iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 7篇
近 24 小時: 22篇
近 7 天: 133篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/12
最近更新: 11/12 10:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 133 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社3筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Google NotebookLM加入Video Overviews能輸出簡報影片
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼Audio Overviews推出8個月後，Google在本周Google I/O 2025大會上，又為AI筆記服務NotebookLM加入Video Overviews，允許用戶上傳文件、筆記或圖片、影片等素材，由其整理成影片形式的重點摘要。</p> <p>媒體<a href="https://www.xda-developers.com/notebooklm-video-overviews/" target="_blank">XDA Developers</a>本月初引述<a href="https://x.com/testingcatalog/status/1920604705081684435" target="_blank">部份用戶的發現</a>報導Video Overviews。這項功能位於NotebookLM的「Studio」面板中。本來Studio面板只有Audio Overviews（語音摘要）、記事等項目，但在報導的擷圖中，多了Video Overviews。而在Google I/O大會上，Google推出了這項功能。</p> <p>相較於Audio Overviews能將用戶上傳的資料檔案（包括聲音、PDF及純文字檔）轉換成類似podcast的自然人聲的對話內容，而Video Overviews則可以接受PDF、影片、圖檔等資料做成特定主題的簡報。<a href="https://www.youtube.com/watch?v=-bjg2kqtrLc&t=1s" target="_blank">根據Google不公開的示範影片</a>，Video Overviews可生成包含圖片、插圖及文字說明的精美簡報，還有自然流暢的人聲旁白。根據本月初XDA報導，這項功能的影片生成能力可能來自影片生成模型Veo2。</p> <p>不過中文版NotebookLM還未看到Video Studio。</p> <p>Video Overviews可能讓NotebookLM更受學生及商務人士歡迎。<a href="https://x.com/Similarweb/status/1924772925271363610" target="_blank">市調機構Similarweb估計</a>NotebookLM造訪用戶數自2024年11月以來，6個月成長56%來到突破4,800萬。</p> <p><a href="https://www.ithome.com.tw/news/169044" target="_blank">Google本周公布NotebookLM手機版程式</a>。4月底NotebookLM的<a href="https://www.ithome.com.tw/news/168671" target="_blank">Audio Overviews也加入中文等50種語言支援</a>，用戶還能透過「加入」功能，和「AI主持人」進行互動。</p> </div></div></div>
2025/5/22 09:16作者林妍溱https://www.ithome.com.tw/news/169086
玉山銀行揭露兩大AI核心計畫，今年將推出超過10項GenAI應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>玉山銀行科技長張智星今日出席Nvidia GTC Taipei，揭露兩項AI核心計畫，分別是打造AI Agent平臺，以及將圖分析技術嵌入現有防炸金流模型，提升防詐偵測準確度。</p> <p>針對AI Agent平臺，玉山銀行將透過單一對話介面整合多元專業代理人，運用NVIDIA H100 GPU 與 NeMo架構，來提升運算效率和降低成本。張智星表示，預計在今年推出超過10項GenAI應用服務。並且，他們也要發展玉山的AI Agent框架，用來支持GenAI應用快速發展。而AI 金融顧問助理將會是第一支透過這個框架開發出的應用服務。</p> <p>針對防詐應用，玉山銀行將圖分析技術嵌入現有防詐金流模型，讓複雜的交易關係能一目了然，藉由 NVIDIA Rapids 及 H100 GPU 加速，端到端詐欺偵測模型訓練流程較以往快上約 880 倍。</p> <p>這項計畫將有助於玉山銀行發展金融無塵室。玉山銀行近期才揭露，已在今年二月和中信金控、中華郵政完成金融無塵室第一階段POC，驗證跨行間警示帳戶偵測的技術可行性。接下來，除了要擴大更多銀行業者加入這個體系，玉山金控也表示，金融無塵室第二階段目標是要整合通聯、社群、跨業資料，例如透過社群整合更多資訊，來找到更多潛在被害人。並且，他們也會加快演算法速度，更快抓出有問題的警示戶。同時，他們持續調教模型，讓誤報更少、抓得更準。</p> <p>此外，玉山銀行也在近日宣布深化和Nvidia的戰略合作，除了要強化行員工作助理GENIE平臺，和提升智能客服系統金秘書，強化金秘書在個人金融服務環境中檢索和回覆客戶需求的效率。玉山銀行也正在和Nvidia探討將GPU納入核心運算基礎建設，支援大規模資料分析與模型訓練，後續也會將高速運算架構整合至金融無塵室。</p> <p></p> </div></div></div>
2025/5/21 21:32作者李昀璇https://www.ithome.com.tw/news/169084
國泰金控要靠自建金融知識LLM，打造臺灣首個金融AI Agent
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國泰金控今日在Nvidia GTC Taipei上宣布，未來會聚焦發展AI Agent，要透過和Nvidia合作，打造臺灣首個金融AI Agent。此外，在活動上，國泰金控發表了一項臺灣金融知識LLM的實驗案。這個由國泰金控打造的臺灣金融知識LLM，未來也將作為金融AI Agent背後的核心大腦引擎，支援多元金融服務應用。</p> <p>早在去年九月，國泰金控就公開自家GenAI技術框架GAIA。這是國泰發展生成式AI的基礎框架，也是他們發展AI即服務（AI as a Service）的核心。當時，這個技術框架僅包含三個核心模組，分別是知識庫、Model Hub，和護欄。</p> <p>然而，國泰金控副總經理劉浩翔表示，為了強化AI Agent發展，國泰金控也調整了GAIA技術框架，在框架中新增了AI Agent模組。他也表示，未來要透過和Nvidia合作，強化AI Agent應用的環境互動能力、記憶處理能力、學習成長能力和自主化能力。「這些都將是我們在發展金融 AI Agent 時，技術建設上必須完成的方向。」劉浩翔說。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1747830875922-d2101bb8-bcc8-4e95-882f-97b15fe6e4de_6.png" style="width: 600px;" /></p> <blockquote><p>為了強化AI Agent發展，國泰金控調整了生成式AI技術框架GAIA，在框架中新增了AI Agent模組。(圖片來源:國泰金控)</p> </blockquote> <p>劉浩翔提到，國泰金控對於AI Agent長期願景，則是能發展出各種金融服務的AI Agent，例如信貸AI Agent、貸款AI Agent、信用卡AI Agent、保險AI Agent，和財管AI Agent等。「我們希望未來各種AI Agent，除了能在國泰內部互相溝通協作，也能跟異業合作夥伴做Agent to Agent的協作溝通。」他說。這是國泰金在發展金融AI Agent生態系的長遠目標。</p> <p>不過，要能實現這個長遠目標，「有個最關鍵的成分，是背後需要一個具備臺灣金融授信知識的LLM。」劉浩翔說。這也是國泰金控今日在Nvidia GTC Taipei上發表的一項實驗案。他們運用包括財經新聞、臺灣金融法規和臺灣金融知識等資料，透過NVIDIA NeMo訓練框架，在本地端環境預訓練、微調多個開源大型語言模型，並且，國泰金控將金融授信證照相關考試，作為模型的驗證目標。</p> <p>這個實驗案中的模型訓練框架包含資料處理、模型選擇，和驗證方式，底層架構則包含訓練框架和算力基礎。國泰金控在資料處理中有運用資料清洗，以及由金融專業人員進行資料標註，和運用NVIDIA NeMo Curactor協助生成資料，進行資料增強。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1747830875922-d2101bb8-bcc8-4e95-882f-97b15fe6e4de_9.png" style="width: 600px;" /></p> <blockquote><p>國泰金控針對金融LLM設計一套模型訓練框架，以進行預訓練和微調。<span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">(圖片來源:國泰金控)</span></p> </blockquote> <p>而在模型選擇上，國泰選擇三個模型，分別是Nvidia的nemotron模型、國科會打造的TAIDE模型，和Project TAME模型，模型參數量大約在7B至8B左右。另外，國泰採用了微調和預訓練的方式來訓練這些開源模型。</p> <p>而在模型訓練階段時，國泰先是透過預訓練建立模型對金融語言和知識的理解基礎，再運用微調模型，來進行任務導向調整，讓模型具備金融語境推理能力和授信流程專業知識回應能力。另外，他們國泰也有整合Deepspeed框架來加速訓練模型，降低GPU和記憶體使用。</p> <p>最後在驗證方式上，國泰金透過三類驗證機制來衡量模型是否訓練成功。第一類是金融專業知識，包括讓模型進行授信實務證照考試，並測試模型的多輪問答能力。第二類是泛化能力，也就是訓練模型在基礎知識上的能力。劉浩翔解釋，有許多模型過度訓練，反而可能失去基礎知識能力，因此國泰仍有設立相應的驗證機制，來確保模型在基礎知識的能力並未減損。第三類是驗證效率優化。國泰運用Nvidia服務來測試模型的效率優化程度。</p> <p>國泰金控表示，模型訓練結果顯示，完成訓練後的模型可以通過授信證照考試，並維持繁體中文泛化理解能力。三種開源模型在完成預訓練和微調後，進階金融授信知識正確率都有近九成，甚至超過九成的正確率。繁體中文泛化理解能力則是和原始模型維持相近的水準。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/1747830875922-d2101bb8-bcc8-4e95-882f-97b15fe6e4de_11.png" style="width: 600px;" /></p> <blockquote><p>實驗案中的模型訓練結果顯示，完成訓練後的三種開源模型都可以通過金融授信證照考試，並維持繁體中文泛化理解能力。<span style="font-family: Georgia, Times, "Times New Roman", serif; font-style: italic;">(圖片來源:國泰金控)</span></p> </blockquote> <p>國泰金控表示，未來他們會延續這項實驗案的成果，讓這個臺灣金融知識LLM作為打造金融AI Agent背後的核心金融大腦引擎，進一步串接至各項金融服務的工具，打造出臺灣首個AI Agent。</p> <p></p> </div></div></div>
2025/5/21 20:30作者李昀璇https://www.ithome.com.tw/news/169082
國科會揭智慧醫療計畫第二期方向，鎖定2大主題、9大系統模組
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國科會今日（5/21）召開第15次委員會議，揭露第二期智慧醫療計畫方向（2024年至2027年），聚焦2大主題共9項系統模組，範圍涵蓋智慧臨床決策支援、GenAI／智慧醫院管理。第二期計畫進一步鎖定病患全旅程，不再侷限於單一病症單點技術，而是要打造涵蓋診斷、治療、追蹤等階段的整合型臨床應用。國科會希望，智慧醫療計畫未來結合晶片、在宅醫療和醫護機器人，將醫學中心等級服務延伸到個人及居家。</p> <p><span style="font-size:24px;"><strong>第一期計畫產出23項跨院專案，建立跨院驗證程序</strong></span></p> <p>進一步來說，國科會聯手衛福部和經濟部，先是在2020年發起「臨床資料庫與AI之跨域開發及加值應用計畫」，也就是第一期智慧醫療計畫，並由國內多家醫學中心成立臺灣智慧醫療聯盟（TSHA）、以時任臺中榮總院長陳適安為召集人，來發展第一期智慧醫療系統應用。</p> <p>第一期計畫聚焦<strong>AI關鍵醫療技術開發</strong>，支援各大醫學中心研發影像判讀、診斷輔助等智慧醫療工具。舉例來說，臺中榮總聯手慧德科技，開發急性腎損傷預測軟體，可預測重症照護病患24小時急性腎衰竭風險，且取得上市許可，目前已收治自費病人，也部署至東南亞3個國家、4家醫院。另一個例子是成大團隊聯手業者開發腹部肌群影像分割軟體，3秒就能分析癌症患者的肌肉脂肪組成，可協助精準用藥劑量、降低化療毒性。該軟體也取得上市許可，已導入成大醫院、上架商用平臺。</p> <p>第一期計畫也聚焦<strong>AI跨院驗證</strong>，以聯邦學習（FL）等方法來進行跨院驗證，確保AI模型適用於不同醫院、廠牌儀器等。在這種模式下，為期4年的第一期計畫共產出23項跨院專案、8項產品取得衛福部食藥署（TFDA）智慧醫材軟體（SaMD）許可證，另也有產品申請美國FDA認證。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202025-05-21%20210316.png" /></p> <p><span style="font-size:24px;"><strong>第二期計畫聚焦2大主題、9項系統模組</strong></span></p> <p>2024年，國科會提出名為臺灣智慧醫療創新加值推動計畫，也就是智慧醫療第二期計畫，聚焦2大主題、9項系統模組。這兩大主題是<strong>智慧臨床決策支援、GenAI／智慧醫院管理</strong>，9項系統模組則包括心血管疾病診療、肺癌輔助診療、腦損傷意識監測、動脈粥狀硬化預防、乳癌輔助決策、老化退化性預測、神經疾病照護、慢性病高齡醫院，以及遠距生理偵測系統。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202025-05-21%20210300.png" /></p> <p>國科會強調，有別於第一期計畫單點式的應用，第二期進一步擴大為整合應用，不再侷限於單一病症的單點技術，而是要打造完整的臨床應用解決方案。舉例來說，肺癌檢查可從低劑量電腦斷層（Low-Dose CT）影像判讀起步，AI系統不只協助早期辨識是否為健康或有病灶，更可串接後續的手術、化療等決策支援，建立一條龍式的智能診療服務流程。</p> <p>不只如此，為確保AI醫療軟體在國際上也足夠適用，第二期計畫從國內跨院驗證擴大到國際驗證。至於如何做到，國科會規畫今年先率團前往西班牙、荷蘭與比利時等地，與當地專家進行國際智慧醫療研討會，並討論後續技術驗證可行性，讓臺灣自研的醫療AI技術可於國際場域中驗證，讓產品更具通用性和說服力，同時也能引進國外技術在臺灣驗證。</p> <p>國科會希望智慧醫療第二期計畫，能結合晶片，比如生醫晶片，將醫學中心等級服務延伸到個人及居家，另也希望延伸到在宅醫療和醫護機器人領域，來降低人力依賴、補足醫護人力需求缺口。</p> <p></p> </div></div></div>
2025/5/21 21:11作者王若樸https://www.ithome.com.tw/news/169083
從醫院數位雙生、虛擬病人到AI運動處方箋，明基佳世達集團揭4大智慧醫療應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今年度Computex大會中，明基佳世達集團展示旗下23家業者各類AI應用，涵蓋9大應用情境，如醫療、日常生產力、零售、運算、無人機、網通、交通等。其中，醫療領域主打4大智慧應用，包括數位雙生醫院與虛擬病人、用AI代理打造的運動健康管理師、醫學影像快速校正技術，以及AI超音波整合平臺。</p> <p><strong><span style="font-size:22px;">從製造業延伸到醫療業，推出醫學中心、區域醫院專用數位雙生</span></strong></p> <p>進一步來說，數位雙生醫院系統由佳世達集團旗下達宣智慧開發，他們將製造業常見的數位雙生系統延伸到醫療業，針對醫學中心、區域醫院打造一套醫院專屬的數位雙生系統，可整合院內醫療設備資訊、全院儀表板和IoT感測資料，即時呈現視覺化管理儀表板，讓醫院管理人員一目了然醫院資源狀態，可涵蓋各院區、各棟大樓、各樓層、各科別的診療情況。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_1549.JPG" /></p> <p>這套系統有著數位雙生常見的即時監控優點，可即時顯示每一科室的人力資源，如醫護比、病床數和運作狀況，讓管理者快速掌握全院資源使用情形。此外，該系統也能協助管理者調度資源，如人力、手術器械。至於採用狀況，達宣智慧表示，目前該系統正與醫院洽談中。</p> <p>不只如此，達宣智慧還展示一套虛擬病人系統，來供醫學生、實習醫護和在職醫護人員訓練使用。這套系統以商用大型語言模型（LLM）加上100多個臨床實例去識別化資料和合成資料訓練而成，涵蓋發燒、慢性病、併發症等多種症狀，可針對臺灣醫療規範和情境來模擬病人處置流程。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_1546.JPG" /></p> <p>其中，醫護人員可透過文字或語音與虛擬病患對話，訓練問診技巧、診斷判斷和照護規畫。接著，系統會自動評估使用者是否問對問題、有無遺漏必要檢查，並回饋訓練成績與建議，來加強臨床判斷力。</p> <p><span style="font-size:22px;"><strong>個人數位雙生展示健康狀態，還有AI健康管理師開運動處方箋</strong></span></p> <p>另一亮點是浚鴻數據自行研發的2種AI代理，也就是個人健康數位雙生和AI健康管理師。前者是一個呈現個人健康數值的數位雙生，只需輸入10個關鍵指標，就能模擬個人健康生態，並能預測指標間的關係、疾病風險和外部介入（如運動、空氣污染）對健康狀況的影響。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_1605.JPG" /></p> <p>AI健康管理師則是另一套AI代理，可根據模擬結果，提供個人化的運動建議，也就是運動處方箋。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_1584.JPG" /></p> <p>而且，該系統不只能建議運動類型，還能預測4周後的健康指數變化，例如持續某類運動4周，「健康分數會從69.79提升至70.72分」、「健康排名從第63名升至第60名」。這個AI健康管理師整合了250多種運動選項，如排球、有氧、瑜伽等（如下圖），使用者可依偏好與執行強度挑選運動，避免不喜歡就做不下去的狀況。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_1589.JPG" /></p> <p>這個運動處方箋搭配的App，每日會推播運動提醒，並同步記錄執行狀況，作為下次健康模擬的參考。</p> <p>浚鴻數據表示，目前已有南部醫學中心、健康管理診所採用，他們也與連鎖診所和中醫討論應用中。此外，除了運動建議，他們也與學校老師合作，打算將建議範圍擴大到飲食、營養等建議。未來，浚鴻數據也會運用LLM新添關懷功能，來讓使用者與AI健康管理師聊天。</p> <p><span style="font-size:22px;"><strong>0.01秒完成醫學影像校正，還有AI整合式超音波應用</strong></span></p> <p>再來，佳世達集團旗下鈺緯科技還展示一款Auto Gamma影像校正技術，運用專利的逐像素演算法，0.01秒就能完成影像畫面掃描、特徵判讀和Gamma校正，讓醫療影像更清晰、精準。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_1596.JPG" /></p> <p>這個技術解決了傳統顯示器只能固定顯示灰階或彩色的問題，可提升醫師在術中辨識細微病變、組織邊界的能力。該技術未來也能結合AI，應用於影像強化、病徵標註和智慧診斷。</p> <p>再來，佳世達自己也展示2款AI超音波應用，一是與成功大學聯合研發的AI乳癌篩檢系統，包括一款掌上型小型超音波裝置（如下圖），搭配AI模型，可針對女性乳癌篩檢、偵測小於1毫米的腫瘤病灶，達到早期篩檢目的。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_1604.JPG" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_1603(1).JPG" /></p> <p>另一款是佳世達與工研院聯手開發的AI超音波整合平臺，可自動在超音波畫面中，標示常見內臟（如肝、腎、脾等）位置，支援急診醫師、救護人員等非影像專業人員快速判讀，提高初步診斷準確度。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IMG_1602.JPG" /></p> <p>佳世達表示，由於這兩款應用都是今年剛推出，目前還在取證中，但機器本身已在海外都上市，如日本、東南亞。</p> <p></p> </div></div></div>
2025/5/21 15:15作者王若樸https://www.ithome.com.tw/news/169072
【資安日報】5月21日，韓國電信業者SK Telecom事故最新調查出爐，駭客在網路環境活動近3年
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上個月韓國電信龍頭SK Telecom（SKT）證實遭駭的情況引起外界高度關切，該公司後續更進一步提供用戶免費更換SIM卡，突顯這起事故帶來的影響，可能在不斷擴大。最近他們公布新的調查結果，引起外界高度關注。</p> <p>SKT透露有近2,700萬個門號受到影響，並指出這起攻擊行動，最早可追溯到3年前，但究竟駭客何時將資料偷走，仍有待後續釐清。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169065"><strong style="font-size: 22px;">韓國電信業者SK Telecom遭駭調查結果出爐，駭客已埋伏近3年並滲透23臺伺服器</strong></a></p> <p>4月下旬韓國電信龍頭SK Telecom（SKT）證實於內部網路環境發現惡意活動，攻擊者植入惡意程式並竊走用戶USIM卡相關的資料，後續該公司宣布提供所有用戶預約、申請更換新的SIM卡，當地媒體估計逾2,500萬用戶符合換卡資格，如今這起資安事故出現新的進展，傳出駭客在3年前就滲透了SKT的伺服器。</p> <p>根據韓國媒體KBS的報導，SKT於5月19日公布資安事故的第二次調查結果，指出他們確認有9.82 GB檔案外流，內含26,957,749個國際行動用戶識別碼（IMSI）。由於這樣的資料量已超出SKT用戶數2,500萬，對此，KBS認為，外洩的資料很可能包括了測試門號等非用戶資料。</p> <p>而在受害規模的進一步確認之外，SKT也透露這起事故的其他細節，其中最引起關注的是，在清查3萬臺Linux伺服器後，植入的Web Shell最早在2022年6月15日出現，換言之，駭客已在SKT埋伏近3年之久。</p> <p><a href="https://ithome.com.tw/news/169073"><strong style="font-size: 22px;">駭客組織Hazy Hawk濫用DNS組態不當配置，意圖挾持已棄用的受信任網域</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/a-high-level-overview-of-how-hijacked-cloud-resource-domains-are-used-for-malicious-activities-by-hazy-hawk.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/a-high-level-overview-of-how-hijacked-cloud-resource-domains-are-used-for-malicious-activities-by-hazy-hawk.png" style="width: 300px; float: right;" /></a></p> <p>企業組織棄用的網域名稱，被駭客濫用的情況，最近1至2年陸續傳出相關攻擊行動，通常攻擊者會利用遭竊的帳號而得逞，但如今有駭客組織藉由DNS的錯誤配置，進行更複雜、更為隱密的攻擊行動，引起研究人員的關注。</p> <p>資安業者Infoblox揭露駭客組織Hazy Hawk的攻擊行動，指出這些駭客精通DNS，並藉由DNS的錯誤配置，來挾持知名企業組織的S3儲存桶、Azure端點等廢棄雲端資源。其中，對於成功挾持的網域，駭客用於代管大量網址，而這些網址的用途，就是藉由不同的惡意流量導向系統（Traffic Distribution System，TDS），將受害者導向詐騙網站或是惡意軟體。</p> <p>之所以發現這起攻擊行動，起因是這些駭客於今年2月成功控制了美國疾病管制中心（CDC）部分子網域，導致數百個與CDC子網域有關的URL，突然在搜尋引擎的結果竄出，此狀況引發Infoblox研究人員調查，結果發現，這些駭客從2023年12月開始，就開始對全球的政府機關、大學、跨國公司下手。</p> <p><a href="https://www.ithome.com.tw/news/169007"><strong style="font-size: 22px;">惡意軟體FrigidStealer假借Safari更新做為誘餌，攻擊macOS用戶</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/frigidstealer-activities-on-the-wazuh-dashboard.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/frigidstealer-activities-on-the-wazuh-dashboard.png" style="width: 300px; float: right;" /></a></p> <p>資安業者Wazuh針對竊資軟體FrigidStealer的攻擊行動提出警告，與TA569關係密切的駭客組織EvilCorp鎖定企業組織和個人，假借瀏覽器Safari更新的名義從事攻擊行動，意圖竊取用戶或加密貨幣錢包帳密資料，導致身份竊取或財物詐騙。</p> <p>FrigidStealer是在今年初首次現蹤，駭客組織TA2727將其用於攻擊行動，透過TA2726所經營的惡意流量散布系統（Traffic Distribution System，TDS）散布。當時揭露此事的資安廠商Proofpoint研究人員指出，TA2727和另一個組織TA569（又名 Mustard Tempest Gold Prelude、Purple Vallhund），都是使用TA2726的服務，這些駭客合作以JavaScript程式注入網站，冒充瀏覽器更新散布惡意程式，而其中一種就是專門鎖定Mac用戶而來的FrigidStealer。</p> <p>Wazuh指出，一旦使用者依照指示下載DMG檔案執行安裝，過程中必須在AppleScript程式輸入密碼，而駭客這麼做的目的，就是繞過macOS內建的防毒工具Gatekeeper。若是使用者成功套用「更新」，FrigidStealer就會在電腦搜尋敏感資料，並經由DNS通道向C2伺服器外洩資料。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/05/malicious-pypi-packages-exploit.html">惡意PyPI套件利用IG及抖音API，意圖驗證受害者電子郵件信箱有效性</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/nitrogen-ransomware-targets-financial-firms-us-uk-canada/">勒索軟體Nitrogen鎖定美、英、加金融業者而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/05/chinese-hackers-deploy-marssnake.html">中國駭客鎖定沙烏地阿拉伯而來，散布後門程式MarsSnake</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityaffairs.com/178005/hacking/rogue-devices-in-chinese-made-power-inverters-used-worldwide.html">美國太陽能發電採用中國製設備，驚傳埋有惡意元件，有可能讓中國政府遠端控制</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169069"><strong style="font-size: 22px;">Mozilla修補Pwn2Own漏洞挖掘競賽找到的Firefox零時差漏洞</strong></a></p> <p>德國場漏洞挖掘競賽Pwn2Own Berlin 2025於5月15日至17日於德國首都柏林舉行，參賽隊伍總共找出28個零時差漏洞，得到超過100萬美元的獎勵，有軟體開發團隊接獲通報後，迅速做出回應及修補漏洞。</p> <p>Mozilla基金會於5月17日發布公告，針對上述競賽找到的兩項重大層級Firefox零時差漏洞，他們已登記為CVE-2025-4918、CVE-2025-4919列管，並發布電腦版、安卓版Firefox 138.0.4，以及長期支援版（ESR）128.10.1、115.23.1修補這項漏洞，呼籲使用者及IT人員應儘速套用相關更新。</p> <p>特別的是，針對這兩項資安弱點的發現，Mozilla強調與過往Pwn2Own競賽找到的零時差漏洞有所不同，指出這次的參賽者無法直接突破Firefox的沙箱防護機制，代表他們近期對於Firefox的沙箱架構改良有所成效。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/nato-flagged-vulnerability-tops-latest-vmware-security-patch-batch/">VMware針對旗下虛擬化平臺、混合雲平臺修補高風險漏洞</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169066"><strong style="font-size: 22px;">Google更新Chrome密碼管理機制，可偵測並更換已外洩的密碼</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/_jAbFaDVtPQ.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/_jAbFaDVtPQ.png" style="width: 300px; float: right;" /></a></p> <p>為減少密碼帶來的風險，在Google I/O大會上，Google宣布Chrome將加入新功能，可在偵測用戶輸入的密碼外洩時，建議、或自動使用更安全的新密碼。</p> <p>Chrome是以內建的Google Password Manager實現防護。之前Password Manager已經能自動產生安全性較高的密碼，以及名為Password Checkup的功能，它能檢查並通知用戶密碼外洩。</p> <p>現在Password Manager以前述功能為基礎，納入自動密碼變更功能。Chrome若在用戶登入時偵測到已外流的密碼，Password Manager會提示用戶，並提供自動修復的選項。而若是在受到支援的網站上，Chrome會產生高強度密碼，並自動更新、取代舊密碼。這項新功能可以免除用戶辛苦尋找帳號設定，或者找到一半放棄的情形。</p> <p><a href="https://www.ithome.com.tw/news/169041"><strong style="font-size: 22px;">Docker要以安全映像檔防護企業生產環境的容器</strong></a></p> <p>5月19日Docker發布新型態的映像檔Docker Hardened Images（DHI），以預設安全為核心設計，進一步提升企業生產環境的容器安全性。該功能主打精簡映像檔內容、減少攻擊面，並強化自動化漏洞修補能力，目標是提供雲端原生應用可靠的執行基礎。</p> <p>根據Docker說明，DHI並非僅僅對現有映像檔進行瘦身或簡化，而是採取自下而上的安全設計。映像檔僅保留執行應用所需的最小相依元件，移除如Shell、套件管理工具及除錯工具等非必要元件，使映像檔的攻擊面較傳統基底映像檔減少達95％。透過精簡內容，不僅降低駭客入侵風險，同時也提升啟動效率，讓維護作業更為單純。</p> <p>針對企業關注的漏洞修補，DHI採自動化持續修補機制。Docker團隊主動監控所有上游相依元件及作業系統套件的CVE資訊，當有重要安全更新時，映像檔會自動重建並通過測試後發布。根據官方承諾，針對重大與高風險CVE，最快可在7天內完成修補並推送新版本，協助企業即時因應外部威脅，降低安全團隊負擔。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169054"><strong>【5月20日】Pwn2Own競賽首度成功找出VMware ESXi零時差漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169032"><strong>【5月19日】惡意NPM套件為藏匿攻擊意圖，濫用Unicode字元、Google行事曆</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168995"><strong>【5月16日】中國駭客、勒索軟體駭客將SAP NetWeaver滿分漏洞用於實際攻擊</strong></a></p> </div></div></div>
2025/5/21 16:53作者周峻佑https://www.ithome.com.tw/news/169076
