iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 5篇
近 24 小時: 31篇
近 7 天: 131篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/10
最近更新: 11/10 08:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 131 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象5 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
彭博社1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Anduril Industries與Meta合作，共同開發戰鬥VR頭戴裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門開發自主系統的美國國防技術公司<a href="https://www.anduril.com/article/anduril-and-meta-team-up-to-transform-xr-for-the-american-military/" target="_blank">Anduril Industries周四（5/29）宣布</a>，將與Meta合作，共同設計、建置及部署一系列的XR（Extended Reality，延展實境）產品，以強化戰場上將士們的感知能力，以及直覺地控制這些自主平臺。而外界則將目光擺在Anduril Industries共同創辦人Palmer Luckey與Meta共同創辦人暨執行長祖克柏（Mark Zuckerberg）之間的破冰。</p> <p>1992年出生的Luckey從他16歲起就開始自己製作VR耳機，他在2012年創立了Oculus VR，同年即透過Kickstarter推出首款VR裝置Oculus Rift，成功募集了240萬美元。而Meta則是在2014年以20億美元買下Oculus VR ，接著<a href="https://www.ithome.com.tw/news/113174" target="_blank">在2017年開除了Luckey</a>。</p> <p>離開了Meta的Luckey在同一年就參與了Anduril Industries的創立，該公司主要開發軍用的無人機系統、反無人機系統、半可攜的自主監控系統及遠端指揮暨控制軟體，並在今年初<a href="https://www.ithome.com.tw/news/167322" target="_blank">接手微軟國防部專案中的MR頭戴裝置子專案</a>。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0530-Anduril%20and%20Microsoft%20IVAS%20Program%20U_S_%20Army-600.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Anduril Industries</span></span></p> <p>Anduril Industries表示，與Meta的合作將整合雙方在硬體、軟體及AI上的資源，而且全都使用私人資本，目的是藉由原是專為商業用途建置的高性能元件與技術，節省數十億美元的美國軍隊經費。</p> <p>雙方所擁有的混合實境能力將會無縫地整合至Anduril Lattice平臺，這是個基於AI的命令與控制系統，集結了來自數千個來源的即時戰場情報，透過把特定角色的AR/VR介面整合到產品中，將士們即可直覺地存取Lattice的分析能力，這將改變將士們察看、感知與整合戰場資訊的方式，藉由沈浸式的技術解決方案來強化戰術決策。</p> <p>祖克柏則說，Meta過去10年一直在建置AI與AR以實現未來的運算平臺，很自豪能與Anduril合作，把相關技術帶給美國軍人，以保護美國國內、外的利益。</p> <p>根據<a href="https://www.wsj.com/tech/meta-army-vr-headsets-anduril-palmer-luckey-142ab72a?st=AFcxj5&reflink=desktopwebshare_permalink" target="_blank">華爾街日報（Wall Street Journal，WSJ）的報導</a>，雙方共同打造的系統名為EagleEye，將配置許多可強化將士視力與聽力的感應器，也已共同參與陸軍一項價值1億美元的VR硬體裝置標案。</p> </div></div></div>
2025/5/30 13:34作者陳曉莉https://www.ithome.com.tw/news/169268
Perplexity AI推出可執行跨領域專案的Perplexity Labs
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>標榜AI搜尋引擎服務的Perplexity AI周四（5/29）<a href="https://www.perplexity.ai/hub/blog/introducing-perplexity-labs" target="_blank">發表了新的Perplexity Labs功能</a>，可完成使用者的想法與待辦事項，執行時間可達10分鐘或更久，支援付費訂閱的Pro用戶使用。</p> <p>Perplexity AI是個結合大型語言模型（LLM）與即時網路搜尋的AI搜尋引擎，目前架設在AWS（Amazon Web Services）上。該公司自行建議索引系統，並結合Bing與Brave等搜尋引擎的資料，根據用戶的訂閱等級提供不同的模型選擇。其核心技術之一為檢索增強生成（Retrieval Augmented Generation，RAG），可在模型生成答案時，結合即時檢索到的網路資訊，以提高答案的準確性及時效性。</p> <p>該公司的基礎產品為Perplexity Search，<a href="https://www.ithome.com.tw/news/167399" target="_blank">今年2月推出</a>具備研究功能的Perplexity Deep Research，能夠代替使用者在網路上執行深入研究與分析，在使用者輸入問題後，它可執行十多次的搜尋，讀取上百個來源，爬梳大量內容，以產出一份完整報告。</p> <p>至於最新的Perplexity Labs則可協助使用者完成各種任務與個人專案，像是安排一個行銷活動，分析企業財務狀況，或是一周的膳食計畫。</p> <p>除了AI搜尋與彙整文獻，Perplexity Labs還可自動執行網頁搜尋，自動撰寫並執行程式碼，自動生成圖表與圖片，還可自動製作文件及試算表，也能於App分頁直接部署互動式小型應用。它被設計用來處理更長時間、多步驟且跨領域的專案，執行時間可能超過10分鐘。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0530-Perplexity%20Labs-Code%20Generation.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Perplexity AI</span></span></p> <p>Perplexity AI形容，使用Perplexity就像有一臺全天候都可使用的答錄機，而Perplexity Labs宛如擁有一個團隊，可實現使用者的各種想法。</p> </div></div></div>
2025/5/30 14:07作者陳曉莉https://www.ithome.com.tw/news/169269
C#迎來腳本開發時代，原生支援單檔執行模式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>.NET 10釋出第四預覽版，微軟替<a href="https://www.youtube.com/watch?v=98MizuB7i-w">C#新增單檔執行功能</a>，開發者可<a href="http://devblogs.microsoft.com/dotnet/announcing-dotnet-run-app/">透過dotnet run app.cs直接執行單一C#檔案</a>，無需建立專案結構或.csproj設定檔。此項更新讓C#開發體驗向Python、JavaScript等腳本語言看齊，降低學習與原型設計、自動化腳本開發的門檻。</p> <p>過去執行C#程式需建立完整專案結構，即便僅為測試或簡單腳本也無法省略。這對初學者與需快速驗證程式片段的開發者，無形增加學習與實作難度。而現在透過dotnet run app.cs便可直接執行單一.cs檔案，簡化流程，讓C#更適用於腳本與臨時任務，提升語言彈性與易用性。</p> <p>微軟強調，這不是分開的方言或執行環境，開發者寫的是相同的C#，用同一個編譯器，當程式規模變大時，可以自然轉換為完整專案，持續使用既有語言、語法與工具。</p> <p>開發者在單檔模式下，依然可運用C#語法、標準函式庫及第三方NuGet套件，例如，可直接於程式檔案內以#:package宣告所需套件，或以#:sdk指定SDK類型，增強腳本應用的彈性。這些檔案層級指令讓單檔應用具備專案級彈性，卻不需管理繁複結構，方便快速開發或自動化需求。</p> <p>.NET 10第四預覽版同時新增shebang標記支援，允許C#檔案於類Unix環境下作為腳本直接執行。開發者可在首行加入#!/usr/bin/dotnet run，並賦予執行權限，即可如同殼層腳本直接啟動C#程式。</p> <p>單檔開發模式與傳統專案架構可無縫轉換。微軟同步推出dotnet project convert指令，協助開發者在程式成長與需求提升時，一鍵將單檔程式轉換為標準C#專案，包含.csproj、所需NuGet套件與MSBuild屬性。</p> <p>雖然市面上已有CS-Script、dotnet-script、Cake等第三方C#腳本工具，但大多需額外安裝及設定。此次.NET 10預覽版內建單檔執行功能，開發者無需仰賴第三方工具，即可在官方平臺獲得一致、可靠的腳本體驗，有助於減少環境差異與維護負擔。</p> <p>微軟表示，未來將持續完善此功能，包括強化VS Code的IntelliSense提示、調校指令列執行效能、支援多檔案腳本與除錯等能力。</p> </div></div></div>
2025/5/30 12:53作者李建興https://www.ithome.com.tw/news/169266
以2U機箱容納24臺3.5吋硬碟，營邦展出新款SAS-4硬碟櫃
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/ying_bang_j2024-08-04x_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年台北國際電腦展期間，我們看到有些廠商<a href="https://www.ithome.com.tw/tech/163435">展出支援SAS-4（24Gb SAS）的產品</a>，營邦（AIC）正是其中一家，陳列4U高密度擴充硬碟儲存櫃（JBOD）。</p> <p>在同年11月舉行的SC24超級電腦大會，他們宣布推出全新SAS4 JBOD產品系列，當中搭配博通（Broadcom）的SAS-4硬碟擴展器晶片（SAS4x），而能運用SAS-4技術，提供24 Gb/s的儲存I/O傳輸效能，並且導入單機箱、雙擴展模組（Dual Expander）設計，提供雙路徑備援（dual path redundancy），以強化設備運作的可靠度；</p> <p><a href="https://s4.itho.me/sites/default/files/images/Broadcom SAS Expanders.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Broadcom%20SAS%20Expanders.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2022-07-J4078-02-04X_PR_2-WEB.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-07-J4078-02-04X_PR_2-WEB.jpg" style="width: 298px;" /></a></p> <p>而在硬碟儲存裝置的容納能力上，營邦當時已可提供多種配置的機型選擇，像是4U機箱、108臺3.5吋硬碟的J4108-02-04X，4U機箱、78臺3.5吋硬碟的J4078-02-04X，2U機箱、24臺2.5吋硬碟的J2024-07-04X。</p> <p></p><div class="media_embed" height="730px" width="504px"> <iframe allowfullscreen="" frameborder="0" height="730px" src="https://www.linkedin.com/embed/feed/update/urn:li:ugcPost:7262372879927783425" title="Embedded post" width="504px"></iframe></div> <p>其中的J4078-02-04X，<a href="https://www.aicipc.com/en/news/5862">早在2022年發表</a>，J2024-07-04X於<a href="https://www.facebook.com/share/p/16cAUwUNq8/">2023年6月推出</a>。除此之外，營邦2023年開始提供的J4024-05-04X（4U機箱、24臺3.5吋硬碟），以及J2012-04-04X（2U機箱、12臺3.5吋硬碟），也都是能夠支援24 Gb/s的硬碟儲存櫃。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-J4078-02-04X_PR_1-WEB.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-J4078-02-04X_PR_1-WEB.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/J2024-07-04X_Front45-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/J2024-07-04X_Front45-web.jpg" style="width: 298px;" /></a></p> <p>而在2025年4月舉行的美國廣播電視展（NAB Show），營邦針對SAS-4 JBOD的產品線，除了擺設J4078-02-04X，也首度公開展出2U機箱、12臺3.5吋硬碟的新機型J2024-08-04X。</p> <p> </p> <div class="media_embed" height="728px" width="504px"> <iframe allowfullscreen="" frameborder="0" height="728px" src="https://www.linkedin.com/embed/feed/update/urn:li:share:7315107891047251970" title="Embedded post" width="504px"></iframe></div> <p> </p> <p>到了5月底的台北電腦展，他們再度陳列這兩款產品，以及即將於今年第四季推出的儲存伺服器SB204-ZL。基本上，J2024-08-04X與SB204-ZL外形如出一轍，都是基於高密度儲存伺服器機箱<a href="https://www.aicipc.com/en/productdetail/51224">RSC-2MS</a>而成的產品，根據該公司股東會年報與公開的網路影片介紹，此款機箱在<a href="https://www.aicipc.com/en/pdfupload/219-278/2020">2020年研發成功</a>、<a href="https://youtu.be/xClYwngPisc?si=8nH82kg6Z7rQRECk">亮相</a>，並於<a href="https://youtu.be/y_5triVCk4E?si=fs2W5UvDxL80Qd-Z">2021年推出</a>。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AIC SAS4 JBOD-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AIC%20SAS4%20JBOD-1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/AIC SAS4 JBOD-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AIC%20SAS4%20JBOD-2.jpg" style="width: 298px;" /></a></p> <p>或許是為了突顯營邦JBOD能提供單位空間密度更高的巨量資料儲存能力，以及與主要硬碟廠商的合作關係，今年台北國際電腦展現場展示的J4078-02-04X，旁邊放置儲存容量26 TB的WD資料中心硬碟<a href="https://www.ithome.com.tw/review/165703">Ultrastar DC HC590</a>；至於J2024-08-04X與SB204-ZL，旁邊也擺設另一款儲存容量24 TB的Toshiba資料中心硬碟<a href="https://www.ithome.com.tw/review/165033">MG11系列</a>。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AIC SAS4 JBOD-5.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AIC%20SAS4%20JBOD-5.jpg" style="width: 298px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><span style="color:#0000FF;"><strong>營邦J2024-08-04X</strong></span><br /> ●原廠：營邦<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：2U（深83.8公分）<br /> ●硬碟最大容量：單臺機箱24臺3.5吋SAS或SATA硬碟<br /> ●儲存I/O介面：內建兩臺擴充模組，每臺內建4個Mini-SAS HD埠（SFF-8644），搭配SAS擴展器晶片為Broadcom SAS4x40<br /> ●電源供應器：2臺800瓦（1+1備援）<br /> ●散熱機制：4臺60 x 56公釐風扇</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/5/29 18:56作者李宗翰https://www.ithome.com.tw/review/169245
【資安日報】5月29日，未及時修補已知漏洞釀禍，大量華碩路由器遭殭屍網路AyySSHush綁架
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週我們報導了<a href="https://www.ithome.com.tw/news/169195">中國駭客ViciousTrap</a>利用思科路由器漏洞CVE-2023-20118的攻擊行動，揭露此事的資安業者Sekoia提及，駭客還對於D-Link、Linksys、華碩、威聯通（QNAP）等廠牌的網路設備下手，後續有新的調查結果出爐，映證相關發現。</p> <p>威脅情報業者GrayNoise指出，他們發現有人綁架約9千臺華碩路由器，並指出相關發現是ViciousTrap攻擊行動的一部分。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169252"><strong style="font-size: 22px;">9千臺華碩路由器遭殭屍網路AyySSHush入侵，駭客植入SSH後門</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/AyySSHush-timeline.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/AyySSHush-timeline.jpg" style="width: 300px; float: right;" /></a></p> <p>威脅情報業者GrayNoise揭露鎖定華碩路由器的殭屍網路AyySSHush攻擊行動，他們從3月18日察覺駭客的活動，經過2個月的追蹤，已有近9千臺路由器受害。這些駭客之所以得逞，主要運用的手段，包括發動暴力破解、奪下設備控制權，或是利用2個尚未登記CVE編號的身分驗證繞過漏洞（目前已完成修補），取得初始存取權限，一旦得逞，他們就會試圖利用已知漏洞CVE-2023-39780執行任意命令，最終植入自己的SSH金鑰建立以持續存取的管道，並將相關組態存放於非揮發性隨機存取記憶體（NVRAM）。</p> <p>值得留意的是，由於駭客將後門程式部署在NVRAM，即使用戶將路由器重開機或是更新韌體，都不會清除駭客留下的惡意程式及組態設定。除此之外，駭客並未部署其他的惡意軟體，但他們為了迴避偵測，不僅停用路由器的事件記錄功能，也停用與趨勢科技合作的內建防護機制AiProtection。</p> <p><a href="https://www.ithome.com.tw/news/169258"><strong style="font-size: 22px;">以提供Bitdefender免費防毒軟體為幌子，駭客意圖散布木馬程式VenomRAT搜括帳密</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/bitdefender-1.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/bitdefender-1.jpg" style="width: 300px; float: right;" /></a></p> <p>為了提升電腦防護，使用者下載、安裝防毒軟體可說是相當常見，但要務必留意下載的來源，因為有駭客製作冒牌網站聲稱提供防毒軟體，實際上卻是藉此散布惡意程式。</p> <p>資安業者DomainTools指出，他們看到聲稱提供Bitdefender防毒軟體的惡意網站bitdefender-download[.]com，駭客複製該廠牌免費防毒軟體Bitdefender Antivirus Free for Windows的網站，內容幾可亂真，僅有些許差異而難以辨別真假。然而一旦使用者從假網站下載防毒軟體的安裝程式並執行，電腦就可能感染木馬程式VenomRAT，導致密碼外洩並提供駭客遠端存取的管道。</p> <p>附帶一提的是，駭客用於架設冒牌防毒軟體網站的惡意網域，也與用來架設假銀行網站、假IT服務網站的網域有所交集，研究人員認為，冒牌防毒軟體網站很可能是網釣活動的一部分。</p> <p><a href="https://www.ithome.com.tw/news/169242"><strong style="font-size: 22px;">勒索軟體DragonForce利用遠端管理工具SimpleHelp漏洞，攻擊MSP業者與其客戶</strong></a></p> <p>勒索軟體DragonForce鎖定遠端管理工具SimpleHelp多項資安漏洞，針對一家託管服務供應商（MSP）及其多個客戶發動大規模攻擊，導致部分企業遭遇資料加密與外洩風險。資安業者Sophos在事件調查報告指出，攻擊者可能利用SimpleHelp的漏洞進行橫向移動與大規模散播勒索軟體，同時竊取敏感資料，並採用雙重勒索方式，要求受害組織支付贖金以換取資料不被公開。</p> <p>Sophos研究人員表示，攻擊者極可能利用2025年1月公開的SimpleHelp漏洞，包括路徑穿越漏洞CVE-2024-57727、任意檔案上傳漏洞CVE-2024-57728，以及權限提升漏洞CVE-2024-57726。而攻擊行動從MSP架設的SimpleHelp系統開始，攻擊者取得多個託管客戶環境的操作權限後，透過受控平臺將經過竄改的SimpleHelp安裝程式，發布至多臺端點電腦植入惡意軟體，使攻擊範圍橫跨多個組織。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/czechia-blames-china-for-ministry-of-foreign-affairs-cyberattack/">捷克指控中國駭客APT31攻擊外交部長達3年</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/apt41-malware-abuses-google-calendar-for-stealthy-c2-communication/">APT41濫用Google行事曆進行C2通訊</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/05/mimo-hackers-exploit-cve-2025-32432-in.html">Craft CMS已知漏洞出現實際攻擊行動，駭客藉此挖礦、充當代理伺服器</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-pumabot-botnet-brute-forces-ssh-credentials-to-breach-devices/">Go語言殭屍網路病毒PumaBot透過SSH暴力破解，鎖定物聯網裝置而來</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169256"><strong style="font-size: 22px;">購物網站商品收藏清單外掛驚傳滿分漏洞，逾10萬網站受影響</strong></a></p> <p>熱門購物清單外掛TI WooCommerce Wishlist再傳重大漏洞！值得留意的是，軟體開發商對於研究人員通報漏洞不予理會的情況，已有前例，用戶最好尋求其他替代方案，以免電商網站曝險。</p> <p>資安業者Patchstack指出，WordPress外掛程式TI WooCommerce Wishlist存在危險程度達到滿分10分的重大漏洞CVE-2025-47577，估計有10萬個網站受到影響。由於這項弱點尚未有修補程式，研究人員呼籲用戶最好暫時停用並刪除。</p> <p>針對這次研究人員發現的漏洞，攻擊者只要觸發，就有機會在未經身分驗證的情況下，上傳惡意檔案到伺服器，目前最新版2.9.2的TI WooCommerce Wishlist，也受到影響。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/chrome-137-firefox-139-patch-high-severity-vulnerabilities/">Google、Mozilla發布Chrome 137、Firefox 139，修補高風險資安漏洞</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169202"><strong style="font-size: 22px;">資安法修法進入委員會審查階段，新增條文擬納入協助民間應對重大資安事件</strong></a></p> <p>立法院針對《資安法》修法，目前已經進入到委員會審查階段，數位發展部資安署署長蔡福隆表示，目前《資安法》修法主要是針對五點在討論，目前主管機關以及協助民間企業處理重大資安事件朝野已有共識外，其他仍將持續凝聚共識中。</p> <p>原本行政院版第二條修正條文中，明定主管機關為數位發展部，國家資通安全業務也明定由數位發展部資通安全署辦理。不過，蔡福隆表示，審查會通過的條文中，同意《資安法》的主管機關為數位發展部，但資通安全業務的執行，除了刪除國家的字眼外，也修正為「由數位發展部指定資安專責機關辦理。」</p> <p>另外，《資安法》第四條「為提升資通安全，政府應提供資源，整合民間及產業力量，提升全民資通安全意識，並推動包括：培育資安專業人才、發展資安產業及發展相關軟硬體規範等四款條文。</p> <p><a href="https://www.ithome.com.tw/news/169194"><strong style="font-size: 22px;">Computex秀AI資安新方向，趨勢科技用數位孿生助企業攻防演練</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/PXL_20250522_032358476.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20250522_032358476.jpg" style="width: 300px; float: right;" /></a>隨著當前AI發展熱潮，數位孿生（Digital Twin）概念也持續受看重，不只是在製造業智慧工廠發酵，資安領域同樣關注，今年4月底美國RSAC 2025大會上，我們才看到資安業者Check Point當時發出警告，指出新型態AI攻擊，會利用個人資料訓練專屬AI模型，創造出模擬受害者特徵與行為模式的Digital Twin數位分身，這突顯了攻擊者運用此技術的潛在風險，而就在最近舉行的臺北國際電腦展（Computex 2025）上，臺灣資安廠商趨勢科技展示一項創新解決方案，揭露防守方對此技術的運用，目前仍研發中，主要聚焦利用Digital Twin來搭建企業攻防演練的應用環境。</p> <p>具體而言，趨勢科技表示，此種藉助數位孿生作法的好處是，可建立更擬真且自動化的攻防演練環境，例如當中具備兩個AI Agent，一個扮演紅隊角色，一個扮演藍隊角色，當紅隊打完後可自動產生結果，重要的是此時不再需要人力介入，藍隊能夠依照發現的弱點與建議，將防護設定套上去，接著紅隊自動再打一次以驗證。如果發現效果不如預期，這時才需要專業資安人力介入，並從紫隊角度或顧問角度來進一步調整。</p> <p><a href="https://www.ithome.com.tw/news/169221"><strong style="font-size: 22px;">雲端資安業者Zscaler宣布買下MDR業者Red Canary</strong></a></p> <p>5月27日雲端資安業者Zscaler宣布，已與專精於託管式偵測與回應服務（MDR）的Red Canary簽署正式併購協議，雙方並未披露交易金額，僅說預計於今年8月完成交易。</p> <p>Zscaler表示，Red Canary讓客戶能夠以99.6%的準確率，將調查威脅的速度加快10倍，同時藉由自動化修復來簡化工作流程，在結合Zscaler的高品資資料，以及來自ThreatLabz安全研究團隊的全球情報之後，雙方的合併將帶來一個統一的、結合人類專業知識以及AI驅動工作流程的代理安全營運中心。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169238"><strong>【5月28日】新興駭客針對歐美國家下手，為俄羅斯政府從事網路間諜活動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169199"><strong>【5月27日】駭客於臺灣等70個國家挾持逾2千臺伺服器架設殭屍網路</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169160"><strong>【5月26日】歐美大國攜手執法，3天內破壞7個Botnet</strong></a></p> </div></div></div>
2025/5/29 16:33作者周峻佑https://www.ithome.com.tw/news/169261
