iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 12篇
近 24 小時: 36篇
近 7 天: 132篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/10
最近更新: 11/10 10:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 132 篇內文

4
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【理論很美，現實很「硬」】企業資安框架落地的五階段實戰指南
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/0509-li_lun_hen_mei_xian_shi_hen_ying_-960-jpg-2.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>想像一下這個情境：資安部門剛向CEO展示完華麗的資安報告，半個月後卻遭遇勒索軟體攻擊，員工手忙腳亂，系統陷入癱瘓……，這不是個別案例，而是當下企業資安的普遍現象。因為推動資安強化，理論與實務往往存在著鴻溝，主要表現在三大落差：人才、工具、執行。</p> <p>有位資安同業曾半開玩笑地說：「企業資安就像健身房會員，買了會員卡很興奮，但真正堅持鍛鍊的人少之又少。」許多企業購買了各種資安產品和服務，卻沒有把它們融入日常營運。如何破解這個困局？答案就在於「把理論變為行動」。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>思路轉換：從「合規導向」到「風險導向」</strong></span></span></p> <p>許多企業視ISO 27001等認證為資安工作的終點，忙於完成各項檢核表，卻忽略了真正的防護能力建設。一位製造業CIO的經歷，代表了許多企業的共同困境：「直到一次嚴重事件後，我們才意識到資安要處理的是『風險』，而非僅止於文件合規」。企業需要在思維上，做出下列三個關鍵轉變：</p> <p>● 從「我們做了什麼」變成「我們做得怎麼樣」</p> <p>● 從「有沒有達標」轉向「能不能真的防禦」</p> <p>● 從「靜態的檢查」走向「動態的保護」</p> <p>像是NIST CSF 2.0（美國國家標準與技術研究院網路安全框架，2024年3月更新的版本）就新增了「治理」功能，特別強調高層參與的重要性。這不只是技術的升級，更是對企業管理的一種溫柔提醒——資安已經是經營核心的一部分，就像為企業這輛車裝上了方向盤，讓它在資安的旅途上跑得更穩。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>資安成熟度：幫助企業資安自我定位的GPS</strong></span></span></p> <p>出發去旅行前，我們會先看地圖，搞清楚自己站在哪裡，對吧？資安也是如此，在大刀闊斧地建設之前，先摸清自己的底細，才能走得順。NIST CSF把資安成熟度分成四個層次，幫我們定位：Tier 1（部分）、Tier 2（風險知情）、Tier 3（可重複）、Tier 4（自適應）。</p> <p>比如說，當企業被問到在「保護」、「偵測」和「回應」各功能領域分別處於哪個成熟度層級？是否存在明顯落差？是否可以做出客觀答覆？一位金融機構的資安長曾感慨：「我們在『保護』這塊可能算得上Tier 3，但『偵測』和『回應』卻還在Tier 1晃蕩。這就像家裡裝了頂級警報器，卻不知道鈴響了該怎麼辦。」找到自己的位置，就像拿著一面鏡子，誠實面對，才能知道下一步往哪走。</p> <p><strong style="text-align: center; font-size: 28px; color: rgb(178, 34, 34);">從哪些開始著手？端點安全是絕佳切入點</strong></p> <p>面對龐大的資安挑戰，許多企業不知從何下手。就像一個龐大的修繕工程，應該先從地基開始，而不是急著粉刷牆面。在企業資安中，「端點安全」正是這一地基。根據2024年的威脅分析顯示，超過80％的企業資安風險與端點設備直接相關，為何攻擊者選擇端點安全作為突破口？原因很簡單：</p> <p>1.攻擊者的首選目標：大多數攻擊從端點入手，如釣魚郵件、惡意軟體等。</p> <p>2.快速見效：改善後能迅速展現可量化成果。</p> <p>3.基礎性防護：為後續網路和數據安全奠定基礎。</p> <p>一家準備上市的科技公司在遭遇ERP主機的資安事件之後，才驚覺原來自認做好的端點防護其實只有防毒，卻有三個大窟窿、始終不自覺：沒能監控異常行為、回應能力弱、漏洞修補總是拖延。而這種情況的存在，就像一個家庭安裝了門鎖，卻從不上鎖，或者門壞了很久，也不修理。因此，想要解決端點安全問題，就是把最基本、最關鍵的防線先做確實。</p> <hr /> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0509-%E7%90%86%E8%AB%96%E5%BE%88%E7%BE%8E%E7%8F%BE%E5%AF%A6%E5%BE%88%E7%A1%AC-600-1(1).png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>透過vCISO虛擬資安長系統能夠將不同的資安框架融合，並以可視化極具象化的方式提供企業更加清晰的資安狀態審視，幫助決策者的維度思考。</strong><span style="font-size: 14px;">圖片來源／Cynomi</span></span></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>五階段模型：從紙上談兵到實戰防禦</strong></span></span></p> <p>基於眾多企業的實踐經驗，我們提出了「五階段資安落地模型」，幫助企業將框架理論轉化為實際防護能力，依序為：共識建立、現狀檢視、規畫、執行、優化。</p> <p><strong style="color: rgb(51, 102, 255);">第一階段：共識建立，讓大家說同一種語言</strong></p> <p>資安建設最大的障礙往往不是技術，而是認知差距。一家電子商務企業專案經理形容：「我們的管理層談風險與成本，技術團隊談威脅與漏洞，兩方像是在用不同語言交流。」</p> <p>這階段的重點工作是：</p> <p>● 管理層與技術團隊共同參與資安的培訓</p> <p>● 將技術語言轉化為業務語言</p> <p>● 建立資安目標的共識與期望管理</p> <p>成功訣竅：用生動案例而非抽象概念溝通。與其說：「我們需要端點偵測回應系統」，不如說：「這套系統能讓我們在駭客入侵初期就發現並阻止，而不是等到資料被加密勒索後才發現。」</p> <p>階段成功指標：</p> <p>1.管理層能正確解釋關鍵資安指標的業務意義</p> <p>2.技術團隊能夠用業務語言表達資安的需求。</p> <p><span style="color:#3366ff;"><strong>第二階段：現實檢視，照妖鏡vs美顏相機</strong></span></p> <p>很多企業的資安評估像是用美顏相機自拍，看起來不錯，但與現實差距甚遠。真正有效的評估，應該像照妖鏡，揭示出所有不為人知的問題。</p> <p>許多企業經過全面評估之後，才發現：「我們有防毒軟體和防火牆，但實際上像是有鎖卻不關門，員工常常關閉防毒軟體以提高電腦速度，而且，防火牆規則多年未更新。」</p> <p>有效的評估，應該包含這些項目：</p> <p>● 端點防護實際效能測試（不只是安裝率）</p> <p>● 漏洞掃描與滲透測試</p> <p>● 人員資安意識抽樣調查</p> <p>● 資安流程實際執行情況檢視</p> <p>成功訣竅：好的評估不是為了證明你做得有多好，而是找出哪裡可以做得更好。</p> <p>階段成功指標：</p> <p>1.發現至少5個之前未意識到的重大資安缺口</p> <p>2.獲得具體可量化的改進基準。</p> <p><span style="color:#3366ff;"><strong>第三階段：精準規畫，不是買越多越好，而是買對的</strong></span></p> <p>「我們需要更好的資安產品！」這句話常常導致預算浪費，購買了一堆用不上或用不好的工具。精準規畫就是把有限資源用在刀刃上。</p> <p>一家中型物流企業的CIO提到：「我們過去的資安投資就像囤貨，買了很多產品卻沒有統一規畫。現在我們採取重點突破策略，先從端點安全入手，再逐步擴展。」</p> <p>有效的策略規畫，應考慮這些項目：</p> <p>● 基於風險評估的優先順序</p> <p>● 人員、流程、技術三維平衡</p> <p>● 分階段實施路線圖</p> <p>● 明確的資源需求與成功指標</p> <p>成功訣竅：一個好的規畫並不是越複雜越好，而是越實際越好。專注於最關鍵的幾個點，確保能夠真正實施，並且產生效果。</p> <p>階段成功指標：</p> <p>1.建立清晰的資安投資優先順序</p> <p>2.為每一項投資，設定具體的預期效益指標。</p> <p><span style="color:#3366ff;"><strong>第四階段：落地實施，再好的計劃也需要執行</strong></span></p> <p>我們深知「計劃趕不上變化」，在資安領域尤其明顯，但是很多企業往往追求制定詳盡計劃，卻在實施階段遇到各種阻力。關鍵是小步快跑，讓每一步都落地。</p> <p>一家醫療機構的IT主管分享了他們的經驗：「我們曾經自建24小時監控中心，並做了許多詳盡規畫，但這對我們來說不現實，所以我們轉換思考選擇了MDR方式，不僅能迅速建立了全天候的監控能力，同時內部團隊可以專注於其他工作。」</p> <p>MDR（Managed Detection and Response，委外託管偵測與回應服務）整合了先進的端點安全技術與專業團隊支援，能迅速提升企業安全能力。市場研究顯示，採用MDR服務的企業平均可將資安事件發現時間縮短80%，處理時間減少65%。</p> <p>實施階段的關鍵成功因素，包括：</p> <p>● 分步驟推進，先小範圍試點再擴大</p> <p>● 技術部署、流程整合與人員培訓，三管齊下</p> <p>● 持續溝通與期望管理</p> <p>● 及時記錄成效與經驗教訓</p> <p>成功訣竅：再好的工具也需要熟練的使用者和清晰的流程。就像給廚師配備高級刀具，若不懂得如何使用，依然無法做出好菜。</p> <p>階段成功指標：</p> <p>1.按計畫完成至少70%的實施項目</p> <p>2.核心資安指標有明顯改善。</p> <p><span style="color:#3366ff;"><strong>第五階段：持續優化，資安不是目的地，而是旅程</strong></span></p> <p>很多企業把資安視為一次性專案，卻忽略了資安是一場無限賽局，需要不斷地持續調整與優化。一位金融業資安主管分享了他們的方法：「我們每季度會回顧資安狀態，評估新出現的威脅，調整防護策略。這就像健康檢查，定期進行才能及時發現問題。」</p> <p>持續改進的機制，包括：</p> <p>● 定期的資安狀態審視與威脅評估</p> <p>● PDCA（計畫—執行—檢查—行動）循環管理</p> <p>● 資安績效指標追蹤與分析</p> <p>● 團隊能力持續培養與提升</p> <p>成功訣竅：從被動應對轉向主動管理，建立威脅獵捕、漏洞管理和風險評估的常態機制。</p> <p>階段成功指標：</p> <p>1.建立資安儀表板自動監控關鍵指標</p> <p>2.每個季度完成一次全面的資安狀態審視。</p> <p><span style="color:#3366ff;"><strong>案例說明：從數字看真相</strong></span></p> <p>理論很美，但實際效果如何？一家50人規模的軟體新創公司採用五階段模型並導入MDR服務，以半年（6個月）為目標期程，我們可以具體看到成效，藉由指標量化不僅證明方法的有效性，也為後續的資安投資，提供有力的支持。</p> <p>該企業的資安負責人坦言：「技術部署相對容易，真正的挑戰在於流程整合和文化建設。」常見的持續挑戰，包括：業務部門對資安措施的抵觸、資安流程與業務流程的整合困難、新興威脅的不斷演變。</p> <p>不過，在漸進式的過程中，能夠先在關鍵領域取得成果，建立信心和支持，再逐步擴展至更廣泛的資安建設。</p> <p>最重要的是，當企業通過定期分享可量化的安全改善指標，能夠讓管理層和業務部門直觀感受資安投資的價值，而對於企業資安任務的推動，也更能理解與支持。</p> <hr /> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0509-%E7%90%86%E8%AB%96%E5%BE%88%E7%BE%8E%E7%8F%BE%E5%AF%A6%E5%BE%88%E7%A1%AC-600-2(1).png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>企業資安需從理論轉為可執行的行動，透過五階段模型（共識建立、現狀檢視、規畫、執行、優化），讓資安成為業務策略的一部分。</strong></span></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0509-%E7%90%86%E8%AB%96%E5%BE%88%E7%BE%8E%E7%8F%BE%E5%AF%A6%E5%BE%88%E7%A1%AC-600-3(1).png" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><strong>持續提升資安防護效率，策略與實施都是關鍵，以NIST CSF 2.0為核心指導原則，結合CDM矩陣的系統性評估工具，輔以MDR專業服務的外部支援。三者相輔相成，可形成從「規劃—評估—執行」的閉環管理模式。</strong></span></p> <hr /> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>從「紙上兵法」到「實戰高手」</strong></span></span></p> <p>資安威脅是場無限賽局，企業不可能一勞永逸解決所有問題。正如孫子兵法所言：「上兵伐謀」，聰明的資安策略並不是與攻擊者比拼資源，而是破解其計謀。尤其面對日益複雜的先進網路威脅，企業資安須邁向「實戰層面」，並且將資訊安全（Information Security）提升到網宇安全（Cyber Security）。</p> <p>NIST CSF與CDM這些優秀框架提供了清晰的指引，但真正的價值在於將它們融入企業日常運營。就像地圖再精確，不跟著走，也無法到達目的地。（<a href="https://www.ithome.com.tw/article/163232" target="_blank"><span style="color:#3366ff;">延伸閱讀：《2024臺灣資安年鑑》〈</span></a><a href="https://www.ithome.com.tw/article/163232" target="_blank"><span style="color:#3366ff;">謀定而後動，善用資安框架是上上策</span></a><a href="https://www.ithome.com.tw/article/163232" target="_blank"><span style="color:#3366ff;">〉</span></a>）</p> <p><span style="text-align: center;">的確！資安不該是紙上談兵！許多企業擁有完善的政策文件，卻未能確保落實執行。有效的資安防護需要「說、寫、做」保持一致——管理層的承諾、書面政策與實際行動，必須相互呼應，並且通過PDCA循環持續改進。從合規檢查的形式主義，轉向實質性防護，才能真正提升企業韌性。</span></p> <p>在資源有限的現實下，善用外部力量是明智之舉。例如，尋求MDR專業服務，能彌補內部專業的不足，而近期AI技術應用，也可以大幅提升資安處理的效率。事實上，面對不斷進化的威脅，如果採取保守心態，只會讓企業在防護能力上，落後一步。適當地「借力使力」，能夠以更經濟的方式，建立全面的防護網。</p> <p>資安已從技術議題演變為企業核心競爭力。當框架從理論知識轉化為組織文化，企業才能在數位信任時代立於不敗之地。畢竟，最有價值的資產不僅是數據本身，更是客戶對品牌的信任與忠誠。</p> <p>從資安框架到實際防護能力的轉變，不是一蹴而就的過程，而是需要持之以恆的努力。因為每一次的小進步，都是通往資安成熟企業的重要一步。正如那句老話：「千里之行，始於足下。」<strong>文⊙懷生數位產品發展處處長黃繼民</strong></p> <p> </p> <p><span style="color:#FFFFFF;"><span style="font-size:28px;"><strong><span style="background-color:#3366ff;">　資安框架理論與現實的三大差距　</span></strong></span></span></p> <p><span style="font-size:20px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3366ff;"> 落差類型 </span></span> <span style="color:#3366ff;">人才落差</span></strong></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#000000;"> 現實情況 </span></span> 我們有三個資安專家……，其實是IT同事兼職</strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#000000;"> 問題本質 </span></span> 面對全職駭客，企業用兼職人員應對，戰場不對等</strong></p> <p><span style="font-size:20px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 102, 255);"> 落差類型 </span></span> <span style="color:#3366ff;">工具落差</span></strong></span></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 0);"> 現實情況 </span></span> 購買了十幾種資安產品，卻沒人知道是否有效</strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 0);"> 問題本質 </span></span> 各式工具像孤島一樣分散在企業內部，難以形成協同防禦</strong></p> <p><span style="font-size:20px;"><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 102, 255);"> 落差類型 </span></span> <span style="color:#3366ff;">執行落差</span></strong></span></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 0);"> 現實情況 </span></span> 我們有完整的資安政策……，但不確定有人遵守</strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 0);"> 問題本質 </span></span> 政策流程停留在紙上，資安演練流於形式，員工對政策一知半解</strong></p> <p><span style="color:#696969;"><span style="font-size:14px;">資料來源：黃繼民，2025年3月</span></span></p> <p> </p> <p><span style="color:#FFFFFF;"><span style="font-size:28px;"><strong><span style="background-color:#8B4513;">　NIST CSF的4個資安成熟度區分　</span></strong></span></span></p> <p><span style="font-size:20px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#8B4513;"> 成熟度層級 </span></span> <span style="color:#8B4513;">Tier 1（部分）</span></strong></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#000000;"> 特徵描述 </span></span> 被動回應，無計畫性</strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#000000;"> 比喻說明 </span></span> 像消防隊，總在火燒眉毛時，才衝出來救火</strong></p> <p><strong style="font-size: 20px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(139, 69, 19);"> 成熟度層級 </span></span> </strong><span style="color:#8B4513;"><span style="font-size:20px;"><strong>Tier 2（風險知情）</strong></span></span></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 0);"> 特徵描述 </span></span> 有初步規畫，執行不一致</strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 0);"> 比喻說明 </span></span> 開始有點計劃，但是還不夠有條理</strong></p> <p><strong style="font-size: 20px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(139, 69, 19);"> 成熟度層級 </span></span> </strong><span style="color:#8B4513;"><span style="font-size:20px;"><strong>Tier 3（可重複）</strong></span></span></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 0);"> 特徵描述 </span></span> 標準化流程，穩定執行</strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 0);"> 比喻說明 </span></span> 有了標準流程，能穩穩地執行</strong></p> <p><strong style="font-size: 20px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(139, 69, 19);"> 成熟度層級 </span></span> </strong><span style="color:#8B4513;"><span style="font-size:20px;"><strong>Tier 4（自適應）</strong></span></span></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 0);"> 特徵描述 </span></span> 持續學習，主動調整</strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 0);"> 比喻說明 </span></span> 像個聰明的學生，懂得學習和調整，主動出擊</strong></p> <p>資料來源：NIST，黃繼民整理，2025年3月</p> <p> </p> <p><span style="color:#FFFFFF;"><span style="font-size:28px;"><strong><span style="background-color:#3366ff;">　五階段資安落地模型的實施成效對比　</span></strong></span></span></p> <p><span style="font-size:20px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#3366ff;"> 改善指標 </span></span> <span style="color:#3366ff;">資安事件偵測時間</span></strong></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#000000;"> 實施前 </span></span> 平均15天</strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#000000;"> 實施後 (6個月) </span></span> 4小時</strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#000000;"> 改善幅度 </span></span> 縮短93%</strong></p> <p><strong style="font-size: 20px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 102, 255);"> 改善指標 </span></span><span style="color:#3366ff;"> </span></strong><span style="color:#3366ff;"><span style="font-size:20px;"><strong>系統漏洞修補率</strong></span></span></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 0);"> 實施前 </span></span> 不到20%</strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 0);"> 實施後 (6個月) </span></span> 80%</strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 0);"> 改善幅度 </span></span> 提升60%</strong></p> <p><strong style="font-size: 20px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 102, 255);"> 改善指標 </span></span> </strong><span style="color:#3366ff;"><span style="font-size:20px;"><strong>資安事件處理時間</strong></span></span></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 0);"> 實施前 </span></span> 平均5天</strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 0);"> 實施後 (6個月) </span></span> 1.5天</strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 0);"> 改善幅度 </span></span> 減少70%</strong></p> <p><strong style="font-size: 20px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(51, 102, 255);"> 改善指標 </span></span> </strong><span style="color:#3366ff;"><span style="font-size:20px;"><strong>員工資安意識培訓完成率</strong></span></span></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 0);"> 實施前 </span></span> 30%</strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 0);"> 實施後 (6個月) </span></span> 85%</strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 0);"> 改善幅度 </span></span> 提升55%</strong></p> <p><span style="color:#696969;"><span style="font-size:14px;">資料來源：NIST，黃繼民整理，2025年3月</span></span></p> <p> </p> <p><span style="color:#FFFFFF;"><span style="font-size:28px;"><strong><span style="background-color:#8B4513;">　實施五階段資安落地模型的挑戰與因應之道　</span></strong></span></span></p> <p><span style="font-size:20px;"><strong><span style="color:#FFFFFF;"><span style="background-color:#8B4513;"> 挑戰類型 </span></span> <span style="color:#8B4513;">整合流程</span></strong></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#000000;"> 挑戰描述 </span></span> 資安流程與業務流程衝突，造成效率降低或規避操作</strong></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#000000;"> 解決策略 </span></span> </strong>●<strong>業務部門參與流程設計 </strong>●<strong>分階段實施 </strong>●<strong>優先簡化高頻流程</strong></p> <p><strong style="font-size: 20px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(139, 69, 19);"> 挑戰類型 </span></span> </strong><span style="color:#8B4513;"><span style="font-size:20px;"><strong>文化建立</strong></span></span></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 0);"> 挑戰描述 </span></span> 員工將資安視為阻礙而非保護，抵制措施執行</strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 0);"> 解決策略 </span></span> </strong>●<strong>提供情境化培訓 </strong>●<strong>建立資安意識激勵機制 </strong>●<strong>高層以身作則</strong></p> <p><strong style="font-size: 20px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(139, 69, 19);"> 挑戰類型 </span></span> </strong><span style="color:#8B4513;"><span style="font-size:20px;"><strong>技術應用</strong></span></span></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 0);"> 挑戰描述 </span></span> 多種資安工具分散使用，未形成協同防禦</strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 0);"> 解決策略 </span></span> </strong>●<strong>強化工具整合 </strong>●<strong>實施自動化流程 </strong>●<strong>建立統一儀表板</strong></p> <p><strong style="font-size: 20px;"><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(139, 69, 19);"> 挑戰類型 </span></span> </strong><span style="color:#8B4513;"><span style="font-size:20px;"><strong>持續演進</strong></span></span></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 0);"> 挑戰描述 </span></span> 新型威脅不斷出現，防護策略需要持續更新</strong></p> <p><strong><span style="color: rgb(255, 255, 255);"><span style="background-color: rgb(0, 0, 0);"> 解決策略 </span></span> </strong>●<strong>建立威脅情報共享機制 </strong>●<strong>定期評估並調整防護策略 </strong>●<strong>參與產業資安社群</strong></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;">資料來源：黃繼民，2025年3月</span></span></p> <hr /> <p><strong style="font-size: 20px;"><a href="https://www.tenlong.com.tw/products/9789860654349?list_name=srh" target="_blank"><span style="color: rgb(51, 102, 255);">本文出自《CYBERSEC 2025 臺灣資安年鑑》</span></a></strong></p> <p><a href="https://www.tenlong.com.tw/products/9789860654349?list_name=srh" target="_blank"><span style="color: rgb(51, 102, 255);"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/2025%E8%B3%87%E5%AE%89%E5%B9%B4%E9%91%91%E5%B0%81%E9%9D%A2.png" style="width: 350px;" /></strong></span></a></p> </div></div></div>
2025/5/9 07:00未署名https://www.ithome.com.tw/article/168487
GeoVision物聯網裝置遭到鎖定，殭屍網路利用已知漏洞滲透
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>殭屍網路綁架老舊連網設備的情況層出不窮，原因是這些產品的供應商已經終止支援（EOL），即使研究人員發現漏洞，廠商往往不會修補，而成為攻擊者能持續利用的標的。</p> <p>例如，近期資安業者Akamai發現的<a href="https://www.akamai.com/blog/security-research/active-exploitation-mirai-geovision-iot-botnet">Mirai殭屍網路變種LZRD攻擊行動</a>，就是典型的例子。研究人員在今年4月，透過蜜罐陷阱察覺LZRD鎖定<a href="https://www.ithome.com.tw/tags/geovision">奇偶科技（GeoVision）</a>物聯網裝置而來，積極利用命令注入漏洞<a href="https://www.twcert.org.tw/tw/cp-132-7883-f5635-1.html">CVE-2024-6047</a>、<a href="https://www.ithome.com.tw/news/166063">CVE-2024-11120</a>。由於這兩項已知的資安漏洞，存在於已終止支援的視訊主機、車牌辨識系統、IP攝影機、DVR設備，因此，奇偶並未對這些產品提供安全性修補，而是呼籲用戶更換設備，但看在攻擊者眼裡，上述狀況卻是可乘之機。</p> <p>這兩個弱點<a href="https://dlcdn.geovision.com.tw/TechNotice/CyberSecurity/Security_Advisory_IP_Device_2024-11.pdf">都是命令注入漏洞</a>，起因是在特定的功能當中，對於使用者輸入不當過濾造成，未經身分驗證的攻擊者有機會遠端觸發漏洞，並於目標裝置注入並執行任意系統命令，CVSS風險皆達到9.8分。CVE-2024-6047於去年6月揭露，由國家資通安全研究院發現及通報，影響超過20款設備；另一個漏洞CVE-2024-11120，則由Shadowserver基金會於11月通報，當時已有攻擊行動出現。</p> <p>不過，研究人員強調，奇偶設備並非唯一被鎖定的產品，還包括臺廠永恒數位通訊科技（Digiever）<a href="https://www.ithome.com.tw/news/166652">網路視訊監視設備（NVR）DS-2105 Pro</a>、<a href="http://github.com/stasinopoulos/ZTExploit/tree/master/ZTExploit_Source">中國</a><a href="https://github.com/stasinopoulos/ZTExploit/tree/master/ZTExploit_Source">中興（ZTE）路由器ZXV10 H108L</a>、<a href="https://www.ithome.com.tw/news/123090">韓國Dasan Networks旗下的GPON路由器</a>，以及Hadoop YARN，攻擊者都利用這些設備的已知漏洞下手。</p> </div></div></div>
2025/5/8 17:08作者周峻佑https://www.ithome.com.tw/news/168841
最新國家資通安全發展方案出爐! 未來4年將以4策略強化我國資通安全韌性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>行政院今天（5/8）召開院會會議，數發部報告第七期國家資通安全發展方案（2025年到2028年），未來4年政府將以4大策略，包括全社會資安防禦、提升關鍵基礎設施資安韌性、壯大我國資安產業、AI新興資安科技應用與合作，來強化國家資通安全。</p> <p>行政院長卓榮泰表示，資安即國安，為因應新型態的資安威脅，以及AI等新興科技帶來的挑戰，政府各部會將依照方案訂定計畫，強化我國資安防護網。他也請數發部依照今年「國家資通安全戰略2025」願景，依第七期國家資通安全發展方案推動策略，打造民眾信賴的全社會資安防禦體系。</p> <p>數發部資安署長蔡福隆表示，第七期的國家資通安全發展方案（2025年到2028年），目前已申請科技計畫及公建計畫經費共88億元，未來各部會可在依配合方案的計畫需求再申請相關的經費補助。</p> <p>第七期國家資通安全發展方案方案的核心價值為建構信賴安全的數位社會，未來將整合政府、產業、人才三個方面的資源及力量，其中在產業方面，包括提升數位產品的信賴、擴大國內的資安產業規模；在政府方面，完善相關的國家應變機制，建立CI的防禦體系、強化資安治理能力；在人才方面，培育高階資安人才、提升全民的資安職能意識，更重要的是公私的聯防，以強化供應鏈安全面對資安的嚴峻挑戰。</p> <p><span style="color:#B22222;"><strong>3大目標、4大行動策略：</strong></span></p> <p>在建構信賴安全的數位社會的願景之下有3大目標，包括強化全社會資安防禦韌性、豐富資安產業生態系，以及運用新興科技防禦技術，方案還提出4大行動策略，包括全社會資安防禦、提升關鍵基礎設施資安韌性、壯大我國資安產業、AI新興資安科技應用與合作。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%96600(1).jpg" style="width: 600px; height: 323px;" /></p> <p>蔡福隆指出，加強全社會的資安防禦，包含針對重大資安事件，完善國家資安應變機制，建立完善的SOP及相關技術人力調度支援，並且要熟悉演練作業流程，此外，也會推動全民資安意識的普及，涵蓋對原住民及新住民的資安教育推廣，也會透過訓練課程來培育政府機關的資安人才。</p> <p>在關鍵基礎設施方面，培養關鍵基礎設施的技術人才，加強對工控系統的資安檢視及監控，以確保CI的安全；為壯大資安產業規模，包括幾項作法，強化政府採購供應鏈的風險管理，以及將推動資通產品檢測制度、評鑑，也會擴大資安產業的需求及供給擴大產業規模，並鼓勵發展自主的資安技術、產品，以及對國外輸出。</p> <p>AI新興科技的發展相當快速，目前駭客已運用AI在資安攻擊，政府也計畫運用AI強化資安防禦，例如運用AI監控預警，以應對駭客的新興攻擊。</p> <p><span style="color:#B22222;"><strong>未來4年推動成果</strong></span></p> <p>蔡福隆表示，最新一期國家資通安全發展方案為我國資安發展的重要里程碑，預期未來4年的成果，包括培育政府約1,500位儲備資安人才；強化我國的關鍵基礎設施資安防禦縱深，推動CI深度的資安檢測至少達到6個領域，包括能源、水資源、交通、通傳、衛福、金融。另外，擴大國內資安產業發展，未來期望產值能達到1,200億元。</p> <p>至於運用AI在政府機關的資安防禦的成果，蔡福隆表示，AI將用於自動化分析資安情資，政府骨幹網路部署AI主動防禦機制，例如運用生成式AI追蹤並串連駭客入侵的軌跡、提出預警，其次，運用AI檢視相關的日誌，可能從中觀察到更深入的攻擊手法，相信有助於政府機關的防護。</p> </div></div></div>
2025/5/8 17:35作者蘇文彬https://www.ithome.com.tw/news/168845
微軟導入Agent2Agent協定推進AI代理跨平臺互通