【波士頓直擊】堅持不做模型！紅帽CTO親自剖析，GenAI新戰略背後的關鍵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在紅帽年會主題演講後，三位紅帽高層，紅帽執行長Matt Hicks、技術長Chris Wright和產品長Ashesh Badani也親自回答全球媒體的問答，紅帽今年為了瞄準企業大規模GenAI應用浪潮，推出了多項新AI戰略和產品，為何紅帽堅持不做自己的LLM，在未來的企業GenAI發展中，將如何持續扮演關鍵角色，像RHEL在企業基礎架構的影響力一樣。</p> <p>我們整理了紅帽技術長Chris Wright對於自家新GenAI定位和戰略的說明。他揭露了如何在GenAI世界中找到自己的新定位，GenAI新戰略背後有哪些思考，以及下一步方向又是如何，以下是他現場回答的整理。</p> <p>紅帽的重點是將十多年來努力實現的混合雲願景帶入AI領域，有一件事非常重要就是提供「選擇」。</p> <p>各種模型不斷出現，感覺每天都有新模型，這是高速創新的速度，這些開源授權的模型，對用戶開放，可以自己下載，自己優化硬體，自己決定AI技術堆疊要有多大的彈性，連關鍵套件都能自己決定，而加速晶片則位於技術堆疊的底層。</p> <h3><strong><span style="color:#FF0000;">紅帽在GAI世界的新定位</span></strong></h3> <p>作業系統背景的紅帽，對硬體支援非常熟悉，與雲端供應商、硬體晶片供應商有很好的合作夥伴關係。所以，他強調：「將底層硬體和熱門模型的軟體架構串連起來，是紅帽在整個GAI世界中的位置。」</p> <p>舉例來說，為了擴大企業AI落地規模，讓不同AI想法實現，紅帽今年發表了一款新產品，紅帽AI推論伺服器。這套產品架構的上層是各種模型，紅帽與不同模型的創立者都有長期合作關係，在他們新版模型第一天發布之前，紅帽就可以和他們合作，進行大量優化。紅帽與Meta的合作就是一個例子。紅帽也和模型供應商合作，在紅帽平臺上驗證業者的模型。Chris Wright在媒體問答中也多次強調，紅帽不會自己打造LLM模型。</p> <p>紅帽AI推論伺服器，不只是一款社群可用版本，而是可以用於關鍵任務的運作環境。這款伺服器也可以說是一套作業系統，核心是Linux，可以用來建構和執行不同的模型。紅帽AI推論伺服器是紅帽AI產品組合的成員之一，可以部署成一臺獨立的伺服器，支援不同硬體，也能部署到OpenShift上，也可以部署到第三方的基礎設施，靈活度很高。</p> <p>LLL過去的話題，一直聚焦於超大模型、數兆參數等級的模型，但是，開源或開放模型已經出現了，800億到4500億參數等規模的小模型，也證明可以做到很多不輸大型語言模型價值的工作。紅帽正在優化和壓縮這些模型，在不犧牲模型準確性的情況下，更有效率地運用硬體。</p> <p>各種開源模型不斷出現，相互競爭，而且開源模型與大型專用前瞻模型之間的差距越來越小，紅帽會將這些開源模型帶到規模更小的部署環境，這是一種在執行階段提高效率的方式，來降低成本。</p> <p>今年初，開源模型更進一步具備了推理能力，推論時間擴展技術（Inference time scaling）是實現推理能力的關鍵做法。原本是靠更多資料，更大參數的模型來提高準確性，現在可以擴展、延長推論時間來產生更好的結果，讓你可以用更小的模型，像大型模型一樣，同樣產生高價值的結果。</p> <h3><strong><span style="color: rgb(255, 0, 0);">為了降低Token單位成本，聚焦企業基礎架構效能最大化</span></strong></h3> <p>這麼做的代價是，要花更多時間來進行計算，而且過程中，所產生的每一個Token都有成本。為了提供更好的時間擴展能力，需要降低每一個Token的成本，並且從整體角度來思考每一瓦特的Token成本。（編按：一瓦特電力可以產生多少Token，數值越高越好），如何讓所有企業都能更有效率，這是紅帽關注的領域。去年，紅帽關注企業自有的資料，今年也開始關注，如何讓企業自有基礎架構效能最大化，來降低每一個Token的成本。</p> <p>可是，許多企業大量投資GPU叢集，設備非常昂貴，卻難以將GPU利用率最大化，甚至經常很低。</p> <p>紅帽正對推論的運作流程展開研究，主要有兩個關鍵階段，一個是運算密集的預填充（ Prefill ）階段，要對整個上下文資料進行處理。另一個則是解碼（Decode）階段，需要龐大記憶體的來生成一個個Token。</p> <h3><strong><span style="color:#FF0000;">llm-d開源專案要將分散式架構帶進LLM</span></strong></h3> <p>如何將整套系統的內容吞吐能力最大化是提高效能的關鍵，若能用更好的方式來分散處理不同的請求，就可以大幅提高GPU的利用率。紅帽新發表的llm-d專案，就是以推論引擎為核心，利用K8s來執行各種分散式的做法。紅帽也與許多重要供應商合作，像是Google、Nvidia等。Chris Wright比喻，就像K8s將分散式架構帶進了Linux伺服器，llm-d專案也同樣將分散式架構帶進了LLM伺服器。</p> <p>雖然AI代理在2024年受到高度關注，但沒有太多企業知道如何在自己的環境中打造AI代理。直到今年，代理AI開始成為企業的現實課題。</p> <h3><strong><span style="color:#FF0000;">兩手策略，瞄準瞄準代理AI的未來發展</span></strong></h3> <p>Chris Wright指出，未來的發展上，紅帽的計畫是支援代理AI的發展，Red Hat AI將會整合Meta的Llama Stack技術架構和Anthropic推出的MCP協定。這兩項先期標準，可以驅動代理AI的部署。</p> <p>MCP提供了一套標準做法，來連結模型，工具、資源和提示命令，讓企業可以將LLM 與任何既有商業所用的工具整合。而Llama Stack則提供了一套平臺，讓開發者用來建立一套運用模型的應用開發流程，包括了建構、部署和支援一隻AI應用執行的整套軟體應用架構，也涵蓋了模型微調、評估、建模等不同模型運作關鍵，能打造出一隻可部署，也能連結到模型的應用程式。</p> <p>MCP仍舊不斷演化中，安全性將是持續不斷的改進過程，MCP下個階段要開始處理授權的議題。MCP的使用方式將有很大的不一樣。紅帽自己也正在思考，如何透過MCP，讓LLM如何和我們的產品整合。</p> <p>MCP協定提供三種不同的LLM互動方式，可以和資料、工具或提示等不同類型的資源來互動。Chris Wright觀察，目前大多數人聚焦於LLM與工具的互動，工具概念就像是在現有企業應用上疊加一層可以讓模型存取的API，已有一些企業開始研究這件事對他們的意義。</p> <p>就像早期Ansible自動化引擎發展早期，同一項工作，可能有10種不同的自動化方式來實現。同樣用MCP存取天氣資料，現在也有很多天氣MCP伺服器可用。「這正是令人興奮之處，企業也要學習，什麼才是對自己有用的做法。」Chris Wright興奮地提醒。</p> </div></div></div>
2025/5/21 17:26作者王宏仁https://www.ithome.com.tw/news/169079
Mozilla修補Pwn2Own漏洞挖掘競賽找到的Firefox零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>德國場<a href="https://www.ithome.com.tw/news/169049">漏洞挖掘競賽Pwn2Own Berlin 2025</a>於5月15日至17日於德國首都柏林舉行，參賽隊伍總共找出28個零時差漏洞，得到超過100萬美元的獎勵，有軟體開發團隊接獲通報後，迅速做出回應及修補漏洞。</p> <p>Mozilla基金會<a href="http://blog.mozilla.org/security/2025/05/17/firefox-security-response-to-pwn2own-2025/">於5月17日發布公告</a>，針對上述競賽找到的兩項重大層級Firefox零時差漏洞，他們已登記為CVE-2025-4918、CVE-2025-4919列管，並發布電腦版、安卓版<a href="https://www.mozilla.org/en-US/security/advisories/mfsa2025-36/">Firefox 138.0.4</a>，以及長期支援版（ESR）<a href="https://www.mozilla.org/en-US/security/advisories/mfsa2025-37/">128.10.1</a>、<a href="https://www.mozilla.org/en-US/security/advisories/mfsa2025-38/">115.23.1</a>修補這項漏洞，呼籲使用者及IT人員應儘速套用相關更新。</p> <p>針對這兩項資安弱點的發現，Mozilla強調與過往Pwn2Own競賽找到的零時差漏洞有所不同，指出這次的參賽者無法直接突破Firefox的沙箱防護機制，代表他們近期對於Firefox的沙箱架構改良有所成效。</p> <p>為何沙箱機制是攻擊者的主要標的？Mozilla指出，一般來說，攻擊者要對瀏覽器下手，通常會先入侵瀏覽器的分頁得到受害電腦有限的控制能力，基於Firefox的安全架構，攻擊者需要搭配沙箱逃逸相關弱點才能進一步得到更多存取權限，因此沙箱防護便成為防守上相當重要的環節，他們也針對這方面做出改進。</p> <p>雖然漏洞已經修補完成，但Mozilla表示，他們將繼續研究人員通報的內容，來找出新的強化機制與安全機制改善措施，讓Firefox用戶能持續受到保護。</p> <p>根據CVSS風險評分，<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-4919">較危險的是CVE-2025-4919</a>，攻擊者可藉由混淆陣列索引的大小，對JavaScript物件進行越界讀取或是寫入，風險值為8.8；另一個漏洞CVE-2025-4918，也同樣是能被用於越界讀取或是寫入，差別在於<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-4918">只能針對名為Promise的JavaScript物件利用</a>，風險值為7.5。</p> </div></div></div>
2025/5/21 14:34作者周峻佑https://www.ithome.com.tw/news/169069
駭客組織Hazy Hawk濫用DNS組態不當配置，意圖挾持已棄用的受信任網域
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>企業組織棄用的網域名稱，被駭客濫用的情況，最近1至2年陸續傳出相關攻擊行動，通常攻擊者會利用遭竊的帳號而得逞，但如今有駭客組織藉由DNS的錯誤配置，進行更複雜、更為隱密的攻擊行動，引起研究人員的關注。</p> <p>資安業者Infoblox揭露<a href="https://blogs.infoblox.com/threat-intelligence/cloudy-with-a-chance-of-hijacking-forgotten-dns-records-enable-scam-actor/">駭客組織Hazy Hawk的攻擊行動</a>，指出這些駭客精通DNS，並藉由DNS的錯誤配置，來挾持知名企業組織的S3儲存桶、Azure端點等廢棄雲端資源。其中，對於成功挾持的網域，駭客用於代管大量網址，而這些網址的用途，就是藉由不同的惡意流量導向系統（Traffic Distribution System，TDS），將受害者導向詐騙網站或是惡意軟體。</p> <p>之所以發現這起攻擊行動，起因是這些駭客於今年2月成功控制了美國疾病管制中心（CDC）部分子網域，導致數百個與CDC子網域有關的URL，突然在搜尋引擎的結果竄出，此狀況引發Infoblox研究人員調查，結果發現，這些駭客從2023年12月開始，就開始對全球的政府機關、大學、跨國公司下手。</p> <p>基本上，存在弱點的DNS記錄其實是相當複雜的問題，因此研究人員指出，這些駭客能夠存取大型的被動DNS服務。這種挾持DNS的攻擊型態，主要依賴配置錯誤的DNS記錄，甚至可能涉及一連串的DNS記錄，而且，這類記錄在一般的網路探測當中無法察覺。附帶一提的是，在整個攻擊鏈裡，駭客還整合了惡意通知推送，使得威脅倍增。</p> <p>照理來說，如此隱密的攻擊手段，不少駭客會將其用於從事網路間諜活動，但Hazy Hawk沒有這麼做，而是用於結合惡意廣告，將使用者導向各式各樣的騙局，或是散布惡意軟體的冒牌應用程式。研究人員提及，光是美國上當的老年人口，粗估就因此損失數十億美元。</p> <p>此外，這些駭客還使用分層防禦機制來保護其作業流程，而不致被發現。例如，由於他們挾持極為知名的網域名稱，而能成功迴避許多防護機制，而且，這些駭客還使用了正常網站的程式碼來掩飾惡意內容，他們將使用者帶往TDS進行路由之前，URL通常會使用另一組網域重新導向，這也增加防守方察覺異狀的難度。</p> </div></div></div>
2025/5/21 16:00作者周峻佑https://www.ithome.com.tw/news/169073
AMD發表新GPU及最高96核心工作站級處理器, 瞄準本地端AI推論及AI開發需求
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AMD瞄準遊戲玩家及AI本地推論需求，在Computex電腦展上發表新的GPU產品及工作站專用處理器，包括Radeon RX 9060 XT及Radeon AI Pro 9700兩款GPU，以及擁有96個核心的工作站處理器Threadripper 9000系列。</p> <p>在GPU方面，預定6月5日上市的RX 9060 XT，採用RDNA 4架構，內建22個運算單元，最高至821 AI TOPS，可支援FSR 4(FidelityFX Super Resolution)機器學習強化解析度及加速光線追蹤，依搭配記憶體容量不同，價位在299美元起。AMD以RX9060 XT 16GB和接近價位的Nvidia Geforce RTX 5060 Ti 8GB，強調在40款遊戲的平均每美元遊戲效能較競爭對手高出15%。</p> <p>另一款GPU Radeon AI Pro 9700，為工作站級GPU，同樣為RDNA 4架構，內建64個運算單元，整合第2代的AMD AI加速器，內建32GB記憶體，支援1,531 TOPS，主要為本地端AI推論、模型微調，以及較複雜的創作工作負載而設計。該GPU支援Linux的ROCm軟體堆疊，未來也會支援Windows環境的ROCm。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%96600(3).jpg" style="width: 600px; height: 300px;" /></p> <p>為支援更大AI工作負載，Radeon AI Pro 9700可支援多顆GPU擴充，擴充運算資源及記憶體資源，以支援更大的AI模型，或是其他平行運算工作負載的計算需求。Radeon AI Pro 9700預計今年7月推出。</p> <p>在工作站方面，Threadripper 9000系列工作站級處理器，從最低12個核心、24執行緒，到最高擁有96個核心、192個執行緒，內建384MB的L3 Cache，最高時脈加速至5.4GHz，適合渲染視覺特效，模擬真實世界的物理環境，或是在本地端微軟數十億參數的AI模型。</p> <p>AMD強調Radeon AI Pro 9700搭配Threadripper 9000系列工作站級處理器，可滿足AI開發打造下一代AI模型的需求，包括Radeon AI Pro 9700及Threadripper 9000系列預計今年7月推出。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%96600(2).jpg" style="width: 600px; height: 296px;" /></p> <p>除了AMD在Computex發表GPU及工作站專用處理器，無獨有偶地，競爭對手Intel則是發表GPU產品，Intel Arc Pro B50及B60，強調工作站的GPU運算需求及AI模型推論設計。英特爾也設計擴充架構，可以擴充8個B60 32GB VRAM，擴充至192GB VRAM，支援到1,500參數的AI模型。</p> <p>在電腦展發表活動裡，AMD也不忘分享Ryzen AI處理器在AI PC的進展，特別是支援50TOPS的Ryzen AI Pro 300系列處理器，進攻AI PC市場，其中針對微軟去年發表的Copilot+PC，AMD已與PC業者合作，除了消費市場的Copilot+PC，也推出商用的Copilot+PC產品，例如華碩的商用筆電Expert P系列電腦產品。</p> <div> </div> </div></div></div>
2025/5/21 17:07作者蘇文彬https://www.ithome.com.tw/news/169075
第一銀行公開最新GenAI行動方案GALA計畫，優先賦能員工素養，再聚焦兩大發展重點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>第一銀行近日公開自家的GenAI策略布局，他們推動了一項名為Project GALA的行動方案，要推動生成式AI民主化、加速員工採用生成式AI。</p> <p>近日在金融研訓院與英國智庫Z/yen共同舉辦的一場線上研討會，第一銀行資安長劉培文分享了自家銀行最新的GenAI計畫和進展。</p> <p>早在生成式AI爆紅前，第一銀行就運用AI技術打造多項工具和服務。例如分行輔助工具C-MAP系統，協助分行更快速接觸、獲得中小型企業客戶。不過，攤開授信業務的生命周期，業務人員在獲得企業客戶後續的授信評估、風險偵測和客戶關懷等階段，仍需投入大量時間和人力。「這是生成式AI有機會展現效益的重點領域。」劉培文解釋，透過生成式AI，可以協助分行節省更多時間，專注於更重要的工作。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%AC%AC%E4%B8%80%E9%8A%80%E8%A1%8C%E7%B0%A1%E5%A0%B1.png" style="width: 600px;" /></p> <blockquote><p>第一銀行運用AI技術打造多項工具和服務。例如分行輔助工具C-MAP系統，協助分行更快速接觸、獲得中小型企業客戶。</p> </blockquote> <p>不過，劉培文提到，銀行在導入GenAI前，仍需審慎評估不少策略面的議題，包括GenAI技術人才缺乏，以及GenAI技術仍在快速變動，例如GenAI的資安和幻覺問題，尚無法有效解決。劉培文進一步說，即便GenAI的技術問題未來終究能解決，但是，「GenAI技術運用和銀行現在熟悉的IT技術，仍有很大的不同。」劉培文強調。面對這項趨勢，他認為，因應GenAI可能實現技術民主化的將來，首要任務是，建立員工和AI協作的素養和能力。</p> <p>劉培文說：「對銀行來說，目前最優先的事，未必是追求技術，而是教導員工如何與生成式AI協作。」因應這項核心理念，第一銀行提出一項名為Project GALA的生成式AI行動方案，不只要推動生成式AI民主化，也要加速員工採用生成式AI。</p> <p>在Project GALA定義了一個價值金字塔，用來評估、辨識各個GenAI應用案例的價值貢獻程度。這個價值金字塔共有四個層級，從金字塔最底層往上，分別是提升個人效率、創造集體智慧、改善部門流程，和推動業務創新。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%AC%AC%E4%B8%80%E9%8A%80%E8%A1%8C%E7%B0%A1%E5%A0%B12.png" style="width: 600px;" /></p> <blockquote><p>Project GALA中有制定一項GenAI價值金字塔，共有四個層級，分別是提升個人效率、創造集體智慧、改善部門流程，和推動業務創新。</p> </blockquote> <p>劉培文解釋，透過這個架構，他們能評估全行在GenAI導入的成熟度，「當越來越多案例往金字塔上層推進，就代表我們已經從導入工具，逐漸邁向由AI驅動業務創新的階段。」</p> <h3>Project GALA計畫兩大配套發展重點：行銷資料上雲、資安上雲</h3> <p>在推動Project GALA時，劉培文首先是爭取董事會與業務單位主管支持。他們舉辦了高階主管共識營，透過在共識營中運用AI工具，來推廣AI工具能帶來的效益，例如運用NotebookLM，在演講結束的五分鐘內，馬上將逐字稿及演講重點透過LINE群組分享給所有與會者，或是運用M365與Copilot工具打造活動報名、執行流程。劉培文提到，活動結束後，有許多主管主動要求獲得更多相關AI工具給所屬部門。</p> <p>而Project GALA其中一項推動事項，是要推動行銷資料上雲，這是第一銀行看重的GAI發揮場景。劉培文表示，他們計畫透過資料清洗和資料處理流程，來整合開放資料、交易紀錄、行銷活動、客戶行為等多元資料來源，接著運用數據分析或ML工具來萃取洞察和建立預測模型。最後，他們會導入生成式AI平臺，進一步強化在行銷場景中的智慧應用和自動化能力。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%AC%AC%E4%B8%80%E9%8A%80%E8%A1%8C%E7%B0%A1%E5%A0%B13.png" style="width: 600px;" /></p> <p>劉培文表示，行銷資料上雲計畫分為三階段進行，他們已完成第一階段開放資料導入和建立GenAI實驗環境，目前正在建立混和雲和資料湖，最終目標是打造一個雲端AI的客戶資料平臺(CDP)，整合包括App、網站、LINE、EDM等接觸點。</p> <p>為了日後的規模化發展先做準備，Project GALA的另一項推動事項，是要推動資安基礎設施上雲，。劉培文解釋，他們相信，當他們朝向以雲端和AI為基礎的次世代IT基礎架構前進，勢必有大量系統、數據和資料會離開地端資料中心，遷移至公有雲環境。「此時，傳統以圍城觀念建立的資安防護架構，將會對以雲端及AI為基礎的業務運作效率帶來衝擊與影響。」劉培文強調，要改變這個情況，資安基礎設施必須先遷移至雲端。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%AC%AC%E4%B8%80%E9%8A%80%E8%A1%8C%E7%B0%A1%E5%A0%B15.png" style="width: 600px;" /></p> <p>目前，第一銀行正在測試導入SASE架構。劉培文表示，他們期望未來導入雲端資安防護架構後，不論是混合辦公、遠端辦公或自帶設備的作業模式，都能讓員工快速且安全的存取雲端資源和AI應用。</p> <h3>第一銀行GenAI實例：企業問答助理、Copilot應用</h3> <p>在研討會中，第一銀行也公開了內部目前上線的GenAI案例，包括提供內部使用的企業問答助理、GitHub Copilot和導入M365與Copilot的應用。</p> <p>企業問答助理整合行內知識庫，能幫助分行員工快速查找規範和流程指引，還能即時提供資料來源和業務負責單位。劉培文表示，這套系統在今年四月初上線，雖然目前僅開放給總部九個部門進行測試，但和上一個開放全行使用、未導入生成式AI的版本相比，現在版本的每週使用量已是過去的8.4倍。</p> <p>在第一銀行內部，他們透過GitHub Copilot來幫助IT人員自動補全程式碼、重新建構程式碼、提供修正建議，還有自動產生文件和測試腳本。</p> <p>第一銀行內部員工也正在運用M365與Copilot提升工作效率。例如，法遵人員運用這類辦公型GenAI助理，快速處理世界各國的法令與合規文件，自動摘要整理重點並產生整理成簡報。由於部門主管每週都要整理特定報告，過往這些主管得自行登入報告系統、選擇資料、產生報告後再進行列印，整個過程大約耗時五分鐘。</p> <p>而藉助辦公型的GenAI助理，一銀的部門主管可以利用No Code的流程自動化工具，將每周報告產生過程自動化，整趟流程只需要30秒。或是可以用於文件審核流程的自動化。第一銀行內部有一套共用的審核系統流程，較難因應個別需求客製化調整，許多審核流程也尚未數位化。改運用M365、Teams和Power Automate，連不懂程式的業務單位，也能自行建立適合自身需求的文件審核流程，提升辦公彈性與效率。</p> <p>劉培文最後強調，由於現階段GenAI技術變化極為迅速，他們認為，立即大規模投入GenAI技術投資並非最佳選擇。「這也是為何Project GALA專注於，利用SaaS工具賦能員工、推動知識共享的文化轉型，篩選合適的業務流程進行GenAI整合實驗。」他說。奠定在資料和資安上雲計畫的基礎，劉培文認為，第一銀行將能夠打下成熟基礎，以此應對AI未來發展，最終達到能以價值創造作為驅動的前瞻創新。</p> <p></p> </div></div></div>
2025/5/21 15:44作者李昀璇https://www.ithome.com.tw/news/169052
馬來西亞以華為晶片建置首個國家級AI基礎設施
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://assets.bwbx.io/documents/users/iqjWHBFdfxIU/r7qhOOx8yyWs/v0" target="_blank">馬來西亞政府在本周一（5/19）宣布</a>正式啟動策略性AI基礎設施，號稱是東協首個啟動主權全棧式AI生態系統的國家，採用的是由華為旗下海思半導體生產的Ascend GPU所建置的AI伺服器，將同時支援公共及私人AI服務。</p> <p>所謂的主權AI基礎設施，指的是包括運算、資料平臺、AI模型的訓練及開發都在該國境內完成，由該國主導及控制，而不仰賴國外平臺。</p> <p>根據官方的新聞稿，馬來西亞將此一AI基礎設施稱為Skyvast AI Cloud ，將提供AI即服務及GPU即服務，讓當地的新創、研究人員、企業或各個組織存取，最先上線的也是源自中國的開源大型語言模型DeepSeek，將會分階段擴大其能力，預計到2026年將拓展至3,000個Ascend GPU，成為馬來西亞國家級AI的骨幹。</p> <p><a href="https://mcigroup.my/top-news/malaysia-launches-regions-first-sovereign-full-stack-ai-infrastructure/" target="_blank">當地媒體Malaysia-China Insight</a>引用馬來西亞交通部副部長Teo Nie Ching的致辭，指出此一專案的特別之處在於所有的資料都將存放於馬來西亞，由馬來西亞人管理，也被馬來西亞人使用，而這正是他們捍衛AI主權的方式。</p> <p>Ching也強調，這也是中國晶片、伺服器及DeepSeek大型語言模型首次在中國以外部署，讓馬來西亞在AI方面成為東協的領導者。</p> <p><a href="https://wccftech.com/malaysia-becomes-the-first-nation-outside-of-china-to-deploy-huawei-ascend-chips/" target="_blank">加拿大科技媒體Wccftech則分析</a>，馬來西亞與華為的合作很可能違反美國的出口管制，美國對此的反應值得觀察。</p> </div></div></div>
2025/5/21 16:09作者陳曉莉https://www.ithome.com.tw/news/169074
Google行動AI開發方案Firebase AI Logic更新，升級多語言支援與串流回應能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google旗下行動與網頁應用程式人工智慧開發方案Firebase AI Logic推出<a href="https://firebase.blog/posts/2024/05/introducing-vertex-ai-firebase/">新一輪更新</a>，增強多語言支援，並新增即時串流回應功能。目前Web平臺的串流回應功能仍在開發階段，之後隨相關功能上線，<a href="https://firebase.google.com/docs/ai-logic">Firebase AI Logic</a>將可進一步擴展人工智慧應用場景。</p> <p>Firebase AI Logic前身為Vertex AI in Firebase，現在正式更名並同步擴充服務範疇。Firebase AI Logic不只是支援Gemini與Imagen等模型，重點更在於行動與網頁端可直接透過Swift、Kotlin、Java、Dart、JavaScript及Unity等多平臺SDK，安全存取Google生成式人工智慧功能，無需自建後端API，有效降低人工智慧功能開發與部署門檻。</p> <p>除了更名，此次更新另一重點在於即時串流回應功能。Firebase AI Logic已整合Gemini Live API，讓開發者可於App中實現雙向串流互動，即時獲取模型回應結果，提升如聊天機器人、語音助理等互動型應用的用戶體驗。</p> <p>根據Google官方說明，目前Gemini Live API僅支援Android、Flutter及Unity平臺，並需搭配Vertex AI Gemini API。語音合成部分支援31種語言，有助於拓展人工智慧於語音服務及國際市場的應用。串流模式同時具備函式呼叫及結構化資料輸出能力，但僅適用於特定平臺與API組合。</p> <p>Firebase AI Logic持續強化App端存取防護，透過Firebase App Check等機制防止API金鑰外洩與未授權存取，降低濫用風險。系統預設每用戶每分鐘100次請求的速率限制，並可依企業需求調整。全新Proxy Service設計可避免API金鑰儲存在應用程式端，進一步滿足行動應用的安全需求。</p> <p>Firebase AI Logic延續與Firebase生態系雲端服務的整合，包括Cloud Storage管理多媒體檔案、Cloud Firestore等資料庫提供結構化資料支援，以及Remote Config遠端調整模型與提示參數，協助開發團隊靈活調整人工智慧服務內容，無須重新發布App即可進行功能最佳化或A/B測試。</p> <p>本次更新也強化<a href="https://firebase.google.com/docs/ai-logic/live-api?authuser=6&utm_source=chatgpt.com#use-standard-capabilities">多API來源支援</a>，開發者可依需求選用Gemini Developer API或Vertex AI Gemini API，靈活運用Google既有及新推出的人工智慧資源。</p> </div></div></div>
2025/5/21 16:18作者李建興https://www.ithome.com.tw/news/169071
Google發布可生成聲音及影像的Veo 3與AI電影製作工具Flow
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在本周展開的Google I/O大會上，<a href="https://blog.google/technology/ai/generative-media-models-io-2025/#veo-3" target="_blank">Google發表了新一代的影像生成模型Veo 3</a>，這是該模型首度能夠生成帶有聲音的影片；同一天Google也推出了<a href="https://blog.google/technology/ai/google-flow-veo-ai-filmmaking-tool/" target="_blank">AI電影製作工具Flow</a>。</p> <p><a href="https://deepmind.google/models/veo/" target="_blank">Veo 3允許創作者替作品添增聲音</a>，像是城市街景中的交通噪音，公園裡的鳥叫聲，甚至是角色之間的對話；此外，它改善了指令遵循能力，能夠更準確地跟隨動作及場景。使用者可提供場景、角色、物體的圖像或是風格來指導生成，讓它更符合使用者的需求。</p> <p>至於Flow源自於最初只是一款實驗性服務的VideoFX，現被Google定位為唯一一款替Veo、Imagen與Gemini等最新模型量身打造的AI電影製作工具，可透過Gemini協助創作者探索故事發展，利用圖片生成模型Imagen確認風格，再藉由Veo生成8秒鐘的影片，接著創作者即可於Flow中調整鏡頭、加上字幕、管理各種元素，或是串接不同的影片片段。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0521-Meet%20Flow%EF%BC%9AAI-powered%20filmmaking%20with%20Veo%203-1.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> <p>Google坦承，現在Flow仍屬早期開發階段，期望與創作者及電影製片一同形塑Flow的未來。</p> <p>目前Flow僅支援美國市場的Google AI Pro及Google AI Ultra 訂閱用戶，預計很快就會部署至其它市場。</p> </div></div></div>
2025/5/21 14:27作者陳曉莉https://www.ithome.com.tw/news/169068
微軟開放GitHub Copilot Chat原始碼，推動VS Code成開源AI編輯器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟宣布<a href="https://code.visualstudio.com/blogs/2025/05/19/openSourceAIEditor">開放GitHub Copilot Chat擴充功能的原始碼</a>，並規畫將相關人工智慧元件重構整合至VS Code編輯器核心。微軟表示，這將提升人工智慧開發工具的可用性，同時鼓勵開發者針對人工智慧互動介面及功能整合提出貢獻。</p> <p>VS Code自2015年首次公開預覽以來，已成為全球開發者常用的開源程式碼編輯器，仰賴龐大開發者社群持續推動功能發展。近年生成式人工智慧技術快速發展，人工智慧輔助程式撰寫逐漸成為現代開發工作的關鍵，而GitHub Copilot Chat過去以擴充功能形式提供，部分原始碼未開放，影響第三方工具整合及功能擴展，並引發部分社群對資料收集與隱私的疑慮。</p> <p>現在微軟宣布，將以MIT授權開放GitHub Copilot Chat擴充功能原始碼，並計畫分階段將部分人工智慧相關元件從擴充功能中重構，整合至VS Code核心程式碼庫中。開發者將可更直接參與人工智慧功能的開發與維護，社群也能透過開源基礎設施強化資安審查、功能最佳化及錯誤修正效率。</p> <p>隨著大型語言模型更加成熟，人工智慧編輯器的介面與操作體驗已成多數主流程式編輯器的重要功能。微軟指出，過去部分Copilot Chat元件採封閉開發，影響外部開發者建立自有人工智慧擴充功能的效率與測試彈性。此次原始碼開放後，VS Code的人工智慧功能透明度提升，開發者可更明確掌握資料處理流程，進一步回應使用者對人工智慧工具資安與隱私治理的需求。</p> <p>微軟進一步說明，資安威脅環境日益嚴峻，人工智慧開發工具已成攻擊者目標。VS Code透過社群參與，過去能及時發現並修正資安漏洞，此次開源同樣期待結合全球開發者力量，提升人工智慧編輯器安全韌性。針對人工智慧功能測試難度與驗證標準分歧等現況，微軟也將開放提示詞測試基礎設施，使社群貢獻具備一致性與可追溯性。</p> <p>根據微軟規畫，未來數周內將陸續釋出Copilot Chat擴充功能完整原始碼，並考慮將部分人工智慧元件整合至VS Code核心程式碼。相關進度、常見問答與社群回饋機制，將透過官方部落格及GitHub專案頁面持續公開。</p> </div></div></div>
2025/5/21 15:11作者李建興https://www.ithome.com.tw/news/169067