零售IT雙周報第56期：對話式購物夯，支付業者相繼推出支援對話式購物的技術，OpenAI也揭露ChatGPT內購物功能…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#0000FF;"><strong>重點新聞(0518~0531)</strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099FF;">#AI代理購物 #個人化行銷</span></strong></span><br /> <strong>Visa推出一系列支援AI代理購物的API，提供商品推薦、身份驗證、支付授權等功能</strong></p> <p><a href="https://developer.visa.com/use-cases/visa-intelligent-commerce-for-agents">Visa發起Visa Intelligent Commerce for AI Agents計畫，推出一系列API來支援AI代理購物服務。</a>這些API包括基礎交易控制（Payment Controls），設置交易限制與條件，確保AI代理的購買行為符合用戶原始指示。</p> <p>還有資訊安全類API，支付憑證（Tokenization）及身分認證（Authentication），前者為AI代理提供專屬的支付代碼，僅能在獲得用戶授權的情況下使用，後者在AI代理代表用戶進行購買前驗證身份。</p> <p>不只支援基本購買行為，還有兩個強化商業功能的API，個人化推薦（Personalization）及商務信號（Commerce Signals），根據用戶消費行為，提供商品與服務推薦，提供交易追蹤與爭議管理功能，以支援售後服務流程。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099FF;">#AI搜尋引擎 #自動購物 #對話式購物</span></strong></span><br /> <strong>Paypal開始支援在Perplexity對話式購物功能，可以一鍵完成下單付款</strong></p> <p><a href="https://newsroom.paypal-corp.com/2025-05-14-Perplexity-Selects-PayPal-to-Power-Agentic-Commerce">在AI搜尋引擎Perplexity開始串接電商平臺，推出對話式購物功能後，又進一步與Paypal合作，打造自動化付款流程。</a>現在，當使用者與AI聊天機器人對話時，完成商品探索和比價，決定購物時，可以透過對話指令或點擊購買商品，來直接下單並完成付款。</p> <p>此功能支援Paypal旗下的Paypal和Venmo金流服務，且將開放全球4億多名Paypal用戶使用。Paypal強調，付款流程會應用自家防詐及資料加密技術，讓使用者不須輸入密碼同時，確保資訊安全。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099FF;">#生成式AI #對話式購物</span></strong></span><br /> <strong>OpenAI揭露更多ChatGPT電商功能的技術細節</strong></p> <p><a href="https://help.openai.com/en/articles/11146633-improved-shopping-results-from-chatgpt-search?jid=195321&sid=9494786">在開始串接電商平臺資料，推出聊天內電商功能後，OpenAI近日又揭露更多相關技術細節。</a></p> <p>目前對話式電商功能支援與GPT-4o和4o-mini的對話。ChatGPT會從用戶對話明確表態，或結合對話內容和模型記憶、自訂指令，來推測使用者購物意圖。接著，在輪播轉盤中顯示相關產品選項及產品細節，引導用戶連結到外部電商網站。</p> <p>給予這些回覆時，ChatGPT會考量諸多要素，包括電商網站的結構化元資料，如價格、產品描述，以及商品評論，和用戶需求。例如，如果用戶指定預算，ChatGPT會特別關注價格，反之，則可能會關注其他面向。</p> <p>OpenAI強調，顯示商品資訊時，商品評論和評分都不會經過驗證，而是由ChatGPT彙整前述外部資訊呈現。這意味著，有可能不同商品評分標準不一致，或者商品有著「經濟實惠」標籤，卻不是市面最低價的情況。用戶應參考具體商品頁面，來詳細了解相關資訊。</p> <p>ChatGPT顯示的商品定價，是頁面中列出的第一種價格，而非最低可能價格。當商家更新定價或運輸條款等相關資訊時，ChatGPT未必能即時讀取到。並且，有時估計的稅費和運費會與實質費用有所不同。OpenAI表示，他們正在研究優化價格顯示準確度的方法。</p> <p>至於顯示商品的順序，目前是由合作電商平臺提供者決定。ChatGPT根據價格、運費或退貨政策等因素對商家重新排名。不過，OpenAI確實有意自行調整商品呈現排序，因此他們將開放商家直接提供商品資訊，供他們未來自行打造商品排序與推薦機制。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099FF;">#遊戲電商 #元宇宙電商</span></strong></span><br /> <strong>Roblox推出串接遊戲體驗到外部電商的API</strong></p> <p><a href="https://corp.roblox.com/newsroom/2025/05/roblox-launches-shopify-integration-amp-licensing-program">沙盒類遊戲Roblox推出Commerce API，支援品牌和遊戲內創作者將遊戲內介面串接到外部電商。目前此API只支援Shopify電商，未來則計畫新增更多電商平臺。</a></p> <p>過往，Roblox已經與Walmart等許多知名品牌測試遊戲內策展，近月也不斷推出遊戲內廣告功能。如今推出電商功能，則能完整串起商品展示、行銷和販售的流程，讓品牌的遊戲內空間變成功能更完整的賣場。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099FF;">#訂貨預測 #連鎖餐廳管理</span></strong></span><br /> <strong>開展餐飲如何用IT支援Friday's等連鎖餐廳經營</strong></p> <p>在餐飲業，每一項餐點，所用到的食材不盡相同，但不同餐點也會用到相同食材，且食材需要人工盤點。光是開展集團旗下兩大主力餐廳品牌TGI Friday's和Texas Roadhouse的食材，超過500種品項，其中不乏從美國進口的食材。儘管以一周為單位盤點、分析，已經在餐飲業算相對頻繁，但仍是落後指標，對於訂購食材的採購，幫助有限。</p> <p>鎖定此痛點，他們決定導入商用解決方案，利用AI預測能力來輔助採購。採購人員綜合AI預測結果、自身經驗，以及未來行銷等營運計畫，規畫出採購提案，再於主管會議蒐集不同營運面向負責人的意見後，食材採購量與實際消耗情形，兩者相符率高達8至9成。</p> <p>這只是他們應用IT的其中一環，其他投資還包括高規格ERP、POS、KDS等系統。開展餐飲董事長表示：「投資IT，主要目標是提升管理效率，而非直接帶來更多營收。」這是他們以美式餐飲管理理念，將總部作為支援中心，所衍生出的IT態度。（<a href="https://www.ithome.com.tw/people/168976">詳全文</a>）</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099FF;">#生成式AI #主動式行銷</span></strong></span><br /> <strong>eBay推出新的GenAI聊天機器人，在消費者購物時主動提供購物建議</strong></p> <p><a href="https://innovation.ebayinc.com/stories/ebay-uses-agentic-ai-to-supercharge-personalized-ecommerce/">C2C電商巨頭eBay推出新的GenAI聊天機器人。</a>特色是，不只等待消費者開啟互動，還能在消費者操作購物App時，即時生成與當下頁面相關問題，引導消費者打開聊天介面，與機器人進一步對話。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ebayagai.jpg" style="width: 600px;" /></p> <p>例如，當打開高級手表的分類頁面，AI會生成「給我看復古式計時碼表」等提示，讓消費者點擊。此聊天機器人功能主要是提供個人化推薦、商品相關知識，並在對話中不斷替消費者生成後續可詢問的問題，以進一步延續對話。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099FF;">#生成式AI #個人化推薦</span></strong></span><br /> <strong>東南旅遊在旅展推出互動式個人化行程推薦體驗</strong></p> <p>在臺北國際旅展，東南旅遊結合AI人臉檢測與表情辨識技術，推出「AI 魔鏡智能選旅」功能。消費者只需站在互動裝置前自拍一張照片，系統即會辨識出可能情緒、穿搭風格，並從東南旅遊電商資料庫中，自動生成個人化行程。消費者掃描QR Code，能下載專屬介紹簡報，查看推薦行程的詳細內容、行程特色與售價。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099FF;">更多零售IT動態：</span></strong></span></p> <p><a href="https://91app.com/omnichannel-integration-solution/">91APP推出的全通路庫存管理系統IMS，一站式管理門市與線上電商等多通路庫存</a></p> <p><a href="https://seekingalpha.com/article/4774382-walmart-inc-wmt-2025-walmart-investment-community-meeting-and-q-and-a-session-conference">Walmart在Q1法說會中提到，持續導入自動化設備使每年物流成本減少2成，預計到年底能降低3成以上成本。</a></p> <p><a href="https://www.ithome.com.tw/news/169178">YouTube推出新的電商廣告功能，支援觀眾直接透過廣告在CTV上購物，或是透過掃描QR Code，用手機來購物。</a></p> <p><a href="https://business.tiktokshop.com/us/blog/detail/10023391">Tiktok Shop推出生成式AI賣家助手。</a></p> <p>資料來源：iThome整理，2025年5月</p> <p>責任編輯：郭又華</p> <p>圖片來源：Visa、eBay</p> <p></p> </div></div></div>
2025/5/29 17:54作者郭又華https://www.ithome.com.tw/news/169262
以提供防毒軟體為幌子，駭客意圖散布木馬程式VenomRAT搜括帳密
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了提升電腦防護，使用者下載、安裝防毒軟體可說是相當常見，但要務必留意下載的來源，因為有駭客製作冒牌網站聲稱提供防毒軟體，實際上卻是藉此散布惡意程式。</p> <p><a href="https://dti.domaintools.com/VenomRAT/">資安業者DomainTools指出</a>，他們看到聲稱提供Bitdefender防毒軟體的惡意網站bitdefender-download[.]com，駭客複製該廠牌免費防毒軟體Bitdefender Antivirus Free for Windows的網站，內容幾可亂真，僅有些許差異而難以辨別真假。然而一旦使用者從假網站下載防毒軟體的安裝程式並執行，電腦就可能感染木馬程式<a href="https://www.ithome.com.tw/tags/venomrat">VenomRAT</a>，導致密碼外洩並提供駭客遠端存取的管道。</p> <p>研究人員指出，冒牌網站與正牌幾乎一模一樣，僅有少量差異，其中一項就是駭客拿掉正牌網頁上的Free字樣。</p> <p>但駭客架設的網站仍有一些不尋常的地方有機可循，其中，引誘受害者上當的Download For Windows按鈕，其連結看似將使用者導向程式碼儲存庫Bitbucket下載檔，但若是用戶點選，此URL實際上會將他們重新導向至AWS S3儲存桶，才下載名為BitDefender.zip的壓縮檔。</p> <p>一旦使用者從上述ZIP檔解開並執行StoreInstaller.exe，電腦就會被植入VenomRAT，此木馬程式內含兩種主要元件StormKitty、SilentTrinity，這些都是開源的後利用框架，其中，StormKitty用於在系統環境收集帳密資料，SilentTrinity則是將竊得資料外送，並提供駭客長期存取受害電腦的管道。</p> <p>附帶一提的是，駭客用於架設冒牌防毒軟體網站的惡意網域，也與用來架設假銀行網站、假IT服務網站的網域有所交集，研究人員認為，冒牌防毒軟體網站很可能是網釣活動的一部分。</p> </div></div></div>
2025/5/29 16:05作者周峻佑https://www.ithome.com.tw/news/169258
軟體老字號的代理AI逆襲
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>五月最後的十天，兩大科技巨頭再次展開了生成式AI的新對決，微軟年度開發者大會Build和Google年度產品大會I/O，雙雙在同一周舉辦，雙方開場主題演講只差了一天，而且都瞄準了代理AI的新戰略布局，再次較勁的意味濃厚。</p> <p>微軟喊出了開放式代理型網際網路（Open Agentic Web）願景，從基礎架構、資料工具、AI平臺工具到代理AI應用，祭出各項新功能和新產品。Google不只發表多款多模態的大型語言模型，更試圖將代理AI能力，整合到各式各樣的服務中，從Google搜尋、Chrome到自家各種GenAI應用程式中。</p> <p>微軟、Google這兩家生成式AI巨頭較勁，看頭十足，也再一次翻新了眾人對於生成式AI可能性的想像，原來還可以發展出這麼多、這麼厲害的應用。</p> <p>同一時間，我卻飛到了美國波士頓，<a href="https://www.ithome.com.tw/news/169058" target="_blank"><span style="color:#3366ff;">參加老字號的商用開源作業系統廠商紅帽的年度大會</span></a>，同樣感受到生成式AI、代理AI浪潮的影響力。</p> <p>不同於AI巨頭們，如OpenAI與微軟聯盟、Google、Nvidia、AWS等，手上擁有龐大的算力、資料來發展各種大型語言模型，紅帽這家成立三十多年的老牌軟體商，堅持不走大型語言模型研發的路線，而是要善用自己原本的優勢，來卡位新的代理AI浪潮。</p> <p>擁有深厚作業系統背景的紅帽，對硬體支援非常熟悉，也和雲端供應商、硬體晶片供應商有很好的合作夥伴關係。<a href="https://www.ithome.com.tw/news/169079" target="_blank"><span style="color:#3366ff;">紅帽技術長Chris Wright用一句話點出紅帽的新戰略</span></a>：「將底層硬體和熱門模型的軟體架構串連起來，是紅帽在整個GAI世界中的位置。」</p> <p>紅帽的策略要將十多年來投入的混合雲戰略，帶入AI領域。<a href="https://www.ithome.com.tw/news/169060" target="_blank"><span style="color:#3366ff;">紅帽瞄準了企業大規模運用GAI的需求，新產品戰略方向是，要讓任何模型，使用任何晶片，在不同雲端環境如公雲、私雲和邊緣上執行</span></a>。新發表的商用Linux作業系統RHEL 10新版，可以通吃混合雲和AI工作運算需求。另外，也用可以加速LLM運作的開源專案vLLM為基礎，推出全新的AI推論伺服器，還發表一個大規模AI推論加速的開源專案llm-d，以K8s實現分散式推理架構，來突破vLLM單一伺服器的限制。</p> <p>最後一項是宣布，旗下兩大AI產品線RedHat AI和OpenShift AI，都將支援Meta的Llama Stack框架和熱門的MCP協定。</p> <p>不只紅帽，5月初，我們另一位記者王若樸則飛到奧蘭多，參加另一家創立近50年的老字號數據分析品牌SAS年會，他們同樣也在今年大會宣布，新戰略全力瞄準代理AI浪潮（<a href="https://www.ithome.com.tw/article/169264" target="_blank"><span style="color:#3366ff;">相關報導請見：老牌數據大廠的代理AI新戰略</span></a>）。</p> <p>原本就擅長各種數據分析技術和傳統預測式AI技術的SAS，有一套頗受企業青睞的數據分析工具和平臺，他們和紅帽一樣，沒有優先研發自己的大型語言模型，而是善用既有平臺產品優勢，來瞄準代理AI浪潮。</p> <p>SAS在既有的決策平臺Intelligent Decisioning上，增加AI代理能力，尤其是可以提供各種客製化AI代理的開發工作。SAS提供了一套低程式碼AI開發工具，可以用拖拉式的操作，以視覺化的方式來建立代理AI的工作流程，不只可以用於開發設計，也能用這套決策平臺，來部署和擴展可以獨立運作的AI代理應用。</p> <p>這個代理型AI平臺的特色是，結合了SAS擅長的傳統統計分析和LLM，來打造AI代理。更提供了AI治理可用的工具，來提高AI代理的透明度與可解釋性，像是整合了原本的模型卡（Model Cards）功能，可以呈現出所用模型的偏差評估結果，也提供了AI供應鏈追蹤功能（Lineage），源自傳統資料工程實踐，可以用視覺化的方式，來呈現從資料ETL流程、模型訓練、版本管理、模型部署到最後輸出決策的邏輯脈絡。</p> <p>面對生成式AI巨頭不斷翻新技術的激烈競爭，老字號的軟體業者像是SAS或紅帽，都走出一條不一樣的AI路，善用多年累積的商用IT實力，創造出可以卡位代理AI新競賽的差異化競爭優勢。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%B4%85%E5%B8%BD">紅帽</a></div><div class="field-item odd"><a href="/tags/%E4%BB%A3%E7%90%86ai">代理AI</a></div><div class="field-item even"><a href="/tags/sas">SAS</a></div></div></div>
2025/5/29 17:06作者王宏仁https://www.ithome.com.tw/voice/169265
購物網站商品收藏清單外掛驚傳滿分漏洞，逾10萬網站受影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>熱門購物清單外掛TI WooCommerce Wishlist再傳重大漏洞！值得留意的是，軟體開發商對於研究人員通報漏洞不予理會的情況，已有前例，用戶最好尋求其他替代方案，以免電商網站曝險。</p> <p>資安業者Patchstack指出，WordPress外掛程式TI WooCommerce Wishlist存在<a href="https://patchstack.com/articles/unpatched-critical-vulnerability-in-ti-woocommerce-wishlist-plugin/">危險程度達到滿分10分的重大漏洞CVE-2025-47577</a>，估計有10萬個網站受到影響。由於這項弱點尚未有修補程式，研究人員呼籲用戶最好暫時停用並刪除。</p> <p>關於TI WooCommerce Wishlist的功能，主要是讓WooCommerce電商網站加入購買清單，由於這種功能通常能增加購物者下單的機會，幾乎可說是電商網站必備。值得一提的是，該外掛還能與WC Fields Factory等其他WooCommerce外掛搭配、整合使用，提供的客製化選單。此外掛程式有10萬網站採用，算是相當受到歡迎。</p> <p>針對這次研究人員發現的漏洞，攻擊者只要觸發，就有機會在未經身分驗證的情況下，上傳惡意檔案到伺服器，目前最新版2.9.2的TI WooCommerce Wishlist，也受到影響。</p> <p>研究人員於今年3月通報，但目前為止開發商並未回應，也沒有修補漏洞，於是他們決定公開揭露此事。值得留意的是，TI WooCommerce Wishlist被發現重大漏洞，開發商對於研究人員不予理會的情況，<a href="https://www.ithome.com.tw/news/165277">已非首例</a>。去年9月，Patchstack揭露未經授權SQL注入漏洞CVE-2024-43917（CVSS風險值9.3），他們在7月通報之後就石沉大海，WordPress外掛程式審核團隊於9月12日暫時不開放下載。</p> </div></div></div>
2025/5/29 15:08作者周峻佑https://www.ithome.com.tw/news/169256
由Sam Altman共同創辦的Tools for Humanity及World進駐臺灣市場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由OpenAI共同創辦人Sam Altman共同創辦的World本周三（5/28）<a href="https://world.org/zh-tw/blog/announcements/world-launches-in-taiwan" target="_blank">正式宣布進軍臺灣市場</a>，邀請臺灣民眾透過World Space驗證他們的World ID，用以區別人類及AI機器人，加入「以人為本」的金融與身分網路。</p> <p>其實Altman、Alex Blania與Max Novendstern最早是在2019年創辦Tools for Humanity，再於2021年發表<a href="https://www.ithome.com.tw/news/147437" target="_blank">Worldcoin專案</a>，去年將Worldcoin<a href="https://www.ithome.com.tw/news/165568" target="_blank">更名為World Network</a>，而這也是此次進軍臺灣所使用的名稱。</p> <p><a href="https://www.toolsforhumanity.com/" target="_blank">Tools for Humanity的首頁</a>很簡單，僅描述這是一家專替AI時代的人類所建置的科技公司，擁有逾400名開發人員、科學家、工程師、設計師、經濟學家或創作者等，主要負責替World打造各種工具，包括開源的、用來掃描虹膜的Orb。</p> <p><a href="https://world.org/zh-tw/blog/world/orb-faqs" target="_blank">根據World的解釋</a>，Orb使用專門的感應器來確保站在它前面的是人類，接著拍攝並處理一系列的虹膜圖像，以建立一個虹膜碼，用來驗證人類的唯一性，並成為人類的World ID。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0529-World-World%20ID-Orb-3(1).png" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／World</span></p> <p>至於World ID則是一個匿名的真人憑證，以在無法再用智力來區分是AI還是人類的世界裡，得以證明自己的人類身分。</p> <p>看起來Altman在2015年共同創辦OpenAI之後，便發現AI的智力很快就能與人類相當，甚至超越一般人，也想到了有一天人們必須要證明自己是人類而非機器人。</p> <p>迄今Tools for Humanity已於德國、日本、新加坡、阿根廷、馬來西亞、南韓、泰國、哥倫比亞、智利、墨西哥、奧地利與肯亞等國家推出World ID驗證服務，一直到今年5月才正式進駐美國市場，接著於臺灣推出。</p> <p>對World ID有興趣的使用者可先下載World App，再藉由Orb掃描虹膜以取得自己的World ID，註冊之後就能領取世界幣（Worldcoin）。目前全球已經有超過2,700萬人取得World ID，現在每個世界幣的價格為40.84元新臺幣。</p> <p>現階段Tools for Humanity在臺灣的3個地點提供Orb以掃描使用者的虹膜，它們都在臺北市，分別是臺北創新中心、臺北方舟，以及Taipei Dome。</p> </div></div></div>
2025/5/29 15:17作者陳曉莉https://www.ithome.com.tw/news/169257
9千臺華碩路由器遭殭屍網路AyySSHush入侵，駭客植入SSH後門
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來針對小型路由器等連網裝置的攻擊行動頻傳，駭客看上許多使用者不會定時更新的情況，利用已知漏洞從事活動，甚至進一步關閉廠商內建的其他防護機制，使得用戶難以察覺受害。</p> <p>例如，威脅情報業者GrayNoise揭露<a href="https://www.greynoise.io/blog/stealthy-backdoor-campaign-affecting-asus-routers">鎖定華碩路由器</a>的<a href="https://www.labs.greynoise.io/grimoire/2025-03-28-ayysshush/">殭屍網路AyySSHush攻擊行動</a>，就是典型的例子。他們從3月18日察覺駭客的活動，經過2個月的追蹤，已有近9千臺路由器受害。這些駭客之所以得逞，主要運用的手段，包括發動暴力破解、奪下設備控制權，或是利用2個尚未登記CVE編號的身分驗證繞過漏洞（目前已完成修補），取得初始存取權限，一旦得逞，他們就會試圖利用已知漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-39780">CVE-2023-39780</a>執行任意命令，最終植入自己的SSH金鑰建立以持續存取的管道，並將相關組態存放於非揮發性隨機存取記憶體（NVRAM）。</p> <p>值得留意的是，由於駭客將後門程式部署在NVRAM，即使用戶將路由器重開機或是更新韌體，都不會清除駭客留下的惡意程式及組態設定。除此之外，駭客並未部署其他的惡意軟體，但他們為了迴避偵測，不僅停用路由器的事件記錄功能，也停用與趨勢科技合作的內建防護機制AiProtection。</p> <p>附帶一提的是，GrayNoise特別提及相關調查結果與<a href="https://ithome.com.tw/news/169195">Sekoia揭露的中國駭客ViciousTrap活動</a>有關，鎖定華碩路由器的攻擊是該項行動的一部分，兩家資安業者不約而同提到，駭客使用TCP通訊協定及53282埠建立SSH連線犯案。</p> <p>針對駭客使用的漏洞CVE-2023-39780，此為允許通過身分驗證的攻擊者於作業系統層級進行命令注入的弱點，當時研究人員是在華碩的路由器RT-AX55發現，CVSS風險為8.8。不過，GrayNoise指出，他們看到駭客攻擊目標，是採用出廠預設組態的另外兩款機型：RT-AC3100、RT-AC3200。</p> </div></div></div>
2025/5/29 12:23作者周峻佑https://www.ithome.com.tw/news/169252
微軟公布統一化Windows Update協作平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為解決Windows 11上分散的軟體及安全更新造成的麻煩，微軟希望以Windows 11作為統一的更新管理者，微軟正開發Windows Update協作平臺，可管理第三方應用程式、驅動程式更新，並在本周<a href="https://techcommunity.microsoft.com/blog/windows-itpro-blog/introducing-a-unified-future-for-app-updates-on-windows/4416354" target="_blank">以私有預覽版開放用戶報名測試</a>。</p> <p>目前企業環境中有各種應用、Windows元件、Visual Studio等產品，都是各自更新，不但難以管理，而且更新時干擾用戶電腦正常運作、各種通知引發混亂，導致錯過更新期限，還增加IT部門的支援成本。微軟新的協作平臺（orchestration platform）即是為了解決上述問題而生。</p> <p>微軟新的協作平臺是以Windows Update相關技術為基礎開發而成，旨在提供管理工具開發人員API，以加入到其產品更新清單。這個平臺的協作者就會協調所有加入清單的產品在Windows 11上更新，以及微軟自己的Windows Update，使IT管理員及用戶不再被眾多更新混淆及干擾。</p> <p>Windows Update協調平臺的運作方式，是使用一組Windows Runtime（WinRT）API和PowerShell指令，在App或管理工具加以註冊。一開始需先將Windows Update orchestrator註冊為更新供應者。其次，告知orchestrator需要安裝的（應用程式或工具）更新有哪些。當完成設定後，該平臺會根據排程掃瞄或下載、安裝並檢查成功與否。若失敗orchestrator會再重新排程，若成功則會接續其他作業。</p> <p>這個協作平臺可提供智慧排程，根據使用者活動、系統效能、是否連上AC電源排定更新。微軟或第三方應用式更新，都可使用原生Windows Update的通知，可簡化使用體驗。這個協調工具可支援IT的更新期限和通知等管理政策；應用程式更新紀錄會集中在「設定」，方便用戶統一讀取，若發生問題時也可讓IT統一讀取更新log進行問題排除。</p> <p>Windows Update協調者支援常見應用套件格式，像是MSIX/APPX，或是Win32 App。加入Windows Update協調者清單的產品，未來會自動更新到用戶電腦。</p> <p>有意加入預覽測試者，需以郵件信箱<a href="mailto:[email protected]">[email protected]</a>聯絡微軟。</p> </div></div></div>
2025/5/29 12:25作者林妍溱https://www.ithome.com.tw/news/169251
Telegram宣稱將整合xAI的Grok，遭馬斯克打臉
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Telegram創辦人暨執行長<a href="https://x.com/durov/status/1927705717626003759" target="_blank">Pavel Durov周三（5/28）宣布</a>，即將於Telegram上整合xAI的聊天機器人Grok，幾個小時後，xAI創辦人暨執行長<a href="https://x.com/elonmusk/status/1927839555828220165" target="_blank">馬斯克（Elon Musk）便回應</a>，尚未簽署任何協議，直接打臉Durov。</p> <p>根據Durov的說法，雙方已同意展開一年的合作，Grok將在今年夏天全面進駐所有的Telegram應用程式，造福逾10億名Telegram用戶。此外，Telegram將從xAI獲得3億美元的現金及股票，再加上於Telegram上訂閱Grok的一半（50%）分潤。</p> <p>消息一出，由Telegram所開發的TON代幣價格，立即從3美元攀升到逾3.6美元。</p> <p>相較於Durov的興奮，馬斯克只冷冷地說了一句：「並未簽署任何協議。」Durov也在下方留言，雙方已經原則上同意，只是還有各種手續待辦。接著TON代幣的價格便隨之下滑至3.3美元。</p> <p>Grok聊天機器人目前已現身於同為馬斯克麾下的X平臺，也已推出Grok.com，以及支援Android與iOS的行動程式。</p> </div></div></div>
2025/5/29 12:47作者陳曉莉https://www.ithome.com.tw/news/169253
兩大IT自動化平臺Terraform和Ansible未來如何整合？雙方技術長對談未來整合願景
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年3月，獲得英國主管機關的核准後，IBM終於完成了對雲端基礎架構工具業者HashiCorp的收購案，HashiCorp旗下混合雲管理自動化工具Terraform，和紅帽旗下DevOps圈愛用的IT自動化工具Ansible，都成為IBM旗下產品。</p> <p>在今年紅帽年度大會第二天主題演講中，紅帽產品長Ashesh Badani也宣布，未來將與HashiCorp將有更深度合作，因為許多紅帽的企業用戶，同時使用了HashiCorp的Terraform和Vault產品，以及紅帽OpenShfit平臺和Ansible工具。</p> <p>Ansible擅長配置程式碼化管理，而是Terrform則是基礎架構程式碼化的主流，企業IT團隊過去就長混用兩種工具來部署應用程式和所需要的基礎架構資源。</p> <p>HashiCorp 是全球最大的企業混合雲和多雲環境管理工具商，全球企業用戶超過4,400家，包括財經媒體集團彭博、星巴克、摩根大通集團、GitHub等，超過8成的財星500大企業採用。<br /> IBM去年4月宣布以每股35美元，總價64億美元全現金收購這家公司。收購完成後，HashiCorp旗下產品，也將成為IBM自動化雲端產品線中，企業混合雲管理方案的最新成員，可以和RedHat、watsonx、資料安全及IT自動化、與IBM諮詢顧問服務產生綜效。</p> <p>例如可整合Terraform和紅帽Ansible自動化平臺來支援多雲平臺上的服務自動化。或用HashiCorp的Vault和Red Hat OpenShift平臺，來提供混合雲環境的機密管理和安全，協助在混合雲部署IBM Z平臺應用。IBM也承諾會投資持續開發HashiCorp。</p> <p>Ashesh Badani表示，Terraform和Ansible兩款自動化工具可以互補，提供涵蓋基礎架構管理生命周期，更完整、端到端的自動化管理，從開發設計階段（Day 0）、上線部署（Day 1）到後續維運（Day 2）的階段。</p> <p>他也舉例說明，在紅帽在Ansible工作流程中，整合了許多的Terraform的工作流程指令「計畫」命令，使用者可以直接在Ansible工作流程中，選擇要啟用哪些 Terraform計畫。這些工作流程同時可以透過 Ansible和Terraform來觸發後續步驟。</p> <p>「 AI運作也需要自動化，尤其是事件驅動的自動化能力是關鍵，」 Ashesh Badani 表示，未來幾個月的整合目標，要先提高產品對產品的整合度，特別是跨Ansible和Terraform的整合，並且要打造相關的整合機制和函式庫。</p> <p>在IBM宣布要併購HashiCorp之後，兩家公司也收到很多客戶的詢問，尤其對於兩家公司同質性產品後續的整合和發展問題。所以，在紅帽年會第二天開場演講後，兩家公司的技術長，紅帽技術長Chris Wright和HashiCorp創辦人兼技術長Armon Dadgar，也對媒體展開一場對談，進一步說明兩家公司整合後的發展方向和願景，整理如下：</p> <p>紅帽技術長Chris：HashiCorp和Red Hat的混合雲願景非常契合，很早就開始討論如何合作。IBM宣布收購HashiCorp的消息後，他們最常被問到的第一個問題是Red Hat怎麼辦？其次是容器環境的秘密管理未來的發展。另一個較少人提到，但紅帽技術長很有興趣的議題是，Vault 和Ansible對憑證普及化的整合潛力。</p> <p>HashiCorp技術長Armon：<br /> 從生命週期角度來看，第一步是建立雲端帳戶，部署VPC環境等，Terraform對Day 0和Day 1的基礎架構配置的表現非常好，但建立一個VM運作環境後，需要執行配置管理，來符合應用程式的需求，後續第二天、第三天長期運作上，不只VM需要修補，也需要升級應用程式，甚至應用程式有壽命，如測試環境的程式在任務完成後需要銷毀。Terraform建立環境後，可以交接給Ansible，但現在缺乏機制，在清理VM後可以自動將測試版本從AP服務管理清單中註銷，得手動處理。這就是一個在AP生命週期中，需要Ansible和Terraform實現更好整合的例子。對我來說，願景是基礎架構程式碼完全自動化，從第零天到運作的最後一天。</p> <p>Chris：每一個工具都是整體中的不同部分，但是如何讓它看起來像是單一平臺、緊密整合的工具。未來的願景是，找出更好的組合，描繪一個從基礎設施開始，到應用程式結束的生命週期是什麼樣的樣貌。但這樣的整合，是一種指導性的建議，而非強制。企業不想因為有更好的功能而得有很大的改變。因應市場需求，兩家公司都需要保持各自工具的靈活性，雙方的社群也有很大的不同。</p> <p>Armon：人們常說OpenShift就等於Kubernetes，但我認爲，範圍可以更大，OpenShift可以視為CNCF容器生態系統，遠不只是K8s，像是還有Helm等。串接整套流程，在OpenShift 發行版中，有38個需要另外整合其他工具或機制的接觸點，像是在CI/CD流程、GitOps流程，應用程式都需要金鑰、憑證來運作。如何簽發憑證，如何更換是一大麻煩。<br /> 如何確保整體如預期般的運作，甚至確保機密，需要一個以安全為預設的平台，集中式的秘密管理機制、密鑰管理機制和憑證管理機制。只要在OpenShift平臺打開一個預設選項，就能讓整個流程和環境，協同運作，甚至隨著新版本更新而自動更新，這是一個未來可以整合的機會。</p> <p>Chris：如何用同一套秘密管理來處理整合，如何延伸到所有的管理功能中，這種功能應該做到，開箱即用就能做對的事情。但沒有什麼事情比簡單更複雜的挑戰了。<br /> Armon：許多組織的挑戰是，在基礎架構環境中用Vault集中管理金鑰，但要如何將金鑰派發給應用程式，能不能在部署應用程式緊密整合 Vault，是一大需求。像這類的最後一哩路，將是未來整合的巨大機會。像是部署建立同時交付秘密金鑰，更新和修補時，也將憑證更換列入維運生命週期管理的一環，可以對金鑰集中管理、加密、權杖化，也進行最後一哩的交付，這會是未來改善體驗的重點。還有一個顧客常見的需求，能不能用單一個混合雲的管理API，就能同時部署和管理Terraform和Ansible，這也是雙方正在討論的重點之一。</p> <p>「這不只是Ansible和Terraform成為可以協同運作的工具，而是真正將基礎設施管理和應用程式交付方式打通。」Chris強調。</p> <p>Armon：我們各自所所不足，但聯手就可以創造新的共同機會。幾乎所有企業的挑戰是，他們將擁有多個公雲和私雲，如何跨越這些環境來操作是一大挑戰，對開發人員來說，只想寫出程式碼，但不在乎這些程式如何執行，在哪裡執行等運作細節。如何能夠提供單一視圖和單一的雲端管理平臺，任開發人員專注於他們所關心的目標，這是我認為的正確方向。<br /> 如何找到一套黃金模式、黃金工作流程，又能在混合環境中靈活運作。</p> <p>我們思考如何在OpenShift平臺上，將各種元件打包，提供更高層次的開發者抽象層，提供一個可以跨環境進行工作流程自動化的平臺，這正是Waypoint開發者入口網站想要實現的事。目前我們開始思考，需要什麼樣的開發者可視化，如何讓維運者也有一致的模式，提供跨環境的一致化操作方式，這是我最終想要達到的目的地。讓開發人員跨越不同環境，從營運角度來確保該有的安全風險配置，這還需要很多工作，但我很有信心。</p> <p>Chris：如何將成本（cost）、複雜性（Complexity）和合規性(Compliance）整合，再讓這些整合看不見，讓整套平臺總是合規而且預設安全，還能提供成本管理。從複雜性的角度來看，優化必須內建，但要如何隱藏，並將其打包，來確保一致性，不用讓每一家企業反覆遇到同樣的問題，這是我們的關鍵課題。 </p> </div></div></div>
2025/5/29 11:30作者王宏仁https://www.ithome.com.tw/news/169249
Nvidia首季財報出爐，營收成長69%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://nvidianews.nvidia.com/news/nvidia-announces-financial-results-for-first-quarter-fiscal-2026" target="_blank">Nvidia周三（5/28）公布</a>截至今年4月27日的2026財年第一季財報，該季Nvidia締造了441億美元的營收，成長69%，淨收入為188億美元，成長26%，該季的每股盈餘為0.76美元，成長27%。由於皆超越分析師預期，當天Nvidia盤後股價上揚4.87%，漲至141.37美元。</p> <p>在Nvidia的所有營收中，資料中心類別占了391億美元，相較於去年同期成長73%；遊戲營收為38億美元，成長42%；專業視覺化營收為5.1億美元，成長19%；汽車暨機器人營收為5.7億美元，成長72%。</p> <p>值得注意的是，美國政府在今年4月9日通知Nvidia，要求該公司在出口H20至中國市場之前，必須先取得許可，因為此一新的要求，Nvidia在今年第一季產生了45億美元的費用，與H20的超額庫存及採購義務有關。</p> <p>在收到美國政府的要求之前，Nvidia已售出價值46億美元的H20，之後還有價值25億美元的H20則因為新命令而未能出貨。</p> <p>雖然未在新聞稿中提及，<a href="https://www.ft.com/content/5f2c318b-39e6-4ce9-bcd4-d950aa5525c8" target="_blank">但英國金融時報（ Financial Times）報導</a>，Nvidia創辦人暨執行長黃仁勳在財報會議中向分析師透露，讓中國晶片製造商不必面對來自美國的競爭，只會讓它們在國際上變得更強，對於中國無法自行製造AI晶片的假設顯然是錯誤的，能夠贏得AI開發者的平臺就能贏得AI。</p> <p>除了中國議題之外，黃仁勳表示，專為推理而設計的思考機器—Blackwell NVL72 AI超級電腦現已於系統製造商及雲端服務供應商中進入全面生產及使用階段，全球對Nvidia AI基礎設施的需求非常強勁，AI推論Token生成在一年內成長了10倍，隨著AI代理人成為主流，對AI運算的需求也會加速，AI已像電力及網路一樣，成為各國不可少的基礎設施，而Nvidia正處於此一變革的中心。</p> <p>Nvidia估計今年第二季的營收為450億美元，而因出口管制而造成的H20營收損失則是80億美元。</p> </div></div></div>
