iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 21篇
近 24 小時: 21篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/6 21:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Google引入用戶層級差分隱私，最佳化LLM微調效能與隱私
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google<a href="https://research.google/blog/fine-tuning-llms-with-user-level-differential-privacy/">發表</a>針對大型語言模型微調過程，導入用戶層級差分隱私的最新研究。研究成果在於兼顧模型效能與用戶隱私的前提下，解決過去在大型模型訓練時執行用戶層級差分隱私（Differential Privacy）雜訊過多，導致模型表現受限的問題。</p> <p>目前開發者在應用大型語言模型時，往往需微調模型提升效能表現，但這些應用大多涉及用戶資料，特別是金融、醫療或個人化推薦等對資料敏感度要求較高的場景。傳統差分隱私著重於單一樣本層級的保護，能降低單筆資料外洩的風險，但Google提到，當單一用戶貢獻多筆資料時，現有方法難以防止判斷用戶是否參與訓練。用戶層級差分隱私則進一步保障用戶隱私，讓攻擊者無法從模型推測特定用戶的資料是否被用於訓練。</p> <p>Google團隊說明，相較於樣本層級差分隱私，用戶層級差分隱私在訓練過程中須注入更多雜訊，才能確保每位用戶的隱私，不過雜訊增加同時會降低模型學習能力，影響整體效能。此挑戰在大型語言模型等需要大量運算資源的訓練過程中更為明顯。過去用戶層級差分隱私大多應用於聯邦學習（Federated Learning）等分散式訓練場景，對於雲端資料中心大規模模型訓練，現有方法則面臨實作與效能的挑戰。</p> <p>Google提出的新技術重點，在模型微調階段的用戶層級差分隱私最佳化策略，針對差分隱私隨機梯度下降訓練法進行調整。研究團隊比較樣本層級隨機抽樣（Example-Level Sampling，ELS）及用戶層級隨機抽樣（User-Level Sampling，ULS）兩種方法。這兩種方式均透過前處理限制每位用戶的最大樣本數，以降低單一用戶資料對模型的影響，然後進行後續訓練。</p> <p>Google團隊發現過去對於應注入的雜訊量普遍高估，實際所需雜訊可大幅減少，有助於在不影響隱私保障前提增加模型訓練成效。此外，研究團隊提出用戶貢獻上限預先設定策略，協助開發者在訓練前就選定最佳參數，無需多次試錯，進一步降低資源消耗與訓練成本。</p> <p>研究團隊在公開的StackOverflow與CC-News資料集上，以3.5億參數規模的Transformer模型進行測試。實驗結果顯示，在最佳化的用戶層級差分隱私方法，微調後模型效能優於未經微調的預訓練模型，而多數情境，ULS模式可取得較佳效能，僅於部分高隱私需求或運算資源有限的情況，ELS模式才具有競爭力。</p> </div></div></div>
2025/5/29 08:19作者李建興https://www.ithome.com.tw/news/169246
車輛中心展示自研的Level 3自動駕駛電巴技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>財團法人車輛研究測試中心（簡稱車輛中心或ARTC）本周展示最新的智慧駕駛技術成果，包括符合Level 3的自駕電動巴士，具備車道維持、閃避障礙物、駕駛者狀態監控等，未來相關的智駕技術將技轉予合作廠商。</p> <p>車輛中心在幾年前即投入自動駕駛技術研發，例如2019年在經濟部技術處支持下，開發SAE Level 4的WinBus自駕小巴，並在2020年上路測試，利用自駕技術的小型巴士，作為短距離接駁運輸用途。</p> <p>本周亮相的Level 3的自駕電動巴士，不同於WinBus為全新製造車輛，採用成運汽車的電動巴士作為平臺，搭配中輛中心自研的決策控制軟體及決策控制器，結合Nvidia的駕駛監控運算平臺晶片，搭配攝影機、雷達等感測器，車輛中心強調該輛自駕電動巴士具備感知融合、自動駕駛控制、駕駛接管判斷、風險應變決策等功能，符合聯合國UN R157 Level 3的自動駕駛標準。</p> <p>車測中心稱這輛自駕電巴是國內首輛Level 3 AI自駕電動巴士，由車輛中心與國內廠商，包括義隆電子、歐特明、為昇科、旭春、友通資訊、智易科技、奇美車電等業者合作開發。自駕電巴整合5項ADAS功能，車聯網軟體更新、L3最小風險操作、自駕安全接管、自駕行控中心及車輛資安防護。</p> <p>該自駕電動巴士目前在車測中心場內測試駕駛，並且是以市區行駛電動巴士為原型來設計，車輛中心展示的影片，一開始由司機員手動駕駛電動巴士，在手動駕駛之下，當車輛要左轉或右轉切換車道，自動偵測欲切換車道後方是否有來車，若偵測到旁邊車道有來車接近中，自動控制車輛回到原先車道，輔助人工駕駛。</p> <p>當司機啟動自駕模式，系統會自動控制車輛維持在車道中央，依循車道自動駕駛右彎，在自動駕駛模式下，司機向右打方向燈，系統控制車輛切換至右側車道，完成切換車道後撥回方向燈，車輛就會自動保持新車道中央行駛，再打左轉方向燈，系統控制車輛切至左側車道，回到原先的車道位置行駛。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%96-600(19).jpg" style="width: 600px; height: 295px;" /></p> <p>在Level 3自駕模式下，駕駛者的腳可離開油門及煞車踏板，手也不需握著方向盤，以減輕司機長時間駕駛的壓力。當車輛偵測到與前車的安全車距內有其他車輛切入，自動降速保持安全車距，當前方慢車切離車道，系統自動回復至設定的車速。</p> <p>如果在車道上發現有行人穿越馬路，車輛會自動輔助煞停，當偵測到前方行駛車道內有掉落物、障礙物，車輛也會自動控制偏向另一側，以避開障礙物，但似乎不會自動切換車道避障。</p> <p>在自駕模型之下，駕駛者雖然手可以離開方向盤，但是眼睛基本上需需維持直視前方的狀態，系統監控偵到駕駛者的眼睛閉上疑似睡著，自動連續發出「需接管」的語音提示，同時發出警鳴聲試圖喚醒駕駛，當駕駛仍沒有回應，則啟動最小風險操作，自動控制車輛減速停車。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%960.jpg" style="width: 600px; height: 303px;" /></p> <p>車測中心還展示AI智慧座艙，為一種輔助駕駛機制，監控偵測駕駛者的狀態，包括駕駛者的眼睛視線、頭部偏擺情形，當自駕系統判斷有無法判斷的路況，即交由人工手動駕駛，當偵測駕駛可能睡著或因身體不適無法駕駛，就會自動減速，將車輛停靠路邊，發警鳴聲喚醒駕駛，並且向行控中心通報。</p> </div></div></div>
2025/5/28 18:27作者蘇文彬https://www.ithome.com.tw/news/169244
【資安日報】5月28日，新興駭客針對歐美國家下手，為俄羅斯政府從事網路間諜活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>烏克蘭戰爭已經邁入第3年，過程中有不少駭客組織從事網路間諜活動，為俄羅斯政府收集相關情報，如今有一組新興的駭客組織，引起研究人員的高度關注。</p> <p>這個駭客組織被稱為Void Blizzard或Laundry Bear，值得留意的是，他們普遍透過寄生攻擊及現成工具，並未自行打造專屬的惡意軟體，使得相關攻擊變得難以識別。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169219"><strong style="font-size: 22px;">俄羅斯駭客Void Blizzard以假Entra登入網頁為誘餌，入侵逾20家非政府組織</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Fig2-phishing-attachment.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fig2-phishing-attachment.png" style="width: 300px; float: right;" /></a></p> <p>烏克蘭戰爭迄今仍尚未結束，有越來越多駭客組織從事網路間諜活動，協助俄羅斯政府從烏克蘭及北約國家組織（NATO）盟友收集軍事情報，並引起歐美國家關注。</p> <p>微軟威脅情資中心指出，他們與荷蘭情報暨安全總局（Netherlands General Intelligence and Security Service，AIVD）、荷蘭軍事情報暨安全局（Netherlands Defence Intelligence and Security Service，MIVD）、美國聯邦調查局（FBI）進行合作，調查被稱為Void Blizzard、Laundry Bear的新興駭客組織，並指出這些駭客近期針對歐美非政府組織（NGO）發動大規模攻擊。</p> <p>此駭客組織主要鎖定俄羅斯政府感到興趣的企業組織發動攻擊，涵蓋全球的政府機關、國防、交通運輸、媒體、非政府組織、醫療照護，大部分攻擊活動集中於歐洲及北美。這些駭客入侵受害組織的主要管道，通常是使用疑似從地下市集買到的外流帳密資料，一旦成功進入網路環境，就會大肆偷取電子郵件與內部檔案。研究人員提到，他們在今年4月看到更直接竊取密碼的手法，那就是藉由冒牌電子郵件網釣，引誘收信人上當並提供登入所需資料。</p> <p><a href="https://www.ithome.com.tw/news/169223"><strong style="font-size: 22px;">荷蘭警方去年遭駭，傳出是俄羅斯駭客Void Blizzard所為</strong></a></p> <p>微軟本週揭露新興俄羅斯駭客組織Void Blizzard（Laundry Bear），當中特別提及他們與荷蘭情報暨安全總局（AIVD）、荷蘭軍事情報暨安全局（MIVD）聯手調查，而這些軍情機構調查此事的動機，源於去年當地執法單位遭遇的資安事故。</p> <p>去年9月荷蘭警察局（Politie）證實，駭客入侵其中一名警察的帳號，從而取得有業務往來的警務人員的聯絡方式，後續透露可能是國家級駭客所為，當時我們就有注意到相關消息並進行追蹤，但因為Politie並未透露其他資訊，而無從得知進一步的情形。</p> <p>直到本週微軟公布Void Blizzard發起的網釣攻擊，並提及荷蘭當局也公布相關調查結果，指出上述Politie遭駭事故的兇手，就是這個俄羅斯駭客組織。5月27日AIVD指出，俄羅斯駭客組織Void Blizzard於去年9月針對Politie與當地各種組織從事網路攻擊，而且，這些事故也是駭客大規模攻擊的一部分。</p> <p><a href="https://www.ithome.com.tw/news/169228"><strong style="font-size: 22px;">駭客組織Everest、Gehenna聲稱竊得可口可樂內部資料</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/everest-ransomware-leaks-coca-cola-employee-data.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/everest-ransomware-leaks-coca-cola-employee-data.jpg" style="width: 300px; float: right;" /></a></p> <p>根據資安新聞網站HackRead的報導，兩個駭客組織聲稱竊得飲料大廠可口可樂（Coca-Cola）與裝瓶合作夥伴Coca-Cola Europacific Partners（CCEP）的內部資料，事隔數日，其中一組人馬已公布手上部分的檔案。但吊詭的是，相關消息曝光迄今已接近一週，可口可樂尚未出面做出回應，此事似乎也沒有受到太多關注，是否事故如駭客宣稱，有待後續釐清。</p> <p>這些事故最早是HackRead於22日揭露，可口可樂與CCEP疑似遭到兩組人馬的網路攻擊，其中，勒索軟體駭客Everest聲稱入侵可口可樂的系統，另一個名為Gehenna（GHNA）的駭客組織宣稱，他們從CCEP的客戶關係管理系統（CRM）平臺Salesforce竊得大量資料。</p> <p>事隔數日出現新的進展，27日HackRead發現Everest公布新的資料，這批檔案大小為502 MB，內容包含可口可樂中東地區的內部與員工記錄。這批資料的檔案數量，總共是1,104個，內含員工完整姓名、公司與住家地址、家庭與婚姻狀態、電話號碼、銀行帳戶資訊、薪資記錄、電子郵件信箱，以及簽證、護照、居留權文件複本。</p> <p><a href="https://www.ithome.com.tw/news/169222"><strong style="font-size: 22px;">知名運動品牌Adidas遭網路攻擊，客戶資料外洩</strong></a></p> <p>來自德國的全球知名運動品牌Adidas上周五（5月23日）揭露他們發生資安事故，指出未經授權的外來者藉由第三方的客戶服務供應商取得部分消費者資料，該公司立即採取行動以遏止駭客行為，並與資安專家合作展開全面調查。</p> <p>而對於駭客的手法，或者是受到影響的消費者人數，迄今Adidas並未公布。該公司僅說外洩資料並不包含密碼、信用卡或任何其他與支付相關的資訊，而主要是那些曾經聯繫Adidas客服的消費者聯繫資訊。</p> <p>根據外電報導，位於南韓及土耳其的Adidas客戶都有收到Adidas的資料外洩通知，指出他們的姓名、電話號碼、電子郵件位址、生日及性別等個資都已外洩。</p> <p><a href="https://www.ithome.com.tw/news/169165"><strong style="font-size: 22px;">惡意程式Dero自動感染公開Docker容器，並執行挖礦</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/dero-miner-infects1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/dero-miner-infects1.png" style="width: 300px; float: right;" /></a></p> <p>資安業者卡巴斯基公開新一波針對Docker API服務的自動化惡意程式攻擊，該攻擊以植入Dero加密貨幣挖礦程式為核心，專門鎖定存取權限管理不嚴的Docker容器環境，進行自動化散播及占用受害主機運算資源，最終形成具備自我擴散能力的挖礦僵屍網路。</p> <p>本次自動化攻擊流程主要仰賴兩支以Go語言撰寫，且經UPX壓縮的惡意程式，分別是名為nginx元件，主要功能是負責散播及持久化，以及名為cloud的Dero加密貨幣挖礦程式。值得留意的是，這裡的nginx並非知名的網頁伺服器元件，駭客的目的就是假冒知名開源專案的名稱，以降低被偵測風險。</p> <p>該挖礦攻擊的一大特點，在於攻擊者採用加密方式儲存錢包地址及礦池節點資訊，進一步提升隱蔽性與調查難度。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/dragonforce-ransomware-abuses-simplehelp-in-msp-supply-chain-attack/">勒索軟體DragonForce使用遠端管理工具SimpleHelp漏洞，攻擊MSP業者</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/mathworks-blames-ransomware-attack-for-ongoing-outages/">開發MATLAB的軟體開發商服務中斷，傳出遭遇勒索軟體攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/silverrat-source-code-leaked-online-you-need-to-know/">木馬程式SilverRAT驚傳原始碼外流</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/05/over-70-malicious-npm-and-vs-code.html">60款NPM套件及VS Code外掛竊取開發人員帳密、加密貨幣錢包</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169191"><strong style="font-size: 22px;">GitHub MCP曝嚴重漏洞，惡意Issue可誘使AI代理外洩私有儲存庫資料</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/mcp-github-setup.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/mcp-github-setup.png" style="width: 300px; float: right;" /></a></p> <p>瑞士新創安全公司Invariant Labs揭露影響廣泛的資安漏洞，涉及目前社群積極推動並與GitHub平臺整合的MCP（Model Context Protocol）伺服器。攻擊者僅需在公開儲存庫提出特製的問題（Issue），誘使人工智慧代理如Claude Desktop等現有支援MCP技術的人工智慧開發工具，在特定情境下，將用戶私有儲存庫中的敏感資料外洩至公開儲存庫。</p> <p>該漏洞的關鍵在於人工智慧代理在用戶授權後，會依照開發者對GitHub MCP伺服器的查詢，自動執行讀取指定儲存庫Issue、建立拉取請求等操作，而攻擊者只需在目標用戶的公開儲存庫新增具惡意提示詞注入的Issue，當用戶請求人工智慧代理檢視該儲存庫的公開Issue時，代理即可能受提示詞操控，在自動授權設定下擷取用戶帳號的私有儲存庫內容，最終將敏感資訊透過拉取請求等方式洩漏於公開儲存庫。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/flaws-tenable-network/">Tenable修補網路監控軟體權限提升漏洞，並更新採用的開源程式庫</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169199"><strong>【5月27日】駭客於臺灣等70個國家挾持逾2千臺伺服器架設殭屍網路</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169160"><strong>【5月26日】歐美大國攜手執法，3天內破壞7個Botnet</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169135"><strong>【5月23日】新版Windows伺服器作業系統dMSA服務帳號的遷移流程可被濫用而惹議</strong></a></p> </div></div></div>
2025/5/28 16:30作者周峻佑https://www.ithome.com.tw/news/169238
硬體規格精簡、不支援路由，Ruckus新型L2交換器上市
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/ruckus_icx_8000_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對最接近連網設備的存取型交換器（Access Switch）市場需求，隸屬於CommScope公司的Ruckus Networks目前的相關主力產品，首先是<a href="https://www.commscope.com/press-releases/2016/-brocade-introduces-the-brocade-ruckus-icx-7150-switch-to-bring-enhanced-functionality-and-performance-to-budget-conscious-organizations/">2016年底登場</a>的ICX 7150系列，當時Ruckus Wireless剛併入Brocade。</p> <p>之後經歷<a href="https://www.commscope.com/press-releases/2017/arris-to-acquire-ruckus-wireless-and-icx-switch-business-for-$800-million-in-cash/">2017年2月</a>Arris買下Ruckus Wireless與Brocade ICX交換器業務，2018年底CommScope併購Arris，<a href="https://www.commscope.com/press-releases/2019/commscope-set-to-shape-communications-connectivity-and-networks-of-the-future-with-completion-of-arris-acquisition/">2019年上半</a>涵蓋有線網路交換器與無線網路解決方案的Ruckus Networks產品線成軍，新一代存取型交換器ICX 8200系列<a href="https://www.commscope.com/press-releases/2023/ruckus-networks-introduces-new-icx-8200-switch-series-for-optimized-wireless-service/">於2023年1月發表</a>。</p> <p><a href="https://s4.itho.me/sites/default/files/images/ICX 2023 Portfolio.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ICX%202023%20Portfolio.jpg" style="width: 600px;" /></a></p> <p>到了今年4月底，他們推出ICX 8100系列，強調這批產品是該公司最具成本效益的企業級L2網管型交換器。</p> <p><a href="https://s4.itho.me/sites/default/files/images/ICX8100-E.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ICX8100-E.jpg" style="width: 600px;" /></a></p> <p>就市場定位而言，ICX 8100系列鎖定對價格敏感的客戶、中小企業、住宅型網路建置需求，涵蓋醫院、零售業、服務供應商，以及公寓大廈這類多戶住宅單元（MDU）等應用。</p> <p><a href="https://s4.itho.me/sites/default/files/images/ICX8100-D.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ICX8100-D.jpg" style="width: 600px;" /></a></p> <p>回顧兩年前問世的ICX 8200系列，Ruckus提供1GbE、2.5GbE、5GbE、10GbE等多種網路埠，最高可支援25GbE上行埠（uplink），若是支援乙太網路供電的機型，單臺最高可供應1,480瓦的電力。而且，此系列當時提供的13款機型，全都支援L3路由協定、VXLAN網路分段，並且具備多臺堆疊擴充能力（Stacking），單一堆疊之內，最大可串接12臺交換器。</p> <p>相較之下，Ruckus最新推出的ICX 8100系列，不提供L3功能與交換器堆疊擴充機制，記憶體容量僅配置2 GB（ICX 8200系列為4GB），內含的遠端技術支援服務期間為90天（ICX 8200系列為3年）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/ICX8100-C.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ICX8100-C.jpg" style="width: 600px;" /></a></p> <p>ICX 8100系列首波上市的5款機型，提供48個、24個、8個1GbE網路埠，以及1GbE上行埠（SFP），若是支援乙太網路供電的機型，單臺交換器最高可供應740瓦的電力。此系列產品後續還有三波推出的機型，依照Ruckus目前的規畫，分別是7月登場的ICX 8100-X系列，將提供5款搭配10 GbE上行埠（SFP+）的交換器機型，8月開始供應兩款48埠機型（ICX 8100-48PF、ICX 8100-48PF-X），12月提供兩款16埠機型（ICX 8100-C16PF、ICX 8100-C16PF-X）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/ICX8100-B.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ICX8100-B.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/ICX 8100-5.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ICX%208100-5.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/ICX 8100-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ICX%208100-1.jpg" style="width: 298px;" /></a></p> <p>關於ICX 8100-X系列機型的命名，當中帶有P的款式，代表該款交換器支援PoE，而帶有PF的款式，顯然具有較高的乙太網路供電能力，例如，ICX 8100-48P預留給所有網路埠輸出的電力總和（PoE power budget）是370瓦，ICX 8100-48PF則是740瓦，因此，平均每個網路埠皆能供應15.4瓦電力，而這也是802.3af協定的電源裝置最大輸電功率。</p> <p><a href="https://s4.itho.me/sites/default/files/images/ICX8100-A.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ICX8100-A.jpg" style="width: 600px;" /></a></p> <p>就PoE的規格而言，既有的ICX 8200系列配備的規格更高，部分機型不僅支援單埠15.4瓦（PoE）與30瓦（PoE+），也支援60瓦（PoE++）與90瓦（PoE+++），而在整臺交換器留給所有網路埠輸出的電力總和，最大可達1,480瓦（ICX 8200-48ZP2，需搭配兩臺電源供應器）。</p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><span style="color:#0000FF;"><strong>Ruckus ICX 8100系列</strong></span><br /> ●原廠：CommScope<br /> ●建議售價：廠商未提供<br /> ●機型與機箱尺寸：7款，採用1U尺寸機箱有5款：ICX 8100-48、ICX 8100-48P PoE、ICX 8100-48PF PoE、ICX 8100-24、ICX 8100-24P PoE，採用桌上型機箱有2款：ICX 8100-C08PF PoE、ICX 8100-C16PF PoE<br /> ●固定網路埠：48個GbE埠+4個GbE埠（SFP）或10GbE埠（SFP+）、24個GbE埠+4個GbE埠（SFP）或10GbE埠（SFP+）、16個1GbE埠+2個GbE埠（SFP）或10GbE埠（SFP+）、8個1GbE埠+2個GbE埠（SFP）或10GbE埠（SFP+）<br /> ●PoE機型與規格：ICX 8100-48P PoE（370瓦）、ICX 8100-48PF PoE（740瓦）、ICX 8100-24P PoE（370瓦）<br /> ICX 8100-C08PF PoE（124瓦）、ICX 8100-C16PF PoE（124瓦）<br /> ●網路交換容量：48埠機型176 Gbps，24埠機型128 Gbps，16埠機型72 Gbps，8埠機型56 Gbps<br /> ●MAC位址數量：3.2萬個<br /> ●封包緩衝記憶體：4 MB<br /> ●處理器搭配記憶體容量：2 GB</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/5/28 16:22作者李宗翰https://www.ithome.com.tw/review/169177
持續擴大身分安全防護產品陣容，Computex 2025臺廠展出多種硬體解決方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年臺北國際電腦展（Computex 2025）舉行，展現臺灣資通訊（ICT）產業在全球科技供應鏈的影響力之餘，現場亦有不少資安相關展示受到關注，當中有部分來自臺灣資安大會展覽上大家所熟悉的廠商，有部分則沒有那麼熟悉，但也展現廣泛資安技術。</p> <p>以上個月在臺灣資安大會展出，5月又現身Computex展覽的業者而言，<a href="https://www.ithome.com.tw/news/169194">資安大廠趨勢科技就是一例，他們特別展示</a>用Digital Twin來搭建企業紅藍隊攻防演練的解決方案，目前還在開發階段。</p> <p>還有近年陸續在多場活動展出零信任相關資安解決方案的眾至資訊，在這次Computex也不缺席，主要展示其防火牆與交換器協同防禦的解決方案，以及OT安全防護設備；主打內網流量管理與DDoS安全防護的UGuard Networks崴遠科技，他們也在Computex也展示一項今年新推的Defense Trust威脅情資解決方案，其他還有像是TeamT5杜浦數位安全、中華資安國際等業者，也同樣現身於Computex活動現場。</p> <p>特別的是，在處理器領域中，採開放指令集架構的RISC-V已成為x86、ARM之外一股不可忽視的關鍵力量，身為主要CPU IP供應商的晶心科技，也在Computex展覽現場說明RISC-V的資安技術正持續發展。現階段最新焦點是在I/O層面的記憶體保護，也就是RISC-V IOPMP（Input/Output Physical Memory Protection），目前這方面，RISC-V工作小組正制定架構規範中，現在進展是到內部審核階段，預計今年或明年初能正式發布。此外，該公司近兩年也都現身臺灣資安大會，闡釋RISC-V可信執行環境（TEE）的構建。</p> <p><a href="https://s4.itho.me/sites/default/files/images/PXL_20250522_040340693.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20250522_040340693.jpg" style="width: 600px;" /></a></p> <h2><strong>多元資安應用於Computex登場，涵蓋防詐、安全指紋辨識與實體安全</strong></h2> <p>還有不同類型廠商也現身Computex展覽，像是工業電腦領域，立端科技等工業電腦廠也都照往年慣例持續參展，多年來已與國際多家資安業者合作打造實體設備，同時他們也很看重資安商機，持續參與美國RSAC大會展覽。</p> <p>比較特別的是，在防詐應用方面，主打錄音系統及客服中心解決方案的德鴻科技，該公司在現場展示一項智能客服語音助手的防詐應用，不僅可即時將語音轉文字，同時可以AI進行摘要，並在發現異常時跳出防詐通知給客服人員，另還提供「分行臨櫃」也能適用的方案，可於櫃臺部署外接USB式麥克風來應用。</p> <p><a href="https://s4.itho.me/sites/default/files/images/PXL_20250522_035433109.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20250522_035433109.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/PXL_20250522_035312605.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20250522_035312605.jpg" style="width: 600px;" /></a></p> <p>在指紋辨識模組方面，我們看到了兩家廠商的最新發展。首先是神盾（Egis Technology），該公司作為積極推動FIDO標準與無密碼（Passwordless）認證的臺灣業界要角，他們也在今年Computex大會上，展示一項最新研發中的技術，也就是超音波指紋辨識技術的概念設計模組（如下圖），此技術最大特色為可穿透玻璃、金屬等材質，因此不像傳統光學式、電容式的指紋辨識模組，需在設備外觀上進行開孔設計，目前市場上已有高通積極發展，如今神盾也希望開拓這方面技術。</p> <p><a href="https://s4.itho.me/sites/default/files/images/PXL_20250522_021011192.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20250522_021011192.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/PXL_20250522_020948622.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20250522_020948622.jpg" style="width: 600px;" /></a></p> <p>另一家指紋辨識模組廠商，是照往年慣例都會參展Computex的義隆電（ELAN Microelectronics），像是我們在10年前就看到他們展出具備指紋辨識的智慧金融卡，不過當時挑戰是這種卡片內需內建電池，如今他們的產品已發展至第三代，能夠透過NFC感應讀取微弱電流，大大降低了卡片需配置電池的麻煩。在今年Computex中，他們也在現場展示了具備指紋辨識的證件，包括聯合國證件、日本學校學生證，呈現其技術應用場景不限於金融卡。</p> <p>附帶一提的是，義隆電在產品漏洞因應上也很積極，去年該公司新加入MITRE CNA計畫，現在已可針對自家產品指派CVE漏洞編號。</p> <p><a href="https://s4.itho.me/sites/default/files/images/PXL_20250522_015737452.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20250522_015737452.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/PXL_20250522_015722564.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20250522_015722564.jpg" style="width: 600px;" /></a></p> <p>在實體安全方面，在<a href="http://www.ithome.com.tw/news/157528">兩年前Computex推出Cupola360多影像專用處理晶片，發展360度實境巡檢系統的信驊科技（ASPEED Technology）</a>，聚焦高科技產線參觀與巡檢，如今朝向多元應用，不僅能串連廠端生產數據、結合IoT遠端控制於現場畫面，也強調AI影像監控的結合，聚焦實體安全監控與工安警示。</p> <p><a href="https://s4.itho.me/sites/default/files/images/PXL_20250522_023446735.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20250522_023446735.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/PXL_20250522_023459381(1).jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20250522_023459381(1).jpg" style="width: 600px;" /></a></p> </div></div></div>
