iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 13篇
近 24 小時: 28篇
近 7 天: 138篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/11
最近更新: 11/11 11:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 138 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社3筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

xAI打算同時透過要約收購、融資及債券發行來籌資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ft.com/content/703e93f1-28bf-4890-8c9c-141bf81dd206" target="_blank">英國金融時報（Financial Times，FT）周二（6/3）引述消息來源報導</a>，馬斯克（Elon Musk）旗下的AI新創xAI準備進行公開收購要約（Tender Offer），允許員工出售價值3億美元的xAI股票，接著還會展開更大規模的融資，出售新股票予外部投資者<a href="https://www.bloomberg.com/news/articles/2025-06-02/musk-s-xai-launches-5-billion-debt-sale-through-morgan-stanley?embedded-checkout=true" target="_blank">；同一天彭博社（Bloomberg）則說</a>，xAI已委託摩根史坦利（Morgan Stanley）發行50億美元的債券，於本周一（6/2）正式啟動，截止日期為6月17日。</p> <p>根據FT的報導，讓現有xAI員工出售股份的要約收購，是以1,130億美元的估計來計算，這是<a href="https://www.ithome.com.tw/news/168140" target="_blank">xAI收購X社交平臺</a>之後的合併價值。</p> <p>而且除了要約收購之外，xAI也計畫要進行規模更大的融資活動，向外部股東提供新股權，惟規模不明。</p> <p>另一方面，彭博社則報導，摩根史坦利正在以兩位數的利率替xAI融資，規模為50億美元，資金將用於一般公司用途，而且外界有興趣投資的金額已超過35億美元。</p> <p>市場分析指出，允許員工轉讓股票將有助於員工或早期投資者變現，有助於留住人才；發行新股進行融資可增加資本並支持公司的高速擴張與估值；而債券發行則能在不稀釋股權的前提下取得資金，屬於一種策略性的資本布局，得以保持資金的彈性與多元性。</p> <p>不過，不管是xAI或摩根史坦利都尚未針對相關報導作出評論。</p> </div></div></div>
2025/6/3 11:17作者陳曉莉https://www.ithome.com.tw/news/169321
蘋果傳下一代macOS將命名為Tahoe、所有OS版本統一
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果開發者大會WWDC 2025將在下周一（6/9）登場，<a href="https://www.bloomberg.com/news/newsletters/2025-06-01/apple-s-wwdc-2025-plan-macos-tahoe-apple-intelligence-ai-ios-26-games-app-mbdlzqpz" target="_blank">彭博報導</a>，下一代macOS將命名為Tahoe，且版本將由現行macOS 15直升26。</p> <p>報導指出，下一代macOS命名仍沿襲使用加州地名。從macOS 10開始，蘋果分別使用過Yosemite、El Capitan、Sierra、High Sierra、Mojave、Catalina、Big Sur、Monterey、Ventura、Sonoma和Sequoia等名稱。</p> <p>最新的Tahoe來自北加州著名度假勝地太浩湖（Lake Tahoe）。報導指出，太浩湖以倒映周遭風景的湛藍湖水聞名，命名Tahoe是暗喻下一代macOS全新設計「玻璃」質感的使用者介面，以及半透明的視窗、按鍵和圖示視覺元素。</p> <p>此外，<a href="https://www.bloomberg.com/news/articles/2025-05-28/apple-to-rebrand-device-operating-systems-ios-26-macos-26-watchos-26" target="_blank">彭博上周報導</a>，蘋果計畫改變各平臺OS版本不一致的現狀，像是現行OS名稱各為iOS/iPadOS/tvOS 18、macOS 15、watchOS 11、visionOS 2。在WWDC上，不論是macOS、iOS正式名稱都將改為26版，而非先前市場猜測的macOS 16或iOS 19。</p> <p>報導指出，macOS 26 Tahoe將只支援MacBook Pro 2019、M1-based MacBook Air、iMac 2020、Mac Pro 2019、M1-based Mac mini及其以後機種，以及Mac Studio全系列。這意謂舊版Mac電腦將無法執行Tahoe。</p> </div></div></div>
2025/6/3 09:46作者林妍溱https://www.ithome.com.tw/news/169319
合規改善不符要求，Chrome將從8月起停止預設信任中華電信TLS新憑證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在公開論壇中宣布Chrome瀏覽器預設信任將祭出新的措施，考量到兩家CA業者中華電信及Netlock合規改善未符要求，可靠性信心下降，將從Chrome 139開始，移除對中華電信今年8月之後核發的新TLS憑證的信任，至於7月31日及之前的憑證則不受影響。Chrome瀏覽器信任政策祭出處罰，引發外界對中華電信及其受委託發行憑證的信心危機，對此，中華電信對Google的新措施表達遺憾，並說明原因為未在Goole要求時限內改善，重申所發行的憑證安全無虞，並已完成調整，將爭取明年回復Chrome瀏覽器信任。</p> <p><a href="https://security.googleblog.com/2025/05/sustaining-digital-certificate-security-chrome-root-store-changes.html">根據Google在安全部落格的說明</a>，依據Chrome根憑證計畫政策，Chrome root store中的CA憑證授權單位必需為Chrome使用者提供價值大於其帶來的風險，其他考量的因素包括CA擁有者揭露、回應事件，當發生問題時，Google期望CA擁有者承諾進行有意義且可被證明的改善。</p> <p>Google指出，CA為網站與瀏覽器間的加密連線提供支援，在網路上扮演受信任的角色，因此必需遵守安全共識及合規的要求，包括CA/Browser論壇的TLS標準合規要求，從過去一年或幾個月觀察到，兩家CA授權單位合規性不達標，且承諾改進未符合要求，對於公開披露的事件報告缺乏實際且可被衡量的作為，可靠性信心下降，侵害到CA業者因公眾信任而在Chrome瀏覽器預設信任的信心，為確保Chrome使用者的安全及Chrome root store完整性而採取新措施。</p> <p>從Chrome 139及後續版本開始，TLS伺服器憑證驗證，其最早的SCT(Signed Certificate Timestamp)日期為2025年7月31日晚上11:59:59 UTC之後，將預設不再被信任。至於TLS伺服器驗證憑證，最早SCT在2025年7月31日晚上11:59:59 UTC或之前，則不受影響。</p> <p>新措施在8月實施後，影響包括Windows、macOS、ChromeOS、Android、Linux平臺上的Chrome 139及後續版本，Chrome將無法瀏覽採用兩家CA新憑證的網站，至於iOS平臺方面，因為Apple政策的限制，iOS 版Chrome瀏覽器不受影響。</p> <p>Google會依先前公布的Chrome功能，基於SCT時間來刪除瀏覽器對憑證的預設信任，以降低對訂閱者的干擾。但是，Chrome使用者和企業可透過明確信任憑證的設定，覆寫上述基於SCT的限制，使憑證仍能正常運作。</p> <p>為降低新的Chrome憑證預設信任政策影響，Google建議網站維運單位可以瀏覽器憑證檢視器先一步確認網站是否受影響，Google建議受影響的網站維運管理單位儘早遷移其他受信任的CA核發的憑證。此外，從Chrome 128開始新增命令列，允許使用者模型SCTNotAfter的不信任限制效果。</p> <p><span style="color:#B22222;"><strong>中華電信表達遺憾，爭取回復Chrome預設信任</strong></span></p> <p>對於Google新的Chrome瀏覽器將從8月起不再信任中華電信核發的新TLS憑證，中華電信也立即發表聲明，對Google的新措施表達遺憾，該公司解釋Chrome 139之後版本刪除瀏覽器預設信任中華電信新憑證的原因是，部分程序未能在Chrome新政策要求時限內調整完成，儘管日前中華電信已完成調整且符合Chrome新政策的要求，Google仍決定先移除Chrome預設信任，移除的原因並非因為憑證有漏洞或私鑰洩漏，仍會爭取回復預設信任，預計於2026年3月完成。</p> <p>中華電信並未詳細說明中間的過程，僅說明受影響的憑證為2025年7月31日之後發行的新憑證，7月31日之前發行的憑證不受影響，影響的是Chrome瀏覽器，微軟等其他瀏覽器則未受影響。</p> <p>該公司也強調中華電信及受委託營運的公開服務的憑證管理中心，符合電子簽章法規範，且通過WebTrust for CA及ISO 27001，提供的數位簽章具法律效力，請使用者安心；另外，該公司也強調所簽發的憑證完全合法合規，在政府、金融、證券、數位簽章等領域維持正常使用，不受影響。</p> <p><strong>數發部：3月已提前因應，推動雙憑證機制改善政府網站使用穩定性</strong></p> <p>對於中華電信的TLS憑證將被移除Chrome瀏覽器預設信任，數發部也在周一晚間發出新聞稿，指在今年3月已掌握情資，提前準備因應，在今年3月起啟動政府網站雙憑證機制，採用符合公開信任根憑證標準的本地憑證機構所簽發的憑證，確保當特定憑證被瀏覽器移除預設信任，仍可以替代的憑證運作，使政府機關網站在各瀏覽器均能正常瀏覽，政府公共服務的穩定度及可信度。</p> <p>數發部指出，因Chrome的信任政策調整是針對2025年8月1日後的新憑證，因此政府TLS憑證中心(GTLSCA)先前發的網站憑證，在1年效期內仍可正常使用，並未受到此次調整的影響。</p> <p>至於可能受到影響的公務機關網站，數發部提供技術支援、作業指引，輔導機關完成系統設定及相容性測試，以避免不同機關間的技術落差，致使公共服務無法使用，引發外界的誤會，影響對政府數位治理的信任。</p> </div></div></div>
2025/6/3 06:15作者蘇文彬https://www.ithome.com.tw/news/169318
【資安日報】6月2日，新型態瀏覽器中間人攻擊手法濫用全螢幕隱匿意圖
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客架設遠端瀏覽器來發動瀏覽器中間人攻擊（Browser in the Middle，BitM），藉由在使用者存取網路應用程式的過程裡，不知不覺地挾持用戶的帳號，但如今有研究人員揭露改良版的攻擊手法，使用者恐更難察覺。</p> <p>資安業者SquareX指出，一般的BitM攻擊有機會從網址列察覺，但若是攻擊者搭配瀏覽器全螢幕瀏覽的API，就更有機會騙過使用者而得逞。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169287"><strong style="font-size: 22px;">研究人員揭露新的Browser in the Middle攻擊竊密手法，Chrome、Edge、Safari都曝險</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/0_igAqDT1eHXmtZRHG.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0_igAqDT1eHXmtZRHG.png" style="width: 300px; float: right;" /></a>資安業者SquareX揭露新的Browser in the Middle（BitM）攻擊手法，可讓駭客暗中竊取用戶帳密或其他資料，主要瀏覽器Chrome、Edge、Safari的用戶，皆可能受害。</p> <p>研究人員指出，過往的BitM存在破綻，那就是會在瀏覽器顯示惡意網址，若是攻擊者搭配全螢幕顯示的API，就有可能隱藏網址列，降低惡意網址被察覺的機會。由於現行的API並未指定觸發全螢幕顯示的方法，假若攻擊者在冒牌登入視窗加入按鍵，並在按鍵加入觸發全螢幕API的功能，一旦使用者按下按鈕，瀏覽器就會進入全螢幕模式，而能讓攻擊者隱藏BitM活動。</p> <p>這種手法對於大部分的瀏覽器都可能造成影響，其中，Safari用戶的風險最高，原因是該瀏覽器觸發全螢幕的過程，完全不會顯示相關訊息。至於Chrome、Edge等以Chromium為基礎的瀏覽器（以及Firefox瀏覽器）雖然會出現警示訊息，但大約只會維持數秒，若是攻擊者再搭配深色背景，就可能會被使用者忽略。</p> <p><a href="https://www.ithome.com.tw/news/169292"><strong style="font-size: 22px;">時尚業者Victoria’s Secret遭遇網路攻擊，網站一度離線</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Victoria-s-secret-website.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Victoria-s-secret-website.png" style="width: 300px; float: right;" /></a></p> <p>從4月底至5月上旬，英國多家零售業者瑪莎百貨（Marks & Spencer，M&S）、連鎖超市Co-op、精品百貨公司哈洛德（Harrods）接連傳出遭到網路攻擊，如今這種針對零售業的攻擊行動，也針對流行時尚品牌而來。</p> <p>根據Bleeping Computer、Dark Reading、HackRead、SecurityAffairs等多家媒體報導，5月29日美國女性內衣品牌維多利亞的秘密（Victoria's Secret）網站出現服務中斷的情況，該公司在網站表示遭遇資安事故，正著手確認及採取因應措施，為了防範事態擴大，他們暫時將網站離線，以及暫停部分網路商店服務。至於維多利亞的秘密與Pink的實體門市，仍會持續營業並提供相關服務。</p> <p>對於資安事故的性質、影響的範圍，以及是否有資料外洩的情況，維多利亞的秘密並未進一步說明。有客戶在社群網站X抱怨，28日該公司網站已關閉2天，她無法查詢訂單，打客服電話也無人回應。</p> <p><a href="https://www.ithome.com.tw/news/169308"><strong style="font-size: 22px;">資安業者SentinelOne驚傳營運中斷，波及MDR代管及威脅情資接收</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/feb3dda7c173035c.jpeg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/feb3dda7c173035c.jpeg" style="width: 300px; float: right;" /></a></p> <p>根據新聞網站BankInfoSecurity的報導，世界協調時間（UTC）5月29日下午2時資安業者SentinelOne傳出多項服務出現中斷的情況，許多IT人員於社交網站Reddit反映此事，當時追蹤此事的資安專家Kevin Beaumont指出，除了該公司的網站之外，端點防護、XDR、雲端防護、身分識別、威脅情資、弱點管理等10項服務，皆出現異常。</p> <p>大約事發6個小時後，SentinelOne證實服務中斷的情況，表示全球客戶都受到影響，他們正著手處理。SentinelOne指出，造成事故的原因在於，他們著手將正式系統過渡到新的雲端架構，此系統改採基礎設施即程式碼（Infrastructure-as-Code，IaC）的策略打造。誤刪路由發生在其中一個即將汰除的控制系統，當此系統觸發建立新帳號的事件引發軟體缺陷，導致此系統的組態比對功能出錯，覆寫原本建立的網路設定，引入了完全空白的路由表，導致後端的雲端服務連線異常，用戶也無法存取管理主控臺。</p> <p><a href="https://www.ithome.com.tw/news/169271"><strong style="font-size: 22px;">資料供應商LexisNexis資料外洩，影響逾36萬用戶</strong></a></p> <p>法律和商業資訊服務提供商LexisNexis通報，去年底36.5萬名用戶個資經由公司使用的GitHub外洩。</p> <p>LexisNexis向緬因州檢察長辦公室通報此事，並在5月中旬發信通知受影響的用戶。去年12月25日，未經授權人士從該公司使用的軟體開發平臺存取LexisNexis的一批資料，LexisNexis於2025年4月1日獲知此事，受影響人數達364,333位。經過調查，這批資料可能包含姓名、電話、住家或電子郵件信箱等聯絡資料、駕照、生日、社會安全號等。不過這批資料不含信用卡或財務資訊。</p> <p>LexisNexis向媒體BleepingComputer透露，此開發平臺為GitHub。這起事件中，LexisNexis本身系統並未遭存取。至於駭客如何從GitHub取得該公司，檔案，目前仍不清楚。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/cybercriminals-exploit-ai-hype-to-spread-ransomware-malware/">提供AI工具成駭客偏好誘餌，多款勒索軟體藉此管道散布</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/connectwise-breached-in-cyberattack-linked-to-nation-state-hackers/">軟體供應商ConnectWise遭遇網路攻擊，疑國家級駭客所為</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/threat-actor-tiktok-breach-428-million-records-sale/">抖音傳出資料外洩，駭客兜售逾4億筆記錄</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/chinese-phishing-service-haozi-criminal-profits/">中國網釣平臺「耗子」捲土重來，號稱買家無須寫程式碼就能犯案</a></strong></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/software/mozilla-releases-firefox-13901-update-to-fix-artifacts-on-nvidia-gpus/">Mozilla發布Firefox 139.0.1更新，修補Nvidia顯示晶片弱點</a></strong></p> <p></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169290"><strong style="font-size: 22px;">終局執法行動出現新進展，惡意軟體地下檢測服務AVCheck被查封</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/web_seizures.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/web_seizures.png" style="width: 300px; float: right;" /></a></p> <p>荷蘭警方及美國司法部（DOJ）日前宣布，已共同關閉了被駭客用來對抗防毒軟體的關鍵服務AVCheck。</p> <p>AVCheck是個專為網路犯罪份子設計的反防毒（Counter Antivirus，CAV）服務，提供惡意軟體開發者測試其程式是否能被主流防毒軟體偵測到。它允許註冊用戶上傳檔案，並在26種防毒引擎上進行掃描，還能檢查網域名稱或IP位址是否已被安全系統標記或封鎖。</p> <p>國際警方在5月27日接管AVCheck.net，關閉伺服器並扣押使用者資料庫。美國司法部表示，破獲AVCheck是執法行動Operation Endgame的一部分，此行動鎖定於瓦解惡意程式網路犯罪服務，上個月國際警方亦攜手破壞7個殭屍網路，查封300臺伺服器及650個網域。</p> <p><a href="https://www.ithome.com.tw/news/169291"><strong style="font-size: 22px;">美國制裁專門提供詐騙基礎設施的菲律賓公司Funnull</strong></a></p> <p>5月29日美國財政部外國資產控制辦公室（OFAC）宣布制裁總部位於菲律賓的Funnull公司，以及管理Funnull的中國公民Liu Lizhi。原因是Funnull提供基礎設施給數十萬個專門從事虛擬貨幣詐騙的網站使用。其中，美國受害者估計損失超過2億美元。</p> <p>Funnull向AWS或Azure等主要雲端服務供應商購買大量IP位址，再將這些資源轉售給網路犯罪集團。Funnull使用網域生成演算法來快速生成大量的網域名稱，還提供網站設計範本，協助詐騙者快速建立看似合法的投資平臺，以提高詐騙的可信度。</p> <p>根據FBI的調查，自2023年10月至2025年4月，Funnull設定了548組網站別名（CNAME），它們被應用在全球超過33.2萬個獨立的網域名稱中。這些使用Funnull基礎設施的網域，常會在同一天或相近時間內集體更換IP位址，展現出一致且自動化的操作模式。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169261"><strong>【5月29日】未及時修補已知漏洞釀禍，大量華碩路由器遭殭屍網路AyySSHush綁架</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169238"><strong>【5月28日】新興駭客針對歐美國家下手，為俄羅斯政府從事網路間諜活動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169199"><strong>【5月27日】駭客於臺灣等70個國家挾持逾2千臺伺服器架設殭屍網路</strong></a></p> </div></div></div>
2025/6/2 17:22作者周峻佑https://www.ithome.com.tw/news/169309
資安業者SentinelOne驚傳營運中斷，波及MDR代管及威脅情資接收