2025/5/29 11:54作者陳曉莉https://www.ithome.com.tw/news/169250
Opera推出代理式AI瀏覽器Neon 可幫用戶寫報告、打Game
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.opera.com/news/2025/05/opera-neon-first-ai-agentic-browser/" target="_blank">Opera本周推出</a>具有AI代理人功能的瀏覽器Neon，不僅可用來上網，還能幫用戶撰寫報告、玩線上遊戲或其他任務。</p> <p>Opera指出，這次推出的Opera Neon和2016年<a href="https://press.opera.com/2017/01/12/opera-neon-envisions-the-future-of-web-browsers/" target="_blank">公布的同名瀏覽器</a>的重磅回歸，但是更加了AI代理人要素。</p> <p>Neon不同於一般AI瀏覽器只是單純整合AI工具，其能力涵括三個層次，包括聊天、執行任務和創造。Opera Neon像ChatGPT一樣，可回答用戶問題、搜尋網路、它也能理解網頁上下文，提供相關答案。</p> <p>在執行任務能力方面，Neon可理解網頁並與之互動，像是填表、訂旅行票券或購物。但Opera強調Neon用以理解用戶活動的方法比別人更快。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0529-Opera%20Neon-AI%20agentic%20browser-do.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Opera</span></span></p> <p>Opera說明，Neon使用的是3月推出的代理人Operator。相較於別的AI代理人是根據螢幕錄製內容或virtual pointer來分析頁面像素及判讀頁面，Neon是經由DOM tree和排版資料來分析頁面，它無需讀完整個網頁，因此理解內容速度更快。而且它在瀏覽器原生運作，也能確保用戶上網紀錄、登入和cookies等個資隱私。</p> <p>在創造方面，Neon不但能作業，還能協調一群AI代理人作業，類似樂團指揮的角色。當任務定義完成，Neon會協調Opera歐洲伺服器上VM中的AI代理人作業，最後再集結成果，用戶不在電腦前或離線都能完成。它能執行的任務像是小型線上遊戲、股票比較、完成一篇報告。</p> <p>而且，Neon能在執行任務時使用其他工具，例如當用戶想做一份互動式報告，Opera會自行安裝Python函式庫和JavaScript框架來製作，碰到錯誤也會自行修正錯誤。用戶離線時也能執行任務。</p> <p>Neon目前僅提供邀約限定測試。有興趣的用戶需在<a href="http://www.operaneon.com">www.operaneon.com</a>網頁上加入等候清單報名。</p> </div></div></div>
2025/5/29 11:07作者林妍溱https://www.ithome.com.tw/news/169248
Anthropic公布Claude語音模式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://x.com/AnthropicAI/status/1927463559836877214" target="_blank">Anthropic本周公布</a>以Beta版將語音模式推向聊天機器人Claude手機App，現在讓用戶可以英語和Claude互動，包括下達指令或聽取回應。</p> <p><a href="https://support.anthropic.com/en/articles/11101966-using-voice-mode-on-claude-mobile-apps" target="_blank">Anthropic說明</a>，Claude的語音模式允許iPhone和Android手機（或平板）用戶和Claude講話，聽取其回應，Claude說話同時也會在螢幕上顯示摘要重點。而在同一段對話中，Claude能無縫轉換文字和語音模式。</p> <p>如果你是付費用戶，Claude還能在語音模式下，存取Google Docs、行事曆、Gmail和上網搜尋。</p> <p>語音模式已提供給iOS及Android版Claude App。不過目前僅支援英文。語音對話次數計入用戶付費方案提供的使用量。在所有使用量方面，免費用戶每天可傳送100則訊息，<a href="https://support.anthropic.com/en/articles/8324991-about-claude-pro-usage" target="_blank">Pro方案</a>則為5倍。在語音模式下，每天可傳送20到30則語音訊息。</p> <p>點入輸入列中的麥克風圖示旁有個音波符號即可啟動語音模式。當中還有個人化選項供用戶選擇。語音模式控制項也很直覺，除了按「向上箭頭」傳送用戶聲音給Claude，按「方塊鍵」暫停對話，按「x」離開語音模式，按「＋」號存取相機、相片或檔案。</p> </div></div></div>
2025/5/29 08:31作者林妍溱https://www.ithome.com.tw/news/169247
勒索軟體DragonForce利用遠端管理工具SimpleHelp漏洞，攻擊MSP業者與其客戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>勒索軟體DragonForce鎖定遠端管理工具SimpleHelp多項資安漏洞，針對一家託管服務供應商（Managed Service Provider，MSP）及其多個客戶發動大規模攻擊，導致部分企業遭遇資料加密與外洩風險。資安業者Sophos在事件調查報告<a href="https://news.sophos.com/en-us/2025/05/27/dragonforce-actors-target-simplehelp-vulnerabilities-to-attack-msp-customers/">指出</a>，攻擊者可能利用SimpleHelp工具的漏洞進行橫向移動與大規模散播勒索軟體，同時竊取敏感資料，並採用雙重勒索方式，要求受害組織支付贖金以換取資料不被公開。</p> <p>Sophos研究人員表示，攻擊者極可能利用2025年1月公開的SimpleHelp相關CVE漏洞，包括路徑走訪相關漏洞CVE-2024-57727、任意檔案上傳漏洞CVE-2024-57728及權限提升漏洞CVE-2024-57726。而攻擊行動從MSP架設的SimpleHelp遠端監控與管理（RMM）系統開始，攻擊者取得多個託管客戶環境的操作權限後，透過受控RMM平臺將經過竄改的SimpleHelp安裝程式，發布至多臺終端植入惡意軟體，使攻擊範圍橫跨多個組織。</p> <p>DragonForce自2023年中開始活躍於勒索軟體即服務領域，近期積極調整組織策略，推動聯盟化與分散式攻擊。研究人員提到，DragonForce曾聲稱接管RansomHub等勒索組織的基礎設施，且包括Scattered Spider（UNC3944）等過去RansomHub聯盟成員，也曾利用DragonForce服務攻擊大型零售業。</p> <p>MSP集中管理多家企業客戶IT基礎設施，因此一旦遠端管理系統遭入侵，攻擊者便可能以此為跳板滲透多個組織。MSP與企業應定期修補遠端管理工具的已知漏洞，強化存取控管與權限設定，避免使用共用或弱密碼，並對關鍵操作採多因素認證，另外，建立異常行為監控與事件通報機制，也助於減緩勒索軟體及橫向移動帶來的風險。Sophos已將該攻擊事件相關威脅指標（IOC）<a href="https://github.com/sophoslabs/IoCs/blob/master/2505%20DragonForce%20targets%20SimpleHelp%20RMM.csv">公開</a>於GitHub，供業界參考檢測。</p> </div></div></div>
2025/5/29 08:13作者李建興https://www.ithome.com.tw/news/169242
Google引入用戶層級差分隱私，最佳化LLM微調效能與隱私
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google<a href="https://research.google/blog/fine-tuning-llms-with-user-level-differential-privacy/">發表</a>針對大型語言模型微調過程，導入用戶層級差分隱私的最新研究。研究成果在於兼顧模型效能與用戶隱私的前提下，解決過去在大型模型訓練時執行用戶層級差分隱私（Differential Privacy）雜訊過多，導致模型表現受限的問題。</p> <p>目前開發者在應用大型語言模型時，往往需微調模型提升效能表現，但這些應用大多涉及用戶資料，特別是金融、醫療或個人化推薦等對資料敏感度要求較高的場景。傳統差分隱私著重於單一樣本層級的保護，能降低單筆資料外洩的風險，但Google提到，當單一用戶貢獻多筆資料時，現有方法難以防止判斷用戶是否參與訓練。用戶層級差分隱私則進一步保障用戶隱私，讓攻擊者無法從模型推測特定用戶的資料是否被用於訓練。</p> <p>Google團隊說明，相較於樣本層級差分隱私，用戶層級差分隱私在訓練過程中須注入更多雜訊，才能確保每位用戶的隱私，不過雜訊增加同時會降低模型學習能力，影響整體效能。此挑戰在大型語言模型等需要大量運算資源的訓練過程中更為明顯。過去用戶層級差分隱私大多應用於聯邦學習（Federated Learning）等分散式訓練場景，對於雲端資料中心大規模模型訓練，現有方法則面臨實作與效能的挑戰。</p> <p>Google提出的新技術重點，在模型微調階段的用戶層級差分隱私最佳化策略，針對差分隱私隨機梯度下降訓練法進行調整。研究團隊比較樣本層級隨機抽樣（Example-Level Sampling，ELS）及用戶層級隨機抽樣（User-Level Sampling，ULS）兩種方法。這兩種方式均透過前處理限制每位用戶的最大樣本數，以降低單一用戶資料對模型的影響，然後進行後續訓練。</p> <p>Google團隊發現過去對於應注入的雜訊量普遍高估，實際所需雜訊可大幅減少，有助於在不影響隱私保障前提增加模型訓練成效。此外，研究團隊提出用戶貢獻上限預先設定策略，協助開發者在訓練前就選定最佳參數，無需多次試錯，進一步降低資源消耗與訓練成本。</p> <p>研究團隊在公開的StackOverflow與CC-News資料集上，以3.5億參數規模的Transformer模型進行測試。實驗結果顯示，在最佳化的用戶層級差分隱私方法，微調後模型效能優於未經微調的預訓練模型，而多數情境，ULS模式可取得較佳效能，僅於部分高隱私需求或運算資源有限的情況，ELS模式才具有競爭力。</p> </div></div></div>
2025/5/29 08:19作者李建興https://www.ithome.com.tw/news/169246
車輛中心展示自研的Level 3自動駕駛電巴技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>財團法人車輛研究測試中心（簡稱車輛中心或ARTC）本周展示最新的智慧駕駛技術成果，包括符合Level 3的自駕電動巴士，具備車道維持、閃避障礙物、駕駛者狀態監控等，未來相關的智駕技術將技轉予合作廠商。</p> <p>車輛中心在幾年前即投入自動駕駛技術研發，例如2019年在經濟部技術處支持下，開發SAE Level 4的WinBus自駕小巴，並在2020年上路測試，利用自駕技術的小型巴士，作為短距離接駁運輸用途。</p> <p>本周亮相的Level 3的自駕電動巴士，不同於WinBus為全新製造車輛，採用成運汽車的電動巴士作為平臺，搭配中輛中心自研的決策控制軟體及決策控制器，結合Nvidia的駕駛監控運算平臺晶片，搭配攝影機、雷達等感測器，車輛中心強調該輛自駕電動巴士具備感知融合、自動駕駛控制、駕駛接管判斷、風險應變決策等功能，符合聯合國UN R157 Level 3的自動駕駛標準。</p> <p>車測中心稱這輛自駕電巴是國內首輛Level 3 AI自駕電動巴士，由車輛中心與國內廠商，包括義隆電子、歐特明、為昇科、旭春、友通資訊、智易科技、奇美車電等業者合作開發。自駕電巴整合5項ADAS功能，車聯網軟體更新、L3最小風險操作、自駕安全接管、自駕行控中心及車輛資安防護。</p> <p>該自駕電動巴士目前在車測中心場內測試駕駛，並且是以市區行駛電動巴士為原型來設計，車輛中心展示的影片，一開始由司機員手動駕駛電動巴士，在手動駕駛之下，當車輛要左轉或右轉切換車道，自動偵測欲切換車道後方是否有來車，若偵測到旁邊車道有來車接近中，自動控制車輛回到原先車道，輔助人工駕駛。</p> <p>當司機啟動自駕模式，系統會自動控制車輛維持在車道中央，依循車道自動駕駛右彎，在自動駕駛模式下，司機向右打方向燈，系統控制車輛切換至右側車道，完成切換車道後撥回方向燈，車輛就會自動保持新車道中央行駛，再打左轉方向燈，系統控制車輛切至左側車道，回到原先的車道位置行駛。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%96-600(19).jpg" style="width: 600px; height: 295px;" /></p> <p>在Level 3自駕模式下，駕駛者的腳可離開油門及煞車踏板，手也不需握著方向盤，以減輕司機長時間駕駛的壓力。當車輛偵測到與前車的安全車距內有其他車輛切入，自動降速保持安全車距，當前方慢車切離車道，系統自動回復至設定的車速。</p> <p>如果在車道上發現有行人穿越馬路，車輛會自動輔助煞停，當偵測到前方行駛車道內有掉落物、障礙物，車輛也會自動控制偏向另一側，以避開障礙物，但似乎不會自動切換車道避障。</p> <p>在自駕模型之下，駕駛者雖然手可以離開方向盤，但是眼睛基本上需需維持直視前方的狀態，系統監控偵到駕駛者的眼睛閉上疑似睡著，自動連續發出「需接管」的語音提示，同時發出警鳴聲試圖喚醒駕駛，當駕駛仍沒有回應，則啟動最小風險操作，自動控制車輛減速停車。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%960.jpg" style="width: 600px; height: 303px;" /></p> <p>車測中心還展示AI智慧座艙，為一種輔助駕駛機制，監控偵測駕駛者的狀態，包括駕駛者的眼睛視線、頭部偏擺情形，當自駕系統判斷有無法判斷的路況，即交由人工手動駕駛，當偵測駕駛可能睡著或因身體不適無法駕駛，就會自動減速，將車輛停靠路邊，發警鳴聲喚醒駕駛，並且向行控中心通報。</p> </div></div></div>
2025/5/28 18:27作者蘇文彬https://www.ithome.com.tw/news/169244
【資安日報】5月28日，新興駭客針對歐美國家下手，為俄羅斯政府從事網路間諜活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>烏克蘭戰爭已經邁入第3年，過程中有不少駭客組織從事網路間諜活動，為俄羅斯政府收集相關情報，如今有一組新興的駭客組織，引起研究人員的高度關注。</p> <p>這個駭客組織被稱為Void Blizzard或Laundry Bear，值得留意的是，他們普遍透過寄生攻擊及現成工具，並未自行打造專屬的惡意軟體，使得相關攻擊變得難以識別。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169219"><strong style="font-size: 22px;">俄羅斯駭客Void Blizzard以假Entra登入網頁為誘餌，入侵逾20家非政府組織</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Fig2-phishing-attachment.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fig2-phishing-attachment.png" style="width: 300px; float: right;" /></a></p> <p>烏克蘭戰爭迄今仍尚未結束，有越來越多駭客組織從事網路間諜活動，協助俄羅斯政府從烏克蘭及北約國家組織（NATO）盟友收集軍事情報，並引起歐美國家關注。</p> <p>微軟威脅情資中心指出，他們與荷蘭情報暨安全總局（Netherlands General Intelligence and Security Service，AIVD）、荷蘭軍事情報暨安全局（Netherlands Defence Intelligence and Security Service，MIVD）、美國聯邦調查局（FBI）進行合作，調查被稱為Void Blizzard、Laundry Bear的新興駭客組織，並指出這些駭客近期針對歐美非政府組織（NGO）發動大規模攻擊。</p> <p>此駭客組織主要鎖定俄羅斯政府感到興趣的企業組織發動攻擊，涵蓋全球的政府機關、國防、交通運輸、媒體、非政府組織、醫療照護，大部分攻擊活動集中於歐洲及北美。這些駭客入侵受害組織的主要管道，通常是使用疑似從地下市集買到的外流帳密資料，一旦成功進入網路環境，就會大肆偷取電子郵件與內部檔案。研究人員提到，他們在今年4月看到更直接竊取密碼的手法，那就是藉由冒牌電子郵件網釣，引誘收信人上當並提供登入所需資料。</p> <p><a href="https://www.ithome.com.tw/news/169223"><strong style="font-size: 22px;">荷蘭警方去年遭駭，傳出是俄羅斯駭客Void Blizzard所為</strong></a></p> <p>微軟本週揭露新興俄羅斯駭客組織Void Blizzard（Laundry Bear），當中特別提及他們與荷蘭情報暨安全總局（AIVD）、荷蘭軍事情報暨安全局（MIVD）聯手調查，而這些軍情機構調查此事的動機，源於去年當地執法單位遭遇的資安事故。</p> <p>去年9月荷蘭警察局（Politie）證實，駭客入侵其中一名警察的帳號，從而取得有業務往來的警務人員的聯絡方式，後續透露可能是國家級駭客所為，當時我們就有注意到相關消息並進行追蹤，但因為Politie並未透露其他資訊，而無從得知進一步的情形。</p> <p>直到本週微軟公布Void Blizzard發起的網釣攻擊，並提及荷蘭當局也公布相關調查結果，指出上述Politie遭駭事故的兇手，就是這個俄羅斯駭客組織。5月27日AIVD指出，俄羅斯駭客組織Void Blizzard於去年9月針對Politie與當地各種組織從事網路攻擊，而且，這些事故也是駭客大規模攻擊的一部分。</p> <p><a href="https://www.ithome.com.tw/news/169228"><strong style="font-size: 22px;">駭客組織Everest、Gehenna聲稱竊得可口可樂內部資料</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/everest-ransomware-leaks-coca-cola-employee-data.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/everest-ransomware-leaks-coca-cola-employee-data.jpg" style="width: 300px; float: right;" /></a></p> <p>根據資安新聞網站HackRead的報導，兩個駭客組織聲稱竊得飲料大廠可口可樂（Coca-Cola）與裝瓶合作夥伴Coca-Cola Europacific Partners（CCEP）的內部資料，事隔數日，其中一組人馬已公布手上部分的檔案。但吊詭的是，相關消息曝光迄今已接近一週，可口可樂尚未出面做出回應，此事似乎也沒有受到太多關注，是否事故如駭客宣稱，有待後續釐清。</p> <p>這些事故最早是HackRead於22日揭露，可口可樂與CCEP疑似遭到兩組人馬的網路攻擊，其中，勒索軟體駭客Everest聲稱入侵可口可樂的系統，另一個名為Gehenna（GHNA）的駭客組織宣稱，他們從CCEP的客戶關係管理系統（CRM）平臺Salesforce竊得大量資料。</p> <p>事隔數日出現新的進展，27日HackRead發現Everest公布新的資料，這批檔案大小為502 MB，內容包含可口可樂中東地區的內部與員工記錄。這批資料的檔案數量，總共是1,104個，內含員工完整姓名、公司與住家地址、家庭與婚姻狀態、電話號碼、銀行帳戶資訊、薪資記錄、電子郵件信箱，以及簽證、護照、居留權文件複本。</p> <p><a href="https://www.ithome.com.tw/news/169222"><strong style="font-size: 22px;">知名運動品牌Adidas遭網路攻擊，客戶資料外洩</strong></a></p> <p>來自德國的全球知名運動品牌Adidas上周五（5月23日）揭露他們發生資安事故，指出未經授權的外來者藉由第三方的客戶服務供應商取得部分消費者資料，該公司立即採取行動以遏止駭客行為，並與資安專家合作展開全面調查。</p> <p>而對於駭客的手法，或者是受到影響的消費者人數，迄今Adidas並未公布。該公司僅說外洩資料並不包含密碼、信用卡或任何其他與支付相關的資訊，而主要是那些曾經聯繫Adidas客服的消費者聯繫資訊。</p> <p>根據外電報導，位於南韓及土耳其的Adidas客戶都有收到Adidas的資料外洩通知，指出他們的姓名、電話號碼、電子郵件位址、生日及性別等個資都已外洩。</p> <p><a href="https://www.ithome.com.tw/news/169165"><strong style="font-size: 22px;">惡意程式Dero自動感染公開Docker容器，並執行挖礦</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/dero-miner-infects1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/dero-miner-infects1.png" style="width: 300px; float: right;" /></a></p> <p>資安業者卡巴斯基公開新一波針對Docker API服務的自動化惡意程式攻擊，該攻擊以植入Dero加密貨幣挖礦程式為核心，專門鎖定存取權限管理不嚴的Docker容器環境，進行自動化散播及占用受害主機運算資源，最終形成具備自我擴散能力的挖礦僵屍網路。</p> <p>本次自動化攻擊流程主要仰賴兩支以Go語言撰寫，且經UPX壓縮的惡意程式，分別是名為nginx元件，主要功能是負責散播及持久化，以及名為cloud的Dero加密貨幣挖礦程式。值得留意的是，這裡的nginx並非知名的網頁伺服器元件，駭客的目的就是假冒知名開源專案的名稱，以降低被偵測風險。</p> <p>該挖礦攻擊的一大特點，在於攻擊者採用加密方式儲存錢包地址及礦池節點資訊，進一步提升隱蔽性與調查難度。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/dragonforce-ransomware-abuses-simplehelp-in-msp-supply-chain-attack/">勒索軟體DragonForce使用遠端管理工具SimpleHelp漏洞，攻擊MSP業者</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/mathworks-blames-ransomware-attack-for-ongoing-outages/">開發MATLAB的軟體開發商服務中斷，傳出遭遇勒索軟體攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/silverrat-source-code-leaked-online-you-need-to-know/">木馬程式SilverRAT驚傳原始碼外流</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/05/over-70-malicious-npm-and-vs-code.html">60款NPM套件及VS Code外掛竊取開發人員帳密、加密貨幣錢包</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169191"><strong style="font-size: 22px;">GitHub MCP曝嚴重漏洞，惡意Issue可誘使AI代理外洩私有儲存庫資料</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/mcp-github-setup.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/mcp-github-setup.png" style="width: 300px; float: right;" /></a></p> <p>瑞士新創安全公司Invariant Labs揭露影響廣泛的資安漏洞，涉及目前社群積極推動並與GitHub平臺整合的MCP（Model Context Protocol）伺服器。攻擊者僅需在公開儲存庫提出特製的問題（Issue），誘使人工智慧代理如Claude Desktop等現有支援MCP技術的人工智慧開發工具，在特定情境下，將用戶私有儲存庫中的敏感資料外洩至公開儲存庫。</p> <p>該漏洞的關鍵在於人工智慧代理在用戶授權後，會依照開發者對GitHub MCP伺服器的查詢，自動執行讀取指定儲存庫Issue、建立拉取請求等操作，而攻擊者只需在目標用戶的公開儲存庫新增具惡意提示詞注入的Issue，當用戶請求人工智慧代理檢視該儲存庫的公開Issue時，代理即可能受提示詞操控，在自動授權設定下擷取用戶帳號的私有儲存庫內容，最終將敏感資訊透過拉取請求等方式洩漏於公開儲存庫。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/flaws-tenable-network/">Tenable修補網路監控軟體權限提升漏洞，並更新採用的開源程式庫</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169199"><strong>【5月27日】駭客於臺灣等70個國家挾持逾2千臺伺服器架設殭屍網路</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169160"><strong>【5月26日】歐美大國攜手執法，3天內破壞7個Botnet</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169135"><strong>【5月23日】新版Windows伺服器作業系統dMSA服務帳號的遷移流程可被濫用而惹議</strong></a></p> </div></div></div>
2025/5/28 16:30作者周峻佑https://www.ithome.com.tw/news/169238
硬體規格精簡、不支援路由，Ruckus新型L2交換器上市
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/ruckus_icx_8000_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對最接近連網設備的存取型交換器（Access Switch）市場需求，隸屬於CommScope公司的Ruckus Networks目前的相關主力產品，首先是<a href="https://www.commscope.com/press-releases/2016/-brocade-introduces-the-brocade-ruckus-icx-7150-switch-to-bring-enhanced-functionality-and-performance-to-budget-conscious-organizations/">2016年底登場</a>的ICX 7150系列，當時Ruckus Wireless剛併入Brocade。</p> <p>之後經歷<a href="https://www.commscope.com/press-releases/2017/arris-to-acquire-ruckus-wireless-and-icx-switch-business-for-$800-million-in-cash/">2017年2月</a>Arris買下Ruckus Wireless與Brocade ICX交換器業務，2018年底CommScope併購Arris，<a href="https://www.commscope.com/press-releases/2019/commscope-set-to-shape-communications-connectivity-and-networks-of-the-future-with-completion-of-arris-acquisition/">2019年上半</a>涵蓋有線網路交換器與無線網路解決方案的Ruckus Networks產品線成軍，新一代存取型交換器ICX 8200系列<a href="https://www.commscope.com/press-releases/2023/ruckus-networks-introduces-new-icx-8200-switch-series-for-optimized-wireless-service/">於2023年1月發表</a>。</p> <p><a href="https://s4.itho.me/sites/default/files/images/ICX 2023 Portfolio.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ICX%202023%20Portfolio.jpg" style="width: 600px;" /></a></p> <p>到了今年4月底，他們推出ICX 8100系列，強調這批產品是該公司最具成本效益的企業級L2網管型交換器。</p> <p><a href="https://s4.itho.me/sites/default/files/images/ICX8100-E.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ICX8100-E.jpg" style="width: 600px;" /></a></p> <p>就市場定位而言，ICX 8100系列鎖定對價格敏感的客戶、中小企業、住宅型網路建置需求，涵蓋醫院、零售業、服務供應商，以及公寓大廈這類多戶住宅單元（MDU）等應用。</p> <p><a href="https://s4.itho.me/sites/default/files/images/ICX8100-D.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ICX8100-D.jpg" style="width: 600px;" /></a></p> <p>回顧兩年前問世的ICX 8200系列，Ruckus提供1GbE、2.5GbE、5GbE、10GbE等多種網路埠，最高可支援25GbE上行埠（uplink），若是支援乙太網路供電的機型，單臺最高可供應1,480瓦的電力。而且，此系列當時提供的13款機型，全都支援L3路由協定、VXLAN網路分段，並且具備多臺堆疊擴充能力（Stacking），單一堆疊之內，最大可串接12臺交換器。</p> <p>相較之下，Ruckus最新推出的ICX 8100系列，不提供L3功能與交換器堆疊擴充機制，記憶體容量僅配置2 GB（ICX 8200系列為4GB），內含的遠端技術支援服務期間為90天（ICX 8200系列為3年）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/ICX8100-C.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ICX8100-C.jpg" style="width: 600px;" /></a></p> <p>ICX 8100系列首波上市的5款機型，提供48個、24個、8個1GbE網路埠，以及1GbE上行埠（SFP），若是支援乙太網路供電的機型，單臺交換器最高可供應740瓦的電力。此系列產品後續還有三波推出的機型，依照Ruckus目前的規畫，分別是7月登場的ICX 8100-X系列，將提供5款搭配10 GbE上行埠（SFP+）的交換器機型，8月開始供應兩款48埠機型（ICX 8100-48PF、ICX 8100-48PF-X），12月提供兩款16埠機型（ICX 8100-C16PF、ICX 8100-C16PF-X）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/ICX8100-B.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ICX8100-B.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/ICX 8100-5.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ICX%208100-5.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/ICX 8100-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ICX%208100-1.jpg" style="width: 298px;" /></a></p> <p>關於ICX 8100-X系列機型的命名，當中帶有P的款式，代表該款交換器支援PoE，而帶有PF的款式，顯然具有較高的乙太網路供電能力，例如，ICX 8100-48P預留給所有網路埠輸出的電力總和（PoE power budget）是370瓦，ICX 8100-48PF則是740瓦，因此，平均每個網路埠皆能供應15.4瓦電力，而這也是802.3af協定的電源裝置最大輸電功率。</p> <p><a href="https://s4.itho.me/sites/default/files/images/ICX8100-A.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ICX8100-A.jpg" style="width: 600px;" /></a></p> <p>就PoE的規格而言，既有的ICX 8200系列配備的規格更高，部分機型不僅支援單埠15.4瓦（PoE）與30瓦（PoE+），也支援60瓦（PoE++）與90瓦（PoE+++），而在整臺交換器留給所有網路埠輸出的電力總和，最大可達1,480瓦（ICX 8200-48ZP2，需搭配兩臺電源供應器）。</p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><span style="color:#0000FF;"><strong>Ruckus ICX 8100系列</strong></span><br /> ●原廠：CommScope<br /> ●建議售價：廠商未提供<br /> ●機型與機箱尺寸：7款，採用1U尺寸機箱有5款：ICX 8100-48、ICX 8100-48P PoE、ICX 8100-48PF PoE、ICX 8100-24、ICX 8100-24P PoE，採用桌上型機箱有2款：ICX 8100-C08PF PoE、ICX 8100-C16PF PoE<br /> ●固定網路埠：48個GbE埠+4個GbE埠（SFP）或10GbE埠（SFP+）、24個GbE埠+4個GbE埠（SFP）或10GbE埠（SFP+）、16個1GbE埠+2個GbE埠（SFP）或10GbE埠（SFP+）、8個1GbE埠+2個GbE埠（SFP）或10GbE埠（SFP+）<br /> ●PoE機型與規格：ICX 8100-48P PoE（370瓦）、ICX 8100-48PF PoE（740瓦）、ICX 8100-24P PoE（370瓦）<br /> ICX 8100-C08PF PoE（124瓦）、ICX 8100-C16PF PoE（124瓦）<br /> ●網路交換容量：48埠機型176 Gbps，24埠機型128 Gbps，16埠機型72 Gbps，8埠機型56 Gbps<br /> ●MAC位址數量：3.2萬個<br /> ●封包緩衝記憶體：4 MB<br /> ●處理器搭配記憶體容量：2 GB</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/5/28 16:22作者李宗翰https://www.ithome.com.tw/review/169177
