Carmakal指出，有好幾家資訊科技公司的內部團隊發現了自家產品資安漏洞之後，遂將相關細節記錄在公司內部的Jira軟體開發專案管理平臺或漏洞追蹤平臺，以便進行後續修補追蹤。然而，Google的團隊卻發現，在這些資訊被記載後的一至兩週內，中國駭客組織就已經迅速將這些漏洞「武器化」，據以發展出惡意程式，並且開始發動網路攻擊，而此時資訊產品原廠甚至還不知情，也來不及釋出修補更新。Carmakal表示，由於近來這類事件屢見不鮮，必須格外密切關注。</p> <p>Hultquist進一步表示，更讓人擔心的是中國政府已經建立一個完整的生態系統來支援網路攻擊行動。這個生態系統涵蓋了各種參與者—包括民間承包商、學術界人士和政府官員等，而這個生態系彼此協調一致的程度，就好像是共同參與一個謓密的彈道飛彈開發計畫，只不過目的是開發網路攻擊所需的各種能力，然後回饋給政府使用。</p> <p>這些能力包括發掘零時差漏洞，甚至建立用來進行指揮與控制（Command and Control, C2）網路攻擊行動的基礎設施。這其中有些承包商可能專門負責建構用來執行C2操作的網路基礎設施，再提供給多個駭客攻擊組織共用。另外也有些承包商，專門依據來自政府的委託執行網路入侵行動，而且可能同時替多個委託單位工作。</p> <p>在這個生態系統中，有些攻擊者會以最簡單、最直接的方法來入侵目標系統，只要達成目的就好。但也有一批很頂尖的高手，例如第一手掌握零時差漏洞、專門針對供應鏈發動攻擊的攻擊者，Hultquist指出：「這些人才是真正讓我們擔憂，必須特別警戒的對象。因為他們也可能是政府最期待看到成果的團隊，也會被要求持續維持高度的攻擊能力。」</p> <p>此外，Google Mandiant還觀察到西方國家的資訊科技公司遭受到越來越頻繁的攻擊，尤其是規模中型的公司，而他們的產品卻廣泛地被大型企業所使用。攻擊者利用這些資訊科技公司的產品漏洞、網路存取權限、數位憑證，或是其他各種手段，來入侵他們的下游客戶，也就是那些大型企業，以達到供應鏈攻擊的目的。</p> <p>現在這種類型的供應鏈攻擊趨勢仍在持續升高，Hultquist提出警告：「這個龐大的生態系統正不斷被灌溉滋養而持續擴張，這導致我們很難全面追蹤這麼多的威脅。」而這個正在快速惡化的問題，也讓整體資安防禦工作變得更加困難，尤其是對手的技術越來越先進，影響範圍越來越大，不得不提高警覺。</p> </div></div></div>
2025/5/7 14:22作者吳其勳https://www.ithome.com.tw/news/168802
xAI員工不慎於GitHub程式碼庫曝露API金鑰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>創辦資安顧問公司Seralys、專門從事滲透測試的<a href="https://www.linkedin.com/posts/caturegli_yo-xai-your-devs-are-leaking-api-keys-on-activity-7321566948020953088-6KXj" target="_blank">Philippe Caturegli 上周於Linkedin上揭露</a>，一名xAI員工不慎將API金鑰上傳至公開的GitHub儲存庫，而且長達兩個月都沒有被撤銷。</p> <p><a href="http://www.linkedin.com/posts/caturegli_yo-xai-your-devs-are-leaking-api-keys-on-activity-7321566948020953088-6KXj" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0517-xAI-Philippe%20CaturegliPhilippe%20Caturegli-2.jpg" style="width: 600px;" /></a></p> <p><a href="http://www.linkedin.com/posts/caturegli_yo-xai-your-devs-are-leaking-api-keys-on-activity-7321566948020953088-6KXj" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Philippe Caturegli </span></span></a></p> <p>資安部落格<a href="https://krebsonsecurity.com/2025/05/xai-dev-leaks-api-key-for-private-spacex-tesla-llms/" target="_blank">KrebsOnSecurity追蹤了整起事件</a>，指出秘密偵測平臺GitGuardian早在今年3月便發現此事，並直接通知該名員工，但相關金鑰一直到4月30日還是有效的，使得GitGuardian轉而通知xAI安全團隊，之後xAI才直接刪除含有API金鑰的GitHub儲存庫。</p> <p>GitGuardian共同創辦人暨執行長Eric Fourrier向KrebsOnSecurity表示，這組API金鑰可用來存取xAI內部的大型語言模型，涵蓋公開、未發布、開發中或私有的AI模型，包括逾60個經過微調的私人模型。其中，有些大型語言模型是根據SpaceX資料進行微調，有些是根據特斯拉資料進行微調，他一點都不覺得基於SpaceX資料進行微調的Grok模型應該被公開。</p> <p>GitGuardian行銷長Carole Winqwist則說，倘若駭客能夠直接存取Grok及其後端介面，便可發動提示注入攻擊以調整模型，或是嘗試於供應鏈上植入程式碼。</p> <p>其實開發人員在GitHub上不小心外洩各種金鑰或憑證時有所聞，該擔心的是他們或他們的雇主似乎已對此事習以為常，低估其潛在嚴重性。</p> </div></div></div>
2025/5/7 14:22作者陳曉莉https://www.ithome.com.tw/news/168801
思科發表量子網路糾纏晶片原型，替量子資料中心鋪路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球網路通訊設備大廠<a href="https://blogs.cisco.com/news/quantum-networking-how-cisco-is-accelerating-practical-quantum-computing" target="_blank">思科（Cisco）周二（5/6）發表量子網路糾纏晶片（Quantum Network Entanglement Chip）</a>，這是一種量子網路設備，能夠建立不管距離多遠都能保持連結的光子對，以替未來的量子資料中心鋪路。同一天也宣布在加州成立思科量子實驗室（Cisco Quantum Labs）。</p> <p>思科解釋，目前量子處理器只具備數百個量子位元，最近的目標也只是在2030年達到數千個量子位元，但應用程式卻需要數百萬個量子位元，現在的量子運算面臨著傳統運算於幾十年前的類似挑戰，量子的未來並不在一個單晶片的量子電腦，而是可拓展的量子資料中心，該資料中心的處理器能夠藉由特殊的網路共同運作。思科計畫中的量子資料中心架構涵蓋了量子硬體、分配量子資源的糾纏管理層，以及將運算任務拆分到不同處理器的運算層。</p> <p>本周現身的量子網路糾纏晶片是思科與加州大學聖塔芭芭拉分校合作開發的原型，它能產生糾纏光子對，透過量子傳態，在任意距離實現量子態的遠端重建，達成瞬間連接。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0507-Cisco-quantum%20network%20entanglement%20chip.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／思科</span></span></p> <p>此一糾纏晶片的特色包括，它利用矽晶片平臺上III-V 半導體波導中的自發四波混頻；以1550 nm的標準電信波長運行，因此可利用現有的光纖基礎設施；晶片上每個通道每秒可產生超過100萬對可用的糾纏光子對，整個晶片每秒最多可產生2億對糾纏光子；室溫下糾纏保真度可達99%，功耗低於1 mW。</p> <p>除了糾纏晶片之外，思科的量子實驗室將負責研究各種量子網路技術，像是量子開關、量子網路介面卡、分散式運算編譯器、各種糾纏分散式協定、量子網路開發套件及量子隨機數產生器等。</p> <p>思科提出了短期與長期的量子網路策略，其中，短期策略是先將量子網路的原理應用於現有的系統上，以立即實現防竊聽的安全通訊，超精確的時間同步，決策訊號，以及安全位置驗證等；長期即是專注於連結真正的量子運算設備，實現分散式量子運算、量子感測及最佳化演算法。</p> <p>思科認為，該公司所採取的量子網路技術，可望將有影響力的量子運算及網路應用從原本需要幾十年的時間縮短到僅需要5~10年。</p> </div></div></div>
2025/5/7 12:30作者陳曉莉https://www.ithome.com.tw/news/168796
Google修補已遭利用的Android漏洞CVE-2025-27363
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://source.android.com/docs/security/bulletin/2025-05-01?hl=zh-tw" target="_blank">Google本周發布Android平臺的5月安全更新</a>，修補45個安全漏洞，並警告其中的CVE-2025-27363可能已遭利用。</p> <p>此一漏洞存在於FreeType中。FreeType是個開源的字型引擎，可用來解析與呈現字型檔案內容，支援點陣字型及向量字型，它並非用來排版，而是專注於將字型資訊轉換成圖形輪廓或點陣圖，讓開發者可在螢幕或列印設備上正確顯示文字。</p> <p>這是由<a href="https://www.facebook.com/security/advisories/cve-2025-27363" target="_blank">Facebook安全團隊在3月所發現</a>，當FreeType在解析TrueType GX與可變字型的子字型結構時，可能會觸發越界寫入漏洞，而允許駭客於系統上執行任意程式碼，波及採用FreeType 2.13.0及以下版本，當時Facebook研究人員便說該漏洞可能已遭到駭客利用。</p> </div></div></div>
2025/5/7 12:44作者陳曉莉https://www.ithome.com.tw/news/168797
資料視覺化系統Kibana再爆高風險原型污染漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Elastic<a href="https://discuss.elastic.co/t/kibana-8-17-6-8-18-1-or-9-0-1-security-update-esa-2025-07/377868">發布安全公告</a>，指出其開源資料視覺化平臺Kibana存在一項CVSS 9.1分的高風險資安漏洞CVE-2025-25014，該漏洞屬於原型污染（Prototype Pollution），攻擊者可藉由特製HTTP請求，針對啟用機器學習與報表功能的Kibana實例觸發任意程式碼執行，影響層面涵蓋自架環境與Elastic Cloud使用者。</p> <p>根據Elastic說明，此漏洞影響Kibana 8.3.0至8.17.5、8.18.0以及9.0.0版本，在同時啟用機器學習與報表功能的條件便會產生攻擊面，攻擊者透過特製惡意載荷進行原型鏈（Prototype Chain）汙染後，最終得以控制執行流程。儘管漏洞需在通過Kibana內部權限驗證的前提下才能觸發，但由於攻擊可在無使用者互動的情況下實現遠端程式碼執行，Elastic仍根據CVSS標準將其評為嚴重等級。</p> <p>Elastic已針對上述漏洞推出修補版本8.17.6、8.18.1與9.0.1，建議所有受影響部署盡速升級。若無法立即升級，官方建議暫時停用任一功能作為緩解措施，包含於設定檔kibana.yml中將xpack.ml.enabled或xpack.reporting.enabled設定為false，以阻斷攻擊鏈。</p> <p>原型污染是JavaScript生態系中常見的資安漏洞類型，攻擊者可藉由修改物件的原型結構，間接影響整個應用程式的執行邏輯。這類問題常見於Node.js應用，尤其在前後端皆採JavaScript技術的系統更為普遍。</p> <p>Kibana是建構於Node.js與Elasticsearch之上的資料分析介面，廣泛部署於需處理大量資料的業務場景。本次事件揭示其部分功能模組對外開放所可能帶來的潛在攻擊面，Elastic雖未說明該漏洞是否已遭實際利用，但從其CVSS評分、觸發條件與可能影響來看，皆顯示其風險不容輕忽。</p> <p>而這也並非Kibana首次傳出原型污染相關漏洞，如今年3月，Elastic才剛<a href="https://www.ithome.com.tw/news/167726">修補</a>另一項編號為CVE-2025-25015的重大漏洞，該漏洞同樣涉及透過特製HTTP請求，或檔案上傳觸發任意程式碼執行，當時CVSS風險評分更高達9.9分。</p> </div></div></div>
2025/5/7 12:56作者李建興https://www.ithome.com.tw/news/168798
微軟Copilot+ PC新增能變更設定的AI代理人、Click to Do功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.windows.com/windowsexperience/2025/05/06/introducing-a-new-generation-of-windows-experiences/" target="_blank">微軟本周公布Copilot+ PC專用的AI代理人</a>，能聽從用戶指令，變更電腦設定，此外也正在測試Click to Do代理人新功能。</p> <p>微軟最近為Windows 11的設定做了一些功能變更，像是增加左邊控制欄的互動性，但微軟說有許多用戶反應希望能更快找到設定，且能直接變更，藉此為PC排除問題。</p> <p>最新AI代理人是包含在新版「設定」中。用戶只需描述想做什麼變更，它就會利用Windows上的AI來理解用戶意圖，並且在取得用戶同意下，自動化執行任務。例如用戶可以在文字提示中輸入「我的滑鼠游標太小了」或「如果語音控制我的電腦」，代理人會先建議正確步驟。如果用戶表達同意，且由用戶發動要求，代理人還可代用戶變更設定。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0507-Agent%20in%20Windows%20Settings-microsoft-2.png" style="width: 600px;" /></p> <p>這功能會先提供給使用Snapdragon-based Copilot+ PC的Insiders方案測試用戶，之後再推向AMD及Intel-based Copilot+ PC。一開始本功能只支援英文提示。</p> <p>其他代理人還有Click to Do。微軟正在Insiders方案測試為Click to Do加入Ask Copilot，允許用戶下達命令操作從圖片剪下文字、為文字重點摘要、從圖片移除物件或背景，或叫Microsoft 365 Copilot在Word草擬內容。Click to Do還可操作Reading Coach及Immersive Reader，提升讀文效果。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0507-Copilot%2B%20PC-Windows%20Insiders-Click%20to%20Do-2.png" style="width: 600px;" /></p> <p>之後Click to Do增加的功能包含排程會議、或從郵件中發出Teams訊息、將螢幕表格送到Excel中。以Windows key +滑鼠點擊、Windows鍵+ Q從開始選單，即可叫出Click to Do。</p> <p>其他Copilot+ PC功能還有Photos應用程式的Relight，可改善照片光線效果或創造藝術效果；小畫家的貼紙生成器（Sticker Generator）及物件選取（object select）；剪貼工具的完美截圖（Perfect Screenshot）可自動調整截圖區域，緊密框選螢幕上最顯著的內容，並提供手動微調選項。以及更強的Voice Access（語音控制）及Narrator等功能。這些功能有的會先推向Insiders用戶，有的先提供Snapdragon X系列Copilot+ PC上提供，之後支援AMD與Intel設備。<span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> </div></div></div>
2025/5/7 11:53作者林妍溱https://www.ithome.com.tw/news/168793
美國陪審團要NSO Group支付1.6億美元的賠償金予Meta
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>經過5年的審理，美國法院陪審團周二（5/6）裁定以色列資安業者NSO Group必須支付逾1.6億美元的懲罰賠償，以及逾40萬美元的補償予Meta。儘管NSO Group執行長Yaron Shohat早就宣稱該公司的財務困難，無力支付賠償金額，<a href="https://about.fb.com/news/2025/05/winning-the-fight-against-spyware-merchant-nso/" target="_blank">但Meta指出</a>，陪審團強制NSO Group支付賠償金的決定，將對那些鎖定美國與全球使用者的非法行為及惡意產業帶來威懾效果。</p> <p><a href="https://www.ithome.com.tw/news/133908" target="_blank">Meta是在2019年控告NSO Group</a>，原因是NSO Group利用Meta家族程式WhatsApp的安全漏洞，於超過1,400個行動裝置上植入了該公司所開發的Pegasus間諜程式，以竊取裝置上的電子郵件、簡訊內容，甚至可自遠端啟用手機麥克風與攝影機。</p> <p>美國法官Phyllis Hamilton<a href="https://storage.courtlistener.com/recap/gov.uscourts.cand.350613/gov.uscourts.cand.350613.494.0_1.pdf" target="_blank">去年12月對此案作出裁決</a>，認為NSO Group違反美國《電腦詐欺與濫用法案》（Computer Fraud and Abuse Act，CFAA），加州《電腦資料存取與詐欺法案》（Computer Data Access and Fraud Act，CDAFA），也違反了WhatsApp的服務條款。</p> <p>2010年於以色列創立的NSO Group雖然宣稱所開發的技術，是用來幫助各國政府發現及預防恐怖主義與犯罪，卻被不少組織發現相關技術其實被用來監控與追蹤人權鬥士或異議人士，同時廣泛地尋找各種平臺、程式或軟體的安全漏洞，以用來植入間諜程式。</p> <p>Meta指出，NSO Group在審訊中被迫承認，該公司每年支出數千萬美元來開發各種惡意軟體安裝方法，危害Android及iOS裝置，WhatsApp並非NSO Group的唯一目標，這是一個泛產業的威脅，需要大家共同防禦。</p> <p>另一方面，根據<a href="https://www.courthousenews.com/israeli-spyware-company-ceo-testifies-in-meta-damages-trial/#:~:text=When%20asked%20about,water%2C%E2%80%9D%20Shohat%20said." target="_blank">Courthouse News Service的報導</a>，曾經出庭作證的NSO Group執行長Yaron Shohat否認該公司曾參與任何間諜行為，澄清他們只是政府的承包商，替政府機關開發網路情報工具。Shohat還向陪審團展示了NSO Group這兩年的財報，顯示該公司在2023年虧損近900萬美元，2024年虧損超過1,200萬美元，還說NSO Group應該付不起任何賠償金額。</p> </div></div></div>
2025/5/7 10:33作者陳曉莉https://www.ithome.com.tw/news/168791
Nvidia開源AI語音辨識模型Parakeet TDT 0.6B
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://huggingface.co/nvidia/parakeet-tdt-0.6b-v2" target="_blank">Nvidia本周開源</a>支援語音辨識及聽寫專用的AI模型Parakeet TDT 0.6B，可用於對話式AI、語音助理或是需要生成字幕的服務。</p> <p>Parakeet TDT 0.6B為6億參數的自動語音辨識（automatic speech recognition,ASR）模型，專為高品質英語聽寫（transcription）而設計。</p> <p>Parakeet TDT 0.6B為FastConformer架構的XL變種，整合TDT解碼器，並以全注意力（attention）機制訓練而成，它具有很高的語音聽寫速度，一次single pass最長可聽寫24分鐘語音。Parakeet TDT 0.6B在HF-Open-ASR得分榜上達RTFx 3380，詞錯誤率（word error rate）為6.05%，優於其他開放模型。</p> <p>在功能上，Parakeet TDT 0.6B，支援自動斷句、首字母大寫及精準預測字時戳，在口說數字和歌詞的聽寫效能尤佳。支援音源檔案格式涵括.wav和.flac檔。</p> <p>Parakeet TDT 0.6B以寬鬆的CC-BY-4.0授權開源，<a href="https://huggingface.co/nvidia/parakeet-tdt-0.6b-v2/blob/main/README.md" target="_blank">現在已在Hugging Face網站公開</a>。</p> <p>Nvidia表示，該模型支援使用情境涵括需要文字聽寫的開發人員、研究人員、學術和產業人士，其應用包括對話式AI、語音助理、聽寫服務、字幕生成和語音分析平臺。</p> <p>Parakeet TDT 0.6B經過優化，適合執行在Nvidia硬體如GPU，及軟體框架（像是CUDA函式庫）上，能比在純CPU環境上獲致更快的訓練和推論時間。它支援Linux 及NVIDIA Ampere、Blackwell、Hopper與Volta等架構的硬體平臺，RAM最少要2GB。</p> <p>若要操作Parakeet TDT 0.6B或訓練、微調，系統必須安裝Nvidia NeMo工具套件，最好也安裝最新PyTorch版本。</p> </div></div></div>
2025/5/7 10:39作者林妍溱https://www.ithome.com.tw/news/168792
Hugging Face公開AI代理人Open Computer Agent，能使用模型生成圖片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://huggingface.co/spaces/smolagents/computer-agent" target="_blank">Hugging Face昨（6）日公布</a>會使用工具的AI代理人Open Computer Agent，能幫用戶查詢Google Map、維基百科或生成圖片。</p> <p>Open Computer Agent是結合函式庫smolagents、語言模型Qwen2-VL-72B及虛擬桌機E2B Desktop開發而成。Open Computer Agent類似OpenAI的Operator代理人，<a href="https://huggingface.co/spaces/smolagents/computer-agent" target="_blank">目前為一Web服務</a>，允許用戶輸入自然語言文字提示，代用戶執行任務。例如利用Google Maps查詢某公司位置、從瑞士伯恩搭火車到巴塞爾所需時間，或是到Hugging Face Space尋找圖片生成模型Flux 1，再輸入提示讓它生成GPU圖片。</p> <p><a href="https://www.linkedin.com/posts/a-roucher_%F0%9D%97%9F%F0%9D%97%AE%F0%9D%98%82%F0%9D%97%BB%F0%9D%97%B0%F0%9D%97%B5%F0%9D%97%B6%F0%9D%97%BB%F0%9D%97%B4-%F0%9D%97%96%F0%9D%97%BC%F0%9D%97%BA%F0%9D%97%BD%F0%9D%98%82%F0%9D%98%81%F0%9D%97%B2%F0%9D%97%BF-%F0%9D%97%A8%F0%9D%98%80%F0%9D%97%B2-activity-7325549339538305024-H0Rp" target="_blank">Hugging Face的代理人部門主管Aymeric Roucher說明</a>，日愈強大的視覺模型可用於複雜的代理人工作流程，而且Qwen-VL支援內建grounding功能，可辨識出圖片中任一元素的位置（座標），進而做到點擊螢幕截圖中的任何項目，好比人用滑鼠點選畫面上的按鈕或圖示。這代表模型不只是「看得懂圖片內容」，還能對圖片進行互動，這也實現Open Computer Agent自動化代理人的能力。</p> <p>Hugging Face提醒，Open Computer Agent會儲存用戶活動，若不想被紀錄，用戶可以在左邊欄的「store task and agent trace?」取消勾選。而且Open Computer Agent使用的VM會被前往的網頁偵測而以CAPTCHA阻擋，這時需要人力解決。此外，目前Open Computer Agent反應時間有點慢，可能要等上數秒，有時還會卡住不動，重刷網頁即可重新啟動。</p> <p>其他主要AI公司也都推出能使用工具的代理人。<a href="https://www.ithome.com.tw/news/167523" target="_blank">OpenAI的Operator</a>開放付費用戶使用，<a href="https://www.ithome.com.tw/news/167634" target="_blank">Google Gemini則有Project Astra</a>，能在混合及多種語言環境下轉換語言，以多種語言解決複雜主題的問題、或使用Circle to Search翻譯菜單文字。</p> </div></div></div>
2025/5/7 09:34作者林妍溱https://www.ithome.com.tw/news/168790
【2025臺灣資安年鑑｜數發部數產署署長林俊秀】臺灣面對全球數位浪潮的挑戰，政府與產業攜手轉型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在全球數位浪潮席捲之際，臺灣正積極推動各項數位轉型計畫，藉由政府與產業界的緊密合作，期盼能在全球數位產業鏈中占據更有利的地位。面對人才短缺、資金瓶頸與市場通路等多重挑戰，數位發展部數位產業署署長林俊秀表示，數位產業署以其「三支箭」策略（數位信任、數位韌性、數位經濟）為主要核心，不僅著力於防詐、打詐，更以創新與跨部會的協同合作為利器，積極推動臺灣資安、人工智慧（AI）及新興技術的發展。</p> <p>數位產業署也在這一波全球數位轉型的浪潮中，扮演著關鍵角色，林俊秀坦言，這關乎幾個議題：臺灣如何在全球數位產業鏈中占據一席之地？如何面對內外在的挑戰？以及政府又將如何引領臺灣數位產業邁向新的里程碑。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>建立數位信任，推動資安和AI產業發展</strong></span></span></p> <p>政府施政的核心，在於兼顧防弊與興利，落實全民數位轉型。林俊秀表示，過去兩年中，數位產業署透過《電子簽章法》與《詐欺犯罪危害防制條例》等法令，加強打詐措施，並積極推動「三減目標」──減少接觸、減少誤信、減少損害。</p> <p>根據數位產業署目前的統計資料指出，他們已蒐集高達將近7百萬筆（689萬）筆高風險廣告數據，其中金融投資詐騙案例超過八成（86.27％），並以此數據建立詐騙樣態分析系統，運用AI技術及深偽（DeepFake）辨識，為網路詐騙預警提供技術支撐。林俊秀強調，若民眾對網路或數位平臺失去信心，將直接影響整個產業的發展，因此建立「數位信任」是政府工作的基石。</p> <p>他也表示，數位產業署同時負責強化國內資安防護，所以推動資安產業的蓬勃發展也是當務之急。</p> <p>林俊秀進一步提到，臺灣在資安產業方面已有不俗表現，許多新創公司如雨後春筍般湧現，政府透過與臺積電、國際半導體產業協會（SEMI）的合作，推動全球首個由臺灣主導制定的半導體設備資安標準（SEMI E187）。</p> <p>此外，林俊秀表示，數位產業署積極輔導各產業成立資安檢測團隊，並與公協會聯手，成立了資安強化工作小組（Special Interest Group，SIG），協助企業全面檢視公司資安防護現況，光是在2024年底，已與生醫、能源、精密製造等29個協會合作，協助超過385家企業進行資安評級，進一步提升產業整體防護能力及各產業資安意識。</p> <p>「從打詐防弊到興利創新，都是數位產業署肩負的重要使命。」林俊秀認為，在「發展數位經濟」方面，數位產業署將重點放在推動AI產業發展上，除了利用國發基金匡列100億元推動「加強投資AI新創實施方案」，數位產業署還著手打造產業AI算力平臺，採用最新的輝達與AMD晶片資源，提供免費算力給新創團隊訓練模型。</p> <p>面對AI人才的議題，林俊秀則說，政府從高中生啟蒙到在職技術精進，透過「以戰代訓」的模式培育AI人才，使臺灣AI產業逐步形成產業生態，並促進跨部會合作以整合算力、人才與資金，藉此推動中小企業及各行各業導入AI技術，成為實現創新與永續發展的重要驅動力。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0507-%E8%B3%87%E5%AE%89%E5%B9%B4%E9%91%91-%E6%9E%97%E4%BF%8A%E7%A7%80-%E6%8A%BD%E8%A8%801.png" style="width: 600px;" /></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>人才、資金與通路是產業發展的三大瓶頸</strong></span></span></p> <p>林俊秀坦言，臺灣數位產業發展面臨的首要挑戰是人才不足，對於傳統教育體系而言，往往難以快速跟上數位科技與新興技術的發展，許多先進的領域，如人工智慧、資料科學、智慧物聯網（AIoT）等，都亟需大量專業人才。</p> <p>面對這一困境，他指出，政府不僅推動校內教育改革，更積極與民間機構合作，如與TAIA（臺灣人工智慧學校）共同推動「以戰代訓」模式，將實戰訓練融入人才培育計畫中。此舉不但彌補現有教育資源的不足，也縮短從學習到實戰的過渡期，培養出能夠直接投入產業應用的人才。</p> <p>資金投入方面，數位轉型亦面臨新創企業資金不足的問題。林俊秀指出，雖然國發基金已投入一百億元支援AI新創，但許多規模較小的新創團隊依然難以募集到足夠資金，尤其在新科技研發與市場拓展過程中，龐大的資金需求往往成為阻礙發展的絆腳石。</p> <p>相比之下，他發現，國外許多新創企業能夠在成功後吸引投資人持續回流，形成良性循環，而臺灣在這方面仍顯不足。為此，政府希望能夠吸引更多懂得新興科技的創投力量，搭配公私部門合作，降低投資風險，從而促使更多技術創新和產品商業化落地。</p> <p>另一方面，市場通路也是臺灣企業亟需突破的瓶頸。林俊秀認為，臺灣企業長期以來專注於研發和硬體製造，但在市場行銷與國際市場拓展上，常顯得力不從心。而數位產業的特性就是「無國界」，僅依賴國內市場無法滿足全球需求，為此，林俊秀鼓勵企業在初期商業計畫書（BP）中，就應以全球市場為目標，積極尋找國際合作夥伴、聘請具國際視野的人才，並研究如何透過全球化策略擴展銷售通路。「唯有如此，才能打破產業規模受限、轉型進程緩慢的窘境。」他說。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>借勢雲端，推動傳統產業數位轉型</strong></span></span></p> <p>在推動傳統產業數位化方面，數位產業署同樣投入大量資源，協助中小企業克服技術、資金及人才門檻。</p> <p>林俊秀以臺灣雲市集平臺為例，政府自2021年7月起推出此平臺，依靠訂閱制及少量補助，讓各行各業能夠輕鬆採用雲端軟體工具進行轉型。</p> <p>截至2024年3月15日為止，臺灣雲市集已協助超過6萬8,000家次企業上雲，帶動超過11億元投資以及26億元商機。他表示，這樣的雲端服務平臺模式，不僅降低了中小企業進行數位轉型的初期成本，也為資訊服務產業創造了新的商機和市場契機。</p> <p>此外，數位雲服務研發補助計畫也著重於：促進軟體與資訊服務企業利用AI、雲端技術開發智慧便捷的雲端服務，協助各行各業降低營運成本，提高效率，並推動數位轉型的落實。</p> <p>然而，林俊秀惋惜指出，因為今年預算遭到刪減等因素，部分補助計畫，如「數位雲服務研發補助計畫」，面臨暫停申請的局面，這對產業界的確帶來一定衝擊，但也促使政府在未來政策調整中，更加審慎平衡各項資源分配。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>數位信任與資安防護，為數位產業發展奠基</strong></span></span></p> <p>數位產業發展的根本，在於「數位信任」，林俊秀表示，數位安全是促進數位經濟健康發展的重要基石，政府積極推動無密碼辨識技術（FIDO），以及隱碼技術，透過修訂《電子簽章法》與相關子法，落實帳號安全、個資保護與網路交易安全。</p> <p>他認為，這些措施不僅能夠降低被盜用風險，也為各產業提供了建立數位信任的技術支持；數位產業署更透過與第三方支付平臺及網路廣告平臺的合作，推動跨部會聯合打詐，建立完善的詐騙案例數據庫與AI樣態分析系統，協助業界提前預警並迅速辨識可疑行為，確保民眾在享受數位生活便利的同時，免受詐騙與資安威脅的侵害。</p> <p>「數位信任的建立不僅關係到個人資訊安全，也直接影響到整個數位產業的信譽與發展前景。」林俊秀指出，唯有讓民眾在網路交易與數位生活中感受到安全與可靠，臺灣數位產業才能真正躍上國際舞臺，成為全球可信賴的產業生態系。</p> <p>面對數位產業的發展，林俊秀表示，數位產業署將AI技術列為推動臺灣數位經濟發展重點領域。他強調，AI技術既是數位信任的核心，更是一個帶動軟硬整合、創新應用的重要引擎。</p> <p>他表示，政府除了持續投入資金建構AI算力平臺、提供算力資源之外，更透過多元人才培育模式，從高中生啟蒙到技術精進，全面打造AI生態圈。</p> <p>同時，爭取匡列國發基金作為長期資金火車頭，協助業者進行技術研發與市場拓展，成為臺灣數位經濟轉型的重要推手。</p> <p>除了AI，數位產業署也將眼光投向Web3、區塊鏈、元宇宙等新興技術。林俊秀指出，區塊鏈技術在臺灣的應用目前尚停留在虛擬貨幣及NFT層面，但是，數位產業署仍持續關注這些技術的未來潛力。</p> <p>而元宇宙的發展則建立在AR（擴增實境）∕VR（虛擬實境）技術基礎上，他表示，政府透過提供實證展示平臺及跨界交流場域，推動沉浸式內容應用，助力新興數位內容產業的轉型升級。</p> <p>他坦言，儘管面對預算削減等現實挑戰，政府仍不放棄在新興技術領域探索創新應用的可能性，並積極藉由與業界合作、參與國際合作計畫等方式，力圖在全球數位轉型中保持競爭優勢。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0507-%E8%B3%87%E5%AE%89%E5%B9%B4%E9%91%91-%E6%9E%97%E4%BF%8A%E7%A7%80-%E6%8A%BD%E8%A8%802.png" style="width: 600px;" /></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>臺灣具有硬體優勢，缺乏國際行銷視野</strong></span></span></p> <p>儘管臺灣在數位轉型的道路上已取得多項成果，但林俊秀也坦言，推動數位產業最困難的部分在於思維模式的轉型與資源落差的彌補。</p> <p>他認為，臺灣長期以來以硬體製造為主的產業模式，難以直接套用於軟體與數位經濟領域，這就需要在政策與產業實務上不斷創新與調整。</p> <p>事實上，臺灣擁有深厚的硬體製造基礎、成熟的電子電機產業以及完整的產業鏈優勢，這些都為數位轉型提供了堅實的基礎，也讓臺灣在全球數位產業鏈中，得以扮演關鍵的角色。</p> <p>不過，林俊秀表示，臺灣廠商在設計製造及產品整合方面，具有較高的技術水準，但在市場行銷、國際通路拓展及全球化經營方面，仍存在不足。他指出，部分企業因為缺乏「Born Global」的國際視野，導致在開拓海外市場時，面臨重重挑戰。</p> <p>在國際市場合作上，數位產業署持續積極協助臺灣企業參與國際產業論壇、智慧城市展，以及與歐洲復興開發銀行、亞洲開發銀行等國際金融機構，展開合作，藉由跨國交流，拓展海外市場與獲取國際資金支持。</p> <p>雖然近期因預算大幅削減，而使得部分國際合作計畫被迫縮減或是取消，但是，林俊秀依然看好臺灣在全球數位產業中的潛力，認為美中貿易戰等地緣政治因素，反而能促使臺灣強化資安與AI領域，成為可信賴的供應鏈夥伴。</p> <p>「臺灣應利用自身在資通訊領域累積的優勢，積極推動跨部會協作與國際連結，」他強調，藉由建立良好的互信機制，逐步提升國際能見度與市場競爭力，進而在全球數位產業中開創嶄新的局面。</p> <p>林俊秀指出，臺灣數位產業的長期願景在於：打造全球可信賴的數位生態系統，既能滿足國內需求，也能在全球競爭中展現臺灣智慧。以硬體製造為基礎，再結合資安、AI，以及新興技術，臺灣有潛力成為國際間數位產業的重要樞紐，推動整個國家的經濟成長與民眾生活品質的提升。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>數位產業發展目標：從兆元營收到「讓民眾過好日子」</strong></span></span></p> <p>發展數位產業時，數位產業署也要面對部會間需要積極溝通協調、預算穩定度不足，以及國際連結不夠等問題。所以，林俊秀表示，政府也必須採取更加靈活且具前瞻性的策略，讓產業在政府點火後能夠自主發展。</p> <p>他指出，政府將持續整合內部資源，並進行跨部會協作，輔導與投資數位產業；同時，通過完善法規、加強資安防護，以及推動創新技術，政府希望能夠打造安全、透明、可信賴的數位環境，進而吸引更多國內外投資者參與臺灣數位經濟的建設。</p> <p>展望未來三至五年的發展，他表示，數位產業署將以穩固基礎、擴大國際合作為重點，並逐步將資源轉向其他新興產業，以達到由政府引導、市場自行運作的良性循環。</p> <p>從數位信任到全球市場、從人才培育到資金投入，林俊秀認為，政府與業界必須齊心協力，才能克服內部溝通、預算不穩定與市場拓展等多重挑戰，讓臺灣在全球數位競爭中立於不敗之地。</p> <p>展望未來，林俊秀期許臺灣數位產業能夠藉由「以戰帶訓」的模式、跨界整合的新策略，以及政府政策的引導，實現從硬體製造到軟體服務的全面升級，最終，可以成為國際舞臺上不可或缺的數位強國。</p> <p>數位產業署最終目標在於：推動臺灣數位產業成為全球兆元經濟重要支柱。林俊秀明確表示，政府將以部長提出的「兆元產業」為宏大目標，並計畫在2026年實現相關產業產值的突破。</p> <p>林俊秀用一句話總結道：「發展數位產業，就是讓民眾過好日子。」這既是他對臺灣數位產業未來的期許，也象徵著政府與產業界共同追求的目標。</p> <p>他認為，只有當產業真正帶來國民收入與生活品質的提升，數位轉型才具有真正的價值與意義。數位轉型的終極目的不僅在於提升產業競爭力，更在於藉由創新驅動，最終改善國民所得與生活品質。</p> <p><a href="https://www.tenlong.com.tw/products/9789860654349?list_name=srh" target="_blank"><span style="color: rgb(51, 102, 255);"><strong>本文出自《CYBERSEC 2025 臺灣資安年鑑》</strong></span></a></p> <p><a href="https://www.tenlong.com.tw/products/9789860654349?list_name=srh" target="_blank"><span style="color: rgb(51, 102, 255);"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/2025%E8%B3%87%E5%AE%89%E5%B9%B4%E9%91%91%E5%B0%81%E9%9D%A2.png" style="width: 350px;" /></strong></span></a></p> </div></div></div>