2025/5/28 16:43作者羅正漢https://www.ithome.com.tw/news/169198
愛料理創辦人：不會寫程式也能靠GenAI打造科技產品賺錢，但成功關鍵仍是商業能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「資深工程師可能覺得，你用Vibe Coding做出來的東西很難維護、很難用。但對我來說，做出能賺錢的產品最重要！」知名媒體Inside和愛料理共同創辦人蕭上農近期在Generative AI年會，以及政治大學的一場演講中，如此強調他對全民皆可用GenAI寫程式時代的看法。</p> <p>毫無技術背景的蕭上農，儘管身處科技業幾十年，又共同創辦了2個網路媒體，卻一直沒有習得程式開發能力，需要與專業技術人才合作，才得以推出一個個科技商品。直到最近，他才受益於GenAI，得以從0到1，自行將創意變成實際產品。不過，他認為只是出於興趣做出產品不夠，還要做出能獲利的商品，才更加發揮GenAI價值。</p> <p><strong>從不會寫程式到獨立推出科技商品，GenAI是最大助攻手</strong></p> <p>蕭上農說，自己只是一個愛玩電腦的文組生。畢業於合作經濟學系的他，年少時最接近寫程式的經驗，只有用FrontPage、DreamWeaver等軟體，架設簡單網頁。</p> <p>出社會後，他先後在遊戲公司、網路公司等科技業公司任職PM。期間，他多次嘗試自學寫程式，甚至購入一本厚重的Ruby On Rails教學書，卻因為IT背景知識不足，讀完一章就放棄。十多年後的2010年代，與Inside及愛料理共同創辦人李致緯等人，歷經開設App製作公司、創辦兩家網路媒體期間後，他還是沒有學會寫程式。「既然有更強的人負責程式開發，我就挑剩下的做。」他笑道。</p> <p>時間再次快轉到生成式AI爆發年代。2022年，持續關注科技發展的蕭上農，已經在積極實驗Midjourney，並規定自己持續500天，每天至少要產出一張滿意的圖片，作為自我訓練。</p> <p>同時，他也藉由實驗，來觀察各種生成式AI工具的成熟度發展。例如，每天在社群媒體發表用ChatGPT翻譯、毫無人工潤飾的文章。「當下面留言已經沒有人抱怨文章翻譯品質，我就知道這個工具已經足夠成熟。」</p> <p>2024年，他開始嘗試用生成式AI工具寫程式。雖然製作出幾個網站，不過他認為，完全靠AI做出完整產品仍有一定難度。一路觀望到2025年初，蕭上農發現，毫無IT背景的朋友紛紛用生成式AI打造出行動App。他便決定，要用生成式AI獨立開發出一項功能完整的行動App。不只如此，這個App第一天上線就要串接好金流系統來支援訂閱制收費，還得串接Google廣告等，各式各樣的營利功能。</p> <p>蕭上農有一個資料夾，專門儲存過往有構思但未能執行的產品規畫。從中，他選擇出名片管理App，作為第一個用GenAI實現的產品點子。這個App核心功能是掃描名片，並紀錄名片上的姓名、公司、職稱等資訊到各自欄位中。</p> <p>這個選擇，是經過蕭上農多方考量才做出。名片管理功能看似簡單，但對許多人，尤其是高階主管來說，仍是重要需求。他還估算，市面上最受好評的名片App，營收超過1億，意味著名片App市場規模足夠。「我是個人開發者，就算只賺100萬，也很足夠。」App的作業系統，是出於商業考量而選定。他認為iOS內建投放廣告機制方便又精準，有望觸及到目標族群。</p> <p>選定主題後，蕭上農花上3天，與AI反覆討論商業模式、計算成本，得出的結論是，他的定價下，必須一個人掃描超過4萬張名片，才會超過行銷、維護等成本。</p> <p>不只商業模式靠AI，蕭上農說，這個App從程式設計、文案、圖片生成、隱私權條款、使用者條款，都是用AI生成。連產品名稱、字體字型，都是和AI討論的結果。上架App Store時，與蘋果團隊來回溝通協調，他也透過AI翻譯、分析、構思回覆。「這些事情通常要有PM、設計師、法務參與，現在我一個人就能完成。」他強調。</p> <p>儘管用AI生成程式碼非常快速，不過蕭上農在開發期間，還是歷經過慘痛教訓。清明連假4天，蕭上農開始密集進行開發。不過，直到第4天，他才驚覺，從第1天起，他的程式碼就已經出錯，但憑著他的IT能力，已經無法從手頭的專案檔除錯，必須全部砍掉重練。</p> <p>好在，後續1天半，他能憑著印象，快速補回3天份進度。不過他也深刻體會到，非技術人員用AI開發產品時，無法理解AI改動處、每次改動造成的影響，以及出錯時如何修復。用AI生成程式碼，版本控制和備份更要做得徹底。</p> <p>到了5/5，這個App正式上架，從正式啟動開發至此，只花了一個多月。</p> <p>正式上架時，此App功能只有簡單的掃描和歸檔功能。「產品上線時，功能可以很少，有人用才是最重要。等有人開始要求新功能，再慢慢加。」蕭上農說，上架3周來，此App帶來了3萬元收入。他強調，雖然目前收入不多，但能用市場驗證MVP（最小可行產品）的核心功能有人用、有營利能力，對他來說更重要。目前，他計畫每周更新一個功能，預計到2個月內能完成所有功能更新。並且，從營收一定比例中挪出廣告投放費用，來獲取新使用者。</p> <p>儘管自己開發的名片App才剛推出，無從評判成敗，不過蕭上農說，沒有寫程式能力的情況下，可以從頭到尾完成商品設計、開發、上架、營利，已經證明著這個時代下，有更多人可以利用AI快速將自己的創意打造成產品，給市場驗證。</p> <p><strong>用AI開發科技商品，非技術人員應具備哪些能力</strong></p> <p>從連續共同創辦兩間熱門網路媒體，到自己嘗試快速用AI打造商品開始賺零用錢的經驗，蕭上農認為，非技術人員要用AI打造科技商品，商業面能力甚至比技術力重要。</p> <p>「理解產業，並清楚自己的想法是否能命中使用者需求，從而賺錢，最重要！」蕭上農認為，開發產品的最終目標是，有人用、有收入。用AI開發的做法，則是達成目標的手段。如今人人都可以用AI開發產品，選擇好賽道，努力才容易有收穫。</p> <p>在選定的領域打造出商品後，下一個階段的關鍵是行銷能力。蕭上農指出，更多人都能輕易開發出商品，意味著技術門檻更難形成，競爭產品間不易出現決定性的品質差距。這個環境下，如何讓更多人看見自己產品，以及如何經營顧客關係，讓他們持續使用自己產品，成為決勝關鍵。</p> <p>至於毫無IT背景知識，想學習用AI開發產品的人，如何入門？蕭上農坦言，從零開始學習，過程中仍會面臨種種技術問題，甚至連需要學習哪些知識都不清楚。他建議，與其摸黑學習，不如直接尋找網路上專門教學相關知識的課程，或拿著開發遭遇的瓶頸詢問資深工程師，會少走許多彎路。</p> <p>不過，他也認為，目前AI工具門檻已經足夠低，足以協助非IT背景的人突破許多技術門檻，讓練習寫程式有如練習寫作一樣簡單。他更強調，與練習寫作相同，需要大量嘗試、持續學習，才能從單純生成簡單程式碼，進步到打造出具商業價值的完整商品。</p> <p></p> </div></div></div>
2025/5/28 17:07作者郭又華https://www.ithome.com.tw/news/169241
荷蘭警方去年遭駭，傳出是俄羅斯駭客所為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本週揭露<a href="https://www.ithome.com.tw/news/169219">新興俄羅斯駭客組織Void Blizzard（Laundry Bear）</a>，當中特別提及他們與荷蘭情報暨安全總局（Netherlands General Intelligence and Security Service，AIVD）、荷蘭軍事情報暨安全局（Netherlands Defence Intelligence and Security Service，MIVD）聯手調查，而這些軍情機構調查此事的動機，源於去年當地執法單位遭遇的資安事故。</p> <p>去年9月荷蘭警察局（Politie）證實，<a href="https://www.politie.nl/nieuws/2024/september/27/data.html">駭客入侵其中一名警察的帳號</a>，從而取得有業務往來的警務人員的聯絡方式，<a href="https://www.politie.nl/nieuws/2024/oktober/2/update-over-datalek-politie.html">後續透露可能是國家級駭客所為</a>，當時我們就有注意到相關消息並進行追蹤，但因為Politie並未透露其他資訊，而無從得知進一步的情形。</p> <p>直到本週微軟公布Void Blizzard發起的網釣攻擊，並提及荷蘭當局也公布<a href="https://www.aivd.nl/actueel/nieuws/2025/05/27/onbekende-russische-groep-achter-hacks-nederlandse-doelen">相關調查結果</a>，指出上述Politie遭駭事故的兇手，就是這個俄羅斯駭客組織。5月27日AIVD指出，根據他們與MIVD聯手調查的結果，俄羅斯駭客組織Void Blizzard於去年9月針對Politie與當地各種組織從事網路攻擊，並指出這些事故其實是駭客大規模攻擊的其中一部分。</p> <p>AIVD指出，這些駭客至少從2024年開始活動，針對西方政府與其他機構的網路環境下手，其中又對於武裝部隊、政府機關、國防供應商、公共服務組織、IT服務供應商特別感興趣。</p> <p>他們提及這些駭客使用的手法相當難以識別，而能長時間躲過各式資安系統的偵測。MIVD提及，這些駭客疑似尋求西方政府購買、生產軍事裝備的資訊，以及向烏克蘭提供武器的情報，而且，這些駭客對於軍事物資的生產及交付，有一定程度的了解。</p> <p>而對於AIVD和MIVD兩個情報單位調查此組人馬的動機，就是該國警方發生的資安事故。當時Void Blizzard成功存取其中一名員警的帳號，隨後透過全域信箱名單（Global Address List，GAL）存取員警的工作聯絡資訊，他們研判駭客是透過Pass-the-Cookie的攻擊手法，假冒該名員警的身分而得逞。究竟駭客如何得到Cookie檔案？可能是另一組人馬使用竊資軟體偷得，然後透過地下市集賣給Void Blizzard。</p> <p>他們也提及駭客的攻擊活動的節奏相當快，因此認為駭客採用某種程度的自動化，此外，這些駭客並未自行打造惡意程式，而是採取寄生攻擊（LOTL）成功掩人耳目。</p> <p>比較特別的是，這些駭客也採用了密碼潑灑（Password Spraying）攻擊，但做法與過往的出現的手段有所不同：這些駭客通常會使用單一密碼，對不同的帳號嘗試存取。有別於對單一帳號短時間嘗試不同密碼，這麼做往往不太會觸發資安系統的警報。附帶一提，Void Blizzard試圖將行為限縮在微軟帳號能夠存取的範圍，並未進一步取得底層網路或是系統的存取權限，而這樣的策略也較能長時間避開管理員的監視。</p> </div></div></div>
2025/5/28 14:02作者周峻佑https://www.ithome.com.tw/news/169223
【臺灣資安大會直擊】詐騙、網攻、雲端服務出包、AI偽造帶來信任危機!?企業應建立數位信任強化與外界的互動關係
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在數位時代，企業或個人使用第三方服務相當普遍，但是將重要系統或資料交給第三方的雲端服務或IDC機房維運就真的能夠高枕無憂，不需擔心資料外洩或誤刪嗎？當雲端服務發生全球大當機，企業營運或服務能夠置身事外嗎？「你覺得使用規模很大的服務商就沒問題嗎？事實上，你會發現他們一旦出現問題就會更嚴重」，安永諮詢執行副總經理曾韵在今年臺灣資安大會上說。</p> <p><span style="color:#B22222;"><strong>機房大火、雲端服務出包、AI偽造衝擊企業與外界各方的信任關係</strong></span></p> <p>舉例來說，幾年前一家歐洲最大規模雲端服務商，因為位於法國一處機房發生大火，一連串反應下，導致數百萬代管網站因此停擺，當時造成不少銀行、線上遊戲、電商、新聞網站都大受影響。</p> <p>另一案例是個人使用的雲端服務，知名雲端服務大廠的網路相簿導入AI辨識，分類使用者上傳的照片，但是曾有使用者發現特定膚色的人種被錯誤辨識為動物，造成用戶的不滿，讓業者好不容易建立的信任毀於一旦，商譽因此受損。另外，企業使用AI服務，必需確保使用服務不會導致資料外洩風險。</p> <p>甚至在AI變臉或各種詐騙手法層出不窮下，偽造假消息、虛構影片欺騙民眾或企業，使他們受騙上當，蒙受金錢損失也時有所聞。</p> <p>上述種種，不論是IT基礎建設因業者錯誤操作或是發生意外災害，或是AI應用如同黑盒子，難以解釋運作方式，甚至是資安攻擊、詐騙都會衝擊數位時代下的數位信任（Digital Trust），危及企業與外界各方利害關係人之間的關係，那麼什麼是數位信任？</p> <p>曾韵以WEF提出的數位信任定義來看，個人期望數位技術和服務，以及提供這些技術和服務的組織，能保護所有利害關係人的利益，維護社會的期望和價值觀；ISACA則是將數位信任定義為，對數位生態系統內提供者和消費者之間關係、互動及交易完整性的信心，包括對人員、組織、流程、資訊及技術的創建和維護值得信賴的數位世界的能力。</p> <p>她表示，數位信任涵蓋的面相相當廣泛，資安、詐騙或是可信任AI、負責任的AI，以WEF提出的數位信任框架，建構數位信任的三個目標，其中之一是「安全可靠」（Security and reliability），即組織使用的技術及儲存的資料受到良好的保護，避免受到內外部攻擊、操作或中斷；另一項目標是建立「問責及監督」（Accountability and oversight），將信任責任分配給利害關係人、團隊或職能部門，並制定解決責任無法履行的相關規定；另一目標是包容、道德和負責任使用（Inclusive, ethical and responsibile use），確保可被整個社會廣泛存取及使用，並且負有道德責任感。</p> <p>WEF也將數位信任涵蓋8大面向或維度（Dimension），包括隱私保護、網路安全（Cybersecurity）、人或社會的安全（Safety）、互通性、透明性、可糾正性、可審計性、公平性（下圖，來源：曾韵）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%961-600(3).jpg" style="width: 600px; height: 305px;" /></p> <p><span style="color:#B22222;"><strong>如何建立AI的數位信任</strong></span></p> <p>以目前熱門的AI應用為例，透明性就是負責任AI，必需與利害關係人溝通，使其知道某項行動背後的原因，可糾正性是必需假設出現錯誤之後，容許糾正錯誤、補救造成的傷害，可審計性則是可供驗證或稽核，至於公平性部分，例如外界關心的A歧視造成的公平性問題。</p> <p>AI應用需要被妥善的管理，例如目前外界關心的Trusted AI，但是，過度的管理也可能扼殺創新，兩者之間需要尋找平衡點。</p> <p>「重點在於你拿AI做什麼，金融業自治規範相當強調風險等級，企業需要掌握內部有多少AI應用，對於風險高的應用才是需要注意的，其他的應用則是基本管理即可」，曾韵說。</p> <p>她以金融業為例，金融業將直接與客戶互動，甚至影響客戶權益者視為高風險應用，儘管金融業因為受到高度監管，業者必需建立自律規範，其他產業的AI應用還沒有迫切的需求，但是政府正在制定AI基本法，未來其他產業也勢必需要加強AI治理，輕忽AI治理，可能造成企業財產或商譽的損失，例如人資依賴AI篩選求職履歷，因為AI偏見可能造成性別歧視。</p> <p>Trusted AI不只是模型本身，而應該從生命周期角度，從一開始使用訓練資料來源，使用哪些參數、權重設計、過程如何作好保護、還有產出的穩定性，都需要對應的控管，針對評估風險的衝擊，建立風險分級管理框架。曾韵認為，在AI治理中資料治理相當重要，因為資料治理會涉及隱私保護及資料共享，也是目前研擬中的我國AI基本法7大原則之一；另外，她也強調不要過度樂觀認為應用服務不會出錯，任何應用服務都可能出錯，為降低錯誤帶來的風險，可透過第三方風險管理及措施強化數位信任。</p> <p>對於建構數位信任生態系，曾韵建議企業可以參考ISACA提出的數位信任生態框架 2024（下圖），該框架包含5大要素，關係媒介（Relationship Mediums）、關係（Relationships）、道德商譽及隱私（Ethics, Reputation and Privacy）、利害關係人（Stakeholders）、行動（Activities）。企業根據框架盤點不同的利害關係人，以及企業與他們之間的關係，透過哪些關係媒介互動，與不同關係人的互動行為，例如資料蒐集、資料保護、數位交易、數位互動、數位通訊、數位身分識別等等，這些關係人所在乎或關心的議題，如商品品質、品牌商譽、資料隱私保護、可靠性等等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%964-600(1).jpg" style="width: 600px; height: 336px;" /></p> <p>對於企業應該如何推動數位信任，可參考WEF建立數位信任的方法論（下圖），首先瞭解企業的商業環境，其次是瞭解數位環境，接下來則是制定數位信任策略，再規畫與實施數位信任瞭解，最後持續的監控執行及改善。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%96-600(18).jpg" style="width: 600px; height: 294px;" /></p> <p>曾韵企業推動數位信任有幾個需要留意的重點，例如企業推動數位信任的目的是和不同的利害關係人建立信任關係，因此需要知道關係人關心的是什麼，考慮不同的關係媒介，設法和他們建立信任，持續監控及改善與他們之間的信任。</p> <p>為建立國內的數位信任生態系統，目前國內的數位信任協會正在研擬數位信任產業地圖，目前已公告數位信任產業地圖草案，身為協會理事一員的曾韵指出，第一階段已在3月底蒐集外界的意見，未來會再開放各界登錄，協會計畫在今年公告數位信任產業地圖。</p> <p> </p> <div> </div> </div></div></div>
2025/5/28 14:42作者蘇文彬https://www.ithome.com.tw/news/169224
駭客組織Everest、Gehenna聲稱竊得可口可樂內部資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據資安新聞網站HackRead的報導，<a href="https://hackread.com/coca-cola-bottling-partner-ransomware-data-breach/">兩個駭客組織聲稱竊得飲料大廠可口可樂（Coca-Cola）與裝瓶合作夥伴Coca-Cola Europacific Partners（CCEP）的內部資料</a>，事隔數日，其中一組人馬<a href="https://hackread.com/everest-ransomware-leaks-coca-cola-employee-data/">已公布手上部分的檔案</a>。但吊詭的是，相關消息曝光迄今已接近一週，可口可樂尚未出面做出回應，此事似乎也沒有受到太多關注，是否事故如駭客宣稱，有待後續釐清。</p> <p>這些事故最早是HackRead於22日揭露，可口可樂與CCEP疑似遭到兩組人馬的網路攻擊，其中，勒索軟體駭客Everest聲稱入侵可口可樂的系統，另一個名為Gehenna（GHNA）的駭客組織宣稱，他們從CCEP的客戶關係管理系統（CRM）平臺Salesforce竊得大量資料。</p> <p>勒索軟體駭客Everest將可口可樂列於暗網網站，並公布螢幕截圖，根據螢幕截圖內容，駭客可能存取了內部檔案及959名員工個資，其中包含簽證與護照的掃描檔案、薪資資料，以及其他人事相關的記錄。Hackread進一步檢視駭客供買家檢驗的部分內容，研判很有可能波及可口可樂中東地區的業務，其中數個檔案與位於杜拜機場自由區（Dubai Airport Free Zone，DAFZ）的杜拜辦公室有關。</p> <p>另一方面，Gehenna宣稱於5月初入侵CCEP的Salesforce主控臺，從此系統竊得逾2,300萬筆記錄，其中包含750萬筆Salesforce帳號記錄（6 GB）、950萬筆客戶服務案件資料（52 GB）、600萬筆聯絡資訊（5 GB），以及逾40萬筆的產品記錄（300 MB）。根據駭客供買家檢驗的資料，來源似乎是Coca-Cola Enterprises Norway。</p> <p>事隔數日出現新的進展，27日HackRead發現<a href="https://hackread.com/everest-ransomware-leaks-coca-cola-employee-data/">Everest公布新的資料</a>，這批檔案大小為502 MB，內容包含可口可樂中東地區的內部與員工記錄。這批資料的檔案數量，總共是1,104個，內含員工完整姓名、公司與住家地址、家庭與婚姻狀態、電話號碼、銀行帳戶資訊、薪資記錄、電子郵件信箱，以及簽證、護照、居留權文件複本。</p> <p>但除了員工個資，其中一個曝光的Excel檔案引起了HackRead的注意。此檔案標題為SuperAdmin_User_Account_Cocacola，詳細記錄可口可樂內部的管理員帳號結構，以及角色分配。雖然此檔案並未包含管理員帳密，但駭客能藉此得知那些帳號具備系統管理員、人資角色，而可能擁有特殊權限。</p> <p>另外還有兩個檔案也能提供駭客組織架構相關的情報，它們分別名為Emp Hierarchy Upload、HRBP Upload。不過，這些資料的真實性，有待可口可樂出面說明。</p> </div></div></div>
2025/5/28 15:13作者周峻佑https://www.ithome.com.tw/news/169228
Zscaler將買下MDR業者Red Canary
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.zscaler.com/press/zscaler-accelerate-innovation-ai-powered-security-operations-acquisition-red-canary" target="_blank">雲端資安業者Zscaler周二（5/27）宣布</a>，已與專精於託管式偵測與回應服務（Managed Detection and Response，MDR）的Red Canary簽署正式併購協議，雙方並未披露財務金額，僅說預計於今年8月完成交易。</p> <p>Red Canary是在2013年於美國創立，致力於提供更有效的威脅偵測及回應服務，特別是MDR；亦與微軟、CrowdStrike及SentinelOne等業者合作，提供整合性的安全解決方案；另也投入生成式AI技術的應用，開發各種AI代理人以自動化安全營運流程，同時提高威脅偵測的速度及準確性，現有超過400名員工，服務全球逾4,000個安全團隊。</p> <p>雖然Red Canary曾經展開多次融資，但皆未對外揭露公司市值。</p> <p>至於Zscaler則是專注於提供雲端零信任解決方案的資安業者，其核心產品Zero Trust Exchange提供網路安全、資料保護與身分驗證等功能，亦整合了AI。該公司截至今年1月31日的2025財年第二季財報顯示，該季Zscaler創造6.48億美元的營收，成長23%，虧損770萬美元，勝過去年同期所虧損的2,850萬美元，全球員工數超過7,000名。</p> <p>Zscaler表示，Red Canary讓其廣泛的客戶能夠以99.6%的準確率，將調查威脅的速度加快10倍，同時藉由自動化修復來簡化工作流程，在結合Zscaler的高品資資料，以及來自ThreatLabz安全研究團隊的全球情報之後，雙方的合併將帶來一個統一的、結合人類專業知識以及AI驅動工作流程的代理安全營運中心。</p> <p>另一方面，Zscaler擁有一套以AI為核心的零信任資安平臺，Red Canary則專精於端點、身分辨識、網路及雲端的威脅偵測與回應，Zscaler認為雙方的合併將能夠解決目前資安營運中常見的痛點，包括錯過關鍵警訊，不夠完整的威脅分析，而導致錯失漏洞等，而讓客戶更能精準地應對現代的資安挑戰。</p> <p>宣布併購消息的當天，Zscaler股價上漲1.26%，以257.3美元作收。</p> </div></div></div>
2025/5/28 13:48作者陳曉莉https://www.ithome.com.tw/news/169221
知名運動品牌Adidas遭網路攻擊，客戶資料外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>來自德國的全球知名運動品牌<a href="https://www.adidas-group.com/en/data-security-information" target="_blank">Adidas上周五（5/23）揭露一起資安意外</a>，指出有一未經授權的外來者藉由第三方的客戶服務供應商取得了某些消費者資料，該公司立即採取行動以遏止駭客行為，並與資安專家合作展開全面調查。</p> <p>迄今Adidas都未公布駭客的手法，或者是受到影響的消費者數量，僅說外洩資料並不包含密碼、信用卡或任何其它與支付相關的資訊，而主要是那些曾經聯繫Adidas客服的消費者聯繫資訊，正根據適用的法令通知那些遭波及的消費者。</p> <p>根據外電報導，本月位於<a href="https://www.businesskorea.co.kr/news/articleView.html?idxno=242481" target="_blank">南韓</a>及<a href="https://www.hurriyetdailynews.com/adidas-turkiye-unveils-data-breach-affecting-customer-information-209384" target="_blank">土耳其</a>的Adidas客戶都有收到Adidas的資料外洩通知，指出他們的姓名、電話號碼、電子郵件位址、生日及性別等個資都已外洩。</p> <p>一直到去年第三季，Adidas都是C<a href="https://blog.checkpoint.com/research/check-point-research-unveils-q3-2024-brand-phishing-trends-microsoft-remains-most-imitated-brand-as-alibaba-and-adobe-enter-top-10/" target="_blank">heck Point Research網釣攻擊調查</a>中，駭客最愛冒用的前十大熱門品牌之一，駭客註冊了許多仿冒Adidas的官網，從網址到介面，以誘導使用者輸入他們的憑證及個人資料。</p> </div></div></div>
2025/5/28 13:58作者陳曉莉https://www.ithome.com.tw/news/169222
俄羅斯駭客Void Blizzard以假Entra登入網頁為誘餌，入侵逾20家非政府組織
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>烏克蘭戰爭迄今仍尚未結束，有越來越多駭客組織從事網路間諜活動，協助俄羅斯政府從烏克蘭及北約國家組織（NATO）盟友收集軍事情報，並引起歐美國家關注。</p> <p><a href="https://www.microsoft.com/en-us/security/blog/2025/05/27/new-russia-affiliated-actor-void-blizzard-targets-critical-sectors-for-espionage/">微軟威脅情資中心指出</a>，他們與荷蘭情報暨安全總局（Netherlands General Intelligence and Security Service，AIVD）、荷蘭軍事情報暨安全局（Netherlands Defence Intelligence and Security Service，MIVD）、美國聯邦調查局（FBI）進行合作，調查被稱為Void Blizzard、Laundry Bear的新興駭客組織，並指出這些駭客近期針對歐美非政府組織（NGO）發動大規模攻擊。</p> <p>此駭客組織主要鎖定對於俄羅斯政府感到興趣的企業組織發動攻擊，涵蓋全球的政府機關、國防、交通運輸、媒體、非政府組織、醫療照護，大部分攻擊活動集中於歐洲及北美。這些駭客入侵受害組織的主要管道，通常是使用疑似從地下市集買到的外流帳密資料，一旦成功進入網路環境，就會大肆偷取電子郵件與內部檔案。研究人員提到，他們在今年4月看到更直接竊取密碼的手法，那就是藉由冒牌電子郵件網釣，引誘收信人上當並提供登入所需資料。</p> <p>針對這些駭客的相關活動，研究人員指出最早可追溯到去年4月，駭客從事一系列的雲端濫用行動引起他們的注意。雖然全球各地都有這些駭客的蹤跡，但是絕大部分活動是針對北約國家組織成員及烏克蘭而來，研究人員認為很有可能是為了收集軍事情報，協助俄羅斯政府達成戰略目標。</p> <p>值得留意的是，Void Blizzard定期鎖定政府機關與執法單位下手，尤其是對於北約國家組織成員國，以及向烏克蘭提供軍事或人道支援的國家。其中，研究人員特別提及駭客已滲透烏克蘭教育、交通運輸、國防組織，又以去年10月對當地航空組織出手，並提及另一個俄羅斯駭客Sandworm（Seashell Blizzard、APT44）曾於2022年對其發動攻擊。</p> <p>針對這些駭客的攻擊流程，研究人員提及通常會用密碼潑灑（Password Spraying）或是外流的帳密入侵受害組織，大部分會用於存取Exchange郵件伺服器，但也有為了挖掘特定資料存取SharePoint Online的情況。</p> <p>研究人員在4月看到駭客針對歐洲及美國逾20個非政府組織，從事對手中間人（AiTM）網釣攻擊，利用域名搶註手法製作冒牌Microsoft Entra身分驗證入口網站，駭客佯稱是歐洲國防安全高峰會的參與者，挾帶PDF附件，引誘收信人上當。</p> <p>此PDF檔案內含惡意QR Code，一旦依照指示操作，收信人就會被帶往釣魚網頁。微軟推測駭客使用網釣工具包Evilginx從事活動，並從中竊取使用者名稱、密碼、cookie等身分驗證資料。</p> <p>一旦攻擊者成功取得受害組織的存取權限，就會濫用Exchange Online和Microsoft Graph等服務的雲端API，找出使用者的電子郵件，以及存放於雲端的檔案，並疑似透過自動化的方式搜括受害者能夠存取的資料。</p> <p>在部分攻擊行動裡，駭客還會試圖利用網頁版Teams存取對話內容，或是透過公用程式AzureHound找出受害組織的Entra ID組態配置，以便進一步掌握租戶相關資訊。</p> </div></div></div>
2025/5/28 12:20作者周峻佑https://www.ithome.com.tw/news/169219
德州通過App Store問責法案，要求程式市集驗證兒童年紀
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>德州州長Greg Abbott在本周二（5/27）簽署了《App Store問責法案》（App Store Accountability Act），要求諸如Google Play或蘋果App Store等應用程式市集必須擔負驗證用戶年紀的責任，<a href="https://www.ithome.com.tw/news/167707" target="_blank">成為繼猶他州之後</a>，第二個簽署相關法案的美國州別。猶他州的法令已於今年的5月7日生效，德州則預計於2026年1月1日實施。</p> <p>推動該法案的德州參議員<a href="https://www.angelapaxton.com/news/its-time-to-hold-big-tech-accountable-and-equip-parents-to-protect-their-children" target="_blank">Angela Paxton表示</a>，今天的孩子是在網路持續存在的環境中長大，一轉眼就能下載應用程式並存取內容，不管內容品質為何，相較之下，實體商店要販售受限商品時還必須驗證消費者年紀，但App Store的經營卻無護欄。此外，即使父母是孩子的第一道與最好的防線，但就算是最細心的父母也可能被應用程式的誤導性描述或變更所蒙蔽。</p> <p>因此，《App Store問責法案》要求應用程式市集在未成年人下載大多數應用程式，或是進行應用程式內購買之前，必須驗證用戶的年紀並獲得父母的批准。</p> <p>不管是蘋果或是Google都反對此一法令，而亦曾被要求驗證用戶年齡的Meta與Snap則舉雙手贊成。根據華爾街日報（WSJ）的報導，蘋果執行長Tim Cook為了阻止該法案，還曾親自去電Abbott。</p> <p>蘋果認為，大家的共同目標都是強化兒童的網路安全，但《App Store問責法案》卻可能威脅所有使用者的隱私，因為它要求應用程式市集蒐集及保留每一個想要下載應用程式的德州人的個人資料，即便使用者想要下載的只是一個天氣或體育程式。相信有更好的方法可以在無需數百萬人交出個人資訊的前提下，保護兒童安全。</p> </div></div></div>
2025/5/28 13:06作者陳曉莉https://www.ithome.com.tw/news/169220
Computex秀AI資安新方向，趨勢科技用數位孿生助企業攻防演練