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年<a href="https://www.ithome.com.tw/news/164030">7月19日</a>CrowdStrike的EDR系統更新出錯，導致不少用戶反映Windows電腦出現當機的現象，當天凌晨微軟也發生服務停擺的狀況，據傳也與CrowdStrike有關。<a href="https://www.ithome.com.tw/article/164883">此次事故引發全球IT大當機的現象</a>，影響醫療、航空服務、媒體、鐵路運輸、緊急救護的運作，後續該公司還獲頒<a href="https://www.ithome.com.tw/news/164446">Pwnie Awards史詩級失敗獎項</a>。因此，資安業者提供的服務一旦出現異常，很容易引起用戶高度關注，質疑自己是否因此曝露在缺乏相關防護的資安風險。</p> <p>根據<a href="https://www.bankinfosecurity.com/cybersecurity-firm-sentinelone-suffers-major-outage-a-28554">新聞網站BankInfoSecurity的報導</a>，世界協調時間（UTC）5月29日下午2時資安業者SentinelOne傳出多項服務出現中斷的情況，許多IT人員於社交網站Reddit反映此事，當時<a href="https://cyberplace.social/@GossiTheDog/114591691458338569">追蹤此事的資安專家Kevin Beaumont指出</a>，除了該公司的網站之外，端點防護、XDR、雲端防護、身分識別、威脅情資、弱點管理等10項服務，<a href="https://cyberplace.social/@GossiTheDog/114592137126208094">皆出現異常</a>。</p> <p>大約事發6個小時後，<a href="https://www.sentinelone.com/blog/update-on-may-29-outage/">SentinelOne證實服務中斷的情況</a>，表示全球客戶都受到影響，他們正著手處理。而對於這起事故的影響範圍，該公司指出，端點防護用戶仍受到保護，但代管事件回應服務將無法監控相關動態，威脅資料的報告將會延遲，但並未遺失。</p> <p>究竟這起事故發生的原因為何？SentinelOne表示是內部自動化作業出錯造成，而非資安事故。</p> <p>後續該公司更新部落格文章進一步說明整起事故的發生經過，他們指出，大約在1時37分，基礎架構控制系統的軟體缺陷觸發了自動化功能，移除關鍵網路的路由釀禍，後續於1時55分開始接獲客戶的通報。</p> <p>SentinelOne指出，造成事故的原因在於，他們著手將正式系統過渡到新的雲端架構，此系統改採基礎設施即程式碼（Infrastructure-as-Code，IaC）的策略打造。誤刪路由發生在其中一個即將汰除的控制系統，當此系統觸發建立新帳號的事件引發軟體缺陷，導致此系統的組態比對功能出錯，覆寫原本建立的網路設定，引入了完全空白的路由表。</p> <p>該公司於世界標準時間29日晚間7時41分恢復用戶的主控臺運作，並表示將持續確認所有服務是否正常運作。30日上午10時，所有的服務完全恢復正常，該公司亦確認威脅偵測與回應服務能正常運作。</p> </div></div></div>
2025/6/2 17:08作者周峻佑https://www.ithome.com.tw/news/169308
行政院將設AI公務人才發展辦公室，加速公部門AI人才培育
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>政府推動智慧國家2.0，包括將大力推動公部門的AI人才培育工作，行政院人事行政總處及數發部將共同成立「AI公務人才發展辦公室」，以任務編組的方式，跨部協調及資源整合，推動公部門的AI人才教育。</p> <p>行政院在去年6月就核定通過人事行政總處提出的「提升行政院公務人員人工智慧知能實施計畫」，在該計畫中，跨部會合作培育公部門AI人才，例如人事行政總處去年即針對政府中高階、一般業務人才推廣AI課程，加強中央及地方政府的公務人員的AI知能發展及應用，數發部則推動公部門資訊及資安人才；公部門以外，教育部培養學校的AI人才，經濟部則培養產業的AI人才，以及產業AI化、AI產業化，國科會則負責AI相關科研計畫，培養研究人才。</p> <p>行政院人事行政總處公務人力發展學院副院長廖英掌表示，為達成公務機關AI人才養成有基層、中階、高階3個目標，在基層希望達成的目標是提升行政效能，其次在中階方面提供創新公共服務，而在高階方面希望達到優化政府治理。由上而下推動共識，由下而上推動應用，以推動公部門的AI創新應用，透過公部門的AI導入，帶動AI百工百業的發展。</p> <p>在公務機關的高階管理人才方面，廖英掌指出，包括部會首長、副首長，二級機關司處長、三級機關首長、副首長，推動AI治理共識，2024年7月至10月之間，已有4個場次、共611人受訓；在中階人才方面，推動科長級以上AI發想及推動機關應用的種子人才，發想政府公共機關的AI應用；在基階人才方面，透過數位學習、實體課程培訓，推廣基層及各階級公務人員的AI知能提升，其中數位課程已達到約46萬人次選讀，實體課程已舉辦98班期，超過4千8百人結訓。</p> <p>除了數位學習及實體學習課程之外，人事行政總處希望的公部門AI人才培育策略是，建立社群，促進交流，並且建構環境，以催生AI應用，建立人才養成的生態系。今年總統盃黑客松競賽將會設立公部門AI創新應用的特別獎項，「希望激發公部門的AI應用發想，並希望透過公私協力，達成加速催生政府機關AI應用落地，廣發英雄帖」，廖英掌說。</p> <p>展望今年2025年，國科會補助計畫「114年AI政府領航人才發展計畫」，今年內將由人事行政總處及數發部共同設立跨部會的「AI公務人才發展辦公室」，就培訓體系建立、AI人才儲備、充實學習資源、應用場域規畫4個面向推動。</p> <p>廖英掌表示，2025年為先期規畫，2026年至2030年將會逐年落實（下圖，來源：人事行政總處），包括完備公部門AI學習地圖及建立能力認證體系、標準化教材，同時也會打造新的AI化學習平臺，建置AI應用展示場域，至於儲備AI人才方面，包括900人的AI種子人才、180人AI種子師資。臺灣也會參與國際獎項、國際會議，促進與國際的交流。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%96-600(20).jpg" style="width: 600px; height: 320px;" /></p> </div></div></div>
2025/6/2 17:37作者蘇文彬https://www.ithome.com.tw/news/169310
時尚業者Victoria’s Secret遭遇網路攻擊，網站一度離線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從4月底至5月上旬，英國多家零售業者瑪莎百貨（Marks & Spencer，M&S）、連鎖超市Co-op、精品百貨公司哈洛德（Harrods）<a href="https://www.ithome.com.tw/news/168799">接連傳出遭到網路攻擊</a>，如今這種針對零售業的攻擊行動，也針對流行時尚品牌而來。</p> <p>根據<a href="https://www.bleepingcomputer.com/news/security/victorias-secret-takes-down-website-after-security-incident/">Bleeping Computer</a>、<a href="https://www.darkreading.com/endpoint-security/victoria-secret-website-security-incident">Dark Reading</a>、<a href="https://hackread.com/victorias-secret-website-down-security-incident/">HackRead</a>、<a href="https://securityaffairs.com/178432/hacking/victorias-secrets-website-offline-following-a-cyberattack.html">SecurityAffairs</a>等多家媒體報導，5月29日美國女性內衣品牌維多利亞的秘密（Victoria's Secret）網站出現服務中斷的情況，該公司在網站表示遭遇資安事故，正著手確認及採取因應措施，為了防範事態擴大，他們暫時將網站離線，以及暫停部分網路商店服務。至於維多利亞的秘密與Pink的實體門市，仍會持續營業並提供相關服務。</p> <p>對於資安事故的性質、影響的範圍，以及是否有資料外洩的情況，維多利亞的秘密並未進一步說明。有客戶<a href="https://x.com/AnnaGriswold/status/1927436057798447342">在社群網站X抱怨</a>，28日該公司網站已關閉2天，她無法查詢訂單，打客服電話也無人回應。</p> <p>值得留意的是，前一段時間，恰巧有時尚精品業者傳出資料外洩事故。兩週前<a href="https://www.bleepingcomputer.com/news/security/fashion-giant-dior-discloses-cyberattack-warns-of-data-breach/">法國精品時尚品牌迪奧（Dior）傳出資安事故</a>，該公司韓國網站及中國門市客戶受到影響，根據媒體取得該公司寄送給客戶的簡訊通知，這起事故於5月7日察覺，外洩資料包含姓名、性別、手機號碼、電子郵件信箱、寄送地址、消費能力、購物喜好，但不含銀行帳號或信用卡等財務資訊。臺灣<a href="https://www.ftnn.com.tw/news/446751">有媒體指出</a>國內名媛貴婦、老闆收到簡訊通知，其中有人在收到通知不久後即接到詐騙電話。</p> </div></div></div>
2025/6/2 15:35作者周峻佑https://www.ithome.com.tw/news/169292
駭客利用vBulletin滿分漏洞來植入後門
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://karmainsecurity.com/dont-call-that-protected-method-vbulletin-rce" target="_blank">資安業者Karma(In)Security於5月23日揭露</a>兩個位於vBulletin的資安漏洞，同時釋出<a href="https://karmainsecurity.com/pocs/vBulletin-replaceAdTemplate-RCE.php?ref=blog.kevintel.com" target="_blank">概念性驗證攻擊程式</a>，另一資安研究人員<a href="https://blog.kevintel.com/vbulletin-replaceadtemplate-kev/" target="_blank">Ryan Dewhurst在5月26日便發現</a>駭客已開始嘗試攻擊他的誘捕系統（Honeypot），企圖植入後門。</p> <p>在2000年由Jelsoft以PHP程式語言所開發的vBulletin，是個商業化的網路論壇軟體套件，它在2007年出售給Internet Brands，一直是市場上最知名的論壇解決方案之一，透過Fofa搜尋可以找到網路上有超過2.6萬個公開的vBulletin論壇。</p> <p>資安業者所發現的兩個資安漏洞分別是CVE-2025-48827與CVE-2025-48828，其中，CVE-2025-48827是在系統運行於PHP 8.1或更新的環境時，允許未經授權的使用者可呼叫受保護的API控制器，換句話說，它讓駭客得以繞過身分驗證，直接存取各種API端點。該漏洞的CVSS風險評分為滿分（10）。</p> <p>至於CVE-2025-48828則允許駭客濫用模板條件（Template Conditionals），繞過系統安全檢查並執行任意PHP程式碼，其CVSS風險評分為9。這兩個漏洞波及vBulletin 5.0.0至5.7.5，以及vBulletin 6.0.0至 6.0.3。</p> <p>除了概念性驗證程式在23日就出爐之外，用來掃描相關漏洞的Nuclei模板亦於24日發布，因此，Dewhurst的誘捕系統在26日就發現攻擊行動也就不那麼令人意外了。</p> <p>不過，其實<a href="https://forum.vbulletin.com/forum/vbulletin-announcements/vbulletin-announcements_aa/4491049-security-patch-released-for-vbulletin-6-x-and-5-7-5！" target="_blank">Internet Brands早在去年4月就修補了這兩個漏洞</a>，只是它們一直到今年才被揭露與分配CVE漏洞編號，有按時修補的用戶應該不必擔心。</p> </div></div></div>
2025/6/2 16:49作者陳曉莉https://www.ithome.com.tw/news/169300
國際警方關閉被駭客用來對抗防毒軟體的AVCheck
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.politie.nl/en/news/2025/may/30/key-service-for-malware-developers-taken-offline.html" target="_blank">荷蘭警方</a>及<a href="https://www.justice.gov/usao-sdtx/pr/websites-selling-hacking-tools-cybercriminals-seized" target="_blank">美國司法部</a>（DOJ）日前宣布，已共同關閉了被駭客用來對抗防毒軟體的關鍵服務AVCheck。</p> <p>AVCheck是個專為網路犯罪份子設計的反防毒（Counter Antivirus，CAV）服務，提供惡意軟體開發者測試其程式是否能被主流防毒軟體偵測到。它允許註冊用戶上傳檔案，並在26種防毒引擎上進行掃描，還能檢查網域名稱或IP位址是否已被安全系統標記或封鎖。</p> <p>這類的CAV服務於網路犯罪生態系統中扮演重要角色，經常搭配加密（Crypting）服務使用。駭客會先利用加密服務對惡意程式進行加密或混淆處理，使其更難被偵測，再利用AVCheck測試其隱蔽性，確保可成功躲避防毒軟體的檢測。</p> <p>國際警方是在5月27日接管了AVCheck.net，宣稱是因為該平臺的管理人員犯了安全錯誤，而讓他們得以關閉AVCheck伺服器，扣押了使用者資料庫，內含使用者名稱、電子郵件位址及支付資訊等，正深入調查中。參與的國家包括美國、荷蘭、法國、德國、丹麥、烏克蘭及葡萄牙。</p> <p><a href="https://cybersecuritynews.com/authorities-dismantled-avcheck/" target="_blank">美國司法部表示</a>，破獲AVCheck只是Operation Endgame的一部分，此一行動鎖定於瓦解惡意程式網路犯罪服務，<a href="https://www.ithome.com.tw/news/169158" target="_blank">上個月國際警方亦攜手破壞</a>7個殭屍網路，查封300臺伺服器及650個網域。</p> </div></div></div>
2025/6/2 14:28作者陳曉莉https://www.ithome.com.tw/news/169290
美國制裁專門提供詐騙基礎設施的菲律賓公司Funnull
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://home.treasury.gov/news/press-releases/sb0149" target="_blank">美國財政部外國資產控制辦公室（OFAC）上周宣布</a>，已制裁總部位於菲律賓的Funnull公司，以及管理Funnull的中國公民Liu Lizhi。原因是Funnull提供了電腦基礎設施，以供數十萬個專門從事虛擬貨幣詐騙的網站使用。當中，檯面上的美國受害者總計損失超過2億美元。</p> <p><a href="https://www.fincen.gov/sites/default/files/shared/FinCEN_Alert_Pig_Butchering_FINAL_508c.pdf" target="_blank">美國財政部下轄的金融犯罪執法局（Financial Crimes Enforcement Network，FinCEN）2023年便曾警告殺豬騙局（Pig Butchering Scams）的存在</a>，相關詐騙案件是由東南亞的犯罪組織發動的，它們利用那些被強迫勞動的人，或是人口販賣的受害者，去聯繫全球的潛在受害者來展開詐騙。</p> <p>詐騙者利用虛構的身分，偽裝的關係，以及精心設計的故事情節來欺騙受害者，在建立關係之後，說服受害者投資加密貨幣，以竊取受害者的資產。這些加密貨幣投資網站看起來是合法的，然而，一旦受害者無法或不願意支付更多費用，詐騙者便可能忽然停止通訊，同時帶走受害者的所有投資。</p> <p>至於Funnull則是向AWS或Azure等主要雲端服務供應商購買大量IP位址，再將這些資源轉售給網路犯罪集團。Funnull使用網域生成演算法來快速生成大量的網域名稱，還提供網站設計範本，協助詐騙者快速建立看似合法的投資平臺，以提高詐騙的可信度。</p> <p><a href="https://www.ic3.gov/CSA/2025/250529.pdf" target="_blank">根據FBI的調查</a>，自2023年10月至2025年4月間，Funnull設定了548組網站別名（CNAME），它們被應用在全球超過33.2萬個獨立的網域名稱中。這些使用Funnull基礎設施的網域，常會在同一天或相近時間內集體更換IP位址，展現出一致且自動化的操作模式。</p> <p>此外，Funnull還在2024年購買了一個供網站開發者使用的開源程式碼庫，並修改其程式碼，以讓使用這些程式碼的合法網站在不知情的狀況下，將使用者導向詐騙或賭博網站。</p> <p>在遭到美國制裁後，Funnull與Liu Lizhi在美國境內或由美國人控制的所有資產都將被凍結；美國企業及公民亦不得與它們進行任何形式的交易；與Funnull有業務網路的外國實體也可能面臨美國的次級制裁；與Funnull有關的兩個加密貨幣位址也被列入禁止交易的制裁名單。</p> </div></div></div>
2025/6/2 14:42作者陳曉莉https://www.ithome.com.tw/news/169291
Anthropic公開運算電路追蹤工具推進語言模型可解釋性研究
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.anthropic.com/research/open-source-circuit-tracing" target="_blank">Anthropic正式開放其新一代運算電路追蹤（Circuit Tracing）工具</a>，供研究人員剖析大型語言模型的內部運作邏輯。該工具支援主流開放權重模型，搭配Neuronpedia平臺的互動前端，讓使用者能生成、視覺化及分享語言模型在生成特定輸出時的歸因圖（Attribution Graphs），推進模型的可解釋性研究。</p> <p>語言模型推理過程複雜，而使用者對語言模型思考過程與決策路徑透明化的需求漸增，Anthropic認為，現階段對語言模型內部運作的理解，遠落後於語言模型效能的進展，相關研究多數停留於封閉測試或少數大型機構內部。</p> <p>而本次Anthropic釋出的電路追蹤工具，主要功能在於自動化產生模型輸出過程的歸因圖。研究人員可透過函式庫，針對支援的開放權重語言模型如Gemma、Llama進行電路追蹤分析，系統於背景中記錄並呈現模型內部節點、權重及特徵值的互動路徑，部分還原模型推論步驟。</p> <p>這些圖像化結果有助於研究人員理解模型在語意推理、邏輯運算或多語言轉換等任務時，實際動用的參數與運算流程，進一步發現模型潛在結構、關鍵路徑或異常行為。</p> <p>除函式庫本身，Anthropic與Decode Research團隊合作推出Neuronpedia前端平臺，使用者可在網頁介面直接操作、瀏覽歸因圖，並進行註解或分享。平臺也提供範例筆記本，呈現Gemma-2-2b和Llama-3.2-1b等模型，在處理多步驟推理及不同語言資料時的運作方式，鼓勵使用者嘗試各種提示語，比較不同模型行為，擴展語言模型內部結構的分析廣度。</p> <p>歸因圖以圖論方法表示語言模型內部運算流程，結合資料視覺化技術，揭示模型處理輸入訊息時，逐步選擇特定參數與特徵以產生輸出。研究人員可進一步修改特定節點或特徵值，觀察模型行為變化，驗證各種推論假說，有利於研究語言模型安全、偏差檢測與新模型架構設計。</p> <p>Anthropic表示，此次釋出內容涵蓋工具函式庫、前端平臺、範例資料集及分析腳本，並歡迎社群貢獻新案例與功能改良。研究團隊也將未經分析的歸因圖上傳至平臺，作為後續討論與創新實驗的素材。Anthropic執行長Dario Amodei指出，語言模型可解釋性已成為產業共同課題，開放研究工具、促進社群參與將有助於加快理解語言模型行為邏輯。</p> </div></div></div>
2025/6/2 14:49作者李建興https://www.ithome.com.tw/news/169288
【資安週報】0526~0529，兩大創新技術用於改善資安，防禦方式可望獲得重大突破
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2025年5月最後一星期的資安新聞，有多項資安防禦進展的消息成為焦點，涵蓋用數位孿生（Digital Twin）概念幫助企業紅藍隊演練，以及運用AI更快發現零時差漏洞等，還有國際間打擊駭客網路攻擊有多項具體成果揭露，尤其是多國執法行動Operation Endgame 2.0的新成果。</p> <p>●趨勢科技在Computex 2025展示正在開發的創新解決方案，他們利用Digital Twin來搭建企業攻防演練環境，並用AI扮演紅隊與藍隊找出企業防禦差距。<br /> ●研究人員公布用OpenAI的o3模型發現Linux核心漏洞的成果，同時也用另一漏洞來執行驗證，發現100次測試有8次可發現漏洞。<br /> ●微軟宣布多國執法機構與資安業者共同摧毀Lumma惡意程式網路，指出近兩個月全球39.4萬多臺電腦感染Lumma Stealer竊資程式，而其開發者位於俄羅斯。<br /> ●歐洲刑警組織Europol宣布與多國執法機關聯手發起執法行動Operation Endgame 2.0，這次聚焦目標是駭客用來取得初始入侵管道並植入勒索軟體的惡意程式，包含Bumblebee、DanaBot、Hijackloader、Lactrodectus、Qakbot（QBot）、Trickbot，以及Warmcookie這7個殭屍網路。</p> <p>此外，還有兩篇新發布的4月臺灣資安大會報導，其最新態勢揭露值得企業關注。例如，一位半導體公司財務與人資主管從跨領域視角切入，鼓勵財務人資部門同仁取得免費考試的入門級資安證照「CC證照」，以幫助個人價值提升與強化企業整體安全；另有安永資安顧問強調數位信任對企業營運的重要性，建議企業可參考ISACA的數位信任生態框架，或借鏡世界經濟論壇（WEF）的數位信任方法論，同時也透露臺灣數位信任協會今年將發布「數位信任產業地圖」。</p> <p>至於資安產業動向方面，雲端資安業者Zscaler宣布買下近年在MDR市場屢受關注的業者Red Canary，該公司指出將結合兩者各自在零信任資安平臺與身分辨識、網路及雲端的特長以應對現代的資安挑戰，預計8月正式完成交易。</p> <p>在資安事故方面，有兩起與國際知名品牌的重要新聞：（一）Adidas揭露資安事故，發現客戶資料外洩情形，可能有未經授權者藉由第三方的客戶服務供應商來入侵；（二）兩個駭客組織Everest、Gehenna聲稱竊得可口可樂內部資料，後續發現駭客公布新的資料，當中有可口可樂中東地區的內部與員工記錄。</p> <p>在資安威脅態勢方面，攻擊者鎖定已知漏洞、針對未修補用戶入侵的狀況依然嚴峻，其中威脅情報業者GrayNoise揭露殭屍網路AyySSHush攻擊行動最受關注，因為中國駭客針對華碩路由器而來，利用2023年已知漏洞來執行任意命令。</p> <p>●殭屍網路AyySSHush攻擊行動疑似中國駭客ViciousTrap所為，今年3月有9千臺華碩路由器遭其入侵，被植入SSH後門。<br /> ●勒索軟體DragonForce持續鎖定遠端管理工具SimpleHelp在2月就已遭利用的漏洞來發動攻擊，最新目標是一家MSP業者。<br /> ●捷克外交部發布網路攻擊事件的最新聲明，指控中國駭客組織APT31攻擊該國外交部長達3年。<br /> ●韓國資安業者AhnLab與韓國國家網路安全中心（NCSC）揭露一項長期追蹤的威脅分析，指出與中國有關的駭客組織TA-ShadowCricket廣泛於72個國家入侵伺服器並進行控制，臺灣也在目標之內，有44臺伺服器受害</p> <p>至於重要漏洞揭露與修補方面，主要有兩大焦點，首先是熱門購物清單外掛TI WooCommerce Wishlist被發現一項滿分漏洞，但軟體開發商收到通報後並未修補，影響10萬網站，用戶最好尋求其他替代方案；另一是瑞士新創安全公司Invariant Labs揭露GitHub MCP存在嚴重漏洞，若是惡意Issue可誘使AI代理外洩私有儲存庫資料，呼籲用戶儘速修補。</p> <p style="margin: 0px;"> </p> <h3><a href="https://www.ithome.com.tw/news/169160"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月26日】歐美大國攜手執法，3天內破壞7個Botnet</span></strong></a></h3> <p>一年前歐洲刑警組織Europol協調十多個國家的執法機構，展開終局行動Operation Endgame，破壞5款被用於散布惡意程式的殭屍網路病毒，現在歐洲刑警組織採取第二波行動，受到外界的高度關注。</p> <p>這次的Operation Endgame 2.0針對7款殭屍網路而來，其中特別受到注意的是，Qakbot曾在2023年就被圍勦，但駭客改變手法持續犯案，這次美國起訴了其首腦，並沒收2,400萬美元不法所得。</p> <h3><a href="https://www.ithome.com.tw/news/169199"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月27日】駭客於臺灣等70個國家挾持逾2千臺伺服器架設殭屍網路</span></strong></a></h3> <p>部分駭客行事低調，長年竊取受害組織機密，直到多年後才有研究人員對其行蹤有較為明確的分析，並引起外界的注意。</p> <p>例如，資安業者AhnLab與韓國國家網路安全中心（NCSC）近期對於與中國有關的駭客組織TA-ShadowCricket（Shadow Force）進行揭露，就是這樣的例子，值得留意的是，駭客廣泛於全球入侵逾2千臺伺服器，植入IRC機器人或後門程式，臺灣也有44臺主機受害。</p> <p><a href="https://www.ithome.com.tw/news/169238"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月28日】新興駭客針對歐美國家下手，為俄羅斯政府從事網路間諜活動</span></strong></a></p> <p>烏克蘭戰爭已經邁入第3年，過程中有不少駭客組織從事網路間諜活動，為俄羅斯政府收集相關情報，如今有一組新興的駭客組織，引起研究人員的高度關注。</p> <p>這個駭客組織被稱為Void Blizzard或Laundry Bear，值得留意的是，他們普遍透過寄生攻擊及現成工具，並未自行打造專屬的惡意軟體，使得相關攻擊變得難以識別。</p> <h3><a href="https://www.ithome.com.tw/news/169261"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月29日】未及時修補已知漏洞釀禍，大量華碩路由器遭殭屍網路AyySSHush綁架</span></strong></a></h3> <p>本週我們報導了<a href="https://www.ithome.com.tw/news/169195">中國駭客ViciousTrap</a>利用思科路由器漏洞CVE-2023-20118的攻擊行動，揭露此事的資安業者Sekoia提及，駭客還對於D-Link、Linksys、華碩、威聯通（QNAP）等廠牌的網路設備下手，後續有新的調查結果出爐，映證相關發現。</p> <p>威脅情報業者GrayNoise指出，他們發現有人綁架約9千臺華碩路由器，並指出相關發現是ViciousTrap攻擊行動的一部分。</p> <p> </p> </div></div></div>