2025/5/7 07:00作者黃彥棻https://www.ithome.com.tw/news/168476
Amazon Nova Premier多模態基礎模型上線，可用於複雜任務協作與模型蒸餾
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS正式於Bedrock平臺<a href="https://aws.amazon.com/tw/blogs/aws/amazon-nova-premier-our-most-capable-model-for-complex-tasks-and-teacher-for-model-distillation/">推出Nova Premier基礎模型</a>，該模型具有處理多模態輸入與高複雜度任務的能力，並可作為模型蒸餾的教師模型。Nova Premier同時也是AWS目前能力最強的Nova模型，其設計目標不僅在於執行推理任務，更涵蓋跨工具協作、多階段任務規畫與長上下文理解。</p> <p>Nova Premier在輸入形式上支援文字、圖像與影片，具備高達一百萬Token的上下文處理能力，因此可被用於處理大型技術文件、龐大程式碼庫或多來源資訊整合的情境。AWS指出，該模型已通過17項內部基準測試，綜合表現優於Nova Pro與Lite，並在與業界同級模型的對比中，約半數項目表現相當或更具優勢。</p> <p>Nova Premier模型目標用戶鎖定需要跨資料源整合、策略性任務分解與結果組織的應用場景，例如金融研究、法律分析或大型企業知識圖譜建構。</p> <p>AWS以投資研究為例展示該模型在多代理人架構中的應用。由Nova Premier擔任總控代理人，負責分析查詢、指派子任務給不同子代理人，像是由Nova Pro驅動的資料分析模組，最終整合來自不同金融資料來源的結果，生成完整分析報告。該架構凸顯Nova Premier在複雜任務協調中的角色，具有辨識任務結構、分派處理流程與整合多重結果的能力。</p> <p>除了作為推論模型，Nova Premier也能扮演教師角色，透過Amazon Bedrock的模型蒸餾流程，可自動產生高品質的訓練資料，以蒸餾出Nova Pro、Lite或Micro等較小模型的特定版本，進一步減少部署成本與執行延遲。</p> <p>Nova Premier目前已於美國三個AWS區域N. Virginia、Ohio與Oregon上線。使用者可透過Amazon Bedrock申請模型存取權，並透過Converse API發送訊息內容，包含多模態輸入，獲取回應。</p> </div></div></div>
2025/5/7 07:00作者李建興https://www.ithome.com.tw/news/168779
勒索軟體Babuk繞過EDR防護出現新手法，利用本機安裝程式達到目的
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了讓攻擊行動能順利進行，不被受害企業組織察覺異狀，駭客通常會試圖左右防毒軟體及EDR系統的運作來達到目的，其中一種最常見的手法，是利用存在弱點的舊版驅動程式來進行，<a href="https://www.ithome.com.tw/tags/byovd">這種手法被稱為自帶驅動程式（Bring Your Own Vulnerable Driver，BYOVD）</a>，如今駭客自行攜帶合法檔案的做法出現了變化。</p> <p>保險業者怡安（Aon）旗下的事件回應服務團隊Stroz Friedberg近期觀察到一種運用於實際攻擊行動的新手法，駭客為了迴避SentinelOne端點代理程式的系統偵測與防竄改能力，<a href="https://www.aon.com/en/insights/cyber-labs/bring-your-own-installer-bypassing-sentinelone">他們竟濫用此EDR系統的端點代理程式安裝檔來達到目的</a>，從而成功於受害電腦部署勒索軟體Babuk。研究人員將這種過往未曾出現過的手法，稱做「自帶安裝程式（Bring Your Own Installer）」。</p> <p>對此，怡安向SentinelOne通報他們的發現，該資安業者迅速做出回應，向用戶發布緩解問題的指引。SentinelOne指出，針對本機代理程式升級或降級的作業，管理者可啟用通過線上批准（Online Authorization）的機制來進行審核，來防範相關攻擊。不過值得留意的是，這項政策並未預設啟用，管理者必須手動開啟。</p> <p>針對這起事故發生的過程，怡安指出駭客先是藉由應用系統的已知漏洞，從能夠公開存取的伺服器得到本機管理權限，然後產生多個SentinelOne安裝檔案，這些安裝程式全數具備合法簽章。但究竟駭客如何取得合法的安裝程式，研究人員並未說明。</p> <p>研究人員根據受害電腦的事件記錄資料，指出駭客很可能利用本機升級、降級過程出現的弱點，而能繞過EDR系統的防護。後續他們進一步確認，受害組織並未啟用線上批准機制，使得駭客能在本機執行安裝程式，進行升級或降級的作業。不過，攻擊者又是如何入侵其他部署SentinelOne代理程式的電腦，研究人員沒有交代。</p> <p>究竟駭客濫用合法安裝程式升級或降級的目的為何？怡安指出，MSI安裝檔案在執行的過程裡，會將原本部署代理程式所有的處理程序停用。</p> <p>為了確認駭客的手法，他們架設了實驗環境進行驗證，結果發現在執行MSI檔案之後，電腦就會逐步終止原本端點代理程式的處理程序，約在安裝程式將元件更新前的55秒，會全部停止。換言之，這讓駭客有機可乘，只要此時終止msiexec.exe中斷安裝流程，就能達到停用EDR代理程式的目的。</p> </div></div></div>
2025/5/6 15:55作者周峻佑https://www.ithome.com.tw/news/168773
【臺灣資安大會直擊】惡意程式樣本分析費時費力？資安研究人員運用LLM打造全天全年無休的資安研究助手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>ChatGPT帶動LLM大語言模型應用興起，資安防禦運用LLM也成為外界關心的議題之一，TXOne資安團隊在今年臺灣資安大會分享如何運用LLM技術打造逆向資安專家，7x24監控異常行為，當發現異常事件時向資安團隊提出示警。</p> <p>TXOne資安威脅研究員Yi-An Lin首先指出，資安人員所面臨的難題，根據牛津大學一篇論文顯示，高達99%的大多數警示是誤報，資安專家通常要花費許多時間排查誤報，才能專注處理真正異常警示，例如過去惡意程式Emotet出現，微軟Defender曾因為設定較嚴格的條件，發出誤報警示，儘管微軟事後澄清為誤報，但是資安人員仍花費不少時間排查誤報。</p> <p>Yi-An Lin表示，即使最後查出的可疑樣本，現代偵測引擎有許多的限制，同一個樣本在不同資安廠商的偵測引擎中的惡意程式分類標籤也不一樣，資安人員需要投入許多時間閱讀許多的資料，研究惡意樣本為何會被歸類為特定類型的惡意程式，並且不容易瞭解哪些程式碼導致惡意行為。</p> <p>偵測引擎的一些使用限制，例如「特徵碼比對」（Signature Matching）結果，通常使用Yara規則來判斷，但是很難從判別的字符結果，掌握不同行為之間的關聯及它所代表的意義，而使用「動態分析」（Dynamic Analysis）雖然有利用沙盒環境實驗惡意程式，有助資安人員掌握惡意程式不同行為間的關聯，但是執行動態分析耗費不少時間之外，也可能面臨反分析的種種手法，例如要求輸入特定的Key才能執行惡意程式。</p> <p>另外，如果參考EDR/XDR提供的威脅報告，雖然可以關聯圖呈現事件內不同事件的關係，但是仍缺乏說明解釋，需要研究人員進一步去釐清。</p> <p>上述種種偵測引擎的隱藏限制，提高資安分析團隊在分秒必爭的資安攻防戰下，快速分析研究惡意程式的難度，因此TXOne團隊研究如何運用LLM，協助提高資安威脅研究工作的效率。</p> <p><span style="color:#B22222;"><strong>已有研究論文基礎</strong></span></p> <p>Yi-An Lin表示，TXOne參考微軟曾發表的論文，研究以ChatGPT/GPT4及其他LLM模型解析Binary code，以比較不同模型的表現，該研究利用LLM的自然語言處理來摘要解析Binary code，發現平均的語意相似度達到程式碼的4成7。</p> <p>TXOne受到啟發，嘗試讓LLM能夠更加理解程式碼所執行的動作，因此他們再參考其他幾篇論文，其中一篇將程式轉為控制流程圖，再將流程圖輸入神經模型，讓模型以比較連續性方式理解程式；另一篇論文則是根據行為模式來提高對惡意程式判斷的準確性，例如可疑程式創造一個檔案後，再執行一個行為，例如註冊或反安裝程式，從一連串行為鏈來提高對惡意程式的判斷準確性。</p> <p>參考上述研究論文成果，TXOne團隊探索能不能透過LLM幫助資安人員識別惡意程式。</p> <p>逆向資安威脅研究專家如何利用行為鏈來判別惡意程式？TXOne舉例，當發現一個可疑的樣本首先執行刪除系統回復檔案的行為，以阻止系統回復，其次該樣本利用呼叫及迴圈蒐集Windowsf上的磁碟及檔案及相關的MetaData資訊，接下來發現使用加密演算法ChaCha20加密資料，最後拆解惡意程式樣本建立控制流程圖，從一連串的行為鏈，判斷該惡意程式樣本為勒索軟體，進一步研究後發現，該樣本是去年全球前10名的勒索軟體Black Basta，英國電信龍頭BT曾經受害。</p> <p><span style="color:#B22222;"><strong>利用LLM輔助判別惡意樣本</strong></span></p> <p>在不執行惡意程式樣本下，利用樣本的行為鏈、控制流程圖，最後識別是哪一種惡意軟體，原本由資安威脅研究人員判別，TXOne團隊嘗試由LLM協助判別，來輔助資安威脅研究人員判別惡意程式，將以往需要大量人工研究的過程，在AI輔助下提高工作效率。</p> <p>TXOne資深資安威脅研究員Jair Chen表示，傳統資安威脅研究人員分樣惡意樣本，利用Disassembler將樣本拆解為Code Block，同時也用偵測引擎分析樣本的行為，綜合Code Block及行為來建立控制流程圖，在流程圖中標示特定流程執行的惡意行為，以此建立威脅分類資料庫。威脅分類資料庫依據微軟的定義分為15類惡意程式，如間諜程式、釣魚軟體、勒索軟體、廣告軟體等等，每一類都有各自的惡意行為。</p> <p>Jair Chen指出，之後可以運用AI輔助判別樣本，先輸入惡意程式樣本，拆解出控制流程圖及Assembly Code，LLM模型就能根據威脅分類資料庫、控制流程圖及惡意行為，判別惡意程式類別，並提供解釋及建議。經過測試，一個惡意程式樣本透過Virus Tatal分類，可能判別為木馬、下載器，而透過LLM可能將該樣本分類為後門程式、糯蟲，通過LLM可以得到額外的觀點，這些分類都是惡意程式樣本的一部分。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%96-600(17).jpg" style="width: 600px; height: 378px;" /></p> <p>LLM能提供惡意樣本分類的說明，例如將該樣本分類為後門程式，標示function位置，在DarkFlow Graph的位置，還標示出相關的Assembly Code，並且簡單說明可能造成的影響。資安人員再根據LLM的說明，進一步作其他的研究分析。</p> <p>Jair Chen表示，SOC團隊每天都會收到大量的資安攻擊報告，威脅專家要花費大量時間分析樣本，而LLM使用也有其限制，它對Assembly Code及pseudo-C code的解釋性不足，因此仿照威脅研究專家的工作流程，利用行為鏈和LLM建立一位7x24、全年無休的逆向專家，輔助資安人員對惡意程式的分析及分類。</p> <p> </p> </div></div></div>
2025/5/6 16:22作者蘇文彬https://www.ithome.com.tw/news/168774
安全產品開發流程漸成產業標配，IEC 62443-4-1改版在即，3大重點聚焦：對齊國際、預設安全、SBOM與開源軟體…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>產品資安的態勢在2025年有重大轉變，在全球資安法規與標準的快速演進下，安全軟體開發生命週期（SSDLC）更成為檯面上的焦點，重要性顯著提升，成為應對資安挑戰並確保產品合規的關鍵要求。例如，大家可能沒想過的是，這一兩年，包括造船產業、醫療器材產業等，已經積極透過建立嚴格的資安規範，讓SSDLC成為必備條件。</p> <p>此外，我們這幾年持續報導物聯網安全法規、軟體供應鏈等議題時，經常介紹Security by Default（預設即安全）、SBOM（軟體物料清單）、開源軟體安全等新興資安概念，如今這些概念也成為產品安全合規的實質要求。</p> <h2><strong>安全產品開發流程受重視，IEC 62443-4-1正被產業納入必需要求</strong></h2> <p>過去經常在臺灣資安大會發表演說的國際自動化協會 (ISA) 臺灣分會會長林上智，他今年特別強調SSDLC、IEC 62443-4-1流程標準的重要性，原因在於這些領域出現了顯著的新進展，而他之所以能掌握第一手資訊，正是因為他目前正主導IEC 62443-4-1流程標準的修訂工作。</p> <p>簡單來說，IEC 62443標準，是國際廣泛採納與認可的工業自動化及控制系統標準，而IEC 62443-4-1的部分，主要聚焦在「安全產品開發生命週期要求（Secure product development lifecycle requirements，SPDLC）」。而上述SPDLC其實與SSDLC具有相同的概念，強調：從產品的需求分析、設計、實作與測試，以及產品上線後的缺陷管理、更新，還有使用者手冊等相關文件，一直到產品生命週期結束，都必須將資安要素融入每一個階段。</p> <p>在這次演說中，林上智特別闡釋了IEC 62443-4-1的最新發展現況，揭示其影響性與最新變化。</p> <p>從影響性來看，林上智指出，近年造船產業、醫療產業都已經將IEC 62443-4-1納入強制要求，讓SSDLC要求成為必備。</p> <p>因此我們可以看出，IEC 62443-4-1似乎在產業間變得越來越重要，過去廠商導入可能多是自我要求或供應鏈要求，現在有些產業規範則是明確定義這方面的要求。</p> <p>林上智進一步解釋，以造船產業而言，國際船級協會聯合會（IACS）去年7月正式實施了UR E26與UR E27規範，這是網路安全首次強制要求納入船級規則，換言之，新造船舶若沒有符合UR E26或UR E27的要求，將無法通過驗船，等於無法投保與下水營運，因此，其實質效力已等同於法律法規。</p> <p>其中UR E27最為重要，當中針對船上設備與系統提出具體要求，並明確規範軟體開發流程必須遵循SDLC（軟體開發生命週期）的要求。林上智指出，在UR E27中更是直接引用了IEC 62443-4-1標準，甚至詳細列出相關章節編號，包括SM-8與SUM-2，這突顯了該規範已針對對船舶設備具關鍵影響的開發流程進行了精選，並將其納入強制性要求。</p> <p>以醫療產業而言，包括美國、歐盟、臺灣等食品藥物監管單位，也都針對生產血壓計、MRI等醫療設備製造商提出網路安全要求，上市前都必須通過資安相關的檢驗。這當中最受矚目的一例，是美國食品藥物管理局（FDA）2023年9月發布的醫療器材資安指引，當中清楚載明需參考IEC 62443標準，並直接點名IEC 62443-4-1。由此可見，在其他產業的開發流程中，IEC 62443-4-1標準也被廣泛採用。</p> <p><a href="https://s4.itho.me/sites/default/files/images/(圖2)IEC 62443-4-1_林上智_攝影羅正漢-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E5%9C%962)IEC%2062443-4-1_%E6%9E%97%E4%B8%8A%E6%99%BA_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2-1.jpg" style="width: 600px;" /></a></p> <h2><strong>IEC 62443-4-1標準改版三大方向：對應國際、預設安全、SBOM與開源軟體安全</strong></h2> <p>關於SSDLC的議題，事實上，這些年我們持續報導這方面的消息，不只<a href="https://www.ithome.com.tw/news/140800">IEC 62443-4-1標準開發流程認證</a>受重視，國際間也有諸多重要參考資源，包括<a href="https://www.ithome.com.tw/news/80369">ISO 27034</a>，<a href="https://www.ithome.com.tw/news/153723">NIST SSDF</a>，以及OWASP SAMM等。</p> <p>近年還有美國CISA與多國網路安全單位，亦發布<a href="https://www.ithome.com.tw/news/160862">Security by Design的警報</a>與相關指引，以及最新<a href="https://www.ithome.com.tw/news/162730">歐盟網路韌性法（Cyber Resilience Act，CRA）等法規實施</a>的消息。</p> <p>在這次演說中，林上智搶先公開了IEC 62443-4-1的最新變化，揭露這項標準的現行修訂方向，首先就是強調對齊國際標準與法規態勢而來，另也指出Security by Default、SBOM等面向的強化，在此我們整理出未來3大改版重點：</p> <h3><strong><span style="color: rgb(178, 34, 34);">●改版重點一：對應國際框架與準則</span></strong></h3> <p>目前市面上有眾多標準與框架，這對產品與系統開發商造成了一定的困擾。因此，林上智指出，修訂IEC 62443-4-1的首要任務，就是要與其他國際標準及法規進行全面的比較與對應，以確保更有效對應當前的資安挑戰。</p> <p>例如，他們的4-1工作小組，已檢視美國NIST SSDF軟體開發安全框架（NIST SP 800-218），以了解IEC 62443-4-1是否需要補充或調整，這方面已有成果展現。林上智表示，今年3月他們已發布相關<a href="https://isagca.org/hubfs/2023%20ISA%20Website%20Redesigns/ISAGCA/PDFs/ISAGCA%20NIST%20SSDF%20SP%20800%20FINAL.pdf">白皮書，比較IEC 62443-4-1標準，NIST SSDF框架</a>，找出一些無法對應的項目的原因，納入改版考量，當中也有相當少部分是完全無法對應的內容，主要是顆粒度較細的要求。</p> <p>特別的是，他們也審視了半導體產線設備資安標準規範SEMI E187，當中也有包含開發流程的對應，預計這方面的對應很快就可以公開，而安全功能方面則是會對應到IEC 62443-4-2。</p> <p>另一個大家關注的重點，是最新的歐盟CRA網路韌性法，林上智表示，他們已展開對應分析，若發現IEC 62443-4-1標準與CSA要求存在落差，將會研議在新的條文中進行補強或調整。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E5%9C%961)IEC%2062443-4-1_%E6%9E%97%E4%B8%8A%E6%99%BA_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2-1.jpg" style="width: 600px;" /></p> <h3><strong><span style="color: rgb(178, 34, 34);">●</span></strong><span style="color: rgb(178, 34, 34);"><strong>改版重點二：聚焦「Security by三兄弟」概念強化</strong></span></h3> <p>這次改版的另一大重點，是美國政府與多國網路安全單位不斷提倡的「Security by Design」、「Security by Default」與「Security by Demand」，林上智用Security by三兄弟這樣的簡稱，方便大家認識與記憶。</p> <p>林上智指出，過去IEC 62443-4-1便一再強調Security by Design的原則，因此這部分預計不會有太大的變動。例如，安全功能應該在一開始就被納入考量、設計與實作，而非產品設計完才疊床架屋地進行補強。</p> <p>他更希望大家謹記，Security by Design的意義在於，並非僅僅增加安全功能，而是決定產品是否值得信賴的關鍵。</p> <p>本次改版的重心，主要放在Security by Default、出廠時預設即安全。這意味著使用者在購買產品後，無需進行過多的操作、額外的複雜設定或支付額外費用，即可具備防禦常見攻擊手法的能力，也就是讓使用者「不設定」也安全。</p> <p>不過，林上智指出，要將Security by Default概念融入標準內，並不容易處理，尤其需要考量到工業控制環境中設備使用年限較長等特殊狀況。他以FTP為例說明，由於FTP本身不夠安全，若依預設即關閉的原則處理，但在工廠等特定場景中，就可能出現因FTP關閉而不能生產的情況。</p> <p>換言之，若要讓Security by Default能落實，其實非常看場景、場域與情境。</p> <p>林上智表示，這幾個月來，他們4-1工作小組與美國CISA等單位不斷討論，尤其是Security by Default與可用性的兩難問題，因為Security by Default必需要存在，可是又不能影響可用性。</p> <p>他們目前討論結果是，將從層次更高的風險評估、風險建模，並依照場域、場景、情境來決定產品要怎麼做設定，才是所謂的Security by Default，並持續對外徵集不同意見。</p> <p>同時他也強調，Security by Default不會是獨立的章節，而是會分散到每一個開發章節之內。</p> <h3><strong><span style="color: rgb(178, 34, 34);">●</span></strong><span style="color: rgb(178, 34, 34);"><strong>改版重點三：強化SBOM與開源軟體安全管理</strong></span></h3> <p>最後一個改版重點，是加強對軟體供應鏈與開源軟體的安全管理。</p> <p>林上智指出，在改版會議中，他們深入探討了軟體供應鏈的各項議題，特別是美國政府於2021年發布的行政命令，該命令已經明確要求美國聯邦政府在採購軟體時，必須提供軟體物料清單（SBOM）。</p> <p>過去，IEC 62443-4-1雖然提到軟體裡面要有inventory，也就有這樣的概念存在，但並未明確定義SBOM一詞。因此，本次改版將新增相關要求，強制建立SBOM的管理機制。</p> <p>雖然標準只會規範「應該」做，不會具體規定「如何」做。但林上智在此也分享其經驗，指出目前主流的三種SBOM格式，包括SPDX（ISO 59626）、CycloneDX、SWID（ISO 19770），前兩者是他通常會建議的選項。例如，SPDX是Linux基金會的專案，若業者的產品與嵌入式系統或Linux相關就很適用，轉換為其他格式也可行，但需確保轉換後的正確性；CycloneDX 亦廣泛被採用，其精美的介面令人印象深刻。至於最終選擇何種格式，則取決於企業自身的需求。</p> <p>另一方面，林上智強調，SBOM表可以在軟體開發的不同階段生成，無論是在需求規格階段、程式碼階段，或是建置、測試或執行階段，目前常見作法是在程式碼開發階段產生，但他提醒，需注意可能發生的誤判，因為某些函式庫（library）的使用情況，可能是在執行當下才能確定。目前來看，對於應在何種階段產生SBOM，並無嚴格的規範。</p> <p>或許有些人認為，SBOM僅是一份清單或列表，但林上智強調，SBOM 應被視為一種信任機制。它並非漏洞報告，也不是單純的產出結果，而是協助我們管理軟體的信任基礎。</p> <p>不只是SBOM，另一重點在於開源軟體管理也是改版的強化方向。他解釋，之前IEC 62443-4-1與開源軟體最相關的部分，是SM9章節的第三方套件，但原先規範顆粒度較粗，可能導致管理上的疏漏。</p> <p>因此，這次會特別針對開源軟體進行規範，畢竟，現在很少有開發者會從頭編寫一個完整的程式，其重要性不言而喻。</p> <p>林上智也透露，若企業在開源軟體開發上，遇到不確定如何進行的情況，雖然IEC 62443-4-1本身不會提供具體做法，但會在補充指引增加一些建議。例如，可以參考ISO/IEC 18974標準，此為Linux基金會旗下的專案，聚焦OpenChain安全保障規範，目的是協助企業在使用開源軟體時，透過特定的流程與機制，處理相關的資安注意事項。</p> <p>綜上所述，我們可以了解目前IEC 62443-4-1改版討論的方向與重點，林上智也提到他們正持續徵集意見，以完善這次針對安全開發流程內容的修訂。</p> </div></div></div>
2025/5/6 16:55作者羅正漢https://www.ithome.com.tw/news/168765
惡意軟體佯裝資安工具入侵WordPress網站
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="http://www.wordfence.com/blog/2025/04/interesting-wordpress-malware-disguised-as-legitimate-anti-malware-plugin/" target="_blank">WordPress資安公司Wordfence</a><a href="https://www.wordfence.com/blog/2025/04/interesting-wordpress-malware-disguised-as-legitimate-anti-malware-plugin/">揭露</a><a href="http://www.wordfence.com/blog/2025/04/interesting-wordpress-malware-disguised-as-legitimate-anti-malware-plugin/" target="_blank">一款偽裝成防惡意程式外掛的惡意軟體</a>。該外掛名為WP-antymalwary-bot.php，實際上內含後門程式碼，可遠端執行指令並維持持久控制，並透過REST API與C2伺服器通訊，使攻擊者能操控受感染的網站。</p> <p>該惡意軟體不僅具備多種功能，也刻意模仿正常外掛的結構，企圖降低開發者警覺。程式碼維持WordPress外掛常見的格式與風格，包括完整的說明註解、標準的語法縮排，甚至出現多語言內容，從表面上看起來就像是一般的合法外掛。</p> <p>其核心後門機制，是透過WordPress初始化階段掛入一組特殊函式，監聽網址中的emergency_login參數，當訪客造訪網站並附帶特定明文密碼時，惡意程式會自動從資料庫中抓取第一筆具有管理員權限的使用者帳號，並直接設定登入Cookie，使攻擊者得以無需驗證程序進入網站後臺。由於這一過程完全繞過正常認證機制，且觸發條件單純，只需一組明文密碼與網址參數即可，讓攻擊者能長期隱密地維持控制權。</p> <p>研究人員進一步分析發現，攻擊者藉由注入PHP程式碼至所有布景主題中的header.php，植入廣告腳本或建立重新導向邏輯，藉此引導網站訪客觀看第三方廣告、前往指定網站，或進一步接觸惡意內容。此外，該外掛會將自己儲存在外掛目錄中，並修改wp-cron.php，於訪客造訪網站時自動重建與啟用惡意外掛，形成難以移除的持久性機制。在更新版本中，還觀察到攻擊程式透過WordPress內建定時任務機制，每分鐘向C2伺服器進行回報，傳送網站網址與時間戳記，便於攻擊者追蹤感染情況與維持控制。</p> <p>Wordfence指出，此次觀察到的惡意外掛與2024年6月揭露的供應鏈攻擊案例，在程式撰寫風格與特徵上具有相似性，顯示攻擊者可能正採用人工智慧輔助生成惡意程式碼，進一步降低被辨識機率並提升迭代效率。該惡意程式還設計了Base64編碼廣告連結，與可由遠端指令更新內容機制，不僅模組化程度高，還具備後續動態調整與升級的彈性，研究人員認為該惡意程式碼並非僅一次性使用。</p> </div></div></div>
2025/5/6 16:59作者李建興https://www.ithome.com.tw/news/168777
JetBrains開源Mellum語言模型，專精程式碼理解與補全任務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>JetBrains開源其第一個針對程式碼完成任務設計的語言模型<a href="https://blog.jetbrains.com/ai/2025/04/mellum-goes-open-source-a-purpose-built-llm-for-developers-now-on-hugging-face/">Mellum</a>，並已發布於<a href="https://huggingface.co/JetBrains/Mellum-4b-base">Hugging Face平臺</a>，供研究與開發人員取用。JetBrains稱Mellum為專精模型（Focal Model），其並非試圖涵蓋所有自然語言任務的通用模型，而是聚焦程式碼理解與補全的單一應用場景，藉此在有限參數規模追求最佳的任務適應性與部署效率。</p> <p>Mellum-4b-base模型具有40億個參數，採用類似LLaMA的架構，支援8,192個token的上下文長度，並經由JetBrains團隊從零開始訓練，而非基於現有開源模型進行微調。其訓練資料總量達4.2兆token，涵蓋如The Stack、StarCoder訓練集、CommitPack與英文維基百科等公開語料，針對Java、Python、C/C++、JavaScript、TypeScript、Go、Kotlin、PHP、Rust等語言進行學習，目的在於提供準確且上下文一致的程式碼完成能力。</p> <p>JetBrains表示，Mellum設計概念回歸機器學習早期專精模型的想法，強調深度大於廣度，與當前大型語言模型普遍追求多任務通用能力的趨勢有別。在Mellum架構下，模型不僅在訓練資源上更節省，其可部署的彈性也大幅提升，能在如llama.cpp、Ollama等環境本地執行，也可透過vLLM於雲端部署。</p> <p>在效能表現方面，Mellum-4b-base在JetBrains內部的HumanEval Infilling測試中，單行程式碼完成通過率為66.21％，多行完成為38.5％。此外，在RepoBench與SAFIM等程式碼評測中，Mellum於自身支援的上下文長度範圍，整體效能達到一定的水準。</p> <p>雖然Mellum在效能上仍不及CodeLlama-13B或DeepSeek-Coder-6.7B等規模較大的模型，但JetBrains強調，Mellum的設計目標並非取代通用語言模型，而是適合研究訓練策略、推論效率與模型專精化之用。</p> <p>目前公開的Mellum版本為未經下游任務微調的基本模型，但已可支援進一步的監督式微調（SFT）與強化學習（RLHF）流程。JetBrains同時釋出針對Python語言的SFT版本模型，並預告將陸續推出針對其他語言任務的模型變體，對應不同程式語言與開發場景。</p> </div></div></div>