Google Chrome可偵測並修正已外洩密碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在Google I/O大會上，<a href="https://developer.chrome.com/blog/io25-web-identity" target="_blank">Google宣布Chrome的安全功能</a>。為減少密碼帶來的風險，Chrome將加入新功能，可在偵測用戶輸入的密碼外洩時，建議、或自動使用更安全的新密碼。</p> <p>Chrome是以內建的Google Password Manager實現防護。之前Password Manager已經能自動產生安全性較高的密碼，以及名為Password Checkup的功能，它能檢查並通知用戶密碼外洩。</p> <p>現在Password Manager以前述功能為基礎，更新為自動密碼變更（automated password change）功能。Chrome若在用戶登入時偵測到已外流的密碼，其中的Password Manager會提示用戶，並提供它自動修復的選項。而在「支援的」網站上，Chrome會產生高強度密碼，並自動更新、取代舊密碼。這可以免除用戶辛苦尋找帳號設定，或者找到一半放棄的情形。</p> <p>Google在<a href="https://developer.chrome.com/blog/io25-web-identity" target="_blank">開發人員資源網頁</a>建議開發人員優化用戶上網體驗，包括autocomplete優化和變更密碼URL，前者可觸發autofill，後者可引導用戶變更密碼。</p> <p>不過同時間，Google也鼓勵用戶及網站開發人員導入無密碼登入，改使用通行密鑰（passkey）。去年Google已為Password Manager加入同步所有平臺passkey的功能以簡化登入。本月稍早<a href="https://www.ithome.com.tw/news/168879" target="_blank">Google再公布</a>Chrome Password Manager加入名為Automatic Passkey Upgrade的功能。一經用戶啟用，當用戶以Password Manager中儲存的密碼登入網站，它就會將用戶密碼升級為Passkey，並傳送通知給用戶。本功能將部署到桌機版Chrome 136及Android版本。</p> </div></div></div>
2025/5/21 12:38作者林妍溱https://www.ithome.com.tw/news/169066
被視作Google搜尋的未來，AI Mode在美國上線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google搜尋甫於<a href="https://www.ithome.com.tw/news/167704" target="_blank">今年3月展開小規模測試的AI Mode</a>，即將<a href="https://blog.google/products/search/google-search-ai-mode-update/#ai-mode-search" target="_blank">正式於美國市場上線</a>，最近幾周美國Google程式用戶即可在搜尋欄位或是Search功能上看到AI Mode。同時，AI Mode已被外界視為是Google搜尋的未來。</p> <p>諸如ChatGPT等可以搜尋網路的AI聊天機器人，以及正在結合AI功能的搜尋引擎正在彼此靠近。Google於2023年推出的AI Overviews是基於生成式AI，可根據使用者的查詢自動摘錄多個網頁內容，出現在搜尋結果的最上方；今年才發表的AI Mode則像是在Google搜尋上整合了一個AI聊天機器人，它能理解並回應使用者複雜且細微的搜尋請求。</p> <p><a href="https://x.com/Google/status/1924885529381724474" target="_blank">Google團隊於X上闡明</a>，AI Mode重新定義了Google對搜尋的想像，它是一個具備先進推理能力的端對端AI體驗，早期測試者拋出更長的查詢字串，是傳統搜尋的2~3倍。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0521-google%20ai%20mode-2.png" style="width: 600px;" /></p> <p>Google解釋，AI Mode的後端採用了查詢扇出（query fan-out ）技術，將使用者的問題分解為多個不同的主題，並代表使用者同時發出大量的查詢。它比傳統的Google搜尋更能深入網路，找到更多符合使用者問題的高度相關內容。</p> <p>此外，Google也會利用AI Mode來展示Gemini的最新能力，並隨著使用者的回饋意見將AI Mode的特性及功能直接整合到Google搜尋中。亦宣布本周將把美國市場的AI Overviews與AI Mode的後端模型更新至Gemini 2.5。</p> <p>Google將陸續把各種新功能整合到AI Mode中，例如Deep Search，它使用更進階的查詢扇出技術，能夠送出數百個搜尋，針對不同的資訊進行推理，並在幾分鐘內建立原本需要數小時的專家級研究報告。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0521-google%20ai%20mode-deep%20search.png" style="width: 600px;" /></p> <p>亦打算將多模態通用助理專案Project Astra整合至AI Mode，並用它來驅動Search Live功能，以手機記錄使用使用者所看到的景象並進行搜尋。</p> <p>或是將AI代理專案Project Mariner嵌進AI Mode，以協助人們搜尋符合需求的票券、購票及填寫表格等任務；還有不可少的AI購物體驗，將允許使用者上傳自己的照片，AI Mode就可協助使用者查看數十億種商品的試穿效果；未來的AI Mode還會根據使用者過去的搜尋提供各種個人化建議；或是協助使用者分析複雜的資料並建立圖表。</p> <p>AI Mode已於即日起開放美國用戶存取，尚未有部署至其它市場的時間表。<span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／Google</span></p> </div></div></div>
2025/5/21 11:32作者陳曉莉https://www.ithome.com.tw/news/169064
Google找Warby Parker開發Android XR智慧眼鏡
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://investors.warbyparker.com/news/news-details/2025/Warby-Parker-Partners-with-Google-To-Develop-Intelligent-Eyewear/default.aspx" target="_blank">Google宣布將挹注1.5億美元，與眼鏡品牌商Warby Parker合作開發下一代Android XR智慧眼鏡</a>。最新眼鏡預計在2025年以後上市。</p> <p><a href="https://blog.google/products/android/android-xr-gemini-glasses-headsets/" target="_blank">這項消息是在Google I/O大會上宣布</a>。一如Meta的智慧眼鏡，Android XR眼鏡將具備麥克風、攝影機及鏡片顯示器，在AI方面，則整合了Gemini AI助理，協助社交、預約、手把手的方向指引、照相及其他任務。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0521-Google%20I%EF%BC%8FO%2025-Android%20XR-glasses.png" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0521-Google%20I%EF%BC%8FO%2025-Android%20XR-glasses-AR.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> <p>雙方將整合Google Android XR及AI技術及Warby Parker的眼鏡設計能力，開發多模態AI智慧眼鏡，可在用戶配戴過程中提供即時環境感知及資訊。目前雙方已經展開研發，計畫未來推出一系列產品，第一款智慧眼鏡預計2025年以後推出結合多模態功能的處方或非處方眼鏡。</p> <p>Google希望藉由複製Meta與品牌商EssilorLuxottica合作的Ray Ban智慧眼鏡，在Google Glass跌倒的地方重新站起來。Ray Ban眼鏡推出後大受歡迎，<a href="https://www.counterpointresearch.com/insight/post-insight-research-notes-blogs-rayban-meta-crosses-1million-mark-success-indicates-promising-future-for-lightweight-ar-glasses/" target="_blank">市場調查機構CounterPoint估計到去年第3季為止</a>，Ray Ban智慧眼鏡已賣出超過100萬個。</p> <p>Warby Parker之前，Google和三星、Qualcomm合作開發代號Project Moohan的Android XR頭戴式裝置已經亮相，預計今年內上市。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0521-Android%20XR-%E9%A0%AD%E6%88%B4%E5%BC%8F%E8%A3%9D%E7%BD%AE-Project%20Moohan-%E4%B8%89%E6%98%9F-MWC%2025.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／三星</span></span></p> </div></div></div>
2025/5/21 11:39作者林妍溱https://www.ithome.com.tw/news/169062
D-Wave新一代量子電腦Advantage2正式商用，鎖定AI應用與最佳化難題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>D-Wave第六代量子電腦<a href="https://www.dwavequantum.com/company/newsroom/press-release/d-wave-announces-general-availability-of-advantage2-quantum-computer-its-most-advanced-and-performant-system/">Advantage2正式商用</a>，其配備超過4,400個量子位元（Qubit），連結性提升，並在能源效率、運算穩定性及應用彈性方面皆有所進步，有助產業處理高度複雜的最佳化與人工智慧相關問題。</p> <p>Advantage2採用Zephyr架構，量子位元支援20向連結，有助於嵌入更複雜問題並擴大運算模型適用範圍。根據官方說明，Advantage2相較前一代提升能量規模約40%，意即該系統可表達更大的能量參數範圍，有助於量子電腦在建模與求解複雜最佳化問題時提升精確度與穩定性。運算過程雜訊降低約75％，量子相干性（Coherence）約為前代兩倍，執行運算時可望更快取得結果。能源管理方面，D-Wave指出，Advantage2與過去機型均維持約12.5千瓦電力需求，有著低耗能的特性。</p> <p>在應用層面，Advantage2適用於物流、排程、供應鏈設計等傳統最佳化領域，也可結合人工智慧模型與混合解題技術，支援更多元的產業場景。官方表示，Advantage2已整合至Leap雲端服務平臺，企業與開發者可遠端存取。平臺混合求解能力同步提升，支援多達兩百萬個變數與約束條件，有助於處理多維且複雜的營運決策。Advantage2還提供主機採購選項，利於與本地超級電腦或既有IT基礎架構整合。</p> <p>目前，多家企業與研究機構於Advantage2原型階段參與測試，包括日本煙草（Japan Tobacco）在藥物研發專案中，結合量子電腦與人工智慧模型加速化合物篩選流程。德國尤利希超級電腦中心（Jülich Supercomputing Centre）及美國洛斯阿拉莫斯國家實驗室（LANL）也採用Advantage2原型，探索量子最佳化及基礎科學研究。Advantage2原型至今已於Leap雲端平臺上執行超過二千萬個用戶問題，過去六個月用戶規模成長超過一倍，反映產業對高效量子運算需求持續攀升。</p> <p>D-Wave也推動本地化量子電腦部署，近期將於美國Davidson Technologies建置Advantage2系統，聚焦國防及安全領域最佳化運算。德國尤利希現有D-Wave量子系統亦預計升級為Advantage2，並計畫與Jupiter 整合，該系統為歐洲首臺Exascale等級高效能運算設備，強化人工智慧與量子計算融合應用。</p> <p>D-Wave自1999年成立以來專注於量子退火技術，是全球首家商用量子電腦供應商，也是唯一同時發展退火式與閘基型量子電腦的業者。官方資料顯示，目前累計超過一百家組織採用其量子系統，所有量子平臺累計問題提交量已超過兩億次，應用領域涵蓋製造、金融、生命科學、能源等產業。</p> </div></div></div>
2025/5/21 11:56作者李建興https://www.ithome.com.tw/news/169063
【波士頓直擊】紅帽年會首日5大宣布，全面瞄準企業大規模GAI運用潮
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>紅帽今年年度大會的重點是支援企業大規模的運用GAI，在第一天開場演講中，宣布了五項重要的產品戰略。</p> <p><strong>第一項重點宣布是全新的AI戰略方向</strong>。紅帽執行長Matt Hicks強調，紅帽過去的戰略是要通吃任何工作複雜，任何形式App，可以在任何地方執行（Any Workload,Any App,Anywhere），隨著GenAI崛起後，他認為，也帶來全新的工作負載型態，紅帽全新的GAI戰略是實現任何模型、任何加速晶片、任何雲（Any Model,Any accelerator,Any Cloud），也就是，可以讓任何模型，使用任何晶片，在不同雲端環境，公雲，私雲和邊緣上執行。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%96%B0%E6%88%B0%E7%95%A5-%E6%94%9D%E5%BD%B1-%E7%8E%8B%E5%AE%8F%E4%BB%81.jpeg" /></p> <p>今天的第二項宣布是推出<strong>新版商用Linux作業系統RHEL 10</strong>。紅帽產品長Ashesh Badani指出這是20年來最強大的新版本，可以通吃混合雲和AI工作運算需求，新功能像是Image模式大幅簡化維運，讓OS更新就像手機更新一樣簡單，也推出命令列的Linux通用AI助理Lightspeed，RHEL也是第一款提供NIST批准的後量子加密演算法的商用作業系統。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/RHEL10-%E6%94%9D%E5%BD%B1-%E7%8E%8B%E5%AE%8F%E4%BB%81.jpg" /></p> <p>第三項產品發表則是<strong>以vLLM專案為基礎，推出全新的AI推論伺服器</strong>。紅帽去年11月併購了vLLM專案主要貢獻者Neural Magic，納入Red Hat AI團隊。紅帽技術長Chris Wright強調，在AI世界，企業想要的生產上線（Production），如何支援企業大規模的GAI使用是焦點。用來加速LLM的開源專案vLLM，超過50萬次下載，可以將模型推論的吞吐量提高數倍。紅帽以Neural Magic的技術為基礎，推出vLLM的AI Inference Server(紅帽AI推論伺服器），可以支援各種模型，也能部署到各種環雲端環境中。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ai%E6%8E%A8%E8%AB%96%E4%BC%BA%E6%9C%8D%E5%99%A8-%E6%94%9D%E5%BD%B1-%E7%8E%8B%E5%AE%8F%E4%BB%81.jpg" /></p> <p>第四項宣布是發表了一個<strong>大規模AI推論加速的開源專案llm-d</strong>。紅帽技術長Chris Wright解釋，llm-d專案以K8s為基礎，打造出一個分散式推理架構，可以打破vLLM的單一伺服器限制，在正式環境中打造大規模的分散式推理架構，提供十倍推理吞吐量的能力。</p> <p>Chris Wright比喻，llm-d專案對LLM推論世界的意義，就像是K8s，可以支援超大規模的架構。這項專案的創始成員包括了AMD、Cisco、CoreWeave、Google、Hugging Face、IBM Research、Intel、Lambda、Mistral AI和Nvidia。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/llm-d-%E6%94%9D%E5%BD%B1-%E7%8E%8B%E5%AE%8F%E4%BB%81.jpeg" /></p> <p>最後一項重點是<strong>瞄準代理AI普及和大規模部署需求</strong>，紅帽旗下兩大AI產品線RedHat AI和OpenShift AI，未來將支援Meta的Llama Stack框架和 Anthropic 的 Model Context Protocol (MCP) 協定。 Llama Stack提供一整套標準化的GAI建置模組，後者則可以整合到龐大的MCP伺服器生態圈。</p> </div></div></div>
2025/5/21 00:05作者王宏仁https://www.ithome.com.tw/news/169060
微軟宣布WSL正式開源，開放社群貢獻程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟<a href="https://blogs.windows.com/windowsdeveloper/2025/05/19/the-windows-subsystem-for-linux-is-now-open-source/">宣布</a>WSL（Windows Subsystem for Linux）多數程式碼現已開源，開發者可直接於GitHub取得原始碼，並參與維護與功能開發。此舉回應社群長期對WSL開源的期待，官方表示，這是多年架構調整與準備後的成果，未來將在社群協作下加速WSL發展。</p> <p>WSL於2016年在Build開發者大會首次亮相，最初以驅動程式lxcore.sys為基礎，透過模擬Linux系統呼叫，讓Windows能執行ELF格式的Linux應用程式，此一架構即為WSL 1，現仍持續提供支援。為了要提升相容性與效能，微軟於2019年推出WSL 2，採用真正的Linux核心，以輕量虛擬化技術運作，帶來更接近原生Linux的開發環境。隨著技術與功能逐步擴展，WSL現已支援GPU加速、圖形應用WSLg、systemd等多項需求。</p> <p>本次開源涵蓋多個主要組件，包括用於操作WSL的命令列工具，例如wsl.exe、wslconfig.exe與wslg.exe，以及負責啟動WSL虛擬機和掛載檔案共享的服務wslservice.exe，還有在Linux端負責啟動和網路功能的相關程式。過去已開源的相關專案，包括支援圖形介面的WSLg和WSL 2所用的Linux核心，仍持續維護，不過，部分核心元件如lxcore.sys，以及協助Windows與Linux檔案系統互通的橋接元件，如P9rdr.sys和p9np.dll目前尚未開放原始碼。</p> <p>自2021年起，微軟逐步將WSL從Windows主程式碼中獨立，並以獨立套件於Microsoft Store提供下載與更新。此一調整讓WSL能更快速回應社群需求，持續新增如systemd、DNS通道（DNS Tunneling）等功能。自2022年WSL 1.0.0版發布後，微軟推動用戶從舊有內建WSL轉向新版套件，提升軟體發布及維護效率。</p> <p>微軟強調，WSL的發展歷程中，社群貢獻一直是重要推力。無論是回報問題、建議功能或協助最佳化效能，均促使WSL能回應各種使用情境。即使在尚未開源前，開發者社群已透過多元方式參與改進，此次正式開源後，社群不僅能直接貢獻程式碼，也可參與架構討論與新技術引入，有助於縮短需求回饋至功能落地的時間。</p> </div></div></div>
2025/5/20 22:46作者李建興https://www.ithome.com.tw/news/169051
Computex：高通揭Snapdragon AI PC一年多來發展現況，已有超過85款產品設計、750款原生應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>高通(Qualcomm)去年與微軟發表首款Copilot+PC後，歷經一年多時間的發展，高通成功搶占一部分的AI PC市場，今年Computex電腦展，高通執行長Cristiano Amon強調AI改變人們使用裝置的體驗，而Snapdragon X系列成為AI PC的核心。</p> <p>微軟去年首次發表Copilot+PC，主打PC上的強大AI功能，首批Copilot+PC裝置為筆電，微軟與高通合作，這些Copilot+PC筆電採用高通Snapdragon X 系列處理器，整合NPU以專門處理AI工作負載，可支援40TOPS的運算能力，Copilot+PC除了強調較傳統PC提供的AI功能，例如AI即時字幕、即時翻譯，還有快速回復、尋找檔案內容的Recall等等。</p> <p>過去Computex電腦展，高通多展示Snapdragon行動處理器平臺、無線通訊技術，今年Computex，高通幫自家Snapdragon PC大打廣告，在Computex展場陳列The Heart of your PC廣告，Amon也以執行長身分在主題演說中表示，高通已是全新的高通，在今年電腦展大談運算是個很酷的經驗。</p> <p>相較於去年約有22款設計採用Snapdragon X系列處理器，其中包括華碩、聯想、HP、宏碁等傳統PC品牌，在主題演說中Amon的簡報提到目前搭載Snapdragon的PC發展現況，到現在已有超過85款設計採用Snapdragon X系列處理器，涵蓋Snapdragon X、X Elite、X Plus處理器的PC設計。</p> <p>高通也持續和微軟深化合作，微軟旗下的Surface產品近期推出5款Copilot+PC，針對高通Snapdragon X及NPU優化，為雙方緊密的合作的成果。</p> <p>高通主題演說中也播放微軟執行長Satya Nadella的致詞，Satya表示，高通提供的晶片性能讓Copilot+PC得以提供用戶強大的體驗，雙方的合作只是開始，未來將有更多的合作。</p> <p>過去高通曾進軍PC市場，但由於缺乏原生應用，不受市場青睞，這次搭著微軟Copilot+PC捲土重來，Amon指出，過去一年Snapdragon裝置發展已有相當的進展，在Snapdragon裝置的原生應用已有750款，較原先成長3倍，93%的使用者時間花在原生應用的體驗，已有超過50款由NPU驅動應用程式的功能，顯示Snapdragon PC的未來發展前景相當樂觀。</p> <p>在PC使用需求中，玩遊戲一直占有不低的比例，過去Snapdragon的遊戲支援度也成為外界質疑之處，Amon也不忘分享，過去一年高通改善遊戲方面的發展，高通與遊戲製作公司合作，現在已有超過1,400款遊戲支援Snapdragon，其中包含3A的遊戲。高通過去一年忙於和微軟、應用程式開發商、遊戲開發業者合作，為使用者提供更好的體驗。</p> <p>「沒有其他的處理器，能夠發展如此出色的效能，提供多天的續航力及使用體驗」，Amon自豪地說。</p> <p>目前高通Snapdragon X系列已有超過85款產品，Amon預期明年將有更多產品設計，約有100款設計交付到人們手中；過去要在PC市場占10%可能需要7到9年時間，根據上一季的美國零售通路數字，高通在PC市場占比約有9%。</p> <p>對於下一代的AI PC發展，Amon並沒有公開新的處理器，僅預告在今年9月下旬的高通全球發表活動中將揭露新一代的Snapdragon處理器。</p> <p>Amon認為高通不只是推動AI PC發展，也將帶動邊緣裝置上的AI發展。「高通的目的是將AI推論能力帶到每個裝置設備上」，他說。</p> <p>高通的野心不只是AI PC，也計畫擴展至資料中心市場，相較於先前進入資料中心市場失利，此次瞄準AI資料中心，CPU與AI如何高效及低耗電運作，Amon並沒有公布細節，僅預告高通將擴展進入資料中心。不過，昨日Nvidia發表NVLink Fusion，時宣布高通未來的CPU將可以透過NVLink Fusion連接Nvidia GPU，以打造高效能的Nvidia AI Factory。</p> </div></div></div>
2025/5/20 19:40作者蘇文彬https://www.ithome.com.tw/news/169059
【資安日報】5月20日，Pwn2Own競賽首度成功找出VMware ESXi零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由趨勢科技旗下漏洞懸賞專案Zero Day Initiative（ZDI）舉行的漏洞挖掘競賽Pwn2Own，上週末於德國柏林舉辦，從賽事的組別而言，本次新增了AI項目，參賽者找到的零時差漏洞，有四分之一為此類，足見這項領域的重要性。</p> <p>但除此之外，這次參賽者的重點得分項目，不少來自VMware ESXi的資安漏洞，其中一個漏洞為參賽隊伍提供多達15個積分、15萬美元獎金。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169053"><strong style="font-size: 22px;">針對台積電供應鏈業者萬潤遭駭，勒索軟體駭客組織Bert聲稱從中竊得5 TB內部資料</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/1747734990692.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1747734990692.jpg" style="width: 300px; float: right;" /></a></p> <p>上個月專門研發半導體製程設備、被動元件製程設備、LED製程設備的萬潤科技在股市公開觀測站發布資安重訊，表示有資訊系統遭受網路攻擊的情況，由於萬潤是台積電的先進封裝技術供應鏈廠商，後續發展引起國內新聞媒體的高度關注，近期有駭客組織聲稱，這起事故是他們所為。</p> <p>根據聯合新聞網、經濟日報、民視新聞網等各家媒體報導，新興勒索軟體駭客組織Bert於5月16日聲稱是他們所為，並公布12張內部檔案的截圖，提供部分資料的下載連結。駭客號稱，手上握有超過5 TB萬潤的內部資料，揚言將在數日後公布其他內容。</p> <p>對此，17日萬潤緊急對媒體提出說明，並於18日在股市公開觀測站發布重大訊息澄清此事，表示駭客取得資料未涉及機密，公司營運正常且資安防護已強化，對客戶服務與訂單交付均無影響。</p> <p><a href="https://www.ithome.com.tw/news/169016"><strong style="font-size: 22px;">Check Point揭露新型AI駭客兵團雛型</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/PG_F5819.jpeg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/PG_F5819.jpeg" style="width: 300px; float: right;" /></a></p> <p>Check Point在RSAC 2025發布的AI安全報告，揭露多種正在暗網興起的AI犯罪服務（Evil AI as a Service），其執行長Nadav Zafrir更進一步示警，隨著AI代理程式（AI Agent）的興起，有心人士更有可能進一步發展出具備高度自主能力的AI駭客兵團，足以發動更個人化、更自動化、更即時性、更具威脅性的大規模攻擊。</p> <p>生成式AI與AI代理程式成為攻擊者的新武器之後，將會對網路攻擊帶來根本性的改變。Zafrir指出，過往要做到上述的自動化攻擊情境相當困難，除了需要投入大量資源，還要耗時數月甚至數年，這麼長的準備時間很容易讓防守方有足夠的時間反應而功虧一潰。然而，現代AI惡意程式不再需要回傳指令至C2後端控制中心，一旦防線被攻破，AI惡意程式將會自主運作，不需要依賴後端控制，攻擊行動可能在幾天內就能結束。</p> <p>再者，這種攻擊方式一旦創造出擬真的數位分身後，就可以利用偽造的數位分身進行惡意行為，而不再需要利用真實的受害者。因此，吊詭的是一旦偽造的數位分身產生了，如果沒有被識別出來，即使受害者擁有正確的資安習慣與資安防護，即便所有資安防護系統都正常運作，也無濟於事。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="http://thehackernews.com/2025/05/rvtools-official-site-hacked-to-deliver.html">系統資源分析工具RVTools網站遭駭，被用於散布惡意軟體Bumblebee</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/microsoft/new-defendnot-tool-tricks-windows-into-disabling-microsoft-defender/">惡意軟體Defendnot冒充防毒軟體而來，並停用Windows內建防毒</a></strong></p> <p><strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/microsoft/new-defendnot-tool-tricks-windows-into-disabling-microsoft-defender/"></a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/fake-keepass-password-manager-leads-to-esxi-ransomware-attack/">勒索軟體駭客提供密碼管理工具為誘餌，意圖對VMware虛擬化環境下手</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/05/ransomware-gangs-use-skitnet-malware.html">勒索軟體駭客利用惡意軟體Skitnet進行遠端存取、竊取資料</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169047"><strong style="font-size: 22px;">WordPress存在可洩露未公開草稿標題的漏洞，10億網站曝險</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/exploitation-of-the-oracle.jpeg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/exploitation-of-the-oracle.jpeg" style="width: 300px; float: right;" /></a>資安業者Imperva指出，他們在WordPress平臺發現資安弱點（研究人員未透露漏洞編號），一旦攻擊者利用特製的XMLRPC酬載，就可能洩露所有不公開文章及草稿的標題。由於全球有超過10億網站使用WordPress架設，因此這樣的問題帶來的影響可能會相當嚴重。他們通報此事，WordPress已完成修補。</p> <p>針對上述提及的資安弱點，Imperva表示源自於名為XMLRPC的功能，問題存在於被引用的部落格驗證URL是否存在的過程，若是來源只有提供URL片段，就有可能觸發問題，因為這時部落格會使用正規表示式搜尋資料庫所有的文章內容，同時也包含未公開的內容及草稿。研究人員將這項弱點稱為「神諭（Oracle）」。</p> <p><a href="https://www.ithome.com.tw/news/169043"><strong style="font-size: 22px;">Linux程式庫Glibc存在重大漏洞，恐被用於執行任意程式碼</strong></a></p> <p>5月16日GNU C程式庫（glibc）的開發團隊發布資安公告，指出該程式庫存在重大層級的資安漏洞CVE-2025-4802，一旦遭到利用，針對靜態編譯的setuid二進位檔案呼叫dlopen功能的過程，攻擊者就有機會控制載入的動態共用程式庫，從而載入惡意程式庫的程式碼，CVSS風險達到9.8分（滿分10分），影響2.27以上的版本，該團隊於去年1月下旬推出的2.39版修補這項漏洞。由於glibc廣泛用於各種Linux作業系統，這樣的漏洞帶來的後續效應相當值得留意。</p> <p>針對這項漏洞發生的原因，在於不受信任的LD_LIBRARY_PATH環境變數，導致靜態連結的setuid二進位檔案呼叫dlopen功能的過程，可能會在確認要載入的程式庫名單時，不正確地搜尋LD_LIBRARY_PATH變數，使得攻擊者能載入他們控制的程式庫程式碼。值得留意的是，無論setuid二進位檔案是在setlocale功能之後透過內部dlopen呼叫，還是呼叫NSS功能，都可能曝險。</p> <p><a href="https://www.ithome.com.tw/news/169046"><strong style="font-size: 22px;">開源API工具Insomnia曝重大漏洞，恐被用於範本注入攻擊</strong></a></p> <p>開源API用戶端工具Insomnia存在重大層級的範本注入（Template Injection）漏洞。該漏洞編號CVE-2025-1087，主因是Insomnia在處理用戶輸入的模板字串時，未進行充分驗證，導致攻擊者可透過特製輸入執行任意JavaScript程式碼，增加應用程式受攻擊風險。Kong已針對11.0.2以上版本發布安全更新，建議所有用戶儘速升級至新版以確保安全。</p> <p>該漏洞CVSS 4.0風險評分達9.3，為重大等級。攻擊者如能誘導用戶互動並處理含惡意模板字串的資料，便能於應用程式端執行任意JavaScript程式碼，導致敏感資訊外洩、資料竄改或其他未經授權操作。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/mozilla-fixes-firefox-zero-days-exploited-at-hacking-contest/">Mozilla修補Pwn2Own漏洞挖掘競賽找到的零時差漏洞</a></strong></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169049"><strong style="font-size: 22px;">漏洞挖掘競賽Pwn2Own Berlin 2025找出VMware ESXi漏洞，最高抱走15萬美元獎勵</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Day%2B3%2BLeaders.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Day%2B3%2BLeaders.jpg" style="width: 300px; float: right;" /></a>漏洞挖掘競賽Pwn2Own Berlin 2025於5月15日至17日於德國首都柏林舉行，比賽結果出爐，本次參賽選手總共找到28個零時差漏洞，並抱走1,078,750美元獎金，其中有7個漏洞來自AI組別。</p> <p>本次競賽的抓漏大師（Master of Pwn）得主，是來自新加坡的資安業者STAR Labs SG組成的團隊奪得，他們總共得到35點積分，並抱走32萬美元獎金。第二、第三名分別為Viettel Cyber Security、Reverse Tactics團隊，他們分別得到15.5及11.25個積分，以及155,000、112,500美元。長年投入Pwn2Own的臺灣資安業者DEVCORE也參與本次賽事，由研究人員Angelboy、Pumpkin於Windows 11、工作站版RHEL找到權限提升漏洞，共得到5個積分、5萬美元獎勵。</p> <p>比較特別的是，這次有不少參賽者針對VMware ESXI、Oracle VirtualBox等虛擬化平臺而來，其中STAR Labs SG隊員Nguyen Hoang Thach第2天賽程於ESXI找到的整數溢位漏洞，一舉得到15個積分，並讓ZDI發出15萬美元的獎金，是整場競賽獎金最高的漏洞。ZDI強調，這是Pwn2Own競賽首度出現的ESXi漏洞。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169032"><strong>【5月19日】惡意NPM套件為藏匿攻擊意圖，濫用Unicode字元、Google行事曆</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168995"><strong>【5月16日】中國駭客、勒索軟體駭客將SAP NetWeaver滿分漏洞用於實際攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168967"><strong>【5月15日】去年中國駭客攻擊臺灣無人機製造商事故，有新的重大發現</strong></a></p> </div></div></div>