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟<a href="https://www.microsoft.com/en-us/microsoft-cloud/blog/2025/05/07/empowering-multi-agent-apps-with-the-open-agent2agent-a2a-protocol/">宣布</a>將在Azure AI Foundry與Copilot Studio，導入由Google主導推動的開放通訊協定<a href="https://github.com/google/A2A?tab=readme-ov-file">Agent2Agent</a>，使旗下人工智慧代理具備跨平臺、跨雲與跨組織相互操作能力，支援不同代理之間的任務協調與資料交換。</p> <p>Agent2Agent協定是一個人工智慧代理間協作的開放規格，核心目的是讓分散於不同系統、雲端與開發框架中的代理程式能夠交換任務資訊、維護執行狀態並呼叫彼此的功能，進而組成跨應用、跨組織甚至跨產業的智慧系統網路。微軟指出，隨著人工智慧代理從單點回應工具，逐漸演變為具有判斷與自動執行能力的應用元件，未來代理之間的協作將不再是選項，而是實作大型人工智慧系統的必要條件。</p> <p>Azure AI Foundry與Copilot Studio是微軟近年推動企業導入生成式人工智慧的兩大平臺，前者提供模型與工具的彈性開發框架，後者則是低程式碼人工智慧代理建置平臺。此次加入Agent2Agent協定，將使這兩套工具能夠在代理任務調度更靈活，甚至與非微軟生態系的人工智慧代理進行互通，打破目前各家工具間難以相互操作的限制。</p> <p>微軟強調所有透過Agent2Agent進行的代理通訊，都將經由Microsoft Entra身分驗證、mTLS雙向加密傳輸、Azure AI內容安全機制與可稽核日誌進行保護。此外，開發者可繼續使用Semantic Kernel與LangChain等既有人工智慧代理開發工具，透過標準化協定實現不同代理框架間的溝通，而不需更動底層實作。</p> <p>目前Agent2Agent協定尚處於規格持續演進的初期階段，微軟已宣布加入其GitHub工作小組，並承諾貢獻協定標準的制定與生態系發展。</p> </div></div></div>
2025/5/8 16:30作者李建興https://www.ithome.com.tw/news/168840
Anthropic API新增網頁搜尋功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.anthropic.com/news/web-search-api" target="_blank">AI新創Anthropic今日（5/8）宣布</a>，旗下AI模型Claude現已透過API支援即時網頁搜尋功能，開發人員將可打造具備即時資訊查詢能力的AI應用，提升Claude在金融、法律或開發者工具等多個領域的實用性。</p> <p><a href="https://docs.anthropic.com/en/docs/build-with-claude/tool-use/web-search-tool" target="_blank">根據Anthropic的說明</a>，此一網頁搜尋工具可讓Claude模型存取即時的網路內容，利用超越其知識範圍的最新資訊來回答問題。該功能支援Claude 3.7 Sonnet、Claude 3.5 Sonnet及Claude 3.5 Haiku等模型，<a href="https://www.anthropic.com/pricing#api" target="_blank">每1,000次搜尋的成本為10美元</a>，另加標準Token費用。</p> <p>網頁搜尋功能可望解決大型語言模型在知識時效性上的限制，也能用來驗證資訊以提高回答的準確性，同時支援更多仰賴最新資訊的應用情境，例如可用於分析即時股票價格及市場趨勢的金融代理工具，可查詢最新法院判決或法律新聞的法律研究，或是可整合財報及產業研究內容的企業情報系統。</p> <p>Anthropic表示，在啟用網頁搜尋之後，專替程式設計最佳化的Claude Code便可將來自網路的最新資訊整合到工作流程中，包括存取最新的API文件、技術文件，或是各種來自開發工具及程式庫的內容，在使用新興框架、排解難以定位的錯誤，或者是需要依照特定版本的API文件開發功能時，將特別有幫助。</p> <p>此外，Claude在提供來自網路的回應時，會附上來源資料引用，以讓使用者能夠直接驗證資訊；企業也能建立參考網頁的白名單與黑名單，或是直接關閉網頁搜尋功能，以符合內部的資安或合規需求。</p> </div></div></div>
2025/5/8 15:21作者陳曉莉https://www.ithome.com.tw/news/168838
Apache基金會修補Tomcat高風險資安漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>4月29日、30日<a href="https://www.cyber.gc.ca/en/alerts-advisories/apache-tomcat-security-advisory-av25-239">加拿大網路安全中心</a>、<a href="https://www.hkcert.org/tc/security-bulletin/apache-tomcat-multiple-vulnerabilities_20250430">香港網路安全事故協調中心</a>先後提出警告，提醒大家留意網頁伺服器系統Tomcat版本更新公告，因為Apache基金會於4月8日推出<a href="https://tomcat.apache.org/security-11.html#Fixed_in_Apache_Tomcat_11.0.6">11.0.6</a>、<a href="https://tomcat.apache.org/security-10.html#Fixed_in_Apache_Tomcat_10.1.40">10.1.40</a>、<a href="https://tomcat.apache.org/security-9.html#Fixed_in_Apache_Tomcat_9.0.104">9.0.104</a>版，當中修補兩項高風險漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-31651">CVE-2025-31651</a>、<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-31650">CVE-2025-31650</a>，CVSS風險分別為9.8、7.5（滿分10分），由於這些漏洞可能導致安全功能繞過及服務中斷，呼籲IT人員應儘速閱讀Apache的公告內容，並套用必要的更新。由於3月下旬該基金會<a href="https://www.ithome.com.tw/news/167913">公布另一項漏洞CVE-2025-24813</a>之後，很快就有概念驗證程式碼（PoC），並被用於攻擊，因此Tomcat的相關漏洞揭露，特別值得留意。</p> <p>這次Apache基金會修補的漏洞當中，被列為重大層級的是CVE-2025-31651，此為重新寫入規則的繞過漏洞，攻擊者有機會透過特製請求觸發，從而繞過部分重新寫入規則。值得留意的是，雖然Apache基金會初步認定這項漏洞危險性不高，但5月5日美國國家漏洞資料庫（NVD）、網路安全暨基礎設施安全局（CISA）皆認定這項漏洞相當危險，將其CVSS風險評為9.8分。</p> <p>另一個漏洞CVE-2025-31650，則為阻斷服務弱點，攻擊者有機會藉由無效的HTTP優先請求標頭（Priority Header）觸發。此弱點發生的原因在於，Tomcat對於處理這類無效標頭出現不正確及錯誤，導致請求失敗後清除不完全，進而產生記憶體洩露的現象。攻擊者若是發出大量的特製請求、觸發上述漏洞，就會造成服務中斷。</p> </div></div></div>
2025/5/8 15:25作者周峻佑https://www.ithome.com.tw/news/168839
Mistral推出可本地部署的企業級AI協作平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>人工智慧新創公司Mistral推出企業級產品<a href="https://mistral.ai/news/le-chat-enterprise">Le Chat Enterprise</a>，主打支援本地部署與私有建置，提供一套整合文件、工具、知識庫與人工智慧代理功能的協作平臺，並以最新中型語言模型<a href="https://mistral.ai/news/mistral-medium-3">Mistral Medium 3</a>為基礎，針對企業內部人工智慧應用所面臨的工具分散、資料整合不易與部署彈性不足等問題，提供高可控性、可擴充的解決方案。</p> <p>Le Chat Enterprise的定位是一個統一的人工智慧工作平臺，目標是協助企業內不同部門，無論是資料分析、程式撰寫或內容生成，皆能透過單一介面使用跨領域人工智慧輔助功能。系統支援連接Google Drive、SharePoint、OneDrive、Gmail等既有企業工具，讓使用者可在權限控制下查詢、引用與摘要重要文件內容。Mistral表示，未來將支援更多連接器，並提供模板讓企業建立自訂的整合介面，提升使用異質資料來源的彈性。</p> <p>除了由Mistral雲端代管，企業也可選擇在自己的公有雲、私有雲或資料中心中部署Le Chat Enterprise，以符合企業對資料主權與隱私保護的要求。該系統整合嚴格的存取控制機制，並提供稽核紀錄、儲存路徑明確的使用行為追蹤功能，以滿足法遵與內部資安治理需求。</p> <p>在人工智慧代理方面，Le Chat Enterprise允許企業建構自定義助手，用於自動處理日常任務，如資料查詢、文件初稿撰寫或流程觸發等。這些代理可透過無程式碼介面建置，並存取已連結的應用程式與知識庫，使其具備上下文理解能力與跨系統協作能力。Mistral也預告將加入MCP（Model Context Protocol）支援，以便與更多內部系統互通。</p> <p>目前Le Chat Enterprise已上架Google Cloud Marketplace，預計將擴展至Azure AI與AWS Bedrock。Mistral也同步強化其針對個人與中小型團隊的Le Chat Pro與Team方案，供不同規模組織按需選擇。</p> <p>Le Chat Enterprise採用的核心模型為Mistral Medium 3，主打在維持高效能前提，提供更低成本與簡便的部署。該模型在多項基準測試接近Claude Sonnet 3.7，但推論成本成本僅為其八分之一，支援自託管與跨雲部署，最低僅需四張GPU。Medium 3也支援後訓練與企業知識整合，適用於金融、能源與醫療等領域的內部人工智慧應用與分析任務。</p> </div></div></div>
2025/5/8 15:46作者李建興https://www.ithome.com.tw/news/168837
【資安日報】5月8日，勒索軟體駭客Play旗下團體利用CLFS零時差漏洞犯案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟於今年4月修補CLFS零時差漏洞CVE-2025-29824，當時他們透露這項漏洞已被用於實際攻擊行動，駭客組織Storm-2460將其用於勒索軟體RansomEXX攻擊，但如今傳出也有其他駭客運用這項漏洞的情況。</p> <p>資安業者賽門鐵克發現，勒索軟體Play旗下團體Balloonfly將其用於散布竊資軟體，由於相關活動與Storm-2460手法有顯著差異，研究人員確定是不同人馬所為。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168824"><strong style="font-size: 22px;">針對微軟4月修補的CLFS零時差漏洞，傳出Play勒索軟體駭客也加入利用的行列</strong></a></p> <p>上個月8日微軟發布例行更新（Patch Tuesday），總共修補126項安全漏洞，其中包含零時差漏洞CVE-2025-29824。該漏洞位於Windows通用事件記錄檔案系統（CLFS）的驅動程式，為記憶體釋放後再存取使用（Use After Free，UAF）的漏洞，可讓已獲得授權的攻擊者提升本機權限。當時微軟透露，該漏洞已遭被稱為Storm-2460的駭客組織濫用，散布勒索軟體RansomEXX，受害組織包括美國IT業者、委內瑞拉金融業者、西班牙軟體公司、沙烏地阿拉伯零售業者，如今傳出也有其他駭客加入利用漏洞的行列。</p> <p>博通旗下資安業者賽門鐵克本周公布調查結果，一個和Play勒索軟體有關的攻擊者也曾利用CVE-2025-29824，對美國組織發動惡意程式攻擊以提升權限。特別的是，這組駭客並未部署勒索軟體，而是植入了竊資程式Grixba，這個程式被認為和Play勒索軟體背後的團體Balloonfly有關。</p> <p>對於資安事故發生的過程，研究人員推斷Balloonfly先是鎖定面向網際網路的思科ASA防火牆，然後以某種不明方法，在受害者網路上濫用本漏洞，並成功橫向移動到Windows電腦。</p> <p><a href="https://www.ithome.com.tw/news/168801"><strong style="font-size: 22px;">xAI員工不慎於GitHub程式碼庫曝露API金鑰</strong></a></p> <p>創辦資安顧問公司Seralys、專門從事滲透測試的資安專家Philippe Caturegli透露，xAI員工不慎將API金鑰上傳至公開的GitHub儲存庫，而且長達兩個月都沒有被撤銷。</p> <p>資安部落格Krebs On Security追蹤了整起事件，指出秘密偵測平臺GitGuardian早在今年3月便發現此事，並直接通知該名員工，但相關金鑰一直到4月30日還是有效，使得GitGuardian轉而通知xAI安全團隊，之後xAI才直接刪除含有API金鑰的GitHub儲存庫。</p> <p>GitGuardian共同創辦人暨執行長Eric Fourrier向Krebs On Security表示，這組API金鑰可用來存取xAI內部的大型語言模型，涵蓋公開、未發布、開發中或私有的AI模型，包括逾60個經過微調的私人模型。其中，有些大型語言模型是根據SpaceX資料進行微調，有些是根據特斯拉資料進行微調，他認為，基於SpaceX資料進行微調的Grok模型，不應被公開。</p> <p><a href="https://s4.itho.me/sites/default/files/images/1745597587198.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1745597587198.jpg" style="width: 580px;" /></a></p> <p><a href="https://www.ithome.com.tw/news/168761"><strong style="font-size: 22px;">來自俄羅斯的Go套件Easyjson恐危及美國國家安全</strong></a></p> <p>專門追蹤開源軟體供應鏈安全性的美國資安新創Hunted Labs提出警告，他們發現Go語言的開源軟體套件Easyjson是由俄羅斯最大社交平臺VK所開發，恐危及美國國家安全。</p> <p>研究人員指出，如Easyjson等序列化工具是在應用程序的底層運行，它們通常是無形的，且緊密整合了系統的各個核心元件，一旦部署就很難移除與替換，過往普遍被認為是可靠的。然而，一旦它們被武器化，Easyjson就能成為供應鏈的後門，藉由反序列化執行遠端程式攻擊，被用來執行間諜活動或竊取資料，或者是啟用Kill Switch，於特定條件下觸發預設的破壞性功能。</p> <p>Hunted Labs表示，VK在俄烏戰爭中一直藉由審查或推廣內容發揮著作用，刪除任何對俄羅斯政府不利的言論，使得他們也對Easyjson這個由俄羅斯貢獻者提交逾85%以上程式碼的專案感到憂心，而該專案現在正處於美國雲端原生生態系統的臍帶位置。</p> <p><a href="https://www.ithome.com.tw/news/168802"><strong style="font-size: 22px;">Google警告中國網攻威脅達到空前高峰</strong></a></p> <p>近年來中國對臺網路攻擊力道不僅未減，更持續將攻擊目標擴及全球多國政府與民間企業。在美國RSAC 2025資安會議期間，Google在一場針對媒體的資安情資分享會上，將所有討論焦點都放在中國與北韓問題上，而絲毫未提蘇俄與伊朗，就充分顯現中國威脅已成為全球資安最重大的課題。</p> <p>資安業界堪稱APT調查專家的Mandiant，在過往舉辦的資安情資分享會上，通常都會揭露蘇俄、中國、伊朗及中國等網攻四大寇的最新攻擊手法，不過，在今年四月底這場情資分享會上，主持座談的Google威脅情資副總裁Sandra Joyce（曾是Mandiant執行副總裁），一開場就直接切入中國網路攻擊的問題，她說：「中國近年來持續展現出最有創新性的網路攻擊手法。」如今，中國針對西方國家所發動的網路間諜攻擊行動，不論是數量與強度，都達到了空前的高峰。</p> <p>Mandiant Consulting技術長Charles Carmakal指出，現今中國網路攻擊鎖定的目標，幾乎都是中國政府感興趣的對象，比如半導體公司、資訊科技公司、電信公司、政府機關及國防承包商等，不像2015年之前採取大範圍掃射的策略。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/samsung-magicinfo-9-server-rce-flaw-now-exploited-in-attacks/">三星顯示器內容集中控管系統遭到鎖定，駭客利用已知漏洞挾持設備並部署惡意軟體</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityaffairs.com/177458/hacking/a-hacker-stole-data-from-telemessage-the-firm-that-sells-modified-versions-of-signal-to-the-u-s-gov.html">專門提供美國政府客製即時通訊軟體的軟體業者驚傳遭駭</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/sentinelone-targeted-by-north-korean-it-workers-ransomware-groups-chinese-hackers/">資安業者SentinelOne證實遭鎖定，北韓IT員工、勒索軟體、中國駭客試圖對其下手</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168806"><strong style="font-size: 22px;">圖像化LLM應用開發工具Langflow存在RCE漏洞，CISA證實已被用於實際攻擊</strong></a></p> <p>美國CISA證實，圖像化LLM應用開發工具Langflow的遠端程式碼執行（RCE）漏洞CVE-2025-3248，已被實際用於攻擊行動。Langflow為開源工具，支援以圖形化方式設計大型語言模型流程，讓開發者能透過拖放元件的方式，快速組合出可執行的人工智慧代理流程，然而，其高彈性的設計也伴隨著潛在風險，特別是在執行環境缺乏適當安全防護時，容易成為攻擊目標。</p> <p>資安公司Horizon3.ai進一步說明CVE-2025-3248的成因，是Langflow早期版本在處理程式碼驗證時缺乏適當的安全控管。具體來說，攻擊者可透過未加認證保護的API端點/api/v1/validate/code提交特製的Python函式碼，並利用裝飾器（Decorator）或預設參數中的表示式，在函式尚未執行時即觸發任意程式碼的執行。</p> <p>由於Langflow原本設計即允許使用者修改與執行Python程式碼來控制人工智慧元件，因此存在缺乏沙箱或額外限制的情況，一旦認證機制設定不當，將導致攻擊者可遠端取得主機控制權。</p> <p><a href="https://www.ithome.com.tw/news/168811"><strong style="font-size: 22px;">臺廠普萊德修補交換器、網路設備管理軟體重大漏洞</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/680b47ca03fea76df10935fa_AD_4nXf74uprbE-Fd87_z_RkUsXtBLqM-4kCsdO_DKOaUGnR8TMwUlXsG4OTQHFkgPbPK4j_vDorF13yiprm0XsReg-Q1gE9nFdafcbq7TjiWr8XrcGs6fmpQBaxze_p5699gjmm6V-2.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/680b47ca03fea76df10935fa_AD_4nXf74uprbE-Fd87_z_RkUsXtBLqM-4kCsdO_DKOaUGnR8TMwUlXsG4OTQHFkgPbPK4j_vDorF13yiprm0XsReg-Q1gE9nFdafcbq7TjiWr8XrcGs6fmpQBaxze_p5699gjmm6V-2.jpg" style="width: 300px; float: right;" /></a>臺廠普萊德（Planet）工控網路設備被找出漏洞的情況，先前有去年下旬台灣電腦網路危機處理暨協調中心（TWCERT/CC）提出警告，以及今年1月資安業者Claroty發現的資安漏洞，這些漏洞都出現在交換器，而且當中有危險程度達到重大層級的弱點特別值得留意。如今有研究人員同時在該廠牌的交換器及網路設備管理軟體當中發現漏洞，引起許多國外媒體的關注。</p> <p>根據HackRead、SC Media、GBHackers等多家媒體報導，資安業者Immersive Labs在普萊德交換器及管理軟體當中，總共找到5個資安漏洞，分別是：CVE-2025-46271、CVE-2025-46272、CVE-2025-46273、CVE-2025-46274、CVE-2025-46275，這些漏洞可被用於遠端執行任意程式碼（RCE）、權限提升，以及未經授權存取列管裝置。美國網路安全暨基礎設施安全局（CISA）也在28日發布警告，呼籲用戶儘速因應這些漏洞，因為這些漏洞的4.0版CVSS風險達到9.3（3.1版風險值介於9.1至9.8分），相當危險。</p> <p>4月25日普萊德發布資安公告證實此事，指出旗下部分型號的交換器、網路設備管理軟體存在資安漏洞這些漏洞，他們已發布修補程式因應。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2025-27007-critical-ottokit-wordpress-plugin-flaw-exploited-after-disclosure-100k-sites-at-risk/">WordPress外掛OttoKit重大漏洞已被積極利用，10萬網站曝險</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/cve-2025-23123-cvss-10-critical-unifi-protect-cameras-flaw-demands-immediate-updates/">Ubiquiti網路攝影機存在滿分漏洞，攻擊者能遠端執行任意程式碼</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/168800"><strong>【5月7日】勒索軟體駭客自帶安裝程式，繞過EDR防護機制加密檔案</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168762"><strong>【5月6日】惡意軟體Phorpiex捲土重來，被用於散布LockBit 3.0及其他作案工具</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168745"><strong>【5月5日】臺灣第一座防詐實驗室正式掛牌上路，玉山金揭金融無塵室發展方向</strong></a></p> </div></div></div>
2025/5/8 11:43作者周峻佑https://www.ithome.com.tw/news/168833
蘋果打算在Safari上提供AI搜尋
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國法院正在審理違反壟斷法令的Google搜尋該如何改善，並在本周三（5/7）邀請了負責服務業務的蘋果資深副總裁Eddy Cue出庭作證。<a href="https://www.bloomberg.com/news/articles/2025-05-07/apple-working-to-move-to-ai-search-in-browser-amid-google-fallout" target="_blank">根據彭博社（Bloomberg）的報導</a>，Cue說蘋果將會讓AI搜尋成為Safari的搜尋選項，而且他相信AI搜尋最終會取代傳統搜尋引擎。這番話語讓Google母公司Alphabet當天股價大跌7.51%，以152.8美元作收。</p> <p>蘋果為Google長期的合作夥伴，其Safari瀏覽器的預設搜尋引擎即是Google搜尋，據傳Google為此每年支付200億美元予蘋果。</p> <p>Cue表示，Safari的搜尋量上個月首度出現下滑，他認為這是人們開始使用AI的緣故，蘋果計畫在Safari中納入AI搜尋供用戶選擇，例如OpenAI、Perplexity AI或Anthropic等，現階段它們不會成為Safari的預設，但AI搜尋最終將會取代像是Google這類的標準搜尋引擎。</p> <p>對於搜尋引擎，Cue坦承，在AI出現之前，他不認為有Google以外的有效選擇。</p> <p>Cue相信技術變革才能帶來真正的競爭，例如AI替新進者創造了新機會，技術的變化也令人難以捉摸，例如或許10年後人們就不再需要iPhone了。</p> </div></div></div>
2025/5/8 14:23作者陳曉莉https://www.ithome.com.tw/news/168836
【奧蘭多現場直擊】數據分析大廠SAS揭3大技術戰略新進展，瞄準代理型AI、數位雙生和量子AI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>老牌數據分析廠商SAS在今年度Innovate大會首日（5月7日），揭露代理型AI（Agentic AI）、數位雙生和量子AI等3大技術戰略更新，分別推出代理型AI平臺Intelligent Decisioning，來簡化AI代理的建置、部署，另也推出結合遊戲引擎打造的製造業數位雙生模擬環境，以及可結合傳統AI演算法的量子AI運算服務，來加速原本耗時的複雜運算工作。同時，SAS還揭露3款工具新進展與一系列開箱即用的AI模型。</p> <p><span style="font-size:22px;"><strong>推出代理型AI平臺，主打低程式碼和透明可解釋</strong></span></p> <p>SAS技術長Brian Harris先是指出，企業仰賴生成式AI，是要用於決策輔助，但若模型偏誤，就會導致嚴重的決策錯誤。比如只依靠網路文本訓練的大型語言模型（LLM）作為房貸審核模型，就可能因數據偏差而歧視特定族群。以近期研究為例，黑人的信用貸款核准率遠低於白人，就算提供完全相同的財務條件，仍需高出白人平均120分的信用分數，才能獲得相同核准率。這種偏差存在於許多主流的LLM。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%A0%94%E7%A9%B6.JPG" /></p> <p>也因此，為解決這個問題，SAS推出一款代理型AI平臺SAS Intelligent Decisioning，建立於主力AI平臺SAS Viya上，支援低程式碼／無程式碼，使用者可以拖拉方式建置代理型AI工作流程，企業也能用這套平臺來設計、部署和擴展能獨立決策的AI代理。</p> <p>這個代理型AI平臺有幾種應用情境，比如結合傳統統計分析和LLM，打造兼具精準和靈活自主決策的AI代理，可用於金融、政府等產業。又或是企業根據任務複雜度和風險，來決定AI代理該自主決策還是需由人類審核，例如可自主執行常規、數據驅動的任務，高風險決策則由人類把關。</p> <p>另一方面，這個平臺還整合之前推出的模型卡（Model Cards）功能，能清楚呈現模型偏差的評估結果、適用範圍和使用建議，兼顧AI治理。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%A8%A1%E5%9E%8B%E5%8D%A1.JPG" /></p> <p>同時，該平臺還強調透明與可解釋性，提供模型血源追蹤功能（AI Lineage），從資料ETL流程、模型訓練、版本管理、模型部署到最後輸出決策的邏輯，都能視覺化呈現（如下圖），來協助企業符合AI監管要求。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%B5%81%E7%A8%8B.JPG" /></p> <p>此外，SAS還揭露一款Data Mapper Agent（資料對映代理），專門用來解決非常常見但耗時的任務，也就是將來源資料標記 (schema) 對映到SAS解決方案模型的資料欄位（如下圖）。這個任務通常需要人工介入，包括尋找要使用的欄位和撰寫對映程式碼，過程可能非常繁瑣。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/data%20mapper%20agent.JPG" /></p> <p>而Data Mapper Agent是用LLM來自動化這個對映過程，使用者將後設資料（Metadata）上傳後，LLM就會查看這些資料，並建議來源欄位該對映到哪個目標欄位，還會提供對映建議的信心程度，使用者可要求Data Mapper重新評估信心度低的對映，或手動修改（如下圖）。一旦確認對映，使用者可要求Data Mapper生成程式碼來傳送資料。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/mapping%E7%B5%90%E6%9E%9C.JPG" /></p> <p><strong><span style="font-size:22px;">聯手遊戲引擎Unreal Engine打造製造業數位雙生模擬環境</span></strong></p> <p>不只是代理型AI，Brian Harris也在大會中揭露數位雙生戰略新進展，由SAS聯手遊戲業者Epic Games，將旗下引擎Unreal Engine導入SAS Viya平臺，來拓展Digital Twin數位雙生應用。</p> <p>現場請來首發應用案例的造紙大廠Georgia Pacific，他們透過Unreal Engine打造虛擬工廠無人搬運車AGV模擬場景，來找出最有效率的路線。以實際場域為例，Georgia Pacific廠區長達400公尺，相當於4個足球場，AGV必須避開高風險路線，並找出最佳搬運路線（如下圖）。於是，他們先輸入真實資料至SAS平臺，再將數據輸入Unreal Engine模擬環境，來進行虛擬演練，也就是對不同路線與數量的AGV調度模擬。最終，他們實作最佳路線，成功減少8%的平均作業時間。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/agv.JPG" /></p> <p>不只如此，團隊也設計數位人形角色，來進一步模擬工安事故現場。他們用模擬攝影機生成高度擬真的工安影像，來訓練電腦視覺模型，強化AI工安辨識的準確率。這些合成資料，也能提高模型對不同膚色、姿態、光線的辨識能力。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%B7%A5%E5%AE%89.JPG" /></p> <p><span style="font-size:22px;"><strong>新推量子AI服務，專門加速超複雜AI模型運算</strong></span></p> <p>再來，Brian Harris揭露SAS量子AI新服務，可搭配傳統AI運算，來加速複雜的巨量資料運算。首先嚐鮮SAS量子AI的企業客戶是P&G寶僑，主要用來解決產品配方的最佳化問題。因為，P&G配方牽涉5座混料槽和100多項產品，可能的組合數高達10的114次方，遠超過宇宙中的原子數，他們必須在這些組合中，找出能避免交叉污染的配方。</p> <p>P&G測試發現，傳統AI演算法解法需耗時6小時，而純量子電腦運算可在2分鐘內完成初步解法，但準確度不穩定。不過，採用混合運算方式，以量子AI進行初始解空間收斂，再以傳統SAS解法進行微調，總運算時間只需12分鐘，還能兼顧準確度，節省97%的運算時間。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/qai%E6%95%88%E6%9E%9C.JPG" /></p> <p><span style="font-size:22px;"><strong>三款工具更新：Workbench、DataMaker、SAS Viya Copilot</strong></span></p> <p>Brian Harris也在今日大會中宣布三款平臺工具的更新，包括雲端整合式AI開發平臺Workbench、合成資料平臺DataMaker和AI建模助手SAS Viya Copilot。就Workbench來說，它支援Python、R和SAS等程式語言切換，使用者也能在平臺上建置情感分析模型，並一鍵部署REST API（如下圖）。這款平臺也支援BERT等模型和GPU加速，目前已在AWS正式上架，在微軟Azure則是私人預覽版。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%83%85%E7%B7%92%E8%BE%A8%E8%AD%98.JPG" /></p> <p>就DataMaker來說，它支援多表格、多關聯性和時間序列資料的生成，並內建差分隱私技術，在合成資料中添加雜訊，來確保資料來源不會被逆向推導辨識。這類合成資料適合用於臨床試驗、金融交易模擬等場景。目前，DataMaker已在微軟Azure平臺以私人預覽版提供。</p> <p>至於SAS Viya Copilot則導入類ChatGPT的對話互動介面，來讓使用者用自然語言問答，來更簡單地使用Model Studio工具。比如，使用者可以用自然語言，要求模型優化、分析ROC報表、產生說明文件等，也能根據現有模型節點提出自動化調參建議，就算沒有資料科學知識也能執行資料科學任務。目前，SAS Viya Copilot在SAS託管雲服務提供私人預覽版。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/copilot.JPG" /></p> <p><strong><span style="font-size:22px;">新添一系列開箱即用模型</span></strong></p> <p>為進一步降低企業導入AI門檻，SAS今天也推出一系列開箱即用的輕量級AI模型，範圍涵蓋政府、醫療、製造、供應鏈與詐欺防範等產業。目前已上架的AI模型有：</p> <ul> <li><strong>跨產業</strong>：實體識別（Entity Resolution）、文件分析</li> <li><strong>醫療</strong>：用藥依從性風險預測</li> <li><strong>製造</strong>：供應鏈最佳化</li> <li><strong>公部門</strong>：糧食補助金詐領偵測、銷售稅合規性分析</li> </ul> <p>SAS預告，今年還會陸續推出更多產業專用模型，例如：</p> <ul> <li><strong>金融</strong>：支付與信用卡詐欺判斷模型</li> <li><strong>醫療</strong>：醫療支付審核模型</li> <li><strong>製造</strong>：工安監測模型</li> <li><strong>公部門</strong>：個人所得稅合規性分析模型</li> </ul> <p></p> </div></div></div>
2025/5/8 13:06作者王若樸https://www.ithome.com.tw/news/168835
【臺灣資安大會直擊】將資通訊科技風險納入企業風險管理，掌握整合兩者的關鍵方法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著數位化普及，科技已成為企業持續營運的基礎之一，因此，資通訊科技風險管理（ICTRM）是企業風險管理（ERM）當前須持續關注的重要議題，2025臺灣資安大會期間有多達8場演講探討風險管理，其中一場的主題恰好是解析ICTRM與ERM的關係，以及介紹相關的資安框架與可參照的法規遵循要求。</p> <p>何謂資通訊科技風險（ICT風險）？資誠智能風險管理諮詢公司董事長張晉瑞指出，組織面臨的這類危機，廣泛涵蓋資訊安全、供應鏈、隱私，以及新興技術（如物聯網和人工智慧）帶來的風險，他特別列出以下7種，幫助大家理解。</p> <p><span style="color:#FF0000;"><strong>網路安全威脅</strong></span></p> <p>這是大家最熟悉的ICT風險，也是長期以來新聞媒體最常報導的資安新聞主題，囊括網路攻擊、惡意程式、資料外洩、服務阻斷攻擊（DoS）、漏洞濫用攻擊、內部威脅（Insider threats）</p> <p><span style="color:#FF0000;"><strong>與ICT 相關的事件和中斷</strong></span></p> <p>此類ICT風險與ICT的故障、停擺有關，包括系統故障、技術故障、人為錯誤、服務無法正常供應、營運或安全支付相關的事故。</p> <p><span style="color:#FF0000;"><strong>第三方風險</strong></span></p> <p>可細分4種，與ICT的第三方服務供應商（third-party service providers）、ICT的轉包有關，之所以有風險，問題在於廠商提供的資訊有落差、難從子承包商（subcontractors）獲得資訊、子承包商本身的風險、第三方供應商無法符合契約需求。</p> <p>張晉瑞指出，供應鏈現在是資安非常重要的部分，因為組織單是做好本身的資安是不夠的，身處在這個科技掛帥的年代，我們沒有辦法靠自己做完所有的事情，所以一定會對資通訊科技帶來這樣的風險，上下游的夥伴也要一起把資安做好。關於呼籲大家要重視這項議題，張晉瑞其實在<a href="https://cybersec.ithome.com.tw/2021/session-page/121">2021</a>、<a href="https://cybersec.ithome.com.tw/2023/session-page/1868">2023</a>這兩年的臺灣資安大會就已經開始宣導，因為當時他就以供應鏈資安為題發表演講。</p> <p>事實上，組織通常會有複委託或下包、轉包的需求，因此，承接這些業務的供應商是否能把事情做好，最後都會影響到組織本身，而在現行的資安標準要求當中，這部分可參考<a href="https://csrc.nist.gov/pubs/sp/800/161/r1/upd1/final">NIST訂定的SP 800-161 Rev. 1</a>，全名為網路安全供應鏈風險管理的系統與組織實務（Cybersecurity Supply Chain Risk Management Practices for Systems and Organizations），當中特別提到第三方、亦即<a href="https://www.ithome.com.tw/tech/150923">供應鏈的資安風險管理（C-SCRM）</a>該怎麼做。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Dimensions of C-SCRM.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dimensions%20of%20C-SCRM.png" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/C-SCRM.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/C-SCRM.jpg" style="width: 298px;" /></a></p> <p><span style="color:#FF0000;"><strong>實體和環境風險</strong></span></p> <p>此類ICT風險有哪些狀況？像是自然災害、實體型態的安全性外洩（管理不善、設備遭竊）、基礎設施故障（停電、淹水）。</p> <p><span style="color:#FF0000;"><strong>新興技術風險</strong></span></p> <p>相較於長期應用的ICT技術，新興科技仍在發展當中，會帶來的風險大多是眾人沒想過的，而可能成為現行資安防護難以涵蓋的層面。更早之前，一談到這類風險，大家會先想到的領域會是雲端運算與物聯網（IoT），雖然這些技術如今已普遍用在許多地方，但大家因應相關風險的準備可能還是不夠。</p> <p>從去年開始，AI變得非常熱門，也帶來對應的風險，今年代理式AI（Agentic AI）浮出檯面，受到重視的程度日漸升高，相關風險的討論仍在進行。</p> <p><span style="color:#FF0000;"><strong>資料相關風險</strong></span></p> <p>隨著雲端服務與AI應用日益普及，我們身處資料掛帥的年代，隱私外洩（Privacy Breaches）已成為當前最核心的問題，在此同時，資料風險也包括能存取資料的對象，是否超出合理合法的目的、資料的遺失（Data Loss）或遭到破壞（Data Corruption），以及資料治理（Data Governance）。</p> <p>張晉瑞指出，我們希望資料是金礦，但如果沒有妥善整理、管理，其實無法發揮不了效用，而且還可能相對應的風險。</p> <p><span style="color:#FF0000;"><strong>營運韌性風險</strong></span></p> <p>此類ICT風險包含：缺乏業務持續運作計畫（BCP）與災難復原計畫，以及修復能力未經過充分測試。張晉瑞認為，持續營運現在越來越重要，我們無法忍受ICT服務發生任何的中斷狀況，可能是本身的問題，或基礎建設、資通安全服務、資訊設備有些狀況，造成營運不得不中斷，這些都跟韌性有關，因此，ICT的風險，其實就是每天都在處理的議題。</p> <p>但他也提到向組織高層表達此事的重要性，如何溝通會是另一個層次的挑戰。例如，在董事會這類更高階的會議中報告時，須設法將營運韌性風險鏈接公司整體的風險管理策略，因為資訊與資安的相關工作可能都已做到一定的水準，但不應止於個別關注與處理各自的風險，還要從整個組織進行通盤考量，因為資通訊科技是當前組織的核心要素，它的風險必然會直接影響到業務目標的實現，沒人能置身事外。