2025/5/6 15:30作者李建興https://www.ithome.com.tw/news/168772
Amazon Q Developer CLI擴充MCP支援提升資料理解深度
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS在其Amazon Q Developer命令列工具新增MCP（Model Context Protocol）<a href="https://aws.amazon.com/tw/blogs/devops/extend-the-amazon-q-developer-cli-with-mcp/">支援</a>，進一步提升開發人員在本地環境與資料來源互動的靈活性與準確度。該更新使Q Developer能夠接收來自外部資料來源的結構化上下文資訊，進而改善生成程式碼、撰寫SQL查詢與建立測試案例的能力，特別是在處理如資料庫結構等非程式碼內嵌資料時，能提供更符合實際需求的結果。</p> <p>MCP是一項由Anthropic主導的開放協定，目的在於標準化AI模型存取上下文與外部工具的方式。在這套機制下，AWS開發者可在本地機器設定MCP伺服器，讓Q Developer能藉由該伺服器存取特定資料來源，像是PostgreSQL資料庫的結構描述（Schema）資訊，精準生成查詢語句與資料操作邏輯。</p> <p>之前Q Developer雖可透過CLI操作AWS資源與檔案系統，卻難以處理專案外部的資料結構，例如資料表關聯與欄位命名。加入MCP支援後，CLI可透過標準化工具介面與MCP伺服器交換結構資訊，進而提升模型對專案語境的理解深度。</p> <p>在未提供結構描述資訊的情況下，Q Developer僅能產生通用的SQL查詢語句，但啟用MCP伺服器後，便能根據實際的資料表與欄位關係，自動產生語法正確且具備業務邏輯的查詢語句，甚至進行查詢執行與結果解釋。</p> <p>對於在本地開發過程，需要頻繁與資料庫互動的開發人員而言，這項支援可以快速將資料層結構納入開發流程，無需額外撰寫資料存取邏輯或自建中介模組。開發者可透過簡單設定如mcp.json檔案，指派MCP伺服器的執行指令與參數，連結如Amazon RDS上的PostgreSQL資料庫。</p> <p>AWS<a href="https://docs.aws.amazon.com/en_us/amazonq/latest/qdeveloper-ug/command-line-mcp-security.html">表示</a>，Q Developer的工具執行遵循一系列安全設計原則，包括使用者需手動授權工具執行、各MCP伺服器於獨立程序中執行、工具行為公開透明等。官方提醒開發者，在導入第三方MCP工具時，應謹慎評估來源可信度並定期更新，以降低潛在風險。這次更新為早期整合階段，目前僅限於CLI操作環境，但AWS已預告將在未來幾周內擴展至Q Developer的整合式開發環境擴充套件版本。</p> </div></div></div>
2025/5/6 08:00作者李建興https://www.ithome.com.tw/news/168748
【資安日報】5月6日，惡意軟體Phorpiex捲土重來，被用於散布LockBit 3.0及其他作案工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了在受害電腦成功執行惡意軟體，駭客利用惡意軟體載入工具（Loader）、下載工具（Downloader）的情況，越來越常出現。最近有一款前身為殭屍網路病毒的惡意軟體下載工具Phorpiex，引起研究人員的高度關注，因為，駭客拿來散布惡名昭彰的勒索軟體LockBit 3.0。</p> <p>值得留意的是，關於勒索軟體LockBit 3.0的攻擊流程，駭客多半以手動方式操作，透過Phorpiex下載、部署，能讓整個流程高度自動化，而鮮少需要人工介入，使得攻擊者能同時對更多目標下手。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168740"><strong style="font-size: 22px;">惡意軟體下載工具Phorpiex捲土重來，被用於散布LockBit 3.0勒索軟體</strong></a></p> <p>資安公司Cybereason發表威脅分析報告指出，老牌殭屍網路Phorpiex近期再度現身，並被觀察到成為散布LockBit 3.0勒索軟體的載體。Phorpiex在受感染主機上自動下載並執行LockBit勒索程式，無需駭客進行後續操作，由於該攻擊流程高度自動化，與傳統勒索攻擊仰賴人工作業的模式有所不同，因此受到關注。 </p> <p>Phorpiex又名Trik，自2010年起即活躍於各類攻擊活動，最早是以垃圾郵件推送及挖礦行為為主，近年則被用於交付惡意程式。根據Cybereason觀察，該工具近來技術變動不大，甚至仍保留刪除Windows下載區域標記檔，以掩蓋惡意檔案真實來源的老舊行為。</p> <p>除了LockBit，Phorpiex也被用來投遞其他惡意程式，例如：TWIZT與GandCrab。TWIZT會透過捷徑檔觸發下載流程，並建立空白JPEG圖檔判斷是否重複感染，而散布GandCrab的版本則具備反偵測與關閉防毒的功能。</p> <p><a href="https://s4.itho.me/sites/default/files/images/lb infection flow.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/lb%20infection%20flow.png" style="width: 580px;" /></a></p> <p><a href="https://www.ithome.com.tw/news/168754"><strong style="font-size: 22px;">勒索軟體Rhysida聲稱對秘魯政府數位平臺下手，該國否認遭駭</strong></a></p> <p>資安業者Comparitech上周五發現，勒索軟體駭客組織Rhysida在暗網貼文，聲稱攻擊秘魯政府的數位平臺，並張貼疑似來自網址為Gob.pe的多份文件螢幕擷圖作為證據（Gob.pe為祕魯政府數位平臺的網址），駭客宣稱已向祕魯政府要求在7日內支付5個比特幣，來換取資料不被外流。</p> <p>不過，祕魯政府否認此事。資安業者Venarix轉貼祕魯政府的聲明，他們宣稱該國數位平臺<a href="http://www.gob.pe">www.gob.pe</a>並未遭入侵或遭破壞，所有服務皆維持正常運作。</p> <p>該國政府說，社群媒體流傳關於<a href="http://www.gob.pe">www.gob.pe</a>網域被劫持的訊息，並不準確。所謂的資安事件，實際上是發生於<a href="http://www.satp.gob.pe">www.satp.gob.pe</a>網域相關的某服務，但該服務管理與祕魯內閣會議主席（總理）辦公室、或數位政府與轉型秘書處切開。</p> <p><a href="https://www.ithome.com.tw/news/168637"><strong style="font-size: 22px;">電子商務平臺WooCommerce管理員遭鎖定，駭客佯稱網站有漏洞從事網釣</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Screenshot-2025-04-22-at-4_11_51 PM-1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot-2025-04-22-at-4_11_51%E2%80%AFPM-1.png" style="width: 300px; float: right;" /></a></p> <p>近年來鎖定Magento、WooCommerce等電子商城平臺的攻擊行動不時傳出，其中最常見的入侵手法之一，就是利用零時差漏洞或已知漏洞而能得逞，但也有駭客反其道而行，佯稱電商網站有資安弱點為由，從事網釣攻擊。</p> <p>例如，資安業者Patchstack提出警告，他們發現專門針對WooCommerce網站管理員的大規模釣魚攻擊，駭客聲稱經過他們的掃描，網站有重大層級的資安漏洞，這項漏洞能被用於未經授權的狀態下，以管理者身分入侵網站，若是不處理，攻擊者就能竊取網站敏感的使用者資料，包含客戶資訊、訂單細節，以及付款方式的內容。駭客甚至恐嚇管理者，該漏洞可能會導致未經授權的付款，甚至讓網站失去控制。</p> <p>駭客建議網站管理者要儘速依照指示操作，從他們的網站下載修補程式，並以WordPress外掛程式的形式上傳、安裝，然後啟用，網站才會得到保護。然而，上述的一切，都是與駭客聲稱、卻不實際存在的假漏洞有關，一旦網站管理者照做，駭客就會透過後門與新建立的管理員帳號，來入侵受害網站。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-bring-your-own-installer-edr-bypass-used-in-ransomware-attack/">勒索軟體Babuk繞過EDR防護出現新手法，利用合法安裝程式達到目的</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.darkreading.com/cyber-risk/venom-spider-phishing-scheme">駭客組織Venom Spider冒充求職者，鎖定人力資源部門而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/npm-malware-crypto-wallets-mongodb-turkey-code/">惡意NPM套件鎖定CryptoJS用戶而來，企圖竊取加密貨幣錢包、MongoDB資料庫</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168751"><strong style="font-size: 22px;">PHP程式庫ADOdb存在滿分漏洞，280萬套已部署系統恐曝險</strong></a></p> <p>PHP開源專案ADOdb上周釋出5.22.9版，以修補CVSS風險評分等級高達10分的安全漏洞CVE-2025-46337，該漏洞恐危及全球280萬已安裝ADOdb的系統。</p> <p>ADOdb是個熱門的PHP資料庫抽象層，它提供統一的API介面，讓開發人員得以利用相同的語法來操作不同類型的資料庫，相容於MySQL、PostgreSQL、SQLite、Oracle、Microsoft SQL Server、IBM DB2及Sybase等資料庫，而這次所發現的CVE-2025-46337為SQL注入漏洞，出現在ADOdb程式庫的PostgreSQL驅動程式，允許駭客執行任意SQL指令。</p> <p>這是由安全研究人員Marco Nappi意外發現的漏洞，起因是最近想要強化對白盒的了解，於是他開始探索靜態分析安全測試（SAST），並決定利用靜態程式碼分析工具SonarQube來分析用來建置大學網站的開源專案Moodle，以及客戶關係管理專案VtigerCRM。沒想到，Marco Nappi在Moodle或VtigerCRM都找到相同的SQL注入漏洞，進一步檢查才確認，該漏洞其實隱藏在ADOdb元件。</p> <p><a href="https://www.ithome.com.tw/news/168640"><strong style="font-size: 22px;">圖像化資料分析平臺Grafana出現高風險權限繞過漏洞</strong></a></p> <p>圖像化資料分析平臺Grafana發布安全更新，修正多項資安漏洞。其中，高風險漏洞CVE-2025-3260影響Grafana 11.6.0以上的版本，允許具Viewer或Editor角色的使用者繞過儀表板與資料夾的權限設定，查看、編輯或刪除組織內所有儀表板。當系統啟用匿名認證，且匿名用戶被指派為Viewer或Editor角色，未登入使用者也可能無需授權即可操作組織內所有儀表板。</p> <p>根據官方說明，該漏洞發生於新開發的/apis/dashboard.grafana.app/系列端點，在權限檢查邏輯上存在缺陷，影響所有啟用該API的部署環境。雖然組織隔離機制仍然有效，不同組織之間的資料不會因此洩漏，但單一組織內的權限防護卻會失效。該漏洞CVSS評分為8.3屬高風險等級，建議用戶盡速升級至11.6.0+security-01版本或同分支修補版本，即便使用者無法立即升級，也應以網路層封鎖特定API路徑因應。</p> <p><a href="https://www.ithome.com.tw/news/168650"><strong style="font-size: 22px;">研究人員公布使用Linux io_uring迴避偵測的手法</strong></a></p> <p>資安廠商Armo研究人員公布針對Linux的Rootkit，利用Linux提高效能的專屬機制io_uring，來繞過包括Microsoft Defender在內的端點安全工具偵測。</p> <p>io_uring是Linux 5.1引進的高效非同步I/O核心API，透過支援非同步、批量提交I/O，解決傳統處理方法的同步阻塞，或是大量系統呼叫（syscall）的問題。它使用可兩個共享的ring buffer完成用戶空間（user space）和核心空間（kernel space）的溝通，藉由共享緩衝區來大幅減低因複製產生的系統額外的資源消耗（overhead），加速I/O執行。</p> <p>但Armo研究人員發現，io_uring對某些安全工具反而有害，因為它的機制可讓應用程式執行多種行為，而不需使用系統呼叫。因此仰賴系統呼叫偵測的安全產品，就無法偵測到使用io_uring的rootkit。基於io_uring的安全疑慮，Google已經在ChromeOS、Google伺服器及Android關閉io_uring的支援，Docker也預設不支援io_uring；Linux基金會也提供全系統關閉的方法。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/android-security-bulletin-may-2025-multi-vulnerabilities-including-actively-exploited-cve-2025-27363/">Google發布安卓5月例行更新，修補已被用於攻擊的零時差漏洞</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/unauthenticated-dos-vulnerability-crashes-windows-deployment-services-no-patch/">Windows部署服務存在DoS漏洞，攻擊者有機會遠端發動零點擊攻擊</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/168745"><strong>【5月5日】臺灣第一座防詐實驗室正式掛牌上路，玉山金揭金融無塵室發展方向</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168725"><strong>【5月2日】思科、Nvida等多家業者在RSAC 2025推出AI資安工具</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168681"><strong>【4月30日】韓國電信業者SKT資料外洩出現進展，該公司將為用戶換發SIM卡</strong></a></p> </div></div></div>
2025/5/6 11:20作者周峻佑https://www.ithome.com.tw/news/168762
Palantir首季營收成長39%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國大數據分析軟體平臺<a href="https://investors.palantir.com/news-details/2025/Palantir-Reports-Q1-2025-Revenue-Growth-of-39-YY-U-S--Revenue-Growth-of-55-YY-Raises-FY-2025-Revenue-Guidance-to-36-YY-Growth-and-U-S--Comm-Revenue-Guidance-to-68-YY-Crushing-Consensus-Expectations/" target="_blank">Palantir周一（5/5）公布今年第一季財報</a>，該季Palantir創下8.84億美元營收，成長39%，營業利潤（Operating Income）為3.91億美元，每股盈餘為0.13美元。儘管Palantir首季表現符合市場預期，但當天Palantir的盤後股價下挫了9.25%，跌至112.32美元。</p> <p>定位為大數據分析平臺的Palantir主要提供情報服務，在8.84億美元的營收中，有6.28億美元來自美國市場，占整體營收的71%。而在美國市場的營收中，有3.73億美元來自美國政府，成長45%，有2.55億美元來自商業客戶，成長71%。</p> <p>該季Palantir完成了139筆至少超過100萬美元的交易，51筆至少500萬美元的交易，以及31筆至少1,000萬美元的交易，客戶年增量為39%。</p> <p>Palantir預期下一季營收介於9.34億至9.38億美元之間，也調高今年整體的營收預期至38.9億美元至39.02億美元。</p> <p>Palantir共同創辦人暨執行長Alexander Karp表示，隨著愈來愈多組織開始理解大型語言模型（LLM）的價值，以及支撐這些模型的基礎軟體架構的重要性，原本有條不紊的評估及導入過程，已變成一場搶進式的狂熱浪潮，其規模之大令產業與政府機構都加速採用相關技術，並在美國表現得更為明顯。</p> <p>Karp說，該公司長期以來最關注的目標，便是讓美國的國防與情報機構擁有比敵人更致命也更精確的軟體能力，儘管過去曾遭忽視甚或幾近被淘汰，但如今矽谷某些人已開始支持他們，然而，不管時勢或潮流如何，Palantir替美國軍方開發軟體的承諾終將堅定不移。</p> </div></div></div>
2025/5/6 15:06作者陳曉莉https://www.ithome.com.tw/news/168771
Deno 2.3提升跨平臺編譯能力並支援本地NPM套件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://deno.com/blog/v2.3" target="_blank">JavaScript執行環境Deno開發團隊釋出最新2.3版</a>，進一步強化其開發工具鏈，包含擴充編譯功能以支援Node原生模組與外部函式介面（Foreign Function Interface，FFI），以及開放參照本地NPM模組，使Deno在應用部署與開發整合方面更具彈性。</p> <p>針對原生編譯功能的擴充，Deno 2.3讓開發者能將使用如bcrypt這類需要Node原生位元組碼的模組，一併編譯為單一可執行檔。這不僅簡化了部署流程，也讓跨平臺發布獨立程式變得可行。此外，此版本引入—exclude參數，允許排除不需打包的資源，藉此縮小檔案大小，對於希望控制最終產出檔案大小的開發者，提供更多調整空間。</p> <p>在NPM整合方面，過去Deno主要仰賴遠端NPM套件，2.3版本則首度開放透過deno.json設定，匯入本地資料夾中的模組。該變動對於開發NPM套件者來說特別實用，可在不發布到套件資料庫（NPM Registry）的情況下進行測試與驗證。</p> <p>Deno 2.3隨附TypeScript 5.8與V8 13.5，進一步提升語言層級的相容性與執行效能。在效能方面，本次更新改進相依套件的安裝流程，包括快取機制與lockfile格式，使NPM套件的解析速度在多數情境下提升約2.5倍。這些皆屬於底層機制的調整，對於中大型專案或高度依賴模組的開發環境，可實際縮短安裝與建置時間。</p> <p>新版本在工具鏈的整合體驗也有所提升，例如deno check現在可自動掃描整個專案資料夾，無需手動指定檔名；測試時使用—coverage參數也會自動產生覆蓋率報告，簡化測試流程。此外，Deno 2.3進一步強化對OpenTelemetry的支援，新增事件記錄、node:http模組的自動追蹤，以及V8執行階段的性能指標擷取，提升應用程式的可觀測性。</p> <p>整體來說，Deno 2.3更新重點在於提升工具實用性與系統整合，降低與Node.js生態系整合時的技術摩擦，並強化原生應用的編譯與監控能力。</p> </div></div></div>
2025/5/6 14:01作者李建興https://www.ithome.com.tw/news/168768
OpenAI公布新架構，把既有營利公司轉為PBC公司
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/index/evolving-our-structure/" target="_blank">OpenAI周一（5/5）公布該公司的新架構</a>，指出其營利的有限獲利公司將轉型為公益法人公司（Public Benefit Corporation⁠，PBC），但依舊由非營利組織控制。</p> <p>2015年創立的OpenAI原本是家非營利組織，<a href="https://www.ithome.com.tw/news/129281" target="_blank">在2019年改採混合組織架構</a>，除了既有的非營利的OpenAI Nonprofit之外，還設立了可營利的有限獲利公司OpenAI Global，並由OpenAI Nonprofit董事會負責管理OpenAI Global。在此一架構下，諸如微軟等OpenAI股東可透過OpenAI Global獲得回報，但回報上限為100倍。</p> <p>去年底，OpenAI企圖擺脫非營利機構的限制，以及原本設定的股東回報上限，<a href="https://www.ithome.com.tw/news/166735" target="_blank">因而宣布</a>將轉型為營利導向的公司，把OpenAI Global轉型為PBC，由該PBC公司同時承擔公益、社會與股東權益的責任，全權負責OpenAI的營運，而OpenAI Nonprofit除了可獲得該PBC的重要股份之外，已無法再直接管理該PBC，走向純粹的慈善活動。</p> <p>OpenAI的組織改革計畫面臨許多反彈的聲浪，其中之一是Meta。Meta要求加州檢察長阻止OpenAI，抨擊OpenAI的行為可能對矽谷造成重大影響，甚至將改變科技新創的經營模式：投資人可先成立非營利組織，收取數億美元的免稅捐款進行研發，在技術具備商業價值之後，再轉成營利公司來獲利，等於是假公益之名，行商業之實。</p> <p>本周OpenAI即說，在聽取了民間領袖的意見，以及與加州及德拉瓦州檢察長交流之後，決定讓非營利組織保留對OpenAI的控制權。OpenAI創辦人暨執行長Sam Altman強調，希望這個非營利組織是史上規模最大、最有效益的非營利組織，致力於利用AI替人們帶來最高效益；確保民主AI戰勝專制AI；OpenAI成立時是一個非營利組織，現在是一個可監督及控制營利組織的非營利組織，未來也將是如此。</p> <p>至於非營利組織的獲利有限公司則將轉型為PBC，不再採用利潤上限結構，而是轉為正常的資本架構，讓每個人都擁有股票。非營利組織將成為PBC的大股東，並將繼續控制PBC。</p> <p>簡單地說，這次的改變主要是移除了OpenAI股東的100倍獲利上限，替該PBC的股票公開發行舖路。Altman表示，OpenAI希望該公司的服務能夠惠及全人類，目前需要數千億美元的資金，最終可能需要數兆美元。</p> <p><a href="https://www.ithome.com.tw/news/168182" target="_blank">OpenAI在今年3月</a>揭露新一輪的融資活動，打算募資400億美元，完成後的OpenAI市值將攀上3,000億美元；該活動是由日本軟銀集團（SoftBank）主導，條件是OpenAI成功轉型為營利導向的公司。目前並不確定OpenAI本周的宣布是否符合軟銀所列出的條件，但不論如何，軟銀都至少會挹資200億美元。</p> </div></div></div>
2025/5/6 14:12作者陳曉莉https://www.ithome.com.tw/news/168770
微軟逐步終止Authenticator儲存密碼功能，將集中以Edge為主
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.microsoft.com/en-us/account-billing/changes-to-microsoft-authenticator-autofill-09fd75df-dc04-4477-9619-811510805ab6" target="_blank">微軟宣布將從7月起</a>，逐步取消Authenticator管理和autofill密碼或通行密鑰（passkey）的功能，最終把這些管理功能轉到Edge瀏覽器。不過用戶還是可以選擇Google Password Manager或iCloud Keychain。</p> <p>Microsoft Authenticator的autofill功能，可讓用戶將App和網站的密碼儲存在手機上，減少每次登入時輸入密碼驗證的次數。但微軟說它要簡化autofill，好讓密碼可以彈性使用在不同裝置上。伴隨此項變動，Microsoft Authenticator將分階段終止儲存密碼及autofill功能。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0506-microsoft%20authenticator-autofill-1%2B2.png" style="width: 444px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">Microsoft Authenticator的autofill功能示意，圖片來源／微軟</span></span></p> <p>從2025年6月起，用戶就無法再於Authenticator儲存新增密碼。7月間，Authenticator的密碼autofill無法使用。從8月起，Authenticator也無法存取（及autofill）已儲存的密碼。</p> <p>微軟提醒用戶應儘速行動，因為7月之後，Authenticator儲存的支付資訊就會從裝置刪除。8月之後，不但所有儲存的密碼無法從Authenticator取用，生成的密碼若未儲存也將會刪除。</p> <p>於此同時，用戶儲存在Authenticator的密碼以及網址會同步到微軟帳號。用戶可以在Edge瀏覽器存取密碼，重新獲得Autofill功能（如果用戶同意Edge為autofill provider）。微軟強調，用Edge瀏覽器的好處是具備Defender、SmartScreen、Password Monitor（密碼監控器）與InPrivate搜尋等安全功能。</p> <p>想以Edge為Autofill provider的用戶，可以從Edge的「設定」>「一般」>「Autofill & Password」中選擇Edge。之後用戶若想存取密碼，可以循「設定」>「密碼」存取。</p> <p>不想使用Edge、想使用Google Password Manager、Apple iCloud Keychain的用戶，就比較麻煩一點，必須將密碼輸出到想要的服務。然後從Authenticator複製&貼上網址，或是利用Edge的「輸出網址」功能來輸出。支付資訊就必須手動重新輸入。微軟提醒，從Authenticator輸出資料也必須在2025年8月1日以前完成，之後就再也無法用Authenticator（但在Edge還是看得到）。</p> <p>雖然Edge會同步用戶儲存的密碼，但系統生成的密碼卻不會，如果用戶想繼續使用，必須從Authenticator>「Password分頁（password tab）」>「生成器紀錄（generator history）」處，將系統生成的密碼儲存成「已儲存的密碼」。</p> <p>於此同時，微軟說Authenticator會持續支援通行密鑰。如果用戶曾為Microsoft帳設定通行密鑰，必須開啟Authenticator作為通行密鑰供應者。如果Authenticator關閉，通行密鑰也會關閉。</p> <p>這也是微軟推動無密碼登入措施的一環。<a href="https://www.ithome.com.tw/news/168721" target="_blank">微軟上周宣布</a>未來所有新的微軟帳號將預設使用無密碼驗證，以逐漸降低密碼使用。</p> </div></div></div>
2025/5/6 10:24作者林妍溱https://www.ithome.com.tw/news/168758
資安業者警告，來自俄羅斯的Go套件Easyjson可能危及美國國家安全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://huntedlabs.com/the-russian-open-source-project-that-we-cant-live-without/" target="_blank">專門追蹤開源軟體供應鏈安全性的美國資安新創Hunted Labs周一（5/5）警告</a>，他們發現一個Go語言的開源軟體套件Easyjson是由俄羅斯最大社交平臺VK所開發，恐危及美國國家安全。</p> <p>Hunted Labs是利用該公司所開發的Entercept平臺來協助客戶辨識與追蹤所使用的軟體是否受到國外的控制或影響，進而發現Easyjson已被部署在美國政府系統、Fortune五百大企業，以及雲端原生運算基金會（Cloud Native Computing Foundation，CNCF）的許多專案中。</p> <p>Easyjson是個Go語言套件，專門為優化JSON序列化及反序列化過程而設計，藉由生成Go程式碼來實現JSON的編碼與解碼，在雲端原生生態系統中被廣泛採用，受到許多開源與企業專案的仰賴，以於分散式系統中高性能地處理JSON，在金融與分析平臺上的即時資料序列化，以及雲端應用的最佳化，包括容器編排平臺Kubernetes、Kubernetes套件管理工具Helm，以及開源的服務網格Istio都採用了Easyjson。</p> <p>研究人員指出，如Easyjson等序列化工具是在應用程序的底層運行，它們通常是無形的，且緊密整合了系統的各個核心元件，一旦部署就很難移除與替換，一向被預設是可靠的。然而，當它們被武器化時，Easyjson即可能成為供應鏈的後門，可藉由反序列化執行遠端程式攻擊，被用來執行間諜活動或竊取資料，或者是啟用Kill Switch，於特定條件下觸發預設的破壞性功能。</p> <p>其實現階段Easyjson最大的嫌疑來自於它是由VK所開發的，如同美國圍堵華為的最大原因來自於相信它受到中國政府的掌控。</p> <p>VK為俄羅斯的第二大網路公司，是當地最大的入口網站與社交平臺，市占率超過6成，勝過Telegram的42%與臉書的26%，在俄羅斯科技領域的影響力僅次於搜尋引擎Yandex。VK的控股公司MF Technologies雖僅持有4.8%的VK經濟權益，卻擁有57.3%的VK投票權，在2021年時，與俄羅斯總統普丁（Vladimir Putin）關係密切的保險業者Sogaz、控股公司Gazprom-Media及國營技術公司Rostec相繼買下了MF Technologies的所有股份，取得VK的實際控制權，同年即撤換了VK執行長。</p> <p>而在俄烏戰爭之後，不僅是VK程式受到國際制裁，VK執行長Vladimir Kiriyenko也遭到美國、加拿大、英國、歐盟、日本與澳洲等國家的制裁。</p> <p>Hunted Labs表示，VK在俄烏戰爭中一直藉由審查或推廣內容發揮著作用，刪除任何對俄羅斯政府不利的言論，使得他們也對Easyjson這個由俄羅斯貢獻者提交逾85%以上程式碼的專案感到憂心，而該專案現在正處於美國雲端原生生態系統的臍帶位置。</p> </div></div></div>
2025/5/6 11:06作者陳曉莉https://www.ithome.com.tw/news/168761
微軟開放Windows 11 24H2全面部署
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>經過去年的分階段部署後，<a href="https://learn.microsoft.com/en-us/windows/release-health/status-windows-11-24h2" target="_blank">微軟上周宣布</a>Windows 11 24H2將全面推向所有規格符合的Windows PC用戶。</p> <p>微軟說，24H2的部署已進入最後階段，將透過Windows Update部署給所有用戶。除了Windows 11 PC外，如果Windows 10 PC硬碟符合規格要求，開啟「設定」>「Windows Update」，再選擇「檢查更新」，就能看見「下載與安裝」選項。但是過程中如果系統偵測到不相容情形，將就會暫時不顯示更新版。</p> <p>執行Home及Pro版Windows 11的 PC，以及不受IT部門管理的Windows 11 23H2、22H2和21H2 PC將會自動接獲24H2更新。用戶可以選擇電腦重開機的時間或是延後更新。</p> <p>在Copilot+ PC方面，新功能像是Recall與Click To Do預覽版，仍然會階段性部署到Insider測試社群中的特定裝置和市場。</p> <p>但24H2屢傳和某些軟、硬體發生不相容。有此類問題的用戶仍然可設定更新封鎖。有相容問題的軟體包括，用於Windows Hello臉部辨識的相機、Dirac數位音效改進軟體、使用sprotect.sys 驅動程式的應用程式、Intel Smart Sound Technology 驅動程式、Safe Exam Browser 3.7版及舊版反詐騙程式Easy Anti-Cheat等。</p> </div></div></div>
2025/5/6 09:41作者林妍溱https://www.ithome.com.tw/news/168756