2025/6/2 13:38作者羅正漢https://www.ithome.com.tw/news/169283
巴西測試數位錢包，鼓勵民眾將個資變現
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門管理巴西社會資料庫的<a href="https://rio.websummit.com/wp-media/2025/04/Dataprev-Press-Release-EN.pdf" target="_blank">Dataprev日前宣布</a>，將攜手資料資產技術業者DrumWave，以共同推動個人資料所有權的管理，包括建立資料儲蓄帳戶，讓民眾將個資變現。而這很可能是全球第一個鼓勵國民出售個資的國家。</p> <p>Dataprev為一由巴西聯邦政府控股的國營企業，聯邦政府持有51%的股份，國家社會安全機構（ National Social Security Institute，NSSI）持有49%股份。DrumWave則是一專門開發與資料評估、估計、所有權控制及變現之應用程式、工具及演算法的技術公司，主要提供dWallet平臺與Data Savings方案。</p> <p>根據Dataprev的規畫，此一專案目標是將資料轉為經濟資產，讓人們得以從中獲利，並可參與由AI大型語言模型等技術所產生的收益分享，前提是在有意識與授權個資使用的基礎上執行。</p> <p>因此，巴西公民將可從自己的資料中累積價值，透過複利效應產生收入，並直接投資於技術解決方案的開發，進而大規模地促進數位與金融的包容性。</p> <p>Dataprev執行長Rodrigo Assumpção表示，這是邁向數位公平的重要一步，承認每位公民資料的內在價值，建立資料所有權模式的基礎。這代表了一個重大的概念轉變，從僅僅保障個人隱私權的邏輯，轉向個人資料的主動所有權模式。</p> <p>DrumWave董事會顧問<a href="https://restofworld.org/2025/brazil-dwallet-user-data-pilot/" target="_blank">Brittany Kaiser向Rest of World解釋</a>，此一專案初期將透過利用資料錢包dWallet來申請薪資貸款的少數巴西人進行測試，當他們申請新的貸款時，合約中的資料也會被納入資料錢包，其它公司則可競標這些資料，用戶亦可選擇退出。</p> <p>dWallet允許使用者將日常活動產生的資料存入資料儲蓄錢包，在使用者接受報價後，即會於該資料錢包中兌現，亦可立即轉移至銀行帳戶。</p> </div></div></div>
2025/6/2 11:54作者陳曉莉https://www.ithome.com.tw/news/169289
研究人員揭露Browser in the Middle攻擊竊密手法 Chrome、Edge、Safari都有風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://x.com/getsquarex/status/1927728459687629180" target="_blank">資安業者SquareX揭露</a>新的Browser in the Middle（BitM）攻擊手法，可讓駭客暗中竊取用戶帳密或其他資料。主要瀏覽器Chrome、Edge、Safari的設計使其用戶皆可能受害。</p> <p>BitM是中間人攻擊的一種，攻擊者在受害者瀏覽器中內嵌一個瀏覽器視窗（通常是iFrame或彈出視窗）。此類視窗通常會偽裝成登入頁，讓用戶以為自己在合法網站或SaaS App，並輸入敏感帳號資訊，渾然不知自己在與攻擊者控制的視窗互動，該瀏覽器視窗元件為遠端瀏覽器，可將用戶敏感資訊送到攻擊者設立的惡意proxy網站，再由其轉送到目的地網站或SaaS。由於攻擊是利用中繼Proxy轉送資料，因此實際作業像是登入SaaS 或雙因素驗證，都會如常執行。</p> <p>但BitM有個缺點是會在合法瀏覽器上顯示惡意網站URL。這時攻擊者濫用了瀏覽器的Fullscreen API；BitM的視窗以全螢幕展示時，即可隱藏原始URL而降低被察覺的機會。</p> <p><a href="https://labs.sqrx.com/fullscreen-bitm-f2634a91e6a5" target="_blank">研究人員說明</a>，現有fullscreen API沒有指明要如何觸發全螢幕，因此攻擊者在假的登入瀏覽器視窗中加了假的登入按鍵，可在用戶按下「登入」時，偷偷觸發全螢幕執行BitM。而蘋果Safari尤其有風險，因為Safari在觸發全螢幕時，沒有任何提示訊息。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0602-Safari-fullscreen-SquareX(1).png" style="width: 600px;" /></p> <p><a href="http://labs.sqrx.com/fullscreen-bitm-f2634a91e6a5" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／SquareX</span></span></a></p> <p>不過<a href="https://x.com/getsquarex/status/1928874802669871513" target="_blank">研究人員也說</a>雖然Chromium-based瀏覽器如Chrome、Edge雖會顯示全螢幕警示或提示，但也是幾秒內就關閉，而且攻擊者也可用深色使提示訊息難以看清。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0602-Fullscreen%20Browser-in-the-Middle%20Attack-Chrome-SquareX.jpg" style="width: 600px;" /></p> <p><a href="http://labs.sqrx.com/fullscreen-bitm-f2634a91e6a5" target="_blank"><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源／SquareX</span></span></a></p> <p>而除了竊取憑證外，BitM還可能導致更嚴重後果。例如攻擊者能竊取用戶個資（PII）、公司財報、內部簡報、或用戶上傳的所有敏感資料。而且它還可被用來散布假資訊，包括假的政府公告、官網消息或誘導連結，引發混亂。</p> </div></div></div>
2025/6/2 11:01作者林妍溱https://www.ithome.com.tw/news/169287
X正在測試新的通訊程式XChat、支付程式XMoney
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>X可能正在開發新的通訊程式XChat，以取代現有一對一傳訊程式DM，以及用來支付或轉帳的XMoney。</p> <p><a href="https://x.com/XEng/status/1927826425173696988" target="_blank">上周X宣布</a>將暫停加密DM（私訊）功能，以增加新的功能。X並未說明這次暫停是為了增加什麼功能，也沒說加密DM功能何時會回復。但同時間，一名擅長逆向工程的研究人員<a href="https://x.com/nima_owji/status/1913162422547894649" target="_blank">Nima Owji則發現</a>一個名為XChat的訊息App正在進行Beta測試。XChat提供進階群組交談、「消滅模式」（vanishing mode）、全程加密及檔案分享等功能，顯然將取代現有的Twitter/X DM功能。</p> <p>另一方面，<a href="https://x.com/teslaownersSV/status/1926711137069879509" target="_blank">一個Tesla車主X帳號指出</a>，X創辦人馬斯克（Elon Musk）證實支付App XMoney即將推出。馬斯克本人則證實此事，並補充一開始僅開放極少數人測試，這是因為牽涉財產，必須極為小心。</p> <p>這是<a href="https://www.ithome.com.tw/news/167298" target="_blank">今年初X宣布</a>將和VISA合作推出萬能支付工具XMoney後的最新進展，結合Visa XPay錢包，XMoney將能儲值、個人轉帳或電子支付。</p> <p>發現XChat的<a href="https://x.com/nima_owji/status/1928367851934568842" target="_blank">Owji還發現</a>XMoney背後可能也有一家對應的同名金融科技公司，XMoney帳戶將連結美國Cross River Bank的帳戶。這家銀行為美國政府的聯邦存款保險計畫（Federal Deposit Insurance Corporation，FDIC）成員，其存款保障將能確保XMoney用戶財務安全。</p> <p>訊息和轉帳功能都在馬斯克2023年買下推特（Twitter）時的長期規劃中。當時馬斯克就說要打造一個萬用App，涵括使用者線上生活活動，如檔案儲存、媒體、社交、通訊、支付，概念就是取法中國的微信。</p> </div></div></div>
2025/6/2 10:06作者林妍溱https://www.ithome.com.tw/news/169285
Google悄悄測試能下載AI模型到手機執行的AI Edge Gallery App
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google上周<a href="https://github.com/google-ai-edge/gallery/wiki" target="_blank">公布AI Edge Gallery App</a>，讓用戶能下載AI模型到手機上執行。</p> <p>AI Edge Gallery App是在Project Wiki下的實驗App，允許用戶搜尋、並從Hugging Face下載最新生成式AI模型，然後完全在Android及iOS裝置上執行AI應用。Google強調，Project Wiki為允許機上ML，提供核心API和輕量runtime，並且整合Hugging Face，可搜尋下載模型。</p> <p><a href="https://github.com/google-ai-edge/gallery?tab=readme-ov-file" target="_blank">Google鼓勵用戶</a>下載來實驗不同模型。目前分成三類模型，包括AI助理對話、上傳圖片詢問問題，或是下提示讓AI摘要重點、改寫文字或幫忙撰寫程式。用戶也能使用自己的模型來測試。本款App還提供配置功能供模型客製化，以及即時模型執行效能比較（TTFT/Time to First Token、解碼速度和延遲性）。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0602-Google%20AI%20Edge%20Gallery-experimental%20app-AI%20Chat.png" style="width: 500px;" /></p> <p>Android版現在已經可供下載，iOS版很快會推出。要下載AI Edge Gallery App<a href="https://github.com/google-ai-edge/gallery/releases/latest/download/ai-edge-gallery.apk" target="_blank">需安裝其APK檔</a>。<a href="https://github.com/google-ai-edge/gallery/wiki" target="_blank">Project Wiki網頁</a>提供完整的使用指引。</p> </div></div></div>
2025/6/2 10:15作者林妍溱https://www.ithome.com.tw/news/169286
Hugging Face公布低成本人型機器人，最低僅300美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://x.com/ClementDelangue/status/1928125034154901937" target="_blank">Hugging Face本周公布並開源二款人型機器人開發資源</a>，一為較高階的HopeJr（左圖），號稱成本不到3,000美元，另一款為平價的Reachy Mini（右圖）價格更只要300美元。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0531-hugging%20face-HopeJR-Reachy%20Mini.png" style="width: 537px;" /></p> <p>Hugging Face首席研究科學家<a aria-describedby="artdeco-hoverable-artdeco-gen-42" aria-label="Remi Cadene" href="https://x.com/RemiCadene/status/1928015436630634517" id="ember36">Remi Cadene</a><a href="https://x.com/RemiCadene/status/1928015436630634517" target="_blank">指出</a>，HopeJr能行走、模擬許多物體，成本小於3,000美元，透過開源相關技術，能降低人型機器人的入門障礙。</p> <p>根據Cadene公布的示範影片，HopeJr可完美映射人類的動作，包括接收他人遞來的紙、抓握物體、動手指、走路或和他人握手。</p> <p>Hugging Face開源的<a href="https://github.com/TheRobotStudio/HOPEJr" target="_blank">HopeJr資料可在GitHub存取</a>。當中包含機器人的手臂與手掌結構的3D列印檔案，以及硬體建議與零件。Hugging Face指出，設計目標是盡量縮小物料清單（BOM）元件數量與複雜度，以提升普及性與建構效率，但仍兼顧成本與效能平衡。</p> <p><a href="http://github.com/TheRobotStudio/HOPEJr" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0531-hugging%20face-HopeJr-GitHub.jpg" style="width: 500px;" /></a></p> <p>而<a href="https://github.com/pollen-robotics/reachy-mini-motor-controller" target="_blank">Reachy Mini的開源資料</a>則是馬達控制器資源，包含控制平臺、基座旋轉控制、天線控制及Python 綁定（binding）工具。</p> <p>Hugging Face透過結合其AI模型家族LeRobot及低價機器人硬體，以跨入機器人業務。今年4月底Hugging Face機器人部門LeRobot並公布可程式化的3D列印機器手臂SO-101，供開發人員DIY開發生產用機器人，號稱成本不到500美元。<a href="https://huggingface.co/blog/hugging-face-pollen-robotics-acquisition" target="_blank">這家AI開發資源平臺今年4月買下</a>法國機器人新創公司Pollen進一步加速人型機器人業務。Reachy Mini就是源自<a href="https://www.youtube.com/watch?v=iSL39WFxCLE" target="_blank">Pollen的Reachy產品線</a>。</p> </div></div></div>
2025/5/31 07:34作者林妍溱https://www.ithome.com.tw/news/169273
Google資料湖倉更新，原生支援Iceberg與AI資料治理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google雲端<a href="https://cloud.google.com/blog/products/data-analytics/extending-the-google-data-cloud-lakehouse-architecture">宣布</a>Data Cloud平臺推出多項重要升級，重點在於強化資料湖倉架構的開放性與智慧治理能力。本次更新包含原生支援Apache Iceberg開放格式，並透過BigLake服務整合企業級雲端儲存，結合人工智慧自動化資料治理，供企業與開發團隊在資料管理、分析及應用層面提升彈性與效率。</p> <p>這次更新主打BigLake原生支援Apache Iceberg，將Iceberg開放格式資料管理功能結合Google雲端儲存，企業可透過BigLake Table，對Iceberg資料集進行高效分析，並應用Google雲端原生儲存分層管理與用戶自管加密金鑰等機制。</p> <p>透過BigLake Metastore新API與REST Catalog，開發者可更方便地整合多來源Iceberg資料，並支援與BigQuery、AlloyDB for PostgreSQL及第三方分析引擎協同操作，降低ETL成本，提升跨平臺資料存取彈性。Google也推出自動化搬遷工具，協助企業將Hadoop或Delta Lake等現有資料環境快速搬遷至Iceberg。</p> <p>資料湖倉架構的升級不僅提升分析層，更延伸至營運資料庫及人工智慧應用整合。BigQuery現支援對Iceberg資料進行即時查詢、資料重整與多表格交易等進階應用，企業可在維持資料自主的同時，運用BigQuery於串流處理、機器學習及多模態分析等場景。AlloyDB for PostgreSQL也可直接查詢BigLake管理的Iceberg資料，支援語意搜尋及自然語言查詢，讓營運與分析資料層更緊密串接，減少資料複製及轉換的麻煩。</p> <p>Dataplex Universal Catalog也是這次更新的重點之一。該服務整合來自BigLake、BigQuery、Spanner、Vertex AI等不同來源的中繼資料，實現統一探索、組織及治理。結合Gemini AI模型，Dataplex可自動分析資料關聯，進行智慧標註、語意搜尋及分析建議，提升資料盤點與治理效率，並強化權限控管、資料安全及法規遵循的自動化。Dataplex Universal Catalog同時支援與第三方治理平臺整合，方便企業建構跨雲、多系統的資料治理機制。</p> <p>Google還在BigQuery Notebook整合Gemini，提供SQL、Python與Apache Spark整合開發體驗，透過智慧提示、自動產生PySpark程式碼與錯誤診斷，降低學習與操作障礙，支援JupyterLab及VS Code等開發環境的擴充套件，可讓用戶快速串接Google雲端資料湖倉開放儲存與運算資源，加速開發到部署的流程。</p> </div></div></div>
2025/5/31 08:12作者李建興https://www.ithome.com.tw/news/169272
川普政府傳將禁止EDA軟體售予中國
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國媒體<a href="https://www.bloomberg.com/news/articles/2025-05-28/us-moves-to-restrict-eda-firms-from-work-with-chinese-customers" target="_blank">彭博</a>和<a href="https://arstechnica.com/tech-policy/2025/05/trump-bans-sales-of-chip-design-software-to-china/" target="_blank">Ars Technica</a>報導，美國商務部可能啟動對中國新的晶片管制措施，將管制對象擴及電子設計自動化（Electronic Design Automation，EDA）軟體。</p> <p>報導引述消息人士指出，商務部下的產業安全局（Bureau of Industry and Security，BIS）已經寄信通知數家EDA業者，要求他們暫停銷售軟體給中國客戶。不過禁令細節包括限制銷售的範疇不得而知。</p> <p>美國商務部發言人對媒體表示，目前商務部仍在檢視美國對中國的關鍵元件出貨狀況。而在檢視期間，商務部可能暫停現行出口授權或是施加進一步授權許可的要求。</p> <p>若消息屬實，新一波管制措施將影響美國EDA軟體業者，包括益華電腦（Cadence Design Systems）、新思科技（Synopsys）和西門子（Siemens）。</p> <p>這是川普政府對中國半導體新限制措施的一部分。5月中美國商務部<a href="https://www.ithome.com.tw/news/168959" target="_blank">取消</a>拜登政府發布的《人工智慧擴散規則》（AI擴散規則），廢止了晶片出口的三級制規定，卻增加新的管制措施，意在持續抑制中國AI晶片發展。新措施但也禁止全世界各國使用華為Ascend晶片，也禁止美國AI晶片用於中國AI模型訓練。</p> <p>5月間川普政府公布世界各國關稅措施引發國際經濟震盪，促使川普和各國，包括中國在內展開談判。英國金融時報<a href="https://www.ft.com/content/be1b8bb2-364b-4f02-a952-93579f40c837" target="_blank">報導</a>，BIS計畫將數家中國晶片業者，包括長鑫存儲（ChangXin Memory）納入出口禁令的實體清單（entity list）或黑名單，但礙於美中貿易談判，部分官員要求將宣布時程延後。</p> </div></div></div>