</p> <p><a href="https://s4.itho.me/sites/default/files/images/PWC-ICTRM1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PWC-ICTRM1.jpg" style="width: 600px;" /></a></p> <h3><strong><span style="color:#0000FF;">認識資通訊科技風險整合企業風險管理的方式</span></strong></h3> <p>想要了解ICTRM與ERM之所以密不可分，張晉瑞推薦大家閱讀NIST發布的<a href="https://csrc.nist.gov/pubs/sp/800/221/final">SP 800-221</a>，此份標準文件的全名是資訊與通訊技術風險的企業影響（Enterprise Impact of Information and Communications Technology Risk），當中說明ICTRM與與整個公司的ERM的連結。</p> <p><a href="https://s4.itho.me/sites/default/files/images/NIST SP.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/NIST%20SP.jpg" style="width: 600px;" /></a></p> <p>在SP 800-221的第二章，NIST深入介紹ITRM與ERM的異同，並逐一探討ICTRM的生命週期管理流程步驟。</p> <p>首先，兩者的第一個差異在於，前者是針對組織，後者則是鎖定大型企業，但這兩種風險通常是能彼此互換的。NIST此份標準文件提到，組織可以是任何規模、複雜度、定位的實體，或是較大型組織架構的一部分，企業則是位於階層位置最高位置的組織，可能是由多個組織組成，可涵蓋政府單位與產業。</p> <p>而且，許多企業面臨的風險是相互依存的，像是網路安全、隱私、信用風險，這些與資通訊科技有關的風險構成ERM，而且，它們都可能關乎未經授權存取儲存於組織的個人財務資料，或是信用相關資料。</p> <p><a href="https://s4.itho.me/sites/default/files/images/ICTRM1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/ICTRM1.png" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/ICTRM-Enterprise hierarchy.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/ICTRM-Enterprise%20hierarchy.png" style="width: 398px;" /></a></p> <p>根據COSO委員會的企業風險管理框架（ERM Framework）定義指出，ERM是在設定策略和執行策略時整合的文化、能力和實踐，旨在管理風險以創造、保護和實現價值。</p> <p>而關於ICTRM的部分，流程依序分為6個階段：</p> <p><strong><span style="color:#FF0000;">第1步：識別脈絡</span></strong></p> <p>要辨識組織維運的整體環境（包含內部與外部）脈絡，像是公司的目標策略方向、業務目標（例如要達成的數字），並且了解看待風險的態度（容忍風險的程度），建立基礎知識。</p> <p><span style="color:#FF0000;"><strong>第2步：辨識風險</strong></span></p> <p>廣泛識別組織面臨的正面與負面風險，並且決定哪些事件是強化或阻礙達成目標的類型，當中涵蓋導致組織難以追求發展機會的風險。</p> <p><strong><span style="color:#FF0000;">第3步：分析風險</span></strong></p> <p>針對每個已識別且即將發生的風險事件，評估可能性，並且描述事發後果所導致的潛在衝擊。</p> <p><span style="color:#FF0000;"><strong>第4步：排定風險處理的優先順序</strong></span></p> <p>根據可能性與潛在攻擊，計算每個風險暴露在外的程度，並且基於暴露度排定處理風險的優先順序。</p> <p><strong><span style="color:#FF0000;">第5步：規畫與執行風險因應的策略</span></strong></p> <p>針對每個風險決定適當的因應方式，組織的領導階層依據風險指引揭露相關事宜。</p> <p><span style="color:#FF0000;"><strong>第6步：監控、調整、評估與調整風險管理。</strong></span></p> <p>持續審視風險管理的結果，確保組織面臨的風險能在情況變化之際，可以維持在預先定義的偏好層級當中。</p> <p><a href="https://s4.itho.me/sites/default/files/images/PWC-ICTRM2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PWC-ICTRM2.jpg" style="width: 600px;" /></a></p> <p>除了SP 800-221、COSO ERM框架的指引，不論身處何種產業，每個組織都會實施風險管理，所參考的標準，可能是國際常見的ISO 31000、美國政府採用的ERM Playbook，或是依據ISO 31000而成的CNS 31000，就觀念而言，它們幾乎沒有差別。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Similarities among selected ERM and risk management documents.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Similarities%20among%20selected%20ERM%20and%20risk%20management%20documents.png" style="width: 600px;" /></a></p> <p>關於ERM與ICTRM的整合，在NIST SP 800-221當中，整個組織是透過能夠綜覽全局的企業風險登錄（Enterprise Risk Register，ERR），以及具有優先處理順序的企業風險剖析（Enterprise Risk Profile，ERP），來支撐這樣的觀察。</p> <p><a href="https://s4.itho.me/sites/default/files/images/ICTRM as part of ERM.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ICTRM%20as%20part%20of%20ERM.jpg" style="width: 400px; float: right;" /></a></p> <p>對於這樣的組成架構，張晉瑞針對每個要素進行解說。首先，每一種風險會有一份登錄表作為輸入，這份表格來自一層層的風險記錄與描述，裡面也需要載明擁有者（負責人），以及可能性與影響程度的評估，每一條敘述就是一個Register，而且會依循系統、部門（低階組織）、公司（整個組織）、集團（整個企業）等層級逐一累積，進行登記。</p> <p>而且，在每一個層級當中，除了進行風險的彙總（aggregate），我們需要進行正規化（normalize），而且，評選的標準與相關的作法要有一致性，最終可形成企業風險剖析。張晉瑞強調，簡而言之，當公司要審視整體風險的時候，應該有一個能夠全面檢視的內容，這些是從系統、組織的層級，一個個往上累積而成的，因此，當公司高層詢問資安工作推動現況，我們可能在進行整體報告的過程中，呈現「風險可控」的狀態，因為是經由多個面向逐一評估、累積而來。</p> <p>那麼，接下來ICT風險該如何與ERM連結？張晉瑞說，風險就是我們想要達到目標會面臨的不確定因素，一個公司業務要成長，或者是要推動南向發展、取得新的訂單、開發新的產品、併購新的對象，但在完成這些目標之前，可能會面臨財務、資安、供應鏈、隱私、信譽，以及法規等層面的風險，我們可透過國際的企業風險管理框架，將這些考量納入。</p> <p><a href="https://s4.itho.me/sites/default/files/images/PWC-ICTRM3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PWC-ICTRM3.jpg" style="width: 600px;" /></a></p> <h3><strong><span style="color: rgb(0, 0, 255);">正視企業整合資通訊科技風險管理的挑戰</span></strong></h3> <p>然而，在實務推動這些工作時，我們遇到哪些常見的問題？張晉瑞與客戶討論風險管理時，第一個面臨的挑戰是科技與生態系統的複雜度不斷增加，例如，人工智慧的發展，從專家式AI到到生成式的AI，如今是代理式的AI，新科技不斷出現，風險也持續變化，因此，我們要不斷更新對這些技術的認識，讓我們辨識的風險能夠往上跟公司的策略目標產生連結。</p> <p>第二個問題是ICT風險分析方法的不一致，因為每個部門、每個層級執行風險分析的方法可能不一樣，例如系統分析時，我們可能從IT技術的角度來著手處理，然而，該如何跟公司層級的分析之間維持一致的關係，因此，我們會需要正規化的處理。</p> <p>接下來的挑戰與上面有關，那就是：過度關注系統層級的風險管理，缺乏企業視角。一般而言，資訊、資安人員最容易面臨這類挑戰，很難跟非技術背景的董事會成員溝通資通訊科技風險的重要性，為何如此？因為我們關注的是系統層級的風險，我們沒有辦法跟企業視角連結，需要花一些時間說明，前面提到的NIST SP 800-221等框架，也會探討風險如何連結的議題，這部分需要透過多練習、多思考、多表達，進而弭平認知差異。</p> <p>第四個整合的問題，則是ICTRM的輸出與ERM 的輸入之間存在差距，也和第二、第三個困難有關。關於ICT風險的呈現，我們可能都會從技術的角度加以說明，而非系統面的呈現，但是，就企業風險管理的層級而言，或許無法直接對應到策略目標的達成、組織願景的實現，所以在輸出（ICTRM）與輸入（ERM）的對接，可能都會有一條鴻溝需要跨越。</p> <p><a href="https://s4.itho.me/sites/default/files/images/PWC-ICTRM4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PWC-ICTRM4.jpg" style="width: 600px;" /></a></p> <h3><span style="color:#0000FF;"><strong>歐盟數位營運韌性法案的實施，突顯資通訊科技風險的重要</strong></span></h3> <p>該如何更有效地整合資通訊科技風險管理與企業風險管理？以金融領域而言，針對ICT 營運韌性，目前已有相關的法規遵循要求。這個範例來自<a href="https://www.eiopa.europa.eu/digital-operational-resilience-act-dora_en">歐盟推出的《數位營運韌性法案（Digital Operational Resilience Act，DORA）》</a>，於今年1月17日生效，實施目的是為了確保銀行、保險公司、投資公司和其他金融機構能夠抵禦、應對和恢復ICT中斷，例如網路攻擊或系統故障，該項法規統一與金融業營運韌性相關的規則，適用於20 種金融機構和ICT 第三方服務提供者。</p> <p>張晉瑞強調，DORA是國際資安發展的重要潮流，臺灣的主管機關也會跟進，要求企業遵循相關規定。他也特別提醒大家注意DORA規範的金融機構，並不只是傳統的銀行、保險、證券，還包括提供新興金融服務的公司，例如虛擬資產交易所、群眾募資（crowdfunding）平臺，而且，也涵蓋第三方服務提供者，包括透過基礎設施、資料中心、雲服務，將ICT系統與服務提供金融業使用的廠商與業者，都是DORA認定的第三方服務提供者。</p> <p><a href="https://s4.itho.me/sites/default/files/images/DORA coverage.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/DORA%20coverage.png" style="width: 600px;" /></a></p> <p>為了讓大家更快了解DORA的規範，張晉瑞針對六大範圍提出說明，前三類屬於從主管機關的角度出發所提出的要求，後三類則是企業本身要執行的工作。它們分別是：</p> <p><strong><span style="color:#FF0000;">ICT風險管理</span></strong></p> <p>DORA要求金融機構針對ICT風險建立穩健、周延、妥善寫成文件的管理框架，作為整體風險管理系統的一部分，當中涵蓋保護、偵測、遏制、恢復和修復措施。張晉瑞認為，這也就是前面提到的ICTRM、NIST SP 800-221，組織可自行建立，如果沒有想法，也能參考這些框架來設置。</p> <p><span style="color:#FF0000;"><strong>ICT相關事故</strong></span></p> <p>對於ICT相關事故，DORA要求金融機構建立記錄、監控、管理，以及回報主管機構的機制，根據事件的嚴重程度，可能需要向監管機構、受影響的客戶，以及合作夥伴報告，張晉瑞認為，這個其實就是資安事件的通報，DORA特別針對ICT有這樣的要求。</p> <p><strong><span style="color:#FF0000;">數位營運測試</span></strong></p> <p>針對ICT的持續運作，DORA要求金融機構定期測試，實際驗證是否具備應付ICT中斷的能力，不要只是紙上談兵。張晉瑞說，這在NIST SP 800-221也提到，組織可參考當中的指引，了解該怎麼準備。</p> <p><span style="color:#FF0000;"><strong>資訊共享</strong></span></p> <p>這是指網路威脅資訊與情報的交流，張晉瑞表示，目前歐盟DORA對於網路威脅情資的態度，是鼓勵而非強制要求（encouraged by not “required”），而在臺灣，是金融業有F-ISAC，其他的產業都各有ISAC，大家的目的其實都是為了分享情資，使彼此很快知道現在外面到底發生什麼事情？會不會輪到自己遭到攻擊？</p> <p><span style="color:#FF0000;"><strong>ICT第三方風險管理</strong></span></p> <p>面對向金融機構提供服務的關鍵ICT 第三方服務提供者，DORA也要求金融機構要建立監督機制。張晉瑞認為，這意味著，我們要有方法管理、監督第三方供應商造成的風險，呼應企業風險管理框架提到的這類議題，此時可以將參考相關的要求，或從中延伸，找出適合組織本身的合規方式。</p> <p>針對關鍵的ICT 第三方服務供應商（critical ICT third-party service providers），歐洲監管機構（European Supervisory Authorities，ESAs）可實施監督。張晉瑞解釋，ESA旗下有多種監管機構的小組，對於關鍵第三方供應商，像是大型的雲端服務廠商，會有很多要求，如果供應商不合格或違反第三方風險管理的原則，將面臨ESAs的懲罰或被要求執行相對應的作為。</p> <p>就法規要求而言，張晉瑞認為，歐盟推動的DORA與臺灣金管會實施的<a href="https://www.ithome.com.tw/tags/%E9%87%91%E8%9E%8D%E8%B3%87%E5%AE%89%E8%A1%8C%E5%8B%95%E6%96%B9%E6%A1%88">金融資安行動方案</a>，有共通之處。例如，金融資安行動方案追求安全、便利、不中斷的金融服務目標，當中的「不中斷」其實就是營運韌性，只是DORA更加明確列出技術要求，並且提供很多特別的補充說明。</p> <p><a href="https://s4.itho.me/sites/default/files/images/PWC-ICTRM5.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PWC-ICTRM5.jpg" style="width: 600px;" /></a></p> <h3><strong><span style="color:#0000FF;">盤點企業整合資通訊科技風險管理的必要性</span></strong></h3> <p>綜合NIST SP 800-221的指引與歐盟DORA的規範，我們可以看到整合資通訊科技風險管理與企業風險管理的必要性，張晉瑞表示，這能提供兩大理由。</p> <p>首先是能提升組織營運韌性，以DORA為例，歐盟希望金融機構在ICT面臨嚴重的中斷狀況時，營運還能夠繼續維持，而且，一旦發生資安事故，組織能夠知道有方法回應，妥善處理相關事宜，因為企業風險整合ICT風險之後，將有助於組織建立保護、偵測、遏制、恢復和修復ICT相關事件的能力。除此之外，面臨各種突發狀況，張晉瑞提醒，組織的營運韌性並不只是考量財務的層面，準備資本來應付市場的活動，更包括本身能否具備充足的應變能力，能夠持續運作而不中斷，因此，提升組織營運韌性，是ICT風險管理與企業風險管理都無法迴避的議題。</p> <p>另一個理由是優化戰略決策，因為組織需認知為何要投資推動風險管理，以及ICT風險對企業戰略目標的潛在影響。為了幫助大家理解這當中的關係，張晉瑞重申風險管理的本質，就是為了正視影響策略目標達成的因素，而且我們要知道當中的關聯在哪裡，後續進行決策時，就能因為充分納入這些考量而更有依據，而且是決定重要業務跟策略的基礎。</p> <p>舉例來說，如果企業到國外投資，當地水電的供應如果不穩定，可能就會對營運造成重大的影響，而這就是其中一種ICT風險，我們需要納入整體考量，以便做出更明智的技術投資和業務擴張決策。</p> <p>此外，ICT風險管理與企業風險管理也牽涉資源的有效分配，以及應對策略的優先順序排列。該如何在組織內部推動這項工作？張晉瑞舉出歐盟DORA的例子，呈現金融機構面臨的營運韌性法規遵循要求，他預期未來臺灣對營運韌性的期望也會越來越高，受到較高要求的金融業通常是率先施行此類規範的產業，許多重要的產業勢必也將逐漸往同樣的方向靠近。</p> <p>如此一來，我們與高階主管溝通ICT風險管理時，透過這樣的角度，能夠有同樣水平的對話，而且可以與全公司的管理放在一起考量，因為風險管理應該是全公司用同一套方法，然後由上而下推動。</p> <p><a href="https://s4.itho.me/sites/default/files/images/PWC-ICTRM6.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PWC-ICTRM6.jpg" style="width: 600px;" /></a></p> </div></div></div>
2025/5/8 11:20作者李宗翰https://www.ithome.com.tw/news/168795
OpenAI發表OpenAI for Countries，將協助各國打造AI基礎設施
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/global-affairs/openai-for-countries/" target="_blank">OpenAI周三（5/7）發表了OpenAI for Countries</a>，宣稱這是Stargate Project的一項新倡議，將協助各國打造基於民主的AI基礎設施，預計第一階段將與10個國家或地區展開合作。</p> <p>由川普政府推動並支持的Stargate Project是個與AI基礎設施有關的專案及公司，準備在未來4年投入5,000億美元，於美國替OpenAI建置新的AI基礎設施。Stargate初期的股權投資人包括OpenAI、日本軟體銀行（SoftBank，軟銀）、甲骨文（Oracle）與MGX，由軟銀負責財務，OpenAI負責經營，董事長為軟銀創辦人孫正義。再者，Arm、微軟、Nvidia、甲骨文與OpenAI也都是Stargate的技術合作夥伴。</p> <p>OpenAI for Countries的發表顯示出OpenAI的野心不僅限於美國，還計畫將觸角延伸至全球市場。</p> <p>根據OpenAI的說法，有許多國家請求該公司建造類似的AI基礎設施，它們想要自己的Stargate專案，因為相關的基礎設施將成為未來經濟成長與國家發展的支柱；OpenAI想要支持那些希望AI發展可建立在民主軌道上的國家，提供一種明確的替代方案，以對抗那些利用AI來鞏固權力的威權體制。</p> <p>OpenAI把OpenAI for Countries稱為新型態的合作關係，奠基在正式合作及與美國政府協調的基礎上，將協助各國於該國境內建置資料中心容量，提供符合當地需求的ChatGPT，持續改善AI模型的安全控制，共同籌募及部署一個國家創業基金。</p> <p>此外，參與OpenAI for Countries的國家也會投資以擴大Stargate Project，支持由美國主導的AI領導地位，形成愈來愈強大的全球性民主AI網路。</p> <p><a href="https://bgr.com/tech/openai-for-countries-will-give-chatgpt-a-huge-advantage-but-thats-not-good-news/" target="_blank">科技媒體BGR評論</a>，OpenAI for Countries可說是Stargate的國際版，儘管OpenAI是要協助全球建立民主化的AI生態系統，但這些合作也將替OpenAI帶來顯著的優勢及市場地位，可能會抑制AI領域的競爭，而AI壟斷恐怕會比瀏覽器或搜尋的壟斷嚴重得多。</p> </div></div></div>
2025/5/8 11:23作者陳曉莉https://www.ithome.com.tw/news/168831
醫材廠Masimo遭網路攻擊影響產線運作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.sec.gov/Archives/edgar/data/937556/000110465925045035/tm2514064d1_8k.htm" target="_blank">美國醫療器材業者Masimo 4月底遭到網路攻擊</a>，影響實體產線運作及訂單交付，但初步判定雲端系統未受影響。</p> <p>Masimo總部位於加州，生產多種病患監護設備，包括光學血氧、血壓計等感測器、以及遠距醫療方案。</p> <p>根據Masimo提交美國證管會的文件報告，4月27日Masimo偵測到公司本地網路非授權活動。該公司立即中止入侵活動並隔離受影響系統，也找來專業機構啟動調查。</p> <p>經過初步調查顯示，Masimo部份製造設施以「低於正常水準」運作，且暫時影響公司處理、交付客戶訂單及出貨的能力。目前Masimo致力於將恢復受影響的網路區段、回復公司營運並降低事件的衝擊程度。</p> <p>該公司調查持續進行中，尚不知影響範疇，以及攻擊事件是勒索軟體或是其他攻擊行動。但Masimo相信本事件並未影響其雲端系統。</p> <p>目前尚未有勒索軟體組織出面宣稱發動攻擊。</p> </div></div></div>
2025/5/8 11:33作者林妍溱https://www.ithome.com.tw/news/168832
微軟4月安全更新導致Server 2025驗證問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟證實，<a href="https://learn.microsoft.com/en-us/windows/release-health/status-windows-server-2025" target="_blank">安裝4月安全更新的部份Windows Server 2025系統網域控制器（domain controller）發生驗證問題</a>。</p> <p><a href="https://windowsforum.com/threads/april-2025-windows-patch-breaks-kerberos-authentication-how-to-fix-and-secure-your-environment.365110/" target="_blank">Windows獨立論壇用戶指出</a>，Server 2016（KB5055521）、2019（KB5055519）、2022（KB5055526）也受到影響。</p> <p>微軟說，Server 2025機器在上個月安全更新中安裝KB5055523後，其Active Directory（AD）網域控制器（Domain Controller）在處理使用憑證型憑證的Kerberos登入或委派時，可能會出現問題，因為這類憑證仰賴AD的msds-KeyCredentialLink欄位中的金鑰信任（Key Trust）機制。</p> <p>這問題可能導致使用Windows Hello for Business（WHfB）金鑰信任（一種無密碼驗證技術），或是部署裝置公鑰驗證（Device Public Key Authentication，又稱Machine PKINIT）的環境發生驗證問題。此外，其他使用這項功能的產品也可能受影響，像是智慧卡驗證、第三方單一登入（single sign-on）以及身分管理系統。</p> <p>微軟解釋，此問題根本原因是4月安全更新為了解決Kerberos驗證中的安全漏洞（CVE-2025-26647），微軟在更新中引入新的憑證驗證行為。更新後，DC會檢查用戶端憑證是否鏈結到NTAuth中的根憑證。由於新的驗證更為嚴格，因此若憑證未鏈結到NTAuth Store的根憑證，即導致驗證失敗。</p> <p>受影響的協定包括Kerberos PKINIT，影響Windows Hello for Business，及二種憑證類Service-for-User (S4U)委派，包含二種委派方式：Kerberos Constrained Delegation (KCD or A2D2 Delegation)及Kerberos Resource-Based Constrained Delegation (RBKCD or A2DF)。</p> <p>暫時解決方案是設定登錄機碼，允許修改值以繞過NTAuth Store檢查（不過會降低安全性）。微軟提供方法如下：</p> <p>HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Kdc</p> <p>AllowNtAuthPolicyBypass = 1</p> <p>微軟說正在製作解決方案，會儘快釋出。</p> <p>這是4月安全更新二周之內第二次引發問題。上周也傳出企業中的Windows 11 22H2、23H2電腦安裝了安全更新KB5055528後，無法從WSUS（Windows Server Update Service）升級到24H2。<a href="https://learn.microsoft.com/en-us/windows/release-health/status-windows-11-22h2#windows-11--version-24h2-might-not-download-via-windows-server-updates-services" target="_blank">微軟上周緊急釋出</a>「<a href="https://techcommunity.microsoft.com/blog/windows-itpro-blog/known-issue-rollback-helping-you-keep-windows-devices-protected-and-productive/2176831" target="_blank">Known Issue Rollback</a>」修補該問題。但IT管理員必須先為受影響的企業電腦設定群組政策。</p> </div></div></div>
2025/5/8 10:52作者林妍溱https://www.ithome.com.tw/news/168819
微軟4月修補的零時差漏洞也遭Play勒索軟體駭客覬覦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.security.com/threat-intelligence/play-ransomware-zero-day" target="_blank">資安廠商賽門鐵克發現</a>，4月初微軟安全更新修補的零時差漏洞，其實也曾遭Play勒索軟體的駭客攻擊，植入竊密程式。</p> <p><a href="https://www.ithome.com.tw/news/168323" target="_blank">上個月微軟發佈Patch Tuesday安全更新修補126項安全漏洞</a>，包含一項零時差漏洞CVE-2025-29824。該漏洞為位於Windows通用事件記錄檔案系統（Common Log File System，CLFS）驅動程式的使用已釋放記憶體（Use After Free，UAF）漏洞，可讓已獲得授權的攻擊者提升本地權限。</p> <p>當時微軟判斷該漏洞已遭被稱為Storm-2460的駭客組織濫用散佈勒索軟體RansomEXX，受害組織包括美國IT業者、委內瑞拉金融業者、西班牙軟體公司、沙烏地阿拉伯零售業者。</p> <p><a href="http://www.security.com/threat-intelligence/play-ransomware-zero-day" target="_blank">但博通旗下資安業者賽門鐵克本周公佈其研究</a>，一個和Play勒索軟體有關的攻擊者也曾利用CVE-2025-29824，對一家美國組織發動惡意程式以提升權限。這組駭客並未部署勒索軟體，但植入了竊資程式Grixba，這個程式被認為和Play勒索軟體背後的Balloonfly有關。</p> <p>Balloonfly至少從2022年6月開始活動，並使用Play勒索軟體為禍，攻擊北美、南美和歐洲多家企業和關鍵基礎架構。</p> <p>在最近的攻擊中，研究人員推斷Balloonfly先是鎖定面向網際網路的Cisco ASA防火牆，然後以某種不明方法在受害者網路上濫用本漏洞移動到Windows機器上。除了Grixba竊資程式及CVE-2025-29824濫用程式外，駭客還部署了其他惡意程式及駭客工具。研究人員尚不知這些程式為何，但是是位於Music資料匣，冒充Palo Alto軟體之名，例如1day.exe。</p> <p>Balloonfly濫用CVE-2025-29824，目的在提升權限並竊取位於C:\ProgramData\Events\中的敏感Windows註冊表資料。在濫用過程中，駭客建立了CLFS log檔及一個DLL檔，後者是用來注入winlogon.exe行程，並且生成二個批次檔。其中一個servtask.bat存在C:\ProgramData下，用於SAM、SYSTEM及SECURITY Registry中的管理員群組中新增用戶，藉此權限。另一個named cmdpostfix.bat則用於刪除活動跡證。</p> <p>基於濫用CVE-2025-29824的手法，研究人員判斷，Balloonfly不同於Storm-2460；Storm-2460是從dllhost.exe行程，在記憶體中啟動濫用行為，而賽門鐵克發現的卻並非無檔案（fileless）濫用行為。因此讓賽門鐵克研究人員相信，在微軟修補之前，漏洞已遭到至少二組攻擊者濫用。</p> </div></div></div>
2025/5/8 11:04作者林妍溱https://www.ithome.com.tw/news/168824
臺廠普萊德修補交換器、網路設備管理軟體重大漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>4月25日臺灣工控網路設備製造商普萊德（Planet）發布資安公告，指出旗下部分<a href="https://www.planet.com.tw/en/support/security-advisory/6">型號的交換器</a>、<a href="https://www.planet.com.tw/en/support/security-advisory/7">網路設備管理軟體</a>存在資安漏洞CVE-2025-46271、CVE-2025-46272、CVE-2025-46273、CVE-2025-46274、CVE-2025-46275，這些漏洞可被用於遠端執行任意程式碼（RCE）、權限提升，以及未經授權存取列管裝置，4.0版CVSS風險達到9.3（3.1版風險值介於9.1至9.8分），相當危險，對此，普萊德已發布修補程式因應。</p> <p>我們也進一步向普萊德確認此事，該公司表示他們收到美國網路安全暨基礎設施安全局（CISA）的通報，並於4月24日前完成修補，後續進行公告並回報CISA。</p> <p>而對於上述資安漏洞的影響範圍，CVE-2025-46272、CVE-2025-46275存在於交換器設備WGS-804HPT v2、WGS-4215-8P2S，另外3項漏洞則影響管理軟體UNI-NMS、NMS-500，以及NMS-1000V。</p> <p>其中，CVE-2025-46272為作業系統命令注入漏洞，一旦攻擊者成功觸發，就有機會在未經授權的情況下發動攻擊，並以系統層級權限執行任意命令；另一個存在於交換器的漏洞CVE-2025-46275，則是能被用於權限提升及未經授權存取，起因是重要功能缺乏身分驗證，使得攻擊者能任意建立管理員帳號。</p> <p>其餘影響管理軟體的資安漏洞，CVE-2025-46271可被用於遠端執行任意命令，而且，攻擊者無須取得授權；CVE-2025-46273則是寫死（Hard-coded）帳密弱點，攻擊者有機會得到完全控制；至於CVE-2025-46274，也涉及特定的帳密，攻擊者能藉此操控或監視列管設備。</p> <p>發現這批漏洞的資安業者Immersive Labs<a href="https://www.immersivelabs.com/resources/blog/how-we-discovered-planet-technology-network-device-vulnerabilities">透露如何找到這些漏洞的細節</a>，並指出他們根據物聯網搜尋引擎Shodan、Censys進行搜尋，結果在網際網路上找到4,946臺設備可能曝險，呼籲用戶應儘速處理。</p> </div></div></div>
2025/5/7 17:51作者周峻佑https://www.ithome.com.tw/news/168811
【2025臺灣資安年鑑｜數發部資安署署長蔡福隆】致力打造「可信賴」數位環境，臺灣資安邁向全面升級之路
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/0508-zi_an_nian_jian_-cai_fu_long_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">攝影／洪政偉</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來，隨著雲端運算、物聯網、以及大數據等技術迅速普及，各行各業皆面臨著來自數位領域的前所未有挑戰。在全球數位轉型浪潮席捲各國的當下，資訊安全已不僅僅是技術議題，更關乎國家安全與產業競爭力。</p> <p>臺灣政府在推動數位國家2.0戰略過程中，必須與全球趨勢接軌，從而在技術層面上持續創新。甫接任數位發展部資通安全署署長一職的蔡福隆，先前已經累積豐富的金融監理實戰經驗。而臺灣作為國際舞臺上的重要一員，其資安政策的落實與創新更成為各界關注的焦點。</p> <p>身處全球數位轉型與網路威脅急速演進的時代，建立一個可信賴的資安環境已成為國家安全的重要支柱。蔡福隆強調：「積極對話、公私協力是臺灣面對挑戰、打造堅固防線的必經之路。」</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>從金融監管轉型到國家資安守護者，推動「可信賴」數位環境</strong></span></span></p> <p>蔡福隆曾任金管會主任秘書、金管會資訊處處長等職務，其豐富的金融監理經驗讓他對風險控管與產官合作有著深刻體認，上任僅短短數月，他便肩負起推動臺灣資安政策落實、提升關鍵基礎設施防禦，以及強化國家防護體系的重任。</p> <p>回顧蔡福隆的職涯轉換，不僅體現他在風險控管與嚴謹管理上的專業積累，更反映出資安領域快速變化的迫切需求。畢竟，金融業一向講究風險控管與監理制度，資安領域充滿著瞬息萬變的攻防挑戰，也正是這樣的背景，讓蔡福隆能夠從金融業的嚴格要求中汲取經驗，並以更靈活多變的方式，推動政府跨部會間的協同合作與資安政策落實。</p> <p>「面對日益嚴峻的資安環境，打造一個全民皆備防護意識、機制健全的數位環境，確保資安即國安的理念能真正落實。」他強調，這不僅是一份職務和使命，更是他對臺灣社會與產業負責的承諾。</p> <p>因此，蔡福隆接任資安署長後，訂定的整體目標在於，致力打造「可信賴」的數位環境，推動政策落實，並且深化跨界對話與合作。強調「資安即國安」的重要理念。</p> <p>為此，蔡福隆也想打破外界刻板印象，展現主動對話與透明溝通態度，扮演更積極的角色。過去外界對資安署的角色存在不少誤解，甚至有「資安署長失蹤」之類的揶揄聲音。</p> <p>面對這種情況，蔡福隆採取了積極主動的溝通策略，強調與產官學各界建立更緊密的互動關係。他表示，透過與媒體、業界人士頻繁對話，不僅可以正確傳遞資安署的使命與工作內容，更能獲得各界對資安防護現況的真實反饋，進而不斷改進與完善政策執行。金管會工作期間累積的溝通與監管經驗，讓他深知監管需嚴謹，但同時也必須給予業界充分的發聲空間，以達到政策與市場雙向互動的平衡。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>從個人到國家，打造全社會的資安防禦防線</strong></span></span></p> <p>「資安不僅是專業部門的責任，」蔡福隆認為，隨著資訊技術的普及，網路滲透至生活的每一個角落，從企業、學校到政府機關乃至家庭，每個連接網路的設備都可能成為攻擊的入口，所以資安已經是每個組織、每位公民不可或缺的責任。</p> <p>所以，為了完善國家資安應變機制，他指出，資安署以「零信任」網路作為基礎，建構跨領域的國家資安事件應變團隊，確保在面對大規模或複合性網路攻擊時，各界能夠迅速調動資源、協同作戰。他說，這也包括運用人工智慧（AI）技術建立威脅偵測模型，並透過大數據分析實現主動預警，從而及早發現安全漏洞，進行損害管制。</p> <p>再者，資安署也會針對《資安法》納管的政府機關、特定非公務機關、國營事業、行政法人及其他重要單位，蔡福隆指出，資安署將逐步擴大防禦範圍，並結合民間力量推動全民資安防護，建構全社會資安防護網。未來，資安署也會計畫辦理一系列活動，包括資安巡迴研討會、資安競賽、資安月報與線上數位課程，進一步提升民眾對於社交工程攻擊、密碼管理，以及不明連結風險的警覺性。</p> <p>蔡福隆強調，只有通過政府、企業與學界的緊密合作，才能形成一個防禦網，抵禦日益複雜的網路攻擊。未來，資安署會強化公私協力，建立情資共享機制，促進跨部門與跨產業合作，並持續舉辦企業藍隊演練，以實戰檢驗防禦效果。</p> <p>為了協助資通訊產品的安全，蔡福隆表示，資安署將負責審核與發布臺灣資訊產品中發現的資安漏洞，並協調相關廠商及時修補問題。透過鼓勵企業加入TWCERT / CC，進一步強化臺灣企業資訊產品的資安防護能力。</p> <p>全民資安意識的培養，也是全社會資安防禦的重點，蔡福隆表示，在數位化的環境中，民眾的資安意識對整體防護體系至關重要。為了提高全民對資安議題的重視，資安署計畫舉辦多元宣導活動，例如資安月、資安競賽以及線上資安講座等，讓民眾學習如何保護個人資料、正確設置密碼、識別釣魚網站與防範社交工程攻擊。這些活動不僅將普及資安知識，也有助於建立社會對資安議題的共同認知。</p> <p>此外，也會透過與教育部、學界及民間資安專業機構合作，設立獎學金、舉辦資安創新競賽與實戰演練，從青少年到在職人員，全面提升資安素養。</p> <p>為了促進公私部門之間的資安對話，蔡福隆表示，未來將持續與產業、學界及政府部門舉辦跨界座談與論壇，藉由開放式的對話與交流，建立更完善的國家資安防護網路。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0508-%E8%B3%87%E5%AE%89%E5%B9%B4%E9%91%91-%E8%94%A1%E7%A6%8F%E9%9A%86-%E6%8A%BD%E8%A8%801.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">攝影／洪政偉</span></span></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>提升關鍵基礎設施資安防護，建立國家層級威脅模型</strong></span></span></p> <p>蔡福隆指出，關鍵基礎設施（CI）是維繫國家正常運作的命脈，涵蓋油、水、電、交通、通訊、金融、醫療等各個層面，如果任何一處發生資安漏洞，都有可能引發系統性風險，影響國家安全與經濟穩定。</p> <p>因此，資安署也會建立CI資安防衛體系，他指出，運用AI技術與大數據分析，持續蒐集各領域的各種資安威脅特徵，進而建立國家層級的威脅模型。他說：「這樣一來，當異常現象出現時，系統可自動預警並及時調動防禦措施，降低風險。」</p> <p>由於工控系統（OT）具備高度專業性與複雜性，其資安防護需求尤為特殊，蔡福隆表示，為了提升CI工控系統防護能量，資安署預計參考國際標準，訂定各領域可參考的防護指引或工控資安防護基準。</p> <p>另外，蔡福隆說，資安署也會加強邊界保護，重點管控網路進出，確保內部系統不受外部不法存取；同時落實資安稽核，定期檢核各單位是否依據標準落實相關的資安措施，並提供改進建議。</p> <p>同時，資安署江建立專業團隊進行深度的資安檢測，蔡福隆解釋，這類似於人體健康檢查的概念，針對關鍵基礎設施進行更細緻的資安檢測，發掘潛在漏洞並迅速修補。這不僅能夠降低資安風險，也能夠提升整體防禦能力。</p> <p>此外，資安署也會加強OT人員的專業培訓，蔡福隆進一步解釋，資安署將推動專門針對工控系統操作人員的資安培訓，提升他們對於新興威脅的識別與應對能力，確保操作安全。對於《資安法》納管的單位，資安署將提供客製化的輔導，協助機關完善在策略、管理與技術層面德資安防護，並定期組織實地輔導，追蹤防護成效。</p> <p>更重要的是，他表示，為了確保各單位資安防護措施得以落實，資安署將建立與行政院稽核查檢相結合的「IT/OT資安治理成熟度」評估機制，統整分析各單位現況，並針對性地提出改進建議，也會與相關單位合作建立資安防護訊息平臺，共享威脅情報與防護案例，促進跨部門溝通與資源整合。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>強化資安產業發展，推動產品驗測制度</strong></span></span></p> <p>在蔡福隆看來，資安產業不僅是技術的展示，更是作為整個資安生態系的「火車頭」，唯有建立健全的產業生態系，才能有效吸引並培養優秀資安人才，促使政府、產業與學界形成良性循環。</p> <p>所以，他說，資安署將與數位產業署密切合作，從需求面著手，鼓勵國內企業研發自主產品與解決方案。同時，在政府各項計畫中，將優先採用國產資安產品，並推動中小企業採用雲端部署的資安服務，以擴大市場規模，進一步提升臺灣資安產業的國際競爭力。</p> <p>另外，他表示，資安署也和公共工程委員會合作，修訂《資訊服務採購契約範本》，並制定投標業者的資安服務水準（SLA），建立統一的資安合規審查標準。這不僅能確保政府機關在採購時優先選用國產自主產品，還能推動整個產業向著更高標準發展。<br /> 透過推動全社會資安防禦，他表示，政府也會擴大市場對資安產品與服務的需求。