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著當前AI發展熱潮，數位孿生（Digital Twin）概念也持續受看重，不只是在製造業智慧工廠發酵，資安領域同樣關注，今年4月底美國RSAC 2025大會上，我們才看到<a href="https://www.ithome.com.tw/news/169016">資安業者Check Point當時發出警告</a>，指出新型態AI攻擊，會利用個人資料訓練專屬AI模型，創造出模擬受害者特徵與行為模式的Digital Twin數位分身，這突顯了攻擊者運用此技術的潛在風險，而就在最近舉行的臺北國際電腦展（Computex 2025）上，臺灣資安廠商趨勢科技展示一項創新解決方案，揭露防守方對此技術的運用，目前仍研發中，主要聚焦利用Digital Twin來搭建企業攻防演練的應用環境。</p> <h2><strong>利用數位孿生打造新一代自動化攻防演練</strong></h2> <p>以今年趨勢科技在Computex 2025的展出而言，具體有3大主題，最吸引外界目光的是一款還在研發中的產品，聚焦利用數位孿生（Digital Twin）方式來協助企業紅藍隊攻防演練，推估今年內可問世。</p> <p>根據現場趨勢科技人員的說明，由於去年趨勢科技發展「預測潛在攻擊路徑」的技術，如今有點像是將原有概念再延伸，鎖定企業攻防演練的應用而來。</p> <p>這兩者還有其他不同差異，原先預測潛在攻擊路徑的應用，當時受限於只有趨勢科技自家產品的Log資訊，而這次針對攻防演練的新應用，則是加入更多第三方的Log資訊，因此能讓數位孿生環境的模擬程度，可以達到更高。</p> <p>具體而言，趨勢科技表示，此種藉助數位孿生作法的好處是，可建立更擬真且自動化的攻防演練環境，例如當中具備兩個AI Agent，一個扮演紅隊角色，一個扮演藍隊角色，當紅隊打完後可自動產生結果，重要的是此時不再需要人力介入，藍隊能夠依照發現的弱點與建議，將防護設定套上去，接著紅隊自動再打一次以驗證。如果發現效果不如預期，這時才需要專業資安人力介入，並從紫隊角度或顧問角度來進一步調整。</p> <p>我們可以看出，這種利用Digital Twin概念搭建環境的應用方式，顯然帶給企業紅藍隊攻防演練另一種革新。</p> <p><a href="https://s4.itho.me/sites/default/files/images/PXL_20250522_032358476.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20250522_032358476.jpg" style="width: 600px;" /></a></p> <p>為了更瞭解Digital Twin的應用發展，我們詢問趨勢科技產品管理副總經理Rachel Jin（金靜秀），她揭露了這方面的更多資訊。</p> <p>Rachel表示，過去談到Digital Twin，應用集中於製造業的智慧工廠，像是可以模擬與優化實體生產流程，多是用於物理層面。而趨勢科技是將Digital Twin用於軟體、資安層面。</p> <p>她解釋，在現代企業的數位環境中，其實已經遍布各式感測器（Sensor），包括網路、電子郵件、身分驗證、終端設備、雲端等，趨勢科技正是透過這些感測器所收集的資訊流，構成出企業數位活動的Digital Twin，其用途就是打造出一個完整的模擬環境，高程度的模擬環境，讓企業可在不影響實際營運的情況下，進行攻防演練與風險評估。</p> <p>畢竟，只要資安成熟到一定程度的企業組織，往往都會進行企業內部的紅隊與藍隊攻防演練，來提前找出企業組織在資安防禦上的潛在弱點，但這樣的演練並無法天天頻繁進行，或是在某些敏感環境下更是難以執行，因為怕造成意外影響營運。</p> <p>因此，透過建構在Digital Twin環境中，便能利用虛擬紅隊與藍隊、以AI模擬攻防過程，找出企業防禦的差距（GAP），之後就能進一步回饋到實體環境，實施具體補強措施。不過這類應用也存在挑戰，就像AI需要持續學習以改善，因此在Digital Twin環境中，同樣也要重複讓模型進行訓練與學習。</p> <p data-end="167" data-start="26">Rachel強調：「Digital Twin在資安領域的應用極具前景。」她表示，以趨勢科技在Digital Twin及攻防演練的發展來看，企業能夠模擬各種不同情境，因此不再只是被動防守，而是具備主動預演的能力。若能結合更多商業知識，也能進一步模擬出潛在的商業衝擊，協助企業做出適當調整。</p> <p data-end="259" data-start="169">她另也舉例說明，當企業併購另一家公司時，便可透過Digital Twin模擬環境來做風險評估，避免被整合的公司有資安弱點會帶進來，或是模擬整合後可能產生的資安風險。</p> <h2><strong>另兩項展出重點同樣聚焦AI風險管理與應用而來</strong></h2> <p>趨勢科技在Computex大會上的另兩項展示重點，一是Security for AI Blueprint概念，一是整櫃式AI資安方案。</p> <p>響應GPU大廠Nvidia近年持續發表AI藍圖，趨勢科技在AI資安風險領域也提出自家Security for AI Blueprint概念，強調從6大層面做到AI防護，涵蓋：資料、微服務、基礎架構、模型、網路與使用者。</p> <p>而趨勢科技產品的發展方向也聚焦於此，包括在「資料」、「微服務」與「AI基礎架構」層面，推出Data Security Posture Management（DSPM）、Container Security，以及AI-Security Posture Management（AI-SPM）、API Risk與AI-DR。</p> <p>特別是在AI模型方面，該公司推出ZTSA - AI Secure Access之餘，現也正開發AI Model Scanning。至於「網路」與「使用者」層面則搭配IDS/IPS，以及Deepfake偵測與AI App保護。</p> <p><a href="https://s4.itho.me/sites/default/files/images/PXL_20250522_031123950.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20250522_031123950.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/PXL_20250522_031207372.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20250522_031207372.jpg" style="width: 600px;" /></a></p> <p>另一焦點在於，為應對企業因對隱私權、資料主權及法規遵循的疑慮，進而轉向自行架設私有雲生成式AI的需求，趨勢科技去年已針對這方面發展，針對Trend Vision One推出Sovereign and Private Cloud（SPC）資料中心解決方案，當中並整合Nvidia推論微服務。</p> <p>今年他們則是更進一步推出整櫃式解決方案，將趨勢科技自家SPC方案結合Nvidia AI Factory驗證設計，並搭配Dell基礎架構，讓企業組織可以直接取得整櫃式產品來應用。</p> <p><a href="https://s4.itho.me/sites/default/files/images/PXL_20250522_032904679.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20250522_032904679.jpg" style="width: 600px;" /></a></p> </div></div></div>
2025/5/28 11:22作者羅正漢https://www.ithome.com.tw/news/169194
Mistral推出Mistral Agents API
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>法國AI新創Mistral AI本周二（5/27）發表<a href="https://mistral.ai/news/agents-api" target="_blank">Mistral Agents API</a>，以讓開發人員可將大型語言模型（LLM）從單純的文字生成工具，轉變成可執行任務、持續記憶並與外部系統互動的AI代理人。</p> <p>Mistral AI表示，Mistral Agents API透過提供一個專用的框架，來簡化代理式案列的實施，可謂是企業代理平臺的支柱。具體而言，Mistral Agents API內建許多連結器以生成程式碼、執行網頁搜尋、生成圖像，以及各種Model Context Protocol（MCP）工具；它還支援跨對話的持久記憶體；具備代理式協同編排能力，允許多個AI代理人協同解決複雜問題。</p> <p>Mistral AI展示了許多應用，例如打造一個代理人與GitHub互動，同時監督一個由DevStral支援的開發代理人所撰寫的程式碼，展現AI自主管理軟體專案的能力。或者是利用Mistral Agents API建置一個金融分析師，同時編排多個MCP伺服器以獲得各種財務指標、見解，並安全地存檔。</p> <p>也能利用該API來打造一個旅行助理，協助使用者計畫旅行、預訂住宿或管理各種旅行需求。或者是由AI驅動的健康及飲食管理同伴。</p> <p>現階段也有其它業者推出代理人API功能，包括OpenAI的Assistants，Google的Gemini Agents，而Anthropic則透過Claude工具提供類似能力。</p> </div></div></div>
2025/5/28 12:13作者陳曉莉https://www.ithome.com.tw/news/169218
Salesforce將以約80億美元買下雲端資料管理業者Informatica，著眼於代理式AI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球客戶關係管理龍頭<a href="https://investor.salesforce.com/news/news-details/2025/Salesforce-Signs-Definitive-Agreement-to-Acquire-Informatica/default.aspx" target="_blank">Salesforce周二（5/27）宣布</a>，將以約80億美元的股權價值收購雲端資料管理業者Informatica，Informatica股東將可獲得每股25美元的現金，預計於2027年1月底之前完成交易。昨天Informatica股價上漲6.08%，以23.92美元作收。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0528-Salesforce-Acquire-Informatica.png" style="width: 400px;" /></p> <p>1993年創立的Informatica號稱是全球最大的資料整合軟體獨立供應商，該公司所提供的產品功能涵蓋了資訊生命周期管理、B2B資料交換、雲端資料整合、複合事件處理、資料複製與資料虛擬化等，可用來協助客戶打造企業等級的資料倉儲，全球客戶超過5,000家。Informatica在1999年曾經登上那斯達克（Nasdaq）股市，但2015年被Permira funds及Canada Pension Plan Investment Board（CPPIB）兩家投資公司<a href="https://www.ithome.com.tw/news/98002" target="_blank">收購而下市</a>，再於2021年重新登上紐約股市（NYSE），當時的開盤價是27.55美元。</p> <p>Salesforce表示，此一收購將強化Salesforce部署代理式AI所需的可靠資料基礎，因為Informatica擁有豐富的資料目錄、資料整合、治理、品質及隱私、元資料管理，以及主資料管理（Master Data Management，MDM），結合Salesforce的平臺之後，將能建立代理式AI的統一架構，使AI代理人得以在現代企業中安全且負責任地大規模部署。</p> <p>Salesforce解釋，有效的企業等級AI不僅需要資料，也需要資料透明度，深入理解資料脈絡，以及嚴格治理，Salesforce與Informatica將創造該產業最完整的代理人就緒資料平臺。</p> <p>儘管Salesforce所提供的MuleSoft工具類似Informatica，但其實Salesforce去年便有意收購Informatica，只是功敗垂成，今年捲土重來並達成協議。此一交易必須經過主管機關的審查，若通過審核，則將成為Salesforce史上最大的一樁收購案。</p> </div></div></div>
2025/5/28 10:40作者陳曉莉https://www.ithome.com.tw/news/169211
臺灣企業如何因應地緣政治風險？從BCM 1.0升級2.0，專家建議從六大面向因應極端情境
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在俄烏戰爭爆發之後，不少企業血淋淋地感受到地緣政治劇烈衝擊最極端的情況，並非完全不可能，尤其臺海衝突頻傳，三年前，國外知名雜誌更專文點名，將臺灣和烏克蘭、以色列並列為全球的高風險地緣政治衝突區域。</p> <p>當時就有不少臺灣大型企業，如高科技業者、金融業者、生技業者，重新審視自己的營運持續計畫（ BCP），開始思考過去視為極端情況，自己當前的準備是否足夠。安永諮詢服務執行副總經理曾韵指出，他們近幾年也協助不少臺灣企業，重新審視BCP計畫對極端情境的準備。</p> <p>在安聯2025年風險指標年報（Allianz Risk Barometer 2025）中，將地緣政治風險列為2025年的第九大事件，曾韵更指出，有14％風險專家甚至將地緣政治視為今年最重要的風險之一。像是在安永每年的全球展望調查中，1,200位CEO中，今年更有高達68%認為，因為地緣政治的不確定性，重新審視企業現有做法非常重要。</p> <p>這兩三年來，曾韵就接到不少企業詢問，想了解如何強化企業韌性的能力，才能更有能力因應激烈的地緣政治風險，甚至是戰時緊急因應程序該怎麼做。</p> <p>為了借鏡國外經驗，曾韵向安永在烏克蘭和以色列據點的同事請益，來了解身處於戰爭局勢第一線的企業，其營運持續計畫的實務作為。在今年臺灣資安大會中，曾韵分享了這幾年來，她協助多家臺灣企業評估地緣政治影響的經驗。</p> <h3><strong><span style="color:#FF0000;">地緣政治衝突常見三大類風險</span></strong></h3> <p>她先回顧過去幾起地緣政治帶來的風險事件主要有三類，第一類風險是電力中斷，在俄烏戰爭中，摧毀或占領了超過50%的烏克蘭發電設施，導致烏克蘭頻繁得採取分區限電的情況，而烏克蘭反擊俄國的本土目標，也多聚焦電力和能源設施，同樣在緬甸內戰中，大規模停電是該國人民的日常生活，吃過半數人口沒電可用。</p> <p>第二類風險則是台灣今年陸續感受到的網路中斷風險，今年臺灣海纜多次疑似遭到註冊非洲籍的中國權宜船拖斷，在烏克蘭戰爭中，該國最大固網電信公司在戰爭發生一個月後，遭受重大網路攻擊導致該國全球網路中斷，俄國也透過實體切斷電力或纜線的方式，來影響烏克蘭網路。</p> <p>最後一類風險則是國家級網路攻擊的風險，在以巴戰爭中，近5成伊朗國家級網路攻擊對象，鎖定了以色列公司，針對學校、政府機關、金融機構、醫療機構進行滲透和攻擊。同樣從南海衝突事件的風險案例中，多個中國駭客組織Raspberry Typhoon（RADIUM）、Flax Typhoon、Granite Typhoon針對東南亞國協成員國（ASEAN）的軍事實體、IT設施進行攻擊，甚至有國家級駭客滲透到印度尼西亞和馬拉西亞的海事系統。曾韵指出，電力中斷、網路中斷和國家級網路攻擊，這是思考地緣政治風險必須考慮的三類風險，臺灣尤其是第三類風險最高的區域。</p> <h3><span style="color:#FF0000;"><strong>以色列將軍事衝突視為日常來準備</strong></span></h3> <p>在烏克蘭和以色列的企業，如何因應這些地緣政治的衍生風險？在以色列要求該國銀行，要有25%的分行，具備總行（Central Branches ）等級的營運不中斷能力，採取更高安全規格和防護措施，要有適當的地理位置分散，在緊急情況下也可以營運。</p> <p>企業評估BCP計畫時，會區分不同風險等級的情境，再來考慮現有緊急應變程序需要涵蓋的風險等級。臺灣企業一般會將戰爭或軍事衝突視為極端情境，而非一般風險等級的BCP情境。考量到成本，大部分臺灣公司都不會考慮到這類極端情境的緊急應變程序。</p> <p>但在以色列的企業不一樣，他們將軍事衝突這種臺灣企業眼中的極端情境，視為是一般的BCP情境來準備。</p> <p>以色列政府要求，銀行至少會將四分之一的分行，達到總行等級的應變能力，一但遇到軍事衝突情況，可以支持更久的營運。這種等級的分行，會設置發電機，也有會更好的防護設施，像是設備完善的地下辦公室，這是以色列金融業的日常準備。</p> <h3><span style="color:#FF0000;"><strong>烏克蘭要求銀行設立韌性據點</strong></span></h3> <p>曾韵分享的另一個因應實例是烏克蘭經驗。戰爭發生後，烏克蘭大約半數能源設施遭到摧毀，全國經常性的輪流停電。</p> <p>所以，烏克蘭央行還提出一項Power Banking計畫，要確保銀行在長時間斷電期間，有能力自主維持最基本的服務。</p> <p>烏克蘭央行找來多家規模較大的系統性銀行，在全國各地設置這類有自主電力運作的韌性據點，而且烏克蘭央行還會確保每個區域都有夠多的韌性據點數量，可以支援全國基本的民生金融服務所需。<br /> 這個計畫要求這些系統性銀行，設立具有自主電力的韌性據點（Power Bank），在這樣的分據點，要有自己的發電機，也要有足夠的現金儲備，並且要有一套備援的通訊管道，以及儲備更多的人力。<br /> 對這些銀行的最小運作水準要求，包括了可以提領現金，可以付款和轉帳，可以換匯，甚至還要可以提供民眾財務上的諮詢。</p> <p>曾韵研究過不同戰爭爆發後對金融業的影響，在戰爭期間，銀行業業務不只不會停擺，反而還會增加，更需要加班，像是會有更多保險理賠的工作。</p> <h3><span style="color:#FF0000;"><strong>烏克蘭IT產業的戰爭韌性準備</strong></span></h3> <p>烏克蘭除了金融業有一套戰爭韌性準備以外，該國的IT產業也很有一套自己的應變做法。烏克蘭的資訊服務產業在歐洲很有名，大約有30萬名IT專家，三分之二是直接或間接服務歐美多個國家。在俄烏戰爭爆發期後，雖然發生長時間的斷電，甚至影響了電話機房和網路節點。但這群IT專家還是有能力繼續對外提供服務，一方面，從疫情發生之後，這群烏克蘭IT人力，已有一套居家辦公措施，戰爭發生後，可以迅速啟用。</p> <p>另一方面，這群IT專家也運用低軌衛星提供備用的網路通路，像是有雇主補助這群專家租用Starlinks星鏈網路，另外，IT人員也有自己的備援電力，像是行動電源包，甚至是自備柴油發電機。</p> <p>從烏克蘭經驗，曾韵提到，烏克蘭還有一件事值得借鏡，就是資訊雲端化。</p> <p>烏克蘭原本沒有開放金融業上雲。原本烏克蘭有一部《數據保護法》，規定政府及部分民間機敏資料必須放置在烏克蘭境內主機中。但在戰爭爆發前幾天，2月17日，烏克蘭緊急修法，通過《雲端服務》法案，允許政府和民營部門將數據轉移到雲端，等於開放了企業可以將關鍵資料和系統上雲，不到一周，2月24日舊爆發戰爭。很多烏克蘭銀行迅速將系統上雲，甚至營運都沒有中斷。到了3月12日，烏克蘭政府進一步擴大鬆綁，公共訊息資料、國家登記機構以及加密備份資料，允許儲存到境外雲端或資料中心。烏克蘭企業將資料上雲，轉移到沒有受到戰爭影響的西部區域，後來更可以轉移到境外鄰國。</p> <h3><span style="color:#FF0000;"><strong>雀巢的戰爭BCP做法特別重視社會責任</strong></span></h3> <p>曾韵還舉了一個比較特別的營運持續計畫實例，有家零售業特別考慮到社會責任面的BCP做法。在烏克蘭衝突期間，雀巢對於他們在烏克蘭的5,500名員工及他們的家人，提供了財務支援、搬遷支持和安全的保障，也設立了生存中心，更擴大對烏克蘭社區提供人道援助。</p> <p>這些做法涵蓋了薪資支持、員工安全援助、跨國支援和熱線服務，以及內部職位安置等面向。在薪資支持上，雀巢提前支付烏克蘭員工的薪水，甚至在未來一段時間內持續支付薪水。而在員工安全援助上，雀巢則提供一次性的搬遷補助，也準備了緊急護理包。雀巢還將當地辦公室設置為7x24小時運作的全天候生存中心，作為員工和他們家人的安全避難所。</p> <p>在跨國支援和熱線服務上，雀巢設立員工熱線，提供當地員工法律、移民諮詢，甚至還有心理支持，另外也在烏克蘭鄰國，如波蘭設立支援中心，來接待逃離烏克蘭的員工和他們的家人。作為跨國機構，雀巢更提供內部職位的安置安排，可以提供烏克蘭員工，改調整到其他地區雀巢所屬公司的工作機會。</p> <p>曾韵解釋，國外也有企業在戰爭BCP計畫中，預先考慮到類似雀巢做法的準備，像是為了持續發放薪水預先準備一筆現金，避免因為當地資訊系統因戰爭而無法運作。或是考慮要在當地設置員工避難區域，或在鄰近國外分支據點接待逃難的員工。</p> <p>「臺灣有少數企業的BCP計畫，開始考慮到極端情境，但較少準備到這麼完整。」她觀察。</p> <p>在俄烏戰爭爆後後，臺灣也有企業想要對這類地緣政治衝突的風險，採取一些作為，不過，常見會遇到一些挑戰。曾韵歸納，一方面，臺灣企業對於地緣政治事件的熟悉度不夠，就沒有辦法建立有效的策略，另外，也缺乏內部的應變權責機制。企業更會因為缺乏實際操演經驗，無從判斷自身的準備是否充分。</p> <h3><span style="color:#FF0000;"><strong>專家建議企業，因應地緣政治風險要先劃分階段</strong></span></h3> <p>曾韵建議企業，可以將地緣政治風險劃分不同的階段，在營運持續計畫中，再針對每一個階段訂定詳細的情境與事件應對方針，企業可參考國內外專家或政府機構對這些情境的規畫和建議，來安排企業自家做法。</p> <p>其次，她建議，企業需針對緊急應變設計一套管理機制，尤其要釐清決策程序，明確訂出對應的代理人制度。最後就是必須針對這些計畫，真的進行演練，讓企業上下都清楚了解，遇到這類事件時，可以怎麼做，尤其要模擬各部門的協作情境，驗證準備狀況，來做改進。</p> <p>曾韵也舉了一些臺灣企業實際開始評估極端情境BCP時才會發覺的細節。像是有企業BCP計畫中的人力準備，依照職位或能力來安排，但忽略了戰時徵召對男性人力的影響，可能得考慮更多女性人力的儲備。或者有些企業購買的保險，合約中有戰爭排外條款，遇到戰爭情況將不會理賠。</p> <h3><strong><span style="color:#FF0000;">臺灣企業四種極端情境BCP現行做法</span></strong></h3> <p>過去兩年來，已有一些臺灣企業開始評估這類極端情境的BCP，曾韵也歸納出四類臺灣企業因應極端情境的主要現行做法。</p> <p>第一類做法是建立備援電力，先盤點出自家企業的關鍵營運據點，來設計不斷電設備，發電機和柴油桶等。</p> <p>尤其許多大樓備援電力僅供消防逃生設施等關鍵設備使用，其實無法支援企業辦公室的電力備援。企業也得確保發電機的油類補給來源，例如得掌握自家辦公室附近，哪一處加油站有發電設備，遇到大規模停電時才能持續供油。臺灣中油官網後來也因有這樣的企業需求，開始在網站上提供了配備發電機的加油站據點清單。</p> <p>第二類現行做法是建立備援網路和通訊。像是考慮在關鍵營運據點導入低軌道衛星網路，列出需要配備衛星電話的關鍵人員名單，例如總經理，風控長，廠長等。目前中華電信已經宣布，2025 年上半將正式提供低軌衛星OneWeb和中軌衛星SESE的衛星商用服務，企業就可以多了一種備援通訊的選擇。</p> <p>資料上雲是臺灣企業現行的第三種BCP應變做法。像是將資料的冷備份上雲，甚至有企業為此而考慮將系統備份上雲。曾韵提醒，企業需確認所屬產業對資料上雲的相關法規，了解個資與敏感資料議題，另外也要留意資料備份所在的國家是否安全。 </p> <p>最後一種，臺灣企業常見的應變做法就是建立遠端辦公的能力。企業會延續原本疫情時的遠端辦公方案，例如採購筆電、建置VDI，定期演練測試等。曾韵提醒，有些企業疫情時的遠端辦公做法是，用筆電連回企業內部桌機來操作，若遇到大規模斷電時，這個做法就可能無效，得改到另一個據點辦公而非遠端辦公。</p> <h3><span style="color:#FF0000;"><strong>BCM 1.0：建立基本營運持續管理機制四步驟</strong></span></h3> <p>針對地緣政治衝突的風險因應，曾韵建議臺灣企業，至少要有基本的營運持續管理機制，可以按照四個步驟來進行。</p> <p>第一步是找出關鍵業務，分析企業的關鍵業務是什麼，訂出這些業務需要回復的優先順序，也要識別出提供這些關鍵業務，需要哪些資源和關鍵系統。</p> <p>接著第二步是設計公司策略，考慮在每個情境下，像是火災，地震，電力中斷、駭客攻擊等情境，企業要啟動哪些相關的措施，例如啟動部分居家辦公，停止部分品項的供應，或者暫停部分門市的營運，或是啟動備援電力和網路等。c</p> <p>有了策略後，再來就是第三步，準備資源，針對上述企業營運持續策略賴準備所需的資源，像是預備緊急備援能源，備援通訊（如購買低軌衛星服務）、人力備援（區分A/B組），預先設立應變組織等。<br /> 最後一步就是演練，甚至是取得認證。透過實際演練來確定策略的可行性和應變所需資源的完整性。也可以進一步透過第三方驗證，來了解對自身做法的意見和改善建議。</p> <h3><strong><span style="color:#FF0000;">BCM 2.0：因應極端情境要考慮6大面向</span></strong></h3> <p>曾韵指出，企業做到BCM（營運持續管理） 1.0之後，再進一步考慮到極端情境的BCM 2.0。</p> <p>「要升級到能因應極端情境的營運持續計畫（BCP），要多考慮六大面向。」曾韵建議，這六大面向包括了人員因素、周遭風險、呼叫樹（Call Tree）、備援能源、異地地點、和供應鏈。</p> <p>在人員因素上，企業應該先確定哪些員工已經被徵召入伍，以及未來若有軍事衝突時，有哪些人員有可能被徵召。其次要考慮周遭風險，例如評估機房地點時，還要多考慮避開容易成為軍事攻擊的目標設施，像是政府大樓、重要地標等。在環境考慮上，也要考慮備用異地地點的選擇，檢查備用站點的合約，是否能夠反映業務的需求，例如有企業會檢查電費帳單，避免備援機房的輪流供電分組，不會和主要機房相同，來避免同時停電。</p> <p>在通訊聯絡上，企業要定期測試所訂定的呼叫樹（Call Tree），確保所有人聯絡方式的新穎性，如群組名單的更新，手機電話正確性。</p> <p>備援能源計畫上，則要確定燃料中斷後對企業的影響，再來考慮有什麼替代燃料來源和供應商。最後一項，則要考慮對企業供應鏈的影響，地緣政治衝突可能破壞了企業的國際供應路線，業務持續性計畫人員應該審查供應鏈路線，確定若有必要如何重新安排商品和服務的供應路線。</p> <h3><span style="color:#FF0000;"><strong>先從關鍵中定義更關鍵</strong></span></h3> <p> 「用一句話點出BCP 2.0的規畫重點是，從關鍵中定義更關鍵。」曾韵強調。</p> <p>她建議可以從BCM的關鍵業務中，考量客戶信心、社會責任、合規要求和經營考量等四大面向，來挑出關鍵中的關鍵。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%A6%82%E4%BD%95%E5%AE%9A%E7%BE%A9%E9%97%9C%E9%8D%B5%E4%B8%AD%E7%9A%84%E9%97%9C%E9%8D%B5-%E6%94%9D%E5%BD%B1-%E7%8E%8B%E5%AE%8F%E4%BB%81.jpeg" /></p> <p>在客戶信心考量上，例如對金融業而言，基礎金融業務如支付、貸款、理賠、債券等影響客戶信心的業務，優先順序相對較高。也可提高社會責任相關的業務，如前述跨國零售業者重視的員工與家屬安置，或有助於客戶關懷、捐款通路支援和提供等。合規要求也是BCM 2.0應考量的面向，如需要與所屬產業的主管機關溝通，確認所採取應變措施的合規性，例如哪些資料可上雲。最後一項經營考量上，企業則需要衡量投資活動的持續，核心競爭力的保全，或是各地布局的安排，來挑選出更關鍵的項目。</p> <h3><span style="color:#FF0000;"><strong>盤點關鍵資源的儲備程度</strong></span></h3> <p>找出關鍵中的關鍵後，下一步就是要盤點關鍵資源的儲備，包括了資訊系統、資料備份、網路通訊、場地與設施，還有人員，都是關鍵資源的類型，除了正常備援機制外，需考量另外的第二方案。</p> <p>例如關鍵業務所需資訊系統，對外溝通管道（官網，Email，聊天機器人）或內部溝通軟體的第二方案。或是在資料備份上，除了關鍵業務所需系統的備援，重要資料的電子備份，重要紙本文件的儲存與保管第二方案，甚至需考量運送機制。</p> <p>網路通訊的第二方案考量，則可考慮網路出口使用不同ISP業者，網路設備則區出出主中心、備援中心、重要場所的網路設備。在場地和設施考量上，則要先盤點全臺適合使用的辦公場所和資源（如電力雙迴路），這些地點在緊急狀況下的油料儲備取用方式。</p> <p>而在人員第二方案考量上，則要預先安排關鍵業務執行人員的順序（如區分A/B組），更新人員聯繫清單，也要和預定的通訊機制建立連結（如預先建立群組）等。</p> <p>在地緣風政治風暴中，企業要如何駕馭不確定性？曾韵建議，臺灣企業不能完全不做準備，考慮企業和資訊韌性，也應該將地緣政治風險納入考量，來因應前面提到的種種挑戰，如電力中斷，網路中斷，資安攻擊等議題。可借鏡以色列和烏克蘭的做法，來升級既有的營運持續計畫。</p> </div></div></div>
2025/5/28 10:11作者王宏仁https://www.ithome.com.tw/news/169208
Copilot代理深入整合Office擴充，統一開發工具加速辦公應用自動化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟對Office Add-ins進行<a href="https://devblogs.microsoft.com/microsoft365dev/office-addins-at-build-2025/">重大更新</a>，重點在於Copilot代理與Office擴充功能的深度整合，並以統一開發工具Microsoft 365 Agents Toolkit強化辦公應用智慧化與自動化。此更新提升Word、Excel、PowerPoint等辦公軟體的智慧功能與自動化整合，簡化開發與部署流程。</p> <p>過去Office Add-in多以傳統用戶界面為主，必須仰賴功能窗格或操作按鈕觸發功能，現在則可由Copilot代理直接以自然語言理解用戶需求，呼叫Add-in的各項專業功能。用戶在Office應用中僅需透過Copilot輸入指令或問題，即可啟動第三方擴充元件，無論是自動插入內容、進行資料分析，或串接企業內部資料來源，皆可用對話式方式完成。微軟表示，該設計旨在協助用戶以自然語言操作擴充功能，簡化自動化流程，提升日常辦公效率。</p> <p>對開發者而言，統一描述檔（Manifest）與Microsoft 365 Agents Toolkit使Office各產品共用相同應用架構，開發者可使用單一程式碼，部署至Word、Excel、PowerPoint等應用，大幅降低維護與更新複雜度。新版開發工具Microsoft 365 Agents Toolkit整合API、測試與除錯等功能，提升開發流程一致性與效率，根據官方說明，系統管理員能透過統一部署與管理介面，設定擴充元件的安裝與存取規則。</p> <p>本次更新也導入事件型自動啟動（Event-based Activation）概念，讓擴充元件能於文件開啟或建立時在背景自動執行。此設計減少使用者操作步驟，並可應用於自動化內容驗證、資料更新或法規檢查等場景，有助於提升辦公應用安全性與一致性。</p> <p>微軟同步升級Office Add-ins相關API與功能，增強圖形物件處理、資料型別自訂與流程自動化等能力，讓開發者能打造更貼近企業需求的辦公自動化工具。新版統一的儲存與安裝管理機制，讓企業能以集中方式發布、部署並管理多款擴充元件，減少手動安裝或分散維護的困擾。整體而言，Office Add-ins與Copilot代理的結合，加上統一開發工具，讓企業與開發者能更有效率地跨多種Office應用推動自動化與智慧化。</p> </div></div></div>
2025/5/28 08:43作者李建興https://www.ithome.com.tw/news/169201
中國稱用於保護身分的網路ID系統已有600萬人啟用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.mps.gov.cn/n2254098/n4904352/c10087598/content.html" target="_blank">中國政府宣布</a>，已經有600萬人啟用驗證網路身分的App，將在今年7月正式使用，以減少冒名詐騙、或是保護真實身分。</p> <p>中國公安部於今年2月通過並公布《國家網路身分認證公共服務管理辦法》，預定7月15日正式施行。該法旨在推行「網號」及「網證」用於驗證使用者真實身分，同時能減少真實身分的使用，以保障身分安全。其中網號是與自然人身分相對應、由字母和數字組成的符號，網證是指身分憑證。網號、網證可用於在網際網路平臺、政府服務或旅遊、醫療業等民間服務中的非明文登記用於日後身分驗證。</p> <p>統一的「網路身分認證公共服務平臺」為使用者提供身分驗證，方法是結合實體身分證明，如居民身分證和其他資料，再運用密碼演算法，完成網號、網證的發放。</p> <p>國家網路身分認證公共服務自2023年6月27日上線。<a href="https://m.huanqiu.com/article/4MnOKsenxCn" target="_blank">中國公安部上周公告表示</a>，國家網路身分認證App累計下載超過1,600萬次，啟用達600萬人，提供認證服務1,250餘萬次。</p> <p>中國政府說，網路ID是人民自願取得。</p> </div></div></div>
2025/5/28 08:51作者林妍溱https://www.ithome.com.tw/news/169206
金融科技產業聯盟最新進展！國泰金控計畫用區塊鏈串接警政和醫院資料，加速交通事故理賠流程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>金管會今日在記者會上公布金融科技產業聯盟最新進展，連帶揭露了國泰金控預計在異業生態共創工作圈推動的新計畫，要運用產險聯盟區塊鏈來串連醫療場所和警政單位資料，將三方資料彙整於單一系統平臺，例如，在保戶同意下取得警政通報單，加快民眾申請交通事故產險理賠的作業流程。</p> <p>早在今年2月金融科技聯盟舉辦成立儀式，國泰金控就公開異業生態共創工作圈的推動方向和初步提案。除了要促進異業結盟，他們也希望打造跨業、跨域，和跨境議題的解決方案。當時，他們揭露三個初步提案構想，分別是發展聯合學習技術授權、推動醫療業和保險業數據互通，提高醫療保險理賠效率，最後是推動數位金融護照。如今，金管會揭露的最新提案，則是要用產險聯盟區塊鏈，來推動跨業合作，減少交通事故理賠花費的時長。</p> <p>產險聯盟區塊鏈是由國泰金控和國泰產險合作推動，將區塊鏈應用至產險作業，協助減少理賠過程中需耗費的大量人力、物力。</p> <p>以汽機車強制險理賠為例，過去不同保險公司需要耗費大量人力和時間來對照同一件案件的受理、審核流程，和理賠案件進度。而透過產險聯盟理賠鏈，可以讓各間保險公司以加密和高信任度的方式交換資料，更快完成案件審核、給付和追償，降低理賠作業時間及紙本作業風險。產險聯盟區塊鏈平臺自2022年上線至今，已有14家產險業者加入。</p> <p></p> </div></div></div>
2025/5/27 21:32作者李昀璇https://www.ithome.com.tw/news/169204
