iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 25篇
近 24 小時: 25篇
近 7 天: 123篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/9
最近更新: 11/9 16:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 123 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象5 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
彭博社1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Salesforce將以約80億美元買下雲端資料管理業者Informatica，著眼於代理式AI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球客戶關係管理龍頭<a href="https://investor.salesforce.com/news/news-details/2025/Salesforce-Signs-Definitive-Agreement-to-Acquire-Informatica/default.aspx" target="_blank">Salesforce周二（5/27）宣布</a>，將以約80億美元的股權價值收購雲端資料管理業者Informatica，Informatica股東將可獲得每股25美元的現金，預計於2027年1月底之前完成交易。昨天Informatica股價上漲6.08%，以23.92美元作收。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0528-Salesforce-Acquire-Informatica.png" style="width: 400px;" /></p> <p>1993年創立的Informatica號稱是全球最大的資料整合軟體獨立供應商，該公司所提供的產品功能涵蓋了資訊生命周期管理、B2B資料交換、雲端資料整合、複合事件處理、資料複製與資料虛擬化等，可用來協助客戶打造企業等級的資料倉儲，全球客戶超過5,000家。Informatica在1999年曾經登上那斯達克（Nasdaq）股市，但2015年被Permira funds及Canada Pension Plan Investment Board（CPPIB）兩家投資公司<a href="https://www.ithome.com.tw/news/98002" target="_blank">收購而下市</a>，再於2021年重新登上紐約股市（NYSE），當時的開盤價是27.55美元。</p> <p>Salesforce表示，此一收購將強化Salesforce部署代理式AI所需的可靠資料基礎，因為Informatica擁有豐富的資料目錄、資料整合、治理、品質及隱私、元資料管理，以及主資料管理（Master Data Management，MDM），結合Salesforce的平臺之後，將能建立代理式AI的統一架構，使AI代理人得以在現代企業中安全且負責任地大規模部署。</p> <p>Salesforce解釋，有效的企業等級AI不僅需要資料，也需要資料透明度，深入理解資料脈絡，以及嚴格治理，Salesforce與Informatica將創造該產業最完整的代理人就緒資料平臺。</p> <p>儘管Salesforce所提供的MuleSoft工具類似Informatica，但其實Salesforce去年便有意收購Informatica，只是功敗垂成，今年捲土重來並達成協議。此一交易必須經過主管機關的審查，若通過審核，則將成為Salesforce史上最大的一樁收購案。</p> </div></div></div>
2025/5/28 10:40作者陳曉莉https://www.ithome.com.tw/news/169211
臺灣企業如何因應地緣政治風險？從BCM 1.0升級2.0，專家建議從六大面向因應極端情境
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在俄烏戰爭爆發之後，不少企業血淋淋地感受到地緣政治劇烈衝擊最極端的情況，並非完全不可能，尤其臺海衝突頻傳，三年前，國外知名雜誌更專文點名，將臺灣和烏克蘭、以色列並列為全球的高風險地緣政治衝突區域。</p> <p>當時就有不少臺灣大型企業，如高科技業者、金融業者、生技業者，重新審視自己的營運持續計畫（ BCP），開始思考過去視為極端情況，自己當前的準備是否足夠。安永諮詢服務執行副總經理曾韵指出，他們近幾年也協助不少臺灣企業，重新審視BCP計畫對極端情境的準備。</p> <p>在安聯2025年風險指標年報（Allianz Risk Barometer 2025）中，將地緣政治風險列為2025年的第九大事件，曾韵更指出，有14％風險專家甚至將地緣政治視為今年最重要的風險之一。像是在安永每年的全球展望調查中，1,200位CEO中，今年更有高達68%認為，因為地緣政治的不確定性，重新審視企業現有做法非常重要。</p> <p>這兩三年來，曾韵就接到不少企業詢問，想了解如何強化企業韌性的能力，才能更有能力因應激烈的地緣政治風險，甚至是戰時緊急因應程序該怎麼做。</p> <p>為了借鏡國外經驗，曾韵向安永在烏克蘭和以色列據點的同事請益，來了解身處於戰爭局勢第一線的企業，其營運持續計畫的實務作為。在今年臺灣資安大會中，曾韵分享了這幾年來，她協助多家臺灣企業評估地緣政治影響的經驗。</p> <h3><strong><span style="color:#FF0000;">地緣政治衝突常見三大類風險</span></strong></h3> <p>她先回顧過去幾起地緣政治帶來的風險事件主要有三類，第一類風險是電力中斷，在俄烏戰爭中，摧毀或占領了超過50%的烏克蘭發電設施，導致烏克蘭頻繁得採取分區限電的情況，而烏克蘭反擊俄國的本土目標，也多聚焦電力和能源設施，同樣在緬甸內戰中，大規模停電是該國人民的日常生活，吃過半數人口沒電可用。</p> <p>第二類風險則是台灣今年陸續感受到的網路中斷風險，今年臺灣海纜多次疑似遭到註冊非洲籍的中國權宜船拖斷，在烏克蘭戰爭中，該國最大固網電信公司在戰爭發生一個月後，遭受重大網路攻擊導致該國全球網路中斷，俄國也透過實體切斷電力或纜線的方式，來影響烏克蘭網路。</p> <p>最後一類風險則是國家級網路攻擊的風險，在以巴戰爭中，近5成伊朗國家級網路攻擊對象，鎖定了以色列公司，針對學校、政府機關、金融機構、醫療機構進行滲透和攻擊。同樣從南海衝突事件的風險案例中，多個中國駭客組織Raspberry Typhoon（RADIUM）、Flax Typhoon、Granite Typhoon針對東南亞國協成員國（ASEAN）的軍事實體、IT設施進行攻擊，甚至有國家級駭客滲透到印度尼西亞和馬拉西亞的海事系統。曾韵指出，電力中斷、網路中斷和國家級網路攻擊，這是思考地緣政治風險必須考慮的三類風險，臺灣尤其是第三類風險最高的區域。</p> <h3><span style="color:#FF0000;"><strong>以色列將軍事衝突視為日常來準備</strong></span></h3> <p>在烏克蘭和以色列的企業，如何因應這些地緣政治的衍生風險？在以色列要求該國銀行，要有25%的分行，具備總行（Central Branches ）等級的營運不中斷能力，採取更高安全規格和防護措施，要有適當的地理位置分散，在緊急情況下也可以營運。</p> <p>企業評估BCP計畫時，會區分不同風險等級的情境，再來考慮現有緊急應變程序需要涵蓋的風險等級。臺灣企業一般會將戰爭或軍事衝突視為極端情境，而非一般風險等級的BCP情境。考量到成本，大部分臺灣公司都不會考慮到這類極端情境的緊急應變程序。</p> <p>但在以色列的企業不一樣，他們將軍事衝突這種臺灣企業眼中的極端情境，視為是一般的BCP情境來準備。</p> <p>以色列政府要求，銀行至少會將四分之一的分行，達到總行等級的應變能力，一但遇到軍事衝突情況，可以支持更久的營運。這種等級的分行，會設置發電機，也有會更好的防護設施，像是設備完善的地下辦公室，這是以色列金融業的日常準備。</p> <h3><span style="color:#FF0000;"><strong>烏克蘭要求銀行設立韌性據點</strong></span></h3> <p>曾韵分享的另一個因應實例是烏克蘭經驗。戰爭發生後，烏克蘭大約半數能源設施遭到摧毀，全國經常性的輪流停電。</p> <p>所以，烏克蘭央行還提出一項Power Banking計畫，要確保銀行在長時間斷電期間，有能力自主維持最基本的服務。</p> <p>烏克蘭央行找來多家規模較大的系統性銀行，在全國各地設置這類有自主電力運作的韌性據點，而且烏克蘭央行還會確保每個區域都有夠多的韌性據點數量，可以支援全國基本的民生金融服務所需。<br /> 這個計畫要求這些系統性銀行，設立具有自主電力的韌性據點（Power Bank），在這樣的分據點，要有自己的發電機，也要有足夠的現金儲備，並且要有一套備援的通訊管道，以及儲備更多的人力。<br /> 對這些銀行的最小運作水準要求，包括了可以提領現金，可以付款和轉帳，可以換匯，甚至還要可以提供民眾財務上的諮詢。</p> <p>曾韵研究過不同戰爭爆發後對金融業的影響，在戰爭期間，銀行業業務不只不會停擺，反而還會增加，更需要加班，像是會有更多保險理賠的工作。</p> <h3><span style="color:#FF0000;"><strong>烏克蘭IT產業的戰爭韌性準備</strong></span></h3> <p>烏克蘭除了金融業有一套戰爭韌性準備以外，該國的IT產業也很有一套自己的應變做法。烏克蘭的資訊服務產業在歐洲很有名，大約有30萬名IT專家，三分之二是直接或間接服務歐美多個國家。在俄烏戰爭爆發期後，雖然發生長時間的斷電，甚至影響了電話機房和網路節點。但這群IT專家還是有能力繼續對外提供服務，一方面，從疫情發生之後，這群烏克蘭IT人力，已有一套居家辦公措施，戰爭發生後，可以迅速啟用。</p> <p>另一方面，這群IT專家也運用低軌衛星提供備用的網路通路，像是有雇主補助這群專家租用Starlinks星鏈網路，另外，IT人員也有自己的備援電力，像是行動電源包，甚至是自備柴油發電機。</p> <p>從烏克蘭經驗，曾韵提到，烏克蘭還有一件事值得借鏡，就是資訊雲端化。</p> <p>烏克蘭原本沒有開放金融業上雲。原本烏克蘭有一部《數據保護法》，規定政府及部分民間機敏資料必須放置在烏克蘭境內主機中。但在戰爭爆發前幾天，2月17日，烏克蘭緊急修法，通過《雲端服務》法案，允許政府和民營部門將數據轉移到雲端，等於開放了企業可以將關鍵資料和系統上雲，不到一周，2月24日舊爆發戰爭。很多烏克蘭銀行迅速將系統上雲，甚至營運都沒有中斷。到了3月12日，烏克蘭政府進一步擴大鬆綁，公共訊息資料、國家登記機構以及加密備份資料，允許儲存到境外雲端或資料中心。烏克蘭企業將資料上雲，轉移到沒有受到戰爭影響的西部區域，後來更可以轉移到境外鄰國。</p> <h3><span style="color:#FF0000;"><strong>雀巢的戰爭BCP做法特別重視社會責任</strong></span></h3> <p>曾韵還舉了一個比較特別的營運持續計畫實例，有家零售業特別考慮到社會責任面的BCP做法。在烏克蘭衝突期間，雀巢對於他們在烏克蘭的5,500名員工及他們的家人，提供了財務支援、搬遷支持和安全的保障，也設立了生存中心，更擴大對烏克蘭社區提供人道援助。</p> <p>這些做法涵蓋了薪資支持、員工安全援助、跨國支援和熱線服務，以及內部職位安置等面向。在薪資支持上，雀巢提前支付烏克蘭員工的薪水，甚至在未來一段時間內持續支付薪水。而在員工安全援助上，雀巢則提供一次性的搬遷補助，也準備了緊急護理包。雀巢還將當地辦公室設置為7x24小時運作的全天候生存中心，作為員工和他們家人的安全避難所。</p> <p>在跨國支援和熱線服務上，雀巢設立員工熱線，提供當地員工法律、移民諮詢，甚至還有心理支持，另外也在烏克蘭鄰國，如波蘭設立支援中心，來接待逃離烏克蘭的員工和他們的家人。作為跨國機構，雀巢更提供內部職位的安置安排，可以提供烏克蘭員工，改調整到其他地區雀巢所屬公司的工作機會。</p> <p>曾韵解釋，國外也有企業在戰爭BCP計畫中，預先考慮到類似雀巢做法的準備，像是為了持續發放薪水預先準備一筆現金，避免因為當地資訊系統因戰爭而無法運作。或是考慮要在當地設置員工避難區域，或在鄰近國外分支據點接待逃難的員工。</p> <p>「臺灣有少數企業的BCP計畫，開始考慮到極端情境，但較少準備到這麼完整。」她觀察。</p> <p>在俄烏戰爭爆後後，臺灣也有企業想要對這類地緣政治衝突的風險，採取一些作為，不過，常見會遇到一些挑戰。曾韵歸納，一方面，臺灣企業對於地緣政治事件的熟悉度不夠，就沒有辦法建立有效的策略，另外，也缺乏內部的應變權責機制。企業更會因為缺乏實際操演經驗，無從判斷自身的準備是否充分。</p> <h3><span style="color:#FF0000;"><strong>專家建議企業，因應地緣政治風險要先劃分階段</strong></span></h3> <p>曾韵建議企業，可以將地緣政治風險劃分不同的階段，在營運持續計畫中，再針對每一個階段訂定詳細的情境與事件應對方針，企業可參考國內外專家或政府機構對這些情境的規畫和建議，來安排企業自家做法。</p> <p>其次，她建議，企業需針對緊急應變設計一套管理機制，尤其要釐清決策程序，明確訂出對應的代理人制度。最後就是必須針對這些計畫，真的進行演練，讓企業上下都清楚了解，遇到這類事件時，可以怎麼做，尤其要模擬各部門的協作情境，驗證準備狀況，來做改進。</p> <p>曾韵也舉了一些臺灣企業實際開始評估極端情境BCP時才會發覺的細節。像是有企業BCP計畫中的人力準備，依照職位或能力來安排，但忽略了戰時徵召對男性人力的影響，可能得考慮更多女性人力的儲備。或者有些企業購買的保險，合約中有戰爭排外條款，遇到戰爭情況將不會理賠。</p> <h3><strong><span style="color:#FF0000;">臺灣企業四種極端情境BCP現行做法</span></strong></h3> <p>過去兩年來，已有一些臺灣企業開始評估這類極端情境的BCP，曾韵也歸納出四類臺灣企業因應極端情境的主要現行做法。</p> <p>第一類做法是建立備援電力，先盤點出自家企業的關鍵營運據點，來設計不斷電設備，發電機和柴油桶等。</p> <p>尤其許多大樓備援電力僅供消防逃生設施等關鍵設備使用，其實無法支援企業辦公室的電力備援。企業也得確保發電機的油類補給來源，例如得掌握自家辦公室附近，哪一處加油站有發電設備，遇到大規模停電時才能持續供油。臺灣中油官網後來也因有這樣的企業需求，開始在網站上提供了配備發電機的加油站據點清單。</p> <p>第二類現行做法是建立備援網路和通訊。像是考慮在關鍵營運據點導入低軌道衛星網路，列出需要配備衛星電話的關鍵人員名單，例如總經理，風控長，廠長等。目前中華電信已經宣布，2025 年上半將正式提供低軌衛星OneWeb和中軌衛星SESE的衛星商用服務，企業就可以多了一種備援通訊的選擇。</p> <p>資料上雲是臺灣企業現行的第三種BCP應變做法。像是將資料的冷備份上雲，甚至有企業為此而考慮將系統備份上雲。曾韵提醒，企業需確認所屬產業對資料上雲的相關法規，了解個資與敏感資料議題，另外也要留意資料備份所在的國家是否安全。 </p> <p>最後一種，臺灣企業常見的應變做法就是建立遠端辦公的能力。企業會延續原本疫情時的遠端辦公方案，例如採購筆電、建置VDI，定期演練測試等。曾韵提醒，有些企業疫情時的遠端辦公做法是，用筆電連回企業內部桌機來操作，若遇到大規模斷電時，這個做法就可能無效，得改到另一個據點辦公而非遠端辦公。</p> <h3><span style="color:#FF0000;"><strong>BCM 1.0：建立基本營運持續管理機制四步驟</strong></span></h3> <p>針對地緣政治衝突的風險因應，曾韵建議臺灣企業，至少要有基本的營運持續管理機制，可以按照四個步驟來進行。</p> <p>第一步是找出關鍵業務，分析企業的關鍵業務是什麼，訂出這些業務需要回復的優先順序，也要識別出提供這些關鍵業務，需要哪些資源和關鍵系統。</p> <p>接著第二步是設計公司策略，考慮在每個情境下，像是火災，地震，電力中斷、駭客攻擊等情境，企業要啟動哪些相關的措施，例如啟動部分居家辦公，停止部分品項的供應，或者暫停部分門市的營運，或是啟動備援電力和網路等。c</p> <p>有了策略後，再來就是第三步，準備資源，針對上述企業營運持續策略賴準備所需的資源，像是預備緊急備援能源，備援通訊（如購買低軌衛星服務）、人力備援（區分A/B組），預先設立應變組織等。<br /> 最後一步就是演練，甚至是取得認證。透過實際演練來確定策略的可行性和應變所需資源的完整性。也可以進一步透過第三方驗證，來了解對自身做法的意見和改善建議。</p> <h3><strong><span style="color:#FF0000;">BCM 2.0：因應極端情境要考慮6大面向</span></strong></h3> <p>曾韵指出，企業做到BCM（營運持續管理） 1.0之後，再進一步考慮到極端情境的BCM 2.0。</p> <p>「要升級到能因應極端情境的營運持續計畫（BCP），要多考慮六大面向。」曾韵建議，這六大面向包括了人員因素、周遭風險、呼叫樹（Call Tree）、備援能源、異地地點、和供應鏈。</p> <p>在人員因素上，企業應該先確定哪些員工已經被徵召入伍，以及未來若有軍事衝突時，有哪些人員有可能被徵召。其次要考慮周遭風險，例如評估機房地點時，還要多考慮避開容易成為軍事攻擊的目標設施，像是政府大樓、重要地標等。在環境考慮上，也要考慮備用異地地點的選擇，檢查備用站點的合約，是否能夠反映業務的需求，例如有企業會檢查電費帳單，避免備援機房的輪流供電分組，不會和主要機房相同，來避免同時停電。</p> <p>在通訊聯絡上，企業要定期測試所訂定的呼叫樹（Call Tree），確保所有人聯絡方式的新穎性，如群組名單的更新，手機電話正確性。</p> <p>備援能源計畫上，則要確定燃料中斷後對企業的影響，再來考慮有什麼替代燃料來源和供應商。最後一項，則要考慮對企業供應鏈的影響，地緣政治衝突可能破壞了企業的國際供應路線，業務持續性計畫人員應該審查供應鏈路線，確定若有必要如何重新安排商品和服務的供應路線。</p> <h3><span style="color:#FF0000;"><strong>先從關鍵中定義更關鍵</strong></span></h3> <p> 「用一句話點出BCP 2.0的規畫重點是，從關鍵中定義更關鍵。」曾韵強調。</p> <p>她建議可以從BCM的關鍵業務中，考量客戶信心、社會責任、合規要求和經營考量等四大面向，來挑出關鍵中的關鍵。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%A6%82%E4%BD%95%E5%AE%9A%E7%BE%A9%E9%97%9C%E9%8D%B5%E4%B8%AD%E7%9A%84%E9%97%9C%E9%8D%B5-%E6%94%9D%E5%BD%B1-%E7%8E%8B%E5%AE%8F%E4%BB%81.jpeg" /></p> <p>在客戶信心考量上，例如對金融業而言，基礎金融業務如支付、貸款、理賠、債券等影響客戶信心的業務，優先順序相對較高。也可提高社會責任相關的業務，如前述跨國零售業者重視的員工與家屬安置，或有助於客戶關懷、捐款通路支援和提供等。合規要求也是BCM 2.0應考量的面向，如需要與所屬產業的主管機關溝通，確認所採取應變措施的合規性，例如哪些資料可上雲。最後一項經營考量上，企業則需要衡量投資活動的持續，核心競爭力的保全，或是各地布局的安排，來挑選出更關鍵的項目。</p> <h3><span style="color:#FF0000;"><strong>盤點關鍵資源的儲備程度</strong></span></h3> <p>找出關鍵中的關鍵後，下一步就是要盤點關鍵資源的儲備，包括了資訊系統、資料備份、網路通訊、場地與設施，還有人員，都是關鍵資源的類型，除了正常備援機制外，需考量另外的第二方案。</p> <p>例如關鍵業務所需資訊系統，對外溝通管道（官網，Email，聊天機器人）或內部溝通軟體的第二方案。或是在資料備份上，除了關鍵業務所需系統的備援，重要資料的電子備份，重要紙本文件的儲存與保管第二方案，甚至需考量運送機制。</p> <p>網路通訊的第二方案考量，則可考慮網路出口使用不同ISP業者，網路設備則區出出主中心、備援中心、重要場所的網路設備。在場地和設施考量上，則要先盤點全臺適合使用的辦公場所和資源（如電力雙迴路），這些地點在緊急狀況下的油料儲備取用方式。</p> <p>而在人員第二方案考量上，則要預先安排關鍵業務執行人員的順序（如區分A/B組），更新人員聯繫清單，也要和預定的通訊機制建立連結（如預先建立群組）等。</p> <p>在地緣風政治風暴中，企業要如何駕馭不確定性？曾韵建議，臺灣企業不能完全不做準備，考慮企業和資訊韌性，也應該將地緣政治風險納入考量，來因應前面提到的種種挑戰，如電力中斷，網路中斷，資安攻擊等議題。可借鏡以色列和烏克蘭的做法，來升級既有的營運持續計畫。</p> </div></div></div>
2025/5/28 10:11作者王宏仁https://www.ithome.com.tw/news/169208
Copilot代理深入整合Office擴充，統一開發工具加速辦公應用自動化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟對Office Add-ins進行<a href="https://devblogs.microsoft.com/microsoft365dev/office-addins-at-build-2025/">重大更新</a>，重點在於Copilot代理與Office擴充功能的深度整合，並以統一開發工具Microsoft 365 Agents Toolkit強化辦公應用智慧化與自動化。此更新提升Word、Excel、PowerPoint等辦公軟體的智慧功能與自動化整合，簡化開發與部署流程。</p> <p>過去Office Add-in多以傳統用戶界面為主，必須仰賴功能窗格或操作按鈕觸發功能，現在則可由Copilot代理直接以自然語言理解用戶需求，呼叫Add-in的各項專業功能。用戶在Office應用中僅需透過Copilot輸入指令或問題，即可啟動第三方擴充元件，無論是自動插入內容、進行資料分析，或串接企業內部資料來源，皆可用對話式方式完成。微軟表示，該設計旨在協助用戶以自然語言操作擴充功能，簡化自動化流程，提升日常辦公效率。</p> <p>對開發者而言，統一描述檔（Manifest）與Microsoft 365 Agents Toolkit使Office各產品共用相同應用架構，開發者可使用單一程式碼，部署至Word、Excel、PowerPoint等應用，大幅降低維護與更新複雜度。新版開發工具Microsoft 365 Agents Toolkit整合API、測試與除錯等功能，提升開發流程一致性與效率，根據官方說明，系統管理員能透過統一部署與管理介面，設定擴充元件的安裝與存取規則。</p> <p>本次更新也導入事件型自動啟動（Event-based Activation）概念，讓擴充元件能於文件開啟或建立時在背景自動執行。此設計減少使用者操作步驟，並可應用於自動化內容驗證、資料更新或法規檢查等場景，有助於提升辦公應用安全性與一致性。</p> <p>微軟同步升級Office Add-ins相關API與功能，增強圖形物件處理、資料型別自訂與流程自動化等能力，讓開發者能打造更貼近企業需求的辦公自動化工具。新版統一的儲存與安裝管理機制，讓企業能以集中方式發布、部署並管理多款擴充元件，減少手動安裝或分散維護的困擾。整體而言，Office Add-ins與Copilot代理的結合，加上統一開發工具，讓企業與開發者能更有效率地跨多種Office應用推動自動化與智慧化。</p> </div></div></div>
2025/5/28 08:43作者李建興https://www.ithome.com.tw/news/169201
中國稱用於保護身分的網路ID系統已有600萬人啟用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.mps.gov.cn/n2254098/n4904352/c10087598/content.html" target="_blank">中國政府宣布</a>，已經有600萬人啟用驗證網路身分的App，將在今年7月正式使用，以減少冒名詐騙、或是保護真實身分。</p> <p>中國公安部於今年2月通過並公布《國家網路身分認證公共服務管理辦法》，預定7月15日正式施行。該法旨在推行「網號」及「網證」用於驗證使用者真實身分，同時能減少真實身分的使用，以保障身分安全。其中網號是與自然人身分相對應、由字母和數字組成的符號，網證是指身分憑證。網號、網證可用於在網際網路平臺、政府服務或旅遊、醫療業等民間服務中的非明文登記用於日後身分驗證。</p> <p>統一的「網路身分認證公共服務平臺」為使用者提供身分驗證，方法是結合實體身分證明，如居民身分證和其他資料，再運用密碼演算法，完成網號、網證的發放。</p> <p>國家網路身分認證公共服務自2023年6月27日上線。<a href="https://m.huanqiu.com/article/4MnOKsenxCn" target="_blank">中國公安部上周公告表示</a>，國家網路身分認證App累計下載超過1,600萬次，啟用達600萬人，提供認證服務1,250餘萬次。</p> <p>中國政府說，網路ID是人民自願取得。</p> </div></div></div>
2025/5/28 08:51作者林妍溱https://www.ithome.com.tw/news/169206
金融科技產業聯盟最新進展！國泰金控計畫用區塊鏈串接警政和醫院資料，加速交通事故理賠流程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>金管會今日在記者會上公布金融科技產業聯盟最新進展，連帶揭露了國泰金控預計在異業生態共創工作圈推動的新計畫，要運用產險聯盟區塊鏈來串連醫療場所和警政單位資料，將三方資料彙整於單一系統平臺，例如，在保戶同意下取得警政通報單，加快民眾申請交通事故產險理賠的作業流程。</p> <p>早在今年2月金融科技聯盟舉辦成立儀式，國泰金控就公開異業生態共創工作圈的推動方向和初步提案。除了要促進異業結盟，他們也希望打造跨業、跨域，和跨境議題的解決方案。當時，他們揭露三個初步提案構想，分別是發展聯合學習技術授權、推動醫療業和保險業數據互通，提高醫療保險理賠效率，最後是推動數位金融護照。如今，金管會揭露的最新提案，則是要用產險聯盟區塊鏈，來推動跨業合作，減少交通事故理賠花費的時長。</p> <p>產險聯盟區塊鏈是由國泰金控和國泰產險合作推動，將區塊鏈應用至產險作業，協助減少理賠過程中需耗費的大量人力、物力。</p> <p>以汽機車強制險理賠為例，過去不同保險公司需要耗費大量人力和時間來對照同一件案件的受理、審核流程，和理賠案件進度。而透過產險聯盟理賠鏈，可以讓各間保險公司以加密和高信任度的方式交換資料，更快完成案件審核、給付和追償，降低理賠作業時間及紙本作業風險。產險聯盟區塊鏈平臺自2022年上線至今，已有14家產險業者加入。</p> <p></p> </div></div></div>
2025/5/27 21:32作者李昀璇https://www.ithome.com.tw/news/169204
【資安日報】5月27日，駭客於臺灣等70個國家挾持逾2千臺伺服器架設殭屍網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>部分駭客行事低調，長年竊取受害組織機密，直到多年後才有研究人員對其行蹤有較為明確的分析，並引起外界的注意。</p> <p>例如，資安業者AhnLab與韓國國家網路安全中心（NCSC）近期對於與中國有關的駭客組織TA-ShadowCricket（Shadow Force）進行揭露，就是這樣的例子，值得留意的是，駭客廣泛於全球入侵逾2千臺伺服器，植入IRC機器人或後門程式，臺灣也有44臺主機受害。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169197"><strong style="font-size: 22px;">駭客組織TA-ShadowCricket控制全球逾2千臺伺服器，44臺在臺灣</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/HKWx5zE2JI1zk6TUyfGuflTHQ3cLhLdljbNE7qqb.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/HKWx5zE2JI1zk6TUyfGuflTHQ3cLhLdljbNE7qqb.png" style="width: 300px; float: right;" /></a>近期有部分鮮為人知的中國駭客遭到資安研究人員起底，其中不少攻擊範圍涵蓋臺灣，引起國內媒體高度關注。</p> <p>根據自由時報、ETtoday新聞雲等多家媒體的報導，資安業者AhnLab與韓國國家網路安全中心（NCSC）聯手，針對與中國有關、名為TA-ShadowCricket、Shadow Force的駭客組織，揭露相關攻擊行動的長期調查結果。這些駭客約從2012年開始活動，積極對亞太地區國家下手，通常會針對曝露在網際網路的Windows Server主機，或是管理不善的SQL Server而來，植入IRC機器人或後門程式。</p> <p>而對於這些駭客控制的範圍，迄今駭客於全球72個國家、超過2千個IP位址，部署IRC伺服器並充當C2。其中，受影響最嚴重的國家是中國、韓國，分別有895臺、457臺主機，值得留意的是，臺灣也有44臺伺服器遭到這些駭客控制。AhnLab也在調查報告當中，提及TA-ShadowCricket偽造或盜用數家軟體廠商憑證簽署惡意軟體的現象，其中一家是臺灣軟體業者訊連科技（CyberLink），駭客於2012年曾偽造該公司憑證為惡意軟體簽章。</p> <p><a href="https://www.ithome.com.tw/news/169195"><strong style="font-size: 22px;">5,300臺網路設備遭殭屍網路綁架，中國駭客ViciousTrap利用未有修補程式的已知漏洞入侵</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/vicioustrap-map.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/vicioustrap-map.png" style="width: 300px; float: right;" /></a>提供中小企業及SOHO族使用的網路設備，即使廠商因生命週期結束（EOL）不再提供修補，用戶往往因為仍然能夠運作，並未汰換而是繼續使用，這樣的情況也變成駭客眼中的肥羊，且有越來越多設備遭到控制。</p> <p>例如，最近資安業者Sekoia對於追蹤思科路由器漏洞CVE-2023-20118的攻擊行動，揭露最新的發展，他們原本在今年1月底至2月上旬，發現有人利用這項漏洞，綁架思科的小型路由器設備，組成殭屍網路PolarEdge，當時已有逾2千臺設備受害，如今研究人員發現，還有其他駭客組織也加入漏洞利用行列：中國駭客ViciousTrap已藉此綁架超過5千臺路由器，並在這些路由器植入Shell指令碼NetGhost，然後將流入的網路流量導向類似蜜罐陷阱（Honeypot）的基礎設施。</p> <p>但前述思科路由器並非駭客的唯一目標。Sekoia研究人員進一步對駭客的基礎設施調查，結果發現，他們也鎖定D-Link、Linksys、華碩、威聯通（QNAP），以及Araknis Networks等廠牌的網路設備。</p> <p><a href="https://www.ithome.com.tw/news/169179"><strong style="font-size: 22px;">駭客組織Careto傳出背後主使是西班牙政府</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/kaspersky-careto-the-mask-illustration.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/kaspersky-careto-the-mask-illustration.png" style="width: 300px; float: right;" /></a>根據科技新聞網站Techcrunch報導，資安業者卡巴斯基前員工向他們透露，11年前被視為世界上最狡猾的駭客攻擊行動，幕後主使者就是西班牙政府。卡巴斯基、西班牙國防部拒絕回應此事。</p> <p>2014年卡巴斯基發現進階滲透攻擊（APT）行動，鎖定政府機關和能源企業，包括外交辦公室、大使館、能源或石油企業，目的在竊取機密資料如文件、加密金鑰、VPN配置等。經過分析，研究人員將犯案的駭客組織稱為Careto或The Mask，這是因為他們在其程式碼中發現到Careto（西班牙語中的面具之意）的字樣。</p> <p>至少有4名卡巴斯基前員工指認，Careto背後的主謀是西班牙政府，其中一名員工透露，卡巴斯基調查Careto的動機，就是源自駭客攻擊古巴政府特定的網路環境，此受害政府機關是「零號病人（Patient Zero）」，也是將Careto與西班牙當局關連的重要關鍵。