持續擴大身分安全防護產品陣容，Computex 2025臺廠展出多種硬體解決方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年臺北國際電腦展（Computex 2025）舉行，展現臺灣資通訊（ICT）產業在全球科技供應鏈的影響力之餘，現場亦有不少資安相關展示受到關注，當中有部分來自臺灣資安大會展覽上大家所熟悉的廠商，有部分則沒有那麼熟悉，但也展現廣泛資安技術。</p> <p>以上個月在臺灣資安大會展出，5月又現身Computex展覽的業者而言，<a href="https://www.ithome.com.tw/news/169194">資安大廠趨勢科技就是一例，他們特別展示</a>用Digital Twin來搭建企業紅藍隊攻防演練的解決方案，目前還在開發階段。</p> <p>還有近年陸續在多場活動展出零信任相關資安解決方案的眾至資訊，在這次Computex也不缺席，主要展示其防火牆與交換器協同防禦的解決方案，以及OT安全防護設備；主打內網流量管理與DDoS安全防護的UGuard Networks崴遠科技，他們也在Computex也展示一項今年新推的Defense Trust威脅情資解決方案，其他還有像是TeamT5杜浦數位安全、中華資安國際等業者，也同樣現身於Computex活動現場。</p> <p>特別的是，在處理器領域中，採開放指令集架構的RISC-V已成為x86、ARM之外一股不可忽視的關鍵力量，身為主要CPU IP供應商的晶心科技，也在Computex展覽現場說明RISC-V的資安技術正持續發展。現階段最新焦點是在I/O層面的記憶體保護，也就是RISC-V IOPMP（Input/Output Physical Memory Protection），目前這方面，RISC-V工作小組正制定架構規範中，現在進展是到內部審核階段，預計今年或明年初能正式發布。此外，該公司近兩年也都現身臺灣資安大會，闡釋RISC-V可信執行環境（TEE）的構建。</p> <p><a href="https://s4.itho.me/sites/default/files/images/PXL_20250522_040340693.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20250522_040340693.jpg" style="width: 600px;" /></a></p> <h2><strong>多元資安應用於Computex登場，涵蓋防詐、安全指紋辨識與實體安全</strong></h2> <p>還有不同類型廠商也現身Computex展覽，像是工業電腦領域，立端科技等工業電腦廠也都照往年慣例持續參展，多年來已與國際多家資安業者合作打造實體設備，同時他們也很看重資安商機，持續參與美國RSAC大會展覽。</p> <p>比較特別的是，在防詐應用方面，主打錄音系統及客服中心解決方案的德鴻科技，該公司在現場展示一項智能客服語音助手的防詐應用，不僅可即時將語音轉文字，同時可以AI進行摘要，並在發現異常時跳出防詐通知給客服人員，另還提供「分行臨櫃」也能適用的方案，可於櫃臺部署外接USB式麥克風來應用。</p> <p><a href="https://s4.itho.me/sites/default/files/images/PXL_20250522_035433109.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20250522_035433109.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/PXL_20250522_035312605.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20250522_035312605.jpg" style="width: 600px;" /></a></p> <p>在指紋辨識模組方面，我們看到了兩家廠商的最新發展。首先是神盾（Egis Technology），該公司作為積極推動FIDO標準與無密碼（Passwordless）認證的臺灣業界要角，他們也在今年Computex大會上，展示一項最新研發中的技術，也就是超音波指紋辨識技術的概念設計模組（如下圖），此技術最大特色為可穿透玻璃、金屬等材質，因此不像傳統光學式、電容式的指紋辨識模組，需在設備外觀上進行開孔設計，目前市場上已有高通積極發展，如今神盾也希望開拓這方面技術。</p> <p><a href="https://s4.itho.me/sites/default/files/images/PXL_20250522_021011192.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20250522_021011192.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/PXL_20250522_020948622.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20250522_020948622.jpg" style="width: 600px;" /></a></p> <p>另一家指紋辨識模組廠商，是照往年慣例都會參展Computex的義隆電（ELAN Microelectronics），像是我們在10年前就看到他們展出具備指紋辨識的智慧金融卡，不過當時挑戰是這種卡片內需內建電池，如今他們的產品已發展至第三代，能夠透過NFC感應讀取微弱電流，大大降低了卡片需配置電池的麻煩。在今年Computex中，他們也在現場展示了具備指紋辨識的證件，包括聯合國證件、日本學校學生證，呈現其技術應用場景不限於金融卡。</p> <p>附帶一提的是，義隆電在產品漏洞因應上也很積極，去年該公司新加入MITRE CNA計畫，現在已可針對自家產品指派CVE漏洞編號。</p> <p><a href="https://s4.itho.me/sites/default/files/images/PXL_20250522_015737452.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20250522_015737452.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/PXL_20250522_015722564.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20250522_015722564.jpg" style="width: 600px;" /></a></p> <p>在實體安全方面，在<a href="http://www.ithome.com.tw/news/157528">兩年前Computex推出Cupola360多影像專用處理晶片，發展360度實境巡檢系統的信驊科技（ASPEED Technology）</a>，聚焦高科技產線參觀與巡檢，如今朝向多元應用，不僅能串連廠端生產數據、結合IoT遠端控制於現場畫面，也強調AI影像監控的結合，聚焦實體安全監控與工安警示。</p> <p><a href="https://s4.itho.me/sites/default/files/images/PXL_20250522_023446735.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20250522_023446735.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/PXL_20250522_023459381(1).jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20250522_023459381(1).jpg" style="width: 600px;" /></a></p> </div></div></div>
2025/5/28 16:43作者羅正漢https://www.ithome.com.tw/news/169198
愛料理創辦人：不會寫程式也能靠GenAI打造科技產品賺錢，但成功關鍵仍是商業能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「資深工程師可能覺得，你用Vibe Coding做出來的東西很難維護、很難用。但對我來說，做出能賺錢的產品最重要！」知名媒體Inside和愛料理共同創辦人蕭上農近期在Generative AI年會，以及政治大學的一場演講中，如此強調他對全民皆可用GenAI寫程式時代的看法。</p> <p>毫無技術背景的蕭上農，儘管身處科技業幾十年，又共同創辦了2個網路媒體，卻一直沒有習得程式開發能力，需要與專業技術人才合作，才得以推出一個個科技商品。直到最近，他才受益於GenAI，得以從0到1，自行將創意變成實際產品。不過，他認為只是出於興趣做出產品不夠，還要做出能獲利的商品，才更加發揮GenAI價值。</p> <p><strong>從不會寫程式到獨立推出科技商品，GenAI是最大助攻手</strong></p> <p>蕭上農說，自己只是一個愛玩電腦的文組生。畢業於合作經濟學系的他，年少時最接近寫程式的經驗，只有用FrontPage、DreamWeaver等軟體，架設簡單網頁。</p> <p>出社會後，他先後在遊戲公司、網路公司等科技業公司任職PM。期間，他多次嘗試自學寫程式，甚至購入一本厚重的Ruby On Rails教學書，卻因為IT背景知識不足，讀完一章就放棄。十多年後的2010年代，與Inside及愛料理共同創辦人李致緯等人，歷經開設App製作公司、創辦兩家網路媒體期間後，他還是沒有學會寫程式。「既然有更強的人負責程式開發，我就挑剩下的做。」他笑道。</p> <p>時間再次快轉到生成式AI爆發年代。2022年，持續關注科技發展的蕭上農，已經在積極實驗Midjourney，並規定自己持續500天，每天至少要產出一張滿意的圖片，作為自我訓練。</p> <p>同時，他也藉由實驗，來觀察各種生成式AI工具的成熟度發展。例如，每天在社群媒體發表用ChatGPT翻譯、毫無人工潤飾的文章。「當下面留言已經沒有人抱怨文章翻譯品質，我就知道這個工具已經足夠成熟。」</p> <p>2024年，他開始嘗試用生成式AI工具寫程式。雖然製作出幾個網站，不過他認為，完全靠AI做出完整產品仍有一定難度。一路觀望到2025年初，蕭上農發現，毫無IT背景的朋友紛紛用生成式AI打造出行動App。他便決定，要用生成式AI獨立開發出一項功能完整的行動App。不只如此，這個App第一天上線就要串接好金流系統來支援訂閱制收費，還得串接Google廣告等，各式各樣的營利功能。</p> <p>蕭上農有一個資料夾，專門儲存過往有構思但未能執行的產品規畫。從中，他選擇出名片管理App，作為第一個用GenAI實現的產品點子。這個App核心功能是掃描名片，並紀錄名片上的姓名、公司、職稱等資訊到各自欄位中。</p> <p>這個選擇，是經過蕭上農多方考量才做出。名片管理功能看似簡單，但對許多人，尤其是高階主管來說，仍是重要需求。他還估算，市面上最受好評的名片App，營收超過1億，意味著名片App市場規模足夠。「我是個人開發者，就算只賺100萬，也很足夠。」App的作業系統，是出於商業考量而選定。他認為iOS內建投放廣告機制方便又精準，有望觸及到目標族群。</p> <p>選定主題後，蕭上農花上3天，與AI反覆討論商業模式、計算成本，得出的結論是，他的定價下，必須一個人掃描超過4萬張名片，才會超過行銷、維護等成本。</p> <p>不只商業模式靠AI，蕭上農說，這個App從程式設計、文案、圖片生成、隱私權條款、使用者條款，都是用AI生成。連產品名稱、字體字型，都是和AI討論的結果。上架App Store時，與蘋果團隊來回溝通協調，他也透過AI翻譯、分析、構思回覆。「這些事情通常要有PM、設計師、法務參與，現在我一個人就能完成。」他強調。</p> <p>儘管用AI生成程式碼非常快速，不過蕭上農在開發期間，還是歷經過慘痛教訓。清明連假4天，蕭上農開始密集進行開發。不過，直到第4天，他才驚覺，從第1天起，他的程式碼就已經出錯，但憑著他的IT能力，已經無法從手頭的專案檔除錯，必須全部砍掉重練。</p> <p>好在，後續1天半，他能憑著印象，快速補回3天份進度。不過他也深刻體會到，非技術人員用AI開發產品時，無法理解AI改動處、每次改動造成的影響，以及出錯時如何修復。用AI生成程式碼，版本控制和備份更要做得徹底。</p> <p>到了5/5，這個App正式上架，從正式啟動開發至此，只花了一個多月。</p> <p>正式上架時，此App功能只有簡單的掃描和歸檔功能。「產品上線時，功能可以很少，有人用才是最重要。等有人開始要求新功能，再慢慢加。」蕭上農說，上架3周來，此App帶來了3萬元收入。他強調，雖然目前收入不多，但能用市場驗證MVP（最小可行產品）的核心功能有人用、有營利能力，對他來說更重要。目前，他計畫每周更新一個功能，預計到2個月內能完成所有功能更新。並且，從營收一定比例中挪出廣告投放費用，來獲取新使用者。</p> <p>儘管自己開發的名片App才剛推出，無從評判成敗，不過蕭上農說，沒有寫程式能力的情況下，可以從頭到尾完成商品設計、開發、上架、營利，已經證明著這個時代下，有更多人可以利用AI快速將自己的創意打造成產品，給市場驗證。</p> <p><strong>用AI開發科技商品，非技術人員應具備哪些能力</strong></p> <p>從連續共同創辦兩間熱門網路媒體，到自己嘗試快速用AI打造商品開始賺零用錢的經驗，蕭上農認為，非技術人員要用AI打造科技商品，商業面能力甚至比技術力重要。</p> <p>「理解產業，並清楚自己的想法是否能命中使用者需求，從而賺錢，最重要！」蕭上農認為，開發產品的最終目標是，有人用、有收入。用AI開發的做法，則是達成目標的手段。如今人人都可以用AI開發產品，選擇好賽道，努力才容易有收穫。</p> <p>在選定的領域打造出商品後，下一個階段的關鍵是行銷能力。蕭上農指出，更多人都能輕易開發出商品，意味著技術門檻更難形成，競爭產品間不易出現決定性的品質差距。這個環境下，如何讓更多人看見自己產品，以及如何經營顧客關係，讓他們持續使用自己產品，成為決勝關鍵。</p> <p>至於毫無IT背景知識，想學習用AI開發產品的人，如何入門？蕭上農坦言，從零開始學習，過程中仍會面臨種種技術問題，甚至連需要學習哪些知識都不清楚。他建議，與其摸黑學習，不如直接尋找網路上專門教學相關知識的課程，或拿著開發遭遇的瓶頸詢問資深工程師，會少走許多彎路。</p> <p>不過，他也認為，目前AI工具門檻已經足夠低，足以協助非IT背景的人突破許多技術門檻，讓練習寫程式有如練習寫作一樣簡單。他更強調，與練習寫作相同，需要大量嘗試、持續學習，才能從單純生成簡單程式碼，進步到打造出具商業價值的完整商品。</p> <p></p> </div></div></div>
2025/5/28 17:07作者郭又華https://www.ithome.com.tw/news/169241
荷蘭警方去年遭駭，傳出是俄羅斯駭客所為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本週揭露<a href="https://www.ithome.com.tw/news/169219">新興俄羅斯駭客組織Void Blizzard（Laundry Bear）</a>，當中特別提及他們與荷蘭情報暨安全總局（Netherlands General Intelligence and Security Service，AIVD）、荷蘭軍事情報暨安全局（Netherlands Defence Intelligence and Security Service，MIVD）聯手調查，而這些軍情機構調查此事的動機，源於去年當地執法單位遭遇的資安事故。</p> <p>去年9月荷蘭警察局（Politie）證實，<a href="https://www.politie.nl/nieuws/2024/september/27/data.html">駭客入侵其中一名警察的帳號</a>，從而取得有業務往來的警務人員的聯絡方式，<a href="https://www.politie.nl/nieuws/2024/oktober/2/update-over-datalek-politie.html">後續透露可能是國家級駭客所為</a>，當時我們就有注意到相關消息並進行追蹤，但因為Politie並未透露其他資訊，而無從得知進一步的情形。</p> <p>直到本週微軟公布Void Blizzard發起的網釣攻擊，並提及荷蘭當局也公布<a href="https://www.aivd.nl/actueel/nieuws/2025/05/27/onbekende-russische-groep-achter-hacks-nederlandse-doelen">相關調查結果</a>，指出上述Politie遭駭事故的兇手，就是這個俄羅斯駭客組織。5月27日AIVD指出，根據他們與MIVD聯手調查的結果，俄羅斯駭客組織Void Blizzard於去年9月針對Politie與當地各種組織從事網路攻擊，並指出這些事故其實是駭客大規模攻擊的其中一部分。</p> <p>AIVD指出，這些駭客至少從2024年開始活動，針對西方政府與其他機構的網路環境下手，其中又對於武裝部隊、政府機關、國防供應商、公共服務組織、IT服務供應商特別感興趣。</p> <p>他們提及這些駭客使用的手法相當難以識別，而能長時間躲過各式資安系統的偵測。MIVD提及，這些駭客疑似尋求西方政府購買、生產軍事裝備的資訊，以及向烏克蘭提供武器的情報，而且，這些駭客對於軍事物資的生產及交付，有一定程度的了解。</p> <p>而對於AIVD和MIVD兩個情報單位調查此組人馬的動機，就是該國警方發生的資安事故。當時Void Blizzard成功存取其中一名員警的帳號，隨後透過全域信箱名單（Global Address List，GAL）存取員警的工作聯絡資訊，他們研判駭客是透過Pass-the-Cookie的攻擊手法，假冒該名員警的身分而得逞。究竟駭客如何得到Cookie檔案？可能是另一組人馬使用竊資軟體偷得，然後透過地下市集賣給Void Blizzard。</p> <p>他們也提及駭客的攻擊活動的節奏相當快，因此認為駭客採用某種程度的自動化，此外，這些駭客並未自行打造惡意程式，而是採取寄生攻擊（LOTL）成功掩人耳目。</p> <p>比較特別的是，這些駭客也採用了密碼潑灑（Password Spraying）攻擊，但做法與過往的出現的手段有所不同：這些駭客通常會使用單一密碼，對不同的帳號嘗試存取。有別於對單一帳號短時間嘗試不同密碼，這麼做往往不太會觸發資安系統的警報。附帶一提，Void Blizzard試圖將行為限縮在微軟帳號能夠存取的範圍，並未進一步取得底層網路或是系統的存取權限，而這樣的策略也較能長時間避開管理員的監視。</p> </div></div></div>
2025/5/28 14:02作者周峻佑https://www.ithome.com.tw/news/169223
【臺灣資安大會直擊】詐騙、網攻、雲端服務出包、AI偽造帶來信任危機!?企業應建立數位信任強化與外界的互動關係
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在數位時代，企業或個人使用第三方服務相當普遍，但是將重要系統或資料交給第三方的雲端服務或IDC機房維運就真的能夠高枕無憂，不需擔心資料外洩或誤刪嗎？當雲端服務發生全球大當機，企業營運或服務能夠置身事外嗎？「你覺得使用規模很大的服務商就沒問題嗎？事實上，你會發現他們一旦出現問題就會更嚴重」，安永諮詢執行副總經理曾韵在今年臺灣資安大會上說。</p> <p><span style="color:#B22222;"><strong>機房大火、雲端服務出包、AI偽造衝擊企業與外界各方的信任關係</strong></span></p> <p>舉例來說，幾年前一家歐洲最大規模雲端服務商，因為位於法國一處機房發生大火，一連串反應下，導致數百萬代管網站因此停擺，當時造成不少銀行、線上遊戲、電商、新聞網站都大受影響。</p> <p>另一案例是個人使用的雲端服務，知名雲端服務大廠的網路相簿導入AI辨識，分類使用者上傳的照片，但是曾有使用者發現特定膚色的人種被錯誤辨識為動物，造成用戶的不滿，讓業者好不容易建立的信任毀於一旦，商譽因此受損。另外，企業使用AI服務，必需確保使用服務不會導致資料外洩風險。</p> <p>甚至在AI變臉或各種詐騙手法層出不窮下，偽造假消息、虛構影片欺騙民眾或企業，使他們受騙上當，蒙受金錢損失也時有所聞。</p> <p>上述種種，不論是IT基礎建設因業者錯誤操作或是發生意外災害，或是AI應用如同黑盒子，難以解釋運作方式，甚至是資安攻擊、詐騙都會衝擊數位時代下的數位信任（Digital Trust），危及企業與外界各方利害關係人之間的關係，那麼什麼是數位信任？</p> <p>曾韵以WEF提出的數位信任定義來看，個人期望數位技術和服務，以及提供這些技術和服務的組織，能保護所有利害關係人的利益，維護社會的期望和價值觀；ISACA則是將數位信任定義為，對數位生態系統內提供者和消費者之間關係、互動及交易完整性的信心，包括對人員、組織、流程、資訊及技術的創建和維護值得信賴的數位世界的能力。</p> <p>她表示，數位信任涵蓋的面相相當廣泛，資安、詐騙或是可信任AI、負責任的AI，以WEF提出的數位信任框架，建構數位信任的三個目標，其中之一是「安全可靠」（Security and reliability），即組織使用的技術及儲存的資料受到良好的保護，避免受到內外部攻擊、操作或中斷；另一項目標是建立「問責及監督」（Accountability and oversight），將信任責任分配給利害關係人、團隊或職能部門，並制定解決責任無法履行的相關規定；另一目標是包容、道德和負責任使用（Inclusive, ethical and responsibile use），確保可被整個社會廣泛存取及使用，並且負有道德責任感。</p> <p>WEF也將數位信任涵蓋8大面向或維度（Dimension），包括隱私保護、網路安全（Cybersecurity）、人或社會的安全（Safety）、互通性、透明性、可糾正性、可審計性、公平性（下圖，來源：曾韵）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%961-600(3).jpg" style="width: 600px; height: 305px;" /></p> <p><span style="color:#B22222;"><strong>如何建立AI的數位信任</strong></span></p> <p>以目前熱門的AI應用為例，透明性就是負責任AI，必需與利害關係人溝通，使其知道某項行動背後的原因，可糾正性是必需假設出現錯誤之後，容許糾正錯誤、補救造成的傷害，可審計性則是可供驗證或稽核，至於公平性部分，例如外界關心的A歧視造成的公平性問題。</p> <p>AI應用需要被妥善的管理，例如目前外界關心的Trusted AI，但是，過度的管理也可能扼殺創新，兩者之間需要尋找平衡點。</p> <p>「重點在於你拿AI做什麼，金融業自治規範相當強調風險等級，企業需要掌握內部有多少AI應用，對於風險高的應用才是需要注意的，其他的應用則是基本管理即可」，曾韵說。</p> <p>她以金融業為例，金融業將直接與客戶互動，甚至影響客戶權益者視為高風險應用，儘管金融業因為受到高度監管，業者必需建立自律規範，其他產業的AI應用還沒有迫切的需求，但是政府正在制定AI基本法，未來其他產業也勢必需要加強AI治理，輕忽AI治理，可能造成企業財產或商譽的損失，例如人資依賴AI篩選求職履歷，因為AI偏見可能造成性別歧視。</p> <p>Trusted AI不只是模型本身，而應該從生命周期角度，從一開始使用訓練資料來源，使用哪些參數、權重設計、過程如何作好保護、還有產出的穩定性，都需要對應的控管，針對評估風險的衝擊，建立風險分級管理框架。曾韵認為，在AI治理中資料治理相當重要，因為資料治理會涉及隱私保護及資料共享，也是目前研擬中的我國AI基本法7大原則之一；另外，她也強調不要過度樂觀認為應用服務不會出錯，任何應用服務都可能出錯，為降低錯誤帶來的風險，可透過第三方風險管理及措施強化數位信任。</p> <p>對於建構數位信任生態系，曾韵建議企業可以參考ISACA提出的數位信任生態框架 2024（下圖），該框架包含5大要素，關係媒介（Relationship Mediums）、關係（Relationships）、道德商譽及隱私（Ethics, Reputation and Privacy）、利害關係人（Stakeholders）、行動（Activities）。企業根據框架盤點不同的利害關係人，以及企業與他們之間的關係，透過哪些關係媒介互動，與不同關係人的互動行為，例如資料蒐集、資料保護、數位交易、數位互動、數位通訊、數位身分識別等等，這些關係人所在乎或關心的議題，如商品品質、品牌商譽、資料隱私保護、可靠性等等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%964-600(1).jpg" style="width: 600px; height: 336px;" /></p> <p>對於企業應該如何推動數位信任，可參考WEF建立數位信任的方法論（下圖），首先瞭解企業的商業環境，其次是瞭解數位環境，接下來則是制定數位信任策略，再規畫與實施數位信任瞭解，最後持續的監控執行及改善。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%96-600(18).jpg" style="width: 600px; height: 294px;" /></p> <p>曾韵企業推動數位信任有幾個需要留意的重點，例如企業推動數位信任的目的是和不同的利害關係人建立信任關係，因此需要知道關係人關心的是什麼，考慮不同的關係媒介，設法和他們建立信任，持續監控及改善與他們之間的信任。</p> <p>為建立國內的數位信任生態系統，目前國內的數位信任協會正在研擬數位信任產業地圖，目前已公告數位信任產業地圖草案，身為協會理事一員的曾韵指出，第一階段已在3月底蒐集外界的意見，未來會再開放各界登錄，協會計畫在今年公告數位信任產業地圖。</p> <p> </p> <div> </div> </div></div></div>
2025/5/28 14:42作者蘇文彬https://www.ithome.com.tw/news/169224
駭客組織Everest、Gehenna聲稱竊得可口可樂內部資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據資安新聞網站HackRead的報導，<a href="https://hackread.com/coca-cola-bottling-partner-ransomware-data-breach/">兩個駭客組織聲稱竊得飲料大廠可口可樂（Coca-Cola）與裝瓶合作夥伴Coca-Cola Europacific Partners（CCEP）的內部資料</a>，事隔數日，其中一組人馬<a href="https://hackread.com/everest-ransomware-leaks-coca-cola-employee-data/">已公布手上部分的檔案</a>。但吊詭的是，相關消息曝光迄今已接近一週，可口可樂尚未出面做出回應，此事似乎也沒有受到太多關注，是否事故如駭客宣稱，有待後續釐清。</p> <p>這些事故最早是HackRead於22日揭露，可口可樂與CCEP疑似遭到兩組人馬的網路攻擊，其中，勒索軟體駭客Everest聲稱入侵可口可樂的系統，另一個名為Gehenna（GHNA）的駭客組織宣稱，他們從CCEP的客戶關係管理系統（CRM）平臺Salesforce竊得大量資料。</p> <p>勒索軟體駭客Everest將可口可樂列於暗網網站，並公布螢幕截圖，根據螢幕截圖內容，駭客可能存取了內部檔案及959名員工個資，其中包含簽證與護照的掃描檔案、薪資資料，以及其他人事相關的記錄。Hackread進一步檢視駭客供買家檢驗的部分內容，研判很有可能波及可口可樂中東地區的業務，其中數個檔案與位於杜拜機場自由區（Dubai Airport Free Zone，DAFZ）的杜拜辦公室有關。</p> <p>另一方面，Gehenna宣稱於5月初入侵CCEP的Salesforce主控臺，從此系統竊得逾2,300萬筆記錄，其中包含750萬筆Salesforce帳號記錄（6 GB）、950萬筆客戶服務案件資料（52 GB）、600萬筆聯絡資訊（5 GB），以及逾40萬筆的產品記錄（300 MB）。根據駭客供買家檢驗的資料，來源似乎是Coca-Cola Enterprises Norway。</p> <p>事隔數日出現新的進展，27日HackRead發現<a href="https://hackread.com/everest-ransomware-leaks-coca-cola-employee-data/">Everest公布新的資料</a>，這批檔案大小為502 MB，內容包含可口可樂中東地區的內部與員工記錄。這批資料的檔案數量，總共是1,104個，內含員工完整姓名、公司與住家地址、家庭與婚姻狀態、電話號碼、銀行帳戶資訊、薪資記錄、電子郵件信箱，以及簽證、護照、居留權文件複本。</p> <p>但除了員工個資，其中一個曝光的Excel檔案引起了HackRead的注意。此檔案標題為SuperAdmin_User_Account_Cocacola，詳細記錄可口可樂內部的管理員帳號結構，以及角色分配。雖然此檔案並未包含管理員帳密，但駭客能藉此得知那些帳號具備系統管理員、人資角色，而可能擁有特殊權限。</p> <p>另外還有兩個檔案也能提供駭客組織架構相關的情報，它們分別名為Emp Hierarchy Upload、HRBP Upload。不過，這些資料的真實性，有待可口可樂出面說明。</p> </div></div></div>
2025/5/28 15:13作者周峻佑https://www.ithome.com.tw/news/169228
Zscaler將買下MDR業者Red Canary
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.zscaler.com/press/zscaler-accelerate-innovation-ai-powered-security-operations-acquisition-red-canary" target="_blank">雲端資安業者Zscaler周二（5/27）宣布</a>，已與專精於託管式偵測與回應服務（Managed Detection and Response，MDR）的Red Canary簽署正式併購協議，雙方並未披露財務金額，僅說預計於今年8月完成交易。</p> <p>Red Canary是在2013年於美國創立，致力於提供更有效的威脅偵測及回應服務，特別是MDR；亦與微軟、CrowdStrike及SentinelOne等業者合作，提供整合性的安全解決方案；另也投入生成式AI技術的應用，開發各種AI代理人以自動化安全營運流程，同時提高威脅偵測的速度及準確性，現有超過400名員工，服務全球逾4,000個安全團隊。</p> <p>雖然Red Canary曾經展開多次融資，但皆未對外揭露公司市值。</p> <p>至於Zscaler則是專注於提供雲端零信任解決方案的資安業者，其核心產品Zero Trust Exchange提供網路安全、資料保護與身分驗證等功能，亦整合了AI。該公司截至今年1月31日的2025財年第二季財報顯示，該季Zscaler創造6.48億美元的營收，成長23%，虧損770萬美元，勝過去年同期所虧損的2,850萬美元，全球員工數超過7,000名。</p> <p>Zscaler表示，Red Canary讓其廣泛的客戶能夠以99.6%的準確率，將調查威脅的速度加快10倍，同時藉由自動化修復來簡化工作流程，在結合Zscaler的高品資資料，以及來自ThreatLabz安全研究團隊的全球情報之後，雙方的合併將帶來一個統一的、結合人類專業知識以及AI驅動工作流程的代理安全營運中心。</p> <p>另一方面，Zscaler擁有一套以AI為核心的零信任資安平臺，Red Canary則專精於端點、身分辨識、網路及雲端的威脅偵測與回應，Zscaler認為雙方的合併將能夠解決目前資安營運中常見的痛點，包括錯過關鍵警訊，不夠完整的威脅分析，而導致錯失漏洞等，而讓客戶更能精準地應對現代的資安挑戰。</p> <p>宣布併購消息的當天，Zscaler股價上漲1.26%，以257.3美元作收。</p> </div></div></div>
2025/5/28 13:48作者陳曉莉https://www.ithome.com.tw/news/169221
知名運動品牌Adidas遭網路攻擊，客戶資料外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>來自德國的全球知名運動品牌<a href="https://www.adidas-group.com/en/data-security-information" target="_blank">Adidas上周五（5/23）揭露一起資安意外</a>，指出有一未經授權的外來者藉由第三方的客戶服務供應商取得了某些消費者資料，該公司立即採取行動以遏止駭客行為，並與資安專家合作展開全面調查。</p> <p>迄今Adidas都未公布駭客的手法，或者是受到影響的消費者數量，僅說外洩資料並不包含密碼、信用卡或任何其它與支付相關的資訊，而主要是那些曾經聯繫Adidas客服的消費者聯繫資訊，正根據適用的法令通知那些遭波及的消費者。</p> <p>根據外電報導，本月位於<a href="https://www.businesskorea.co.kr/news/articleView.html?idxno=242481" target="_blank">南韓</a>及<a href="https://www.hurriyetdailynews.com/adidas-turkiye-unveils-data-breach-affecting-customer-information-209384" target="_blank">土耳其</a>的Adidas客戶都有收到Adidas的資料外洩通知，指出他們的姓名、電話號碼、電子郵件位址、生日及性別等個資都已外洩。</p> <p>一直到去年第三季，Adidas都是C<a href="https://blog.checkpoint.com/research/check-point-research-unveils-q3-2024-brand-phishing-trends-microsoft-remains-most-imitated-brand-as-alibaba-and-adobe-enter-top-10/" target="_blank">heck Point Research網釣攻擊調查</a>中，駭客最愛冒用的前十大熱門品牌之一，駭客註冊了許多仿冒Adidas的官網，從網址到介面，以誘導使用者輸入他們的憑證及個人資料。</p> </div></div></div>
2025/5/28 13:58作者陳曉莉https://www.ithome.com.tw/news/169222
俄羅斯駭客Void Blizzard以假Entra登入網頁為誘餌，入侵逾20家非政府組織
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>烏克蘭戰爭迄今仍尚未結束，有越來越多駭客組織從事網路間諜活動，協助俄羅斯政府從烏克蘭及北約國家組織（NATO）盟友收集軍事情報，並引起歐美國家關注。</p> <p><a href="https://www.microsoft.com/en-us/security/blog/2025/05/27/new-russia-affiliated-actor-void-blizzard-targets-critical-sectors-for-espionage/">微軟威脅情資中心指出</a>，他們與荷蘭情報暨安全總局（Netherlands General Intelligence and Security Service，AIVD）、荷蘭軍事情報暨安全局（Netherlands Defence Intelligence and Security Service，MIVD）、美國聯邦調查局（FBI）進行合作，調查被稱為Void Blizzard、Laundry Bear的新興駭客組織，並指出這些駭客近期針對歐美非政府組織（NGO）發動大規模攻擊。</p> <p>此駭客組織主要鎖定對於俄羅斯政府感到興趣的企業組織發動攻擊，涵蓋全球的政府機關、國防、交通運輸、媒體、非政府組織、醫療照護，大部分攻擊活動集中於歐洲及北美。這些駭客入侵受害組織的主要管道，通常是使用疑似從地下市集買到的外流帳密資料，一旦成功進入網路環境，就會大肆偷取電子郵件與內部檔案。研究人員提到，他們在今年4月看到更直接竊取密碼的手法，那就是藉由冒牌電子郵件網釣，引誘收信人上當並提供登入所需資料。</p> <p>針對這些駭客的相關活動，研究人員指出最早可追溯到去年4月，駭客從事一系列的雲端濫用行動引起他們的注意。雖然全球各地都有這些駭客的蹤跡，但是絕大部分活動是針對北約國家組織成員及烏克蘭而來，研究人員認為很有可能是為了收集軍事情報，協助俄羅斯政府達成戰略目標。</p> <p>值得留意的是，Void Blizzard定期鎖定政府機關與執法單位下手，尤其是對於北約國家組織成員國，以及向烏克蘭提供軍事或人道支援的國家。其中，研究人員特別提及駭客已滲透烏克蘭教育、交通運輸、國防組織，又以去年10月對當地航空組織出手，並提及另一個俄羅斯駭客Sandworm（Seashell Blizzard、APT44）曾於2022年對其發動攻擊。</p> <p>針對這些駭客的攻擊流程，研究人員提及通常會用密碼潑灑（Password Spraying）或是外流的帳密入侵受害組織，大部分會用於存取Exchange郵件伺服器，但也有為了挖掘特定資料存取SharePoint Online的情況。</p> <p>研究人員在4月看到駭客針對歐洲及美國逾20個非政府組織，從事對手中間人（AiTM）網釣攻擊，利用域名搶註手法製作冒牌Microsoft Entra身分驗證入口網站，駭客佯稱是歐洲國防安全高峰會的參與者，挾帶PDF附件，引誘收信人上當。</p> <p>此PDF檔案內含惡意QR Code，一旦依照指示操作，收信人就會被帶往釣魚網頁。微軟推測駭客使用網釣工具包Evilginx從事活動，並從中竊取使用者名稱、密碼、cookie等身分驗證資料。</p> <p>一旦攻擊者成功取得受害組織的存取權限，就會濫用Exchange Online和Microsoft Graph等服務的雲端API，找出使用者的電子郵件，以及存放於雲端的檔案，並疑似透過自動化的方式搜括受害者能夠存取的資料。</p> <p>在部分攻擊行動裡，駭客還會試圖利用網頁版Teams存取對話內容，或是透過公用程式AzureHound找出受害組織的Entra ID組態配置，以便進一步掌握租戶相關資訊。</p> </div></div></div>