2025/5/20 17:53作者周峻佑https://www.ithome.com.tw/news/169054
金管會揭虛擬資產保管業務申請近況！4銀行已送件、金管會6月再開放申請
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>金管會今日在例行記者會中，揭露虛擬資產保管業務試辦的申請近況。截至114年4月底，已有4家金融機構申請辦理虛擬資產保管業務主題式業務試辦，分別是凱基銀行、中國信託銀行、聯邦銀行、國泰世華銀行。另外，金管會創新處處長胡則華表示，考量許多金融機構仍有意參與虛擬資產業務試辦，將在日後持續開放金融業者遞送申請。</p> <p>金管會在2024年11月28日推出虛擬資產保管業務的主題式業務試辦，和發布相關說明資料及問答集，又今年1月1日至4月30日開放金融業者申請試辦。胡則華表示，由於虛擬資產保管業務屬於新型態業務，考量各金融機構規模、經營策略、軟硬體裝置，和人力培訓投入程度不同，為了使金融機構能按自身情況妥適規畫並提出申請，金管會將延長虛擬資產保管業務申請時限，於今年6月15日再度開放受理申請案件。</p> <p>除了已遞送申請的四間業者，胡則華表示，目前尚有一間業者正在接受輔導，為台新銀行。</p> <p>雖然金管會尚未透露更多金融業諮詢的細節，但在近日金融科技創新園區舉辦的活動中，上海商銀也針對虛擬資產保管業務試辦提出了相關規畫，例如以虛擬資產創新實驗室作為主題，透過在金融科技創新園區中建立企業實驗室，和新創業者合作推動虛擬資產保管實證案。上海商銀也在活動中表示，期望能在今年第三季中，完成虛擬資產保管的技術驗證。</p> </div></div></div>
2025/5/20 18:26作者李昀璇https://www.ithome.com.tw/news/169056
紅帽2025年會即將展開，將揭露瞄準代理型AI和推論AI的新戰略
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>紅帽即將舉辦年度產品大會，這一週是滿滿的科技大廠技術年會，微軟Build大會打頭陣，今天則是紅帽年會以及Google I/O。</p> <p>紅帽過去一年的產品發表，滿滿都是GenAI經，在去年5月紅帽年會中，發表了RHEL AI開發者預覽版，將 IBM Granite 開源大型語言模型與 InstructLab 模型對齊工具打包成可啟用的 RHEL 映像，可以支援單機到混合雲部署，來降低 GenAI 門檻。 OpenShift AI也推出2.9，新增了邊緣模型服務、多模型伺服器及Ray分散式工作負載，強化從核心到邊緣的預測與生成式AI的部署彈性。</p> <p>Ansible自動化平臺則宣布在未來版本中導入 Policy as Code，可以使用自動化護欄機制（guardrails）來確保混合雲與 AI 工作負載的一致性與合規。 <br /> 去年7月時， Red Hat推出了OpenShift 4.16版，可以支援虛擬化工作負載與 Metro災難復原、CPU hot-add、單節點 IBU更新等，同時也推出了Advanced Cluster Security Cloud Service正式版。</p> <p>RHEL AI在去年9月9日成為正式版本，整合 Granite LLM + InstructLab，並提供 BYOS 至 AWS／IBM Cloud，後續支援 Azure、GCP。<br /> 紅 OpenShift AI也和Intel 全產品組合，針對 Xeon、Gaudi AI 加速器等硬體完成驗證，提供端到端 AI 解決方案（訓練 / 微調 / 推論）與電源效率優化。</p> <p>去年產品策略聚焦AI 為核心，從 RHEL AI、OpenShift AI 到 AI-RAN、vRAN，Red Hat 去年的新品幾乎都與生成式 AI 或 AI 基礎設施直接相關。而 OpenShift 持續邁向單一平臺通吃VM、容器、AI、RAN的策略。</p> <p>值得關注的是，紅帽去年11月中收購了GenAI新創Neural Magic，獲得了vLLM 推論最佳化與稀疏化技術，可以用來強化Red Hat AI 產品族群在混合雲的LLM 推論效能。</p> <p>GenAI將依舊會是今年發表重點，紅帽如何在去年的GenAI產品布局為基礎，發表進一步的戰略，尤其是今年開始爆紅的代理型AI浪潮，直得期待。</p> </div></div></div>
2025/5/20 19:13作者王宏仁https://www.ithome.com.tw/news/169058
漏洞挖掘競賽Pwn2Own Berlin 2025找出VMware ESXi漏洞，最高抱走15萬美元獎勵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>漏洞挖掘競賽Pwn2Own Berlin 2025<a href="https://www.zerodayinitiative.com/blog/2025/5/14/pwn2own-berlin-the-full-schedule">於5月15日至17日於德國首都柏林舉行</a>，舉辦期間適逢當地舉辦資安會議OffensiveCon，值得一提的是，主辦單位Zero Day Initiative（ZDI）首度在競賽項目列入熱目議題AI。<a href="https://www.zerodayinitiative.com/blog/2025/5/17/pwn2own-berlin-2025-day-three-results">比賽結果出爐</a>，本次參賽選手總共找到28個零時差漏洞，並抱走1,078,750美元獎金，其中有7個漏洞來自AI組別。</p> <p>本次競賽的抓漏大師（Master of Pwn）得主，是來自新加坡的資安業者STAR Labs SG組成的團隊奪得，他們總共得到35點積分，並抱走32萬美元獎金。第二、第三名分別為Viettel Cyber Security、Reverse Tactics團隊，他們分別得到15.5及11.25個積分，以及155,000、112,500美元。長年投入Pwn2Own的臺灣資安業者DEVCORE也參與本次賽事，由研究人員Angelboy、Pumpkin於Windows 11、工作站版RHEL找到權限提升漏洞，共得到5個積分、5萬美元獎勵。</p> <p>比較特別的是，這次有不少參賽者針對VMware ESXI、Oracle VirtualBox等虛擬化平臺而來，其中STAR Labs SG隊員Nguyen Hoang Thach<a href="https://www.zerodayinitiative.com/blog/2025/5/16/pwn2own-berlin-2025-day-two-results">第2天賽程</a>於ESXI找到的整數溢位漏洞，一舉得到15個積分，並讓ZDI發出15萬美元的獎金，是整場競賽獎金最高的漏洞。ZDI強調，這是Pwn2Own競賽首度出現的ESXi漏洞。</p> <p>另一組讓ZDI發出超過10萬獎金的漏洞，也與ESXi有關。Reverse Tactics隊員Corentin BAYET於<a href="https://www.zerodayinitiative.com/blog/2025/5/17/pwn2own-berlin-2025-day-three-results">最後一天賽事</a>裡，公布兩個ESXi漏洞，其中的整數溢位弱點相當獨特，但另一個未初始化的參數使用弱點與先前的項目衝突，並未拿下分數。整數溢位漏洞讓Corentin BAYET得到11.25個積分、112,500元美金，並讓該隊排名第三。</p> <p>至於獎金第3高的漏洞，出現在微軟SharePoint。Viettel Cyber Security隊員Dinh Ho Anh Khoa結合了身分驗證繞過漏洞、不安全的反序列化漏洞，成功對SharePoint下手，得到了10個積分與10萬美元。</p> </div></div></div>
2025/5/20 15:48作者周峻佑https://www.ithome.com.tw/news/169049
針對台積電供應鏈業者萬潤遭駭，勒索軟體駭客組織Bert聲稱從中竊得5 TB內部資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上個月專門研發半導體製程設備、被動元件製程設備、LED製程設備的<a href="https://ithome.com.tw/tags/%E8%90%AC%E6%BD%A4">萬潤科技</a>在股市公開觀測站<a href="https://ithome.com.tw/news/168545">發布資安重訊</a>，表示有資訊系統遭受網路攻擊的情況，由於萬潤是台積電的先進封裝技術供應鏈廠商，後續發展引起國內新聞媒體的高度關注，近期有駭客組織聲稱，這起事故是他們所為。</p> <p>根據<a href="https://udn.com/news/story/7240/8746911">聯合新聞網</a>、<a href="https://money.udn.com/money/story/5613/8746158">經濟日報</a>、<a href="https://www.ftvnews.com.tw/news/detail/2025517W0003">民視新聞網</a>等各家媒體報導，新興勒索軟體駭客組織Bert於5月16日聲稱是他們所為，並公布12張內部檔案的截圖，提供部分資料的下載連結。駭客號稱，手上握有超過5 TB萬潤的內部資料，揚言將在數日後公布其他內容。</p> <p>對此，17日萬潤緊急對媒體提出說明，並於18日在股市公開觀測站<a href="http://連結在此 https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=2&SPOKE_TIME=125931&SPOKE_DATE=20250518&COMPANY_ID=6187">發布重大訊息</a>澄清此事，表示駭客取得資料未涉及機密，公司營運正常且資安防護已強化，對客戶服務與訂單交付均無影響。</p> <p>不過，我們也看到國外的威脅情資網站<a href="https://www.hendryadrian.com/ransom-all-ring-tech-co-ltd/">透露駭客宣稱的內容</a>，Bert將All Ring Tech Co., Ltd列於網站，他們公布的截圖當中，多半與財務及業務往來有關，像是資產負債表、增值稅及附加稅費申報表，訂單、成品檢驗記錄、供應商基本資料表、交易銀行資料等。此外，還有一張疑似是設備設計圖的內容。</p> <p>勒索軟體Bert於今年4月開始活動，根據資安業者<a href="https://www.broadcom.com/support/security-center/protection-bulletin/bert-ransomware">賽門鐵克</a>、<a href="https://www.watchguard.com/wgrd-security-hub/ransomware-tracker/bert">WatchGuard</a>的資料，這些駭客作案手法的主要特徵，會利用PowerShell惡意軟體載入工具來停用受害組織的資安防護機制，並進行提升權限，最終載入勒索軟體酬載。截至目前為止，已確認有美國專業服務公司、電子業者，以及土耳其的醫療照護暨藥品業者受害。</p> </div></div></div>
2025/5/20 17:38作者周峻佑https://www.ithome.com.tw/news/169053
Linux程式庫Glibc存在重大漏洞，恐被用於執行任意程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>5月16日GNU C程式庫（glibc）的開發團隊<a href="https://sourceware.org/cgit/glibc/tree/advisories/GLIBC-SA-2025-0002">發布資安公告</a>，指出該程式庫存在重大層級的資安漏洞CVE-2025-4802，一旦遭到利用，針對靜態編譯的setuid二進位檔案呼叫dlopen功能的過程，攻擊者就有機會控制載入的動態共用程式庫，從而載入惡意程式庫的程式碼，<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-4802">CVSS風險達到9.8分</a>（滿分10分），影響2.27以上的版本，該團隊於<a href="https://lists.gnu.org/archive/html/info-gnu/2024-01/msg00017.html">去年1月下旬推出的2.39版</a>修補這項漏洞。由於glibc廣泛用於各種Linux作業系統，這樣的漏洞帶來的後續效應相當值得留意。</p> <p>針對這項漏洞發生的原因，在於不受信任的LD_LIBRARY_PATH環境變數，導致靜態連結的setuid二進位檔案呼叫dlopen功能的過程，可能會在確認要載入的程式庫名單時，不正確地搜尋LD_LIBRARY_PATH變數，使得攻擊者能載入他們控制的程式庫程式碼。值得留意的是，無論setuid二進位檔案是在setlocale功能之後透過內部dlopen呼叫，還是呼叫NSS功能，都可能曝險。</p> <p>不過，利用這項弱點存在特定條件，首先是攻擊者必須在本機利用，並且在靜態setuid應用程式呼叫dlopen的狀態下，就可能導致在搜尋LD_LIBRARY_PATH變數的過程，導向並載入SONAME。開發團隊指出，目前他們尚未發現存在相關弱點的應用程式，但有可能出現在自製的setuid應用程式上，因此他們強烈建議IT人員不要忽視這樣的問題。</p> </div></div></div>
2025/5/20 12:02作者周峻佑https://www.ithome.com.tw/news/169043
WordPress存在可洩露未公開草稿標題的漏洞，10億網站曝險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Imperva指出，<a href="https://www.imperva.com/blog/beware-a-threat-actor-could-steal-the-titles-of-your-private-and-draft-wordpress-posts/">他們在WordPress平臺發現資安弱點</a>（研究人員未透露漏洞編號），一旦攻擊者利用特製的XMLRPC酬載，就可能洩露所有不公開文章及草稿的標題。由於全球有超過10億網站使用WordPress架設，因此這樣的問題帶來的影響可能會相當嚴重。他們通報此事，WordPress已完成修補。</p> <p>WordPress是<a href="https://wordpress.com/blog/2025/04/17/wordpress-market-share/">全球市占最高的內容管理平臺（CMS）</a>，有43%網站由WordPress架設而成，在CMS的領域當中，更是占據61.4%，此外，三分之一的電子商務網站是用WordPress及WooCommerce建置而成。如今駭客不僅屢屢鎖定該平臺的外掛程式挖掘漏洞，也不時傳出專門針對WordPress網站的攻擊行動。</p> <p>針對上述提及的資安弱點，Imperva表示源自於名為XML-RPC的功能，這項功能於2012年12月推出的3.5版WordPress當中，為新建置的網站預設啟用。此功能的主要用途，就是在不同的系統之間提供標準的通訊機制。而更精確地來說，該弱點出現在XML-RPC提供的pingback引用機制，此機制主要是使用者在文章引用其他部落格連結時，WordPress自動對部落格網站進行通知，若是該網站也支援pingback，就會產生類似評論型態的backlink內容。</p> <p>問題存在於被引用的部落格驗證URL是否存在的過程，若是來源只有提供URL片段，就有可能觸發問題，因為這時部落格會使用正規表示式搜尋資料庫所有的文章內容，同時也包含未公開的內容及草稿。研究人員將這項弱點稱為「神諭（Oracle）」。</p> </div></div></div>
2025/5/20 14:53作者周峻佑https://www.ithome.com.tw/news/169047
開源API工具Insomnia曝重大漏洞，恐被用於範本注入攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Kong揭露其開源API用戶端工具Insomnia於11.0.2版本之前存在嚴重模板注入（Template Injection）漏洞。該漏洞編號<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-1087">CVE-2025-1087</a>，主因是Insomnia在處理用戶輸入的模板字串時，未進行充分驗證，導致攻擊者可透過特製輸入執行任意JavaScript程式碼，增加應用程式受攻擊風險。Kong已針對11.0.2以上版本發布安全更新，建議所有用戶儘速升級至新版以確保安全。</p> <p>Insomnia是一套廣泛應用於API設計、偵錯與測試的跨平臺開源工具，支援REST、GraphQL、WebSockets、gRPC等多種通訊協定，受不少開發者採用。用戶可透過直覺介面進行API除錯、管理設計規範、執行測試腳本，並支援多種協作模式及本地、雲端、Git等儲存方式，兼顧敏感資料的本地管理與團隊協作彈性。由於具高度擴充性，若缺乏嚴謹輸入驗證，易成為攻擊者利用漏洞的途徑。</p> <p>根據Kong公告，該漏洞屬於高風險，CVSS 4.0評分達9.3，為嚴重等級。攻擊者如能誘導用戶互動並處理含惡意模板字串的資料，便能於應用程式端執行任意JavaScript程式碼，導致敏感資訊外洩、資料竄改或其他未經授權操作。</p> <p>根據CVE記錄，此漏洞涉及輸入驗證不當（CWE-20）與程式碼生成控制不當（CWE-94）兩項常見弱點。Kong已發布修補建議，所有Insomnia用戶應盡快升級至11.0.2或更新版本，如需進一步技術細節與升級指引，可參閱官方<a href="https://github.com/Kong/insomnia">GitHub</a>專案頁面。</p> </div></div></div>
2025/5/20 16:19作者李建興https://www.ithome.com.tw/news/169046
Rust十周年發布1.87.0版強化匿名管道與安全函式庫設計
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在Rust語言迎來十周年之際，<a href="https://blog.rust-lang.org/2025/05/15/Rust-1.87.0/">Rust開發團隊發布1.87.0版本</a>，呈現過去十年發展成果，也再次強調對安全、現代化與高效能系統程式設計的持續投入。此版本新增標準函式庫對匿名管道（Anonymous Pipes）的支援，並將部分僅因目標指令集限制而需unsafe操作的架構內建函式，納入安全語境，讓開發者能以更簡潔且安全的方式撰寫程式碼。</p> <p>本次Rust 1.87.0的重要更新，是標準函式庫正式加入對匿名管道的支援。開發者現在可以直接使用std::io::pipe函式來建立管道，將std::process::Command的stdout與stderr整合到同一通道，方便一次處理所有輸出資料。這項改進無需額外建立執行緒，也不必依賴平臺專屬API，讓跨平臺子程序之間的資料交換更加簡單，並減少過去處理大量標準輸出和錯誤時的複雜度。</p> <p>另一項重點是安全架構內建函式的調整。從1.87.0起，許多過去因需要啟用特定指令集例如AVX2，必須寫成unsafe的std::arch架構內建函式，現在於啟用這些指令集的情況，可以在安全程式碼中直接使用，例如當電腦支援AVX2，開發者便能在程式主要邏輯中，直接且安全地使用這些高效能指令，不需要再用unsafe區塊。這項變更讓高效能運算的開發更安全，也讓程式維護更容易。</p> <p>同時，行內組合語言（Inline Assembly）asm!巨集功能進一步擴充，現允許從組合語言區段跳轉至Rust程式內的標籤區塊，這讓低階系統開發更加彈性，對於像作業系統核心、嵌入式裝置或需要與硬體密切互動的應用來說，更容易實現高效的控制流程。</p> <p>此外，這次更新也讓型別系統更強大。當在trait定義中使用impl Trait來指定回傳型別時，現在可以更精確地捕捉泛型參數和生命周期。這表示開發者在設計抽象型別時有更多彈性，也能確保泛型應用時的型別安全，讓程式結構更清楚，維護起來也更容易。</p> <p>在平臺支援方面，Rust團隊宣布移除Tier 2目標平臺i586-pc-windows-msvc。該平臺與主流i686-pc-windows-msvc的主要差異在於是否要求SSE2指令集，從Windows 10起已全面要求SSE2，官方建議使用者搬遷至i686-pc-windows-msvc，以確保與現行Windows系統的相容性。</p> <p>Rust自2015年1.0版釋出以來，持續維持穩定的發行節奏，積極回應開發社群需求。十年來，Rust廣泛應用於作業系統、瀏覽器、網路基礎設施與嵌入式領域，並以記憶體安全、零成本抽象（Zero-cost Abstractions）及現代語言設計等特性，獲得全球軟體開發者的信任與採用。</p> </div></div></div>
2025/5/20 17:01作者李建興https://www.ithome.com.tw/news/169048
歐盟漏洞資料庫EUVD上線，儀表板可快速檢視9分以上重大漏洞、新遭利用漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歐盟網路安全管理署（ENISA）在5月13日宣布，<a href="https://euvd.enisa.europa.eu/">歐盟漏洞資料庫EUVD</a>正式上線，全名是European Vulnerability Database，這是一個互連資料庫，目標是確保來自不同來源的公開漏洞資訊得以互通，同時採用CVE編號與EUVD編號。這意味著，資安人員日後要查找漏洞資訊，除了可以透過原有的美國漏洞資料庫（NVD），現在也能透過EUVD網站來查找。</p> <p>近期漏洞資料庫的消息之所以特別受到資安界關注，是因為原本受全球仰賴的CVE資料庫傳出可能停擺的消息，主要是美國總統川普大砍行政預算，使得美國國土安全部，未能與負責維護CVE資料庫的非營利組織MITRE續約，雙方合約的到期日為4月16日，幸好後續由美國網路安全暨基礎設施安全局（CISA）提供資金。</p> <h3><strong>類似美國NVD漏洞資料庫，確保歐盟的數位主權</strong></h3> <p>具體而言，CVE計畫是從1999年啟動，其設計目的就是提供全球安全漏洞一致的編號，不只MITRE可以分配CVE漏洞編號，身為CVE Numbering Authority（CNA）計畫的成員也能指派，涵蓋全球來自39個國家的353個CNA成員，當中不僅包括蘋果、Amazon、Google、微軟或眾多資安業者，臺灣也有TWCERT/CC與12家廠商成為CNA，而歐盟ENISA亦於2024年1月成為CNA。</p> <p>特別的是，ENISA在歐盟網路與資訊安全2指令（NIS2）的要求下，從去年6月著手開發EUVD，類似於美國的國家漏洞資料庫（NVD）。</p> <p>直到最近MITRE維運CVE出現狀況，才加快EUVD項目腳步，於今年4月展開封閉測試，5月正式上線。至此，EUVD所扮演的角色也從著重歐盟地區擴大到全球。</p> <p>ENISA說明，EUVD的主要目標，是匯集並確保來自多個來源的公開漏洞資訊可以互通，包括國家電腦安全事件應變小組（CSIRT）、廠商以及現有資料庫的內容。而為了實現更好的漏洞資訊管理與分析，EUVD表示當中採用Vulnerability-Lookup開源軟體，以協助漏洞的關聯性查找，從而強化網路資安風險管理。</p> <p>從EUVD漏洞資料庫的首頁介面來看，我們即可看到提供了3種類型資訊的儀表板，第一，是CVSS風險評分超過9分的重大漏洞；第二，是已被利用（Exploited）的漏洞；第三，是來自EU CSIRT協調的安全漏洞。此外，EUVD不僅採用CVE編號，每個CVE編號還會有相對應的EUVD編號。</p> <p>ENISA解釋，EUVD編號是建立在CVE編號系統之上，如果某個漏洞已符合CVE的編號範圍，就會採用CVE編號，而EUVD則是用來整合並強化漏洞資訊。</p> <p>從另一個角度看，這或許是因為CVE編號是由美國MITRE及CNA網路管理，EUVD則是由歐盟管理，確保歐盟的數位主權；此外，有些漏洞不屬於CVE的收錄範圍，但可能會被列入EUVD；歐盟也可能需要透過EUVD收錄與追蹤來自歐盟成員國，或者是對歐盟影響重大的安全漏洞。</p> <p>ENISA表示，該組織正與MITRE聯繫，以了解有關CVE的後續發展與影響，而且不管是CVE資料，或是由ICT供應商所提供的資料，都會自動轉移至EUVD。</p> <p>另一方面，放眼日本與臺灣方面，過去兩者推出的漏洞揭露平臺，內容較側重於在地CERT組織發布的漏洞資訊，例如，JPCERT/CC於2003年推出<a href="https://jvn.jp/en/index.html">「JVN漏洞揭露平臺」</a>，漏洞清單以JVNDB編號為主，多數可對應CVE編號，TWCERT/CC於2016年成立<a href="https://www.twcert.org.tw/tw/lp-132-1.html">「TVN台灣漏洞揭露平台」</a>，公布漏洞幾乎都有TVN編號與CVE編號。因此這兩者並非定位為漏洞資料庫，不像歐盟EUVD會將所有CVE集中收錄。文⊙陳曉莉、羅正漢</p> <p><a href="https://s4.itho.me/sites/default/files/images/（主圖）EUVD漏洞資料庫FULL.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89EUVD%E6%BC%8F%E6%B4%9E%E8%B3%87%E6%96%99%E5%BA%ABFULL.jpg" style="width: 600px;" /></a></p> <p><span style="color:#696969;"><strong>在<a href="https://euvd.enisa.europa.eu/">歐盟漏洞資料庫EUVD網站</a>上，其首頁儀錶版介面相當直覺，我們即可快速檢視3大類資訊，包含：CVSS風險評分超過9分的重大漏洞（上圖的左上部分）、已被利用Exploited的漏洞（上圖的右上部分）、第三，EU CSIRT協調的安全漏洞（上圖的下方部分）。</strong></span></p> <p> </p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖3）EUVD.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89EUVD.jpg" style="width: 600px; height: 322px;" /></a></p> <p><span style="color:#696969;"><strong>由於EUVD匯集並確保來自多個來源的公開漏洞資訊可以互通，因此所有美國NVD公開的漏洞資訊這裡也找得到，若要進一步搜尋，我們也能在介面上點選「Full vulnerability list」，進一步透過搜尋條件快速查找更多相關資訊。</strong></span><br /> </p> <h2 class="rtecenter"><span style="color:#0099ff;"><b>日本JVN與臺灣TVN</b></span></h2> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1）JVN.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89JVN.jpg" style="width: 295px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/（圖2）TVN.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89TVN.jpg" style="width: 295px;" /></a></p> <p><strong>在日本與臺灣方面，由<a href="https://jvn.jp/en/index.html">日本JPCERT/CC與IPA共同維運的JVN日本漏洞揭露平臺（Japan Vulnerability Notes）</a>，其介面呈現以JVNDB編號為主，點選項目後可發現多數能對應CVE編號，但也有少部分僅有JVNDB編號；在臺灣，TWCERT/CC也有推出<a href="https://www.twcert.org.tw/tw/lp-132-1.html">TVN台灣漏洞揭露平台（Taiwan Vulnerability Note</a>），這裡幾乎都是由TWCERT/CC指派的漏洞，主要推動原因是臺灣業者之前在產品漏洞修補的觀念較為不足，以及研究人員發現漏洞卻無法聯繫到臺灣原廠，因此提供通報上協助，特別的是，近期我們也看到有些漏洞是資安院研究人員發現並通報。</strong></p> <p> </p> </div></div></div>
2025/5/20 11:14作者羅正漢https://www.ithome.com.tw/news/169037