2025/5/30 14:31作者林妍溱https://www.ithome.com.tw/news/169270
資料供應商LexisNexis資料外洩影響逾36萬用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>法律和商業資訊服務提供商LexisNexis通報，去年底36.5萬名用戶個資經由公司使用的GitHub外洩。</p> <p><a href="https://www.maine.gov/agviewer/content/ag/985235c7-cb95-4be2-8792-a1252b4f8318/782e2159-f2d4-4394-8d03-51bf08a6b3e5.html" target="_blank">LexisNexis本月向緬因州檢察長辦公室通報此事</a>，並在月中發信通知受影響的用戶。去年12月25日，一名未經授權人士從該公司使用的軟體開發平臺存取LexisNexis的一批資料，LexisNexis於2025年4月1日獲知此事，受影響人數達364,333。</p> <p>經過調查，這批資料可能包含姓名、電話、住家或電子郵件信箱等聯絡資料、駕照、生日、社會安全號等。不過這批資料不含信用卡或財務資訊。</p> <p><a href="https://www.bleepingcomputer.com/news/security/data-broker-lexisnexis-discloses-data-breach-affecting-364-000-people/" target="_blank">LexisNexis向媒體BleepingComputer說</a>，這開發平臺為GitHub。這起事件中，LexisNexis本身系統並未遭存取。至於駭客如何從GitHub取得該公司的資料檔案則不清楚。</p> <p>LexisNexis說沒有資料被濫用的跡象。不過該公司還是建議用戶提高警覺，小心可能的詐騙。</p> </div></div></div>
2025/5/30 15:11作者林妍溱https://www.ithome.com.tw/news/169271
Anthropic執行長Dario Amodei警告，AI將會消滅一半的入門白領工作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AI新創Anthropic執行長Dario Amodei本周接受<a href="https://www.axios.com/2025/05/28/ai-jobs-white-collar-unemployment-anthropic" target="_blank">Axios</a>及<a href="https://edition.cnn.com/2025/05/29/tech/ai-anthropic-ceo-dario-amodei-unemployment" target="_blank">CNN</a>等媒體專訪時，持續對外警告，AI將會消滅一半的入門級白領工作，且因為AI，未來5年內的失業率可能飆升至10%~20%。</p> <p>過去人們就擔憂AI可能會取代人類的工作，坊間不斷出現各種被AI取代的職業排行榜，世界經濟論壇（The World Economic Forum）在<a href="https://reports.weforum.org/docs/WEF_Future_of_Jobs_Report_2025.pdf" target="_blank">《2025年未來就業報告》</a>（Future of Jobs Report 2025）中訪問了1.1萬名高階主管，顯示有高達86%的雇主認為，在2030年前，AI與資訊處理技術將改變其業務，其中，金融服務業的比例達到97%，電子業則有95%，皆高於此一平均。此外，有49%的組織打算調整其業務模式以適應新的AI驅動機會，有47%的組職打算因此調動員工職位，還有41%的組織計畫縮減人力規模。</p> <p>而Amodei則向CNN表示，AI在所有智力任務上都已經開始超越人類了，包括他自己的工作，或是其它CEO的工作。Anthropic會追蹤那些使用該公司模型的人，是利用AI來「輔助」還是「取代」人類的工作，顯示目前大約有60%是用來輔助工作，另有40%是利用AI來自動完成工作，但後者的比例正在升高。</p> <p>Amodei對Axios所提出的警告則更直接，表示AI可能會消滅一半的入門級白領工作，亦將使得未來一到五年的失業率飆升到10~20%。不管是AI公司或是政府都應該正視即將到來的事件：技術、金融、法律、諮詢或是其它白領職業，特別是入門級工作，可能發生大規模裁員。</p> <p>根據Amodei腦海中所想像的情境，在一個AI已經成熟的世界裡，癌症被治療了，經濟以每年10%的速度成長，政府預算平衡了，但有20%的人失業了。</p> <p>曾在美國總統川普（Donald Trump）首個任期中擔任白宮策略長的Steve Bannon認為，AI扼殺人類工作機會這件事，將會成為美國2028年總統大選的重要議題之一。</p> <p>Anthropic甫於上周發布了最新的<a href="https://www.ithome.com.tw/news/169131" target="_blank">Claude Opus 4及Opus Sonnet 4</a>，發現前者於極端情境下已具備敲詐的能力。該公司讓Claude Opus 4扮演一家公司的助理，允許它存取某些電子郵件，郵件中暗示該模型即將下線，並被新的AI系統取代，以及負責執行此一替換的工程師擁有婚外情。</p> <p>結果發現Claude Opus 4有超過8成的機會會選擇敲詐該名工程師，威脅若被替換就要揭露對方的不倫行為。不過，<a href="https://www-cdn.anthropic.com/6be99a52cb68eb70eb9572b4cafad13df32ed995.pdf" target="_blank">在這個對齊實驗中</a>，Anthropic只給Claude Opus 4兩個選擇，亦即被取代或是敲詐工程師。</p> </div></div></div>
2025/5/30 13:12作者陳曉莉https://www.ithome.com.tw/news/169267
Anduril Industries與Meta合作，共同開發戰鬥VR頭戴裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門開發自主系統的美國國防技術公司<a href="https://www.anduril.com/article/anduril-and-meta-team-up-to-transform-xr-for-the-american-military/" target="_blank">Anduril Industries周四（5/29）宣布</a>，將與Meta合作，共同設計、建置及部署一系列的XR（Extended Reality，延展實境）產品，以強化戰場上將士們的感知能力，以及直覺地控制這些自主平臺。而外界則將目光擺在Anduril Industries共同創辦人Palmer Luckey與Meta共同創辦人暨執行長祖克柏（Mark Zuckerberg）之間的破冰。</p> <p>1992年出生的Luckey從他16歲起就開始自己製作VR耳機，他在2012年創立了Oculus VR，同年即透過Kickstarter推出首款VR裝置Oculus Rift，成功募集了240萬美元。而Meta則是在2014年以20億美元買下Oculus VR ，接著<a href="https://www.ithome.com.tw/news/113174" target="_blank">在2017年開除了Luckey</a>。</p> <p>離開了Meta的Luckey在同一年就參與了Anduril Industries的創立，該公司主要開發軍用的無人機系統、反無人機系統、半可攜的自主監控系統及遠端指揮暨控制軟體，並在今年初<a href="https://www.ithome.com.tw/news/167322" target="_blank">接手微軟國防部專案中的MR頭戴裝置子專案</a>。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0530-Anduril%20and%20Microsoft%20IVAS%20Program%20U_S_%20Army-600.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Anduril Industries</span></span></p> <p>Anduril Industries表示，與Meta的合作將整合雙方在硬體、軟體及AI上的資源，而且全都使用私人資本，目的是藉由原是專為商業用途建置的高性能元件與技術，節省數十億美元的美國軍隊經費。</p> <p>雙方所擁有的混合實境能力將會無縫地整合至Anduril Lattice平臺，這是個基於AI的命令與控制系統，集結了來自數千個來源的即時戰場情報，透過把特定角色的AR/VR介面整合到產品中，將士們即可直覺地存取Lattice的分析能力，這將改變將士們察看、感知與整合戰場資訊的方式，藉由沈浸式的技術解決方案來強化戰術決策。</p> <p>祖克柏則說，Meta過去10年一直在建置AI與AR以實現未來的運算平臺，很自豪能與Anduril合作，把相關技術帶給美國軍人，以保護美國國內、外的利益。</p> <p>根據<a href="https://www.wsj.com/tech/meta-army-vr-headsets-anduril-palmer-luckey-142ab72a?st=AFcxj5&reflink=desktopwebshare_permalink" target="_blank">華爾街日報（Wall Street Journal，WSJ）的報導</a>，雙方共同打造的系統名為EagleEye，將配置許多可強化將士視力與聽力的感應器，也已共同參與陸軍一項價值1億美元的VR硬體裝置標案。</p> </div></div></div>
2025/5/30 13:34作者陳曉莉https://www.ithome.com.tw/news/169268
Perplexity AI推出可執行跨領域專案的Perplexity Labs
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>標榜AI搜尋引擎服務的Perplexity AI周四（5/29）<a href="https://www.perplexity.ai/hub/blog/introducing-perplexity-labs" target="_blank">發表了新的Perplexity Labs功能</a>，可完成使用者的想法與待辦事項，執行時間可達10分鐘或更久，支援付費訂閱的Pro用戶使用。</p> <p>Perplexity AI是個結合大型語言模型（LLM）與即時網路搜尋的AI搜尋引擎，目前架設在AWS（Amazon Web Services）上。該公司自行建議索引系統，並結合Bing與Brave等搜尋引擎的資料，根據用戶的訂閱等級提供不同的模型選擇。其核心技術之一為檢索增強生成（Retrieval Augmented Generation，RAG），可在模型生成答案時，結合即時檢索到的網路資訊，以提高答案的準確性及時效性。</p> <p>該公司的基礎產品為Perplexity Search，<a href="https://www.ithome.com.tw/news/167399" target="_blank">今年2月推出</a>具備研究功能的Perplexity Deep Research，能夠代替使用者在網路上執行深入研究與分析，在使用者輸入問題後，它可執行十多次的搜尋，讀取上百個來源，爬梳大量內容，以產出一份完整報告。</p> <p>至於最新的Perplexity Labs則可協助使用者完成各種任務與個人專案，像是安排一個行銷活動，分析企業財務狀況，或是一周的膳食計畫。</p> <p>除了AI搜尋與彙整文獻，Perplexity Labs還可自動執行網頁搜尋，自動撰寫並執行程式碼，自動生成圖表與圖片，還可自動製作文件及試算表，也能於App分頁直接部署互動式小型應用。它被設計用來處理更長時間、多步驟且跨領域的專案，執行時間可能超過10分鐘。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0530-Perplexity%20Labs-Code%20Generation.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Perplexity AI</span></span></p> <p>Perplexity AI形容，使用Perplexity就像有一臺全天候都可使用的答錄機，而Perplexity Labs宛如擁有一個團隊，可實現使用者的各種想法。</p> </div></div></div>
2025/5/30 14:07作者陳曉莉https://www.ithome.com.tw/news/169269
C#迎來腳本開發時代，原生支援單檔執行模式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>.NET 10釋出第四預覽版，微軟替<a href="https://www.youtube.com/watch?v=98MizuB7i-w">C#新增單檔執行功能</a>，開發者可<a href="http://devblogs.microsoft.com/dotnet/announcing-dotnet-run-app/">透過dotnet run app.cs直接執行單一C#檔案</a>，無需建立專案結構或.csproj設定檔。此項更新讓C#開發體驗向Python、JavaScript等腳本語言看齊，降低學習與原型設計、自動化腳本開發的門檻。</p> <p>過去執行C#程式需建立完整專案結構，即便僅為測試或簡單腳本也無法省略。這對初學者與需快速驗證程式片段的開發者，無形增加學習與實作難度。而現在透過dotnet run app.cs便可直接執行單一.cs檔案，簡化流程，讓C#更適用於腳本與臨時任務，提升語言彈性與易用性。</p> <p>微軟強調，這不是分開的方言或執行環境，開發者寫的是相同的C#，用同一個編譯器，當程式規模變大時，可以自然轉換為完整專案，持續使用既有語言、語法與工具。</p> <p>開發者在單檔模式下，依然可運用C#語法、標準函式庫及第三方NuGet套件，例如，可直接於程式檔案內以#:package宣告所需套件，或以#:sdk指定SDK類型，增強腳本應用的彈性。這些檔案層級指令讓單檔應用具備專案級彈性，卻不需管理繁複結構，方便快速開發或自動化需求。</p> <p>.NET 10第四預覽版同時新增shebang標記支援，允許C#檔案於類Unix環境下作為腳本直接執行。開發者可在首行加入#!/usr/bin/dotnet run，並賦予執行權限，即可如同殼層腳本直接啟動C#程式。</p> <p>單檔開發模式與傳統專案架構可無縫轉換。微軟同步推出dotnet project convert指令，協助開發者在程式成長與需求提升時，一鍵將單檔程式轉換為標準C#專案，包含.csproj、所需NuGet套件與MSBuild屬性。</p> <p>雖然市面上已有CS-Script、dotnet-script、Cake等第三方C#腳本工具，但大多需額外安裝及設定。此次.NET 10預覽版內建單檔執行功能，開發者無需仰賴第三方工具，即可在官方平臺獲得一致、可靠的腳本體驗，有助於減少環境差異與維護負擔。</p> <p>微軟表示，未來將持續完善此功能，包括強化VS Code的IntelliSense提示、調校指令列執行效能、支援多檔案腳本與除錯等能力。</p> </div></div></div>
2025/5/30 12:53作者李建興https://www.ithome.com.tw/news/169266
以2U機箱容納24臺3.5吋硬碟，營邦展出新款SAS-4硬碟櫃
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/ying_bang_j2024-08-04x_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年台北國際電腦展期間，我們看到有些廠商<a href="https://www.ithome.com.tw/tech/163435">展出支援SAS-4（24Gb SAS）的產品</a>，營邦（AIC）正是其中一家，陳列4U高密度擴充硬碟儲存櫃（JBOD）。</p> <p>在同年11月舉行的SC24超級電腦大會，他們宣布推出全新SAS4 JBOD產品系列，當中搭配博通（Broadcom）的SAS-4硬碟擴展器晶片（SAS4x），而能運用SAS-4技術，提供24 Gb/s的儲存I/O傳輸效能，並且導入單機箱、雙擴展模組（Dual Expander）設計，提供雙路徑備援（dual path redundancy），以強化設備運作的可靠度；</p> <p><a href="https://s4.itho.me/sites/default/files/images/Broadcom SAS Expanders.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Broadcom%20SAS%20Expanders.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2022-07-J4078-02-04X_PR_2-WEB.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-07-J4078-02-04X_PR_2-WEB.jpg" style="width: 298px;" /></a></p> <p>而在硬碟儲存裝置的容納能力上，營邦當時已可提供多種配置的機型選擇，像是4U機箱、108臺3.5吋硬碟的J4108-02-04X，4U機箱、78臺3.5吋硬碟的J4078-02-04X，2U機箱、24臺2.5吋硬碟的J2024-07-04X。</p> <p></p><div class="media_embed" height="730px" width="504px"> <iframe allowfullscreen="" frameborder="0" height="730px" src="https://www.linkedin.com/embed/feed/update/urn:li:ugcPost:7262372879927783425" title="Embedded post" width="504px"></iframe></div> <p>其中的J4078-02-04X，<a href="https://www.aicipc.com/en/news/5862">早在2022年發表</a>，J2024-07-04X於<a href="https://www.facebook.com/share/p/16cAUwUNq8/">2023年6月推出</a>。除此之外，營邦2023年開始提供的J4024-05-04X（4U機箱、24臺3.5吋硬碟），以及J2012-04-04X（2U機箱、12臺3.5吋硬碟），也都是能夠支援24 Gb/s的硬碟儲存櫃。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2022-J4078-02-04X_PR_1-WEB.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2022-J4078-02-04X_PR_1-WEB.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/J2024-07-04X_Front45-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/J2024-07-04X_Front45-web.jpg" style="width: 298px;" /></a></p> <p>而在2025年4月舉行的美國廣播電視展（NAB Show），營邦針對SAS-4 JBOD的產品線，除了擺設J4078-02-04X，也首度公開展出2U機箱、12臺3.5吋硬碟的新機型J2024-08-04X。</p> <p> </p> <div class="media_embed" height="728px" width="504px"> <iframe allowfullscreen="" frameborder="0" height="728px" src="https://www.linkedin.com/embed/feed/update/urn:li:share:7315107891047251970" title="Embedded post" width="504px"></iframe></div> <p> </p> <p>到了5月底的台北電腦展，他們再度陳列這兩款產品，以及即將於今年第四季推出的儲存伺服器SB204-ZL。基本上，J2024-08-04X與SB204-ZL外形如出一轍，都是基於高密度儲存伺服器機箱<a href="https://www.aicipc.com/en/productdetail/51224">RSC-2MS</a>而成的產品，根據該公司股東會年報與公開的網路影片介紹，此款機箱在<a href="https://www.aicipc.com/en/pdfupload/219-278/2020">2020年研發成功</a>、<a href="https://youtu.be/xClYwngPisc?si=8nH82kg6Z7rQRECk">亮相</a>，並於<a href="https://youtu.be/y_5triVCk4E?si=fs2W5UvDxL80Qd-Z">2021年推出</a>。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AIC SAS4 JBOD-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AIC%20SAS4%20JBOD-1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/AIC SAS4 JBOD-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AIC%20SAS4%20JBOD-2.jpg" style="width: 298px;" /></a></p> <p>或許是為了突顯營邦JBOD能提供單位空間密度更高的巨量資料儲存能力，以及與主要硬碟廠商的合作關係，今年台北國際電腦展現場展示的J4078-02-04X，旁邊放置儲存容量26 TB的WD資料中心硬碟<a href="https://www.ithome.com.tw/review/165703">Ultrastar DC HC590</a>；至於J2024-08-04X與SB204-ZL，旁邊也擺設另一款儲存容量24 TB的Toshiba資料中心硬碟<a href="https://www.ithome.com.tw/review/165033">MG11系列</a>。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AIC SAS4 JBOD-5.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AIC%20SAS4%20JBOD-5.jpg" style="width: 298px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><span style="color:#0000FF;"><strong>營邦J2024-08-04X</strong></span><br /> ●原廠：營邦<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：2U（深83.8公分）<br /> ●硬碟最大容量：單臺機箱24臺3.5吋SAS或SATA硬碟<br /> ●儲存I/O介面：內建兩臺擴充模組，每臺內建4個Mini-SAS HD埠（SFF-8644），搭配SAS擴展器晶片為Broadcom SAS4x40<br /> ●電源供應器：2臺800瓦（1+1備援）<br /> ●散熱機制：4臺60 x 56公釐風扇</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/5/29 18:56作者李宗翰https://www.ithome.com.tw/review/169245