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/malicious-vs-code-extensions-deliver-spyware-steal-crypto-credentials/">駭客組織MUT-9332利用VS Code外掛鎖定開發人員</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/tiktok-videos-now-push-infostealer-malware-in-clickfix-attacks/">抖音成散布竊資軟體的新管道，駭客藉此從事Click網釣</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/hackers-use-fake-ledger-apps-to-steal-mac-users-seed-phrases/">蘋果電腦用戶遭鎖定，駭客假借冒牌Ledger軟體挾持加密貨幣錢包</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169196"><strong style="font-size: 22px;">AI助手GitLab Duo存在漏洞，恐被用於挾持AI回應、洩露程式原始碼</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/gitlab-duo-prompt-injection-16.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/gitlab-duo-prompt-injection-16.jpg" style="width: 300px; float: right;" /></a>生成式AI廣泛受到開發者運用，一旦這類應用程式出現弱點，就有可能遭到利用，藉此影響軟體開發安全。</p> <p>根據資安業者Legit Security的研究，AI助理GitLab Duo有資安弱點，攻擊者可藉由埋入的註解，導致GitLab Duo洩露開發人員處理的程式原始碼，並且在回應裡注入不受信任的HTML內容。研究人員於2月12日通報此事，GitLab已進行確認並完成修補。</p> <p>而Legit Security在這款人工智慧助理當中，發現遠端提示注入漏洞，攻擊者只要透過Duo Chat，就能從私人專案竊取原始碼、竄改程式碼建議並顯示給其他用戶，甚至還可以洩露機密資訊，或是零時差漏洞。</p> <p><a href="https://www.ithome.com.tw/news/169151"><strong style="font-size: 22px;">資安研究員利用OpenAI o3模型發現Linux核心零時差漏洞</strong></a></p> <p>資安研究人員Sean Heelan上周揭露，他利用OpenAI的o3模型於Linux核心中發現了CVE-2025-37899零時差安全漏洞，當他透過同樣的方法於Claude Sonnet 3.5及Claude Sonnet 3.7中測試時，並未發現同樣的漏洞。</p> <p>Heelan是名獨立研究人員，專門研究與大型語言模型（LLM）有關的漏洞自動發現及攻擊程式生成。他說，最近正想從LLM中抽身，休息一下，於是展開了ksmbd漏洞稽核專案，ksmbd是一個在Linux核心空間中實作SMB3協定的伺服器，可透過網路共享檔案。</p> <p>然而，當OpenAI發表o3之後，他便忍不住利用他在ksmbd中發現的錯誤作為o3能力的快速基準測試，結果o3成功找到了先前未被揭露的CVE-2025-37899，此為ksmbd元件的記憶體釋放後再存取使用（Use-After-Free）漏洞，出現在處理SMB的logoff命令，當其中一個執行緒釋放特定物件的過程，另一個執行緒可能嘗試存取記憶體空間，進而觸發記憶體損壞，允許駭客執行任意程式。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thecyberexpress.com/cloudflare-fixes-cve-2025-4366-in-pingora-oss/">Cloudflare修補代理伺服器框架高風險漏洞</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/netgear-router-flaw/">Netgear路由器存在重大漏洞，攻擊者能得到完整管理員權限</a></strong></p> <p></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169002"><strong style="font-size: 22px;">【臺灣資安大會直擊】當人資遇上資安挑戰：半導體公司人資主管解析，資安證照如何助力公司和個人價值提升</strong></a></p> <p>在數位轉型浪潮席捲各產業的今天，「資安即國安」的口號已深入人心，然而，談及企業資安，大眾的目光往往聚焦IT部門的技術防禦。事實上，在企業運作的核心深處，人力資源（HR）和財務部門正因其獨特的工作性質和所處理的敏感資料，悄然成為企業資安防線中最為關鍵的「前沿」陣地。</p> <p>任職於半導體公司財務與人資主管鄭惠如（RuRu Cheng），她日前在「臺灣資安大會」Cyber Talent Forum的演講中，以逾十年的財務人資經驗及資安領域的跨界視角，深入剖析為何人資和財務部門必須重視資安意識與相關證照，以及對於個人職涯和企業安全所帶來的深遠影響。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169160"><strong>【5月26日】歐美大國攜手執法，3天內破壞7個Botnet</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169135"><strong>【5月23日】新版Windows伺服器作業系統dMSA服務帳號的遷移流程可被濫用而惹議</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169114"><strong>【5月22日】VMware修補旗下多款平臺的資安漏洞</strong></a></p> </div></div></div>
2025/5/27 17:59作者周峻佑https://www.ithome.com.tw/news/169199
金管會盤點五大金融科技政策最新進展，6月VASP專法草案送行政院、7月開放業者申請數位保險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年七月，金管會主委彭金隆提出五大金融科技施政方向，分別是擴大容錯空間，加大創新領域、鼓勵金融業者團體合作研發技術、探索金融科技發展機會、支持純網路金融發展，和全方位引領金融科技發展。時隔近一年，金管會今日在例行記者會中報告五大金融科技政策推動進展，包括放寬業務試辦範圍，目前已核准21件金融機構業務試辦案件、重啟網路保險公司申請，預計於今年7月開放業者申請，以及推動虛擬資產服務專法，預計今年6月底前將專法草案陳報行政院審查。</p> <p>金管會創新處長胡則華表示，金管會在去年10月發布金融業申請業務試辦作業要點，放寬了金融業者進行業務試辦的範圍，從去年5月20日至今年4月底，金管會已核准21件金融機構業務試辦案件，其中包含銀行業2件、證券期貨業2件、保險業17件。</p> <p>胡則華特別強調，過往業務試辦項目不能違反既有法令，但如今，金融機構業務試辦範圍已經透過擴大金管會行政規則、函釋，和同業公會自律規範及周邊單位規章等尚未開放的業務項目，來讓金融機構能在試辦過程中違反現有規定。另外，胡則華也表示，透過業務試辦擴大，他們希望能建立普惠金融相關案件的優先審查制度，鼓勵金融機構申請對民眾較有利的試辦案件。</p> <p>針對數位保險公司發展，彭金隆在去年底宣布重啟數位保險公司申設，且要放寬數位保險也能經營線下通路。胡則華提到，目前數位保險公司相關草案已進入法規預告程序，預計將於今年7月開放業者申請。</p> <p>在推動虛擬資產服務專法上，金管會在去年陸續完成VASP監理措施，包括成立VASP公會、明訂VASP業者未完成洗錢防制登記者，不得提供虛擬資產服務，並將負有刑事責任。目前，金管會正在推動虛擬資產服務專法立法，胡則華表示，預計今年6月底前將專法草案陳報行政院審查。</p> <p>針對推動現實世界資產(RWA)代幣化，胡則華說明，目前傳統金融市場上，有部分資產交易時間較冗長，導致資產的投資門檻較高，或是不易進行跨境投資，因此，許多金融業者希望透過RWA來解決這些問題。去年中，金管會成立RWA代幣化小組，共同研究推動RWA代幣化的可行性。目前，RWA代幣化小組包括9家金融機構、集保公司和相關支援團隊，分為三組進行研究，分別是國內債券、外股債券，和基金。胡則華表示，各小組已在今年1月進行期中報告，後續會以模擬的方式進行實證，預計今年9月就會啟動模擬，並在今年底完成期末報告。</p> <h3>金融科技產業聯盟：金融科技母基金年底完成第一輪募資、要用區塊鏈提高交通事故產險理賠效率</h3> <p>最後針對金融科技產業聯盟進展，胡則華說明，金融總會在今年2月成立金融科技產業聯盟，設有金融科技應用研發、數位金融實務規範建議、金融科技投資交流及異業生態共創等4個工作圈。</p> <p>這四大工作圈也已經有初步成效，包括由玉山金控擔任召集人的數位金融實務規範建議工作圈，目前已完成金融無塵室第一階段，能將去識別化的資料導入AI模型進行訓練，完整勾勒警示帳戶的態樣，協助金融機構有效掌握可疑帳戶。到了第二階段，數位金融實務規範建議工作圈會把目標擴大到跨業聯防整合通訊軟體、電信資料等資訊，協力跨業資料整合。</p> <p>另外，由凱基金控擔任召集人的金融科技投資交流工作圈，他們計畫成立金融科技母基金，這個基金將由LP(Limited Partner)與GP(General Partner)組成。母基金將投資不同主題的創投基金，預計募集2至3億美元，預計今年底就會完成第一輪1億美元的募資。</p> <p>最後，由國泰金控擔任召集人的異業生態共創工作圈，除了會推動金融業和醫療業互通數據，提高民眾申請保險理賠的效率。這個工作圈也將規畫透過產險聯盟區塊鏈，來將警政單位、醫療院所及產險公司等三方資料彙整於單一系統平臺，提高民眾申請交通事故產險理賠的便利性。</p> <p></p> </div></div></div>
2025/5/27 18:01作者李昀璇https://www.ithome.com.tw/news/169200
資安法修法進入委員會審查階段，新增條文擬納入協助民間應對重大資安事件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span>立法院針對《資安法》修法，目前已經進入到委員會審查階段，數位發展部資安署署長蔡福隆表示，目前《資安法》修法主要是針對五點在討論，目前主管機關以及協助民間企業處理重大資安事件朝野已有共識外，其他仍將持續凝聚共識中。</span></p> <p><span>原本行政院版第二條修正條文中，明定主管機關為數位發展部，國家資通安全業務也明定由數位發展部資通安全署辦理。不過，蔡福隆表示，審查會通過的條文中，同意《資安法》的主管機關為數位發展部，但資通安全業務的執行，除了刪除國家的字眼外，也修正為「由數位發展部指定資安專責機關辦理。」</span></p> <p><span>另外，《資安法》第四條「為提升資通安全，政府應提供資源，整合民間及產業力量，提升全民資通安全意識，並推動包括：培育資安專業人才、發展資安產業及發展相關軟硬體規範等四款條文。</span></p> <p><span>但委員會審查時，朝野共識在第四條第一項新增第五款條文，主要內容為「協助民間處理、因應及防範重大資通安全事件。」</span></p> <p><span>由於《資安法》的適用對象包括：公務機關以及關鍵基礎設施在內的特定非公務機關，民間企業不在該法的適用範圍內，對於新增的修正條文是否踰越母法的適用對象，蔡福隆有不同看法。</span></p> <p><span>蔡福隆認為，新增條款重點在於「民間發生重大資安事件」需要政府協助，並不是所有的資安事件都需要政府主動介入，數位發展部基本上算是「被動的」，在民間有需要的時候，政府才需要出面提供協助。</span></p> <p><span>他說：「發生重大資安事件時，受駭企業至少會需要做到報案和通報中央目的事業主管機關，」屆時，數位發展部就可以因應中央目的事業主管機關的要求，可以委由從去年一月，就由國家資通安全研究院（簡稱資安院）負責維運、協助民間企業處理資安事件的TWCERT/CC（臺灣電腦網路危機處理暨協調中心），出面協助民間企業處理相關的資安事件。</span></p> <p><span>不過，他強調，對於其他的《資安法》修正條文，各界還有不同的期待和想法，仍需要持續的溝通討論才會有共識。</span></p> <div class="ui-widget-content ui-draggable" id="haloword-lookup" style="position: relative;"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"> </div> </div> <div id="haloword-content"> </div> </div> <div class="ui-widget-content" id="haloword-lookup"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"> </div> </div> <div id="haloword-content"> </div> </div> <div class="ui-widget-content" id="haloword-lookup"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"></div> </div> <div id="haloword-content"> </div> </div> </div></div></div>
2025/5/27 18:32作者黃彥棻https://www.ithome.com.tw/news/169202
中國駭客TA-ShadowCricket控制全球逾2千臺伺服器，44臺在臺灣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期有部分鮮為人知的中國駭客遭到資安研究人員起底，其中不少攻擊範圍涵蓋臺灣，引起國內媒體高度關注。</p> <p>根據<a href="https://news.ltn.com.tw/news/world/breakingnews/5053043">自由時報</a>、<a href="https://www.ettoday.net/news/20250524/2966409.htm">ETtoday新聞雲</a>等多家媒體的報導，資安業者AhnLab與韓國國家網路安全中心（NCSC）聯手，<a href="https://asec.ahnlab.com/en/88137/">針對名為TA-ShadowCricket、Shadow Force的中國駭客組織</a>，揭露相關攻擊行動的長期調查結果。這些駭客約從2012年開始活動，積極對亞太地區國家下手，通常會針對曝露在網際網路的Windows Server主機，或是管理不善的SQL Server而來，植入IRC機器人或後門程式。</p> <p>而對於這些駭客控制的範圍，迄今駭客於全球72個國家、超過2千個IP位址，部署IRC伺服器並充當C2。其中，受影響最嚴重的國家是中國、韓國，分別有895臺、457臺主機，值得留意的是，臺灣也有44臺伺服器遭到這些駭客控制。AhnLab也在調查報告當中，提及TA-ShadowCricket偽造或盜用數家軟體廠商憑證簽署惡意軟體的現象，其中一家是臺灣軟體業者訊連科技（CyberLink），駭客於2012年曾偽造該公司憑證為惡意軟體簽章。</p> <p>針對這些駭客使用的作案工具，研究人員提及，雖然攻擊者活動期間超過10年，部分作案工具出現變化，但成功入侵之後的攻擊過程，大致能分成3個階段。</p> <p>首先，這些駭客利用惡意軟體下載工具，或是命令執行工具，於受害主機部署惡意軟體；接著，他們還會再部署後門程式；到了第3階段，則是因應額外的惡意行為，植入其他的作案工具。</p> <p>而在攻擊過程裡，TA-ShadowCricket通常會使用名為Pemodifier的工具竄改系統檔案，以便順利載入惡意DLL檔案。對於後門程式的部分，這些駭客在2021年之前使用Shadowforce，但後續被名為Maggie的惡意程式取代。在部分受害主機裡，他們看到駭客植入鍵盤側錄工具、竊資軟體，或是挖礦軟體的情況。</p> <p>研究人員指出，這些駭客以韓國為基地暗中竊取資料，活動時間長達13年，從未向受害組織勒索，或是於暗網公布竊得資料的訊息來牟利，再加上作案工具、駭客從中國IP位址存取C2伺服器等證據，他們認為很有可能是中國資助的駭客組織，但在部分行動當中，這些駭客又從事挖礦攻擊，使得研究人員對於這些駭客是否有中國政府在背後撐腰，抱持保留的態度。</p> </div></div></div>
2025/5/27 17:07作者周峻佑https://www.ithome.com.tw/news/169197
AI助手GitLab Duo存在漏洞，恐被用於挾持AI回應、洩露程式原始碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>生成式AI廣泛受到開發者運用，一旦這類應用程式出現弱點，就有可能遭到利用，藉此影響軟體開發安全。</p> <p>根據資安業者Legit Security的研究，<a href="https://www.legitsecurity.com/blog/remote-prompt-injection-in-gitlab-duo">AI助理GitLab Duo有資安弱點</a>，攻擊者可藉由埋入的註解，導致GitLab Duo洩露開發人員處理的程式原始碼，並且在回應裡注入不受信任的HTML內容。研究人員於2月12日通報此事，GitLab已進行確認並完成修補。</p> <p>GitLab Duo是以Anthropic開發的大型語言模型Claude為基礎打造的AI助理，於2023年6月推出，後來在去年4月加入了<a href="https://www.ithome.com.tw/news/162433">聊天機器人Duo Chat</a>的功能，讓用戶能透過自然語言進行互動。此助理能提供開發人員程式碼建議、審查程式碼安全、分析合併請求（Merge Request，MR）等工作。</p> <p>而Legit Security在這款人工智慧助理當中，發現遠端提示注入漏洞，攻擊者只要透過Duo Chat，就能從私人專案竊取原始碼、竄改程式碼建議並顯示給其他用戶，甚至還可以洩露機密資訊，或是零時差漏洞。</p> <p>研究人員也對於攻擊者如何利用漏洞提出說明，首先，攻擊者可在GitLab專案當中，於合併請求的敘述及註解、提交的訊息、問題（Issue）的敘述及註解，或是原始碼等處埋入提示內容。</p> <p>為了避免這些提示被資安系統察覺意圖，研究人員透過Unicode挾帶（Unicode Smuggling）、Base16演算法、KaTeX渲染手法來達到目的。而這麼做還能讓使用者無法在網站上看到相關提示，但Duo卻會在生成建議的時候存取。</p> <p>而這些提示的內容，包含了操縱Duo程式碼建議（例如下達指示於輸出結果納入惡意JavaScript套件）、在Duo回應加入惡意URL，以誘騙開發人員存取假的登入網頁，或是說服Duo惡意合併請求其實是安全的，從而誤導審查人員。</p> <p>一旦使用者向Duo提出問題，此AI助理就會運用攻擊者埋藏的提示，從而導致原始碼洩露。研究人員指出，由於Duo取得的權限與受害者相同，而能夠存取受害者的私人程式碼，若攻擊者再要求Duo進行特定的合併請求，Duo 就可能根據攻擊者提示的內容，此時Duo Chat輸出就會存在弱點，而能用於HTML注入。</p> </div></div></div>
2025/5/27 15:47作者周峻佑https://www.ithome.com.tw/news/169196
Fintech周報第266期：日本最大銀行三菱UFJ開始用GenAI生成大型主機PL/I程式碼，提升開發效率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><strong style="font-weight: bold;"><span style="font-size: 18px;"><span style="color: rgb(139, 69, 19);">5/19-5/23金融科技精選新聞</span></span></strong></h3> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; background-color: rgb(247, 247, 247);"><strong style="font-weight: bold;"><span style="font-size: 16px; color: rgb(0, 0, 205);">#GenAI</span></strong><strong style="font-size: 16px; font-weight: bold;"><span style="color: rgb(0, 0, 205);"> #三菱UFJ銀行</span></strong></h3> <h3>日本最大銀行三菱UFJ開始用GenAI生成大型主機PL/I程式碼，提升開發效率</h3> <p>日本三菱UFJ銀行近日宣布，要開始在核心系統現代化計畫中，運用GenAI來生成PL/I程式碼，提升計畫的開發效率。除了要推動核心系統現代化，他們也要推動「現代化開發」計畫。</p> <p>日本三菱UFJ銀行表示，他們近幾年積極推動核心系統架構現代化，在持續使用大型主機的同時，將部分功能模組從大型主機遷移至開放式、容器化架構的現代化系統，要讓銀行核心系統以混和式的架構運作。為了實現這套架構，他們打造了一個橫跨大型主機和現代化系統的混和開發平臺，並預計今年開始在這套平臺上運用GenAI生成程式碼，實現現代化的開發。</p> <p>日本三菱UFJ銀行表示，他們希望透過導入GenAI，不僅能提高開發效率，還能減緩工程師在開發大型主機和現代化系統時的不適應，培養兼具兩種系統開發能力的IT人才。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; background-color: rgb(247, 247, 247);"><strong style="font-weight: bold;"><span style="font-size: 16px; color: rgb(0, 0, 205);">#金融上雲</span></strong><strong style="font-size: 16px; font-weight: bold;"><span style="color: rgb(0, 0, 205);"> #核心系統上雲</span></strong></h3> <h3>日本純網銀Sony銀行完成核心系統全面上雲</h3> <p>日本Sony旗下子公司Sony銀行近日宣布，他們已經完成核心系統上雲，並正式開始營運。這間在2001年成立的銀行，從2011年就啟動上雲計畫。2013年，Sony銀行開始逐步將內部系統遷移上雲。2019年底，Sony銀行百分之80系統已在雲端上運作。</p> <p>2021年，Sony銀行開始啟動核心系統遷移上雲計畫。他們改造了既有的核心系統，除了採用雲端原生架構設計，也特別加強微服務架構，確保系統能保證資料流通一致。完成核心系統上雲後，Sony銀行幾乎全數系統已在雲端上運作。Sony銀行執行長Keiji Minami表示，這次完成核心系統上雲對他們未來發展非常重要，因為他們建立了一個能和運用雲端服務的公司更方便合作的環境。Keiji Minami也表示，未來會進一步加強和Sony集團合作，提供更多web3產品和服務，實現無邊界數位銀行的目標。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; background-color: rgb(247, 247, 247);"><strong style="font-weight: bold;"><span style="font-size: 16px; color: rgb(0, 0, 205);">#GenAI</span></strong><strong style="font-size: 16px; font-weight: bold;"><span style="color: rgb(0, 0, 205);"> #玉山銀行</span></strong></h3> <h3>玉山銀行揭露兩大AI核心計畫，今年將推出超過10項GenAI應用</h3> <p>玉山銀行近日揭露兩項AI核心計畫，分別是打造AI Agent平臺，以及將圖分析技術嵌入現有防炸金流模型，提升防詐偵測準確度。</p> <p>針對AI Agent平臺，玉山銀行將透過單一對話介面整合多元專業代理人。玉山銀行科技長張智星表示，預計在今年推出超過10項GenAI應用服務。並且，他們也要發展玉山的AI Agent框架，用來支持GenAI應用快速發展。而AI 金融顧問助理將會是第一支透過這個框架開發出的應用服務。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; background-color: rgb(247, 247, 247);"><strong style="font-weight: bold;"><span style="font-size: 16px; color: rgb(0, 0, 205);">#GenAI</span></strong><strong style="font-size: 16px; font-weight: bold;"><span style="color: rgb(0, 0, 205);"> #國泰金控</span></strong></h3> <h3>國泰金控要靠自建金融知識LLM，打造臺灣首個金融AI Agent</h3> <p>國泰金控近日宣布，未來會聚焦發展AI Agent，要透過和Nvidia合作，打造臺灣首個金融AI Agent。為了強化AI Agent發展，國泰金控也調整了集團GenAI技術框架，在框架中新增了AI Agent模組。</p> <p>此外，國泰金控發表了一項臺灣金融知識LLM的實驗案。這個由國泰金控打造的臺灣金融知識LLM，未來也將作為金融AI Agent背後的核心大腦引擎，支援多元金融服務應用。</p> <p>國泰金控表示，模型訓練結果顯示，完成訓練後的模型可以通過授信證照考試，並維持繁體中文泛化理解能力。三種開源模型在完成預訓練和微調後，進階金融授信知識正確率都有近九成，甚至超過九成的正確率。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; background-color: rgb(247, 247, 247);"><strong style="font-weight: bold;"><span style="font-size: 16px; color: rgb(0, 0, 205);">#GenAI</span></strong><strong style="font-size: 16px; font-weight: bold;"><span style="color: rgb(0, 0, 205);"> #第一銀行</span></strong></h3> <h3>第一銀行公開最新GenAI行動方案GALA計畫，優先賦能員工素養，再聚焦兩大發展重點</h3> <p>第一銀行近日公開自家的GenAI策略布局，他們推動了一項名為Project GALA的行動方案，要推動生成式AI民主化、加速員工採用生成式AI。</p> <p>在Project GALA中，第一銀行定義了一個價值金字塔，用來評估、辨識各個GenAI應用案例的價值貢獻程度。這個價值金字塔共有四個層級，從金字塔最底層往上，分別是提升個人效率、創造集體智慧、改善部門流程，和推動業務創新。</p> <p>Project GALA其中一項推動事項，是要推動行銷資料上雲，這是第一銀行看重的GAI發揮場景。第一銀行的行銷資料上雲計畫分為三階段進行，他們已完成第一階段開放資料導入和建立GenAI實驗環境，目前正在建立混和雲和資料湖，最終目標是打造一個雲端AI的客戶資料平臺(CDP)，整合包括App、網站、LINE、EDM等接觸點。</p> <p>Project GALA的另一項推動事項，是要推動資安基礎設施上雲。目前，第一銀行正在測試導入SASE架構。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; background-color: rgb(247, 247, 247);"><strong style="font-weight: bold;"><span style="font-size: 16px; color: rgb(0, 0, 205);">#GenAI</span></strong><strong style="font-size: 16px; font-weight: bold;"><span style="color: rgb(0, 0, 205);"> #金融AI調查</span></strong></h3> <h3>金管會調查顯示，約16%金融業者已導入生成式AI</h3> <p>金管會近日公布今年度的金融業應用AI調查結果，383家金融機構及周邊單位中，已有61家業者導入生成式AI。調查顯示，臺灣金融業者應用生成式AI以內部行政作業與智能客服最為普遍，主要挑戰包含生成式AI產出內容不穩定或有誤、顧慮資料安全與隱私保護，並關切合規性問題。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; background-color: rgb(247, 247, 247);"><strong style="font-weight: bold;"><span style="font-size: 16px; color: rgb(0, 0, 205);">#GenAI</span></strong><strong style="font-size: 16px; font-weight: bold;"><span style="color: rgb(0, 0, 205);"> #西班牙對外銀行</span></strong></h3> <h3>西班牙第二大銀行BBVA在銀行App推財務教練，能分析用戶財務狀況並提供個人化建議</h3> <p>西班牙對外銀行近日宣布推出新版本銀行App，除了更新既有的虛擬助理，也新增財務教練，能分析用戶的財務狀況，包括對用戶的收入、支出、儲蓄和貸款進行初步評估，再提供具體的改善步驟。</p> <p>早在今年2月，西班牙對外銀行就在銀行App上線虛擬助理，這個助理透過LLM打造，能根據用戶的交易資訊和先前的互動，來回應用戶問題。並且，若用戶在和虛擬助理互動過程中，突然需要離開對話，虛擬助理也能維持原有的對話邏輯。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; background-color: rgb(247, 247, 247);"><strong style="font-weight: bold;"><span style="font-size: 16px; color: rgb(0, 0, 205);">#金管會</span></strong><strong style="font-size: 16px; font-weight: bold;"><span style="color: rgb(0, 0, 205);"> #虛擬資產保管</span></strong></h3> <h3>4銀行已申請虛擬資產保管業務、金管會6月再開放申請</h3> <p>金管會近日在例行記者會中，揭露虛擬資產保管業務試辦的申請近況。截至114年4月底，已有4家金融機構申請辦理虛擬資產保管業務主題式業務試辦，分別是凱基銀行、中國信託銀行、聯邦銀行、國泰世華銀行。目前尚有一間業者正在接受輔導，為台新銀行。另外，金管會創新處處長胡則華表示，考量許多金融機構仍有意參與虛擬資產業務試辦，將於今年6月15日再度開放受理申請案件。</p> <p>近日金融科技創新園區舉辦的活動中，上海商銀也針對虛擬資產保管業務試辦提出了相關規畫，例如以虛擬資產創新實驗室作為主題，透過在金融科技創新園區中建立企業實驗室，和新創業者合作推動虛擬資產保管實證案。上海商銀也在活動中表示，期望能在今年第三季中，完成虛擬資產保管的技術驗證。</p> <p>其他重要Fintech新聞：</p> <ul> <li>JPMorgan Chase和科技公司合作釋出開源量子程式庫</li> <li>永豐銀行啟用專屬短碼識別簡訊通知</li> </ul> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">責任編輯／李昀璇</span></p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">圖片來源</span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);">／</span>MUFG</p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">資料來源：iThome整理，2025年5月</p> <p></p> </div></div></div>