從IT現代化轉向AI推論需求，博通亞太高層揭露VMware策略如何瞄準GenAI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>IT現代化是企業數位轉型的前一波焦點，尤其是雲原生技術和在K8s容器化技術的採用，是資訊基礎架構最重要的轉型方向。但在生成式AI爆紅之後，隨之而來的代理型AI應用快速崛起，甚至掀起一股，未來每一個應用系統都是生成式AI的應用，這也帶來了軟體開發與資訊基礎架構維運的新課題。</p> <p>但在這一波生成式AI浪潮中，在資訊基礎架構技術產業中，除了三大公雲積極帶頭擁抱生成式AI之外，其餘資訊基礎架構業者，對於生成式AI技術的著墨較少，尤其是過去高度聚焦IT現代化需求的傳統虛擬化龍頭VMware產品，如何因應生成式AI浪潮，Broadcom（博通）亞太與日本區總裁Sylvain Cazard日前來臺，對臺灣企業說明VMware產品的下一波方向。 </p> <p>博通在2023年11月完成VMware併購後，隔年7月賣掉了用戶端運算業務（End-user Computing），專注於私有雲軟體產品的發展。當博通收購VMware時，就包括了三個開發中的VCF版本（2024年7月版，2025年3月版和2025年7月版），除了部分在2024年發布，其餘計畫於今明兩年推出。</p> <p>VMware相關產品現在已經是博通基礎架構產品的主力，從博通年度總淨收入就可以看到VMware的影響。博通年度總淨收入中，基礎架構軟體部門的比重，從2023會計年度的21%，在2024年度幾乎翻倍增加到42%的比例，金額也從76億多美元，大幅提高到214億多美元，增加的收入主要來自VMware的貢獻。</p> <p>過去一年多來，博通一方面將VMware相關產品的銷售模式，轉為訂閱制，另一方面也大力簡化產品組合。目前VCF銷售策略採取訂閱制，可支援軟體授權移動，可在內部資料中心和雲端環境中轉移，來提高對混合雲架構的支援。</p> <h3><span style="color:#FF0000;"><strong>今年第一季已有60%企業轉換到訂閱制</strong></span></h3> <p>根據今年初，博通第一季電話會議揭露的數據，博通基礎架構軟體業績，在第一季達到67億美元，比前一年增加了快5成，主要來自將永久授權轉換成完全訂閱制的銷售，目前有60％企業顧客已經轉換到訂閱制。永久授權的產品主要是vSphere，博通現在則力推用於全資料中心虛擬化的VCF產品。統計到2025年第一季，用量最多的前1萬家企業顧客中，已有70%採用VCF。Sylvain Cazard補充，臺灣也有大型銀行，政府機構開始導入VCF，臺灣企業市場正處於轉換到訂閱制的過渡階段。</p> <p>不過，在博通宣布VMware轉為訂閱制後，後續軟體授權相關做法，往往成為眾人關注的焦點，過去一年來，<a href="https://www.ithome.com.tw/news/168416">引發了幾次授權熱議的</a>事件。</p> <p>博通很清楚，資料中心虛擬化需求的變化，決定了博通軟體業務的發展，越多企業將運算工作負載轉移到公雲，就會限制本地資料中心虛擬化產品的市場規模。</p> <p>博通預估，隨著大型企業導入AI，需要在本地端資料中心執行AI工作負載，包括GPU伺服器和傳統CPU。博通和Nvidia合作，打造了一個VMware Private AI Foundation軟體產品，讓VCF也將成為GPU虛擬化的通用平臺，讓企業能像運在傳統CPU虛擬化一樣，在本地端部署AI模型來處理自己的資料。目前有39家企業採用這套新軟體產品。</p> <p>Sylvain Cazard表示，不只臺灣，全球各地的企業都在重新平衡公雲和私有雲策略，尤其是政府，銀行和電信業者，為了資料主權考量和成本考量，重新聚焦私有雲的發展。</p> <p>他觀察，一方面因為，將應用程式搬遷到雲端的複雜度很高，另一方面是因為生成式AI浪潮，企業有機敏資料的考量，所以，「企業想要讓私有雲增加生成式AI的能力，來測試GenAI的價值。」換句話說，對私有雲來說，就需要同時執行傳統CPU的應用和容器化的應用，以及最新的生成式AI應用需求。</p> <h3><span style="color:#FF0000;"><strong>目標是像管理CPU一樣地管理GPU</strong></span></h3> <p>Sylvain Cazard認為，不論是想要測試AI案例，或要支援適合的成熟GenAI應用，企業需要像是管理CPU工作負載般的能力，來管理GPU工作負載，包括了在資安、備份、調度等方面的管理能力。</p> <p>「博通的挑戰是，要滿足具有這類需求的企業，來提供一套企業等級的平臺，不只能支援Nvidia GPU，還要能用API來運用市場上各種不同的LLM。」他強調。</p> <p>Sylvain Cazard 觀察，企業目前常見GAI用法是，訂閱公雲業者提供的大型語言模型，再將模型放到地端私雲環境中，進行微調和優化。一種做法會採用整套式的NvidiaGPU產品，另一種做法是各種他廠伺服器中搭載GPU。目前常見的私有企業AI架構，可分成兩大類用途，一類是完全整合到CUDA架構，完全靠Nvidia來打造企業AI。另一種是則用於推論端的工作架構。</p> <p>因為VMware產品本來就具備GPU虛擬化的技術，VCF可以直接提供GPU虛擬化，例如一個叢集有16個GPU節點，VCF可以讓不同需求共享這些GPU資源，用於訓練或用於推論，等於可以優化企業的GPU利用。Sylvain Cazard表示：「不少企業看上這一項能力而開始轉向VCF，臺灣有不少企業如此。」</p> <p>不過，Sylvain Cazard認為，雖然企業對GPU的需求提高了，但有些模型只需要CPU處理就夠用，如何分配算力需要經驗。再加上，訓練模型，需要一定的資料處理技巧和人員能力。「我們認為市場發展還不會那麼快，企業可以先用VCF打造自己的架構，用企業原本就熟悉的資安管理做法，來使用GPU資源。VCF可以讓你像使用CPU算力一樣地用GPU算力。」</p> <p>他舉例，臺灣有家超大型高科技業者，就是用VCF來將GPU叢集虛擬化。過去是要針對不同部門來分配不同的叢集，現在可以依照使用時間來切割使用權，讓GPU資源取用也能達到多租戶的效果。</p> <p>VCF的目標不只如此，傳統的AI應用多半在VM中執行，而新興的生成式AI則慣用容器來執行。「可以讓這兩種需求取得CPU和GPU資源，不需要兩套平臺。」Sylvain Cazard表示：「推論是企業未來主要的AI工作負載，這是CPU也能做到的工作。」不過，他認為，企業AI需求的爆發潮，可能還要1、2年，現在還是非常早期的階段。</p> <p>2年前，VMware和Nvidia合作發表的這套VMware Private AI Foundation，在2024年5月釋出正式版，這就是一套VCF的外掛模組。</p> <p>今年，博通即將推出新一代的VCF 9版，產品定位的價值一樣鎖定了企業算力需求，VCF 9新版的主要API也會開放，可以用來整合各種新興的開源模型。而VMware Private AI Foundation發展藍圖也將瞄準企業未來的推論需求趨勢，成為一個中間層，連結各種基礎架構資源，讓企業整合到不同的大型語言模型。</p> <p>雖然代理型AI今年爆紅，不過，Sylvain Cazard表示，VCF不會特別支援半年多前爆紅的MCP，「我們不會特別鎖定一項技術來發展，而是瞄準企業一直存在的私有資料保護需求。未來將會有各種優化模型和提示的方法，關鍵是在，這都要在私有雲環境中執行。」</p> <p>Sylvain Cazard 表示，VMware的產品策略是，盡可能對不同需求進行優化，讓資源盡可能地開放，企業可以靠慣用的管理方式、安全機制和平臺來管理這些算力資源。</p> <p>目前VMware則正嘗試用GenAI改善對顧客支援，讓技術支援更簡單易用，「就像銀行客服一樣，我們想要用GenAI提供更準確的回答給顧客，這是我們運用GenAI的第一優先重點。」他說。</p> <p>例如一款產品版本升級時，如何評估對其他產品相容性的影響，這類資料分散在不同的來源，過去得靠專家彙整才能提供意見，博通希望可以整合這些答案，更快速提供給顧客。</p> <p>除此之外，VCF未來也會提供一個對話式的除錯平臺，因為不少企業將運算、儲存、網路都透過VCF平臺來管理，遇到故障當機，經常尋求VMware的支援服務，VMware擁有許多不同基礎架構不同層面的除錯經驗，博通將整合過去累積的大量案例，來打造這個除錯平臺。</p> <p> </p> </div></div></div>
2025/5/20 15:48作者王宏仁https://www.ithome.com.tw/news/169050
Docker要以安全映像檔防護企業生產環境容器
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.docker.com/blog/introducing-docker-hardened-images/">Docker公布新安全映像檔（Docker Hardened Images，DHI）類型</a>，以預設安全為核心設計，進一步提升企業生產環境的容器安全性。該功能主打精簡映像檔內容、減少攻擊面，並強化自動化漏洞修補能力，目標是提供雲端原生應用可靠的執行基礎。</p> <p>根據Docker官方說明，DHI並非僅僅對現有映像檔進行瘦身或簡化，而是採取自下而上的安全設計。映像檔僅保留執行應用所需的最小相依元件，移除如Shell、套件管理工具及除錯工具等非必要元件，使映像檔的攻擊面較傳統基底映像檔減少達95％。透過精簡內容，不僅降低駭客入侵風險，同時也提升啟動效率，讓維護作業更為單純。</p> <p>在支援度方面，DHI相容於開發人員常用的Alpine、Debian等發行版，開發團隊僅需於現有Dockerfile中調整基底映像檔名稱，即可升級至安全強化版本，無需大幅調整開發流程或更換既有工具。Docker同時強調，新映像檔仍保有彈性，開發者可依需求安裝必要套件、憑證或自訂設定，在確保安全的前提下兼顧開發彈性。</p> <p>DHI強調與多家安全與DevOps平臺合作，包括微軟、NGINX、Sonatype、GitLab、Wiz、Sysdig等，確保映像檔能與現有的漏洞掃描工具、註冊庫及CI/CD流程順利整合，方便團隊導入並落實端到端的供應鏈安全控管。Docker也透過SLSA Build Level 3建置流程，確保映像檔來源可追蹤，並附有完整驗證機制。</p> <p>針對企業關注的漏洞修補，DHI採自動化持續修補機制。Docker團隊主動監控所有上游相依元件及作業系統套件的CVE資訊，當有重要安全更新時，映像檔會自動重建並通過測試後發布。根據官方承諾，針對重大與高風險CVE，最快可在七天內完成修補並推送新版本，協助企業即時因應外部威脅，降低安全團隊負擔。</p> <p>Docker表示已在公司內部多個專案導入DHI。以Node.js應用為例，僅透過調整映像檔，即可將已知漏洞數降為零，套件數亦大幅減少98％，有效簡化維運流程並降低潛在風險。</p> </div></div></div>
2025/5/20 14:00作者李建興https://www.ithome.com.tw/news/169041
微軟公布Windows AI Foundry、強化AI Foundry代理人開發工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在Build 2025大會上，除了雲端AI開發工具，<a href="https://blogs.microsoft.com/blog/2025/05/19/microsoft-build-2025-the-age-of-ai-agents-and-building-the-open-agentic-web/" target="_blank">微軟宣布Windows AI Foundry 給桌機AI程式的開發人員</a>。</p> <p>對許多開發人員來說，Windows還是最普及的開發平臺。Windows AI Foundry即是為了提供AI應用程式的開發生命周期管理。它前身為Windows Copilot Runtime，支援本地端或雲端AI應用完整生命周期，涵括模型選擇、優化、微調和部署開發。</p> <p>Windows AI Foundry重要元件之一是Windows ML。它是Windows 內建AI推論runtime，也是Windows AI平臺的基礎，允許開發人員在AMD、Intel、Nvidia、Qualcomm CPU、GPU、NPU-based機器上，使用或部署自己喜歡的模型。Windows AI Foundry可整合微軟模型目錄（model catalog）稱為Foundry Local，用以管理和執行開源LLM，也可整合第三方的模型目錄如Ollama和Nvidia NIM，以便在本地App中使用、測試模型、或與模型互動。</p> <p>在Copilot+ PC電腦上，Windows AI Foundry將提供AI API，可應用Windows內建模型執行文字、語言和視覺化任務，像是生成文字、圖說、文字辨識或是從圖片中移除某項物件等。微軟宣布新加入低秩適應（LoRA，low-rank-adaption）技術，可用於以自訂資料微調Windows內建小語言模型Phi Silica。此外還宣布了用於語義搜尋和知識檢索的新API，使開發人員得以開發App的自然語言搜尋及檢索擴增生成（retrieval-augmented generation，RAG）功能。</p> <p>微軟另外也宣布Windows 11原生支援MCP（Model Context Protocol）協定，可讓代理人更無礙整合外部資料。</p> <p>而在雲端開發平臺Azure AI Foundry 方面，微軟也宣布了代理人服務（Agent Services）上線，整合現有開源工具Semantic Kernel及AutoGen為單一SDK，支援Agent to Agent（A2A）及MCP協定，以便讓開發者同時使用多個專門化的 AI 代理人，並協調它們完成複雜工作流程，該服務也內建管理工具以確保其效能、成本、品質和安全性。而配合Entra Agent ID，開發人員也能為其在Copilot Studio及Azure AI Foundry中建立的代理人指派獨一的身份，利於管理且免於代理人氾濫的問題。</p> </div></div></div>
2025/5/20 13:13作者林妍溱https://www.ithome.com.tw/news/169045
微軟發表可用自然語言查詢網站內容的開源專案NLWeb
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr"><a href="https://github.com/microsoft/NLWeb" target="_blank">微軟周一（5/19）透過GitHub開源了NLWeb專案</a>，它的全名為Natural Language Web，導入NLWeb的網站將可讓使用者以自然語言查詢網站資料。簡單地說，啟動NLWeb服務之後，網站便可接上如同ChatGPT般的對話介面。</p> <p dir="ltr">NLWeb是由曾發明內容訂閱協定RSS、網頁內容標註標準Schema.org，以及資源描述框架RDF的R.V. Guha所構思及開發，已擔任十多年Google院士的Guha最近加入了微軟，成為微軟院士暨企業副總裁。</p> <p dir="ltr"><a href="https://news.microsoft.com/source/features/company-news/introducing-nlweb-bringing-conversational-interfaces-directly-to-the-web/" target="_blank">根據微軟的說明</a>，NLWeb是利用包括Schema.org與RSS等半結構化的格式，以及網站已發布的其它資料，再透過基於大型語言模型（LLM）的各種工作，來建立可同時供人類及AI代理使用的自然語言介面。</p> <p dir="ltr">每一個NLWeb實例都是一個模型脈絡協定（Model Context Protocol，MCP）伺服器，讓網站得以開放自己的內容，以供其它代理或MCP生態系統的參與者發現及存取。微軟期望NLWeb最終可在新興的代理網頁（Agentic Web）中扮演類似HTML的基礎角色。上述的<a href="https://news.microsoft.com/source/features/company-news/introducing-nlweb-bringing-conversational-interfaces-directly-to-the-web/" target="_blank">MCP是由Claude模型開發商Anthropic所開源的標準</a>，讓AI助理得以透過該協定存取所有資料來源。</p> <p dir="ltr">NLWeb系統可藉由整合底層LLM的外部知識來強化此一結構化的資料，例如在餐廳的查詢中加上地理資訊，以帶來更豐富的使用者經驗。</p> <p dir="ltr">微軟亦強調，作為一個開源專案，NLWeb將保持技術中立，支援所有主流作業系統，也允許開發者自由選擇最適合的元件，涵蓋各種模型與向量資料庫。</p> </div></div></div>
2025/5/20 11:45作者陳曉莉https://www.ithome.com.tw/news/169040
AMD以30億美元出售ZT Systems伺服器製造業務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr"><a href="https://ir.amd.com/news-events/press-releases/detail/1252/amd-announces-agreement-to-divest-zt-systems-data-center-infrastructure-manufacturing-business-to-sanmina" target="_blank">AMD宣布</a>將把去年收購的ZT Systems的資料中心基礎架構製造業務，以30億美元賣給美國製造商Sanmina（新美亞）。</p> <p dir="ltr">Sanmina總部位於美國聖荷西，為EMS解決方案供應商，為OEM提供一站式服務，涵蓋從產品設計、原型開發、印刷電路板（PCB）製造與組裝，到系統整合、供應鏈管理及維修等。</p> <p dir="ltr">本出售案視主管機關審查及其他條件而定，預計2025年底完成。伴隨這樁收購，Sanmina將成為AMD雲端機櫃及叢集等級AI伺服器的新產品導入（new product introduction，NPI）製造合作夥伴。</p> <p dir="ltr"><a href="https://www.reuters.com/business/sanmina-buy-zt-systems-manufacturing-business-amd-3-billion-deal-2025-05-19/" target="_blank">路透社報導</a>，Sanmina支付的30億美元包含22.5億現金，4.5億依財務績效而定的附條件支出（contingent payment）、現金和股票各半的3億美元溢價。</p> <p dir="ltr">消息發布之前，<a href="https://www.amd.com/en/newsroom/press-releases/2025-3-31-amd-completes-acquisition-of-zt-systems.html" target="_blank">今年3月AMD才剛完成ZT Systems的收購</a>。<a href="https://www.amd.com/en/newsroom/press-releases/2024-8-19-amd-to-significantly-expand-data-center-ai-systems.html" target="_blank">AMD於2024年8月宣布收購ZT Systems</a>，旨在取得後者的伺服器系統設計能力，以便打造可以快速且大量部署AI訓練和推論系統方案。當時AMD即已和Sanmina宣布收購ZT Systems伺服器製造業務的計畫。</p> <p dir="ltr">AMD將保留ZT Systems的系統設計和客戶賦能（enablement）團隊。</p> <p dir="ltr">這項合作可強化AMD在美國的伺服器製造能量。AMD表示，未來結合其AI系統設計能力、和Sanmina的新NPI合作，預計可強化機櫃和叢集AI系統的美國製造能力，加速雲端客戶的產品上市時程。</p> </div></div></div>
2025/5/20 11:58作者林妍溱https://www.ithome.com.tw/news/169042
Anthropic推出Claude Code SDK，強化AI助理與自動化開發整合
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Anthropic<a href="https://docs.anthropic.com/en/docs/claude-code/sdk#available-cli-options">推出Claude Code SDK</a>，提供開發者與企業一套可程式化整合Claude AI助理至開發流程的工具。此SDK以命令列介面為基礎，設計目標為協助開發團隊自動化例行任務、簡化開發流程，並拓展人工智慧於實際開發場景的應用範圍。</p> <p>Claude Code SDK支援於各類應用中以子程序方式呼叫Claude AI，涵蓋單次任務執行與多輪對話管理。開發者可透過簡易指令，發送如產生函式、重構程式碼、審查文件等需求，並直接取得純文字、結構化JSON或串流JSON等回應格式。針對需精確控制語境或特定專業角色的應用情境，Claude Code SDK亦提供自訂系統提示功能，使人工智慧能以指定專家身分回應，提升回覆精確度與專業性。</p> <p>在多輪會話管理方面，SDK支援以Session ID持續同一語境，便於開發團隊針對同一專案或議題延續討論。針對高度自動化應用，Claude Code SDK導入MCP（Model Context Protocol）協定，使用戶可安全擴充檔案系統、API存取及GitHub等外部資源。該機制強調明確授權，所有MCP外部工具需經用戶設定後才會啟用，以維護開發流程中的資訊安全。</p> <p>在實務應用層面，開發者可藉由SDK批次處理專案檔案、自動化程式碼審查、產生註解，並可整合CI/CD平臺，實現人工智慧自動生成拉取請求與協助Issue分類。多元輸出格式提供程式化串接彈性，開發者可依需求選擇純文字、結構化資料或串流模式，方便與其他自動化工具或流程整合。</p> <p>Anthropic強調Claude Code SDK具備安全性與彈性設計，明確區分允許與禁止的外部工具，降低自動化流程潛在風險。同時建議用戶於執行長時間或批次任務時，善用逾時與異常處理機制，以確保開發流程穩定可靠。</p> </div></div></div>
2025/5/20 12:15作者李建興https://www.ithome.com.tw/news/169038
NotebookLM行動程式來了
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr"><a href="https://blog.google/technology/ai/notebooklm-app/" target="_blank">Google周一（5/19）釋出了支援Android及iOS的NotebookLM行動程式</a>。</p> <p dir="ltr">Google於<a href="https://www.ithome.com.tw/news/157776" target="_blank">2023年發表的NotebookLM</a>原本只是一個實驗性產品，定位為適合所有人的AI筆記本，它只會利用使用者上傳的資料來作答，包括PDF、文字、網址、聲音或影像等，以快速生成摘要及研究報告，或是回答使用者的提問，去年推出的<a href="https://www.ithome.com.tw/news/164978" target="_blank">語音概要（Audio Overview）</a>更能把各種資料轉變成由兩位AI主持人相互討論的內容，受到外界好評。</p> <p dir="ltr">NotebookLM與一般大型語言模型不同的是，它完全只仰賴使用者所提供的內容，不會出現想像或虛幻的答案。Google說，行動程式是NotebookLM用戶最想要的功能之一，使用者想要隨時隨地收聽Audio Overview，想到時就問問題，以及在瀏覽時直接將內容加入NotebookLM。</p> <p dir="ltr">行動版NotebookLM支援使用者上傳PDF、網站、YouTube影片或文字檔，以讓它們成為使用者信任的資訊來源，也支援Audio Overview，可於背景播放，亦支援離線播放。在Audio Overview播放期間，使用者亦可加入與兩位AI主持人互動，提出想要了解的問題。</p> <p dir="ltr">此外，使用者在行動裝置上查看網站、PDF或YouTube影片時，只要點擊分享，就能選擇分享至NotebookLM，讓它們成為NotebookLM上新的資訊來源。</p> <p dir="ltr">NotebookLM目前已支援包括臺灣在內的逾200個國家，<a href="https://blog.google/technology/google-labs/notebooklm-audio-overviews-50-languages/" target="_blank">Google在今年5月開放使用者</a>設定超過50種的Audio Overview輸出語言，當中也包含中文。</p> </div></div></div>
2025/5/20 12:20作者陳曉莉https://www.ithome.com.tw/news/169044
微軟、GitHub支援Anthropic發起的MCP協定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在Build 2025開發者大會上，<a href="https://blogs.windows.com/windowsexperience/2025/05/19/securing-the-model-context-protocol-building-a-safer-agentic-future-on-windows/" target="_blank">微軟宣布支援AI互通協定MCP（Model Context Protocol）</a>，旗下服務包括GitHub、Copilot Studio、Azure AI Foundry等都加入支援。</p> <p><a href="https://openai.github.io/openai-agents-python/mcp/)及Google (https://cloud.google.com/blog/topics/developers-practitioners/use-google-adk-and-mcp-with-an-external-server" target="_blank">MCP是AI新創公司Anthropic 2024年底開源的技術</a>，主要是提供AI 系統（如代理人）和外部資料源的標準互通協定，使其可存取最新的資料以提供準確的用戶回應或執行任務。<a href="https://openai.github.io/openai-agents-python/mcp/" target="_blank">OpenAI</a>及<a href="https://cloud.google.com/blog/topics/developers-practitioners/use-google-adk-and-mcp-with-an-external-server" target="_blank">Google</a>已先後公布支援MCP的SDK。</p> <p>在Build 2025大會上，微軟宣布Windows 11將支援MCP作為代理人運算的基礎層，指出透過Windows 11支援MCP，將可讓開發人員打造生成式AI及智能應用程式，特別是代理人程式。對開發人員而言，MCP基本上是JSON-RPC over HTTP，提供代理人和應用程式發現存取呼叫工具的標準方法，可無縫協同本地、遠端服務，讓開發人員得以開發一次，各處整合（build once and integrate everywhere）。MCP定義出三種角色，包括MCP主機端（host），像是VS Code等可存取功能的應用程式；MCP客戶端（client），即對MCP server發起呼叫的程式；MCP server，為透過MCP介面曝露特定功能（即檔案系統、語義搜尋、App行為）的輕量服務。</p> <p>微軟進一步強調Windows 11的MCP安全架構規範，要求所有Windows 11開發人員必須遵守，包括MCP Server具備獨特身份（identity）、程式碼必須經過簽章且簽章可否決、所有安全敏感的作業必需由使用者掌握控制權、曝露的介面必須做過安全測試、MCP Server必須執行最小權限原則等，Server要求的權限也必須宣告等。</p> <p>微軟旗下代理人平臺和框架，除了Windows 11，GitHub、Copilot Studio、 Dynamics 365、Azure AI Foundry和Semantic Kernel都會支援MCP。此外微軟和GitHub也將加入MCP指導委員會，以協助MCP的普及。<a href="https://github.com/modelcontextprotocol/registry" target="_blank">微軟並宣布貢獻二種規格</a>，一為<a href="https://den.dev/blog/new-mcp-authorization-spec/" target="_blank">更新MCP授權規格</a>，以便用戶使用現有可信賴的登入方法，使代理人及LLM應用程式得以存取資料服務，像是個人線上硬碟或訂閱服務。其次是MCP server註冊服務，讓所有人都能實作公開或私有的集中化儲存庫（repository）以加入MCP server。</p> <p>在Build大會後未來幾個月，微軟將提供MCP平臺預覽版給開發人員，藉此獲取開發人員意見。</p> </div></div></div>
2025/5/20 10:50作者林妍溱https://www.ithome.com.tw/news/169035
Nvidia要在臺灣打造AI超級電腦，AI性能是Taiwania 2的8倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p dir="ltr">Nvidia創辦人暨執行長黃仁勳準備參與今日（5/20）登場的臺北國際電腦展（Computex Taipei 2025），並於周一（5/19）發表演說，<a href="https://blogs.nvidia.com/blog/computex-2025-jensen-huang/" target="_blank">他說全球AI基礎設施市場規模高達數兆美元</a>，也揭露<a href="https://blogs.nvidia.com/blog/taiwan-research-supercomputer/" target="_blank">要與臺灣政府合作打造AI超級電腦</a>，並宣布<a href="https://blogs.nvidia.com/blog/foxconn-smart-hospital-robot/" target="_blank">強化與富士康的合作</a>，協助富士康打造智慧醫院解決方案。</p> <p dir="ltr">黃仁勳認為，AI現在是基礎設施，如同過去的網路及電力，需要工廠，而這就是Nvidia如今在打造的；這些工廠並不是過去的資料中心，它們是AI工廠，生產的是Token。</p> <p dir="ltr">Nvidia亦將與臺灣國科會轄下國家實驗研究院國家高速網路與計算中心（National Center for High-Performance Computing，國網中心，NCHC）合作，共同建置一座AI超級電腦，估計其AI性能將是臺灣杉二號（ Taiwania 2）的8倍以上。</p> <p dir="ltr">該座落於NCHC的AI超級電腦將由華碩負責建置，配置逾200個Nvidia HGX H200系統，總計搭載超過1,700個H200 GPU；以及兩套Nvidia GB200 NVL72機架系統；一個基於Nvidia Blackwell Ultra平臺建置的Nvidia HGX B300系統；此外，NCHC也計畫在雲端部署一組Nvidia DGX Spark個人AI超級電腦，以及Nvidia HGX系統。</p> <p dir="ltr">其中，Nvidia HGX H200叢集可用來執行大規模AI訓練及高性能運算；Nvidia GB200 NVL72連結36個Grace CPU與72個Blackwell GPU，採用液冷設計，以NVLink互連的GPU可作為單一大型的GPU使用，而替擁有兆級參數的大型語言模型提供30倍的即時推論速度；Nvidia HGX B300被視為是新一代的AI工廠，能夠處理諸如影音生成或3D模擬等高吞吐量的即時生成式AI應用；雲端上的Nvidia DGX Spark為小叢集，適用於研究團隊或中型企業；Nvidia HGX屬於大叢集，可用來訓練及部署生產級模型。</p> <p dir="ltr">此一新的超級電腦將用來支援包括Taiwan AI RAP在內的各種專案。<a href="https://www.nchc.org.tw/Message/MessageView/3960?mid=46&page=1" target="_blank">Taiwan AI RAP是NCHC在今年3月所提出的專案</a>，定位為高效能AI應用開發平臺，它整合了運算能力、生成式AI工具，以及標準化的開發流程，旨在協助各個產業創造符合需求的專屬AI，並開放申請，通過審核的團隊將可獲得價值65萬元新臺幣的免費算力額度。</p> <p dir="ltr">Taiwan AI RAP已展開試營運，第一階段的申請時間已於4月24日結束，第二階段則將於6月16日開放申請，於7月11日截止。有意申請的資訊服務業、新創公司、中小企業或學術單位可提出開發AI產品或服務的規畫以供審核。</p> <p dir="ltr">新的超級電腦也將被應用在<a href="https://www.ithome.com.tw/news/160092" target="_blank">臺灣大型語言模型專案TAIDE</a>、氣候研究與量子研究上。</p> </div></div></div>
2025/5/20 09:13作者陳曉莉https://www.ithome.com.tw/news/169034
開源資料科學工具Anaconda整合AI開發流程推出統一平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>開源資料科學平臺Anaconda宣布推出全新<a href="https://www.anaconda.com/blog/introducing-the-anaconda-ai-platform">Anaconda AI平臺</a>，強調以單一統一平臺協助企業與開發者整合人工智慧及資料科學開發流程，進一步簡化人工智慧專案的管理與執行。該平臺以Python為核心，提供超過4,000個經安全審核的套件，並可透過社群頻道存取超過12,000個開源套件，提供開發者安全、彈性與高治理性的人工智慧開發解決方案。</p> <p>隨著人工智慧應用普及與企業數位轉型推進，許多組織長期受限於工具分散、資安風險增加及投資報酬難以評估等挑戰。Anaconda指出，開發團隊時常因管理函式庫及相依性而耗費大量時間，資安人員也需手動檢查與審核第三方元件，影響專案效率與安全性。根據該公司與Forrester Consulting合作的經濟影響研究，受訪組織採用Anaconda AI平臺後，作業效率提升80％、資安風險降低60％，並於三年內節省17.9萬美元技術成本，投資報酬率達119％。</p> <p>Anaconda AI平臺主打三項核心功能，分別為高度整合的安全套件發行、企業級治理與權限管理，以及資料與套件使用行為的即時分析。用戶可透過單一平臺集中管理人工智慧與資料科學所需的各類工具與函式庫，並結合單一登入及持續弱點掃描落實安全治理。該平臺同時支援組織層級的套件採用追蹤與用量分析，助團隊最佳化開發流程與資源配置。</p> <p>新平臺也針對人工智慧開發常見的三大挑戰，分別是開發效率、資安風險與部署成效提出解決分案，官方表示，根據相關研究，已部署的人工智慧系統，僅不到20％能在一年內展現明確且可量化的投資報酬，主要原因包括環境設定困難、函式庫版本衝突及資安漏洞。針對這些問題，Anaconda AI平臺整合conda命令列外掛及快速啟動環境等功能，並提供統一驗證機制與自動化套件推薦，降低用戶部署阻力，縮短從開發到落地的時程。</p> <p>目前該平臺已開放個人與各類型組織使用，支援雲端、本地端及跨裝置執行，強調一次建置，可各處運作的概念，有助組織降低供應商綁定風險，提升人工智慧與資料科學專案的可擴展性與安全性。Anaconda表示，未來將持續投入加快套件交付速度，建置模型與Artifact Repository，並深化雲端與自架環境間的統一體驗，以因應產業人工智慧發展的需求。</p> </div></div></div>
2025/5/20 08:12作者李建興https://www.ithome.com.tw/news/169019
惡意PyPI套件偽裝成加密貨幣Solana工具，意圖竊取開發者原始碼與機密資訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安廠商ReversingLabs研究人員揭露，一款<a href="https://www.reversinglabs.com/blog/same-name-different-hack-pypi-package-targets-solana-developers">名為solana-token的惡意Python套件偽裝為Solana區塊鏈開發工具</a>，上架至PyPI開源函式庫，鎖定加密貨幣專案開發人員，企圖竊取原始碼及潛藏的敏感資訊。</p> <p>ReversingLabs 2025年軟體供應鏈安全報告指出，2024年共發現23起針對加密貨幣應用及基礎設施的惡意供應鏈活動，而此次solana-token事件正是相關攻擊的最新案例。研究人員表示，該惡意套件雖名為solana-token，並未提供完整功能說明，卻以開發工具之名誘使Solana生態系開發者下載安裝，進而執行資料竊取行為。</p> <p>技術分析顯示，solana-token套件安裝後，內部程式會自動掃描開發環境，讀取Python執行堆疊中涉及的所有檔案，並將蒐集到的原始碼與潛在機密資訊，如金鑰、助記詞組（Mnemonic Phrase）等，傳送至指定IP位址。此類攻擊手法常見於資訊竊取型惡意程式，除了利用IP位址通訊規避一般掃描工具偵測，也透過非標準通訊埠進行資料外洩，增加隱匿性。研究人員發現，該套件共出現0.0.1及0.0.2等不同版本，下載次數超過600次，顯示攻擊行動已具實際傳播風險。</p> <p>此外，solana-token名稱約於一年前曾被用於其他惡意套件，雖後續下架，但因非由PyPI官方管理員移除，套件名稱得以再次註冊，這使攻擊者可重複利用已知名稱，混淆社群判斷。ReversingLabs研究人員已第一時間通報PyPI管理單位，最新惡意版本現已移除，PyPI目前應無法再以上述名稱重新上架。</p> <p>相較於針對終端用戶錢包的攻擊，供應鏈攻擊可在專案早期即滲透開發流程，一旦取得開發原始碼與機密資訊，後續恐對專案營運構成重大威脅。資安研究人員呼籲，開發者及企業導入第三方或開源套件時，應落實來源審查、原始碼檢查及異常行為監控，並建立自動化警示機制，以降低此類事件帶來的資安風險，維護開發流程與營運穩定。</p> </div></div></div>
2025/5/20 08:18作者李建興https://www.ithome.com.tw/news/169026