2025/5/28 12:20作者周峻佑https://www.ithome.com.tw/news/169219
德州通過App Store問責法案，要求程式市集驗證兒童年紀
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>德州州長Greg Abbott在本周二（5/27）簽署了《App Store問責法案》（App Store Accountability Act），要求諸如Google Play或蘋果App Store等應用程式市集必須擔負驗證用戶年紀的責任，<a href="https://www.ithome.com.tw/news/167707" target="_blank">成為繼猶他州之後</a>，第二個簽署相關法案的美國州別。猶他州的法令已於今年的5月7日生效，德州則預計於2026年1月1日實施。</p> <p>推動該法案的德州參議員<a href="https://www.angelapaxton.com/news/its-time-to-hold-big-tech-accountable-and-equip-parents-to-protect-their-children" target="_blank">Angela Paxton表示</a>，今天的孩子是在網路持續存在的環境中長大，一轉眼就能下載應用程式並存取內容，不管內容品質為何，相較之下，實體商店要販售受限商品時還必須驗證消費者年紀，但App Store的經營卻無護欄。此外，即使父母是孩子的第一道與最好的防線，但就算是最細心的父母也可能被應用程式的誤導性描述或變更所蒙蔽。</p> <p>因此，《App Store問責法案》要求應用程式市集在未成年人下載大多數應用程式，或是進行應用程式內購買之前，必須驗證用戶的年紀並獲得父母的批准。</p> <p>不管是蘋果或是Google都反對此一法令，而亦曾被要求驗證用戶年齡的Meta與Snap則舉雙手贊成。根據華爾街日報（WSJ）的報導，蘋果執行長Tim Cook為了阻止該法案，還曾親自去電Abbott。</p> <p>蘋果認為，大家的共同目標都是強化兒童的網路安全，但《App Store問責法案》卻可能威脅所有使用者的隱私，因為它要求應用程式市集蒐集及保留每一個想要下載應用程式的德州人的個人資料，即便使用者想要下載的只是一個天氣或體育程式。相信有更好的方法可以在無需數百萬人交出個人資訊的前提下，保護兒童安全。</p> </div></div></div>
2025/5/28 13:06作者陳曉莉https://www.ithome.com.tw/news/169220
Computex秀AI資安新方向，趨勢科技用數位孿生助企業攻防演練
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著當前AI發展熱潮，數位孿生（Digital Twin）概念也持續受看重，不只是在製造業智慧工廠發酵，資安領域同樣關注，今年4月底美國RSAC 2025大會上，我們才看到<a href="https://www.ithome.com.tw/news/169016">資安業者Check Point當時發出警告</a>，指出新型態AI攻擊，會利用個人資料訓練專屬AI模型，創造出模擬受害者特徵與行為模式的Digital Twin數位分身，這突顯了攻擊者運用此技術的潛在風險，而就在最近舉行的臺北國際電腦展（Computex 2025）上，臺灣資安廠商趨勢科技展示一項創新解決方案，揭露防守方對此技術的運用，目前仍研發中，主要聚焦利用Digital Twin來搭建企業攻防演練的應用環境。</p> <h2><strong>利用數位孿生打造新一代自動化攻防演練</strong></h2> <p>以今年趨勢科技在Computex 2025的展出而言，具體有3大主題，最吸引外界目光的是一款還在研發中的產品，聚焦利用數位孿生（Digital Twin）方式來協助企業紅藍隊攻防演練，推估今年內可問世。</p> <p>根據現場趨勢科技人員的說明，由於去年趨勢科技發展「預測潛在攻擊路徑」的技術，如今有點像是將原有概念再延伸，鎖定企業攻防演練的應用而來。</p> <p>這兩者還有其他不同差異，原先預測潛在攻擊路徑的應用，當時受限於只有趨勢科技自家產品的Log資訊，而這次針對攻防演練的新應用，則是加入更多第三方的Log資訊，因此能讓數位孿生環境的模擬程度，可以達到更高。</p> <p>具體而言，趨勢科技表示，此種藉助數位孿生作法的好處是，可建立更擬真且自動化的攻防演練環境，例如當中具備兩個AI Agent，一個扮演紅隊角色，一個扮演藍隊角色，當紅隊打完後可自動產生結果，重要的是此時不再需要人力介入，藍隊能夠依照發現的弱點與建議，將防護設定套上去，接著紅隊自動再打一次以驗證。如果發現效果不如預期，這時才需要專業資安人力介入，並從紫隊角度或顧問角度來進一步調整。</p> <p>我們可以看出，這種利用Digital Twin概念搭建環境的應用方式，顯然帶給企業紅藍隊攻防演練另一種革新。</p> <p><a href="https://s4.itho.me/sites/default/files/images/PXL_20250522_032358476.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20250522_032358476.jpg" style="width: 600px;" /></a></p> <p>為了更瞭解Digital Twin的應用發展，我們詢問趨勢科技產品管理副總經理Rachel Jin（金靜秀），她揭露了這方面的更多資訊。</p> <p>Rachel表示，過去談到Digital Twin，應用集中於製造業的智慧工廠，像是可以模擬與優化實體生產流程，多是用於物理層面。而趨勢科技是將Digital Twin用於軟體、資安層面。</p> <p>她解釋，在現代企業的數位環境中，其實已經遍布各式感測器（Sensor），包括網路、電子郵件、身分驗證、終端設備、雲端等，趨勢科技正是透過這些感測器所收集的資訊流，構成出企業數位活動的Digital Twin，其用途就是打造出一個完整的模擬環境，高程度的模擬環境，讓企業可在不影響實際營運的情況下，進行攻防演練與風險評估。</p> <p>畢竟，只要資安成熟到一定程度的企業組織，往往都會進行企業內部的紅隊與藍隊攻防演練，來提前找出企業組織在資安防禦上的潛在弱點，但這樣的演練並無法天天頻繁進行，或是在某些敏感環境下更是難以執行，因為怕造成意外影響營運。</p> <p>因此，透過建構在Digital Twin環境中，便能利用虛擬紅隊與藍隊、以AI模擬攻防過程，找出企業防禦的差距（GAP），之後就能進一步回饋到實體環境，實施具體補強措施。不過這類應用也存在挑戰，就像AI需要持續學習以改善，因此在Digital Twin環境中，同樣也要重複讓模型進行訓練與學習。</p> <p data-end="167" data-start="26">Rachel強調：「Digital Twin在資安領域的應用極具前景。」她表示，以趨勢科技在Digital Twin及攻防演練的發展來看，企業能夠模擬各種不同情境，因此不再只是被動防守，而是具備主動預演的能力。若能結合更多商業知識，也能進一步模擬出潛在的商業衝擊，協助企業做出適當調整。</p> <p data-end="259" data-start="169">她另也舉例說明，當企業併購另一家公司時，便可透過Digital Twin模擬環境來做風險評估，避免被整合的公司有資安弱點會帶進來，或是模擬整合後可能產生的資安風險。</p> <h2><strong>另兩項展出重點同樣聚焦AI風險管理與應用而來</strong></h2> <p>趨勢科技在Computex大會上的另兩項展示重點，一是Security for AI Blueprint概念，一是整櫃式AI資安方案。</p> <p>響應GPU大廠Nvidia近年持續發表AI藍圖，趨勢科技在AI資安風險領域也提出自家Security for AI Blueprint概念，強調從6大層面做到AI防護，涵蓋：資料、微服務、基礎架構、模型、網路與使用者。</p> <p>而趨勢科技產品的發展方向也聚焦於此，包括在「資料」、「微服務」與「AI基礎架構」層面，推出Data Security Posture Management（DSPM）、Container Security，以及AI-Security Posture Management（AI-SPM）、API Risk與AI-DR。</p> <p>特別是在AI模型方面，該公司推出ZTSA - AI Secure Access之餘，現也正開發AI Model Scanning。至於「網路」與「使用者」層面則搭配IDS/IPS，以及Deepfake偵測與AI App保護。</p> <p><a href="https://s4.itho.me/sites/default/files/images/PXL_20250522_031123950.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20250522_031123950.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/PXL_20250522_031207372.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20250522_031207372.jpg" style="width: 600px;" /></a></p> <p>另一焦點在於，為應對企業因對隱私權、資料主權及法規遵循的疑慮，進而轉向自行架設私有雲生成式AI的需求，趨勢科技去年已針對這方面發展，針對Trend Vision One推出Sovereign and Private Cloud（SPC）資料中心解決方案，當中並整合Nvidia推論微服務。</p> <p>今年他們則是更進一步推出整櫃式解決方案，將趨勢科技自家SPC方案結合Nvidia AI Factory驗證設計，並搭配Dell基礎架構，讓企業組織可以直接取得整櫃式產品來應用。</p> <p><a href="https://s4.itho.me/sites/default/files/images/PXL_20250522_032904679.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20250522_032904679.jpg" style="width: 600px;" /></a></p> </div></div></div>
2025/5/28 11:22作者羅正漢https://www.ithome.com.tw/news/169194
Mistral推出Mistral Agents API
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>法國AI新創Mistral AI本周二（5/27）發表<a href="https://mistral.ai/news/agents-api" target="_blank">Mistral Agents API</a>，以讓開發人員可將大型語言模型（LLM）從單純的文字生成工具，轉變成可執行任務、持續記憶並與外部系統互動的AI代理人。</p> <p>Mistral AI表示，Mistral Agents API透過提供一個專用的框架，來簡化代理式案列的實施，可謂是企業代理平臺的支柱。具體而言，Mistral Agents API內建許多連結器以生成程式碼、執行網頁搜尋、生成圖像，以及各種Model Context Protocol（MCP）工具；它還支援跨對話的持久記憶體；具備代理式協同編排能力，允許多個AI代理人協同解決複雜問題。</p> <p>Mistral AI展示了許多應用，例如打造一個代理人與GitHub互動，同時監督一個由DevStral支援的開發代理人所撰寫的程式碼，展現AI自主管理軟體專案的能力。或者是利用Mistral Agents API建置一個金融分析師，同時編排多個MCP伺服器以獲得各種財務指標、見解，並安全地存檔。</p> <p>也能利用該API來打造一個旅行助理，協助使用者計畫旅行、預訂住宿或管理各種旅行需求。或者是由AI驅動的健康及飲食管理同伴。</p> <p>現階段也有其它業者推出代理人API功能，包括OpenAI的Assistants，Google的Gemini Agents，而Anthropic則透過Claude工具提供類似能力。</p> </div></div></div>
2025/5/28 12:13作者陳曉莉https://www.ithome.com.tw/news/169218
Salesforce將以約80億美元買下雲端資料管理業者Informatica，著眼於代理式AI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球客戶關係管理龍頭<a href="https://investor.salesforce.com/news/news-details/2025/Salesforce-Signs-Definitive-Agreement-to-Acquire-Informatica/default.aspx" target="_blank">Salesforce周二（5/27）宣布</a>，將以約80億美元的股權價值收購雲端資料管理業者Informatica，Informatica股東將可獲得每股25美元的現金，預計於2027年1月底之前完成交易。昨天Informatica股價上漲6.08%，以23.92美元作收。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0528-Salesforce-Acquire-Informatica.png" style="width: 400px;" /></p> <p>1993年創立的Informatica號稱是全球最大的資料整合軟體獨立供應商，該公司所提供的產品功能涵蓋了資訊生命周期管理、B2B資料交換、雲端資料整合、複合事件處理、資料複製與資料虛擬化等，可用來協助客戶打造企業等級的資料倉儲，全球客戶超過5,000家。Informatica在1999年曾經登上那斯達克（Nasdaq）股市，但2015年被Permira funds及Canada Pension Plan Investment Board（CPPIB）兩家投資公司<a href="https://www.ithome.com.tw/news/98002" target="_blank">收購而下市</a>，再於2021年重新登上紐約股市（NYSE），當時的開盤價是27.55美元。</p> <p>Salesforce表示，此一收購將強化Salesforce部署代理式AI所需的可靠資料基礎，因為Informatica擁有豐富的資料目錄、資料整合、治理、品質及隱私、元資料管理，以及主資料管理（Master Data Management，MDM），結合Salesforce的平臺之後，將能建立代理式AI的統一架構，使AI代理人得以在現代企業中安全且負責任地大規模部署。</p> <p>Salesforce解釋，有效的企業等級AI不僅需要資料，也需要資料透明度，深入理解資料脈絡，以及嚴格治理，Salesforce與Informatica將創造該產業最完整的代理人就緒資料平臺。</p> <p>儘管Salesforce所提供的MuleSoft工具類似Informatica，但其實Salesforce去年便有意收購Informatica，只是功敗垂成，今年捲土重來並達成協議。此一交易必須經過主管機關的審查，若通過審核，則將成為Salesforce史上最大的一樁收購案。</p> </div></div></div>
2025/5/28 10:40作者陳曉莉https://www.ithome.com.tw/news/169211
臺灣企業如何因應地緣政治風險？從BCM 1.0升級2.0，專家建議從六大面向因應極端情境
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在俄烏戰爭爆發之後，不少企業血淋淋地感受到地緣政治劇烈衝擊最極端的情況，並非完全不可能，尤其臺海衝突頻傳，三年前，國外知名雜誌更專文點名，將臺灣和烏克蘭、以色列並列為全球的高風險地緣政治衝突區域。</p> <p>當時就有不少臺灣大型企業，如高科技業者、金融業者、生技業者，重新審視自己的營運持續計畫（ BCP），開始思考過去視為極端情況，自己當前的準備是否足夠。安永諮詢服務執行副總經理曾韵指出，他們近幾年也協助不少臺灣企業，重新審視BCP計畫對極端情境的準備。</p> <p>在安聯2025年風險指標年報（Allianz Risk Barometer 2025）中，將地緣政治風險列為2025年的第九大事件，曾韵更指出，有14％風險專家甚至將地緣政治視為今年最重要的風險之一。像是在安永每年的全球展望調查中，1,200位CEO中，今年更有高達68%認為，因為地緣政治的不確定性，重新審視企業現有做法非常重要。</p> <p>這兩三年來，曾韵就接到不少企業詢問，想了解如何強化企業韌性的能力，才能更有能力因應激烈的地緣政治風險，甚至是戰時緊急因應程序該怎麼做。</p> <p>為了借鏡國外經驗，曾韵向安永在烏克蘭和以色列據點的同事請益，來了解身處於戰爭局勢第一線的企業，其營運持續計畫的實務作為。在今年臺灣資安大會中，曾韵分享了這幾年來，她協助多家臺灣企業評估地緣政治影響的經驗。</p> <h3><strong><span style="color:#FF0000;">地緣政治衝突常見三大類風險</span></strong></h3> <p>她先回顧過去幾起地緣政治帶來的風險事件主要有三類，第一類風險是電力中斷，在俄烏戰爭中，摧毀或占領了超過50%的烏克蘭發電設施，導致烏克蘭頻繁得採取分區限電的情況，而烏克蘭反擊俄國的本土目標，也多聚焦電力和能源設施，同樣在緬甸內戰中，大規模停電是該國人民的日常生活，吃過半數人口沒電可用。</p> <p>第二類風險則是台灣今年陸續感受到的網路中斷風險，今年臺灣海纜多次疑似遭到註冊非洲籍的中國權宜船拖斷，在烏克蘭戰爭中，該國最大固網電信公司在戰爭發生一個月後，遭受重大網路攻擊導致該國全球網路中斷，俄國也透過實體切斷電力或纜線的方式，來影響烏克蘭網路。</p> <p>最後一類風險則是國家級網路攻擊的風險，在以巴戰爭中，近5成伊朗國家級網路攻擊對象，鎖定了以色列公司，針對學校、政府機關、金融機構、醫療機構進行滲透和攻擊。同樣從南海衝突事件的風險案例中，多個中國駭客組織Raspberry Typhoon（RADIUM）、Flax Typhoon、Granite Typhoon針對東南亞國協成員國（ASEAN）的軍事實體、IT設施進行攻擊，甚至有國家級駭客滲透到印度尼西亞和馬拉西亞的海事系統。曾韵指出，電力中斷、網路中斷和國家級網路攻擊，這是思考地緣政治風險必須考慮的三類風險，臺灣尤其是第三類風險最高的區域。</p> <h3><span style="color:#FF0000;"><strong>以色列將軍事衝突視為日常來準備</strong></span></h3> <p>在烏克蘭和以色列的企業，如何因應這些地緣政治的衍生風險？在以色列要求該國銀行，要有25%的分行，具備總行（Central Branches ）等級的營運不中斷能力，採取更高安全規格和防護措施，要有適當的地理位置分散，在緊急情況下也可以營運。</p> <p>企業評估BCP計畫時，會區分不同風險等級的情境，再來考慮現有緊急應變程序需要涵蓋的風險等級。臺灣企業一般會將戰爭或軍事衝突視為極端情境，而非一般風險等級的BCP情境。考量到成本，大部分臺灣公司都不會考慮到這類極端情境的緊急應變程序。</p> <p>但在以色列的企業不一樣，他們將軍事衝突這種臺灣企業眼中的極端情境，視為是一般的BCP情境來準備。</p> <p>以色列政府要求，銀行至少會將四分之一的分行，達到總行等級的應變能力，一但遇到軍事衝突情況，可以支持更久的營運。這種等級的分行，會設置發電機，也有會更好的防護設施，像是設備完善的地下辦公室，這是以色列金融業的日常準備。</p> <h3><span style="color:#FF0000;"><strong>烏克蘭要求銀行設立韌性據點</strong></span></h3> <p>曾韵分享的另一個因應實例是烏克蘭經驗。戰爭發生後，烏克蘭大約半數能源設施遭到摧毀，全國經常性的輪流停電。</p> <p>所以，烏克蘭央行還提出一項Power Banking計畫，要確保銀行在長時間斷電期間，有能力自主維持最基本的服務。</p> <p>烏克蘭央行找來多家規模較大的系統性銀行，在全國各地設置這類有自主電力運作的韌性據點，而且烏克蘭央行還會確保每個區域都有夠多的韌性據點數量，可以支援全國基本的民生金融服務所需。<br /> 這個計畫要求這些系統性銀行，設立具有自主電力的韌性據點（Power Bank），在這樣的分據點，要有自己的發電機，也要有足夠的現金儲備，並且要有一套備援的通訊管道，以及儲備更多的人力。<br /> 對這些銀行的最小運作水準要求，包括了可以提領現金，可以付款和轉帳，可以換匯，甚至還要可以提供民眾財務上的諮詢。</p> <p>曾韵研究過不同戰爭爆發後對金融業的影響，在戰爭期間，銀行業業務不只不會停擺，反而還會增加，更需要加班，像是會有更多保險理賠的工作。</p> <h3><span style="color:#FF0000;"><strong>烏克蘭IT產業的戰爭韌性準備</strong></span></h3> <p>烏克蘭除了金融業有一套戰爭韌性準備以外，該國的IT產業也很有一套自己的應變做法。烏克蘭的資訊服務產業在歐洲很有名，大約有30萬名IT專家，三分之二是直接或間接服務歐美多個國家。在俄烏戰爭爆發期後，雖然發生長時間的斷電，甚至影響了電話機房和網路節點。但這群IT專家還是有能力繼續對外提供服務，一方面，從疫情發生之後，這群烏克蘭IT人力，已有一套居家辦公措施，戰爭發生後，可以迅速啟用。</p> <p>另一方面，這群IT專家也運用低軌衛星提供備用的網路通路，像是有雇主補助這群專家租用Starlinks星鏈網路，另外，IT人員也有自己的備援電力，像是行動電源包，甚至是自備柴油發電機。</p> <p>從烏克蘭經驗，曾韵提到，烏克蘭還有一件事值得借鏡，就是資訊雲端化。</p> <p>烏克蘭原本沒有開放金融業上雲。原本烏克蘭有一部《數據保護法》，規定政府及部分民間機敏資料必須放置在烏克蘭境內主機中。但在戰爭爆發前幾天，2月17日，烏克蘭緊急修法，通過《雲端服務》法案，允許政府和民營部門將數據轉移到雲端，等於開放了企業可以將關鍵資料和系統上雲，不到一周，2月24日舊爆發戰爭。很多烏克蘭銀行迅速將系統上雲，甚至營運都沒有中斷。到了3月12日，烏克蘭政府進一步擴大鬆綁，公共訊息資料、國家登記機構以及加密備份資料，允許儲存到境外雲端或資料中心。烏克蘭企業將資料上雲，轉移到沒有受到戰爭影響的西部區域，後來更可以轉移到境外鄰國。</p> <h3><span style="color:#FF0000;"><strong>雀巢的戰爭BCP做法特別重視社會責任</strong></span></h3> <p>曾韵還舉了一個比較特別的營運持續計畫實例，有家零售業特別考慮到社會責任面的BCP做法。在烏克蘭衝突期間，雀巢對於他們在烏克蘭的5,500名員工及他們的家人，提供了財務支援、搬遷支持和安全的保障，也設立了生存中心，更擴大對烏克蘭社區提供人道援助。</p> <p>這些做法涵蓋了薪資支持、員工安全援助、跨國支援和熱線服務，以及內部職位安置等面向。在薪資支持上，雀巢提前支付烏克蘭員工的薪水，甚至在未來一段時間內持續支付薪水。而在員工安全援助上，雀巢則提供一次性的搬遷補助，也準備了緊急護理包。雀巢還將當地辦公室設置為7x24小時運作的全天候生存中心，作為員工和他們家人的安全避難所。</p> <p>在跨國支援和熱線服務上，雀巢設立員工熱線，提供當地員工法律、移民諮詢，甚至還有心理支持，另外也在烏克蘭鄰國，如波蘭設立支援中心，來接待逃離烏克蘭的員工和他們的家人。作為跨國機構，雀巢更提供內部職位的安置安排，可以提供烏克蘭員工，改調整到其他地區雀巢所屬公司的工作機會。</p> <p>曾韵解釋，國外也有企業在戰爭BCP計畫中，預先考慮到類似雀巢做法的準備，像是為了持續發放薪水預先準備一筆現金，避免因為當地資訊系統因戰爭而無法運作。或是考慮要在當地設置員工避難區域，或在鄰近國外分支據點接待逃難的員工。</p> <p>「臺灣有少數企業的BCP計畫，開始考慮到極端情境，但較少準備到這麼完整。」她觀察。</p> <p>在俄烏戰爭爆後後，臺灣也有企業想要對這類地緣政治衝突的風險，採取一些作為，不過，常見會遇到一些挑戰。曾韵歸納，一方面，臺灣企業對於地緣政治事件的熟悉度不夠，就沒有辦法建立有效的策略，另外，也缺乏內部的應變權責機制。企業更會因為缺乏實際操演經驗，無從判斷自身的準備是否充分。</p> <h3><span style="color:#FF0000;"><strong>專家建議企業，因應地緣政治風險要先劃分階段</strong></span></h3> <p>曾韵建議企業，可以將地緣政治風險劃分不同的階段，在營運持續計畫中，再針對每一個階段訂定詳細的情境與事件應對方針，企業可參考國內外專家或政府機構對這些情境的規畫和建議，來安排企業自家做法。</p> <p>其次，她建議，企業需針對緊急應變設計一套管理機制，尤其要釐清決策程序，明確訂出對應的代理人制度。最後就是必須針對這些計畫，真的進行演練，讓企業上下都清楚了解，遇到這類事件時，可以怎麼做，尤其要模擬各部門的協作情境，驗證準備狀況，來做改進。</p> <p>曾韵也舉了一些臺灣企業實際開始評估極端情境BCP時才會發覺的細節。像是有企業BCP計畫中的人力準備，依照職位或能力來安排，但忽略了戰時徵召對男性人力的影響，可能得考慮更多女性人力的儲備。或者有些企業購買的保險，合約中有戰爭排外條款，遇到戰爭情況將不會理賠。</p> <h3><strong><span style="color:#FF0000;">臺灣企業四種極端情境BCP現行做法</span></strong></h3> <p>過去兩年來，已有一些臺灣企業開始評估這類極端情境的BCP，曾韵也歸納出四類臺灣企業因應極端情境的主要現行做法。</p> <p>第一類做法是建立備援電力，先盤點出自家企業的關鍵營運據點，來設計不斷電設備，發電機和柴油桶等。</p> <p>尤其許多大樓備援電力僅供消防逃生設施等關鍵設備使用，其實無法支援企業辦公室的電力備援。企業也得確保發電機的油類補給來源，例如得掌握自家辦公室附近，哪一處加油站有發電設備，遇到大規模停電時才能持續供油。臺灣中油官網後來也因有這樣的企業需求，開始在網站上提供了配備發電機的加油站據點清單。</p> <p>第二類現行做法是建立備援網路和通訊。像是考慮在關鍵營運據點導入低軌道衛星網路，列出需要配備衛星電話的關鍵人員名單，例如總經理，風控長，廠長等。目前中華電信已經宣布，2025 年上半將正式提供低軌衛星OneWeb和中軌衛星SESE的衛星商用服務，企業就可以多了一種備援通訊的選擇。</p> <p>資料上雲是臺灣企業現行的第三種BCP應變做法。像是將資料的冷備份上雲，甚至有企業為此而考慮將系統備份上雲。曾韵提醒，企業需確認所屬產業對資料上雲的相關法規，了解個資與敏感資料議題，另外也要留意資料備份所在的國家是否安全。 </p> <p>最後一種，臺灣企業常見的應變做法就是建立遠端辦公的能力。企業會延續原本疫情時的遠端辦公方案，例如採購筆電、建置VDI，定期演練測試等。曾韵提醒，有些企業疫情時的遠端辦公做法是，用筆電連回企業內部桌機來操作，若遇到大規模斷電時，這個做法就可能無效，得改到另一個據點辦公而非遠端辦公。</p> <h3><span style="color:#FF0000;"><strong>BCM 1.0：建立基本營運持續管理機制四步驟</strong></span></h3> <p>針對地緣政治衝突的風險因應，曾韵建議臺灣企業，至少要有基本的營運持續管理機制，可以按照四個步驟來進行。</p> <p>第一步是找出關鍵業務，分析企業的關鍵業務是什麼，訂出這些業務需要回復的優先順序，也要識別出提供這些關鍵業務，需要哪些資源和關鍵系統。</p> <p>接著第二步是設計公司策略，考慮在每個情境下，像是火災，地震，電力中斷、駭客攻擊等情境，企業要啟動哪些相關的措施，例如啟動部分居家辦公，停止部分品項的供應，或者暫停部分門市的營運，或是啟動備援電力和網路等。c</p> <p>有了策略後，再來就是第三步，準備資源，針對上述企業營運持續策略賴準備所需的資源，像是預備緊急備援能源，備援通訊（如購買低軌衛星服務）、人力備援（區分A/B組），預先設立應變組織等。<br /> 最後一步就是演練，甚至是取得認證。透過實際演練來確定策略的可行性和應變所需資源的完整性。也可以進一步透過第三方驗證，來了解對自身做法的意見和改善建議。</p> <h3><strong><span style="color:#FF0000;">BCM 2.0：因應極端情境要考慮6大面向</span></strong></h3> <p>曾韵指出，企業做到BCM（營運持續管理） 1.0之後，再進一步考慮到極端情境的BCM 2.0。</p> <p>「要升級到能因應極端情境的營運持續計畫（BCP），要多考慮六大面向。」曾韵建議，這六大面向包括了人員因素、周遭風險、呼叫樹（Call Tree）、備援能源、異地地點、和供應鏈。</p> <p>在人員因素上，企業應該先確定哪些員工已經被徵召入伍，以及未來若有軍事衝突時，有哪些人員有可能被徵召。其次要考慮周遭風險，例如評估機房地點時，還要多考慮避開容易成為軍事攻擊的目標設施，像是政府大樓、重要地標等。在環境考慮上，也要考慮備用異地地點的選擇，檢查備用站點的合約，是否能夠反映業務的需求，例如有企業會檢查電費帳單，避免備援機房的輪流供電分組，不會和主要機房相同，來避免同時停電。</p> <p>在通訊聯絡上，企業要定期測試所訂定的呼叫樹（Call Tree），確保所有人聯絡方式的新穎性，如群組名單的更新，手機電話正確性。</p> <p>備援能源計畫上，則要確定燃料中斷後對企業的影響，再來考慮有什麼替代燃料來源和供應商。最後一項，則要考慮對企業供應鏈的影響，地緣政治衝突可能破壞了企業的國際供應路線，業務持續性計畫人員應該審查供應鏈路線，確定若有必要如何重新安排商品和服務的供應路線。</p> <h3><span style="color:#FF0000;"><strong>先從關鍵中定義更關鍵</strong></span></h3> <p> 「用一句話點出BCP 2.0的規畫重點是，從關鍵中定義更關鍵。」曾韵強調。</p> <p>她建議可以從BCM的關鍵業務中，考量客戶信心、社會責任、合規要求和經營考量等四大面向，來挑出關鍵中的關鍵。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%A6%82%E4%BD%95%E5%AE%9A%E7%BE%A9%E9%97%9C%E9%8D%B5%E4%B8%AD%E7%9A%84%E9%97%9C%E9%8D%B5-%E6%94%9D%E5%BD%B1-%E7%8E%8B%E5%AE%8F%E4%BB%81.jpeg" /></p> <p>在客戶信心考量上，例如對金融業而言，基礎金融業務如支付、貸款、理賠、債券等影響客戶信心的業務，優先順序相對較高。也可提高社會責任相關的業務，如前述跨國零售業者重視的員工與家屬安置，或有助於客戶關懷、捐款通路支援和提供等。合規要求也是BCM 2.0應考量的面向，如需要與所屬產業的主管機關溝通，確認所採取應變措施的合規性，例如哪些資料可上雲。最後一項經營考量上，企業則需要衡量投資活動的持續，核心競爭力的保全，或是各地布局的安排，來挑選出更關鍵的項目。</p> <h3><span style="color:#FF0000;"><strong>盤點關鍵資源的儲備程度</strong></span></h3> <p>找出關鍵中的關鍵後，下一步就是要盤點關鍵資源的儲備，包括了資訊系統、資料備份、網路通訊、場地與設施，還有人員，都是關鍵資源的類型，除了正常備援機制外，需考量另外的第二方案。</p> <p>例如關鍵業務所需資訊系統，對外溝通管道（官網，Email，聊天機器人）或內部溝通軟體的第二方案。或是在資料備份上，除了關鍵業務所需系統的備援，重要資料的電子備份，重要紙本文件的儲存與保管第二方案，甚至需考量運送機制。</p> <p>網路通訊的第二方案考量，則可考慮網路出口使用不同ISP業者，網路設備則區出出主中心、備援中心、重要場所的網路設備。在場地和設施考量上，則要先盤點全臺適合使用的辦公場所和資源（如電力雙迴路），這些地點在緊急狀況下的油料儲備取用方式。</p> <p>而在人員第二方案考量上，則要預先安排關鍵業務執行人員的順序（如區分A/B組），更新人員聯繫清單，也要和預定的通訊機制建立連結（如預先建立群組）等。</p> <p>在地緣風政治風暴中，企業要如何駕馭不確定性？曾韵建議，臺灣企業不能完全不做準備，考慮企業和資訊韌性，也應該將地緣政治風險納入考量，來因應前面提到的種種挑戰，如電力中斷，網路中斷，資安攻擊等議題。可借鏡以色列和烏克蘭的做法，來升級既有的營運持續計畫。</p> </div></div></div>
2025/5/28 10:11作者王宏仁https://www.ithome.com.tw/news/169208
Copilot代理深入整合Office擴充，統一開發工具加速辦公應用自動化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟對Office Add-ins進行<a href="https://devblogs.microsoft.com/microsoft365dev/office-addins-at-build-2025/">重大更新</a>，重點在於Copilot代理與Office擴充功能的深度整合，並以統一開發工具Microsoft 365 Agents Toolkit強化辦公應用智慧化與自動化。此更新提升Word、Excel、PowerPoint等辦公軟體的智慧功能與自動化整合，簡化開發與部署流程。</p> <p>過去Office Add-in多以傳統用戶界面為主，必須仰賴功能窗格或操作按鈕觸發功能，現在則可由Copilot代理直接以自然語言理解用戶需求，呼叫Add-in的各項專業功能。用戶在Office應用中僅需透過Copilot輸入指令或問題，即可啟動第三方擴充元件，無論是自動插入內容、進行資料分析，或串接企業內部資料來源，皆可用對話式方式完成。微軟表示，該設計旨在協助用戶以自然語言操作擴充功能，簡化自動化流程，提升日常辦公效率。</p> <p>對開發者而言，統一描述檔（Manifest）與Microsoft 365 Agents Toolkit使Office各產品共用相同應用架構，開發者可使用單一程式碼，部署至Word、Excel、PowerPoint等應用，大幅降低維護與更新複雜度。新版開發工具Microsoft 365 Agents Toolkit整合API、測試與除錯等功能，提升開發流程一致性與效率，根據官方說明，系統管理員能透過統一部署與管理介面，設定擴充元件的安裝與存取規則。</p> <p>本次更新也導入事件型自動啟動（Event-based Activation）概念，讓擴充元件能於文件開啟或建立時在背景自動執行。此設計減少使用者操作步驟，並可應用於自動化內容驗證、資料更新或法規檢查等場景，有助於提升辦公應用安全性與一致性。</p> <p>微軟同步升級Office Add-ins相關API與功能，增強圖形物件處理、資料型別自訂與流程自動化等能力，讓開發者能打造更貼近企業需求的辦公自動化工具。新版統一的儲存與安裝管理機制，讓企業能以集中方式發布、部署並管理多款擴充元件，減少手動安裝或分散維護的困擾。整體而言，Office Add-ins與Copilot代理的結合，加上統一開發工具，讓企業與開發者能更有效率地跨多種Office應用推動自動化與智慧化。</p> </div></div></div>
2025/5/28 08:43作者李建興https://www.ithome.com.tw/news/169201