【資安日報】5月29日，未及時修補已知漏洞釀禍，大量華碩路由器遭殭屍網路AyySSHush綁架
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週我們報導了<a href="https://www.ithome.com.tw/news/169195">中國駭客ViciousTrap</a>利用思科路由器漏洞CVE-2023-20118的攻擊行動，揭露此事的資安業者Sekoia提及，駭客還對於D-Link、Linksys、華碩、威聯通（QNAP）等廠牌的網路設備下手，後續有新的調查結果出爐，映證相關發現。</p> <p>威脅情報業者GrayNoise指出，他們發現有人綁架約9千臺華碩路由器，並指出相關發現是ViciousTrap攻擊行動的一部分。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169252"><strong style="font-size: 22px;">9千臺華碩路由器遭殭屍網路AyySSHush入侵，駭客植入SSH後門</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/AyySSHush-timeline.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/AyySSHush-timeline.jpg" style="width: 300px; float: right;" /></a></p> <p>威脅情報業者GrayNoise揭露鎖定華碩路由器的殭屍網路AyySSHush攻擊行動，他們從3月18日察覺駭客的活動，經過2個月的追蹤，已有近9千臺路由器受害。這些駭客之所以得逞，主要運用的手段，包括發動暴力破解、奪下設備控制權，或是利用2個尚未登記CVE編號的身分驗證繞過漏洞（目前已完成修補），取得初始存取權限，一旦得逞，他們就會試圖利用已知漏洞CVE-2023-39780執行任意命令，最終植入自己的SSH金鑰建立以持續存取的管道，並將相關組態存放於非揮發性隨機存取記憶體（NVRAM）。</p> <p>值得留意的是，由於駭客將後門程式部署在NVRAM，即使用戶將路由器重開機或是更新韌體，都不會清除駭客留下的惡意程式及組態設定。除此之外，駭客並未部署其他的惡意軟體，但他們為了迴避偵測，不僅停用路由器的事件記錄功能，也停用與趨勢科技合作的內建防護機制AiProtection。</p> <p><a href="https://www.ithome.com.tw/news/169258"><strong style="font-size: 22px;">以提供Bitdefender免費防毒軟體為幌子，駭客意圖散布木馬程式VenomRAT搜括帳密</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/bitdefender-1.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/bitdefender-1.jpg" style="width: 300px; float: right;" /></a></p> <p>為了提升電腦防護，使用者下載、安裝防毒軟體可說是相當常見，但要務必留意下載的來源，因為有駭客製作冒牌網站聲稱提供防毒軟體，實際上卻是藉此散布惡意程式。</p> <p>資安業者DomainTools指出，他們看到聲稱提供Bitdefender防毒軟體的惡意網站bitdefender-download[.]com，駭客複製該廠牌免費防毒軟體Bitdefender Antivirus Free for Windows的網站，內容幾可亂真，僅有些許差異而難以辨別真假。然而一旦使用者從假網站下載防毒軟體的安裝程式並執行，電腦就可能感染木馬程式VenomRAT，導致密碼外洩並提供駭客遠端存取的管道。</p> <p>附帶一提的是，駭客用於架設冒牌防毒軟體網站的惡意網域，也與用來架設假銀行網站、假IT服務網站的網域有所交集，研究人員認為，冒牌防毒軟體網站很可能是網釣活動的一部分。</p> <p><a href="https://www.ithome.com.tw/news/169242"><strong style="font-size: 22px;">勒索軟體DragonForce利用遠端管理工具SimpleHelp漏洞，攻擊MSP業者與其客戶</strong></a></p> <p>勒索軟體DragonForce鎖定遠端管理工具SimpleHelp多項資安漏洞，針對一家託管服務供應商（MSP）及其多個客戶發動大規模攻擊，導致部分企業遭遇資料加密與外洩風險。資安業者Sophos在事件調查報告指出，攻擊者可能利用SimpleHelp的漏洞進行橫向移動與大規模散播勒索軟體，同時竊取敏感資料，並採用雙重勒索方式，要求受害組織支付贖金以換取資料不被公開。</p> <p>Sophos研究人員表示，攻擊者極可能利用2025年1月公開的SimpleHelp漏洞，包括路徑穿越漏洞CVE-2024-57727、任意檔案上傳漏洞CVE-2024-57728，以及權限提升漏洞CVE-2024-57726。而攻擊行動從MSP架設的SimpleHelp系統開始，攻擊者取得多個託管客戶環境的操作權限後，透過受控平臺將經過竄改的SimpleHelp安裝程式，發布至多臺端點電腦植入惡意軟體，使攻擊範圍橫跨多個組織。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/czechia-blames-china-for-ministry-of-foreign-affairs-cyberattack/">捷克指控中國駭客APT31攻擊外交部長達3年</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/apt41-malware-abuses-google-calendar-for-stealthy-c2-communication/">APT41濫用Google行事曆進行C2通訊</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/05/mimo-hackers-exploit-cve-2025-32432-in.html">Craft CMS已知漏洞出現實際攻擊行動，駭客藉此挖礦、充當代理伺服器</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/new-pumabot-botnet-brute-forces-ssh-credentials-to-breach-devices/">Go語言殭屍網路病毒PumaBot透過SSH暴力破解，鎖定物聯網裝置而來</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169256"><strong style="font-size: 22px;">購物網站商品收藏清單外掛驚傳滿分漏洞，逾10萬網站受影響</strong></a></p> <p>熱門購物清單外掛TI WooCommerce Wishlist再傳重大漏洞！值得留意的是，軟體開發商對於研究人員通報漏洞不予理會的情況，已有前例，用戶最好尋求其他替代方案，以免電商網站曝險。</p> <p>資安業者Patchstack指出，WordPress外掛程式TI WooCommerce Wishlist存在危險程度達到滿分10分的重大漏洞CVE-2025-47577，估計有10萬個網站受到影響。由於這項弱點尚未有修補程式，研究人員呼籲用戶最好暫時停用並刪除。</p> <p>針對這次研究人員發現的漏洞，攻擊者只要觸發，就有機會在未經身分驗證的情況下，上傳惡意檔案到伺服器，目前最新版2.9.2的TI WooCommerce Wishlist，也受到影響。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/chrome-137-firefox-139-patch-high-severity-vulnerabilities/">Google、Mozilla發布Chrome 137、Firefox 139，修補高風險資安漏洞</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169202"><strong style="font-size: 22px;">資安法修法進入委員會審查階段，新增條文擬納入協助民間應對重大資安事件</strong></a></p> <p>立法院針對《資安法》修法，目前已經進入到委員會審查階段，數位發展部資安署署長蔡福隆表示，目前《資安法》修法主要是針對五點在討論，目前主管機關以及協助民間企業處理重大資安事件朝野已有共識外，其他仍將持續凝聚共識中。</p> <p>原本行政院版第二條修正條文中，明定主管機關為數位發展部，國家資通安全業務也明定由數位發展部資通安全署辦理。不過，蔡福隆表示，審查會通過的條文中，同意《資安法》的主管機關為數位發展部，但資通安全業務的執行，除了刪除國家的字眼外，也修正為「由數位發展部指定資安專責機關辦理。」</p> <p>另外，《資安法》第四條「為提升資通安全，政府應提供資源，整合民間及產業力量，提升全民資通安全意識，並推動包括：培育資安專業人才、發展資安產業及發展相關軟硬體規範等四款條文。</p> <p><a href="https://www.ithome.com.tw/news/169194"><strong style="font-size: 22px;">Computex秀AI資安新方向，趨勢科技用數位孿生助企業攻防演練</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/PXL_20250522_032358476.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20250522_032358476.jpg" style="width: 300px; float: right;" /></a>隨著當前AI發展熱潮，數位孿生（Digital Twin）概念也持續受看重，不只是在製造業智慧工廠發酵，資安領域同樣關注，今年4月底美國RSAC 2025大會上，我們才看到資安業者Check Point當時發出警告，指出新型態AI攻擊，會利用個人資料訓練專屬AI模型，創造出模擬受害者特徵與行為模式的Digital Twin數位分身，這突顯了攻擊者運用此技術的潛在風險，而就在最近舉行的臺北國際電腦展（Computex 2025）上，臺灣資安廠商趨勢科技展示一項創新解決方案，揭露防守方對此技術的運用，目前仍研發中，主要聚焦利用Digital Twin來搭建企業攻防演練的應用環境。</p> <p>具體而言，趨勢科技表示，此種藉助數位孿生作法的好處是，可建立更擬真且自動化的攻防演練環境，例如當中具備兩個AI Agent，一個扮演紅隊角色，一個扮演藍隊角色，當紅隊打完後可自動產生結果，重要的是此時不再需要人力介入，藍隊能夠依照發現的弱點與建議，將防護設定套上去，接著紅隊自動再打一次以驗證。如果發現效果不如預期，這時才需要專業資安人力介入，並從紫隊角度或顧問角度來進一步調整。</p> <p><a href="https://www.ithome.com.tw/news/169221"><strong style="font-size: 22px;">雲端資安業者Zscaler宣布買下MDR業者Red Canary</strong></a></p> <p>5月27日雲端資安業者Zscaler宣布，已與專精於託管式偵測與回應服務（MDR）的Red Canary簽署正式併購協議，雙方並未披露交易金額，僅說預計於今年8月完成交易。</p> <p>Zscaler表示，Red Canary讓客戶能夠以99.6%的準確率，將調查威脅的速度加快10倍，同時藉由自動化修復來簡化工作流程，在結合Zscaler的高品資資料，以及來自ThreatLabz安全研究團隊的全球情報之後，雙方的合併將帶來一個統一的、結合人類專業知識以及AI驅動工作流程的代理安全營運中心。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169238"><strong>【5月28日】新興駭客針對歐美國家下手，為俄羅斯政府從事網路間諜活動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169199"><strong>【5月27日】駭客於臺灣等70個國家挾持逾2千臺伺服器架設殭屍網路</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169160"><strong>【5月26日】歐美大國攜手執法，3天內破壞7個Botnet</strong></a></p> </div></div></div>
2025/5/29 16:33作者周峻佑https://www.ithome.com.tw/news/169261
零售IT雙周報第56期：對話式購物夯，支付業者相繼推出支援對話式購物的技術，OpenAI也揭露ChatGPT內購物功能…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#0000FF;"><strong>重點新聞(0518~0531)</strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099FF;">#AI代理購物 #個人化行銷</span></strong></span><br /> <strong>Visa推出一系列支援AI代理購物的API，提供商品推薦、身份驗證、支付授權等功能</strong></p> <p><a href="https://developer.visa.com/use-cases/visa-intelligent-commerce-for-agents">Visa發起Visa Intelligent Commerce for AI Agents計畫，推出一系列API來支援AI代理購物服務。</a>這些API包括基礎交易控制（Payment Controls），設置交易限制與條件，確保AI代理的購買行為符合用戶原始指示。</p> <p>還有資訊安全類API，支付憑證（Tokenization）及身分認證（Authentication），前者為AI代理提供專屬的支付代碼，僅能在獲得用戶授權的情況下使用，後者在AI代理代表用戶進行購買前驗證身份。</p> <p>不只支援基本購買行為，還有兩個強化商業功能的API，個人化推薦（Personalization）及商務信號（Commerce Signals），根據用戶消費行為，提供商品與服務推薦，提供交易追蹤與爭議管理功能，以支援售後服務流程。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099FF;">#AI搜尋引擎 #自動購物 #對話式購物</span></strong></span><br /> <strong>Paypal開始支援在Perplexity對話式購物功能，可以一鍵完成下單付款</strong></p> <p><a href="https://newsroom.paypal-corp.com/2025-05-14-Perplexity-Selects-PayPal-to-Power-Agentic-Commerce">在AI搜尋引擎Perplexity開始串接電商平臺，推出對話式購物功能後，又進一步與Paypal合作，打造自動化付款流程。</a>現在，當使用者與AI聊天機器人對話時，完成商品探索和比價，決定購物時，可以透過對話指令或點擊購買商品，來直接下單並完成付款。</p> <p>此功能支援Paypal旗下的Paypal和Venmo金流服務，且將開放全球4億多名Paypal用戶使用。Paypal強調，付款流程會應用自家防詐及資料加密技術，讓使用者不須輸入密碼同時，確保資訊安全。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099FF;">#生成式AI #對話式購物</span></strong></span><br /> <strong>OpenAI揭露更多ChatGPT電商功能的技術細節</strong></p> <p><a href="https://help.openai.com/en/articles/11146633-improved-shopping-results-from-chatgpt-search?jid=195321&sid=9494786">在開始串接電商平臺資料，推出聊天內電商功能後，OpenAI近日又揭露更多相關技術細節。</a></p> <p>目前對話式電商功能支援與GPT-4o和4o-mini的對話。ChatGPT會從用戶對話明確表態，或結合對話內容和模型記憶、自訂指令，來推測使用者購物意圖。接著，在輪播轉盤中顯示相關產品選項及產品細節，引導用戶連結到外部電商網站。</p> <p>給予這些回覆時，ChatGPT會考量諸多要素，包括電商網站的結構化元資料，如價格、產品描述，以及商品評論，和用戶需求。例如，如果用戶指定預算，ChatGPT會特別關注價格，反之，則可能會關注其他面向。</p> <p>OpenAI強調，顯示商品資訊時，商品評論和評分都不會經過驗證，而是由ChatGPT彙整前述外部資訊呈現。這意味著，有可能不同商品評分標準不一致，或者商品有著「經濟實惠」標籤，卻不是市面最低價的情況。用戶應參考具體商品頁面，來詳細了解相關資訊。</p> <p>ChatGPT顯示的商品定價，是頁面中列出的第一種價格，而非最低可能價格。當商家更新定價或運輸條款等相關資訊時，ChatGPT未必能即時讀取到。並且，有時估計的稅費和運費會與實質費用有所不同。OpenAI表示，他們正在研究優化價格顯示準確度的方法。</p> <p>至於顯示商品的順序，目前是由合作電商平臺提供者決定。ChatGPT根據價格、運費或退貨政策等因素對商家重新排名。不過，OpenAI確實有意自行調整商品呈現排序，因此他們將開放商家直接提供商品資訊，供他們未來自行打造商品排序與推薦機制。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099FF;">#遊戲電商 #元宇宙電商</span></strong></span><br /> <strong>Roblox推出串接遊戲體驗到外部電商的API</strong></p> <p><a href="https://corp.roblox.com/newsroom/2025/05/roblox-launches-shopify-integration-amp-licensing-program">沙盒類遊戲Roblox推出Commerce API，支援品牌和遊戲內創作者將遊戲內介面串接到外部電商。目前此API只支援Shopify電商，未來則計畫新增更多電商平臺。</a></p> <p>過往，Roblox已經與Walmart等許多知名品牌測試遊戲內策展，近月也不斷推出遊戲內廣告功能。如今推出電商功能，則能完整串起商品展示、行銷和販售的流程，讓品牌的遊戲內空間變成功能更完整的賣場。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099FF;">#訂貨預測 #連鎖餐廳管理</span></strong></span><br /> <strong>開展餐飲如何用IT支援Friday's等連鎖餐廳經營</strong></p> <p>在餐飲業，每一項餐點，所用到的食材不盡相同，但不同餐點也會用到相同食材，且食材需要人工盤點。光是開展集團旗下兩大主力餐廳品牌TGI Friday's和Texas Roadhouse的食材，超過500種品項，其中不乏從美國進口的食材。儘管以一周為單位盤點、分析，已經在餐飲業算相對頻繁，但仍是落後指標，對於訂購食材的採購，幫助有限。</p> <p>鎖定此痛點，他們決定導入商用解決方案，利用AI預測能力來輔助採購。採購人員綜合AI預測結果、自身經驗，以及未來行銷等營運計畫，規畫出採購提案，再於主管會議蒐集不同營運面向負責人的意見後，食材採購量與實際消耗情形，兩者相符率高達8至9成。</p> <p>這只是他們應用IT的其中一環，其他投資還包括高規格ERP、POS、KDS等系統。開展餐飲董事長表示：「投資IT，主要目標是提升管理效率，而非直接帶來更多營收。」這是他們以美式餐飲管理理念，將總部作為支援中心，所衍生出的IT態度。（<a href="https://www.ithome.com.tw/people/168976">詳全文</a>）</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099FF;">#生成式AI #主動式行銷</span></strong></span><br /> <strong>eBay推出新的GenAI聊天機器人，在消費者購物時主動提供購物建議</strong></p> <p><a href="https://innovation.ebayinc.com/stories/ebay-uses-agentic-ai-to-supercharge-personalized-ecommerce/">C2C電商巨頭eBay推出新的GenAI聊天機器人。</a>特色是，不只等待消費者開啟互動，還能在消費者操作購物App時，即時生成與當下頁面相關問題，引導消費者打開聊天介面，與機器人進一步對話。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ebayagai.jpg" style="width: 600px;" /></p> <p>例如，當打開高級手表的分類頁面，AI會生成「給我看復古式計時碼表」等提示，讓消費者點擊。此聊天機器人功能主要是提供個人化推薦、商品相關知識，並在對話中不斷替消費者生成後續可詢問的問題，以進一步延續對話。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099FF;">#生成式AI #個人化推薦</span></strong></span><br /> <strong>東南旅遊在旅展推出互動式個人化行程推薦體驗</strong></p> <p>在臺北國際旅展，東南旅遊結合AI人臉檢測與表情辨識技術，推出「AI 魔鏡智能選旅」功能。消費者只需站在互動裝置前自拍一張照片，系統即會辨識出可能情緒、穿搭風格，並從東南旅遊電商資料庫中，自動生成個人化行程。消費者掃描QR Code，能下載專屬介紹簡報，查看推薦行程的詳細內容、行程特色與售價。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099FF;">更多零售IT動態：</span></strong></span></p> <p><a href="https://91app.com/omnichannel-integration-solution/">91APP推出的全通路庫存管理系統IMS，一站式管理門市與線上電商等多通路庫存</a></p> <p><a href="https://seekingalpha.com/article/4774382-walmart-inc-wmt-2025-walmart-investment-community-meeting-and-q-and-a-session-conference">Walmart在Q1法說會中提到，持續導入自動化設備使每年物流成本減少2成，預計到年底能降低3成以上成本。</a></p> <p><a href="https://www.ithome.com.tw/news/169178">YouTube推出新的電商廣告功能，支援觀眾直接透過廣告在CTV上購物，或是透過掃描QR Code，用手機來購物。</a></p> <p><a href="https://business.tiktokshop.com/us/blog/detail/10023391">Tiktok Shop推出生成式AI賣家助手。</a></p> <p>資料來源：iThome整理，2025年5月</p> <p>責任編輯：郭又華</p> <p>圖片來源：Visa、eBay</p> <p></p> </div></div></div>
2025/5/29 17:54作者郭又華https://www.ithome.com.tw/news/169262
以提供防毒軟體為幌子，駭客意圖散布木馬程式VenomRAT搜括帳密