【資安日報】5月27日，駭客於臺灣等70個國家挾持逾2千臺伺服器架設殭屍網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>部分駭客行事低調，長年竊取受害組織機密，直到多年後才有研究人員對其行蹤有較為明確的分析，並引起外界的注意。</p> <p>例如，資安業者AhnLab與韓國國家網路安全中心（NCSC）近期對於與中國有關的駭客組織TA-ShadowCricket（Shadow Force）進行揭露，就是這樣的例子，值得留意的是，駭客廣泛於全球入侵逾2千臺伺服器，植入IRC機器人或後門程式，臺灣也有44臺主機受害。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169197"><strong style="font-size: 22px;">駭客組織TA-ShadowCricket控制全球逾2千臺伺服器，44臺在臺灣</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/HKWx5zE2JI1zk6TUyfGuflTHQ3cLhLdljbNE7qqb.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/HKWx5zE2JI1zk6TUyfGuflTHQ3cLhLdljbNE7qqb.png" style="width: 300px; float: right;" /></a>近期有部分鮮為人知的中國駭客遭到資安研究人員起底，其中不少攻擊範圍涵蓋臺灣，引起國內媒體高度關注。</p> <p>根據自由時報、ETtoday新聞雲等多家媒體的報導，資安業者AhnLab與韓國國家網路安全中心（NCSC）聯手，針對與中國有關、名為TA-ShadowCricket、Shadow Force的駭客組織，揭露相關攻擊行動的長期調查結果。這些駭客約從2012年開始活動，積極對亞太地區國家下手，通常會針對曝露在網際網路的Windows Server主機，或是管理不善的SQL Server而來，植入IRC機器人或後門程式。</p> <p>而對於這些駭客控制的範圍，迄今駭客於全球72個國家、超過2千個IP位址，部署IRC伺服器並充當C2。其中，受影響最嚴重的國家是中國、韓國，分別有895臺、457臺主機，值得留意的是，臺灣也有44臺伺服器遭到這些駭客控制。AhnLab也在調查報告當中，提及TA-ShadowCricket偽造或盜用數家軟體廠商憑證簽署惡意軟體的現象，其中一家是臺灣軟體業者訊連科技（CyberLink），駭客於2012年曾偽造該公司憑證為惡意軟體簽章。</p> <p><a href="https://www.ithome.com.tw/news/169195"><strong style="font-size: 22px;">5,300臺網路設備遭殭屍網路綁架，中國駭客ViciousTrap利用未有修補程式的已知漏洞入侵</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/vicioustrap-map.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/vicioustrap-map.png" style="width: 300px; float: right;" /></a>提供中小企業及SOHO族使用的網路設備，即使廠商因生命週期結束（EOL）不再提供修補，用戶往往因為仍然能夠運作，並未汰換而是繼續使用，這樣的情況也變成駭客眼中的肥羊，且有越來越多設備遭到控制。</p> <p>例如，最近資安業者Sekoia對於追蹤思科路由器漏洞CVE-2023-20118的攻擊行動，揭露最新的發展，他們原本在今年1月底至2月上旬，發現有人利用這項漏洞，綁架思科的小型路由器設備，組成殭屍網路PolarEdge，當時已有逾2千臺設備受害，如今研究人員發現，還有其他駭客組織也加入漏洞利用行列：中國駭客ViciousTrap已藉此綁架超過5千臺路由器，並在這些路由器植入Shell指令碼NetGhost，然後將流入的網路流量導向類似蜜罐陷阱（Honeypot）的基礎設施。</p> <p>但前述思科路由器並非駭客的唯一目標。Sekoia研究人員進一步對駭客的基礎設施調查，結果發現，他們也鎖定D-Link、Linksys、華碩、威聯通（QNAP），以及Araknis Networks等廠牌的網路設備。</p> <p><a href="https://www.ithome.com.tw/news/169179"><strong style="font-size: 22px;">駭客組織Careto傳出背後主使是西班牙政府</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/kaspersky-careto-the-mask-illustration.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/kaspersky-careto-the-mask-illustration.png" style="width: 300px; float: right;" /></a>根據科技新聞網站Techcrunch報導，資安業者卡巴斯基前員工向他們透露，11年前被視為世界上最狡猾的駭客攻擊行動，幕後主使者就是西班牙政府。卡巴斯基、西班牙國防部拒絕回應此事。</p> <p>2014年卡巴斯基發現進階滲透攻擊（APT）行動，鎖定政府機關和能源企業，包括外交辦公室、大使館、能源或石油企業，目的在竊取機密資料如文件、加密金鑰、VPN配置等。經過分析，研究人員將犯案的駭客組織稱為Careto或The Mask，這是因為他們在其程式碼中發現到Careto（西班牙語中的面具之意）的字樣。</p> <p>至少有4名卡巴斯基前員工指認，Careto背後的主謀是西班牙政府，其中一名員工透露，卡巴斯基調查Careto的動機，就是源自駭客攻擊古巴政府特定的網路環境，此受害政府機關是「零號病人（Patient Zero）」，也是將Careto與西班牙當局關連的重要關鍵。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/malicious-vs-code-extensions-deliver-spyware-steal-crypto-credentials/">駭客組織MUT-9332利用VS Code外掛鎖定開發人員</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/tiktok-videos-now-push-infostealer-malware-in-clickfix-attacks/">抖音成散布竊資軟體的新管道，駭客藉此從事Click網釣</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/hackers-use-fake-ledger-apps-to-steal-mac-users-seed-phrases/">蘋果電腦用戶遭鎖定，駭客假借冒牌Ledger軟體挾持加密貨幣錢包</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169196"><strong style="font-size: 22px;">AI助手GitLab Duo存在漏洞，恐被用於挾持AI回應、洩露程式原始碼</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/gitlab-duo-prompt-injection-16.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/gitlab-duo-prompt-injection-16.jpg" style="width: 300px; float: right;" /></a>生成式AI廣泛受到開發者運用，一旦這類應用程式出現弱點，就有可能遭到利用，藉此影響軟體開發安全。</p> <p>根據資安業者Legit Security的研究，AI助理GitLab Duo有資安弱點，攻擊者可藉由埋入的註解，導致GitLab Duo洩露開發人員處理的程式原始碼，並且在回應裡注入不受信任的HTML內容。研究人員於2月12日通報此事，GitLab已進行確認並完成修補。</p> <p>而Legit Security在這款人工智慧助理當中，發現遠端提示注入漏洞，攻擊者只要透過Duo Chat，就能從私人專案竊取原始碼、竄改程式碼建議並顯示給其他用戶，甚至還可以洩露機密資訊，或是零時差漏洞。</p> <p><a href="https://www.ithome.com.tw/news/169151"><strong style="font-size: 22px;">資安研究員利用OpenAI o3模型發現Linux核心零時差漏洞</strong></a></p> <p>資安研究人員Sean Heelan上周揭露，他利用OpenAI的o3模型於Linux核心中發現了CVE-2025-37899零時差安全漏洞，當他透過同樣的方法於Claude Sonnet 3.5及Claude Sonnet 3.7中測試時，並未發現同樣的漏洞。</p> <p>Heelan是名獨立研究人員，專門研究與大型語言模型（LLM）有關的漏洞自動發現及攻擊程式生成。他說，最近正想從LLM中抽身，休息一下，於是展開了ksmbd漏洞稽核專案，ksmbd是一個在Linux核心空間中實作SMB3協定的伺服器，可透過網路共享檔案。</p> <p>然而，當OpenAI發表o3之後，他便忍不住利用他在ksmbd中發現的錯誤作為o3能力的快速基準測試，結果o3成功找到了先前未被揭露的CVE-2025-37899，此為ksmbd元件的記憶體釋放後再存取使用（Use-After-Free）漏洞，出現在處理SMB的logoff命令，當其中一個執行緒釋放特定物件的過程，另一個執行緒可能嘗試存取記憶體空間，進而觸發記憶體損壞，允許駭客執行任意程式。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thecyberexpress.com/cloudflare-fixes-cve-2025-4366-in-pingora-oss/">Cloudflare修補代理伺服器框架高風險漏洞</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/netgear-router-flaw/">Netgear路由器存在重大漏洞，攻擊者能得到完整管理員權限</a></strong></p> <p></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169002"><strong style="font-size: 22px;">【臺灣資安大會直擊】當人資遇上資安挑戰：半導體公司人資主管解析，資安證照如何助力公司和個人價值提升</strong></a></p> <p>在數位轉型浪潮席捲各產業的今天，「資安即國安」的口號已深入人心，然而，談及企業資安，大眾的目光往往聚焦IT部門的技術防禦。事實上，在企業運作的核心深處，人力資源（HR）和財務部門正因其獨特的工作性質和所處理的敏感資料，悄然成為企業資安防線中最為關鍵的「前沿」陣地。</p> <p>任職於半導體公司財務與人資主管鄭惠如（RuRu Cheng），她日前在「臺灣資安大會」Cyber Talent Forum的演講中，以逾十年的財務人資經驗及資安領域的跨界視角，深入剖析為何人資和財務部門必須重視資安意識與相關證照，以及對於個人職涯和企業安全所帶來的深遠影響。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169160"><strong>【5月26日】歐美大國攜手執法，3天內破壞7個Botnet</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169135"><strong>【5月23日】新版Windows伺服器作業系統dMSA服務帳號的遷移流程可被濫用而惹議</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169114"><strong>【5月22日】VMware修補旗下多款平臺的資安漏洞</strong></a></p> </div></div></div>
2025/5/27 17:59作者周峻佑https://www.ithome.com.tw/news/169199
金管會盤點五大金融科技政策最新進展，6月VASP專法草案送行政院、7月開放業者申請數位保險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年七月，金管會主委彭金隆提出五大金融科技施政方向，分別是擴大容錯空間，加大創新領域、鼓勵金融業者團體合作研發技術、探索金融科技發展機會、支持純網路金融發展，和全方位引領金融科技發展。時隔近一年，金管會今日在例行記者會中報告五大金融科技政策推動進展，包括放寬業務試辦範圍，目前已核准21件金融機構業務試辦案件、重啟網路保險公司申請，預計於今年7月開放業者申請，以及推動虛擬資產服務專法，預計今年6月底前將專法草案陳報行政院審查。</p> <p>金管會創新處長胡則華表示，金管會在去年10月發布金融業申請業務試辦作業要點，放寬了金融業者進行業務試辦的範圍，從去年5月20日至今年4月底，金管會已核准21件金融機構業務試辦案件，其中包含銀行業2件、證券期貨業2件、保險業17件。</p> <p>胡則華特別強調，過往業務試辦項目不能違反既有法令，但如今，金融機構業務試辦範圍已經透過擴大金管會行政規則、函釋，和同業公會自律規範及周邊單位規章等尚未開放的業務項目，來讓金融機構能在試辦過程中違反現有規定。另外，胡則華也表示，透過業務試辦擴大，他們希望能建立普惠金融相關案件的優先審查制度，鼓勵金融機構申請對民眾較有利的試辦案件。</p> <p>針對數位保險公司發展，彭金隆在去年底宣布重啟數位保險公司申設，且要放寬數位保險也能經營線下通路。胡則華提到，目前數位保險公司相關草案已進入法規預告程序，預計將於今年7月開放業者申請。</p> <p>在推動虛擬資產服務專法上，金管會在去年陸續完成VASP監理措施，包括成立VASP公會、明訂VASP業者未完成洗錢防制登記者，不得提供虛擬資產服務，並將負有刑事責任。目前，金管會正在推動虛擬資產服務專法立法，胡則華表示，預計今年6月底前將專法草案陳報行政院審查。</p> <p>針對推動現實世界資產(RWA)代幣化，胡則華說明，目前傳統金融市場上，有部分資產交易時間較冗長，導致資產的投資門檻較高，或是不易進行跨境投資，因此，許多金融業者希望透過RWA來解決這些問題。去年中，金管會成立RWA代幣化小組，共同研究推動RWA代幣化的可行性。目前，RWA代幣化小組包括9家金融機構、集保公司和相關支援團隊，分為三組進行研究，分別是國內債券、外股債券，和基金。胡則華表示，各小組已在今年1月進行期中報告，後續會以模擬的方式進行實證，預計今年9月就會啟動模擬，並在今年底完成期末報告。</p> <h3>金融科技產業聯盟：金融科技母基金年底完成第一輪募資、要用區塊鏈提高交通事故產險理賠效率</h3> <p>最後針對金融科技產業聯盟進展，胡則華說明，金融總會在今年2月成立金融科技產業聯盟，設有金融科技應用研發、數位金融實務規範建議、金融科技投資交流及異業生態共創等4個工作圈。</p> <p>這四大工作圈也已經有初步成效，包括由玉山金控擔任召集人的數位金融實務規範建議工作圈，目前已完成金融無塵室第一階段，能將去識別化的資料導入AI模型進行訓練，完整勾勒警示帳戶的態樣，協助金融機構有效掌握可疑帳戶。到了第二階段，數位金融實務規範建議工作圈會把目標擴大到跨業聯防整合通訊軟體、電信資料等資訊，協力跨業資料整合。</p> <p>另外，由凱基金控擔任召集人的金融科技投資交流工作圈，他們計畫成立金融科技母基金，這個基金將由LP(Limited Partner)與GP(General Partner)組成。母基金將投資不同主題的創投基金，預計募集2至3億美元，預計今年底就會完成第一輪1億美元的募資。</p> <p>最後，由國泰金控擔任召集人的異業生態共創工作圈，除了會推動金融業和醫療業互通數據，提高民眾申請保險理賠的效率。這個工作圈也將規畫透過產險聯盟區塊鏈，來將警政單位、醫療院所及產險公司等三方資料彙整於單一系統平臺，提高民眾申請交通事故產險理賠的便利性。</p> <p></p> </div></div></div>
2025/5/27 18:01作者李昀璇https://www.ithome.com.tw/news/169200
資安法修法進入委員會審查階段，新增條文擬納入協助民間應對重大資安事件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span>立法院針對《資安法》修法，目前已經進入到委員會審查階段，數位發展部資安署署長蔡福隆表示，目前《資安法》修法主要是針對五點在討論，目前主管機關以及協助民間企業處理重大資安事件朝野已有共識外，其他仍將持續凝聚共識中。</span></p> <p><span>原本行政院版第二條修正條文中，明定主管機關為數位發展部，國家資通安全業務也明定由數位發展部資通安全署辦理。不過，蔡福隆表示，審查會通過的條文中，同意《資安法》的主管機關為數位發展部，但資通安全業務的執行，除了刪除國家的字眼外，也修正為「由數位發展部指定資安專責機關辦理。」</span></p> <p><span>另外，《資安法》第四條「為提升資通安全，政府應提供資源，整合民間及產業力量，提升全民資通安全意識，並推動包括：培育資安專業人才、發展資安產業及發展相關軟硬體規範等四款條文。</span></p> <p><span>但委員會審查時，朝野共識在第四條第一項新增第五款條文，主要內容為「協助民間處理、因應及防範重大資通安全事件。」</span></p> <p><span>由於《資安法》的適用對象包括：公務機關以及關鍵基礎設施在內的特定非公務機關，民間企業不在該法的適用範圍內，對於新增的修正條文是否踰越母法的適用對象，蔡福隆有不同看法。</span></p> <p><span>蔡福隆認為，新增條款重點在於「民間發生重大資安事件」需要政府協助，並不是所有的資安事件都需要政府主動介入，數位發展部基本上算是「被動的」，在民間有需要的時候，政府才需要出面提供協助。</span></p> <p><span>他說：「發生重大資安事件時，受駭企業至少會需要做到報案和通報中央目的事業主管機關，」屆時，數位發展部就可以因應中央目的事業主管機關的要求，可以委由從去年一月，就由國家資通安全研究院（簡稱資安院）負責維運、協助民間企業處理資安事件的TWCERT/CC（臺灣電腦網路危機處理暨協調中心），出面協助民間企業處理相關的資安事件。</span></p> <p><span>不過，他強調，對於其他的《資安法》修正條文，各界還有不同的期待和想法，仍需要持續的溝通討論才會有共識。</span></p> <div class="ui-widget-content ui-draggable" id="haloword-lookup" style="position: relative;"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"> </div> </div> <div id="haloword-content"> </div> </div> <div class="ui-widget-content" id="haloword-lookup"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"> </div> </div> <div id="haloword-content"> </div> </div> <div class="ui-widget-content" id="haloword-lookup"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"></div> </div> <div id="haloword-content"> </div> </div> </div></div></div>
2025/5/27 18:32作者黃彥棻https://www.ithome.com.tw/news/169202
中國駭客TA-ShadowCricket控制全球逾2千臺伺服器，44臺在臺灣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期有部分鮮為人知的中國駭客遭到資安研究人員起底，其中不少攻擊範圍涵蓋臺灣，引起國內媒體高度關注。</p> <p>根據<a href="https://news.ltn.com.tw/news/world/breakingnews/5053043">自由時報</a>、<a href="https://www.ettoday.net/news/20250524/2966409.htm">ETtoday新聞雲</a>等多家媒體的報導，資安業者AhnLab與韓國國家網路安全中心（NCSC）聯手，<a href="https://asec.ahnlab.com/en/88137/">針對名為TA-ShadowCricket、Shadow Force的中國駭客組織</a>，揭露相關攻擊行動的長期調查結果。這些駭客約從2012年開始活動，積極對亞太地區國家下手，通常會針對曝露在網際網路的Windows Server主機，或是管理不善的SQL Server而來，植入IRC機器人或後門程式。</p> <p>而對於這些駭客控制的範圍，迄今駭客於全球72個國家、超過2千個IP位址，部署IRC伺服器並充當C2。其中，受影響最嚴重的國家是中國、韓國，分別有895臺、457臺主機，值得留意的是，臺灣也有44臺伺服器遭到這些駭客控制。AhnLab也在調查報告當中，提及TA-ShadowCricket偽造或盜用數家軟體廠商憑證簽署惡意軟體的現象，其中一家是臺灣軟體業者訊連科技（CyberLink），駭客於2012年曾偽造該公司憑證為惡意軟體簽章。</p> <p>針對這些駭客使用的作案工具，研究人員提及，雖然攻擊者活動期間超過10年，部分作案工具出現變化，但成功入侵之後的攻擊過程，大致能分成3個階段。</p> <p>首先，這些駭客利用惡意軟體下載工具，或是命令執行工具，於受害主機部署惡意軟體；接著，他們還會再部署後門程式；到了第3階段，則是因應額外的惡意行為，植入其他的作案工具。</p> <p>而在攻擊過程裡，TA-ShadowCricket通常會使用名為Pemodifier的工具竄改系統檔案，以便順利載入惡意DLL檔案。對於後門程式的部分，這些駭客在2021年之前使用Shadowforce，但後續被名為Maggie的惡意程式取代。在部分受害主機裡，他們看到駭客植入鍵盤側錄工具、竊資軟體，或是挖礦軟體的情況。</p> <p>研究人員指出，這些駭客以韓國為基地暗中竊取資料，活動時間長達13年，從未向受害組織勒索，或是於暗網公布竊得資料的訊息來牟利，再加上作案工具、駭客從中國IP位址存取C2伺服器等證據，他們認為很有可能是中國資助的駭客組織，但在部分行動當中，這些駭客又從事挖礦攻擊，使得研究人員對於這些駭客是否有中國政府在背後撐腰，抱持保留的態度。</p> </div></div></div>
2025/5/27 17:07作者周峻佑https://www.ithome.com.tw/news/169197
AI助手GitLab Duo存在漏洞，恐被用於挾持AI回應、洩露程式原始碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>生成式AI廣泛受到開發者運用，一旦這類應用程式出現弱點，就有可能遭到利用，藉此影響軟體開發安全。</p> <p>根據資安業者Legit Security的研究，<a href="https://www.legitsecurity.com/blog/remote-prompt-injection-in-gitlab-duo">AI助理GitLab Duo有資安弱點</a>，攻擊者可藉由埋入的註解，導致GitLab Duo洩露開發人員處理的程式原始碼，並且在回應裡注入不受信任的HTML內容。研究人員於2月12日通報此事，GitLab已進行確認並完成修補。</p> <p>GitLab Duo是以Anthropic開發的大型語言模型Claude為基礎打造的AI助理，於2023年6月推出，後來在去年4月加入了<a href="https://www.ithome.com.tw/news/162433">聊天機器人Duo Chat</a>的功能，讓用戶能透過自然語言進行互動。此助理能提供開發人員程式碼建議、審查程式碼安全、分析合併請求（Merge Request，MR）等工作。</p> <p>而Legit Security在這款人工智慧助理當中，發現遠端提示注入漏洞，攻擊者只要透過Duo Chat，就能從私人專案竊取原始碼、竄改程式碼建議並顯示給其他用戶，甚至還可以洩露機密資訊，或是零時差漏洞。</p> <p>研究人員也對於攻擊者如何利用漏洞提出說明，首先，攻擊者可在GitLab專案當中，於合併請求的敘述及註解、提交的訊息、問題（Issue）的敘述及註解，或是原始碼等處埋入提示內容。</p> <p>為了避免這些提示被資安系統察覺意圖，研究人員透過Unicode挾帶（Unicode Smuggling）、Base16演算法、KaTeX渲染手法來達到目的。而這麼做還能讓使用者無法在網站上看到相關提示，但Duo卻會在生成建議的時候存取。</p> <p>而這些提示的內容，包含了操縱Duo程式碼建議（例如下達指示於輸出結果納入惡意JavaScript套件）、在Duo回應加入惡意URL，以誘騙開發人員存取假的登入網頁，或是說服Duo惡意合併請求其實是安全的，從而誤導審查人員。</p> <p>一旦使用者向Duo提出問題，此AI助理就會運用攻擊者埋藏的提示，從而導致原始碼洩露。研究人員指出，由於Duo取得的權限與受害者相同，而能夠存取受害者的私人程式碼，若攻擊者再要求Duo進行特定的合併請求，Duo 就可能根據攻擊者提示的內容，此時Duo Chat輸出就會存在弱點，而能用於HTML注入。</p> </div></div></div>
2025/5/27 15:47作者周峻佑https://www.ithome.com.tw/news/169196
Fintech周報第266期：日本最大銀行三菱UFJ開始用GenAI生成大型主機PL/I程式碼，提升開發效率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><strong style="font-weight: bold;"><span style="font-size: 18px;"><span style="color: rgb(139, 69, 19);">5/19-5/23金融科技精選新聞</span></span></strong></h3> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; background-color: rgb(247, 247, 247);"><strong style="font-weight: bold;"><span style="font-size: 16px; color: rgb(0, 0, 205);">#GenAI</span></strong><strong style="font-size: 16px; font-weight: bold;"><span style="color: rgb(0, 0, 205);"> #三菱UFJ銀行</span></strong></h3> <h3>日本最大銀行三菱UFJ開始用GenAI生成大型主機PL/I程式碼，提升開發效率</h3> <p>日本三菱UFJ銀行近日宣布，要開始在核心系統現代化計畫中，運用GenAI來生成PL/I程式碼，提升計畫的開發效率。除了要推動核心系統現代化，他們也要推動「現代化開發」計畫。</p> <p>日本三菱UFJ銀行表示，他們近幾年積極推動核心系統架構現代化，在持續使用大型主機的同時，將部分功能模組從大型主機遷移至開放式、容器化架構的現代化系統，要讓銀行核心系統以混和式的架構運作。為了實現這套架構，他們打造了一個橫跨大型主機和現代化系統的混和開發平臺，並預計今年開始在這套平臺上運用GenAI生成程式碼，實現現代化的開發。</p> <p>日本三菱UFJ銀行表示，他們希望透過導入GenAI，不僅能提高開發效率，還能減緩工程師在開發大型主機和現代化系統時的不適應，培養兼具兩種系統開發能力的IT人才。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; background-color: rgb(247, 247, 247);"><strong style="font-weight: bold;"><span style="font-size: 16px; color: rgb(0, 0, 205);">#金融上雲</span></strong><strong style="font-size: 16px; font-weight: bold;"><span style="color: rgb(0, 0, 205);"> #核心系統上雲</span></strong></h3> <h3>日本純網銀Sony銀行完成核心系統全面上雲</h3> <p>日本Sony旗下子公司Sony銀行近日宣布，他們已經完成核心系統上雲，並正式開始營運。這間在2001年成立的銀行，從2011年就啟動上雲計畫。2013年，Sony銀行開始逐步將內部系統遷移上雲。2019年底，Sony銀行百分之80系統已在雲端上運作。</p> <p>2021年，Sony銀行開始啟動核心系統遷移上雲計畫。他們改造了既有的核心系統，除了採用雲端原生架構設計，也特別加強微服務架構，確保系統能保證資料流通一致。完成核心系統上雲後，Sony銀行幾乎全數系統已在雲端上運作。Sony銀行執行長Keiji Minami表示，這次完成核心系統上雲對他們未來發展非常重要，因為他們建立了一個能和運用雲端服務的公司更方便合作的環境。Keiji Minami也表示，未來會進一步加強和Sony集團合作，提供更多web3產品和服務，實現無邊界數位銀行的目標。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; background-color: rgb(247, 247, 247);"><strong style="font-weight: bold;"><span style="font-size: 16px; color: rgb(0, 0, 205);">#GenAI</span></strong><strong style="font-size: 16px; font-weight: bold;"><span style="color: rgb(0, 0, 205);"> #玉山銀行</span></strong></h3> <h3>玉山銀行揭露兩大AI核心計畫，今年將推出超過10項GenAI應用</h3> <p>玉山銀行近日揭露兩項AI核心計畫，分別是打造AI Agent平臺，以及將圖分析技術嵌入現有防炸金流模型，提升防詐偵測準確度。</p> <p>針對AI Agent平臺，玉山銀行將透過單一對話介面整合多元專業代理人。玉山銀行科技長張智星表示，預計在今年推出超過10項GenAI應用服務。並且，他們也要發展玉山的AI Agent框架，用來支持GenAI應用快速發展。而AI 金融顧問助理將會是第一支透過這個框架開發出的應用服務。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; background-color: rgb(247, 247, 247);"><strong style="font-weight: bold;"><span style="font-size: 16px; color: rgb(0, 0, 205);">#GenAI</span></strong><strong style="font-size: 16px; font-weight: bold;"><span style="color: rgb(0, 0, 205);"> #國泰金控</span></strong></h3> <h3>國泰金控要靠自建金融知識LLM，打造臺灣首個金融AI Agent</h3> <p>國泰金控近日宣布，未來會聚焦發展AI Agent，要透過和Nvidia合作，打造臺灣首個金融AI Agent。為了強化AI Agent發展，國泰金控也調整了集團GenAI技術框架，在框架中新增了AI Agent模組。</p> <p>此外，國泰金控發表了一項臺灣金融知識LLM的實驗案。這個由國泰金控打造的臺灣金融知識LLM，未來也將作為金融AI Agent背後的核心大腦引擎，支援多元金融服務應用。</p> <p>國泰金控表示，模型訓練結果顯示，完成訓練後的模型可以通過授信證照考試，並維持繁體中文泛化理解能力。三種開源模型在完成預訓練和微調後，進階金融授信知識正確率都有近九成，甚至超過九成的正確率。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; background-color: rgb(247, 247, 247);"><strong style="font-weight: bold;"><span style="font-size: 16px; color: rgb(0, 0, 205);">#GenAI</span></strong><strong style="font-size: 16px; font-weight: bold;"><span style="color: rgb(0, 0, 205);"> #第一銀行</span></strong></h3> <h3>第一銀行公開最新GenAI行動方案GALA計畫，優先賦能員工素養，再聚焦兩大發展重點</h3> <p>第一銀行近日公開自家的GenAI策略布局，他們推動了一項名為Project GALA的行動方案，要推動生成式AI民主化、加速員工採用生成式AI。</p> <p>在Project GALA中，第一銀行定義了一個價值金字塔，用來評估、辨識各個GenAI應用案例的價值貢獻程度。這個價值金字塔共有四個層級，從金字塔最底層往上，分別是提升個人效率、創造集體智慧、改善部門流程，和推動業務創新。</p> <p>Project GALA其中一項推動事項，是要推動行銷資料上雲，這是第一銀行看重的GAI發揮場景。第一銀行的行銷資料上雲計畫分為三階段進行，他們已完成第一階段開放資料導入和建立GenAI實驗環境，目前正在建立混和雲和資料湖，最終目標是打造一個雲端AI的客戶資料平臺(CDP)，整合包括App、網站、LINE、EDM等接觸點。</p> <p>Project GALA的另一項推動事項，是要推動資安基礎設施上雲。目前，第一銀行正在測試導入SASE架構。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; background-color: rgb(247, 247, 247);"><strong style="font-weight: bold;"><span style="font-size: 16px; color: rgb(0, 0, 205);">#GenAI</span></strong><strong style="font-size: 16px; font-weight: bold;"><span style="color: rgb(0, 0, 205);"> #金融AI調查</span></strong></h3> <h3>金管會調查顯示，約16%金融業者已導入生成式AI</h3> <p>金管會近日公布今年度的金融業應用AI調查結果，383家金融機構及周邊單位中，已有61家業者導入生成式AI。調查顯示，臺灣金融業者應用生成式AI以內部行政作業與智能客服最為普遍，主要挑戰包含生成式AI產出內容不穩定或有誤、顧慮資料安全與隱私保護，並關切合規性問題。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; background-color: rgb(247, 247, 247);"><strong style="font-weight: bold;"><span style="font-size: 16px; color: rgb(0, 0, 205);">#GenAI</span></strong><strong style="font-size: 16px; font-weight: bold;"><span style="color: rgb(0, 0, 205);"> #西班牙對外銀行</span></strong></h3> <h3>西班牙第二大銀行BBVA在銀行App推財務教練，能分析用戶財務狀況並提供個人化建議</h3> <p>西班牙對外銀行近日宣布推出新版本銀行App，除了更新既有的虛擬助理，也新增財務教練，能分析用戶的財務狀況，包括對用戶的收入、支出、儲蓄和貸款進行初步評估，再提供具體的改善步驟。</p> <p>早在今年2月，西班牙對外銀行就在銀行App上線虛擬助理，這個助理透過LLM打造，能根據用戶的交易資訊和先前的互動，來回應用戶問題。並且，若用戶在和虛擬助理互動過程中，突然需要離開對話，虛擬助理也能維持原有的對話邏輯。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; background-color: rgb(247, 247, 247);"><strong style="font-weight: bold;"><span style="font-size: 16px; color: rgb(0, 0, 205);">#金管會</span></strong><strong style="font-size: 16px; font-weight: bold;"><span style="color: rgb(0, 0, 205);"> #虛擬資產保管</span></strong></h3> <h3>4銀行已申請虛擬資產保管業務、金管會6月再開放申請</h3> <p>金管會近日在例行記者會中，揭露虛擬資產保管業務試辦的申請近況。截至114年4月底，已有4家金融機構申請辦理虛擬資產保管業務主題式業務試辦，分別是凱基銀行、中國信託銀行、聯邦銀行、國泰世華銀行。目前尚有一間業者正在接受輔導，為台新銀行。另外，金管會創新處處長胡則華表示，考量許多金融機構仍有意參與虛擬資產業務試辦，將於今年6月15日再度開放受理申請案件。</p> <p>近日金融科技創新園區舉辦的活動中，上海商銀也針對虛擬資產保管業務試辦提出了相關規畫，例如以虛擬資產創新實驗室作為主題，透過在金融科技創新園區中建立企業實驗室，和新創業者合作推動虛擬資產保管實證案。上海商銀也在活動中表示，期望能在今年第三季中，完成虛擬資產保管的技術驗證。</p> <p>其他重要Fintech新聞：</p> <ul> <li>JPMorgan Chase和科技公司合作釋出開源量子程式庫</li> <li>永豐銀行啟用專屬短碼識別簡訊通知</li> </ul> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">責任編輯／李昀璇</span></p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">圖片來源</span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);">／</span>MUFG</p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">資料來源：iThome整理，2025年5月</p> <p></p> </div></div></div>