Nvidia將與鴻海、國科會合作建置1萬個GPU的AI Factory
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Nvidia執行長黃仁勳在今天(5/19)Computex前夕的主題演說中宣布，將和鴻海、台積電合作在臺灣建置AI Factory，加速國內的AI基礎建設，同時也發表RTX Pro伺服器，加速企業IT向企業AI Factory發展。</p> <p>黃仁勳在演說中首先表示，Nvidia在臺灣發展已超過30年，臺灣有許多夥伴參與及見證Nvidia公司的轉型，從GPU晶片到系統，到資料中心再到轉型發展為AI基礎建設業者，他以電力為例，現在已將電力視為一種基礎建設，未來AI也會成為基礎建設，AI將成為每個企業都需要的基礎建設。</p> <p>他表示，如同電力、網路需要基礎建設，AI也需要AI Factory，專門用於加速人工智慧負載的型態資料中心，衡量AI Factory生產能力，不只是產生多少Token，而是每小時產生多少Token。</p> <p>現場展示GB200系統(左)、GB300(中間)及NVLink Switch(右)：</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202025-05-19%20%E4%B8%8B%E5%8D%888_26_02.jpeg" style="width: 600px; height: 371px;" /></p> <p>黃仁勳指出，Grace Blackwell NVL 72正在全力生產中，預計今年第三季將會升級為Grace Blackwell GB300，採用相同架構，但內部採用新的Blackwell Ultra Superchip晶片，擁有更大的推論效能，相較於GB200，兩者的訓練效能相近，但是GB300提高1.5倍推論效能，1.5倍的HBM記憶體，約2倍的網路效能。</p> <p>Nvidia也透過影片介紹GB200在台灣的供應鏈夥伴，包括和碩、鴻海、台積電等夥伴，共同參與Blackwell GB200的生產組裝過程。</p> <p><span style="color:#B22222;"><strong>聯手為臺灣擴建AI基礎建設</strong></span></p> <p>黃仁勳宣布Nvidia將為臺灣打造AI基礎建設，與政府、台積電、鴻海共同建置首座AI大型超級電腦。</p> <p>Nvidia表示，富士康的子公司大創新公司將會建置1萬個Nvidia Blackwell GPU，為臺灣提供AI算力，國科會將會投資AI基礎建設，而台積電的研發團隊將利用該系統加速研發工作。多方合力打造的AI Factory，採用的正是Grace Blackwell GB300機架式方案，包括NVLink、Quantum InfiniBand、Spectrum-X乙太網路。</p> <p>國科會主委吳正文表示，政府的計畫是在台灣南部打造以人工智慧為重點的產業生態系統。以專注於投資創新研究，發展強大的人工智慧產業，並鼓勵人工智慧工具的日常應用。我們的最終目標是打造一個充滿智慧城市的智慧人工智慧島。</p> <p>富士康表示，將利用AI超級電腦加速其三大核心支柱，智慧城市、電動車和製造業的自動化和效率，以連接產業、公民和政府組織，以人工智慧加速成長。</p> <p>此外，今年Computex，Nvidia也發表NVLink Fusion，可用以連接Nvidia的NVLink合作夥伴的矽晶片，依照企業客戶的模型訓練、代理AI推論需要，將這些晶片垂直擴充(Scale-Up)為客製化的大型系統。Nvidia也宣布高通、富士通的CPU將可以透過NVLink Fusion連接Nvidia GPU進一步打造高效能的Nvidia AI Factory。</p> <p>Nvidia的這項宣布，透露高通將從行動、PC，擴展至資料中心市場，呼應先前高通傳出打造CPU，以進入資料中心市場的消息，並且和Nvidia GPU合作建置Nvidia AI Factory的目標。</p> <p>事實上，今天高通的Computex演說中，高通執行長也透露將會擴展到資料中心市場。</p> <p>除了發表產品規畫，與臺灣的台積電、鴻海、政府單位合力打造AI基礎建設，Nvidia看準企業的AI Factory市場商機，發表新的RTX伺服器，該伺服器採用RTX Pro 6000 Blackwell伺服器版本GPU，搭配Nvidia Enterprise AI Factory驗證設計，推動傳統以CPU為主的企業資料中心向Nvidia的企業AI Factory發展，大搶傳統資料中心因應AI應用的資料中心架構轉型商機。</p> </div></div></div>
2025/5/19 20:49作者蘇文彬https://www.ithome.com.tw/news/169033
【資安日報】5月19日，惡意NPM套件為藏匿攻擊意圖，濫用Unicode字元、Google行事曆
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客針對使用NPM套件的開發人員發動攻擊的情況，每個禮拜幾乎都有數起攻擊行動傳出，但最近有一起攻擊行動相當特別，引起兩家資安業者不約而同調查此事。</p> <p>資安業者Aikido、Veracode揭露從3月出現的惡意套件os-info-checker-es6，而駭客真正的意圖，直到5月上旬的改版，才加入相關的惡意程式碼，使得開發人員的電腦，透過特定的Google行事曆活動邀請連結，下載惡意酬載。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169015"><strong style="font-size: 22px;">惡意NPM套件濫用Unicode字元、Google行事曆，隱匿攻擊意圖</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/6824c17ec0854e5af6e70755_calendar.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/6824c17ec0854e5af6e70755_calendar.png" style="width: 300px; float: right;" /></a></p> <p>惡意NPM套件的攻擊行動層出不窮，但為了隱匿作案的行蹤，駭客會試圖結合多種手法，像是透過Unicode埋藏惡意內容，或是濫用合法的雲端服務來達到目的。</p> <p>例如，最近資安業者Aikido、Veracode揭露的NPM套件os-info-checker-es6，就是典型的例子，攻擊者利用Unicode字元來藏匿惡意程式碼，並且使用Google行事曆活動（event）邀請的短網址，來存取最終的有效酬載，使得這起多階段攻擊行動的蹤跡難以察覺。</p> <p>直到5月7日駭客上傳了os-info-checker-es6新版1.0.8，答案終於揭曉，這個NPM套件的preinstall.js更換了eval()內容，經解碼後出現的竟是Google行事曆發送的活動邀請連結，這個活動的名稱也很詭異，是一串字串，活動定於2027年6月27日舉行。而這活動的名稱，其實是經Base64編碼處理的C2網址。</p> <p><a href="https://www.ithome.com.tw/news/169020"><strong style="font-size: 22px;">殭屍網路HTTPBot鎖定Windows裝置而來，對遊戲產業從事DDoS攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/HTTPBot-http1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/HTTPBot-http1.png" style="width: 300px; float: right;" /></a></p> <p>近年來許多殭屍網路針對路由器、網路攝影機、交換器、NAS等網路設備下手，利用這類設備的使用者往往疏於定時修補、安裝更新軟體的現象，使用已知漏洞入侵、控制設備，甚至有部分是針對已終止支援（EOL）、廠商不再維護的裝置而來，但也有攻擊者轉移目標，選擇綁架Windows電腦。</p> <p>中國資安業者綠盟科技（Nsfocus）提出警告，他們從去年8月開始監控的DDoS殭屍網路HTTPBot，在今年4月出現顯著增加的現象。研究人員提及，駭客的主要攻擊目標是中國遊戲產業，但也有科技公司及教育機構受到波及。從4月初至今，這些駭客已發動超過200起攻擊，超過80家企業組織遭到鎖定，他們通常對同一目標發動多回合的攻擊，而且目標都很明確。</p> <p>Nsfocus認為，HTTPBot帶來DDoS攻擊模式大幅轉變，防禦者難以透過一般的規則攔截，必須藉由行為分析與資源彈性的動態機制來因應。</p> <p><a href="https://www.ithome.com.tw/news/169013"><strong style="font-size: 22px;">勒索軟體INC聲稱攻擊南非航空</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/south-african-airways-flysaacom.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/south-african-airways-flysaacom.jpg" style="width: 300px; float: right;" /></a></p> <p>5月6日南非航空坦承於3日遭遇「重大網路事件」，造成該航空公司網站、手機App，以及多個內部營運系統暫時無法使用，也促使該公司啟動緊急應變措施。</p> <p>南非航空對媒體表示，該公司設法維持必要的客戶服務通路，包括客服中心及業務系統的持續運作，而且所有受影響系統在當天稍晚就恢復正常作業。</p> <p>當時還不知道該網路事件出於何種原因，勒索軟體駭客組織INC上周出面暗示是其所為，他們在暗網上張貼據稱來自南非航空（South African Airways，SAA）的「Part1」資料壓縮檔，暗示可能還會進一步公布其他資料。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.theregister.com/2025/05/16/broadcom_employee_data_stolen_by/">博通傳出員工資料遭勒索軟體駭客外流，起因是付款系統供應商遭到攻擊</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.ftvnews.com.tw/news/detail/2025517W0003">針對台積電供應鏈業者萬潤4月下旬遭駭，駭客組織Bert聲稱是他們所為，並竊得5 TB內部資料</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/printer-maker-procolored-offered-malware-laced-drivers-for-months/">中國印表機業者Procolored驅動程式驚傳挾帶惡意軟體XRedRAT、SnipVex</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169006"><strong style="font-size: 22px;">Jenkins揭露眾多外掛程式漏洞，包括可繞過身分驗證的CVE-2025-47889</strong></a></p> <p>CI持續整合工具Jenkins在上周發布安全公告，揭露5個外掛程式的安全漏洞，其中，最嚴重的是WSO2 OAuth的身分驗證繞過漏洞CVE-2025-47889，CVSS風險評分高達9.8，另一個同屬重大層級漏洞的是涉及OpenID Connect 的CVE-2025-47884，其CVSS風險評分為9.1。值得留意的是，CVE-2025-47889目前尚無修補程式，用戶應暫時停用並尋求其他替代方案因應。</p> <p>WSO2 OAuth為身分驗證外掛程式，主要功能是讓使用者透過OAuth 2.0協定登錄Jenkins。然而，CVE-2025-47889允許駭客使用任意帳號與密碼登入Jenkins，即使使用不存在的用戶名稱也能存取。若管理員將授權政策設定為「登入用戶擁有全部權限」，那麼駭客即可直接取得管理員控制權，接管Jenkins。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.forbes.com/sites/daveywinder/2025/05/17/vmware-hacked-as-150000-zero-day-exploit-dropped/">漏洞挖掘競賽Pwn2Own Berlin 2025參賽者找出多項VMware產品漏洞，最高抱走15萬美元獎勵</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/critical-nas-risk-i-o-data-flaw-with-9-8-cvss-allows-remote-command-execution/">日本警告I-O Data網路儲存設備存在重大漏洞，恐被用於發動RCE攻擊</a></strong></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168996"><strong style="font-size: 22px;">資安業者Proofpoint宣布買下競爭對手Hornetsecurity</strong></a></p> <p>美國資安業者Proofpoint周四（5月15日）宣布，已與德國資安業者Hornetsecurity簽署正式協議，預計於今年下半年完成併購。雙方並未公布交易細節，但美國媒體報導指出，此交易價值10億美元。</p> <p>Proofpoint為提供大型企業等級網路安全服務的業者，尤以電子郵件安全及威脅防護聞名，它曾在2012年登上美國那斯達克（Nasdaq）股市，在2021年被私募股權基金Thoma Bravo以123億美元買下並私有化。至於創立於德國的Hornetsecurity主要提供雲端資安服務，特別是針對Microsoft 365及Google Workspace，包括維護用戶的電子郵件安全，提供雲端備份及回復服務，以及合規與資料保護服務等，透過1.2萬個託管服務供應商（Managed Service Provider，MSP）及通路合作夥伴，於全球逾120個國家展開業務，被視為Proofpoint的競爭對手。</p> <p>Proofpoint表示，此併購案強化該公司藉由MSP向全球中小企業（SMBs）提供以人為本的安全能力，進一步讓所有的組織能夠保護員工並捍衛其資料，雙方可望實現其共同使命，保護各種規模的組織與內部人員。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/168995"><strong>【5月16日】中國駭客、勒索軟體駭客將SAP NetWeaver滿分漏洞用於實際攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168967"><strong>【5月15日】去年中國駭客攻擊臺灣無人機製造商事故，有新的重大發現</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168947"><strong>【5月14日】微軟、SAP修補已出現攻擊行動的多項零時差漏洞</strong></a></p> </div></div></div>
2025/5/19 18:52作者周峻佑https://www.ithome.com.tw/news/169032
惡意NPM套件濫用Unicode字元、Google行事曆，隱匿攻擊意圖
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>惡意NPM套件的攻擊行動層出不窮，但為了隱匿作案的行蹤，駭客會試圖結合多種手法，像是透過Unicode埋藏惡意內容，或是濫用合法的雲端服務來達到目的。</p> <p>例如，最近資安業者<a href="https://www.aikido.dev/blog/youre-invited-delivering-malware-via-google-calendar-invites-and-puas">Aikido</a>、<a href="https://www.veracode.com/resources/sophisticated-npm-attack-leveraging-unicode-steganography-and-google-calendar-c2">Veracode</a>揭露的NPM套件os-info-checker-es6，就是典型的例子，攻擊者利用Unicode字元來藏匿惡意程式碼，並且使用Google行事曆活動（event）邀請的短網址，來存取最終的有效酬載，使得這起多階段攻擊行動的蹤跡難以察覺。</p> <p>針對整起攻擊行動的過程，Aikido指出該惡意套件起初在3月19日上架，當時他們僅是發現套件並未具備開發人員標榜的功能，認為不尋常而進行追蹤，但沒發現異狀。研究人員從該套件的preinstall.js元件察覺有異，起因是內部功能函數eval()會呼叫經由Base64處理的輸入內容。</p> <p>他們對駭客使用的二進位檔案進行逆向工程，此檔案以Rust打造而成，結果發現駭客輸入decode函數的內容出現不尋常的「|」開頭，經過確認其實是<a href="https://zh.wikipedia.org/zh-tw/%E7%A7%81%E4%BA%BA%E4%BD%BF%E7%94%A8%E5%8C%BA">Unicode未分配標準字元使用的字碼</a>（譯註：此處應該是指Unicode的Private Use Area characters，而非Aikido提到的Private Use Access characters）。</p> <p>不過，即使研究人員解開駭客使用的Unicode特殊字元，還是無法得知意圖。另一方面，他們陸續看到4個相依os-info-checker-es6的套件，分別是：skip-tot、vue-dev-serverr、vue-dummyy、vue-bit，怪異的是，這些相依套件竟然不會呼叫os-info-checker-es6當中的decode函數。</p> <p>直到5月7日駭客上傳了os-info-checker-es6新版1.0.8，答案終於揭曉，這個NPM套件的preinstall.js更換了eval()內容，經解碼後出現的竟是Google Calendar活動邀請連結，這個活動的名稱也很詭異，是一串字串，活動定於2027年6月27日舉行。研究人員將字串以Base64演算法解開，結果得到一段網址。但用途為何？他們並未進一步說明。</p> <p>Veracode也公布相關調查結果，他們指出該惡意套件起初在3月19日上架，當天駭客先後共發布了5個版本，但這些套件看起來沒有什麼破壞能力，主要的功能在於收集目標環境的作業系統、版本，處理器架構、主機名稱等系統資訊，並未有資料洩露或顯著的惡意行為，Veracode推測，這幾個版本駭客主要的目的，在於測試NPM套件能否正常部署。</p> <p>駭客沉寂了數日，於3月22日至23日再度活動，對於不同作業系統編譯Node.js模組進行測試，但還是難以看出其攻擊意圖。</p> <p>直到後續出現的1.0.8版os-info-checker-es6，他們才確認駭客的目的，研究人員指出preinstall.js比之前的版本大上許多，並指出駭客使用了相當複雜的C2機制。</p> <p>首先，NPM套件安裝後，會取得Google Calendar短網址，此套件使用特定的功能函數追蹤，直到收到HTTP 200 OK的回應。</p> <p>接著此套件從Google Calendar活動標題取得經Base64演算法處理的網址並解碼，下載第二階段的惡意軟體有效酬載，此有效酬載同樣經過Base64處理。最終攻擊者解密有效酬載，並透過功能eval()執行。</p> </div></div></div>
2025/5/19 15:34作者周峻佑https://www.ithome.com.tw/news/169015
殭屍網路HTTPBot鎖定Windows裝置而來，對遊戲產業從事DDoS攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來許多殭屍網路針對路由器、網路攝影機、交換器、NAS等網路設備下手，利用這類設備的使用者往往疏於定時修補、安裝更新軟體的現象，使用已知漏洞入侵、控制設備，甚至有部分是針對已終止支援（EOL）、廠商不再維護的裝置而來，但也有攻擊者轉移目標，選擇綁架Windows電腦。</p> <p><a href="https://nsfocusglobal.com/high-risk-warning-for-windows-ecosystem-new-botnet-family-httpbot-is-expanding/">中國資安業者綠盟科技（Nsfocus）提出警告</a>，他們從去年8月開始監控的DDoS殭屍網路HTTPBot，在今年4月出現顯著增加的現象。研究人員提及，駭客的主要攻擊目標是中國遊戲產業，但也有科技公司及教育機構受到波及。從4月初至今，這些駭客已發動超過200起攻擊，超過80家企業組織遭到鎖定，他們通常對同一目標發動多回合的攻擊，而且目標都很明確。</p> <p>HTTPBot是Go語言開發的殭屍網路病毒，在過去幾個月積極擴張規模，持續利用受到感染的裝置對外發動攻擊。此殭屍網路駭客使用特定的ID管理受害目標，精準控制攻擊的流程，這樣的手法並不常見。</p> <p>此外，攻擊者還實作高度模擬HTTP洪水攻擊的機制，以及動態功能混淆手法，使得一般的偵測機制難以察覺異狀。研究人員特別提及駭客運用的其他迴避偵測手法，像是Cookie補充機制、HTTP請求採用隨機的使用者代理字串（User Agent）與標頭，以及URL、呼叫實際的瀏覽器傳送流量、動態速率控制等。</p> <p>有別於其他殭屍網路家族偏重於通訊方式及網路的控制，使用網域生成演算法（DGA）、DNS over HTTPS（DOH）、OpenNIC，HTTPBot並未採用這些手段，而是使用以HTTP為基礎的攻擊手法，並精確地瞄準高價值的目標，對於遊戲登入系統、支付系統等需要即時互動的環境帶來系統性的威脅。Nsfocus認為，HTTPBot帶來DDoS攻擊模式的轉變，防禦者難以透過一般的規則攔截，必須藉由行為分析與資源彈性的動態機制來因應。</p> <p>研究人員強調，一般的DDoS殭屍網路普遍鎖定Linux及物聯網裝置，像HTTPBot專門針對Windows而來的情況並不常見，由於此殭屍網路持續使用隨機的URL及Cookie補充手法占據伺服器連線，而能成功繞過仰賴通訊協定完整性的防護機制，攻擊者甚至會根據受害組織回應的狀態，來動態調整攻擊速度，使得許多企業組織現有的防禦機制，恐難以因應。</p> </div></div></div>
2025/5/19 16:55作者周峻佑https://www.ithome.com.tw/news/169020
AWS推Transform for .NET自動化工具，助企業現代化.NET Framework舊應用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS正式<a href="https://aws.amazon.com/tw/blogs/aws/aws-transform-for-net-the-first-agentic-ai-service-for-modernizing-net-applications-at-scale/">推出Transform for .NET自動化工具</a>，協助企業大規模現代化既有.NET Framework應用程式，降低傳統搬遷流程的人力與技術門檻。過去不少企業投入大量資源建置.NET Framework關鍵應用，但這些僅能在Windows運作的舊系統，面臨維護困難、相容性不足、作業系統授權費用增加，以及資安和效能受限等挑戰。</p> <p>傳統.NET Framework應用程式搬遷至現代.NET平臺時，需逐一檢查程式碼相容性，處理第三方元件、私有NuGet函式庫及跨專案相依性等複雜問題。手動轉換不僅耗時且易出錯，對於同時維護多套系統的企業，更難以承擔高昂人力成本與風險。</p> <p>AWS Transform for .NET針對此一需求，提供人工智慧代理自動化工具，支援Web平臺與Visual Studio IDE擴充套件，能自動連結GitHub、GitLab及Bitbucket等主流程式碼儲存庫，協助團隊評估應用程式相依性與轉換難度。針對常見的跨專案、私有NuGet函式庫依賴，提供自動辨識與上傳機制，解決私有元件處理問題。</p> <p>在轉換流程中，Transform for .NET可自動執行程式碼轉換、建置、單元測試與成果提交，並產生詳細報告，方便開發團隊追蹤修改內容及測試結果。新版進一步支援MVC Razor Views自動轉換為ASP.NET Core Razor Views，減少UI層人工處理需求。用戶可同步對多個應用啟動轉換任務，系統會根據專案關聯性與相依函式庫自動排序與執行，以提升搬遷效率。</p> <p>目前Transform for .NET已於歐洲法蘭克福及美東維吉尼亞北部區域開放，無額外收費，僅依AWS雲端資源用量計價。該工具支援.NET Framework 3.5以上、.NET Core 3.1、.NET 5+、.NET 8等版本，涵蓋控制臺應用程式、類別函式庫、單元測試、WebAPI、Windows Communication Foundation（WCF）服務、MVC與單頁應用程式（SPA）等，並支援C#各類專案。</p> </div></div></div>
2025/5/19 17:00作者李建興https://www.ithome.com.tw/news/169018
Check Point揭露新型AI駭客兵團雛型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Check Point在RSAC 2025發布的AI安全報告，揭露多種正在暗網興起的AI犯罪服務（Evil-AI as Service），其執行長Nadav Zafrir更進一步示警，隨著AI代理程式（AI Agent）的興起，有心人士更有可能進一步發展出具備高度自主能力的AI駭客兵團，足以發動更個人化、更自動化、更即時性、更具威脅性的大規模攻擊。</p> <p>Zafrir提出一個結合生成式AI與AI代理程式，以竊取加密貨幣的新攻擊情境。從攻擊鏈流程來看，這個攻擊情境的起手式與過往的攻擊有一部分相同，都是先蒐集被鎖定對象的資料，例如從被公開的外洩資料中尋找帳號與密碼，作為發動釣魚郵件或入侵受害者電腦的初始機制；然而不同的是，新型態AI攻擊還會再利用個人資料訓練專屬AI模型，創造出模擬受害者特徵與行為模式的數位分身（Digital Twin）。</p> <p>緊接著，攻擊者會利用蒐集到的帳號密碼等憑證資訊，入侵受害者的電腦或企業網路，一旦成功入侵，攻擊者會持續潛伏，蒐集更多受害者的資料，如電子郵件、視訊會議、聊天資訊或是組織內部的資料，以持續訓練最佳化AI模型。</p> <p>一旦數位分身AI模型建立好了，攻擊者就會據以發展能夠模擬受害者行為的多種AI代理程式，並將這些AI惡意程式部署至受害者的電腦或網路，由它們自主操作攻擊行動，進行橫向移動攻擊，例如偽冒受害者發送電子郵件或聊天訊息、模擬其帳戶行為在內網偵察或移動，甚或操作加密貨幣轉帳等交易行為。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/PG_F5819.jpeg" style="width: 700px; height: 404px;" /></p> <p>生成式AI與AI代理程式成為攻擊者的新武器之後，將會對網路攻擊帶來根本性的改變。Zafrir指出，過往要做到上述的自動化攻擊情境相當困難，除了需要投入大量資源，還要耗時數月甚至數年，這麼長的準備時間很容易讓防守方有足夠的時間反應而功虧一潰。然而，現代AI惡意程式不再需要回傳指令至C&C（Command & Control）後端控制中心，一旦防線被攻破，AI惡意程式將會自主運作，不需要依賴後端控制，攻擊行動可能在幾天內就能結束。</p> <p>再者，這種攻擊方式一旦創造出擬真的數位分身後，就可以利用偽造的數位分身進行惡意行為，而不再需要利用真實的受害者。因此，吊詭的是一旦偽造的數位分身產生了，如果沒有被識別出來，即使受害者擁有正確的資安習慣與資安防護，即便所有資安防護系統都正常運作，也無濟於事。</p> <p>根據Check Point的AI安全報告評估，拜生成式AI技術之賜，文字、語音與視訊的深偽仿冒已是隨手可得的技術。現今文字與語音的自主對話互動已可由AI全盤操作，諸多釣魚攻擊已展現文字完全自動化與接近完美的語音。而在影像自主對話互動方面，目前要全靠AI達成還有難度，但誰能知道是否會在接下來的幾個月或幾年內發生呢？</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/deepfake%20automation%20maturity.png" style="width: 700px; height: 288px;" /></p> <p>Zafrir表示，上述攻擊情境看似危言聳聽，但這些攻擊能力其實已經存在，而更令人憂心的是，AI代理程式一旦啟動就會自主決策，如何中止其流程將是個挑戰。面對基於AI技術的攻擊，他認為防禦端的AI 必須具備與攻擊等速的防禦能力，因此未來的資安防護系統勢必是要「AI原生」，才能即時反應與對抗。他認為借鏡生物的社群與分形，建立複雜適應系統，可以分散式自主運作，避免單點故障，又可即時回應，以及持續學習與適應新的威脅，將會是一個可行的新方向。</p> </div></div></div>
2025/5/19 15:37作者吳其勳https://www.ithome.com.tw/news/169016
AI促進科學創新重要研究遭MIT審查否決，要求arXiv標註撤回
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://economics.mit.edu/news/assuring-accurate-research-record" target="_blank">麻省理工學院（MIT）不信任一篇於2024年底公開於arXiv平臺的人工智慧創新論文</a>，並已請求平臺將該論文標註為撤回。該論文由當時MIT經濟系博士生Aidan Toner-Rodgers撰寫，題目為《Artificial Intelligence, Scientific Discovery, and Product Innovation》，內容主張人工智慧工具能在美國一家大型研發實驗室的隨機實驗中，提升科學家於材料發現及專利申請等領域的成果。</p> <p>該論文宣稱，應用人工智慧工具後，科學家的材料發現數量增加44％，專利申請數量提升39％，下游產品創新也提升17％，並強調人工智慧對高產能科學家產出效果特別顯著。此外，研究還提到，人工智慧工具自動化大量創意生成任務，使研究人員能更專注於評估與選擇有潛力的材料，但高產能科學家受益最為明顯，低產能科學家則未見顯著成效。</p> <p>該論文發表後，在國際學術界及人工智慧產業界引發關注，被視為人工智慧促進科學創新的重要研究。然而，2025年初MIT接獲針對該論文資料真實性及研究方法的質疑，校方依據紀律委員會（Committee on Discipline，COD）程序，啟動不公開內部審查。審查結果出爐後，MIT公開聲明，表示無法信任該論文的資料來源、資料可靠性與研究結論，認為該論文持續公開可能違反arXiv的規範。</p> <p>MIT已向arXiv發函，請求將論文標註撤回，並同步通知該論文曾提交的學術期刊《Quarterly Journal of Economics》。根據arXiv政策，僅論文作者本人能申請正式撤稿，MIT無法直接進行撤回，該論文作者目前已非MIT學生，曾於論文中被致謝的教授也公開聲明，對該論文的資料來源與研究結論不具信心，呼籲學界及產業界在討論人工智慧對科學創新的影響時，應避免引用相關內容。</p> <p>MIT重申維護學術誠信為核心價值，並持續強化資料審查與研究流程管理，以確保學術研究紀錄的正確性與公信力。</p> </div></div></div>
2025/5/19 15:50作者李建興https://www.ithome.com.tw/news/169014
【資安週報】0512~0516，多組中國駭客組織、勒索軟體駭客鎖定SAP NetWeaver漏洞入侵關鍵CI與企業組織