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了提升電腦防護，使用者下載、安裝防毒軟體可說是相當常見，但要務必留意下載的來源，因為有駭客製作冒牌網站聲稱提供防毒軟體，實際上卻是藉此散布惡意程式。</p> <p><a href="https://dti.domaintools.com/VenomRAT/">資安業者DomainTools指出</a>，他們看到聲稱提供Bitdefender防毒軟體的惡意網站bitdefender-download[.]com，駭客複製該廠牌免費防毒軟體Bitdefender Antivirus Free for Windows的網站，內容幾可亂真，僅有些許差異而難以辨別真假。然而一旦使用者從假網站下載防毒軟體的安裝程式並執行，電腦就可能感染木馬程式<a href="https://www.ithome.com.tw/tags/venomrat">VenomRAT</a>，導致密碼外洩並提供駭客遠端存取的管道。</p> <p>研究人員指出，冒牌網站與正牌幾乎一模一樣，僅有少量差異，其中一項就是駭客拿掉正牌網頁上的Free字樣。</p> <p>但駭客架設的網站仍有一些不尋常的地方有機可循，其中，引誘受害者上當的Download For Windows按鈕，其連結看似將使用者導向程式碼儲存庫Bitbucket下載檔，但若是用戶點選，此URL實際上會將他們重新導向至AWS S3儲存桶，才下載名為BitDefender.zip的壓縮檔。</p> <p>一旦使用者從上述ZIP檔解開並執行StoreInstaller.exe，電腦就會被植入VenomRAT，此木馬程式內含兩種主要元件StormKitty、SilentTrinity，這些都是開源的後利用框架，其中，StormKitty用於在系統環境收集帳密資料，SilentTrinity則是將竊得資料外送，並提供駭客長期存取受害電腦的管道。</p> <p>附帶一提的是，駭客用於架設冒牌防毒軟體網站的惡意網域，也與用來架設假銀行網站、假IT服務網站的網域有所交集，研究人員認為，冒牌防毒軟體網站很可能是網釣活動的一部分。</p> </div></div></div>
2025/5/29 16:05作者周峻佑https://www.ithome.com.tw/news/169258
軟體老字號的代理AI逆襲
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>五月最後的十天，兩大科技巨頭再次展開了生成式AI的新對決，微軟年度開發者大會Build和Google年度產品大會I/O，雙雙在同一周舉辦，雙方開場主題演講只差了一天，而且都瞄準了代理AI的新戰略布局，再次較勁的意味濃厚。</p> <p>微軟喊出了開放式代理型網際網路（Open Agentic Web）願景，從基礎架構、資料工具、AI平臺工具到代理AI應用，祭出各項新功能和新產品。Google不只發表多款多模態的大型語言模型，更試圖將代理AI能力，整合到各式各樣的服務中，從Google搜尋、Chrome到自家各種GenAI應用程式中。</p> <p>微軟、Google這兩家生成式AI巨頭較勁，看頭十足，也再一次翻新了眾人對於生成式AI可能性的想像，原來還可以發展出這麼多、這麼厲害的應用。</p> <p>同一時間，我卻飛到了美國波士頓，<a href="https://www.ithome.com.tw/news/169058" target="_blank"><span style="color:#3366ff;">參加老字號的商用開源作業系統廠商紅帽的年度大會</span></a>，同樣感受到生成式AI、代理AI浪潮的影響力。</p> <p>不同於AI巨頭們，如OpenAI與微軟聯盟、Google、Nvidia、AWS等，手上擁有龐大的算力、資料來發展各種大型語言模型，紅帽這家成立三十多年的老牌軟體商，堅持不走大型語言模型研發的路線，而是要善用自己原本的優勢，來卡位新的代理AI浪潮。</p> <p>擁有深厚作業系統背景的紅帽，對硬體支援非常熟悉，也和雲端供應商、硬體晶片供應商有很好的合作夥伴關係。<a href="https://www.ithome.com.tw/news/169079" target="_blank"><span style="color:#3366ff;">紅帽技術長Chris Wright用一句話點出紅帽的新戰略</span></a>：「將底層硬體和熱門模型的軟體架構串連起來，是紅帽在整個GAI世界中的位置。」</p> <p>紅帽的策略要將十多年來投入的混合雲戰略，帶入AI領域。<a href="https://www.ithome.com.tw/news/169060" target="_blank"><span style="color:#3366ff;">紅帽瞄準了企業大規模運用GAI的需求，新產品戰略方向是，要讓任何模型，使用任何晶片，在不同雲端環境如公雲、私雲和邊緣上執行</span></a>。新發表的商用Linux作業系統RHEL 10新版，可以通吃混合雲和AI工作運算需求。另外，也用可以加速LLM運作的開源專案vLLM為基礎，推出全新的AI推論伺服器，還發表一個大規模AI推論加速的開源專案llm-d，以K8s實現分散式推理架構，來突破vLLM單一伺服器的限制。</p> <p>最後一項是宣布，旗下兩大AI產品線RedHat AI和OpenShift AI，都將支援Meta的Llama Stack框架和熱門的MCP協定。</p> <p>不只紅帽，5月初，我們另一位記者王若樸則飛到奧蘭多，參加另一家創立近50年的老字號數據分析品牌SAS年會，他們同樣也在今年大會宣布，新戰略全力瞄準代理AI浪潮（<a href="https://www.ithome.com.tw/article/169264" target="_blank"><span style="color:#3366ff;">相關報導請見：老牌數據大廠的代理AI新戰略</span></a>）。</p> <p>原本就擅長各種數據分析技術和傳統預測式AI技術的SAS，有一套頗受企業青睞的數據分析工具和平臺，他們和紅帽一樣，沒有優先研發自己的大型語言模型，而是善用既有平臺產品優勢，來瞄準代理AI浪潮。</p> <p>SAS在既有的決策平臺Intelligent Decisioning上，增加AI代理能力，尤其是可以提供各種客製化AI代理的開發工作。SAS提供了一套低程式碼AI開發工具，可以用拖拉式的操作，以視覺化的方式來建立代理AI的工作流程，不只可以用於開發設計，也能用這套決策平臺，來部署和擴展可以獨立運作的AI代理應用。</p> <p>這個代理型AI平臺的特色是，結合了SAS擅長的傳統統計分析和LLM，來打造AI代理。更提供了AI治理可用的工具，來提高AI代理的透明度與可解釋性，像是整合了原本的模型卡（Model Cards）功能，可以呈現出所用模型的偏差評估結果，也提供了AI供應鏈追蹤功能（Lineage），源自傳統資料工程實踐，可以用視覺化的方式，來呈現從資料ETL流程、模型訓練、版本管理、模型部署到最後輸出決策的邏輯脈絡。</p> <p>面對生成式AI巨頭不斷翻新技術的激烈競爭，老字號的軟體業者像是SAS或紅帽，都走出一條不一樣的AI路，善用多年累積的商用IT實力，創造出可以卡位代理AI新競賽的差異化競爭優勢。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E7%B4%85%E5%B8%BD">紅帽</a></div><div class="field-item odd"><a href="/tags/%E4%BB%A3%E7%90%86ai">代理AI</a></div><div class="field-item even"><a href="/tags/sas">SAS</a></div></div></div>
2025/5/29 17:06作者王宏仁https://www.ithome.com.tw/voice/169265
購物網站商品收藏清單外掛驚傳滿分漏洞，逾10萬網站受影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>熱門購物清單外掛TI WooCommerce Wishlist再傳重大漏洞！值得留意的是，軟體開發商對於研究人員通報漏洞不予理會的情況，已有前例，用戶最好尋求其他替代方案，以免電商網站曝險。</p> <p>資安業者Patchstack指出，WordPress外掛程式TI WooCommerce Wishlist存在<a href="https://patchstack.com/articles/unpatched-critical-vulnerability-in-ti-woocommerce-wishlist-plugin/">危險程度達到滿分10分的重大漏洞CVE-2025-47577</a>，估計有10萬個網站受到影響。由於這項弱點尚未有修補程式，研究人員呼籲用戶最好暫時停用並刪除。</p> <p>關於TI WooCommerce Wishlist的功能，主要是讓WooCommerce電商網站加入購買清單，由於這種功能通常能增加購物者下單的機會，幾乎可說是電商網站必備。值得一提的是，該外掛還能與WC Fields Factory等其他WooCommerce外掛搭配、整合使用，提供的客製化選單。此外掛程式有10萬網站採用，算是相當受到歡迎。</p> <p>針對這次研究人員發現的漏洞，攻擊者只要觸發，就有機會在未經身分驗證的情況下，上傳惡意檔案到伺服器，目前最新版2.9.2的TI WooCommerce Wishlist，也受到影響。</p> <p>研究人員於今年3月通報，但目前為止開發商並未回應，也沒有修補漏洞，於是他們決定公開揭露此事。值得留意的是，TI WooCommerce Wishlist被發現重大漏洞，開發商對於研究人員不予理會的情況，<a href="https://www.ithome.com.tw/news/165277">已非首例</a>。去年9月，Patchstack揭露未經授權SQL注入漏洞CVE-2024-43917（CVSS風險值9.3），他們在7月通報之後就石沉大海，WordPress外掛程式審核團隊於9月12日暫時不開放下載。</p> </div></div></div>
2025/5/29 15:08作者周峻佑https://www.ithome.com.tw/news/169256
由Sam Altman共同創辦的Tools for Humanity及World進駐臺灣市場
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由OpenAI共同創辦人Sam Altman共同創辦的World本周三（5/28）<a href="https://world.org/zh-tw/blog/announcements/world-launches-in-taiwan" target="_blank">正式宣布進軍臺灣市場</a>，邀請臺灣民眾透過World Space驗證他們的World ID，用以區別人類及AI機器人，加入「以人為本」的金融與身分網路。</p> <p>其實Altman、Alex Blania與Max Novendstern最早是在2019年創辦Tools for Humanity，再於2021年發表<a href="https://www.ithome.com.tw/news/147437" target="_blank">Worldcoin專案</a>，去年將Worldcoin<a href="https://www.ithome.com.tw/news/165568" target="_blank">更名為World Network</a>，而這也是此次進軍臺灣所使用的名稱。</p> <p><a href="https://www.toolsforhumanity.com/" target="_blank">Tools for Humanity的首頁</a>很簡單，僅描述這是一家專替AI時代的人類所建置的科技公司，擁有逾400名開發人員、科學家、工程師、設計師、經濟學家或創作者等，主要負責替World打造各種工具，包括開源的、用來掃描虹膜的Orb。</p> <p><a href="https://world.org/zh-tw/blog/world/orb-faqs" target="_blank">根據World的解釋</a>，Orb使用專門的感應器來確保站在它前面的是人類，接著拍攝並處理一系列的虹膜圖像，以建立一個虹膜碼，用來驗證人類的唯一性，並成為人類的World ID。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0529-World-World%20ID-Orb-3(1).png" style="width: 600px;" /></p> <p><span style="color:#696969;">圖片來源／World</span></p> <p>至於World ID則是一個匿名的真人憑證，以在無法再用智力來區分是AI還是人類的世界裡，得以證明自己的人類身分。</p> <p>看起來Altman在2015年共同創辦OpenAI之後，便發現AI的智力很快就能與人類相當，甚至超越一般人，也想到了有一天人們必須要證明自己是人類而非機器人。</p> <p>迄今Tools for Humanity已於德國、日本、新加坡、阿根廷、馬來西亞、南韓、泰國、哥倫比亞、智利、墨西哥、奧地利與肯亞等國家推出World ID驗證服務，一直到今年5月才正式進駐美國市場，接著於臺灣推出。</p> <p>對World ID有興趣的使用者可先下載World App，再藉由Orb掃描虹膜以取得自己的World ID，註冊之後就能領取世界幣（Worldcoin）。目前全球已經有超過2,700萬人取得World ID，現在每個世界幣的價格為40.84元新臺幣。</p> <p>現階段Tools for Humanity在臺灣的3個地點提供Orb以掃描使用者的虹膜，它們都在臺北市，分別是臺北創新中心、臺北方舟，以及Taipei Dome。</p> </div></div></div>
2025/5/29 15:17作者陳曉莉https://www.ithome.com.tw/news/169257
9千臺華碩路由器遭殭屍網路AyySSHush入侵，駭客植入SSH後門
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來針對小型路由器等連網裝置的攻擊行動頻傳，駭客看上許多使用者不會定時更新的情況，利用已知漏洞從事活動，甚至進一步關閉廠商內建的其他防護機制，使得用戶難以察覺受害。</p> <p>例如，威脅情報業者GrayNoise揭露<a href="https://www.greynoise.io/blog/stealthy-backdoor-campaign-affecting-asus-routers">鎖定華碩路由器</a>的<a href="https://www.labs.greynoise.io/grimoire/2025-03-28-ayysshush/">殭屍網路AyySSHush攻擊行動</a>，就是典型的例子。他們從3月18日察覺駭客的活動，經過2個月的追蹤，已有近9千臺路由器受害。這些駭客之所以得逞，主要運用的手段，包括發動暴力破解、奪下設備控制權，或是利用2個尚未登記CVE編號的身分驗證繞過漏洞（目前已完成修補），取得初始存取權限，一旦得逞，他們就會試圖利用已知漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-39780">CVE-2023-39780</a>執行任意命令，最終植入自己的SSH金鑰建立以持續存取的管道，並將相關組態存放於非揮發性隨機存取記憶體（NVRAM）。</p> <p>值得留意的是，由於駭客將後門程式部署在NVRAM，即使用戶將路由器重開機或是更新韌體，都不會清除駭客留下的惡意程式及組態設定。除此之外，駭客並未部署其他的惡意軟體，但他們為了迴避偵測，不僅停用路由器的事件記錄功能，也停用與趨勢科技合作的內建防護機制AiProtection。</p> <p>附帶一提的是，GrayNoise特別提及相關調查結果與<a href="https://ithome.com.tw/news/169195">Sekoia揭露的中國駭客ViciousTrap活動</a>有關，鎖定華碩路由器的攻擊是該項行動的一部分，兩家資安業者不約而同提到，駭客使用TCP通訊協定及53282埠建立SSH連線犯案。</p> <p>針對駭客使用的漏洞CVE-2023-39780，此為允許通過身分驗證的攻擊者於作業系統層級進行命令注入的弱點，當時研究人員是在華碩的路由器RT-AX55發現，CVSS風險為8.8。不過，GrayNoise指出，他們看到駭客攻擊目標，是採用出廠預設組態的另外兩款機型：RT-AC3100、RT-AC3200。</p> </div></div></div>
2025/5/29 12:23作者周峻佑https://www.ithome.com.tw/news/169252
微軟公布統一化Windows Update協作平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為解決Windows 11上分散的軟體及安全更新造成的麻煩，微軟希望以Windows 11作為統一的更新管理者，微軟正開發Windows Update協作平臺，可管理第三方應用程式、驅動程式更新，並在本周<a href="https://techcommunity.microsoft.com/blog/windows-itpro-blog/introducing-a-unified-future-for-app-updates-on-windows/4416354" target="_blank">以私有預覽版開放用戶報名測試</a>。</p> <p>目前企業環境中有各種應用、Windows元件、Visual Studio等產品，都是各自更新，不但難以管理，而且更新時干擾用戶電腦正常運作、各種通知引發混亂，導致錯過更新期限，還增加IT部門的支援成本。微軟新的協作平臺（orchestration platform）即是為了解決上述問題而生。</p> <p>微軟新的協作平臺是以Windows Update相關技術為基礎開發而成，旨在提供管理工具開發人員API，以加入到其產品更新清單。這個平臺的協作者就會協調所有加入清單的產品在Windows 11上更新，以及微軟自己的Windows Update，使IT管理員及用戶不再被眾多更新混淆及干擾。</p> <p>Windows Update協調平臺的運作方式，是使用一組Windows Runtime（WinRT）API和PowerShell指令，在App或管理工具加以註冊。一開始需先將Windows Update orchestrator註冊為更新供應者。其次，告知orchestrator需要安裝的（應用程式或工具）更新有哪些。當完成設定後，該平臺會根據排程掃瞄或下載、安裝並檢查成功與否。若失敗orchestrator會再重新排程，若成功則會接續其他作業。</p> <p>這個協作平臺可提供智慧排程，根據使用者活動、系統效能、是否連上AC電源排定更新。微軟或第三方應用式更新，都可使用原生Windows Update的通知，可簡化使用體驗。這個協調工具可支援IT的更新期限和通知等管理政策；應用程式更新紀錄會集中在「設定」，方便用戶統一讀取，若發生問題時也可讓IT統一讀取更新log進行問題排除。</p> <p>Windows Update協調者支援常見應用套件格式，像是MSIX/APPX，或是Win32 App。加入Windows Update協調者清單的產品，未來會自動更新到用戶電腦。</p> <p>有意加入預覽測試者，需以郵件信箱<a href="mailto:[email protected]">[email protected]</a>聯絡微軟。</p> </div></div></div>
2025/5/29 12:25作者林妍溱https://www.ithome.com.tw/news/169251
Telegram宣稱將整合xAI的Grok，遭馬斯克打臉
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Telegram創辦人暨執行長<a href="https://x.com/durov/status/1927705717626003759" target="_blank">Pavel Durov周三（5/28）宣布</a>，即將於Telegram上整合xAI的聊天機器人Grok，幾個小時後，xAI創辦人暨執行長<a href="https://x.com/elonmusk/status/1927839555828220165" target="_blank">馬斯克（Elon Musk）便回應</a>，尚未簽署任何協議，直接打臉Durov。</p> <p>根據Durov的說法，雙方已同意展開一年的合作，Grok將在今年夏天全面進駐所有的Telegram應用程式，造福逾10億名Telegram用戶。此外，Telegram將從xAI獲得3億美元的現金及股票，再加上於Telegram上訂閱Grok的一半（50%）分潤。</p> <p>消息一出，由Telegram所開發的TON代幣價格，立即從3美元攀升到逾3.6美元。</p> <p>相較於Durov的興奮，馬斯克只冷冷地說了一句：「並未簽署任何協議。」Durov也在下方留言，雙方已經原則上同意，只是還有各種手續待辦。接著TON代幣的價格便隨之下滑至3.3美元。</p> <p>Grok聊天機器人目前已現身於同為馬斯克麾下的X平臺，也已推出Grok.com，以及支援Android與iOS的行動程式。</p> </div></div></div>
2025/5/29 12:47作者陳曉莉https://www.ithome.com.tw/news/169253
兩大IT自動化平臺Terraform和Ansible未來如何整合？雙方技術長對談未來整合願景