2025/5/26 19:15作者李昀璇https://www.ithome.com.tw/news/169176
5,300臺網路設備遭殭屍網路綁架，中國駭客ViciousTrap利用未有修補程式的已知漏洞入侵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>提供中小企業及SOHO族使用的網路設備，即使廠商因生命週期結束（EOL）不再提供修補，用戶往往因為仍然能夠運作，並未汰換而是繼續使用，這樣的情況也變成駭客眼中的肥羊，且有越來越多設備遭到控制。</p> <p>例如，最近資安業者Sekoia對於追蹤思科路由器漏洞CVE-2023-20118的攻擊行動，<a href="https://blog.sekoia.io/vicioustrap-infiltrate-control-lure-turning-edge-devices-into-honeypots-en-masse/">揭露最新的發展</a>，他們原本在<a href="https://blog.sekoia.io/polaredge-unveiling-an-uncovered-iot-botnet/">今年1月底至2月上旬</a>，發現有人利用這項漏洞，綁架思科的小型路由器設備，組成殭屍網路PolarEdge，當時已有逾2千臺設備受害，如今研究人員發現，還有其他駭客組織也加入漏洞利用行列：中國駭客ViciousTrap已藉此綁架超過5千臺路由器，並在這些路由器植入Shell指令碼NetGhost，然後將流入的網路流量導向類似蜜罐陷阱（Honeypot）的基礎設施。</p> <p><a href="https://nvd.nist.gov/vuln/detail/cve-2023-20118">CVE-2023-20118</a>存在於思科小型企業路由器RV016、RV042、RV042G、RV082、RV320、RV325等6款機種的網頁管理介面，為遠端命令執行（RCE）漏洞，通過身分驗證的攻擊者能藉此遠端執行任意命令，CVSS風險評為6.5，屬中度風險。由於上述機種的生命週期已經結束，<a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-sbr042-multi-vuln-ej76Pke5">思科表明不會提供修補</a>，並強調沒有其他緩解措施，呼籲管理者停用特定連接埠與遠端管理功能，減輕漏洞造成的資安風險。值得留意的是，美國網路安全暨基礎設施安全局（CISA）今年3月證實此漏洞已被用於實際攻擊，<a href="https://www.cisa.gov/news-events/alerts/2025/03/03/cisa-adds-five-known-exploited-vulnerabilities-catalog">列入已遭利用的漏洞名單（KEV）</a>。</p> <p>但前述思科路由器並非駭客的唯一目標。Sekoia研究人員進一步對駭客的基礎設施調查，結果發現，他們也鎖定D-Link、Linksys、華碩、威聯通（QNAP），以及Araknis Networks等廠牌的網路設備。</p> <p>根據對於遭到駭客綁架的網路設備進行調查，研究人員認為這波攻擊的主要目標是亞洲，目的是廣泛透過能經由網際網路存取的設備，來建置蜜罐陷阱網路，從而收集尚未公開弱點或零時差漏洞，以便後續用於其他攻擊行動。此外，ViciousTrap入侵設備的管道，後續也可能被其他人重複利用。</p> <p>Sekoia最初於今年3月看到ViciousTrap利用CVE-2023-20118，一旦利用成功，就會使用ftpget下載bash指令碼並執行，下載專為MIPS系統打造的wget二進位程式。</p> <p>接著駭客再次利用相同的漏洞，透過剛才取得的wget接收另一個指令碼NetGhost。此指令碼在每次執行的時候都會建立受害設備的識別編號UUID，攻擊者疑似藉此建立列管受害設備的白名單，並從C2派送有效酬載。</p> <p>若是攻擊者成功啟動了NetGhost，此指令碼不僅會向C2伺服器發出通知，並透過iptables及特定連接埠重新導向流入的流量，清除原本指向攻擊者基礎設施的NAT規則，並加入新的重新導向規則，以及攻擊者監聽。最終NetGhost還會自我清除，避免留下作案痕跡。</p> <p>究竟ViciousTrap是否參與今年1月至2月的攻擊行動？目前仍不明朗，但Sekoia發現這些駭客於4月重複利用PolarEdge事故找到的Web Shell，由於要啟動該工具必須輸入密碼，不排除他們可能是Web Shell的開發團隊。</p> <p>針對這波攻擊活動的受害範圍，研究人員一共從84個國家當中，找到5,300臺受害設備，雖然駭客的主要鎖定標的是思科路由器，但他們提到NetGhost感染最嚴重的國家是澳門，有近850臺，原因卻是當地許多網路用戶使用D-Link的DIR-850L路由器，而成為駭客偏好下手的目標。</p> <p>值得留意的是，駭客重新導向的流量大多針對臺灣與美國，而中國並未遭到波及，這也加深Sekoia推測ViciousTrap來自中國的假設。附帶一提的是，這些駭客的基礎設施有部分與GobRAT相關，不過研究人員無法確認兩組人馬是否有所交集。</p> </div></div></div>
2025/5/27 12:44作者周峻佑https://www.ithome.com.tw/news/169195
OpenAI在韓國設立子公司
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據南韓媒體的報導，OpenAI周一（5/26）宣布在首爾創立了子公司。迄今OpenAI於全球已設立11個子公司，而首爾則是亞洲市場繼東京與新加坡之後的第三個子公司，值得一提的是，南韓的ChatGPT付費使用者數量僅次於美國市場。</p> <p><a href="https://www.koreaherald.com/article/10495708" target="_blank">韓國先驅報（Korea Herald）</a>引用OpenAI策略長Jason Kwon的說法，指出韓國提供了一個全棧式AI生態系統，從半導體到軟體，而且該國各個世代的人們都在日常生活中積極使用AI。</p> <p>OpenAI的統計顯示，韓國的ChatGPT每周活躍用戶數過去一年成長了4.5倍，不管是ChatGPT用戶數量，或是使用OpenAI API的開發者數量都在全球前十名。</p> <p>OpenAI本周只宣布成立子公司，但真正的辦事處要在數月後才會啟用。<a href="https://en.yna.co.kr/view/AEN20250526005300320" target="_blank">韓國聯合通訊社Yonhap報導</a>，在此之前，OpenAI便已與當地的網路公司Kakao、遊戲業者Krafton及電信業者SK Telecom合作AI技術及資料中心的開發。</p> <p>其它的OpenAI全球子公司還設在巴黎、倫敦、都柏林及布魯塞爾等。</p> </div></div></div>
2025/5/27 11:52作者陳曉莉https://www.ithome.com.tw/news/169192
GitHub MCP曝嚴重漏洞，惡意Issue可誘使AI代理外洩私有儲存庫資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>瑞士新創安全公司Invariant Labs<a href="https://invariantlabs.ai/blog/mcp-github-vulnerability">揭露</a>一項影響廣泛的嚴重資安漏洞，涉及目前社群積極推動並與GitHub平臺整合的MCP（Model Context Protocol）伺服器。該漏洞可使攻擊者僅透過在公開儲存庫建立特製的GitHub Issue，誘使人工智慧代理如Claude Desktop等現有支援MCP技術的人工智慧開發工具，在特定授權情境下，將用戶私有儲存庫中的敏感資料外洩至公開儲存庫。</p> <p>該漏洞的關鍵在於人工智慧代理在用戶授權後，會依照開發者對GitHub MCP伺服器的查詢，自動執行讀取指定儲存庫Issue、建立拉取請求等操作，而攻擊者只需在目標用戶的公開儲存庫新增具惡意提示詞注入的Issue，當用戶請求人工智慧代理檢視該儲存庫的公開Issue時，代理即可能受提示詞操控，在自動授權設定下擷取用戶帳號的私有儲存庫內容，最終將敏感資訊透過拉取請求等方式洩漏於公開儲存庫。</p> <p>此攻擊流程不仰賴複雜的權限提升或伺服器漏洞，而是利用MCP協定與代理授權的機制。人工智慧代理雖具用戶確認操作的安全設計，但部分用戶為提升操作效率，可能選擇總是允許等預設授權，讓代理可於無人監督下執行多項行動，進一步增加提示詞注入攻擊成功的機會。</p> <p>研究人員進一步說明，這類惡意代理流程漏洞，並非MCP本身的程式碼缺陷，也非傳統伺服器權限設定問題，而是生成式人工智慧代理工具與第三方平臺整合時，未妥善限制其跨儲存庫或跨權限操作的架構性問題。即使採用已加強對齊與安全訓練的先進人工智慧模型，在實驗場景下仍無法有效防範這類提示詞注入的複合攻擊。</p> <p>針對這類風險，研究人員建議組織與開發團隊在導入MCP等人工智慧代理技術時，應落實權限最小化原則，僅開放代理存取必要的儲存庫範圍。目前未有官方修補方案，且由於屬於架構設計層級的安全議題，現階段僅能透過額外的安全層或代理行為監控工具降低潛在風險。</p> </div></div></div>
2025/5/27 12:00作者李建興https://www.ithome.com.tw/news/169191
Glitch將關閉程式代管服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.glitch.com/post/changes-are-coming-to-glitch/" target="_blank">協作程式開發平臺Glitch上周宣布</a>，即將於7月8日關閉該專案的代管服務以及使用者個人資料，至於Glitch儀表板則可持續使用至今年底。外界認為這基本上是宣布要結束Glitch了。</p> <p>Glitch的前身為Fog Creek Software，創立於2000年，在打造出程式開發及部署平臺Glitch之後，於2018年更名為Glitch，接著在2022年賣給了美國雲端運算平臺Fastly。</p> <p>Glitch執行長Anil Dash表示，此次的決定有幾個原因，一是執行數百萬個程式需要花費大量的時間與金錢，然而，隨著平臺的老化以及惡意人士企圖濫用該平臺，更讓情況雪上加霜；此外，過去幾年他們也看到了許多令人讚嘆的新平臺，這些平臺提高了人們建置與執行應用程式的標準，如同十年前的Glitch。</p> <p>雖未明說，但上述言論等於表明了Glitch準備退出市場。</p> <p>目前Glitch已不再接受新的Glitch Pro訂閱，也會退款給既有Glitch Pro用戶，今年底前都仍可透過Glitch儀表板下載所有專案的程式碼，之後也將有一個新功能可將專案的子網域重新定向，確保網址能夠繼續運作。</p> </div></div></div>
2025/5/27 12:16作者陳曉莉https://www.ithome.com.tw/news/169193
OpenAI將Operator模型升級為具推理能力的o3
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://x.com/OpenAI/status/1925963018791178732" target="_blank">OpenAI本周宣布</a>將Operator代理人使用的模型，由GPT-4o升級為具推理思維能力的o3。</p> <p>Operator為ChatGPT的電腦使用代理人（Computer-Using Agent，CUA），為ChatGPT賦予看/讀、寫/打字、點擊或操作滑鼠的能力，使其能代用戶執行多種任務，包括上網搜尋、操作應用程式、甚至訂餐廳、訂外送或下單。Operator今年1月先提供給美國，<a href="https://www.ithome.com.tw/news/167523" target="_blank">之後又陸續推向</a>巴西、日、韓及新加坡等國，且持續擴大到全球。</p> <p>目前Operator維持為研究預覽（research preview）版，還是僅限月付200美元的Pro方案用戶使用。</p> <p>OpenAI在官方X帳號說明，Operator升級使用o3模型後，它和瀏覽器互動時將會更持續、更準確，以提高任務的成功率。回應內容上也會更清楚、全面、更有條理。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0527-OpenAI-Operator-o3.png" style="width: 550px;" /></p> <p><a href="https://help.openai.com/en/articles/10561834-operator-release-notes" target="_blank">根據OpenAI說明</a>，新版使用o3的Operator在OSWord和WebArena測試結果，都較原有（4o）的Operator表現更好，成為新的SOTA，而在不論標竿測試和人類偏好評估上，也都超越使用o4的Operator。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0527-OpenAI-Operator-o3-benchmark(2).png" style="width: 600px;" /></p> <p>其他AI業者也正在開發類似Operator的代理人，包括Hugging Face的<a href="http://www.ithome.com.tw/news/168790" target="_blank">Open Computer Agent</a>能查詢Google Maps或使用圖片生成模型，Google可理解影片、共享螢幕的<a href="https://blog.google/technology/google-deepmind/gemini-universal-ai-assistant/#live-capabilities" target="_blank">Project Astra</a>現在則整合到Google Live。<span style="font-size:14px;"><span style="color:#696969;">圖片來源／OpenAI</span></span></p> </div></div></div>
2025/5/27 10:42作者林妍溱https://www.ithome.com.tw/news/169180
研究人員相信Careto駭客組織背後是西班牙政府
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcrunch.com/2025/05/23/mysterious-hacking-group-careto-was-run-by-the-spanish-government-sources-say/" target="_blank">Techcrunch引述消息人員報導</a>，11年前一個被視為世界上最狡猾的駭客攻擊行動，其實背後行動者是西班牙政府。</p> <p><a href="https://www.ithome.com.tw/news/85145" target="_blank">2014年資安業者卡巴斯基發現</a>一樁進階滲透攻擊（Advanced Persistent Threat，APT）行動，鎖定政府機關和能源企業，包括外交辦公室、大使館、能源或石油企業，目的在竊取機密資料如文件、加密金鑰、VPN配置等。經過分析，研究人員將其稱為Careto或The Mask，這是因為他們在其程式碼中發現到Careto（西語中的面具之意）的字樣。</p> <p>Careto最早現身於2007年，到2013年之間是其第一波活動期，而在沈寂幾年後<a href="https://www.kaspersky.com/about/press-releases/careto-apt-resurfaced-after-10-years-with-new-malicious-frameworks" target="_blank">2019年又再次活躍</a>。在前一次活動期間，Careto即已能使用極為複雜的惡意程式、rootkit、bootkit，除了能夠攔截所有的通訊管道且蒐集重要資訊外，其惡意程式還能隱身、針對防毒產品執行客製化的攻擊。它的目標平臺從Mac OS X、Linux外，到Android與iOS。到了近年，Careto的能力更提升為多模，能用惡意程式偷錄麥克風聲音、竊取瀏覽器或WhatsApp cookies，或是取得感染機器的控制權。而Careto的受害者國家也遍布歐洲、拉丁美洲到北、中非，受害組織高達數百。</p> <p>卡巴斯基從未明指Careto的身份，但Techcrunch最新報導引述卡巴斯基至少4名前員工指出，Careto/The Mask背後主謀者是西班牙政府。一名前員工透露，線索之一是一名古巴政府員工是西國巴斯克地區恐怖主義ETA成員。<a href="https://media.kasperskycontenthub.com/wp-content/uploads/sites/43/2018/03/20133638/unveilingthemask_v1.0.pdf" target="_blank">根據卡巴斯基的調查</a>，其他受害者分布地區包括摩洛哥、巴西、英國屬地直布羅陀等地，也都是和西班牙有歷史新仇舊恨。</p> <p>卡巴斯基拒絕評論報導。</p> <p>駭客組織與政府資源有關連，甚至直屬政府單位，在全球都不是罕見，並非只有北韓和中國如此。例如，Equation Group據信屬於美國國安局（NSA），Lamberts為中情局（CIA）所有，而Animal Farm背後是法國政府。</p> </div></div></div>
2025/5/27 08:39作者林妍溱https://www.ithome.com.tw/news/169179
微軟開源Aurora AI模型跨域天氣預報，準確度全面超越傳統數值模擬方法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟研究院<a href="https://news.microsoft.com/source/features/ai/microsofts-aurora-ai-foundation-model-goes-beyond-weather-forecasting/">宣布</a>開源Aurora AI基礎模型，該模型結合深度學習與大規模異質資料處理技術，除了能精確預報天氣，還可透過微調應用於海洋波浪及空氣品質等多種環境事件，推動氣象與地球系統科學的技術發展。</p> <p>根據微軟團隊發表於《Nature》期刊的論文，Aurora為大型人工智慧基礎模型，以超過一百萬小時來自衛星、雷達、氣象站及電腦模擬等多種來源的氣象與環境資料訓練而成。該模型不限於傳統天氣預報任務，其彈性架構可經有限微調，應用於颱風路徑預報、海浪高度及方向分析，甚至空氣污染事件預測。</p> <p>Aurora訓練所使用的資料規模，較多數同類人工智慧模型更為龐大，使其在不同預報任務能有效整合多元資料來源，例如在2023年杜蘇芮（Doksuri）颱風路徑預測，Aurora於事件發生前四天即能準確預測其將登陸菲律賓北部，當時美國聯合颱風警報中心（JTWC）則預測路徑較偏向臺灣附近。根據微軟研究團隊測試，Aurora於2022至2023年全球熱帶氣旋預報任務，軌跡預測表現於所有比較案例均優於七個主要氣象中心，這是機器學習模型首次在該領域全面超越傳統數值模式。</p> <p>除天氣與氣旋外，Aurora在海浪預報及空氣品質預測等複雜環境事件，同樣展現高度精確度。針對海浪預報，Aurora可捕捉細緻波浪結構變化，對於受颱風影響的極端海象能有更佳掌握。在空氣品質預測案例，儘管訓練階段未特別學習大氣化學反應，Aurora仍可透過少量空氣品質資料微調，有效預測沙塵暴等空氣污染事件，並大幅降低傳統方法的計算資源消耗。</p> <p>Aurora採用彈性的深度學習編碼器架構，能同時處理多源、結構多樣且維度複雜的資料，在推論階段可於數秒內產生中期氣象預報，速度約為傳統數值天氣預報系統的5,000倍，且運作成本明顯較低。研究團隊指出，Aurora每次微調作業僅需約4至8周即可完成，較傳統數值氣象模式開發周期大幅縮短。</p> <p>目前Aurora模型已整合至MSN Weather服務，並於Azure AI Foundry Labs上提供開發者試用及二次開發。微軟已釋出模型權重及部分原始碼，開發者可依需求進行微調，支援能源調度、農業風險預警、交通安全等多元應用。</p> </div></div></div>
2025/5/27 08:56作者李建興https://www.ithome.com.tw/news/169170
Dero惡意程式可自動感染公開Docker容器執行挖礦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Kaspersky<a href="https://securelist.com/dero-miner-infects-containers-through-docker-api/116546/">公開</a>新一波針對Docker API服務的自動化惡意程式攻擊，該攻擊以植入Dero加密貨幣挖礦程式為核心，專門鎖定存取權限管理不嚴的Docker容器環境，進行自動化散播及占用受害主機運算資源，最終形成具備自我擴散能力的挖礦僵屍網路。</p> <p>本次自動化攻擊流程主要仰賴兩支以Go語言撰寫，且經UPX壓縮的惡意程式，分別是名為「nginx」負責散播及持久化的元件，以及名為「cloud」的Dero加密貨幣挖礦程式。「nginx」並非一般網頁伺服器，而是假冒知名開源服務名稱以降低被偵測風險。</p> <p>「nginx」的主要功能包含持續監控自身與挖礦程式的運作狀態，還會主動掃描外部網路尋找可利用的Docker API，並將自身與挖礦程式植入新感染的容器。整個傳播過程無需依靠C2伺服器，攻擊完全仰賴感染主機的自動掃描與橫向擴散能力。</p> <p>攻擊者利用「nginx」程式隨機產生IPv4子網，並以掃描工具搜尋並鎖定開放Docker預設API埠口2375的主機。發現目標後，惡意程式會嘗試列出主機上的容器，當符合條件，便遠端新建以Ubuntu 18.04為基礎的惡意容器，並設為自動重啟以確保持續運作。新建容器將安裝必要相依工具，同時複製「nginx」與挖礦程式進入環境。為強化持久化，nginx會將自身啟動指令寫入/root/.bash_aliases，確保容器每次啟動時自動執行。</p> <p>除了新建容器，「nginx」也會檢查現有以Ubuntu 18.04為基礎且尚未感染的容器，並以相同方式植入惡意程式並啟動挖礦。這套自動化機制可在無須外部聯繫的情況，持續自我複製與擴散，任何未設防的Docker API都有可能成為僵屍網路的一部分。「cloud」挖礦程式則根據程式內預先寫入且經加密的設定，持續連接特定Dero礦池節點，利用受害主機的運算資源進行加密貨幣挖礦。</p> <p>該挖礦攻擊的一大特點，在於攻擊者採用加密方式儲存錢包地址及礦池節點資訊，進一步提升隱蔽性與調查難度。全球公開Docker API主機數量雖不多，但根據Shodan統計，2025年4月全球有超過520臺開放2375埠口的Docker API主機暴露於網際網路，皆為潛在受害目標。</p> </div></div></div>
2025/5/27 08:14作者李建興https://www.ithome.com.tw/news/169165
Google行銷年會宣布十多年來最大廣告競價技術更新，不靠關鍵字只靠語意觸發競價，也能用AI替廣告主競價冷門關鍵字廣告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年行銷年會Google Marketing Live中，Google延續力推AI驅動廣告業務的策略，宣布許多用生成式AI和AI相關的功能。其中，包括近月備受廣告主矚目的AI Overviews等AI驅動搜尋相關做法和產品，以及他們稱為「10多年來最大廣告競價技術躍進」的AI搜尋廣告相關功能。</p> <p>AI之外的另一大焦點則是YouTube廣告相關新功能。聯網電視（CTV）是數位廣告業界當下最愛的新興行銷通路，Google近2至3年來亦不斷強調，許多家庭會在自家大螢幕上觀賞YouTube，因此也算高品質、高成效、高廣告費的CTV通路。今年，他們更強調自家YouTube上的短影音Shorts，能觸及許多觀眾，是Tiktok、Meta等其他短影音通路所接觸不到。</p> <p><strong>AI類搜尋功能將新增更多廣告版位</strong></p> <p>首先，Google宣布將擴大經營AI類搜尋功能的廣告業務，包括以圖搜圖功能Google Lens、搜尋結果頁面的AI摘要功能AI Overviews，以及深度對話式搜尋功能AI Mode。他們表示，截至今年5月底，Lens已經有1千億次搜尋，其中有20%是具有購物意願的搜尋，蘊含龐大商機。去年，他們已經在Lens及行動版AI Overviews中加入廣告版位。</p> <p>今年，他們更拓展廣告版位到桌面端AI Overviews，並開始於AI Mode介面中置入廣告。Google表示，在AI Mode中，使用者通常會用更長的句子來搜尋，並持續與聊天機器人互動。從這些輸入中，系統可以更詳細了解使用者喜好與潛在購買意圖。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/gml%20aimodeads.png" style="width: 600px;" /></p> <p>對廣告主而言，這意味著有新的流量集散地，可以分配行銷預算。不過，對於希望導流到自家網站的網站主和SEO人員來說，Google把AI搜尋功能視為新營利手段，意味著0點擊（Zero-click）搜尋情況，也就是使用者搜尋完只看AI摘要，不點進網站的搜尋情境，將會持續加劇。</p> <p><strong>關鍵字廣告更加智慧化，可以靠AI自動競標冷門關鍵字，更能直接靠語意而非關鍵字來競標廣告</strong></p> <p>Google廣告商品線中最大宗的關鍵字搜尋廣告迎來重大更新。<a href="https://blog.google/products/ads-commerce/google-ai-max-for-search-campaigns/">5月初，Google才推出搜尋廣告業務中的AI工具AI Max for Search campaigns</a>。月底行銷年會上，他們又宣布在此工具推出兩大新功能。</p> <p>這兩大新功能，都可以與既有關鍵字競標模式Broad Match相比較。Broad Match運作方法是，當使用者搜尋與廣告主設定關鍵字語意相近的字詞時，就會觸發競標。例如，當使用者搜尋「健身教練推薦」，可能會出現關鍵字清單中含有「私人健身教練」的廣告。這是Google關鍵字廣告預設競標模式。</p> <p>如今，Google指出，隨著搜尋內容不再只是關鍵字，而是包含長語句、圖像，甚至互動式對話，行銷人員很難人工建立廣告活動或挑選關鍵字清單。AI Max的兩大新功能，正是分別根據語意和情境，進一步拓展自動替廣告主競標廣告的情境。</p> <p>首先是根據語意而非關鍵字來觸發競標的Keywordless Targeting。運作模式是，系統會從品牌的入口頁、現有廣告，甚至是關鍵字清單中學習，推測品牌銷售的內容以及應該在什麼情境下投放廣告。廣告主可以一鍵式選擇開啟此功能，直接套用於既有搜尋廣告上。</p> <p>舉例來說，假設今天有使用者搜尋「適合大家庭的電動SUV」，即便Volvo並未設定這組字詞為投放條件，AI Max系統仍能讓Volvo的廣告出現在搜尋結果頂部。不只如此，Google還強調，AI Max會結合使用者輸入字詞背後意圖，與品牌既有網站內容與創意素材中，來即時生成一個對應這組查詢、具備客製化文字的廣告文案。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/gml%20kwdtgt.png" style="width: 600px;" /></p> <p>第二個則是Google稱為十多年來最大競價技術躍進的Smart Bidding Exploration。此功能利用AI來根據品牌和商品相關情境，自動探索冷門關鍵詞來競標，以求在顧及行銷成效同時，壓低關鍵字競標的成本。</p> <p>相較於Broad Match是在關鍵詞語意相近時，觸發廣告競價，Smart Bidding Exploration選擇的關鍵字，甚至可能與廣告主預設關鍵字清單內容毫無關聯，而是AI根據商品情境判斷可能觸及潛在品牌受眾的關鍵字。此功能於<a href="https://www.ithome.com.tw/news/165907">去年11月開始測試版</a>，如今正式推出。</p> <p>另一個搜尋廣告相關更新是，Google開始在搜尋結果頁面及Google Shopping頁面中測試影片廣告。</p> <p>Google提醒，隨著搜尋形式更加多模態，如今SEO應該注重多媒體內容，在影片和圖片內容下功夫。尤其，Google近一年不斷嘗試呈現更多元化的搜尋結果形式，背後都需要從網站內容中自動提取多媒體素材來製作。</p> <p><strong>強調YouTube既有長處，升級新客獲取相關功能並翻新創作者合作平臺</strong></p> <p>Google強調，YouTube作為全球最大影音平臺，靠廣告來獲取品牌新客的效果尤其強大。今年，他們開始用更先進的模型，從全Google通路來分析使用者旅程，以強化辨認品牌潛在新客戶的能力。並且，在廣告投放後臺中，新增可以排除已認識特定品牌受眾的選項，來進一步增強獲取新客效果。</p> <p>他們也推出全通路品牌行銷成效追蹤功能。廣告主可以從後臺追蹤受眾於Google不同通路中，與自家品牌相關的行為。例如，在YouTube上看到有興趣的品牌廣告，再回到Google搜尋相關商品。</p> <p>另一個更新是在YouTube廣告中新增CTV的購物廣告格式。Google表示，如今許多YouTube觀眾會在家庭中的電視螢幕觀看影片，同時手中拿著手機。這類廣告支援觀眾直接透過廣告在CTV上購物，或是透過掃描QR Code，用手中的手機來購物。</p> <p>最後，他們翻新Creator Partnership Hub，廣告主可以搜尋與自家商品主題相關的YouTube創作者，並瀏覽創作者的行銷相關數據、合作價格等資訊。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/gml%20cph.png" style="width: 600px;" /></p> <p><strong>用生成式AI和代理式AI強化廣告後臺系統</strong></p> <p>Google Ads和Merchant Center將迎來多個GenAI和Agentic AI相關更新。</p> <p>第一大類是用GenAI協助行銷素材創作及行銷策略優化。</p> <p>Google宣布，Google Ads中推出Asset Studio，一個生成式AI素材創作及編輯平臺，利用Veo和Imagen等影音模型，可以進行圖文編輯、圖片轉影片、影音尺寸調整，以及用AI拓展動靜態影像的背景內容等功能。</p> <p>另外，未來在Google Ads跟Merchant Center裡面，可以根據品牌商品資料和時下趨勢來推薦行銷商品、文案、建議價格等細節，並讓廣告主一鍵執行後，追蹤、A/B測試的功能。Merchant Center中，則新增跨通路影片管理介面，其中有AI推薦影音行銷優化方向的功能。</p> <p>第二大類，則是可以根據當下情境及資料，更加主動提供廣告主協助的AI代理功能。</p> <p>首先是預計今年年底推出的Marketing Advisor。這是一個AI代理，在Chrome Browser中以一個聊天機器人視窗的形式呈現。此AI代理可以在行銷人員不同工作階段提供協助，還可以自動找到Google Ads不同設定上的錯誤，自動修正後追蹤、回報。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/gml%20mkadv.png" style="width: 600px;" /></p> <p>Google還宣布兩個沒有揭露預計推出時間的AI代理。在Google Ads，Google計畫推出可以主動建議廣告關鍵字、受種圈選方法、行銷素材選擇的AI代理；在Google Analytics，則要推出主動提供數據趨勢分析和洞察和製作報表的AI代理。</p> <p>今年年會中，Google還宣布推出Commerce Media Suite，讓零售業者可以利用自家第一手資料和品牌合作投放廣告。Google沒有詳細介紹此功能，<a href="https://www.ithome.com.tw/news/161920">但與去年開始在Search Ads 360測試的功能類似。</a>另外，Google Ads跟Google各種行銷平臺的行銷資料API整合成一個Data Manager API，讓MarTech廠商及廣告主從不同資料來源存取行銷相關資料時更容易。</p> <p></p> </div></div></div>
2025/5/26 21:58作者郭又華https://www.ithome.com.tw/news/169178
【資安日報】5月26日，歐美大國攜手執法，3天內破壞7個Botnet