中國稱用於保護身分的網路ID系統已有600萬人啟用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.mps.gov.cn/n2254098/n4904352/c10087598/content.html" target="_blank">中國政府宣布</a>，已經有600萬人啟用驗證網路身分的App，將在今年7月正式使用，以減少冒名詐騙、或是保護真實身分。</p> <p>中國公安部於今年2月通過並公布《國家網路身分認證公共服務管理辦法》，預定7月15日正式施行。該法旨在推行「網號」及「網證」用於驗證使用者真實身分，同時能減少真實身分的使用，以保障身分安全。其中網號是與自然人身分相對應、由字母和數字組成的符號，網證是指身分憑證。網號、網證可用於在網際網路平臺、政府服務或旅遊、醫療業等民間服務中的非明文登記用於日後身分驗證。</p> <p>統一的「網路身分認證公共服務平臺」為使用者提供身分驗證，方法是結合實體身分證明，如居民身分證和其他資料，再運用密碼演算法，完成網號、網證的發放。</p> <p>國家網路身分認證公共服務自2023年6月27日上線。<a href="https://m.huanqiu.com/article/4MnOKsenxCn" target="_blank">中國公安部上周公告表示</a>，國家網路身分認證App累計下載超過1,600萬次，啟用達600萬人，提供認證服務1,250餘萬次。</p> <p>中國政府說，網路ID是人民自願取得。</p> </div></div></div>
2025/5/28 08:51作者林妍溱https://www.ithome.com.tw/news/169206
金融科技產業聯盟最新進展！國泰金控計畫用區塊鏈串接警政和醫院資料，加速交通事故理賠流程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>金管會今日在記者會上公布金融科技產業聯盟最新進展，連帶揭露了國泰金控預計在異業生態共創工作圈推動的新計畫，要運用產險聯盟區塊鏈來串連醫療場所和警政單位資料，將三方資料彙整於單一系統平臺，例如，在保戶同意下取得警政通報單，加快民眾申請交通事故產險理賠的作業流程。</p> <p>早在今年2月金融科技聯盟舉辦成立儀式，國泰金控就公開異業生態共創工作圈的推動方向和初步提案。除了要促進異業結盟，他們也希望打造跨業、跨域，和跨境議題的解決方案。當時，他們揭露三個初步提案構想，分別是發展聯合學習技術授權、推動醫療業和保險業數據互通，提高醫療保險理賠效率，最後是推動數位金融護照。如今，金管會揭露的最新提案，則是要用產險聯盟區塊鏈，來推動跨業合作，減少交通事故理賠花費的時長。</p> <p>產險聯盟區塊鏈是由國泰金控和國泰產險合作推動，將區塊鏈應用至產險作業，協助減少理賠過程中需耗費的大量人力、物力。</p> <p>以汽機車強制險理賠為例，過去不同保險公司需要耗費大量人力和時間來對照同一件案件的受理、審核流程，和理賠案件進度。而透過產險聯盟理賠鏈，可以讓各間保險公司以加密和高信任度的方式交換資料，更快完成案件審核、給付和追償，降低理賠作業時間及紙本作業風險。產險聯盟區塊鏈平臺自2022年上線至今，已有14家產險業者加入。</p> <p></p> </div></div></div>
2025/5/27 21:32作者李昀璇https://www.ithome.com.tw/news/169204
【資安日報】5月27日，駭客於臺灣等70個國家挾持逾2千臺伺服器架設殭屍網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>部分駭客行事低調，長年竊取受害組織機密，直到多年後才有研究人員對其行蹤有較為明確的分析，並引起外界的注意。</p> <p>例如，資安業者AhnLab與韓國國家網路安全中心（NCSC）近期對於與中國有關的駭客組織TA-ShadowCricket（Shadow Force）進行揭露，就是這樣的例子，值得留意的是，駭客廣泛於全球入侵逾2千臺伺服器，植入IRC機器人或後門程式，臺灣也有44臺主機受害。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169197"><strong style="font-size: 22px;">駭客組織TA-ShadowCricket控制全球逾2千臺伺服器，44臺在臺灣</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/HKWx5zE2JI1zk6TUyfGuflTHQ3cLhLdljbNE7qqb.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/HKWx5zE2JI1zk6TUyfGuflTHQ3cLhLdljbNE7qqb.png" style="width: 300px; float: right;" /></a>近期有部分鮮為人知的中國駭客遭到資安研究人員起底，其中不少攻擊範圍涵蓋臺灣，引起國內媒體高度關注。</p> <p>根據自由時報、ETtoday新聞雲等多家媒體的報導，資安業者AhnLab與韓國國家網路安全中心（NCSC）聯手，針對與中國有關、名為TA-ShadowCricket、Shadow Force的駭客組織，揭露相關攻擊行動的長期調查結果。這些駭客約從2012年開始活動，積極對亞太地區國家下手，通常會針對曝露在網際網路的Windows Server主機，或是管理不善的SQL Server而來，植入IRC機器人或後門程式。</p> <p>而對於這些駭客控制的範圍，迄今駭客於全球72個國家、超過2千個IP位址，部署IRC伺服器並充當C2。其中，受影響最嚴重的國家是中國、韓國，分別有895臺、457臺主機，值得留意的是，臺灣也有44臺伺服器遭到這些駭客控制。AhnLab也在調查報告當中，提及TA-ShadowCricket偽造或盜用數家軟體廠商憑證簽署惡意軟體的現象，其中一家是臺灣軟體業者訊連科技（CyberLink），駭客於2012年曾偽造該公司憑證為惡意軟體簽章。</p> <p><a href="https://www.ithome.com.tw/news/169195"><strong style="font-size: 22px;">5,300臺網路設備遭殭屍網路綁架，中國駭客ViciousTrap利用未有修補程式的已知漏洞入侵</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/vicioustrap-map.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/vicioustrap-map.png" style="width: 300px; float: right;" /></a>提供中小企業及SOHO族使用的網路設備，即使廠商因生命週期結束（EOL）不再提供修補，用戶往往因為仍然能夠運作，並未汰換而是繼續使用，這樣的情況也變成駭客眼中的肥羊，且有越來越多設備遭到控制。</p> <p>例如，最近資安業者Sekoia對於追蹤思科路由器漏洞CVE-2023-20118的攻擊行動，揭露最新的發展，他們原本在今年1月底至2月上旬，發現有人利用這項漏洞，綁架思科的小型路由器設備，組成殭屍網路PolarEdge，當時已有逾2千臺設備受害，如今研究人員發現，還有其他駭客組織也加入漏洞利用行列：中國駭客ViciousTrap已藉此綁架超過5千臺路由器，並在這些路由器植入Shell指令碼NetGhost，然後將流入的網路流量導向類似蜜罐陷阱（Honeypot）的基礎設施。</p> <p>但前述思科路由器並非駭客的唯一目標。Sekoia研究人員進一步對駭客的基礎設施調查，結果發現，他們也鎖定D-Link、Linksys、華碩、威聯通（QNAP），以及Araknis Networks等廠牌的網路設備。</p> <p><a href="https://www.ithome.com.tw/news/169179"><strong style="font-size: 22px;">駭客組織Careto傳出背後主使是西班牙政府</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/kaspersky-careto-the-mask-illustration.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/kaspersky-careto-the-mask-illustration.png" style="width: 300px; float: right;" /></a>根據科技新聞網站Techcrunch報導，資安業者卡巴斯基前員工向他們透露，11年前被視為世界上最狡猾的駭客攻擊行動，幕後主使者就是西班牙政府。卡巴斯基、西班牙國防部拒絕回應此事。</p> <p>2014年卡巴斯基發現進階滲透攻擊（APT）行動，鎖定政府機關和能源企業，包括外交辦公室、大使館、能源或石油企業，目的在竊取機密資料如文件、加密金鑰、VPN配置等。經過分析，研究人員將犯案的駭客組織稱為Careto或The Mask，這是因為他們在其程式碼中發現到Careto（西班牙語中的面具之意）的字樣。</p> <p>至少有4名卡巴斯基前員工指認，Careto背後的主謀是西班牙政府，其中一名員工透露，卡巴斯基調查Careto的動機，就是源自駭客攻擊古巴政府特定的網路環境，此受害政府機關是「零號病人（Patient Zero）」，也是將Careto與西班牙當局關連的重要關鍵。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/malicious-vs-code-extensions-deliver-spyware-steal-crypto-credentials/">駭客組織MUT-9332利用VS Code外掛鎖定開發人員</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/tiktok-videos-now-push-infostealer-malware-in-clickfix-attacks/">抖音成散布竊資軟體的新管道，駭客藉此從事Click網釣</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/hackers-use-fake-ledger-apps-to-steal-mac-users-seed-phrases/">蘋果電腦用戶遭鎖定，駭客假借冒牌Ledger軟體挾持加密貨幣錢包</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169196"><strong style="font-size: 22px;">AI助手GitLab Duo存在漏洞，恐被用於挾持AI回應、洩露程式原始碼</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/gitlab-duo-prompt-injection-16.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/gitlab-duo-prompt-injection-16.jpg" style="width: 300px; float: right;" /></a>生成式AI廣泛受到開發者運用，一旦這類應用程式出現弱點，就有可能遭到利用，藉此影響軟體開發安全。</p> <p>根據資安業者Legit Security的研究，AI助理GitLab Duo有資安弱點，攻擊者可藉由埋入的註解，導致GitLab Duo洩露開發人員處理的程式原始碼，並且在回應裡注入不受信任的HTML內容。研究人員於2月12日通報此事，GitLab已進行確認並完成修補。</p> <p>而Legit Security在這款人工智慧助理當中，發現遠端提示注入漏洞，攻擊者只要透過Duo Chat，就能從私人專案竊取原始碼、竄改程式碼建議並顯示給其他用戶，甚至還可以洩露機密資訊，或是零時差漏洞。</p> <p><a href="https://www.ithome.com.tw/news/169151"><strong style="font-size: 22px;">資安研究員利用OpenAI o3模型發現Linux核心零時差漏洞</strong></a></p> <p>資安研究人員Sean Heelan上周揭露，他利用OpenAI的o3模型於Linux核心中發現了CVE-2025-37899零時差安全漏洞，當他透過同樣的方法於Claude Sonnet 3.5及Claude Sonnet 3.7中測試時，並未發現同樣的漏洞。</p> <p>Heelan是名獨立研究人員，專門研究與大型語言模型（LLM）有關的漏洞自動發現及攻擊程式生成。他說，最近正想從LLM中抽身，休息一下，於是展開了ksmbd漏洞稽核專案，ksmbd是一個在Linux核心空間中實作SMB3協定的伺服器，可透過網路共享檔案。</p> <p>然而，當OpenAI發表o3之後，他便忍不住利用他在ksmbd中發現的錯誤作為o3能力的快速基準測試，結果o3成功找到了先前未被揭露的CVE-2025-37899，此為ksmbd元件的記憶體釋放後再存取使用（Use-After-Free）漏洞，出現在處理SMB的logoff命令，當其中一個執行緒釋放特定物件的過程，另一個執行緒可能嘗試存取記憶體空間，進而觸發記憶體損壞，允許駭客執行任意程式。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thecyberexpress.com/cloudflare-fixes-cve-2025-4366-in-pingora-oss/">Cloudflare修補代理伺服器框架高風險漏洞</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/netgear-router-flaw/">Netgear路由器存在重大漏洞，攻擊者能得到完整管理員權限</a></strong></p> <p></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169002"><strong style="font-size: 22px;">【臺灣資安大會直擊】當人資遇上資安挑戰：半導體公司人資主管解析，資安證照如何助力公司和個人價值提升</strong></a></p> <p>在數位轉型浪潮席捲各產業的今天，「資安即國安」的口號已深入人心，然而，談及企業資安，大眾的目光往往聚焦IT部門的技術防禦。事實上，在企業運作的核心深處，人力資源（HR）和財務部門正因其獨特的工作性質和所處理的敏感資料，悄然成為企業資安防線中最為關鍵的「前沿」陣地。</p> <p>任職於半導體公司財務與人資主管鄭惠如（RuRu Cheng），她日前在「臺灣資安大會」Cyber Talent Forum的演講中，以逾十年的財務人資經驗及資安領域的跨界視角，深入剖析為何人資和財務部門必須重視資安意識與相關證照，以及對於個人職涯和企業安全所帶來的深遠影響。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169160"><strong>【5月26日】歐美大國攜手執法，3天內破壞7個Botnet</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169135"><strong>【5月23日】新版Windows伺服器作業系統dMSA服務帳號的遷移流程可被濫用而惹議</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169114"><strong>【5月22日】VMware修補旗下多款平臺的資安漏洞</strong></a></p> </div></div></div>
2025/5/27 17:59作者周峻佑https://www.ithome.com.tw/news/169199
金管會盤點五大金融科技政策最新進展，6月VASP專法草案送行政院、7月開放業者申請數位保險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年七月，金管會主委彭金隆提出五大金融科技施政方向，分別是擴大容錯空間，加大創新領域、鼓勵金融業者團體合作研發技術、探索金融科技發展機會、支持純網路金融發展，和全方位引領金融科技發展。時隔近一年，金管會今日在例行記者會中報告五大金融科技政策推動進展，包括放寬業務試辦範圍，目前已核准21件金融機構業務試辦案件、重啟網路保險公司申請，預計於今年7月開放業者申請，以及推動虛擬資產服務專法，預計今年6月底前將專法草案陳報行政院審查。</p> <p>金管會創新處長胡則華表示，金管會在去年10月發布金融業申請業務試辦作業要點，放寬了金融業者進行業務試辦的範圍，從去年5月20日至今年4月底，金管會已核准21件金融機構業務試辦案件，其中包含銀行業2件、證券期貨業2件、保險業17件。</p> <p>胡則華特別強調，過往業務試辦項目不能違反既有法令，但如今，金融機構業務試辦範圍已經透過擴大金管會行政規則、函釋，和同業公會自律規範及周邊單位規章等尚未開放的業務項目，來讓金融機構能在試辦過程中違反現有規定。另外，胡則華也表示，透過業務試辦擴大，他們希望能建立普惠金融相關案件的優先審查制度，鼓勵金融機構申請對民眾較有利的試辦案件。</p> <p>針對數位保險公司發展，彭金隆在去年底宣布重啟數位保險公司申設，且要放寬數位保險也能經營線下通路。胡則華提到，目前數位保險公司相關草案已進入法規預告程序，預計將於今年7月開放業者申請。</p> <p>在推動虛擬資產服務專法上，金管會在去年陸續完成VASP監理措施，包括成立VASP公會、明訂VASP業者未完成洗錢防制登記者，不得提供虛擬資產服務，並將負有刑事責任。目前，金管會正在推動虛擬資產服務專法立法，胡則華表示，預計今年6月底前將專法草案陳報行政院審查。</p> <p>針對推動現實世界資產(RWA)代幣化，胡則華說明，目前傳統金融市場上，有部分資產交易時間較冗長，導致資產的投資門檻較高，或是不易進行跨境投資，因此，許多金融業者希望透過RWA來解決這些問題。去年中，金管會成立RWA代幣化小組，共同研究推動RWA代幣化的可行性。目前，RWA代幣化小組包括9家金融機構、集保公司和相關支援團隊，分為三組進行研究，分別是國內債券、外股債券，和基金。胡則華表示，各小組已在今年1月進行期中報告，後續會以模擬的方式進行實證，預計今年9月就會啟動模擬，並在今年底完成期末報告。</p> <h3>金融科技產業聯盟：金融科技母基金年底完成第一輪募資、要用區塊鏈提高交通事故產險理賠效率</h3> <p>最後針對金融科技產業聯盟進展，胡則華說明，金融總會在今年2月成立金融科技產業聯盟，設有金融科技應用研發、數位金融實務規範建議、金融科技投資交流及異業生態共創等4個工作圈。</p> <p>這四大工作圈也已經有初步成效，包括由玉山金控擔任召集人的數位金融實務規範建議工作圈，目前已完成金融無塵室第一階段，能將去識別化的資料導入AI模型進行訓練，完整勾勒警示帳戶的態樣，協助金融機構有效掌握可疑帳戶。到了第二階段，數位金融實務規範建議工作圈會把目標擴大到跨業聯防整合通訊軟體、電信資料等資訊，協力跨業資料整合。</p> <p>另外，由凱基金控擔任召集人的金融科技投資交流工作圈，他們計畫成立金融科技母基金，這個基金將由LP(Limited Partner)與GP(General Partner)組成。母基金將投資不同主題的創投基金，預計募集2至3億美元，預計今年底就會完成第一輪1億美元的募資。</p> <p>最後，由國泰金控擔任召集人的異業生態共創工作圈，除了會推動金融業和醫療業互通數據，提高民眾申請保險理賠的效率。這個工作圈也將規畫透過產險聯盟區塊鏈，來將警政單位、醫療院所及產險公司等三方資料彙整於單一系統平臺，提高民眾申請交通事故產險理賠的便利性。</p> <p></p> </div></div></div>
2025/5/27 18:01作者李昀璇https://www.ithome.com.tw/news/169200
資安法修法進入委員會審查階段，新增條文擬納入協助民間應對重大資安事件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span>立法院針對《資安法》修法，目前已經進入到委員會審查階段，數位發展部資安署署長蔡福隆表示，目前《資安法》修法主要是針對五點在討論，目前主管機關以及協助民間企業處理重大資安事件朝野已有共識外，其他仍將持續凝聚共識中。</span></p> <p><span>原本行政院版第二條修正條文中，明定主管機關為數位發展部，國家資通安全業務也明定由數位發展部資通安全署辦理。不過，蔡福隆表示，審查會通過的條文中，同意《資安法》的主管機關為數位發展部，但資通安全業務的執行，除了刪除國家的字眼外，也修正為「由數位發展部指定資安專責機關辦理。」</span></p> <p><span>另外，《資安法》第四條「為提升資通安全，政府應提供資源，整合民間及產業力量，提升全民資通安全意識，並推動包括：培育資安專業人才、發展資安產業及發展相關軟硬體規範等四款條文。</span></p> <p><span>但委員會審查時，朝野共識在第四條第一項新增第五款條文，主要內容為「協助民間處理、因應及防範重大資通安全事件。」</span></p> <p><span>由於《資安法》的適用對象包括：公務機關以及關鍵基礎設施在內的特定非公務機關，民間企業不在該法的適用範圍內，對於新增的修正條文是否踰越母法的適用對象，蔡福隆有不同看法。</span></p> <p><span>蔡福隆認為，新增條款重點在於「民間發生重大資安事件」需要政府協助，並不是所有的資安事件都需要政府主動介入，數位發展部基本上算是「被動的」，在民間有需要的時候，政府才需要出面提供協助。</span></p> <p><span>他說：「發生重大資安事件時，受駭企業至少會需要做到報案和通報中央目的事業主管機關，」屆時，數位發展部就可以因應中央目的事業主管機關的要求，可以委由從去年一月，就由國家資通安全研究院（簡稱資安院）負責維運、協助民間企業處理資安事件的TWCERT/CC（臺灣電腦網路危機處理暨協調中心），出面協助民間企業處理相關的資安事件。</span></p> <p><span>不過，他強調，對於其他的《資安法》修正條文，各界還有不同的期待和想法，仍需要持續的溝通討論才會有共識。</span></p> <div class="ui-widget-content ui-draggable" id="haloword-lookup" style="position: relative;"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"> </div> </div> <div id="haloword-content"> </div> </div> <div class="ui-widget-content" id="haloword-lookup"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"> </div> </div> <div id="haloword-content"> </div> </div> <div class="ui-widget-content" id="haloword-lookup"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"></div> </div> <div id="haloword-content"> </div> </div> </div></div></div>
2025/5/27 18:32作者黃彥棻https://www.ithome.com.tw/news/169202
中國駭客TA-ShadowCricket控制全球逾2千臺伺服器，44臺在臺灣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期有部分鮮為人知的中國駭客遭到資安研究人員起底，其中不少攻擊範圍涵蓋臺灣，引起國內媒體高度關注。</p> <p>根據<a href="https://news.ltn.com.tw/news/world/breakingnews/5053043">自由時報</a>、<a href="https://www.ettoday.net/news/20250524/2966409.htm">ETtoday新聞雲</a>等多家媒體的報導，資安業者AhnLab與韓國國家網路安全中心（NCSC）聯手，<a href="https://asec.ahnlab.com/en/88137/">針對名為TA-ShadowCricket、Shadow Force的中國駭客組織</a>，揭露相關攻擊行動的長期調查結果。這些駭客約從2012年開始活動，積極對亞太地區國家下手，通常會針對曝露在網際網路的Windows Server主機，或是管理不善的SQL Server而來，植入IRC機器人或後門程式。</p> <p>而對於這些駭客控制的範圍，迄今駭客於全球72個國家、超過2千個IP位址，部署IRC伺服器並充當C2。其中，受影響最嚴重的國家是中國、韓國，分別有895臺、457臺主機，值得留意的是，臺灣也有44臺伺服器遭到這些駭客控制。AhnLab也在調查報告當中，提及TA-ShadowCricket偽造或盜用數家軟體廠商憑證簽署惡意軟體的現象，其中一家是臺灣軟體業者訊連科技（CyberLink），駭客於2012年曾偽造該公司憑證為惡意軟體簽章。</p> <p>針對這些駭客使用的作案工具，研究人員提及，雖然攻擊者活動期間超過10年，部分作案工具出現變化，但成功入侵之後的攻擊過程，大致能分成3個階段。</p> <p>首先，這些駭客利用惡意軟體下載工具，或是命令執行工具，於受害主機部署惡意軟體；接著，他們還會再部署後門程式；到了第3階段，則是因應額外的惡意行為，植入其他的作案工具。</p> <p>而在攻擊過程裡，TA-ShadowCricket通常會使用名為Pemodifier的工具竄改系統檔案，以便順利載入惡意DLL檔案。對於後門程式的部分，這些駭客在2021年之前使用Shadowforce，但後續被名為Maggie的惡意程式取代。在部分受害主機裡，他們看到駭客植入鍵盤側錄工具、竊資軟體，或是挖礦軟體的情況。</p> <p>研究人員指出，這些駭客以韓國為基地暗中竊取資料，活動時間長達13年，從未向受害組織勒索，或是於暗網公布竊得資料的訊息來牟利，再加上作案工具、駭客從中國IP位址存取C2伺服器等證據，他們認為很有可能是中國資助的駭客組織，但在部分行動當中，這些駭客又從事挖礦攻擊，使得研究人員對於這些駭客是否有中國政府在背後撐腰，抱持保留的態度。</p> </div></div></div>
2025/5/27 17:07作者周峻佑https://www.ithome.com.tw/news/169197
AI助手GitLab Duo存在漏洞，恐被用於挾持AI回應、洩露程式原始碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>生成式AI廣泛受到開發者運用，一旦這類應用程式出現弱點，就有可能遭到利用，藉此影響軟體開發安全。</p> <p>根據資安業者Legit Security的研究，<a href="https://www.legitsecurity.com/blog/remote-prompt-injection-in-gitlab-duo">AI助理GitLab Duo有資安弱點</a>，攻擊者可藉由埋入的註解，導致GitLab Duo洩露開發人員處理的程式原始碼，並且在回應裡注入不受信任的HTML內容。研究人員於2月12日通報此事，GitLab已進行確認並完成修補。</p> <p>GitLab Duo是以Anthropic開發的大型語言模型Claude為基礎打造的AI助理，於2023年6月推出，後來在去年4月加入了<a href="https://www.ithome.com.tw/news/162433">聊天機器人Duo Chat</a>的功能，讓用戶能透過自然語言進行互動。此助理能提供開發人員程式碼建議、審查程式碼安全、分析合併請求（Merge Request，MR）等工作。</p> <p>而Legit Security在這款人工智慧助理當中，發現遠端提示注入漏洞，攻擊者只要透過Duo Chat，就能從私人專案竊取原始碼、竄改程式碼建議並顯示給其他用戶，甚至還可以洩露機密資訊，或是零時差漏洞。</p> <p>研究人員也對於攻擊者如何利用漏洞提出說明，首先，攻擊者可在GitLab專案當中，於合併請求的敘述及註解、提交的訊息、問題（Issue）的敘述及註解，或是原始碼等處埋入提示內容。</p> <p>為了避免這些提示被資安系統察覺意圖，研究人員透過Unicode挾帶（Unicode Smuggling）、Base16演算法、KaTeX渲染手法來達到目的。而這麼做還能讓使用者無法在網站上看到相關提示，但Duo卻會在生成建議的時候存取。</p> <p>而這些提示的內容，包含了操縱Duo程式碼建議（例如下達指示於輸出結果納入惡意JavaScript套件）、在Duo回應加入惡意URL，以誘騙開發人員存取假的登入網頁，或是說服Duo惡意合併請求其實是安全的，從而誤導審查人員。</p> <p>一旦使用者向Duo提出問題，此AI助理就會運用攻擊者埋藏的提示，從而導致原始碼洩露。研究人員指出，由於Duo取得的權限與受害者相同，而能夠存取受害者的私人程式碼，若攻擊者再要求Duo進行特定的合併請求，Duo 就可能根據攻擊者提示的內容，此時Duo Chat輸出就會存在弱點，而能用於HTML注入。</p> </div></div></div>
2025/5/27 15:47作者周峻佑https://www.ithome.com.tw/news/169196
Fintech周報第266期：日本最大銀行三菱UFJ開始用GenAI生成大型主機PL/I程式碼，提升開發效率
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; background-color: rgb(247, 247, 247);"><strong style="font-weight: bold;"><span style="font-size: 18px;"><span style="color: rgb(139, 69, 19);">5/19-5/23金融科技精選新聞</span></span></strong></h3> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; background-color: rgb(247, 247, 247);"><strong style="font-weight: bold;"><span style="font-size: 16px; color: rgb(0, 0, 205);">#GenAI</span></strong><strong style="font-size: 16px; font-weight: bold;"><span style="color: rgb(0, 0, 205);"> #三菱UFJ銀行</span></strong></h3> <h3>日本最大銀行三菱UFJ開始用GenAI生成大型主機PL/I程式碼，提升開發效率</h3> <p>日本三菱UFJ銀行近日宣布，要開始在核心系統現代化計畫中，運用GenAI來生成PL/I程式碼，提升計畫的開發效率。除了要推動核心系統現代化，他們也要推動「現代化開發」計畫。</p> <p>日本三菱UFJ銀行表示，他們近幾年積極推動核心系統架構現代化，在持續使用大型主機的同時，將部分功能模組從大型主機遷移至開放式、容器化架構的現代化系統，要讓銀行核心系統以混和式的架構運作。為了實現這套架構，他們打造了一個橫跨大型主機和現代化系統的混和開發平臺，並預計今年開始在這套平臺上運用GenAI生成程式碼，實現現代化的開發。</p> <p>日本三菱UFJ銀行表示，他們希望透過導入GenAI，不僅能提高開發效率，還能減緩工程師在開發大型主機和現代化系統時的不適應，培養兼具兩種系統開發能力的IT人才。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; background-color: rgb(247, 247, 247);"><strong style="font-weight: bold;"><span style="font-size: 16px; color: rgb(0, 0, 205);">#金融上雲</span></strong><strong style="font-size: 16px; font-weight: bold;"><span style="color: rgb(0, 0, 205);"> #核心系統上雲</span></strong></h3> <h3>日本純網銀Sony銀行完成核心系統全面上雲</h3> <p>日本Sony旗下子公司Sony銀行近日宣布，他們已經完成核心系統上雲，並正式開始營運。這間在2001年成立的銀行，從2011年就啟動上雲計畫。2013年，Sony銀行開始逐步將內部系統遷移上雲。2019年底，Sony銀行百分之80系統已在雲端上運作。</p> <p>2021年，Sony銀行開始啟動核心系統遷移上雲計畫。他們改造了既有的核心系統，除了採用雲端原生架構設計，也特別加強微服務架構，確保系統能保證資料流通一致。完成核心系統上雲後，Sony銀行幾乎全數系統已在雲端上運作。Sony銀行執行長Keiji Minami表示，這次完成核心系統上雲對他們未來發展非常重要，因為他們建立了一個能和運用雲端服務的公司更方便合作的環境。Keiji Minami也表示，未來會進一步加強和Sony集團合作，提供更多web3產品和服務，實現無邊界數位銀行的目標。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; background-color: rgb(247, 247, 247);"><strong style="font-weight: bold;"><span style="font-size: 16px; color: rgb(0, 0, 205);">#GenAI</span></strong><strong style="font-size: 16px; font-weight: bold;"><span style="color: rgb(0, 0, 205);"> #玉山銀行</span></strong></h3> <h3>玉山銀行揭露兩大AI核心計畫，今年將推出超過10項GenAI應用</h3> <p>玉山銀行近日揭露兩項AI核心計畫，分別是打造AI Agent平臺，以及將圖分析技術嵌入現有防炸金流模型，提升防詐偵測準確度。</p> <p>針對AI Agent平臺，玉山銀行將透過單一對話介面整合多元專業代理人。玉山銀行科技長張智星表示，預計在今年推出超過10項GenAI應用服務。並且，他們也要發展玉山的AI Agent框架，用來支持GenAI應用快速發展。而AI 金融顧問助理將會是第一支透過這個框架開發出的應用服務。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; background-color: rgb(247, 247, 247);"><strong style="font-weight: bold;"><span style="font-size: 16px; color: rgb(0, 0, 205);">#GenAI</span></strong><strong style="font-size: 16px; font-weight: bold;"><span style="color: rgb(0, 0, 205);"> #國泰金控</span></strong></h3> <h3>國泰金控要靠自建金融知識LLM，打造臺灣首個金融AI Agent</h3> <p>國泰金控近日宣布，未來會聚焦發展AI Agent，要透過和Nvidia合作，打造臺灣首個金融AI Agent。為了強化AI Agent發展，國泰金控也調整了集團GenAI技術框架，在框架中新增了AI Agent模組。</p> <p>此外，國泰金控發表了一項臺灣金融知識LLM的實驗案。這個由國泰金控打造的臺灣金融知識LLM，未來也將作為金融AI Agent背後的核心大腦引擎，支援多元金融服務應用。</p> <p>國泰金控表示，模型訓練結果顯示，完成訓練後的模型可以通過授信證照考試，並維持繁體中文泛化理解能力。三種開源模型在完成預訓練和微調後，進階金融授信知識正確率都有近九成，甚至超過九成的正確率。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; background-color: rgb(247, 247, 247);"><strong style="font-weight: bold;"><span style="font-size: 16px; color: rgb(0, 0, 205);">#GenAI</span></strong><strong style="font-size: 16px; font-weight: bold;"><span style="color: rgb(0, 0, 205);"> #第一銀行</span></strong></h3> <h3>第一銀行公開最新GenAI行動方案GALA計畫，優先賦能員工素養，再聚焦兩大發展重點</h3> <p>第一銀行近日公開自家的GenAI策略布局，他們推動了一項名為Project GALA的行動方案，要推動生成式AI民主化、加速員工採用生成式AI。</p> <p>在Project GALA中，第一銀行定義了一個價值金字塔，用來評估、辨識各個GenAI應用案例的價值貢獻程度。這個價值金字塔共有四個層級，從金字塔最底層往上，分別是提升個人效率、創造集體智慧、改善部門流程，和推動業務創新。</p> <p>Project GALA其中一項推動事項，是要推動行銷資料上雲，這是第一銀行看重的GAI發揮場景。第一銀行的行銷資料上雲計畫分為三階段進行，他們已完成第一階段開放資料導入和建立GenAI實驗環境，目前正在建立混和雲和資料湖，最終目標是打造一個雲端AI的客戶資料平臺(CDP)，整合包括App、網站、LINE、EDM等接觸點。</p> <p>Project GALA的另一項推動事項，是要推動資安基礎設施上雲。目前，第一銀行正在測試導入SASE架構。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; background-color: rgb(247, 247, 247);"><strong style="font-weight: bold;"><span style="font-size: 16px; color: rgb(0, 0, 205);">#GenAI</span></strong><strong style="font-size: 16px; font-weight: bold;"><span style="color: rgb(0, 0, 205);"> #金融AI調查</span></strong></h3> <h3>金管會調查顯示，約16%金融業者已導入生成式AI</h3> <p>金管會近日公布今年度的金融業應用AI調查結果，383家金融機構及周邊單位中，已有61家業者導入生成式AI。調查顯示，臺灣金融業者應用生成式AI以內部行政作業與智能客服最為普遍，主要挑戰包含生成式AI產出內容不穩定或有誤、顧慮資料安全與隱私保護，並關切合規性問題。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; background-color: rgb(247, 247, 247);"><strong style="font-weight: bold;"><span style="font-size: 16px; color: rgb(0, 0, 205);">#GenAI</span></strong><strong style="font-size: 16px; font-weight: bold;"><span style="color: rgb(0, 0, 205);"> #西班牙對外銀行</span></strong></h3> <h3>西班牙第二大銀行BBVA在銀行App推財務教練，能分析用戶財務狀況並提供個人化建議</h3> <p>西班牙對外銀行近日宣布推出新版本銀行App，除了更新既有的虛擬助理，也新增財務教練，能分析用戶的財務狀況，包括對用戶的收入、支出、儲蓄和貸款進行初步評估，再提供具體的改善步驟。</p> <p>早在今年2月，西班牙對外銀行就在銀行App上線虛擬助理，這個助理透過LLM打造，能根據用戶的交易資訊和先前的互動，來回應用戶問題。並且，若用戶在和虛擬助理互動過程中，突然需要離開對話，虛擬助理也能維持原有的對話邏輯。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; background-color: rgb(247, 247, 247);"><strong style="font-weight: bold;"><span style="font-size: 16px; color: rgb(0, 0, 205);">#金管會</span></strong><strong style="font-size: 16px; font-weight: bold;"><span style="color: rgb(0, 0, 205);"> #虛擬資產保管</span></strong></h3> <h3>4銀行已申請虛擬資產保管業務、金管會6月再開放申請</h3> <p>金管會近日在例行記者會中，揭露虛擬資產保管業務試辦的申請近況。截至114年4月底，已有4家金融機構申請辦理虛擬資產保管業務主題式業務試辦，分別是凱基銀行、中國信託銀行、聯邦銀行、國泰世華銀行。目前尚有一間業者正在接受輔導，為台新銀行。另外，金管會創新處處長胡則華表示，考量許多金融機構仍有意參與虛擬資產業務試辦，將於今年6月15日再度開放受理申請案件。</p> <p>近日金融科技創新園區舉辦的活動中，上海商銀也針對虛擬資產保管業務試辦提出了相關規畫，例如以虛擬資產創新實驗室作為主題，透過在金融科技創新園區中建立企業實驗室，和新創業者合作推動虛擬資產保管實證案。上海商銀也在活動中表示，期望能在今年第三季中，完成虛擬資產保管的技術驗證。</p> <p>其他重要Fintech新聞：</p> <ul> <li>JPMorgan Chase和科技公司合作釋出開源量子程式庫</li> <li>永豐銀行啟用專屬短碼識別簡訊通知</li> </ul> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">責任編輯／李昀璇</span></p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">圖片來源</span><span style="font-family: 微軟正黑體, sans-serif; font-size: 18.6667px; background-color: rgb(247, 247, 247);">／</span>MUFG</p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; background-color: rgb(247, 247, 247);">資料來源：iThome整理，2025年5月</p> <p></p> </div></div></div>