各級政府部門、國營事業及民間企業在提升自身防護能力的同時，也將成為資安產品的重要用戶，進而促使國內企業加大自主研發的投入。</p> <p>為了提升臺灣資安產品的國際競爭力，他說，資安署計畫協助國內企業拓展國際市場，爭取政府資源支持，並促成與國際標準接軌的產品認證，讓臺灣資安技術在國際舞臺上大放異彩。「可惜的是，今年出國費用全遭到刪減，原先預計帶臺灣廠商出國參展的計畫也被迫中止。」蔡福隆說。</p> <p>此外，政府將積極與大專院校、研發機構及業界合作，共同打造資安創新平臺，舉辦各類創新競賽與實戰演練，蔡福隆認為，要從根本上培育並留住資安人才，才能推動產業持續進步。</p> <p>資安產品的安全性是整個防護體系中的基石，蔡福隆表示，資安署會針對涉及國家安全的網路產品推動驗測制度，求廠商定期進行安全檢測與漏洞修補，並在採購時優先考慮經驗證合規的產品。</p> <p>他指出，資安署也會評鑑各資安服務廠商的能力，定期訪視廠商的資安措施，透過情資驅動的公私聯防機制，協調處理企業重大資安事件，確保市場上產品的安全性與可靠性。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0508-%E8%B3%87%E5%AE%89%E5%B9%B4%E9%91%91-%E8%94%A1%E7%A6%8F%E9%9A%86-%E6%8A%BD%E8%A8%802.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">攝影／洪政偉</span></span></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>跨國攻防演練CODE 2025將鎖定醫療領域</strong></span></span></p> <p>面對日益複雜的網路攻擊手法，蔡福隆指出，新興科技尤其是人工智慧（AI）與大數據技術將成為防禦端的重要武器。</p> <p>因此，他表示，資安署將運用AI技術，建立自動化防禦平臺，整合各類資安資料，進行實時威脅分析與預警。這將有助於在駭客利用AI技術進行自動化攻擊時，迅速調整防禦策略，縮短反應時間，降低損害風險。</p> <p>蔡福隆強調，資安署也會推動平臺化與自動化整合多元資安防護工具，打造統一的防禦平臺，使各類安全產品能夠協同運作，形成自動化的防禦網路。這不僅提升防禦效率，也為產業界提供一個標準化的技術參考。</p> <p>此外，他指出，資安署將持續關注生成式AI等新興技術的發展，研究如何將其應用於入侵偵測、行為分析及安全事件處理上，確保在技術競賽中不落人後外，網路攻擊無國界，蔡福隆認為，國際合作是提升整體資安防護能力的關鍵。所以，資安署深化與友好國家的資安交流，與各國資安機構簽署合作備忘錄（MOU），進行雙邊情資交換與技術交流；定期舉辦前瞻資安探索會議（ACE）等國內外資安專家座談會，探討資安防護的最新挑戰與對策。藉由共享最佳實務與經驗，為臺灣資安政策的制定提供參考，進一步提升整體防護效能。</p> <p>像是今年在臺灣舉辦的跨國網路攻防演練「CODE 2025」，資安署將以醫療領域作為演練主題，邀請國外專家組成紅隊，並由國內包括馬偕醫院、臺大醫院、國泰醫院、新光醫院與長庚醫院等醫療機構組成藍隊，進行真實攻防模擬演練。這不僅有助於檢驗國內關鍵領域的防護能力，也促進國際間資安經驗的交流與共享。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>「信賴資安，守護臺灣」的政策藍圖與全國共識</strong></span></span></p> <p>蔡福隆認為，資安是持續精進的風險管理工作，唯有透過政府、產業與學界的攜手合作，才能在面對日益嚴峻的網路威脅時，構築堅不可摧的防護網。</p> <p>他指出，「信賴資安，守護臺灣！」更是臺灣資安政策藍圖，隨著「第七期國家資通安全發展方案」預計於今年第三季正式發布，屆時，臺灣的資安政策將進一步從藍圖轉化為具體措施，全面提升國家數位韌性。</p> <p>他也說，「第七期國家資通安全發展方案」不僅是資安署未來四年的行動指南，更是臺灣邁向安全數位時代的重要里程碑。隨著各項政策措施逐步落實，臺灣將在全球資安領域展現更強的競爭力與領導力，為全國民眾帶來一個更安全、穩健的數位未來。</p> <p>同時，蔡福隆也強調，人才是資安防護的根本，臺灣必須從政府、產業與學界三個層面系統性地擴大人才培育力度，例如：今年將有近500位非資訊背景的公務人員接受轉職訓練，同時辦理資安長共識營、資安主管研習及政府藍隊實戰培育等課程。與此同時，與17家大專院校簽訂合作協議，共同追蹤培訓品質與成效，並鼓勵報考高考三級資通安全類科。</p> <p>面對內部人力短缺、預算壓力及國際經費削減等挑戰，他表示，資安署將持續與各界深入對話，借鏡其他領域成功經驗，務實推動資安防護措施落實，確保臺灣資安防線不會斷裂，為國家數位未來保駕護航。蔡福隆期許能透過卓越人才的培育、壯大資安產業與公私協力的積極對話，構築一個安全可信賴的數位環境。</p> <p>在全球網路威脅不斷升級的背景下，駭客利用生成式AI等先進技術發動攻擊的現實，臺灣必須以全社會之力，共同構築安全、可信賴的資安環境。</p> <p>蔡福隆表示，資安署從完善全國資安防禦體系、強化關鍵基礎設施防護、推動自主資安產品研發與國際合作等一系列政策措施，到透過跨部門協作及公私合作，凝聚全國共識，都為臺灣打造堅韌的資安防線，並為迎接未來挑戰奠定堅實基礎。</p> <p>蔡福隆指出：「政府的角色是協調者，通過政策引導與市場激勵，讓每一位國民、每一個企業都能參與進來，共同守護我們的數位家園。」</p> <p><a href="https://www.tenlong.com.tw/products/9789860654349?list_name=srh" target="_blank"><span style="color: rgb(51, 102, 255);"><strong>本文出自《CYBERSEC 2025 臺灣資安年鑑》</strong></span></a></p> <p><a href="https://www.tenlong.com.tw/products/9789860654349?list_name=srh" target="_blank"><span style="color: rgb(51, 102, 255);"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/2025%E8%B3%87%E5%AE%89%E5%B9%B4%E9%91%91%E5%B0%81%E9%9D%A2.png" style="width: 350px;" /></strong></span></a></p> </div></div></div>
2025/5/8 07:00作者黃彥棻https://www.ithome.com.tw/article/168480
圖像化LLM應用開發工具Langflow存在RCE漏洞，CISA證實已被用於實際攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.cisa.gov/news-events/alerts/2025/05/05/cisa-adds-one-known-exploited-vulnerability-catalog">美國CISA已證實</a>，圖像化LLM應用開發工具Langflow的遠端程式碼執行漏洞CVE-2025-3248，已被實際用於攻擊行動。Langflow是一套開源工具，支援以圖形化方式設計大型語言模型流程，讓開發者能透過拖放元件的方式，快速組合出可執行的人工智慧代理流程，然而，其高彈性的設計也伴隨著潛在風險，特別是在執行環境缺乏適當安全防護時，容易成為攻擊目標。</p> <p>資安公司Horizon3.ai研究人員進一步<a href="https://horizon3.ai/attack-research/disclosures/unsafe-at-any-speed-abusing-python-exec-for-unauth-rce-in-langflow-ai/">說明</a>CVE-2025-3248的成因，是Langflow早期版本在處理程式碼驗證時缺乏適當的安全控管。具體來說，攻擊者可透過未加認證保護的API端點/api/v1/validate/code提交特製的Python函式碼，並利用裝飾器（Decorator）或預設參數中的表示式，在函式尚未執行時即觸發任意程式碼的執行。</p> <p>由於Langflow原本設計即允許使用者修改與執行Python程式碼來控制人工智慧元件，因此在缺乏沙箱或額外限制的情況，一旦認證機制設定不當，將導致攻擊者可遠端取得主機控制權。</p> <p>研究人員指出，這類攻擊可被用來開啟反向Shell、讀取環境變數，或取得系統帳號等資訊，並可能作為後續橫向移動或擴大攻擊範圍的起點。值得注意的是，雖然Langflow開發團隊曾在社群中說明，該工具預設不具沙箱機制，執行環境的安全應由使用者自行負責，但實際部署情況顯示，大量實例未採取基本防護，直接曝露於公開網路，進一步擴大了漏洞被濫用的風險。</p> <p>此次漏洞影響自Langflow專案啟動以來至1.2.x的所有版本，<a href="https://github.com/langflow-ai/langflow/releases/tag/1.3.0" target="_blank">官方已於2025年3月底釋出1.3.0版</a>，將高風險的程式碼驗證端點加上身分驗證保護，並建議用戶盡快升級。CISA則呼籲所有組織，尤其是將Langflow部署於網際網路環境的組織，務必立即檢查並限制可存取的端點，或改以虛擬私有雲方式進行隔離部署。</p> </div></div></div>
2025/5/8 08:11作者李建興https://www.ithome.com.tw/news/168806
ServiceNow用AI打通CRM流程中臺與前線協作斷點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>ServiceNow宣布全面重構其<a href="https://www.servicenow.com/blogs/2025/reinventing-crm-why-hasnt-yours-changed">CRM平臺</a>，將人工智慧作為核心設計理念，整合銷售、客服與履行（Fulfillment）流程，取代過去依賴多套系統與人工操作的碎片化處理方式，使跨部門的顧客服務流程得以結構化、自動化。</p> <p>官方指出，這次改版不僅是將人工智慧套用在原有系統上，而是從底層的工作流程設計、資料模型到整體平臺整合方式進行重新設計。新架構強調從前線接觸點，如客服中心與聊天機器人一路延伸至中後臺的任務履行，藉由人工智慧驅動的流程與自動執行能力，加快顧客請求的處理速度，同時減少人力介入的需求。</p> <p>不同於傳統CRM聚焦於通訊管道整合與顧客資料管理，ServiceNow主打「讓人工智慧直接參與執行」。透過代理型工作流程（agentic workflows），人工智慧不僅能理解需求與推薦處理方式，現在還會主動執行指令，並根據情境判斷是否需交由人員介入。</p> <p>在聯絡中心整合方面，ServiceNow提出與聯絡中心即服務（Contact Center as a Service，CCaaS）平臺結合的操作介面，讓人員與人工智慧在同一作業環境協作。平臺內建語音與即時訊息控制功能，並具備統一的路由邏輯與績效追蹤機制，簡化部署流程並縮短導入時間。</p> <p>人工智慧的應用也擴展至外勤與銷售場景，ServiceNow透過共通資料模型整合派工、智慧排程、作業紀錄與外包協作等功能，使企業能以一致的方式處理諸如電信裝機、到府維修或保固處理等流程，有助於不同服務通路的標準化。</p> <p>在銷售流程方面，ServiceNow於2025年4月宣布併購人工智慧驅動、具組合彈性的CPQ（Configure、Price、Quote）解決方案業者Logik.ai，並將其技術整合進新一代CRM平臺中，強化即時報價與複雜配置的處理能力，協助銷售團隊加快成交速度並提升整體生產效率。</p> <p>此外，ServiceNow也提供多種業界專屬模組，結合產業特定資料結構，如零售業的門市階層、銀行的支付接口、電信業支援的TM Forum API，並內建常見流程範本，例如政府許可作業或製造業的保固理賠處理。此次更新進一步導入人工智慧代理，使這些產業模組不僅可快速配置流程，也能自動執行標準化任務，助企業用更少的客製程式碼建構具產業邏輯的應用，加快部署與交付效率。</p> </div></div></div>
2025/5/8 08:14作者李建興https://www.ithome.com.tw/news/168817
【資安日報】5月7日，勒索軟體駭客自帶安裝程式，繞過EDR防護機制加密檔案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了避免受害企業組織察覺異狀，導致攻擊行動東窗事發，駭客無不設法迴避資安系統的偵測，其中，在端點電腦當中，他們集中針對EDR系統而來，最常見的方式就是利用名為自帶驅動程式（BYOVD）的手法。</p> <p>但最近保險業者怡安（Aon）發現一種相當特別的手法，駭客利用EDR本機安裝程式在更新電腦元件的過程裡，會停用相關服務的機制而得逞，是否會有其他人馬效仿有待觀察。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168773"><strong style="font-size: 22px;">勒索軟體Babuk繞過EDR防護出現新手法，利用本機安裝程式達到目的</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/aon-cyber-labs-blog-sentinelone-bypass-2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/aon-cyber-labs-blog-sentinelone-bypass-2.png" style="width: 300px; float: right;" /></a></p> <p>為了讓攻擊行動能順利進行，不被受害企業組織察覺異狀，駭客通常會試圖左右防毒軟體及EDR系統的運作來達到目的，其中一種最常見的手法，是利用存在弱點的舊版驅動程式來進行，這種手法被稱為自帶驅動程式（BYOVD），如今駭客自行攜帶合法檔案的做法出現了變化。</p> <p>保險業者怡安（Aon）旗下的事件回應服務團隊Stroz Friedberg近期觀察到一種運用於實際攻擊行動的新手法，駭客為了迴避SentinelOne端點代理程式的系統偵測與防竄改能力，他們竟濫用此EDR系統的端點代理程式安裝檔來達到目的，從而成功於受害電腦部署勒索軟體Babuk。研究人員將這種過往未曾出現過的手法，稱做「自帶安裝程式（Bring Your Own Installer）」。</p> <p>對此，怡安向SentinelOne通報他們的發現，該資安業者迅速做出回應，向用戶發布緩解問題的指引。SentinelOne指出，針對本機代理程式升級或降級的作業，管理者可啟用通過線上批准（Online Authorization）的機制來進行審核，來防範相關攻擊。不過值得留意的是，這項政策並未預設啟用，管理者必須手動開啟。</p> <p><a href="https://www.ithome.com.tw/news/168799"><strong style="font-size: 22px;">多家英國零售業者傳出遭到勒索軟體DragonForce攻擊</strong></a></p> <p>資安業者Secureworks於4月下旬提出警告，勒索軟體駭客組織DragonForce改變經營策略，從原本提供作案工具的租用服務模式（Ransomware-as-a-Service），在3月19日之後開始改以勒索軟體「橫向聯盟（cartel）」名義找尋合作對象。最近兩週，傳出有駭客團體連續對英國零售業者下手，使用的犯案工具就是勒索軟體DragonForce。</p> <p>根據英國廣播公司（BBC）、衛報（The Guardian）、 ITV News、資安新聞網站Bleeping Computer等多家媒體的報導，英國瑪莎百貨（Marks & Spencer，M&S）、連鎖超市Co-op、精品百貨公司哈洛德（Harrods）接連傳出遭到網路攻擊，背後的攻擊者身分，傳出很可能是被稱為Scattered Spider、0ktapus、Octo Tempest、UNC3944的駭客組織所為。</p> <p>5月1日英國國家安全網路中心（NCSC）發布新聞稿證實，他們的確收到相關網路攻擊事故的通報，並與受害的零售業者進行合作，因應相關資安事故。NCSC也在4日二度發布公告，呼籲企業應參考他們提出的最佳實務指南，防範相關的攻擊行動。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/botnet-exploits-old-geovision-iot-devices-via-cve-2024-6047-cve-2024-11120/">GeoVision物聯網裝置遭到鎖定，殭屍網路利用已知漏洞滲透</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.darkreading.com/cyberattacks-data-breaches/researcher-patched-commvault-bug-exploitable">疑修補不全！針對Commvault修補的備份管理平臺滿分漏洞，研究人員發現仍然可被利用</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityaffairs.com/177522/hacking/experts-warn-of-a-second-wave-of-attacks-targeting-sap-netweaver-bug-cve-2025-31324.html">4月SAP修補的NetWeaver滿分漏洞再傳攻擊行動</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/fake-ssa-emails-trick-users-installing-screenconnect-rat/">駭客佯稱美國社會安全局，企圖散布ScreenConnect RAT並控制受害電腦</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168798"><strong style="font-size: 22px;">資料視覺化系統Kibana爆高風險原型污染漏洞</strong></a></p> <p>Elastic發布安全公告，指出其開源資料視覺化平臺Kibana存在CVSS風險評為9.1分的CVE-2025-25014，屬原型污染（Prototype Pollution）<span style="font-family: sans-serif, Arial, Verdana, "Trebuchet MS";">漏洞</span>，攻擊者可藉由特製HTTP請求，針對啟用機器學習與報表功能的Kibana實例觸發任意程式碼執行，影響層面涵蓋自架環境與Elastic Cloud使用者。</p> <p>根據Elastic說明，此漏洞影響Kibana 8.3.0至8.17.5、8.18.0以及9.0.0版本，在同時啟用機器學習與報表功能的條件便會產生攻擊面，攻擊者透過特製惡意載荷進行原型鏈（Prototype Chain）汙染後，最終得以控制執行流程。儘管漏洞需在通過Kibana內部權限驗證的前提下才能觸發，但由於攻擊可在無使用者互動的情況下實現遠端程式碼執行，Elastic仍將其評為重大等級。</p> <p>Elastic推出8.17.6、8.18.1、9.0.1版修補，建議所有受影響部署儘速升級。若無法立即更新，該公司建議暫時停用特定功能來緩解這項弱點。</p> <p><a href="https://www.ithome.com.tw/news/168797"><strong style="font-size: 22px;">Google發布安卓5月例行更新，修補已被用於攻擊的零時差漏洞</strong></a></p> <p></p> <p>5月5日Google發布安卓作業系統5月安全更新，修補45個安全漏洞，並警告其中的CVE-2025-27363可能已遭利用。</p> <p>此漏洞存在於FreeType元件中。FreeType是個開源的字型引擎，可用來解析與呈現字型檔案內容，支援點陣字型及向量字型，它並非用來排版，而是專注於將字型資訊轉換成圖形輪廓或點陣圖，讓開發者可在螢幕或列印設備上正確顯示文字。</p> <p>這是由Facebook安全團隊在3月所發現，當FreeType在解析TrueType GX與可變字型的子字型結構時，可能會觸發越界寫入漏洞，而允許駭客於系統上執行任意程式碼，波及採用FreeType 2.13.0及以下版本，當時Facebook研究人員便說該漏洞可能已遭到駭客利用。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/critical-aws-amplify-studio-flaw-allows-code-execution-update-now/">AWS Amplify Studio存在重大漏洞，攻擊者有機會執行任意JavaScript指令碼</a></strong></p> <p></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168791"><strong style="font-size: 22px;">針對NSO Group濫用WhatsApp漏洞的判決出爐，需賠償1.6億美元</strong></a></p> <p>2019年Meta控告以色列間諜軟體開發商NSO Group，指控該公司濫用即時通訊通訊軟體WhatsApp零時差濁洞，於超過1,400臺行動裝置植入間諜軟體Pegasus，竊取裝置上的電子郵件、簡訊內容，甚至可自遠端啟用手機麥克風與攝影機。去年底法官做出裁決，認定NSO Group不光違反WhatApp的服務條款，也違反美國《電腦詐欺與濫用法案（Computer Fraud and Abuse Act，CFAA）》，加州《電腦資料存取與詐欺法案（Computer Data Access and Fraud Act，CDAFA）》，如今進一步的判決出爐。</p> <p>本週二（5月6日）美國法院陪審團裁定，NSO Group必須支付逾1.6億美元的懲罰賠償，以及逾40萬美元的補償予Meta。儘管NSO Group執行長Yaron Shohat曾宣稱，該公司的財務困難而無力賠償，但Meta指出，陪審團強制NSO Group支付賠償金的決定，將對那些鎖定美國與全球使用者的非法行為及惡意產業帶來威懾效果。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168715"><strong style="font-size: 22px;">Meta開源多項Llama安全護欄工具，防範AI越獄、提示注入、不安全外掛</strong></a></p> <p>近期Meta公開Llama模型安全工具，可用於防範Llama模型越獄、提示注入攻擊，此外也發表SOC AI安全評估工具、以及供企業防止資料外洩、與deepfake詐騙的檢測工具。</p> <p>最新的LlamaFirewall是LLM護欄工具，它作用於使用者和LLM模型、以及模型與代理人之間，可與Meta的防護模型像是Llama Guard、Prompt Guard，以及和CodeShield過濾工具、掃瞄工具協同，以偵測並防止提示注入、不安全程式碼，或是和可疑的LLM外掛互動。</p> <p>Llama Guard 4為可客製化Llama Guard模型的最新版，為120億參數的多模態安全模型，能理解多模態包括文字和圖片輸入。Guard 4並提供多個模型檢查點及互動式notebook方便用戶微調。</p> <p><a href="https://www.ithome.com.tw/news/168721"><strong style="font-size: 22px;">新Microsoft帳戶將預設使用無密碼登入</strong></a></p> <p>為降低密碼洩露造成的資安風險，微軟持續推進無密碼（passwordless）登入機制，他們於5月1日宣布，未來新增的Microsoft帳戶將預設使用無密碼登入，也會改進介面提高使用簡便性。</p> <p>微軟於2021年9月宣布Microsoft帳號全面支援無密碼登入，甚至提供用戶移除所設密碼，允許用戶以臉部、指紋辨識、通行密鑰（Passkey）、Microsoft Authenticator應用程式，以及USB硬體金鑰等機制進行身分驗證。去年，微軟進一步將通行密鑰導入消費性應用程式和服務，例如：Copilot及Xbox。該公司宣稱，超過99%的用戶利用Windows Hello登入Microsoft帳號。</p> <p>此外，未來Windows將採無密碼優先的登入提示機制，而不會直接顯示所有可用登入方式，系統將會自動偵測最佳方法並設為預設。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/168762"><strong>【5月6日】惡意軟體Phorpiex捲土重來，被用於散布LockBit 3.0及其他作案工具</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168745"><strong>【5月5日】臺灣第一座防詐實驗室正式掛牌上路，玉山金揭金融無塵室發展方向</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168725"><strong>【5月2日】思科、Nvida等多家業者在RSAC 2025推出AI資安工具</strong></a></p> </div></div></div>
2025/5/7 13:57作者周峻佑https://www.ithome.com.tw/news/168800
Google釋出Gemini 2.5 Pro I/O版，重點強化程式撰寫與前端開發表現
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google釋出大型語言模型<a href="http://developers.googleblog.com/en/gemini-2-5-pro-io-improved-coding-performance/">Gemini 2.5 Pro I/O版本</a>，作為今年開發者大會Google I/O前的重要預先更新。此次更新針對程式撰寫、使用者介面設計與前端應用開發表現進行強化，並在<a href="https://web.lmarena.ai/leaderboard">WebDev Arena即時對戰平臺</a>領先Claude 3.7與GPT-4.1等先進模型。</p> <p>根據由LMSYS營運的WebDev Arena即時對戰平臺資料，Gemini 2.5 Pro I/O版（gemini-2.5-pro-preview-05-06）獲得1419.95的高分，超越Anthropic Claude 3.7的1357.10，與OpenAI GPT-4.1的1261.35，在眾多語言模型中名列前茅，是目前Web前端開發領域表現最佳的模型。</p> <p>WebDev Arena平臺評估語言模型在前端開發任務中的實用表現，評分依據來自使用者對雙模型輸出的匿名偏好投票，投票結果經由Elo演算法轉換為分數，建立模型間的相對排名。評比重點包含介面邏輯正確性、視覺一致性與開發流程中的可用性。</p> <p>Gemini 2.5 Pro的更新重點，在於提升模型處理前端任務的上下文理解與生成品質，尤其在處理設計樣式細節，還有程式結構變動上表現更為出色。Google指出，該模型不僅可協助完成CSS屬性調整與元件生成，也能針對UI設計原型的風格一致性提供具體建議，有助於既有應用的功能擴充與樣式統一。I/O版也針對函式呼叫的準確率與觸發成功率進行最佳化，使模型在執行多步驟任務時表現更穩定。</p> <p>Google展示了Gemini 2.5 Pro在AI Studio中的應用案例，透過<a href="https://aistudio.google.com/app/apps/bundled/video-to-learning-app?showPreview=true">Video to Learning App</a>流程，將YouTube影片內容轉成互動式學習應用，展現該模型整合視覺理解與前端邏輯建構的能力。</p> <p>目前Gemini 2.5 Pro I/O版已透過Gemini API於Google AI Studio釋出，企業使用者則可透過Vertex AI應用該模型。對於既有開發者而言，若已採用早前的03-25版，無需額外操作即可自動使用新版，且價格維持不變。</p> </div></div></div>
2025/5/7 15:43作者李建興https://www.ithome.com.tw/news/168805
多家英國零售業者傳出遭到勒索軟體DragonForce攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Secureworks於<a href="https://www.ithome.com.tw/news/168743">4月下旬提出警告</a>，勒索軟體駭客組織DragonForce改變經營策略，從原本提供作案工具的租用服務模式（Ransomware-as-a-Service），在3月19日之後開始改以勒索軟體「橫向聯盟（cartel）」名義找尋合作對象。最近兩週，傳出有駭客團體連續對英國零售業者下手，使用的犯案工具就是勒索軟體DragonForce。</p> <p>根據英國廣播公司（BBC）、衛報（The Guardian）、 ITV News、資安新聞網站Bleeping Computer等多家媒體的報導，英國瑪莎百貨（Marks & Spencer，M&S）、連鎖超市Co-op、精品百貨公司哈洛德（Harrods）接連傳出遭到網路攻擊，背後的攻擊者身分，傳出很可能是被稱為Scattered Spider、0ktapus、Octo Tempest、UNC3944的駭客組織所為。</p> <p>5月1日英國國家安全網路中心（NCSC）發布新聞稿證實，<a href="https://www.ncsc.gov.uk/news/retailers-incident">他們的確收到相關網路攻擊事故的通報</a>，並與受害的零售業者進行合作，因應相關資安事故。NCSC也在4日<a href="https://www.ncsc.gov.uk/blog-post/incidents-impacting-retailers">二度發布公告</a>，呼籲企業應參考他們提出的最佳實務指南，防範相關的攻擊行動。</p> <p>而對於攻擊者的身分，NCSC表示尚在調查，無法確定所有的攻擊是否相關，或是由相同駭客犯案。</p> <p>最早傳出遭到攻擊的是瑪莎百貨，該公司<a href="https://www.londonstockexchange.com/news-article/MKS/cyber-incident-update/16999905">於4月22日向英國倫敦交易所通報</a>遭遇網路攻擊事故，並表示他們在察覺此事後對商店進行臨時、局部的調整，來保護客戶。M&S強調，商店、網站、App正常維持運作。</p> <p>該公司也在23日<a href="https://corporate.marksandspencer.com/media/press-releases/cyber-incident-further-update">於網站發布公告</a>，表示他們暫停提供非接觸式付款服務，以及接受網路商店的Click & Collect訂單；25日範圍進一步擴大：<a href="https://corporate.marksandspencer.com/media/press-releases/cyber-incident-further-update-0">他們停止整個網站及App下單的業務</a>。</p> <p>究竟攻擊者的身分為何？<a href="https://www.bleepingcomputer.com/news/security/marks-and-spencer-breach-linked-to-scattered-spider-ransomware-attack/">根據Bleeping Computer的報導</a>，有知情人士向他們透露，攻擊者是Scattered Spider，駭客很可能在今年2月就成功入侵，並竊得NTDS.dit檔案，而能對網域環境上下其手，到了4月24日，這些駭客在VMware ESXi主機部署勒索軟體DragonForce，加密虛擬機器。</p> <p>無獨有偶，<a href="https://www.bleepingcomputer.com/news/security/uk-retailer-co-op-shuts-down-some-it-systems-after-hack-attempt/">4月30日Co-op也傳出網路環境遭到入侵</a>，發言人透露，有人試圖未經授權存取部分系統，該公司採取積極的因應措施來確保系統安全，而對於部分後臺辦公室與客服中心造成影響。但隔日新聞媒體ITV News<a href="https://x.com/ITVJoel/status/1917669565254738138">取得Co-op內部信件</a>，指出員工暫時無法使用VPN存取內部系統，並要求員工在使用Teams及接收郵件必須提高警覺。</p> <p>5月2日，<a href="https://www.bleepingcomputer.com/news/security/co-op-confirms-data-theft-after-dragonforce-ransomware-claims-attack/">Co-op向Bleeping Computer透露新的調查結果</a>，表示他們確認駭客從其中1個系統挖掘資料，內容包含該公司現任及前任員工的資訊，例如：姓名、聯絡方式，但不含他們的密碼及金融資料。</p> <p>Bleeping Computer取得消息人士的說法，得知攻擊手法與瑪莎百貨的事故有所雷同：駭客在4月22日發動社交工程攻擊，得逞後重設員工的密碼，並利用其帳號破壞Co-op的網路環境，試圖取得NTDS.dit檔案。</p> <p>對於攻擊者的身分，<a href="https://www.bbc.com/news/articles/crkx3vy54nzo">BBC指出就是勒索軟體DragonForce的附屬組織</a>，他們與駭客進行對話，對方聲稱握有2千萬參與會員獎勵計畫的客戶資料。</p> <p>駭客聲稱透過Teams向Co-op資安團隊進行勒索，並提供BBC螢幕截圖證明此事。此外，他們也宣稱攻擊了哈洛德百貨。</p> <p>值得留意的是，5月1日哈洛德<a href="https://www.bleepingcomputer.com/news/security/harrods-the-next-uk-retailer-targeted-in-a-cyberattack/">向媒體證實遭遇網路攻擊</a>，但駭客並未得逞，該公司所有店面仍照常營業，為了進行防範，他們還是限制網站的存取，不過，客戶仍可在harrods.com購物。</p> <p>目前這些資安事故已經傳出造成嚴重混亂，<a href="https://www.theguardian.com/business/2025/may/03/inside-the-marks-and-spencer-cyber-attack-chaos">衛報指出</a>，瑪莎百貨因暫停將已經包裝好的食物交給雜貨零售業者歐卡多（Ocado），導致一度有大量食物被迫丟棄。再者，雖然瑪莎百貨執行長Stuart Machin呼籲民眾改到實體門市消費，降低事故帶來的衝擊，但貨架上已出現部分商品被清空的情況，銷售的服飾只剩下零星尺碼，而且，店員無法透過IT系統替客戶確認商品庫存。</p> <p>我們也實際存取Co-op網站確認是否有相關的公告資訊，結果發現，該公司網站出現拒絕存取的錯誤訊息。</p> </div></div></div>
2025/5/7 13:12作者周峻佑https://www.ithome.com.tw/news/168799
Google調查專家：中國網攻威脅達到空前高峰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來中國對臺網路攻擊力道不僅未減，更持續將攻擊目標擴及全球多國政府與民間企業。在美國RSAC 2025資安會議期間，Google在一場針對媒體的資安情資分享會上，將所有討論焦點都放在中國與北韓問題上，而絲毫未提蘇俄與伊朗，就充分顯現中國威脅已成為全球資安最重大的課題。</p> <p>資安業界堪稱APT（Advanced Persistent Threat）調查專家的Mandiant，在過往舉辦的資安情資分享會上，通常都會揭露蘇俄、中國、伊朗及中國等網攻四大寇的最新攻擊手法，不過，在今年四月底這場情資分享會上，主持座談的Google威脅情資副總裁Sandra Joyce（曾是Mandiant執行副總裁），一開場就直接切入中國網路攻擊的問題，她說：「中國近年來持續展現出最有創新性的網路攻擊手法。」如今，中國針對西方國家所發動的網路間諜攻擊行動，不論是數量與強度，都達到了空前的高峰。</p> <p>自從Mandiant在2013年發布APT 1報告，揭露駐扎於上海市浦東新區的中國人民解放軍61398部隊就是中國的網路攻擊部隊之後，Mandiant Consulting技術長Charles Carmakal指出，中國一直持續發動網路間諜攻擊，而且即便美國前總統歐巴馬在2015年與中國簽署互不入侵對方企業網路竊取商業機密的協議，也無助於緩解情勢，他表示，時至今日，中國針對西方企業的網路攻擊與間諜入侵行動，在數量與強度上都飆升到了前所未有的程度。</p> <p>Carmakal指出，現今中國網路攻擊鎖定的目標，幾乎都是中國政府感興趣的對象，比如半導體公司、資訊科技公司、電信公司、政府機關及國防承包商等。如今中國的網路攻擊手法已經不像2015年前那樣大範圍胡亂掃射，而是更聚焦在與中國國家戰略目標高度相關的特定產業與特定組織機構。</p> <p>近年來中國網路攻擊行動已經不再仰賴釣魚郵件等傳統入侵手法，轉而先研究各類資訊產品的漏洞，尤其是一些企業網路與資安防護產品，再利用這些漏洞進行更致命、更難察覺的零時差攻擊（Zero-day exploit）。</p> <p>據Google的調查，中國政府主要透過二種方法掌握資訊產品的漏洞，Carmakal指出，第一種方法是直接購買這些資訊科技產品，透過逆向工程方式進行研究，以找到產品的弱點與軟體弱洞；另一種方式則是透過中國法律獨有的「國有漏洞」制度，據2021年中國發布的《網路產品安全漏洞管理規定》，任何中國公民發現某個產品存在資安漏洞，必須向政府通報，而且不得將未公開的漏洞資訊提供給供應商以外的境外組織與個人，也就是說，任何由中國人民發現的資安漏洞，都將被政府所掌握。<br /> Google威脅情資首席分析師John Hultquist則指出，中國甚至在國內大規模舉辦漏洞發掘競賽，讓參賽者彼此競爭，以找出更多商用資訊產品的漏洞。</p> <p>目前已經有多起事件顯示資訊科技公司遭中國駭客入侵潛伏，Carmakal指出，有好幾家資訊科技公司的內部團隊發現了自家產品資安漏洞之後，遂將相關細節記錄在公司內部的Jira軟體開發專案管理平臺或漏洞追蹤平臺，以便進行後續修補追蹤。然而，Google的團隊卻發現，在這些資訊被記載後的一至兩週內，中國駭客組織就已經迅速將這些漏洞「武器化」，據以發展出惡意程式，並且開始發動網路攻擊，而此時資訊產品原廠甚至還不知情，也來不及釋出修補更新。Carmakal表示，由於近來這類事件屢見不鮮，必須格外密切關注。</p> <p>Hultquist進一步表示，更讓人擔心的是中國政府已經建立一個完整的生態系統來支援網路攻擊行動。這個生態系統涵蓋了各種參與者—包括民間承包商、學術界人士和政府官員等，而這個生態系彼此協調一致的程度，就好像是共同參與一個謓密的彈道飛彈開發計畫，只不過目的是開發網路攻擊所需的各種能力，然後回饋給政府使用。</p> <p>這些能力包括發掘零時差漏洞，甚至建立用來進行指揮與控制（Command and Control, C2）網路攻擊行動的基礎設施。這其中有些承包商可能專門負責建構用來執行C2操作的網路基礎設施，再提供給多個駭客攻擊組織共用。另外也有些承包商，專門依據來自政府的委託執行網路入侵行動，而且可能同時替多個委託單位工作。</p> <p>在這個生態系統中，有些攻擊者會以最簡單、最直接的方法來入侵目標系統，只要達成目的就好。但也有一批很頂尖的高手，例如第一手掌握零時差漏洞、專門針對供應鏈發動攻擊的攻擊者，Hultquist指出：「這些人才是真正讓我們擔憂，必須特別警戒的對象。因為他們也可能是政府最期待看到成果的團隊，也會被要求持續維持高度的攻擊能力。」</p> <p>此外，Google Mandiant還觀察到西方國家的資訊科技公司遭受到越來越頻繁的攻擊，尤其是規模中型的公司，而他們的產品卻廣泛地被大型企業所使用。攻擊者利用這些資訊科技公司的產品漏洞、網路存取權限、數位憑證，或是其他各種手段，來入侵他們的下游客戶，也就是那些大型企業，以達到供應鏈攻擊的目的。</p> <p>現在這種類型的供應鏈攻擊趨勢仍在持續升高，Hultquist提出警告：「這個龐大的生態系統正不斷被灌溉滋養而持續擴張，這導致我們很難全面追蹤這麼多的威脅。」而這個正在快速惡化的問題，也讓整體資安防禦工作變得更加困難，尤其是對手的技術越來越先進，影響範圍越來越大，不得不提高警覺。</p> </div></div></div>
2025/5/7 14:22作者吳其勳https://www.ithome.com.tw/news/168802
xAI員工不慎於GitHub程式碼庫曝露API金鑰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>創辦資安顧問公司Seralys、專門從事滲透測試的<a href="https://www.linkedin.com/posts/caturegli_yo-xai-your-devs-are-leaking-api-keys-on-activity-7321566948020953088-6KXj" target="_blank">Philippe Caturegli 上周於Linkedin上揭露</a>，一名xAI員工不慎將API金鑰上傳至公開的GitHub儲存庫，而且長達兩個月都沒有被撤銷。</p> <p><a href="http://www.linkedin.com/posts/caturegli_yo-xai-your-devs-are-leaking-api-keys-on-activity-7321566948020953088-6KXj" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0517-xAI-Philippe%20CaturegliPhilippe%20Caturegli-2.jpg" style="width: 600px;" /></a></p> <p><a href="http://www.linkedin.com/posts/caturegli_yo-xai-your-devs-are-leaking-api-keys-on-activity-7321566948020953088-6KXj" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Philippe Caturegli </span></span></a></p> <p>資安部落格<a href="https://krebsonsecurity.com/2025/05/xai-dev-leaks-api-key-for-private-spacex-tesla-llms/" target="_blank">KrebsOnSecurity追蹤了整起事件</a>，指出秘密偵測平臺GitGuardian早在今年3月便發現此事，並直接通知該名員工，但相關金鑰一直到4月30日還是有效的，使得GitGuardian轉而通知xAI安全團隊，之後xAI才直接刪除含有API金鑰的GitHub儲存庫。</p> <p>GitGuardian共同創辦人暨執行長Eric Fourrier向KrebsOnSecurity表示，這組API金鑰可用來存取xAI內部的大型語言模型，涵蓋公開、未發布、開發中或私有的AI模型，包括逾60個經過微調的私人模型。其中，有些大型語言模型是根據SpaceX資料進行微調，有些是根據特斯拉資料進行微調，他一點都不覺得基於SpaceX資料進行微調的Grok模型應該被公開。</p> <p>GitGuardian行銷長Carole Winqwist則說，倘若駭客能夠直接存取Grok及其後端介面，便可發動提示注入攻擊以調整模型，或是嘗試於供應鏈上植入程式碼。</p> <p>其實開發人員在GitHub上不小心外洩各種金鑰或憑證時有所聞，該擔心的是他們或他們的雇主似乎已對此事習以為常，低估其潛在嚴重性。</p> </div></div></div>