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一年前歐洲刑警組織Europol協調十多個國家的執法機構，展開終局行動Operation Endgame，破壞5款被用於散布惡意程式的殭屍網路病毒，現在歐洲刑警組織採取第二波行動，受到外界的高度關注。</p> <p>這次的Operation Endgame 2.0針對7款殭屍網路而來，其中特別受到注意的是，Qakbot曾在2023年就被圍勦，但駭客改變手法持續犯案，這次美國起訴了其首腦，並沒收2,400萬美元不法所得。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169153"><strong style="font-size: 22px;">思科修補ISE、CUIC的阻斷服務及權限提升漏洞</strong></a></p> <p>思科5月21日釋出安全更新，修補影響2項產品的3項漏洞。</p> <p>漏洞之一位於身分驗證服務（Cisco Identity Services Engine，ISE）RADIUS訊息處理功能CVE-2025-20152。它出於對RADIUS呼叫訊息處理不當，攻擊者可傳送特定驗證呼叫，給使用思科ISE軟體的網路裝置進行驗證、授權和計費（Authentication, Authorization and Accounting，AAA）來濫用該漏洞。成功濫用可導致引發阻斷服務（Denial of Service，DoS）攻擊，讓思科ISE不斷重新載入而無法運作，CVSS風險值達8.6分。</p> <p>另外兩項漏洞是CVE-2025-20113及CVE-2025-20114，影響思科統合智能中心（Unified Intelligence Center，CUIC），此為思科客服中心套件的Web報告平臺。其中CVE-2025-20113是出於該產品API呼叫、或HTTP呼叫的使用者參數的伺服器端驗證不足。攻擊者可傳送假造的API或HTTP呼叫，到CUIC系統濫用漏洞；CVE-2025-20114則是出於UIC對API呼叫參數的驗證不足，讓攻擊者可傳送API呼叫濫用，以執行直接物件參照攻擊，結果是水平權限擴充，攻擊者得以存取裝置上不同用戶的資料，風險值為7.1、4.3。</p> <p><a href="https://www.ithome.com.tw/news/169156"><strong style="font-size: 22px;">Node.js程式庫Samlify存在近滿分重大漏洞，攻擊者可輕易冒充管理員身分</strong></a></p> <p>受廣泛採用的Node.js SAML單一登入（SSO）程式庫Samlify，存在重大層級的資安漏洞CVE-2025-47949，可使攻擊者繞過身分驗證，冒充高權限管理員帳號。資安公司Endor Labs研究人員提到，該漏洞允許未經授權的第三方利用簽章驗證機制的弱點，偽造SAML回應並取得包括管理員在內任何用戶身分。</p> <p>研究人員指出Samlify於2.10.0版本之前，在XML簽章驗證機制上存在簽章包裝（Signature Wrapping）攻擊風險。攻擊者可利用合法簽署的SAML XML文件，在原有內容插入惡意SAML斷言（Assertion），並藉由程式庫解析邏輯缺陷，規避加密驗證流程。伺服器端就可能誤接受未經簽章驗證的身分資訊，導致攻擊者可偽裝成任意用戶，包含系統管理員，登入目標應用或服務。</p> <p>Samlify長期作為Node.js生態系內簡化SAML 2.0實作的重要程式庫，藉由高階API設計，供開發者簡單串接身分辨識與存取管理流程，被廣泛用於企業、雲端供應商及開發工具。根據NPM統計，Samlify每周下載量超過20萬次，且有超過60個開源專案直接相依。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/google-chrome-update-8-security-fixes-including-high-severity-flaw/">Google發布Chrome 137，修補高風險記憶體使用後再存取利用漏洞</a></strong></p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/05/vicioustrap-uses-cisco-flaw-to-build.html">思科小型路由器遭鎖定，駭客ViciousTrap利用已知漏洞入侵</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/stealthy-skimmer-new-formjacking-malware-targets-woocommerce-checkouts/">表單挾持軟體Stealthy Skimmer鎖定WooCommerce電商網站而來</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/05/hackers-use-fake-vpn-and-browser-nsis.html">惡意軟體Winos 4.0透過冒牌VPN和瀏覽器安裝程式散布</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/rhadamanthys-stealer-returns-copyright-phishing-targets-europe/">竊資軟體Rhadamanthys捲土重來，假借社群網站內容侵權散布</a></strong></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169158"><strong style="font-size: 22px;">歐洲刑警組織大執法！3天破壞7個Botnet，查封300臺伺服器、650個網域</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/endgame-image3_4.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/endgame-image3_4.jpg" style="width: 300px; float: right;" /></a>去年5月歐洲刑警組織Europol聯手美國、英國等十多個國家的執法機構進行執法行動Operation Endgame，對於多款殭屍網路Bumblebee、IcedID、Pikabot、Smokeloader、Trickbot查封伺服器及相關網域，重創駭客利用這些殭屍網路病毒散布各式惡意軟體的現象，如今這些執法單位採取第二波行動，並公布成果。</p> <p>5月23日歐洲刑警組織Europol宣布，他們與歐洲司法組織Eurojust，以及加拿大、丹麥、法國、德國、荷蘭、英國、美國的執法機關聯手，從事執法行動Operation Endgame 2.0，自5月19日至22日，這些執法單位一共查封約300臺伺服器、封鎖650個網域，並對20名嫌犯發布全球通輯令，查獲350萬歐元加密貨幣不法所得，使得累計查獲贓款達到了2,120萬歐元。</p> <p>而這次他們主要的執法目標，聚焦在駭客用來取得初始入侵管道，並導致受害組織被植入勒索軟體的惡意程式，包含Bumblebee、DanaBot、Hijackloader、Lactrodectus、Qakbot（QBot）、Trickbot，以及Warmcookie。另一方面，美國司法部（DOJ）也根據上述執法行動，起訴從事Qakbot、DanaBot相關的網路罪犯。</p> <p><a href="https://www.ithome.com.tw/news/168969"><strong style="font-size: 22px;">【臺灣資安大會直擊】國家級APT駭客族群如何濫用生成式AI？</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（主圖）臺灣資安大會Christopher B Porter_國家級APT_攝影羅正漢.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E5%A4%A7%E6%9C%83Christopher%20B%20Porter_%E5%9C%8B%E5%AE%B6%E7%B4%9AAPT_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 300px; float: right;" /></a></p> <p>在今年臺灣資安大會上，生成式AI與資安的議題無疑是最大焦點，例如，來自Google Cloud國際資安合作的專家Christopher B. Porter，他剖析了攻擊者運用生成式AI技術來助長其惡意行徑的態勢，然而，當焦點轉向更具組織性與戰略性的國家級進階持續性威脅（APT）行動者時，這些國家級APT駭客族群又是怎麼做？同樣是資安防禦者需要深入探討的議題。</p> <p>針對這樣的議題，Christopher有更深入的說明，他們多年來持續追蹤許多國家級駭客組織的動向，如今已觀察到，這些國家級APT攻擊者也試圖使用Google的生成式AI服務Gemini，作為提升犯罪效率的一項工具，來幫助他們進行網路攻擊。</p> <p><a href="https://www.ithome.com.tw/news/168709"><strong style="font-size: 22px;">【臺灣資安大會直擊】先下手為強的另一種資安左移策略！掌握可能遭攻擊的先機</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/PD-IR2.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/PD-IR2.jpg" style="width: 300px; float: right;" /></a></p> <p>除了積極鞏固防線，盡可能不要犯錯，以免增加入侵者的可乘之機，許多人可能也會想到能否反擊？使對方更不敢輕易越雷池一步！但也擔心因此激怒對方而發起更劇烈、更難以招架的報復行動，而得不償失。過往我們知道的資安反制手段是欺敵（Deception），設下陷阱進行誘捕，進而獲得主動防禦能力，自由資安顧問PD Lee在2025臺灣資安大會也針對這項議題進行探討，他說明一種更進階、危險性也更高的作法，稱之為「逆襲中繼站」，PD Lee也透過實務操作的經驗，為大家提供不同的防守思路。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169105"><strong style="font-size: 22px;">預防Windows 11 Recall截圖影響用戶隱私及資安，即時通訊軟體Signal提供預設阻擋機制</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/recall-warning.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/recall-warning.png" style="width: 300px; float: right;" /></a>微軟<a href="https://www.ithome.com.tw/news/162988">去年5月</a>宣布將為Copilot+ PC提供<a href="https://www.ithome.com.tw/tags/recall">回顧（Recall）</a>的新功能，協助使用者從曾經瀏覽過的網頁、簡報、電子郵件，或是即時通訊軟體的對話內容，快速找到所需資訊，由於此功能仰賴持續收集用戶的使用過程內容，<a href="https://www.ithome.com.tw/news/163045">隨即就引發外界的隱私安全疑慮</a>，使得微軟決定暫緩推出，直到最近才<a href="https://www.ithome.com.tw/news/168628">再度重新提供</a>。但即便微軟強化此AI功能的安全，還是有開發團隊不買單，決定為應用程式導入新的防護措施因應。</p> <p>5月21日Signal基金會宣布，他們對於在Windows 11平臺執行的電腦版Signal，預設啟用螢幕安全功能，阻擋微軟Recall自動截圖聊天內容，提升用戶隱私保護。這項調整的主要原因，在於Recall於今年5月隨Copilot+ PC重新預覽上線後，各界對其存取敏感資訊與資訊安全的疑慮，仍舊存在。</p> <p>Signal表示，根據現行微軟的政策，應用程式無法主動阻擋Recall擷取畫面，僅能採用DRM等既有技術因應，呼籲微軟應提供更多開發者工具，以維護用戶隱私。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169135"><strong>【5月23日】新版Windows伺服器作業系統dMSA服務帳號的遷移流程可被濫用而惹議</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169114"><strong>【5月22日】VMware修補旗下多款平臺的資安漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169076"><strong>【5月21日】韓國電信業者SK Telecom事故最新調查出爐，駭客在網路環境活動近3年</strong></a></p> </div></div></div>
2025/5/26 16:46作者周峻佑https://www.ithome.com.tw/news/169160
Kotlin跨平臺開發再簡化，Android Studio新增Android與iOS共享模組範本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在自家整合開發環境Android Studio新增<a href="https://android-developers.googleblog.com/2025/05/kotlin-multiplatform-shared-module-templates.html">KMP（Kotlin Multiplatform）共享模組範本</a>，供開發者更簡單地以現有Android專案，建立可共用於Android與iOS的業務邏輯模組，進一步降低導入KMP的技術門檻，提升跨平臺專案維護與開發效率。</p> <p>KMP共享模組範本已整合進Android Studio，開發者僅需在現有專案中選擇新增模組，即可透過新範本建立同時適用於Android與iOS的共用業務邏輯，省去以往需手動設定多平臺架構、同步維護多套程式碼的繁複流程。新範本支援多項KMP相容Jetpack函式庫，例如Room、SQLite與DataStore。</p> <p>KMP推出以來，由於其單一語言、單一程式碼庫覆蓋多平臺應用的特性，逐漸受到開發社群關注。尤其在行動應用開發領域，KMP允許開發者將核心業務邏輯抽取為共用模組，分別在Android與iOS應用中呼叫，大幅減少重複程式碼與維護負擔。而過去要導入KMP至既有Android專案，常需調整專案結構與整合額外技術，還需深入理解各平臺編譯與建置流程，成為不少團隊採用KMP的挑戰。</p> <p>現在官方新增的共享模組範本，Android開發團隊可更迅速於現有專案中建立KMP模組，並將共用邏輯逐步搬遷至共享架構，無須中斷既有應用的開發與維護。根據Google官方說明，此舉簡化了雙平臺共用邏輯的導入工作，也有助於Android團隊主導跨平臺業務邏輯的設計與調整，降低錯誤發生機率，並提升同步更新功能的效率。</p> <p>Google目前已於Google文件iOS平臺採用KMP實作共用邏輯，依據官方說明，效能表現已達原生程式碼水準。KMP生態系也持續擴大，JetBrains收錄於klibs.io的KMP函式庫已超過1,500個，涵蓋資料存取、網路通訊、加密與UI元件等類型，使開發者在KMP專案可直接導入現成函式庫，加快專案建置。</p> </div></div></div>
2025/5/26 16:49作者李建興https://www.ithome.com.tw/news/169159
歐洲刑警組織大執法！3天破壞7個Botnet，查封300臺伺服器、650個網域
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年5月歐洲刑警組織Europol聯手美國、英國等十多個國家的執法機構進行<a href="https://www.ithome.com.tw/news/163217">執法行動Operation Endgame</a>，對於多款殭屍網路Bumblebee、IcedID、Pikabot、Smokeloader、Trickbot查封伺服器及相關網域，重創駭客利用這些殭屍網路病毒散布各式惡意軟體的現象，如今<a href="https://www.europol.europa.eu/media-press/newsroom/news/operation-endgame-strikes-again-ransomware-kill-chain-broken-its-source">這些執法單位採取第二波行動</a>，並公布成果。</p> <p>5月23日歐洲刑警組織Europol宣布，他們與歐洲司法組織Eurojust，以及加拿大、丹麥、法國、德國、荷蘭、英國、美國的執法機關聯手，從事執法行動Operation Endgame 2.0，自5月19日至22日，這些執法單位一共查封約300臺伺服器、封鎖650個網域，並對20名嫌犯發布全球通輯令，查獲350萬歐元加密貨幣不法所得，使得累計查獲贓款達到了2,120萬歐元。</p> <p>而這次他們主要的執法目標，聚焦在駭客用來取得初始入侵管道，並導致受害組織被植入勒索軟體的惡意程式，包含Bumblebee、DanaBot、Hijackloader、Lactrodectus、Qakbot（QBot）、Trickbot，以及Warmcookie。</p> <p>另一方面，美國司法部也根據上述執法行動，<a href="https://www.justice.gov/usao-cdca/pr/16-defendants-federally-charged-connection-danabot-malware-scheme-infected-computers">起訴16名俄羅斯駭客</a>，指控他們開發、散布DanaBot，導致全球30萬臺電腦受害，並助長網路詐欺及勒索軟體攻擊。對於這些駭客造成的損害，美國司法部估計至少有5千萬美元。</p> <p>此惡意程式主要以租用服務（Malware-as-a-Service）提供給網路罪犯，被用於散布勒索軟體與其他惡意軟體。但美國司法部指出，DanaBot還有另一個版本，被用於針對軍事、外交、政府的相關組織下手，進行竊取機密的活動，一旦遭到感染，該惡意程式會記錄所有與受害電腦的互動過程，並將所有竊得的資料傳逃到特定的伺服器，受害者包含北美及歐洲的外交官、執法人員、軍人。</p> <p>在起訴書中，美國司法部提及其中1名嫌犯Artem Aleksandrovich Kalinkin，此人現年34歲，使用Onix的代號，被指控共謀未經授權存取受害電腦，得以取得電腦存放的資訊、以欺騙的方式得到未經授權存取電腦的管道，以及隨意破壞受到保護的電腦。假若所有罪名都成立，Artem Aleksandrovich Kalinkin將有可能面臨最高72年的刑期。</p> </div></div></div>
2025/5/26 15:16作者周峻佑https://www.ithome.com.tw/news/169158
VS Code官方新PostgreSQL擴充功能整合Copilot，輔助撰寫與最佳化SQL查詢
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟於VS Code推出全新<a href="https://techcommunity.microsoft.com/blog/adforpostgresql/announcing-a-new-ide-for-postgresql-in-vs-code-from-microsoft/4414648">PostgreSQL擴充功能預覽版</a>，讓開發者能在熟悉的編輯器環境，直接管理PostgreSQL資料庫，並結合人工智慧助理，提升SQL查詢撰寫效率與資料庫開發體驗。該擴充功能整合資料庫物件（Object）瀏覽、查詢編輯、智慧提示與雲端身分驗證，支援在VS Code內快速連線、管理與最佳化本地端及雲端的PostgreSQL資料庫。</p> <p>微軟發表的PostgreSQL擴充功能，強調整合GitHub Copilot人工智慧輔助功能。開發者可於VS Code直接呼叫@pgsql代理，利用自然語言查詢、重寫與最佳化SQL指令，或透過智慧提示功能，快速找到查詢瓶頸、分析執行計畫，並依人工智慧建議進行效能調校。</p> <p>除人工智慧協助外，該擴充功能亦強調資料庫連線與物件管理等基本功能。VS Code使用者現可在單一介面內建立、瀏覽及修改PostgreSQL各類資料庫物件，包括資料表、索引、函式及觸發器。透過Object Explorer，開發者能清楚檢視資料結構，並於介面上直接新增、刪除或修改，不需要再仰賴外部管理工具或命令列，減少工具切換與重複登入等繁瑣步驟。</p> <p>PostgreSQL擴充功能支援Entra ID身分驗證，開發者可透過公司帳號直接登入Azure Database for PostgreSQL雲端資料庫，無需額外管理密碼。此功能僅適用於Azure雲端服務，並不支援本地端或Docker容器內的PostgreSQL。擴充功能也提供多組連線設定，便於管理本地、雲端或Docker容器中的資料庫。</p> <p>在查詢撰寫與除錯部分，VS Code內建的IntelliSense智慧提示可協助自動完成SQL語法、顯示資料表與欄位建議，提升撰寫效率。開發者輸入SQL語句時，系統會自動顯示可用資料表、欄位及函式建議，查詢結果與執行歷史則可於編輯器下方直接查閱，方便重複利用常用指令或比對多次查詢結果。結合Copilot人工智慧助理的查詢重寫、解釋與效能分析功能，使複雜查詢的撰寫與調校更為直覺，有助於減少錯誤並提升效能。</p> <p>目前這項PostgreSQL擴充功能已於VS Code擴充市集開放預覽，開發者可搜尋PostgreSQL並安裝官方藍色大象圖標的預覽版本。如要啟用人工智慧協助，必須同時安裝GitHub Copilot及Copilot Chat擴充功能並登入GitHub帳號，便可在VS Code中以自然語言操作資料庫，進行查詢、結構調整與效能最佳化。</p> </div></div></div>
2025/5/26 15:20作者李建興https://www.ithome.com.tw/news/169157
Node.js函式庫Samlify存在近滿分重大漏洞，攻擊者可輕易冒充管理員身分
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>受廣泛採用的Node.js SAML單一登入（SSO）函式庫Samlify，被<a href="https://www.endorlabs.com/learn/cve-2025-47949-reveals-flaw-in-samlify-that-opens-door-to-saml-single-sign-on-bypass">揭露</a>存在一項高嚴重性資安漏洞CVE-2025-47949，可使攻擊者繞過身分驗證，冒充高權限管理員帳號。資安公司Endor Labs研究人員提到，該漏洞允許未經授權的第三方利用簽章驗證機制的弱點，偽造SAML回應並取得任意用戶身分，包括管理員。</p> <p>研究人員公開<a href="https://www.cve.org/CVERecord?id=CVE-2025-47949">CVE-2025-47949</a>相關細節，指出Samlify於2.10.0版本之前，在XML簽章驗證機制上存在簽章包裝（Signature Wrapping）攻擊風險。攻擊者可利用合法簽署的SAML XML文件，在原有內容插入惡意SAML斷言（Assertion），並藉由函式庫解析邏輯缺陷，規避加密驗證流程。伺服器端就可能誤接受未經簽章驗證的身分資訊，導致攻擊者可偽裝成任意用戶，包含系統管理員，登入目標應用或服務。</p> <p>Samlify長期作為Node.js生態系內簡化SAML 2.0實作的重要函式庫，藉由高階API設計，供開發者簡單串接身分辨識與存取管理流程，被廣泛用於企業、雲端供應商及開發工具。根據NPM統計，Samlify每周下載量超過20萬次，且有超過60個開源專案直接相依。</p> <p>本次CVE-2025-47949被歸類於CWE-347不正確驗證加密簽章。在實際攻擊流程中，攻擊者需先取得由身分提供者簽署的XML文件，而這種情境在實務中具備可行性，例如透過用戶端或網路層流量攔截，或自公開來源取得簽署檔案。</p> <p>在取得簽章檔案後，攻擊者即可將偽造的斷言內容嵌入原始XML，再利用函式庫於簽章驗證流程中的弱點，令系統誤判偽造身分資訊為有效認證。此漏洞利用門檻低，不需事先取得系統權限或與用戶互動，只要熟悉SAML流程即可執行。</p> <p>針對此漏洞，Samlify官方已於2.10.0版本修正，強化簽章與斷言對應關係的檢查，阻擋簽章包裝攻擊。建議所有Samlify用戶應立即升級至2.10.0或以上版本，並檢查現有SAML單一登入整合情境，確保所有身分提供者與服務供應商之間的通訊，均採用加密連線並遵循資安最佳實務，以降低相關風險。</p> </div></div></div>
2025/5/26 12:30作者李建興https://www.ithome.com.tw/news/169156
【資安週報】0519~0523，韓國電信SKT揭露已遭滲透將近3年，發現25種類型惡意軟體、23臺伺服器受害
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>回顧2025年5月第四星期的資安新聞中，有兩起資安事故的後續消息是大家關切的焦點，分別是上個月19日韓國電信傳出2千萬用戶USIM資料外洩，以及上個月20日臺灣高科技設備製造商發布資安事件重訊。</p> <p>韓國電信業者SK Telecom在資安事故發生後，一個月後他們揭露清查完3萬臺Linux伺服器，發現最早Web Shell被植入是3年前，共找出BPFDoor等25種類型惡意軟體與23臺受害伺服器。</p> <p>臺灣CoWoS設備製造商萬潤科技遭攻擊，後續有更多情資浮上檯面，有勒索軟體駭客組織Bert聲稱是他們犯下惡行，並揚言握有5 TB內部資料以勒索，萬潤科技5月18日以澄清媒體報導方式在重訊中申明駭客竊取資料未涉機密。</p> <p>在最新威脅態勢上，有兩大焦點，一是攻擊者劫持企業雲端資源被遺忘的DNS記錄，濫用企業子網域來偽冒，一是假冒生成式AI服務提供圖片與影片檔下載，實際是雙重副檔名等伎倆偽裝的執行檔。<br /> ●資安業者Infoblox揭露，駭客組織Hazy Hawk藉由DNS錯誤配置來挾持知名企業組織的網域，並透過惡意流量導向系統TDS，將受害者導向惡意網站。<br /> ●資安業者Check Point發現，駭客建立Kling AI（可靈AI）影片生成工具假冒網站，生成後提供下載的是偽冒.jpg或.mp4的執行檔，可啟動惡意程式載入器。<br /> ●資安業者Aikido、Veracode揭露新惡意NPM套件攻擊，是利用Unicode字元來藏匿惡意程式碼，並濫用Google行事曆event邀請的短網址來達到目的。</p> <p style="margin: 0px;">在漏洞攻擊態勢上，Ivanti漏洞被鎖定的狀況最受關注，上星期他們修補旗下端點管理平臺EPMM兩個零時差漏洞（CVE-2025-4427、CVE-2025-4428），通報的CERT-EU表示漏洞已遭利用，後續再有更多攻擊事故消息傳出。</p> <p>例如，威脅情報業者EclecticIQ指出，在漏洞修補消息公開後，發現中國駭客組織UNC5221鎖定這兩項漏洞發動攻擊，攻擊目標涵蓋歐洲、北美、亞太地區，意圖竊取與中國政府利益有關的機敏資料；接著資安業者Wiz也揭露有攻擊者串連上述漏洞，用於竊取MySQL資料庫內容、散布滲透測試工具Sliver，以及上傳Web Shell或是反向Shell。</p> <p>還有2個同樣是新獲知的漏洞攻擊情形，攸關數位看板內容管理系統（CMR）與電子郵件伺服器，目前攻擊者身分仍然未知。<br /> ●Samsung修補MagicINFO零時差漏洞CVE-2025-4632，資安業者Arctic Wolf指出修補前已遭利用，臺灣連鎖餐飲業如麥當勞等亦使用此CMR，需注意更新。<br /> ●MDaemon Email Server在2024年修補的漏洞CVE-2024-11182，ESET最新揭露俄羅斯駭客APT28攻擊行動，指出該漏洞2023年就被用於零時差漏洞攻擊。</p> <p>此外，先前一項已知遭利用的漏洞，有後續消息，今年2月揭露Trimble資產管理系統Cityworks存在零時差漏洞（CVE-2025-0994）已遭利用，思科最新研究報告揭露攻擊者身分，指出當時是中國駭客組織UAT-6382所為，美國地方政府網路環境被入侵，攻擊者使用TetraLoader、VShell等惡意工具。</p> <p>在資安防禦動向上，有兩大重要消息，首先是Pwn2Own Berlin 2025在德國首都柏林舉行，目的是為了及早發現未知潛在漏洞，有多家科技大廠提供產品項目與漏洞挖掘獎金，讓資安研究人員展現其研究與發現，本次共找出28個零時差漏洞，涵蓋虛擬化的VMware ESXi、Oracle VirtualBox等8大類型產品。</p> <p>其次是Docker宣布推出以預設安全（Secure by default）為核心的容器映像檔，稱之為DHI安全映像檔，強調大幅減少攻擊面，僅保留應用執行所需的最小相依元件，且具有自動化持續修補更新機制。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/169032"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月19日】惡意NPM套件為藏匿攻擊意圖，濫用Unicode字元、Google行事曆</span></strong></a></h3> <p>駭客針對使用NPM套件的開發人員發動攻擊的情況，每個禮拜幾乎都有數起攻擊行動傳出，但最近有一起攻擊行動相當特別，引起兩家資安業者不約而同調查此事。</p> <p>資安業者Aikido、Veracode揭露從3月出現的惡意套件os-info-checker-es6，而駭客真正的意圖，直到5月上旬的改版，才加入相關的惡意程式碼，使得開發人員的電腦，透過特定的Google行事曆活動邀請連結，下載惡意酬載。</p> <h3><a href="https://www.ithome.com.tw/news/169054"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月20日】Pwn2Own競賽首度成功找出VMware ESXi零時差漏洞</span></strong></a></h3> <p>由趨勢科技旗下漏洞懸賞專案Zero Day Initiative（ZDI）舉行的漏洞挖掘競賽Pwn2Own，上週末於德國柏林舉辦，從賽事的組別而言，本次新增了AI項目，參賽者找到的零時差漏洞，有四分之一為此類，足見這項領域的重要性。</p> <p>但除此之外，這次參賽者的重點得分項目，不少來自VMware ESXi的資安漏洞，其中一個漏洞為參賽隊伍提供多達15個積分、15萬美元獎金。</p> <p><a href="https://www.ithome.com.tw/news/169076"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月21日】韓國電信業者SK Telecom事故最新調查出爐，駭客在網路環境活動近3年</span></strong></a></p> <p>上個月韓國電信龍頭SK Telecom（SKT）證實遭駭的情況引起外界高度關切，該公司後續更進一步提供用戶免費更換SIM卡，突顯這起事故帶來的影響，可能在不斷擴大。最近他們公布新的調查結果，引起外界高度關注。</p> <p>SKT透露有近2,700萬個門號受到影響，並指出這起攻擊行動，最早可追溯到3年前，但究竟駭客何時將資料偷走，仍有待後續釐清。</p> <h3><a href="https://www.ithome.com.tw/news/169114"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月22日】VMware修補旗下多款平臺的資安漏洞</span></strong></a></h3> <p>VMware近期發布兩則資安公告，針對虛擬化平臺、混合雲平臺發布修補程式，這次總共修補7項漏洞，有4項是較為危險的高風險漏洞，而引起注意。</p> <p>比較值得留意的是，其中3項高風險漏洞皆與VMware Cloud Foundation有關，而且有部分漏洞只要能透過特定的連結埠存取就能觸發，因此IT人員要儘速採取行動。</p> <h3><a href="https://www.ithome.com.tw/news/169135"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月23日】新版Windows伺服器作業系統dMSA服務帳號的遷移流程可被濫用而惹議</span></strong></a></h3> <p>為了防堵Kerberoasting攻擊，微軟在<a href="https://www.ithome.com.tw/news/165850">去年底推出的Windows Server 2025</a>當中，導入新型態的「委派控管服務帳號（Delegated Managed Service Account，dMSA）」，標榜能提升原有的服務帳號安全。但資安業者Akamai指出，dMSA遷移過程可被利用，攻擊者有機會藉此提升權限。</p> <p>值得留意的是，目前微軟尚未修補這項弱點，因此Akamai呼籲IT人員，必須採取積極的防禦措施來防範相關風險。</p> <p> </p> </div></div></div>
2025/5/25 10:40作者羅正漢https://www.ithome.com.tw/news/169145
OpenAI Deep Research也可以搜尋Box、Dropbox檔案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI ChatGPT的Deep Research代理人現在除了網頁外，也能搜尋及讀取雲端硬碟Dropbox及Box的檔案來完成研究報告。</p> <p><a href="https://x.com/gdb/status/1926710519903158486" target="_blank">一名用戶首先發現</a>ChatGPT對話框下方的「source」選項，多了Dropbox和Box，加入GitHub和微軟SharePoint的行列。除了預設的網頁搜尋外，其他資料源都必須由用戶手動連結，才能完成Deep Research的設定。「設定」頁中也提供類似選擇，其他可供用戶連結的資料源，還包括微軟OneDrive中的Word、Excel、PowerPoint等。</p> <p>Deep Research是ChatGPT的代理人，在用戶詢問特定問題後，它會進行多步驟反覆搜尋以改進回應答案的品質，最後生成報告。在2月份以來開放Pro、Team、Plus方案用戶使用後，OpenAI 4月連同<a href="https://www.ithome.com.tw/news/168600" target="_blank">輕量版Deep Research功能</a>，將其開放給免費版用戶。</p> <p>不過免費版ChatGPT的Deep Research不僅一個月僅可使用5次，也未開放網頁以外的資料源選擇。</p> </div></div></div>
2025/5/26 10:33作者林妍溱https://www.ithome.com.tw/news/169155