2025/5/26 19:15作者李昀璇https://www.ithome.com.tw/news/169176
5,300臺網路設備遭殭屍網路綁架，中國駭客ViciousTrap利用未有修補程式的已知漏洞入侵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>提供中小企業及SOHO族使用的網路設備，即使廠商因生命週期結束（EOL）不再提供修補，用戶往往因為仍然能夠運作，並未汰換而是繼續使用，這樣的情況也變成駭客眼中的肥羊，且有越來越多設備遭到控制。</p> <p>例如，最近資安業者Sekoia對於追蹤思科路由器漏洞CVE-2023-20118的攻擊行動，<a href="https://blog.sekoia.io/vicioustrap-infiltrate-control-lure-turning-edge-devices-into-honeypots-en-masse/">揭露最新的發展</a>，他們原本在<a href="https://blog.sekoia.io/polaredge-unveiling-an-uncovered-iot-botnet/">今年1月底至2月上旬</a>，發現有人利用這項漏洞，綁架思科的小型路由器設備，組成殭屍網路PolarEdge，當時已有逾2千臺設備受害，如今研究人員發現，還有其他駭客組織也加入漏洞利用行列：中國駭客ViciousTrap已藉此綁架超過5千臺路由器，並在這些路由器植入Shell指令碼NetGhost，然後將流入的網路流量導向類似蜜罐陷阱（Honeypot）的基礎設施。</p> <p><a href="https://nvd.nist.gov/vuln/detail/cve-2023-20118">CVE-2023-20118</a>存在於思科小型企業路由器RV016、RV042、RV042G、RV082、RV320、RV325等6款機種的網頁管理介面，為遠端命令執行（RCE）漏洞，通過身分驗證的攻擊者能藉此遠端執行任意命令，CVSS風險評為6.5，屬中度風險。由於上述機種的生命週期已經結束，<a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-sbr042-multi-vuln-ej76Pke5">思科表明不會提供修補</a>，並強調沒有其他緩解措施，呼籲管理者停用特定連接埠與遠端管理功能，減輕漏洞造成的資安風險。值得留意的是，美國網路安全暨基礎設施安全局（CISA）今年3月證實此漏洞已被用於實際攻擊，<a href="https://www.cisa.gov/news-events/alerts/2025/03/03/cisa-adds-five-known-exploited-vulnerabilities-catalog">列入已遭利用的漏洞名單（KEV）</a>。</p> <p>但前述思科路由器並非駭客的唯一目標。Sekoia研究人員進一步對駭客的基礎設施調查，結果發現，他們也鎖定D-Link、Linksys、華碩、威聯通（QNAP），以及Araknis Networks等廠牌的網路設備。</p> <p>根據對於遭到駭客綁架的網路設備進行調查，研究人員認為這波攻擊的主要目標是亞洲，目的是廣泛透過能經由網際網路存取的設備，來建置蜜罐陷阱網路，從而收集尚未公開弱點或零時差漏洞，以便後續用於其他攻擊行動。此外，ViciousTrap入侵設備的管道，後續也可能被其他人重複利用。</p> <p>Sekoia最初於今年3月看到ViciousTrap利用CVE-2023-20118，一旦利用成功，就會使用ftpget下載bash指令碼並執行，下載專為MIPS系統打造的wget二進位程式。</p> <p>接著駭客再次利用相同的漏洞，透過剛才取得的wget接收另一個指令碼NetGhost。此指令碼在每次執行的時候都會建立受害設備的識別編號UUID，攻擊者疑似藉此建立列管受害設備的白名單，並從C2派送有效酬載。</p> <p>若是攻擊者成功啟動了NetGhost，此指令碼不僅會向C2伺服器發出通知，並透過iptables及特定連接埠重新導向流入的流量，清除原本指向攻擊者基礎設施的NAT規則，並加入新的重新導向規則，以及攻擊者監聽。最終NetGhost還會自我清除，避免留下作案痕跡。</p> <p>究竟ViciousTrap是否參與今年1月至2月的攻擊行動？目前仍不明朗，但Sekoia發現這些駭客於4月重複利用PolarEdge事故找到的Web Shell，由於要啟動該工具必須輸入密碼，不排除他們可能是Web Shell的開發團隊。</p> <p>針對這波攻擊活動的受害範圍，研究人員一共從84個國家當中，找到5,300臺受害設備，雖然駭客的主要鎖定標的是思科路由器，但他們提到NetGhost感染最嚴重的國家是澳門，有近850臺，原因卻是當地許多網路用戶使用D-Link的DIR-850L路由器，而成為駭客偏好下手的目標。</p> <p>值得留意的是，駭客重新導向的流量大多針對臺灣與美國，而中國並未遭到波及，這也加深Sekoia推測ViciousTrap來自中國的假設。附帶一提的是，這些駭客的基礎設施有部分與GobRAT相關，不過研究人員無法確認兩組人馬是否有所交集。</p> </div></div></div>
2025/5/27 12:44作者周峻佑https://www.ithome.com.tw/news/169195
OpenAI在韓國設立子公司
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據南韓媒體的報導，OpenAI周一（5/26）宣布在首爾創立了子公司。迄今OpenAI於全球已設立11個子公司，而首爾則是亞洲市場繼東京與新加坡之後的第三個子公司，值得一提的是，南韓的ChatGPT付費使用者數量僅次於美國市場。</p> <p><a href="https://www.koreaherald.com/article/10495708" target="_blank">韓國先驅報（Korea Herald）</a>引用OpenAI策略長Jason Kwon的說法，指出韓國提供了一個全棧式AI生態系統，從半導體到軟體，而且該國各個世代的人們都在日常生活中積極使用AI。</p> <p>OpenAI的統計顯示，韓國的ChatGPT每周活躍用戶數過去一年成長了4.5倍，不管是ChatGPT用戶數量，或是使用OpenAI API的開發者數量都在全球前十名。</p> <p>OpenAI本周只宣布成立子公司，但真正的辦事處要在數月後才會啟用。<a href="https://en.yna.co.kr/view/AEN20250526005300320" target="_blank">韓國聯合通訊社Yonhap報導</a>，在此之前，OpenAI便已與當地的網路公司Kakao、遊戲業者Krafton及電信業者SK Telecom合作AI技術及資料中心的開發。</p> <p>其它的OpenAI全球子公司還設在巴黎、倫敦、都柏林及布魯塞爾等。</p> </div></div></div>
2025/5/27 11:52作者陳曉莉https://www.ithome.com.tw/news/169192
GitHub MCP曝嚴重漏洞，惡意Issue可誘使AI代理外洩私有儲存庫資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>瑞士新創安全公司Invariant Labs<a href="https://invariantlabs.ai/blog/mcp-github-vulnerability">揭露</a>一項影響廣泛的嚴重資安漏洞，涉及目前社群積極推動並與GitHub平臺整合的MCP（Model Context Protocol）伺服器。該漏洞可使攻擊者僅透過在公開儲存庫建立特製的GitHub Issue，誘使人工智慧代理如Claude Desktop等現有支援MCP技術的人工智慧開發工具，在特定授權情境下，將用戶私有儲存庫中的敏感資料外洩至公開儲存庫。</p> <p>該漏洞的關鍵在於人工智慧代理在用戶授權後，會依照開發者對GitHub MCP伺服器的查詢，自動執行讀取指定儲存庫Issue、建立拉取請求等操作，而攻擊者只需在目標用戶的公開儲存庫新增具惡意提示詞注入的Issue，當用戶請求人工智慧代理檢視該儲存庫的公開Issue時，代理即可能受提示詞操控，在自動授權設定下擷取用戶帳號的私有儲存庫內容，最終將敏感資訊透過拉取請求等方式洩漏於公開儲存庫。</p> <p>此攻擊流程不仰賴複雜的權限提升或伺服器漏洞，而是利用MCP協定與代理授權的機制。人工智慧代理雖具用戶確認操作的安全設計，但部分用戶為提升操作效率，可能選擇總是允許等預設授權，讓代理可於無人監督下執行多項行動，進一步增加提示詞注入攻擊成功的機會。</p> <p>研究人員進一步說明，這類惡意代理流程漏洞，並非MCP本身的程式碼缺陷，也非傳統伺服器權限設定問題，而是生成式人工智慧代理工具與第三方平臺整合時，未妥善限制其跨儲存庫或跨權限操作的架構性問題。即使採用已加強對齊與安全訓練的先進人工智慧模型，在實驗場景下仍無法有效防範這類提示詞注入的複合攻擊。</p> <p>針對這類風險，研究人員建議組織與開發團隊在導入MCP等人工智慧代理技術時，應落實權限最小化原則，僅開放代理存取必要的儲存庫範圍。目前未有官方修補方案，且由於屬於架構設計層級的安全議題，現階段僅能透過額外的安全層或代理行為監控工具降低潛在風險。</p> </div></div></div>
2025/5/27 12:00作者李建興https://www.ithome.com.tw/news/169191
Glitch將關閉程式代管服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.glitch.com/post/changes-are-coming-to-glitch/" target="_blank">協作程式開發平臺Glitch上周宣布</a>，即將於7月8日關閉該專案的代管服務以及使用者個人資料，至於Glitch儀表板則可持續使用至今年底。外界認為這基本上是宣布要結束Glitch了。</p> <p>Glitch的前身為Fog Creek Software，創立於2000年，在打造出程式開發及部署平臺Glitch之後，於2018年更名為Glitch，接著在2022年賣給了美國雲端運算平臺Fastly。</p> <p>Glitch執行長Anil Dash表示，此次的決定有幾個原因，一是執行數百萬個程式需要花費大量的時間與金錢，然而，隨著平臺的老化以及惡意人士企圖濫用該平臺，更讓情況雪上加霜；此外，過去幾年他們也看到了許多令人讚嘆的新平臺，這些平臺提高了人們建置與執行應用程式的標準，如同十年前的Glitch。</p> <p>雖未明說，但上述言論等於表明了Glitch準備退出市場。</p> <p>目前Glitch已不再接受新的Glitch Pro訂閱，也會退款給既有Glitch Pro用戶，今年底前都仍可透過Glitch儀表板下載所有專案的程式碼，之後也將有一個新功能可將專案的子網域重新定向，確保網址能夠繼續運作。</p> </div></div></div>
2025/5/27 12:16作者陳曉莉https://www.ithome.com.tw/news/169193
OpenAI將Operator模型升級為具推理能力的o3
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://x.com/OpenAI/status/1925963018791178732" target="_blank">OpenAI本周宣布</a>將Operator代理人使用的模型，由GPT-4o升級為具推理思維能力的o3。</p> <p>Operator為ChatGPT的電腦使用代理人（Computer-Using Agent，CUA），為ChatGPT賦予看/讀、寫/打字、點擊或操作滑鼠的能力，使其能代用戶執行多種任務，包括上網搜尋、操作應用程式、甚至訂餐廳、訂外送或下單。Operator今年1月先提供給美國，<a href="https://www.ithome.com.tw/news/167523" target="_blank">之後又陸續推向</a>巴西、日、韓及新加坡等國，且持續擴大到全球。</p> <p>目前Operator維持為研究預覽（research preview）版，還是僅限月付200美元的Pro方案用戶使用。</p> <p>OpenAI在官方X帳號說明，Operator升級使用o3模型後，它和瀏覽器互動時將會更持續、更準確，以提高任務的成功率。回應內容上也會更清楚、全面、更有條理。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0527-OpenAI-Operator-o3.png" style="width: 550px;" /></p> <p><a href="https://help.openai.com/en/articles/10561834-operator-release-notes" target="_blank">根據OpenAI說明</a>，新版使用o3的Operator在OSWord和WebArena測試結果，都較原有（4o）的Operator表現更好，成為新的SOTA，而在不論標竿測試和人類偏好評估上，也都超越使用o4的Operator。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0527-OpenAI-Operator-o3-benchmark(2).png" style="width: 600px;" /></p> <p>其他AI業者也正在開發類似Operator的代理人，包括Hugging Face的<a href="http://www.ithome.com.tw/news/168790" target="_blank">Open Computer Agent</a>能查詢Google Maps或使用圖片生成模型，Google可理解影片、共享螢幕的<a href="https://blog.google/technology/google-deepmind/gemini-universal-ai-assistant/#live-capabilities" target="_blank">Project Astra</a>現在則整合到Google Live。<span style="font-size:14px;"><span style="color:#696969;">圖片來源／OpenAI</span></span></p> </div></div></div>
2025/5/27 10:42作者林妍溱https://www.ithome.com.tw/news/169180
研究人員相信Careto駭客組織背後是西班牙政府
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcrunch.com/2025/05/23/mysterious-hacking-group-careto-was-run-by-the-spanish-government-sources-say/" target="_blank">Techcrunch引述消息人員報導</a>，11年前一個被視為世界上最狡猾的駭客攻擊行動，其實背後行動者是西班牙政府。</p> <p><a href="https://www.ithome.com.tw/news/85145" target="_blank">2014年資安業者卡巴斯基發現</a>一樁進階滲透攻擊（Advanced Persistent Threat，APT）行動，鎖定政府機關和能源企業，包括外交辦公室、大使館、能源或石油企業，目的在竊取機密資料如文件、加密金鑰、VPN配置等。經過分析，研究人員將其稱為Careto或The Mask，這是因為他們在其程式碼中發現到Careto（西語中的面具之意）的字樣。</p> <p>Careto最早現身於2007年，到2013年之間是其第一波活動期，而在沈寂幾年後<a href="https://www.kaspersky.com/about/press-releases/careto-apt-resurfaced-after-10-years-with-new-malicious-frameworks" target="_blank">2019年又再次活躍</a>。在前一次活動期間，Careto即已能使用極為複雜的惡意程式、rootkit、bootkit，除了能夠攔截所有的通訊管道且蒐集重要資訊外，其惡意程式還能隱身、針對防毒產品執行客製化的攻擊。它的目標平臺從Mac OS X、Linux外，到Android與iOS。到了近年，Careto的能力更提升為多模，能用惡意程式偷錄麥克風聲音、竊取瀏覽器或WhatsApp cookies，或是取得感染機器的控制權。而Careto的受害者國家也遍布歐洲、拉丁美洲到北、中非，受害組織高達數百。</p> <p>卡巴斯基從未明指Careto的身份，但Techcrunch最新報導引述卡巴斯基至少4名前員工指出，Careto/The Mask背後主謀者是西班牙政府。一名前員工透露，線索之一是一名古巴政府員工是西國巴斯克地區恐怖主義ETA成員。<a href="https://media.kasperskycontenthub.com/wp-content/uploads/sites/43/2018/03/20133638/unveilingthemask_v1.0.pdf" target="_blank">根據卡巴斯基的調查</a>，其他受害者分布地區包括摩洛哥、巴西、英國屬地直布羅陀等地，也都是和西班牙有歷史新仇舊恨。</p> <p>卡巴斯基拒絕評論報導。</p> <p>駭客組織與政府資源有關連，甚至直屬政府單位，在全球都不是罕見，並非只有北韓和中國如此。例如，Equation Group據信屬於美國國安局（NSA），Lamberts為中情局（CIA）所有，而Animal Farm背後是法國政府。</p> </div></div></div>
2025/5/27 08:39作者林妍溱https://www.ithome.com.tw/news/169179
微軟開源Aurora AI模型跨域天氣預報，準確度全面超越傳統數值模擬方法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟研究院<a href="https://news.microsoft.com/source/features/ai/microsofts-aurora-ai-foundation-model-goes-beyond-weather-forecasting/">宣布</a>開源Aurora AI基礎模型，該模型結合深度學習與大規模異質資料處理技術，除了能精確預報天氣，還可透過微調應用於海洋波浪及空氣品質等多種環境事件，推動氣象與地球系統科學的技術發展。</p> <p>根據微軟團隊發表於《Nature》期刊的論文，Aurora為大型人工智慧基礎模型，以超過一百萬小時來自衛星、雷達、氣象站及電腦模擬等多種來源的氣象與環境資料訓練而成。該模型不限於傳統天氣預報任務，其彈性架構可經有限微調，應用於颱風路徑預報、海浪高度及方向分析，甚至空氣污染事件預測。</p> <p>Aurora訓練所使用的資料規模，較多數同類人工智慧模型更為龐大，使其在不同預報任務能有效整合多元資料來源，例如在2023年杜蘇芮（Doksuri）颱風路徑預測，Aurora於事件發生前四天即能準確預測其將登陸菲律賓北部，當時美國聯合颱風警報中心（JTWC）則預測路徑較偏向臺灣附近。根據微軟研究團隊測試，Aurora於2022至2023年全球熱帶氣旋預報任務，軌跡預測表現於所有比較案例均優於七個主要氣象中心，這是機器學習模型首次在該領域全面超越傳統數值模式。</p> <p>除天氣與氣旋外，Aurora在海浪預報及空氣品質預測等複雜環境事件，同樣展現高度精確度。針對海浪預報，Aurora可捕捉細緻波浪結構變化，對於受颱風影響的極端海象能有更佳掌握。在空氣品質預測案例，儘管訓練階段未特別學習大氣化學反應，Aurora仍可透過少量空氣品質資料微調，有效預測沙塵暴等空氣污染事件，並大幅降低傳統方法的計算資源消耗。</p> <p>Aurora採用彈性的深度學習編碼器架構，能同時處理多源、結構多樣且維度複雜的資料，在推論階段可於數秒內產生中期氣象預報，速度約為傳統數值天氣預報系統的5,000倍，且運作成本明顯較低。研究團隊指出，Aurora每次微調作業僅需約4至8周即可完成，較傳統數值氣象模式開發周期大幅縮短。</p> <p>目前Aurora模型已整合至MSN Weather服務，並於Azure AI Foundry Labs上提供開發者試用及二次開發。微軟已釋出模型權重及部分原始碼，開發者可依需求進行微調，支援能源調度、農業風險預警、交通安全等多元應用。</p> </div></div></div>
2025/5/27 08:56作者李建興https://www.ithome.com.tw/news/169170
Dero惡意程式可自動感染公開Docker容器執行挖礦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Kaspersky<a href="https://securelist.com/dero-miner-infects-containers-through-docker-api/116546/">公開</a>新一波針對Docker API服務的自動化惡意程式攻擊，該攻擊以植入Dero加密貨幣挖礦程式為核心，專門鎖定存取權限管理不嚴的Docker容器環境，進行自動化散播及占用受害主機運算資源，最終形成具備自我擴散能力的挖礦僵屍網路。</p> <p>本次自動化攻擊流程主要仰賴兩支以Go語言撰寫，且經UPX壓縮的惡意程式，分別是名為「nginx」負責散播及持久化的元件，以及名為「cloud」的Dero加密貨幣挖礦程式。「nginx」並非一般網頁伺服器，而是假冒知名開源服務名稱以降低被偵測風險。</p> <p>「nginx」的主要功能包含持續監控自身與挖礦程式的運作狀態，還會主動掃描外部網路尋找可利用的Docker API，並將自身與挖礦程式植入新感染的容器。整個傳播過程無需依靠C2伺服器，攻擊完全仰賴感染主機的自動掃描與橫向擴散能力。</p> <p>攻擊者利用「nginx」程式隨機產生IPv4子網，並以掃描工具搜尋並鎖定開放Docker預設API埠口2375的主機。發現目標後，惡意程式會嘗試列出主機上的容器，當符合條件，便遠端新建以Ubuntu 18.04為基礎的惡意容器，並設為自動重啟以確保持續運作。新建容器將安裝必要相依工具，同時複製「nginx」與挖礦程式進入環境。為強化持久化，nginx會將自身啟動指令寫入/root/.bash_aliases，確保容器每次啟動時自動執行。</p> <p>除了新建容器，「nginx」也會檢查現有以Ubuntu 18.04為基礎且尚未感染的容器，並以相同方式植入惡意程式並啟動挖礦。這套自動化機制可在無須外部聯繫的情況，持續自我複製與擴散，任何未設防的Docker API都有可能成為僵屍網路的一部分。「cloud」挖礦程式則根據程式內預先寫入且經加密的設定，持續連接特定Dero礦池節點，利用受害主機的運算資源進行加密貨幣挖礦。</p> <p>該挖礦攻擊的一大特點，在於攻擊者採用加密方式儲存錢包地址及礦池節點資訊，進一步提升隱蔽性與調查難度。全球公開Docker API主機數量雖不多，但根據Shodan統計，2025年4月全球有超過520臺開放2375埠口的Docker API主機暴露於網際網路，皆為潛在受害目標。</p> </div></div></div>
2025/5/27 08:14作者李建興https://www.ithome.com.tw/news/169165
Google行銷年會宣布十多年來最大廣告競價技術更新，不靠關鍵字只靠語意觸發競價，也能用AI替廣告主競價冷門關鍵字廣告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年行銷年會Google Marketing Live中，Google延續力推AI驅動廣告業務的策略，宣布許多用生成式AI和AI相關的功能。其中，包括近月備受廣告主矚目的AI Overviews等AI驅動搜尋相關做法和產品，以及他們稱為「10多年來最大廣告競價技術躍進」的AI搜尋廣告相關功能。</p> <p>AI之外的另一大焦點則是YouTube廣告相關新功能。聯網電視（CTV）是數位廣告業界當下最愛的新興行銷通路，Google近2至3年來亦不斷強調，許多家庭會在自家大螢幕上觀賞YouTube，因此也算高品質、高成效、高廣告費的CTV通路。今年，他們更強調自家YouTube上的短影音Shorts，能觸及許多觀眾，是Tiktok、Meta等其他短影音通路所接觸不到。</p> <p><strong>AI類搜尋功能將新增更多廣告版位</strong></p> <p>首先，Google宣布將擴大經營AI類搜尋功能的廣告業務，包括以圖搜圖功能Google Lens、搜尋結果頁面的AI摘要功能AI Overviews，以及深度對話式搜尋功能AI Mode。他們表示，截至今年5月底，Lens已經有1千億次搜尋，其中有20%是具有購物意願的搜尋，蘊含龐大商機。去年，他們已經在Lens及行動版AI Overviews中加入廣告版位。</p> <p>今年，他們更拓展廣告版位到桌面端AI Overviews，並開始於AI Mode介面中置入廣告。Google表示，在AI Mode中，使用者通常會用更長的句子來搜尋，並持續與聊天機器人互動。從這些輸入中，系統可以更詳細了解使用者喜好與潛在購買意圖。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/gml%20aimodeads.png" style="width: 600px;" /></p> <p>對廣告主而言，這意味著有新的流量集散地，可以分配行銷預算。不過，對於希望導流到自家網站的網站主和SEO人員來說，Google把AI搜尋功能視為新營利手段，意味著0點擊（Zero-click）搜尋情況，也就是使用者搜尋完只看AI摘要，不點進網站的搜尋情境，將會持續加劇。</p> <p><strong>關鍵字廣告更加智慧化，可以靠AI自動競標冷門關鍵字，更能直接靠語意而非關鍵字來競標廣告</strong></p> <p>Google廣告商品線中最大宗的關鍵字搜尋廣告迎來重大更新。<a href="https://blog.google/products/ads-commerce/google-ai-max-for-search-campaigns/">5月初，Google才推出搜尋廣告業務中的AI工具AI Max for Search campaigns</a>。月底行銷年會上，他們又宣布在此工具推出兩大新功能。</p> <p>這兩大新功能，都可以與既有關鍵字競標模式Broad Match相比較。Broad Match運作方法是，當使用者搜尋與廣告主設定關鍵字語意相近的字詞時，就會觸發競標。例如，當使用者搜尋「健身教練推薦」，可能會出現關鍵字清單中含有「私人健身教練」的廣告。這是Google關鍵字廣告預設競標模式。</p> <p>如今，Google指出，隨著搜尋內容不再只是關鍵字，而是包含長語句、圖像，甚至互動式對話，行銷人員很難人工建立廣告活動或挑選關鍵字清單。AI Max的兩大新功能，正是分別根據語意和情境，進一步拓展自動替廣告主競標廣告的情境。</p> <p>首先是根據語意而非關鍵字來觸發競標的Keywordless Targeting。運作模式是，系統會從品牌的入口頁、現有廣告，甚至是關鍵字清單中學習，推測品牌銷售的內容以及應該在什麼情境下投放廣告。廣告主可以一鍵式選擇開啟此功能，直接套用於既有搜尋廣告上。</p> <p>舉例來說，假設今天有使用者搜尋「適合大家庭的電動SUV」，即便Volvo並未設定這組字詞為投放條件，AI Max系統仍能讓Volvo的廣告出現在搜尋結果頂部。不只如此，Google還強調，AI Max會結合使用者輸入字詞背後意圖，與品牌既有網站內容與創意素材中，來即時生成一個對應這組查詢、具備客製化文字的廣告文案。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/gml%20kwdtgt.png" style="width: 600px;" /></p> <p>第二個則是Google稱為十多年來最大競價技術躍進的Smart Bidding Exploration。此功能利用AI來根據品牌和商品相關情境，自動探索冷門關鍵詞來競標，以求在顧及行銷成效同時，壓低關鍵字競標的成本。</p> <p>相較於Broad Match是在關鍵詞語意相近時，觸發廣告競價，Smart Bidding Exploration選擇的關鍵字，甚至可能與廣告主預設關鍵字清單內容毫無關聯，而是AI根據商品情境判斷可能觸及潛在品牌受眾的關鍵字。此功能於<a href="https://www.ithome.com.tw/news/165907">去年11月開始測試版</a>，如今正式推出。</p> <p>另一個搜尋廣告相關更新是，Google開始在搜尋結果頁面及Google Shopping頁面中測試影片廣告。</p> <p>Google提醒，隨著搜尋形式更加多模態，如今SEO應該注重多媒體內容，在影片和圖片內容下功夫。尤其，Google近一年不斷嘗試呈現更多元化的搜尋結果形式，背後都需要從網站內容中自動提取多媒體素材來製作。</p> <p><strong>強調YouTube既有長處，升級新客獲取相關功能並翻新創作者合作平臺</strong></p> <p>Google強調，YouTube作為全球最大影音平臺，靠廣告來獲取品牌新客的效果尤其強大。今年，他們開始用更先進的模型，從全Google通路來分析使用者旅程，以強化辨認品牌潛在新客戶的能力。並且，在廣告投放後臺中，新增可以排除已認識特定品牌受眾的選項，來進一步增強獲取新客效果。</p> <p>他們也推出全通路品牌行銷成效追蹤功能。廣告主可以從後臺追蹤受眾於Google不同通路中，與自家品牌相關的行為。例如，在YouTube上看到有興趣的品牌廣告，再回到Google搜尋相關商品。</p> <p>另一個更新是在YouTube廣告中新增CTV的購物廣告格式。Google表示，如今許多YouTube觀眾會在家庭中的電視螢幕觀看影片，同時手中拿著手機。這類廣告支援觀眾直接透過廣告在CTV上購物，或是透過掃描QR Code，用手中的手機來購物。</p> <p>最後，他們翻新Creator Partnership Hub，廣告主可以搜尋與自家商品主題相關的YouTube創作者，並瀏覽創作者的行銷相關數據、合作價格等資訊。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/gml%20cph.png" style="width: 600px;" /></p> <p><strong>用生成式AI和代理式AI強化廣告後臺系統</strong></p> <p>Google Ads和Merchant Center將迎來多個GenAI和Agentic AI相關更新。</p> <p>第一大類是用GenAI協助行銷素材創作及行銷策略優化。</p> <p>Google宣布，Google Ads中推出Asset Studio，一個生成式AI素材創作及編輯平臺，利用Veo和Imagen等影音模型，可以進行圖文編輯、圖片轉影片、影音尺寸調整，以及用AI拓展動靜態影像的背景內容等功能。</p> <p>另外，未來在Google Ads跟Merchant Center裡面，可以根據品牌商品資料和時下趨勢來推薦行銷商品、文案、建議價格等細節，並讓廣告主一鍵執行後，追蹤、A/B測試的功能。Merchant Center中，則新增跨通路影片管理介面，其中有AI推薦影音行銷優化方向的功能。</p> <p>第二大類，則是可以根據當下情境及資料，更加主動提供廣告主協助的AI代理功能。</p> <p>首先是預計今年年底推出的Marketing Advisor。這是一個AI代理，在Chrome Browser中以一個聊天機器人視窗的形式呈現。此AI代理可以在行銷人員不同工作階段提供協助，還可以自動找到Google Ads不同設定上的錯誤，自動修正後追蹤、回報。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/gml%20mkadv.png" style="width: 600px;" /></p> <p>Google還宣布兩個沒有揭露預計推出時間的AI代理。在Google Ads，Google計畫推出可以主動建議廣告關鍵字、受種圈選方法、行銷素材選擇的AI代理；在Google Analytics，則要推出主動提供數據趨勢分析和洞察和製作報表的AI代理。</p> <p>今年年會中，Google還宣布推出Commerce Media Suite，讓零售業者可以利用自家第一手資料和品牌合作投放廣告。Google沒有詳細介紹此功能，<a href="https://www.ithome.com.tw/news/161920">但與去年開始在Search Ads 360測試的功能類似。</a>另外，Google Ads跟Google各種行銷平臺的行銷資料API整合成一個Data Manager API，讓MarTech廠商及廣告主從不同資料來源存取行銷相關資料時更容易。</p> <p></p> </div></div></div>