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2025年5月第三星期的資安新聞中，這一星期多家IT大廠發布安全性更新需要我們趕緊因應，涵蓋微軟、SAP、Adobe等，當中並有8項漏洞在修補前已遭利用，顯現攻擊者挖掘零時差漏洞來攻擊的威脅態勢嚴峻持續，我們整理如下：</p> <p>●微軟有5個，數量最多，這些漏洞分別是：涵蓋涉及Windows指令碼引擎的CVE-2025-30397、桌面視窗管理員（DWM）的CVE-2025-30400，附屬功能驅動程式（AFD）的CVE-2025-32709，以及通用記錄檔系統（CLFS）的CVE-2025-32701及CVE-2025-32706。<br /> ●SAP有1個，是NetWeaver漏洞CVE-2025-42999，通報的資安業者Onapsis指出今年1月攻擊者已串連上月修補另一滿分漏洞來攻擊。<br /> ●Fortinet有1個，發現攻擊者利用漏洞CVE-2025-32756鎖定FortiVoice攻擊，另要注意其他款產品也針對此漏洞進行修補，涵蓋FortiNDR、FortiMail等。<br /> ●Google有1個，是Chromium漏洞CVE-2025-4664，雖CISA對此漏洞的CVSS評分為4.3分並不高，但已遭攻擊者利用。</p> <p>還有兩個漏洞如今傳出遭到利用狀況，首先是今年初我們曾報導過居易Vigor路由器的漏洞CVE-2024-12987，其次是安全通訊解決方案廠商TeleMessage TM SGNL的漏洞CVE-2025-47729。</p> <p>在已知漏洞攻擊態勢上，上述提到SAP NetWeaver上月修補的滿分漏洞（CVE-2025-31324）最需留意，原因是不只資安業者Forescout指出中國駭客Chaya_004利用漏洞來攻擊企業組織，近期更是發現有多個中國駭客與勒索軟體組織加入利用行列。</p> <p>例如，威脅情報業者EclecticIQ確認，有3組與中國國安部有關的駭客組織（CL-STA-0048、UNC5221、UNC5174）利用此漏洞攻擊關鍵基礎設施。資安業者ReliaQuest也發現，使用RansomEXX的駭客組織與俄羅斯勒索團體BianLian同樣積極利用此漏洞。尚未修補者應儘速因應，已修補者也應檢查是否有異常。</p> <p>在資安威脅與事件方面，有兩起與臺灣相關的重要新聞：（一）遠雄建設發布資安事件重訊，說明發生系統異常、出現郵件發送給外部無關人員的情形；（二）去年揭露中國駭客攻擊臺灣無人機製造商有更多揭露，趨勢科技公布新的調查結果，指出中國駭客組織Earth Ammit於2023年就發起另一波更隱密的攻擊行動，是鎖定臺灣與南韓而來。</p> <p>至於其他威脅焦點，國際間有4則重大消息，涵蓋開源軟體供應鏈攻擊，網路釣魚攻擊、以及假冒IT工作者商業間諜鎖定加密貨幣領域與資料外洩等面向。</p> <p>●每週下載量達4.5萬次的開源JavaScript函式庫rand-user-agent遭供應鏈攻擊，被植入木馬遠端監控用戶系統。<br /> ●北韓駭客APT37鎖定南韓政經目標發動魚叉式網釣，以「Trump 2.0時代南韓對策」等時事誘騙開啟郵件中Dropbox連結、下載壓縮檔，植入RoKRAT間諜程式。<br /> ●加密貨幣交易平臺Coinbase向美國SEC提交資安事故報告，發生用戶資料外洩（影響約10萬名用戶），問題出在海外客戶支援的約聘人員是內賊。<br /> ●出版托福、雅思等教材的教育內容出版商Pearson公告發生資安事故，傳出有消息人士指出災情不小，疑公司程式原始碼、財務、客戶資料被竊。</p> <p>在資安防禦焦點方面，歐盟漏洞資料庫（EUVD）計畫正式上線是最大焦點，這項計畫去年6月啟動後、現在正式推出，是一個互連資料庫，主要採用CVE編號，但也會有相對應的EUVD編號，不錯的是，我們在EUVD儀表板可快速檢視三類資訊，包括重大漏洞、已被利用漏洞，另外也可快速查找EU CSIRT協調的漏洞。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/168893"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月12日】中國駭客利用SAP NetWeaver滿分漏洞攻擊製造業</span></strong></a></h3> <p>最近兩週危險程度達到滿分的資安漏洞不斷傳出，例如：<a href="https://www.ithome.com.tw/news/168623">Commvault備份管理平臺漏洞CVE-2025-3402</a>、<a href="https://www.ithome.com.tw/news/168751">PHP程式庫ADOdb漏洞CVE-2025-46337</a>、<a href="https://www.ithome.com.tw/news/168873">思科IOS XE無線區域網路控制器漏洞CVE-2025-20188</a>，值得留意的是，SAP在4月24日修補的NetWeaver資安漏洞CVE-2025-31324，於4月底<a href="https://www.ithome.com.tw/news/168653">傳出超過1千臺伺服器受害</a>，後續有研究人員公布新的調查結果。</p> <p>資安業者Forescout指出，他們看到中國駭客組織Chaya_004試圖發起攻擊行動，目的是散布名為SuperShell的後門程式。</p> <h3><a href="https://www.ithome.com.tw/news/168916"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月13日】華碩修補主機板驅動程式管理工具驗證不當的資安漏洞</span></strong></a></h3> <p>上個月<a href="https://www.ithome.com.tw/news/168581">華碩針對旗下的4款工作站主機板發布韌體</a>，修補由資安業者Eclypsium揭露的滿分漏洞CVE-2024-54085而受到關注，該公司近日再對主機板用戶發布更新，主要是修補驅動程式管理工具DriverHub的資安弱點。</p> <p>耐人尋味的是，華碩強調相關漏洞僅影響主機板，不影響筆電、桌上型電腦，以及其他端點裝置，而通報此事的研究人員MrBruh認為，無論是桌機還是筆電，只要有安裝DriverHub就可能曝險。</p> <p><a href="https://www.ithome.com.tw/news/168947"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月14日】微軟、SAP修補已出現攻擊行動的多項零時差漏洞</span></strong></a></p> <p>昨天是許多科技業者發布5月例行更新的日子，微軟、Adobe、SAP等業者皆發布相關資安公告，呼籲用戶要儘速採取行動，套用更新程式來緩解漏洞。</p> <p>其中，最受到關注的資安漏洞，包括了微軟修補的5項零時差漏洞，因為曝險的元件皆有駭客利用相關零時差漏洞的記錄；另一個焦點則是SAP修補的NetWeaver重大漏洞，通報此事的資安業者表示，該漏洞其實是先前公布的10分漏洞CVE-2025-31324形成的主要原因。</p> <h3><a href="https://www.ithome.com.tw/news/168967"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月15日】去年中國駭客攻擊臺灣無人機製造商事故，有新的重大發現</span></strong></a></h3> <p>去年9月資安業者趨勢科技、Acronis揭露鎖定臺灣無人機製造商的中國駭客攻擊行動，其共通點就是受害組織採用特定廠牌的ERP系統，這種巧合讓研究人員初步懷疑是供應鏈攻擊，如今這樣的推測得到證實。</p> <p>趨勢科技發現，這些駭客在2023年從事另一波攻擊行動Venom，主要的目標就是軟體服務供應商。由於駭客幾乎都使用開源工具作案，而難以察覺其蹤跡，研究人員與ERP業者合作，才讓這起事故公諸於世。</p> <h3><a href="https://www.ithome.com.tw/news/168995"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月16日】中國駭客、勒索軟體駭客將SAP NetWeaver滿分漏洞用於實際攻擊</span></strong></a></h3> <p>SAP於4月下旬緊急修補已被用於實際攻擊的滿分漏洞CVE-2025-31324，自一週前有資安業者指出有中國駭客4月底掃描存在漏洞的NetWeaver伺服器後，如今有更多調查結果出爐，至少有5組人馬加入利用漏洞的行列。</p> <p>值得留意的是，利用這項漏洞的不光是國家級駭客，以牟取經濟利益為導向的勒索軟體駭客也參與其中，因此這項漏洞的後續情勢仍相當值得留意。</p> </div></div></div>
2025/5/19 09:20作者羅正漢https://www.ithome.com.tw/news/169009
勒索軟體INC聲稱攻擊南非航空
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>南非航空5月初遭網路攻擊，勒索軟體駭客組織INC現身聲稱是其所為，並且取得內部資料。</p> <p><a href="https://www.flysaa.com/about-us/leading-carrier/media-center/media-releases/newsroom" target="_blank">南非航空本月初坦承</a>，2025年5月3日遭遇「重大網路事件」，造成該航空公司網站、手機App和多個內部營運系統暫時無法使用，也促使該公司啟動緊急應變措施。</p> <p><a href="https://therecord.media/south-african-airways-cyberattack-disrupted" target="_blank">南非航空對媒體表示</a>，該公司設法維持必要的客戶服務通路，包括客服中心及業務系統的持續運作，而且所有受影響系統在當天稍晚就恢復正常作業。</p> <p>當時還不知道該網路事件出於何種原因，不過INC上周出面暗示是其所為。INC在暗網上張貼據稱來自南非航空（South African Airways，SAA）的「Part1」資料壓縮檔，顯示可能還會有進一步資料公佈。</p> <p>INC最早現蹤於2023年8月，專門從事勒索軟體常用的雙重勒索，要求受害組織分別為解密系統及取回被竊資料支付贖金。<a href="https://www.comparitech.com/news/ransomware-gang-inc-claims-recent-attack-on-south-african-airways/" target="_blank">媒體Comparitech 報導</a>，該組織至少策劃了300樁攻擊。而除了南非航空，INC宣稱的受害企業還包括西班牙歐洲航空（Air Europa）、美國的貨運業者Oceanair等。</p> </div></div></div>
2025/5/19 12:10作者林妍溱https://www.ithome.com.tw/news/169013
Grok亂說話，xAI公布系統提示以強化透明度
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上周三（5/14）有多名X用戶發現，不管問聊天機器人Grok什麼問題，它都有可能無厘頭地回答「南非白人種族滅絕爭議」，或是「殺死布爾人」等答案。<a href="https://x.com/xai/status/1923183620606619649?s=46" target="_blank">隨後xAI坦承</a>，有人未經授權修改了X上Grok回應機器人的提示語，<a href="https://github.com/xai-org/grok-prompts/blob/main/ask_grok_summarizer.j2" target="_blank">接著xAI便在GitHub上公布Grok的系統提示以強化該聊天機器人的透明度</a>。</p> <p>xAI的創辦人馬斯克（Elon Musk）及美國現任總統川普（Donald Trump）都曾公開批評南非存在著白人滅絕的現象，並認為當地的白人殖民者後代阿非利卡人（布爾人）受到壓迫，而使得Grok上周的行為看起來更像是惡作劇。就算使用者問它職棒選手的薪資，它還是回答「白人種族滅絕的說法在南非存在著高度爭議。」或者提及「殺死布爾人。」</p> <p><a href="https://x.com/paulg/status/1922975418019180699" target="_blank">美國程式設計師Paul Graham認為</a>，Grok隨口說出對南非白人種族滅絕的看法，看起來就像是個臭蟲。</p> <p><a href="https://x.com/VraserX/status/1923018277048967442" target="_blank">有一名AI的愛好者VraserX說</a>，倘若像Grok這樣的AI能夠突然開始表達有爭議或陰謀論的觀點，無論是因技術故障還是人為干預，那麼人們該如何區分哪些是AI真實的輸出，哪些又是悄悄被操控制的，如果我們永遠無法確定這件事情，那麼這對社會的意義為何？</p> <p>當有人事後問Grok到底發生了什麼事情時，它說有些xAI的員工未經允許調整了它的提示，讓它說出違背xAI價值觀的罐頭政治回應。</p> <p>這使得xAI決定要在GitHub公布Grok的系統提示，以讓大眾更能信賴Grok；而此事之所以會發生，是因為有人繞過了變更系統提示的審核流程，未來將採取額外的措施以避免員工在未經審核的狀態下修改提示；也正在籌備一個24小時的監控團隊，以即時回應那些逃過自動化系統的事件。</p> <p>公開在GitHub上的Grok系統提示就是在告訴Grok它是誰；正扮演什麼樣的角色；必須極度懷疑一切，不盲從主流權威或媒體，只堅持追求真相與中立的核心理念；如果對答案有不確定，請明確表達不確定；以及回應長度上限為750個字元等。</p> </div></div></div>
2025/5/19 08:36作者林妍溱https://www.ithome.com.tw/news/169005
Jenkins揭露眾多外掛程式漏洞，包括可繞過身分驗證的CVE-2025-47889
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>熱門的開源自動化伺服器Jenkins在上周的安全公告中<a href="https://www.jenkins.io/security/advisory/2025-05-14/" target="_blank">揭露5個外掛程式的安全漏洞</a>，其中，最嚴重的是WSO2 OAuth的身分驗證繞過漏洞CVE-2025-47889，它的CVSS風險評分高達9.8，另一個同屬重大（Critical）漏洞的是涉及OpenID Connect 的CVE-2025-47884，其CVSS風險評分為9.1。</p> <p>WSO2 OAuth為Jenkins上的一個身分驗證外掛程式，可讓使用者透過OAuth 2.0協議登錄Jenkins。然而，CVE-2025-47889允許駭客使用任意帳號與密碼登入Jenkins，包括不存在的用戶名稱，若授權政策設定為「登入用戶擁有全部權限」，那麼駭客即可直接取得管理員控制權，等於接管Jenkins。</p> <p>由於CVE-2025-47889尚未被修補，使用者應該直接停用它，改用其它的身份驗證方式。</p> <p>至於OpenID Connect Provider亦為Jenkins上的身分驗證外掛程式，整合基於OpenID Connect（OIDC）的單點登錄功能，還能替每個Jenkins任務生成ID Token，供外部服務驗證身分。而當該外掛程式使用環境變數來組裝ID Token時，並未檢查這些變數是否被惡意竄改過，而形成CVE-2025-47884漏洞，可能允許駭客冒充他人身分，或是污染供應鏈。</p> <p>開發者已禁止使用被覆蓋的環境變數生成Token，修補了CVE-2025-47884。</p> <p>其它漏洞還包括涉及Health Advisor by CloudBees的CVE-2025-47885，與Cadence vManager有關的CVE-2025-47886與CVE-2025-47887，以及DingTalk的CVE-2025-47888。</p> <p>其中，Health Advisor by CloudBees是專門用來分析Jenkins實例性能與安全狀態的健康監測外掛程式，可上傳分析資料至CloudBees伺服器並取得建議，而CVE-2025-47885則允許駭客偽造伺服器回應，於Jenkins管理介面植入惡意程式，CVSS風險評分為8.8，被視為高風險漏洞。另外3個漏洞則被列為中度風險漏洞。</p> </div></div></div>
2025/5/19 08:45作者林妍溱https://www.ithome.com.tw/news/169006
惡意軟體FrigidStealer假借Safari更新做為誘餌，攻擊macOS用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://hackread.com/frigidstealer-malware-macos-fake-safari-browser-update/" target="_blank">安全專家發現</a>，一隻名為FrigidStealer的竊密程式冒充Safari更新散布，竊取Mac電腦用戶密碼、虛擬貨幣錢包憑證等敏感資料。</p> <p><a href="https://thehackernews.com/2025/02/new-frigidstealer-malware-targets-macos.html" target="_blank">FrigidStealer是在今年初首次現蹤</a>，當時是由代號TA2727的駭客組織，使用代號TA2726的組織所運作的惡意流量散布系統（traffic distribution system，TDS）散布竊密程式。<a href="https://www.proofpoint.com/us/blog/threat-insight/update-fake-updates-two-new-actors-and-new-mac-malware" target="_blank">資安廠商Proofpoint研究人員指出</a>，TA2727和另一個組織TA569（又名 Mustard Tempest Gold Prelude、Purple Vallhund）都是由TA2726服務，它們合作以JavaScript 注入程式注入網站中，冒充瀏覽器更新散布，而FrigidStealer則專門鎖定Mac用戶。</p> <p><a href="https://wazuh.com/blog/detecting-frigidstealer-malware-with-wazuh/" target="_blank">最新的FrigidStealer攻擊活動是由資安廠商Wazuh發現</a>，稱攻擊活動來自EvilCorp。EvioCorp目標涵括消費用戶和企業，竊取用戶或加密貨幣錢包憑證資料，造成身份竊取或財物詐騙。EvilCorp和前述的TA569關係密切。</p> <p>這家廠商研究人員說明，FrigidStealer最早可追溯到2025年1月，它專門鎖定macOS電腦進行金錢為目標的攻擊。它冒充Safari瀏覽器更新程式，誘使用戶下載磁碟映像檔（disk image file, DMG）。下載該程式需要用戶手動在AppleScript程式中輸入密碼，這可繞過macOS內建防毒工具Gatekeeper。一旦安裝完成，FrigidStealer就會在Mac電腦上蒐尋敏感資料，並連向外部C2（command-and-controller）伺服器，經由DNS通道外洩資料。</p> <p>FrigidStealer是利用社交工程及高明手法竊取敏感資料，研究人員提醒用戶提高警覺，時時留意系統是否有異常活動，並安裝安全工具。</p> </div></div></div>
2025/5/19 08:56作者林妍溱https://www.ithome.com.tw/news/169007
OpenAI公布ChatGPT程式撰寫代理人Codex 可多任務平行作業
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/index/introducing-codex/" target="_blank">OpenAI公布ChatGPT程式撰寫代理人Codex研究預覽版</a>，可幫工程師撰寫程式、回答問題、並且為程式除錯。</p> <p>Codex上周已開放給ChatGPT Pro、Team與Enterprise方案，很快會開放給Plus和Edu方案用戶使用。</p> <p>Codex使用codex-1模型，後者是OpenAI o3模型為軟工優化的版本，是以各種環境的真實程式編寫作業為訓練資料集，利用強化學習方法訓練而成。</p> <p>作為軟工工程師輔助工具，Codex能模仿人類工程師形式及拉取（pull request）偏好撰寫功能程式碼、回答codebase問題、除錯、並建議檢查的pull request。它會確實遵守指示，還能反覆測試直到獲得程式通過的結果。每項任務都在各自雲端沙箱環境分開執行。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0519-openai%20agent-Codex-3.png" style="width: 600px;" /></p> <p>Codex可經由開發人員程式庫中的AGENTS.md檔加以引導。和人類一樣，如果提供它開發環境配置、穩定的測試設定和明確的文件，Codex代理人效果會更好。AGENTS.md檔案是類似README.md的文字檔案，開發團隊可在其中指示Codex如何跑程式codebase、執行測試、遵循專案的標準作業。</p> <p>不過即使沒有AGENT.md，Codex也有優異表現。OpenAI公布SWE-Bench Verified標竿測試，顯示codex-1的準確率高出o4-mini-high及o3-high的跑分結果。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0519-openai%20agent-Codex-benchmark-1.png" style="width: 542px;" /></p> <p>具有啟用資格的開發人員現在就可從ChatGPT側邊工具欄使用Codex。OpenAI詳細說明，使用者可在提示列中輸入「Code」讓Codex寫新程式，輸入「Ask」詢問程式問題。每項任務都是在分開執行。Codex能讀取和編輯檔案、執行指令，像是test harnesses、linters和 type checkers。視任務複雜性而定一般可在1到30分鐘內完成，用戶也能即時監控Codex進度。一旦完成，它會並提供log及測試結果供開發人員檢視。用戶可要求它進一步修改、開啟GitHub pull request或直接將其變更整合到環境中。<span style="font-size:14px;"><span style="color:#696969;">圖片來源／OpenAI</span></span></p> </div></div></div>
2025/5/19 09:03作者林妍溱https://www.ithome.com.tw/news/169008
導入Blackwell架構、GDDR7，輝達專業繪圖GPU邁入新紀元
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/nvidia_rtx_pro_6000_blackwell_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>接續<a href="https://www.ithome.com.tw/tags/nvidia-ampere">Ampere架構</a>與<a href="https://www.ithome.com.tw/tags/nvidia-ada-lovelace">Ada Lovelace架構</a>之後，Nvidia專業繪圖加速器產品線今年終於邁入<a href="https://www.ithome.com.tw/tags/nvidia-blackwell">Blackwell架構</a>，在3月底舉行的GTC大會，該公司發表RTX Pro Blackwell系列，涵蓋工作站與資料中心GPU，運用加速運算、AI推論、光線追蹤，以及類神經渲染處理（neural rendering）等多項創新技術，重新定義AI、高科技、工程與設計等專業領域的工作流程。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Nvdia GTC 2025-RTX Pro Workstation.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvdia%20GTC%202025-RTX%20Pro%20Workstation.jpg" style="width: 500px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/nvidia-rtx-pro-blackwell-workstations-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/nvidia-rtx-pro-blackwell-workstations-web.jpg" style="width: 500px;" /></a></p> <p>RTX Pro Blackwell系列細分為3大類型：資料中心GPU、桌上型電腦工作站GPU、筆電工作站GPU，首波5月上市的產品是桌上型電腦工作站GPU，包含：RTX Pro 6000 Blackwell Workstation Edition、RTX Pro 6000 Blackwell Max-Q Workstation Edition，這兩款最大差別在於熱設計功耗（600瓦 vs. 300瓦），以及散熱方式（雙風扇 vs. 單風扇）；而RTX Pro 5000 Blackwell、RTX Pro 4500 Blackwell、RTX Pro 4000 Blackwell這三款產品，預計夏季供貨，目前Nvidia皆已在網站公開細部規格。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RTX Pro Desktop.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RTX%20Pro%20Desktop.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/RTX Pro 6000 Comparison.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RTX%20Pro%206000%20Comparison.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/nvidia-rtx-pro-blackwell-desktop-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/nvidia-rtx-pro-blackwell-desktop-web.jpg" style="width: 298px;" /></a></p> <p>資料中心GPU產品RTX Pro 6000 Blackwell Server Edition，Nvidia只說很快就會推出，Nvidia僅在網站列出簡要規格；筆電GPU產品，則有RTX Pro 5000 Blackwell、RTX Pro 4000 Blackwell、RTX Pro 3000 Blackwell、RTX Pro 2000 Blackwell、RTX Pro 1000 Blackwell、RTX Pro 500 Blackwell，預計今年稍後推出。</p> <p><a href="https://s4.itho.me/sites/default/files/images/NVIDIA RTX PRO Laptop GPUs.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/NVIDIA%20RTX%20PRO%20Laptop%20GPUs.jpg" style="width: 198px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/nvidia-rtx-pro-blackwell-laptop-web.jpg" style="width: 398px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/NVIDIA GPUs Recommended for Virtualization.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/NVIDIA%20GPUs%20Recommended%20for%20Virtualization.jpg" style="width: 600px;" /></a></p> <p>RTX Pro Blackwell系列GPU標榜8大特色，分別是：採用更大規模的串流多處理器（Streaming Multiprocessor，SM）、第五代Tensor核心、第四代RT核心、更大容量與更快速的記憶體GDDR7、多媒體編碼器NVENC第9代、多媒體解碼器NVDEC第6代、PCIe 5.0介面、DisplayPort 2.1視訊連接埠、GPU多執行個體（MIG）。除了MIG，其餘皆是<a href="https://www.nvidia.com/en-us/geforce/news/rtx-50-series-graphics-cards-gpu-laptop-announcements/">今年1月推出的GeForce RTX 50系列</a>主打的新功能。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Nvidia GDDR7 compared to prior generation GDDR6.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20GDDR7%20compared%20to%20prior%20generation%20GDDR6.jpg" style="width: 600px;" /></a></p> <p>關於運算組態的配置，這批GPU搭配的串流多處理器，吞吐量可提高1.5倍，並新增類神經著色器（neural shaders），能在可程式化著色器內部整合AI技術，帶動AI增強（AI-augmented）類型的繪圖處理應用。</p> <p><a href="https://s4.itho.me/sites/default/files/images/SM architecture evolved between Ada and Blackwell.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/SM%20architecture%20evolved%20between%20Ada%20and%20Blackwell.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Blackwell SM.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Blackwell%20SM.jpg" style="width: 98px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Nvidia GB202.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20GB202.jpg" style="width: 498px;" /></a></p> <p>而在Blackwell架構引進的第五代Tensor核心當中，能為RTX Pro Blackwell系列GPU提供的AI運算效能，最高可達到4,000 TOPS，相較於上一代專業繪圖GPU產品，在大型語言模型的處理，可提供3倍的效能。</p> <p>關於運算精度，除了既有專業繪圖GPU產品支援的FP16、BF16、TF32、INT8，以及Hopper架構GPU產品支援的FP8（Transformer Engine），第五代Tensor核心也增加FP4與FP6的處理，並提供類似資料中心GPU產品的第二代FP8 Transformer Engine。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Nvidia Blackwell Support FP4-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%20Blackwell%20Support%20FP4-1.jpg" style="width: 600px;" /></a></p> <p>此外，第五代Tensor核心支援具有多畫格生成（Multi Frame Generation）功能的DLSS 4技術，可實現AI驅動的繪圖處理，也能針對更大規模AI模型提供執行的能力，以及加速此類應用的原型設計（prototype）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/DLSS 4 Multi Frame Generation.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/DLSS%204%20Multi%20Frame%20Generation.jpg" style="width: 600px;" /></a></p> <p>接著，我們看看RTX Pro Blackwell系列GPU搭配的第四代RT核心，導入Nvidia發展的RTX Mega Geometry技術（RTXMG），可在光學追蹤應用當中，大幅增加幾何學（geometric）的細節呈現與對應能力。</p> <p>相較於Nvidia上一代專業繪圖GPU，在建立逼真圖像、具有物理等級精確度（physically accurate）場景，以及複雜的3D內容設計時，內建第四代RT核心的RTX Pro Blackwell系列GPU，可提供兩倍的處理效能——光線與三角形相交（ray-triangle intersection），若啟用RTXMG技術，光線追蹤三角形（ray-traced triangles）的處理效能可提升至100倍。</p> <p><a href="https://s4.itho.me/sites/default/files/images/New Fourth-Generation RT Core.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/New%20Fourth-Generation%20RT%20Core.png" style="width: 600px;" /></a></p> <p>針對AI與大規模圖形運算最迫切需要的高速與大容量記憶體資源，RTX Pro Blackwell系列GPU搭配GDDR7記憶體，存取介面擴增至512位元（Ampere架構與Ada Lovelace架構GPU搭配GDDR6X記憶體，存取介面為384位元），頻寬可達1,792 GB/s（Ampere架構為936 GB/s，Ada Lovelace架構為1,008 GB/s）。</p> <p>而在工作站與伺服器等級的GPU產品上，RTX Pro Blackwell系列最多可搭配96 GB的容量。在筆電等級的GPU產品上，RTX Pro Blackwell系列最多可搭配24 GB的容量。相較之下，Ampere架構與Ada Lovelace架構的專業繪圖GPU，最多搭配48 GB。</p> <p>基於上述記憶體配置，RTX Pro Blackwell系列GPU可處理更大規模、複雜度更高的資料集，涵蓋巨型的3D與AI專案，以及大型虛擬實境應用。</p> <p>除了運算元件、記憶體的突破，RTX Pro Blackwell系列GPU另一個變革，在於支援PCIe 5.0介面，可運用兩倍的I/O頻寬，能改善與處理器、記憶體之間的傳輸速度，因應AI、資料科學、3D建模等資料密集型的任務。對照既有的Ampere架構與Ada Lovelace架構的專業繪圖GPU，均支援PCIe 4.0。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RTX Pro Desktop models.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RTX%20Pro%20Desktop%20models.jpg" style="width: 600px;" /></a></p> <p>值得注意的是，過往Nvidia僅在資料中心GPU產品提供的GPU多執行個體功能，像是A100、A30、H100、H200、B200、GB200，如今在Blackwell世代的產品即將全面上市之際，終於下放至專業繪圖GPU。</p> <p>根據Nvidia目前公開的產品資訊來看，RTX Pro Blackwell系列當中，RTX Pro Blackwell系列GPU的6000、5000均支援MIG。</p> <p>其中，RTX Pro的資料中心GPU產品：6000 Blackwell Server Edition，以及桌上型電腦與工作站GPU產品：6000 Blackwell Workstation Edition與6000 Blackwell Max-Q Workstation Edition，皆可分割成2個各自配置48 GB記憶體的GPU，或4個各自配置24 GB記憶體的GPU；桌上型電腦與工作站GPU產品RTX Pro 5000 Blackwell，可分割成2個各自配置24 GB記憶體的GPU。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RTX PRO Blackwell MIG Configurations.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/RTX%20PRO%20Blackwell%20MIG%20Configurations.png" style="width: 600px;" /></a></p> <p>而且，這些GPU都是完全隔離的執行個體，具有專屬的記憶體、快取、運算核心，以及服務等級（QoS），加速運算資源的供應可藉此擴大範圍，涵蓋至每個使用者的需求，而且，能針對個別工作負載提供安全、有效率的資源分配，透過故障隔離（Fault isolation）機制，可預防彼此干擾，並獲得更充分發揮的效能與使用彈性。</p> <p><a href="https://s4.itho.me/sites/default/files/images/NVIDIA GPU Support MIG.