2025/5/26 19:15作者李昀璇https://www.ithome.com.tw/news/169176
5,300臺網路設備遭殭屍網路綁架，中國駭客ViciousTrap利用未有修補程式的已知漏洞入侵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>提供中小企業及SOHO族使用的網路設備，即使廠商因生命週期結束（EOL）不再提供修補，用戶往往因為仍然能夠運作，並未汰換而是繼續使用，這樣的情況也變成駭客眼中的肥羊，且有越來越多設備遭到控制。</p> <p>例如，最近資安業者Sekoia對於追蹤思科路由器漏洞CVE-2023-20118的攻擊行動，<a href="https://blog.sekoia.io/vicioustrap-infiltrate-control-lure-turning-edge-devices-into-honeypots-en-masse/">揭露最新的發展</a>，他們原本在<a href="https://blog.sekoia.io/polaredge-unveiling-an-uncovered-iot-botnet/">今年1月底至2月上旬</a>，發現有人利用這項漏洞，綁架思科的小型路由器設備，組成殭屍網路PolarEdge，當時已有逾2千臺設備受害，如今研究人員發現，還有其他駭客組織也加入漏洞利用行列：中國駭客ViciousTrap已藉此綁架超過5千臺路由器，並在這些路由器植入Shell指令碼NetGhost，然後將流入的網路流量導向類似蜜罐陷阱（Honeypot）的基礎設施。</p> <p><a href="https://nvd.nist.gov/vuln/detail/cve-2023-20118">CVE-2023-20118</a>存在於思科小型企業路由器RV016、RV042、RV042G、RV082、RV320、RV325等6款機種的網頁管理介面，為遠端命令執行（RCE）漏洞，通過身分驗證的攻擊者能藉此遠端執行任意命令，CVSS風險評為6.5，屬中度風險。由於上述機種的生命週期已經結束，<a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-sbr042-multi-vuln-ej76Pke5">思科表明不會提供修補</a>，並強調沒有其他緩解措施，呼籲管理者停用特定連接埠與遠端管理功能，減輕漏洞造成的資安風險。值得留意的是，美國網路安全暨基礎設施安全局（CISA）今年3月證實此漏洞已被用於實際攻擊，<a href="https://www.cisa.gov/news-events/alerts/2025/03/03/cisa-adds-five-known-exploited-vulnerabilities-catalog">列入已遭利用的漏洞名單（KEV）</a>。</p> <p>但前述思科路由器並非駭客的唯一目標。Sekoia研究人員進一步對駭客的基礎設施調查，結果發現，他們也鎖定D-Link、Linksys、華碩、威聯通（QNAP），以及Araknis Networks等廠牌的網路設備。</p> <p>根據對於遭到駭客綁架的網路設備進行調查，研究人員認為這波攻擊的主要目標是亞洲，目的是廣泛透過能經由網際網路存取的設備，來建置蜜罐陷阱網路，從而收集尚未公開弱點或零時差漏洞，以便後續用於其他攻擊行動。此外，ViciousTrap入侵設備的管道，後續也可能被其他人重複利用。</p> <p>Sekoia最初於今年3月看到ViciousTrap利用CVE-2023-20118，一旦利用成功，就會使用ftpget下載bash指令碼並執行，下載專為MIPS系統打造的wget二進位程式。</p> <p>接著駭客再次利用相同的漏洞，透過剛才取得的wget接收另一個指令碼NetGhost。此指令碼在每次執行的時候都會建立受害設備的識別編號UUID，攻擊者疑似藉此建立列管受害設備的白名單，並從C2派送有效酬載。</p> <p>若是攻擊者成功啟動了NetGhost，此指令碼不僅會向C2伺服器發出通知，並透過iptables及特定連接埠重新導向流入的流量，清除原本指向攻擊者基礎設施的NAT規則，並加入新的重新導向規則，以及攻擊者監聽。最終NetGhost還會自我清除，避免留下作案痕跡。</p> <p>究竟ViciousTrap是否參與今年1月至2月的攻擊行動？目前仍不明朗，但Sekoia發現這些駭客於4月重複利用PolarEdge事故找到的Web Shell，由於要啟動該工具必須輸入密碼，不排除他們可能是Web Shell的開發團隊。</p> <p>針對這波攻擊活動的受害範圍，研究人員一共從84個國家當中，找到5,300臺受害設備，雖然駭客的主要鎖定標的是思科路由器，但他們提到NetGhost感染最嚴重的國家是澳門，有近850臺，原因卻是當地許多網路用戶使用D-Link的DIR-850L路由器，而成為駭客偏好下手的目標。</p> <p>值得留意的是，駭客重新導向的流量大多針對臺灣與美國，而中國並未遭到波及，這也加深Sekoia推測ViciousTrap來自中國的假設。附帶一提的是，這些駭客的基礎設施有部分與GobRAT相關，不過研究人員無法確認兩組人馬是否有所交集。</p> </div></div></div>
2025/5/27 12:44作者周峻佑https://www.ithome.com.tw/news/169195
OpenAI在韓國設立子公司
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據南韓媒體的報導，OpenAI周一（5/26）宣布在首爾創立了子公司。迄今OpenAI於全球已設立11個子公司，而首爾則是亞洲市場繼東京與新加坡之後的第三個子公司，值得一提的是，南韓的ChatGPT付費使用者數量僅次於美國市場。</p> <p><a href="https://www.koreaherald.com/article/10495708" target="_blank">韓國先驅報（Korea Herald）</a>引用OpenAI策略長Jason Kwon的說法，指出韓國提供了一個全棧式AI生態系統，從半導體到軟體，而且該國各個世代的人們都在日常生活中積極使用AI。</p> <p>OpenAI的統計顯示，韓國的ChatGPT每周活躍用戶數過去一年成長了4.5倍，不管是ChatGPT用戶數量，或是使用OpenAI API的開發者數量都在全球前十名。</p> <p>OpenAI本周只宣布成立子公司，但真正的辦事處要在數月後才會啟用。<a href="https://en.yna.co.kr/view/AEN20250526005300320" target="_blank">韓國聯合通訊社Yonhap報導</a>，在此之前，OpenAI便已與當地的網路公司Kakao、遊戲業者Krafton及電信業者SK Telecom合作AI技術及資料中心的開發。</p> <p>其它的OpenAI全球子公司還設在巴黎、倫敦、都柏林及布魯塞爾等。</p> </div></div></div>
2025/5/27 11:52作者陳曉莉https://www.ithome.com.tw/news/169192
GitHub MCP曝嚴重漏洞，惡意Issue可誘使AI代理外洩私有儲存庫資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>瑞士新創安全公司Invariant Labs<a href="https://invariantlabs.ai/blog/mcp-github-vulnerability">揭露</a>一項影響廣泛的嚴重資安漏洞，涉及目前社群積極推動並與GitHub平臺整合的MCP（Model Context Protocol）伺服器。該漏洞可使攻擊者僅透過在公開儲存庫建立特製的GitHub Issue，誘使人工智慧代理如Claude Desktop等現有支援MCP技術的人工智慧開發工具，在特定授權情境下，將用戶私有儲存庫中的敏感資料外洩至公開儲存庫。</p> <p>該漏洞的關鍵在於人工智慧代理在用戶授權後，會依照開發者對GitHub MCP伺服器的查詢，自動執行讀取指定儲存庫Issue、建立拉取請求等操作，而攻擊者只需在目標用戶的公開儲存庫新增具惡意提示詞注入的Issue，當用戶請求人工智慧代理檢視該儲存庫的公開Issue時，代理即可能受提示詞操控，在自動授權設定下擷取用戶帳號的私有儲存庫內容，最終將敏感資訊透過拉取請求等方式洩漏於公開儲存庫。</p> <p>此攻擊流程不仰賴複雜的權限提升或伺服器漏洞，而是利用MCP協定與代理授權的機制。人工智慧代理雖具用戶確認操作的安全設計，但部分用戶為提升操作效率，可能選擇總是允許等預設授權，讓代理可於無人監督下執行多項行動，進一步增加提示詞注入攻擊成功的機會。</p> <p>研究人員進一步說明，這類惡意代理流程漏洞，並非MCP本身的程式碼缺陷，也非傳統伺服器權限設定問題，而是生成式人工智慧代理工具與第三方平臺整合時，未妥善限制其跨儲存庫或跨權限操作的架構性問題。即使採用已加強對齊與安全訓練的先進人工智慧模型，在實驗場景下仍無法有效防範這類提示詞注入的複合攻擊。</p> <p>針對這類風險，研究人員建議組織與開發團隊在導入MCP等人工智慧代理技術時，應落實權限最小化原則，僅開放代理存取必要的儲存庫範圍。目前未有官方修補方案，且由於屬於架構設計層級的安全議題，現階段僅能透過額外的安全層或代理行為監控工具降低潛在風險。</p> </div></div></div>
2025/5/27 12:00作者李建興https://www.ithome.com.tw/news/169191
Glitch將關閉程式代管服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.glitch.com/post/changes-are-coming-to-glitch/" target="_blank">協作程式開發平臺Glitch上周宣布</a>，即將於7月8日關閉該專案的代管服務以及使用者個人資料，至於Glitch儀表板則可持續使用至今年底。外界認為這基本上是宣布要結束Glitch了。</p> <p>Glitch的前身為Fog Creek Software，創立於2000年，在打造出程式開發及部署平臺Glitch之後，於2018年更名為Glitch，接著在2022年賣給了美國雲端運算平臺Fastly。</p> <p>Glitch執行長Anil Dash表示，此次的決定有幾個原因，一是執行數百萬個程式需要花費大量的時間與金錢，然而，隨著平臺的老化以及惡意人士企圖濫用該平臺，更讓情況雪上加霜；此外，過去幾年他們也看到了許多令人讚嘆的新平臺，這些平臺提高了人們建置與執行應用程式的標準，如同十年前的Glitch。</p> <p>雖未明說，但上述言論等於表明了Glitch準備退出市場。</p> <p>目前Glitch已不再接受新的Glitch Pro訂閱，也會退款給既有Glitch Pro用戶，今年底前都仍可透過Glitch儀表板下載所有專案的程式碼，之後也將有一個新功能可將專案的子網域重新定向，確保網址能夠繼續運作。</p> </div></div></div>
2025/5/27 12:16作者陳曉莉https://www.ithome.com.tw/news/169193
OpenAI將Operator模型升級為具推理能力的o3
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://x.com/OpenAI/status/1925963018791178732" target="_blank">OpenAI本周宣布</a>將Operator代理人使用的模型，由GPT-4o升級為具推理思維能力的o3。</p> <p>Operator為ChatGPT的電腦使用代理人（Computer-Using Agent，CUA），為ChatGPT賦予看/讀、寫/打字、點擊或操作滑鼠的能力，使其能代用戶執行多種任務，包括上網搜尋、操作應用程式、甚至訂餐廳、訂外送或下單。Operator今年1月先提供給美國，<a href="https://www.ithome.com.tw/news/167523" target="_blank">之後又陸續推向</a>巴西、日、韓及新加坡等國，且持續擴大到全球。</p> <p>目前Operator維持為研究預覽（research preview）版，還是僅限月付200美元的Pro方案用戶使用。</p> <p>OpenAI在官方X帳號說明，Operator升級使用o3模型後，它和瀏覽器互動時將會更持續、更準確，以提高任務的成功率。回應內容上也會更清楚、全面、更有條理。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0527-OpenAI-Operator-o3.png" style="width: 550px;" /></p> <p><a href="https://help.openai.com/en/articles/10561834-operator-release-notes" target="_blank">根據OpenAI說明</a>，新版使用o3的Operator在OSWord和WebArena測試結果，都較原有（4o）的Operator表現更好，成為新的SOTA，而在不論標竿測試和人類偏好評估上，也都超越使用o4的Operator。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0527-OpenAI-Operator-o3-benchmark(2).png" style="width: 600px;" /></p> <p>其他AI業者也正在開發類似Operator的代理人，包括Hugging Face的<a href="http://www.ithome.com.tw/news/168790" target="_blank">Open Computer Agent</a>能查詢Google Maps或使用圖片生成模型，Google可理解影片、共享螢幕的<a href="https://blog.google/technology/google-deepmind/gemini-universal-ai-assistant/#live-capabilities" target="_blank">Project Astra</a>現在則整合到Google Live。<span style="font-size:14px;"><span style="color:#696969;">圖片來源／OpenAI</span></span></p> </div></div></div>
2025/5/27 10:42作者林妍溱https://www.ithome.com.tw/news/169180
研究人員相信Careto駭客組織背後是西班牙政府
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcrunch.com/2025/05/23/mysterious-hacking-group-careto-was-run-by-the-spanish-government-sources-say/" target="_blank">Techcrunch引述消息人員報導</a>，11年前一個被視為世界上最狡猾的駭客攻擊行動，其實背後行動者是西班牙政府。</p> <p><a href="https://www.ithome.com.tw/news/85145" target="_blank">2014年資安業者卡巴斯基發現</a>一樁進階滲透攻擊（Advanced Persistent Threat，APT）行動，鎖定政府機關和能源企業，包括外交辦公室、大使館、能源或石油企業，目的在竊取機密資料如文件、加密金鑰、VPN配置等。經過分析，研究人員將其稱為Careto或The Mask，這是因為他們在其程式碼中發現到Careto（西語中的面具之意）的字樣。</p> <p>Careto最早現身於2007年，到2013年之間是其第一波活動期，而在沈寂幾年後<a href="https://www.kaspersky.com/about/press-releases/careto-apt-resurfaced-after-10-years-with-new-malicious-frameworks" target="_blank">2019年又再次活躍</a>。在前一次活動期間，Careto即已能使用極為複雜的惡意程式、rootkit、bootkit，除了能夠攔截所有的通訊管道且蒐集重要資訊外，其惡意程式還能隱身、針對防毒產品執行客製化的攻擊。它的目標平臺從Mac OS X、Linux外，到Android與iOS。到了近年，Careto的能力更提升為多模，能用惡意程式偷錄麥克風聲音、竊取瀏覽器或WhatsApp cookies，或是取得感染機器的控制權。而Careto的受害者國家也遍布歐洲、拉丁美洲到北、中非，受害組織高達數百。</p> <p>卡巴斯基從未明指Careto的身份，但Techcrunch最新報導引述卡巴斯基至少4名前員工指出，Careto/The Mask背後主謀者是西班牙政府。一名前員工透露，線索之一是一名古巴政府員工是西國巴斯克地區恐怖主義ETA成員。<a href="https://media.kasperskycontenthub.com/wp-content/uploads/sites/43/2018/03/20133638/unveilingthemask_v1.0.pdf" target="_blank">根據卡巴斯基的調查</a>，其他受害者分布地區包括摩洛哥、巴西、英國屬地直布羅陀等地，也都是和西班牙有歷史新仇舊恨。</p> <p>卡巴斯基拒絕評論報導。</p> <p>駭客組織與政府資源有關連，甚至直屬政府單位，在全球都不是罕見，並非只有北韓和中國如此。例如，Equation Group據信屬於美國國安局（NSA），Lamberts為中情局（CIA）所有，而Animal Farm背後是法國政府。</p> </div></div></div>
2025/5/27 08:39作者林妍溱https://www.ithome.com.tw/news/169179
微軟開源Aurora AI模型跨域天氣預報，準確度全面超越傳統數值模擬方法
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟研究院<a href="https://news.microsoft.com/source/features/ai/microsofts-aurora-ai-foundation-model-goes-beyond-weather-forecasting/">宣布</a>開源Aurora AI基礎模型，該模型結合深度學習與大規模異質資料處理技術，除了能精確預報天氣，還可透過微調應用於海洋波浪及空氣品質等多種環境事件，推動氣象與地球系統科學的技術發展。</p> <p>根據微軟團隊發表於《Nature》期刊的論文，Aurora為大型人工智慧基礎模型，以超過一百萬小時來自衛星、雷達、氣象站及電腦模擬等多種來源的氣象與環境資料訓練而成。該模型不限於傳統天氣預報任務，其彈性架構可經有限微調，應用於颱風路徑預報、海浪高度及方向分析，甚至空氣污染事件預測。</p> <p>Aurora訓練所使用的資料規模，較多數同類人工智慧模型更為龐大，使其在不同預報任務能有效整合多元資料來源，例如在2023年杜蘇芮（Doksuri）颱風路徑預測，Aurora於事件發生前四天即能準確預測其將登陸菲律賓北部，當時美國聯合颱風警報中心（JTWC）則預測路徑較偏向臺灣附近。根據微軟研究團隊測試，Aurora於2022至2023年全球熱帶氣旋預報任務，軌跡預測表現於所有比較案例均優於七個主要氣象中心，這是機器學習模型首次在該領域全面超越傳統數值模式。</p> <p>除天氣與氣旋外，Aurora在海浪預報及空氣品質預測等複雜環境事件，同樣展現高度精確度。針對海浪預報，Aurora可捕捉細緻波浪結構變化，對於受颱風影響的極端海象能有更佳掌握。在空氣品質預測案例，儘管訓練階段未特別學習大氣化學反應，Aurora仍可透過少量空氣品質資料微調，有效預測沙塵暴等空氣污染事件，並大幅降低傳統方法的計算資源消耗。</p> <p>Aurora採用彈性的深度學習編碼器架構，能同時處理多源、結構多樣且維度複雜的資料，在推論階段可於數秒內產生中期氣象預報，速度約為傳統數值天氣預報系統的5,000倍，且運作成本明顯較低。研究團隊指出，Aurora每次微調作業僅需約4至8周即可完成，較傳統數值氣象模式開發周期大幅縮短。</p> <p>目前Aurora模型已整合至MSN Weather服務，並於Azure AI Foundry Labs上提供開發者試用及二次開發。微軟已釋出模型權重及部分原始碼，開發者可依需求進行微調，支援能源調度、農業風險預警、交通安全等多元應用。</p> </div></div></div>
2025/5/27 08:56作者李建興https://www.ithome.com.tw/news/169170
Dero惡意程式可自動感染公開Docker容器執行挖礦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Kaspersky<a href="https://securelist.com/dero-miner-infects-containers-through-docker-api/116546/">公開</a>新一波針對Docker API服務的自動化惡意程式攻擊，該攻擊以植入Dero加密貨幣挖礦程式為核心，專門鎖定存取權限管理不嚴的Docker容器環境，進行自動化散播及占用受害主機運算資源，最終形成具備自我擴散能力的挖礦僵屍網路。</p> <p>本次自動化攻擊流程主要仰賴兩支以Go語言撰寫，且經UPX壓縮的惡意程式，分別是名為「nginx」負責散播及持久化的元件，以及名為「cloud」的Dero加密貨幣挖礦程式。「nginx」並非一般網頁伺服器，而是假冒知名開源服務名稱以降低被偵測風險。</p> <p>「nginx」的主要功能包含持續監控自身與挖礦程式的運作狀態，還會主動掃描外部網路尋找可利用的Docker API，並將自身與挖礦程式植入新感染的容器。整個傳播過程無需依靠C2伺服器，攻擊完全仰賴感染主機的自動掃描與橫向擴散能力。</p> <p>攻擊者利用「nginx」程式隨機產生IPv4子網，並以掃描工具搜尋並鎖定開放Docker預設API埠口2375的主機。發現目標後，惡意程式會嘗試列出主機上的容器，當符合條件，便遠端新建以Ubuntu 18.04為基礎的惡意容器，並設為自動重啟以確保持續運作。新建容器將安裝必要相依工具，同時複製「nginx」與挖礦程式進入環境。為強化持久化，nginx會將自身啟動指令寫入/root/.bash_aliases，確保容器每次啟動時自動執行。</p> <p>除了新建容器，「nginx」也會檢查現有以Ubuntu 18.04為基礎且尚未感染的容器，並以相同方式植入惡意程式並啟動挖礦。這套自動化機制可在無須外部聯繫的情況，持續自我複製與擴散，任何未設防的Docker API都有可能成為僵屍網路的一部分。「cloud」挖礦程式則根據程式內預先寫入且經加密的設定，持續連接特定Dero礦池節點，利用受害主機的運算資源進行加密貨幣挖礦。</p> <p>該挖礦攻擊的一大特點，在於攻擊者採用加密方式儲存錢包地址及礦池節點資訊，進一步提升隱蔽性與調查難度。全球公開Docker API主機數量雖不多，但根據Shodan統計，2025年4月全球有超過520臺開放2375埠口的Docker API主機暴露於網際網路，皆為潛在受害目標。</p> </div></div></div>
2025/5/27 08:14作者李建興https://www.ithome.com.tw/news/169165
Google行銷年會宣布十多年來最大廣告競價技術更新，不靠關鍵字只靠語意觸發競價，也能用AI替廣告主競價冷門關鍵字廣告
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年行銷年會Google Marketing Live中，Google延續力推AI驅動廣告業務的策略，宣布許多用生成式AI和AI相關的功能。其中，包括近月備受廣告主矚目的AI Overviews等AI驅動搜尋相關做法和產品，以及他們稱為「10多年來最大廣告競價技術躍進」的AI搜尋廣告相關功能。</p> <p>AI之外的另一大焦點則是YouTube廣告相關新功能。聯網電視（CTV）是數位廣告業界當下最愛的新興行銷通路，Google近2至3年來亦不斷強調，許多家庭會在自家大螢幕上觀賞YouTube，因此也算高品質、高成效、高廣告費的CTV通路。今年，他們更強調自家YouTube上的短影音Shorts，能觸及許多觀眾，是Tiktok、Meta等其他短影音通路所接觸不到。</p> <p><strong>AI類搜尋功能將新增更多廣告版位</strong></p> <p>首先，Google宣布將擴大經營AI類搜尋功能的廣告業務，包括以圖搜圖功能Google Lens、搜尋結果頁面的AI摘要功能AI Overviews，以及深度對話式搜尋功能AI Mode。他們表示，截至今年5月底，Lens已經有1千億次搜尋，其中有20%是具有購物意願的搜尋，蘊含龐大商機。去年，他們已經在Lens及行動版AI Overviews中加入廣告版位。</p> <p>今年，他們更拓展廣告版位到桌面端AI Overviews，並開始於AI Mode介面中置入廣告。Google表示，在AI Mode中，使用者通常會用更長的句子來搜尋，並持續與聊天機器人互動。從這些輸入中，系統可以更詳細了解使用者喜好與潛在購買意圖。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/gml%20aimodeads.png" style="width: 600px;" /></p> <p>對廣告主而言，這意味著有新的流量集散地，可以分配行銷預算。不過，對於希望導流到自家網站的網站主和SEO人員來說，Google把AI搜尋功能視為新營利手段，意味著0點擊（Zero-click）搜尋情況，也就是使用者搜尋完只看AI摘要，不點進網站的搜尋情境，將會持續加劇。</p> <p><strong>關鍵字廣告更加智慧化，可以靠AI自動競標冷門關鍵字，更能直接靠語意而非關鍵字來競標廣告</strong></p> <p>Google廣告商品線中最大宗的關鍵字搜尋廣告迎來重大更新。<a href="https://blog.google/products/ads-commerce/google-ai-max-for-search-campaigns/">5月初，Google才推出搜尋廣告業務中的AI工具AI Max for Search campaigns</a>。月底行銷年會上，他們又宣布在此工具推出兩大新功能。</p> <p>這兩大新功能，都可以與既有關鍵字競標模式Broad Match相比較。Broad Match運作方法是，當使用者搜尋與廣告主設定關鍵字語意相近的字詞時，就會觸發競標。例如，當使用者搜尋「健身教練推薦」，可能會出現關鍵字清單中含有「私人健身教練」的廣告。這是Google關鍵字廣告預設競標模式。</p> <p>如今，Google指出，隨著搜尋內容不再只是關鍵字，而是包含長語句、圖像，甚至互動式對話，行銷人員很難人工建立廣告活動或挑選關鍵字清單。AI Max的兩大新功能，正是分別根據語意和情境，進一步拓展自動替廣告主競標廣告的情境。</p> <p>首先是根據語意而非關鍵字來觸發競標的Keywordless Targeting。運作模式是，系統會從品牌的入口頁、現有廣告，甚至是關鍵字清單中學習，推測品牌銷售的內容以及應該在什麼情境下投放廣告。廣告主可以一鍵式選擇開啟此功能，直接套用於既有搜尋廣告上。</p> <p>舉例來說，假設今天有使用者搜尋「適合大家庭的電動SUV」，即便Volvo並未設定這組字詞為投放條件，AI Max系統仍能讓Volvo的廣告出現在搜尋結果頂部。不只如此，Google還強調，AI Max會結合使用者輸入字詞背後意圖，與品牌既有網站內容與創意素材中，來即時生成一個對應這組查詢、具備客製化文字的廣告文案。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/gml%20kwdtgt.png" style="width: 600px;" /></p> <p>第二個則是Google稱為十多年來最大競價技術躍進的Smart Bidding Exploration。此功能利用AI來根據品牌和商品相關情境，自動探索冷門關鍵詞來競標，以求在顧及行銷成效同時，壓低關鍵字競標的成本。</p> <p>相較於Broad Match是在關鍵詞語意相近時，觸發廣告競價，Smart Bidding Exploration選擇的關鍵字，甚至可能與廣告主預設關鍵字清單內容毫無關聯，而是AI根據商品情境判斷可能觸及潛在品牌受眾的關鍵字。此功能於<a href="https://www.ithome.com.tw/news/165907">去年11月開始測試版</a>，如今正式推出。</p> <p>另一個搜尋廣告相關更新是，Google開始在搜尋結果頁面及Google Shopping頁面中測試影片廣告。</p> <p>Google提醒，隨著搜尋形式更加多模態，如今SEO應該注重多媒體內容，在影片和圖片內容下功夫。尤其，Google近一年不斷嘗試呈現更多元化的搜尋結果形式，背後都需要從網站內容中自動提取多媒體素材來製作。</p> <p><strong>強調YouTube既有長處，升級新客獲取相關功能並翻新創作者合作平臺</strong></p> <p>Google強調，YouTube作為全球最大影音平臺，靠廣告來獲取品牌新客的效果尤其強大。今年，他們開始用更先進的模型，從全Google通路來分析使用者旅程，以強化辨認品牌潛在新客戶的能力。並且，在廣告投放後臺中，新增可以排除已認識特定品牌受眾的選項，來進一步增強獲取新客效果。</p> <p>他們也推出全通路品牌行銷成效追蹤功能。廣告主可以從後臺追蹤受眾於Google不同通路中，與自家品牌相關的行為。例如，在YouTube上看到有興趣的品牌廣告，再回到Google搜尋相關商品。</p> <p>另一個更新是在YouTube廣告中新增CTV的購物廣告格式。Google表示，如今許多YouTube觀眾會在家庭中的電視螢幕觀看影片，同時手中拿著手機。這類廣告支援觀眾直接透過廣告在CTV上購物，或是透過掃描QR Code，用手中的手機來購物。</p> <p>最後，他們翻新Creator Partnership Hub，廣告主可以搜尋與自家商品主題相關的YouTube創作者，並瀏覽創作者的行銷相關數據、合作價格等資訊。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/gml%20cph.png" style="width: 600px;" /></p> <p><strong>用生成式AI和代理式AI強化廣告後臺系統</strong></p> <p>Google Ads和Merchant Center將迎來多個GenAI和Agentic AI相關更新。</p> <p>第一大類是用GenAI協助行銷素材創作及行銷策略優化。</p> <p>Google宣布，Google Ads中推出Asset Studio，一個生成式AI素材創作及編輯平臺，利用Veo和Imagen等影音模型，可以進行圖文編輯、圖片轉影片、影音尺寸調整，以及用AI拓展動靜態影像的背景內容等功能。</p> <p>另外，未來在Google Ads跟Merchant Center裡面，可以根據品牌商品資料和時下趨勢來推薦行銷商品、文案、建議價格等細節，並讓廣告主一鍵執行後，追蹤、A/B測試的功能。Merchant Center中，則新增跨通路影片管理介面，其中有AI推薦影音行銷優化方向的功能。</p> <p>第二大類，則是可以根據當下情境及資料，更加主動提供廣告主協助的AI代理功能。</p> <p>首先是預計今年年底推出的Marketing Advisor。這是一個AI代理，在Chrome Browser中以一個聊天機器人視窗的形式呈現。此AI代理可以在行銷人員不同工作階段提供協助，還可以自動找到Google Ads不同設定上的錯誤，自動修正後追蹤、回報。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/gml%20mkadv.png" style="width: 600px;" /></p> <p>Google還宣布兩個沒有揭露預計推出時間的AI代理。在Google Ads，Google計畫推出可以主動建議廣告關鍵字、受種圈選方法、行銷素材選擇的AI代理；在Google Analytics，則要推出主動提供數據趨勢分析和洞察和製作報表的AI代理。</p> <p>今年年會中，Google還宣布推出Commerce Media Suite，讓零售業者可以利用自家第一手資料和品牌合作投放廣告。Google沒有詳細介紹此功能，<a href="https://www.ithome.com.tw/news/161920">但與去年開始在Search Ads 360測試的功能類似。</a>另外，Google Ads跟Google各種行銷平臺的行銷資料API整合成一個Data Manager API，讓MarTech廠商及廣告主從不同資料來源存取行銷相關資料時更容易。</p> <p></p> </div></div></div>