Google可能正在開發類似三星Dex的Android桌機模式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.androidauthority.com/android-desktop-mode-leak-3550321/" target="_blank">網路媒體Android Authority發現</a>，Google可能正在開發類似三星Dex一樣，以手機App模擬桌機介面的功能，但正式名稱不確定。</p> <p><a href="https://www.samsung.com/tw/support/apps-services/what-is-samsung-dex/" target="_blank">Dex</a>為三星獨有的控制功能，允許用戶將三星行動裝置（如Galaxy智慧手機或平板）連接至外部顯示器（電視或顯示器），讓用戶在更大螢幕上使用所有手機／平板上所有App、文件、檔案或操作所有設定。但它不像螢幕鏡像（screen mirroring）一樣限制手機上的操作；使用Dex用戶可以同時開啟多個App，例如將球賽投影到電視，一邊開啟瀏覽器上網，同時在Galaxy手機上回覆郵件。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0506-samsung-dex.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／三星</span></span></p> <p><a href="https://www.androidauthority.com/android-desktop-view-3533755/" target="_blank">Android Authority三月時在Android 16 的測試版本中</a>，發現名為Desktop View的功能位於開發人員功能選項中。該功能類似Dex，但是無法在Pixel手機開啟。</p> <p>媒體記者近日測試Android 16 Beta 4，Desktop View功能已可在Pixel手機上開啟，但是介面描述文字改為Desktop Windowing，顯示可能改名。</p> <p><a href="https://www.youtube.com/watch?v=JrE15if_AVs&t=1s" target="_blank">根據記者的示範影片</a>，連接Google最新Pixel手機和電腦螢幕，即可在螢幕下方顯示類似Windows工作列的App行列，允許用戶利用滑鼠像是操作電腦一樣操作手機，也能在多個App間彼此切換或拖曳內容。</p> <p><a href="http://www.youtube.com/watch?v=JrE15if_AVs&t=1s" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0506-Google%20DeX%20by%20Android%20Authority.png" style="width: 600px;" /></a></p> <p><a href="http://www.youtube.com/watch?v=JrE15if_AVs&t=1s" target="_blank"><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源／Android Authority</span></span></a></p> <p>但從本功能開發尚不完整來判斷，Android Authority相信可能不會在秋天隨同Android 16推出，而是在之後的Android 16季度更新甚至Android 17上市。</p> </div></div></div>
2025/5/6 09:46作者林妍溱https://www.ithome.com.tw/news/168757
【2025臺灣資安年鑑｜數位發展部部長黃彥男】數位轉型與國安並重，臺灣在數位浪潮下的資安突圍
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/0506-zi_an_nian_jian_-huang_yan_nan_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在全球數位化浪潮席捲之際，臺灣作為高科技產業的重鎮，其資通安全不僅僅是技術層面的挑戰，更深切關係到國家安全、社會穩定以及經濟發展的命脈。面對日益嚴峻的網路威脅與快速演進的數位環境，政府正積極推動數位轉型，並以前瞻性的視野打造堅固的資安防線。</p> <p>在數位經濟迅速崛起的時代，網路安全早已超越單純的技術議題，晉升為攸關國家安全、社會穩定與經濟發展的重要戰略。臺灣在全球數位浪潮中要站穩腳跟，就必須全力推動政府與民間產業的數位轉型。</p> <p>數位發展部部長黃彥男開宗明義指出，數位轉型是當前政府最核心的工作之一，在這場搶先機的賽跑中，人工智慧（AI）的應用和推廣被視為關鍵利器，不僅能優化作業流程，更能推動產業轉型，助力臺灣在全球競爭中脫穎而出。因此，他說，政府在AI推動上，從人才培育、資金補助，到算力、行銷及各項技術設備的投資，進行全方位部署，期望讓臺灣在全球數位浪潮中站穩腳跟。</p> <p>同時，在面對數位經濟時代的國家競賽，臺灣要做到的戰略突圍，黃彥男認為，數位經濟高速公路就是臺灣突圍的關鍵。他指出，作為一座海島，臺灣必須確保網路暢通無阻，不論是面臨天災、人禍，還是戰爭等突發狀況，都必須有完整的備援措施，確保關鍵資訊基礎建設能夠持續運作。他特別指出，不僅政府部門需要加強資安防護，民間與地方政府的網路安全同樣不可忽視。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>全民防護與產業自救是因應資安防護的挑戰</strong></span></span></p> <p>隨著網路發展愈加普及，臺灣網路接觸面日益廣泛，詐騙與各種網路攻擊事件層出不窮，黃彥男認為，這正是「全民防護」的必要性所在。他指出，未來資安防護工作必須從政府、產業到地方政府全方位部署，像是金融、電信、交通等關鍵基礎設施（CI）均屬於攻擊重災區，一旦資訊系統遭駭客入侵，可能導致民眾恐慌與重大社會混亂。為此，政府除了針對公共單位，也積極推動非公共機關及民間企業建立完善防護措施。</p> <p>針對產業層面，黃彥男坦言，政府設有多項計畫來幫助中小企業轉型，但因預算與資源有限，補助計畫常常受制於經費縮減與人才不足，導致部分企業在資安轉型過程中舉步維艱。他也說，政府原先規畫設置免費算力池協助中小企業進行概念驗證（PoC），但因今年立法院大幅刪減預算，不僅想要新購的算力沒有預算購買，只能勉強維持原先的算力池資源，因此，能夠提供給企業做概念驗證的數量很有限，這也是數位部因為預算經費縮減而面臨的挑戰。</p> <p>黃彥男強調，資安防護並非僅靠技術就能解決，關鍵在於全民意識與協同合作。面對以AI技術撰寫病毒或操縱駭客工具的新型網路攻擊，傳統防護措施已顯得不足，必須整合新的監控技術，持續更新防禦系統，才能有效抵禦日益複雜的攻擊手法。所以，此時政府更需要讓全民了解各類攻擊手法，提高警覺與自主防範意識。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>強化數位韌性：從通訊系統到打詐機制</strong></span></span></p> <p>黃彥男表示，數位發展部的施政目標聚焦於「強化數位韌性」、「發展數位經濟」與「積極強化打詐」。在數位韌性方面，政府持續整合海陸空多元通訊系統，包括非同步衛星、5G網路及海纜等，以確保在災難或緊急情況下，政府指揮體系能保持基本通訊需求。</p> <p>他說，具體措施包括維運並推動非同步軌道衛星應變網路，自113年以來，已完成195處關鍵站點建置，並成立網管中心以即時監控運作狀況。此外，政府也發展近地高空通訊技術，利用國內團隊自主研製的高空平臺，結合低污染氫燃料電池，為救災提供自主可控、安全可靠的臨時通訊保障，其通訊服務可持續80小時以上，覆蓋半徑達11公里。</p> <p>在資安防護的層面上，他指出，目前政府運用AI技術發展自動威脅偵測模型，並深化跨國資安聯防及合作，建立全社會的資安防禦能力。另外，每年辦理網路攻防演練，模擬駭客攻擊手法，透過官學研合作，提升內部防護意識與事件應變能力。</p> <p>至於打詐方面，數位發展部積極推動網路詐騙通報查詢網、實施網路廣告實名制，並建構跨部會聯防機制，從源頭降低詐騙風險。截至2025年初，相關措施已使高風險金融投資及身分冒充詐騙廣告案件數大幅下降，降幅分別達93%與98%。政府透過推動網路詐騙通報查詢網、實施網路廣告實名制以及第三方支付平台監控等措施，有效降低高風險金融投資及身份冒充詐騙的案件數。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0506-%E8%B3%87%E5%AE%89%E5%B9%B4%E9%91%91-%E9%BB%83%E5%BD%A5%E7%94%B7-%E6%8A%BD%E8%A8%801.png" style="width: 600px;" /></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>部會合作的挑戰：資源、職權與協調</strong></span></span></p> <p>政府在數位轉型與資安防護方面，除了技術與資金的投入，部會間的協同合作同樣關鍵。黃彥男坦言，數位發展部作為新成立的部會，初期面臨極大挑戰是資源不足，許多經費都來自於計畫經費，以及與其他部會之間職權界線模糊，常常讓民眾誤解「所有網路相關事務都是由數發部處理」。</p> <p>黃彥男表示，上述情況也使得部會在執行各項任務時，除了需要應對技術挑戰，還必須花大量心力與其他部會協調、爭取預算與合作，而且，不論共同解決從網路攻擊、詐騙，到跨部門資安防護等繁雜問題，像是面對如Uber的案例，都必須與交通部等主管部門進行協商，確定監管責任歸屬。</p> <p>黃彥男坦言，與立法院及民間溝通也是一大挑戰。他進一步解釋，由於數位發展部相較其他部會而言，仍屬於新的部會單位，許多人事流動與人力不足，也讓許多人尚未能充分了解政府在資安與數位轉型上的努力，容易以片段訊息來詮釋整體成果，導致負面印象擴大。</p> <p>他指出，政府也正嘗試利用社群媒體及各項宣傳活動，希望能增進與民眾的互動與溝通，讓外界能夠更全面地認識政府在資安防護、網路建設與產業推動上的各項努力與成果。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>預算遭到立院刪除後所面臨的困境</strong></span></span></p> <p>黃彥男坦言，預算與人力不足，是目前推動數位轉型及資安防護工作面臨的最大挑戰之一。數位發展部成立才兩年多，就遭遇經費遭到立法院大幅削減的困境，他解釋，數位發展部整個部門預算被砍掉四成，預算凍結比例超過二成，實際可動用預算大幅縮減，嚴重影響各項計畫的推動。</p> <p>除了預算不足，他表示，人才短缺也成為數位發展部工作推動的瓶頸，無論AI技術人才、資安專業人才或是技術研發團隊，都因為高流動率與業界競爭激烈而難以留住；像是部門內部也有不少資深同仁，因工作負荷過重或待遇不符而離職，這對現有數位發展部政策的推動，以及未來政策執行與技術研發，都帶來長遠的影響。</p> <p>為了應對這些挑戰，黃彥男表示，政府正積極尋求與其他部會協同合作，並向行政院爭取更多資源以穩定並擴充部門力量，未來會將重點聚焦於穩定與提升預算分配，讓資安署及資安院能夠擁有更充裕的運作資金。</p> <p>同時，他也說，政府也會透過各項計畫補助，鼓勵中小企業參與數位轉型，並提供算力、資金及人才培訓等支持，同時建立完善的跨部門協調機制，確保資安政策與數位轉型方案能夠高效落實，減少部會間職權交叉與資源浪費。他也期待，如何讓各界理解並支持政府的數位轉型，只有從根本上解決資源分配問題，才能讓整個數位轉型與資安防護體系運作得更順暢、更具韌性。</p> <p><span style="font-size:28px;"><span style="color:#B22222;"><strong>確保災難時的通訊不中斷是重要工作</strong></span></span></p> <p>在談到國家網路基礎建設與應急救援技術時，黃彥男也提及政府在面對各種災害應變與緊急通訊領域的應用，他表示，針對天災或突發事故導致基地臺斷訊的情況，政府曾利用高空氣球技術，在災害發生後迅速將基地臺部署於空中，確保至少能夠提供數小時的緊急通訊服務。</p> <p>此外，政府正積極研發無人機技術，期望在高空氣球技術基礎上，利用無人機部署臨時基地站，以更靈活、迅速的方式應對災害現場的通訊中斷問題，大幅提升政府在災害救援及應急通訊上的整體應變能力。</p> <p>他認為，這類技術的創新不僅可以在災害發生時救急，長遠來看，更能作為臺灣數位轉型與資安防護體系中的一環，為未來智慧城市、物聯網應用提供強而有力的技術支撐。今年高空氣球基地臺計畫雖然因為預算刪除而被中止，但只要技術創新的想法還在，未來一定還有更多可能性。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0506-%E8%B3%87%E5%AE%89%E5%B9%B4%E9%91%91-%E9%BB%83%E5%BD%A5%E7%94%B7-%E6%8A%BD%E8%A8%802.png" style="width: 600px;" /></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>推動重要法規立法和修法進度</strong></span></span></p> <p>政府正積極推動包括《AI基本法》、《資安法》修法，以及《促進資料創新條例》立法等多項法規。黃彥男表示，由於技術進展太快，法規往往難以與現實技術同步更新，因此在制定相關法案時，政府傾向於採取原則性宣示，並在原則確定後，再進行細部執法措施的補充。</p> <p>例如，制定《AI基本法》的目標在於鼓勵AI技術發展與應用，同時兼顧風險管理與人權保障。他表示，政府在推動《AI基本法》時，也希望與立法院、司法部等各個部會協調溝通，確定各項推動與監管機制，使法規既不過於束縛技術發展，又能在關鍵時刻發揮有效監管作用。</p> <p>針對《資安法》修法，黃彥男認為這是一部影響全國各個領域的重要法規，其管制範圍原先只涵蓋政府部門，以及特定非公務機關，例如金融、電信、交通等關鍵基礎建設領域。</p> <p>目前《資安法》修法已進入立法院一讀，修法的重點在於：希望可以擴大全民防護、加強地方政府的資安防護，以及整合各個跨部門的情報分享與聯防機制。</p> <p>黃彥男表示，未來政府也希望建立一支類似「網路消防隊」的資安團隊，在面對資安攻擊發生時，能迅速協助各單位進行搶救，避免因資安事件造成大規模社會混亂。</p> <p>他指出，政府鼓勵民間及政府部門做到公開資料、共享資料，可以提升AI模型訓練的效率與準確性，同時，強調要建立符合國際標準的資料安全與隱私保護機制。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>聯防打造全民資安防線</strong></span></span></p> <p>關於建立跨部門、跨單位的資安聯防和合作機制，黃彥男同意這已是當務之急，例如，政府原本已經建立許多聯防機制，包括透過CSIRT（資安事件應變小組）、ISAC（資安情報分享中心）等平臺，但真正要做到實現各種資安資訊共享與跨單位協調，仍必須仰賴各界齊心協力，才能在面臨國家級或跨國的資安攻擊時，迅速做出反應，將損害降到最低。</p> <p>此外，政府不僅重視政府和關鍵基礎設施等內部聯防合作，也非常重視與民間、社群媒體之間的溝通，黃彥男表示，未來政府將加大宣傳力度，運用社群平臺，向民眾闡明各項資安措施與成效，爭取更廣泛的理解與支持透過多元宣傳管道，讓民眾了解政府在資安防護上的堅強實力</p> <p>黃彥男也對未來資安產業發展與數位轉型提出展望，他認為，未來的發展不僅限於技術突破，更需要在政策、預算、人力資源與跨部門合作上，建立完整而穩固的防護體系。</p> <p>他強調：「資安關乎國家安全，資安即國安，所有產業都無法脫離資安這個環節。」包括半導體、軍工、甚至是日常生活中各種政府服務，都需要建立相應的安全防護標準，確保各項服務能夠在安全的環境下穩定運作。</p> <p>至於在產業推動方面，他指出，政府也會優先考慮國產資安產品在政府採購上的比重，藉此扶植本土產業，提升整體技術實力；同時，政府也積極參與國際展覽與交流，將臺灣資安技術推向國際舞臺，促進產業升級與國際競爭力。他認為，面對國內外資安技術不斷進步，臺灣必須加速技術研發與政策推動，才能在未來激烈的市場競爭中占得先機。</p> <p>但是，推動資安產業發展與數位轉型並非一蹴可幾，內部的經費不足與人才流失問題，依然是必須迫切解決的難題。黃彥男坦言，唯有在面對挑戰時，不斷調整策略與部署，讓資安與數位轉型工作能夠持續推進，最終打造出一個堅韌、安全、可信賴的數位國家。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>最新資安政策藍圖出爐，目標是打造安全、可信賴的數位環境</strong></span></span></p> <p>預計在今年第三季推出的「第七期（114～117年）國家資通安全發展方案」中，以第六期（110-113年）所取得的成果為基石，更加強調全社會資安防禦與新興資安科技應用。黃彥男表示，過去政府透過各類攻防演練及工控場域建置，已顯著提升關鍵基礎設施韌性，未來將持續推動公私協力模式，促進資安人才的持續補充。</p> <p>至於民間防護，他指出，主要是透過TWCERT/CC推動公私領域聯防，另外在半導體設備SEMI E187的資安標準獲得國際認證，對半導體資安的推動有極大助益。他認為，政府鼓勵業者研發本土產品，推動資安產業國際化，可進一步擴大臺灣資安技術的國際影響力</p> <p>黃彥男也以「務實推動」與「接軌國際」為理念，並以「人本智慧新科技信賴安全新時代」為願景，擘劃出三大目標：發展新興資安科技與培育卓越資安人才；提升國家數位安全領域的攻防能量；共創安全可信賴的數位產業環境。</p> <p>他表示，最新的方案中，政府定位自己在推動資安產業發展中扮演「火車頭」的角色，從政策面，完善各項資安法規與標準，創造產業資安需求，並積極培訓資安人才。</p> <p>第七期方案中則強調產業、人才與政府三大要素構成的資安生態系，未來將從全社會資安防禦、關鍵基礎設施（CI）防護、壯大國家資安產業發展與新興資安科技應用四大面向推動工作。</p> <p>政府將以「務實推動」與「接軌國際」的精神，透過發展新興資安科技與培育卓越資安人才、提升國家數位安全攻防能量，以及共創安全可信賴的數位產業環境，有三大戰略重點，與各部會及產業攜手合作。政府將著重於利用AI自動威脅偵測模型，加強攻防能力。</p> <p>面對日益多樣化的網路攻擊，黃彥男表示，政府致力於建立全社會的資安防禦體系，確保在天災、戰爭等緊急情況下，國家通訊與指揮能夠穩定運作，海纜、低軌衛星、微波通信等多元通訊系統的整合與韌性提升是當前重點工作。</p> <p>此外，他指出，新方案特別強調全社會資安防禦，要求不僅政府單位，民間企業、地方政府及金融、電信等關鍵部門都要提升防護意識，全面建立聯防聯控機制。</p> <p><a href="https://www.tenlong.com.tw/products/9789860654349?list_name=srh" target="_blank"><span style="color: rgb(51, 102, 255);"><strong>本文出自《CYBERSEC 2025 臺灣資安年鑑》</strong></span></a></p> <p><a href="https://www.tenlong.com.tw/products/9789860654349?list_name=srh" target="_blank"><span style="color: rgb(51, 102, 255);"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/2025%E8%B3%87%E5%AE%89%E5%B9%B4%E9%91%91%E5%B0%81%E9%9D%A2.png" style="width: 350px;" /></strong></span></a></p> </div></div></div>
2025/5/6 07:00作者黃彥棻https://www.ithome.com.tw/article/168475
JavaScript執行環境Bun推出主控臺串流機制，改進全端除錯與AI整合流程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>JavaScript執行環境<a href="https://bun.sh/blog/bun-v1.2.12">Bun釋出1.2.12版本</a>，新增可將瀏覽器主控臺（Console）輸出直接串流至終端機的功能，強化除錯效率與人工智慧開發整合彈性，並針對Node.js相容性、記憶體使用量及多個臭蟲進行修正。本次更新雖屬小幅版本，卻對日常開發流程，特別是在全端開發與前端測試情境，提供更進一步的可觀察性與除錯體驗。</p> <p>透過新增的--console旗標，或在伺服器設定中啟用對應選項，開發者現在可將瀏覽器主控臺輸出直接串流至啟動Bun的終端機。這些資訊會明確標示來源，並透過與熱重載共用的連線傳送，無需額外設定即可運作。此機制減少在瀏覽器與終端機之間切換的麻煩，讓除錯流程更集中，也替人工智慧工具提供即時、具上下文的日誌輸入，有助提升自動化分析與協作效率。</p> <p>該功能由社群貢獻實作，現在並非預設啟用，但官方表示未來版本可能考慮設為預設行為。此設計除有助於集中日誌訊息來源，對部署前測試與故障重現也很實用。</p> <p>除了主控臺串流外，Bun在這個版也大幅改善記憶體使用效率。開發者測試顯示，針對React專案熱重載超過300次的情境，Bun從1.2.11版本的約272MB大幅降至1.2.12的150MB，而改進主要來自於Sourcemap處理架構的調整。</p> <p>在Node.js相容性方面，Bun強化對JavaScript執行引擎的快取機制支援，允許將程式碼的編譯結果儲存並重複使用，可有效縮短重啟或重新載入時的等待時間，對於開發時需頻繁重複執行的場景特別實用。同時也新增對網路模組的支援，可靈活設定封鎖特定IP或網段的規則，提升應用程式的控制能力與安全性。HTTP模組也修正多項潛在錯誤，處理特例情境更加穩定。根據官方的資料，Bun目前已通過大多數Node.js計時功能的測試。</p> <p>Bun本次也針對文字解碼相關功能進行修正，調整行為以符合Web標準規範，讓開發者在處理各類文字編碼時能獲得更一致的結果，並避免過去可能因輸入異常資料而產生的錯誤。在穩定性方面，Bun修正了過去在長時間執行熱重載時可能出現的偶發性錯誤，提升開發過程的可靠性。同時也修復了與模組安裝與路徑處理有關的問題，包含部分套件在安裝過程，無法正常執行初始化指令的情況。</p> </div></div></div>
2025/5/5 18:09作者李建興https://www.ithome.com.tw/news/168747
V8引擎支援預編譯註解標籤，提升網頁載入速度
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google旗下的JavaScript引擎V8引入一項名為<a href="https://v8.dev/blog/explicit-compile-hints">Explicit Compile Hints</a>的新功能，允許開發者透過特定註解指示V8在載入JavaScript檔案時，預先編譯其中所有會在頁面載入階段被呼叫的函式，以加速網頁初始載入效率，該功能已隨Chrome 136釋出。</p> <p>在既有的V8執行邏輯，V8會在載入階段決定每個JavaScript函式的編譯時機，是否要立即編譯（Eager Compilation），或延後至實際執行時才編譯（Lazy Compilation）。當選擇延後編譯，函式首次被呼叫時，主執行緒需等待V8完成編譯後才能繼續執行後續邏輯，這在特定情境下可能導致頁面反應延遲，特別是在初次載入過程即需執行的函式較多的情況。</p> <p>此次新增的註解標籤//# allFunctionsCalledOnLoad，開發者可明確告知V8，特定檔案中的函式會在頁面載入時被呼叫，進而啟用預編譯。這項提示會讓V8在載入期間，於背景執行緒進行完整的語法解析與編譯，並與網路請求的下載作業交錯執行，減少主執行緒的等待時間。</p> <p>官方實驗顯示，在針對20個熱門網站進行測試時，有17個網頁的JavaScript載入效能明顯改善，平均可減少約630毫秒的前景解析與編譯時間。</p> <p>這項機制的重點在於精準控制JavaScript的編譯時機。JavaScript語法複雜，即便是判定函式結尾位置，也無法僅靠括號配對而須完整解析語法結構，因此當預先進行語法解析卻不馬上編譯，將導致重複工作與資源浪費。而Explicit Compile Hints讓V8在判斷時能更有依據，避免過度依賴啟發式策略所帶來的不確定性。</p> <p>不過，V8團隊也提醒開發者此功能應謹慎使用。當過多函式被設定為預編譯，不僅會增加記憶體使用，也可能導致背景執行緒負載過重，反而影響整體效能。因此，理想的使用情境是將初始載入過程，確定會執行的關鍵函式集中於單一核心檔案，並對該檔案加註註解，以最大化效果。</p> <p>V8團隊計畫將此功能從檔案層級延伸至函式層級，使開發者能更細緻地指定特定函式進行預編譯。</p> </div></div></div>
2025/5/5 19:20作者李建興https://www.ithome.com.tw/news/168753
勒索軟體Rhysida聲稱對秘魯政府數位平臺下手，但該國否認遭駭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>勒索軟體Rhysida背後的組織上周宣稱攻擊祕魯政府數位平台，但祕魯政府否認。</p> <p>資安業者Comparitech<a href="http://hhttps://twitter.com/Comparitech/status/1918226749919510786">上周五發現</a>Rhysida在暗網貼文公告此事。駭客並張貼疑似來自網址為Gob.pe的多份文件螢幕擷圖作為證據。Gob.pe為祕魯政府數位平台的網址。在Rhysida駭客的公告宣稱，他們已向祕魯政府要求在7日內支付5比特幣來交換。</p> <p>但是祕魯政府否認此事。根據<a href="https://twitter.com/_venarix_/status/1918256380374598077">資安業者Venarix轉貼</a>祕魯政府的聲明，祕魯政府宣稱該國數位單一平台（<a href="http://www.gob.pe">www.gob.pe</a>）並未遭入侵或遭破壞。所有服務皆維持正常運作。</p> <p>該國政府說，社群媒體上流傳的關於 <a href="http://www.gob.pe">www.gob.pe</a> 網域被劫持的訊息並不準確。所謂事件實際上是發生於 <a href="http://www.satp.gob.pe">www.satp.gob.pe</a> 網域相關的某服務，但該服務管理與祕魯內閣會議主席（總理）辦公室、或數位政府與轉型秘書處切開。</p> <p>Rhysida為俄國駭客組織，自2023年5月崛起以來，宣稱成功襲擊的受害組織多達182個。去年7月和12月Rhysida駭客宣稱分別駭入了美國俄亥俄州哥倫布市及西雅圖達科馬機場，導致多家航空公司必須人工處理登機作業。今年1月Rhysida駭客宣稱成功攻擊加拿大魁北克省，勒索10比特幣，約100萬美元贖金。</p> <p>不過這隻勒索程式曾遭破解，去年初南韓網路安全署（KISA）<a href="https://www.ithome.com.tw/news/161270">已公佈解密金鑰</a>。</p> </div></div></div>
2025/5/5 19:20作者林妍溱https://www.ithome.com.tw/news/168754
百萬開發者愛用的AI開發工具Cursor再添火力！母公司成功募資9億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近日英國金融時報（Financial Times，FT）<a href="https://www.ft.com/content/a7b34d53-a844-4e69-a55c-b9dee9a97dd2">引述消息來源報導</a>，專門開發AI程式設計工具Cursor的Anysphere已經完成了新一輪的融資，成功募得9億美元的資金，而且該公司的估計已達到90億美元。</p> <p>Anysphere成立於2022年，當時是由4名來自麻省理工學院（MIT）的Aman Sanger、Arvid Lunnemark、Sualeh Asif 與Michael Truell共同創立，創辦人皆只有二十幾歲，其<a href="https://anysphere.inc">官網上明白寫著</a>，這是一個致力於程式自動化的應用研究實驗室，打算結合AI與人類智慧來培育天才工程師。</p> <p>Anysphere的首個產品為Cursor，它是個程式碼編輯器，介面類似VS Code，支援 Python、TypeScript、React與Go等不同的程式語言，所嵌入的AI讓它能夠理解人類自然語言輸入。該公司在<a href="https://www.cursor.com/cn/blog/series-b">今年1月宣稱</a>，已有數百萬名程式設計師將Cursor列為首選編輯器，透過其專有模型所產生的程式碼數量已凌駕全球任何單一大型語言模型所生成的程式碼，而且每天編問的程式碼超過10億個字元，業務蒸蒸日上且成長迅速，經常性收入已超過1億美元。</p> <p>FT的報導之所以受到外界關注，是因為Anysphere是<a href="https://www.cursor.com/cn/blog/openai-fund">在2023年9月才獲得</a>來自OpenAI的800萬美元種子資金，彼時Anysphere的所有資金只有1,100萬美元；但該公司在2024年8月便<a href="https://www.cursor.com/cn/blog/series-a">完成了A輪融資</a>，成功募得6,000萬美元，公司估值為4億美元；接著在今年1月完成1.05億美元的<a href="https://www.cursor.com/cn/blog/series-b">B輪融資</a>，公司估值已達26億美元。</p> <p>本周FT則說該公司估值已快速增長至90億美元，顯示Anysphere在不到半年的時間，身價便已暴漲3倍有餘，被稱為史上成長最快的AI新創。</p> <p>根據報導，此次是由也投資OpenAI的Thrive Capital領投，其它投資者還包括Andreessen Horowitz與Accel。</p> </div></div></div>
2025/5/5 19:28作者陳曉莉https://www.ithome.com.tw/news/168755
【資安日報】5月5日，臺灣第一座防詐實驗室正式掛牌上路，玉山金揭金融無塵室發展方向
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>數發部在防範網路詐騙上，2023年從金流阻斷的管道著手，補助金融業者發展AI防詐鷹眼系統，促成公私合作共同組成「<a href="https://www.ithome.com.tw/news/164486">鷹眼識詐聯盟</a>」，今年他們有了進一步的行動，上週宣布支持玉山金控、金融科技產業聯盟成立防詐實驗室，目的是希望運用新技術，提高對異常交易、高風險帳戶的偵測識別能力。</p> <p>其中，防詐實驗室的重點計畫「金融無塵室」，玉山金控也在掛牌儀式公開展示這個管制空間。防詐實驗室當中設立的金融無塵室，藉由多層式加密，建立可以整合不同金融資料的環境，目的是讓金融機構能在確保資安合規、安全的情況下合作。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168738"><strong style="font-size: 22px;">駭客攻陷電商平臺Magento供應鏈，連百億規模跨國公司都遭殃</strong></a></p> <p>專門鎖定電子商務資訊安全領域的Sansec揭露，有駭客滲透了開源電子商務平臺Magento的供應鏈，在這些供應鏈業者所提供的外掛程式中嵌入了後門，已波及數百家商店，包括一家價值400億美元的跨國公司。Sansec調查發現，總計有21款第三方擴充套件服務含有同樣的後門，該後門偽裝成授權檢查機制，允許駭客得以在未經授權的情況下執行任意的PHP程式，竊取客戶資料及支付資訊，植入信用卡竊取程式，建立未經授權的管理員帳戶，或是持續控制受到感染的網站等。</p> <p>特別的是，這些後門現身的時間點從2019年到2022年不等，最久的已存在6年，卻一直到今年4月才開始遭到積極利用。</p> <p>被植入後門的應用程式來自3家Magento解決方案供應商Tigren、Magesolution，以及Meetanshi。Sansec說，這3家業者的伺服器已被滲透，才使得駭客能夠在它們的下載伺服器上植入後門，估計全球至少有500家至1,000家商店正在執行含有後門的應用程式。</p> <p><a href="https://www.ithome.com.tw/news/168679"><strong style="font-size: 22px;">Cloudflare緩解了6.5 Tbps大規模DDoS攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/cloudflare-ddos-image2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/cloudflare-ddos-image2.png" style="width: 300px; float: right;" /></a></p> <p>2025年分散式阻斷服務（DDoS）攻擊愈來愈猛烈，資安業者Cloudflare在今年4月緩解6.5 Tbps的DDoS攻擊，再創下史上攻擊流量的新高。</p> <p>近日Cloudflare揭露今年第一季DDoS攻擊態勢，指出第一季該公司阻擋約700次超大流量的攻擊，平均每天有8次，這些攻擊行動的規模，不是流量在1 Tbps以上，就是每秒傳送10億個封包（Bpps）的事故。</p> <p>雖然Cloudflare主要是彙整第一季的態勢，但這次特別提及4月的情況。因為，該公司在4月下半，偵測並阻擋了數十次超大量DDoS攻擊，其攻擊最高峰在6.5 Tbps（或是4.8 Bpps），每波攻擊持續35到45秒之間。從流量的規模來看，6.5 Tbps的攻擊波是迄今公開紀錄最大的DDoS攻擊，超越今年1月的5.6 Tbps；而4.8 Bpps也是迄今公布最多封包量的一次，比前一次的3.15 Bpps多出52%。</p> <p><a href="https://www.ithome.com.tw/news/168743"><strong style="font-size: 22px;">勒索軟體DragonForce東山再起，以橫向聯盟模式提供作案工具，讓打手以自己的名義犯案</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/DragonForce-figure-01.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/DragonForce-figure-01.png" style="width: 300px; float: right;" /></a></p> <p>去年6月傳出臺灣邦交國帛琉遭駭，2萬份政府文件流入暗網，聲稱發動攻擊的勒索軟體駭客組織DragonForce，表示他們是為了經濟目的而犯案，特別的是，當時該組織並未向帛琉政府勒索，外界認為原因是這些駭客背後有中國政府資助。如今這組駭客傳出建立新的經營模式，吸引想建立名號、卻無相關技術的打手上門。</p> <p>資安業者Secureworks指出，DragonForce經營團隊原本採用提供作案工具的租用服務模式（Ransomware-as-a-Service），3月19日之後，開始改以勒索軟體「橫向聯盟（cartel）」名義找尋合作對象，而與過往租用工具的經營模式最大的差異，就是合作社的成員能以自己的品牌從事活動。</p> <p>資安新聞網站Bleeping Computer根據他們聯繫DragonForce代表後得到的資訊，描述新的業務合作模式，他們指出DragonForce通常會在附屬團體收到贖金後，瓜分20%至30%作為平臺的使用費。DragonForce透露，他們是以經濟利益為動機的駭客組織，自己有一套道德準則，反對攻擊癌症病人或是心臟相關的醫療機構。</p> <p><a href="https://www.ithome.com.tw/news/168723"><strong style="font-size: 22px;">Commvault公布被用於攻擊Azure環境的零時差漏洞細節</strong></a></p> <p>今年3月老牌備份軟體領導廠商Commvault表示，他們2月20日接獲微軟的通報，得知有國家級駭客在Azure環境從事未經授權的活動，經過初步調查後確認有部分用戶受到影響，駭客利用了一項零時差漏洞而得逞，如今該公司公布後續的調查結果。</p> <p>4月27日Commvault表示，經過他們進一步調查，確認客戶備份的資料並未遭到未經授權存取，這起事故也沒有對該公司業務營運和交付產品、服務造成重大影響。Commvault與兩家資安業者、有關當局緊密合作，聯手因應此事。</p> <p>該公司也更新前述零時差漏洞的資安公告，指出這項弱點已被登記為CVE-2025-3928列管，CVSS風險評為8.7，並指出若不處理，攻擊者有機會用來部署Web Shell，並損害網頁伺服器。美國網路安全暨基礎設施安全局（CISA）於4月28日，將該漏洞納入已遭利用的漏洞列表（KEV）。