2025/5/7 14:22作者陳曉莉https://www.ithome.com.tw/news/168801
思科發表量子網路糾纏晶片原型，替量子資料中心鋪路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球網路通訊設備大廠<a href="https://blogs.cisco.com/news/quantum-networking-how-cisco-is-accelerating-practical-quantum-computing" target="_blank">思科（Cisco）周二（5/6）發表量子網路糾纏晶片（Quantum Network Entanglement Chip）</a>，這是一種量子網路設備，能夠建立不管距離多遠都能保持連結的光子對，以替未來的量子資料中心鋪路。同一天也宣布在加州成立思科量子實驗室（Cisco Quantum Labs）。</p> <p>思科解釋，目前量子處理器只具備數百個量子位元，最近的目標也只是在2030年達到數千個量子位元，但應用程式卻需要數百萬個量子位元，現在的量子運算面臨著傳統運算於幾十年前的類似挑戰，量子的未來並不在一個單晶片的量子電腦，而是可拓展的量子資料中心，該資料中心的處理器能夠藉由特殊的網路共同運作。思科計畫中的量子資料中心架構涵蓋了量子硬體、分配量子資源的糾纏管理層，以及將運算任務拆分到不同處理器的運算層。</p> <p>本周現身的量子網路糾纏晶片是思科與加州大學聖塔芭芭拉分校合作開發的原型，它能產生糾纏光子對，透過量子傳態，在任意距離實現量子態的遠端重建，達成瞬間連接。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0507-Cisco-quantum%20network%20entanglement%20chip.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／思科</span></span></p> <p>此一糾纏晶片的特色包括，它利用矽晶片平臺上III-V 半導體波導中的自發四波混頻；以1550 nm的標準電信波長運行，因此可利用現有的光纖基礎設施；晶片上每個通道每秒可產生超過100萬對可用的糾纏光子對，整個晶片每秒最多可產生2億對糾纏光子；室溫下糾纏保真度可達99%，功耗低於1 mW。</p> <p>除了糾纏晶片之外，思科的量子實驗室將負責研究各種量子網路技術，像是量子開關、量子網路介面卡、分散式運算編譯器、各種糾纏分散式協定、量子網路開發套件及量子隨機數產生器等。</p> <p>思科提出了短期與長期的量子網路策略，其中，短期策略是先將量子網路的原理應用於現有的系統上，以立即實現防竊聽的安全通訊，超精確的時間同步，決策訊號，以及安全位置驗證等；長期即是專注於連結真正的量子運算設備，實現分散式量子運算、量子感測及最佳化演算法。</p> <p>思科認為，該公司所採取的量子網路技術，可望將有影響力的量子運算及網路應用從原本需要幾十年的時間縮短到僅需要5~10年。</p> </div></div></div>
2025/5/7 12:30作者陳曉莉https://www.ithome.com.tw/news/168796
Google修補已遭利用的Android漏洞CVE-2025-27363
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://source.android.com/docs/security/bulletin/2025-05-01?hl=zh-tw" target="_blank">Google本周發布Android平臺的5月安全更新</a>，修補45個安全漏洞，並警告其中的CVE-2025-27363可能已遭利用。</p> <p>此一漏洞存在於FreeType中。FreeType是個開源的字型引擎，可用來解析與呈現字型檔案內容，支援點陣字型及向量字型，它並非用來排版，而是專注於將字型資訊轉換成圖形輪廓或點陣圖，讓開發者可在螢幕或列印設備上正確顯示文字。</p> <p>這是由<a href="https://www.facebook.com/security/advisories/cve-2025-27363" target="_blank">Facebook安全團隊在3月所發現</a>，當FreeType在解析TrueType GX與可變字型的子字型結構時，可能會觸發越界寫入漏洞，而允許駭客於系統上執行任意程式碼，波及採用FreeType 2.13.0及以下版本，當時Facebook研究人員便說該漏洞可能已遭到駭客利用。</p> </div></div></div>
2025/5/7 12:44作者陳曉莉https://www.ithome.com.tw/news/168797
資料視覺化系統Kibana再爆高風險原型污染漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Elastic<a href="https://discuss.elastic.co/t/kibana-8-17-6-8-18-1-or-9-0-1-security-update-esa-2025-07/377868">發布安全公告</a>，指出其開源資料視覺化平臺Kibana存在一項CVSS 9.1分的高風險資安漏洞CVE-2025-25014，該漏洞屬於原型污染（Prototype Pollution），攻擊者可藉由特製HTTP請求，針對啟用機器學習與報表功能的Kibana實例觸發任意程式碼執行，影響層面涵蓋自架環境與Elastic Cloud使用者。</p> <p>根據Elastic說明，此漏洞影響Kibana 8.3.0至8.17.5、8.18.0以及9.0.0版本，在同時啟用機器學習與報表功能的條件便會產生攻擊面，攻擊者透過特製惡意載荷進行原型鏈（Prototype Chain）汙染後，最終得以控制執行流程。儘管漏洞需在通過Kibana內部權限驗證的前提下才能觸發，但由於攻擊可在無使用者互動的情況下實現遠端程式碼執行，Elastic仍根據CVSS標準將其評為嚴重等級。</p> <p>Elastic已針對上述漏洞推出修補版本8.17.6、8.18.1與9.0.1，建議所有受影響部署盡速升級。若無法立即升級，官方建議暫時停用任一功能作為緩解措施，包含於設定檔kibana.yml中將xpack.ml.enabled或xpack.reporting.enabled設定為false，以阻斷攻擊鏈。</p> <p>原型污染是JavaScript生態系中常見的資安漏洞類型，攻擊者可藉由修改物件的原型結構，間接影響整個應用程式的執行邏輯。這類問題常見於Node.js應用，尤其在前後端皆採JavaScript技術的系統更為普遍。</p> <p>Kibana是建構於Node.js與Elasticsearch之上的資料分析介面，廣泛部署於需處理大量資料的業務場景。本次事件揭示其部分功能模組對外開放所可能帶來的潛在攻擊面，Elastic雖未說明該漏洞是否已遭實際利用，但從其CVSS評分、觸發條件與可能影響來看，皆顯示其風險不容輕忽。</p> <p>而這也並非Kibana首次傳出原型污染相關漏洞，如今年3月，Elastic才剛<a href="https://www.ithome.com.tw/news/167726">修補</a>另一項編號為CVE-2025-25015的重大漏洞，該漏洞同樣涉及透過特製HTTP請求，或檔案上傳觸發任意程式碼執行，當時CVSS風險評分更高達9.9分。</p> </div></div></div>
2025/5/7 12:56作者李建興https://www.ithome.com.tw/news/168798
微軟Copilot+ PC新增能變更設定的AI代理人、Click to Do功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.windows.com/windowsexperience/2025/05/06/introducing-a-new-generation-of-windows-experiences/" target="_blank">微軟本周公布Copilot+ PC專用的AI代理人</a>，能聽從用戶指令，變更電腦設定，此外也正在測試Click to Do代理人新功能。</p> <p>微軟最近為Windows 11的設定做了一些功能變更，像是增加左邊控制欄的互動性，但微軟說有許多用戶反應希望能更快找到設定，且能直接變更，藉此為PC排除問題。</p> <p>最新AI代理人是包含在新版「設定」中。用戶只需描述想做什麼變更，它就會利用Windows上的AI來理解用戶意圖，並且在取得用戶同意下，自動化執行任務。例如用戶可以在文字提示中輸入「我的滑鼠游標太小了」或「如果語音控制我的電腦」，代理人會先建議正確步驟。如果用戶表達同意，且由用戶發動要求，代理人還可代用戶變更設定。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0507-Agent%20in%20Windows%20Settings-microsoft-2.png" style="width: 600px;" /></p> <p>這功能會先提供給使用Snapdragon-based Copilot+ PC的Insiders方案測試用戶，之後再推向AMD及Intel-based Copilot+ PC。一開始本功能只支援英文提示。</p> <p>其他代理人還有Click to Do。微軟正在Insiders方案測試為Click to Do加入Ask Copilot，允許用戶下達命令操作從圖片剪下文字、為文字重點摘要、從圖片移除物件或背景，或叫Microsoft 365 Copilot在Word草擬內容。Click to Do還可操作Reading Coach及Immersive Reader，提升讀文效果。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0507-Copilot%2B%20PC-Windows%20Insiders-Click%20to%20Do-2.png" style="width: 600px;" /></p> <p>之後Click to Do增加的功能包含排程會議、或從郵件中發出Teams訊息、將螢幕表格送到Excel中。以Windows key +滑鼠點擊、Windows鍵+ Q從開始選單，即可叫出Click to Do。</p> <p>其他Copilot+ PC功能還有Photos應用程式的Relight，可改善照片光線效果或創造藝術效果；小畫家的貼紙生成器（Sticker Generator）及物件選取（object select）；剪貼工具的完美截圖（Perfect Screenshot）可自動調整截圖區域，緊密框選螢幕上最顯著的內容，並提供手動微調選項。以及更強的Voice Access（語音控制）及Narrator等功能。這些功能有的會先推向Insiders用戶，有的先提供Snapdragon X系列Copilot+ PC上提供，之後支援AMD與Intel設備。<span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> </div></div></div>
2025/5/7 11:53作者林妍溱https://www.ithome.com.tw/news/168793
美國陪審團要NSO Group支付1.6億美元的賠償金予Meta
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>經過5年的審理，美國法院陪審團周二（5/6）裁定以色列資安業者NSO Group必須支付逾1.6億美元的懲罰賠償，以及逾40萬美元的補償予Meta。儘管NSO Group執行長Yaron Shohat早就宣稱該公司的財務困難，無力支付賠償金額，<a href="https://about.fb.com/news/2025/05/winning-the-fight-against-spyware-merchant-nso/" target="_blank">但Meta指出</a>，陪審團強制NSO Group支付賠償金的決定，將對那些鎖定美國與全球使用者的非法行為及惡意產業帶來威懾效果。</p> <p><a href="https://www.ithome.com.tw/news/133908" target="_blank">Meta是在2019年控告NSO Group</a>，原因是NSO Group利用Meta家族程式WhatsApp的安全漏洞，於超過1,400個行動裝置上植入了該公司所開發的Pegasus間諜程式，以竊取裝置上的電子郵件、簡訊內容，甚至可自遠端啟用手機麥克風與攝影機。</p> <p>美國法官Phyllis Hamilton<a href="https://storage.courtlistener.com/recap/gov.uscourts.cand.350613/gov.uscourts.cand.350613.494.0_1.pdf" target="_blank">去年12月對此案作出裁決</a>，認為NSO Group違反美國《電腦詐欺與濫用法案》（Computer Fraud and Abuse Act，CFAA），加州《電腦資料存取與詐欺法案》（Computer Data Access and Fraud Act，CDAFA），也違反了WhatsApp的服務條款。</p> <p>2010年於以色列創立的NSO Group雖然宣稱所開發的技術，是用來幫助各國政府發現及預防恐怖主義與犯罪，卻被不少組織發現相關技術其實被用來監控與追蹤人權鬥士或異議人士，同時廣泛地尋找各種平臺、程式或軟體的安全漏洞，以用來植入間諜程式。</p> <p>Meta指出，NSO Group在審訊中被迫承認，該公司每年支出數千萬美元來開發各種惡意軟體安裝方法，危害Android及iOS裝置，WhatsApp並非NSO Group的唯一目標，這是一個泛產業的威脅，需要大家共同防禦。</p> <p>另一方面，根據<a href="https://www.courthousenews.com/israeli-spyware-company-ceo-testifies-in-meta-damages-trial/#:~:text=When%20asked%20about,water%2C%E2%80%9D%20Shohat%20said." target="_blank">Courthouse News Service的報導</a>，曾經出庭作證的NSO Group執行長Yaron Shohat否認該公司曾參與任何間諜行為，澄清他們只是政府的承包商，替政府機關開發網路情報工具。Shohat還向陪審團展示了NSO Group這兩年的財報，顯示該公司在2023年虧損近900萬美元，2024年虧損超過1,200萬美元，還說NSO Group應該付不起任何賠償金額。</p> </div></div></div>
2025/5/7 10:33作者陳曉莉https://www.ithome.com.tw/news/168791
Nvidia開源AI語音辨識模型Parakeet TDT 0.6B
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://huggingface.co/nvidia/parakeet-tdt-0.6b-v2" target="_blank">Nvidia本周開源</a>支援語音辨識及聽寫專用的AI模型Parakeet TDT 0.6B，可用於對話式AI、語音助理或是需要生成字幕的服務。</p> <p>Parakeet TDT 0.6B為6億參數的自動語音辨識（automatic speech recognition,ASR）模型，專為高品質英語聽寫（transcription）而設計。</p> <p>Parakeet TDT 0.6B為FastConformer架構的XL變種，整合TDT解碼器，並以全注意力（attention）機制訓練而成，它具有很高的語音聽寫速度，一次single pass最長可聽寫24分鐘語音。Parakeet TDT 0.6B在HF-Open-ASR得分榜上達RTFx 3380，詞錯誤率（word error rate）為6.05%，優於其他開放模型。</p> <p>在功能上，Parakeet TDT 0.6B，支援自動斷句、首字母大寫及精準預測字時戳，在口說數字和歌詞的聽寫效能尤佳。支援音源檔案格式涵括.wav和.flac檔。</p> <p>Parakeet TDT 0.6B以寬鬆的CC-BY-4.0授權開源，<a href="https://huggingface.co/nvidia/parakeet-tdt-0.6b-v2/blob/main/README.md" target="_blank">現在已在Hugging Face網站公開</a>。</p> <p>Nvidia表示，該模型支援使用情境涵括需要文字聽寫的開發人員、研究人員、學術和產業人士，其應用包括對話式AI、語音助理、聽寫服務、字幕生成和語音分析平臺。</p> <p>Parakeet TDT 0.6B經過優化，適合執行在Nvidia硬體如GPU，及軟體框架（像是CUDA函式庫）上，能比在純CPU環境上獲致更快的訓練和推論時間。它支援Linux 及NVIDIA Ampere、Blackwell、Hopper與Volta等架構的硬體平臺，RAM最少要2GB。</p> <p>若要操作Parakeet TDT 0.6B或訓練、微調，系統必須安裝Nvidia NeMo工具套件，最好也安裝最新PyTorch版本。</p> </div></div></div>
2025/5/7 10:39作者林妍溱https://www.ithome.com.tw/news/168792
Hugging Face公開AI代理人Open Computer Agent，能使用模型生成圖片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://huggingface.co/spaces/smolagents/computer-agent" target="_blank">Hugging Face昨（6）日公布</a>會使用工具的AI代理人Open Computer Agent，能幫用戶查詢Google Map、維基百科或生成圖片。</p> <p>Open Computer Agent是結合函式庫smolagents、語言模型Qwen2-VL-72B及虛擬桌機E2B Desktop開發而成。Open Computer Agent類似OpenAI的Operator代理人，<a href="https://huggingface.co/spaces/smolagents/computer-agent" target="_blank">目前為一Web服務</a>，允許用戶輸入自然語言文字提示，代用戶執行任務。例如利用Google Maps查詢某公司位置、從瑞士伯恩搭火車到巴塞爾所需時間，或是到Hugging Face Space尋找圖片生成模型Flux 1，再輸入提示讓它生成GPU圖片。</p> <p><a href="https://www.linkedin.com/posts/a-roucher_%F0%9D%97%9F%F0%9D%97%AE%F0%9D%98%82%F0%9D%97%BB%F0%9D%97%B0%F0%9D%97%B5%F0%9D%97%B6%F0%9D%97%BB%F0%9D%97%B4-%F0%9D%97%96%F0%9D%97%BC%F0%9D%97%BA%F0%9D%97%BD%F0%9D%98%82%F0%9D%98%81%F0%9D%97%B2%F0%9D%97%BF-%F0%9D%97%A8%F0%9D%98%80%F0%9D%97%B2-activity-7325549339538305024-H0Rp" target="_blank">Hugging Face的代理人部門主管Aymeric Roucher說明</a>，日愈強大的視覺模型可用於複雜的代理人工作流程，而且Qwen-VL支援內建grounding功能，可辨識出圖片中任一元素的位置（座標），進而做到點擊螢幕截圖中的任何項目，好比人用滑鼠點選畫面上的按鈕或圖示。這代表模型不只是「看得懂圖片內容」，還能對圖片進行互動，這也實現Open Computer Agent自動化代理人的能力。</p> <p>Hugging Face提醒，Open Computer Agent會儲存用戶活動，若不想被紀錄，用戶可以在左邊欄的「store task and agent trace?」取消勾選。而且Open Computer Agent使用的VM會被前往的網頁偵測而以CAPTCHA阻擋，這時需要人力解決。此外，目前Open Computer Agent反應時間有點慢，可能要等上數秒，有時還會卡住不動，重刷網頁即可重新啟動。</p> <p>其他主要AI公司也都推出能使用工具的代理人。<a href="https://www.ithome.com.tw/news/167523" target="_blank">OpenAI的Operator</a>開放付費用戶使用，<a href="https://www.ithome.com.tw/news/167634" target="_blank">Google Gemini則有Project Astra</a>，能在混合及多種語言環境下轉換語言，以多種語言解決複雜主題的問題、或使用Circle to Search翻譯菜單文字。</p> </div></div></div>
2025/5/7 09:34作者林妍溱https://www.ithome.com.tw/news/168790
【2025臺灣資安年鑑｜數發部數產署署長林俊秀】臺灣面對全球數位浪潮的挑戰，政府與產業攜手轉型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在全球數位浪潮席捲之際，臺灣正積極推動各項數位轉型計畫，藉由政府與產業界的緊密合作，期盼能在全球數位產業鏈中占據更有利的地位。面對人才短缺、資金瓶頸與市場通路等多重挑戰，數位發展部數位產業署署長林俊秀表示，數位產業署以其「三支箭」策略（數位信任、數位韌性、數位經濟）為主要核心，不僅著力於防詐、打詐，更以創新與跨部會的協同合作為利器，積極推動臺灣資安、人工智慧（AI）及新興技術的發展。</p> <p>數位產業署也在這一波全球數位轉型的浪潮中，扮演著關鍵角色，林俊秀坦言，這關乎幾個議題：臺灣如何在全球數位產業鏈中占據一席之地？如何面對內外在的挑戰？以及政府又將如何引領臺灣數位產業邁向新的里程碑。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>建立數位信任，推動資安和AI產業發展</strong></span></span></p> <p>政府施政的核心，在於兼顧防弊與興利，落實全民數位轉型。林俊秀表示，過去兩年中，數位產業署透過《電子簽章法》與《詐欺犯罪危害防制條例》等法令，加強打詐措施，並積極推動「三減目標」──減少接觸、減少誤信、減少損害。</p> <p>根據數位產業署目前的統計資料指出，他們已蒐集高達將近7百萬筆（689萬）筆高風險廣告數據，其中金融投資詐騙案例超過八成（86.27％），並以此數據建立詐騙樣態分析系統，運用AI技術及深偽（DeepFake）辨識，為網路詐騙預警提供技術支撐。林俊秀強調，若民眾對網路或數位平臺失去信心，將直接影響整個產業的發展，因此建立「數位信任」是政府工作的基石。</p> <p>他也表示，數位產業署同時負責強化國內資安防護，所以推動資安產業的蓬勃發展也是當務之急。</p> <p>林俊秀進一步提到，臺灣在資安產業方面已有不俗表現，許多新創公司如雨後春筍般湧現，政府透過與臺積電、國際半導體產業協會（SEMI）的合作，推動全球首個由臺灣主導制定的半導體設備資安標準（SEMI E187）。</p> <p>此外，林俊秀表示，數位產業署積極輔導各產業成立資安檢測團隊，並與公協會聯手，成立了資安強化工作小組（Special Interest Group，SIG），協助企業全面檢視公司資安防護現況，光是在2024年底，已與生醫、能源、精密製造等29個協會合作，協助超過385家企業進行資安評級，進一步提升產業整體防護能力及各產業資安意識。</p> <p>「從打詐防弊到興利創新，都是數位產業署肩負的重要使命。」林俊秀認為，在「發展數位經濟」方面，數位產業署將重點放在推動AI產業發展上，除了利用國發基金匡列100億元推動「加強投資AI新創實施方案」，數位產業署還著手打造產業AI算力平臺，採用最新的輝達與AMD晶片資源，提供免費算力給新創團隊訓練模型。</p> <p>面對AI人才的議題，林俊秀則說，政府從高中生啟蒙到在職技術精進，透過「以戰代訓」的模式培育AI人才，使臺灣AI產業逐步形成產業生態，並促進跨部會合作以整合算力、人才與資金，藉此推動中小企業及各行各業導入AI技術，成為實現創新與永續發展的重要驅動力。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0507-%E8%B3%87%E5%AE%89%E5%B9%B4%E9%91%91-%E6%9E%97%E4%BF%8A%E7%A7%80-%E6%8A%BD%E8%A8%801.png" style="width: 600px;" /></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>人才、資金與通路是產業發展的三大瓶頸</strong></span></span></p> <p>林俊秀坦言，臺灣數位產業發展面臨的首要挑戰是人才不足，對於傳統教育體系而言，往往難以快速跟上數位科技與新興技術的發展，許多先進的領域，如人工智慧、資料科學、智慧物聯網（AIoT）等，都亟需大量專業人才。</p> <p>面對這一困境，他指出，政府不僅推動校內教育改革，更積極與民間機構合作，如與TAIA（臺灣人工智慧學校）共同推動「以戰代訓」模式，將實戰訓練融入人才培育計畫中。此舉不但彌補現有教育資源的不足，也縮短從學習到實戰的過渡期，培養出能夠直接投入產業應用的人才。</p> <p>資金投入方面，數位轉型亦面臨新創企業資金不足的問題。林俊秀指出，雖然國發基金已投入一百億元支援AI新創，但許多規模較小的新創團隊依然難以募集到足夠資金，尤其在新科技研發與市場拓展過程中，龐大的資金需求往往成為阻礙發展的絆腳石。</p> <p>相比之下，他發現，國外許多新創企業能夠在成功後吸引投資人持續回流，形成良性循環，而臺灣在這方面仍顯不足。為此，政府希望能夠吸引更多懂得新興科技的創投力量，搭配公私部門合作，降低投資風險，從而促使更多技術創新和產品商業化落地。</p> <p>另一方面，市場通路也是臺灣企業亟需突破的瓶頸。林俊秀認為，臺灣企業長期以來專注於研發和硬體製造，但在市場行銷與國際市場拓展上，常顯得力不從心。而數位產業的特性就是「無國界」，僅依賴國內市場無法滿足全球需求，為此，林俊秀鼓勵企業在初期商業計畫書（BP）中，就應以全球市場為目標，積極尋找國際合作夥伴、聘請具國際視野的人才，並研究如何透過全球化策略擴展銷售通路。「唯有如此，才能打破產業規模受限、轉型進程緩慢的窘境。」他說。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>借勢雲端，推動傳統產業數位轉型</strong></span></span></p> <p>在推動傳統產業數位化方面，數位產業署同樣投入大量資源，協助中小企業克服技術、資金及人才門檻。</p> <p>林俊秀以臺灣雲市集平臺為例，政府自2021年7月起推出此平臺，依靠訂閱制及少量補助，讓各行各業能夠輕鬆採用雲端軟體工具進行轉型。</p> <p>截至2024年3月15日為止，臺灣雲市集已協助超過6萬8,000家次企業上雲，帶動超過11億元投資以及26億元商機。他表示，這樣的雲端服務平臺模式，不僅降低了中小企業進行數位轉型的初期成本，也為資訊服務產業創造了新的商機和市場契機。</p> <p>此外，數位雲服務研發補助計畫也著重於：促進軟體與資訊服務企業利用AI、雲端技術開發智慧便捷的雲端服務，協助各行各業降低營運成本，提高效率，並推動數位轉型的落實。</p> <p>然而，林俊秀惋惜指出，因為今年預算遭到刪減等因素，部分補助計畫，如「數位雲服務研發補助計畫」，面臨暫停申請的局面，這對產業界的確帶來一定衝擊，但也促使政府在未來政策調整中，更加審慎平衡各項資源分配。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>數位信任與資安防護，為數位產業發展奠基</strong></span></span></p> <p>數位產業發展的根本，在於「數位信任」，林俊秀表示，數位安全是促進數位經濟健康發展的重要基石，政府積極推動無密碼辨識技術（FIDO），以及隱碼技術，透過修訂《電子簽章法》與相關子法，落實帳號安全、個資保護與網路交易安全。</p> <p>他認為，這些措施不僅能夠降低被盜用風險，也為各產業提供了建立數位信任的技術支持；數位產業署更透過與第三方支付平臺及網路廣告平臺的合作，推動跨部會聯合打詐，建立完善的詐騙案例數據庫與AI樣態分析系統，協助業界提前預警並迅速辨識可疑行為，確保民眾在享受數位生活便利的同時，免受詐騙與資安威脅的侵害。</p> <p>「數位信任的建立不僅關係到個人資訊安全，也直接影響到整個數位產業的信譽與發展前景。」林俊秀指出，唯有讓民眾在網路交易與數位生活中感受到安全與可靠，臺灣數位產業才能真正躍上國際舞臺，成為全球可信賴的產業生態系。</p> <p>面對數位產業的發展，林俊秀表示，數位產業署將AI技術列為推動臺灣數位經濟發展重點領域。他強調，AI技術既是數位信任的核心，更是一個帶動軟硬整合、創新應用的重要引擎。</p> <p>他表示，政府除了持續投入資金建構AI算力平臺、提供算力資源之外，更透過多元人才培育模式，從高中生啟蒙到技術精進，全面打造AI生態圈。</p> <p>同時，爭取匡列國發基金作為長期資金火車頭，協助業者進行技術研發與市場拓展，成為臺灣數位經濟轉型的重要推手。</p> <p>除了AI，數位產業署也將眼光投向Web3、區塊鏈、元宇宙等新興技術。林俊秀指出，區塊鏈技術在臺灣的應用目前尚停留在虛擬貨幣及NFT層面，但是，數位產業署仍持續關注這些技術的未來潛力。</p> <p>而元宇宙的發展則建立在AR（擴增實境）∕VR（虛擬實境）技術基礎上，他表示，政府透過提供實證展示平臺及跨界交流場域，推動沉浸式內容應用，助力新興數位內容產業的轉型升級。</p> <p>他坦言，儘管面對預算削減等現實挑戰，政府仍不放棄在新興技術領域探索創新應用的可能性，並積極藉由與業界合作、參與國際合作計畫等方式，力圖在全球數位轉型中保持競爭優勢。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0507-%E8%B3%87%E5%AE%89%E5%B9%B4%E9%91%91-%E6%9E%97%E4%BF%8A%E7%A7%80-%E6%8A%BD%E8%A8%802.png" style="width: 600px;" /></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>臺灣具有硬體優勢，缺乏國際行銷視野</strong></span></span></p> <p>儘管臺灣在數位轉型的道路上已取得多項成果，但林俊秀也坦言，推動數位產業最困難的部分在於思維模式的轉型與資源落差的彌補。</p> <p>他認為，臺灣長期以來以硬體製造為主的產業模式，難以直接套用於軟體與數位經濟領域，這就需要在政策與產業實務上不斷創新與調整。</p> <p>事實上，臺灣擁有深厚的硬體製造基礎、成熟的電子電機產業以及完整的產業鏈優勢，這些都為數位轉型提供了堅實的基礎，也讓臺灣在全球數位產業鏈中，得以扮演關鍵的角色。</p> <p>不過，林俊秀表示，臺灣廠商在設計製造及產品整合方面，具有較高的技術水準，但在市場行銷、國際通路拓展及全球化經營方面，仍存在不足。他指出，部分企業因為缺乏「Born Global」的國際視野，導致在開拓海外市場時，面臨重重挑戰。</p> <p>在國際市場合作上，數位產業署持續積極協助臺灣企業參與國際產業論壇、智慧城市展，以及與歐洲復興開發銀行、亞洲開發銀行等國際金融機構，展開合作，藉由跨國交流，拓展海外市場與獲取國際資金支持。</p> <p>雖然近期因預算大幅削減，而使得部分國際合作計畫被迫縮減或是取消，但是，林俊秀依然看好臺灣在全球數位產業中的潛力，認為美中貿易戰等地緣政治因素，反而能促使臺灣強化資安與AI領域，成為可信賴的供應鏈夥伴。</p> <p>「臺灣應利用自身在資通訊領域累積的優勢，積極推動跨部會協作與國際連結，」他強調，藉由建立良好的互信機制，逐步提升國際能見度與市場競爭力，進而在全球數位產業中開創嶄新的局面。</p> <p>林俊秀指出，臺灣數位產業的長期願景在於：打造全球可信賴的數位生態系統，既能滿足國內需求，也能在全球競爭中展現臺灣智慧。以硬體製造為基礎，再結合資安、AI，以及新興技術，臺灣有潛力成為國際間數位產業的重要樞紐，推動整個國家的經濟成長與民眾生活品質的提升。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>數位產業發展目標：從兆元營收到「讓民眾過好日子」</strong></span></span></p> <p>發展數位產業時，數位產業署也要面對部會間需要積極溝通協調、預算穩定度不足，以及國際連結不夠等問題。所以，林俊秀表示，政府也必須採取更加靈活且具前瞻性的策略，讓產業在政府點火後能夠自主發展。</p> <p>他指出，政府將持續整合內部資源，並進行跨部會協作，輔導與投資數位產業；同時，通過完善法規、加強資安防護，以及推動創新技術，政府希望能夠打造安全、透明、可信賴的數位環境，進而吸引更多國內外投資者參與臺灣數位經濟的建設。</p> <p>展望未來三至五年的發展，他表示，數位產業署將以穩固基礎、擴大國際合作為重點，並逐步將資源轉向其他新興產業，以達到由政府引導、市場自行運作的良性循環。</p> <p>從數位信任到全球市場、從人才培育到資金投入，林俊秀認為，政府與業界必須齊心協力，才能克服內部溝通、預算不穩定與市場拓展等多重挑戰，讓臺灣在全球數位競爭中立於不敗之地。</p> <p>展望未來，林俊秀期許臺灣數位產業能夠藉由「以戰帶訓」的模式、跨界整合的新策略，以及政府政策的引導，實現從硬體製造到軟體服務的全面升級，最終，可以成為國際舞臺上不可或缺的數位強國。</p> <p>數位產業署最終目標在於：推動臺灣數位產業成為全球兆元經濟重要支柱。林俊秀明確表示，政府將以部長提出的「兆元產業」為宏大目標，並計畫在2026年實現相關產業產值的突破。</p> <p>林俊秀用一句話總結道：「發展數位產業，就是讓民眾過好日子。」這既是他對臺灣數位產業未來的期許，也象徵著政府與產業界共同追求的目標。</p> <p>他認為，只有當產業真正帶來國民收入與生活品質的提升，數位轉型才具有真正的價值與意義。數位轉型的終極目的不僅在於提升產業競爭力，更在於藉由創新驅動，最終改善國民所得與生活品質。</p> <p><a href="https://www.tenlong.com.tw/products/9789860654349?list_name=srh" target="_blank"><span style="color: rgb(51, 102, 255);"><strong>本文出自《CYBERSEC 2025 臺灣資安年鑑》</strong></span></a></p> <p><a href="https://www.tenlong.com.tw/products/9789860654349?list_name=srh" target="_blank"><span style="color: rgb(51, 102, 255);"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/2025%E8%B3%87%E5%AE%89%E5%B9%B4%E9%91%91%E5%B0%81%E9%9D%A2.png" style="width: 350px;" /></strong></span></a></p> </div></div></div>
2025/5/7 07:00作者黃彥棻https://www.ithome.com.tw/news/168476
Amazon Nova Premier多模態基礎模型上線，可用於複雜任務協作與模型蒸餾
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS正式於Bedrock平臺<a href="https://aws.amazon.com/tw/blogs/aws/amazon-nova-premier-our-most-capable-model-for-complex-tasks-and-teacher-for-model-distillation/">推出Nova Premier基礎模型</a>，該模型具有處理多模態輸入與高複雜度任務的能力，並可作為模型蒸餾的教師模型。Nova Premier同時也是AWS目前能力最強的Nova模型，其設計目標不僅在於執行推理任務，更涵蓋跨工具協作、多階段任務規畫與長上下文理解。</p> <p>Nova Premier在輸入形式上支援文字、圖像與影片，具備高達一百萬Token的上下文處理能力，因此可被用於處理大型技術文件、龐大程式碼庫或多來源資訊整合的情境。AWS指出，該模型已通過17項內部基準測試，綜合表現優於Nova Pro與Lite，並在與業界同級模型的對比中，約半數項目表現相當或更具優勢。</p> <p>Nova Premier模型目標用戶鎖定需要跨資料源整合、策略性任務分解與結果組織的應用場景，例如金融研究、法律分析或大型企業知識圖譜建構。</p> <p>AWS以投資研究為例展示該模型在多代理人架構中的應用。由Nova Premier擔任總控代理人，負責分析查詢、指派子任務給不同子代理人，像是由Nova Pro驅動的資料分析模組，最終整合來自不同金融資料來源的結果，生成完整分析報告。該架構凸顯Nova Premier在複雜任務協調中的角色，具有辨識任務結構、分派處理流程與整合多重結果的能力。</p> <p>除了作為推論模型，Nova Premier也能扮演教師角色，透過Amazon Bedrock的模型蒸餾流程，可自動產生高品質的訓練資料，以蒸餾出Nova Pro、Lite或Micro等較小模型的特定版本，進一步減少部署成本與執行延遲。</p> <p>Nova Premier目前已於美國三個AWS區域N. Virginia、Ohio與Oregon上線。使用者可透過Amazon Bedrock申請模型存取權，並透過Converse API發送訊息內容，包含多模態輸入，獲取回應。</p> </div></div></div>
2025/5/7 07:00作者李建興https://www.ithome.com.tw/news/168779
勒索軟體Babuk繞過EDR防護出現新手法，利用本機安裝程式達到目的
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了讓攻擊行動能順利進行，不被受害企業組織察覺異狀，駭客通常會試圖左右防毒軟體及EDR系統的運作來達到目的，其中一種最常見的手法，是利用存在弱點的舊版驅動程式來進行，<a href="https://www.ithome.com.tw/tags/byovd">這種手法被稱為自帶驅動程式（Bring Your Own Vulnerable Driver，BYOVD）</a>，如今駭客自行攜帶合法檔案的做法出現了變化。</p> <p>保險業者怡安（Aon）旗下的事件回應服務團隊Stroz Friedberg近期觀察到一種運用於實際攻擊行動的新手法，駭客為了迴避SentinelOne端點代理程式的系統偵測與防竄改能力，<a href="https://www.aon.com/en/insights/cyber-labs/bring-your-own-installer-bypassing-sentinelone">他們竟濫用此EDR系統的端點代理程式安裝檔來達到目的</a>，從而成功於受害電腦部署勒索軟體Babuk。研究人員將這種過往未曾出現過的手法，稱做「自帶安裝程式（Bring Your Own Installer）」。</p> <p>對此，怡安向SentinelOne通報他們的發現，該資安業者迅速做出回應，向用戶發布緩解問題的指引。SentinelOne指出，針對本機代理程式升級或降級的作業，管理者可啟用通過線上批准（Online Authorization）的機制來進行審核，來防範相關攻擊。不過值得留意的是，這項政策並未預設啟用，管理者必須手動開啟。</p> <p>針對這起事故發生的過程，怡安指出駭客先是藉由應用系統的已知漏洞，從能夠公開存取的伺服器得到本機管理權限，然後產生多個SentinelOne安裝檔案，這些安裝程式全數具備合法簽章。但究竟駭客如何取得合法的安裝程式，研究人員並未說明。</p> <p>研究人員根據受害電腦的事件記錄資料，指出駭客很可能利用本機升級、降級過程出現的弱點，而能繞過EDR系統的防護。後續他們進一步確認，受害組織並未啟用線上批准機制，使得駭客能在本機執行安裝程式，進行升級或降級的作業。不過，攻擊者又是如何入侵其他部署SentinelOne代理程式的電腦，研究人員沒有交代。</p> <p>究竟駭客濫用合法安裝程式升級或降級的目的為何？怡安指出，MSI安裝檔案在執行的過程裡，會將原本部署代理程式所有的處理程序停用。</p> <p>為了確認駭客的手法，他們架設了實驗環境進行驗證，結果發現在執行MSI檔案之後，電腦就會逐步終止原本端點代理程式的處理程序，約在安裝程式將元件更新前的55秒，會全部停止。換言之，這讓駭客有機可乘，只要此時終止msiexec.exe中斷安裝流程，就能達到停用EDR代理程式的目的。</p> </div></div></div>
2025/5/6 15:55作者周峻佑https://www.ithome.com.tw/news/168773