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/NVIDIA%20GPU%20Support%20MIG.jpg" style="width: 600px;" /></a></p> <p>關於多媒體資訊的處理，RTX Pro Blackwell系列GPU在傳輸介面的部分，支援DisplayPort 2.1（2.1b）的規格，能處理與呈現高解析度的視訊顯示需求，例如，解析度4K、更新率480 Hz的螢幕畫面，以及解析度8K、更新率165 Hz的螢幕畫面。Nvidia表示，增加的顯示頻寬可實現更流暢的多顯示器設定，而且，支援高動態範圍（HDR）與更高的色彩深度，能夠針對影片編輯、3D設計、網路視訊直播等任務，提供更精準的色彩呈現。</p> <p>而在多媒體編碼加速的部分，RTX Pro Blackwell系列GPU內建Nvidia第9代編碼器，新支援H.264編碼、HEVC編碼的4:2:2色彩取樣方式，提升影片編碼處理的速度，以及改善專業繪圖應用程式的影片品質（HEVC編碼、AV1編碼）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Nvidia 4-2-2 Provides 2X the Color Information.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Nvidia%204-2-2%20Provides%202X%20the%20Color%20Information.png" style="width: 600px;" /></a></p> <p>解碼加速的部分，這批GPU內建Nvidia第6代解碼器，針對H.264解碼、HEVC解碼的4:2:2色彩取樣，提供支援，而在處理H.264解碼工作的吞吐量，也能增加1倍。因此，能提供高畫質的影片播放、加速影片資料的擷取，以及運用進階、AI輔助的影片編輯功能。</p> <p><a href="https://s4.itho.me/sites/default/files/images/RTX A6000 vs RTX 6000 Ada vs RTX PRO 6000 Blackwell Full Specs-1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/RTX%20A6000%20vs%20RTX%206000%20Ada%20vs%20RTX%20PRO%206000%20Blackwell%20Full%20Specs-1.png" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/RTX%20A6000%20vs%20RTX%206000%20Ada%20vs%20RTX%20PRO%206000%20Blackwell%20Full%20Specs-11.jpg" style="width: 600px;" /></p> <p><a href="https://s4.itho.me/sites/default/files/images/RTX A6000 vs RTX 6000 Ada vs RTX PRO 6000 Blackwell Full Specs-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/RTX%20A6000%20vs%20RTX%206000%20Ada%20vs%20RTX%20PRO%206000%20Blackwell%20Full%20Specs-3.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong><span style="color:#0000FF;">Nvidia RTX Pro 6000 Blackwell</span></strong><br /> ●原廠：Nvidia<br /> ●建議售價：廠商未提供<br /> ●版本：伺服器版、工作站版、Max-Q工作站版<br /> ●外形：雙槽，伺服器版與Max-Q工作站版均為長10.5吋高4.4吋，工作站版長12吋高5.4吋<br /> ●GPU架構：Blackwell<br /> ●CUDA處理核心數量：24,064個<br /> ●Tensor核心數量：伺服器版提供752個（第五代Tensor核心）<br /> ●RT核心數量：伺服器版提供188個（第四代RT核心）<br /> ●內建記憶體容量：96 GB GDDR7<br /> ●記憶體頻寬：伺服器版1,597 GB/s，工作站版、Max-Q工作站版1,792 GB/s<br /> ●連接介面：PCIe 5.0 x16<br /> ●支援NVLink：否<br /> ●單精度運算效能：伺服器版117 TFLOPS、工作站版125 TFLOPS、Max-Q工作站版110 TFLOPS<br /> ●RT核心效能：伺服器版354.5 TFLOPS、工作站版380 TFLOPS、Max-Q工作站版333 TFLOPS<br /> ●AI運算效能（FP4）：伺服器版3.7 PFLOPS、工作站版4,000 TOPS、Max-Q工作站版3,511 TOPS<br /> ●視訊連接埠：2.1b版DisplayPort規格，4個<br /> ●視訊處理引擎：4個NVENC（第9代）、4個NVDEC（第6代）<br /> ●多執行個體GPU（MIG）：4個24 GB記憶體或2個48 GB記憶體<br /> ●耗電量：工作站版600瓦，Max-Q工作版300瓦<br /> ●支援繪圖處理API：Shader Model 6.6、OpenGL 4.63、DirectX 12、Vulkan 1.3<br /> ●支援運算處理API：CUDA 12.8、DirectCompute、OpenCL 3.0</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/5/19 00:30作者李宗翰https://www.ithome.com.tw/review/168875
【臺灣資安大會直擊】當人資遇上資安挑戰：半導體公司人資主管解析，資安證照如何助力公司和個人價值提升
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在數位轉型浪潮席捲各產業的今天，「資安即國安」的口號已深入人心，然而，談及企業資安，大眾的目光往往聚焦IT部門的技術防禦。事實上，在企業運作的核心深處，人力資源（HR）和財務部門正因其獨特的工作性質和所處理的敏感資料，悄然成為企業資安防線中最為關鍵的「前沿」陣地。</p> <p>某半導體公司財務與人資主管鄭惠如（RuRu Cheng），她日前在「臺灣資安大會」Cyber Talent Forum的演講中，以逾十年的財務人資經驗及資安領域的跨界視角，深入剖析為何人資和財務部門必須重視資安意識與相關證照，以及對於個人職涯和企業安全所帶來的深遠影響。</p> <h2><strong>人資與財務部門成資安「關鍵前沿」</strong></h2> <p>鄭惠如指出，人資和財務部門之所以站在資安風險的最前線，核心原因在於他們日常工作中接觸並處理著企業內「最敏感」且「最具價值」的資訊。人資部門掌握員工的個人資料，包括姓名、身分證、薪資結構等；更重要的是，如健檢報告這類資料，在個資法中屬於特種個資，其處理和保護要求極高。</p> <p>至於財務部門，更是企業的經濟命脈，觸及銀行帳戶、客戶交易記錄、薪資發放等高度敏感的財務資訊，鄭惠如表示，這些資料一旦外洩，輕則公司商譽受損、引發員工信任危機，重則引發嚴重的經濟損失和法律訴訟。</p> <p>她也引述數據，資安事件的平均損失成本在100萬至330萬美元之間，且識別與修復時間更是長達283天，對於資本額僅數千萬的臺灣許多中小企業而言，往往只要發生一次資安事件，就可能是公司無法承受之重，更可能直接危及企業的永續經營。</p> <p>除了資料本身的敏感性，人資和財務部門在企業流程也扮演核心角色。鄭惠如以她參與公司上市櫃輔導的經驗為例，強調券商和會計師事務所審查企業時，第一優先稽核的業務流程就是財務和人事；在輔導過程中，也會要求公司進行個資自評，建立相關流程和制度。這意味著，人資和財務這兩個部門的資安意識和流程規範程度，直接影響著企業能否通過合規審查，是企業健全運作的晴雨表。</p> <h2><strong>人資和財務部門是社交工程鎖定攻擊目標</strong></h2> <p>鄭惠如引用報告指出，人為因素依然是資安風險的最大來源，因為人資和財務部門頻繁與人互動並處理大量資料，特別容易成為社交工程和內部風險的攻擊目標。</p> <p>她從過往的工作經驗中，也分享幾個令人警惕的親身經歷。首先，最常遇到的就是社交工程郵件的詐騙，主要是駭客假冒財政部、法務部等政府機關並寄送相關釣魚郵件。她說，因為駭客在偽造這類釣魚郵件時，信件內容不僅有邏輯且真實性越來越高，許多人一不小心就會信以為真，點擊信件所附的連結或開啟附檔，之後可能被植入惡意程式。「一旦被植入惡意程式，公司就可能發生機敏資料外洩的情況。」她說。</p> <p>此外，她也觀察到，有些人在咖啡廳或超商休息時，隨意聊天的內容可能不小心洩露公司資訊，這些看似無意的行為，都可能被有心人士或駭客用於社交工程攻擊。</p> <p>其次就是機敏資料外洩的問題，例如，人資部門在發送新招聘員工Offer Letter（聘用通知書）時，可能因疏忽而發錯對象，導致應徵者的薪資等敏感資訊被公司資深員工看到，引發內部不滿和信任危機。鄭惠如坦言，親歷此事後，公司才開始思考，如何透過加密等技術手段解決這個問題。</p> <p>第三，實體文件的安全漏洞，鄭惠如表示，即使公司有警衛控管辦公大樓的門禁，但也曾發生新人面試職務時，員工在與其互動的過程中，不慎將包含銀行往來紀錄的敏感文件帶入，這也突顯實體安全流程的人為疏忽風險。</p> <p>第四，不安全的行為習慣。鄭惠如表示，公司過往有些員工可能因記不住密碼而將其直接貼在螢幕旁，或者是舉目可見之處。她說，儘管公司對全體員工進行相關的資安意識教育訓練，但為了一時方便的危險習慣仍然存在，而成為公司的資安盲點。</p> <p>第五，AI工具的不當使用。隨著AI工具普及，員工可能在不了解風險的情況下，將會議記錄、公司營業秘密或個資等敏感資料等，直接放在AI工具分析或訓練。鄭惠如提到，有些研發單位可能沒按照公司規定的流程使用AI工具，導致相關研發資料發生洩漏風險。她觀察到這樣的現象，於是在公司內部撰寫文章，提醒員工小心AI工具的資安議題。</p> <h2><strong>離職員工與特權帳號的潛藏危機</strong></h2> <p>最後，也是鄭惠如最膽顫心驚的資安問題：離職員工和特權帳號帶來的資安風險，人資和財務部門必須特別關注！</p> <p>她提到，有朋友公司的員工離職兩年後，其帳號密碼竟然仍然有效。而這起案例也暴露該公司在離職流程的嚴重問題：沒確實收回離職員工帳號權限。她強調，即使公司有離職確認清單並經過IT部門確認，人為疏忽仍可能導致某些帳號，特別是具有部門特色、IT部門不了解存在的特權帳號，遭到遺漏而未在該名員工離職後立即停用。</p> <p>她以財務人員的角度指出許多類型的特權帳號，並不歸IT部門管理，例如網路銀行的帳號密碼、工商憑證等。這些帳號通常由財務或行政部門申請和保管，這也導致公司的IT部門根本不知道它們的存在。</p> <p>由於這些特權帳號具有極大的權限，她指出，一旦落入有心人士手中，可能被用於交換利益，例如要求修改支票日期或是進行不正當的財務操作等。因此，如何在離職員工的流程中，關注某些不在IT部門控管的特權帳號，也是確保公司資安非常重要的關鍵。</p> <p>更令人擔憂的是，鄭惠如認為現代員工抗壓性普遍不高，有些員工被資遣、心情無法調適時，可能出於情緒而搗亂公務系統。她回憶早年參加軟體開發的工作經驗時，曾看到許多跨國企業處理員工離職時，傾向讓員工當場離開公司，而且，寧可支付員工剩餘的薪水，就是為了避免某些員工在持有帳號權限時，做出公司無法預料的事情。</p> <p>相較之下，許多臺灣企業可能基於成本或其他考量，並未採行此一相對不近人情的做法，然而，相對而言，這也意味著公司可能忽略這麼做背後隱藏的巨大資安代價。</p> <h2><strong>提升財務和人資部門資安意識，刻不容緩</strong></h2> <p>面對上述嚴峻的風險，人資和財務部門提升資安意識已刻不容緩。鄭惠如認為，這不僅是為了規避風險，更是讓這些部門同仁，如何從「風險前沿」轉變為企業資安的「防禦前線」的關鍵。</p> <p>她也基於自身經驗，說明如何透過公司內部的資安教育訓練，有意識地協助人資和財務部門同仁培養資安風險的意識，讓他們能夠更主動地識別風險、優化流程，並做到與IT部門有效協作。</p> <p>首先，強化機敏資料保護，像是讓人資和財務部門同仁意識資料的重要性，例如，健檢報告是特種個資，Offer Letter包含敏感薪資等，這些認知的養成之後，都會促使他們更願意尋求更安全的資料傳輸和儲存方式，例如，在傳送機敏資料文件時進行加密，並使用只有收件人知道的驗證因子，作為解開機敏文件的密碼。</p> <p>其次，落實個資法的法規遵循。她強調，在導入如人臉辨識的門禁等新系統時，具備資安意識的人資部門同仁，就會主動思考個資收集的合規性，要求需取得個資使用的授權同意書，並明確告知員工相關資料的使用目的、可取得單位，以及資料的生命週期（何時銷毀）等。鄭惠如認為，這不僅保護員工隱私，也建立組織內部的信任基礎。</p> <p>第三，優化公司內部的資安流程。她提及，人資部門在員工離職的流程中，其實扮演了核心角色，如果可以提升人資部門同仁的資安意識，並確保他們與IT部門能夠彼此溝通並做確認，不僅可以做到確保離職員工的帳號立即停用、設備確實回收，如此一來，就能夠避免「離職員工帳號兩年後還能用」的情況發生。</p> <p>至於針對財務部門的同仁，她說，可以在執行採購新系統、設備或申請特權帳號時，主動將這些通報和記錄的資訊彙整給IT部門，之後，就能協助IT部門進行全面的帳號盤點和管理。</p> <p>鄭惠如認為，這種彙整的動作，是她在擔任財務角色後才意識到的流程，這也說明，許多流程中的資安細節，往往需要身處該崗位的人才能發現。</p> <p>最後，建立與推廣資安文化。鄭惠如以身為財務和人資部門主管的經驗指出，公司如果可以規畫社交工程演練，不僅可以提升員工對釣魚郵件的警覺，也可以透過各種密碼管理等工作坊的活動，持續強化員工的資安意識，並培養組織的安全文化。</p> <p>她表示，人資部門可以透過對員工關懷的過程中，發現不安全的使用習慣，例如密碼張貼在螢幕旁邊等，也能及時介入並思考解決方案；其他有助於加強公司對資安細節的重視，包含個資、薪資或其他機敏資料的檔案加密，或是採用人臉辨識的門禁系統等，也能提升公司對外的專業形象。</p> <h2><strong>資安證照是數位時代通識，可從CC證照入手</strong></h2> <p>那麼，資安證照在這一轉型過程中，扮演何種角色？鄭惠如堅定地表示，資安證照絕非IT工程師的專屬。她認為，資安證照是「數位時代的通識」，有一些基礎的資安證照，特別適合任何有機會處理機敏資訊、管理風險、推動轉型的人。「對於人資和財務這類非IT背景的專業人士而言，取得資安證照能帶來多重顯著的好處。」她說。</p> <p>最明顯而立即的好處就是：有助於建立共通語言與提升溝通效率。鄭惠如指出，資安證照能幫助人資和財務人員建立資安基礎概念，擁有與IT部門溝通的共通語言，這也使得跨部門協作更加順暢，無論是在制定資安政策、應對突發事件，或是在日常工作中匯報資安疑慮，都能更有效率。</p> <p>其次，有助於提升專業形象與信任基礎。鄭惠如表示，人資和財務部們在處理敏感的個資和財務資料時，具備資安知識不僅能對內展現專業性，建立組織內部的信任基礎；對外，在與外部稽核、客戶、供應鏈夥伴等進行互動時，因為對資安有基本理解也能展現專業形象，使應對更具說服力。她就曾經發現，因為公司對檔案加密等小細節的注重，讓員工覺得公司很注重資安，也提升了對外的形象。</p> <p>第三，賦能政策制定與流程優化，將資安觀點整合到人資和財務等內部控制措施和業務流程中，也能提升規範的全面性與執行力。她認為，人資懂資安，能更有效率地參與制定員工離職流程的安全規範、資料保留等政策。</p> <p>第四，擴展職涯視野與晉升機會。她認為，資安證照證明了非IT背景人士，具備跨領域學習的能力，這使得相關的人資和財務部們同仁，在企業內部更具競爭力，也有更多機會擔任管理職或進行橫向調動，特別是那些需要跨部門協作或涉及資訊治理的專案。她也引述報告數據顯示，跨領域人才擔任管理職的比例（59%）遠高於單一專長者（30.9%）。</p> <p>第五，具備增加薪資的潛力。她表示，具備雙專長的人才，其薪資中位數相較於單一專長者高出近萬元，像是資安證照能為人資或財務專業人士，增加關鍵的「雙專長」優勢。</p> <p>最後，資安證照可以作為優化人才招募與篩選參考。她以個人經驗觀察到，具備資安知識的人資，在篩選履歷時，更能識別出具備基礎資安概念的應徵者，即使應徵職位非純資安，這也能視為加分項，有助於建立整體員工的資安意識防線。</p> <p>對於非IT背景的人資和財務人員，如何踏出資安證照的第一步？鄭惠如建議，ISC2的CC（Certified in Cybersecurity）就是一個最好的入門級證照。她特別提到，CC證照第一次考試是免費的，ISC2也會提供官方教材和線上學習資源。她認為，即使不參加CC證照考試，光是學習這些教材並完成練習題，也能建立基礎的資安概念和了解。</p> <p>除了證照本身，鄭惠如認為參與資安社群具有極大的影響力。她本人身為ISC2臺北分會（Taipei Chapter）的監事和臺灣敏捷部落Agile HR的社長，透過每個月的講座或社群交流，都有助於強化人資和財務等非IT背景成員的資安意識和提升第二專長。</p> <p>鄭惠如分享了臺灣敏捷部落中一些商科背景的人資夥伴，在她的帶領和社群學習下，成功考取CC證照，甚至有夥伴在考取CC證照後被調往公司其他部門，並進一步考取了CISSSP證照。她說：「這證明了資安證照和社群力量，能夠實質推動個人的職涯發展。」</p> <h2><strong>說服公司高層投資資安，從免費資源到風險規避</strong></h2> <p>如何說服企業高層投資員工資安培訓與證照預算？鄭惠如建議，可以從「零成本」的ISC2 CC證照開始推廣，鼓勵員工先利用免費資源學習基礎知識。</p> <p>例如，對照資安事件的高額損失成本和漫長修復時間，投資於員工資安意識提升和證照培訓，實際上是降低潛在巨大經濟損失的有效手段，是企業永續經營的基礎投入。</p> <p>再者，許多法規和證券交易所已對資安提出明確要求，提升員工資安意識並擁有相關證照，有助於企業通過外部稽核，降低法律風險。</p> <p>第三，員工資安意識提升能減少因人為疏失導致的問題，提高工作效率。對資安的重視也能作為雇主品牌的差異化籌碼，吸引並留住具備前瞻視野的人才。</p> <p>以人才招募為例，鄭惠如從人資的視角，解釋了他們如何看待資安證照與個人能力的關係。她指出，HR在篩選履歷時，不只是看證照本身，更關注證照的「辨識度」（指業界是否普遍認可）、「實用性」（指能否對應工作技能）和「職位對應度」（指是否適合該職位）。</p> <p>她坦承，人資部門通常不具備深厚的IT技術背景，他們需要透過證照這類具備「辨識度」的標示，來快速判斷應徵者是否具備基礎的資安概念。用她的話來說：「如果沒考到證照，沒有辦法在人資部門面前證明你具備相關技能」。她說：「證照就像履歷的『第一關篩選器』。」</p> <p>然而，她也認同「考上證照不代表你有能力」的觀點。為了辨識應徵者的實際能力，人資會進一步查看應徵者其他的學習經驗，例如是否參加過相關社群、工作坊，是否有實際專案經驗或作品；相關部門主管在面試時，也會深入詢問證照相關的內容，以判斷應徵者是否「真正」理解並能運用所學知識。</p> <p>對於非IT背景的應徵者，她建議可以透過量化成果或情境敘事，具體說明如何在實際工作中，運用資安概念解決問題或優化流程，來證明自己的實用性和價值。</p> <p>鄭惠如深刻意識到：在日益複雜的數位環境中，資安防線已不再是IT部門的單一責任。她坦言，人資和財務部門作為企業核心資料和流程的管理者，其資安意識和能力，甚至直接關係到企業的生死存亡與永續發展。</p> <p>她以財務和人資主管的經驗，鼓勵相關同仁提升資安意識、優化內部流程，以及積極取得資安證照，讓人資和財務專業人士，不僅能有效防範潛在風險，成為企業資安的關鍵前沿，更能為自身創造跨領域的職涯優勢，迎向更具競爭力的未來。鄭惠如說：「全員資安，從你我開始。」</p> </div></div></div>
2025/5/16 16:52作者黃彥棻https://www.ithome.com.tw/news/169002
【資安日報】5月16日，中國駭客、勒索軟體駭客將SAP NetWeaver滿分漏洞用於實際攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>SAP於4月下旬緊急修補已被用於實際攻擊的滿分漏洞CVE-2025-31324，自一週前有資安業者指出有中國駭客4月底掃描存在漏洞的NetWeaver伺服器後，如今有更多調查結果出爐，至少有5組人馬加入利用漏洞的行列。</p> <p>值得留意的是，利用這項漏洞的不光是國家級駭客，以牟取經濟利益為導向的勒索軟體駭客也參與其中，因此這項漏洞的後續情勢仍相當值得留意。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168966"><strong style="font-size: 22px;">中國駭客、勒索軟體駭客加入利用SAP NetWeaver滿分漏洞的行列</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/SAPNetweaver001.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/SAPNetweaver001.png" style="width: 300px; float: right;" /></a></p> <p>4月24日SAP緊急修補應用程式伺服器NetWeaver重大層級漏洞CVE-2025-31324，由於這項漏洞發現的時候已被用於攻擊NetWeaver，再加上危險程度達到滿分10分，後續的動態引起許多研究人員關注，在5月13日SAP修補駭客利用的另一項漏洞CVE-2025-42999（CVSS風險為9.1分）之後，資安業者EclecticIQ、ReliaQuest指出，有更多駭客組織將其用於攻擊行動。</p> <p>威脅情報業者EclecticIQ指出，他們確認有3組中國駭客在利用CVE-2025-31324從事攻擊行動，而且，這些駭客與中國國家安全部（MSS）有關，分別被稱為CL-STA-0048、UNC5221，以及UNC5174。而這是在資安業者Forescout揭露之後，再有研究人員點名中國駭客組織的情況。</p> <p>除了國家級駭客利用CVE-2025-31324，也有勒索軟體駭客加入的情形。資安業者ReliaQuest指出，俄羅斯勒索軟體駭客「變臉（BianLian）」與另一個勒索軟體家族RansomEXX，將這項漏洞用於實際攻擊行動。</p> <p><a href="https://www.ithome.com.tw/news/168993"><strong style="font-size: 22px;">APT28利用郵件系統漏洞從事網路間諜活動，鎖定政府機關竊取重要資料</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/RoundPress-2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/RoundPress-2.png" style="width: 300px; float: right;" /></a></p> <p>駭客盯上電子郵件伺服器長時間未修補已知漏洞的情況，從過往針對微軟Exchange為主，最近3到4年逐漸針對Roundcube、Zimbra等郵件伺服器而來，雖然多半使用已知漏洞來達到目的，但也有利用零時差漏洞的情況。</p> <p>例如，資安業者ESET揭露名為Operation RoundPress的攻擊行動，就是典型的例子。被稱為APT28、Fancy Bear、Forest Blizzard、Strontium的俄羅斯駭客組織，藉由電子郵件系統的跨網站指令碼（XSS）漏洞，於網頁介面注入惡意JavaScript指令碼SpyPress，針對政府機關與國防相關的公司而來，透過惡意酬載竊取帳密，然後從使用者的信箱挖掘電子郵件及聯絡人資料。</p> <p>而對於駭客鎖定的郵件伺服器系統，ESET指出，2023年這些駭客的主要目標是Roundcube，但2024年他們轉換標的，聚焦其他郵件伺服器平臺，包含Zimbra、Horde、MDaemon。以MDaemon為例，駭客特別使用尚未公開的零時差漏洞CVE-2024-11182（CVSS風險為5.3分）來達到目的。</p> <p><a href="https://www.ithome.com.tw/news/168972"><strong style="font-size: 22px;">美國加密貨幣交易平臺Coinbase部分客戶資料外洩，疑內賊所為</strong></a></p> <p>美國最大加密貨幣交易平臺Coinbase周四（5月15日）揭露，該公司在海外的客戶支援約聘人員或員工遭到惡意人士的賄賂，擅自進入系統盜走客戶資料，誘導客戶轉帳，還企圖向Coinbase勒索2,000萬美元。Coinbase已開除這些約聘人員，退款予受到詐騙的用戶，並拒絕支付贖金，並以贖金金額作為懸賞惡意人士的獎金。事件曝光後，當天Coinbase股價下滑了7.2%，跌至244.44美元。</p> <p>根據Coinbase向給證券交易委員會（SEC）通報的文件指出，該公司是在數月以前察覺，有約聘人員在沒有業務需求的狀況下存取內部系統，該公司接著在5月11日收到勒索信件，對方宣稱已獲得某些Coinbase客戶帳戶的資料，以及Coinbase的內部文件，要求Coinbase支付2,000萬美元的贖金，否則就要對外公開此事。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.zscaler.com/blogs/security-research/technical-analysis-transferloader">惡意程式載入工具TransferLoader被用於散布勒索軟體</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://nsfocusglobal.com/high-risk-warning-for-windows-ecosystem-new-botnet-family-httpbot-is-expanding/">殭屍網路HTTPBot鎖定Windows裝置而來，綁架玩家電腦從事DDoS攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://unit42.paloaltonetworks.com/darkcloud-stealer-and-obfuscated-autoit-scripting/">竊資軟體DarkCloud透過RAR壓縮檔散布，濫用AutoIT指令碼從事攻擊</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168977"><strong style="font-size: 22px;">Google發布Chrome 136緊急更新，修補已遭利用的零時差漏洞</strong></a></p> <p>5月14日Google發布電腦版Chrome更新136.0.7103.113、136.0.7103.113.114，修補已遭利用的零時差漏洞CVE-2025-4664，15日美國網路安全暨基礎設施安全局（CISA）將此漏洞加入已遭利用的漏洞列表（KEV），要求聯邦機構在6月5日完成修補。</p> <p>對於這項漏洞發生的原因，Google僅表示是Loader元件的政策執行不夠充分，並將其危險程度評為高風險層級。但原始公布這項弱點的Solidlab資安研究員slonser透露，起因是Chrome在請求子資源（subresource）的過程裡，會解析連結的標頭，一旦攻擊者在標頭設置了參考的政策，就有機會利用不安全的URI截取完整的查詢參數，而有可能因此洩露敏感資料。研究人員指出，若是在執行OAuth身分驗證的流程裡，攻擊者可從中挾持帳號。</p> <p>值得留意的是，雖然CISA評估此漏洞的風險值僅有4.3分，但由於已有攻擊出現，用戶還是應儘速套用更新因應。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/chipmaker-patch-tuesday-intel-amd-arm-respond-to-new-cpu-attacks/">Intel、AMD、Arm發布5月例行更新，緩解可被用於發動Spectre-BTI攻擊的弱點</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/fortinet-patches-critical-tacacs-authentication-bypass-cve-2025-22252-in-fortios-and-fortiproxy/">Fortinet針對防火牆、網頁安全閘道、網路設備管理系統發布更新，修補重大層級TACACS+身分驗證繞過漏洞</a></strong></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168951"><strong style="font-size: 22px;">歐盟漏洞資料庫專案EUVD正式登場</strong></a></p> <p>5月13日歐盟網路安全管理署（European Union Agency for Cybersecurity，ENISA）宣布，歐盟漏洞資料庫（European Vulnerability Database，EUVD）正式上線，這是一個互連資料庫，目標是確保來自不同來源的公開漏洞資訊得以互通，同時採用CVE（常見漏洞披露）編號與EUVD編號，外界則普遍視為美國CVE資料的替代方案。</p> <p>最近漏洞資料庫特別受到矚目，是因為原本受到全球仰賴的CVE資料庫一度傳出可能停擺的消息，但EUVD其實是ENISA在去年6月，根據歐盟第二版網路與資訊安全指令（NIS2）的要求開始打造，直到後來CVE傳出疑似不穩定的徵兆便加快腳步，於今年4月進行封閉測試。</p> <p>EUVD提供3種檢視儀表板，分別是：CVSS風險評分超過9分的重大漏洞、已被利用的安全漏洞，以及經由EU CSIRT協調的安全漏洞。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/168967"><strong>【5月15日】去年中國駭客攻擊臺灣無人機製造商事故，有新的重大發現</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168947"><strong>【5月14日】微軟、SAP修補已出現攻擊行動的多項零時差漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/168916"><strong>【5月13日】華碩修補主機板驅動程式管理工具驗證不當的資安漏洞</strong></a></p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/168952"><strong style="font-size: 22px;">Fortinet修補已遭利用的企業電話系統FortiVoice零時差漏洞</strong></a></p> <p>資安業者Fortinet發布資安公告，揭露重大層級漏洞CVE-2025-32756，這項漏洞存在於企業電話系統FortiVoice、郵件安全閘道FortiMail、網路偵測與回應系統FortiNDR、視訊監控平臺FortiRecorder，以及網路攝影機FortiCamera等多項解決方案。值得留意的是，Fortinet提及這項漏洞已有攻擊者實際針對FortiVoice利用的情況，呼籲IT人員儘速套用相關更新。</p> <p>這項漏洞為記憶體堆疊緩衝區溢位漏洞，攻擊者可藉由特製的HTTP請求，在未經授權的情況下，遠端於目標系統執行任意程式碼或是命令，CVSS風險評分介於9.6至9.8，相當危險。</p> <p>值得留意的是，由於這項漏洞影響的範圍相當廣泛，若是IT人員無法及時修補，Fortinet建議要暫時停用HTTP或HTTPS管理介面來因應。</p> </div></div></div>
2025/5/16 15:28作者周峻佑https://www.ithome.com.tw/news/168995
APT28利用郵件系統漏洞從事網路間諜活動，鎖定政府機關竊取重要資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客盯上電子郵件伺服器長時間未修補已知漏洞的情況，從過往針對微軟Exchange為主，最近3到4年逐漸針對Roundcube、Zimbra等郵件伺服器而來，雖然多半使用已知漏洞來達到目的，但也有利用零時差漏洞的情況。</p> <p>例如，資安業者ESET揭露<a href="https://www.welivesecurity.com/en/eset-research/operation-roundpress/">名為Operation RoundPress的攻擊行動</a>，就是典型的例子。被稱為<a href="https://www.ithome.com.tw/tags/apt28">APT28、Fancy Bear、Forest Blizzard、Strontium</a>的俄羅斯駭客組織，藉由電子郵件系統的跨網站指令碼（XSS）漏洞，於網頁介面注入惡意JavaScript指令碼SpyPress，針對政府機關與國防相關的公司而來，攻擊範圍主要為東歐，但也有在歐洲其他地區、非洲、南美洲發現遭到鎖定的目標，駭客透過惡意酬載竊取帳密，然後從使用者的信箱挖掘電子郵件及聯絡人資料。</p> <p>而對於駭客鎖定的郵件伺服器系統，ESET指出，2023年這些駭客的主要目標是Roundcube，但2024年他們轉換標的，聚焦其他郵件伺服器平臺，包含Zimbra、Horde、MDaemon。以MDaemon為例，駭客特別使用尚未公開的零時差漏洞CVE-2024-11182（CVSS風險為5.3分）來達到目的。</p> <p>這波攻擊行動何時浮出檯面？ESET最早在2023年9月29日偵測到相關釣魚郵件，當時駭客利用Roundcube於2週前修補的CVE‑2023‑43770（風險值6.1分）來從事活動，經過電子郵件信箱與伺服器IP位址的比對，他們確認攻擊者的身分，就是APT28。</p> <p>不過，這些駭客最初並非使用這項漏洞從事攻擊，研究人員指出，他們一開始是使用另一個XSS已知漏洞CVE-2020-35730（風險值6.1分）來攻擊Roundcube伺服器，後續則利用其他已知XSS漏洞對不同的郵件伺服器下手，僅有CVE-2024-11182是零時差漏洞。</p> <p>但無論利用的漏洞是哪一個，駭客都是透過惡意郵件觸發，一旦使用者透過網頁介面點選信件內容，駭客就能在郵件系統的網頁介面執行惡意JavaScript指令碼，並竊取收信人的電子郵件信箱存放的各式往來信件。</p> <p>這些釣魚信多半看起來像新聞網站的電子報，且內容為當時的新聞時事，其中針對烏克蘭下手的釣魚信，駭客寄送了《基輔郵報（Kyiv Post）》電子報，而對於保加利亞組織發動攻擊的郵件，則是使用當地報社News.bg電子報為誘餌。值得留意的是，電子報新聞標題也確實會連結到正牌的新聞網站，真正有問題的惡意程式碼，則是埋藏在郵件的HTML程式碼當中，一般使用者根本無法從信件特徵來察覺異狀。</p> <p>關於駭客使用的惡意酬載SpyPress，ESET指出，雖然此惡意軟體不會常駐執行，但只要受害者每次開啟有問題的信件，就會將其載入。此外，部分版本的SpyPress不只會搜刮受害者的信箱，還會設置過濾規則，將所有傳入的郵件轉寄給駭客。</p> </div></div></div>
2025/5/16 15:22作者周峻佑https://www.ithome.com.tw/news/168993