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=2&SPOKE_TIME=152248&SPOKE_DATE=20250430&COMPANY_ID=2029"><strong style="font-size: 22px;">針對3月底揭露的資安事故，鋼鐵廠盛餘表示有資料外洩的情況</strong></a></p> <p></p> <p>鋼鐵廠盛餘於3月30日於股市公開觀測站發布資安重訊，指出他們資訊系統遭到網路攻擊，且有主機與電腦感染病毒的情況，經過一個月的調查，該公司再度表示，他們管理的個人資訊及機密資訊，有可能遭到洩露的情況。他們將著手對可能受到影響的利害關係人，發送資安通知，對於遭竊情形與處理措施進行說明。</p> <p>究竟有那些資料曝險，該公司並未進一步說明。不過，該公司進行評估後，認為對公司的營運無重大影響。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://therecord.media/cyberattack-water-supplier-barcelona-spain">西班牙水資源供應商傳出遭遇網路攻擊，部分用戶資料恐外流</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.googlecloudcommunity.com/gc/Community-Blog/Finding-Malware-Unveiling-LUMMAC-V2-with-Google-Security/ba-p/899110">竊資軟體LummaC2藉由ClickFix網釣手法散布，並於記憶體內執行惡意PowerShell指令碼</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://krebsonsecurity.com/2025/05/xai-dev-leaks-api-key-for-private-spacex-tesla-llms/">人工智慧公司xAI私鑰於GitHub流出，特斯拉、SpaceX、X的大型語言模型恐被存取</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/04/triada-malware-preloaded-on-counterfeit.html">低價安卓手機、平板電腦、機上盒驚傳預載惡意軟體Triada，鎖定俄羅斯用戶而來</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityaffairs.com/177020/cyber-crime/ceo-of-cybersecurity-firm-charged-with-installing-malware-on-hospital-systems.html">資安業者Veritaco執行長遭到起訴，起因是此人在醫院的電腦植入惡意軟體</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168638"><strong style="font-size: 22px;">GitLab釋出新版修正Maven Proxy高嚴重性XSS漏洞</strong></a></p> <p>GitLab釋出17.11.1、17.10.5及17.9.7版本，針對社群版與企業版同步進行安全性修正。本次更新重點為修補多個Maven Dependency Proxy元件相關的高嚴重性跨站腳本攻擊（XSS）漏洞與資料洩漏風險，影響範圍涵蓋16.6後的版本號。官方指出，受影響的安裝環境不限於特定部署型式，所有自行管理版本GitLab均建議儘速升級。</p> <p>GitLab公告修補5個安全性問題，有3項為高嚴重性漏洞，其中2個CVE-2025-1763、CVE-2025-2443出現在Maven Dependency Proxy元件，該元件主要用於快取與管理Java專案所需套件下載，但因內容安全政策（CSP）與快取標頭設定不足，攻擊者可能植入惡意腳本，繞過瀏覽器的安全防護機制。另一項高嚴重性漏洞CVE-2025-1908，則與NEL（Network Error Logging）標頭注入有關，可能使攻擊者追蹤使用者瀏覽行為，進一步增加入侵或帳號接管的風險。</p> <p><a href="https://www.ithome.com.tw/news/168680"><strong style="font-size: 22px;">研究人員揭露眾多蘋果AirPlay安全漏洞</strong></a></p> <p>資安業者Oligo揭露23個資安漏洞，這些漏洞涉及蘋果AirPlay協定與AirPlay軟體開發套件（Software Development Kit，SDK），研究人員將它們統稱為AirBorne，蘋果接獲通報後在今年1月修補完成，並登記17個CVE編號列管。不過，Oligo擔心，市場上有數千萬臺的第三方裝置支援AirPlay，恐怕需要數年的時間才能全部修補完成。</p> <p>這些漏洞可能被用來執行遠端程式、存取控制清單、繞過與使用者的互動、任意存取本地端檔案、外洩敏感資訊、中間人攻擊，以及服務阻斷攻擊等。對此，Oligo建議使用者，應更新裝置以降低潛在的安全風險，並在不使用的情況下直接禁用AirPlay接收器；若是要使用相關功能，也要進一步藉由防火牆設定來限制AirPlay存取並採用嚴格的AirPlay設定。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168707"><strong style="font-size: 22px;">玉山金揭金融無塵室最新進展，第二階段要整合跨業資訊、提升軟硬體架構</strong></a></p> <p>玉山金控近日與金融科技產業聯盟、數發部合作成立「防詐實驗室」，並在4月30日正式掛牌啟用。除了對外展示金融無塵室空間，玉山金控也進一步揭露金融無塵室後續的目標。玉山金控指出，他們已在今年2月和中信金控、中華郵政完成金融無塵室第一階段概念驗證（POC），驗證警示帳戶偵測的技術可行性，接下來，金融無塵室的第二階段目標，是要透過結合多元跨業資訊，捕捉更多潛在被害人，並且運用更好的演算法和硬體架構，進一步提升警示精準度。</p> <p>在防詐實驗室掛牌儀式中，玉山金控對外展示了金融無塵室空間，也就是位處於防詐實驗室中的管制室，是實際進行研發和資料分析的場域。玉山金控表示，所有人員進出這個管制室，都需要移除自有裝置，例如不能攜帶手機或自有3C裝置，而且，這個空間也嚴禁任何資料攜出，管制室內部也會有個人專屬使用的對應裝置。</p> <p>資料無塵室（Data Clean Room）是國外近年開始崛起的多方資料協作方式，在安全技術和隱私技術保護下，讓多方資料可以在兼顧用戶隱私和資料安全的環境下進行處理和分析。金融無塵室正是這一類的設計，利用了多層式加密方式，建立一個可以整合不同金融機構資料的環境，確保金融機構能在資料合規、安全的情況下進行合作。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/168725"><strong>【5月2日】思科、Nvida等多家業者在RSAC 2025推出AI資安工具</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168681"><strong>【4月30日】韓國電信業者SKT資料外洩出現進展，該公司將為用戶換發SIM卡</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168660"><strong>【4月29日】1千多臺SAP NetWeaver伺服器傳出遭遇滿分漏洞攻擊</strong></a></p> </div></div></div>
2025/5/5 17:15作者周峻佑https://www.ithome.com.tw/news/168745
【臺灣資安大會直擊】持續推動零信任架構，將來銀行公開今年四項重點計畫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今年臺灣資安大會上，將來銀行資安長康崇原公開他們推動零信任架構的作法，並揭露了將來銀行今年預計推動的四項零信任架構重點計畫，分別是優化最高權限帳號管理、優化身分與存取管理、導入FCB\GCB基準，和調整網路微分段等計畫。</p> <p>康崇原表示，對純網銀而言，他們並沒有ATM、實體分行、分支機構，也沒有大型主機。因此，他們先根據金管會發布的零信任架構參考指引，排除未使用的場域，以高風險、低衝擊的場域選項來綜合評估先行導入的場景。他們選定的場域包含六項，分別是遠距辦公、雲端存取、系統維運管理、應用系統管理、服務供應商，和跨機構協作。其中，遠距辦公和系統維運管理，是將來銀行選定優先導入零信任架構的目標場域。</p> <p>選定目標先行場景後，將來銀行運用零信任架構實作參考原則分級表，來做自評，並運用自評結果，擬定2025年的目標計畫。</p> <p>康崇原提到，將來銀行2025年預計完成四項零信任架構計畫，第一項是優化最高權限帳號管理，包括針對45套金融應用系統的最高權限帳號管理機制進行優化，並依據認證方式，將應用系統分成AD整合和非AD整合類型。</p> <p>第二項計畫是優化身分與存取管理機制，包括針對系統維運管理場域的維運專屬終端、AD主機和對外服務主機，建置第二道身分驗證機制。第三項計畫是導入FCB\GCB基準，包括建立基於屬性存取控制（ABAC, Attribute-Based Access）的存取控制清單，管制主機資源的存取，並規畫分階段導入金融機構組態基準（FCB）。</p> <p>最後一項計畫，是要調整網路微分段，包括規畫辦理中臺、官網、網銀及無障礙網銀等對外服務主機網路微分段調整。</p> <p>除了加強零信任架構，將來銀行也計畫今年導入更多監控告警規則，加強金融資安聯防能力。康崇原表示，他們將根據最新版的資安監控組態基準（MCB v3.0）新增監控告警規則，從現有行內121條規則數，新增至427條監控告警規則，預計今年完成開發。</p> <p></p> </div></div></div>
2025/5/5 18:45作者李昀璇https://www.ithome.com.tw/news/168749
ChatGPT支援這麼多種模型怎麼用？OpenA揭露各自強項和擅長任務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI迄今已發表數種模型，每種模型都有所更新或特定的功能，上周OpenAI更新其<a href="https://help.openai.com/en/articles/11165333-chatgpt-enterprise-models-limits">ChatGPT Enterprise的模型介紹</a>，好好地列出了每個模型的強項及所適合的任務。</p> <p>OpenAI提供許多訂閱方案，免費版的ChatGPT Free只能使用功能有限的GPT-4o mini模型，而不管是每月20美元的ChatGPT Plus、每月30美元的ChatGPT Team、每月200美元的ChatGPT Pro，或是大型企業等級的ChatGPT Enterprise都能自行選擇所要使用的模型，只是不同模型都有其用量限制。</p> <p>根據OpenAI的說明，GPT-4o是個完整的多模態模型，幾乎支援所有功能，從搜尋、生成圖像、語音或資料分析，也能輸入各種內容，最適合用來進行日常任務，不管是摘錄會議紀錄、起草專案電子郵件或是校稿等，而它在ChatGPT Enterprise訂閱方案中也可無限使用。</p> <p>而GPT-4.5則適合創意任務，因為它更有情緒智商，有創造力也有協調性，很適合幫忙撰寫新功能的描述，或是寫一封具同理心的道歉信，但每周僅支援20個請求。</p> <p>OpenAI o4-mini 適合快速的技術任務，像是快速的STEM相關查詢、程式設計及視覺推理等，如自CSV檔案中提取關鍵資料點，或是快速修復Python回溯等，支援每天300個請求。</p> <p>OpenAI o4-mini-high 可用來執行那些需要更長思考的技術任務，如數學、撰寫程式碼，或是科學解釋，例如用外行人能夠理解的語言來解釋科學概念，該模型支援每天100個請求。</p> <p>至於OpenAI o3則適合複雜或多步驟的任務，如策略規畫、分析，或是大量或深入的程式碼撰寫，例如制定市場擴張的風險分析，或者是依據競爭資料來起草商業策略，也能根據CSV進行多步驟分析，預測並繪制下一季趨勢等，支援每周100個請求。</p> <p>而OpenAI o1 pro mode基本上奠基於傳統模型上，只是針對高風險與長期的分析任務進行微調，使得它能夠更準確地完成複雜任務，像是可以替歐盟隱私推廣起草詳細的風險分析，或是能夠生成多頁的新興技術研究摘要，也能利用理論模型來建立一個財務預測演算法，但該模型每月只支援5個請求。</p> <p>從所支援的功能及請求數量來看，ChatGPT Enterprise用戶可以毫無顧忌地使用GPT-4o，應該也能自在地切換到OpenAI o4-mini 及OpenAI o4-mini-high ，並相對謹慎地使用GPT-4.5與OpenAI o1 pro mode。</p> </div></div></div>
2025/5/5 18:48作者陳曉莉https://www.ithome.com.tw/news/168750
超高風險！PHP程式庫ADOdb存在滿分漏洞，280萬套已部署系統恐曝險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>PHP開源專案ADOdb<a href="https://github.com/ADOdb/ADOdb/releases">上周釋出v5.22.9</a>，以修補一個CVSS風險評分等級高達10分的安全漏洞CVE-2025-46337，該漏洞恐危及全球280萬已安裝ADOdb的系統。</p> <p>ADOdb是個熱門的PHP資料庫抽象層，它提供一個統一的API介面，讓開發人員得以利用相同的語法來操作不同類型的資料庫，相容於MySQL、PostgreSQL、SQLite、Oracle、Microsoft SQL Server、IBM DB2及Sybase等資料庫，而這次所發現的CVE-2025-46337是個SQL注入漏洞，出現在ADOdb程式庫的PostgreSQL驅動程式中，允許駭客執行任意SQL指令。</p> <p>這是由安全研究人員Marco Nappi意外發現的漏洞。<a href="https://xaliom.blogspot.com/2025/05/from-sast-to-cve-2025-46337.html">Nappi說</a>，他一直是位黑盒滲透測試人員，最近想要強化對白盒的了解，於是開始探索靜態分析安全測試（Static Analysis Security Testing，SAST），並決定利用靜態程式碼分析工具SonarQube來分析用來建置大學網站的開源專案Moodle，以及同樣也是開源的客戶關係管理專案VtigerCRM。</p> <p>沒想到SonarQube不管是在Moodle或VtigerCRM專案上都找到了SQL注入漏洞，進一步檢查才發現該漏洞其實隱藏在ADOdb資料夾中。</p> <p>當程式使用ADOdb連結到PostgreSQL資料庫時，如果開發人員在呼叫pg_insert_id() 函數時，使用了用戶所提供的資料，卻沒有正確地轉義處理，便可能觸發<a href="https://github.com/ADOdb/ADOdb/security/advisories/GHSA-8x27-jwjr-8545">CVE-2025-46337漏洞</a>，允許駭客執行任意SQL指令。</p> <p>該漏洞影響多個PostgreSQL驅動程式，包括postgres64、postgres7、postgres8及postgres9。在最危險的場景中，駭客將可完全控制SQL執行，竊取或刪除資料，甚至自遠端執行程式碼。</p> </div></div></div>
2025/5/5 18:55作者陳曉莉https://www.ithome.com.tw/news/168751
勒索軟體DragonForce東山再起，以合作社模式提供作案工具，讓打手以自己的名義犯案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年6月傳出<a href="https://www.ithome.com.tw/news/163301">臺灣邦交國帛琉遭駭</a>，2萬份政府文件流入暗網，聲稱發動攻擊的勒索軟體駭客組織DragonForce，表示他們是為了經濟目的而犯案，特別的是，當時該組織並未向帛琉政府勒索，外界認為原因是這些駭客背後有中國政府資助。如今這些駭客傳出建立新的經營模式，吸引想要建立自己名號、卻沒有相關技術的打手上門。</p> <p>資安業者Secureworks指出，今年DragonForce經營團隊調整原本提供作案工具的租用服務模式（Ransomware-as-a-Service），<a href="https://www.secureworks.com/blog/ransomware-groups-evolve-affiliate-models">自3月19日改以勒索軟體「合作社（cartel）」名義找尋合作對象</a>，而與過往租用工具的經營模式最大的差異，就是合作社的成員能以自己的品牌從事活動。</p> <p>在合作社經營模式裡，DragonForce提供用戶基礎設施及工具，但特別的是，這些附屬組織不需自行出手部署勒索軟體。DragonForce聲稱提供附屬組織管理面板、加密及勒索工具、檔案儲存系統，以及暗網網站及.onion網域，並提供支援服務。</p> <p>研究人員指出，這種經營模式與其他勒索軟體租用服務相比顯得特別突出，而有可能吸引許多駭客團體上門，因為這樣的合作社服務，不光是降低技術不足的駭客犯案難度，即使是其他經驗充足的駭客也可能趨之若鶩，因為，他們可享受無須部署、維護自己基礎設施的便利性，使得從事相關活動變得更加靈活。</p> <p>資安新聞網站Bleeping Computer也<a href="https://www.bleepingcomputer.com/news/security/dragonforce-expands-ransomware-model-with-white-label-branding-scheme/">透露相關調查結果</a>，他們指出DragonForce通常會在附屬團體收到贖金後，瓜分20%至30%作為平臺的使用費。DragonForce透露，他們是以經濟利益為動機的駭客組織，自己有一套道德準則，反對攻擊癌症病人或是心臟相關的醫療機構。</p> <p>DragonForce告訴Bleeping Computer，他們本質上是以市集的方式來經營，附屬團體可選擇用自己的名號，或是以DragonForce的名義從事活動。</p> </div></div></div>
2025/5/5 16:50作者周峻佑https://www.ithome.com.tw/news/168743
駭客攻陷開源EC平臺Magento供應鏈，連百億規模跨國公司都遭殃
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門鎖定電子商務資訊安全領域的Sansec<a href="https://sansec.io/research/license-backdoor">上周揭露</a>，有駭客滲透了開源電子商務平臺Magento的供應鏈，在這些供應鏈業者所提供的外掛程式中嵌入了後門，已波及數百家商店，包括一家價值400億美元的跨國公司。<br /> Magento是個以PHP撰寫的開源電子商務平臺，在2018年以16.8億美元<a href="https://www.ithome.com.tw/news/123347">賣給了Adobe</a>，現為全球第三大電子商務平臺，市占率約為8%，至於前兩名的Shopify及WooCommerce都有超過20%的市占率。</p> <p>除了核心的Magento開源平臺外，Adobe打造了付費的Commerce版本，以提供代管、客戶支援及其它客製化功能，其生態系統中還包括許多第三方的應用與擴充服務開發商，此次Sansec即發現，總計有21款來自3家公司的第三方擴充服務含有同樣的後門，該後門偽裝成授權檢查機制，允許駭客得以在未經授權的情況下執行任意的PHP程式，竊取客戶資料及支付資訊，植入信用卡竊取程式，建立未經授權的管理員帳戶，或是持續控制受到感染的網站等。</p> <p>特別的是，這些後門現身的時間點從2019年到2022年不等，最久的已存在6年的時間，卻一直到今年4月才開始遭到積極濫用。</p> <p>這21款被植入後門的應用程式來自3家Magento解決方案供應商Tigren、Magesolution與Meetanshi，Sansec說，這3家業者的伺服器已被滲透，才使得駭客能夠在它們的下載伺服器上植入後門，估計全球至少有500家至1,000家商店正在執行含有後門的應用程式，像是Ajaxsuite、Ajaxcart、ImageClean、CurrencySwitcher、FacebookChat、Lookbook或StoreLocator等。</p> <p>Sansec已知會上述受影響的業者，其中的Tigren否認遭到駭客攻擊，而Meetanshi承認被駭客入侵，但否認軟體被竄改。</p> </div></div></div>
2025/5/5 14:17作者陳曉莉https://www.ithome.com.tw/news/168738
【資安週報】0428~0502，新世代資安維運中心Agentic SOC、資安領域專用LLM發展受關注
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>回顧2025年5月第一星期的資安新聞焦點，此時適逢全球大型資安會議RSA Conference 2025舉行，有多家科技大廠在現場公布最新AI資安發展與成果，iThome也在現場進行第一手報導。其中Google推動代理型資安維運中心，Cisco推出首款開放AI資安模型Foundation AI Security最受矚目，同期間亦有 AI 安全防護與科技防詐等新消息發布。</p> <p>（一）SOC資安維運中心隨著AI代理進化，Google宣布朝向Agentic SOC發展，並發表兩款AI資安代理，分別是偵測工程代理（Detection Engineering Agent）和應變處理代理（Response Agent），亦在旗下資安解決方案Security Command Center，新增多項AI Protection功能。</p> <p>（二）資安專業領域LLM的發展受重視，Cisco新釋出Foundation-Sec-8B模型，就是鎖定資安領域而來，以Llama-3.1-8B為基礎，強調用資安領域資料訓練而成，涵蓋漏洞資料、MITRE ATT&CK與各類安全工具文件，並以開放權重方式釋出。</p> <p>（三）AI安全防護新進展，Meta開源多項Llama安全護欄工具，包括可防模型越獄、提示注入攻擊的LlamaFirewall，另也推出可協助分類與標籤的DLP工具、Deepfake詐騙檢測工具，還預告即將開源安全評估套件CyberSec Eval 4。</p> <p>（四）國內新的資安防禦進展，聚焦防詐科技，數發部、金融科技產業聯盟與玉山金控聯手成立防詐實驗室，強調資料無塵室的概念，以金融無塵室空間限制進出人員攜帶手機或自有3C裝置，讓跨機關合作可在兼顧資安與合規下運作。</p> <p>在資安事故與威脅態勢方面，韓國電信龍頭SK Telecom遭駭，引發南韓舉國民眾與全球電信業的關注，因為駭客竊取包含消費者與其USIM卡相關資料，涵蓋IMSI、ISDN等敏感資訊，恐造成民眾數位身分證明被冒用；另有三則與DDoS、勒索軟體及國家級駭客行動有關的重要消息。</p> <p>●韓國電信龍頭SK Telecom於4月遭到入侵，29日公布調查結果，指出攻擊者植入惡意程式並竊走消費者和其USIM卡有關資料，將為2,500萬用戶免費換發SIM卡<br /> ●Cloudflare最新報告2025第一季DDoS攻擊攻擊強度暴增，超過1Tbps的大流量DDoS攻擊平均每日8起，其中一次最大攻擊最高峰達6.5 Tbps，創史上最高。<br /> ●吉隆坡國際機場3月遭遇攻擊，勒索軟體Qilin將將馬來西亞機場控股公司列為受害者，勒索1千萬美元，這是該組織首度對交通運輸產業下手。<br /> ●法國外交部指控俄羅斯駭客組織APT28對當地政府、企業發起網路攻擊，法國網路安全局（ANSSI）亦發布調查報告揭露相關細節及近年遭攻擊的態勢。</p> <p>在漏洞攻擊消息方面，首先，有一起重大危機，是SAP緊急修補SAP NetWeaver應用伺服器零時差漏洞CVE-2025-31324，呼籲用戶盡速修補，資安業者ReliaQuest通報時已發現這個零時差漏洞遭利用，後續再有多家資安業者表明發現相關攻擊行動，資安業者Nextron Systems更是指出，發現超過1,100套NetWeaver系統已被入侵，多是存在於大型企業及關鍵CI環境，影響相當廣泛。</p> <p>另一起攻擊事件是針對Commvault備份管理平臺而來，該公司有兩個漏洞遭攻擊者利用於攻擊行動，首先是該公司3月曾透露在2月接獲通報，有國家級駭客利用零時差漏洞攻擊Azure環境，當時已發布自動更新修補，如今公開此CVE編號是CVE-2025-3928。另外，日前修補CVSS滿分漏洞CVE-2025-34028，修補釋出後也發現遭利用狀況。</p> <p>此外，還有3個已知漏洞，都有證據表明首次出現被積極利用情形，包括上星期Broadcom Brocade Fabric OS修補的漏洞CVE-2025-1976，以及兩個老舊漏洞，分別是Apache HTTP Server的漏洞CVE-2024-38475 ，SonicWall SMA100 的CVE-2023-44221。</p> <p data-end="94" data-start="0">最後還有一項新聞，也是本星期資安無法忽視的話題焦點，因為有研究人員指出微軟4月更新後，C磁碟會出現名為inetpub的資料夾，此狀況引發廣泛用戶討論。微軟表示這是修補漏洞所需，提醒用戶勿刪，但研究人員警告此資料夾可能遭濫用。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/168639"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月28日】SAP、Commvault修補風險達到10分的重大層級漏洞</span></strong></a></h3> <p>最近幾天有多則CVSS資安風險達到10分的消息引起關注，這些包括了SAP NetWeaver的任意檔案上傳漏洞CVE-2025-31324、老牌備份軟體Commvault集中管理工具漏洞CVE-2025-34028、<a href="https://craftcms.com/knowledge-base/craft-cms-cve-2025-32432">內容管理平臺Craft CMS漏洞CVE-2025-32432</a>，以及日前公布的<a href="https://www.ithome.com.tw/news/168538">Erlang/OTP SSH程式庫漏洞CVE-2025-32433</a>，思科確認<a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-erlang-otp-ssh-xyZZy?vs_f=Cisco%20Security%20Advisory%26vs_cat=Security%20Intelligence%26vs_type=RSS%26vs_p=Multiple%20Cisco%20Products%20Unauthenticated%20Remote%20Code%20Execution%20in%20Erlang/OTP%20SSH%20Server%26vs_k=1">旗下部分產品受到影響</a>。 </p> <p>其中最值得留意的部分，是資安業者ReliaQuest在調查資安事故發現的CVE-2025-31324，因為已被用於實際攻擊行動；此外，CVE-2025-34028也相當值得留意，因為近期勒索軟體鎖定備份軟體漏洞的情況，也有增加的趨勢。</p> <h3><a href="https://www.ithome.com.tw/news/168660"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月29日】1千多臺SAP NetWeaver伺服器傳出遭遇滿分漏洞攻擊</span></strong></a></h3> <p>有多家資安業者提出警告，SAP在4月24日修補的資安漏洞CVE-2025-31324，已出現實際的攻擊行動，攻擊者在NetWeaver伺服器部署Web Shell。究竟有多少伺服器受害？有研究人員公布新的調查結果。</p> <p>Shadowserver基金會、網路安全搜尋引擎業者Onyphe、資安業者Nextron Systems先後透露調查結果，值得留意的是，他們揭露的影響範圍有相當大的落差，是否影響範圍還會再擴大，有待進一步的追蹤。</p> <p><a href="https://www.ithome.com.tw/news/168681"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月30日】韓國電信業者SKT資料外洩出現進展，該公司將為用戶換發SIM卡</span></strong></a></p> <p>近期韓國出現數起相當嚴重的資安事故，其中一起是韓國電信龍頭SK Telecom（SKT）遭到入侵的消息，本週該公司宣布，他們將為2,500萬用戶免費SIM卡，目前已有超過400萬用戶申請。</p> <p>值得留意的是，由於該公司SIM卡庫存有限，目前僅有100萬張，必須分批為用戶更換，預估5月底能再更換500萬張，換言之，仍有四分之三無法在5月底前完成更換，後續影響將值得觀察。</p> <h3><a href="https://www.ithome.com.tw/news/168725"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月2日】思科、Nvida等多家業者在RSAC 2025推出AI資安工具</span></strong></a></h3> <p>全球大型資安會議RSA Conference 2025於4月28日至5月1日在美國舊金山舉行，這段期間科技大廠及資安業者紛紛推出AI資安工具，相當熱鬧。</p> <p>其中，包含Google的<a href="https://www.ithome.com.tw/news/168645">新款AI資安代理與次世代自動化Agentic SOC</a>、Cisco推出的開放<a href="https://www.ithome.com.tw/news/168645">AI資安模型Foundation AI Security</a>、Nvidia<a href="https://www.ithome.com.tw/news/168654">強化AI資料運作中心安全的DOCA Argus框架</a>、Palo Alto Networks發表的<a href="https://www.ithome.com.tw/news/168652">Prisma AIRS AI安全管理平臺</a>。巧合的是，Meta也在這段期間<a href="https://www.ithome.com.tw/news/168715">開源多項Llama安全護欄工具</a>。</p> <p> </p> </div></div></div>
2025/5/5 12:00作者羅正漢https://www.ithome.com.tw/news/168734
NotebookLM升級Gemini 2.5 Flash，行動版App即將推出
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google 受歡迎的NotebookLM原本只能從網頁存取，本周預告即將在5月20日釋出Android及iOS版App，將升級使用最新的Gemini 2.5 Flash模型。</p> <p>現在<a href="https://play.google.com/store/apps/details?id=com.google.android.apps.labs.language.tailwind">Google Play Store</a>和<a href="https://apps.apple.com/us/app/notebooklm/id6737527615">蘋果App Store</a>分別顯示NotebookLM應用程式。Play Store說明App即將推出，但是App Store說明預計5月20日釋出。用戶按下「預先註冊」鍵後，等正式版釋出後會獲得下載App的通知。</p> <p>NotebookLM可將用戶上傳的PDF、純文字文件或是貼上來源網址的文章摘要重點，並允許用戶以聊天機器人介面輸入詢問問題。而其中的語音摘要（Audio Overview）功能還能將摘要重點製作成類似Podcast的AI人聲對話，並允許用戶和「AI主持人」互動。NotebookLM去年12月升級使用Gemini 2.0 Flash，</p> <p>上周<a href="https://blog.google/intl/zh-tw/products/explore-get-answers/notebooklm-audio-overviews-50-langauges/">Google台灣宣佈</a>，NtotebookLM中的語音摘要功能將使用Gemini 2.5 Pro。<a href="https://x.com/NotebookLM/status/1918412708426244589">Google已證實</a> 最新的NotebookLM App 將升級使用Gemini 2.5 Flash，該模型是更輕巧、更快速的思維模型，針對複雜及多步驟推理問題，用戶將能看到更完整的答案。</p> <p>這對於許多國家期待NotebookLM的用戶會是雙喜臨門。上周Google<a href="https://www.ithome.com.tw/news/168671NotebookLM">宣佈</a>語音摘要支援包含繁體中文在內的50種語言。</p> </div></div></div>
2025/5/5 14:03作者林妍溱https://www.ithome.com.tw/news/168736
蘋果在美開放用戶連向App Store外部網站、支付服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果<a href="https://developer.apple.com/news/?id=9txfddzf">上周宣佈</a>在美開放App加入連結或按鈕，導引消費者到App Store以外購買或其他行為。但新措施不包含其他地區。</p> <p>9to5Mac網站<a href="https://9to5mac.com/2025/05/01/apple-app-store-guidelines-external-links/">首先引述</a>蘋果寄給開發商的電子郵件寫道，App 審查指引變更是基於遵從美國法院「針對按鍵、外部連結和App中其他行為呼叫」的決定，最新變更影響在App Store美國市集傳佈的應用程式。</p> <p>美國法院法官Yvonne Gonzalez Rogers<a href="https://www.ithome.com.tw/news/168727">上周判決</a>蘋果違反2011年法院在Epic vs Apple官司中，要求蘋果開放App Store第三方支付的命令，反而持續對App Store以外的交易徵收接近30%的費用。法院因此準備啟動刑事調查。儘管蘋果對媒體表達不滿及上訴之意圖，不過周末仍然更新App Store指引以遵從法院命令。</p> <p>根據更新的App Store指引，在3.1.1條款中，美國App Store上的App可以按鍵、外部連結或他行為呼叫方法引導用戶瀏覽其他人持有的NTF集合。此外，3.1.3更新條款說明，限制告知消費者有In-App Purchase（IAP）以外支付管道的規定，不適用美國App Store。</p> <p>3.1.1增修條款則說明，美國App Store上的開發商，不需特別許可即可在其App中加入連結，連向開發人員持有的網站以供購買數位內容或服務。</p> <p>但同時蘋果在3.1.3增修條款說，其他地區App Store的開發商，此時仍不得在App或metadata中加入按鈕或外部連結引導消費者前往購買。若想在App加入外部連結帳號（External Link Account）必需獲得特別許可（entitlement）。</p> <p>蘋果或許也會對歐盟地區App Store做出類似變更。上周歐盟認定蘋果App Store的限制引導條款（anti-steering provisions）違反歐盟數位市場法（Digital Markets Act, DMA），<a href="https://www.ithome.com.tw/news/168573">判處5億歐元的罰金</a>。</p> </div></div></div>