【臺灣資安大會直擊】惡意程式樣本分析費時費力？資安研究人員運用LLM打造全天全年無休的資安研究助手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>ChatGPT帶動LLM大語言模型應用興起，資安防禦運用LLM也成為外界關心的議題之一，TXOne資安團隊在今年臺灣資安大會分享如何運用LLM技術打造逆向資安專家，7x24監控異常行為，當發現異常事件時向資安團隊提出示警。</p> <p>TXOne資安威脅研究員Yi-An Lin首先指出，資安人員所面臨的難題，根據牛津大學一篇論文顯示，高達99%的大多數警示是誤報，資安專家通常要花費許多時間排查誤報，才能專注處理真正異常警示，例如過去惡意程式Emotet出現，微軟Defender曾因為設定較嚴格的條件，發出誤報警示，儘管微軟事後澄清為誤報，但是資安人員仍花費不少時間排查誤報。</p> <p>Yi-An Lin表示，即使最後查出的可疑樣本，現代偵測引擎有許多的限制，同一個樣本在不同資安廠商的偵測引擎中的惡意程式分類標籤也不一樣，資安人員需要投入許多時間閱讀許多的資料，研究惡意樣本為何會被歸類為特定類型的惡意程式，並且不容易瞭解哪些程式碼導致惡意行為。</p> <p>偵測引擎的一些使用限制，例如「特徵碼比對」（Signature Matching）結果，通常使用Yara規則來判斷，但是很難從判別的字符結果，掌握不同行為之間的關聯及它所代表的意義，而使用「動態分析」（Dynamic Analysis）雖然有利用沙盒環境實驗惡意程式，有助資安人員掌握惡意程式不同行為間的關聯，但是執行動態分析耗費不少時間之外，也可能面臨反分析的種種手法，例如要求輸入特定的Key才能執行惡意程式。</p> <p>另外，如果參考EDR/XDR提供的威脅報告，雖然可以關聯圖呈現事件內不同事件的關係，但是仍缺乏說明解釋，需要研究人員進一步去釐清。</p> <p>上述種種偵測引擎的隱藏限制，提高資安分析團隊在分秒必爭的資安攻防戰下，快速分析研究惡意程式的難度，因此TXOne團隊研究如何運用LLM，協助提高資安威脅研究工作的效率。</p> <p><span style="color:#B22222;"><strong>已有研究論文基礎</strong></span></p> <p>Yi-An Lin表示，TXOne參考微軟曾發表的論文，研究以ChatGPT/GPT4及其他LLM模型解析Binary code，以比較不同模型的表現，該研究利用LLM的自然語言處理來摘要解析Binary code，發現平均的語意相似度達到程式碼的4成7。</p> <p>TXOne受到啟發，嘗試讓LLM能夠更加理解程式碼所執行的動作，因此他們再參考其他幾篇論文，其中一篇將程式轉為控制流程圖，再將流程圖輸入神經模型，讓模型以比較連續性方式理解程式；另一篇論文則是根據行為模式來提高對惡意程式判斷的準確性，例如可疑程式創造一個檔案後，再執行一個行為，例如註冊或反安裝程式，從一連串行為鏈來提高對惡意程式的判斷準確性。</p> <p>參考上述研究論文成果，TXOne團隊探索能不能透過LLM幫助資安人員識別惡意程式。</p> <p>逆向資安威脅研究專家如何利用行為鏈來判別惡意程式？TXOne舉例，當發現一個可疑的樣本首先執行刪除系統回復檔案的行為，以阻止系統回復，其次該樣本利用呼叫及迴圈蒐集Windowsf上的磁碟及檔案及相關的MetaData資訊，接下來發現使用加密演算法ChaCha20加密資料，最後拆解惡意程式樣本建立控制流程圖，從一連串的行為鏈，判斷該惡意程式樣本為勒索軟體，進一步研究後發現，該樣本是去年全球前10名的勒索軟體Black Basta，英國電信龍頭BT曾經受害。</p> <p><span style="color:#B22222;"><strong>利用LLM輔助判別惡意樣本</strong></span></p> <p>在不執行惡意程式樣本下，利用樣本的行為鏈、控制流程圖，最後識別是哪一種惡意軟體，原本由資安威脅研究人員判別，TXOne團隊嘗試由LLM協助判別，來輔助資安威脅研究人員判別惡意程式，將以往需要大量人工研究的過程，在AI輔助下提高工作效率。</p> <p>TXOne資深資安威脅研究員Jair Chen表示，傳統資安威脅研究人員分樣惡意樣本，利用Disassembler將樣本拆解為Code Block，同時也用偵測引擎分析樣本的行為，綜合Code Block及行為來建立控制流程圖，在流程圖中標示特定流程執行的惡意行為，以此建立威脅分類資料庫。威脅分類資料庫依據微軟的定義分為15類惡意程式，如間諜程式、釣魚軟體、勒索軟體、廣告軟體等等，每一類都有各自的惡意行為。</p> <p>Jair Chen指出，之後可以運用AI輔助判別樣本，先輸入惡意程式樣本，拆解出控制流程圖及Assembly Code，LLM模型就能根據威脅分類資料庫、控制流程圖及惡意行為，判別惡意程式類別，並提供解釋及建議。經過測試，一個惡意程式樣本透過Virus Tatal分類，可能判別為木馬、下載器，而透過LLM可能將該樣本分類為後門程式、糯蟲，通過LLM可以得到額外的觀點，這些分類都是惡意程式樣本的一部分。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%96-600(17).jpg" style="width: 600px; height: 378px;" /></p> <p>LLM能提供惡意樣本分類的說明，例如將該樣本分類為後門程式，標示function位置，在DarkFlow Graph的位置，還標示出相關的Assembly Code，並且簡單說明可能造成的影響。資安人員再根據LLM的說明，進一步作其他的研究分析。</p> <p>Jair Chen表示，SOC團隊每天都會收到大量的資安攻擊報告，威脅專家要花費大量時間分析樣本，而LLM使用也有其限制，它對Assembly Code及pseudo-C code的解釋性不足，因此仿照威脅研究專家的工作流程，利用行為鏈和LLM建立一位7x24、全年無休的逆向專家，輔助資安人員對惡意程式的分析及分類。</p> <p> </p> </div></div></div>
2025/5/6 16:22作者蘇文彬https://www.ithome.com.tw/news/168774
安全產品開發流程漸成產業標配，IEC 62443-4-1改版在即，3大重點聚焦：對齊國際、預設安全、SBOM與開源軟體…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>產品資安的態勢在2025年有重大轉變，在全球資安法規與標準的快速演進下，安全軟體開發生命週期（SSDLC）更成為檯面上的焦點，重要性顯著提升，成為應對資安挑戰並確保產品合規的關鍵要求。例如，大家可能沒想過的是，這一兩年，包括造船產業、醫療器材產業等，已經積極透過建立嚴格的資安規範，讓SSDLC成為必備條件。</p> <p>此外，我們這幾年持續報導物聯網安全法規、軟體供應鏈等議題時，經常介紹Security by Default（預設即安全）、SBOM（軟體物料清單）、開源軟體安全等新興資安概念，如今這些概念也成為產品安全合規的實質要求。</p> <h2><strong>安全產品開發流程受重視，IEC 62443-4-1正被產業納入必需要求</strong></h2> <p>過去經常在臺灣資安大會發表演說的國際自動化協會 (ISA) 臺灣分會會長林上智，他今年特別強調SSDLC、IEC 62443-4-1流程標準的重要性，原因在於這些領域出現了顯著的新進展，而他之所以能掌握第一手資訊，正是因為他目前正主導IEC 62443-4-1流程標準的修訂工作。</p> <p>簡單來說，IEC 62443標準，是國際廣泛採納與認可的工業自動化及控制系統標準，而IEC 62443-4-1的部分，主要聚焦在「安全產品開發生命週期要求（Secure product development lifecycle requirements，SPDLC）」。而上述SPDLC其實與SSDLC具有相同的概念，強調：從產品的需求分析、設計、實作與測試，以及產品上線後的缺陷管理、更新，還有使用者手冊等相關文件，一直到產品生命週期結束，都必須將資安要素融入每一個階段。</p> <p>在這次演說中，林上智特別闡釋了IEC 62443-4-1的最新發展現況，揭示其影響性與最新變化。</p> <p>從影響性來看，林上智指出，近年造船產業、醫療產業都已經將IEC 62443-4-1納入強制要求，讓SSDLC要求成為必備。</p> <p>因此我們可以看出，IEC 62443-4-1似乎在產業間變得越來越重要，過去廠商導入可能多是自我要求或供應鏈要求，現在有些產業規範則是明確定義這方面的要求。</p> <p>林上智進一步解釋，以造船產業而言，國際船級協會聯合會（IACS）去年7月正式實施了UR E26與UR E27規範，這是網路安全首次強制要求納入船級規則，換言之，新造船舶若沒有符合UR E26或UR E27的要求，將無法通過驗船，等於無法投保與下水營運，因此，其實質效力已等同於法律法規。</p> <p>其中UR E27最為重要，當中針對船上設備與系統提出具體要求，並明確規範軟體開發流程必須遵循SDLC（軟體開發生命週期）的要求。林上智指出，在UR E27中更是直接引用了IEC 62443-4-1標準，甚至詳細列出相關章節編號，包括SM-8與SUM-2，這突顯了該規範已針對對船舶設備具關鍵影響的開發流程進行了精選，並將其納入強制性要求。</p> <p>以醫療產業而言，包括美國、歐盟、臺灣等食品藥物監管單位，也都針對生產血壓計、MRI等醫療設備製造商提出網路安全要求，上市前都必須通過資安相關的檢驗。這當中最受矚目的一例，是美國食品藥物管理局（FDA）2023年9月發布的醫療器材資安指引，當中清楚載明需參考IEC 62443標準，並直接點名IEC 62443-4-1。由此可見，在其他產業的開發流程中，IEC 62443-4-1標準也被廣泛採用。</p> <p><a href="https://s4.itho.me/sites/default/files/images/(圖2)IEC 62443-4-1_林上智_攝影羅正漢-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E5%9C%962)IEC%2062443-4-1_%E6%9E%97%E4%B8%8A%E6%99%BA_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2-1.jpg" style="width: 600px;" /></a></p> <h2><strong>IEC 62443-4-1標準改版三大方向：對應國際、預設安全、SBOM與開源軟體安全</strong></h2> <p>關於SSDLC的議題，事實上，這些年我們持續報導這方面的消息，不只<a href="https://www.ithome.com.tw/news/140800">IEC 62443-4-1標準開發流程認證</a>受重視，國際間也有諸多重要參考資源，包括<a href="https://www.ithome.com.tw/news/80369">ISO 27034</a>，<a href="https://www.ithome.com.tw/news/153723">NIST SSDF</a>，以及OWASP SAMM等。</p> <p>近年還有美國CISA與多國網路安全單位，亦發布<a href="https://www.ithome.com.tw/news/160862">Security by Design的警報</a>與相關指引，以及最新<a href="https://www.ithome.com.tw/news/162730">歐盟網路韌性法（Cyber Resilience Act，CRA）等法規實施</a>的消息。</p> <p>在這次演說中，林上智搶先公開了IEC 62443-4-1的最新變化，揭露這項標準的現行修訂方向，首先就是強調對齊國際標準與法規態勢而來，另也指出Security by Default、SBOM等面向的強化，在此我們整理出未來3大改版重點：</p> <h3><strong><span style="color: rgb(178, 34, 34);">●改版重點一：對應國際框架與準則</span></strong></h3> <p>目前市面上有眾多標準與框架，這對產品與系統開發商造成了一定的困擾。因此，林上智指出，修訂IEC 62443-4-1的首要任務，就是要與其他國際標準及法規進行全面的比較與對應，以確保更有效對應當前的資安挑戰。</p> <p>例如，他們的4-1工作小組，已檢視美國NIST SSDF軟體開發安全框架（NIST SP 800-218），以了解IEC 62443-4-1是否需要補充或調整，這方面已有成果展現。林上智表示，今年3月他們已發布相關<a href="https://isagca.org/hubfs/2023%20ISA%20Website%20Redesigns/ISAGCA/PDFs/ISAGCA%20NIST%20SSDF%20SP%20800%20FINAL.pdf">白皮書，比較IEC 62443-4-1標準，NIST SSDF框架</a>，找出一些無法對應的項目的原因，納入改版考量，當中也有相當少部分是完全無法對應的內容，主要是顆粒度較細的要求。</p> <p>特別的是，他們也審視了半導體產線設備資安標準規範SEMI E187，當中也有包含開發流程的對應，預計這方面的對應很快就可以公開，而安全功能方面則是會對應到IEC 62443-4-2。</p> <p>另一個大家關注的重點，是最新的歐盟CRA網路韌性法，林上智表示，他們已展開對應分析，若發現IEC 62443-4-1標準與CSA要求存在落差，將會研議在新的條文中進行補強或調整。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/(%E5%9C%961)IEC%2062443-4-1_%E6%9E%97%E4%B8%8A%E6%99%BA_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2-1.jpg" style="width: 600px;" /></p> <h3><strong><span style="color: rgb(178, 34, 34);">●</span></strong><span style="color: rgb(178, 34, 34);"><strong>改版重點二：聚焦「Security by三兄弟」概念強化</strong></span></h3> <p>這次改版的另一大重點，是美國政府與多國網路安全單位不斷提倡的「Security by Design」、「Security by Default」與「Security by Demand」，林上智用Security by三兄弟這樣的簡稱，方便大家認識與記憶。</p> <p>林上智指出，過去IEC 62443-4-1便一再強調Security by Design的原則，因此這部分預計不會有太大的變動。例如，安全功能應該在一開始就被納入考量、設計與實作，而非產品設計完才疊床架屋地進行補強。</p> <p>他更希望大家謹記，Security by Design的意義在於，並非僅僅增加安全功能，而是決定產品是否值得信賴的關鍵。</p> <p>本次改版的重心，主要放在Security by Default、出廠時預設即安全。這意味著使用者在購買產品後，無需進行過多的操作、額外的複雜設定或支付額外費用，即可具備防禦常見攻擊手法的能力，也就是讓使用者「不設定」也安全。</p> <p>不過，林上智指出，要將Security by Default概念融入標準內，並不容易處理，尤其需要考量到工業控制環境中設備使用年限較長等特殊狀況。他以FTP為例說明，由於FTP本身不夠安全，若依預設即關閉的原則處理，但在工廠等特定場景中，就可能出現因FTP關閉而不能生產的情況。</p> <p>換言之，若要讓Security by Default能落實，其實非常看場景、場域與情境。</p> <p>林上智表示，這幾個月來，他們4-1工作小組與美國CISA等單位不斷討論，尤其是Security by Default與可用性的兩難問題，因為Security by Default必需要存在，可是又不能影響可用性。</p> <p>他們目前討論結果是，將從層次更高的風險評估、風險建模，並依照場域、場景、情境來決定產品要怎麼做設定，才是所謂的Security by Default，並持續對外徵集不同意見。</p> <p>同時他也強調，Security by Default不會是獨立的章節，而是會分散到每一個開發章節之內。</p> <h3><strong><span style="color: rgb(178, 34, 34);">●</span></strong><span style="color: rgb(178, 34, 34);"><strong>改版重點三：強化SBOM與開源軟體安全管理</strong></span></h3> <p>最後一個改版重點，是加強對軟體供應鏈與開源軟體的安全管理。</p> <p>林上智指出，在改版會議中，他們深入探討了軟體供應鏈的各項議題，特別是美國政府於2021年發布的行政命令，該命令已經明確要求美國聯邦政府在採購軟體時，必須提供軟體物料清單（SBOM）。</p> <p>過去，IEC 62443-4-1雖然提到軟體裡面要有inventory，也就有這樣的概念存在，但並未明確定義SBOM一詞。因此，本次改版將新增相關要求，強制建立SBOM的管理機制。</p> <p>雖然標準只會規範「應該」做，不會具體規定「如何」做。但林上智在此也分享其經驗，指出目前主流的三種SBOM格式，包括SPDX（ISO 59626）、CycloneDX、SWID（ISO 19770），前兩者是他通常會建議的選項。例如，SPDX是Linux基金會的專案，若業者的產品與嵌入式系統或Linux相關就很適用，轉換為其他格式也可行，但需確保轉換後的正確性；CycloneDX 亦廣泛被採用，其精美的介面令人印象深刻。至於最終選擇何種格式，則取決於企業自身的需求。</p> <p>另一方面，林上智強調，SBOM表可以在軟體開發的不同階段生成，無論是在需求規格階段、程式碼階段，或是建置、測試或執行階段，目前常見作法是在程式碼開發階段產生，但他提醒，需注意可能發生的誤判，因為某些函式庫（library）的使用情況，可能是在執行當下才能確定。目前來看，對於應在何種階段產生SBOM，並無嚴格的規範。</p> <p>或許有些人認為，SBOM僅是一份清單或列表，但林上智強調，SBOM 應被視為一種信任機制。它並非漏洞報告，也不是單純的產出結果，而是協助我們管理軟體的信任基礎。</p> <p>不只是SBOM，另一重點在於開源軟體管理也是改版的強化方向。他解釋，之前IEC 62443-4-1與開源軟體最相關的部分，是SM9章節的第三方套件，但原先規範顆粒度較粗，可能導致管理上的疏漏。</p> <p>因此，這次會特別針對開源軟體進行規範，畢竟，現在很少有開發者會從頭編寫一個完整的程式，其重要性不言而喻。</p> <p>林上智也透露，若企業在開源軟體開發上，遇到不確定如何進行的情況，雖然IEC 62443-4-1本身不會提供具體做法，但會在補充指引增加一些建議。例如，可以參考ISO/IEC 18974標準，此為Linux基金會旗下的專案，聚焦OpenChain安全保障規範，目的是協助企業在使用開源軟體時，透過特定的流程與機制，處理相關的資安注意事項。</p> <p>綜上所述，我們可以了解目前IEC 62443-4-1改版討論的方向與重點，林上智也提到他們正持續徵集意見，以完善這次針對安全開發流程內容的修訂。</p> </div></div></div>
2025/5/6 16:55作者羅正漢https://www.ithome.com.tw/news/168765
惡意軟體佯裝資安工具入侵WordPress網站
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="http://www.wordfence.com/blog/2025/04/interesting-wordpress-malware-disguised-as-legitimate-anti-malware-plugin/" target="_blank">WordPress資安公司Wordfence</a><a href="https://www.wordfence.com/blog/2025/04/interesting-wordpress-malware-disguised-as-legitimate-anti-malware-plugin/">揭露</a><a href="http://www.wordfence.com/blog/2025/04/interesting-wordpress-malware-disguised-as-legitimate-anti-malware-plugin/" target="_blank">一款偽裝成防惡意程式外掛的惡意軟體</a>。該外掛名為WP-antymalwary-bot.php，實際上內含後門程式碼，可遠端執行指令並維持持久控制，並透過REST API與C2伺服器通訊，使攻擊者能操控受感染的網站。</p> <p>該惡意軟體不僅具備多種功能，也刻意模仿正常外掛的結構，企圖降低開發者警覺。程式碼維持WordPress外掛常見的格式與風格，包括完整的說明註解、標準的語法縮排，甚至出現多語言內容，從表面上看起來就像是一般的合法外掛。</p> <p>其核心後門機制，是透過WordPress初始化階段掛入一組特殊函式，監聽網址中的emergency_login參數，當訪客造訪網站並附帶特定明文密碼時，惡意程式會自動從資料庫中抓取第一筆具有管理員權限的使用者帳號，並直接設定登入Cookie，使攻擊者得以無需驗證程序進入網站後臺。由於這一過程完全繞過正常認證機制，且觸發條件單純，只需一組明文密碼與網址參數即可，讓攻擊者能長期隱密地維持控制權。</p> <p>研究人員進一步分析發現，攻擊者藉由注入PHP程式碼至所有布景主題中的header.php，植入廣告腳本或建立重新導向邏輯，藉此引導網站訪客觀看第三方廣告、前往指定網站，或進一步接觸惡意內容。此外，該外掛會將自己儲存在外掛目錄中，並修改wp-cron.php，於訪客造訪網站時自動重建與啟用惡意外掛，形成難以移除的持久性機制。在更新版本中，還觀察到攻擊程式透過WordPress內建定時任務機制，每分鐘向C2伺服器進行回報，傳送網站網址與時間戳記，便於攻擊者追蹤感染情況與維持控制。</p> <p>Wordfence指出，此次觀察到的惡意外掛與2024年6月揭露的供應鏈攻擊案例，在程式撰寫風格與特徵上具有相似性，顯示攻擊者可能正採用人工智慧輔助生成惡意程式碼，進一步降低被辨識機率並提升迭代效率。該惡意程式還設計了Base64編碼廣告連結，與可由遠端指令更新內容機制，不僅模組化程度高，還具備後續動態調整與升級的彈性，研究人員認為該惡意程式碼並非僅一次性使用。</p> </div></div></div>
2025/5/6 16:59作者李建興https://www.ithome.com.tw/news/168777
JetBrains開源Mellum語言模型，專精程式碼理解與補全任務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>JetBrains開源其第一個針對程式碼完成任務設計的語言模型<a href="https://blog.jetbrains.com/ai/2025/04/mellum-goes-open-source-a-purpose-built-llm-for-developers-now-on-hugging-face/">Mellum</a>，並已發布於<a href="https://huggingface.co/JetBrains/Mellum-4b-base">Hugging Face平臺</a>，供研究與開發人員取用。JetBrains稱Mellum為專精模型（Focal Model），其並非試圖涵蓋所有自然語言任務的通用模型，而是聚焦程式碼理解與補全的單一應用場景，藉此在有限參數規模追求最佳的任務適應性與部署效率。</p> <p>Mellum-4b-base模型具有40億個參數，採用類似LLaMA的架構，支援8,192個token的上下文長度，並經由JetBrains團隊從零開始訓練，而非基於現有開源模型進行微調。其訓練資料總量達4.2兆token，涵蓋如The Stack、StarCoder訓練集、CommitPack與英文維基百科等公開語料，針對Java、Python、C/C++、JavaScript、TypeScript、Go、Kotlin、PHP、Rust等語言進行學習，目的在於提供準確且上下文一致的程式碼完成能力。</p> <p>JetBrains表示，Mellum設計概念回歸機器學習早期專精模型的想法，強調深度大於廣度，與當前大型語言模型普遍追求多任務通用能力的趨勢有別。在Mellum架構下，模型不僅在訓練資源上更節省，其可部署的彈性也大幅提升，能在如llama.cpp、Ollama等環境本地執行，也可透過vLLM於雲端部署。</p> <p>在效能表現方面，Mellum-4b-base在JetBrains內部的HumanEval Infilling測試中，單行程式碼完成通過率為66.21％，多行完成為38.5％。此外，在RepoBench與SAFIM等程式碼評測中，Mellum於自身支援的上下文長度範圍，整體效能達到一定的水準。</p> <p>雖然Mellum在效能上仍不及CodeLlama-13B或DeepSeek-Coder-6.7B等規模較大的模型，但JetBrains強調，Mellum的設計目標並非取代通用語言模型，而是適合研究訓練策略、推論效率與模型專精化之用。</p> <p>目前公開的Mellum版本為未經下游任務微調的基本模型，但已可支援進一步的監督式微調（SFT）與強化學習（RLHF）流程。JetBrains同時釋出針對Python語言的SFT版本模型，並預告將陸續推出針對其他語言任務的模型變體，對應不同程式語言與開發場景。</p> </div></div></div>
2025/5/6 15:30作者李建興https://www.ithome.com.tw/news/168772
Amazon Q Developer CLI擴充MCP支援提升資料理解深度
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS在其Amazon Q Developer命令列工具新增MCP（Model Context Protocol）<a href="https://aws.amazon.com/tw/blogs/devops/extend-the-amazon-q-developer-cli-with-mcp/">支援</a>，進一步提升開發人員在本地環境與資料來源互動的靈活性與準確度。該更新使Q Developer能夠接收來自外部資料來源的結構化上下文資訊，進而改善生成程式碼、撰寫SQL查詢與建立測試案例的能力，特別是在處理如資料庫結構等非程式碼內嵌資料時，能提供更符合實際需求的結果。</p> <p>MCP是一項由Anthropic主導的開放協定，目的在於標準化AI模型存取上下文與外部工具的方式。在這套機制下，AWS開發者可在本地機器設定MCP伺服器，讓Q Developer能藉由該伺服器存取特定資料來源，像是PostgreSQL資料庫的結構描述（Schema）資訊，精準生成查詢語句與資料操作邏輯。</p> <p>之前Q Developer雖可透過CLI操作AWS資源與檔案系統，卻難以處理專案外部的資料結構，例如資料表關聯與欄位命名。加入MCP支援後，CLI可透過標準化工具介面與MCP伺服器交換結構資訊，進而提升模型對專案語境的理解深度。</p> <p>在未提供結構描述資訊的情況下，Q Developer僅能產生通用的SQL查詢語句，但啟用MCP伺服器後，便能根據實際的資料表與欄位關係，自動產生語法正確且具備業務邏輯的查詢語句，甚至進行查詢執行與結果解釋。</p> <p>對於在本地開發過程，需要頻繁與資料庫互動的開發人員而言，這項支援可以快速將資料層結構納入開發流程，無需額外撰寫資料存取邏輯或自建中介模組。開發者可透過簡單設定如mcp.json檔案，指派MCP伺服器的執行指令與參數，連結如Amazon RDS上的PostgreSQL資料庫。</p> <p>AWS<a href="https://docs.aws.amazon.com/en_us/amazonq/latest/qdeveloper-ug/command-line-mcp-security.html">表示</a>，Q Developer的工具執行遵循一系列安全設計原則，包括使用者需手動授權工具執行、各MCP伺服器於獨立程序中執行、工具行為公開透明等。官方提醒開發者，在導入第三方MCP工具時，應謹慎評估來源可信度並定期更新，以降低潛在風險。這次更新為早期整合階段，目前僅限於CLI操作環境，但AWS已預告將在未來幾周內擴展至Q Developer的整合式開發環境擴充套件版本。</p> </div></div></div>
2025/5/6 08:00作者李建興https://www.ithome.com.tw/news/168748
【資安日報】5月6日，惡意軟體Phorpiex捲土重來，被用於散布LockBit 3.0及其他作案工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了在受害電腦成功執行惡意軟體，駭客利用惡意軟體載入工具（Loader）、下載工具（Downloader）的情況，越來越常出現。最近有一款前身為殭屍網路病毒的惡意軟體下載工具Phorpiex，引起研究人員的高度關注，因為，駭客拿來散布惡名昭彰的勒索軟體LockBit 3.0。</p> <p>值得留意的是，關於勒索軟體LockBit 3.0的攻擊流程，駭客多半以手動方式操作，透過Phorpiex下載、部署，能讓整個流程高度自動化，而鮮少需要人工介入，使得攻擊者能同時對更多目標下手。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168740"><strong style="font-size: 22px;">惡意軟體下載工具Phorpiex捲土重來，被用於散布LockBit 3.0勒索軟體</strong></a></p> <p>資安公司Cybereason發表威脅分析報告指出，老牌殭屍網路Phorpiex近期再度現身，並被觀察到成為散布LockBit 3.0勒索軟體的載體。Phorpiex在受感染主機上自動下載並執行LockBit勒索程式，無需駭客進行後續操作，由於該攻擊流程高度自動化，與傳統勒索攻擊仰賴人工作業的模式有所不同，因此受到關注。 </p> <p>Phorpiex又名Trik，自2010年起即活躍於各類攻擊活動，最早是以垃圾郵件推送及挖礦行為為主，近年則被用於交付惡意程式。根據Cybereason觀察，該工具近來技術變動不大，甚至仍保留刪除Windows下載區域標記檔，以掩蓋惡意檔案真實來源的老舊行為。</p> <p>除了LockBit，Phorpiex也被用來投遞其他惡意程式，例如：TWIZT與GandCrab。TWIZT會透過捷徑檔觸發下載流程，並建立空白JPEG圖檔判斷是否重複感染，而散布GandCrab的版本則具備反偵測與關閉防毒的功能。</p> <p><a href="https://s4.itho.me/sites/default/files/images/lb infection flow.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/lb%20infection%20flow.png" style="width: 580px;" /></a></p> <p><a href="https://www.ithome.com.tw/news/168754"><strong style="font-size: 22px;">勒索軟體Rhysida聲稱對秘魯政府數位平臺下手，該國否認遭駭</strong></a></p> <p>資安業者Comparitech上周五發現，勒索軟體駭客組織Rhysida在暗網貼文，聲稱攻擊秘魯政府的數位平臺，並張貼疑似來自網址為Gob.pe的多份文件螢幕擷圖作為證據（Gob.pe為祕魯政府數位平臺的網址），駭客宣稱已向祕魯政府要求在7日內支付5個比特幣，來換取資料不被外流。</p> <p>不過，祕魯政府否認此事。資安業者Venarix轉貼祕魯政府的聲明，他們宣稱該國數位平臺<a href="http://www.gob.pe">www.gob.pe</a>並未遭入侵或遭破壞，所有服務皆維持正常運作。</p> <p>該國政府說，社群媒體流傳關於<a href="http://www.gob.pe">www.gob.pe</a>網域被劫持的訊息，並不準確。所謂的資安事件，實際上是發生於<a href="http://www.satp.gob.pe">www.satp.gob.pe</a>網域相關的某服務，但該服務管理與祕魯內閣會議主席（總理）辦公室、或數位政府與轉型秘書處切開。</p> <p><a href="https://www.ithome.com.tw/news/168637"><strong style="font-size: 22px;">電子商務平臺WooCommerce管理員遭鎖定，駭客佯稱網站有漏洞從事網釣</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Screenshot-2025-04-22-at-4_11_51 PM-1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot-2025-04-22-at-4_11_51%E2%80%AFPM-1.png" style="width: 300px; float: right;" /></a></p> <p>近年來鎖定Magento、WooCommerce等電子商城平臺的攻擊行動不時傳出，其中最常見的入侵手法之一，就是利用零時差漏洞或已知漏洞而能得逞，但也有駭客反其道而行，佯稱電商網站有資安弱點為由，從事網釣攻擊。</p> <p>例如，資安業者Patchstack提出警告，他們發現專門針對WooCommerce網站管理員的大規模釣魚攻擊，駭客聲稱經過他們的掃描，網站有重大層級的資安漏洞，這項漏洞能被用於未經授權的狀態下，以管理者身分入侵網站，若是不處理，攻擊者就能竊取網站敏感的使用者資料，包含客戶資訊、訂單細節，以及付款方式的內容。駭客甚至恐嚇管理者，該漏洞可能會導致未經授權的付款，甚至讓網站失去控制。</p> <p>駭客建議網站管理者要儘速依照指示操作，從他們的網站下載修補程式，並以WordPress外掛程式的形式上傳、安裝，然後啟用，網站才會得到保護。然而，上述的一切，都是與駭客聲稱、卻不實際存在的假漏洞有關，一旦網站管理者照做，駭客就會透過後門與新建立的管理員帳號，來入侵受害網站。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-bring-your-own-installer-edr-bypass-used-in-ransomware-attack/">勒索軟體Babuk繞過EDR防護出現新手法，利用合法安裝程式達到目的</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.darkreading.com/cyber-risk/venom-spider-phishing-scheme">駭客組織Venom Spider冒充求職者，鎖定人力資源部門而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/npm-malware-crypto-wallets-mongodb-turkey-code/">惡意NPM套件鎖定CryptoJS用戶而來，企圖竊取加密貨幣錢包、MongoDB資料庫</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168751"><strong style="font-size: 22px;">PHP程式庫ADOdb存在滿分漏洞，280萬套已部署系統恐曝險</strong></a></p> <p>PHP開源專案ADOdb上周釋出5.22.9版，以修補CVSS風險評分等級高達10分的安全漏洞CVE-2025-46337，該漏洞恐危及全球280萬已安裝ADOdb的系統。</p> <p>ADOdb是個熱門的PHP資料庫抽象層，它提供統一的API介面，讓開發人員得以利用相同的語法來操作不同類型的資料庫，相容於MySQL、PostgreSQL、SQLite、Oracle、Microsoft SQL Server、IBM DB2及Sybase等資料庫，而這次所發現的CVE-2025-46337為SQL注入漏洞，出現在ADOdb程式庫的PostgreSQL驅動程式，允許駭客執行任意SQL指令。</p> <p>這是由安全研究人員Marco Nappi意外發現的漏洞，起因是最近想要強化對白盒的了解，於是他開始探索靜態分析安全測試（SAST），並決定利用靜態程式碼分析工具SonarQube來分析用來建置大學網站的開源專案Moodle，以及客戶關係管理專案VtigerCRM。沒想到，Marco Nappi在Moodle或VtigerCRM都找到相同的SQL注入漏洞，進一步檢查才確認，該漏洞其實隱藏在ADOdb元件。</p> <p><a href="https://www.ithome.com.tw/news/168640"><strong style="font-size: 22px;">圖像化資料分析平臺Grafana出現高風險權限繞過漏洞</strong></a></p> <p>圖像化資料分析平臺Grafana發布安全更新，修正多項資安漏洞。其中，高風險漏洞CVE-2025-3260影響Grafana 11.6.0以上的版本，允許具Viewer或Editor角色的使用者繞過儀表板與資料夾的權限設定，查看、編輯或刪除組織內所有儀表板。當系統啟用匿名認證，且匿名用戶被指派為Viewer或Editor角色，未登入使用者也可能無需授權即可操作組織內所有儀表板。</p> <p>根據官方說明，該漏洞發生於新開發的/apis/dashboard.grafana.app/系列端點，在權限檢查邏輯上存在缺陷，影響所有啟用該API的部署環境。雖然組織隔離機制仍然有效，不同組織之間的資料不會因此洩漏，但單一組織內的權限防護卻會失效。該漏洞CVSS評分為8.3屬高風險等級，建議用戶盡速升級至11.6.0+security-01版本或同分支修補版本，即便使用者無法立即升級，也應以網路層封鎖特定API路徑因應。</p> <p><a href="https://www.ithome.com.tw/news/168650"><strong style="font-size: 22px;">研究人員公布使用Linux io_uring迴避偵測的手法</strong></a></p> <p>資安廠商Armo研究人員公布針對Linux的Rootkit，利用Linux提高效能的專屬機制io_uring，來繞過包括Microsoft Defender在內的端點安全工具偵測。</p> <p>io_uring是Linux 5.1引進的高效非同步I/O核心API，透過支援非同步、批量提交I/O，解決傳統處理方法的同步阻塞，或是大量系統呼叫（syscall）的問題。它使用可兩個共享的ring buffer完成用戶空間（user space）和核心空間（kernel space）的溝通，藉由共享緩衝區來大幅減低因複製產生的系統額外的資源消耗（overhead），加速I/O執行。</p> <p>但Armo研究人員發現，io_uring對某些安全工具反而有害，因為它的機制可讓應用程式執行多種行為，而不需使用系統呼叫。因此仰賴系統呼叫偵測的安全產品，就無法偵測到使用io_uring的rootkit。基於io_uring的安全疑慮，Google已經在ChromeOS、Google伺服器及Android關閉io_uring的支援，Docker也預設不支援io_uring；Linux基金會也提供全系統關閉的方法。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/android-security-bulletin-may-2025-multi-vulnerabilities-including-actively-exploited-cve-2025-27363/">Google發布安卓5月例行更新，修補已被用於攻擊的零時差漏洞</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/unauthenticated-dos-vulnerability-crashes-windows-deployment-services-no-patch/">Windows部署服務存在DoS漏洞，攻擊者有機會遠端發動零點擊攻擊</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/168745"><strong>【5月5日】臺灣第一座防詐實驗室正式掛牌上路，玉山金揭金融無塵室發展方向</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168725"><strong>【5月2日】思科、Nvida等多家業者在RSAC 2025推出AI資安工具</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168681"><strong>【4月30日】韓國電信業者SKT資料外洩出現進展，該公司將為用戶換發SIM卡</strong></a></p> </div></div></div>
2025/5/6 11:20作者周峻佑https://www.ithome.com.tw/news/168762
Palantir首季營收成長39%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國大數據分析軟體平臺<a href="https://investors.palantir.com/news-details/2025/Palantir-Reports-Q1-2025-Revenue-Growth-of-39-YY-U-S--Revenue-Growth-of-55-YY-Raises-FY-2025-Revenue-Guidance-to-36-YY-Growth-and-U-S--Comm-Revenue-Guidance-to-68-YY-Crushing-Consensus-Expectations/" target="_blank">Palantir周一（5/5）公布今年第一季財報</a>，該季Palantir創下8.84億美元營收，成長39%，營業利潤（Operating Income）為3.91億美元，每股盈餘為0.13美元。儘管Palantir首季表現符合市場預期，但當天Palantir的盤後股價下挫了9.25%，跌至112.32美元。</p> <p>定位為大數據分析平臺的Palantir主要提供情報服務，在8.84億美元的營收中，有6.28億美元來自美國市場，占整體營收的71%。而在美國市場的營收中，有3.73億美元來自美國政府，成長45%，有2.55億美元來自商業客戶，成長71%。</p> <p>該季Palantir完成了139筆至少超過100萬美元的交易，51筆至少500萬美元的交易，以及31筆至少1,000萬美元的交易，客戶年增量為39%。</p> <p>Palantir預期下一季營收介於9.34億至9.38億美元之間，也調高今年整體的營收預期至38.9億美元至39.02億美元。</p> <p>Palantir共同創辦人暨執行長Alexander Karp表示，隨著愈來愈多組織開始理解大型語言模型（LLM）的價值，以及支撐這些模型的基礎軟體架構的重要性，原本有條不紊的評估及導入過程，已變成一場搶進式的狂熱浪潮，其規模之大令產業與政府機構都加速採用相關技術，並在美國表現得更為明顯。</p> <p>Karp說，該公司長期以來最關注的目標，便是讓美國的國防與情報機構擁有比敵人更致命也更精確的軟體能力，儘管過去曾遭忽視甚或幾近被淘汰，但如今矽谷某些人已開始支持他們，然而，不管時勢或潮流如何，Palantir替美國軍方開發軟體的承諾終將堅定不移。</p> </div></div></div>
2025/5/6 15:06作者陳曉莉https://www.ithome.com.tw/news/168771