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年3月，獲得英國主管機關的核准後，IBM終於完成了對雲端基礎架構工具業者HashiCorp的收購案，HashiCorp旗下混合雲管理自動化工具Terraform，和紅帽旗下DevOps圈愛用的IT自動化工具Ansible，都成為IBM旗下產品。</p> <p>在今年紅帽年度大會第二天主題演講中，紅帽產品長Ashesh Badani也宣布，未來將與HashiCorp將有更深度合作，因為許多紅帽的企業用戶，同時使用了HashiCorp的Terraform和Vault產品，以及紅帽OpenShfit平臺和Ansible工具。</p> <p>Ansible擅長配置程式碼化管理，而是Terrform則是基礎架構程式碼化的主流，企業IT團隊過去就長混用兩種工具來部署應用程式和所需要的基礎架構資源。</p> <p>HashiCorp 是全球最大的企業混合雲和多雲環境管理工具商，全球企業用戶超過4,400家，包括財經媒體集團彭博、星巴克、摩根大通集團、GitHub等，超過8成的財星500大企業採用。<br /> IBM去年4月宣布以每股35美元，總價64億美元全現金收購這家公司。收購完成後，HashiCorp旗下產品，也將成為IBM自動化雲端產品線中，企業混合雲管理方案的最新成員，可以和RedHat、watsonx、資料安全及IT自動化、與IBM諮詢顧問服務產生綜效。</p> <p>例如可整合Terraform和紅帽Ansible自動化平臺來支援多雲平臺上的服務自動化。或用HashiCorp的Vault和Red Hat OpenShift平臺，來提供混合雲環境的機密管理和安全，協助在混合雲部署IBM Z平臺應用。IBM也承諾會投資持續開發HashiCorp。</p> <p>Ashesh Badani表示，Terraform和Ansible兩款自動化工具可以互補，提供涵蓋基礎架構管理生命周期，更完整、端到端的自動化管理，從開發設計階段（Day 0）、上線部署（Day 1）到後續維運（Day 2）的階段。</p> <p>他也舉例說明，在紅帽在Ansible工作流程中，整合了許多的Terraform的工作流程指令「計畫」命令，使用者可以直接在Ansible工作流程中，選擇要啟用哪些 Terraform計畫。這些工作流程同時可以透過 Ansible和Terraform來觸發後續步驟。</p> <p>「 AI運作也需要自動化，尤其是事件驅動的自動化能力是關鍵，」 Ashesh Badani 表示，未來幾個月的整合目標，要先提高產品對產品的整合度，特別是跨Ansible和Terraform的整合，並且要打造相關的整合機制和函式庫。</p> <p>在IBM宣布要併購HashiCorp之後，兩家公司也收到很多客戶的詢問，尤其對於兩家公司同質性產品後續的整合和發展問題。所以，在紅帽年會第二天開場演講後，兩家公司的技術長，紅帽技術長Chris Wright和HashiCorp創辦人兼技術長Armon Dadgar，也對媒體展開一場對談，進一步說明兩家公司整合後的發展方向和願景，整理如下：</p> <p>紅帽技術長Chris：HashiCorp和Red Hat的混合雲願景非常契合，很早就開始討論如何合作。IBM宣布收購HashiCorp的消息後，他們最常被問到的第一個問題是Red Hat怎麼辦？其次是容器環境的秘密管理未來的發展。另一個較少人提到，但紅帽技術長很有興趣的議題是，Vault 和Ansible對憑證普及化的整合潛力。</p> <p>HashiCorp技術長Armon：<br /> 從生命週期角度來看，第一步是建立雲端帳戶，部署VPC環境等，Terraform對Day 0和Day 1的基礎架構配置的表現非常好，但建立一個VM運作環境後，需要執行配置管理，來符合應用程式的需求，後續第二天、第三天長期運作上，不只VM需要修補，也需要升級應用程式，甚至應用程式有壽命，如測試環境的程式在任務完成後需要銷毀。Terraform建立環境後，可以交接給Ansible，但現在缺乏機制，在清理VM後可以自動將測試版本從AP服務管理清單中註銷，得手動處理。這就是一個在AP生命週期中，需要Ansible和Terraform實現更好整合的例子。對我來說，願景是基礎架構程式碼完全自動化，從第零天到運作的最後一天。</p> <p>Chris：每一個工具都是整體中的不同部分，但是如何讓它看起來像是單一平臺、緊密整合的工具。未來的願景是，找出更好的組合，描繪一個從基礎設施開始，到應用程式結束的生命週期是什麼樣的樣貌。但這樣的整合，是一種指導性的建議，而非強制。企業不想因為有更好的功能而得有很大的改變。因應市場需求，兩家公司都需要保持各自工具的靈活性，雙方的社群也有很大的不同。</p> <p>Armon：人們常說OpenShift就等於Kubernetes，但我認爲，範圍可以更大，OpenShift可以視為CNCF容器生態系統，遠不只是K8s，像是還有Helm等。串接整套流程，在OpenShift 發行版中，有38個需要另外整合其他工具或機制的接觸點，像是在CI/CD流程、GitOps流程，應用程式都需要金鑰、憑證來運作。如何簽發憑證，如何更換是一大麻煩。<br /> 如何確保整體如預期般的運作，甚至確保機密，需要一個以安全為預設的平台，集中式的秘密管理機制、密鑰管理機制和憑證管理機制。只要在OpenShift平臺打開一個預設選項，就能讓整個流程和環境，協同運作，甚至隨著新版本更新而自動更新，這是一個未來可以整合的機會。</p> <p>Chris：如何用同一套秘密管理來處理整合，如何延伸到所有的管理功能中，這種功能應該做到，開箱即用就能做對的事情。但沒有什麼事情比簡單更複雜的挑戰了。<br /> Armon：許多組織的挑戰是，在基礎架構環境中用Vault集中管理金鑰，但要如何將金鑰派發給應用程式，能不能在部署應用程式緊密整合 Vault，是一大需求。像這類的最後一哩路，將是未來整合的巨大機會。像是部署建立同時交付秘密金鑰，更新和修補時，也將憑證更換列入維運生命週期管理的一環，可以對金鑰集中管理、加密、權杖化，也進行最後一哩的交付，這會是未來改善體驗的重點。還有一個顧客常見的需求，能不能用單一個混合雲的管理API，就能同時部署和管理Terraform和Ansible，這也是雙方正在討論的重點之一。</p> <p>「這不只是Ansible和Terraform成為可以協同運作的工具，而是真正將基礎設施管理和應用程式交付方式打通。」Chris強調。</p> <p>Armon：我們各自所所不足，但聯手就可以創造新的共同機會。幾乎所有企業的挑戰是，他們將擁有多個公雲和私雲，如何跨越這些環境來操作是一大挑戰，對開發人員來說，只想寫出程式碼，但不在乎這些程式如何執行，在哪裡執行等運作細節。如何能夠提供單一視圖和單一的雲端管理平臺，任開發人員專注於他們所關心的目標，這是我認為的正確方向。<br /> 如何找到一套黃金模式、黃金工作流程，又能在混合環境中靈活運作。</p> <p>我們思考如何在OpenShift平臺上，將各種元件打包，提供更高層次的開發者抽象層，提供一個可以跨環境進行工作流程自動化的平臺，這正是Waypoint開發者入口網站想要實現的事。目前我們開始思考，需要什麼樣的開發者可視化，如何讓維運者也有一致的模式，提供跨環境的一致化操作方式，這是我最終想要達到的目的地。讓開發人員跨越不同環境，從營運角度來確保該有的安全風險配置，這還需要很多工作，但我很有信心。</p> <p>Chris：如何將成本（cost）、複雜性（Complexity）和合規性(Compliance）整合，再讓這些整合看不見，讓整套平臺總是合規而且預設安全，還能提供成本管理。從複雜性的角度來看，優化必須內建，但要如何隱藏，並將其打包，來確保一致性，不用讓每一家企業反覆遇到同樣的問題，這是我們的關鍵課題。 </p> </div></div></div>
2025/5/29 11:30作者王宏仁https://www.ithome.com.tw/news/169249
Nvidia首季財報出爐，營收成長69%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://nvidianews.nvidia.com/news/nvidia-announces-financial-results-for-first-quarter-fiscal-2026" target="_blank">Nvidia周三（5/28）公布</a>截至今年4月27日的2026財年第一季財報，該季Nvidia締造了441億美元的營收，成長69%，淨收入為188億美元，成長26%，該季的每股盈餘為0.76美元，成長27%。由於皆超越分析師預期，當天Nvidia盤後股價上揚4.87%，漲至141.37美元。</p> <p>在Nvidia的所有營收中，資料中心類別占了391億美元，相較於去年同期成長73%；遊戲營收為38億美元，成長42%；專業視覺化營收為5.1億美元，成長19%；汽車暨機器人營收為5.7億美元，成長72%。</p> <p>值得注意的是，美國政府在今年4月9日通知Nvidia，要求該公司在出口H20至中國市場之前，必須先取得許可，因為此一新的要求，Nvidia在今年第一季產生了45億美元的費用，與H20的超額庫存及採購義務有關。</p> <p>在收到美國政府的要求之前，Nvidia已售出價值46億美元的H20，之後還有價值25億美元的H20則因為新命令而未能出貨。</p> <p>雖然未在新聞稿中提及，<a href="https://www.ft.com/content/5f2c318b-39e6-4ce9-bcd4-d950aa5525c8" target="_blank">但英國金融時報（ Financial Times）報導</a>，Nvidia創辦人暨執行長黃仁勳在財報會議中向分析師透露，讓中國晶片製造商不必面對來自美國的競爭，只會讓它們在國際上變得更強，對於中國無法自行製造AI晶片的假設顯然是錯誤的，能夠贏得AI開發者的平臺就能贏得AI。</p> <p>除了中國議題之外，黃仁勳表示，專為推理而設計的思考機器—Blackwell NVL72 AI超級電腦現已於系統製造商及雲端服務供應商中進入全面生產及使用階段，全球對Nvidia AI基礎設施的需求非常強勁，AI推論Token生成在一年內成長了10倍，隨著AI代理人成為主流，對AI運算的需求也會加速，AI已像電力及網路一樣，成為各國不可少的基礎設施，而Nvidia正處於此一變革的中心。</p> <p>Nvidia估計今年第二季的營收為450億美元，而因出口管制而造成的H20營收損失則是80億美元。</p> </div></div></div>
2025/5/29 11:54作者陳曉莉https://www.ithome.com.tw/news/169250
Opera推出代理式AI瀏覽器Neon 可幫用戶寫報告、打Game
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.opera.com/news/2025/05/opera-neon-first-ai-agentic-browser/" target="_blank">Opera本周推出</a>具有AI代理人功能的瀏覽器Neon，不僅可用來上網，還能幫用戶撰寫報告、玩線上遊戲或其他任務。</p> <p>Opera指出，這次推出的Opera Neon和2016年<a href="https://press.opera.com/2017/01/12/opera-neon-envisions-the-future-of-web-browsers/" target="_blank">公布的同名瀏覽器</a>的重磅回歸，但是更加了AI代理人要素。</p> <p>Neon不同於一般AI瀏覽器只是單純整合AI工具，其能力涵括三個層次，包括聊天、執行任務和創造。Opera Neon像ChatGPT一樣，可回答用戶問題、搜尋網路、它也能理解網頁上下文，提供相關答案。</p> <p>在執行任務能力方面，Neon可理解網頁並與之互動，像是填表、訂旅行票券或購物。但Opera強調Neon用以理解用戶活動的方法比別人更快。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0529-Opera%20Neon-AI%20agentic%20browser-do.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Opera</span></span></p> <p>Opera說明，Neon使用的是3月推出的代理人Operator。相較於別的AI代理人是根據螢幕錄製內容或virtual pointer來分析頁面像素及判讀頁面，Neon是經由DOM tree和排版資料來分析頁面，它無需讀完整個網頁，因此理解內容速度更快。而且它在瀏覽器原生運作，也能確保用戶上網紀錄、登入和cookies等個資隱私。</p> <p>在創造方面，Neon不但能作業，還能協調一群AI代理人作業，類似樂團指揮的角色。當任務定義完成，Neon會協調Opera歐洲伺服器上VM中的AI代理人作業，最後再集結成果，用戶不在電腦前或離線都能完成。它能執行的任務像是小型線上遊戲、股票比較、完成一篇報告。</p> <p>而且，Neon能在執行任務時使用其他工具，例如當用戶想做一份互動式報告，Opera會自行安裝Python函式庫和JavaScript框架來製作，碰到錯誤也會自行修正錯誤。用戶離線時也能執行任務。</p> <p>Neon目前僅提供邀約限定測試。有興趣的用戶需在<a href="http://www.operaneon.com">www.operaneon.com</a>網頁上加入等候清單報名。</p> </div></div></div>
2025/5/29 11:07作者林妍溱https://www.ithome.com.tw/news/169248
Anthropic公布Claude語音模式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://x.com/AnthropicAI/status/1927463559836877214" target="_blank">Anthropic本周公布</a>以Beta版將語音模式推向聊天機器人Claude手機App，現在讓用戶可以英語和Claude互動，包括下達指令或聽取回應。</p> <p><a href="https://support.anthropic.com/en/articles/11101966-using-voice-mode-on-claude-mobile-apps" target="_blank">Anthropic說明</a>，Claude的語音模式允許iPhone和Android手機（或平板）用戶和Claude講話，聽取其回應，Claude說話同時也會在螢幕上顯示摘要重點。而在同一段對話中，Claude能無縫轉換文字和語音模式。</p> <p>如果你是付費用戶，Claude還能在語音模式下，存取Google Docs、行事曆、Gmail和上網搜尋。</p> <p>語音模式已提供給iOS及Android版Claude App。不過目前僅支援英文。語音對話次數計入用戶付費方案提供的使用量。在所有使用量方面，免費用戶每天可傳送100則訊息，<a href="https://support.anthropic.com/en/articles/8324991-about-claude-pro-usage" target="_blank">Pro方案</a>則為5倍。在語音模式下，每天可傳送20到30則語音訊息。</p> <p>點入輸入列中的麥克風圖示旁有個音波符號即可啟動語音模式。當中還有個人化選項供用戶選擇。語音模式控制項也很直覺，除了按「向上箭頭」傳送用戶聲音給Claude，按「方塊鍵」暫停對話，按「x」離開語音模式，按「＋」號存取相機、相片或檔案。</p> </div></div></div>
2025/5/29 08:31作者林妍溱https://www.ithome.com.tw/news/169247
勒索軟體DragonForce利用遠端管理工具SimpleHelp漏洞，攻擊MSP業者與其客戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>勒索軟體DragonForce鎖定遠端管理工具SimpleHelp多項資安漏洞，針對一家託管服務供應商（Managed Service Provider，MSP）及其多個客戶發動大規模攻擊，導致部分企業遭遇資料加密與外洩風險。資安業者Sophos在事件調查報告<a href="https://news.sophos.com/en-us/2025/05/27/dragonforce-actors-target-simplehelp-vulnerabilities-to-attack-msp-customers/">指出</a>，攻擊者可能利用SimpleHelp工具的漏洞進行橫向移動與大規模散播勒索軟體，同時竊取敏感資料，並採用雙重勒索方式，要求受害組織支付贖金以換取資料不被公開。</p> <p>Sophos研究人員表示，攻擊者極可能利用2025年1月公開的SimpleHelp相關CVE漏洞，包括路徑走訪相關漏洞CVE-2024-57727、任意檔案上傳漏洞CVE-2024-57728及權限提升漏洞CVE-2024-57726。而攻擊行動從MSP架設的SimpleHelp遠端監控與管理（RMM）系統開始，攻擊者取得多個託管客戶環境的操作權限後，透過受控RMM平臺將經過竄改的SimpleHelp安裝程式，發布至多臺終端植入惡意軟體，使攻擊範圍橫跨多個組織。</p> <p>DragonForce自2023年中開始活躍於勒索軟體即服務領域，近期積極調整組織策略，推動聯盟化與分散式攻擊。研究人員提到，DragonForce曾聲稱接管RansomHub等勒索組織的基礎設施，且包括Scattered Spider（UNC3944）等過去RansomHub聯盟成員，也曾利用DragonForce服務攻擊大型零售業。</p> <p>MSP集中管理多家企業客戶IT基礎設施，因此一旦遠端管理系統遭入侵，攻擊者便可能以此為跳板滲透多個組織。MSP與企業應定期修補遠端管理工具的已知漏洞，強化存取控管與權限設定，避免使用共用或弱密碼，並對關鍵操作採多因素認證，另外，建立異常行為監控與事件通報機制，也助於減緩勒索軟體及橫向移動帶來的風險。Sophos已將該攻擊事件相關威脅指標（IOC）<a href="https://github.com/sophoslabs/IoCs/blob/master/2505%20DragonForce%20targets%20SimpleHelp%20RMM.csv">公開</a>於GitHub，供業界參考檢測。</p> </div></div></div>
2025/5/29 08:13作者李建興https://www.ithome.com.tw/news/169242
Google引入用戶層級差分隱私，最佳化LLM微調效能與隱私
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google<a href="https://research.google/blog/fine-tuning-llms-with-user-level-differential-privacy/">發表</a>針對大型語言模型微調過程，導入用戶層級差分隱私的最新研究。研究成果在於兼顧模型效能與用戶隱私的前提下，解決過去在大型模型訓練時執行用戶層級差分隱私（Differential Privacy）雜訊過多，導致模型表現受限的問題。</p> <p>目前開發者在應用大型語言模型時，往往需微調模型提升效能表現，但這些應用大多涉及用戶資料，特別是金融、醫療或個人化推薦等對資料敏感度要求較高的場景。傳統差分隱私著重於單一樣本層級的保護，能降低單筆資料外洩的風險，但Google提到，當單一用戶貢獻多筆資料時，現有方法難以防止判斷用戶是否參與訓練。用戶層級差分隱私則進一步保障用戶隱私，讓攻擊者無法從模型推測特定用戶的資料是否被用於訓練。</p> <p>Google團隊說明，相較於樣本層級差分隱私，用戶層級差分隱私在訓練過程中須注入更多雜訊，才能確保每位用戶的隱私，不過雜訊增加同時會降低模型學習能力，影響整體效能。此挑戰在大型語言模型等需要大量運算資源的訓練過程中更為明顯。過去用戶層級差分隱私大多應用於聯邦學習（Federated Learning）等分散式訓練場景，對於雲端資料中心大規模模型訓練，現有方法則面臨實作與效能的挑戰。</p> <p>Google提出的新技術重點，在模型微調階段的用戶層級差分隱私最佳化策略，針對差分隱私隨機梯度下降訓練法進行調整。研究團隊比較樣本層級隨機抽樣（Example-Level Sampling，ELS）及用戶層級隨機抽樣（User-Level Sampling，ULS）兩種方法。這兩種方式均透過前處理限制每位用戶的最大樣本數，以降低單一用戶資料對模型的影響，然後進行後續訓練。</p> <p>Google團隊發現過去對於應注入的雜訊量普遍高估，實際所需雜訊可大幅減少，有助於在不影響隱私保障前提增加模型訓練成效。此外，研究團隊提出用戶貢獻上限預先設定策略，協助開發者在訓練前就選定最佳參數，無需多次試錯，進一步降低資源消耗與訓練成本。</p> <p>研究團隊在公開的StackOverflow與CC-News資料集上，以3.5億參數規模的Transformer模型進行測試。實驗結果顯示，在最佳化的用戶層級差分隱私方法，微調後模型效能優於未經微調的預訓練模型，而多數情境，ULS模式可取得較佳效能，僅於部分高隱私需求或運算資源有限的情況，ELS模式才具有競爭力。</p> </div></div></div>
2025/5/29 08:19作者李建興https://www.ithome.com.tw/news/169246
車輛中心展示自研的Level 3自動駕駛電巴技術
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>財團法人車輛研究測試中心（簡稱車輛中心或ARTC）本周展示最新的智慧駕駛技術成果，包括符合Level 3的自駕電動巴士，具備車道維持、閃避障礙物、駕駛者狀態監控等，未來相關的智駕技術將技轉予合作廠商。</p> <p>車輛中心在幾年前即投入自動駕駛技術研發，例如2019年在經濟部技術處支持下，開發SAE Level 4的WinBus自駕小巴，並在2020年上路測試，利用自駕技術的小型巴士，作為短距離接駁運輸用途。</p> <p>本周亮相的Level 3的自駕電動巴士，不同於WinBus為全新製造車輛，採用成運汽車的電動巴士作為平臺，搭配中輛中心自研的決策控制軟體及決策控制器，結合Nvidia的駕駛監控運算平臺晶片，搭配攝影機、雷達等感測器，車輛中心強調該輛自駕電動巴士具備感知融合、自動駕駛控制、駕駛接管判斷、風險應變決策等功能，符合聯合國UN R157 Level 3的自動駕駛標準。</p> <p>車測中心稱這輛自駕電巴是國內首輛Level 3 AI自駕電動巴士，由車輛中心與國內廠商，包括義隆電子、歐特明、為昇科、旭春、友通資訊、智易科技、奇美車電等業者合作開發。自駕電巴整合5項ADAS功能，車聯網軟體更新、L3最小風險操作、自駕安全接管、自駕行控中心及車輛資安防護。</p> <p>該自駕電動巴士目前在車測中心場內測試駕駛，並且是以市區行駛電動巴士為原型來設計，車輛中心展示的影片，一開始由司機員手動駕駛電動巴士，在手動駕駛之下，當車輛要左轉或右轉切換車道，自動偵測欲切換車道後方是否有來車，若偵測到旁邊車道有來車接近中，自動控制車輛回到原先車道，輔助人工駕駛。</p> <p>當司機啟動自駕模式，系統會自動控制車輛維持在車道中央，依循車道自動駕駛右彎，在自動駕駛模式下，司機向右打方向燈，系統控制車輛切換至右側車道，完成切換車道後撥回方向燈，車輛就會自動保持新車道中央行駛，再打左轉方向燈，系統控制車輛切至左側車道，回到原先的車道位置行駛。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%96-600(19).jpg" style="width: 600px; height: 295px;" /></p> <p>在Level 3自駕模式下，駕駛者的腳可離開油門及煞車踏板，手也不需握著方向盤，以減輕司機長時間駕駛的壓力。當車輛偵測到與前車的安全車距內有其他車輛切入，自動降速保持安全車距，當前方慢車切離車道，系統自動回復至設定的車速。</p> <p>如果在車道上發現有行人穿越馬路，車輛會自動輔助煞停，當偵測到前方行駛車道內有掉落物、障礙物，車輛也會自動控制偏向另一側，以避開障礙物，但似乎不會自動切換車道避障。</p> <p>在自駕模型之下，駕駛者雖然手可以離開方向盤，但是眼睛基本上需需維持直視前方的狀態，系統監控偵到駕駛者的眼睛閉上疑似睡著，自動連續發出「需接管」的語音提示，同時發出警鳴聲試圖喚醒駕駛，當駕駛仍沒有回應，則啟動最小風險操作，自動控制車輛減速停車。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%960.jpg" style="width: 600px; height: 303px;" /></p> <p>車測中心還展示AI智慧座艙，為一種輔助駕駛機制，監控偵測駕駛者的狀態，包括駕駛者的眼睛視線、頭部偏擺情形，當自駕系統判斷有無法判斷的路況，即交由人工手動駕駛，當偵測駕駛可能睡著或因身體不適無法駕駛，就會自動減速，將車輛停靠路邊，發警鳴聲喚醒駕駛，並且向行控中心通報。</p> </div></div></div>
2025/5/28 18:27作者蘇文彬https://www.ithome.com.tw/news/169244