2025/5/26 21:58作者郭又華https://www.ithome.com.tw/news/169178
【資安日報】5月26日，歐美大國攜手執法，3天內破壞7個Botnet
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一年前歐洲刑警組織Europol協調十多個國家的執法機構，展開終局行動Operation Endgame，破壞5款被用於散布惡意程式的殭屍網路病毒，現在歐洲刑警組織採取第二波行動，受到外界的高度關注。</p> <p>這次的Operation Endgame 2.0針對7款殭屍網路而來，其中特別受到注意的是，Qakbot曾在2023年就被圍勦，但駭客改變手法持續犯案，這次美國起訴了其首腦，並沒收2,400萬美元不法所得。</p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169153"><strong style="font-size: 22px;">思科修補ISE、CUIC的阻斷服務及權限提升漏洞</strong></a></p> <p>思科5月21日釋出安全更新，修補影響2項產品的3項漏洞。</p> <p>漏洞之一位於身分驗證服務（Cisco Identity Services Engine，ISE）RADIUS訊息處理功能CVE-2025-20152。它出於對RADIUS呼叫訊息處理不當，攻擊者可傳送特定驗證呼叫，給使用思科ISE軟體的網路裝置進行驗證、授權和計費（Authentication, Authorization and Accounting，AAA）來濫用該漏洞。成功濫用可導致引發阻斷服務（Denial of Service，DoS）攻擊，讓思科ISE不斷重新載入而無法運作，CVSS風險值達8.6分。</p> <p>另外兩項漏洞是CVE-2025-20113及CVE-2025-20114，影響思科統合智能中心（Unified Intelligence Center，CUIC），此為思科客服中心套件的Web報告平臺。其中CVE-2025-20113是出於該產品API呼叫、或HTTP呼叫的使用者參數的伺服器端驗證不足。攻擊者可傳送假造的API或HTTP呼叫，到CUIC系統濫用漏洞；CVE-2025-20114則是出於UIC對API呼叫參數的驗證不足，讓攻擊者可傳送API呼叫濫用，以執行直接物件參照攻擊，結果是水平權限擴充，攻擊者得以存取裝置上不同用戶的資料，風險值為7.1、4.3。</p> <p><a href="https://www.ithome.com.tw/news/169156"><strong style="font-size: 22px;">Node.js程式庫Samlify存在近滿分重大漏洞，攻擊者可輕易冒充管理員身分</strong></a></p> <p>受廣泛採用的Node.js SAML單一登入（SSO）程式庫Samlify，存在重大層級的資安漏洞CVE-2025-47949，可使攻擊者繞過身分驗證，冒充高權限管理員帳號。資安公司Endor Labs研究人員提到，該漏洞允許未經授權的第三方利用簽章驗證機制的弱點，偽造SAML回應並取得包括管理員在內任何用戶身分。</p> <p>研究人員指出Samlify於2.10.0版本之前，在XML簽章驗證機制上存在簽章包裝（Signature Wrapping）攻擊風險。攻擊者可利用合法簽署的SAML XML文件，在原有內容插入惡意SAML斷言（Assertion），並藉由程式庫解析邏輯缺陷，規避加密驗證流程。伺服器端就可能誤接受未經簽章驗證的身分資訊，導致攻擊者可偽裝成任意用戶，包含系統管理員，登入目標應用或服務。</p> <p>Samlify長期作為Node.js生態系內簡化SAML 2.0實作的重要程式庫，藉由高階API設計，供開發者簡單串接身分辨識與存取管理流程，被廣泛用於企業、雲端供應商及開發工具。根據NPM統計，Samlify每周下載量超過20萬次，且有超過60個開源專案直接相依。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/google-chrome-update-8-security-fixes-including-high-severity-flaw/">Google發布Chrome 137，修補高風險記憶體使用後再存取利用漏洞</a></strong></p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/05/vicioustrap-uses-cisco-flaw-to-build.html">思科小型路由器遭鎖定，駭客ViciousTrap利用已知漏洞入侵</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/stealthy-skimmer-new-formjacking-malware-targets-woocommerce-checkouts/">表單挾持軟體Stealthy Skimmer鎖定WooCommerce電商網站而來</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/05/hackers-use-fake-vpn-and-browser-nsis.html">惡意軟體Winos 4.0透過冒牌VPN和瀏覽器安裝程式散布</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/rhadamanthys-stealer-returns-copyright-phishing-targets-europe/">竊資軟體Rhadamanthys捲土重來，假借社群網站內容侵權散布</a></strong></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169158"><strong style="font-size: 22px;">歐洲刑警組織大執法！3天破壞7個Botnet，查封300臺伺服器、650個網域</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/endgame-image3_4.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/endgame-image3_4.jpg" style="width: 300px; float: right;" /></a>去年5月歐洲刑警組織Europol聯手美國、英國等十多個國家的執法機構進行執法行動Operation Endgame，對於多款殭屍網路Bumblebee、IcedID、Pikabot、Smokeloader、Trickbot查封伺服器及相關網域，重創駭客利用這些殭屍網路病毒散布各式惡意軟體的現象，如今這些執法單位採取第二波行動，並公布成果。</p> <p>5月23日歐洲刑警組織Europol宣布，他們與歐洲司法組織Eurojust，以及加拿大、丹麥、法國、德國、荷蘭、英國、美國的執法機關聯手，從事執法行動Operation Endgame 2.0，自5月19日至22日，這些執法單位一共查封約300臺伺服器、封鎖650個網域，並對20名嫌犯發布全球通輯令，查獲350萬歐元加密貨幣不法所得，使得累計查獲贓款達到了2,120萬歐元。</p> <p>而這次他們主要的執法目標，聚焦在駭客用來取得初始入侵管道，並導致受害組織被植入勒索軟體的惡意程式，包含Bumblebee、DanaBot、Hijackloader、Lactrodectus、Qakbot（QBot）、Trickbot，以及Warmcookie。另一方面，美國司法部（DOJ）也根據上述執法行動，起訴從事Qakbot、DanaBot相關的網路罪犯。</p> <p><a href="https://www.ithome.com.tw/news/168969"><strong style="font-size: 22px;">【臺灣資安大會直擊】國家級APT駭客族群如何濫用生成式AI？</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（主圖）臺灣資安大會Christopher B Porter_國家級APT_攝影羅正漢.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E4%B8%BB%E5%9C%96%EF%BC%89%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E5%A4%A7%E6%9C%83Christopher%20B%20Porter_%E5%9C%8B%E5%AE%B6%E7%B4%9AAPT_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 300px; float: right;" /></a></p> <p>在今年臺灣資安大會上，生成式AI與資安的議題無疑是最大焦點，例如，來自Google Cloud國際資安合作的專家Christopher B. Porter，他剖析了攻擊者運用生成式AI技術來助長其惡意行徑的態勢，然而，當焦點轉向更具組織性與戰略性的國家級進階持續性威脅（APT）行動者時，這些國家級APT駭客族群又是怎麼做？同樣是資安防禦者需要深入探討的議題。</p> <p>針對這樣的議題，Christopher有更深入的說明，他們多年來持續追蹤許多國家級駭客組織的動向，如今已觀察到，這些國家級APT攻擊者也試圖使用Google的生成式AI服務Gemini，作為提升犯罪效率的一項工具，來幫助他們進行網路攻擊。</p> <p><a href="https://www.ithome.com.tw/news/168709"><strong style="font-size: 22px;">【臺灣資安大會直擊】先下手為強的另一種資安左移策略！掌握可能遭攻擊的先機</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/PD-IR2.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/PD-IR2.jpg" style="width: 300px; float: right;" /></a></p> <p>除了積極鞏固防線，盡可能不要犯錯，以免增加入侵者的可乘之機，許多人可能也會想到能否反擊？使對方更不敢輕易越雷池一步！但也擔心因此激怒對方而發起更劇烈、更難以招架的報復行動，而得不償失。過往我們知道的資安反制手段是欺敵（Deception），設下陷阱進行誘捕，進而獲得主動防禦能力，自由資安顧問PD Lee在2025臺灣資安大會也針對這項議題進行探討，他說明一種更進階、危險性也更高的作法，稱之為「逆襲中繼站」，PD Lee也透過實務操作的經驗，為大家提供不同的防守思路。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169105"><strong style="font-size: 22px;">預防Windows 11 Recall截圖影響用戶隱私及資安，即時通訊軟體Signal提供預設阻擋機制</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/recall-warning.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/recall-warning.png" style="width: 300px; float: right;" /></a>微軟<a href="https://www.ithome.com.tw/news/162988">去年5月</a>宣布將為Copilot+ PC提供<a href="https://www.ithome.com.tw/tags/recall">回顧（Recall）</a>的新功能，協助使用者從曾經瀏覽過的網頁、簡報、電子郵件，或是即時通訊軟體的對話內容，快速找到所需資訊，由於此功能仰賴持續收集用戶的使用過程內容，<a href="https://www.ithome.com.tw/news/163045">隨即就引發外界的隱私安全疑慮</a>，使得微軟決定暫緩推出，直到最近才<a href="https://www.ithome.com.tw/news/168628">再度重新提供</a>。但即便微軟強化此AI功能的安全，還是有開發團隊不買單，決定為應用程式導入新的防護措施因應。</p> <p>5月21日Signal基金會宣布，他們對於在Windows 11平臺執行的電腦版Signal，預設啟用螢幕安全功能，阻擋微軟Recall自動截圖聊天內容，提升用戶隱私保護。這項調整的主要原因，在於Recall於今年5月隨Copilot+ PC重新預覽上線後，各界對其存取敏感資訊與資訊安全的疑慮，仍舊存在。</p> <p>Signal表示，根據現行微軟的政策，應用程式無法主動阻擋Recall擷取畫面，僅能採用DRM等既有技術因應，呼籲微軟應提供更多開發者工具，以維護用戶隱私。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169135"><strong>【5月23日】新版Windows伺服器作業系統dMSA服務帳號的遷移流程可被濫用而惹議</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169114"><strong>【5月22日】VMware修補旗下多款平臺的資安漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169076"><strong>【5月21日】韓國電信業者SK Telecom事故最新調查出爐，駭客在網路環境活動近3年</strong></a></p> </div></div></div>
2025/5/26 16:46作者周峻佑https://www.ithome.com.tw/news/169160
Kotlin跨平臺開發再簡化，Android Studio新增Android與iOS共享模組範本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在自家整合開發環境Android Studio新增<a href="https://android-developers.googleblog.com/2025/05/kotlin-multiplatform-shared-module-templates.html">KMP（Kotlin Multiplatform）共享模組範本</a>，供開發者更簡單地以現有Android專案，建立可共用於Android與iOS的業務邏輯模組，進一步降低導入KMP的技術門檻，提升跨平臺專案維護與開發效率。</p> <p>KMP共享模組範本已整合進Android Studio，開發者僅需在現有專案中選擇新增模組，即可透過新範本建立同時適用於Android與iOS的共用業務邏輯，省去以往需手動設定多平臺架構、同步維護多套程式碼的繁複流程。新範本支援多項KMP相容Jetpack函式庫，例如Room、SQLite與DataStore。</p> <p>KMP推出以來，由於其單一語言、單一程式碼庫覆蓋多平臺應用的特性，逐漸受到開發社群關注。尤其在行動應用開發領域，KMP允許開發者將核心業務邏輯抽取為共用模組，分別在Android與iOS應用中呼叫，大幅減少重複程式碼與維護負擔。而過去要導入KMP至既有Android專案，常需調整專案結構與整合額外技術，還需深入理解各平臺編譯與建置流程，成為不少團隊採用KMP的挑戰。</p> <p>現在官方新增的共享模組範本，Android開發團隊可更迅速於現有專案中建立KMP模組，並將共用邏輯逐步搬遷至共享架構，無須中斷既有應用的開發與維護。根據Google官方說明，此舉簡化了雙平臺共用邏輯的導入工作，也有助於Android團隊主導跨平臺業務邏輯的設計與調整，降低錯誤發生機率，並提升同步更新功能的效率。</p> <p>Google目前已於Google文件iOS平臺採用KMP實作共用邏輯，依據官方說明，效能表現已達原生程式碼水準。KMP生態系也持續擴大，JetBrains收錄於klibs.io的KMP函式庫已超過1,500個，涵蓋資料存取、網路通訊、加密與UI元件等類型，使開發者在KMP專案可直接導入現成函式庫，加快專案建置。</p> </div></div></div>
2025/5/26 16:49作者李建興https://www.ithome.com.tw/news/169159
歐洲刑警組織大執法！3天破壞7個Botnet，查封300臺伺服器、650個網域
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年5月歐洲刑警組織Europol聯手美國、英國等十多個國家的執法機構進行<a href="https://www.ithome.com.tw/news/163217">執法行動Operation Endgame</a>，對於多款殭屍網路Bumblebee、IcedID、Pikabot、Smokeloader、Trickbot查封伺服器及相關網域，重創駭客利用這些殭屍網路病毒散布各式惡意軟體的現象，如今<a href="https://www.europol.europa.eu/media-press/newsroom/news/operation-endgame-strikes-again-ransomware-kill-chain-broken-its-source">這些執法單位採取第二波行動</a>，並公布成果。</p> <p>5月23日歐洲刑警組織Europol宣布，他們與歐洲司法組織Eurojust，以及加拿大、丹麥、法國、德國、荷蘭、英國、美國的執法機關聯手，從事執法行動Operation Endgame 2.0，自5月19日至22日，這些執法單位一共查封約300臺伺服器、封鎖650個網域，並對20名嫌犯發布全球通輯令，查獲350萬歐元加密貨幣不法所得，使得累計查獲贓款達到了2,120萬歐元。</p> <p>而這次他們主要的執法目標，聚焦在駭客用來取得初始入侵管道，並導致受害組織被植入勒索軟體的惡意程式，包含Bumblebee、DanaBot、Hijackloader、Lactrodectus、Qakbot（QBot）、Trickbot，以及Warmcookie。</p> <p>另一方面，美國司法部也根據上述執法行動，<a href="https://www.justice.gov/usao-cdca/pr/16-defendants-federally-charged-connection-danabot-malware-scheme-infected-computers">起訴16名俄羅斯駭客</a>，指控他們開發、散布DanaBot，導致全球30萬臺電腦受害，並助長網路詐欺及勒索軟體攻擊。對於這些駭客造成的損害，美國司法部估計至少有5千萬美元。</p> <p>此惡意程式主要以租用服務（Malware-as-a-Service）提供給網路罪犯，被用於散布勒索軟體與其他惡意軟體。但美國司法部指出，DanaBot還有另一個版本，被用於針對軍事、外交、政府的相關組織下手，進行竊取機密的活動，一旦遭到感染，該惡意程式會記錄所有與受害電腦的互動過程，並將所有竊得的資料傳逃到特定的伺服器，受害者包含北美及歐洲的外交官、執法人員、軍人。</p> <p>在起訴書中，美國司法部提及其中1名嫌犯Artem Aleksandrovich Kalinkin，此人現年34歲，使用Onix的代號，被指控共謀未經授權存取受害電腦，得以取得電腦存放的資訊、以欺騙的方式得到未經授權存取電腦的管道，以及隨意破壞受到保護的電腦。假若所有罪名都成立，Artem Aleksandrovich Kalinkin將有可能面臨最高72年的刑期。</p> </div></div></div>
2025/5/26 15:16作者周峻佑https://www.ithome.com.tw/news/169158
VS Code官方新PostgreSQL擴充功能整合Copilot，輔助撰寫與最佳化SQL查詢
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟於VS Code推出全新<a href="https://techcommunity.microsoft.com/blog/adforpostgresql/announcing-a-new-ide-for-postgresql-in-vs-code-from-microsoft/4414648">PostgreSQL擴充功能預覽版</a>，讓開發者能在熟悉的編輯器環境，直接管理PostgreSQL資料庫，並結合人工智慧助理，提升SQL查詢撰寫效率與資料庫開發體驗。該擴充功能整合資料庫物件（Object）瀏覽、查詢編輯、智慧提示與雲端身分驗證，支援在VS Code內快速連線、管理與最佳化本地端及雲端的PostgreSQL資料庫。</p> <p>微軟發表的PostgreSQL擴充功能，強調整合GitHub Copilot人工智慧輔助功能。開發者可於VS Code直接呼叫@pgsql代理，利用自然語言查詢、重寫與最佳化SQL指令，或透過智慧提示功能，快速找到查詢瓶頸、分析執行計畫，並依人工智慧建議進行效能調校。</p> <p>除人工智慧協助外，該擴充功能亦強調資料庫連線與物件管理等基本功能。VS Code使用者現可在單一介面內建立、瀏覽及修改PostgreSQL各類資料庫物件，包括資料表、索引、函式及觸發器。透過Object Explorer，開發者能清楚檢視資料結構，並於介面上直接新增、刪除或修改，不需要再仰賴外部管理工具或命令列，減少工具切換與重複登入等繁瑣步驟。</p> <p>PostgreSQL擴充功能支援Entra ID身分驗證，開發者可透過公司帳號直接登入Azure Database for PostgreSQL雲端資料庫，無需額外管理密碼。此功能僅適用於Azure雲端服務，並不支援本地端或Docker容器內的PostgreSQL。擴充功能也提供多組連線設定，便於管理本地、雲端或Docker容器中的資料庫。</p> <p>在查詢撰寫與除錯部分，VS Code內建的IntelliSense智慧提示可協助自動完成SQL語法、顯示資料表與欄位建議，提升撰寫效率。開發者輸入SQL語句時，系統會自動顯示可用資料表、欄位及函式建議，查詢結果與執行歷史則可於編輯器下方直接查閱，方便重複利用常用指令或比對多次查詢結果。結合Copilot人工智慧助理的查詢重寫、解釋與效能分析功能，使複雜查詢的撰寫與調校更為直覺，有助於減少錯誤並提升效能。</p> <p>目前這項PostgreSQL擴充功能已於VS Code擴充市集開放預覽，開發者可搜尋PostgreSQL並安裝官方藍色大象圖標的預覽版本。如要啟用人工智慧協助，必須同時安裝GitHub Copilot及Copilot Chat擴充功能並登入GitHub帳號，便可在VS Code中以自然語言操作資料庫，進行查詢、結構調整與效能最佳化。</p> </div></div></div>
2025/5/26 15:20作者李建興https://www.ithome.com.tw/news/169157
Node.js函式庫Samlify存在近滿分重大漏洞，攻擊者可輕易冒充管理員身分
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>受廣泛採用的Node.js SAML單一登入（SSO）函式庫Samlify，被<a href="https://www.endorlabs.com/learn/cve-2025-47949-reveals-flaw-in-samlify-that-opens-door-to-saml-single-sign-on-bypass">揭露</a>存在一項高嚴重性資安漏洞CVE-2025-47949，可使攻擊者繞過身分驗證，冒充高權限管理員帳號。資安公司Endor Labs研究人員提到，該漏洞允許未經授權的第三方利用簽章驗證機制的弱點，偽造SAML回應並取得任意用戶身分，包括管理員。</p> <p>研究人員公開<a href="https://www.cve.org/CVERecord?id=CVE-2025-47949">CVE-2025-47949</a>相關細節，指出Samlify於2.10.0版本之前，在XML簽章驗證機制上存在簽章包裝（Signature Wrapping）攻擊風險。攻擊者可利用合法簽署的SAML XML文件，在原有內容插入惡意SAML斷言（Assertion），並藉由函式庫解析邏輯缺陷，規避加密驗證流程。伺服器端就可能誤接受未經簽章驗證的身分資訊，導致攻擊者可偽裝成任意用戶，包含系統管理員，登入目標應用或服務。</p> <p>Samlify長期作為Node.js生態系內簡化SAML 2.0實作的重要函式庫，藉由高階API設計，供開發者簡單串接身分辨識與存取管理流程，被廣泛用於企業、雲端供應商及開發工具。根據NPM統計，Samlify每周下載量超過20萬次，且有超過60個開源專案直接相依。</p> <p>本次CVE-2025-47949被歸類於CWE-347不正確驗證加密簽章。在實際攻擊流程中，攻擊者需先取得由身分提供者簽署的XML文件，而這種情境在實務中具備可行性，例如透過用戶端或網路層流量攔截，或自公開來源取得簽署檔案。</p> <p>在取得簽章檔案後，攻擊者即可將偽造的斷言內容嵌入原始XML，再利用函式庫於簽章驗證流程中的弱點，令系統誤判偽造身分資訊為有效認證。此漏洞利用門檻低，不需事先取得系統權限或與用戶互動，只要熟悉SAML流程即可執行。</p> <p>針對此漏洞，Samlify官方已於2.10.0版本修正，強化簽章與斷言對應關係的檢查，阻擋簽章包裝攻擊。建議所有Samlify用戶應立即升級至2.10.0或以上版本，並檢查現有SAML單一登入整合情境，確保所有身分提供者與服務供應商之間的通訊，均採用加密連線並遵循資安最佳實務，以降低相關風險。</p> </div></div></div>
2025/5/26 12:30作者李建興https://www.ithome.com.tw/news/169156
【資安週報】0519~0523，韓國電信SKT揭露已遭滲透將近3年，發現25種類型惡意軟體、23臺伺服器受害
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>回顧2025年5月第四星期的資安新聞中，有兩起資安事故的後續消息是大家關切的焦點，分別是上個月19日韓國電信傳出2千萬用戶USIM資料外洩，以及上個月20日臺灣高科技設備製造商發布資安事件重訊。</p> <p>韓國電信業者SK Telecom在資安事故發生後，一個月後他們揭露清查完3萬臺Linux伺服器，發現最早Web Shell被植入是3年前，共找出BPFDoor等25種類型惡意軟體與23臺受害伺服器。</p> <p>臺灣CoWoS設備製造商萬潤科技遭攻擊，後續有更多情資浮上檯面，有勒索軟體駭客組織Bert聲稱是他們犯下惡行，並揚言握有5 TB內部資料以勒索，萬潤科技5月18日以澄清媒體報導方式在重訊中申明駭客竊取資料未涉機密。</p> <p>在最新威脅態勢上，有兩大焦點，一是攻擊者劫持企業雲端資源被遺忘的DNS記錄，濫用企業子網域來偽冒，一是假冒生成式AI服務提供圖片與影片檔下載，實際是雙重副檔名等伎倆偽裝的執行檔。<br /> ●資安業者Infoblox揭露，駭客組織Hazy Hawk藉由DNS錯誤配置來挾持知名企業組織的網域，並透過惡意流量導向系統TDS，將受害者導向惡意網站。<br /> ●資安業者Check Point發現，駭客建立Kling AI（可靈AI）影片生成工具假冒網站，生成後提供下載的是偽冒.jpg或.mp4的執行檔，可啟動惡意程式載入器。<br /> ●資安業者Aikido、Veracode揭露新惡意NPM套件攻擊，是利用Unicode字元來藏匿惡意程式碼，並濫用Google行事曆event邀請的短網址來達到目的。</p> <p style="margin: 0px;">在漏洞攻擊態勢上，Ivanti漏洞被鎖定的狀況最受關注，上星期他們修補旗下端點管理平臺EPMM兩個零時差漏洞（CVE-2025-4427、CVE-2025-4428），通報的CERT-EU表示漏洞已遭利用，後續再有更多攻擊事故消息傳出。</p> <p>例如，威脅情報業者EclecticIQ指出，在漏洞修補消息公開後，發現中國駭客組織UNC5221鎖定這兩項漏洞發動攻擊，攻擊目標涵蓋歐洲、北美、亞太地區，意圖竊取與中國政府利益有關的機敏資料；接著資安業者Wiz也揭露有攻擊者串連上述漏洞，用於竊取MySQL資料庫內容、散布滲透測試工具Sliver，以及上傳Web Shell或是反向Shell。</p> <p>還有2個同樣是新獲知的漏洞攻擊情形，攸關數位看板內容管理系統（CMR）與電子郵件伺服器，目前攻擊者身分仍然未知。<br /> ●Samsung修補MagicINFO零時差漏洞CVE-2025-4632，資安業者Arctic Wolf指出修補前已遭利用，臺灣連鎖餐飲業如麥當勞等亦使用此CMR，需注意更新。<br /> ●MDaemon Email Server在2024年修補的漏洞CVE-2024-11182，ESET最新揭露俄羅斯駭客APT28攻擊行動，指出該漏洞2023年就被用於零時差漏洞攻擊。</p> <p>此外，先前一項已知遭利用的漏洞，有後續消息，今年2月揭露Trimble資產管理系統Cityworks存在零時差漏洞（CVE-2025-0994）已遭利用，思科最新研究報告揭露攻擊者身分，指出當時是中國駭客組織UAT-6382所為，美國地方政府網路環境被入侵，攻擊者使用TetraLoader、VShell等惡意工具。</p> <p>在資安防禦動向上，有兩大重要消息，首先是Pwn2Own Berlin 2025在德國首都柏林舉行，目的是為了及早發現未知潛在漏洞，有多家科技大廠提供產品項目與漏洞挖掘獎金，讓資安研究人員展現其研究與發現，本次共找出28個零時差漏洞，涵蓋虛擬化的VMware ESXi、Oracle VirtualBox等8大類型產品。</p> <p>其次是Docker宣布推出以預設安全（Secure by default）為核心的容器映像檔，稱之為DHI安全映像檔，強調大幅減少攻擊面，僅保留應用執行所需的最小相依元件，且具有自動化持續修補更新機制。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/169032"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月19日】惡意NPM套件為藏匿攻擊意圖，濫用Unicode字元、Google行事曆</span></strong></a></h3> <p>駭客針對使用NPM套件的開發人員發動攻擊的情況，每個禮拜幾乎都有數起攻擊行動傳出，但最近有一起攻擊行動相當特別，引起兩家資安業者不約而同調查此事。</p> <p>資安業者Aikido、Veracode揭露從3月出現的惡意套件os-info-checker-es6，而駭客真正的意圖，直到5月上旬的改版，才加入相關的惡意程式碼，使得開發人員的電腦，透過特定的Google行事曆活動邀請連結，下載惡意酬載。</p> <h3><a href="https://www.ithome.com.tw/news/169054"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月20日】Pwn2Own競賽首度成功找出VMware ESXi零時差漏洞</span></strong></a></h3> <p>由趨勢科技旗下漏洞懸賞專案Zero Day Initiative（ZDI）舉行的漏洞挖掘競賽Pwn2Own，上週末於德國柏林舉辦，從賽事的組別而言，本次新增了AI項目，參賽者找到的零時差漏洞，有四分之一為此類，足見這項領域的重要性。</p> <p>但除此之外，這次參賽者的重點得分項目，不少來自VMware ESXi的資安漏洞，其中一個漏洞為參賽隊伍提供多達15個積分、15萬美元獎金。</p> <p><a href="https://www.ithome.com.tw/news/169076"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月21日】韓國電信業者SK Telecom事故最新調查出爐，駭客在網路環境活動近3年</span></strong></a></p> <p>上個月韓國電信龍頭SK Telecom（SKT）證實遭駭的情況引起外界高度關切，該公司後續更進一步提供用戶免費更換SIM卡，突顯這起事故帶來的影響，可能在不斷擴大。最近他們公布新的調查結果，引起外界高度關注。</p> <p>SKT透露有近2,700萬個門號受到影響，並指出這起攻擊行動，最早可追溯到3年前，但究竟駭客何時將資料偷走，仍有待後續釐清。</p> <h3><a href="https://www.ithome.com.tw/news/169114"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月22日】VMware修補旗下多款平臺的資安漏洞</span></strong></a></h3> <p>VMware近期發布兩則資安公告，針對虛擬化平臺、混合雲平臺發布修補程式，這次總共修補7項漏洞，有4項是較為危險的高風險漏洞，而引起注意。</p> <p>比較值得留意的是，其中3項高風險漏洞皆與VMware Cloud Foundation有關，而且有部分漏洞只要能透過特定的連結埠存取就能觸發，因此IT人員要儘速採取行動。</p> <h3><a href="https://www.ithome.com.tw/news/169135"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月23日】新版Windows伺服器作業系統dMSA服務帳號的遷移流程可被濫用而惹議</span></strong></a></h3> <p>為了防堵Kerberoasting攻擊，微軟在<a href="https://www.ithome.com.tw/news/165850">去年底推出的Windows Server 2025</a>當中，導入新型態的「委派控管服務帳號（Delegated Managed Service Account，dMSA）」，標榜能提升原有的服務帳號安全。但資安業者Akamai指出，dMSA遷移過程可被利用，攻擊者有機會藉此提升權限。</p> <p>值得留意的是，目前微軟尚未修補這項弱點，因此Akamai呼籲IT人員，必須採取積極的防禦措施來防範相關風險。</p> <p> </p> </div></div></div>
2025/5/25 10:40作者羅正漢https://www.ithome.com.tw/news/169145
OpenAI Deep Research也可以搜尋Box、Dropbox檔案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI ChatGPT的Deep Research代理人現在除了網頁外，也能搜尋及讀取雲端硬碟Dropbox及Box的檔案來完成研究報告。</p> <p><a href="https://x.com/gdb/status/1926710519903158486" target="_blank">一名用戶首先發現</a>ChatGPT對話框下方的「source」選項，多了Dropbox和Box，加入GitHub和微軟SharePoint的行列。除了預設的網頁搜尋外，其他資料源都必須由用戶手動連結，才能完成Deep Research的設定。「設定」頁中也提供類似選擇，其他可供用戶連結的資料源，還包括微軟OneDrive中的Word、Excel、PowerPoint等。</p> <p>Deep Research是ChatGPT的代理人，在用戶詢問特定問題後，它會進行多步驟反覆搜尋以改進回應答案的品質，最後生成報告。在2月份以來開放Pro、Team、Plus方案用戶使用後，OpenAI 4月連同<a href="https://www.ithome.com.tw/news/168600" target="_blank">輕量版Deep Research功能</a>，將其開放給免費版用戶。</p> <p>不過免費版ChatGPT的Deep Research不僅一個月僅可使用5次，也未開放網頁以外的資料源選擇。</p> </div></div></div>
2025/5/26 10:33作者林妍溱https://www.ithome.com.tw/news/169155