Deno 2.3提升跨平臺編譯能力並支援本地NPM套件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://deno.com/blog/v2.3" target="_blank">JavaScript執行環境Deno開發團隊釋出最新2.3版</a>，進一步強化其開發工具鏈，包含擴充編譯功能以支援Node原生模組與外部函式介面（Foreign Function Interface，FFI），以及開放參照本地NPM模組，使Deno在應用部署與開發整合方面更具彈性。</p> <p>針對原生編譯功能的擴充，Deno 2.3讓開發者能將使用如bcrypt這類需要Node原生位元組碼的模組，一併編譯為單一可執行檔。這不僅簡化了部署流程，也讓跨平臺發布獨立程式變得可行。此外，此版本引入—exclude參數，允許排除不需打包的資源，藉此縮小檔案大小，對於希望控制最終產出檔案大小的開發者，提供更多調整空間。</p> <p>在NPM整合方面，過去Deno主要仰賴遠端NPM套件，2.3版本則首度開放透過deno.json設定，匯入本地資料夾中的模組。該變動對於開發NPM套件者來說特別實用，可在不發布到套件資料庫（NPM Registry）的情況下進行測試與驗證。</p> <p>Deno 2.3隨附TypeScript 5.8與V8 13.5，進一步提升語言層級的相容性與執行效能。在效能方面，本次更新改進相依套件的安裝流程，包括快取機制與lockfile格式，使NPM套件的解析速度在多數情境下提升約2.5倍。這些皆屬於底層機制的調整，對於中大型專案或高度依賴模組的開發環境，可實際縮短安裝與建置時間。</p> <p>新版本在工具鏈的整合體驗也有所提升，例如deno check現在可自動掃描整個專案資料夾，無需手動指定檔名；測試時使用—coverage參數也會自動產生覆蓋率報告，簡化測試流程。此外，Deno 2.3進一步強化對OpenTelemetry的支援，新增事件記錄、node:http模組的自動追蹤，以及V8執行階段的性能指標擷取，提升應用程式的可觀測性。</p> <p>整體來說，Deno 2.3更新重點在於提升工具實用性與系統整合，降低與Node.js生態系整合時的技術摩擦，並強化原生應用的編譯與監控能力。</p> </div></div></div>
2025/5/6 14:01作者李建興https://www.ithome.com.tw/news/168768
OpenAI公布新架構，把既有營利公司轉為PBC公司
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/index/evolving-our-structure/" target="_blank">OpenAI周一（5/5）公布該公司的新架構</a>，指出其營利的有限獲利公司將轉型為公益法人公司（Public Benefit Corporation⁠，PBC），但依舊由非營利組織控制。</p> <p>2015年創立的OpenAI原本是家非營利組織，<a href="https://www.ithome.com.tw/news/129281" target="_blank">在2019年改採混合組織架構</a>，除了既有的非營利的OpenAI Nonprofit之外，還設立了可營利的有限獲利公司OpenAI Global，並由OpenAI Nonprofit董事會負責管理OpenAI Global。在此一架構下，諸如微軟等OpenAI股東可透過OpenAI Global獲得回報，但回報上限為100倍。</p> <p>去年底，OpenAI企圖擺脫非營利機構的限制，以及原本設定的股東回報上限，<a href="https://www.ithome.com.tw/news/166735" target="_blank">因而宣布</a>將轉型為營利導向的公司，把OpenAI Global轉型為PBC，由該PBC公司同時承擔公益、社會與股東權益的責任，全權負責OpenAI的營運，而OpenAI Nonprofit除了可獲得該PBC的重要股份之外，已無法再直接管理該PBC，走向純粹的慈善活動。</p> <p>OpenAI的組織改革計畫面臨許多反彈的聲浪，其中之一是Meta。Meta要求加州檢察長阻止OpenAI，抨擊OpenAI的行為可能對矽谷造成重大影響，甚至將改變科技新創的經營模式：投資人可先成立非營利組織，收取數億美元的免稅捐款進行研發，在技術具備商業價值之後，再轉成營利公司來獲利，等於是假公益之名，行商業之實。</p> <p>本周OpenAI即說，在聽取了民間領袖的意見，以及與加州及德拉瓦州檢察長交流之後，決定讓非營利組織保留對OpenAI的控制權。OpenAI創辦人暨執行長Sam Altman強調，希望這個非營利組織是史上規模最大、最有效益的非營利組織，致力於利用AI替人們帶來最高效益；確保民主AI戰勝專制AI；OpenAI成立時是一個非營利組織，現在是一個可監督及控制營利組織的非營利組織，未來也將是如此。</p> <p>至於非營利組織的獲利有限公司則將轉型為PBC，不再採用利潤上限結構，而是轉為正常的資本架構，讓每個人都擁有股票。非營利組織將成為PBC的大股東，並將繼續控制PBC。</p> <p>簡單地說，這次的改變主要是移除了OpenAI股東的100倍獲利上限，替該PBC的股票公開發行舖路。Altman表示，OpenAI希望該公司的服務能夠惠及全人類，目前需要數千億美元的資金，最終可能需要數兆美元。</p> <p><a href="https://www.ithome.com.tw/news/168182" target="_blank">OpenAI在今年3月</a>揭露新一輪的融資活動，打算募資400億美元，完成後的OpenAI市值將攀上3,000億美元；該活動是由日本軟銀集團（SoftBank）主導，條件是OpenAI成功轉型為營利導向的公司。目前並不確定OpenAI本周的宣布是否符合軟銀所列出的條件，但不論如何，軟銀都至少會挹資200億美元。</p> </div></div></div>
2025/5/6 14:12作者陳曉莉https://www.ithome.com.tw/news/168770
微軟逐步終止Authenticator儲存密碼功能，將集中以Edge為主
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.microsoft.com/en-us/account-billing/changes-to-microsoft-authenticator-autofill-09fd75df-dc04-4477-9619-811510805ab6" target="_blank">微軟宣布將從7月起</a>，逐步取消Authenticator管理和autofill密碼或通行密鑰（passkey）的功能，最終把這些管理功能轉到Edge瀏覽器。不過用戶還是可以選擇Google Password Manager或iCloud Keychain。</p> <p>Microsoft Authenticator的autofill功能，可讓用戶將App和網站的密碼儲存在手機上，減少每次登入時輸入密碼驗證的次數。但微軟說它要簡化autofill，好讓密碼可以彈性使用在不同裝置上。伴隨此項變動，Microsoft Authenticator將分階段終止儲存密碼及autofill功能。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0506-microsoft%20authenticator-autofill-1%2B2.png" style="width: 444px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">Microsoft Authenticator的autofill功能示意，圖片來源／微軟</span></span></p> <p>從2025年6月起，用戶就無法再於Authenticator儲存新增密碼。7月間，Authenticator的密碼autofill無法使用。從8月起，Authenticator也無法存取（及autofill）已儲存的密碼。</p> <p>微軟提醒用戶應儘速行動，因為7月之後，Authenticator儲存的支付資訊就會從裝置刪除。8月之後，不但所有儲存的密碼無法從Authenticator取用，生成的密碼若未儲存也將會刪除。</p> <p>於此同時，用戶儲存在Authenticator的密碼以及網址會同步到微軟帳號。用戶可以在Edge瀏覽器存取密碼，重新獲得Autofill功能（如果用戶同意Edge為autofill provider）。微軟強調，用Edge瀏覽器的好處是具備Defender、SmartScreen、Password Monitor（密碼監控器）與InPrivate搜尋等安全功能。</p> <p>想以Edge為Autofill provider的用戶，可以從Edge的「設定」>「一般」>「Autofill & Password」中選擇Edge。之後用戶若想存取密碼，可以循「設定」>「密碼」存取。</p> <p>不想使用Edge、想使用Google Password Manager、Apple iCloud Keychain的用戶，就比較麻煩一點，必須將密碼輸出到想要的服務。然後從Authenticator複製&貼上網址，或是利用Edge的「輸出網址」功能來輸出。支付資訊就必須手動重新輸入。微軟提醒，從Authenticator輸出資料也必須在2025年8月1日以前完成，之後就再也無法用Authenticator（但在Edge還是看得到）。</p> <p>雖然Edge會同步用戶儲存的密碼，但系統生成的密碼卻不會，如果用戶想繼續使用，必須從Authenticator>「Password分頁（password tab）」>「生成器紀錄（generator history）」處，將系統生成的密碼儲存成「已儲存的密碼」。</p> <p>於此同時，微軟說Authenticator會持續支援通行密鑰。如果用戶曾為Microsoft帳設定通行密鑰，必須開啟Authenticator作為通行密鑰供應者。如果Authenticator關閉，通行密鑰也會關閉。</p> <p>這也是微軟推動無密碼登入措施的一環。<a href="https://www.ithome.com.tw/news/168721" target="_blank">微軟上周宣布</a>未來所有新的微軟帳號將預設使用無密碼驗證，以逐漸降低密碼使用。</p> </div></div></div>
2025/5/6 10:24作者林妍溱https://www.ithome.com.tw/news/168758
資安業者警告，來自俄羅斯的Go套件Easyjson可能危及美國國家安全
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://huntedlabs.com/the-russian-open-source-project-that-we-cant-live-without/" target="_blank">專門追蹤開源軟體供應鏈安全性的美國資安新創Hunted Labs周一（5/5）警告</a>，他們發現一個Go語言的開源軟體套件Easyjson是由俄羅斯最大社交平臺VK所開發，恐危及美國國家安全。</p> <p>Hunted Labs是利用該公司所開發的Entercept平臺來協助客戶辨識與追蹤所使用的軟體是否受到國外的控制或影響，進而發現Easyjson已被部署在美國政府系統、Fortune五百大企業，以及雲端原生運算基金會（Cloud Native Computing Foundation，CNCF）的許多專案中。</p> <p>Easyjson是個Go語言套件，專門為優化JSON序列化及反序列化過程而設計，藉由生成Go程式碼來實現JSON的編碼與解碼，在雲端原生生態系統中被廣泛採用，受到許多開源與企業專案的仰賴，以於分散式系統中高性能地處理JSON，在金融與分析平臺上的即時資料序列化，以及雲端應用的最佳化，包括容器編排平臺Kubernetes、Kubernetes套件管理工具Helm，以及開源的服務網格Istio都採用了Easyjson。</p> <p>研究人員指出，如Easyjson等序列化工具是在應用程序的底層運行，它們通常是無形的，且緊密整合了系統的各個核心元件，一旦部署就很難移除與替換，一向被預設是可靠的。然而，當它們被武器化時，Easyjson即可能成為供應鏈的後門，可藉由反序列化執行遠端程式攻擊，被用來執行間諜活動或竊取資料，或者是啟用Kill Switch，於特定條件下觸發預設的破壞性功能。</p> <p>其實現階段Easyjson最大的嫌疑來自於它是由VK所開發的，如同美國圍堵華為的最大原因來自於相信它受到中國政府的掌控。</p> <p>VK為俄羅斯的第二大網路公司，是當地最大的入口網站與社交平臺，市占率超過6成，勝過Telegram的42%與臉書的26%，在俄羅斯科技領域的影響力僅次於搜尋引擎Yandex。VK的控股公司MF Technologies雖僅持有4.8%的VK經濟權益，卻擁有57.3%的VK投票權，在2021年時，與俄羅斯總統普丁（Vladimir Putin）關係密切的保險業者Sogaz、控股公司Gazprom-Media及國營技術公司Rostec相繼買下了MF Technologies的所有股份，取得VK的實際控制權，同年即撤換了VK執行長。</p> <p>而在俄烏戰爭之後，不僅是VK程式受到國際制裁，VK執行長Vladimir Kiriyenko也遭到美國、加拿大、英國、歐盟、日本與澳洲等國家的制裁。</p> <p>Hunted Labs表示，VK在俄烏戰爭中一直藉由審查或推廣內容發揮著作用，刪除任何對俄羅斯政府不利的言論，使得他們也對Easyjson這個由俄羅斯貢獻者提交逾85%以上程式碼的專案感到憂心，而該專案現在正處於美國雲端原生生態系統的臍帶位置。</p> </div></div></div>
2025/5/6 11:06作者陳曉莉https://www.ithome.com.tw/news/168761
微軟開放Windows 11 24H2全面部署
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>經過去年的分階段部署後，<a href="https://learn.microsoft.com/en-us/windows/release-health/status-windows-11-24h2" target="_blank">微軟上周宣布</a>Windows 11 24H2將全面推向所有規格符合的Windows PC用戶。</p> <p>微軟說，24H2的部署已進入最後階段，將透過Windows Update部署給所有用戶。除了Windows 11 PC外，如果Windows 10 PC硬碟符合規格要求，開啟「設定」>「Windows Update」，再選擇「檢查更新」，就能看見「下載與安裝」選項。但是過程中如果系統偵測到不相容情形，將就會暫時不顯示更新版。</p> <p>執行Home及Pro版Windows 11的 PC，以及不受IT部門管理的Windows 11 23H2、22H2和21H2 PC將會自動接獲24H2更新。用戶可以選擇電腦重開機的時間或是延後更新。</p> <p>在Copilot+ PC方面，新功能像是Recall與Click To Do預覽版，仍然會階段性部署到Insider測試社群中的特定裝置和市場。</p> <p>但24H2屢傳和某些軟、硬體發生不相容。有此類問題的用戶仍然可設定更新封鎖。有相容問題的軟體包括，用於Windows Hello臉部辨識的相機、Dirac數位音效改進軟體、使用sprotect.sys 驅動程式的應用程式、Intel Smart Sound Technology 驅動程式、Safe Exam Browser 3.7版及舊版反詐騙程式Easy Anti-Cheat等。</p> </div></div></div>
2025/5/6 09:41作者林妍溱https://www.ithome.com.tw/news/168756
Google可能正在開發類似三星Dex的Android桌機模式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.androidauthority.com/android-desktop-mode-leak-3550321/" target="_blank">網路媒體Android Authority發現</a>，Google可能正在開發類似三星Dex一樣，以手機App模擬桌機介面的功能，但正式名稱不確定。</p> <p><a href="https://www.samsung.com/tw/support/apps-services/what-is-samsung-dex/" target="_blank">Dex</a>為三星獨有的控制功能，允許用戶將三星行動裝置（如Galaxy智慧手機或平板）連接至外部顯示器（電視或顯示器），讓用戶在更大螢幕上使用所有手機／平板上所有App、文件、檔案或操作所有設定。但它不像螢幕鏡像（screen mirroring）一樣限制手機上的操作；使用Dex用戶可以同時開啟多個App，例如將球賽投影到電視，一邊開啟瀏覽器上網，同時在Galaxy手機上回覆郵件。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0506-samsung-dex.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／三星</span></span></p> <p><a href="https://www.androidauthority.com/android-desktop-view-3533755/" target="_blank">Android Authority三月時在Android 16 的測試版本中</a>，發現名為Desktop View的功能位於開發人員功能選項中。該功能類似Dex，但是無法在Pixel手機開啟。</p> <p>媒體記者近日測試Android 16 Beta 4，Desktop View功能已可在Pixel手機上開啟，但是介面描述文字改為Desktop Windowing，顯示可能改名。</p> <p><a href="https://www.youtube.com/watch?v=JrE15if_AVs&t=1s" target="_blank">根據記者的示範影片</a>，連接Google最新Pixel手機和電腦螢幕，即可在螢幕下方顯示類似Windows工作列的App行列，允許用戶利用滑鼠像是操作電腦一樣操作手機，也能在多個App間彼此切換或拖曳內容。</p> <p><a href="http://www.youtube.com/watch?v=JrE15if_AVs&t=1s" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0506-Google%20DeX%20by%20Android%20Authority.png" style="width: 600px;" /></a></p> <p><a href="http://www.youtube.com/watch?v=JrE15if_AVs&t=1s" target="_blank"><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源／Android Authority</span></span></a></p> <p>但從本功能開發尚不完整來判斷，Android Authority相信可能不會在秋天隨同Android 16推出，而是在之後的Android 16季度更新甚至Android 17上市。</p> </div></div></div>
2025/5/6 09:46作者林妍溱https://www.ithome.com.tw/news/168757
【2025臺灣資安年鑑｜數位發展部部長黃彥男】數位轉型與國安並重，臺灣在數位浪潮下的資安突圍
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/0506-zi_an_nian_jian_-huang_yan_nan_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在全球數位化浪潮席捲之際，臺灣作為高科技產業的重鎮，其資通安全不僅僅是技術層面的挑戰，更深切關係到國家安全、社會穩定以及經濟發展的命脈。面對日益嚴峻的網路威脅與快速演進的數位環境，政府正積極推動數位轉型，並以前瞻性的視野打造堅固的資安防線。</p> <p>在數位經濟迅速崛起的時代，網路安全早已超越單純的技術議題，晉升為攸關國家安全、社會穩定與經濟發展的重要戰略。臺灣在全球數位浪潮中要站穩腳跟，就必須全力推動政府與民間產業的數位轉型。</p> <p>數位發展部部長黃彥男開宗明義指出，數位轉型是當前政府最核心的工作之一，在這場搶先機的賽跑中，人工智慧（AI）的應用和推廣被視為關鍵利器，不僅能優化作業流程，更能推動產業轉型，助力臺灣在全球競爭中脫穎而出。因此，他說，政府在AI推動上，從人才培育、資金補助，到算力、行銷及各項技術設備的投資，進行全方位部署，期望讓臺灣在全球數位浪潮中站穩腳跟。</p> <p>同時，在面對數位經濟時代的國家競賽，臺灣要做到的戰略突圍，黃彥男認為，數位經濟高速公路就是臺灣突圍的關鍵。他指出，作為一座海島，臺灣必須確保網路暢通無阻，不論是面臨天災、人禍，還是戰爭等突發狀況，都必須有完整的備援措施，確保關鍵資訊基礎建設能夠持續運作。他特別指出，不僅政府部門需要加強資安防護，民間與地方政府的網路安全同樣不可忽視。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>全民防護與產業自救是因應資安防護的挑戰</strong></span></span></p> <p>隨著網路發展愈加普及，臺灣網路接觸面日益廣泛，詐騙與各種網路攻擊事件層出不窮，黃彥男認為，這正是「全民防護」的必要性所在。他指出，未來資安防護工作必須從政府、產業到地方政府全方位部署，像是金融、電信、交通等關鍵基礎設施（CI）均屬於攻擊重災區，一旦資訊系統遭駭客入侵，可能導致民眾恐慌與重大社會混亂。為此，政府除了針對公共單位，也積極推動非公共機關及民間企業建立完善防護措施。</p> <p>針對產業層面，黃彥男坦言，政府設有多項計畫來幫助中小企業轉型，但因預算與資源有限，補助計畫常常受制於經費縮減與人才不足，導致部分企業在資安轉型過程中舉步維艱。他也說，政府原先規畫設置免費算力池協助中小企業進行概念驗證（PoC），但因今年立法院大幅刪減預算，不僅想要新購的算力沒有預算購買，只能勉強維持原先的算力池資源，因此，能夠提供給企業做概念驗證的數量很有限，這也是數位部因為預算經費縮減而面臨的挑戰。</p> <p>黃彥男強調，資安防護並非僅靠技術就能解決，關鍵在於全民意識與協同合作。面對以AI技術撰寫病毒或操縱駭客工具的新型網路攻擊，傳統防護措施已顯得不足，必須整合新的監控技術，持續更新防禦系統，才能有效抵禦日益複雜的攻擊手法。所以，此時政府更需要讓全民了解各類攻擊手法，提高警覺與自主防範意識。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>強化數位韌性：從通訊系統到打詐機制</strong></span></span></p> <p>黃彥男表示，數位發展部的施政目標聚焦於「強化數位韌性」、「發展數位經濟」與「積極強化打詐」。在數位韌性方面，政府持續整合海陸空多元通訊系統，包括非同步衛星、5G網路及海纜等，以確保在災難或緊急情況下，政府指揮體系能保持基本通訊需求。</p> <p>他說，具體措施包括維運並推動非同步軌道衛星應變網路，自113年以來，已完成195處關鍵站點建置，並成立網管中心以即時監控運作狀況。此外，政府也發展近地高空通訊技術，利用國內團隊自主研製的高空平臺，結合低污染氫燃料電池，為救災提供自主可控、安全可靠的臨時通訊保障，其通訊服務可持續80小時以上，覆蓋半徑達11公里。</p> <p>在資安防護的層面上，他指出，目前政府運用AI技術發展自動威脅偵測模型，並深化跨國資安聯防及合作，建立全社會的資安防禦能力。另外，每年辦理網路攻防演練，模擬駭客攻擊手法，透過官學研合作，提升內部防護意識與事件應變能力。</p> <p>至於打詐方面，數位發展部積極推動網路詐騙通報查詢網、實施網路廣告實名制，並建構跨部會聯防機制，從源頭降低詐騙風險。截至2025年初，相關措施已使高風險金融投資及身分冒充詐騙廣告案件數大幅下降，降幅分別達93%與98%。政府透過推動網路詐騙通報查詢網、實施網路廣告實名制以及第三方支付平台監控等措施，有效降低高風險金融投資及身份冒充詐騙的案件數。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0506-%E8%B3%87%E5%AE%89%E5%B9%B4%E9%91%91-%E9%BB%83%E5%BD%A5%E7%94%B7-%E6%8A%BD%E8%A8%801.png" style="width: 600px;" /></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>部會合作的挑戰：資源、職權與協調</strong></span></span></p> <p>政府在數位轉型與資安防護方面，除了技術與資金的投入，部會間的協同合作同樣關鍵。黃彥男坦言，數位發展部作為新成立的部會，初期面臨極大挑戰是資源不足，許多經費都來自於計畫經費，以及與其他部會之間職權界線模糊，常常讓民眾誤解「所有網路相關事務都是由數發部處理」。</p> <p>黃彥男表示，上述情況也使得部會在執行各項任務時，除了需要應對技術挑戰，還必須花大量心力與其他部會協調、爭取預算與合作，而且，不論共同解決從網路攻擊、詐騙，到跨部門資安防護等繁雜問題，像是面對如Uber的案例，都必須與交通部等主管部門進行協商，確定監管責任歸屬。</p> <p>黃彥男坦言，與立法院及民間溝通也是一大挑戰。他進一步解釋，由於數位發展部相較其他部會而言，仍屬於新的部會單位，許多人事流動與人力不足，也讓許多人尚未能充分了解政府在資安與數位轉型上的努力，容易以片段訊息來詮釋整體成果，導致負面印象擴大。</p> <p>他指出，政府也正嘗試利用社群媒體及各項宣傳活動，希望能增進與民眾的互動與溝通，讓外界能夠更全面地認識政府在資安防護、網路建設與產業推動上的各項努力與成果。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>預算遭到立院刪除後所面臨的困境</strong></span></span></p> <p>黃彥男坦言，預算與人力不足，是目前推動數位轉型及資安防護工作面臨的最大挑戰之一。數位發展部成立才兩年多，就遭遇經費遭到立法院大幅削減的困境，他解釋，數位發展部整個部門預算被砍掉四成，預算凍結比例超過二成，實際可動用預算大幅縮減，嚴重影響各項計畫的推動。</p> <p>除了預算不足，他表示，人才短缺也成為數位發展部工作推動的瓶頸，無論AI技術人才、資安專業人才或是技術研發團隊，都因為高流動率與業界競爭激烈而難以留住；像是部門內部也有不少資深同仁，因工作負荷過重或待遇不符而離職，這對現有數位發展部政策的推動，以及未來政策執行與技術研發，都帶來長遠的影響。</p> <p>為了應對這些挑戰，黃彥男表示，政府正積極尋求與其他部會協同合作，並向行政院爭取更多資源以穩定並擴充部門力量，未來會將重點聚焦於穩定與提升預算分配，讓資安署及資安院能夠擁有更充裕的運作資金。</p> <p>同時，他也說，政府也會透過各項計畫補助，鼓勵中小企業參與數位轉型，並提供算力、資金及人才培訓等支持，同時建立完善的跨部門協調機制，確保資安政策與數位轉型方案能夠高效落實，減少部會間職權交叉與資源浪費。他也期待，如何讓各界理解並支持政府的數位轉型，只有從根本上解決資源分配問題，才能讓整個數位轉型與資安防護體系運作得更順暢、更具韌性。</p> <p><span style="font-size:28px;"><span style="color:#B22222;"><strong>確保災難時的通訊不中斷是重要工作</strong></span></span></p> <p>在談到國家網路基礎建設與應急救援技術時，黃彥男也提及政府在面對各種災害應變與緊急通訊領域的應用，他表示，針對天災或突發事故導致基地臺斷訊的情況，政府曾利用高空氣球技術，在災害發生後迅速將基地臺部署於空中，確保至少能夠提供數小時的緊急通訊服務。</p> <p>此外，政府正積極研發無人機技術，期望在高空氣球技術基礎上，利用無人機部署臨時基地站，以更靈活、迅速的方式應對災害現場的通訊中斷問題，大幅提升政府在災害救援及應急通訊上的整體應變能力。</p> <p>他認為，這類技術的創新不僅可以在災害發生時救急，長遠來看，更能作為臺灣數位轉型與資安防護體系中的一環，為未來智慧城市、物聯網應用提供強而有力的技術支撐。今年高空氣球基地臺計畫雖然因為預算刪除而被中止，但只要技術創新的想法還在，未來一定還有更多可能性。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0506-%E8%B3%87%E5%AE%89%E5%B9%B4%E9%91%91-%E9%BB%83%E5%BD%A5%E7%94%B7-%E6%8A%BD%E8%A8%802.png" style="width: 600px;" /></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>推動重要法規立法和修法進度</strong></span></span></p> <p>政府正積極推動包括《AI基本法》、《資安法》修法，以及《促進資料創新條例》立法等多項法規。黃彥男表示，由於技術進展太快，法規往往難以與現實技術同步更新，因此在制定相關法案時，政府傾向於採取原則性宣示，並在原則確定後，再進行細部執法措施的補充。</p> <p>例如，制定《AI基本法》的目標在於鼓勵AI技術發展與應用，同時兼顧風險管理與人權保障。他表示，政府在推動《AI基本法》時，也希望與立法院、司法部等各個部會協調溝通，確定各項推動與監管機制，使法規既不過於束縛技術發展，又能在關鍵時刻發揮有效監管作用。</p> <p>針對《資安法》修法，黃彥男認為這是一部影響全國各個領域的重要法規，其管制範圍原先只涵蓋政府部門，以及特定非公務機關，例如金融、電信、交通等關鍵基礎建設領域。</p> <p>目前《資安法》修法已進入立法院一讀，修法的重點在於：希望可以擴大全民防護、加強地方政府的資安防護，以及整合各個跨部門的情報分享與聯防機制。</p> <p>黃彥男表示，未來政府也希望建立一支類似「網路消防隊」的資安團隊，在面對資安攻擊發生時，能迅速協助各單位進行搶救，避免因資安事件造成大規模社會混亂。</p> <p>他指出，政府鼓勵民間及政府部門做到公開資料、共享資料，可以提升AI模型訓練的效率與準確性，同時，強調要建立符合國際標準的資料安全與隱私保護機制。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>聯防打造全民資安防線</strong></span></span></p> <p>關於建立跨部門、跨單位的資安聯防和合作機制，黃彥男同意這已是當務之急，例如，政府原本已經建立許多聯防機制，包括透過CSIRT（資安事件應變小組）、ISAC（資安情報分享中心）等平臺，但真正要做到實現各種資安資訊共享與跨單位協調，仍必須仰賴各界齊心協力，才能在面臨國家級或跨國的資安攻擊時，迅速做出反應，將損害降到最低。</p> <p>此外，政府不僅重視政府和關鍵基礎設施等內部聯防合作，也非常重視與民間、社群媒體之間的溝通，黃彥男表示，未來政府將加大宣傳力度，運用社群平臺，向民眾闡明各項資安措施與成效，爭取更廣泛的理解與支持透過多元宣傳管道，讓民眾了解政府在資安防護上的堅強實力</p> <p>黃彥男也對未來資安產業發展與數位轉型提出展望，他認為，未來的發展不僅限於技術突破，更需要在政策、預算、人力資源與跨部門合作上，建立完整而穩固的防護體系。</p> <p>他強調：「資安關乎國家安全，資安即國安，所有產業都無法脫離資安這個環節。」包括半導體、軍工、甚至是日常生活中各種政府服務，都需要建立相應的安全防護標準，確保各項服務能夠在安全的環境下穩定運作。</p> <p>至於在產業推動方面，他指出，政府也會優先考慮國產資安產品在政府採購上的比重，藉此扶植本土產業，提升整體技術實力；同時，政府也積極參與國際展覽與交流，將臺灣資安技術推向國際舞臺，促進產業升級與國際競爭力。他認為，面對國內外資安技術不斷進步，臺灣必須加速技術研發與政策推動，才能在未來激烈的市場競爭中占得先機。</p> <p>但是，推動資安產業發展與數位轉型並非一蹴可幾，內部的經費不足與人才流失問題，依然是必須迫切解決的難題。黃彥男坦言，唯有在面對挑戰時，不斷調整策略與部署，讓資安與數位轉型工作能夠持續推進，最終打造出一個堅韌、安全、可信賴的數位國家。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>最新資安政策藍圖出爐，目標是打造安全、可信賴的數位環境</strong></span></span></p> <p>預計在今年第三季推出的「第七期（114～117年）國家資通安全發展方案」中，以第六期（110-113年）所取得的成果為基石，更加強調全社會資安防禦與新興資安科技應用。黃彥男表示，過去政府透過各類攻防演練及工控場域建置，已顯著提升關鍵基礎設施韌性，未來將持續推動公私協力模式，促進資安人才的持續補充。</p> <p>至於民間防護，他指出，主要是透過TWCERT/CC推動公私領域聯防，另外在半導體設備SEMI E187的資安標準獲得國際認證，對半導體資安的推動有極大助益。他認為，政府鼓勵業者研發本土產品，推動資安產業國際化，可進一步擴大臺灣資安技術的國際影響力</p> <p>黃彥男也以「務實推動」與「接軌國際」為理念，並以「人本智慧新科技信賴安全新時代」為願景，擘劃出三大目標：發展新興資安科技與培育卓越資安人才；提升國家數位安全領域的攻防能量；共創安全可信賴的數位產業環境。</p> <p>他表示，最新的方案中，政府定位自己在推動資安產業發展中扮演「火車頭」的角色，從政策面，完善各項資安法規與標準，創造產業資安需求，並積極培訓資安人才。</p> <p>第七期方案中則強調產業、人才與政府三大要素構成的資安生態系，未來將從全社會資安防禦、關鍵基礎設施（CI）防護、壯大國家資安產業發展與新興資安科技應用四大面向推動工作。</p> <p>政府將以「務實推動」與「接軌國際」的精神，透過發展新興資安科技與培育卓越資安人才、提升國家數位安全攻防能量，以及共創安全可信賴的數位產業環境，有三大戰略重點，與各部會及產業攜手合作。政府將著重於利用AI自動威脅偵測模型，加強攻防能力。</p> <p>面對日益多樣化的網路攻擊，黃彥男表示，政府致力於建立全社會的資安防禦體系，確保在天災、戰爭等緊急情況下，國家通訊與指揮能夠穩定運作，海纜、低軌衛星、微波通信等多元通訊系統的整合與韌性提升是當前重點工作。</p> <p>此外，他指出，新方案特別強調全社會資安防禦，要求不僅政府單位，民間企業、地方政府及金融、電信等關鍵部門都要提升防護意識，全面建立聯防聯控機制。</p> <p><a href="https://www.tenlong.com.tw/products/9789860654349?list_name=srh" target="_blank"><span style="color: rgb(51, 102, 255);"><strong>本文出自《CYBERSEC 2025 臺灣資安年鑑》</strong></span></a></p> <p><a href="https://www.tenlong.com.tw/products/9789860654349?list_name=srh" target="_blank"><span style="color: rgb(51, 102, 255);"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/2025%E8%B3%87%E5%AE%89%E5%B9%B4%E9%91%91%E5%B0%81%E9%9D%A2.png" style="width: 350px;" /></strong></span></a></p> </div></div></div>
2025/5/6 07:00作者黃彥棻https://www.ithome.com.tw/article/168475
JavaScript執行環境Bun推出主控臺串流機制，改進全端除錯與AI整合流程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>JavaScript執行環境<a href="https://bun.sh/blog/bun-v1.2.12">Bun釋出1.2.12版本</a>，新增可將瀏覽器主控臺（Console）輸出直接串流至終端機的功能，強化除錯效率與人工智慧開發整合彈性，並針對Node.js相容性、記憶體使用量及多個臭蟲進行修正。本次更新雖屬小幅版本，卻對日常開發流程，特別是在全端開發與前端測試情境，提供更進一步的可觀察性與除錯體驗。</p> <p>透過新增的--console旗標，或在伺服器設定中啟用對應選項，開發者現在可將瀏覽器主控臺輸出直接串流至啟動Bun的終端機。這些資訊會明確標示來源，並透過與熱重載共用的連線傳送，無需額外設定即可運作。此機制減少在瀏覽器與終端機之間切換的麻煩，讓除錯流程更集中，也替人工智慧工具提供即時、具上下文的日誌輸入，有助提升自動化分析與協作效率。</p> <p>該功能由社群貢獻實作，現在並非預設啟用，但官方表示未來版本可能考慮設為預設行為。此設計除有助於集中日誌訊息來源，對部署前測試與故障重現也很實用。</p> <p>除了主控臺串流外，Bun在這個版也大幅改善記憶體使用效率。開發者測試顯示，針對React專案熱重載超過300次的情境，Bun從1.2.11版本的約272MB大幅降至1.2.12的150MB，而改進主要來自於Sourcemap處理架構的調整。</p> <p>在Node.js相容性方面，Bun強化對JavaScript執行引擎的快取機制支援，允許將程式碼的編譯結果儲存並重複使用，可有效縮短重啟或重新載入時的等待時間，對於開發時需頻繁重複執行的場景特別實用。同時也新增對網路模組的支援，可靈活設定封鎖特定IP或網段的規則，提升應用程式的控制能力與安全性。HTTP模組也修正多項潛在錯誤，處理特例情境更加穩定。根據官方的資料，Bun目前已通過大多數Node.js計時功能的測試。</p> <p>Bun本次也針對文字解碼相關功能進行修正，調整行為以符合Web標準規範，讓開發者在處理各類文字編碼時能獲得更一致的結果，並避免過去可能因輸入異常資料而產生的錯誤。在穩定性方面，Bun修正了過去在長時間執行熱重載時可能出現的偶發性錯誤，提升開發過程的可靠性。同時也修復了與模組安裝與路徑處理有關的問題，包含部分套件在安裝過程，無法正常執行初始化指令的情況。</p> </div></div></div>
2025/5/5 18:09作者李建興https://www.ithome.com.tw/news/168747
V8引擎支援預編譯註解標籤，提升網頁載入速度
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google旗下的JavaScript引擎V8引入一項名為<a href="https://v8.dev/blog/explicit-compile-hints">Explicit Compile Hints</a>的新功能，允許開發者透過特定註解指示V8在載入JavaScript檔案時，預先編譯其中所有會在頁面載入階段被呼叫的函式，以加速網頁初始載入效率，該功能已隨Chrome 136釋出。</p> <p>在既有的V8執行邏輯，V8會在載入階段決定每個JavaScript函式的編譯時機，是否要立即編譯（Eager Compilation），或延後至實際執行時才編譯（Lazy Compilation）。當選擇延後編譯，函式首次被呼叫時，主執行緒需等待V8完成編譯後才能繼續執行後續邏輯，這在特定情境下可能導致頁面反應延遲，特別是在初次載入過程即需執行的函式較多的情況。</p> <p>此次新增的註解標籤//# allFunctionsCalledOnLoad，開發者可明確告知V8，特定檔案中的函式會在頁面載入時被呼叫，進而啟用預編譯。這項提示會讓V8在載入期間，於背景執行緒進行完整的語法解析與編譯，並與網路請求的下載作業交錯執行，減少主執行緒的等待時間。</p> <p>官方實驗顯示，在針對20個熱門網站進行測試時，有17個網頁的JavaScript載入效能明顯改善，平均可減少約630毫秒的前景解析與編譯時間。</p> <p>這項機制的重點在於精準控制JavaScript的編譯時機。JavaScript語法複雜，即便是判定函式結尾位置，也無法僅靠括號配對而須完整解析語法結構，因此當預先進行語法解析卻不馬上編譯，將導致重複工作與資源浪費。而Explicit Compile Hints讓V8在判斷時能更有依據，避免過度依賴啟發式策略所帶來的不確定性。</p> <p>不過，V8團隊也提醒開發者此功能應謹慎使用。當過多函式被設定為預編譯，不僅會增加記憶體使用，也可能導致背景執行緒負載過重，反而影響整體效能。因此，理想的使用情境是將初始載入過程，確定會執行的關鍵函式集中於單一核心檔案，並對該檔案加註註解，以最大化效果。</p> <p>V8團隊計畫將此功能從檔案層級延伸至函式層級，使開發者能更細緻地指定特定函式進行預編譯。</p> </div></div></div>
2025/5/5 19:20作者李建興https://www.ithome.com.tw/news/168753
勒索軟體Rhysida聲稱對秘魯政府數位平臺下手，但該國否認遭駭
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>勒索軟體Rhysida背後的組織上周宣稱攻擊祕魯政府數位平台，但祕魯政府否認。</p> <p>資安業者Comparitech<a href="http://hhttps://twitter.com/Comparitech/status/1918226749919510786">上周五發現</a>Rhysida在暗網貼文公告此事。駭客並張貼疑似來自網址為Gob.pe的多份文件螢幕擷圖作為證據。Gob.pe為祕魯政府數位平台的網址。在Rhysida駭客的公告宣稱，他們已向祕魯政府要求在7日內支付5比特幣來交換。</p> <p>但是祕魯政府否認此事。根據<a href="https://twitter.com/_venarix_/status/1918256380374598077">資安業者Venarix轉貼</a>祕魯政府的聲明，祕魯政府宣稱該國數位單一平台（<a href="http://www.gob.pe">www.gob.pe</a>）並未遭入侵或遭破壞。所有服務皆維持正常運作。</p> <p>該國政府說，社群媒體上流傳的關於 <a href="http://www.gob.pe">www.gob.pe</a> 網域被劫持的訊息並不準確。所謂事件實際上是發生於 <a href="http://www.satp.gob.pe">www.satp.gob.pe</a> 網域相關的某服務，但該服務管理與祕魯內閣會議主席（總理）辦公室、或數位政府與轉型秘書處切開。</p> <p>Rhysida為俄國駭客組織，自2023年5月崛起以來，宣稱成功襲擊的受害組織多達182個。去年7月和12月Rhysida駭客宣稱分別駭入了美國俄亥俄州哥倫布市及西雅圖達科馬機場，導致多家航空公司必須人工處理登機作業。今年1月Rhysida駭客宣稱成功攻擊加拿大魁北克省，勒索10比特幣，約100萬美元贖金。</p> <p>不過這隻勒索程式曾遭破解，去年初南韓網路安全署（KISA）<a href="https://www.ithome.com.tw/news/161270">已公佈解密金鑰</a>。</p> </div></div></div>
2025/5/5 19:20作者林妍溱https://www.ithome.com.tw/news/168754