2025/5/26 21:58作者郭又華https://www.ithome.com.tw/news/169178
【資安日報】5月26日，歐美大國攜手執法，3天內破壞7個Botnet
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一年前歐洲刑警組織Europol協調十多個國家的執法機構，展開終局行動Operation Endgame，破壞5款被用於散布惡意程式的殭屍網路病毒，現在歐洲刑警組織採取第二波行動，受到外界的高度關注。</p> <p>這次的Operation Endgame 2.0針對7款殭屍網路而來，其中特別受到注意的是，Qakbot曾在2023年就被圍勦，但駭客改變手法持續犯案，這次美國起訴了其首腦，並沒收2,400萬美元不法所得。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169153"><strong style="font-size: 22px;">思科修補ISE、CUIC的阻斷服務及權限提升漏洞</strong></a></p> <p>思科5月21日釋出安全更新，修補影響2項產品的3項漏洞。</p> <p>漏洞之一位於身分驗證服務（Cisco Identity Services Engine，ISE）RADIUS訊息處理功能CVE-2025-20152。它出於對RADIUS呼叫訊息處理不當，攻擊者可傳送特定驗證呼叫，給使用思科ISE軟體的網路裝置進行驗證、授權和計費（Authentication, Authorization and Accounting，AAA）來濫用該漏洞。成功濫用可導致引發阻斷服務（Denial of Service，DoS）攻擊，讓思科ISE不斷重新載入而無法運作，CVSS風險值達8.6分。</p> <p>另外兩項漏洞是CVE-2025-20113及CVE-2025-20114，影響思科統合智能中心（Unified Intelligence Center，CUIC），此為思科客服中心套件的Web報告平臺。其中CVE-2025-20113是出於該產品API呼叫、或HTTP呼叫的使用者參數的伺服器端驗證不足。攻擊者可傳送假造的API或HTTP呼叫，到CUIC系統濫用漏洞；CVE-2025-20114則是出於UIC對API呼叫參數的驗證不足，讓攻擊者可傳送API呼叫濫用，以執行直接物件參照攻擊，結果是水平權限擴充，攻擊者得以存取裝置上不同用戶的資料，風險值為7.1、4.3。</p> <p><a href="https://www.ithome.com.tw/news/169156"><strong style="font-size: 22px;">Node.js程式庫Samlify存在近滿分重大漏洞，攻擊者可輕易冒充管理員身分</strong></a></p> <p>受廣泛採用的Node.js SAML單一登入（SSO）程式庫Samlify，存在重大層級的資安漏洞CVE-2025-47949，可使攻擊者繞過身分驗證，冒充高權限管理員帳號。資安公司Endor Labs研究人員提到，該漏洞允許未經授權的第三方利用簽章驗證機制的弱點，偽造SAML回應並取得包括管理員在內任何用戶身分。</p> <p>研究人員指出Samlify於2.10.0版本之前，在XML簽章驗證機制上存在簽章包裝（Signature Wrapping）攻擊風險。攻擊者可利用合法簽署的SAML XML文件，在原有內容插入惡意SAML斷言（Assertion），並藉由程式庫解析邏輯缺陷，規避加密驗證流程。伺服器端就可能誤接受未經簽章驗證的身分資訊，導致攻擊者可偽裝成任意用戶，包含系統管理員，登入目標應用或服務。</p> <p>Samlify長期作為Node.js生態系內簡化SAML 2.0實作的重要程式庫，藉由高階API設計，供開發者簡單串接身分辨識與存取管理流程，被廣泛用於企業、雲端供應商及開發工具。根據NPM統計，Samlify每周下載量超過20萬次，且有超過60個開源專案直接相依。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/google-chrome-update-8-security-fixes-including-high-severity-flaw/">Google發布Chrome 137，修補高風險記憶體使用後再存取利用漏洞</a></strong></p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/05/vicioustrap-uses-cisco-flaw-to-build.html">思科小型路由器遭鎖定，駭客ViciousTrap利用已知漏洞入侵</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/stealthy-skimmer-new-formjacking-malware-targets-woocommerce-checkouts/">表單挾持軟體Stealthy Skimmer鎖定WooCommerce電商網站而來</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/05/hackers-use-fake-vpn-and-browser-nsis.html">惡意軟體Winos 4.0透過冒牌VPN和瀏覽器安裝程式散布</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/rhadamanthys-stealer-returns-copyright-phishing-targets-europe/">竊資軟體Rhadamanthys捲土重來，假借社群網站內容侵權散布</a></strong></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169158"><strong style="font-size: 22px;">歐洲刑警組織大執法！3天破壞7個Botnet，查封300臺伺服器、650個網域</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/endgame-image3_4.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/endgame-image3_4.jpg" style="width: 300px; float: right;" /></a>去年5月歐洲刑警組織Europol聯手美國、英國等十多個國家的執法機構進行執法行動Operation Endgame，對於多款殭屍網路Bumblebee、IcedID、Pikabot、Smokeloader、Trickbot查封伺服器及相關網域，重創駭客利用這些殭屍網路病毒散布各式惡意軟體的現象，如今這些執法單位採取第二波行動，並公布成果。</p> <p>5月23日歐洲刑警組織Europol宣布，他們與歐洲司法組織Eurojust，以及加拿大、丹麥、法國、德國、荷蘭、英國、美國的執法機關聯手，從事執法行動Operation Endgame 2.0，自5月19日至22日，這些執法單位一共查封約300臺伺服器、封鎖650個網域，並對20名嫌犯發布全球通輯令，查獲350萬歐元加密貨幣不法所得，使得累計查獲贓款達到了2,120萬歐元。</p> <p>而這次他們主要的執法目標，聚焦在駭客用來取得初始入侵管道，並導致受害組織被植入勒索軟體的惡意程式，包含Bumblebee、DanaBot、Hijackloader、Lactrodectus、Qakbot（QBot）、Trickbot，以及Warmcookie。另一方面，美國司法部（DOJ）也根據上述執法行動，起訴從事Qakbot、DanaBot相關的網路罪犯。</p> <p><a href="https://www.ithome.com.tw/news/168969"><strong style="font-size: 22px;">【臺灣資安大會直擊】國家級APT駭客族群如何濫用生成式AI？</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（主圖）臺灣資安大會Christopher B Porter_國家級APT_攝影羅正漢.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E5%A4%A7%E6%9C%83Christopher%20B%20Porter_%E5%9C%8B%E5%AE%B6%E7%B4%9AAPT_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 300px; float: right;" /></a></p> <p>在今年臺灣資安大會上，生成式AI與資安的議題無疑是最大焦點，例如，來自Google Cloud國際資安合作的專家Christopher B. Porter，他剖析了攻擊者運用生成式AI技術來助長其惡意行徑的態勢，然而，當焦點轉向更具組織性與戰略性的國家級進階持續性威脅（APT）行動者時，這些國家級APT駭客族群又是怎麼做？同樣是資安防禦者需要深入探討的議題。</p> <p>針對這樣的議題，Christopher有更深入的說明，他們多年來持續追蹤許多國家級駭客組織的動向，如今已觀察到，這些國家級APT攻擊者也試圖使用Google的生成式AI服務Gemini，作為提升犯罪效率的一項工具，來幫助他們進行網路攻擊。</p> <p><a href="https://www.ithome.com.tw/news/168709"><strong style="font-size: 22px;">【臺灣資安大會直擊】先下手為強的另一種資安左移策略！掌握可能遭攻擊的先機</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/PD-IR2.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/PD-IR2.jpg" style="width: 300px; float: right;" /></a></p> <p>除了積極鞏固防線，盡可能不要犯錯，以免增加入侵者的可乘之機，許多人可能也會想到能否反擊？使對方更不敢輕易越雷池一步！但也擔心因此激怒對方而發起更劇烈、更難以招架的報復行動，而得不償失。過往我們知道的資安反制手段是欺敵（Deception），設下陷阱進行誘捕，進而獲得主動防禦能力，自由資安顧問PD Lee在2025臺灣資安大會也針對這項議題進行探討，他說明一種更進階、危險性也更高的作法，稱之為「逆襲中繼站」，PD Lee也透過實務操作的經驗，為大家提供不同的防守思路。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169105"><strong style="font-size: 22px;">預防Windows 11 Recall截圖影響用戶隱私及資安，即時通訊軟體Signal提供預設阻擋機制</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/recall-warning.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/recall-warning.png" style="width: 300px; float: right;" /></a>微軟<a href="https://www.ithome.com.tw/news/162988">去年5月</a>宣布將為Copilot+ PC提供<a href="https://www.ithome.com.tw/tags/recall">回顧（Recall）</a>的新功能，協助使用者從曾經瀏覽過的網頁、簡報、電子郵件，或是即時通訊軟體的對話內容，快速找到所需資訊，由於此功能仰賴持續收集用戶的使用過程內容，<a href="https://www.ithome.com.tw/news/163045">隨即就引發外界的隱私安全疑慮</a>，使得微軟決定暫緩推出，直到最近才<a href="https://www.ithome.com.tw/news/168628">再度重新提供</a>。但即便微軟強化此AI功能的安全，還是有開發團隊不買單，決定為應用程式導入新的防護措施因應。</p> <p>5月21日Signal基金會宣布，他們對於在Windows 11平臺執行的電腦版Signal，預設啟用螢幕安全功能，阻擋微軟Recall自動截圖聊天內容，提升用戶隱私保護。這項調整的主要原因，在於Recall於今年5月隨Copilot+ PC重新預覽上線後，各界對其存取敏感資訊與資訊安全的疑慮，仍舊存在。</p> <p>Signal表示，根據現行微軟的政策，應用程式無法主動阻擋Recall擷取畫面，僅能採用DRM等既有技術因應，呼籲微軟應提供更多開發者工具，以維護用戶隱私。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169135"><strong>【5月23日】新版Windows伺服器作業系統dMSA服務帳號的遷移流程可被濫用而惹議</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169114"><strong>【5月22日】VMware修補旗下多款平臺的資安漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169076"><strong>【5月21日】韓國電信業者SK Telecom事故最新調查出爐，駭客在網路環境活動近3年</strong></a></p> </div></div></div>
2025/5/26 16:46作者周峻佑https://www.ithome.com.tw/news/169160
Kotlin跨平臺開發再簡化，Android Studio新增Android與iOS共享模組範本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在自家整合開發環境Android Studio新增<a href="https://android-developers.googleblog.com/2025/05/kotlin-multiplatform-shared-module-templates.html">KMP（Kotlin Multiplatform）共享模組範本</a>，供開發者更簡單地以現有Android專案，建立可共用於Android與iOS的業務邏輯模組，進一步降低導入KMP的技術門檻，提升跨平臺專案維護與開發效率。</p> <p>KMP共享模組範本已整合進Android Studio，開發者僅需在現有專案中選擇新增模組，即可透過新範本建立同時適用於Android與iOS的共用業務邏輯，省去以往需手動設定多平臺架構、同步維護多套程式碼的繁複流程。新範本支援多項KMP相容Jetpack函式庫，例如Room、SQLite與DataStore。</p> <p>KMP推出以來，由於其單一語言、單一程式碼庫覆蓋多平臺應用的特性，逐漸受到開發社群關注。尤其在行動應用開發領域，KMP允許開發者將核心業務邏輯抽取為共用模組，分別在Android與iOS應用中呼叫，大幅減少重複程式碼與維護負擔。而過去要導入KMP至既有Android專案，常需調整專案結構與整合額外技術，還需深入理解各平臺編譯與建置流程，成為不少團隊採用KMP的挑戰。</p> <p>現在官方新增的共享模組範本，Android開發團隊可更迅速於現有專案中建立KMP模組，並將共用邏輯逐步搬遷至共享架構，無須中斷既有應用的開發與維護。根據Google官方說明，此舉簡化了雙平臺共用邏輯的導入工作，也有助於Android團隊主導跨平臺業務邏輯的設計與調整，降低錯誤發生機率，並提升同步更新功能的效率。</p> <p>Google目前已於Google文件iOS平臺採用KMP實作共用邏輯，依據官方說明，效能表現已達原生程式碼水準。KMP生態系也持續擴大，JetBrains收錄於klibs.io的KMP函式庫已超過1,500個，涵蓋資料存取、網路通訊、加密與UI元件等類型，使開發者在KMP專案可直接導入現成函式庫，加快專案建置。</p> </div></div></div>
2025/5/26 16:49作者李建興https://www.ithome.com.tw/news/169159
歐洲刑警組織大執法！3天破壞7個Botnet，查封300臺伺服器、650個網域
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年5月歐洲刑警組織Europol聯手美國、英國等十多個國家的執法機構進行<a href="https://www.ithome.com.tw/news/163217">執法行動Operation Endgame</a>，對於多款殭屍網路Bumblebee、IcedID、Pikabot、Smokeloader、Trickbot查封伺服器及相關網域，重創駭客利用這些殭屍網路病毒散布各式惡意軟體的現象，如今<a href="https://www.europol.europa.eu/media-press/newsroom/news/operation-endgame-strikes-again-ransomware-kill-chain-broken-its-source">這些執法單位採取第二波行動</a>，並公布成果。</p> <p>5月23日歐洲刑警組織Europol宣布，他們與歐洲司法組織Eurojust，以及加拿大、丹麥、法國、德國、荷蘭、英國、美國的執法機關聯手，從事執法行動Operation Endgame 2.0，自5月19日至22日，這些執法單位一共查封約300臺伺服器、封鎖650個網域，並對20名嫌犯發布全球通輯令，查獲350萬歐元加密貨幣不法所得，使得累計查獲贓款達到了2,120萬歐元。</p> <p>而這次他們主要的執法目標，聚焦在駭客用來取得初始入侵管道，並導致受害組織被植入勒索軟體的惡意程式，包含Bumblebee、DanaBot、Hijackloader、Lactrodectus、Qakbot（QBot）、Trickbot，以及Warmcookie。</p> <p>另一方面，美國司法部也根據上述執法行動，<a href="https://www.justice.gov/usao-cdca/pr/16-defendants-federally-charged-connection-danabot-malware-scheme-infected-computers">起訴16名俄羅斯駭客</a>，指控他們開發、散布DanaBot，導致全球30萬臺電腦受害，並助長網路詐欺及勒索軟體攻擊。對於這些駭客造成的損害，美國司法部估計至少有5千萬美元。</p> <p>此惡意程式主要以租用服務（Malware-as-a-Service）提供給網路罪犯，被用於散布勒索軟體與其他惡意軟體。但美國司法部指出，DanaBot還有另一個版本，被用於針對軍事、外交、政府的相關組織下手，進行竊取機密的活動，一旦遭到感染，該惡意程式會記錄所有與受害電腦的互動過程，並將所有竊得的資料傳逃到特定的伺服器，受害者包含北美及歐洲的外交官、執法人員、軍人。</p> <p>在起訴書中，美國司法部提及其中1名嫌犯Artem Aleksandrovich Kalinkin，此人現年34歲，使用Onix的代號，被指控共謀未經授權存取受害電腦，得以取得電腦存放的資訊、以欺騙的方式得到未經授權存取電腦的管道，以及隨意破壞受到保護的電腦。假若所有罪名都成立，Artem Aleksandrovich Kalinkin將有可能面臨最高72年的刑期。</p> </div></div></div>
2025/5/26 15:16作者周峻佑https://www.ithome.com.tw/news/169158
VS Code官方新PostgreSQL擴充功能整合Copilot，輔助撰寫與最佳化SQL查詢
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟於VS Code推出全新<a href="https://techcommunity.microsoft.com/blog/adforpostgresql/announcing-a-new-ide-for-postgresql-in-vs-code-from-microsoft/4414648">PostgreSQL擴充功能預覽版</a>，讓開發者能在熟悉的編輯器環境，直接管理PostgreSQL資料庫，並結合人工智慧助理，提升SQL查詢撰寫效率與資料庫開發體驗。該擴充功能整合資料庫物件（Object）瀏覽、查詢編輯、智慧提示與雲端身分驗證，支援在VS Code內快速連線、管理與最佳化本地端及雲端的PostgreSQL資料庫。</p> <p>微軟發表的PostgreSQL擴充功能，強調整合GitHub Copilot人工智慧輔助功能。開發者可於VS Code直接呼叫@pgsql代理，利用自然語言查詢、重寫與最佳化SQL指令，或透過智慧提示功能，快速找到查詢瓶頸、分析執行計畫，並依人工智慧建議進行效能調校。</p> <p>除人工智慧協助外，該擴充功能亦強調資料庫連線與物件管理等基本功能。VS Code使用者現可在單一介面內建立、瀏覽及修改PostgreSQL各類資料庫物件，包括資料表、索引、函式及觸發器。透過Object Explorer，開發者能清楚檢視資料結構，並於介面上直接新增、刪除或修改，不需要再仰賴外部管理工具或命令列，減少工具切換與重複登入等繁瑣步驟。</p> <p>PostgreSQL擴充功能支援Entra ID身分驗證，開發者可透過公司帳號直接登入Azure Database for PostgreSQL雲端資料庫，無需額外管理密碼。此功能僅適用於Azure雲端服務，並不支援本地端或Docker容器內的PostgreSQL。擴充功能也提供多組連線設定，便於管理本地、雲端或Docker容器中的資料庫。</p> <p>在查詢撰寫與除錯部分，VS Code內建的IntelliSense智慧提示可協助自動完成SQL語法、顯示資料表與欄位建議，提升撰寫效率。開發者輸入SQL語句時，系統會自動顯示可用資料表、欄位及函式建議，查詢結果與執行歷史則可於編輯器下方直接查閱，方便重複利用常用指令或比對多次查詢結果。結合Copilot人工智慧助理的查詢重寫、解釋與效能分析功能，使複雜查詢的撰寫與調校更為直覺，有助於減少錯誤並提升效能。</p> <p>目前這項PostgreSQL擴充功能已於VS Code擴充市集開放預覽，開發者可搜尋PostgreSQL並安裝官方藍色大象圖標的預覽版本。如要啟用人工智慧協助，必須同時安裝GitHub Copilot及Copilot Chat擴充功能並登入GitHub帳號，便可在VS Code中以自然語言操作資料庫，進行查詢、結構調整與效能最佳化。</p> </div></div></div>
2025/5/26 15:20作者李建興https://www.ithome.com.tw/news/169157
Node.js函式庫Samlify存在近滿分重大漏洞，攻擊者可輕易冒充管理員身分
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>受廣泛採用的Node.js SAML單一登入（SSO）函式庫Samlify，被<a href="https://www.endorlabs.com/learn/cve-2025-47949-reveals-flaw-in-samlify-that-opens-door-to-saml-single-sign-on-bypass">揭露</a>存在一項高嚴重性資安漏洞CVE-2025-47949，可使攻擊者繞過身分驗證，冒充高權限管理員帳號。資安公司Endor Labs研究人員提到，該漏洞允許未經授權的第三方利用簽章驗證機制的弱點，偽造SAML回應並取得任意用戶身分，包括管理員。</p> <p>研究人員公開<a href="https://www.cve.org/CVERecord?id=CVE-2025-47949">CVE-2025-47949</a>相關細節，指出Samlify於2.10.0版本之前，在XML簽章驗證機制上存在簽章包裝（Signature Wrapping）攻擊風險。攻擊者可利用合法簽署的SAML XML文件，在原有內容插入惡意SAML斷言（Assertion），並藉由函式庫解析邏輯缺陷，規避加密驗證流程。伺服器端就可能誤接受未經簽章驗證的身分資訊，導致攻擊者可偽裝成任意用戶，包含系統管理員，登入目標應用或服務。</p> <p>Samlify長期作為Node.js生態系內簡化SAML 2.0實作的重要函式庫，藉由高階API設計，供開發者簡單串接身分辨識與存取管理流程，被廣泛用於企業、雲端供應商及開發工具。根據NPM統計，Samlify每周下載量超過20萬次，且有超過60個開源專案直接相依。</p> <p>本次CVE-2025-47949被歸類於CWE-347不正確驗證加密簽章。在實際攻擊流程中，攻擊者需先取得由身分提供者簽署的XML文件，而這種情境在實務中具備可行性，例如透過用戶端或網路層流量攔截，或自公開來源取得簽署檔案。</p> <p>在取得簽章檔案後，攻擊者即可將偽造的斷言內容嵌入原始XML，再利用函式庫於簽章驗證流程中的弱點，令系統誤判偽造身分資訊為有效認證。此漏洞利用門檻低，不需事先取得系統權限或與用戶互動，只要熟悉SAML流程即可執行。</p> <p>針對此漏洞，Samlify官方已於2.10.0版本修正，強化簽章與斷言對應關係的檢查，阻擋簽章包裝攻擊。建議所有Samlify用戶應立即升級至2.10.0或以上版本，並檢查現有SAML單一登入整合情境，確保所有身分提供者與服務供應商之間的通訊，均採用加密連線並遵循資安最佳實務，以降低相關風險。</p> </div></div></div>
2025/5/26 12:30作者李建興https://www.ithome.com.tw/news/169156
【資安週報】0519~0523，韓國電信SKT揭露已遭滲透將近3年，發現25種類型惡意軟體、23臺伺服器受害
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>回顧2025年5月第四星期的資安新聞中，有兩起資安事故的後續消息是大家關切的焦點，分別是上個月19日韓國電信傳出2千萬用戶USIM資料外洩，以及上個月20日臺灣高科技設備製造商發布資安事件重訊。</p> <p>韓國電信業者SK Telecom在資安事故發生後，一個月後他們揭露清查完3萬臺Linux伺服器，發現最早Web Shell被植入是3年前，共找出BPFDoor等25種類型惡意軟體與23臺受害伺服器。</p> <p>臺灣CoWoS設備製造商萬潤科技遭攻擊，後續有更多情資浮上檯面，有勒索軟體駭客組織Bert聲稱是他們犯下惡行，並揚言握有5 TB內部資料以勒索，萬潤科技5月18日以澄清媒體報導方式在重訊中申明駭客竊取資料未涉機密。</p> <p>在最新威脅態勢上，有兩大焦點，一是攻擊者劫持企業雲端資源被遺忘的DNS記錄，濫用企業子網域來偽冒，一是假冒生成式AI服務提供圖片與影片檔下載，實際是雙重副檔名等伎倆偽裝的執行檔。<br /> ●資安業者Infoblox揭露，駭客組織Hazy Hawk藉由DNS錯誤配置來挾持知名企業組織的網域，並透過惡意流量導向系統TDS，將受害者導向惡意網站。<br /> ●資安業者Check Point發現，駭客建立Kling AI（可靈AI）影片生成工具假冒網站，生成後提供下載的是偽冒.jpg或.mp4的執行檔，可啟動惡意程式載入器。<br /> ●資安業者Aikido、Veracode揭露新惡意NPM套件攻擊，是利用Unicode字元來藏匿惡意程式碼，並濫用Google行事曆event邀請的短網址來達到目的。</p> <p style="margin: 0px;">在漏洞攻擊態勢上，Ivanti漏洞被鎖定的狀況最受關注，上星期他們修補旗下端點管理平臺EPMM兩個零時差漏洞（CVE-2025-4427、CVE-2025-4428），通報的CERT-EU表示漏洞已遭利用，後續再有更多攻擊事故消息傳出。</p> <p>例如，威脅情報業者EclecticIQ指出，在漏洞修補消息公開後，發現中國駭客組織UNC5221鎖定這兩項漏洞發動攻擊，攻擊目標涵蓋歐洲、北美、亞太地區，意圖竊取與中國政府利益有關的機敏資料；接著資安業者Wiz也揭露有攻擊者串連上述漏洞，用於竊取MySQL資料庫內容、散布滲透測試工具Sliver，以及上傳Web Shell或是反向Shell。</p> <p>還有2個同樣是新獲知的漏洞攻擊情形，攸關數位看板內容管理系統（CMR）與電子郵件伺服器，目前攻擊者身分仍然未知。<br /> ●Samsung修補MagicINFO零時差漏洞CVE-2025-4632，資安業者Arctic Wolf指出修補前已遭利用，臺灣連鎖餐飲業如麥當勞等亦使用此CMR，需注意更新。<br /> ●MDaemon Email Server在2024年修補的漏洞CVE-2024-11182，ESET最新揭露俄羅斯駭客APT28攻擊行動，指出該漏洞2023年就被用於零時差漏洞攻擊。</p> <p>此外，先前一項已知遭利用的漏洞，有後續消息，今年2月揭露Trimble資產管理系統Cityworks存在零時差漏洞（CVE-2025-0994）已遭利用，思科最新研究報告揭露攻擊者身分，指出當時是中國駭客組織UAT-6382所為，美國地方政府網路環境被入侵，攻擊者使用TetraLoader、VShell等惡意工具。</p> <p>在資安防禦動向上，有兩大重要消息，首先是Pwn2Own Berlin 2025在德國首都柏林舉行，目的是為了及早發現未知潛在漏洞，有多家科技大廠提供產品項目與漏洞挖掘獎金，讓資安研究人員展現其研究與發現，本次共找出28個零時差漏洞，涵蓋虛擬化的VMware ESXi、Oracle VirtualBox等8大類型產品。</p> <p>其次是Docker宣布推出以預設安全（Secure by default）為核心的容器映像檔，稱之為DHI安全映像檔，強調大幅減少攻擊面，僅保留應用執行所需的最小相依元件，且具有自動化持續修補更新機制。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/169032"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月19日】惡意NPM套件為藏匿攻擊意圖，濫用Unicode字元、Google行事曆</span></strong></a></h3> <p>駭客針對使用NPM套件的開發人員發動攻擊的情況，每個禮拜幾乎都有數起攻擊行動傳出，但最近有一起攻擊行動相當特別，引起兩家資安業者不約而同調查此事。</p> <p>資安業者Aikido、Veracode揭露從3月出現的惡意套件os-info-checker-es6，而駭客真正的意圖，直到5月上旬的改版，才加入相關的惡意程式碼，使得開發人員的電腦，透過特定的Google行事曆活動邀請連結，下載惡意酬載。</p> <h3><a href="https://www.ithome.com.tw/news/169054"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月20日】Pwn2Own競賽首度成功找出VMware ESXi零時差漏洞</span></strong></a></h3> <p>由趨勢科技旗下漏洞懸賞專案Zero Day Initiative（ZDI）舉行的漏洞挖掘競賽Pwn2Own，上週末於德國柏林舉辦，從賽事的組別而言，本次新增了AI項目，參賽者找到的零時差漏洞，有四分之一為此類，足見這項領域的重要性。</p> <p>但除此之外，這次參賽者的重點得分項目，不少來自VMware ESXi的資安漏洞，其中一個漏洞為參賽隊伍提供多達15個積分、15萬美元獎金。</p> <p><a href="https://www.ithome.com.tw/news/169076"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月21日】韓國電信業者SK Telecom事故最新調查出爐，駭客在網路環境活動近3年</span></strong></a></p> <p>上個月韓國電信龍頭SK Telecom（SKT）證實遭駭的情況引起外界高度關切，該公司後續更進一步提供用戶免費更換SIM卡，突顯這起事故帶來的影響，可能在不斷擴大。最近他們公布新的調查結果，引起外界高度關注。</p> <p>SKT透露有近2,700萬個門號受到影響，並指出這起攻擊行動，最早可追溯到3年前，但究竟駭客何時將資料偷走，仍有待後續釐清。</p> <h3><a href="https://www.ithome.com.tw/news/169114"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月22日】VMware修補旗下多款平臺的資安漏洞</span></strong></a></h3> <p>VMware近期發布兩則資安公告，針對虛擬化平臺、混合雲平臺發布修補程式，這次總共修補7項漏洞，有4項是較為危險的高風險漏洞，而引起注意。</p> <p>比較值得留意的是，其中3項高風險漏洞皆與VMware Cloud Foundation有關，而且有部分漏洞只要能透過特定的連結埠存取就能觸發，因此IT人員要儘速採取行動。</p> <h3><a href="https://www.ithome.com.tw/news/169135"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月23日】新版Windows伺服器作業系統dMSA服務帳號的遷移流程可被濫用而惹議</span></strong></a></h3> <p>為了防堵Kerberoasting攻擊，微軟在<a href="https://www.ithome.com.tw/news/165850">去年底推出的Windows Server 2025</a>當中，導入新型態的「委派控管服務帳號（Delegated Managed Service Account，dMSA）」，標榜能提升原有的服務帳號安全。但資安業者Akamai指出，dMSA遷移過程可被利用，攻擊者有機會藉此提升權限。</p> <p>值得留意的是，目前微軟尚未修補這項弱點，因此Akamai呼籲IT人員，必須採取積極的防禦措施來防範相關風險。</p> <p> </p> </div></div></div>