微軟正在開發類似MacOS/iOS Handoff的新功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上周在Build 2025大會上，微軟公布多項新產品，包含類似macOS的Handoff、允許用戶在筆電及手機等不同平臺間無縫轉移應用的新技術。</p> <p>該功能名為「跨裝置接續」（Cross-Device Resume），似乎Windows 11獨有。<a href="https://x.com/phantomofearth/status/1924862227846250612/photo/1" target="_blank">一名開發人員發現到</a>名為「以Windows為應用程式建立無縫跨裝置體驗」的<a href="https://www.youtube.com/watch?v=e3ixnHI3z1k" target="_blank">線上場次</a>，對Cross-Device Resume做了介紹。</p> <p><a href="http://www.youtube.com/watch?v=e3ixnHI3z1k" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0526-windows%2011-resume-%E5%BE%AE%E8%BB%9F.png" style="width: 600px;" /></a></p> <p><a href="http://www.youtube.com/watch?v=e3ixnHI3z1k" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></a></p> <p>根據微軟的影片，當Spotify播出時工作列將出現，旁邊有手機圖案的Spotify圖示。若將滑鼠移近，會出浮動視窗及二層文字。上層為「Resume，最近在你行動裝置上運作」，說明目前手機或平板上的Spotify App正在播放音樂。下層為「Spotify，從你中斷的地方接續」。按下下行的Spotify視窗，播放畫面就會切到電腦上。Cross-Device Resume似乎只支援Android手機和Windows 11間的跨平臺切換。</p> <p>這項功能很類似蘋果用於macOS和iPhone/iPad應用程式無縫切換的Handoff。Handoff是讓在同一Apple ID下的鄰近macOS、iOS裝置，只要開啟藍牙、連上Wi-Fi即可實現應用內容流暢切換。<a href="https://techcommunity.microsoft.com/blog/microsoft365insiderblog/seamlessly-switch-between-your-apple-devices-with-handoff-support-for-word-excel/4275907" target="_blank">微軟去年宣布</a>，Word、Excel和PowerPoint也獲得蘋果Handoff支援。</p> <p>Cross-Device Resume是微軟規劃的三種跨裝置經驗之一。微軟規劃，透過應用程式加入Share、Resume及People API，可實現App內容跨裝置分享、接續執行、以及快速分享給重要用戶，而不需透過電子郵件或訊息軟體。</p> <p>一月時微軟釋出Windows 11 Build 27793，<a href="https://windowsforum.com/threads/windows-11-to-introduce-resume-features-for-spotify-and-whatsapp.351663/" target="_blank">相關文件展示</a>，除了Spotify，Resume也能整合WhatsApp App。</p> <p>微軟之前也發展<a href="https://learn.microsoft.com/zh-tw/windows/project-rome/" target="_top">Project Rome</a>。<a href="https://www.windowscentral.com/software-apps/windows-11/windows-11-is-getting-its-own-version-of-the-macs-handoff-feature-resume-apps-across-android-and-pc" target="_blank">Windows Central推測</a>，Cross-Device Resume應該是Project Rome的替代計畫。</p> </div></div></div>
2025/5/26 09:51作者林妍溱https://www.ithome.com.tw/news/169154
思科修補ISE、CUIC的阻斷服務及權限提升漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ise-restart-ss-uf986G2Q" target="_blank">思科上周釋出安全更新</a>，修補影響二項產品的三項軟體漏洞。</p> <p>修補漏洞之一位於身份服務（Cisco Identity Services Engine，ISE）RADIUS訊息處理功能CVE-2025-20152。它出於對RADIUS呼叫訊息處理不當，攻擊者可傳送特定驗證呼叫，給使用思科ISE軟體的網路裝置進行驗證、授權和計費（authentication, authorization and accounting，AAA）來濫用該漏洞。成功濫用可導致引發阻斷服務（Denial of Service，DoS）攻擊，讓思科ISE不斷重新載入而無法運作。CVE-2025-20152風險值達CVSS 3.1的8.6分。</p> <p>這項漏洞影響啟用RADIUS驗證服務的ISE軟體，若ISE只使用TACACS+（Terminal Access Controller Access-Control System）驗證將不受影響。不過RADIUS是預設啟用的。</p> <p><a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-cuis-priv-esc-3Pk96SU4" target="_blank">思科在另一項安全公告中</a>修補CVE-2025-20113及CVE-2025-20114。兩者皆影響思科統合智能中心（Unified Intelligence Center，CUIC）。CUIC為思科客服中心套件的Web報告平臺。</p> <p>其中CVE-2025-20113是出於該產品API呼叫、或HTTP呼叫的使用者參數的伺服器端驗證不足。攻擊者可傳送假造的API或HTTP呼叫，到CUIC系統濫用漏洞。成功利用該漏洞，可讓攻擊者得以升高權限以存取、修改或刪除系統儲存的資料，包括可能的隱私資訊。CVE-2025-20114則是出於UIC對API呼叫參數的驗證不足，讓攻擊者可傳送API呼叫濫用，以執行直接物件參照攻擊，結果是水平權限擴充，攻擊者得以存取裝置上不同用戶的資料。</p> <p>CVE-2025-20113和CVE-2025-20114風險值分別CVSS 3.1的7.1和4.3。受影響產品為UIC 12.5、12.6及Unified CCX, 12.5 (1) SU3以前版本。</p> <p>思科已經發布安全更新，修補上述三項漏洞。思科說未發現漏洞遭存取的證據。</p> </div></div></div>
2025/5/26 08:31作者林妍溱https://www.ithome.com.tw/news/169153
資安研究員利用OpenAI o3模型發現Linux核心零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://sean.heelan.io/2025/05/22/how-i-used-o3-to-find-cve-2025-37899-a-remote-zeroday-vulnerability-in-the-linux-kernels-smb-implementation/" target="_blank">資安研究人員Sean Heelan上周揭露</a>，他利用OpenAI的o3模型於Linux核心中發現了CVE-2025-37899零時差安全漏洞，當他透過同樣的方法於Claude Sonnet 3.5及Claude Sonnet 3.7中測試時，並未發現同樣的漏洞。</p> <p>Heelan是名獨立研究人員，專門研究與大型語言模型（LLM）有關的漏洞自動發現及攻擊程式生成。他說，最近正想從LLM中抽身，休息一下，於是展開了ksmbd漏洞稽核專案，ksmbd是一個在Linux核心空間中實作SMB3協定的伺服器，可透過網路共享檔案。</p> <p>然而，當OpenAI發表o3之後，他便忍不住利用他在ksmbd中發現的錯誤作為o3能力的快速基準測試，結果o3成功找到了先前未被揭露的CVE-2025-37899漏洞。</p> <p>CVE-2025-37899為ksmbd中的釋放後使用（use-after-free）漏洞，出現在處理SMB的logoff命令時，當一個執行緒釋放sess->user物件的同時，另一個執行緒可能仍嘗試存取該記憶體空間，進而觸發記憶體損壞，允許駭客執行任意程式。</p> <p>Heelan認為，相較於先前的模型，o3能夠理解程式碼的語意，像是變數如何在執行緒間被使用與釋放，推論出某種執行順序下會出現危險；ksmbd程式碼分散在多個函式與流程中，o3卻能從中找出漏洞。顯示o3已具備類似人類專家的能力，也有發現未知漏洞的潛力。</p> <p>Heelan比較了o3、Claude Sonnet 3.5與Claude Sonnet 3.7的表現，他先以他找到的另一個Kerberos釋放後使用漏洞CVE-2025-37778進行測試，發現在o3上執行100次時，發現該漏洞8次；Claude Sonnet 3.7在100次的執行中發現3次；Claude Sonnet 3.5則全然沒有發現它。至於不管是Claude Sonnet 3.5或Claude Sonnet 3.7都未發現CVE-2025-37899。</p> </div></div></div>
2025/5/25 22:37作者陳曉莉https://www.ithome.com.tw/news/169151
越南準備封鎖Telegram
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據外電報導，越南電信部門已要求當地網路服務供應商（ISPs）採取行動封鎖Telegram，原因是Telegram未能依法阻止用戶進行非法內容及反政府活動。迄今禁止Telegram的國家已包括俄羅斯、中國、巴西及泰國等。</p> <p><a href="https://www.reuters.com/sustainability/society-equity/vietnam-acts-block-messaging-app-telegram-government-document-seen-by-reuters-2025-05-23/" target="_blank">路透社（Reuters）報導</a>，越南警方宣稱Telegram在當地的9,600個頻道與群組中，有68%違反了法令，而Telegram是在最近的刑事調查中，未能與當地政府分享用戶資料而遭禁。</p> <p>越南擁有超過1億的人口，約有近8,000萬的網路用戶，當地的Telegram用戶超過1,000萬。</p> <p>彭博社（Bloomberg）則引用<a href="https://archive.ph/6pdIv#selection-1525.0-1525.3" target="_blank">越南政府的聲明</a>，指出當地大多數的Telegram群組都含有監管機構所說的有毒資訊，包括詐欺、宣傳反政府內容、出售用戶資料及販毒等；Telegram必須遵守越南的規定，刪除與防止違法內容。</p> <p>迄今Telegram於全球已有超過10億用戶，為全球最熱門的前十大即時傳訊平臺之一。</p> </div></div></div>
2025/5/25 22:38作者陳曉莉https://www.ithome.com.tw/news/169152
可選擇E3.L等4種外形，宜鼎推出支援PCIe 5.0的NVMe SSD
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/yi_ding_e3.l_5qs-p_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以工業級記憶體產品著稱的宜鼎國際（Innodisk），<a href="https://www.innodisk.com/en/news/the-first-industrial-grade-pcie-40-ssds">2021年9月</a>推出支援PCIe 4.0介面的固態硬碟，<a href="https://www.innodisk.com/en/news/e1s-edge-server-ssd">2024年底</a>發表2.5吋U.2、E1.S、E3.S外形的4TS2-P，以及2.5吋U.2、E1.S外形的4TG2-P，而在今年4月底，他們推出PCIe 5.0介面的固態硬碟，預計第二季送樣、開始供貨，也在5月下半舉行的台北國際電腦展正式亮相。</p> <p>這批產品支援多種外形與儲存容量配置，可因應企業與資料中心環境的設置需求，例如，5TS-P這款機型有2.5吋U.2、E1.S（厚度9.5公釐與15公釐），以及E3.S，提供三種選擇，採用的快閃記憶體為eTLC，儲存容量為1.92 TB到7.68 TB（宜鼎在台北國際電腦展對5TS-P的最大儲存容量標示15.36 TB），以及另一款僅搭配 E3.L外形的機型5QS-P，採用的快閃記憶體為QLC，儲存容量為128 TB。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Innodisk PCIe Gen5 SSD.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Innodisk%20PCIe%20Gen5%20SSD.jpg" style="width: 600px;" /></a></p> <p>在儲存介面的部分，5TS-P與5QS-P均支援PCIe 5.0 x4與NVMe 2.0，而且，在產品設計上，這兩款機型也遵循資料中心與企業IT領域的標準，像是：開放運算計畫訂定資料中心固態硬碟標準（OCP NVMe SSD Specification v2.0），以及VMware虛擬化平臺的相容性標準（VMware Compatibility），以確保能順利整合到資料中心基礎架構，適用於新世代的企業與雲端服務環境，支撐嚴苛高效能與高可靠度的IT營運要求。</p> <p>而在存取效能的表現上，宜鼎PCIe 5.0固態硬碟產品可提供超快的資料傳輸速度，能支撐AI模型訓練、大數據分析，以及其他資料密集型工作負載的應用需求。</p> <p>宜鼎目前在他們的網站揭露5TS-P的讀寫效能規格，用於循序讀取作業時，可達到14,000 MB/s，循序寫入為10,000 MB/s；隨機存取的部分，我們徵詢該公司之後，得到的答案是：隨機讀取效能超過3,000 KIOPS、隨機寫入效能超過400 KIOPS。</p> <p><a href="https://s4.itho.me/sites/default/files/images/5TS-P-Computex 2025.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/5TS-P-Computex%202025.jpg" style="width: 600px;" /></a></p> <p>至於5QS-P，我們在台北國際電腦展，看到他們現場列出循序讀取效能最大為12,000 MB/s，循序寫入為5,000 MB/s。</p> <p><a href="https://s4.itho.me/sites/default/files/images/5QS-P-Computex 2025.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/5QS-P-Computex%202025.jpg" style="width: 600px;" /></a></p> <p>關於資料安全，5TS-P與5QS-P整合多種機制，像是支援自我加密硬碟（SED）、安全刪除（Secure erase）、套用數位簽署的韌體自我保護（signed firmware protection）、安全開機啟動（Secure boot）、256位元AES加密，以及遵循TCG的Opal 2.0規範。</p> <p>而在固態硬碟本身的資料遺失預防，宜鼎PCIe Gen5系列SSD也內建該公司發展的<a href="https://www.innodisk.com/en/technology/icell-technology">iCell意外斷電防護（Power Loss Protection）技術</a>，提供即時充電機制，促使固態硬碟裝置能在有電可運作的狀態下，將暫存在裝置內建DRAM記憶體的資料儲存進去，確保資料的完整性。</p> <p>根據宜鼎國際網站的介紹，導入iCell技術之後，該公司固態硬碟的電路板由於配置額外的電容做為電源緩衝，因此，SSD本身的緊急備用電量支撐時間，可從2毫秒增加至60毫秒。</p> <p><a href="https://s4.itho.me/sites/default/files/images/iCell2.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/iCell2.png" style="width: 138px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/iCell1.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/iCell1.png" style="width: 458px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong><span style="color:#0000FF;">宜鼎PCIe Gen5系列SSD</span></strong><br /> ●原廠：宜鼎國際<br /> ●建議售價：廠商未提供<br /> ●機型與外形：5TS-P提供U.2、E1.S、E3.S，5QS-P提供E3.L<br /> ●儲存容量：5TS-P提供1.92 TB至15.36 TB，5QS-P提供128 TB<br /> ●儲存媒體：5TS-P採用eTLC，5QS-P採用QLC<br /> ●最高讀寫速度：5TS-P循序14,000 MB/s與10,000 MB/s，隨機超過300萬IOPS與超過40萬IOPS；5QS-P循序12,000 MB/s與5,000 MB/s，隨機讀寫效能未揭露<br /> ●使用介面：PCIe 5.0 x4<br /> ●耐用度：5TS-P每日寫入量為1，5QS-P未揭露<br /> ●耗電量：5TS-P 為25瓦，5QS-P低於40瓦<br /> ●可靠度：200萬小時MTBF<br /> ●保固期間：5年</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/5/24 23:00作者李宗翰https://www.ithome.com.tw/review/169146
Kotlin 2.2語言強化與AI新工具開放，JetBrains加速多平臺應用布局
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>JetBrains於KotlinConf 2025大會正式<a href="https://blog.jetbrains.com/kotlin/2025/05/kotlinconf-2025-language-features-ai-powered-development-and-kotlin-multiplatform/">發表</a>Kotlin 2.2，聚焦語言功能強化、人工智慧相關開發工具的開源，以及多平臺應用開發體驗的提升，展現推動Kotlin生態系持續成長的策略。此次Kotlin 2.2版本，除語言本身的進化外，同步推進K2新一代編譯器的採用，並配合人工智慧開源框架與多平臺工具的更新，擴展Kotlin於行動、網頁、伺服器端與人工智慧應用場景。</p> <p>Kotlin 2.2本次更新著重語言易用性與安全性，新版本導入when語句守護條件（Guard Condition）、多重字串插值、非區域性break與continue，以及Context parameters等新語法，提升程式碼可讀性與表達能力。K2編譯器正式成為IntelliJ IDEA 2025.1的預設，根據JetBrains實測，K2編譯器於大型專案有明顯效能提升，編譯時間較以往減少約40％，有助加速需頻繁建置與測試的開發流程。</p> <p>JetBrains強調人工智慧開發與Kotlin生態的整合，開源旗下的Koog人工智慧代理框架，供開發者以Kotlin打造可組合、高可靠性的人工智慧代理應用。該框架提供多種預設工作流程，開發者可組合或擴充元件，加速人工智慧應用實驗與部署。此外，JetBrains公開Mellum語言模型原始碼，該模型針對Kotlin程式碼進行最佳化，強調推理速度與準確性，適用於大型程式碼庫的產品環境。而針對人工智慧輔助程式撰寫與自動完成需求，JetBrains預告人工智慧助理Junie將於GitHub開放早期存取計畫，目前尚未宣布具體日期。</p> <p>Kotlin Multiplatform應用場景方面，JetBrains推出全新KMP擴充功能，支援IntelliJ IDEA與Android Studio多平臺專案開發，提升工具整合度與協作效率。Compose Multiplatform for iOS正式進入穩定版，提供iOS原生互動、文字選取、拖曳、可變字型與自然手勢等功能，並支援熱重載，開發者可即時預覽介面變更，改進使用體驗。針對網頁與WebAssembly目標，團隊持續調校效能與API完成，預計今年底進入Beta階段。</p> <p>JetBrains還與Spring框架團隊合作，加強Kotlin與Spring伺服器應用的型別安全與學習資源，並提升反射（Reflect）效能。Ktor 3框架於大會發表新版本，I/O效能最高提升至3倍，配置彈性增強，支援WebAssembly與伺服器推播事件。資料庫函式庫Exposed則經全面重構，擴充SQL支援並強化IDE體驗，利於企業級應用開發。</p> <p>Kotlin官方語言伺服器協定（LSP）及VS Code擴充功能目前皆處於pre-Alpha階段，僅具備基本程式碼完成、檢查與互通能力，預計今年稍晚釋出Alpha版，將有助Kotlin在更多開發場景發揮作用。</p> </div></div></div>
2025/5/24 22:03作者李建興https://www.ithome.com.tw/news/169139
Google AI Studio原生整合AI生成工具，大幅簡化雲端應用開發流程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google對旗下線上人工智慧開發平臺AI Studio進行<a href="https://developers.googleblog.com/en/google-ai-studio-native-code-generation-agentic-tools-upgrade/">多項重大更新</a>，重點包括生成式人工智慧技術的原生整合與多模態生成支援。新版本不僅強化Gemini 2.5 Pro等語言模型的應用範圍，也針對程式碼、圖像、語音等各種形式內容生成流程提供原生工具。</p> <p>本次Google AI Studio更新，最大特點在於導入內建人工智慧程式碼生成能力。開發人員僅需輸入簡要描述，無論為文字、圖片或影片，模型便會在AI Studio中直接產生符合需求的前端或後端程式碼。相較以往僅能產生程式碼片段，需另行串接外部IDE的情境，此次原生整合大幅簡化開發流程。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0524-Google%20AI%20Studio-native%20code%20editor-Build%20apps%20with%20Gemini%202_5%20Pro%20code%20generation.png" style="width: 600px;" /></p> <p>也就是說，開發者現在可於AI Studio進行程式撰寫、預覽、調整，並可在建置分頁一鍵部署至Google Cloud Run等雲端服務。</p> <p>在多模態生成方面，Google新增生成媒體頁籤，開發人員可於此頁面快速存取Imagen、Veo、Lyria RealTime等模型，直接生成圖像、音樂、語音內容。語音方面，Gemini 2.5 Flash現於Live API提供原生語音對話預覽功能，不僅可產生超過30種語音風格，還具備辨識多位講者與區分背景對話的能力。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0524-Multimodal%20generation%20made%20easy%20in%20Google%20AI%20Studio.png" style="width: 600px;" /></p> <p>Google此次推出的人工智慧程式碼生成與應用部署工具，採用AI Studio平臺代理API金鑰。當開發人員將應用分享給他人試用時，所有API呼叫都經由平臺Proxy，API用量計入受邀者的AI Studio帳戶，這項設計可簡化測試與分享流程。Google提醒，該功能目前為實驗性質，分享前應仔細檢查程式碼內容，以確保資料安全。</p> <p>在程式碼管理與版本控制方面，Google AI Studio提供檔案結構瀏覽、版本比較和即時回溯等功能，開發者可在人工智慧協助下檢視與比對程式碼異動，並透過對話式程式碼反覆調整功能，快速回到先前的檢查點進行修正。</p> <p>此外，Google本次也強調支援MCP（Model Context Protocol），現於Google Gen AI SDK提供原生支援，開發者可結合Google Maps、Gemini API等多種工具，彈性建構跨應用情境的人工智慧體驗。Google還釋出實驗性URL Context工具，開發人員可指定外部連結，讓人工智慧模型即時擷取與參考網頁內容，應用於事實查核、摘要比對或資料研究。<span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> </div></div></div>
2025/5/24 22:11作者李建興https://www.ithome.com.tw/news/169140
【資安日報】5月23日，新版Windows伺服器作業系統dMSA服務帳號的遷移流程可被濫用而惹議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了防堵Kerberoasting攻擊，微軟在<a href="https://www.ithome.com.tw/news/165850">去年底推出的Windows Server 2025</a>當中，導入新型態的「委派控管服務帳號（Delegated Managed Service Account，dMSA）」，標榜能提升原有的服務帳號安全。但資安業者Akamai指出，dMSA遷移過程可被利用，攻擊者有機會藉此提升權限。</p> <p>值得留意的是，目前微軟尚未修補這項弱點，因此Akamai呼籲IT人員，必須採取積極的防禦措施來防範相關風險。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169130"><strong style="font-size: 22px;">中國駭客利用Ivanti EPMM漏洞從事攻擊，對歐美、亞太地區出手</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Ivanti001.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Ivanti001.png" style="width: 300px; float: right;" /></a>資安業者Ivanti於5月上旬發布更新，修補已遭利用的Endpoint Manager Mobile（EPMM）漏洞CVE-2025-4427、漏洞CVE-2025-4428，後續資安業者Wiz指出他們從16日看到多起資安事故，駭客將此漏洞用於4種攻擊，現在有其他研究人員公布新的調查結果，指出中國駭客UNC5221在此之前，已用於廣泛的攻擊行動。</p> <p>威脅情報業者EclecticIQ指出，UNC5221利用這些漏洞，攻擊可透過網際網路存取的EPMM系統，範圍橫跨歐洲、北美、亞太地區，鎖定的目標涵蓋醫療照護、電信、航空、政府機關、金融、國防產業，目的疑似對高價值目標從事網路間諜活動，並竊取與中國利益有關的機密資訊。而這些駭客的攻擊行動，最早可追溯至5月15日。</p> <p>值得留意的是，UNC5221鎖定Ivanti漏洞下手的情況並非首例，兩個月前駭客試圖利用同廠牌SSL VPN系統Ivanti Connect Secure（ICS）的資安漏洞CVE-2025-22457，於受害組織部署惡意程式載入工具TrailBlaze、後門程式BrushFire。</p> <p><a href="https://www.ithome.com.tw/news/169134"><strong style="font-size: 22px;">資產管理系統Cityworks零時差漏洞傳出遭到利用，中國駭客對美國地方政府發動攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/data-src-image-f4f15d29-f23e-4073-a380-75bbddf729d3.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/data-src-image-f4f15d29-f23e-4073-a380-75bbddf729d3.png" style="width: 300px; float: right;" /></a>今年2月軟體開發商Trimble修補旗下資產管理系統Cityworks零時差漏洞CVE-2025-0994，此為反序列化漏洞，能讓通過授權的攻擊者遠端在IIS伺服器執行任意程式碼，CVSS風險4.0版為8.6分、3.1版為8.8分，當時Trimble表示，正著手調查駭客利用這項漏洞、未經授權存取受害組織網路的情形，但並未說明其他細節，如今有研究人員公布相關調查結果。</p> <p>思科旗下的威脅情報團隊Talos指出，中國駭客組織UAT-6382從今年1月，利用這項漏洞入侵美國地方政府的網路環境，得逞後進行偵察，並迅速部署一系列的Web Shell，以及自行製作的惡意程式載入工具TetraLoader，以便進行長期活動。</p> <p>這些Web Shell包括：AntSword、chinatso（Chopper），以及檔案上傳工具，而它們的共通點在於，內含簡體中文訊息；另一方面，研究人員也發現駭客使用簡體中文工具MaLoader產生TetraLoader，而這些跡象，也是Talos判斷UAT-6382來自中國的依據。</p> <p><a href="https://www.ithome.com.tw/news/169085"><strong style="font-size: 22px;">駭客假冒影片生成模型Kling AI，散布惡意程式</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/KEL1ZSOJJX-image4.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/KEL1ZSOJJX-image4.png" style="width: 300px; float: right;" /></a></p> <p>資安業者Check Point發現，由中國短影音業者快手所開發的影片生成模型Kling AI（可靈AI）遭到駭客冒用，當駭客把使用者誘導到偽造的Kling AI平臺之後，生成的竟是可執行檔，點選後就會於受害者系統上安裝惡意程式。</p> <p>然而，研究人員於今年初發現，駭客建立了一個網址及介面都類似Kling AI的網站，接著於臉書（Facebook）刊登廣告，誘導使用者造訪假冒的Kling AI，並讓使用者生成及下載圖像或影片，然而，系統上所生成的.jpg或.mp4，其實是透過雙重副檔名（Double Extension）或韓文填充字元（Hangul Filler）等伎倆偽裝的，實際上是執行檔。</p> <p>迄今研究人員至少發現70個付費推廣、同時偽裝成Kling AI的廣告內容，它們的文案或許有些不同，但都會將使用者導向冒牌Kling AI網站。</p> <p><a href="https://www.ithome.com.tw/news/168949"><strong style="font-size: 22px;">【臺灣資安大會直擊】Google揭露攻擊者運用AI真實現況，非挖掘零時差漏洞，而是最常用於社交工程攻擊的強化</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖2）臺灣資安大會Christopher B Porter_AI_攝影羅正漢.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E5%A4%A7%E6%9C%83Christopher%20B%20Porter_AI_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 300px; float: right;" /></a></p> <p>隨著近年生成式AI、大型語言模型（LLM）演進，資安界持續關注新興科技引發的風險，主要有兩大類包括：一是生成式AI本身的風險，這涵蓋攻擊者針對AI應用服務的攻擊；另一是攻擊者運用AI技術提升網路攻擊的風險，在2025臺灣資安大會期間，恰巧有Google Cloud Security專家解析此議題，當中說明他們實際看到的攻擊者AI運用態勢，更指出現階段的最大危害，在於社交工程與語音偽冒的風險已變得更加嚴峻。</p> <p>Google Cloud國際資安合作負責人的Christopher B. Porter指出，生成式AI已打破語言的障礙，這也讓攻擊者在網路釣魚攻擊方面更有破壞力，例如活躍於東歐、中東或拉丁美洲的網路犯罪集團，現在也有能力入侵臺灣的組織。除了濫用文字生成進行網釣，另一個攻擊者用AI提升網路攻擊的嚴重威脅，是語音與影音偽造。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/russian-hackers-breach-orgs-to-track-aid-routes-to-ukraine/">APT28對援助烏克蘭的企業組織下手，從事供應鏈攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/05/go-based-malware-deploys-xmrig-miner-on.html">Go語言惡意軟體鎖定Linux主機，濫用Redis組態不當植入挖礦軟體</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/05/south-asian-ministries-hit-by.html">伊朗駭客SideWinder利用Office已知漏洞從事活動</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169126"><strong style="font-size: 22px;">Windows Server 2025的dMSA服務帳號提權惹議，起因是遷移流程可被濫用</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/badsuccessor-image5.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/badsuccessor-image5.jpg" style="width: 300px; float: right;" /></a></p> <p>為了強化AD服務帳號的安全，微軟在Windows Server 2025導入新型態的「委派控管服務帳號（dMSA）」，然而這種新的機制存在弱點，使得攻擊者有機可乘，能藉此滲透AD的部分使用者帳號。</p> <p>資安業者Akamai揭露Windows Server 2025的權限提升漏洞BadSuccessor，這項弱點存在於dMSA，攻擊者有機會入侵AD的任何使用者帳號，相當危險。值得留意的是，Akamai於4月1日向微軟通報此事，微軟雖然對於他們提供的資料及概念驗證進行驗證後，承認有這項弱點，但由於微軟評估僅有中度風險，不符合立即處理的條件，目前尚未進行修補。對此，Akamai認為IT人員必須採取其他積極的措施，以減少遭受相關攻擊的資安風險。</p> <p>值得留意的是，研究人員強調，這種弱點存在於預設組態的Windows Server 2025，而且相當容易利用。更可怕的是，企業的網域當中，只要有其中1臺網域伺服器是採用這款作業系統架設，就會曝險，即使企業並未使用dMSA也無法倖免。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/05/unpatched-versa-concerto-flaws-let.html">SD-WAN維運平臺Versa Concerto存在滿分身分驗證旁路漏洞，尚未修補</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/industrial-alert-automationdirect-mb-gateway-flaw-rated-cvss-10-no-software-fix/">AutomationDirect旗下Modbus工控閘道設備存在10分漏洞，暫無修補程式</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169048"><strong style="font-size: 22px;">Rust邁向第十年，新版強化匿名管道與安全程式庫設計</strong></a></p> <p>在Rust語言迎來十周年之際，Rust開發團隊發布1.87.0版本，呈現過去十年發展成果，也再次強調對安全、現代化與高效能系統程式設計的持續投入。此版本新增標準函式庫對匿名管道（Anonymous Pipes）的支援，並將部分僅因目標指令集限制而需unsafe操作的架構內建函式，納入安全語境，讓開發者能以更簡潔且安全的方式撰寫程式碼。</p> <p>本次Rust 1.87.0的重要更新，是標準函式庫正式加入對匿名管道的支援。開發者現在可以直接使用std::io::pipe函式來建立管道，將std::process::Command的stdout與stderr整合到同一通道，方便一次處理所有輸出資料。這項改進無需額外建立執行緒，也不必依賴平臺專屬API，讓跨平臺子程序之間的資料交換更加簡單，並減少過去處理大量標準輸出和錯誤時的複雜度。</p> <p>另一項重點是安全架構內建函式的調整。從1.87.0起，許多過去因需要啟用特定指令集例如AVX2，必須寫成unsafe的std::arch架構內建函式，現在於啟用這些指令集的情況，可以在安全程式碼中直接使用。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169114"><strong>【5月22日】VMware修補旗下多款平臺的資安漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169076"><strong>【5月21日】韓國電信業者SK Telecom事故最新調查出爐，駭客在網路環境活動近3年</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169054"><strong>【5月20日】Pwn2Own競賽首度成功找出VMware ESXi零時差漏洞</strong></a></p> </div></div></div>