百萬開發者愛用的AI開發工具Cursor再添火力！母公司成功募資9億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近日英國金融時報（Financial Times，FT）<a href="https://www.ft.com/content/a7b34d53-a844-4e69-a55c-b9dee9a97dd2">引述消息來源報導</a>，專門開發AI程式設計工具Cursor的Anysphere已經完成了新一輪的融資，成功募得9億美元的資金，而且該公司的估計已達到90億美元。</p> <p>Anysphere成立於2022年，當時是由4名來自麻省理工學院（MIT）的Aman Sanger、Arvid Lunnemark、Sualeh Asif 與Michael Truell共同創立，創辦人皆只有二十幾歲，其<a href="https://anysphere.inc">官網上明白寫著</a>，這是一個致力於程式自動化的應用研究實驗室，打算結合AI與人類智慧來培育天才工程師。</p> <p>Anysphere的首個產品為Cursor，它是個程式碼編輯器，介面類似VS Code，支援 Python、TypeScript、React與Go等不同的程式語言，所嵌入的AI讓它能夠理解人類自然語言輸入。該公司在<a href="https://www.cursor.com/cn/blog/series-b">今年1月宣稱</a>，已有數百萬名程式設計師將Cursor列為首選編輯器，透過其專有模型所產生的程式碼數量已凌駕全球任何單一大型語言模型所生成的程式碼，而且每天編問的程式碼超過10億個字元，業務蒸蒸日上且成長迅速，經常性收入已超過1億美元。</p> <p>FT的報導之所以受到外界關注，是因為Anysphere是<a href="https://www.cursor.com/cn/blog/openai-fund">在2023年9月才獲得</a>來自OpenAI的800萬美元種子資金，彼時Anysphere的所有資金只有1,100萬美元；但該公司在2024年8月便<a href="https://www.cursor.com/cn/blog/series-a">完成了A輪融資</a>，成功募得6,000萬美元，公司估值為4億美元；接著在今年1月完成1.05億美元的<a href="https://www.cursor.com/cn/blog/series-b">B輪融資</a>，公司估值已達26億美元。</p> <p>本周FT則說該公司估值已快速增長至90億美元，顯示Anysphere在不到半年的時間，身價便已暴漲3倍有餘，被稱為史上成長最快的AI新創。</p> <p>根據報導，此次是由也投資OpenAI的Thrive Capital領投，其它投資者還包括Andreessen Horowitz與Accel。</p> </div></div></div>
2025/5/5 19:28作者陳曉莉https://www.ithome.com.tw/news/168755
【資安日報】5月5日，臺灣第一座防詐實驗室正式掛牌上路，玉山金揭金融無塵室發展方向
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>數發部在防範網路詐騙上，2023年從金流阻斷的管道著手，補助金融業者發展AI防詐鷹眼系統，促成公私合作共同組成「<a href="https://www.ithome.com.tw/news/164486">鷹眼識詐聯盟</a>」，今年他們有了進一步的行動，上週宣布支持玉山金控、金融科技產業聯盟成立防詐實驗室，目的是希望運用新技術，提高對異常交易、高風險帳戶的偵測識別能力。</p> <p>其中，防詐實驗室的重點計畫「金融無塵室」，玉山金控也在掛牌儀式公開展示這個管制空間。防詐實驗室當中設立的金融無塵室，藉由多層式加密，建立可以整合不同金融資料的環境，目的是讓金融機構能在確保資安合規、安全的情況下合作。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168738"><strong style="font-size: 22px;">駭客攻陷電商平臺Magento供應鏈，連百億規模跨國公司都遭殃</strong></a></p> <p>專門鎖定電子商務資訊安全領域的Sansec揭露，有駭客滲透了開源電子商務平臺Magento的供應鏈，在這些供應鏈業者所提供的外掛程式中嵌入了後門，已波及數百家商店，包括一家價值400億美元的跨國公司。Sansec調查發現，總計有21款第三方擴充套件服務含有同樣的後門，該後門偽裝成授權檢查機制，允許駭客得以在未經授權的情況下執行任意的PHP程式，竊取客戶資料及支付資訊，植入信用卡竊取程式，建立未經授權的管理員帳戶，或是持續控制受到感染的網站等。</p> <p>特別的是，這些後門現身的時間點從2019年到2022年不等，最久的已存在6年，卻一直到今年4月才開始遭到積極利用。</p> <p>被植入後門的應用程式來自3家Magento解決方案供應商Tigren、Magesolution，以及Meetanshi。Sansec說，這3家業者的伺服器已被滲透，才使得駭客能夠在它們的下載伺服器上植入後門，估計全球至少有500家至1,000家商店正在執行含有後門的應用程式。</p> <p><a href="https://www.ithome.com.tw/news/168679"><strong style="font-size: 22px;">Cloudflare緩解了6.5 Tbps大規模DDoS攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/cloudflare-ddos-image2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/cloudflare-ddos-image2.png" style="width: 300px; float: right;" /></a></p> <p>2025年分散式阻斷服務（DDoS）攻擊愈來愈猛烈，資安業者Cloudflare在今年4月緩解6.5 Tbps的DDoS攻擊，再創下史上攻擊流量的新高。</p> <p>近日Cloudflare揭露今年第一季DDoS攻擊態勢，指出第一季該公司阻擋約700次超大流量的攻擊，平均每天有8次，這些攻擊行動的規模，不是流量在1 Tbps以上，就是每秒傳送10億個封包（Bpps）的事故。</p> <p>雖然Cloudflare主要是彙整第一季的態勢，但這次特別提及4月的情況。因為，該公司在4月下半，偵測並阻擋了數十次超大量DDoS攻擊，其攻擊最高峰在6.5 Tbps（或是4.8 Bpps），每波攻擊持續35到45秒之間。從流量的規模來看，6.5 Tbps的攻擊波是迄今公開紀錄最大的DDoS攻擊，超越今年1月的5.6 Tbps；而4.8 Bpps也是迄今公布最多封包量的一次，比前一次的3.15 Bpps多出52%。</p> <p><a href="https://www.ithome.com.tw/news/168743"><strong style="font-size: 22px;">勒索軟體DragonForce東山再起，以橫向聯盟模式提供作案工具，讓打手以自己的名義犯案</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/DragonForce-figure-01.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/DragonForce-figure-01.png" style="width: 300px; float: right;" /></a></p> <p>去年6月傳出臺灣邦交國帛琉遭駭，2萬份政府文件流入暗網，聲稱發動攻擊的勒索軟體駭客組織DragonForce，表示他們是為了經濟目的而犯案，特別的是，當時該組織並未向帛琉政府勒索，外界認為原因是這些駭客背後有中國政府資助。如今這組駭客傳出建立新的經營模式，吸引想建立名號、卻無相關技術的打手上門。</p> <p>資安業者Secureworks指出，DragonForce經營團隊原本採用提供作案工具的租用服務模式（Ransomware-as-a-Service），3月19日之後，開始改以勒索軟體「橫向聯盟（cartel）」名義找尋合作對象，而與過往租用工具的經營模式最大的差異，就是合作社的成員能以自己的品牌從事活動。</p> <p>資安新聞網站Bleeping Computer根據他們聯繫DragonForce代表後得到的資訊，描述新的業務合作模式，他們指出DragonForce通常會在附屬團體收到贖金後，瓜分20%至30%作為平臺的使用費。DragonForce透露，他們是以經濟利益為動機的駭客組織，自己有一套道德準則，反對攻擊癌症病人或是心臟相關的醫療機構。</p> <p><a href="https://www.ithome.com.tw/news/168723"><strong style="font-size: 22px;">Commvault公布被用於攻擊Azure環境的零時差漏洞細節</strong></a></p> <p>今年3月老牌備份軟體領導廠商Commvault表示，他們2月20日接獲微軟的通報，得知有國家級駭客在Azure環境從事未經授權的活動，經過初步調查後確認有部分用戶受到影響，駭客利用了一項零時差漏洞而得逞，如今該公司公布後續的調查結果。</p> <p>4月27日Commvault表示，經過他們進一步調查，確認客戶備份的資料並未遭到未經授權存取，這起事故也沒有對該公司業務營運和交付產品、服務造成重大影響。Commvault與兩家資安業者、有關當局緊密合作，聯手因應此事。</p> <p>該公司也更新前述零時差漏洞的資安公告，指出這項弱點已被登記為CVE-2025-3928列管，CVSS風險評為8.7，並指出若不處理，攻擊者有機會用來部署Web Shell，並損害網頁伺服器。美國網路安全暨基礎設施安全局（CISA）於4月28日，將該漏洞納入已遭利用的漏洞列表（KEV）。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=2&SPOKE_TIME=152248&SPOKE_DATE=20250430&COMPANY_ID=2029"><strong style="font-size: 22px;">針對3月底揭露的資安事故，鋼鐵廠盛餘表示有資料外洩的情況</strong></a></p> <p></p> <p>鋼鐵廠盛餘於3月30日於股市公開觀測站發布資安重訊，指出他們資訊系統遭到網路攻擊，且有主機與電腦感染病毒的情況，經過一個月的調查，該公司再度表示，他們管理的個人資訊及機密資訊，有可能遭到洩露的情況。他們將著手對可能受到影響的利害關係人，發送資安通知，對於遭竊情形與處理措施進行說明。</p> <p>究竟有那些資料曝險，該公司並未進一步說明。不過，該公司進行評估後，認為對公司的營運無重大影響。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://therecord.media/cyberattack-water-supplier-barcelona-spain">西班牙水資源供應商傳出遭遇網路攻擊，部分用戶資料恐外流</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.googlecloudcommunity.com/gc/Community-Blog/Finding-Malware-Unveiling-LUMMAC-V2-with-Google-Security/ba-p/899110">竊資軟體LummaC2藉由ClickFix網釣手法散布，並於記憶體內執行惡意PowerShell指令碼</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://krebsonsecurity.com/2025/05/xai-dev-leaks-api-key-for-private-spacex-tesla-llms/">人工智慧公司xAI私鑰於GitHub流出，特斯拉、SpaceX、X的大型語言模型恐被存取</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/04/triada-malware-preloaded-on-counterfeit.html">低價安卓手機、平板電腦、機上盒驚傳預載惡意軟體Triada，鎖定俄羅斯用戶而來</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityaffairs.com/177020/cyber-crime/ceo-of-cybersecurity-firm-charged-with-installing-malware-on-hospital-systems.html">資安業者Veritaco執行長遭到起訴，起因是此人在醫院的電腦植入惡意軟體</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168638"><strong style="font-size: 22px;">GitLab釋出新版修正Maven Proxy高嚴重性XSS漏洞</strong></a></p> <p>GitLab釋出17.11.1、17.10.5及17.9.7版本，針對社群版與企業版同步進行安全性修正。本次更新重點為修補多個Maven Dependency Proxy元件相關的高嚴重性跨站腳本攻擊（XSS）漏洞與資料洩漏風險，影響範圍涵蓋16.6後的版本號。官方指出，受影響的安裝環境不限於特定部署型式，所有自行管理版本GitLab均建議儘速升級。</p> <p>GitLab公告修補5個安全性問題，有3項為高嚴重性漏洞，其中2個CVE-2025-1763、CVE-2025-2443出現在Maven Dependency Proxy元件，該元件主要用於快取與管理Java專案所需套件下載，但因內容安全政策（CSP）與快取標頭設定不足，攻擊者可能植入惡意腳本，繞過瀏覽器的安全防護機制。另一項高嚴重性漏洞CVE-2025-1908，則與NEL（Network Error Logging）標頭注入有關，可能使攻擊者追蹤使用者瀏覽行為，進一步增加入侵或帳號接管的風險。</p> <p><a href="https://www.ithome.com.tw/news/168680"><strong style="font-size: 22px;">研究人員揭露眾多蘋果AirPlay安全漏洞</strong></a></p> <p>資安業者Oligo揭露23個資安漏洞，這些漏洞涉及蘋果AirPlay協定與AirPlay軟體開發套件（Software Development Kit，SDK），研究人員將它們統稱為AirBorne，蘋果接獲通報後在今年1月修補完成，並登記17個CVE編號列管。不過，Oligo擔心，市場上有數千萬臺的第三方裝置支援AirPlay，恐怕需要數年的時間才能全部修補完成。</p> <p>這些漏洞可能被用來執行遠端程式、存取控制清單、繞過與使用者的互動、任意存取本地端檔案、外洩敏感資訊、中間人攻擊，以及服務阻斷攻擊等。對此，Oligo建議使用者，應更新裝置以降低潛在的安全風險，並在不使用的情況下直接禁用AirPlay接收器；若是要使用相關功能，也要進一步藉由防火牆設定來限制AirPlay存取並採用嚴格的AirPlay設定。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168707"><strong style="font-size: 22px;">玉山金揭金融無塵室最新進展，第二階段要整合跨業資訊、提升軟硬體架構</strong></a></p> <p>玉山金控近日與金融科技產業聯盟、數發部合作成立「防詐實驗室」，並在4月30日正式掛牌啟用。除了對外展示金融無塵室空間，玉山金控也進一步揭露金融無塵室後續的目標。玉山金控指出，他們已在今年2月和中信金控、中華郵政完成金融無塵室第一階段概念驗證（POC），驗證警示帳戶偵測的技術可行性，接下來，金融無塵室的第二階段目標，是要透過結合多元跨業資訊，捕捉更多潛在被害人，並且運用更好的演算法和硬體架構，進一步提升警示精準度。</p> <p>在防詐實驗室掛牌儀式中，玉山金控對外展示了金融無塵室空間，也就是位處於防詐實驗室中的管制室，是實際進行研發和資料分析的場域。玉山金控表示，所有人員進出這個管制室，都需要移除自有裝置，例如不能攜帶手機或自有3C裝置，而且，這個空間也嚴禁任何資料攜出，管制室內部也會有個人專屬使用的對應裝置。</p> <p>資料無塵室（Data Clean Room）是國外近年開始崛起的多方資料協作方式，在安全技術和隱私技術保護下，讓多方資料可以在兼顧用戶隱私和資料安全的環境下進行處理和分析。金融無塵室正是這一類的設計，利用了多層式加密方式，建立一個可以整合不同金融機構資料的環境，確保金融機構能在資料合規、安全的情況下進行合作。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/168725"><strong>【5月2日】思科、Nvida等多家業者在RSAC 2025推出AI資安工具</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168681"><strong>【4月30日】韓國電信業者SKT資料外洩出現進展，該公司將為用戶換發SIM卡</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168660"><strong>【4月29日】1千多臺SAP NetWeaver伺服器傳出遭遇滿分漏洞攻擊</strong></a></p> </div></div></div>
2025/5/5 17:15作者周峻佑https://www.ithome.com.tw/news/168745
【臺灣資安大會直擊】持續推動零信任架構，將來銀行公開今年四項重點計畫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今年臺灣資安大會上，將來銀行資安長康崇原公開他們推動零信任架構的作法，並揭露了將來銀行今年預計推動的四項零信任架構重點計畫，分別是優化最高權限帳號管理、優化身分與存取管理、導入FCB\GCB基準，和調整網路微分段等計畫。</p> <p>康崇原表示，對純網銀而言，他們並沒有ATM、實體分行、分支機構，也沒有大型主機。因此，他們先根據金管會發布的零信任架構參考指引，排除未使用的場域，以高風險、低衝擊的場域選項來綜合評估先行導入的場景。他們選定的場域包含六項，分別是遠距辦公、雲端存取、系統維運管理、應用系統管理、服務供應商，和跨機構協作。其中，遠距辦公和系統維運管理，是將來銀行選定優先導入零信任架構的目標場域。</p> <p>選定目標先行場景後，將來銀行運用零信任架構實作參考原則分級表，來做自評，並運用自評結果，擬定2025年的目標計畫。</p> <p>康崇原提到，將來銀行2025年預計完成四項零信任架構計畫，第一項是優化最高權限帳號管理，包括針對45套金融應用系統的最高權限帳號管理機制進行優化，並依據認證方式，將應用系統分成AD整合和非AD整合類型。</p> <p>第二項計畫是優化身分與存取管理機制，包括針對系統維運管理場域的維運專屬終端、AD主機和對外服務主機，建置第二道身分驗證機制。第三項計畫是導入FCB\GCB基準，包括建立基於屬性存取控制（ABAC, Attribute-Based Access）的存取控制清單，管制主機資源的存取，並規畫分階段導入金融機構組態基準（FCB）。</p> <p>最後一項計畫，是要調整網路微分段，包括規畫辦理中臺、官網、網銀及無障礙網銀等對外服務主機網路微分段調整。</p> <p>除了加強零信任架構，將來銀行也計畫今年導入更多監控告警規則，加強金融資安聯防能力。康崇原表示，他們將根據最新版的資安監控組態基準（MCB v3.0）新增監控告警規則，從現有行內121條規則數，新增至427條監控告警規則，預計今年完成開發。</p> <p></p> </div></div></div>
2025/5/5 18:45作者李昀璇https://www.ithome.com.tw/news/168749
ChatGPT支援這麼多種模型怎麼用？OpenA揭露各自強項和擅長任務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI迄今已發表數種模型，每種模型都有所更新或特定的功能，上周OpenAI更新其<a href="https://help.openai.com/en/articles/11165333-chatgpt-enterprise-models-limits">ChatGPT Enterprise的模型介紹</a>，好好地列出了每個模型的強項及所適合的任務。</p> <p>OpenAI提供許多訂閱方案，免費版的ChatGPT Free只能使用功能有限的GPT-4o mini模型，而不管是每月20美元的ChatGPT Plus、每月30美元的ChatGPT Team、每月200美元的ChatGPT Pro，或是大型企業等級的ChatGPT Enterprise都能自行選擇所要使用的模型，只是不同模型都有其用量限制。</p> <p>根據OpenAI的說明，GPT-4o是個完整的多模態模型，幾乎支援所有功能，從搜尋、生成圖像、語音或資料分析，也能輸入各種內容，最適合用來進行日常任務，不管是摘錄會議紀錄、起草專案電子郵件或是校稿等，而它在ChatGPT Enterprise訂閱方案中也可無限使用。</p> <p>而GPT-4.5則適合創意任務，因為它更有情緒智商，有創造力也有協調性，很適合幫忙撰寫新功能的描述，或是寫一封具同理心的道歉信，但每周僅支援20個請求。</p> <p>OpenAI o4-mini 適合快速的技術任務，像是快速的STEM相關查詢、程式設計及視覺推理等，如自CSV檔案中提取關鍵資料點，或是快速修復Python回溯等，支援每天300個請求。</p> <p>OpenAI o4-mini-high 可用來執行那些需要更長思考的技術任務，如數學、撰寫程式碼，或是科學解釋，例如用外行人能夠理解的語言來解釋科學概念，該模型支援每天100個請求。</p> <p>至於OpenAI o3則適合複雜或多步驟的任務，如策略規畫、分析，或是大量或深入的程式碼撰寫，例如制定市場擴張的風險分析，或者是依據競爭資料來起草商業策略，也能根據CSV進行多步驟分析，預測並繪制下一季趨勢等，支援每周100個請求。</p> <p>而OpenAI o1 pro mode基本上奠基於傳統模型上，只是針對高風險與長期的分析任務進行微調，使得它能夠更準確地完成複雜任務，像是可以替歐盟隱私推廣起草詳細的風險分析，或是能夠生成多頁的新興技術研究摘要，也能利用理論模型來建立一個財務預測演算法，但該模型每月只支援5個請求。</p> <p>從所支援的功能及請求數量來看，ChatGPT Enterprise用戶可以毫無顧忌地使用GPT-4o，應該也能自在地切換到OpenAI o4-mini 及OpenAI o4-mini-high ，並相對謹慎地使用GPT-4.5與OpenAI o1 pro mode。</p> </div></div></div>
2025/5/5 18:48作者陳曉莉https://www.ithome.com.tw/news/168750
超高風險！PHP程式庫ADOdb存在滿分漏洞，280萬套已部署系統恐曝險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>PHP開源專案ADOdb<a href="https://github.com/ADOdb/ADOdb/releases">上周釋出v5.22.9</a>，以修補一個CVSS風險評分等級高達10分的安全漏洞CVE-2025-46337，該漏洞恐危及全球280萬已安裝ADOdb的系統。</p> <p>ADOdb是個熱門的PHP資料庫抽象層，它提供一個統一的API介面，讓開發人員得以利用相同的語法來操作不同類型的資料庫，相容於MySQL、PostgreSQL、SQLite、Oracle、Microsoft SQL Server、IBM DB2及Sybase等資料庫，而這次所發現的CVE-2025-46337是個SQL注入漏洞，出現在ADOdb程式庫的PostgreSQL驅動程式中，允許駭客執行任意SQL指令。</p> <p>這是由安全研究人員Marco Nappi意外發現的漏洞。<a href="https://xaliom.blogspot.com/2025/05/from-sast-to-cve-2025-46337.html">Nappi說</a>，他一直是位黑盒滲透測試人員，最近想要強化對白盒的了解，於是開始探索靜態分析安全測試（Static Analysis Security Testing，SAST），並決定利用靜態程式碼分析工具SonarQube來分析用來建置大學網站的開源專案Moodle，以及同樣也是開源的客戶關係管理專案VtigerCRM。</p> <p>沒想到SonarQube不管是在Moodle或VtigerCRM專案上都找到了SQL注入漏洞，進一步檢查才發現該漏洞其實隱藏在ADOdb資料夾中。</p> <p>當程式使用ADOdb連結到PostgreSQL資料庫時，如果開發人員在呼叫pg_insert_id() 函數時，使用了用戶所提供的資料，卻沒有正確地轉義處理，便可能觸發<a href="https://github.com/ADOdb/ADOdb/security/advisories/GHSA-8x27-jwjr-8545">CVE-2025-46337漏洞</a>，允許駭客執行任意SQL指令。</p> <p>該漏洞影響多個PostgreSQL驅動程式，包括postgres64、postgres7、postgres8及postgres9。在最危險的場景中，駭客將可完全控制SQL執行，竊取或刪除資料，甚至自遠端執行程式碼。</p> </div></div></div>
2025/5/5 18:55作者陳曉莉https://www.ithome.com.tw/news/168751
勒索軟體DragonForce東山再起，以合作社模式提供作案工具，讓打手以自己的名義犯案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年6月傳出<a href="https://www.ithome.com.tw/news/163301">臺灣邦交國帛琉遭駭</a>，2萬份政府文件流入暗網，聲稱發動攻擊的勒索軟體駭客組織DragonForce，表示他們是為了經濟目的而犯案，特別的是，當時該組織並未向帛琉政府勒索，外界認為原因是這些駭客背後有中國政府資助。如今這些駭客傳出建立新的經營模式，吸引想要建立自己名號、卻沒有相關技術的打手上門。</p> <p>資安業者Secureworks指出，今年DragonForce經營團隊調整原本提供作案工具的租用服務模式（Ransomware-as-a-Service），<a href="https://www.secureworks.com/blog/ransomware-groups-evolve-affiliate-models">自3月19日改以勒索軟體「合作社（cartel）」名義找尋合作對象</a>，而與過往租用工具的經營模式最大的差異，就是合作社的成員能以自己的品牌從事活動。</p> <p>在合作社經營模式裡，DragonForce提供用戶基礎設施及工具，但特別的是，這些附屬組織不需自行出手部署勒索軟體。DragonForce聲稱提供附屬組織管理面板、加密及勒索工具、檔案儲存系統，以及暗網網站及.onion網域，並提供支援服務。</p> <p>研究人員指出，這種經營模式與其他勒索軟體租用服務相比顯得特別突出，而有可能吸引許多駭客團體上門，因為這樣的合作社服務，不光是降低技術不足的駭客犯案難度，即使是其他經驗充足的駭客也可能趨之若鶩，因為，他們可享受無須部署、維護自己基礎設施的便利性，使得從事相關活動變得更加靈活。</p> <p>資安新聞網站Bleeping Computer也<a href="https://www.bleepingcomputer.com/news/security/dragonforce-expands-ransomware-model-with-white-label-branding-scheme/">透露相關調查結果</a>，他們指出DragonForce通常會在附屬團體收到贖金後，瓜分20%至30%作為平臺的使用費。DragonForce透露，他們是以經濟利益為動機的駭客組織，自己有一套道德準則，反對攻擊癌症病人或是心臟相關的醫療機構。</p> <p>DragonForce告訴Bleeping Computer，他們本質上是以市集的方式來經營，附屬團體可選擇用自己的名號，或是以DragonForce的名義從事活動。</p> </div></div></div>
2025/5/5 16:50作者周峻佑https://www.ithome.com.tw/news/168743
駭客攻陷開源EC平臺Magento供應鏈，連百億規模跨國公司都遭殃
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門鎖定電子商務資訊安全領域的Sansec<a href="https://sansec.io/research/license-backdoor">上周揭露</a>，有駭客滲透了開源電子商務平臺Magento的供應鏈，在這些供應鏈業者所提供的外掛程式中嵌入了後門，已波及數百家商店，包括一家價值400億美元的跨國公司。<br /> Magento是個以PHP撰寫的開源電子商務平臺，在2018年以16.8億美元<a href="https://www.ithome.com.tw/news/123347">賣給了Adobe</a>，現為全球第三大電子商務平臺，市占率約為8%，至於前兩名的Shopify及WooCommerce都有超過20%的市占率。</p> <p>除了核心的Magento開源平臺外，Adobe打造了付費的Commerce版本，以提供代管、客戶支援及其它客製化功能，其生態系統中還包括許多第三方的應用與擴充服務開發商，此次Sansec即發現，總計有21款來自3家公司的第三方擴充服務含有同樣的後門，該後門偽裝成授權檢查機制，允許駭客得以在未經授權的情況下執行任意的PHP程式，竊取客戶資料及支付資訊，植入信用卡竊取程式，建立未經授權的管理員帳戶，或是持續控制受到感染的網站等。</p> <p>特別的是，這些後門現身的時間點從2019年到2022年不等，最久的已存在6年的時間，卻一直到今年4月才開始遭到積極濫用。</p> <p>這21款被植入後門的應用程式來自3家Magento解決方案供應商Tigren、Magesolution與Meetanshi，Sansec說，這3家業者的伺服器已被滲透，才使得駭客能夠在它們的下載伺服器上植入後門，估計全球至少有500家至1,000家商店正在執行含有後門的應用程式，像是Ajaxsuite、Ajaxcart、ImageClean、CurrencySwitcher、FacebookChat、Lookbook或StoreLocator等。</p> <p>Sansec已知會上述受影響的業者，其中的Tigren否認遭到駭客攻擊，而Meetanshi承認被駭客入侵，但否認軟體被竄改。</p> </div></div></div>
2025/5/5 14:17作者陳曉莉https://www.ithome.com.tw/news/168738
【資安週報】0428~0502，新世代資安維運中心Agentic SOC、資安領域專用LLM發展受關注
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>回顧2025年5月第一星期的資安新聞焦點，此時適逢全球大型資安會議RSA Conference 2025舉行，有多家科技大廠在現場公布最新AI資安發展與成果，iThome也在現場進行第一手報導。其中Google推動代理型資安維運中心，Cisco推出首款開放AI資安模型Foundation AI Security最受矚目，同期間亦有 AI 安全防護與科技防詐等新消息發布。</p> <p>（一）SOC資安維運中心隨著AI代理進化，Google宣布朝向Agentic SOC發展，並發表兩款AI資安代理，分別是偵測工程代理（Detection Engineering Agent）和應變處理代理（Response Agent），亦在旗下資安解決方案Security Command Center，新增多項AI Protection功能。</p> <p>（二）資安專業領域LLM的發展受重視，Cisco新釋出Foundation-Sec-8B模型，就是鎖定資安領域而來，以Llama-3.1-8B為基礎，強調用資安領域資料訓練而成，涵蓋漏洞資料、MITRE ATT&CK與各類安全工具文件，並以開放權重方式釋出。</p> <p>（三）AI安全防護新進展，Meta開源多項Llama安全護欄工具，包括可防模型越獄、提示注入攻擊的LlamaFirewall，另也推出可協助分類與標籤的DLP工具、Deepfake詐騙檢測工具，還預告即將開源安全評估套件CyberSec Eval 4。</p> <p>（四）國內新的資安防禦進展，聚焦防詐科技，數發部、金融科技產業聯盟與玉山金控聯手成立防詐實驗室，強調資料無塵室的概念，以金融無塵室空間限制進出人員攜帶手機或自有3C裝置，讓跨機關合作可在兼顧資安與合規下運作。</p> <p>在資安事故與威脅態勢方面，韓國電信龍頭SK Telecom遭駭，引發南韓舉國民眾與全球電信業的關注，因為駭客竊取包含消費者與其USIM卡相關資料，涵蓋IMSI、ISDN等敏感資訊，恐造成民眾數位身分證明被冒用；另有三則與DDoS、勒索軟體及國家級駭客行動有關的重要消息。</p> <p>●韓國電信龍頭SK Telecom於4月遭到入侵，29日公布調查結果，指出攻擊者植入惡意程式並竊走消費者和其USIM卡有關資料，將為2,500萬用戶免費換發SIM卡<br /> ●Cloudflare最新報告2025第一季DDoS攻擊攻擊強度暴增，超過1Tbps的大流量DDoS攻擊平均每日8起，其中一次最大攻擊最高峰達6.5 Tbps，創史上最高。<br /> ●吉隆坡國際機場3月遭遇攻擊，勒索軟體Qilin將將馬來西亞機場控股公司列為受害者，勒索1千萬美元，這是該組織首度對交通運輸產業下手。<br /> ●法國外交部指控俄羅斯駭客組織APT28對當地政府、企業發起網路攻擊，法國網路安全局（ANSSI）亦發布調查報告揭露相關細節及近年遭攻擊的態勢。</p> <p>在漏洞攻擊消息方面，首先，有一起重大危機，是SAP緊急修補SAP NetWeaver應用伺服器零時差漏洞CVE-2025-31324，呼籲用戶盡速修補，資安業者ReliaQuest通報時已發現這個零時差漏洞遭利用，後續再有多家資安業者表明發現相關攻擊行動，資安業者Nextron Systems更是指出，發現超過1,100套NetWeaver系統已被入侵，多是存在於大型企業及關鍵CI環境，影響相當廣泛。</p> <p>另一起攻擊事件是針對Commvault備份管理平臺而來，該公司有兩個漏洞遭攻擊者利用於攻擊行動，首先是該公司3月曾透露在2月接獲通報，有國家級駭客利用零時差漏洞攻擊Azure環境，當時已發布自動更新修補，如今公開此CVE編號是CVE-2025-3928。另外，日前修補CVSS滿分漏洞CVE-2025-34028，修補釋出後也發現遭利用狀況。</p> <p>此外，還有3個已知漏洞，都有證據表明首次出現被積極利用情形，包括上星期Broadcom Brocade Fabric OS修補的漏洞CVE-2025-1976，以及兩個老舊漏洞，分別是Apache HTTP Server的漏洞CVE-2024-38475 ，SonicWall SMA100 的CVE-2023-44221。</p> <p data-end="94" data-start="0">最後還有一項新聞，也是本星期資安無法忽視的話題焦點，因為有研究人員指出微軟4月更新後，C磁碟會出現名為inetpub的資料夾，此狀況引發廣泛用戶討論。微軟表示這是修補漏洞所需，提醒用戶勿刪，但研究人員警告此資料夾可能遭濫用。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/168639"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月28日】SAP、Commvault修補風險達到10分的重大層級漏洞</span></strong></a></h3> <p>最近幾天有多則CVSS資安風險達到10分的消息引起關注，這些包括了SAP NetWeaver的任意檔案上傳漏洞CVE-2025-31324、老牌備份軟體Commvault集中管理工具漏洞CVE-2025-34028、<a href="https://craftcms.com/knowledge-base/craft-cms-cve-2025-32432">內容管理平臺Craft CMS漏洞CVE-2025-32432</a>，以及日前公布的<a href="https://www.ithome.com.tw/news/168538">Erlang/OTP SSH程式庫漏洞CVE-2025-32433</a>，思科確認<a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-erlang-otp-ssh-xyZZy?vs_f=Cisco%20Security%20Advisory%26vs_cat=Security%20Intelligence%26vs_type=RSS%26vs_p=Multiple%20Cisco%20Products%20Unauthenticated%20Remote%20Code%20Execution%20in%20Erlang/OTP%20SSH%20Server%26vs_k=1">旗下部分產品受到影響</a>。 </p> <p>其中最值得留意的部分，是資安業者ReliaQuest在調查資安事故發現的CVE-2025-31324，因為已被用於實際攻擊行動；此外，CVE-2025-34028也相當值得留意，因為近期勒索軟體鎖定備份軟體漏洞的情況，也有增加的趨勢。</p> <h3><a href="https://www.ithome.com.tw/news/168660"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月29日】1千多臺SAP NetWeaver伺服器傳出遭遇滿分漏洞攻擊</span></strong></a></h3> <p>有多家資安業者提出警告，SAP在4月24日修補的資安漏洞CVE-2025-31324，已出現實際的攻擊行動，攻擊者在NetWeaver伺服器部署Web Shell。究竟有多少伺服器受害？有研究人員公布新的調查結果。</p> <p>Shadowserver基金會、網路安全搜尋引擎業者Onyphe、資安業者Nextron Systems先後透露調查結果，值得留意的是，他們揭露的影響範圍有相當大的落差，是否影響範圍還會再擴大，有待進一步的追蹤。</p> <p><a href="https://www.ithome.com.tw/news/168681"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【4月30日】韓國電信業者SKT資料外洩出現進展，該公司將為用戶換發SIM卡</span></strong></a></p> <p>近期韓國出現數起相當嚴重的資安事故，其中一起是韓國電信龍頭SK Telecom（SKT）遭到入侵的消息，本週該公司宣布，他們將為2,500萬用戶免費SIM卡，目前已有超過400萬用戶申請。</p> <p>值得留意的是，由於該公司SIM卡庫存有限，目前僅有100萬張，必須分批為用戶更換，預估5月底能再更換500萬張，換言之，仍有四分之三無法在5月底前完成更換，後續影響將值得觀察。</p> <h3><a href="https://www.ithome.com.tw/news/168725"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月2日】思科、Nvida等多家業者在RSAC 2025推出AI資安工具</span></strong></a></h3> <p>全球大型資安會議RSA Conference 2025於4月28日至5月1日在美國舊金山舉行，這段期間科技大廠及資安業者紛紛推出AI資安工具，相當熱鬧。</p> <p>其中，包含Google的<a href="https://www.ithome.com.tw/news/168645">新款AI資安代理與次世代自動化Agentic SOC</a>、Cisco推出的開放<a href="https://www.ithome.com.tw/news/168645">AI資安模型Foundation AI Security</a>、Nvidia<a href="https://www.ithome.com.tw/news/168654">強化AI資料運作中心安全的DOCA Argus框架</a>、Palo Alto Networks發表的<a href="https://www.ithome.com.tw/news/168652">Prisma AIRS AI安全管理平臺</a>。巧合的是，Meta也在這段期間<a href="https://www.ithome.com.tw/news/168715">開源多項Llama安全護欄工具</a>。</p> <p> </p> </div></div></div>
2025/5/5 12:00作者羅正漢https://www.ithome.com.tw/news/168734
NotebookLM升級Gemini 2.5 Flash，行動版App即將推出
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google 受歡迎的NotebookLM原本只能從網頁存取，本周預告即將在5月20日釋出Android及iOS版App，將升級使用最新的Gemini 2.5 Flash模型。</p> <p>現在<a href="https://play.google.com/store/apps/details?id=com.google.android.apps.labs.language.tailwind">Google Play Store</a>和<a href="https://apps.apple.com/us/app/notebooklm/id6737527615">蘋果App Store</a>分別顯示NotebookLM應用程式。Play Store說明App即將推出，但是App Store說明預計5月20日釋出。用戶按下「預先註冊」鍵後，等正式版釋出後會獲得下載App的通知。</p> <p>NotebookLM可將用戶上傳的PDF、純文字文件或是貼上來源網址的文章摘要重點，並允許用戶以聊天機器人介面輸入詢問問題。而其中的語音摘要（Audio Overview）功能還能將摘要重點製作成類似Podcast的AI人聲對話，並允許用戶和「AI主持人」互動。NotebookLM去年12月升級使用Gemini 2.0 Flash，</p> <p>上周<a href="https://blog.google/intl/zh-tw/products/explore-get-answers/notebooklm-audio-overviews-50-langauges/">Google台灣宣佈</a>，NtotebookLM中的語音摘要功能將使用Gemini 2.5 Pro。<a href="https://x.com/NotebookLM/status/1918412708426244589">Google已證實</a> 最新的NotebookLM App 將升級使用Gemini 2.5 Flash，該模型是更輕巧、更快速的思維模型，針對複雜及多步驟推理問題，用戶將能看到更完整的答案。</p> <p>這對於許多國家期待NotebookLM的用戶會是雙喜臨門。上周Google<a href="https://www.ithome.com.tw/news/168671NotebookLM">宣佈</a>語音摘要支援包含繁體中文在內的50種語言。</p> </div></div></div>
2025/5/5 14:03作者林妍溱https://www.ithome.com.tw/news/168736