2025/5/25 10:40作者羅正漢https://www.ithome.com.tw/news/169145
OpenAI Deep Research也可以搜尋Box、Dropbox檔案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI ChatGPT的Deep Research代理人現在除了網頁外，也能搜尋及讀取雲端硬碟Dropbox及Box的檔案來完成研究報告。</p> <p><a href="https://x.com/gdb/status/1926710519903158486" target="_blank">一名用戶首先發現</a>ChatGPT對話框下方的「source」選項，多了Dropbox和Box，加入GitHub和微軟SharePoint的行列。除了預設的網頁搜尋外，其他資料源都必須由用戶手動連結，才能完成Deep Research的設定。「設定」頁中也提供類似選擇，其他可供用戶連結的資料源，還包括微軟OneDrive中的Word、Excel、PowerPoint等。</p> <p>Deep Research是ChatGPT的代理人，在用戶詢問特定問題後，它會進行多步驟反覆搜尋以改進回應答案的品質，最後生成報告。在2月份以來開放Pro、Team、Plus方案用戶使用後，OpenAI 4月連同<a href="https://www.ithome.com.tw/news/168600" target="_blank">輕量版Deep Research功能</a>，將其開放給免費版用戶。</p> <p>不過免費版ChatGPT的Deep Research不僅一個月僅可使用5次，也未開放網頁以外的資料源選擇。</p> </div></div></div>
2025/5/26 10:33作者林妍溱https://www.ithome.com.tw/news/169155
微軟正在開發類似MacOS/iOS Handoff的新功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上周在Build 2025大會上，微軟公布多項新產品，包含類似macOS的Handoff、允許用戶在筆電及手機等不同平臺間無縫轉移應用的新技術。</p> <p>該功能名為「跨裝置接續」（Cross-Device Resume），似乎Windows 11獨有。<a href="https://x.com/phantomofearth/status/1924862227846250612/photo/1" target="_blank">一名開發人員發現到</a>名為「以Windows為應用程式建立無縫跨裝置體驗」的<a href="https://www.youtube.com/watch?v=e3ixnHI3z1k" target="_blank">線上場次</a>，對Cross-Device Resume做了介紹。</p> <p><a href="http://www.youtube.com/watch?v=e3ixnHI3z1k" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0526-windows%2011-resume-%E5%BE%AE%E8%BB%9F.png" style="width: 600px;" /></a></p> <p><a href="http://www.youtube.com/watch?v=e3ixnHI3z1k" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></a></p> <p>根據微軟的影片，當Spotify播出時工作列將出現，旁邊有手機圖案的Spotify圖示。若將滑鼠移近，會出浮動視窗及二層文字。上層為「Resume，最近在你行動裝置上運作」，說明目前手機或平板上的Spotify App正在播放音樂。下層為「Spotify，從你中斷的地方接續」。按下下行的Spotify視窗，播放畫面就會切到電腦上。Cross-Device Resume似乎只支援Android手機和Windows 11間的跨平臺切換。</p> <p>這項功能很類似蘋果用於macOS和iPhone/iPad應用程式無縫切換的Handoff。Handoff是讓在同一Apple ID下的鄰近macOS、iOS裝置，只要開啟藍牙、連上Wi-Fi即可實現應用內容流暢切換。<a href="https://techcommunity.microsoft.com/blog/microsoft365insiderblog/seamlessly-switch-between-your-apple-devices-with-handoff-support-for-word-excel/4275907" target="_blank">微軟去年宣布</a>，Word、Excel和PowerPoint也獲得蘋果Handoff支援。</p> <p>Cross-Device Resume是微軟規劃的三種跨裝置經驗之一。微軟規劃，透過應用程式加入Share、Resume及People API，可實現App內容跨裝置分享、接續執行、以及快速分享給重要用戶，而不需透過電子郵件或訊息軟體。</p> <p>一月時微軟釋出Windows 11 Build 27793，<a href="https://windowsforum.com/threads/windows-11-to-introduce-resume-features-for-spotify-and-whatsapp.351663/" target="_blank">相關文件展示</a>，除了Spotify，Resume也能整合WhatsApp App。</p> <p>微軟之前也發展<a href="https://learn.microsoft.com/zh-tw/windows/project-rome/" target="_top">Project Rome</a>。<a href="https://www.windowscentral.com/software-apps/windows-11/windows-11-is-getting-its-own-version-of-the-macs-handoff-feature-resume-apps-across-android-and-pc" target="_blank">Windows Central推測</a>，Cross-Device Resume應該是Project Rome的替代計畫。</p> </div></div></div>
2025/5/26 09:51作者林妍溱https://www.ithome.com.tw/news/169154
思科修補ISE、CUIC的阻斷服務及權限提升漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ise-restart-ss-uf986G2Q" target="_blank">思科上周釋出安全更新</a>，修補影響二項產品的三項軟體漏洞。</p> <p>修補漏洞之一位於身份服務（Cisco Identity Services Engine，ISE）RADIUS訊息處理功能CVE-2025-20152。它出於對RADIUS呼叫訊息處理不當，攻擊者可傳送特定驗證呼叫，給使用思科ISE軟體的網路裝置進行驗證、授權和計費（authentication, authorization and accounting，AAA）來濫用該漏洞。成功濫用可導致引發阻斷服務（Denial of Service，DoS）攻擊，讓思科ISE不斷重新載入而無法運作。CVE-2025-20152風險值達CVSS 3.1的8.6分。</p> <p>這項漏洞影響啟用RADIUS驗證服務的ISE軟體，若ISE只使用TACACS+（Terminal Access Controller Access-Control System）驗證將不受影響。不過RADIUS是預設啟用的。</p> <p><a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-cuis-priv-esc-3Pk96SU4" target="_blank">思科在另一項安全公告中</a>修補CVE-2025-20113及CVE-2025-20114。兩者皆影響思科統合智能中心（Unified Intelligence Center，CUIC）。CUIC為思科客服中心套件的Web報告平臺。</p> <p>其中CVE-2025-20113是出於該產品API呼叫、或HTTP呼叫的使用者參數的伺服器端驗證不足。攻擊者可傳送假造的API或HTTP呼叫，到CUIC系統濫用漏洞。成功利用該漏洞，可讓攻擊者得以升高權限以存取、修改或刪除系統儲存的資料，包括可能的隱私資訊。CVE-2025-20114則是出於UIC對API呼叫參數的驗證不足，讓攻擊者可傳送API呼叫濫用，以執行直接物件參照攻擊，結果是水平權限擴充，攻擊者得以存取裝置上不同用戶的資料。</p> <p>CVE-2025-20113和CVE-2025-20114風險值分別CVSS 3.1的7.1和4.3。受影響產品為UIC 12.5、12.6及Unified CCX, 12.5 (1) SU3以前版本。</p> <p>思科已經發布安全更新，修補上述三項漏洞。思科說未發現漏洞遭存取的證據。</p> </div></div></div>
2025/5/26 08:31作者林妍溱https://www.ithome.com.tw/news/169153
資安研究員利用OpenAI o3模型發現Linux核心零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://sean.heelan.io/2025/05/22/how-i-used-o3-to-find-cve-2025-37899-a-remote-zeroday-vulnerability-in-the-linux-kernels-smb-implementation/" target="_blank">資安研究人員Sean Heelan上周揭露</a>，他利用OpenAI的o3模型於Linux核心中發現了CVE-2025-37899零時差安全漏洞，當他透過同樣的方法於Claude Sonnet 3.5及Claude Sonnet 3.7中測試時，並未發現同樣的漏洞。</p> <p>Heelan是名獨立研究人員，專門研究與大型語言模型（LLM）有關的漏洞自動發現及攻擊程式生成。他說，最近正想從LLM中抽身，休息一下，於是展開了ksmbd漏洞稽核專案，ksmbd是一個在Linux核心空間中實作SMB3協定的伺服器，可透過網路共享檔案。</p> <p>然而，當OpenAI發表o3之後，他便忍不住利用他在ksmbd中發現的錯誤作為o3能力的快速基準測試，結果o3成功找到了先前未被揭露的CVE-2025-37899漏洞。</p> <p>CVE-2025-37899為ksmbd中的釋放後使用（use-after-free）漏洞，出現在處理SMB的logoff命令時，當一個執行緒釋放sess->user物件的同時，另一個執行緒可能仍嘗試存取該記憶體空間，進而觸發記憶體損壞，允許駭客執行任意程式。</p> <p>Heelan認為，相較於先前的模型，o3能夠理解程式碼的語意，像是變數如何在執行緒間被使用與釋放，推論出某種執行順序下會出現危險；ksmbd程式碼分散在多個函式與流程中，o3卻能從中找出漏洞。顯示o3已具備類似人類專家的能力，也有發現未知漏洞的潛力。</p> <p>Heelan比較了o3、Claude Sonnet 3.5與Claude Sonnet 3.7的表現，他先以他找到的另一個Kerberos釋放後使用漏洞CVE-2025-37778進行測試，發現在o3上執行100次時，發現該漏洞8次；Claude Sonnet 3.7在100次的執行中發現3次；Claude Sonnet 3.5則全然沒有發現它。至於不管是Claude Sonnet 3.5或Claude Sonnet 3.7都未發現CVE-2025-37899。</p> </div></div></div>
2025/5/25 22:37作者陳曉莉https://www.ithome.com.tw/news/169151
越南準備封鎖Telegram
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據外電報導，越南電信部門已要求當地網路服務供應商（ISPs）採取行動封鎖Telegram，原因是Telegram未能依法阻止用戶進行非法內容及反政府活動。迄今禁止Telegram的國家已包括俄羅斯、中國、巴西及泰國等。</p> <p><a href="https://www.reuters.com/sustainability/society-equity/vietnam-acts-block-messaging-app-telegram-government-document-seen-by-reuters-2025-05-23/" target="_blank">路透社（Reuters）報導</a>，越南警方宣稱Telegram在當地的9,600個頻道與群組中，有68%違反了法令，而Telegram是在最近的刑事調查中，未能與當地政府分享用戶資料而遭禁。</p> <p>越南擁有超過1億的人口，約有近8,000萬的網路用戶，當地的Telegram用戶超過1,000萬。</p> <p>彭博社（Bloomberg）則引用<a href="https://archive.ph/6pdIv#selection-1525.0-1525.3" target="_blank">越南政府的聲明</a>，指出當地大多數的Telegram群組都含有監管機構所說的有毒資訊，包括詐欺、宣傳反政府內容、出售用戶資料及販毒等；Telegram必須遵守越南的規定，刪除與防止違法內容。</p> <p>迄今Telegram於全球已有超過10億用戶，為全球最熱門的前十大即時傳訊平臺之一。</p> </div></div></div>
2025/5/25 22:38作者陳曉莉https://www.ithome.com.tw/news/169152
可選擇E3.L等4種外形，宜鼎推出支援PCIe 5.0的NVMe SSD
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/yi_ding_e3.l_5qs-p_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以工業級記憶體產品著稱的宜鼎國際（Innodisk），<a href="https://www.innodisk.com/en/news/the-first-industrial-grade-pcie-40-ssds">2021年9月</a>推出支援PCIe 4.0介面的固態硬碟，<a href="https://www.innodisk.com/en/news/e1s-edge-server-ssd">2024年底</a>發表2.5吋U.2、E1.S、E3.S外形的4TS2-P，以及2.5吋U.2、E1.S外形的4TG2-P，而在今年4月底，他們推出PCIe 5.0介面的固態硬碟，預計第二季送樣、開始供貨，也在5月下半舉行的台北國際電腦展正式亮相。</p> <p>這批產品支援多種外形與儲存容量配置，可因應企業與資料中心環境的設置需求，例如，5TS-P這款機型有2.5吋U.2、E1.S（厚度9.5公釐與15公釐），以及E3.S，提供三種選擇，採用的快閃記憶體為eTLC，儲存容量為1.92 TB到7.68 TB（宜鼎在台北國際電腦展對5TS-P的最大儲存容量標示15.36 TB），以及另一款僅搭配 E3.L外形的機型5QS-P，採用的快閃記憶體為QLC，儲存容量為128 TB。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Innodisk PCIe Gen5 SSD.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Innodisk%20PCIe%20Gen5%20SSD.jpg" style="width: 600px;" /></a></p> <p>在儲存介面的部分，5TS-P與5QS-P均支援PCIe 5.0 x4與NVMe 2.0，而且，在產品設計上，這兩款機型也遵循資料中心與企業IT領域的標準，像是：開放運算計畫訂定資料中心固態硬碟標準（OCP NVMe SSD Specification v2.0），以及VMware虛擬化平臺的相容性標準（VMware Compatibility），以確保能順利整合到資料中心基礎架構，適用於新世代的企業與雲端服務環境，支撐嚴苛高效能與高可靠度的IT營運要求。</p> <p>而在存取效能的表現上，宜鼎PCIe 5.0固態硬碟產品可提供超快的資料傳輸速度，能支撐AI模型訓練、大數據分析，以及其他資料密集型工作負載的應用需求。</p> <p>宜鼎目前在他們的網站揭露5TS-P的讀寫效能規格，用於循序讀取作業時，可達到14,000 MB/s，循序寫入為10,000 MB/s；隨機存取的部分，我們徵詢該公司之後，得到的答案是：隨機讀取效能超過3,000 KIOPS、隨機寫入效能超過400 KIOPS。</p> <p><a href="https://s4.itho.me/sites/default/files/images/5TS-P-Computex 2025.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/5TS-P-Computex%202025.jpg" style="width: 600px;" /></a></p> <p>至於5QS-P，我們在台北國際電腦展，看到他們現場列出循序讀取效能最大為12,000 MB/s，循序寫入為5,000 MB/s。</p> <p><a href="https://s4.itho.me/sites/default/files/images/5QS-P-Computex 2025.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/5QS-P-Computex%202025.jpg" style="width: 600px;" /></a></p> <p>關於資料安全，5TS-P與5QS-P整合多種機制，像是支援自我加密硬碟（SED）、安全刪除（Secure erase）、套用數位簽署的韌體自我保護（signed firmware protection）、安全開機啟動（Secure boot）、256位元AES加密，以及遵循TCG的Opal 2.0規範。</p> <p>而在固態硬碟本身的資料遺失預防，宜鼎PCIe Gen5系列SSD也內建該公司發展的<a href="https://www.innodisk.com/en/technology/icell-technology">iCell意外斷電防護（Power Loss Protection）技術</a>，提供即時充電機制，促使固態硬碟裝置能在有電可運作的狀態下，將暫存在裝置內建DRAM記憶體的資料儲存進去，確保資料的完整性。</p> <p>根據宜鼎國際網站的介紹，導入iCell技術之後，該公司固態硬碟的電路板由於配置額外的電容做為電源緩衝，因此，SSD本身的緊急備用電量支撐時間，可從2毫秒增加至60毫秒。</p> <p><a href="https://s4.itho.me/sites/default/files/images/iCell2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/iCell2.png" style="width: 138px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/iCell1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/iCell1.png" style="width: 458px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong><span style="color:#0000FF;">宜鼎PCIe Gen5系列SSD</span></strong><br /> ●原廠：宜鼎國際<br /> ●建議售價：廠商未提供<br /> ●機型與外形：5TS-P提供U.2、E1.S、E3.S，5QS-P提供E3.L<br /> ●儲存容量：5TS-P提供1.92 TB至15.36 TB，5QS-P提供128 TB<br /> ●儲存媒體：5TS-P採用eTLC，5QS-P採用QLC<br /> ●最高讀寫速度：5TS-P循序14,000 MB/s與10,000 MB/s，隨機超過300萬IOPS與超過40萬IOPS；5QS-P循序12,000 MB/s與5,000 MB/s，隨機讀寫效能未揭露<br /> ●使用介面：PCIe 5.0 x4<br /> ●耐用度：5TS-P每日寫入量為1，5QS-P未揭露<br /> ●耗電量：5TS-P 為25瓦，5QS-P低於40瓦<br /> ●可靠度：200萬小時MTBF<br /> ●保固期間：5年</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/5/24 23:00作者李宗翰https://www.ithome.com.tw/review/169146
Kotlin 2.2語言強化與AI新工具開放，JetBrains加速多平臺應用布局
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>JetBrains於KotlinConf 2025大會正式<a href="https://blog.jetbrains.com/kotlin/2025/05/kotlinconf-2025-language-features-ai-powered-development-and-kotlin-multiplatform/">發表</a>Kotlin 2.2，聚焦語言功能強化、人工智慧相關開發工具的開源，以及多平臺應用開發體驗的提升，展現推動Kotlin生態系持續成長的策略。此次Kotlin 2.2版本，除語言本身的進化外，同步推進K2新一代編譯器的採用，並配合人工智慧開源框架與多平臺工具的更新，擴展Kotlin於行動、網頁、伺服器端與人工智慧應用場景。</p> <p>Kotlin 2.2本次更新著重語言易用性與安全性，新版本導入when語句守護條件（Guard Condition）、多重字串插值、非區域性break與continue，以及Context parameters等新語法，提升程式碼可讀性與表達能力。K2編譯器正式成為IntelliJ IDEA 2025.1的預設，根據JetBrains實測，K2編譯器於大型專案有明顯效能提升，編譯時間較以往減少約40％，有助加速需頻繁建置與測試的開發流程。</p> <p>JetBrains強調人工智慧開發與Kotlin生態的整合，開源旗下的Koog人工智慧代理框架，供開發者以Kotlin打造可組合、高可靠性的人工智慧代理應用。該框架提供多種預設工作流程，開發者可組合或擴充元件，加速人工智慧應用實驗與部署。此外，JetBrains公開Mellum語言模型原始碼，該模型針對Kotlin程式碼進行最佳化，強調推理速度與準確性，適用於大型程式碼庫的產品環境。而針對人工智慧輔助程式撰寫與自動完成需求，JetBrains預告人工智慧助理Junie將於GitHub開放早期存取計畫，目前尚未宣布具體日期。</p> <p>Kotlin Multiplatform應用場景方面，JetBrains推出全新KMP擴充功能，支援IntelliJ IDEA與Android Studio多平臺專案開發，提升工具整合度與協作效率。Compose Multiplatform for iOS正式進入穩定版，提供iOS原生互動、文字選取、拖曳、可變字型與自然手勢等功能，並支援熱重載，開發者可即時預覽介面變更，改進使用體驗。針對網頁與WebAssembly目標，團隊持續調校效能與API完成，預計今年底進入Beta階段。</p> <p>JetBrains還與Spring框架團隊合作，加強Kotlin與Spring伺服器應用的型別安全與學習資源，並提升反射（Reflect）效能。Ktor 3框架於大會發表新版本，I/O效能最高提升至3倍，配置彈性增強，支援WebAssembly與伺服器推播事件。資料庫函式庫Exposed則經全面重構，擴充SQL支援並強化IDE體驗，利於企業級應用開發。</p> <p>Kotlin官方語言伺服器協定（LSP）及VS Code擴充功能目前皆處於pre-Alpha階段，僅具備基本程式碼完成、檢查與互通能力，預計今年稍晚釋出Alpha版，將有助Kotlin在更多開發場景發揮作用。</p> </div></div></div>
2025/5/24 22:03作者李建興https://www.ithome.com.tw/news/169139
Google AI Studio原生整合AI生成工具，大幅簡化雲端應用開發流程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google對旗下線上人工智慧開發平臺AI Studio進行<a href="https://developers.googleblog.com/en/google-ai-studio-native-code-generation-agentic-tools-upgrade/">多項重大更新</a>，重點包括生成式人工智慧技術的原生整合與多模態生成支援。新版本不僅強化Gemini 2.5 Pro等語言模型的應用範圍，也針對程式碼、圖像、語音等各種形式內容生成流程提供原生工具。</p> <p>本次Google AI Studio更新，最大特點在於導入內建人工智慧程式碼生成能力。開發人員僅需輸入簡要描述，無論為文字、圖片或影片，模型便會在AI Studio中直接產生符合需求的前端或後端程式碼。相較以往僅能產生程式碼片段，需另行串接外部IDE的情境，此次原生整合大幅簡化開發流程。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0524-Google%20AI%20Studio-native%20code%20editor-Build%20apps%20with%20Gemini%202_5%20Pro%20code%20generation.png" style="width: 600px;" /></p> <p>也就是說，開發者現在可於AI Studio進行程式撰寫、預覽、調整，並可在建置分頁一鍵部署至Google Cloud Run等雲端服務。</p> <p>在多模態生成方面，Google新增生成媒體頁籤，開發人員可於此頁面快速存取Imagen、Veo、Lyria RealTime等模型，直接生成圖像、音樂、語音內容。語音方面，Gemini 2.5 Flash現於Live API提供原生語音對話預覽功能，不僅可產生超過30種語音風格，還具備辨識多位講者與區分背景對話的能力。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0524-Multimodal%20generation%20made%20easy%20in%20Google%20AI%20Studio.png" style="width: 600px;" /></p> <p>Google此次推出的人工智慧程式碼生成與應用部署工具，採用AI Studio平臺代理API金鑰。當開發人員將應用分享給他人試用時，所有API呼叫都經由平臺Proxy，API用量計入受邀者的AI Studio帳戶，這項設計可簡化測試與分享流程。Google提醒，該功能目前為實驗性質，分享前應仔細檢查程式碼內容，以確保資料安全。</p> <p>在程式碼管理與版本控制方面，Google AI Studio提供檔案結構瀏覽、版本比較和即時回溯等功能，開發者可在人工智慧協助下檢視與比對程式碼異動，並透過對話式程式碼反覆調整功能，快速回到先前的檢查點進行修正。</p> <p>此外，Google本次也強調支援MCP（Model Context Protocol），現於Google Gen AI SDK提供原生支援，開發者可結合Google Maps、Gemini API等多種工具，彈性建構跨應用情境的人工智慧體驗。Google還釋出實驗性URL Context工具，開發人員可指定外部連結，讓人工智慧模型即時擷取與參考網頁內容，應用於事實查核、摘要比對或資料研究。<span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> </div></div></div>
2025/5/24 22:11作者李建興https://www.ithome.com.tw/news/169140