2025/5/5 14:09作者林妍溱https://www.ithome.com.tw/news/168737
【2025臺灣資安年鑑｜國安會諮詢委員李育杰】更強調堅韌觀念，國家資通安全戰略2025定案
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/0505-zi_an_nian_jian_-li_yu_jie_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">攝影／洪政偉</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來，隨著全球數位科技快速演進，網路攻擊不僅更加頻繁，手法也更為多樣且隱密。這些攻擊不再局限於資訊領域，更深入政治、經濟、軍事甚至民生基礎設施，已成為當代國家安全面臨的重要挑戰。在這樣的背景下，臺灣也公布最新的《國家資通安全戰略2025》。</p> <p>《國家資通安全戰略2025》是在因應全球資安威脅升級與新興科技挑戰的背景下，由國安會諮詢委員李育杰等專家與政府高層共同研擬而成，核心目標在於強化臺灣的整體資通安全能力，構築一個兼具韌性與穩定性的數位國家。</p> <p>李育杰指出，臺灣在面臨複合式戰爭形態以及多元化的網路攻擊情境時，若欠缺整合性且前瞻的防護策略，恐將在未來的國際競局中陷入被動。正因如此，政府提出了《國家資通安全戰略2025》，冀望透過更縝密且宏觀的規劃，使臺灣得以應對日趨嚴峻的網路威脅，同時維繫國家安全與社會福祉。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>從《資安即國安》到《國家資通安全戰略2025》</strong></span></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0505-%E8%B3%87%E5%AE%89%E5%B9%B4%E9%91%91-%E6%9D%8E%E8%82%B2%E6%9D%B0-%E5%9C%96%E8%A1%A8.png" style="text-align: center; width: 600px;" /></p> <p>在民主陣營中，資訊公開與網路自由度高，一方面鼓勵了創新發展，另一方面卻也為網路攻擊提供了相對開放的環境。因此，民主國家在制定國家資安戰略時，更需在維護公民自由與保障國家安全之間找到平衡點。</p> <p>「資安是民主國家的防衛基礎，」李育杰認為，「資安與民主價值並非二選一」，而是如何在制度層面拿捏適當的尺度，建立更堅實的防禦體系，同時仍然尊重人民基本權利。</p> <p>在「國家資通安全戰略2025」之前，臺灣已有數次重要的資安策略發展。李育杰提到，「資安即國安」理念從2016年蔡英文總統執政以來便已成為國家政策的核心之一。</p> <p>最初2018年發布的《資安即國安》版本，以政府內部的資安體制建構為核心目標，推動跨部門的協作，大致確立了資安「鐵三角」的概念，包括強化資安治理、推動關鍵防護技術與培育人才，但因政府組織尚未調整到位，加上預算歸屬與編列方式並不穩定，執行成效雖有進展，卻也受限。</p> <p>而蔡英文政府在2021年推出的《資安即國安2.0》，則更進一步深化了跨部門的聯防架構，政府在延續原有精神的同時，將防護範疇進一步擴大，建立起由國安會、國安局、國防部、調查局、刑事局以及數位發展部共同構成的「資安六塊基」聯防機制。這一變革不僅體現了政府對於資安防護需求的深化認識，也為後續數位發展部的成立鋪平了道路，從而促進了人才培育和資安產業的初步發展。</p> <p>2024年，賴清德總統在就職演說重申，面對來自境外尤其是中國的不斷滲透和各類威脅，臺灣必須從全民意識、法制建構、民主韌性等多個角度入手，形成全面的安全防護體系。他提出，經濟發展策略中將特別重點推動半導體、人工智慧、軍事工業、安全監控，以及次世代通訊這五大信賴產業，藉此構築堅固的國家經濟與安全屏障。</p> <p>在賴清德總統的政策框架下，除了五大信賴產業的發展，更進一步強調要在全社會層面提升防衛韌性，尤其著眼於能源、關鍵基礎設施，以及運輸、金融和資通網路的安全保護。為此，政府在就職滿月的記者會上宣布成立「全社會防衛韌性委員會」，則希望整合民間資源與政府力量，從國防、民生、災防及民主等四大方面，全面強化國家安全網。</p> <p>國安會如今在前期建立的堅實基礎與架構上，加上必須因應日趨嚴重複雜的資安威脅，推出了《國家資通安全戰略2025》，不僅延續了資安即國安2.0版的基本戰略方向，也投入更多資源以擴大資安戰備準備，並加入全社會與重要關鍵產業共同防衛的思維，並以持續打造「堅韌、安全、可信賴的智慧國家」作為新資安戰略的願景。</p> <p>而最新正式公布的《國家資通安全戰略2025》，在延續過去成功經驗的基礎上，特別強化了全社會的防衛韌性、公私協力、關鍵基礎設施的保護以及新興科技應用的安全性。李育杰強調，《國家資通安全戰略2025》延續了《資安即國安2.0版》的基本願景「打造堅韌、安全、可信賴的智慧國家」，但在政策內涵與施行策略上更加細緻且明確，特別突顯『堅韌』的觀念，強調全民共同參與與投入資安防護的重要性。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>國際資安局勢的複雜化與高風險化</strong></span></span></p> <p>全球化與數位化的演進，已使網路成為國家與國家之間角力的重要場域。李育杰表示，過去傳統戰爭以陸海空為主，如今則出現「網路（Cyber）戰」的概念，甚至廣義地涵蓋認知作戰與資訊操控等面向。包括中國、俄羅斯、北韓、伊朗等國家，以及來自非國家組織的駭客集團，都積極運用網路攻擊手法，試圖竊取情報、攫取經濟利益或破壞敵對陣營的基礎設施。</p> <p>由於臺灣面對的資安威脅來源相當清晰，主要來自中國的國家級駭客攻擊。他表示，過去全球主要國家級駭客攻擊團體來自俄羅斯、北韓、伊朗與中國，其中中國對臺灣的威脅尤其明顯且具針對性。</p> <p>此外，臺灣所處的地緣政治環境，已使我們長期面對對岸的滲透與攻擊；若再加上他國或國際駭客集團插手，資安威脅的複雜度與深度已不容小覷。特別是針對關鍵基礎設施所展開的遠端攻擊，往往在戰略上被視為「先聲奪人」或「癱瘓敵方」的重要手段。倘若平時未做好資安防護，戰時將可能飽受重大衝擊。</p> <p>李育杰表示，中國的駭客早已不再只是民間團體，他們透過國家力量與民間企業的「公私協力」，以供應鏈攻擊、Living off the Land（LoTL，通常指的是攻擊者利用目標系統內建的合法工具、軟體或系統功能來發動攻擊）等隱密手法對臺灣展開攻擊。</p> <p>他特別提到2022年美國眾議院議長裴洛西訪臺期間，中國就曾短暫發動「快閃式」網路攻擊示警，這種現象提醒臺灣，未來面對的威脅可能不只是示威，而是真正危及國家安全。</p> <p>除了國家級的資安威脅外，李育杰也特別關注資安威脅從傳統的惡意軟體攻擊逐步轉向以新興科技為手段，尤其是AI與量子運算的應用。他強調：「雖然AI能協助提升資安防護能力，但同時也增加了資安的複雜性，AI工具本身的安全性與風險也必須納入戰略考量。」</p> <p>李育杰表示，未來的資安威脅將不再只是單純的軟體漏洞，而是涉及資料安全、AI模型的操控、資料中毒等更複雜的情境，因此政府需提早布局，從治理機制的角度著手，制定相關的安全標準與政策，提前部署防範措施。</p> <p>李育杰舉例，隨著量子運算技術的日益成熟，現行廣泛使用的RSA、ECC等傳統密碼體系將面臨嚴重的挑戰。他提醒，NIST已提出了後量子密碼（PQC）標準，臺灣也應及早跟進，評估並導入相關技術，確保國家資安不落後於國際趨勢。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0505-%E8%B3%87%E5%AE%89%E5%B9%B4%E9%91%91-%E6%9D%8E%E8%82%B2%E6%9D%B0-%E6%8A%BD%E8%A8%80.png" style="width: 600px;" /></p> <p><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">攝影／洪政偉</span></span></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>資安戰略四大支柱的挑戰</strong></span></span></p> <p>《國家資通安全戰略2025》是臺灣在面對全球資安威脅升級與新興科技挑戰的重要戰略規劃。為了應對日益嚴峻的資安挑戰與國際局勢的變化，政府提出以四大核心支柱進行整體布局與規劃，強化臺灣的整體資通安全能力。</p> <p>第一個支柱為「全社會防衛韌性」。李育杰指出，資安問題的解決不僅僅在於技術層面的提升，更關鍵的是必須從全民的資安認知與參與開始，因此，此支柱的核心是推廣全民資安意識，培養全民參與資安防禦的能力，建立全民共同防禦資安威脅的社會韌性。</p> <p>第二個支柱是「國土與關鍵基礎設施安全」。李育杰強調，現代戰爭形態已經逐漸轉變為混合戰與複合式作戰，而資安攻擊常為傳統戰爭的前奏。特別是關鍵基礎設施一旦遭受攻擊，將會立即且嚴重影響民眾的日常生活與社會安定。因此，針對國土與關鍵基礎設施，必須進一步強化安全治理，避免在危機發生時陷入被動。</p> <p>第三個支柱是「供應鏈安全」。他指出，供應鏈資安在現今國際貿易與政府運作中扮演極為重要的角色，資安成熟度不足的供應商將直接影響整體資安防禦的有效性。因此，政府應設定明確的資安成熟度標準，並要求廠商提供軟硬體產品的資安履歷，透過資安研發檢測及其他措施，建立起堅固的供應鏈資安防護網絡。</p> <p>第四個支柱則是「新興科技導入資安應用」。李育杰表示，人工智慧（AI）等新興技術能有效提升資安產業的防禦效率，降低資安人才的培訓門檻。但在導入新興科技時，也須同步注意新科技可能引發的資安挑戰，例如AI本身的安全風險。因此，新科技的導入必須伴隨更全面的風險管理機制。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>政府與企業的協作策略</strong></span></span></p> <p>李育杰認為，面對日益複雜的資安挑戰，政府必須更積極地與企業合作。他提到，政府目前已在推動資安防護的過程中，強化對供應商的資安成熟度要求，同時推行更為嚴格的資安稽核機制，例如對政府前十大供應商進行紅隊測試，以更主動的方式提高企業資安水準。</p> <p>此外，他特別強調政府應協助企業進行資安自評，建立標準化的自評工具，並將資安自評結果作為企業獲得政府資源或合作機會的評估依據，透過此方式逐步提升產業整體資安實力。他表示：「透過清楚的自評工具，企業能更清楚知道自身資安的現況與不足，進而有動力進行改善。」</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>資安預算正規化：從非常態到經常性支出</strong></span></span></p> <p>李育杰表示，資安建設若要真正落實，資源的投入是最關鍵的環節。然而長久以來，臺灣政府機關對於資安經費的編列仍普遍停留在「臨時性」或「專案性」的概念，導致各機關資安支出缺乏穩定性與連續性。</p> <p>他進一步解釋，目前政府機關的資安支出多半仰賴科技計畫的經費，然而科技計畫通常是以短期目標為主，結案後經費便中斷，無法長期穩定支應資安工作的運作需求。</p> <p>他認為，這樣的模式並不健康，應當將資安經費視為「經常門」預算，就像水電費一般，成為各政府單位必須固定編列的基本開支，而非以專案的形式不定期爭取。</p> <p>李育杰舉例，目前在政府預算體系中，資安支出往往被歸類為「採購」或「專案性支出」，而非經常性預算的一部分。這樣的編列方式導致資安經費每年需重新爭取，缺乏穩定性。例如，某些單位若遇到預算刪減，可能導致防火牆等資安設備無法更新，進而增加資安風險。</p> <p>主計總處的看法是，資安應該有獨立的科目，或者納入資訊相關預算。然而，根據現行法規，這仍需進一步突破。目前，部分資安服務的採購是可行的，但仍存在分類上的爭議。例如，資安服務是否應納入經常門？某些服務涉及勞務委外，而非單純的經常性支出，這也導致預算的彈性受限。</p> <p>他認為，若資安預算能夠納入經常門，就如同人事經費一般，成為必須支出的項目，那麼政府機關將能確保資安維護的持續性，而不會因為經費刪減而影響防護能力。</p> <p>李育杰坦言，長期以來，政府部門對資安的治理多偏重於管理層面，技術層面的投入相對有限。這種觀念源自於早期「資安即管理」的迷思，認為透過完善的管理機制即可降低資安風險。然而，隨著資安威脅日趨複雜，單純的管理手段已無法有效應對攻擊，必須輔以技術防禦，例如零信任架構、多因子認證等。</p> <p>此外，政府資安技術的發展也受到「委外機制」的影響。過去政府多依賴外部廠商提供技術服務，而自身缺乏足夠的技術能力。這導致政府在資安治理上，主要扮演「管理者」的角色，卻難以直接掌控技術實施的細節。</p> <p>然而，資安治理不應僅限於管理，而應涵蓋技術與策略。例如，「公民安全」（Public Safety）概念正在逐步推動，要求承接政府案子的業者須符合一定的資安成熟度標準，確保資安防護從源頭開始。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>零信任架構的導入與挑戰</strong></span></span></p> <p>近年來，「零信任架構」（Zero Trust Architecture, ZTA）成為資安領域的重要策略，強調「永不信任、持續驗證」，確保每一個存取請求都經過嚴格身份驗證。然而，政府部門在導入零信任架構時，仍面臨諸多挑戰，包括技術落地、適用範圍、以及資源配置問題。</p> <p>目前某些單位已經推動零信任架構的部分應用，例如採用多因子驗證（MFA）來強化身份識別。但問題在於，許多機關將「零信任」視為單一技術層面的改善，而非完整的安全框架。例如，有單位以為只要全面導入多因子驗證，就等同於實施零信任架構，然而零信任的核心理念遠不止於此。</p> <p>他認為，零信任理想的做法應該是：盤點關鍵系統，分階段導入——應先針對最具風險的系統進行零信任落實，而非一次性全面導入；建立資安白名單機制——強化存取控制，確保只有授權設備、使用者與應用程式能夠存取敏感資料；強化行為分析機制——透過行為基礎（Behavior-Based）的安全策略，提高偵測異常行為的能力，例如利用機器學習分析用戶行為，判斷是否存在異常存取行為。</p> <p>這樣的策略不僅能讓資源配置更有效率，也能確保零信任的概念真正落實，而不只是流於表面的技術更新。</p> <p>此外，資安風險管理的核心，在於如何根據風險等級分配資源，而非對所有系統一視同仁。例如，在密碼安全的討論中，部分專家認為「後量子密碼學」（Post-Quantum Cryptography, PQC）的導入尚未緊迫，因為現階段並無可用的量子電腦能夠破解現有加密技術；然而，若某些機密資料的保密期限長達20年，則必須考量在未來20年內可能出現的風險，像是針對長期保密需求的系統，優先導入先進加密技術（如PQC）。</p> <p>這種風險管理策略適用於各類資安決策，例如：短期內不涉及高度敏感資訊的系統，則可採用現行加密標準，避免不必要的成本增加。他表示，透過風險評估，確定哪些單位與系統應優先導入零信任架構。這種做法能夠確保資安資源被用在真正關鍵的地方，而不會造成無謂的開銷或效能浪費。</p> <p>政府資安治理的核心挑戰，在於如何建立一個長期穩定、可持續發展的安全框架，而不只是應對短期的威脅。現行的資安治理多偏向「合規導向」，強調政策與法規的遵循，例如制定資安標準、稽核機制等。然而，合規本身並不等同於安全，真正的資安治理應該包含：</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>從「合規導向」轉向「風險導向」</strong></span></span></p> <p>現行政府資安治理多以法規為基準，要求各機關符合標準，但未必能因應不斷變化的攻擊手法。未來應強調風險導向的管理方式，根據威脅趨勢與實際風險調整防禦策略。</p> <p>資安威脅不僅限於單一機關，而是整體政府與產業鏈的問題。例如，若政府機關的委外單位資安能力不足，將對整體安全造成威脅。因此，政府應建立更嚴謹的公民安全標準，確保承包商、供應鏈等皆符合資安要求。</p> <p>李育杰認為，應該提升政府內部技術能力，減少對外部依賴。過去政府在資安技術層面多依賴委外，導致內部缺乏關鍵技術專才，難以掌控核心資安機制。未來應推動資安人才培育計畫，提升政府內部技術能力，確保關鍵資安技術能由內部團隊主導。</p> <p>例如，傳統資安機制多以靜態規則為基礎，例如設定固定的防火牆規則、存取權限等，但這些方式難以應對變化迅速的資安攻擊。未來應導入動態資安監控機制，結合人工智慧分析、威脅情報共享機制，以提升資安防護的即時性與精準度。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 跨部門協作的重要性 </span></strong></span></p> <p>資安不只是資訊部門的責任，而是所有政府單位都應共同關注的議題。因此，政府應推動更有效的跨部門協作機制，以確保資安治理能夠全面落實。例如：建立跨機關資安應變小組——確保發生資安事件時，各機關能快速協作、有效應對，而非各自為政。</p> <p>制定統一的資安標準與最佳實踐——避免不同機關採用不一致的資安政策，導致安全漏洞；強化與產業界的合作——透過與民間企業、資安研究機構的合作，掌握最新攻擊手法與防禦策略。</p> <p>李育杰認為，政府資安治理的未來發展應朝向制度化、技術導向與跨部門協作的方向前進。透過資安預算的正規化、零信任架構的導入、風險導向的資安管理，以及提升政府內部技術能力，才能建立真正穩固的資安防禦體系，應對日益嚴峻的資安挑戰。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>公私協力提升資安治理效率</strong></span></span></p> <p>隨著資安威脅日益複雜，單憑政府力量顯然不足以因應快速演進的資安挑戰，因此《資安戰略2025》特別強調公私協力與國際合作的必要性。</p> <p>李育杰指出，政府與民間必須共同建立更加密切的資訊分享平台，將情資即時交流，形成完整的防禦生態系統。他進一步說明，政府目前計劃推動對前十大政府供應商進行紅隊（Red Team）模擬演練，由廠商自費六成，政府補助四成，進行主動防禦與安全測試，從而提高整體資安防護水準。</p> <p>他舉出美國政府的例子，美國聯邦政府設有18F等單位，專門從產業界聘請專家協助部會進行數位轉型與資安防護，台灣未來也應借鑑類似模式，建立國家級的資安快速反應團隊（如資安快打旋風），定期巡檢各項重要基礎設施，並提供人才培訓、工具分享與國際情報合作，達到提升整體防護能力的目的。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>資安人才培育：降低門檻，提升專業力</strong></span></span></p> <p>李育杰觀察，當前資安人才供不應求，人才的培育速度遠不及產業需求。他認為解決資安人才短缺的問題，必須透過制度性的培育、鼓勵年輕世代投入資安領域，同時輔以先進科技手段，例如運用人工智慧（AI），降低入門門檻，讓更多年輕人能快速投入資安工作。</p> <p>他提到，資安院與資安卓越中心（CCoE）應扮演重要的角色，提供免費的基礎課程，並邀請資安產業內的「大神」擔任講師，提供高階技術訓練，為產業培育真正具備高度能力的人才。此外，透過資安稽核和自評表制度，引導企業或機關自行檢測資安成熟度，從而達到內部自我提升的目的。</p> <p>李育杰表示：「資安的人才永遠不夠，但通過好的AI工具、有效的培訓計畫與公私協力的人才交流機制，能有效紓解人力不足的問題，同時提升整體的防護能力。」</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 未來展望與資安治理的長期策略 </span></strong></span></p> <p>展望未來五年，李育杰認為臺灣在資安領域將面臨三大挑戰：首先是國際地緣政治的持續變化導致資安威脅更加複雜；其次是國內資安治理機制的升級與改革；最後則是資安人才的培育與維持。</p> <p>李育杰建議，臺灣應加強國際合作，不僅與美國、日本、歐盟等民主國家建立緊密的資安合作關係，更要積極參與國際資安論壇與聯合演習，從經驗交流與實務合作中累積實力。</p> <p>在資安治理方面，他強調政府必須持續強化現有機制，例如加強國家資通安全會報的執行力，設立具專業背景的資安執行長來協助行政院副院長的統籌工作，避免因人事更迭而影響資安工作的連續性。</p> <p>此外，李育杰更建議政府應參考國際經驗，成立跨部門的「國家資安戰情協同應變中心」，進行統一的資安情資掌握與協同應變調度，以確保全國資安情勢能得到即時掌控與快速反應。</p> <p>李育杰總結，國家資通安全《資安戰略2025》的推出是一個新起點，政府與企業、公私協力，以及國際間的合作都必須持續深化。「臺灣在資安上的努力不能只是『漸進式』的改變，而是要有大膽且迅速的轉型，以面對迫切的危機。」李育杰表示，只有透過公私部門的通力合作、資安預算的正規化及資安人才的全面培育，才能建構出符合未來需求的完整資安防禦體系。</p> <p><a href="https://www.tenlong.com.tw/products/9789860654349?list_name=srh" target="_blank"><span style="color:#3366ff;"><strong>本文出自《CYBERSEC 2025 臺灣資安年鑑》</strong></span></a></p> <p><a href="https://www.tenlong.com.tw/products/9789860654349?list_name=srh" target="_blank"><span style="color:#3366ff;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/2025%E8%B3%87%E5%AE%89%E5%B9%B4%E9%91%91%E5%B0%81%E9%9D%A2.png" style="width: 350px;" /></strong></span></a></p> <p> </p> </div></div></div>
2025/5/5 07:00作者黃彥棻https://www.ithome.com.tw/article/168473
風雨無懼
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>慢跑是我目前唯一長期固定從事的運動，多數天氣變化均不能成為阻礙我運動的理由，除非遇上打雷閃電、以及颱風這類大型致災氣象。平時很少外出跑步的人們，可能遇到吹大風、下大雨、低溫等狀況，就會打退堂鼓，但對於如我一般不認真但持續的臺灣業餘跑者而言，雨中慢跑雖然有點狼狽，但其實不會有太大影響，因為就算穿著的衣服、褲子、襪子都淋濕，感到有點寒冷，只要身體持續運動、不失溫，仍有足夠體力，還是能夠繼續運動，而且，跑步結束後趕快去洗澡更衣，就能回到原本的生活作息，並不會因此著涼、感冒。</p> <p>身處在這個變化莫測、苦樂輪轉不休的世界，我們可以樂觀看待各種改變，因為雖然無法每天都晴朗，但也不會每天都下雨，而且，晴天、多雲、雨天各有其存在的必要。晴天跑步雖不必擔心淋濕，但也面臨曝曬與水份大量流失之苦；雨天跑步的身體不舒服是不同面向，不僅需設法習慣潮溼、涼冷的感受，衣褲鞋襪因為緊黏身上、持續摩擦，而可能造成破皮，但好處是不需忍耐高溫，也不需擔心過度曝曬對皮膚的傷害；至於多雲，雖然沒有前兩種天氣帶來的麻煩與不便，但如果遇到沒風、濕氣過重的環境狀態，還是要面對悶熱之苦。</p> <p>其實，無論面臨何種天氣，準備好適當的因應對策，就有機會能夠減緩不適感。舉例來說，如果我們想要降低陽光、高溫的影響，可以改變運動的時間、地點，像是避開相對較炎熱的時段，尋找有更多遮蔽物的跑步路線；擔心下雨會著涼、影響視線，以及造成擦傷，我們可以戴上帽子、穿上長袖運動衣褲，以及在可能造成劇烈摩擦的皮膚部位貼上醫療透氣膠帶，增加抵抗力與防護力。</p> <p>這令我想到越演越烈的網路資安威脅，以及全球地緣政治衝突，為人類社會的發展帶來極大的阻礙，但並非束手無策。世界從來沒停止改變，當大量歹徒、狂人崛起，關於民主、自由、法治的良善價值該如何守護與弘揚，再度成為每個人都必須面對的議題。</p> <p>對於極端份子而言，他們有著各式理由埋怨、憤恨這個世界的不公義，想要不計任何代價地討回他們認為的公道。對於一般人而言，許多過去我們認為理所當然的價值，背後其實隱藏與累積各種沒被注意到的問題，導致這些變成有心人士操弄、扭曲，甚至抹黑的對象，如今只能設法從即將或正在爆發的大混亂變局當中，進行深刻的反思與重建。隨著多方對峙情勢日益劇烈、擴散，我們要有足夠的心理韌性去迎接這股潮流，並且具備見招拆招、見機行事的敏捷性與彈性。</p> <p><a href="https://www.tenlong.com.tw/products/9789860654349?list_name=srh" target="_blank"><span style="color: rgb(51, 102, 255);"><strong>本文出自《CYBERSEC 2025 臺灣資安年鑑》</strong></span></a></p> <p><a href="https://www.tenlong.com.tw/products/9789860654349?list_name=srh" target="_blank"><span style="color: rgb(51, 102, 255);"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/2025%E8%B3%87%E5%AE%89%E5%B9%B4%E9%91%91%E5%B0%81%E9%9D%A2.png" style="width: 350px;" /></strong></span></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E5%B9%B4%E9%91%91">臺灣資安年鑑</a></div><div class="field-item odd"><a href="/tags/%E8%B3%87%E5%AE%89">資安</a></div><div class="field-item even"><a href="/tags/%E9%9F%8C%E6%80%A7">韌性</a></div></div></div>
2025/5/5 07:00作者李宗翰https://www.ithome.com.tw/voice/168498
Anthropic擴展Claude研究與整合能力，可更廣泛連接工作應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Anthropic宣布Claude<a href="https://www.anthropic.com/news/integrations">推出</a>整合與研究功能更新，進一步提升在企業與開發者工作流程的實用性與可擴展性。此次更新一方面導入整合機制，讓Claude能透過MCP（Model Context Protocol）與多種外部應用程式直接連動，另一方面則擴大研究模式的資料涵蓋範圍與深度，支援更複雜的查詢分析需求。</p> <p>整合功能以去年推出的MCP標準為基礎，之前僅支援本機端的Claude Desktop，現在擴展至可連線遠端MCP伺服器，使Claude能在桌面與雲端應用間彈性互通。Anthropic提到，開發者可透過官方文件或利用Cloudflare等工具，在約30分鐘內完成自訂整合，Claude能從中取得更豐富的工作情境資訊，包含專案進度、任務狀態與內部知識架構，更全面地支援跨平臺應用。</p> <p>目前可連接的第三方應用涵蓋Atlassian的Jira與Confluence、Zapier、Cloudflare、Intercom、Asana、Square、Sentry、PayPal、Linear與Plaid，之後還會加入Stripe與GitLab等服務。以Zapier為例，開發者可透過其串接各種工具預建置流程，讓Claude能直接存取HubSpot銷售資料或根據日程生成會議摘要。</p> <p>在Jira與Confluence環境中，Claude則能同時建立多筆工作項目與頁面內容，協助產品開發團隊進行知識彙整與任務分配。整合Intercom，Claude可分析使用者回饋，自動將錯誤回報記錄到Linear，建立起從用戶對話到錯誤追蹤的完整處理鏈。</p> <p>另一方面，Claude的Research模式也進行更新，原本僅能搜尋網路與Google Workspace，現在已可延伸至所有已連結的整合應用，進行跨系統的多來源分析。進階研究模式會將使用者的請求拆解為多個子問題，針對每個子問題進行深入查詢後整合，報告生成時間介於5至45分鐘間，並全程附上原始資料來源的註解，確保透明度與追溯性。</p> </div></div></div>
2025/5/5 05:00作者李建興https://www.ithome.com.tw/news/168730
Martech雙周報第75期：Chrome又要沿用第三方Cookie，但美國司法部已經要求Google出售瀏覽器經營權
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#0000FF;"><strong>重點新聞(0420~0503)</strong></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#隱私權沙盒 #第三方Cookie #瀏覽器行銷</span></span></strong><br /> <strong>Google又要沿用第三方Cookie，但2025年的Martech業界不一樣了</strong></p> <p><a href="https://privacysandbox.com/news/privacy-sandbox-next-steps/">自於去年7月宣布要放棄於Chrome中封鎖第三方Cookie的計畫之後，Google再度向外界確認，Chrome將維持目前處理Cookie的方式</a>，也不會在使用者遭遇第三方Cookie時跳出提示。原本，他們預計於介面顯眼處，詢問使用者是否要一次性關閉第三方Cookie，不過本次宣布中未再提及。使用者仍可以自行進入瀏覽器設定中關閉第三方Cookie。</p> <p>至於已發展多年的隱私權沙盒，負責該計畫的Google副總裁Anthony Chavez表示，Google認知到，這系列技術在支援整體廣告生態系統上的任務將有所調整，不再作為一個完全取代Cookie技術。不過，他們沒有揭露更多未來發展計畫。</p> <p>自2019年宣布於Google Chrome瀏覽器停用第三方Cookie，Martech應用情況、全球隱私權法規環境、不同瀏覽器相關政策，甚至Google對於Chrome的經營權，都今非昔比。儘管第三方Cookie仍廣為Martech業界採用，但自第一方數據發展出的技術和應用，如RMN、數據無塵室、Conversions API、CDP，都已經在Martech業界佔有重要地位。</p> <p>受到隱私權法規環境，以及不同瀏覽器經營者的各自理由影響，許多廣告主和出版商不再敢單靠瀏覽器相關技術，來進行數位廣告活動及資料拋轉。IAB Tech Lab就推出了只靠伺服器間拋轉作為資料傳輸方法的框架Trusted Server，希望將降低數位廣告業界對瀏覽器的依賴。</p> <p>不過，Chrome停用第三方Cookie，未來還可能有變數。近期一系列針對Google的反壟斷判決中，Google連連失利，且可能被美國司法部強制出售Chrome經營權。除了市占率66%的Chrome，其他近30%市佔率的主流瀏覽器，如Safari、Firefox、Edge等，都停用或即將停用第三方Cookie。屆時，新經營者是否會跟隨業界做法停用第三方Cookie，仍有待觀察。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#廣告安全 #廣告詐騙</span></span></strong><br /> <strong>Google發表2024年廣告安全報告，受AI技術突破所賜一年處置上百億則不良廣告</strong></p> <p><a href="https://blog.google/intl/zh-tw/company-news/technology/google-ads-safety-report-2024/">Google發表2024年廣告安全報告，揭露自家打擊廣告詐騙等不良行為的成果。今年，他們移除超過51億則廣告，限制超過91億則廣告，並停權超過 3,920 萬個廣告帳戶。</a></p> <p>他們使用LLM來自動化處理不良廣告。相較於傳統ML模型，LLM只需要更少資料，就能做出更精準判斷。去年Google為自家打擊不良廣告用的LLM新增50項功能強化，來進一步增加可自動化處理的案件，讓人類員工能處理更模糊、複雜的案例，再用這些複雜案例處理情況，回頭訓練LLM。</p> <p>2024年有97%廣告版位商網頁，是由AI來支援內容偵測與政策執行。借助這些模型，Google大幅提升網站審查速度、加快出版商成為Google Ads廣告通路的流程，同時防止廣告出現在違規網頁上。</p> <p>隨著AI技術不斷進步，廣告詐騙手法也更加升級，使Google必須不斷根據業界新興的犯罪手法來祭出因應措施。其中一個近期十分猖獗的做法式，利用AI生成圖像或音訊，暗示自己與名人有關聯，藉此推送詐騙廣告。因應此趨勢，Google籌組出有100多位專家的專責團隊，分析這些詐騙手法並制定應對措施。他們已永久停權超過70萬個這類違規的廣告主帳戶，且去年此類詐騙廣告的通報數量下降了90%。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#PMax #AI代投廣告 #行銷成效追蹤 #跨通路行銷</span></span></strong><br /> <strong>Performance Max終於推出通路層級行銷資料分析功能</strong></p> <p><a href="https://blog.google/products/ads-commerce/channel-performance-reporting-coming-to-performance-max/">Google AI廣告代投Performance Max推出通路等及行銷成效分析功能。</a>PMax會自動投廣到搜尋、YouTube、Gmail、地圖、探索頁面、購物廣告及Google Ads不同通路，不過以往，廣告主無法得知自家廣告在不同通路的表現。</p> <p>下個月開始，PMax介面中會出現視覺化分析功能，呈現廣告在不同通路的曝光、互動、轉換、成本等結果。廣告主可以根據這些資料，來制定改善對策，例如看到廣告在Youtube曝光最多，因而優先提升影片廣告品質等。系統還會自動辨認出部分廣告專案問題，並推薦廣告主改善方法。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/pmaxcl.jpg" style="width: 600px;" /></p> <p>PMax還預計升級兩種既有成效資料分析功能。首先是更細緻的搜尋關鍵字報告功能，未來將與一般Google Search廣告及一般購物廣告的報告細緻度相同，而不會只有目前的部分數據可看。</p> <p>再來是素材等級成效報告。未來，廣告主不只可以看到哪件行銷素材促成更高轉換率，還能看到曝光情況、點擊率、成本等資料。並且，可以看到同素材在搜尋關鍵字廣告及展示型廣告專案中的表現，與PMax表現相互比較。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/pmaxal.jpg" style="width: 600px;" /></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#生成式AI #個人化體驗</span></span></strong><br /> <strong>WIX推出即時生成個人化網站內容功能</strong></p> <p><a href="https://www.globenewswire.com/news-release/2025/04/23/3066430/0/en/Wix-Introduces-Adaptive-Content-Feature-with-AI-to-Personalize-Web-Experiences-for-Site-Visitors.html">Low-code網站製作工具Wix推出可以根據使用者類型來即時生成網站內容的功能。