2025/5/23 14:39作者周峻佑https://www.ithome.com.tw/news/169135
Google Gemini Diffusion新模型得益於擴散機制，大幅加速文字生成效率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全新大型語言模型<a href="https://deepmind.google/models/gemini-diffusion/">Gemini Diffusion</a>，是Google首次將擴散式（Diffusion-based）生成機制應用於人工智慧文字生成領域的實驗性產品。不同於現有多數以自我迴歸（Autoregressive）架構、逐字生成的語言模型，Gemini Diffusion導入擴散模型概念，強調可同時生成多個Token，並能於生成過程中持續修正內容，有效提升效率與品質。</p> <p>根據Google說明，傳統大型語言模型如Gemini 2.0及OpenAI GPT系列，均以自我迴歸方式運作，每次依據前序Token預測下一個Token，直至完成整段文字。這種逐步生成機制雖在語言理解與產出已具成熟應用，但在長文本、多輪互動或需快速產生內容的情境，易受生成速度與一致性限制，也可能有錯誤累積等問題。</p> <p>Gemini Diffusion的技術基礎，來自近年影像生成領域廣泛採用的擴散式生成模型，如Stable Diffusion等，這些模型證明擴散式生成方法具備良好的資料復原與生成效能。Gemini Diffusion將此機制導入文字生成，據現有資訊，模型主要以高比例遮罩（Mask）或近似雜訊的Token序列為起點，經多輪反覆修正，逐步復原出品質與一致性兼具的文字內容。</p> <p>Google公開的內部基準測試顯示，Gemini Diffusion在部分文字生成任務的運算速度有著明顯提升，官方資料最高平均達每秒1,479 Token，明顯高於Gemini 2.0 Flash-Lite等傳統模型。在程式碼、數學及科學等基準測試，Gemini Diffusion也展現出高速與內容一致性的潛力，模型在生成過程會自動修正錯誤，有助於長文本、結構化資料與程式碼片段等需高一致性的應用情境。</p> <p>針對Gemini Diffusion的體驗，知名框架Django專案共同創辦人Simon Willison於個人部落格<a href="https://simonwillison.net/2025/May/21/gemini-diffusion/">分享</a>測試體驗，他測試Gemini Diffusion後認為模型生成速度顯著提升，並認為Google所宣稱的速度毫不誇張。Simon Willison引用Google資料表示，Gemini Diffusion可在維持類似品質下，達到Gemini 2.0 Flash-Lite模型5倍的生成速度，他以建置模擬聊天應用程式為測試，Gemini Diffusion僅需數秒即可產生互動式HTML及JavaScript頁面。</p> <p>Gemini Diffusion目前仍屬實驗性產品，Google現開放有興趣的開發者申請候補名單參與測試。</p> </div></div></div>
2025/5/23 16:01作者李建興https://www.ithome.com.tw/news/169137
Windows Server 2025新的服務帳號代管功能有漏洞，dMSA帳號可能遭濫用而在AD提升其他使用者權限
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了強化AD服務帳號的安全，微軟在最新推出的Windows Server 2025當中，導入新型態的「<a href="https://learn.microsoft.com/zh-tw/windows-server/identity/ad-ds/manage/delegated-managed-service-accounts/delegated-managed-service-accounts-overview">委派受管理的服務帳號（Delegated Managed Service Account，dMSA）</a>」，目的是讓IT人員能將原有的服務帳號，轉換成採用受到管控、隨機化金鑰的電腦帳號，來減輕遭到Kerberoasting攻擊的風險。然而這種新的機制存在弱點，使得攻擊者有機可乘，能藉此滲透AD的部分使用者帳號。</p> <p>資安業者Akamai揭露Windows Server 2025的<a href="https://www.akamai.com/blog/security-research/abusing-dmsa-for-privilege-escalation-in-active-directory">權限提升漏洞BadSuccessor</a>，這項弱點存在於dMSA，攻擊者有機會入侵AD的任何使用者帳號，相當危險。值得留意的是，Akamai於4月1日向微軟通報此事，微軟雖然對於他們提供的資料及概念驗證進行驗證後，承認有這項弱點，但由於微軟評估僅有中度風險，不符合立即處理的條件，目前尚未進行修補。對此，Akamai認為IT人員必須採取其他積極的措施，以減少遭受相關攻擊的資安風險。</p> <p>什麼是dMSA？簡單來說，它是微軟在Windows Server 2025新增的AD帳號類型，是群組受管理的服務帳號（Group Managed Service Account，gMSA）的延伸，其中最重要的功能，就是能將非受到管理的服務帳號無縫遷移來提升安全性。因此，一般來說，IT人員會建立dMSA帳號來著換現有的服務帳號，為了能無縫接軌，dMSA可透過遷移流程來繼承舊帳號的所有權限。</p> <p>不過，Akamai在調查dMSA內部的運作機制後，發現這種帳號能讓攻擊者挾持網域的任何原則，而攻擊者觸發弱點的事先準備工作，就是取得網域任意組織單位（Organizational Unit，OU）的良性權限，使得相關攻擊能逃過各式的資安偵測機制。</p> <p>值得留意的是，研究人員強調，這種弱點存在於預設組態的Windows Server 2025，而且相當容易利用。更可怕的是，企業的網域當中，只要有其中1臺網域伺服器是採用這款作業系統架設，就會曝險，即使企業並未使用dMSA也無法倖免。</p> <p>在調查的過程裡，研究人員發現了稱為模擬遷移（Simulated Migration）的手法，攻擊者無須取得舊帳號的任何權限，唯一的條件就是事先得到dMSA帳號的寫入權限。一旦研究人員標記dMSA帳號由指定使用者經手處理，<a href="https://learn.microsoft.com/zh-tw/windows/win32/secauthn/key-distribution-center">金鑰配送中心（Key Distribution Center，KDC）</a>就會自動認定是正常的遷移工作，授予dMSA原始帳號擁有的每一項權限。研究人員強調，利用BadSuccessor的攻擊適用於網域管理員在內的任何帳號，允許控制dMSA物件的使用者控制整個網域，攻擊過程沒有實際的遷移，也沒有任何驗證，而且駭客還不太可能失手。</p> <p>究竟這樣的弱點危害有多大？研究人員藉由低權限的使用者展示概念驗證，藉由建立新的dMSA帳號來利用漏洞，最終成功控制了整個網域。</p> </div></div></div>
2025/5/23 11:51作者周峻佑https://www.ithome.com.tw/news/169126
中國駭客利用Ivanti EPMM漏洞從事攻擊，對歐美、亞太地區出手
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Ivanti於5月上旬<a href="https://www.ithome.com.tw/news/168936">發布更新</a>，修補已遭利用的Endpoint Manager Mobile（EPMM）漏洞CVE-2025-4427、漏洞CVE-2025-4428，後續<a href="https://www.ithome.com.tw/news/169112">資安業者Wiz指出他們從16日看到多起資安事故</a>，駭客將此漏洞用於4種攻擊，現在有其他研究人員<a href="https://blog.eclecticiq.com/china-nexus-threat-actor-actively-exploiting-ivanti-endpoint-manager-mobile-cve-2025-4428-vulnerability">公布新的調查結果</a>，指出中國駭客UNC5221在此之前，已用於廣泛的攻擊行動。</p> <p>威脅情報業者EclecticIQ指出，UNC5221利用這些漏洞，攻擊可透過網際網路存取的EPMM系統，範圍橫跨歐洲、北美、亞太地區，鎖定的目標涵蓋醫療照護、電信、航空、政府機關、金融、國防產業，目的疑似對高價值目標從事網路間諜活動，並竊取與中國利益有關的機密資訊。而這些駭客的攻擊行動，最早可追溯至5月15日。</p> <p>一旦UNC5221成功取得受害組織的初始入侵管道，就可能利用Linux作業系統內建的wget、curl、fetch等公用程式，從AWS S3儲存桶下載惡意程式KrustyLoader，目的是能持續在EPMM活動。</p> <p>接著，駭客試圖接收第二階段酬載，此為經過AES-128-CFB演算法處理的Sliver後門程式，經解密後此後門將以Shell Code的型式於記憶體內運作。</p> <p>為了竊取EPMM存放的機敏資訊，駭客也會對於EPMM搭配的MySQL資料庫下手，存取名為mifs的資料庫內容，挖掘列管的使用者行動裝置資料，這些包含IMEI碼、手機號碼、地理位置、SIM卡資料、LDAP資訊，甚至是Office 365的Token。</p> <p>此外，UNC5221還會使用反向代理伺服器工具Fast Reverse Proxy（FRP）該進行偵察及橫向移動。</p> <p>值得留意的是，UNC5221鎖定Ivanti漏洞下手的情況並非首例，兩個月前駭客試圖利用同廠牌SSL VPN系統Ivanti Connect Secure（ICS）的<a href="https://www.ithome.com.tw/news/168319">資安漏洞CVE-2025-22457</a>，於受害組織部署惡意程式載入工具TrailBlaze、後門程式BrushFire。</p> </div></div></div>
2025/5/23 12:49作者周峻佑https://www.ithome.com.tw/news/169130
Meta公布Llama新創贊助計畫
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://ai.meta.com/blog/llama-startup-program/" target="_blank">Meta宣布Llama新創計畫</a>（Llama Startup Program），招攬美國新創公司利用Llama模型開發生成式AI應用。</p> <p>Meta去年也曾透過<a href="https://about.fb.com/news/2025/04/llama-impact-grant-recipients/" target="_blank">Llama Impact Grants</a>獎勵計畫鼓勵開發商以Llama開發AI計畫，並<a href="https://ai.meta.com/blog/llama-impact-grant-innovation-award-winners-2024/" target="_blank">提供30萬到50萬美元獎金</a>。</p> <p>Llama新創計畫將提供早期新創團隊Llama開發資源，以及Meta團隊的協助，加速其產品開發。任何註冊成立、籌集資金少於1,000萬美元、至少有一名開發人員，並且正在構建生成式AI應用程式的美國公司，都可在5月30日截止日期前申請。</p> <p>在Llama新創計畫下，首先Meta將提供資助，供新創團隊透過雲端推論服務業的API使用Llama。Meta會提供每團隊最高6,000美元，最長6個月的資金來補貼打造生成式AI解決方案。此外，他們還可獲得Meta Llama團隊的技術支援，助其了解Llama使用場景並推動新創團隊實現Llama專案。</p> <p>Meta表示，Llama新創計畫特別適合開發科技與軟體、金融服務、健康照護和生技、電信、零售與電商等領域的生成式AI應用。Meta說，只要符合上述條件，<a href="https://www.llama.com/programs/startups/" target="_blank">即使現在沒有在用Llama也能報名</a>。</p> <p>不過這項計畫目前提供美國新創公司，不確定是否會推向其他地區。</p> </div></div></div>
2025/5/23 14:00作者林妍溱https://www.ithome.com.tw/news/169133
資產管理系統Cityworks零時差漏洞傳出遭到利用，中國駭客對美國地方政府發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年2月軟體開發商Trimble修補旗下資產管理系統Cityworks<a href="https://learn.assetlifecycle.trimble.com/i/1532182-cityworks-customer-communication-2025-02-06-docx/0?">零時差漏洞CVE-2025-0994</a>，此為反序列化漏洞，能讓通過授權的攻擊者遠端在IIS伺服器執行任意程式碼，CVSS風險4.0版為8.6分、3.1版為8.8分，當時Trimble表示，正著手調查駭客利用這項漏洞、未經授權存取受害組織網路的情形，但並未說明其他細節，如今有研究人員公布相關調查結果。</p> <p>思科旗下的威脅情報團隊Talos指出，<a href="https://blog.talosintelligence.com/uat-6382-exploits-cityworks-vulnerability/">中國駭客組織UAT-6382從今年1月，利用這項漏洞入侵美國地方政府的網路環境</a>，得逞後進行偵察，並迅速部署一系列的Web Shell，以及自行製作的惡意程式載入工具TetraLoader，以便進行長期活動。</p> <p>這些Web Shell包括：AntSword、chinatso（Chopper），以及檔案上傳工具，而它們的共通點在於，內含簡體中文訊息；另一方面，研究人員也發現駭客使用簡體中文工具MaLoader產生TetraLoader，而這些跡象，也是Talos判斷UAT-6382來自中國的依據。</p> <p>針對上述Web Shell的用途，駭客主要是拿來建立後門，此外還會試圖找出受害組織存放的機密資料，並部署TetraLoader，過程中駭客都透過PowerShell來進行相關流程。</p> <p>而對於TetraLoader這支惡意程式，研究人員指出駭客以Rust打造而成，並用於載入兩種作案工具。一種是Cobalt Strike的Beacon，以注入正常處理程序的方式於記憶體內執行Shell Code；另一種則是惡意程式VShell，用於與特定的C2伺服器進行通訊，並執行收到的程式碼。</p> </div></div></div>
2025/5/23 14:28作者周峻佑https://www.ithome.com.tw/news/169134
Mozilla關閉Firefox附加工具Pocket、Fakespot
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.mozilla.org/en/mozilla/building-whats-next/" target="_blank">Mozilla本周宣布</a>將關閉網路書籤管理工具Pocket及灌水評價驗證工具Fakespot，以專注開發Firefox。</p> <p>Pocket是Mozilla <a href="https://www.ithome.com.tw/news/112366" target="_blank">2017年收購</a>Read It Later的產品，用以強化Firefox的網頁書籤管理功能。而Fakespot則是2023年收購，以AI檢驗線上產品評價真偽的Firefox外掛程式。</p> <p>Mozilla表示Firefox是唯一沒有富爸爸支持的主要瀏覽器，這表示必須集中資源和時間來開發核心產品。首先，Pocket雖然協助了數百萬用戶儲存和發現網路文章，也有Tab Groups等管理工具，但使用者儲存、發現尋找新文章行為模式已經大幅變化。Fakespot分析假評價雖然獲得回響，但已不符合Mozilla經營策略。因此Mozilla做了困難決定，將終止上述二項產品，未來將把資源用於開發人們最需要的Firefox功能。</p> <p>其中Pocket將在2025年7月8日關閉。用戶在本周四（5/22）已無法下載Pocket App或訂閱Pocket Premium服務。現有Premium月訂閱將自動取消。年訂閱用戶會從7月8日獲得退款。API用戶從今年10月8日起，無法利用Pocket API傳送讀或寫資料，因此需及早匯出書籤。</p> <p>至於Fakespot，則會在2025年7月1日關閉。從當天起，用戶無法再使用Fakespot瀏覽器外掛、App或網站。Firefox中，Fakespot稱為Review Checker，該功能會提早在2025年6月10日關閉。</p> <p>Firefox日漸下滑的市占使其無法再負擔開發附加瀏覽器功能。<a href="https://gs.statcounter.com/browser-market-share" target="_blank">根據StatCounter的數據</a>，截至今年4月，Firefox在全球瀏覽器市占為2.55%，不僅落後Google Chrome、蘋果Safari及微軟Edge，也只略高於三星Samsung Internet的2.23%及Opera的2.08%。</p> </div></div></div>
2025/5/23 14:40作者林妍溱https://www.ithome.com.tw/news/169136
Ruby 3.5效能最佳化，物件配置速度為之前版本6倍以上
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據Ruby核心開發者Aaron Patterson於技術部落格發布的說明，<a href="https://railsatscale.com/2025-05-21-fast-allocations-in-ruby-3-5/">Ruby 3.5已導入物件配置效能最佳化</a>，並於實測較前一版本提升達6.5倍。此效能改進將有助Ruby應用於高流量Web服務、API與後端系統等場景。</p> <p>物件配置是Ruby執行環境中頻繁且基礎的作業之一，無論是新建資料模型、執行運算邏輯，或框架底層運作，都需大量使用。Aaron Patterson指出，這次效能提升的關鍵在於Class#new方法的實作機制調整。Class#new原為Ruby類別實體建立的進入點，其典型流程為先分配記憶體產生物件，再傳遞所有建置參數進行初始化。過去因Ruby與C語言堆疊之間的呼叫慣例轉換、參數複製，以及內聯（Inline）快取機制的限制，使得效能受影響。</p> <p>Ruby 3.5此次針對Class#new機制進行內聯最佳化。新版本於YARV虛擬機層新增opt_new指令，讓編譯器在遇到new呼叫時，直接於呼叫端展開Class#new的實作內容，而非僅作為方法呼叫。如此可省略原有Class#new產生的堆疊框架，並減少重複參數複製。</p> <p>而且此設計也有助提升內聯快取的命中率，使每個new呼叫都能直接快取初始化對應的類別。經由這系列底層最佳化，物件配置過程更加精簡，執行效能同步提升。</p> <p>實測顯示，Ruby 3.5在不同初始化參數設定均有效能提升。以位置參數為例，在未啟用JIT編譯器時，Ruby 3.5物件配置速度約為Ruby 3.4.2的1.8倍，當啟用YJIT則提升至2.3倍。採用關鍵字參數進行初始化時，隨著參數數量增加，效能提升更為明顯，在建置方法接受三個關鍵字參數並啟用YJIT時，Ruby 3.5的物件配置速度較前一版本提升超過6.5倍，對於大量產生物件的應用情境，特別是在現代Web服務或API設計中，效能提升幅度明顯。</p> <p>整體而言，Ruby 3.5針對物件配置所做的底層架構調整，不僅帶來即時效能改善，也讓Ruby在伺服器端程式語言領域更具競爭力。隨YJIT與語言本體效能提升，Ruby 3.5有助開發團隊因應大規模應用與即時運算等挑戰。</p> </div></div></div>
2025/5/23 14:48作者李建興https://www.ithome.com.tw/news/169132
OpenAI的AI裝置長怎樣？不是手機、亦非眼鏡，沒有螢幕
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/news/169088" target="_blank">OpenAI日前宣布收購</a>由蘋果前首席設計師Jony Ive成立的AI裝置新創公司io，打算自行設計與開發AI裝置，不過，目前OpenAI對相關裝置依然保密到家，根據<a href="https://x.com/mingchikuo/status/1925543472993321066" target="_blank">分析師郭明錤</a>與<a href="https://www.wsj.com/tech/ai/what-sam-altman-told-openai-about-the-secret-device-hes-making-with-jony-ive-f1384005?st=RUGPjK&reflink=desktopwebshare_permalink" target="_blank">華爾街日報</a>（The Wall Street Journal，WSJ）的報導，OpenAI規畫中的AI裝置將沒有螢幕，不是手機，亦非眼鏡，將具備攝影機與麥克風，目前的原型機略大於AI Pin 。</p> <p>WSJ報導，OpenAI共同創辦人暨執行長Sam Altman在宣布買下io之後，周三（5/21）也向員工預覽了他正與Ive共同開發的裝置，預計於明年下半年發表，並說估計全球要出貨1億個，讓它成為人們日常生活的一部分。</p> <p>Altman對於此一系列AI裝置的實際設計保密到家，並說保密對於這些裝置的成功非常重要，以避免競爭對手提前複製。但Altman給出了一些線索，表示這些AI裝置應能充分理解使用者的周圍環境與生活，卻不引人注目，可以放在口袋或桌上，成為繼MacBook Pro及iPhone之後，人們放在桌上的第三個核心裝置。</p> <p>Altman還向員工們透露，併購io可能讓OpenAI的市值增加1兆美元。<a href="https://www.ithome.com.tw/news/168182" target="_blank">OpenAI今年3月底的估值約為3,000億美元</a>。</p> <p>至於郭明錤則說，此款AI裝置目前的原型比<a href="https://www.ithome.com.tw/news/162250" target="_blank">AI Pin</a>大一些，外型跟iPod Shuffle一樣緊湊優雅，應該可以掛在脖子上，內建攝影機與麥克風，但沒有顯示功能，或許可以連到手機PC。此外，郭明錤預期這批裝置將會到2027年才量產，且會在中國境外組裝及運輸。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/humane-press-shield-lifestyle-2.png" style="width: 350px;" /></p> <p><a href="https://www.ithome.com.tw/news/167449" target="_blank"><span style="color:#696969;">AI Pin產品示意圖。</span></a></p> <p>OpenAI的舉動亦突顯出將AI整合到真實世界的應用中，如實體AI，已被廣泛認為是下一個關鍵趨勢。</p> </div></div></div>
2025/5/23 15:15作者陳曉莉https://www.ithome.com.tw/news/169138
Anthropic發布Claude Opus 4與Claude Sonnet 4，前者號稱是全球最強大的程式碼撰寫模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.anthropic.com/news/claude-4" target="_blank">AI新創Anthropic今日（5/23）推出新一代Claude模型系列</a>：Claude Opus 4和Claude Sonnet ，並將Claude Opus 4稱為全球最強大的程式碼撰寫模型，在長期任務執行與理解複雜程式碼上都有傑出的表現。</p> <p>Claude Opus 4和Claude Sonnet 4屬於混合模型，提供兩種模式以供切換，分別是近乎即時的回應，以及深入推理的延伸性思考；此外，它們都可以在延伸思考期間使用各種工具來改善回應；能更準確地遵循指令；並有更好的記憶力。此外，Anthropic也減少了這兩個模型在執行任務時使用捷徑或鑽漏洞的行為，相較於Sonnet 3.7執行代理任務時，新模型參與相關行為的可能性低了65%。</p> <p>Anthropic特別強調Claude Opus 4在撰寫程式碼的能力。該模型在軟體工程流程測試SWE-bench上達到72.5%的成績，Claude Sonnet 4於該測試也取得了72.7%的成績，超越OpenAI o3的69.1%及Gemini 2.5 Pro的63.2%；Claude Opus 4在命令列操作能力Terminal-bench測試中獲得43.2%的分數，超越Claude Sonnet 4的35.5%、OpenAI o3的30.2%與Gemini 2.5 Pro的25.3%。更令人矚目的是，Opus 4能夠持續工作數小時，在需要數千步驟的長期任務中保持穩定表現，這為AI代理的應用範圍帶來了革命性擴展。</p> <p class="rtecenter"><a href="https://s4.itho.me/sites/default/files/files/0523-Claude%204-SWE-bench%20Verified%20benchmark-by%20Anthropic.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0523-Claude%204-SWE-bench%20Verified%20benchmark-by%20Anthropic.png" style="width: 600px;" /></a></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Anthropic</span></span></p> <p>至於Claude Sonnet 4在保持高效率的同時，顯著提升了程式碼撰寫和推理能力，在平衡性能與實用性方面表現出色，適用於日常使用場景。</p> <p>多家科技業者對Claude Opus 4給予了高度評價。程式碼編輯器公司Cursor說它在複雜程式碼庫理解上有著飛躍式進步；網路開發平臺Replit說它在跨不同文件之變更的精確度上，有了明顯的改善；區塊鏈開發公司Block表示，Claude Opus 4是首個能在程式碼編輯與除錯過程中，實際提升程式碼品質的模型；日本電商巨頭樂天（Rakuten）則藉由一項長達7小時的開源重構任務，驗證了該模型的能力，期間該模型完全獨立運作並維持穩定表現。</p> <p>而其實Claude Sonnet 4在代理場景的表現也不差，而且處理速度更快，因此，GitHub已宣布要在GitHub Copilot 中的新程式碼撰寫代理中，採用Claude Sonnet 4作為基礎模型。</p> <p>Pro、Max、Team和Enterprise計畫都包含兩款模型和延伸性思考功能，已透過Anthropic API、Amazon Bedrock和Google Cloud的Vertex AI上提供服務。在定價上，Claude Opus 4每百萬token輸入/輸出價格為15/75美元，Claude Sonnet 4則是3/15美元，與上一代模型一致。</p> </div></div></div>
2025/5/23 14:11作者陳曉莉https://www.ithome.com.tw/news/169131
TypeScript Native預覽版開放，編譯效能飆上10倍速
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟TypeScript團隊宣布<a href="https://devblogs.microsoft.com/typescript/announcing-typescript-native-previews/">開放TypeScript Native預覽版</a>，這是官方主分支TypeScript編譯器首次以原生程式語言重寫，針對效能與大型專案開發需求進行架構層級調整。根據官方公開的實測資料，Native預覽版於多項主流開源專案的型別檢查與編譯速度，可達現有JavaScript版本的10倍以上，大幅縮短專案建置與開發周期。</p> <p>此計畫是因應雲端原生、人工智慧應用與現代前端工程規模化需求，也替長期受大型TypeScript專案效能瓶頸影響的開發團隊，提供具體解決之道。</p> <p>TypeScript在JavaScript生態系引入靜態型別檢查，強化程式碼安全性與可維護性。隨著專案規模擴大，現有Node.js版TypeScript編譯器於大型程式碼庫進行型別檢查、專案建置或語言服務時，常有啟動與執行延遲的狀況。</p> <p>為解決上述問題，TypeScript團隊從2024年開始推動，以Go語言重寫編譯器與工具鏈的原生計畫，內部開發代號Corsa，並以未來TypeScript 7納入主分支為目標。目前Native預覽版主要透過NPM釋出，對外提供@typescript/native-preview套件，開發者可直接於專案中安裝及體驗。</p> <p>TypeScript Native預覽版本已能支援多數常見TypeScript語法與專案結構，同時也涵蓋JSX、JavaScript with JSDoc等開發情境，不過，部分emit、build與語言服務功能則尚未完整。官方公開如VS Code、Playwright等大型程式碼庫效能資料，顯示原本需數十秒至一分鐘的型別檢查，在Native預覽版下大幅縮短至數秒內完成。</p> <p>除命令列工具外，TypeScript Native預覽版還針對VS Code推出預覽擴充套件，開發者可於VS Code中啟用原生語言服務。現階段語言服務屬早期版本，僅支援基本型別檢查與自動完成，其他自動匯入、參考查找、重新命名等進階功能則仍在開發中。</p> <p>開發團隊表示，Native預覽版目前每日發布Nightly Build，未來將逐步補齊語言服務功能，並朝向取代現有以TSServer為基礎的JavaScript語言服務，加速對標準語言伺服器協定（LSP）的支援，提升跨編輯器整合與開發流程的一致性。</p> <p>TypeScript Native目前仍為預覽階段，部分功能如--build模式、宣告檔案產生、舊版JavaScript目標編譯等尚未完善，官方建議開發團隊可於測試或非關鍵專案中先行嚐鮮。值得注意的是，Native版本提前加入TypeScript 6與7規畫的棄用與重大變更，例如模組解析模式與語法調整，開發者可以同步檢視專案設定，以利未來升級。</p> </div></div></div>
2025/5/23 12:18作者李建興https://www.ithome.com.tw/news/169122