【資安日報】5月23日，新版Windows伺服器作業系統dMSA服務帳號的遷移流程可被濫用而惹議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了防堵Kerberoasting攻擊，微軟在<a href="https://www.ithome.com.tw/news/165850">去年底推出的Windows Server 2025</a>當中，導入新型態的「委派控管服務帳號（Delegated Managed Service Account，dMSA）」，標榜能提升原有的服務帳號安全。但資安業者Akamai指出，dMSA遷移過程可被利用，攻擊者有機會藉此提升權限。</p> <p>值得留意的是，目前微軟尚未修補這項弱點，因此Akamai呼籲IT人員，必須採取積極的防禦措施來防範相關風險。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169130"><strong style="font-size: 22px;">中國駭客利用Ivanti EPMM漏洞從事攻擊，對歐美、亞太地區出手</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Ivanti001.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Ivanti001.png" style="width: 300px; float: right;" /></a>資安業者Ivanti於5月上旬發布更新，修補已遭利用的Endpoint Manager Mobile（EPMM）漏洞CVE-2025-4427、漏洞CVE-2025-4428，後續資安業者Wiz指出他們從16日看到多起資安事故，駭客將此漏洞用於4種攻擊，現在有其他研究人員公布新的調查結果，指出中國駭客UNC5221在此之前，已用於廣泛的攻擊行動。</p> <p>威脅情報業者EclecticIQ指出，UNC5221利用這些漏洞，攻擊可透過網際網路存取的EPMM系統，範圍橫跨歐洲、北美、亞太地區，鎖定的目標涵蓋醫療照護、電信、航空、政府機關、金融、國防產業，目的疑似對高價值目標從事網路間諜活動，並竊取與中國利益有關的機密資訊。而這些駭客的攻擊行動，最早可追溯至5月15日。</p> <p>值得留意的是，UNC5221鎖定Ivanti漏洞下手的情況並非首例，兩個月前駭客試圖利用同廠牌SSL VPN系統Ivanti Connect Secure（ICS）的資安漏洞CVE-2025-22457，於受害組織部署惡意程式載入工具TrailBlaze、後門程式BrushFire。</p> <p><a href="https://www.ithome.com.tw/news/169134"><strong style="font-size: 22px;">資產管理系統Cityworks零時差漏洞傳出遭到利用，中國駭客對美國地方政府發動攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/data-src-image-f4f15d29-f23e-4073-a380-75bbddf729d3.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/data-src-image-f4f15d29-f23e-4073-a380-75bbddf729d3.png" style="width: 300px; float: right;" /></a>今年2月軟體開發商Trimble修補旗下資產管理系統Cityworks零時差漏洞CVE-2025-0994，此為反序列化漏洞，能讓通過授權的攻擊者遠端在IIS伺服器執行任意程式碼，CVSS風險4.0版為8.6分、3.1版為8.8分，當時Trimble表示，正著手調查駭客利用這項漏洞、未經授權存取受害組織網路的情形，但並未說明其他細節，如今有研究人員公布相關調查結果。</p> <p>思科旗下的威脅情報團隊Talos指出，中國駭客組織UAT-6382從今年1月，利用這項漏洞入侵美國地方政府的網路環境，得逞後進行偵察，並迅速部署一系列的Web Shell，以及自行製作的惡意程式載入工具TetraLoader，以便進行長期活動。</p> <p>這些Web Shell包括：AntSword、chinatso（Chopper），以及檔案上傳工具，而它們的共通點在於，內含簡體中文訊息；另一方面，研究人員也發現駭客使用簡體中文工具MaLoader產生TetraLoader，而這些跡象，也是Talos判斷UAT-6382來自中國的依據。</p> <p><a href="https://www.ithome.com.tw/news/169085"><strong style="font-size: 22px;">駭客假冒影片生成模型Kling AI，散布惡意程式</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/KEL1ZSOJJX-image4.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/KEL1ZSOJJX-image4.png" style="width: 300px; float: right;" /></a></p> <p>資安業者Check Point發現，由中國短影音業者快手所開發的影片生成模型Kling AI（可靈AI）遭到駭客冒用，當駭客把使用者誘導到偽造的Kling AI平臺之後，生成的竟是可執行檔，點選後就會於受害者系統上安裝惡意程式。</p> <p>然而，研究人員於今年初發現，駭客建立了一個網址及介面都類似Kling AI的網站，接著於臉書（Facebook）刊登廣告，誘導使用者造訪假冒的Kling AI，並讓使用者生成及下載圖像或影片，然而，系統上所生成的.jpg或.mp4，其實是透過雙重副檔名（Double Extension）或韓文填充字元（Hangul Filler）等伎倆偽裝的，實際上是執行檔。</p> <p>迄今研究人員至少發現70個付費推廣、同時偽裝成Kling AI的廣告內容，它們的文案或許有些不同，但都會將使用者導向冒牌Kling AI網站。</p> <p><a href="https://www.ithome.com.tw/news/168949"><strong style="font-size: 22px;">【臺灣資安大會直擊】Google揭露攻擊者運用AI真實現況，非挖掘零時差漏洞，而是最常用於社交工程攻擊的強化</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖2）臺灣資安大會Christopher B Porter_AI_攝影羅正漢.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E5%A4%A7%E6%9C%83Christopher%20B%20Porter_AI_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 300px; float: right;" /></a></p> <p>隨著近年生成式AI、大型語言模型（LLM）演進，資安界持續關注新興科技引發的風險，主要有兩大類包括：一是生成式AI本身的風險，這涵蓋攻擊者針對AI應用服務的攻擊；另一是攻擊者運用AI技術提升網路攻擊的風險，在2025臺灣資安大會期間，恰巧有Google Cloud Security專家解析此議題，當中說明他們實際看到的攻擊者AI運用態勢，更指出現階段的最大危害，在於社交工程與語音偽冒的風險已變得更加嚴峻。</p> <p>Google Cloud國際資安合作負責人的Christopher B. Porter指出，生成式AI已打破語言的障礙，這也讓攻擊者在網路釣魚攻擊方面更有破壞力，例如活躍於東歐、中東或拉丁美洲的網路犯罪集團，現在也有能力入侵臺灣的組織。除了濫用文字生成進行網釣，另一個攻擊者用AI提升網路攻擊的嚴重威脅，是語音與影音偽造。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/russian-hackers-breach-orgs-to-track-aid-routes-to-ukraine/">APT28對援助烏克蘭的企業組織下手，從事供應鏈攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/05/go-based-malware-deploys-xmrig-miner-on.html">Go語言惡意軟體鎖定Linux主機，濫用Redis組態不當植入挖礦軟體</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/05/south-asian-ministries-hit-by.html">伊朗駭客SideWinder利用Office已知漏洞從事活動</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169126"><strong style="font-size: 22px;">Windows Server 2025的dMSA服務帳號提權惹議，起因是遷移流程可被濫用</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/badsuccessor-image5.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/badsuccessor-image5.jpg" style="width: 300px; float: right;" /></a></p> <p>為了強化AD服務帳號的安全，微軟在Windows Server 2025導入新型態的「委派控管服務帳號（dMSA）」，然而這種新的機制存在弱點，使得攻擊者有機可乘，能藉此滲透AD的部分使用者帳號。</p> <p>資安業者Akamai揭露Windows Server 2025的權限提升漏洞BadSuccessor，這項弱點存在於dMSA，攻擊者有機會入侵AD的任何使用者帳號，相當危險。值得留意的是，Akamai於4月1日向微軟通報此事，微軟雖然對於他們提供的資料及概念驗證進行驗證後，承認有這項弱點，但由於微軟評估僅有中度風險，不符合立即處理的條件，目前尚未進行修補。對此，Akamai認為IT人員必須採取其他積極的措施，以減少遭受相關攻擊的資安風險。</p> <p>值得留意的是，研究人員強調，這種弱點存在於預設組態的Windows Server 2025，而且相當容易利用。更可怕的是，企業的網域當中，只要有其中1臺網域伺服器是採用這款作業系統架設，就會曝險，即使企業並未使用dMSA也無法倖免。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/05/unpatched-versa-concerto-flaws-let.html">SD-WAN維運平臺Versa Concerto存在滿分身分驗證旁路漏洞，尚未修補</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/industrial-alert-automationdirect-mb-gateway-flaw-rated-cvss-10-no-software-fix/">AutomationDirect旗下Modbus工控閘道設備存在10分漏洞，暫無修補程式</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169048"><strong style="font-size: 22px;">Rust邁向第十年，新版強化匿名管道與安全程式庫設計</strong></a></p> <p>在Rust語言迎來十周年之際，Rust開發團隊發布1.87.0版本，呈現過去十年發展成果，也再次強調對安全、現代化與高效能系統程式設計的持續投入。此版本新增標準函式庫對匿名管道（Anonymous Pipes）的支援，並將部分僅因目標指令集限制而需unsafe操作的架構內建函式，納入安全語境，讓開發者能以更簡潔且安全的方式撰寫程式碼。</p> <p>本次Rust 1.87.0的重要更新，是標準函式庫正式加入對匿名管道的支援。開發者現在可以直接使用std::io::pipe函式來建立管道，將std::process::Command的stdout與stderr整合到同一通道，方便一次處理所有輸出資料。這項改進無需額外建立執行緒，也不必依賴平臺專屬API，讓跨平臺子程序之間的資料交換更加簡單，並減少過去處理大量標準輸出和錯誤時的複雜度。</p> <p>另一項重點是安全架構內建函式的調整。從1.87.0起，許多過去因需要啟用特定指令集例如AVX2，必須寫成unsafe的std::arch架構內建函式，現在於啟用這些指令集的情況，可以在安全程式碼中直接使用。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169114"><strong>【5月22日】VMware修補旗下多款平臺的資安漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169076"><strong>【5月21日】韓國電信業者SK Telecom事故最新調查出爐，駭客在網路環境活動近3年</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169054"><strong>【5月20日】Pwn2Own競賽首度成功找出VMware ESXi零時差漏洞</strong></a></p> </div></div></div>
2025/5/23 14:39作者周峻佑https://www.ithome.com.tw/news/169135
Google Gemini Diffusion新模型得益於擴散機制，大幅加速文字生成效率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全新大型語言模型<a href="https://deepmind.google/models/gemini-diffusion/">Gemini Diffusion</a>，是Google首次將擴散式（Diffusion-based）生成機制應用於人工智慧文字生成領域的實驗性產品。不同於現有多數以自我迴歸（Autoregressive）架構、逐字生成的語言模型，Gemini Diffusion導入擴散模型概念，強調可同時生成多個Token，並能於生成過程中持續修正內容，有效提升效率與品質。</p> <p>根據Google說明，傳統大型語言模型如Gemini 2.0及OpenAI GPT系列，均以自我迴歸方式運作，每次依據前序Token預測下一個Token，直至完成整段文字。這種逐步生成機制雖在語言理解與產出已具成熟應用，但在長文本、多輪互動或需快速產生內容的情境，易受生成速度與一致性限制，也可能有錯誤累積等問題。</p> <p>Gemini Diffusion的技術基礎，來自近年影像生成領域廣泛採用的擴散式生成模型，如Stable Diffusion等，這些模型證明擴散式生成方法具備良好的資料復原與生成效能。Gemini Diffusion將此機制導入文字生成，據現有資訊，模型主要以高比例遮罩（Mask）或近似雜訊的Token序列為起點，經多輪反覆修正，逐步復原出品質與一致性兼具的文字內容。</p> <p>Google公開的內部基準測試顯示，Gemini Diffusion在部分文字生成任務的運算速度有著明顯提升，官方資料最高平均達每秒1,479 Token，明顯高於Gemini 2.0 Flash-Lite等傳統模型。在程式碼、數學及科學等基準測試，Gemini Diffusion也展現出高速與內容一致性的潛力，模型在生成過程會自動修正錯誤，有助於長文本、結構化資料與程式碼片段等需高一致性的應用情境。</p> <p>針對Gemini Diffusion的體驗，知名框架Django專案共同創辦人Simon Willison於個人部落格<a href="https://simonwillison.net/2025/May/21/gemini-diffusion/">分享</a>測試體驗，他測試Gemini Diffusion後認為模型生成速度顯著提升，並認為Google所宣稱的速度毫不誇張。Simon Willison引用Google資料表示，Gemini Diffusion可在維持類似品質下，達到Gemini 2.0 Flash-Lite模型5倍的生成速度，他以建置模擬聊天應用程式為測試，Gemini Diffusion僅需數秒即可產生互動式HTML及JavaScript頁面。</p> <p>Gemini Diffusion目前仍屬實驗性產品，Google現開放有興趣的開發者申請候補名單參與測試。</p> </div></div></div>
2025/5/23 16:01作者李建興https://www.ithome.com.tw/news/169137
Windows Server 2025新的服務帳號代管功能有漏洞，dMSA帳號可能遭濫用而在AD提升其他使用者權限
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了強化AD服務帳號的安全，微軟在最新推出的Windows Server 2025當中，導入新型態的「<a href="https://learn.microsoft.com/zh-tw/windows-server/identity/ad-ds/manage/delegated-managed-service-accounts/delegated-managed-service-accounts-overview">委派受管理的服務帳號（Delegated Managed Service Account，dMSA）</a>」，目的是讓IT人員能將原有的服務帳號，轉換成採用受到管控、隨機化金鑰的電腦帳號，來減輕遭到Kerberoasting攻擊的風險。然而這種新的機制存在弱點，使得攻擊者有機可乘，能藉此滲透AD的部分使用者帳號。</p> <p>資安業者Akamai揭露Windows Server 2025的<a href="https://www.akamai.com/blog/security-research/abusing-dmsa-for-privilege-escalation-in-active-directory">權限提升漏洞BadSuccessor</a>，這項弱點存在於dMSA，攻擊者有機會入侵AD的任何使用者帳號，相當危險。值得留意的是，Akamai於4月1日向微軟通報此事，微軟雖然對於他們提供的資料及概念驗證進行驗證後，承認有這項弱點，但由於微軟評估僅有中度風險，不符合立即處理的條件，目前尚未進行修補。對此，Akamai認為IT人員必須採取其他積極的措施，以減少遭受相關攻擊的資安風險。</p> <p>什麼是dMSA？簡單來說，它是微軟在Windows Server 2025新增的AD帳號類型，是群組受管理的服務帳號（Group Managed Service Account，gMSA）的延伸，其中最重要的功能，就是能將非受到管理的服務帳號無縫遷移來提升安全性。因此，一般來說，IT人員會建立dMSA帳號來著換現有的服務帳號，為了能無縫接軌，dMSA可透過遷移流程來繼承舊帳號的所有權限。</p> <p>不過，Akamai在調查dMSA內部的運作機制後，發現這種帳號能讓攻擊者挾持網域的任何原則，而攻擊者觸發弱點的事先準備工作，就是取得網域任意組織單位（Organizational Unit，OU）的良性權限，使得相關攻擊能逃過各式的資安偵測機制。</p> <p>值得留意的是，研究人員強調，這種弱點存在於預設組態的Windows Server 2025，而且相當容易利用。更可怕的是，企業的網域當中，只要有其中1臺網域伺服器是採用這款作業系統架設，就會曝險，即使企業並未使用dMSA也無法倖免。</p> <p>在調查的過程裡，研究人員發現了稱為模擬遷移（Simulated Migration）的手法，攻擊者無須取得舊帳號的任何權限，唯一的條件就是事先得到dMSA帳號的寫入權限。一旦研究人員標記dMSA帳號由指定使用者經手處理，<a href="https://learn.microsoft.com/zh-tw/windows/win32/secauthn/key-distribution-center">金鑰配送中心（Key Distribution Center，KDC）</a>就會自動認定是正常的遷移工作，授予dMSA原始帳號擁有的每一項權限。研究人員強調，利用BadSuccessor的攻擊適用於網域管理員在內的任何帳號，允許控制dMSA物件的使用者控制整個網域，攻擊過程沒有實際的遷移，也沒有任何驗證，而且駭客還不太可能失手。</p> <p>究竟這樣的弱點危害有多大？研究人員藉由低權限的使用者展示概念驗證，藉由建立新的dMSA帳號來利用漏洞，最終成功控制了整個網域。</p> </div></div></div>
2025/5/23 11:51作者周峻佑https://www.ithome.com.tw/news/169126
中國駭客利用Ivanti EPMM漏洞從事攻擊，對歐美、亞太地區出手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Ivanti於5月上旬<a href="https://www.ithome.com.tw/news/168936">發布更新</a>，修補已遭利用的Endpoint Manager Mobile（EPMM）漏洞CVE-2025-4427、漏洞CVE-2025-4428，後續<a href="https://www.ithome.com.tw/news/169112">資安業者Wiz指出他們從16日看到多起資安事故</a>，駭客將此漏洞用於4種攻擊，現在有其他研究人員<a href="https://blog.eclecticiq.com/china-nexus-threat-actor-actively-exploiting-ivanti-endpoint-manager-mobile-cve-2025-4428-vulnerability">公布新的調查結果</a>，指出中國駭客UNC5221在此之前，已用於廣泛的攻擊行動。</p> <p>威脅情報業者EclecticIQ指出，UNC5221利用這些漏洞，攻擊可透過網際網路存取的EPMM系統，範圍橫跨歐洲、北美、亞太地區，鎖定的目標涵蓋醫療照護、電信、航空、政府機關、金融、國防產業，目的疑似對高價值目標從事網路間諜活動，並竊取與中國利益有關的機密資訊。而這些駭客的攻擊行動，最早可追溯至5月15日。</p> <p>一旦UNC5221成功取得受害組織的初始入侵管道，就可能利用Linux作業系統內建的wget、curl、fetch等公用程式，從AWS S3儲存桶下載惡意程式KrustyLoader，目的是能持續在EPMM活動。</p> <p>接著，駭客試圖接收第二階段酬載，此為經過AES-128-CFB演算法處理的Sliver後門程式，經解密後此後門將以Shell Code的型式於記憶體內運作。</p> <p>為了竊取EPMM存放的機敏資訊，駭客也會對於EPMM搭配的MySQL資料庫下手，存取名為mifs的資料庫內容，挖掘列管的使用者行動裝置資料，這些包含IMEI碼、手機號碼、地理位置、SIM卡資料、LDAP資訊，甚至是Office 365的Token。</p> <p>此外，UNC5221還會使用反向代理伺服器工具Fast Reverse Proxy（FRP）該進行偵察及橫向移動。</p> <p>值得留意的是，UNC5221鎖定Ivanti漏洞下手的情況並非首例，兩個月前駭客試圖利用同廠牌SSL VPN系統Ivanti Connect Secure（ICS）的<a href="https://www.ithome.com.tw/news/168319">資安漏洞CVE-2025-22457</a>，於受害組織部署惡意程式載入工具TrailBlaze、後門程式BrushFire。</p> </div></div></div>
2025/5/23 12:49作者周峻佑https://www.ithome.com.tw/news/169130
Meta公布Llama新創贊助計畫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ai.meta.com/blog/llama-startup-program/" target="_blank">Meta宣布Llama新創計畫</a>（Llama Startup Program），招攬美國新創公司利用Llama模型開發生成式AI應用。</p> <p>Meta去年也曾透過<a href="https://about.fb.com/news/2025/04/llama-impact-grant-recipients/" target="_blank">Llama Impact Grants</a>獎勵計畫鼓勵開發商以Llama開發AI計畫，並<a href="https://ai.meta.com/blog/llama-impact-grant-innovation-award-winners-2024/" target="_blank">提供30萬到50萬美元獎金</a>。</p> <p>Llama新創計畫將提供早期新創團隊Llama開發資源，以及Meta團隊的協助，加速其產品開發。任何註冊成立、籌集資金少於1,000萬美元、至少有一名開發人員，並且正在構建生成式AI應用程式的美國公司，都可在5月30日截止日期前申請。</p> <p>在Llama新創計畫下，首先Meta將提供資助，供新創團隊透過雲端推論服務業的API使用Llama。Meta會提供每團隊最高6,000美元，最長6個月的資金來補貼打造生成式AI解決方案。此外，他們還可獲得Meta Llama團隊的技術支援，助其了解Llama使用場景並推動新創團隊實現Llama專案。</p> <p>Meta表示，Llama新創計畫特別適合開發科技與軟體、金融服務、健康照護和生技、電信、零售與電商等領域的生成式AI應用。Meta說，只要符合上述條件，<a href="https://www.llama.com/programs/startups/" target="_blank">即使現在沒有在用Llama也能報名</a>。</p> <p>不過這項計畫目前提供美國新創公司，不確定是否會推向其他地區。</p> </div></div></div>
2025/5/23 14:00作者林妍溱https://www.ithome.com.tw/news/169133
資產管理系統Cityworks零時差漏洞傳出遭到利用，中國駭客對美國地方政府發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年2月軟體開發商Trimble修補旗下資產管理系統Cityworks<a href="https://learn.assetlifecycle.trimble.com/i/1532182-cityworks-customer-communication-2025-02-06-docx/0?">零時差漏洞CVE-2025-0994</a>，此為反序列化漏洞，能讓通過授權的攻擊者遠端在IIS伺服器執行任意程式碼，CVSS風險4.0版為8.6分、3.1版為8.8分，當時Trimble表示，正著手調查駭客利用這項漏洞、未經授權存取受害組織網路的情形，但並未說明其他細節，如今有研究人員公布相關調查結果。</p> <p>思科旗下的威脅情報團隊Talos指出，<a href="https://blog.talosintelligence.com/uat-6382-exploits-cityworks-vulnerability/">中國駭客組織UAT-6382從今年1月，利用這項漏洞入侵美國地方政府的網路環境</a>，得逞後進行偵察，並迅速部署一系列的Web Shell，以及自行製作的惡意程式載入工具TetraLoader，以便進行長期活動。</p> <p>這些Web Shell包括：AntSword、chinatso（Chopper），以及檔案上傳工具，而它們的共通點在於，內含簡體中文訊息；另一方面，研究人員也發現駭客使用簡體中文工具MaLoader產生TetraLoader，而這些跡象，也是Talos判斷UAT-6382來自中國的依據。</p> <p>針對上述Web Shell的用途，駭客主要是拿來建立後門，此外還會試圖找出受害組織存放的機密資料，並部署TetraLoader，過程中駭客都透過PowerShell來進行相關流程。</p> <p>而對於TetraLoader這支惡意程式，研究人員指出駭客以Rust打造而成，並用於載入兩種作案工具。一種是Cobalt Strike的Beacon，以注入正常處理程序的方式於記憶體內執行Shell Code；另一種則是惡意程式VShell，用於與特定的C2伺服器進行通訊，並執行收到的程式碼。</p> </div></div></div>
2025/5/23 14:28作者周峻佑https://www.ithome.com.tw/news/169134
Mozilla關閉Firefox附加工具Pocket、Fakespot
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.mozilla.org/en/mozilla/building-whats-next/" target="_blank">Mozilla本周宣布</a>將關閉網路書籤管理工具Pocket及灌水評價驗證工具Fakespot，以專注開發Firefox。</p> <p>Pocket是Mozilla <a href="https://www.ithome.com.tw/news/112366" target="_blank">2017年收購</a>Read It Later的產品，用以強化Firefox的網頁書籤管理功能。而Fakespot則是2023年收購，以AI檢驗線上產品評價真偽的Firefox外掛程式。</p> <p>Mozilla表示Firefox是唯一沒有富爸爸支持的主要瀏覽器，這表示必須集中資源和時間來開發核心產品。首先，Pocket雖然協助了數百萬用戶儲存和發現網路文章，也有Tab Groups等管理工具，但使用者儲存、發現尋找新文章行為模式已經大幅變化。Fakespot分析假評價雖然獲得回響，但已不符合Mozilla經營策略。因此Mozilla做了困難決定，將終止上述二項產品，未來將把資源用於開發人們最需要的Firefox功能。</p> <p>其中Pocket將在2025年7月8日關閉。用戶在本周四（5/22）已無法下載Pocket App或訂閱Pocket Premium服務。現有Premium月訂閱將自動取消。年訂閱用戶會從7月8日獲得退款。API用戶從今年10月8日起，無法利用Pocket API傳送讀或寫資料，因此需及早匯出書籤。</p> <p>至於Fakespot，則會在2025年7月1日關閉。從當天起，用戶無法再使用Fakespot瀏覽器外掛、App或網站。Firefox中，Fakespot稱為Review Checker，該功能會提早在2025年6月10日關閉。</p> <p>Firefox日漸下滑的市占使其無法再負擔開發附加瀏覽器功能。<a href="https://gs.statcounter.com/browser-market-share" target="_blank">根據StatCounter的數據</a>，截至今年4月，Firefox在全球瀏覽器市占為2.55%，不僅落後Google Chrome、蘋果Safari及微軟Edge，也只略高於三星Samsung Internet的2.23%及Opera的2.08%。</p> </div></div></div>
2025/5/23 14:40作者林妍溱https://www.ithome.com.tw/news/169136
Ruby 3.5效能最佳化，物件配置速度為之前版本6倍以上
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據Ruby核心開發者Aaron Patterson於技術部落格發布的說明，<a href="https://railsatscale.com/2025-05-21-fast-allocations-in-ruby-3-5/">Ruby 3.5已導入物件配置效能最佳化</a>，並於實測較前一版本提升達6.5倍。此效能改進將有助Ruby應用於高流量Web服務、API與後端系統等場景。</p> <p>物件配置是Ruby執行環境中頻繁且基礎的作業之一，無論是新建資料模型、執行運算邏輯，或框架底層運作，都需大量使用。Aaron Patterson指出，這次效能提升的關鍵在於Class#new方法的實作機制調整。Class#new原為Ruby類別實體建立的進入點，其典型流程為先分配記憶體產生物件，再傳遞所有建置參數進行初始化。過去因Ruby與C語言堆疊之間的呼叫慣例轉換、參數複製，以及內聯（Inline）快取機制的限制，使得效能受影響。</p> <p>Ruby 3.5此次針對Class#new機制進行內聯最佳化。新版本於YARV虛擬機層新增opt_new指令，讓編譯器在遇到new呼叫時，直接於呼叫端展開Class#new的實作內容，而非僅作為方法呼叫。如此可省略原有Class#new產生的堆疊框架，並減少重複參數複製。</p> <p>而且此設計也有助提升內聯快取的命中率，使每個new呼叫都能直接快取初始化對應的類別。經由這系列底層最佳化，物件配置過程更加精簡，執行效能同步提升。</p> <p>實測顯示，Ruby 3.5在不同初始化參數設定均有效能提升。以位置參數為例，在未啟用JIT編譯器時，Ruby 3.5物件配置速度約為Ruby 3.4.2的1.8倍，當啟用YJIT則提升至2.3倍。採用關鍵字參數進行初始化時，隨著參數數量增加，效能提升更為明顯，在建置方法接受三個關鍵字參數並啟用YJIT時，Ruby 3.5的物件配置速度較前一版本提升超過6.5倍，對於大量產生物件的應用情境，特別是在現代Web服務或API設計中，效能提升幅度明顯。</p> <p>整體而言，Ruby 3.5針對物件配置所做的底層架構調整，不僅帶來即時效能改善，也讓Ruby在伺服器端程式語言領域更具競爭力。隨YJIT與語言本體效能提升，Ruby 3.5有助開發團隊因應大規模應用與即時運算等挑戰。</p> </div></div></div>
2025/5/23 14:48作者李建興https://www.ithome.com.tw/news/169132
OpenAI的AI裝置長怎樣？不是手機、亦非眼鏡，沒有螢幕
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/169088" target="_blank">OpenAI日前宣布收購</a>由蘋果前首席設計師Jony Ive成立的AI裝置新創公司io，打算自行設計與開發AI裝置，不過，目前OpenAI對相關裝置依然保密到家，根據<a href="https://x.com/mingchikuo/status/1925543472993321066" target="_blank">分析師郭明錤</a>與<a href="https://www.wsj.com/tech/ai/what-sam-altman-told-openai-about-the-secret-device-hes-making-with-jony-ive-f1384005?st=RUGPjK&reflink=desktopwebshare_permalink" target="_blank">華爾街日報</a>（The Wall Street Journal，WSJ）的報導，OpenAI規畫中的AI裝置將沒有螢幕，不是手機，亦非眼鏡，將具備攝影機與麥克風，目前的原型機略大於AI Pin 。</p> <p>WSJ報導，OpenAI共同創辦人暨執行長Sam Altman在宣布買下io之後，周三（5/21）也向員工預覽了他正與Ive共同開發的裝置，預計於明年下半年發表，並說估計全球要出貨1億個，讓它成為人們日常生活的一部分。</p> <p>Altman對於此一系列AI裝置的實際設計保密到家，並說保密對於這些裝置的成功非常重要，以避免競爭對手提前複製。但Altman給出了一些線索，表示這些AI裝置應能充分理解使用者的周圍環境與生活，卻不引人注目，可以放在口袋或桌上，成為繼MacBook Pro及iPhone之後，人們放在桌上的第三個核心裝置。</p> <p>Altman還向員工們透露，併購io可能讓OpenAI的市值增加1兆美元。<a href="https://www.ithome.com.tw/news/168182" target="_blank">OpenAI今年3月底的估值約為3,000億美元</a>。</p> <p>至於郭明錤則說，此款AI裝置目前的原型比<a href="https://www.ithome.com.tw/news/162250" target="_blank">AI Pin</a>大一些，外型跟iPod Shuffle一樣緊湊優雅，應該可以掛在脖子上，內建攝影機與麥克風，但沒有顯示功能，或許可以連到手機PC。此外，郭明錤預期這批裝置將會到2027年才量產，且會在中國境外組裝及運輸。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/humane-press-shield-lifestyle-2.png" style="width: 350px;" /></p> <p><a href="https://www.ithome.com.tw/news/167449" target="_blank"><span style="color:#696969;">AI Pin產品示意圖。</span></a></p> <p>OpenAI的舉動亦突顯出將AI整合到真實世界的應用中，如實體AI，已被廣泛認為是下一個關鍵趨勢。</p> </div></div></div>