</a>運作模式是，網站主先設定分群規則例如裝置、國家、語言、是否初訪等，以及生成內容方向，例如商品介紹、品牌行銷等。甚至，可以用拖拉式介面，詳細設置網站AI的工作步驟與邏輯。設置完後，可以先模擬不同流程下，AI生成的內容。當使用者造訪網站，AI便能根據這些步驟，來即時生成內容，而不過度偏離網站主本意。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/image-01-editor.png" style="width: 600px;" /></p> <p>Wix推出此功能意味著，中小型規模的網站主不需要大量IT資源或導入MA系統，也能做到一定程度的個人化體驗和分眾行銷。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#遊戲廣告 #沉浸式廣告</span></span></strong><br /> <strong>Roblox與Google Ads、Doubleverify合作，推出更多遊戲內廣告投放及測量的選項</strong></p> <p>元宇宙遊戲Roblox近月不斷擴大自家遊戲內廣告業務。近日，他們開始支援<a href="https://blog.google/products/ads-commerce/immersive-ads-roblox/">透過Google Ads來投放廣告</a>，增加廣告主投放管道。他們還與<a href="https://doubleverify.com/doubleverify-extends-gaming-measurement-suite-through-strategic-partnership-with-roblox/">廣告安全與成效測量商Doubleverify合作</a>，開始測量Roblox桌機、行動裝置及遊戲主機遊戲中的展示型廣告、影片廣告，以及看廣告拿獎勵類廣告的成效。</p> <p>Roblox日活躍玩家有超過8,500萬人，不僅規模巨大，更是遊戲廣告、沉浸式廣告等廣告類型的先行者。正式成為Google Ads廣告通路之一，以及能為業界中具有公信力的Doubleverify測量廣告成效和品質，是這類新興廣告類型逐漸打入業界的里程碑。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#生成式AI #聊天機器人導購</span></span></strong><br /> <strong>ChatGPT將推出商品推薦及無跳轉購物功能</strong></p> <p>在開發者不斷於ChatGPT挖出Shopify相關購物程式碼後，<a href="https://www.linkedin.com/posts/openai_search-has-become-one-of-our-most-popular-activity-7322742656608980992-e4QI">OpenAI終於宣布，將於ChatGPT新增多項新購物功能，包括呈現商品細節、價格、評論功能，更好的商品推薦功能，以及直接購買商品功能。</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/cgpts.jpg" style="height: 450px;" /></p> <p>OpenAI強調，這些商品推薦結果是根據每次對話產生，每次都是獨立事件，而非廣告。不過，當生成式AI聊天機器人的購物功能越發強大，儼然成為一個從搜尋到購物的全漏斗行銷及零售通路，對於行銷人員來說，如何受到LLM青睞，將成為更重要的課題。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099FF;">更多Martech動態：</span></strong></span></p> <p>1. <a href="https://news.adobe.com/news/2025/04/adobe-revolutionizes-ai-assisted-creativity-firefly">Adobe推出Firefly新模型Image Model 4，同時自家GenAI創作平臺開始支援用Google和OpenAI旗下模型來進行動靜態影像生成</a></p> <p>2. <a href="https://www.yahooinc.com/press/yahoo-dsp-launches-conversion-api-to-enhance-campaign-measurement-and-optimization">Yahoo DSP跟上潮流，推出可以直接從伺服器端拋轉行銷數據給廣告主的CAPI</a></p> <p>3. <a href="https://support.google.com/youtube/thread/18138167?hl=en&msgid=340138072">Youtube開始測試AI Overview搜尋功能，用影片輪盤方式呈現與搜尋內容相關的影片片段</a></p> <p>4. <a href="https://amt.org.tw/research/martech-map/744-taiwan-martech-landscape-v6">亞太行銷數位轉型聯盟協會推出臺灣Martech版圖第六版</a></p> <p>5. <a href="https://www.zenapse.com/about-us/newsroom/articles/lg-adsolutions">LG導入AI情緒分析科技商Zenapse的技術來打造CTV廣告產品</a></p> <p>6. <a href="https://newsroom.paypal-corp.com/2025-04-29-PayPal-Launches-Offsite-Ads-Unlocking-the-Power-of-Transaction-Data-Off-Platform">Paypal自家廣告平臺開始支援投放廣告到外部通路</a></p> <p>資料來源：iThome整理，2025年5月</p> <p>責任編輯：郭又華</p> <p>圖片來源：Google、OpenAI、Wix</p> <p></p> </div></div></div>
2025/5/3 11:01作者郭又華https://www.ithome.com.tw/news/168729
【臺灣資安大會直擊】中信銀首揭金融資安韌性三大對策：建立縱深防禦工程、落實穿透測試、確認資安作業有效性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「資安韌性，是讓敵人攻不破。即使攻破也打不穿，打穿也可以立即復原。」中國信託銀行資安長吳佑文在今年臺灣資安大會上表示，他們過去幾年在建立資安韌性上投入許多心力，而在金融資安論壇中，中信銀首次對外公開自家的資安韌性對策，包括建立縱深防禦工程、落實穿透（walk through testing）測試、確認資安作業有效性等策略。</p> <p>企業即便做好基本的資安措施，仍需要面對防護面必定有缺口的事實，「這是我們第一個會面臨的挑戰。」吳佑文說道。面對這項挑戰，中信銀的策略是建立縱深防禦工程，根據MITRE ATT&CK TTP手法來設置防禦對策。例如，針對社交工程攻擊，設置電子郵件的資安機制。</p> <p>不過，即便設置了縱深防禦工程，這些機制還是有極大機率不如預期般發揮功效。吳佑文透露，他們內部設置的防禦機制，幾乎每一項都曾被偵測到程度不一的有效性問題，甚至有完全失效的狀況。「這就是我們面臨的第二個挑戰。」他說。</p> <p>針對第二項挑戰，中信銀的對策是落實穿透測試，驗證每項資安控制措施的有效性。例如，針對檔案監控機制，中信銀的測試方法是放置無關檔案至受測伺服器，並預期系統偵測到異常檔案時需告警，且相關人員得在時效內處理問題。</p> <p>中信銀第三項資安韌性對策，是確認資安作業有效性。「必須盤點關鍵資安作業，設計如何驗證作業有效性。」吳佑文說明，他們的作法有三步驟，第一步是盤點關鍵資安作業，依據作業重要性及驗證可行性等條件，來排序優先驗證項目。再來是分析資安控制的有效性要件，最後則是設計有效性的驗證機制，並設計監控KPI，每月定期追蹤，確保資安作業被落實。</p> <p>以對外系統弱點掃描作業為例，有效性要件包括掃描範圍完整性、弱點特徵碼正確更新，弱點掃描設定妥適、弱點掃瞄作業正常完成，接著再針對每一項要件設定檢核做法，並設計KPI指標。</p> <p>吳佑文表示，這些措施完成後，可因應約99%的攻擊事件，但仍有1%的極端情境無法靠既有控制措施防範。「金融零信任指引會是我們的救生符，可以應付未知的攻擊手法。」他說，面對極端情境網攻，除了根據零信任指引來應對，也需規畫極端情境應變計畫。「只有做到這個程度，才能實現所謂的金融韌性。」</p> <p></p> </div></div></div>
2025/5/2 18:35作者李昀璇https://www.ithome.com.tw/news/168732
蘋果違反法院的反托拉斯裁決，恐面臨刑事調查
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://storage.courtlistener.com/recap/gov.uscourts.cand.364265/gov.uscourts.cand.364265.1508.0_2.pdf" target="_blank">美國聯邦法院法官Yvonne Gonzalez Rogers周三（4/30）裁決</a>，蘋果故意違反了法院要求蘋果開放第三方支付的命令，還有高階主管因此而作了偽證，要求展開刑事調查，並要蘋果限制作出改變。蘋果則說要針對此一判決提出上訴。</p> <p>此案始於2020年，當時Epic Games在iOS版與Android版的《要塞英雄》（Fortnite）遊戲中，自行加入了官方支付機制，以繞過App Store與Google Play的程式付費機制，同時遭到蘋果與Google將遊戲下架，促使Epic Games提出訴訟。美國聯邦法官在2021年9月作出裁決，要求蘋果不得強迫開發者使用蘋果支付，接著在2024年駁回蘋果的上訴，促使蘋果允許開發者於程式中嵌入外部連結，以採用其它支付機制。</p> <p>然而，法官發現蘋果故意違反上述禁令，並持續其反競爭行為。例如倘若使用者是從程式內連至外部網站完成交易，蘋果仍會向開發者收取27%的手續費，就算是在點擊連結之後的7天內才完成交易，依然必須支付27%手續費，該比例接近蘋果支付所收取的30%。</p> <p>此外，蘋果也限制了開發者與使用者之間的交流，例如當使用者要連往外部支付網站時，蘋果會跳出一個全螢幕的安全警告頁面；同時也僅允許開發者提供靜態的連結，不得針對用戶身分生成客製化的動態連結；亦禁止開發人員於程式中說明外部支付的折扣或付款方式。</p> <p>至於在作偽證的部分，蘋果財務副總裁Alex Roman向法官表示，上述的蘋果政策都是基於安全及用戶體驗的考量，然而，法院調查了蘋果的內部文件與郵件，卻發現蘋果高層討論的其實是「如何儘可能讓開發者少使用外部連結」，或是「如何設計新流程以維持原有的App Store收入」，認為Roman可能涉及藐視法庭或偽證罪，並指示檢察官展開調查。</p> <p>總之，Rogers要求蘋果在14天內必須提交一份全新的合規修正方案，警告蘋果若再採用「技術性遵守」手段來限制開發者，可能會面臨額外的強制命令或是懲罰性裁罰。</p> <p><a href="https://x.com/TimSweeneyEpic/status/1917716512347152499" target="_blank">Epic Games創辦人暨執行長Tim Sweeney指出</a>，若是蘋果願意把免費的蘋果稅框架部署至全球，那麼Epic Games下周就會把《要塞英雄》送回全球的App Store，並放棄所有相關的訴訟。</p> <p>有趣的是，與Epic Games站在同一陣線，亦不斷抨擊蘋果稅的Spotify也在該判決出爐的隔天<a href="https://newsroom.spotify.com/2025-05-01/following-landmark-court-ruling-spotify-submits-new-app-update-to-apple-to-benefit-u-s-consumers/" target="_blank">就更新了App Store上的程式</a>，新程式將提供商品價格與促銷資訊，可直接點選購買連結，也能使用除了蘋果之外的各種支付選項，雖然此一更新仍待蘋果審核，但Spotify相信，本周的裁決意味著蘋果的改變應該要立即生效才是。</p> </div></div></div>
2025/5/2 16:33作者陳曉莉https://www.ithome.com.tw/news/168727
從築巢到聯防：鴻騰精密CSIRT破繭而出，成為鴻海集團首位FIRST成員
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在資安威脅日益嚴峻的今日，企業的資安防護能力已不再是IT部門的單一課題，而是攸關企業存續與競爭力的核心關鍵。對於在全球擁有龐大據點與供應鏈的高科技製造業而言，這場沒有硝煙的戰爭尤其艱鉅。</p> <p>鴻海科技集團旗下的鴻騰精密（FIT），正是這波資安浪潮中的積極應對者。從2023年3月正式成立專責的資安事件應變團隊（CSIRT），到今年10月成功加入國際資安組織FIRST（Forum of Incident Response and Security Teams，事件回應和安全團隊論壇），鴻騰精密不僅為自身築起更堅實的資安堡壘，更成為鴻海集團內第一個加入FIRST的成員，肩負起領頭羊與集團資安聯防窗口的重任。</p> <p>鴻騰精密資訊部資深經理杜偉欽表示，該公司CSIRT團隊從無到有、從內部建置到邁向國際的歷程，都有賴公司執行長親自主導「由上而下」的變革，才能夠讓鴻騰精密的CSIRT團隊真正扎根，並且扮演全鴻海集團領頭羊的角色。</p> <h2><strong>CSIRT應運網路威脅而生，執行長力挺「由上而下」的變革</strong></h2> <p>「我們的CSIRT團隊是在2023年的3月成立，到正式加入FIRST國際資安組織，算起來至今也才一年多。」杜偉欽開宗明義地說道。相較於許多企業，鴻騰精密的資安團隊成立時間並不算早，但背後的推動力與決心卻異常堅定。</p> <p>杜偉欽指出，成立CSIRT的首要原因，直指當前不斷升級的外部資安威脅。他表示，隨著駭客攻擊手法越趨精密，企業必須具備更強的應變能力，才能有效保護公司最重要的數據資料與核心系統，進而確保業務的持續運作。這不僅是被動的防禦，更是Proactive（積極主動）的應對。</p> <p>然而，促成CSIRT團隊誕生的關鍵，則是來自公司最高管理階層對資安的強烈重視與支持。「其實是我們CEO非常重視資安這一塊，他認為，整個資安對我們公司的發展是非常重要的。」杜偉欽強調，因為有執行長的重視，讓資安從單純的技術議題，一躍成為影響公司發展全局的策略性議題。</p> <p>這份高度重視其來有自，儘管我們未直接證實與供應鏈攻擊的關係，杜偉欽坦言，外部環境的資安威脅的嚴峻挑戰，確實是重要考量。他說：「公司為什麼會重視資安，也和外部的一些製造業遭遇一些駭客攻擊，造成公司營運上的損失有關。」</p> <p>他進一步解釋，特別像是鴻騰精密這樣在全球擁有約五、六萬名員工、廠區資訊邊界不斷擴張的大型跨國公司，資安防禦難免存在漏洞。「如果沒有一個專責團隊負責修補漏洞並抵禦駭客入侵，就可能面臨嚴重的安全風險。」他說。</p> <p>「所以執行長就希望要盡快成立這個資安團隊作為因應。」杜偉欽語重心長地說，資安防禦最有效的方法，確實是「top down」，就是從上而下，而且從上而下它的效果才會快。</p> <p>杜偉欽表示，正是在執行長的授意之下，CSIRT團隊才得以快速且有效地組建起來。團隊成立後，首要任務便是針對全球各廠區的漏洞進行檢測與修補，並加強駭客入侵的防禦。</p> <h2><strong>公司傾注資源，打造資安菁英團隊</strong></h2> <p>一個專責的資安團隊需要什麼樣的人才？杜偉欽透露，鴻騰精密的CSIRT團隊目前有八位成員，全部都是專責的資安專業人員與主管。這支團隊的組成有其獨特性，「我們當初其實都是從外界尋找合適的資安專業人才進來我們公司。」他說。</p> <p>他進一步解釋，原先公司內部，只有一位從資訊部門轉調過來的資安人員，他深知，由外部引進專業資安人才立竿見影，能成為「即戰力」，但了解公司內部人員的重要性也不容忽視。</p> <p>「團隊內部還是要有懂得公司和產業專業知識領域（Domain）的人，」他指出，公司的CSIRT團隊成員可能不知道公司內部的地形、地貌，但是，因為有一個清楚公司裡面地形地貌識途老馬幫忙帶路，也非常有利於資安團隊的運作，以及對內外部的協調溝通。</p> <p>因此，杜偉欽表示，鴻騰精密CSIRT團隊成員的結構是這樣組成的：一位是從公司內部資訊部門轉任資安，其他七位則是從外部招募進來的資安專家。他認為，這種外部專業與內部經驗的結合，目的就是在打造一支既有國際視野，但又了解公司內部運作的高效團隊。</p> <p>成立專責且高效的CSIRT團隊，絕非僅僅編列人力與預算就能達成。杜偉欽也詳細說明從三個面向投入資源，以支持團隊的運作與成長。</p> <p>首先是組織調整。他表示，公司設立資安部門，這是過去沒有的；加上，這個專責部門在通報層級上也獲得提升，目前通報給資訊長，未來則會直接向CEO報告。</p> <p>更重要的是，公司也著手成立資安治理委員會。這個委員會的主席將從資訊長變更為CEO，成員則由各事業群的第一階高階主管擔任。杜偉欽強調：「這個資安治理委員會的成立，也讓公司資安治理層級，從原先IT層級拉到公司治理層級。」這也顯示，公司已將資安提升至與整體公司治理同等重要的戰略高度。</p> <p>其次是人力與培訓。除了從外部引進資安專業人才，杜偉欽指出，公司也大力支持團隊成員接受專業培訓。例如，公司會派員參加資安院舉辦的CCOE（國家資安卓越中心）課程，或是沙崙資安基地等機構提供的教育訓練。</p> <p>此外，鴻騰精密也積極參與國內的資安社群與情報分享平臺，例如SP-ISAC（科學園區資安資訊與分析中心）、TWCERT/CC（臺灣電腦網路危機處理暨協調中心）以及臺灣資安主管聯盟。他說：「這些都是為了不斷提升團隊的專業能力與視野。」</p> <p>最後則是技術資源。杜偉欽表示，公司投入資源、購置先進的資安工具與設備，用以強化監控能力並進行資安健康檢查。然而，資安技術與威脅變化迅速，團隊需要持續學習與更新技術，因為舊有技術已不足以應付外部威脅。特別是現在駭客也開始運用AI發動攻擊，已成為新的趨勢。為此，他表示，鴻騰精密甚至與公司內部的AI大數據部門合作，試圖利用AI來發掘資安設備可能遺漏的問題。</p> <p>在技術資源分配上，杜偉欽坦言，CSIRT團隊也面臨挑戰，因為這不僅是購買資安設備的問題而已，還需要IT部門的配合，例如強化基礎設施（Infra）的架構。杜偉欽解釋，資安部門在做資源調配時，必須權衡考量，決定第一階段要先強化哪些部分。例如，網路存取控管（Network Access Control, NAC）的強化、老舊防火牆的替換等，都是因為這些舊設備已無法應付新的攻擊，需要採購新方案補強。</p> <h2><strong>CSIRT成立的兩大挑戰：跨部門協作與技術變革</strong></h2> <p>成立全新的專責資安部門，並在全公司推動資安政策，過程並非一帆風順。杜偉欽坦言，最大的挑戰之一就是跨部門協作。</p> <p>他表示，資安部門作為一個新成立的單位，在推動資安政策時，常常會遇到其他部門的反彈，例如：以前可以這麼做，為什麼現在不能這麼做等等。這往往需要投入大量時間進行跨部門溝通、宣導，甚至舉辦各種會前說明，解釋為何這些政策是必要的。</p> <p>鴻騰精密在公司內部向所有主管、同仁進行資安重要性的宣導，並解釋社交工程等常見攻擊手法，就是為了讓公司的每個人能夠意識到「資訊安全、人人有責」，因為，資安不是資安部門單獨的責任，而是需要所有人共同參與。</p> <p>杜偉欽感嘆，不同部門的協作需要時間磨合，尤其是在資安事件發生時的快速反應。例如，如何界定資安事件的層級（一級、二級），需要通報到哪一層級的主管或哪個部門，這些都必須預先定義清楚，才能在狀況發生時迅速應對。</p> <p>另一個挑戰則是技術更新。資安技術和威脅模式不斷演變。杜偉欽指出，團隊必須持續學習、更新技術，以應對日益複雜的攻擊手法。例如，現在有許多駭客利用AI進行攻擊已是現實，所以，資安團隊不僅要懂得掌握傳統的資安防禦手段，還要思考，應該如何利用AI來協助防禦。</p> <p>在技術補強方面，杜偉欽特別點出了從「資安觀點」和「IT觀點」看IT基礎設施（Infra）補強的差異。他認為，IT或Infra部門的補強措施，往往著重於各自的業務範疇，例如Infra團隊專注網路安全，AP（應用程式）團隊專注軟體開發，彼此相對獨立。</p> <p>但是，如果從資安觀點來看，補強措施必須是全面向的，包括軟體、硬體設施，以及資安政策的管控等，需要能夠從「點線面」進行全盤性的規畫與落實。杜偉欽表示，資安的切入點通常是從系統的資訊流（flow）出發，藉由檢視資訊流經過哪些跨部門單位，需要進行什麼樣的強化或補強措施，「這是一種較少本位主義、更注重橫向跨部門管理的視角。」他說。</p> <p>不過，這也導致了跨領域溝通的困難。他強調，資安團隊必須與Infra團隊溝通基礎架構的強化需求，與AP團隊溝通軟體安全問題；但這些溝通往往需要跨領域的知識（know-how）。</p> <p>他強調，如果資安團隊成員不具備足夠的跨領域知識，在進行跨部門的討論過程中，很容易被其他部門以技術細節「打槍」，甚至被質疑專業能力。因此，杜偉欽強調，資安部門在招募相關的資安人員時，「真的是精挑細選」。</p> <p>鴻騰精密與鴻海集團的關係，也影響了其資安戰略。杜偉欽表示，鴻海作為母集團，會定期與子公司召開會議，宣導各種資安知識、分享資安事件或情資，而且集團也會要求所有子公司，不管在資安政策、宣導、訓練與防禦上，都必須保持一致性。</p> <p>這源於資安界常說的「木桶理論」：一個木桶能裝多少水，取決於最短的那塊板，在資安領域，漏洞缺口就是最短板。因此，集團必然要求整體資安防護能力的一致性，避免任何一個短板成為整體風險。杜偉欽表示，這也促使鴻騰精密必須不斷檢視，確認內部還有哪些未完成或需補強的部分，並盡快落實。他說：「我們不敢說我們做到最好，可是我們會盡力把它變得更好。」</p> <h2><strong>加入FIRST不只情報共享，更要「資安聯防」</strong></h2> <p>在談論鴻騰精密為何選擇加入FIRST組織之前，有必要先了解FIRST是什麼。FIRST是「Forum of Incident Response and Security Teams」的縮寫，意即「全球事件應變與安全團隊論壇」。</p> <p>FIRST被譽為資安事件應變領域的「premier organization」（頂尖組織）和「recognized global leader」（公認的全球領導者）；其核心使命是「Improving Security Together」（共同改善安全），這也體現在其組織名稱中。</p> <p>FIRST匯聚了來自政府、商業和教育機構的各種電腦安全事件應變團隊。其主要目標是：「促進事件預防方面的合作與協調，激發對事件的快速反應，並促進成員與廣大社群之間的資訊分享」。</p> <p>加入FIRST，能讓資安事件應變團隊更有效地應對資訊安全事件，無論是 reactive（被動應對）還是 proactive（主動預防）。除了建立一個全球事件應變社群中的信任網絡，FIRST也提供多種加值服務。目前，FIRST在全球擁有超過700個成員，遍布非洲、美洲、亞洲、歐洲和大洋洲。</p> <p>臺灣已有多家公司陸續申請加入FIRST，杜偉欽表示，鴻騰精密選擇以CSIRT團隊身份申請加入FIRST，主要有幾個原因。</p> <p>首先是情報共享。在全球資安威脅無國界的時代，能快速獲取最新的資安情報至關重要。他說：「希望透過這個FIRST國際資安組織，獲得最新的資安情報，來提升我們的防護能力。」此外，FIRST組織也經常舉辦各種論壇和研討會，也是提升團隊專業能力的重要途徑。</p> <p>其次是國際合作。資安防禦單打獨鬥難以成功，需要「聯合防禦」。杜偉欽強調：「希望能夠跟其他公司，包含臺灣或是國際的資安團隊合作，共同應對全球的資安威脅。」他生動地比喻，這就像古代的烽火臺，一個地方發出警訊，其他烽火臺迅速響應，共同抵禦敵人。這就是「一方有難、八方支援」的資安聯防精神。他表示，當鴻騰精密資安團隊從FIRST收到全球C2伺服器的IP清單時，除了力即將清單匯入公司防火牆最新規則外，也可以立即分享給集團，讓其他子公司也能迅速進行防禦阻擋。杜偉欽也體認到，加入FIRST國際資安組織，目的不只是要做到「獨善其身」，更是希望能「兼善」整個集團，甚至對臺灣科技業的資安聯防有所助益。</p> <p>第三是學習經驗。目前加入FIRST的臺灣成員，截至去年十二月底約有22個而且還在持續增加中，加入的成員名單涵蓋情資單位、高科技製造業以及資安公司等。杜偉欽表示，透過這個多元化的資安團隊社群，可以達到「學習其他公司成員加入FIRST的經驗，以提升自身能力」的目標。他認為，公司資安團隊從其他公司面對資安事件的應變作為中學習，並與其他成員分享自身的經驗，藉此不斷自我提升與改善。</p> <h2><strong>漫長而嚴謹的入會之路，準備過程就是寶藏</strong></h2> <p>加入FIRST並非一蹴可幾，需要經過漫長且嚴謹的審核過程。杜偉欽回溯了鴻騰精密的入會歷程，「經過一年的醞釀跟籌備，我們大概從2024年的6月開始，邀請FIRST會員來推薦我們。」他們邀請了TWCERT/CC和TeamT5這兩個臺灣的FIRST會員進行推薦。</p> <p>推薦後，FIRST會進行實地查驗。杜偉欽提到：「FIRST在去年8月份的時候，就來鴻騰精密做現場的視察，然後鴻騰精密也跟FIRST進行相關簡報。」簡報內容則涵蓋團隊的能力與運作流程。直到去年9月份，鴻騰精密則收到了FIRST現場訪視報告；並且該公司在9月中旬，正式向FIRST提交申請文件，進入審查程序；直到去年10月18號，才正式取得會員資格。</p> <p>這個過程不只是一個簡單的申請表單。杜偉欽解釋，在審核過程中，公司必須證明其能力符合FIRST的要求，這包括，鴻騰精密必須提供團隊成員的專業證照、公司資安治理的規範，以及資安事件應變流程等文件。這些資料都需要經過嚴格審核，甚至需要以流程圖的方式清晰呈現團隊的專業流程，並陳述加入FIRST的原因，而且，FIRST設有委員會，每個月都會召開會議，審查申請者的資格。</p> <p>「我們不是從2023年成立CSIRT之後，就馬上申請加入FIRST，而是籌備了好一段時間，先提升自身能量後，覺得已經準備好了才去申請加入FIRST。」杜偉欽強調。</p> <p>他認為，光是為了準備加入FIRST所做的內部整頓與能力提升工作，本身就已經非常有價值了。而成功加入後，能夠「第一手拿到一些重要的國際情資，然後又可以學習，又可以掌握一些攻擊趨勢等等」，對於公司整體資安防禦能力的強化與提升「是非常有幫助的」。</p> <h2><strong>加入FIRST帶來的質變與量變，從能力到商譽的全面提升</strong></h2> <p>加入FIRST之後，對鴻騰精密CSIRT團隊帶來了哪些具體的「質變」與「量變」呢？</p> <p>在質變方面，杜偉欽認為最顯著的是「提升資安團隊的專業水平跟應變能力」，透過參加FIRST的培訓與研討會，團隊得以學習最新的資安技術與趨勢。</p> <p>在量變方面，則是「擴大鴻騰精密取得的資安情報來源」，他表示，加入FIRST讓該公司資安團隊能夠獲取更廣泛的資安情報，從而提升公司和集團的防護能力。</p> <p>杜偉欽認為，對該公司帶來的效益則體現在多個層面。首先是「提升或增強鴻騰精密在國際上專業領域的影響力」，進而在資安領域提升公司的品牌形象與市場地位。但他特別強調，最關鍵的效益是「商譽的提升」。</p> <p>「讓大家都覺得，鴻騰精密重視資安，那是一種很無形的信任度。」杜偉欽解釋，這種信任度的提升，不僅來自客戶和合作夥伴，也包括投資人，有助於促進公司的整體業務發展。</p> <p>對於客戶而言，鴻騰精密是其供應鏈中的一環，供應鏈安全至關重要。「強化自身資安能力，能增強客戶的信心，進而對業務發展產生正面助益。」杜偉欽說道，這就像半導體產業對供應商提出的SEMI E187設備合規要求一樣，供應鏈安全已成為必要的合作前提。</p> <p>此外，加入FIRST也有助於提升公司的合規性。他指出，公司內部規範得以符合國際資安標準與法規，這不僅讓未來的產品制度更符合規定，也向客戶傳達產品經過嚴格管制的訊息，這都對公司帶來顯著的成效。</p> <h2><strong>情資時間差的決勝關鍵，扮演集團資安「領頭羊」</strong></h2> <p>在眾多效益中，杜偉欽特別強調加入FIRST在情資時間差帶來的優勢。他指出，鴻海集團本身是TWCERT/CC的成員，而鴻騰精密除了加入SP-ISAC，現在又多了FIRST這個國際情資來源。雖然SP-ISAC和TWCERT/CC也會轉發國際情資，但可能需要經過篩選過濾，存在情資的時間差。尤其TWCERT/CC是週休二日，並無法提供24x7的服務。</p> <p>但他強調，加入FIRST之後，鴻騰精密可以「直接獲得」第一手國際組織的資安情資，而擁有專責資安單位的鴻騰精密就可以立即進行第一手分析，甚至有機會在集團內部其他單位尚未收到相關的情資訊息之前，以更快的速度對內部提供情資。杜偉欽認為，這不僅能防禦鴻騰精密自身，也能協助防禦整個鴻海集團。</p> <p>杜偉欽語重心長地說，駭客最喜歡在週五下班後發動攻擊，利用週末的空檔可以做很多事情，如果企業直到週一上班才發現遭到攻擊，後果往往非常嚴重。透過FIRST提供的跨時區、全天候的國際情資，就像是「全世界的資安情資聯合」，能彌補單一組織或區域中心的不足。</p> <p>能否及時獲取情報差異巨大。杜偉欽舉例：「有公司可能前天被攻擊，但你如果是一個禮拜後再知道，跟你前一天就知道，這是有差異的。」提早得知潛在威脅，就能提早預防。例如，將重要的IOC（入侵指標）或黑名單匯入防火牆或防毒系統，第一時間阻擋攻擊，避免被植入惡意程式。這正是加入這個國際情資組織的主要目標。</p> <p>作為鴻海集團第一家加入FIRST的公司，雖然成立CSIRT的時間相對較晚，但入會的積極性可謂走在前面。杜偉欽表示，鴻騰精密希望扮演「領頭羊」的角色，透過自身的加入經驗，帶動集團內其他公司也加入FIRST。</p> <p>「這並不意味著，鴻騰精密之後就變成窗口，而是希望透過我們加入FIRST，有示範效應，可以帶動其他公司的加入。」他強調，就像當年群創光電加入FIRST帶動其他高科技製造業加入一樣；而鴻騰精密取得的第一手情資和累積的入會、運作經驗，都會回饋分享給集團內的公司。</p> <p>杜偉欽引用「一雙筷子容易折斷，但十雙筷子折不斷」的比喻，說明資安聯防的重要性。當集團內有一個單位成為FIRST成員，累積了國際合作和情報應用的經驗，並願意分享，這對整個集團的資安防護力量而言，是一種提升。</p> <p>他更將視野拉高到整個臺灣製造業，當一個臺灣企業遭到駭客攻擊時，無論是基於政治或民族因素引發的攻擊，如果能迅速透過國際平臺或其他聯防機制發出警報，其他企業就能立即提高警覺，採取防禦措施。</p> <p>他認為，這對於高科技製造業占據重要地位的臺灣經濟基礎來說，建立資安聯防標準並共同提升防禦能力，是至關重要的。供應鏈任何一個環節的漏洞，都可能影響整體臺灣的安全。</p> <p>「透過這樣加入的經驗，能夠讓更多公司，包含我們集團內和外面的公司，有更多人來加入。」杜偉欽如此期許。</p> <h2><strong>CSIRT團隊的下一步，做到永續學習與深化合作</strong></h2> <p>成功加入FIRST之後，杜偉欽表示，鴻騰精密CSIRT團隊的下一步，首先，持續提升自身能力，因為資安技術日新月異，團隊必須保持在這個領域的領先地位。例如，不能等到其他企業已經在做AI防禦了，自己卻還停留在過去。因此，持續學習是必須的。</p> <p>其次，深化國際合作。杜偉欽表示，這包括加強與國內外FIRST成員的合作，共同應對全球資安挑戰。例如，有針對臺灣企業發動的DDoS攻擊，便可以透過與刑事單位或FIRST成員交流，分享攻擊來源IP並討論防禦策略。他重申，面對全球性的網路攻擊，單打獨鬥是行不通的，必須依靠合作。</p> <p>團隊也在思考，當其他企業遭受攻擊時，自己能從中學到什麼，以及當自身遭到攻擊時，下一步應該如何應對。杜偉欽表示，CSIRT團隊會透過報告總結經驗，並與其他團隊交流，探索技術創新。</p> <p>例如，針對DDoS攻擊的多種手法，特別是慢速攻擊或針對VPN的攻擊。他指出，臺灣的高科技製造業者，經常覺得自身核心系統沒有暴露在外網而輕忽風險，但駭客透過攻擊VPN可能癱瘓遠端工作，造成公司營運中斷。他認為，這些都是資安團隊需要不斷思考和準備的課題。</p> <p>總體而言，鴻騰精密從成立CSIRT到加入FIRST，不僅是企業內部資安能力的躍升，更是將自身融入全球資安聯防體系的重要一步。杜偉欽強調，作為鴻海集團的先鋒，其經驗的分享與帶動效應，有望為集團乃至臺灣高科技製造業的整體資安防護，注入更強大的動能，共同抵禦無所不在的網路威脅。</p> <p>「面對這場資安保衛戰，唯有透過持續學習、深化合作與情資共享，才能在這場與駭客的軍備競賽中取得優勢。」杜偉欽說道。</p> </div></div></div>
2025/5/2 16:45作者黃彥棻https://www.ithome.com.tw/news/168728
Redis放棄SSPL授權回歸開源，釋出Redis 8整合核心與Stack功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歷經一年自核心授權轉為SSPL的實驗與討論後，Redis<a href="https://redis.io/blog/agplv3/">宣布</a>從Redis 8起改採AGPLv3開源授權，這結束了自2021年以來，針對進階模組採行封閉授權的多版本策略，期望與開源社群重新接軌。Redis 8同步整合原本僅限Redis Stack的模組功能，包括JSON、Time Series、機率型資料型別與查詢引擎，回歸單一核心版本供開發者直接使用所有功能。</p> <p>這次轉換的背景與大型雲端平臺的關係密切，Redis執行長Rowan Trollope表示，在AWS與GCP等超大規模雲端服務供應商廣泛部署Redis，並建立獨立維運分支的情況下，如何維持開源模式的同時確保專案本身可持續發展，是近年來開源公司普遍面臨的課題。</p> <p>過去Redis為避免直接使用SSPL引發社群反彈，選擇以雙軌方式發展Redis社群版與Redis Stack，將進階功能模組如RedisJSON與RedisTimeSeries納入Stack版本，並採用較嚴格的授權保護商業利益。不過，雙版本策略也造成開發體驗分歧與維運負擔，導致主線功能開發緩慢，引起部分使用者與貢獻者的不滿。</p> <p>Redis團隊在2024年3月正式將核心程式碼轉為SSPL授權，這導致AWS與Google需各自維護分支，而且該決策並未獲得開源社群正面回應，也未獲OSI認可，Redis創辦人<a href="https://antirez.com/news/151">Salvatore Sanfilippo（antirez）</a>於同年11月重新加入開發團隊，推動Redis重回真正的開源授權。經內部技術與策略評估後，Redis團隊最終決定自Redis 8起採用AGPLv3授權，這不僅符合OSI認可的開源定義，也要求部署於雲端提供服務的雲端供應商，需一併釋出修改後的原始碼，進而達到開源公平性與商業防禦的平衡。</p> <p><a href="http://antirez.com/news/151" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0502-Redis%20is%20open%20source%20again-600.png" style="width: 600px;" /></a></p> <p><a href="https://redis.io/blog/redis-8-ga/" target="_blank">Redis 8</a>加入了一個全新資料型別Vector Sets，由antirez設計，支援高效率處理向量資料，有望擴展Redis在搜尋與人工智慧應用場景的應用潛力。 Redis官方表示，這次整合不僅簡化開發流程，也將Redis Stack具代表性的功能模組全面納入核心主版本，之後將以單一發行版開發，集中改善效能與模組穩定性。</p> <p>根據Redis公布的資料，Redis 8在多項核心指令的執行速度上提升高達87％，整體處理吞吐量也提升至前一版的2倍。</p> </div></div></div>