2025/5/23 15:15作者陳曉莉https://www.ithome.com.tw/news/169138
Anthropic發布Claude Opus 4與Claude Sonnet 4，前者號稱是全球最強大的程式碼撰寫模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.anthropic.com/news/claude-4" target="_blank">AI新創Anthropic今日（5/23）推出新一代Claude模型系列</a>：Claude Opus 4和Claude Sonnet ，並將Claude Opus 4稱為全球最強大的程式碼撰寫模型，在長期任務執行與理解複雜程式碼上都有傑出的表現。</p> <p>Claude Opus 4和Claude Sonnet 4屬於混合模型，提供兩種模式以供切換，分別是近乎即時的回應，以及深入推理的延伸性思考；此外，它們都可以在延伸思考期間使用各種工具來改善回應；能更準確地遵循指令；並有更好的記憶力。此外，Anthropic也減少了這兩個模型在執行任務時使用捷徑或鑽漏洞的行為，相較於Sonnet 3.7執行代理任務時，新模型參與相關行為的可能性低了65%。</p> <p>Anthropic特別強調Claude Opus 4在撰寫程式碼的能力。該模型在軟體工程流程測試SWE-bench上達到72.5%的成績，Claude Sonnet 4於該測試也取得了72.7%的成績，超越OpenAI o3的69.1%及Gemini 2.5 Pro的63.2%；Claude Opus 4在命令列操作能力Terminal-bench測試中獲得43.2%的分數，超越Claude Sonnet 4的35.5%、OpenAI o3的30.2%與Gemini 2.5 Pro的25.3%。更令人矚目的是，Opus 4能夠持續工作數小時，在需要數千步驟的長期任務中保持穩定表現，這為AI代理的應用範圍帶來了革命性擴展。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/0523-Claude%204-SWE-bench%20Verified%20benchmark-by%20Anthropic.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0523-Claude%204-SWE-bench%20Verified%20benchmark-by%20Anthropic.png" style="width: 600px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Anthropic</span></span></p> <p>至於Claude Sonnet 4在保持高效率的同時，顯著提升了程式碼撰寫和推理能力，在平衡性能與實用性方面表現出色，適用於日常使用場景。</p> <p>多家科技業者對Claude Opus 4給予了高度評價。程式碼編輯器公司Cursor說它在複雜程式碼庫理解上有著飛躍式進步；網路開發平臺Replit說它在跨不同文件之變更的精確度上，有了明顯的改善；區塊鏈開發公司Block表示，Claude Opus 4是首個能在程式碼編輯與除錯過程中，實際提升程式碼品質的模型；日本電商巨頭樂天（Rakuten）則藉由一項長達7小時的開源重構任務，驗證了該模型的能力，期間該模型完全獨立運作並維持穩定表現。</p> <p>而其實Claude Sonnet 4在代理場景的表現也不差，而且處理速度更快，因此，GitHub已宣布要在GitHub Copilot 中的新程式碼撰寫代理中，採用Claude Sonnet 4作為基礎模型。</p> <p>Pro、Max、Team和Enterprise計畫都包含兩款模型和延伸性思考功能，已透過Anthropic API、Amazon Bedrock和Google Cloud的Vertex AI上提供服務。在定價上，Claude Opus 4每百萬token輸入/輸出價格為15/75美元，Claude Sonnet 4則是3/15美元，與上一代模型一致。</p> </div></div></div>
2025/5/23 14:11作者陳曉莉https://www.ithome.com.tw/news/169131
TypeScript Native預覽版開放，編譯效能飆上10倍速
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟TypeScript團隊宣布<a href="https://devblogs.microsoft.com/typescript/announcing-typescript-native-previews/">開放TypeScript Native預覽版</a>，這是官方主分支TypeScript編譯器首次以原生程式語言重寫，針對效能與大型專案開發需求進行架構層級調整。根據官方公開的實測資料，Native預覽版於多項主流開源專案的型別檢查與編譯速度，可達現有JavaScript版本的10倍以上，大幅縮短專案建置與開發周期。</p> <p>此計畫是因應雲端原生、人工智慧應用與現代前端工程規模化需求，也替長期受大型TypeScript專案效能瓶頸影響的開發團隊，提供具體解決之道。</p> <p>TypeScript在JavaScript生態系引入靜態型別檢查，強化程式碼安全性與可維護性。隨著專案規模擴大，現有Node.js版TypeScript編譯器於大型程式碼庫進行型別檢查、專案建置或語言服務時，常有啟動與執行延遲的狀況。</p> <p>為解決上述問題，TypeScript團隊從2024年開始推動，以Go語言重寫編譯器與工具鏈的原生計畫，內部開發代號Corsa，並以未來TypeScript 7納入主分支為目標。目前Native預覽版主要透過NPM釋出，對外提供@typescript/native-preview套件，開發者可直接於專案中安裝及體驗。</p> <p>TypeScript Native預覽版本已能支援多數常見TypeScript語法與專案結構，同時也涵蓋JSX、JavaScript with JSDoc等開發情境，不過，部分emit、build與語言服務功能則尚未完整。官方公開如VS Code、Playwright等大型程式碼庫效能資料，顯示原本需數十秒至一分鐘的型別檢查，在Native預覽版下大幅縮短至數秒內完成。</p> <p>除命令列工具外，TypeScript Native預覽版還針對VS Code推出預覽擴充套件，開發者可於VS Code中啟用原生語言服務。現階段語言服務屬早期版本，僅支援基本型別檢查與自動完成，其他自動匯入、參考查找、重新命名等進階功能則仍在開發中。</p> <p>開發團隊表示，Native預覽版目前每日發布Nightly Build，未來將逐步補齊語言服務功能，並朝向取代現有以TSServer為基礎的JavaScript語言服務，加速對標準語言伺服器協定（LSP）的支援，提升跨編輯器整合與開發流程的一致性。</p> <p>TypeScript Native目前仍為預覽階段，部分功能如--build模式、宣告檔案產生、舊版JavaScript目標編譯等尚未完善，官方建議開發團隊可於測試或非關鍵專案中先行嚐鮮。值得注意的是，Native版本提前加入TypeScript 6與7規畫的棄用與重大變更，例如模組解析模式與語法調整，開發者可以同步檢視專案設定，以利未來升級。</p> </div></div></div>
2025/5/23 12:18作者李建興https://www.ithome.com.tw/news/169122
Mistral公布24億參數程式設計代理人模型Devstral 可單機本地部署
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://mistral.ai/news/devstral" target="_blank">法國AI新創公司Mistral本周宣布</a>協助程式設計的代理人大語言模型（LLM）Devstral，可單機部署，且號稱軟工能力比GPT-4.1mini、Deepseek-V3還強。</p> <p>Devstral是Mistral和開源 AI程式設計師專案OpenHands（原名OpenDevin）開發商All Hands AI合作開發。在OpenHands等程式撰寫平臺上，Devstral可和本地codebase互動，協助加速程式開發。而且由於Devstral僅24億參數，使其適合執行在單一GPU 如Nvidia GeForce RTX 4090或32MB RAM的Mac電腦上，很適合在本地機器上的部署。</p> <p>Devstral是從Mistral-Small 3.1微調成24億參數的模型，具備最高128k字詞的長context window。它具有工具使用能力，能用工具來探索codebase、編輯多個檔案，支援軟工（SWE）代理人。由於它在以Mistral-Small 3.1微調前，視覺編碼器已經移除，因此支援編輯代理人時，Devstral只支援文字輸出輸入。</p> <p><a href="https://huggingface.co/mistralai/Devstral-Small-2505" target="_blank">根據Mistral提供的資料</a>，在SWE-Bench Verified的標竿測試中，Devstral跑分（46.8%）優於其他模型，包括Claude 3.5 Haiku、SWE-smith-LM 32B，並大幅超越GPT-4.1-mini（23.6%）。而在以同樣的測試支架（scaffold，即OpenHands）上，Devstral在SWE-Bench Verified跑分，還超過更大模型如Deepseek-V3-0324 和 Qwen3 232B-A22B。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0523-Devstral-coding%20agent-Mistral%20AI.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／Mistral</span></span></p> <p>Devstral目前為實驗預覽版，將以Apache 2.0授權開源，意謂著可作商業或非商業用途。<a href="https://docs.all-hands.dev/modules/usage/llms/local-llms" target="_blank">文件公開</a>供開發人員試用、開發或客製化。</p> <p>Mistral也透過其API提供devstral-small-2025給開發人員，費用等同Mistral Small 3.1，為輸入每100萬字詞0.1美元，輸出費用為每100萬字詞0.3美元。</p> <p>欲自行部署者，即日起可以在<a href="https://huggingface.co/mistralai/Devstral-Small-2505" target="_blank">Hugging Face</a>、<a href="https://ollama.com/library/devstral" target="_blank">Ollama</a>、<a href="https://www.kaggle.com/models/mistral-ai/devstral-small-2505" target="_blank">Kaggle</a>、<a href="https://docs.unsloth.ai/basics/devstral" target="_blank">Unsloth</a>、<a href="https://lmstudio.ai/model/devstral-small-2505-MLX" target="_blank">LM Studio</a>等網站下載。</p> </div></div></div>
2025/5/23 11:52作者林妍溱https://www.ithome.com.tw/news/169127
OpenAI發表Stargate UAE，於阿布達比建置AI資料中心
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/index/introducing-stargate-uae/" target="_blank">OpenAI周四（5/22）發布了Stargate UAE</a>，將與阿拉伯聯合大公國（United Arab Emirates，UAE）、G42、Nvidia及甲骨文等業者合作，於阿布達比建置AI資料中心，這是OpenAI Stargate平臺首次的國際部署，也是<a href="https://www.ithome.com.tw/news/168831" target="_blank">OpenAI for Countries計畫</a>第一個合作的國家。</p> <p>Stargate UAE將部署在阿布達比，由UAE及美國共同興建的5GW級AI園區（UAE–U.S. AI Campus）中。Stargate UAE是個1GW的運算叢集，將由G42負責建置，由OpenAI及甲骨文負責經營，其它合作夥伴還包括提供零信任安全性與AI就緒連接的思科，軟銀集團，以及準備供應Grace Blackwell GB300系統的Nvidia。首個200MW的AI叢集預計於2026年上線。</p> <p>UAE–U.S. AI Campus占地10平方英里（約26平方公里），是美國境外最大的AI基礎設施群，它將提供5GW的AI資料中心容量及區域運算資源；由核能、太陽能與天然氣提供動力，儘量減少碳排放；內含一個推動創新、培育人才及可持續運算基礎設施的科學園區。</p> <p>至於OpenAI則說，Stargate UAE將用來支持UAE在政府、能源、醫療保健、教育及交通等關鍵領域利用OpenAI的工具，以加速創新並推動經濟成長，並將讓UAE成為全球第一個於全國範圍內啟用ChatGPT的國家，讓國內人民都能使用OpenAI的技術。</p> </div></div></div>
2025/5/23 10:33作者陳曉莉https://www.ithome.com.tw/news/169121
分散式應用開發平臺.NET Aspire 9.3強化AI除錯，並完善多雲服務管理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟<a href="https://devblogs.microsoft.com/dotnet/introducing-dotnet-aspire-93/">釋出</a>.NET Aspire 9.3更新，重點在於強化人工智慧輔助除錯、分散式服務管理與雲端平臺整合。新版本將GitHub Copilot深度整合至.NET Aspire儀表板，提升開發人員的人工智慧除錯與日常維運效率，同時加強多雲環境的應用管理功能。</p> <p>.NET Aspire於2024年正式推出，其功能在於簡化分散式應用的開發、觀測、部署與管理。針對微服務架構與雲端資源組合，Aspire提供一個統一的跨平臺開發體驗，其Aspire儀表板可協助調度多項服務與資源，並於運作過程即時掌握效能與異常。</p> <p>在9.3版本中，Dashboard獲GitHub Copilot人工智慧助理加持，可於平臺內協助開發者分析分散式追蹤資料及系統日誌，提升辨識潛在問題與效能瓶頸的能力。人工智慧助理能協助解讀錯誤碼、追蹤異常來源，也可對分散式架構的錯誤相關性提供輔助。該功能特別適用於多雲、多節點環境的應用，有助提升診斷效率、減少人工排查時間，進一步改進開發與維運效能。</p> <p>在多雲服務整合方面，.NET Aspire 9.3主要提供對Azure生態系服務的原生支援，同時強化MySQL、PostgreSQL、Redis等常見資料庫及快取服務的整合API，讓開發者更容易管理和串接各類雲端資源。此外，.NET Aspire 9.3還強化CLI工具，包括自動搜尋AppHost專案和記錄目錄位置，最佳化啟動流程與錯誤處理機制，並提升資源過濾、日誌查詢、追蹤資料視覺化等使用體驗。</p> <p>雖然.NET Aspire 9.3在多雲管理及人工智慧除錯上有不少進展，不過微軟<a href="https://techcommunity.microsoft.com/blog/appsonazureblog/see-live-data-on-azure-container-apps-with-the-aspire-dashboard/4147938">強調</a>，Aspire儀表板目前重點還是在即時觀測，並不具備長期資料保存與查詢功能，也不是營運層級應用效能管理（APM）工具的替代方案。官方建議有長期分析或進階監控需求的企業，可搭配Application Insights等既有APM工具整合使用，以滿足歷史資料查詢、進階分析與異常預警等需求。</p> </div></div></div>
2025/5/23 08:23作者李建興https://www.ithome.com.tw/news/169113
韌性與彈性
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國總統川普在5月12日談及美中貿易，一句「I think it's going to be great for unification and peace.」引發震撼，許多臺灣媒體報導均以「中國開放關稅貿易談判有利於統一、和平」描述此事，然而，unification該依循國際新聞慣例譯為「統一」？還是由當下發言內容脈絡理解為「團結」、「一致」？引發大家的討論。</p> <p>關於不同語言、專業領域之間的詞彙該如何翻譯、幫助大家理解原意，這其實是相當不容易的工作。以IT技術應用而言，更是常常遇到這種狀況，例如Object-oriented programming、Object Storage，臺灣稱為物件導向程式設計、物件儲存，中國稱為對象導向程式設計、對象儲存；在雲端原生應用發展相當關鍵的Container，臺灣和中國都有志一同地接受「容器」這個稱呼，而未採用英文原本所借喻的「貨櫃」與「集裝箱」。</p> <p>但有些更新穎的IT技術名詞，其中文名稱還沒完全固定。例如，與AI機器人設備有關的Physical AI，有人稱為實體AI，但有越來越多人稱為物理AI，這兩種稱呼都有各自能彰顯的獨特意義，我們看到有人提出Embodied AI的稱呼，或許能突顯這類應用的部分特性，但這個詞彙的中文稱呼目前也有好幾種：體化AI、體現AI、具身AI。</p> <p>而在IT科技應用的領域當中，也有一些這樣的例子。像是：Scalability是指「規模可伸縮性」，令人想到elasticity，Scalability因大多用於描述規模的擴展，因此，常譯為可擴展性、可擴充性，早期都用延展性，但可能因為易與物質受力之後變形的延展性混淆，而越來越少用。</p> <p>近年在許多場合都會強調Resilience，過去較常譯為彈性、彈力、快速復原，是指物質經過彎曲、延伸或壓迫之後，能夠回復原有狀態的一種特性，意思與上述elasticity有重疊，而且，elasticity也有靈活度、順應改變的能力。這幾年以來，Resilience更常在許多地方被譯為韌性，而且這樣的用法也出現於心理健康、商業管理，甚至國家安全。</p> <p>例如，前總統蔡英文近期出訪歐洲，在哥本哈根民主高峰會發表演講時，她說：「當前這個時刻，我們迫切需要一套新的策略，來確保我們國家的安全與經濟的繁榮。在面對挑戰時建立韌性，是我們生存的關鍵。」</p> <p>「韌性不只是一個流行的詞彙，它是實現可持續自主的根基。它使我們能夠承受衝擊、在壓力中調適，並且更堅強地站起來。」</p> <p>「在臺灣，我們深知韌性是什麼，因為我們對那些試圖利用民主的不完美來破壞體制的勢力，有著切身的體會。我們的人民曾親身經歷威權統治的傷害；如今，我們幾乎每天都面對升級的威脅與恐嚇。」</p> <p>現任總統賴清德於2024年6月19日就職滿月記者會，宣布設置「全社會防衛韌性委員會」，9月26日、12月26日、今年3月27日陸續主持三場會議，確立透過五大主軸來訂定行動方案，包括民力訓練暨運用、戰略物資盤整暨維生配送、能源及關鍵基礎設施維運、社福醫療及避難設施整備，以及資通、運輸及金融網絡安全，藉此驗證中央與地方政府、因應災害時的量能，全面提升四大領域的韌性（國防、民生、災防、民主），日前由臺南市政府演練的情境包括：海嘯來臨前預警民眾進行避難疏散、關鍵基礎設施發生不明爆炸、醫院系統遭受駭客入侵，以及認知作戰與治安騷亂。</p> <p>而在資安即國安成為全國的共識之下，2020臺灣資安大會的主題也正好是「韌性決勝（Resilience Matters）」，或許因為越來越多人認可韌性的重要，Resilience也從過去較常出現在IT服務的持續運作、備援，後來，Resilience／韌性這個詞彙也在快速擴及更多資訊安全的場域，尤其當許多大大小小企業與組織經歷進階持續性威脅（APT），以及勒索軟體等網路攻擊狀況，經營者須抱有「預想被駭（Assumed Breach）」的思維，不僅要持續強化預防，盡可能在事前進行攔阻，也要設法做到在事中盡快自我察覺資安威脅的存在，以及事後快速應變與復原，使企業能在最短時間恢復正常運作。</p> <p>要避免IT變故對業務運作造成巨大衝擊，需要有足夠的韌性，高度仰賴數位科技的現代社會，更是如此，能屈能伸、具有高度靈活的適應力，已成為生存的必須條件。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/resilience">Resilience</a></div><div class="field-item odd"><a href="/tags/%E9%9F%8C%E6%80%A7">韌性</a></div><div class="field-item even"><a href="/tags/%E8%B3%87%E5%AE%89">資安</a></div><div class="field-item odd"><a href="/tags/%E5%9C%8B%E5%AE%89">國安</a></div></div></div>
2025/5/23 08:28作者李宗翰https://www.ithome.com.tw/voice/169115
Google更新AI代理開發工具，ADK與A2A協定同步升級
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google更新旗下人工智慧代理開發工具，<a href="https://developers.googleblog.com/en/agents-adk-agent-engine-a2a-enhancements-google-io/" target="_blank">針對ADK（Agent Development Kit）與A2A（Agent2Agent）通訊協定推出多項重大升級</a>。本次更新聚焦提升人工智慧代理的開發效率、跨平臺協作能力與產品環境可用性。Python ADK達到穩定版本，Java ADK推出第一個版本，A2A協定進行規格擴充與安全機制強化，Google也於雲端平臺提供全新管理介面。</p> <p>Python ADK 1.0.0版正式發布，Google的人工智慧代理開發框架進入穩定階段，可支援企業在實際專案中部署智慧代理。此前API與功能架構未定，主要用於開發者探索應用，而穩定版則可提供企業長期維運的開發基礎。</p> <p>另外，Java ADK 0.1.0版的推出，也讓ADK工具鏈延伸至Java生態，有助企業將智慧代理導入現有系統，並提升自動化與跨系統協作效率。Java ADK第一個版本以Maven相依方式釋出，雖為早期版本，但已具備基礎開發支援，後續官方還會持續強化功能。</p> <p>A2A協定也升級至0.2版，主要強化代理之間的協作彈性與安全性。新版協定支援無狀態互動模式，方便開發者在特定場景下無須管理長期會話即可完成輕量溝通，適用事件觸發與單次請求等應用。</p> <p>此外，A2A 0.2版新增類OpenAPI認證機制，明確規範代理間溝通的授權與驗證流程，提升跨平臺及多供應商生態整合時的資訊安全。配合協定升級，Google也推出A2A Python SDK，協助開發者於Python專案中快速導入代理互通能力，簡化多智慧代理應用的開發。</p> <p>在管理介面部分，Google於Vertex AI平臺導入Agent Engine UI，強化代理生命周期管理。新介面整合至Google雲端控制臺，提供圖形化儀表板，協助開發者即時監控已部署代理的運作狀態、資源使用、請求紀錄與錯誤追蹤。過去代理的部署與維護多仰賴命令列或API進行設定與監控，操作與維運相對繁瑣，而藉由新的UI介面，開發團隊可在單一平臺迅速檢查系統健康狀況與異常事件，提升問題處理及服務改進效率。</p> <p class="rtecenter"><a href="https://storage.googleapis.com/gweb-developer-goog-blog-assets/original_videos/AE_console_UI_demo.mp4" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0523-Agent%20Engine%20UI-google.png" style="width: 600px;" /></a></p> </div></div></div>
2025/5/23 08:11作者李建興https://www.ithome.com.tw/news/169111
【資安日報】5月22日，VMware修補旗下多款平臺的資安漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>VMware近期發布兩則資安公告，針對虛擬化平臺、混合雲平臺發布修補程式，這次總共修補7項漏洞，有4項是較為危險的高風險漏洞，而引起注意。</p> <p>比較值得留意的是，其中3項高風險漏洞皆與VMware Cloud Foundation有關，而且有部分漏洞只要能透過特定的連結埠存取就能觸發，因此IT人員要儘速採取行動。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169091"><strong style="font-size: 22px;">資安新聞網站Krebs On Security驚傳遭大規模DDoS攻擊</strong></a></p> <p>本週資安新聞網站Krebs On Security指出，在5月12日他們遭遇達到6.3 Tbps的DDoS攻擊，而這樣的規模，已相當接近Cloudflare今年4月下旬阻擋的6.5 Tbps（4.8 Bpps）最大規模紀錄。值得留意的是，Krebs On Security網站並非首度遭受DDoS攻擊。他們曾於2016年遭到Mirai殭屍網路攻擊，導致網站離線4天，而這次的攻擊規模，約是當時的10倍。</p> <p>針對這波攻擊行動的來源，提供該網站DDoS防護服務的Google透露，是殭屍網路Aisuru所為，過程約45秒，駭客透過隨機連接埠對網站發送大量UDP封包，每秒大約送出了5.85億個。值得留意的是，Google也指出Cloudflare攔下的大規模攻擊行動，同樣是由Aisuru發起。</p> <p>Krebs On Security針對經營Aisuru的團隊進行調查，這些駭客透過Telegram提供DDoS攻擊租用服務，經營者疑為使用Focky為匿稱的巴西人，該新聞網站和此人取得聯繫並進行交談，對方否認對網站發動攻擊，但坦承從事協助開發及銷售殭屍網路的業務。Focky聲稱能幫Krebs On Security找到攻擊者的身分，但後續此人表示經過詢問，沒有人願意承認是兇手。</p> <p><a href="https://www.ithome.com.tw/news/169112"><strong style="font-size: 22px;">研究人員公布Ivanti EPMM零時差漏洞細節，駭客用於散布滲透測試工具、挖掘資料庫內容</strong></a></p> <p>5月13日資安業者Ivanti修補Endpoint Manager Mobile（EPMM）身分驗證繞過漏洞CVE-2025-4427、遠端程式碼執行（RCE）漏洞CVE-2025-4428，並透露已有用戶遭到攻擊的現象，如今資安業者Wiz針對上述漏洞說明細節，並指出雖然其CVSS風險值僅有5.3、7.2，但只要被串連利用，就會變得非常危險。</p> <p>而對於駭客串連上述漏洞的攻擊行動，Wiz提及有4種，分別是散布滲透測試工具Sliver、竊取MySQL資料庫內容，以及上傳Web Shell或是反向Shell，這些活動從5月16日開始，大約是概念驗證程式碼（PoC）公開後不久就發生。</p> <p>其中，他們提及使用Sliver的駭客，不久前也曾使用相同的C2伺服器，針對防火牆作業系統PAN-OS資安漏洞CVE-2024-0012、CVE-2024-9474（風險值為9.3、6.9）從事攻擊行動。</p> <p><a href="https://www.ithome.com.tw/news/169026"><strong style="font-size: 22px;">惡意PyPI套件偽裝成加密貨幣Solana工具，意圖竊取開發者原始碼與機密資訊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/blog-pypi-solana-source_code.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/blog-pypi-solana-source_code.png" style="width: 300px; float: right;" /></a></p> <p>資安廠商ReversingLabs研究人員揭露，一款名為solana-token的惡意Python套件偽裝為Solana區塊鏈開發工具，上架至PyPI開源函式庫，鎖定加密貨幣專案開發人員，企圖竊取原始碼及潛藏的敏感資訊。</p> <p>ReversingLabs 2025年軟體供應鏈安全報告指出，2024年共發現23起針對加密貨幣應用及基礎設施的惡意供應鏈活動，而此次solana-token事件正是相關攻擊的最新案例。研究人員表示，該惡意套件雖名為solana-token，並未提供完整功能說明，卻以開發工具之名誘使Solana生態系開發者下載安裝，進而執行資料竊取行為。</p> <p>一旦開發人員安裝了solana-token，其內部程式會自動掃描開發環境，讀取Python執行堆疊中涉及的所有檔案，並將蒐集到的原始碼與潛在機密資訊，如金鑰、助記詞組（Mnemonic Phrase）等，傳送至指定IP位址。該套件下載次數超過600次，顯示攻擊行動已具實際傳播風險。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/kimsuky-apt-group-deploys-powershell-payloads/">Kimsuky透過PowerShell酬載散布RAT木馬XWorm</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/docker-containers-under-attack-new-self-replicating-dero-cryptominer/">會自我複製的惡意軟體Dero鎖定Docker容器而來，意圖從事挖礦活動</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/3am-ransomware-uses-spoofed-it-calls-email-bombing-to-breach-networks/">勒索軟體3AM透過電子郵件轟炸、電話網釣入侵受害組織</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169108"><strong style="font-size: 22px;">VMware針對旗下虛擬化平臺、混合雲平臺修補高風險漏洞</strong></a></p> <p>本週二（5月20日）VMware發布資安公告，針對旗下的ESXi、Cloud Foundation等多項產品修補資安弱點。