2025/5/2 16:48作者李建興https://www.ithome.com.tw/news/168726
【資安月報】2025年4月，臺灣資安產業蓬勃發展，PQC、零信任、產品資安受矚目，LLM安全風險因應成最新主軸
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>回顧2025年4月的資安新聞，隨著臺灣資安大會連續3天盛大舉行，臺灣政府發布國家資通安全戰略2025，還有多項LLM安全風險的示警與應對的消息，都讓我們更進一步了解臺灣與全球資安領域的蓬勃發展與態勢演變，因此，這些資訊的傳達成為我們本月首先關注的3大焦點。</p> <p>其他還有3個層面的議題，同樣值得我們重視，包括臺灣資安事件現況、國際產業安全進展，以及預算影響資安專案的狀況。在此我們彙整6大資安焦點，帶大家快速回顧本月的關鍵新聞與趨勢。<br /> </p> <p><strong style="color: rgb(255, 0, 0);">（一）2025臺灣資安大會登場</strong></p> <p>CYBERSEC 2025 臺灣資安大會本月登場，橫跨30大資安議題，從網路韌性法到跨界整合，吸引400家廠商、1,500個攤位進駐，為期三天的活動吸引2萬名來自全球產官學界的資安專家參與，顯示企業對資安重視日益提升。</p> <p>今年的CYBERSEC ARENA資安競技場War Game，更是特別引進美國海軍戰爭學院於美國Black Hat和DEF CON發表的臺灣情境資安模擬遊戲，透過建模、模擬與兵推技術，模擬真實資安威脅與戰略應對。</p> <p>臺灣政府也持續展現政府對於資安的重視與支持，總統賴清德去年520上任，截至目前為止，他已連續四年親自蒞臨，並在今年大會致詞談到未來四年重要的資安推動工作，我們不只要強化全社會資安韌性、關鍵CI防護，同時強調發展資安產業生態系，持續推動國產自主研發的資安產品與服務，以降低對外部技術的依賴風險，並要應對 AI、大數據、IoT與5G乃至未來6G技術的快速普及，研究新興科技防禦技術；美國在台協會（AIT）處長谷立言也在現場公布臺美合作成果，包括今年3月主導舉辦5場聚焦半導體供應鏈防護的資安活動，並透露經濟部標準檢驗局已完成美國「NIST網路安全框架 2.0」的繁體中文版，同時強調資安不僅是IT技術課題，更是國家與經濟安全的重要環節。<br /> </p> <p><span style="color:#FF0000;"><strong>（二）臺灣多項資安新舉措揭露</strong></span></p> <p>在國家資安防禦動向，本月臺灣政府有多項重大進展，最重要是《國家資通安全戰略 2025》在8日發布，揭露我國2025到2028這四年的重要工作，涵蓋4大層面，包括：全社會防衛韌性、國土防衛與關鍵CI、關鍵產業與供應鏈，以及AI應用與安全，同時也提及建立國家資安戰情協同應變中心，突顯我國更聚焦國安層級聯防體系的發展，還有資安院算正規化的進展。</p> <p>還有其他多項新進展於臺灣資安大會揭露，涵蓋PQC、零信任、產品資安、個資保護，以下是我們關注的4個重大突破：<br /> ●數發部數產署與後量子資安產業聯盟（PQC-CIA）宣布，專為臺灣設計的「後量子密碼遷移指引」出爐，並於4月底公布取得自動化加密盤點工具的聯繫管道。<br /> ●金管會闡釋金融業導入零信任架構參考指引重要性，應從身分、設備、網路、應用程式、資料出發，另公布目前正發展金融雲端資安監控基準。<br /> ●資安院解析多國法規已對ICT產品訂明確安全要求，同時公布推動產業發展產品資安的3項計畫，涵蓋安全軟體開發與檢測的人才培育、推動PSIRT與建立資安院Bounty，以及國際法規的接軌。<br /> ●個資保護委員會今年即將成立，籌備處專家建議參考國際間的隱私框架，並用高強度MFA來確保使用者身分安全。<br /> </p> <p><span style="color:#FF0000;"><strong>（三）LLM安全風險成2025年重要焦點</strong></span></p> <p>LLM應用風潮在這兩年持續發酵，然而其資安風險問題容易被忽略，我們在4月製作封面故事闡述此議題，並從OWASP Top 10著手，透過簡單易懂的闡釋方式，幫助讓大家了解提示詞注入、敏感資訊揭露、資料與模型投毒、錯誤資訊等LLM應用10大風險。同時我們也以真實世界發生的狀況來舉例，讓大家可以更清楚，當AI客服回應超出應有用途，員工將公司機敏資料上傳公用AI服務，以及AI幻覺回應被使用者誤信的狀況。</p> <p>另一方面，隨著LLM推理模型與AI代理（AI Agent）的快速迭代，今年臺灣資安大會的主題演說或各項議程中，我們明顯觀察到，現場有多位專家演說都聚焦LLM風險。在此我們挑出一些重點，例如：有針對企業推動AI應用上的建議，包括要有面面俱到的資安管理策略，建議可從資料、模型開發、員工使用及基礎架構管理來著手，以及探討LLM風險驗測的困境，並建議可打造自動化驗測機制、採取LLM-as-a-Judge做法，還有建議組織可從平衡AI利益及風險出發，依據WEF報告提出的6項問題來自評是否做好準備；另一方面，也有針對AI代理驅動網路犯罪商業模式Cybercrime-as-a-Servant的示警。<br /> </p> <p><span style="color:#FF0000;"><strong>（四）臺灣資安事件頻傳，勒索軟體攻擊持續嚴峻</strong></span></p> <p>根據公開資訊觀測站刊登的重大訊息公告，本月有9家上市公司發布資安重訊，另外還有1起事故發生在地區醫院。其中勒索軟體攻擊是主要焦點，像是振曜、沛亨的事故與CrazyHunter有關，還有桃園中壢長慎醫院、倍力的事故則與NightSpire有關。這段期間，國內也接連有資訊服務商遭攻擊，需要特別留意。</p> <p>●第一週4起，盛餘鋼鐵公告部份主機與電腦遭病毒攻擊（4月底發補充公告，員工個資可能外洩）；振曜科技、沛亨半導體表示部分資訊系統遭受駭客攻擊；精誠資訊獲匿名網路勒贖信件。<br /> ●第二週2起，力特光電公告資訊系統遭駭客攻擊；萬國通路表示發生資安事件。<br /> ●第四週3起，萬海航運公告資訊網站遭攻擊；萬潤科技表示部份主機與電腦遭病毒攻擊；倍力資訊表示資訊系統遭受攻擊。</p> <p>此外，CrazyHunter的真實身分在4月初被查獲，臺灣刑事警察局公布犯嫌為中國浙江籍20歲的羅姓男子。</p> <p>還有一項消息需要民眾多加留意，那就是有資安業者發現攻擊者散播常用軟體，對方佯稱提供即時通訊軟體LINE，並透過搜尋引擎最佳化（SEO）方式散布，讓民眾在Google搜尋第一頁就會看到仿冒LINE下載的網站，意圖植入木馬程式。<br /> </p> <p><span style="color:#FF0000;"><strong>（五）國際多項產業安全重要進展</strong></span></p> <p>走出臺灣，我們看到其他國家有多項資安防禦新進展受關注，例如，持續演進的MITRE ATT&CK框架發布17.0新版本，同時針對VMware虛擬化平臺發布新矩陣；CA/Browser Forum針對HTTPS憑證祭出新的2項安全要求，通過可有效防禦BGP劫持的多方發行驗證（MPIC），以及降低誤發憑證風險的憑證檢查（Linting）；美國NIST發布1.1版的《NIST隱私架構》，以配合NIST CSF 2.0與AI RMF的修訂變化。</p> <p>還有一些重要消息，例如GitHub推出Security Campaigns，協助企業開發團隊處理安全債更系統化並融於開發日常，還有Google發表資安AI模型Sec-Gemini，另也針對Gmail推出全程加密功能等。<br /> </p> <p><span style="color:#FF0000;"><strong>（六）預算影響</strong></span><strong style="color: rgb(255, 0, 0);">資安專案</strong><span style="color:#FF0000;"><strong>運作問題浮上檯面</strong></span></p> <p>因為具有國會多數優勢的在野黨大幅刪減與凍結政府預算，影響臺灣資安發展，像是我國的資通安全署、資安研究院的計畫深受影響，面臨專案擱置或延後等，因為這些單位上層機關數位發展部所編列的預算，被大幅刪除與凍結。</p> <p>無獨有偶，其他國家也發生類似狀況，美國非營利組織MITRE傳出因該國政府預算刪減，將使維護CVE等多項專案停擺，此事更是引發全球關注，因為CVE的公布與指派已成全球漏洞管理基礎機制，一旦CVE漏洞無法集中發布與追蹤，將對整體資安生態造成衝擊。</p> <p>雖然美國CISA隨後介入支援提供運作資金，但這起事件也突顯CVE等體系的穩定運作，長年只有美國政府投入給予支持。目前CVE基金會已成立作為因應，不過歐盟漏洞資料庫（EUVD）Beta版的發展也受關注。<br /> </p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/168264"><strong><span style="color: rgb(178, 34, 34);">【資安週報】0331~0404，CrazyHunter攻擊擴大至臺灣企業集團，刑事局偵破其真實身分為中國浙江羅姓男子</span></strong></a></h3> <p>在2025年4月第一週的資安新聞中，關於CrazyHunter鎖定臺灣醫院與上市公司攻擊的消息仍然不斷，臺灣振曜集團有3家公司遭受攻擊，不過，警方在偵辦進度上取得重大突破，先前在馬偕醫院事故後，已成立專案小組，如今發現犯案者是中國浙江籍羅姓駭客，而這也是國內警方第一次能關聯出勒索軟體攻擊者真實身分</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/168383"><strong><span style="color: rgb(178, 34, 34);">【資安週報】0407~0411，國家資通安全戰略2025正式公布，建立國家資安戰情協同應變中心</span></strong></a></h3> <p>回顧2025年4月第二星期的資安新聞，臺灣最新國家資安戰略出爐是主要焦點，當中揭露了我國國安層級聯防體系的發展，以整合六塊基礎聯防體系、跨部會協防體系與戰略夥伴國際合作；其他網路攻擊活動的揭露，以多起勒索軟體攻擊臺灣與全球的消息，還有中國駭客鎖定臺灣、圖博、維吾爾族散布間諜軟體的情形最需留意</p> <p style="margin: 0px;"> </p> <h3><a href="https://www.ithome.com.tw/news/168501"><strong><span style="color: rgb(178, 34, 34);">【資安週報】0414~0418，臺灣資安大會CYBERSEC 2025登場，AI資安風險持續受矚目</span></strong></a></h3> <p>在2025年4月第三星期的資安新聞，此時適逢一年一度資安產業盛事臺灣資安大會CYBERSEC 2025舉行，強調「Team Cybersecurity」與「全社會資安防禦韌性」，今年涵蓋30個熱門資安議題，AI資安風險更是重要主軸</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/168630"><strong><span style="color: rgb(178, 34, 34);">【資安週報】0421~0425，駭客組織NightSpire橫行全球，臺灣傳長慎醫院、倍力資訊遭攻擊</span></strong></a></h3> <p>回顧2025年4月第四星期的資安新聞，臺灣有長慎醫院、萬海航運、萬潤科技、倍力資訊遭遇網路攻擊事件的情形，其中影響國內醫院與資訊軟體整合服務商的事故最受關注；國際間有日本Web郵件系統Active! Mail遭零時差漏洞攻擊鎖定，以及南韓多個產業遭攻擊者以老舊BlueKeep漏洞攻擊的狀況</p> <p> </p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/168181">【2025年3月資安月報，出現專門鎖定臺灣攻擊的勒索軟體，CrazyHunter攻擊目標從醫院擴大至上市櫃公司</a><br /> </h3> <h3><a href="https://www.ithome.com.tw/news/167727">【2025年2月資安月報，臺灣海纜遭人為破壞、醫院遭勒索軟體攻擊，關鍵CI防護受考驗】</a><br /> </h3> <h3><a href="https://www.ithome.com.tw/news/167154">【2025年1月資安月報，國家級駭客的網路間諜攻擊事件不斷，海纜與國家通訊韌性也受到考驗】</a><br /> </h3> <h3><a href="https://www.ithome.com.tw/news/166878">【2024年12月資安月報，美國9家電信業遭中國駭客Salt Typhoon滲透，政府呼籲使用全程加密的即時通訊App】</a><br /> </h3> <h3><a href="https://www.ithome.com.tw/news/166394">【2024年11月資安月報，身分安全與AI成資安熱點，電信業滲透事件敲響警鐘】</a><br /> </h3> <h3><a href="https://www.ithome.com.tw/news/165787">【2024年10月資安月報】關切資安法修法、零信任、CMMC 2.0與資訊作戰，迎向不斷變化的資安威脅考驗</a></h3> </div></div></div>
2025/5/2 12:15作者羅正漢https://www.ithome.com.tw/news/168722
【資安日報】5月2日，思科、Nvida等多家業者在RSAC 2025推出AI資安工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球大型資安會議RSA Conference<span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";"> </span>2025於4月28日至5月1日在美國舊金山舉行，這段期間科技大廠及資安業者紛紛推出AI資安工具，相當熱鬧。</p> <p>其中，包含Google的<a href="https://www.ithome.com.tw/news/168645">新款AI資安代理與次世代自動化Agentic SOC</a>、Cisco推出的開放<a href="https://www.ithome.com.tw/news/168645">AI資安模型Foundation AI Security</a>、Nvidia<a href="https://www.ithome.com.tw/news/168654">強化AI資料運作中心安全的DOCA Argus框架</a>、Palo Alto Networks發表的<a href="https://www.ithome.com.tw/news/168652">Prisma AIRS AI安全管理平臺</a>。巧合的是，Meta也在這段期間<a href="https://www.ithome.com.tw/news/168715">開源多項Llama安全護欄工具</a>。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168724"><strong style="font-size: 22px;">蘋果警告超過100個國家的iPhone用戶已遭間諜軟體鎖定</strong></a></p> <p>根據新聞網站TechCrunch及The Guardian報導，蘋果本周寄發通知，警告100多個國家的iPhone用戶已面臨政府間諜軟體攻擊風險。</p> <p>其中一名用戶為義大利調查新聞媒體Fanpage記者Ciro Pellegrino，另一個是荷蘭社會運動人士Eva Vlaardingerbroek。蘋果告知偵測到針對用戶iPhone的精準傭兵間諜軟體（Mercenary Spyware）。蘋果說雖然不是絕對肯定，但對偵測結果有高度信心，請用戶不要掉以輕心。Pellegrino引述蘋果表示，該訊息已發送給100個國家受影響的用戶。</p> <p>The Guardian報導提及，Pellegrino是義大利今年被傭兵間諜軟體鎖定的第6人。今年二月同家媒體總編Francesco Cancellato也收到WhatsApp通知。The Guardian報導，受害者iPhone感染的間諜軟體來自以色列公司Paragon Solutions，其他被傭兵間諜軟體鎖定者，還包括援救難民的神父及人權運動人士。</p> <p><a href="https://www.ithome.com.tw/news/168720"><strong style="font-size: 22px;">吉隆坡國際機場3月遭遇攻擊，勒索軟體Qilin聲稱是他們所為</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Malaysia-Airports-Holdings-ransomware-claim-via-Qilin.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Malaysia-Airports-Holdings-ransomware-claim-via-Qilin.jpg" style="width: 300px; float: right;" /></a></p> <p>3月25日馬來西亞機場及馬來西亞國家網路安全局（NACSA）發布聯合聲明，證實吉隆坡國際機場（KLIA）特定電腦系統於3月23日遭遇網路攻擊。近期有駭客組織出面，宣稱這起事故是他們所為。</p> <p>根據4月28日科技新聞網站Comparitech的報導，勒索軟體駭客組織Qilin將馬來西亞機場控股公司（Malaysia Airports Holdings Berhad，MAHB）列為受害者，並號稱從中竊得超過2 TB資料並公開。Comparitech提及，駭客偷到的資料，就是來自吉隆坡國際機場，而這是Qilin首度對交通運輸產業下手的情形。</p> <p>附帶一提的是，Comparitech提到MAHB首長曾透露駭客向他們勒索1千萬美元，但MAHB拒絕妥協。</p> <p><a href="https://www.ithome.com.tw/news/168714"><strong style="font-size: 22px;">駭客論壇BreachForums因使用舊版軟體元件遭駭</strong></a></p> <p>知名駭客論壇BreachForums上周遭到不明人士駭入下線，原因是用了有漏洞的舊版軟體。</p> <p>BreachForums是許多駭客公告或兜售駭得的企業重要資料或程式碼的地下論壇。4月15日BreachForums突然關閉，引發可能遭到警方查緝及管理員被捕等傳言。其創辦者Conor Brian Fitzpatrick（ID為Pompompurin），他在2021年駭入美國聯邦調查局（FBI）郵件系統偽冒信件闖出名號。此人於2022年創立的BreachForums，成為英語世界最大的地下論壇，成員高達34萬。2023年他在美國政府查緝行動中被捕後，BreachForums管理權伴隨網站被當局查封而幾經易主。</p> <p>根據Cybernews和SecurityAffairs報導，BreachForums在今年4月15日前後遭遇安全事故斷線，當時的管理員Anastasia試圖重啟失敗。4月29日一名成員Momondo發文宣稱是最新管理員，並解釋斷線原因。他表示BreachForums因為底層軟體MyBB為有漏洞的過期版本，出現了PHP零時差漏洞，由於未能安裝新版，可能遭到第三方組織或是執法機關存取。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/hackers-abuse-ipv6-networking-feature-to-hijack-software-updates/">中國駭客濫用IPv6發動對手中間人攻擊，挾持軟體更新散布惡意程式</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/malicious-pypi-packages-abuse-gmail-websockets-to-hijack-systems/">惡意NPM套件濫用Gmail及WebSocket挾持開發者電腦</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/wordpress-plugin-disguised-as-a-security-tool-injects-backdoor/">惡意軟體佯裝資安工具入侵WordPress網站</a></strong></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://cybersecuritynews.com/chrome-136-released/">Chrome 136修補存在長達20年的隱私弱點</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/docker-registry-vulnerability/">macOS版Docker存在漏洞，攻擊者有機會透過任意機碼繞過身分驗證</a></strong></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168696"><strong style="font-size: 22px;">Cisco釋出首款開放權重資安大語言模型，助力AI資安維運與防護</strong></a></p> <p>Cisco在RSAC 2025上，宣布推出首款開放AI資安模型Foundation AI Security，Cisco執行副總裁暨產品長Jeetu Patel表示，這是Cisco新成立的Foundation AI團隊針對資安領域應用所推出的第一個大語言模型，Cisco將以開放權重的方式釋出模型，協助資安人員更容易將AI應用於資安分析、維運與防護等工作。</p> <p>本次推出的Foundation AI Security基礎語言模型（Foundation-Sec-8B），是以Llama-3.1-8B為基礎，挑選資安領域文本資料進行持續預訓練，擁有80億個參數。Patel指出，訓練資料的類型涵蓋資安情資報告、弱點漏洞資料庫、資安事件應變處理文件與相關資安標準等，最後從高達9000億個Token的資料量中篩選出最適合的50億個Token進行訓練。</p> <p>Cisco指出，Foundation AI Security模型主要針對三大資安應用場景進行最佳化，包括資安營運中心（SOC）作業加速，可提供自動化資安事件分類、資安事件摘要生成、案件記錄撰寫及證據蒐集；提升主動式威脅防禦，如模擬攻擊情境、漏洞優先排序、攻擊手法（TTPs）映射與模擬攻擊者行為；以及提供資安建議、配置驗證、合規評估，協助提升整體資安態勢。</p> <p><a href="https://www.ithome.com.tw/news/168654"><strong style="font-size: 22px;">強化AI資料中心即時威脅偵測，Nvidia推出DOCA Argus</strong></a></p> <p>Nvidia宣布推出DOCA Argus資安框架，目的在於強化人工智慧資料中心，對運算節點的即時威脅偵測與反應能力。此框架建立於Nvidia BlueField DPU平臺之上，主打無代理設計，可直接在DPU上執行記憶體鑑識與異常分析，提供即便是在主機遭入侵也能持續運作的防護機制，特別針對容器化與多租戶人工智慧環境進行最佳化。</p> <p>DOCA Argus屬於Nvidia DOCA軟體架構的一部分，與Morpheus資安人工智慧框架及Nvidia AI Enterprise軟體堆疊整合，具備在人工智慧工作負載執行期間，即時辨識記憶體中可疑活動與特徵樣態的能力。其資料路徑偵測與分析功能，針對模型推論節點可能出現的異常行為，藉由與SIEM、XDR、SOAR系統的整合，實現自動化事件回應與威脅緩解。</p> <p>與傳統依賴主機端代理程式的解決方案不同，Argus直接運作於基礎設施層，攻擊者難以察覺，且不占用主機CPU或記憶體資源，對高效能人工智慧訓練與推論作業影響極低。官方表示，其偵測速度較傳統無代理方案快上千倍，有助於縮短回應時間並減少誤報。</p> <p><a href="https://www.ithome.com.tw/news/168684"><strong style="font-size: 22px;">數發部與玉山金控聯手成立防詐實驗室，以跨業合作試驗防詐聯防技術</strong></a></p> <p>數發部進一步深化科技防詐策略，在金管會見證下，4月30日與玉山金控成立防詐實驗室，首波由玉山金控、中華郵政、中信金控、金融科技產業聯盟、Google Cloud及Line加入，未來該實驗室將在數發部協助下，建立跨部會、跨領域科技防詐聯防機制。</p> <p>數發部長黃彥男表示，數發部推動防詐，過去在網路詐騙做了許多努力，在金流阻詐方面，2023年補助金融業者發展AI防詐鷹眼系統，促成公私合作共同組成「鷹眼識詐聯盟」，今年進一步支持玉山金控、金融科技產業聯盟成立防詐實驗室，希望運用新技術，提高對異常交易、高風險帳戶的偵測識別能力，以防阻詐騙行為。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/168681"><strong>【4月30日】韓國電信業者SKT資料外洩出現進展，該公司將為用戶換發SIM卡</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168660"><strong>【4月29日】1千多臺SAP NetWeaver伺服器傳出遭遇滿分漏洞攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168639"><strong>【4月28日】SAP、Commvault修補風險達到10分的重大層級漏洞</strong></a></p> </div></div></div>
2025/5/2 14:37作者周峻佑https://www.ithome.com.tw/news/168725
【臺灣資安大會直擊】API資安威脅成挑戰，富邦金建立六項機制管控API安全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>金管會自2019年起推動開放銀行，讓金融機構可透過Open API方式，和第三方服務業者合作共享金融數據，發展更多創新金融服務。不過，當API成為了系統間交換數據與服務的重要橋樑，卻也帶來了資料外洩、服務中斷等資安風險。「API是一個橋梁，當這個橋梁開啟，等於開了一個口。」富邦金控資安長蘇清偉在臺灣資安大會中強調控管API的重要性。</p> <h3>API面臨的威脅和挑戰</h3> <p>蘇清偉提到，企業管理API時，主要面臨三大威脅與挑戰。第一種挑戰，企業可能因多種因素導致API脫離管控，例如已經棄用卻仍被使用的殭屍API，或是正在使用但未受企業管理的影子API，又或是鮮少使用導致企業遺忘的API。這些不受管控和保護的API，都會產生不可見的風險。</p> <p>第二種挑戰，是資料外洩風險。企業常透過API進行資料傳遞，然而，API端點配置不當或採用未加密的資料傳輸方式，可能導致機敏資料外洩。第三種挑戰，是難以偵測、發現的API攻擊行為，因為駭客可以透過合法管道掩護非法行為，潛入企業內部伺機行動。</p> <h3>六項機制管控API安全</h3> <p>面臨這些API管控威脅和挑戰，財金公司曾修訂Open API規範，增訂三項金融業者應遵循的必要措施，分別是，第一，金融機構應建立API盤點機制，對網際網路有開啟服務的API，也應建立認證機制，並針對API設計和安全建立妥適的防禦機制。第二，金融機構傳輸內容若涉及機敏資料，要建立端點對端點的加密機制。最後，API在上線前，或API系統架構異動，又或是API既有功能異動時，金融機構需要依照OWASP公布的Top10 API Security Risks項目辦理並通過檢測，且由資安專責單位確認完成改善。</p> <p>除了遵照這些規範管理API，富邦金控也額外建立六項機制，來管控API安全性。並且，富邦金控子公司皆遵循這些機制。蘇清偉表示，第一項機制，是將API文件標準化，他們會規範要使用JSON或YAML格式來描述API的結構和行為，並採用OpenAPI Specification作為API文件標準。「定義清楚後，往後才更容易處理API維運工作。」蘇清偉強調。</p> <p>第二項機制，是自動化產生API文件。利用OpenAPI規範文件，自動生成API文件，並隨著API版本迭代自動產生文件，讓文件永遠保持在最新版本。第三項是透明化機制，建立清晰的API文件讓開發人員能快速上手，減少反覆溝通的時間成本，並且，當API發生錯誤時，讓開發人員能快速釐清問題。</p> <p>蘇清偉解釋，API管理生命周期涵蓋了從API的構思、設計、開發、測試、部署，到維運的過程，而富邦金控內部會將資安措施列入SOP文件，讓IT人員在開發、設計API時，就遵循資安規範，避免後續檢測才發現問題。例如，他們在文件中列出了遵循OWASP Top10 API Security Risks訂定的設計標準、設定說明、設計場景、設計要點和測試要點，供IT人員參考每個要點對應的解決方案。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/C50F45EA-FD8E-47C6-8D18-AC0A1EF8769F.jpg" style="width: 600px;" /></p> <blockquote><p>富邦在文件中列出了遵循OWASP Top10 API Security Risks訂定的設計標準、設定說明、設計場景、設計要點和測試要點。</p> </blockquote> <p>在上架Open API前，富邦金控內部會要求業務單位會同資安單位進行各項風險評估作業，並建立通報機制留存評估紀錄，避免下架API帶來的影響。而在API上架時，他們會先區分出API屬於Open API或是內部使用等類型，再界定API的風險程度。若API屬於Open API，則需上架至API管理平臺。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/E30F7D77-9D0D-4845-8038-4A3B4AD6D6B7.jpg" style="width: 600px;" /></p> <blockquote><p>富邦金控也<span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">針對API上下架</span>訂定了處理機制。</p> </blockquote> <p>當後續要下架Open API時，蘇清偉強調，務必要按照規定下架，避免產生被遺忘的API。富邦金控的作法是，資訊單位向業務單位確認API已無運作需求後，由資訊單位提前公告API預定下架日期，並通知受影響的單位和後續相關配合事項。最後，資訊單位也要留存下架過程的完整紀錄。「資安實踐像Case by Case，每一個Case都要到位。」蘇清偉最後強調，無論是哪一項科技技術，都應該落實盤點動作，並且評估可能發生的威脅、可供參考的資料和解決方案，最後不斷檢視既有做法。</p> <p></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/8215A9F3-E483-4894-BB02-E74A7FEB9C41.jpg" style="width: 600px;" /></p> <blockquote><p dir="ltr" style="line-height:1.38;margin-top:0pt;margin-bottom:0pt;"><span id="docs-internal-guid-f8aca6ea-7fff-1bd7-2ba1-2f9cd0d897da"><span style="font-size: 11pt; font-family: Arial, sans-serif; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; font-variant-emoji: normal; vertical-align: baseline; white-space-collapse: preserve;">在富邦的API管理架構中，WAF作為重要角色，能對進出網路應用程式的流量進行檢查過濾、監控和阻斷，並針對攻擊特徵碼進行防範，找出已知存在的惡意行為。WAF後方則部署API Security模組，即時監控和檢視API威脅事件、針對API資料流進行解析，並建立完整可視性的API清單。</span></span></p> </blockquote> <p dir="ltr" style="line-height:1.38;margin-top:0pt;margin-bottom:0pt;"> </p> </div></div></div>
2025/5/2 15:15作者李昀璇https://www.ithome.com.tw/news/168669
Commvault公布被用於攻擊Azure環境的零時差漏洞細節
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年3月老牌備份軟體領導廠商Commvault表示，<a href="https://www.commvault.com/blogs/security-advisory-march-7-2025">他們2月20日接獲微軟的通報</a>，得知有國家級駭客在Azure環境從事未經授權的活動，經過初步調查後確認有部分用戶受到影響，駭客利用了一項零時差漏洞而得逞，如今該公司公布後續的調查結果。</p> <p>4月27日Commvault表示，<a href="https://www.commvault.com/blogs/notice-security-advisory-update">經過他們進一步調查</a>，確認客戶備份的資料並未遭到未經授權存取，這起事故也沒有對該公司業務營運和交付產品、服務造成重大影響。Commvault與兩家資安業者、有關當局緊密合作，聯手因應此事。</p> <p>該公司也更新前述零時差漏洞的<a href="https://documentation.commvault.com/securityadvisories/CV_2025_03_1.html">資安公告</a>，指出這項弱點已被登記為CVE-2025-3928列管，CVSS風險評為8.7，並指出若不處理，攻擊者有機會用來部署Web Shell，並損害網頁伺服器。美國網路安全暨基礎設施安全局（CISA）於4月28日，<a href="https://www.cisa.gov/news-events/alerts/2025/04/28/cisa-adds-three-known-exploited-vulnerabilities-catalog">將該漏洞納入已遭利用的漏洞列表（KEV）</a>。</p> <p>此漏洞影響CommServe、Web Server、Command Center元件，不影響用戶端電腦，他們已發布11.36.46、11.32.89、11.28.141、11.20.217版進行修補。值得一提的是，Commvault也提及這項弱點影響SaaS用戶的情況，他們已為用戶套用相關修補程式。</p> <p>附帶一提的是，Commvault也在最佳實務的知識庫文章裡，提供了<a href="https://kb.commvault.com/article/87661">入侵指標（IoC）</a>，並指出管理員應將他們提供的IP位址加入黑名單，除透過政策封鎖，也要在Azure的登入事件記錄進行監控。</p> <p>由於Commvault最近才公布另一個CVSS風險評為10分資安漏洞<a href="https://www.ithome.com.tw/news/168623">CVE-2025-34028</a>，使得該備份軟體的安全引起外界高度關注。雖然CVE-2025-3928被列為高風險，但已有攻擊行動且似乎仍在發展，後續情形有待觀察。</p> </div></div></div>
2025/5/2 12:17作者周峻佑https://www.ithome.com.tw/news/168723