</p> <p>根據CVSS風險評分高低，最嚴重的是CVE-2025-41225，此為通過使用者身分驗證後的命令執行漏洞，攻擊者在通過系統身分驗證、取得特殊權限的情況下，藉由產生或竄改警示通知並執行指令碼形式的動作，就有可能觸發這項弱點，並在vCenter Server執行任意命令，CVSS風險為8.8，影響vCenter Server 7.0及8.0、VMware Cloud Foundation (vCenter) 4.5.x與5.x、VMware Telco Cloud Platform (vCenter) 2.x至5.x、VMware Telco Cloud Infrastructure (vCenter) 2.x與3.x，值得留意的是，除了套用相關更新軟體之外，沒有其他緩解措施。</p> <p>其餘幾項高風險漏洞CVE-2025-41229、CVE-2025-41230、CVE-2025-41231，主要影響VMware Cloud Foundation 4.5.x及5.x版，這些弱點涉及資料夾穿越、資訊洩露、缺乏身分驗證，風險值為8.2、7.5、7.3。</p> <p><a href="https://www.ithome.com.tw/news/169102"><strong style="font-size: 22px;">圖表資料呈現系統Grafana存在XSS高風險漏洞，傳出細節已遭公開</strong></a></p> <p>5月21日圖表資料呈現系統Grafana發布資安公告，推出12.0.0+security-01版等一系列的更新，主要目的修補高風險的跨網站指令碼（XSS）資安弱點CVE-2025-4123，並指出若不處理，攻擊者能將使用者重新導向惡意網站。值得留意的是，這項資安公告Grafana原本預定於22日才發布，因為發現漏洞已被公開，他們決定提早一天公布此事。</p> <p>研究人員強調，CVE-2025-4123與大部分的XSS漏洞不同，攻擊者無須取得editor的權限。若是目標系統部署了外掛程式Grafana Image Renderer，攻擊者還能以完整讀取的伺服器偽造請求來濫用漏洞。</p> <p>對此，Grafana開發團隊呼籲IT人員應儘速套用新版程式，若是無法及時升級，則可藉由配置預設的內容安全政策（Content Security Policy，CSP）組態來防堵相關威脅。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.theregister.com/2025/05/20/openpgp_js_flaw/">OpenPGP存在高風險漏洞，攻擊者恐對已簽章及加密的訊息進行欺騙</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/critical-vulnerability-in-lexmark-printers/">Lexmark印表機存在重大漏洞，攻擊者可發動RCE攻擊</a></strong></p> <p></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169101"><strong style="font-size: 22px;">感染近40萬臺電腦，微軟聯手資安業者及執法單位，摧毀竊資軟體Lumma網路</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/LummaC2-7.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/LummaC2-7.png" style="width: 300px; float: right;" /></a></p> <p>本周三（5月21日）微軟宣布，他們與國際執法機構及資安業者的合作，摧毀了已感染逾39.4萬臺Windows電腦的Lumma惡意程式網路。</p> <p>微軟指出，從今年的3月16日至5月16日之間，該公司發現全球有超過39.4萬臺的Windows電腦感染了Lumma；其數位犯罪部門（Digital Crimes Unit，DCU）在5月13日便提出了訴訟，並在取得法院同意後，接管與封鎖約2,300個惡意網域，而它們正是Lumma基礎設施的骨幹。在惡意網域被接管之後，受害裝置企圖連至C&C伺服器時，便會被導至微軟的安全伺服器。</p> <p>同一期間，美國司法部也扣押了Lumma的中央指揮機構，並破壞Lumma銷售市集。根據司法部的說明，該單位扣押了5個Lumma的關鍵網域名稱，它們是Lumma的控制面板，用以讓Lumma客戶登入以部署服務及接收盜來的資訊，涉及170萬筆惡意活動紀錄。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169076"><strong>【5月21日】韓國電信業者SK Telecom事故最新調查出爐，駭客在網路環境活動近3年</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169054"><strong>【5月20日】Pwn2Own競賽首度成功找出VMware ESXi零時差漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169032"><strong>【5月19日】惡意NPM套件為藏匿攻擊意圖，濫用Unicode字元、Google行事曆</strong></a></p> </div></div></div>
2025/5/22 16:37作者周峻佑https://www.ithome.com.tw/news/169114
2030年我國溫室氣體階段管制目標出爐，能源、製造、運輸等6大部門減排降幅目標確定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>環境部今天(5/22)向行政院提出第三期溫室氣體階段管制目標，為達成臺灣2050減碳淨零的目標，2030年減碳降幅目標要比基準年（2005年）碳排放量減少28±2%，同時也提出能源、製造、運輸等6部門減碳降幅目標。另外，因應國際上關稅協商變數，政院通過企業申請，可將今年6月底提報碳費延後至8月底。</p> <p>環境部氣候變遷署長蔡玲儀表示，我國溫室氣體排放量持續下降，根據環境部近期公布資料，我國2023年溫室氣體淨排放減量達到4.64%（比較基準年2005年），為展現我國積極減碳作為，今年1月23日國家氣候變遷對策委員會第3次會議提出我國減碳的新目標，將2030年減排目標提高到28±2%，並提出2032年減排目標為32±2%，到2035年希望達到38±2%。</p> <p>依照國內氣候變遷法規定，今年必需提出2030年減排目標，因此行政院於今年5月初核定2030年減排目標為28±2%，同時，2030年電力排放係數的目標定為每度電0.319公斤的目標。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%961-600(2).jpg" style="width: 600px; height: 326px;" /></p> <p>同時，行政院也由上而下、由下而上，提出能源、製造、運輸、住商、農業、環境、住商6個部門第三期（2030年）個別減排目標及減碳量，共20項減碳旗艦行動計畫，來加碼各部門的減碳推動力道。</p> <p>相較基準年2005年，能源部門2030年減排降幅目標為23.1%，製造部門目標為18%，運輸部門目標為20%，農業部門目標為35.1%，住商部門為35%，環境部門為71.5%。</p> <p>6個部門推動減排計畫，以運輸部門為例，推動商用車輛電動化、無碳化；製造部門除了產業自主減排，還有採用節能設備，國營事業如中鋼、中油也各自提出減排計畫；能源部門則發展再生能源技術，並採用各種再生能源、建立氫能供應鏈等等；住商部門則是推動深度節能、淨零建築。住商及農業部門也提出減排計畫。</p> <p>至於2025年上路的碳費，約252家碳費徵收對象，企業需在今年申報排放量，於明年5月底繳交碳費，企業提出自主減量計畫，可適用優惠費率，每噸減免50元或100元的優惠費率。蔡玲儀指出，考慮到國際關稅的不確定因素，將優惠費率申請時間延長2個月，也就是6月底可先申請優惠費率，8月底再補充完整計畫資料。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%962-600(2).jpg" style="width: 600px; height: 321px;" /></p> <p>對於不容易推動減碳的高碳洩露風險產業，初期收費排放量打2折，對於高碳洩露風險產業的認定，除了原本的行業別認定，認定為高碳洩露風險產業則適用至2030年之外，蔡玲儀表示，為降低產業衝擊，也會考慮特殊的國際經貿因素，像是因為突發經貿事件導致年度營業毛利為負，或是碳費占毛利達一定程度，或是面臨國際商品的傾銷風險者，業者每年提出申請，通過審查後僅適用該年度。</p> <p>環境部也將由國發基金提供10年、100億元經費，明天成立綠色成長基金，投資對象以經營淨零永續業務的國內企業或營業活動在國內的境外企業。</p> <p>蔡玲儀表示，我國2030年推動減排的目標，除了透過各種手段帶動產業減排，降低電力係數之外，還要提高我國的能源自主，對進口能源的依存度，由2023年的96.2%降低到90%，並且帶動國內綠色經濟發展，預期政府投入1兆元支出，可望帶動民間投資5兆元，同時培養綠領人才。</p> </div></div></div>
2025/5/22 15:32作者蘇文彬https://www.ithome.com.tw/news/169109
Signal Desktop預設阻擋Windows 11 Recall截圖，確保用戶聊天隱私
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Signal基金會對旗下Signal Desktop於Windows 11平臺，<a href="https://signal.org/blog/signal-doesnt-recall/">預設啟用</a>螢幕安全功能，阻擋微軟Recall自動截圖聊天內容，提升用戶隱私保護。這項調整主因在於Microsoft Recall於2025年5月隨Copilot+ PC重新預覽上線後，各界對其存取敏感資訊的隱私與資訊安全疑慮。Signal表示，在現行平臺政策，應用程式無法主動阻擋Recall擷取畫面，僅能採用DRM（Digital Rights Managemen）等既有技術因應，呼籲平臺提供更多開發者工具以維護隱私。</p> <p>Recall自2024年首次公布以來，主打可每隔數秒自動截圖所有應用程式畫面並建立本地可檢索資料庫，協助用戶回顧操作歷程。雖然微軟強調Recall僅於本機執行，資料不會傳送至雲端，但因未完善權限隔離，也未讓開發者能主動排除自家產品畫面不被截圖，造成密碼管理器、金融與加密通訊等應用產生隱私疑慮。</p> <p>Recall在2024年因外界反彈暫緩部署，2025年於特定Windows 11裝置重新開放預覽。目前Recall預設排除Edge瀏覽器的InPrivate模式，尚未公開API供第三方應用註冊排除，開發者難以主動掌控應用程式的截圖權限。</p> <p>面對無API排除權限的狀況，Signal Desktop最新版於視窗層級啟用DRM標記，使Windows 11系統層級自動阻擋螢幕擷取，無論Recall或其他截圖工具都無法捕捉Signal內容。這與影音平臺受保護內容時，螢幕錄影或截圖僅顯示黑畫面的設計相同，Signal表示，這項措施雖能發揮阻擋效果，主要屬於因應現有平臺政策的被動作法，並非專為隱私保護所設計的最佳機制。</p> <p>開啟螢幕安全功能後，部分輔助科技工具如螢幕閱讀器或放大器，可能因無法正常擷取畫面而受影響。用戶可於Windows 11桌面版設定中關閉螢幕安全，且系統將顯示風險提醒，以降低誤操作導致資訊外洩的機會。此設定僅作用於本機Signal桌面端，不影響其他作業系統或裝置的截圖功能，也不會阻擋對方設備擷取螢幕內容。</p> <p>新版Signal Desktop螢幕安全功能已隨Windows 11應用同步推送，Signal選擇於應用程式層級設置DRM保護，反映出開發者難以單靠平臺設定保護隱私，人工智慧輔助功能普及後，系統便利性與用戶隱私權衡成重要議題。</p> </div></div></div>
2025/5/22 15:47作者李建興https://www.ithome.com.tw/news/169105
研究人員公布Ivanti EPMM零時差漏洞細節，駭客用於散布滲透測試工具、挖掘資料庫內容
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>5月13日資安業者Ivanti修補Endpoint Manager Mobile（EPMM）<a href="https://www.ithome.com.tw/news/168936">身分驗證繞過漏洞CVE-2025-4427、遠端程式碼執行（RCE）漏洞CVE-2025-4428</a>，並透露已有用戶遭到攻擊的現象，如今<a href="https://www.wiz.io/blog/ivanti-epmm-rce-vulnerability-chain-cve-2025-4427-cve-2025-4428">有研究人員公布最新調查結果</a>，說明駭客如何利用這些漏洞。</p> <p>資安業者Wiz針對上述漏洞說明細節，並指出雖然其CVSS風險值僅有5.3、7.2，但只要被串連利用就會變得非常危險。</p> <p>其中較為危險的CVE-2025-4428，存在於EPMM的功能DeviceFeatureUsageReportQueryRequestValidator，起因是在含有錯誤訊息的使用者輸入不安全的處理造成，而相關錯誤訊息是來自Spring元件的AbstractMessageSource。這樣的情況使得攻擊者能控制表達式語言（Expression Language，EL）的注入。</p> <p>另一項漏洞CVE-2025-4427，起因為EPMM路由組態不當請求處理所致。由於在Spring Security組態缺少<intercept-url>規則，導致路由組態（如/rs/api/v2/featureusage）會因此曝露。而這樣的弱點，能讓攻擊者在未經授權下存取其他RCE缺陷。</p> <p>而對於駭客串連上述漏洞的攻擊行動，Wiz提及大致有4種，分別是散布滲透測試工具Sliver、竊取MySQL資料庫內容，以及上傳Web Shell或是反向Shell，這些活動從5月16日開始，大約是概念驗證程式碼（PoC）公開後不久就發生。</p> <p>其中，他們提及使用Sliver的駭客，不久前也曾使用相同的C2伺服器，針對<a href="https://www.ithome.com.tw/news/166075">防火牆作業系統PAN-OS資安漏洞CVE-2024-0012、CVE-2024-9474</a>（風險值為9.3、6.9）從事攻擊行動。另一項佐證是相同人馬發動攻擊的證據，在於這些駭客使用的IP位址從去年11月到現在，都沒有變更使用的憑證。</p> <p>另一種針對MySQL的活動也相當值得留意，原因是IT人員EPMM可將MySQL設置為後臺系統並提供多種服務，其中包含利用此資料庫管理使用者帳密及存取控制。對於相關攻擊行動，Wiz看到攻擊者試圖從MySQL當中，截取敏感資料表的內容。其中一組人馬甚至在Ivanti環境進一步偵察，目的可能是尋找更多使用者帳密及相關的系統資訊。</p> </div></div></div>
2025/5/22 15:57作者周峻佑https://www.ithome.com.tw/news/169112
圖形資料分析系統Grafana存在XSS高風險漏洞，傳出細節已遭公開
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>5月21日圖形資料分析系統Grafana<a href="https://grafana.com/blog/2025/05/21/grafana-security-release-high-severity-security-fix-for-cve-2025-4123/">發布資安公告</a>，指出他們發布12.0.0+security-01版等一系列的更新，主要目的修補高風險的跨網站指令碼（XSS）資安弱點CVE-2025-4123，並指出若不處理，攻擊者能將使用者重新導向惡意網站。值得留意的是，這項資安公告Grafana原本預定於22日才發布，因為發現漏洞已被公開，他們決定提早一天公布此事。</p> <p>這項漏洞Grafana是在4月底接獲通報，當時通報的研究人員指出，這項XSS漏洞會導致攻擊者於用戶端進行路徑穿越及開放重新導向的行為，使得他們能將使用者重新導向惡意網站，並於網站利用前臺的外掛程式執行任意的JavaScript程式碼，CVSS風險值為7.6，影響Grafana 11.2至12.0所有版本，不再支援的Grafana 8也可能會受到影響。</p> <p>研究人員強調，CVE-2025-4123與大部分的XSS漏洞不同，攻擊者無須取得editor的權限。若是目標系統部署了外掛程式Grafana Image Renderer，攻擊者還能以完整讀取的伺服器偽造請求來濫用漏洞。</p> <p>對此，Grafana呼籲IT人員應儘速套用新版程式，若是無法及時升級，則可藉由配置預設的內容安全政策（Content Security Policy，CSP）組態來防堵相關威脅。</p> </div></div></div>
2025/5/22 12:25作者周峻佑https://www.ithome.com.tw/news/169102
VMware針對旗下虛擬化平臺、混合雲平臺修補高風險漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週二（5月20日）VMware發布資安公告，針對旗下的ESXi、Cloud Foundation等多項產品修補資安弱點。</p> <p>根據CVSS風險評分高低，<a href="https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/25717">最嚴重的是CVE-2025-41225</a>，此為通過驗證的命令執行漏洞，攻擊者在取得特殊權限的情況下，藉由產生或竄改警示通知並執行指令碼行動，就有可能觸發這項弱點，並在vCenter Server執行任意命令，CVSS風險為8.8，影響vCenter Server 7.0及8.0、Cloud Foundation (vCenter) 4.5.x與5.x、Telco Cloud Platform (vCenter) 2.x至5.x、Telco Cloud Infrastructure (vCenter) 2.x與3.x，值得留意的是，除了套用相關更新軟體之外，沒有其他替代緩解措施。</p> <p>其餘幾項高風險漏洞<a href="https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/25733">CVE-2025-41229、CVE-2025-41230、CVE-2025-41231</a>，則主要影響Cloud Foundation 4.5.x及5.x版，這些弱點涉及資料夾穿越、資訊洩露、缺乏身分驗證，風險值為8.2、7.5、7.3。</p> <p>其中，CVE-2025-41229、CVE-2025-41230存在共通點，那就是攻擊者只要能使用443埠存取Cloud Foundation，就能利用。至於CVE-2025-41231，攻擊者只要能夠存取Cloud Foundation應用系統，就能進行特定的未經授權行為，並存取部分敏感資訊。</p> </div></div></div>
2025/5/22 15:01作者周峻佑https://www.ithome.com.tw/news/169108
JetBrains與Azul合作最佳化JVM效能，提升Kotlin執行表現
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>JetBrains<a href="https://blog.jetbrains.com/kotlin/2025/05/kotlin-and-azul-collaboration-for-enhanced-runtime-performance/">宣布</a>與高效能JVM解決方案供應商Azul展開策略性技術合作，雙方針對Kotlin程式語言在JVM平臺上的執行效能進行最佳化，合作範圍涵蓋高效能JVM產品Zing與標準OpenJDK。</p> <p>Kotlin具簡潔語法、強大型別系統與良好互通性，由於近年雲端原生及非同步應用逐漸普及，Kotlin在JVM上的執行效率成為開發者社群與企業關注的技術議題。JetBrains長期投入Kotlin編譯器與標準函式庫的最佳化，著重在提升語言層效能，而Azul則深耕JVM技術，特別專注JIT編譯器與垃圾回收機制，旗下Zing JDK便是以無中斷垃圾回收與高吞吐量為主要特色。</p> <p>此次雙方合作聚焦於語言層與JVM執行層的整合最佳化，JetBrains指出，現代應用的效能表現不僅取決於語言設計或單一技術堆疊，更需整體考量語言、編譯器與執行環境，才能發揮最大的效能。透過分析Kotlin位元組碼在不同JVM上的執行狀況，雙方團隊希望發現新的最佳化切入點，使Kotlin應用無論在OpenJDK或Zing等JVM環境，都能獲得穩定且顯著的效能提升。</p> <p>在合作初期，雙方以TechEmpower Framework Benchmarks作為評測基礎，選定涵蓋ORM、資料庫連線、集合操作與伺服器端模板處理等常見後端場景的Kotlin專案，並額外開發針對CPU與記憶體密集型運算的應用。在相同硬體環境比較Zing JDK與OpenJDK於相同資源下的效能差異，根據JetBrains公布的初步資料，採用Zing JDK後，應用延遲平均降低23.9％至28.0％，處理量則提升30.5％至39.0％，顯示JVM層級的技術創新能替Kotlin應用帶來明顯的效能強化。</p> <p>Azul指出，Zing JDK核心包括Falcon JIT編譯器與C4 Pauseless Garbage Collector。Falcon JIT採用LLVM最佳化技術，有助提升程式執行效率，而C4無中斷垃圾回收器則在高負載或非同步協程密集環境，大幅降低垃圾回收對延遲的影響，提升系統回應穩定性。</p> <p>JetBrains與Azul將持續擴大基準測試範圍，納入更多Kotlin實務專案，進一步檢驗各類JVM最佳化技術對應用效能的實際影響。Azul也將就JVM在位元組碼最佳化上的需求，與Kotlin編譯器團隊密切協作，探索更進階的編譯層最佳化可能性。</p> </div></div></div>
2025/5/22 14:02作者李建興https://www.ithome.com.tw/news/169092
感染近40萬臺Windows電腦，微軟帶頭摧毀Lumma惡意程式網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.microsoft.com/on-the-issues/2025/05/21/microsoft-leads-global-action-against-favored-cybercrime-tool/" target="_blank">微軟周三（5/21）宣布</a>，已在國際執法機構及資安業者的合作下，摧毀了已感染逾39.4萬臺Windows電腦的Lumma惡意程式網路。</p> <p>使用者電腦上感染的是Lumma Stealer，它是個竊資程式，起源於同名的Lumma惡意程式即服務（Malware-as-a-Service，MaaS），其主要開發者位於俄羅斯，網路別名為Shamel，至少從2022年起便藉由Telegram與其它俄文聊天論壇提供不同等級的Lumma服務，允許買家建立自己的惡意程式版本，添加工具來隱藏或遞送它，也能透過一個入口網站來追蹤遭竊的資訊。在2023年時，Shamel曾對外透露該服務擁有400名活躍客戶。</p> <p>Lumma Stealer的感染途徑很多元，從網釣郵件、惡意廣告、於受駭網站執行偷渡式下載、搭載破解或盜版軟體、濫用合法服務，或者是綑綁其它的惡意程式等。一旦進駐到受害者的電腦上，它就會企圖自各種瀏覽器或程式中竊取機密資訊，涵蓋憑證、Cookie、加密貨幣錢包、PDF檔、DOCX檔，或者是CPU、作業系統，已安裝的應用程式等系統資訊；也會嘗試安裝其它惡意程式或挖礦程式。</p> <p>微軟指出，從今年的3月16日至5月16日之間，該公司發現全球有超過39.4萬臺的Windows電腦感染了Lumma；其數位犯罪部門（Digital Crimes Unit，DCU）在5月13日便提出了訴訟，並在取得法院命令之後，接管與封鎖了約2,300個惡意網域，而它們正是Lumma基礎設施的骨幹。在惡意網域被接管之後，受害裝置企圖連至C&C伺服器時，便會被導至微軟的安全伺服器。</p> <p>同一期間，美國司法部也扣押了Lumma的中央指揮機構，並破壞Lumma銷售市集。<a href="https://www.justice.gov/opa/pr/justice-department-seizes-domains-behind-major-information-stealing-malware-operation" target="_blank">根據司法部的說明</a>，該單位扣押了5個Lumma的關鍵網域名稱，它們是Lumma的控制面板，用以讓Lumma客戶登入以部署服務及接收盜來的資訊，涉及170萬筆惡意活動紀錄。</p> <p>除了美國之外，日本網路犯罪中心（Japan Cybercrime Control Center，JC3），歐洲刑警組織Europol，以及Cloudflare與ESET等資安業者，也都參與並協助了這場行動。</p> </div></div></div>
2025/5/22 12:24作者陳曉莉https://www.ithome.com.tw/news/169101
資安新聞網站Krebs On Security驚傳遭大規模DDoS攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>DDoS攻擊事故頻傳，一般來說，這類事故的揭露，都是由提供相關防護的資安業者，例如：Cloudflare、Akamai，公布相關的威脅態勢，或是由研究人員以追蹤DDoS殭屍網路病毒行蹤的角度，鮮少由遭受攻擊的網站經營者公布此事，但最近一起事故針對知名資安新聞網站下手，引起資安圈的關注。</p> <p>本週Krebs On Security指出，他們在5月12日遭遇達到6.3 Tbps的DDoS攻擊，而這樣的規模，已相當接近Cloudflare<a href="https://www.ithome.com.tw/news/168679">今年4月下旬阻擋的6.5 Tbps（4.8 Bpps）</a>最大規模紀錄。</p> <p>有別於Bleeping Computer、HackRead、SecurityWeek、The Hacker News等報導全球資安新聞的網站，Krebs On Security是專門調查網路犯罪的記者Brian Krebs經營的部落格，他曾首度揭露Target百貨公司資料外洩、美國家庭裝修材料零售業者Home Depot的POS遭駭、SSNDOB平臺兜售美國民眾個資等多項大型資安事故，而持續受到關注，歷年來我們也不斷引述報導該網站的資安新聞，因此該網站遭到大規模DDoS的消息，引起許多新聞媒體的注意。</p> <p>值得留意的是，Krebs On Security網站並非首度遭受DDoS攻擊。他們曾於2016年遭到Mirai殭屍網路攻擊，導致網站離線4天，而這次的攻擊規模，約是當時的10倍。</p> <p>針對這波攻擊行動的來源，提供該網站DDoS防護服務的Google透露，是<a href="https://www.ithome.com.tw/tags/aisuru">殭屍網路Aisuru</a>所為，過程約45秒，駭客透過隨機連接埠對網站發送大量UDP封包，每秒大約送出了5.85億個。值得留意的是，Google也指出Cloudflare攔下的大規模攻擊行動，同樣是由Aisuru發起。</p> <p>而對於殭屍網路Aisuru的來歷，最早是中國資安業者奇安信<a href="https://www.ithome.com.tw/news/164748">去年8月揭露</a>，當時駭客在大型電玩遊戲黑神話：悟空上架電玩平臺Steam不久從事攻擊行動；後來這些駭客又沉寂一段時日，在<a href="https://www.ithome.com.tw/news/167138">今年1月</a>針對Cambium Networks旗下的cnPilot路由器零時差漏洞，散布Aisuru變種Airashi。</p> <p>Krebs On Security針對經營Aisuru的團隊進行調查，這些駭客透過Telegram提供DDoS攻擊租用服務，經營者疑為使用Focky為匿稱的巴西人，該新聞網站和此人取得聯繫並進行交談，對方否認對網站發動攻擊，但坦承從事協助開發及銷售殭屍網路的業務。Focky聲稱能幫Krebs On Security找到攻擊者的身分，但後續此人表示經過詢問，沒人承認是兇手。</p> </div></div></div>
2025/5/22 11:15作者周峻佑https://www.ithome.com.tw/news/169091
SQL Server 2025預覽版釋出，重點升級AI整合與資料庫效能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟<a href="https://www.microsoft.com/en-us/sql-server/blog/2025/05/19/announcing-sql-server-2025-preview-the-ai-ready-enterprise-database-from-ground-to-cloud/">釋出SQL Server 2025預覽版</a>，此次更新重點在於人工智慧原生整合與開發效率提升，同時強化資料庫引擎效能。這是近十年來SQL Server具指標性的版本，在人工智慧應用、開發工具支援及安全與高可用性等面向，體現微軟針對新一代企業需求所持續推動的技術發展。</p> <p>SQL Server 2025於資料庫引擎內導入向量搜尋及語義搜尋機制，讓使用者能在T-SQL環境中進行更智慧的資料查詢。向量搜尋可支援語義相似度比對，結合全文檢索與資料篩選，提升資料探索深度，替生成式人工智慧應用奠定基礎。</p> <p>本次更新同時加強模型管理與人工智慧框架整合。開發人員可於T-SQL定義及管理模型，並連結Azure AI Foundry、Azure OpenAI、Ollama等服務。所有模型均以REST API存取，可彈性部署於本地或雲端，並與資料庫引擎分離運作。SQL Server 2025也擴大支援LangChain、Semantic Kernel、Entity Framework Core等主流人工智慧框架，有助簡化模型訓練及應用整合。</p> <p>針對人工智慧開發所需的資料處理，SQL Server 2025於T-SQL層級提供向量嵌入生成與文本切分（Chunking）功能，並導入DiskANN（Disk Approximate Nearest Neighbor）向量索引技術，提升大型資料集的檢索效率與精確度。此功能可支援檢索增強生成（RAG）等人工智慧應用架構，協助企業於自有資料上開發多元智慧服務。</p> <p>本次版本原生支援JSON，並整合REST API與正規表示式，供開發者處理外部資料串接及驗證。SQL Server 2025也新增變更事件串流（Change Event Streaming），讓交易日誌異動能即時串流至Azure Event Hubs，緩解以往CDC（Change Data Capture）在高I/O環境的負擔，以利建構事件驅動應用。</p> <p>微軟預覽推出全新開源Python驅動程式，可透過pip安裝，方便Python開發者以開源方式連接SQL Server，滿足資料科學及人工智慧開發需求。同時，VS Code的MSSQL Extension與GitHub Copilot在預覽階段就進行整合，開發人員可在VS Code中生成SQL查詢、調整資料結構或進行ORM搬遷，並獲得人工智慧輔助建議。</p> <p>在SQL Server 2025效能提升上，導入最佳化鎖定機制，包括TID Locking與LAQ（Lock After Qualification），降低鎖定記憶體消耗並提升並行處理效能。資料庫引擎更有超過50項改進，涵蓋高可用性與災難復原（HADR）、智慧查詢處理及Columnstore等多項強化，現有應用不需要更動程式碼就能受益於新版效能。</p> <p>此外，資料庫管理工具SSMS（SQL Server Management Studio）21已正式推出，基於Visual Studio 2022架構，支援64位元、Git整合、自動更新及全新連線功能。Microsoft Copilot in SSMS現為預覽功能，在安裝SSMS 21時用戶可選擇加入，支援以自然語言協助撰寫與修正T-SQL查詢，並協助資料庫管理、維護與設定等作業。</p> </div></div></div>
2025/5/22 11:36作者李建興https://www.ithome.com.tw/news/169089