【資安日報】5月28日，新興駭客針對歐美國家下手，為俄羅斯政府從事網路間諜活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>烏克蘭戰爭已經邁入第3年，過程中有不少駭客組織從事網路間諜活動，為俄羅斯政府收集相關情報，如今有一組新興的駭客組織，引起研究人員的高度關注。</p> <p>這個駭客組織被稱為Void Blizzard或Laundry Bear，值得留意的是，他們普遍透過寄生攻擊及現成工具，並未自行打造專屬的惡意軟體，使得相關攻擊變得難以識別。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169219"><strong style="font-size: 22px;">俄羅斯駭客Void Blizzard以假Entra登入網頁為誘餌，入侵逾20家非政府組織</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Fig2-phishing-attachment.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Fig2-phishing-attachment.png" style="width: 300px; float: right;" /></a></p> <p>烏克蘭戰爭迄今仍尚未結束，有越來越多駭客組織從事網路間諜活動，協助俄羅斯政府從烏克蘭及北約國家組織（NATO）盟友收集軍事情報，並引起歐美國家關注。</p> <p>微軟威脅情資中心指出，他們與荷蘭情報暨安全總局（Netherlands General Intelligence and Security Service，AIVD）、荷蘭軍事情報暨安全局（Netherlands Defence Intelligence and Security Service，MIVD）、美國聯邦調查局（FBI）進行合作，調查被稱為Void Blizzard、Laundry Bear的新興駭客組織，並指出這些駭客近期針對歐美非政府組織（NGO）發動大規模攻擊。</p> <p>此駭客組織主要鎖定俄羅斯政府感到興趣的企業組織發動攻擊，涵蓋全球的政府機關、國防、交通運輸、媒體、非政府組織、醫療照護，大部分攻擊活動集中於歐洲及北美。這些駭客入侵受害組織的主要管道，通常是使用疑似從地下市集買到的外流帳密資料，一旦成功進入網路環境，就會大肆偷取電子郵件與內部檔案。研究人員提到，他們在今年4月看到更直接竊取密碼的手法，那就是藉由冒牌電子郵件網釣，引誘收信人上當並提供登入所需資料。</p> <p><a href="https://www.ithome.com.tw/news/169223"><strong style="font-size: 22px;">荷蘭警方去年遭駭，傳出是俄羅斯駭客Void Blizzard所為</strong></a></p> <p>微軟本週揭露新興俄羅斯駭客組織Void Blizzard（Laundry Bear），當中特別提及他們與荷蘭情報暨安全總局（AIVD）、荷蘭軍事情報暨安全局（MIVD）聯手調查，而這些軍情機構調查此事的動機，源於去年當地執法單位遭遇的資安事故。</p> <p>去年9月荷蘭警察局（Politie）證實，駭客入侵其中一名警察的帳號，從而取得有業務往來的警務人員的聯絡方式，後續透露可能是國家級駭客所為，當時我們就有注意到相關消息並進行追蹤，但因為Politie並未透露其他資訊，而無從得知進一步的情形。</p> <p>直到本週微軟公布Void Blizzard發起的網釣攻擊，並提及荷蘭當局也公布相關調查結果，指出上述Politie遭駭事故的兇手，就是這個俄羅斯駭客組織。5月27日AIVD指出，俄羅斯駭客組織Void Blizzard於去年9月針對Politie與當地各種組織從事網路攻擊，而且，這些事故也是駭客大規模攻擊的一部分。</p> <p><a href="https://www.ithome.com.tw/news/169228"><strong style="font-size: 22px;">駭客組織Everest、Gehenna聲稱竊得可口可樂內部資料</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/everest-ransomware-leaks-coca-cola-employee-data.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/everest-ransomware-leaks-coca-cola-employee-data.jpg" style="width: 300px; float: right;" /></a></p> <p>根據資安新聞網站HackRead的報導，兩個駭客組織聲稱竊得飲料大廠可口可樂（Coca-Cola）與裝瓶合作夥伴Coca-Cola Europacific Partners（CCEP）的內部資料，事隔數日，其中一組人馬已公布手上部分的檔案。但吊詭的是，相關消息曝光迄今已接近一週，可口可樂尚未出面做出回應，此事似乎也沒有受到太多關注，是否事故如駭客宣稱，有待後續釐清。</p> <p>這些事故最早是HackRead於22日揭露，可口可樂與CCEP疑似遭到兩組人馬的網路攻擊，其中，勒索軟體駭客Everest聲稱入侵可口可樂的系統，另一個名為Gehenna（GHNA）的駭客組織宣稱，他們從CCEP的客戶關係管理系統（CRM）平臺Salesforce竊得大量資料。</p> <p>事隔數日出現新的進展，27日HackRead發現Everest公布新的資料，這批檔案大小為502 MB，內容包含可口可樂中東地區的內部與員工記錄。這批資料的檔案數量，總共是1,104個，內含員工完整姓名、公司與住家地址、家庭與婚姻狀態、電話號碼、銀行帳戶資訊、薪資記錄、電子郵件信箱，以及簽證、護照、居留權文件複本。</p> <p><a href="https://www.ithome.com.tw/news/169222"><strong style="font-size: 22px;">知名運動品牌Adidas遭網路攻擊，客戶資料外洩</strong></a></p> <p>來自德國的全球知名運動品牌Adidas上周五（5月23日）揭露他們發生資安事故，指出未經授權的外來者藉由第三方的客戶服務供應商取得部分消費者資料，該公司立即採取行動以遏止駭客行為，並與資安專家合作展開全面調查。</p> <p>而對於駭客的手法，或者是受到影響的消費者人數，迄今Adidas並未公布。該公司僅說外洩資料並不包含密碼、信用卡或任何其他與支付相關的資訊，而主要是那些曾經聯繫Adidas客服的消費者聯繫資訊。</p> <p>根據外電報導，位於南韓及土耳其的Adidas客戶都有收到Adidas的資料外洩通知，指出他們的姓名、電話號碼、電子郵件位址、生日及性別等個資都已外洩。</p> <p><a href="https://www.ithome.com.tw/news/169165"><strong style="font-size: 22px;">惡意程式Dero自動感染公開Docker容器，並執行挖礦</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/dero-miner-infects1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/dero-miner-infects1.png" style="width: 300px; float: right;" /></a></p> <p>資安業者卡巴斯基公開新一波針對Docker API服務的自動化惡意程式攻擊，該攻擊以植入Dero加密貨幣挖礦程式為核心，專門鎖定存取權限管理不嚴的Docker容器環境，進行自動化散播及占用受害主機運算資源，最終形成具備自我擴散能力的挖礦僵屍網路。</p> <p>本次自動化攻擊流程主要仰賴兩支以Go語言撰寫，且經UPX壓縮的惡意程式，分別是名為nginx元件，主要功能是負責散播及持久化，以及名為cloud的Dero加密貨幣挖礦程式。值得留意的是，這裡的nginx並非知名的網頁伺服器元件，駭客的目的就是假冒知名開源專案的名稱，以降低被偵測風險。</p> <p>該挖礦攻擊的一大特點，在於攻擊者採用加密方式儲存錢包地址及礦池節點資訊，進一步提升隱蔽性與調查難度。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/dragonforce-ransomware-abuses-simplehelp-in-msp-supply-chain-attack/">勒索軟體DragonForce使用遠端管理工具SimpleHelp漏洞，攻擊MSP業者</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/mathworks-blames-ransomware-attack-for-ongoing-outages/">開發MATLAB的軟體開發商服務中斷，傳出遭遇勒索軟體攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/silverrat-source-code-leaked-online-you-need-to-know/">木馬程式SilverRAT驚傳原始碼外流</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/05/over-70-malicious-npm-and-vs-code.html">60款NPM套件及VS Code外掛竊取開發人員帳密、加密貨幣錢包</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169191"><strong style="font-size: 22px;">GitHub MCP曝嚴重漏洞，惡意Issue可誘使AI代理外洩私有儲存庫資料</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/mcp-github-setup.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/mcp-github-setup.png" style="width: 300px; float: right;" /></a></p> <p>瑞士新創安全公司Invariant Labs揭露影響廣泛的資安漏洞，涉及目前社群積極推動並與GitHub平臺整合的MCP（Model Context Protocol）伺服器。攻擊者僅需在公開儲存庫提出特製的問題（Issue），誘使人工智慧代理如Claude Desktop等現有支援MCP技術的人工智慧開發工具，在特定情境下，將用戶私有儲存庫中的敏感資料外洩至公開儲存庫。</p> <p>該漏洞的關鍵在於人工智慧代理在用戶授權後，會依照開發者對GitHub MCP伺服器的查詢，自動執行讀取指定儲存庫Issue、建立拉取請求等操作，而攻擊者只需在目標用戶的公開儲存庫新增具惡意提示詞注入的Issue，當用戶請求人工智慧代理檢視該儲存庫的公開Issue時，代理即可能受提示詞操控，在自動授權設定下擷取用戶帳號的私有儲存庫內容，最終將敏感資訊透過拉取請求等方式洩漏於公開儲存庫。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/flaws-tenable-network/">Tenable修補網路監控軟體權限提升漏洞，並更新採用的開源程式庫</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169199"><strong>【5月27日】駭客於臺灣等70個國家挾持逾2千臺伺服器架設殭屍網路</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169160"><strong>【5月26日】歐美大國攜手執法，3天內破壞7個Botnet</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169135"><strong>【5月23日】新版Windows伺服器作業系統dMSA服務帳號的遷移流程可被濫用而惹議</strong></a></p> </div></div></div>
2025/5/28 16:30作者周峻佑https://www.ithome.com.tw/news/169238
硬體規格精簡、不支援路由，Ruckus新型L2交換器上市
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/ruckus_icx_8000_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對最接近連網設備的存取型交換器（Access Switch）市場需求，隸屬於CommScope公司的Ruckus Networks目前的相關主力產品，首先是<a href="https://www.commscope.com/press-releases/2016/-brocade-introduces-the-brocade-ruckus-icx-7150-switch-to-bring-enhanced-functionality-and-performance-to-budget-conscious-organizations/">2016年底登場</a>的ICX 7150系列，當時Ruckus Wireless剛併入Brocade。</p> <p>之後經歷<a href="https://www.commscope.com/press-releases/2017/arris-to-acquire-ruckus-wireless-and-icx-switch-business-for-$800-million-in-cash/">2017年2月</a>Arris買下Ruckus Wireless與Brocade ICX交換器業務，2018年底CommScope併購Arris，<a href="https://www.commscope.com/press-releases/2019/commscope-set-to-shape-communications-connectivity-and-networks-of-the-future-with-completion-of-arris-acquisition/">2019年上半</a>涵蓋有線網路交換器與無線網路解決方案的Ruckus Networks產品線成軍，新一代存取型交換器ICX 8200系列<a href="https://www.commscope.com/press-releases/2023/ruckus-networks-introduces-new-icx-8200-switch-series-for-optimized-wireless-service/">於2023年1月發表</a>。</p> <p><a href="https://s4.itho.me/sites/default/files/images/ICX 2023 Portfolio.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ICX%202023%20Portfolio.jpg" style="width: 600px;" /></a></p> <p>到了今年4月底，他們推出ICX 8100系列，強調這批產品是該公司最具成本效益的企業級L2網管型交換器。</p> <p><a href="https://s4.itho.me/sites/default/files/images/ICX8100-E.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ICX8100-E.jpg" style="width: 600px;" /></a></p> <p>就市場定位而言，ICX 8100系列鎖定對價格敏感的客戶、中小企業、住宅型網路建置需求，涵蓋醫院、零售業、服務供應商，以及公寓大廈這類多戶住宅單元（MDU）等應用。</p> <p><a href="https://s4.itho.me/sites/default/files/images/ICX8100-D.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ICX8100-D.jpg" style="width: 600px;" /></a></p> <p>回顧兩年前問世的ICX 8200系列，Ruckus提供1GbE、2.5GbE、5GbE、10GbE等多種網路埠，最高可支援25GbE上行埠（uplink），若是支援乙太網路供電的機型，單臺最高可供應1,480瓦的電力。而且，此系列當時提供的13款機型，全都支援L3路由協定、VXLAN網路分段，並且具備多臺堆疊擴充能力（Stacking），單一堆疊之內，最大可串接12臺交換器。</p> <p>相較之下，Ruckus最新推出的ICX 8100系列，不提供L3功能與交換器堆疊擴充機制，記憶體容量僅配置2 GB（ICX 8200系列為4GB），內含的遠端技術支援服務期間為90天（ICX 8200系列為3年）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/ICX8100-C.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ICX8100-C.jpg" style="width: 600px;" /></a></p> <p>ICX 8100系列首波上市的5款機型，提供48個、24個、8個1GbE網路埠，以及1GbE上行埠（SFP），若是支援乙太網路供電的機型，單臺交換器最高可供應740瓦的電力。此系列產品後續還有三波推出的機型，依照Ruckus目前的規畫，分別是7月登場的ICX 8100-X系列，將提供5款搭配10 GbE上行埠（SFP+）的交換器機型，8月開始供應兩款48埠機型（ICX 8100-48PF、ICX 8100-48PF-X），12月提供兩款16埠機型（ICX 8100-C16PF、ICX 8100-C16PF-X）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/ICX8100-B.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ICX8100-B.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/ICX 8100-5.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ICX%208100-5.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/ICX 8100-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ICX%208100-1.jpg" style="width: 298px;" /></a></p> <p>關於ICX 8100-X系列機型的命名，當中帶有P的款式，代表該款交換器支援PoE，而帶有PF的款式，顯然具有較高的乙太網路供電能力，例如，ICX 8100-48P預留給所有網路埠輸出的電力總和（PoE power budget）是370瓦，ICX 8100-48PF則是740瓦，因此，平均每個網路埠皆能供應15.4瓦電力，而這也是802.3af協定的電源裝置最大輸電功率。</p> <p><a href="https://s4.itho.me/sites/default/files/images/ICX8100-A.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/ICX8100-A.jpg" style="width: 600px;" /></a></p> <p>就PoE的規格而言，既有的ICX 8200系列配備的規格更高，部分機型不僅支援單埠15.4瓦（PoE）與30瓦（PoE+），也支援60瓦（PoE++）與90瓦（PoE+++），而在整臺交換器留給所有網路埠輸出的電力總和，最大可達1,480瓦（ICX 8200-48ZP2，需搭配兩臺電源供應器）。</p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><span style="color:#0000FF;"><strong>Ruckus ICX 8100系列</strong></span><br /> ●原廠：CommScope<br /> ●建議售價：廠商未提供<br /> ●機型與機箱尺寸：7款，採用1U尺寸機箱有5款：ICX 8100-48、ICX 8100-48P PoE、ICX 8100-48PF PoE、ICX 8100-24、ICX 8100-24P PoE，採用桌上型機箱有2款：ICX 8100-C08PF PoE、ICX 8100-C16PF PoE<br /> ●固定網路埠：48個GbE埠+4個GbE埠（SFP）或10GbE埠（SFP+）、24個GbE埠+4個GbE埠（SFP）或10GbE埠（SFP+）、16個1GbE埠+2個GbE埠（SFP）或10GbE埠（SFP+）、8個1GbE埠+2個GbE埠（SFP）或10GbE埠（SFP+）<br /> ●PoE機型與規格：ICX 8100-48P PoE（370瓦）、ICX 8100-48PF PoE（740瓦）、ICX 8100-24P PoE（370瓦）<br /> ICX 8100-C08PF PoE（124瓦）、ICX 8100-C16PF PoE（124瓦）<br /> ●網路交換容量：48埠機型176 Gbps，24埠機型128 Gbps，16埠機型72 Gbps，8埠機型56 Gbps<br /> ●MAC位址數量：3.2萬個<br /> ●封包緩衝記憶體：4 MB<br /> ●處理器搭配記憶體容量：2 GB</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/5/28 16:22作者李宗翰https://www.ithome.com.tw/review/169177
持續擴大身分安全防護產品陣容，Computex 2025臺廠展出多種硬體解決方案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年臺北國際電腦展（Computex 2025）舉行，展現臺灣資通訊（ICT）產業在全球科技供應鏈的影響力之餘，現場亦有不少資安相關展示受到關注，當中有部分來自臺灣資安大會展覽上大家所熟悉的廠商，有部分則沒有那麼熟悉，但也展現廣泛資安技術。</p> <p>以上個月在臺灣資安大會展出，5月又現身Computex展覽的業者而言，<a href="https://www.ithome.com.tw/news/169194">資安大廠趨勢科技就是一例，他們特別展示</a>用Digital Twin來搭建企業紅藍隊攻防演練的解決方案，目前還在開發階段。</p> <p>還有近年陸續在多場活動展出零信任相關資安解決方案的眾至資訊，在這次Computex也不缺席，主要展示其防火牆與交換器協同防禦的解決方案，以及OT安全防護設備；主打內網流量管理與DDoS安全防護的UGuard Networks崴遠科技，他們也在Computex也展示一項今年新推的Defense Trust威脅情資解決方案，其他還有像是TeamT5杜浦數位安全、中華資安國際等業者，也同樣現身於Computex活動現場。</p> <p>特別的是，在處理器領域中，採開放指令集架構的RISC-V已成為x86、ARM之外一股不可忽視的關鍵力量，身為主要CPU IP供應商的晶心科技，也在Computex展覽現場說明RISC-V的資安技術正持續發展。現階段最新焦點是在I/O層面的記憶體保護，也就是RISC-V IOPMP（Input/Output Physical Memory Protection），目前這方面，RISC-V工作小組正制定架構規範中，現在進展是到內部審核階段，預計今年或明年初能正式發布。此外，該公司近兩年也都現身臺灣資安大會，闡釋RISC-V可信執行環境（TEE）的構建。</p> <p><a href="https://s4.itho.me/sites/default/files/images/PXL_20250522_040340693.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20250522_040340693.jpg" style="width: 600px;" /></a></p> <h2><strong>多元資安應用於Computex登場，涵蓋防詐、安全指紋辨識與實體安全</strong></h2> <p>還有不同類型廠商也現身Computex展覽，像是工業電腦領域，立端科技等工業電腦廠也都照往年慣例持續參展，多年來已與國際多家資安業者合作打造實體設備，同時他們也很看重資安商機，持續參與美國RSAC大會展覽。</p> <p>比較特別的是，在防詐應用方面，主打錄音系統及客服中心解決方案的德鴻科技，該公司在現場展示一項智能客服語音助手的防詐應用，不僅可即時將語音轉文字，同時可以AI進行摘要，並在發現異常時跳出防詐通知給客服人員，另還提供「分行臨櫃」也能適用的方案，可於櫃臺部署外接USB式麥克風來應用。</p> <p><a href="https://s4.itho.me/sites/default/files/images/PXL_20250522_035433109.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20250522_035433109.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/PXL_20250522_035312605.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20250522_035312605.jpg" style="width: 600px;" /></a></p> <p>在指紋辨識模組方面，我們看到了兩家廠商的最新發展。首先是神盾（Egis Technology），該公司作為積極推動FIDO標準與無密碼（Passwordless）認證的臺灣業界要角，他們也在今年Computex大會上，展示一項最新研發中的技術，也就是超音波指紋辨識技術的概念設計模組（如下圖），此技術最大特色為可穿透玻璃、金屬等材質，因此不像傳統光學式、電容式的指紋辨識模組，需在設備外觀上進行開孔設計，目前市場上已有高通積極發展，如今神盾也希望開拓這方面技術。</p> <p><a href="https://s4.itho.me/sites/default/files/images/PXL_20250522_021011192.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20250522_021011192.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/PXL_20250522_020948622.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20250522_020948622.jpg" style="width: 600px;" /></a></p> <p>另一家指紋辨識模組廠商，是照往年慣例都會參展Computex的義隆電（ELAN Microelectronics），像是我們在10年前就看到他們展出具備指紋辨識的智慧金融卡，不過當時挑戰是這種卡片內需內建電池，如今他們的產品已發展至第三代，能夠透過NFC感應讀取微弱電流，大大降低了卡片需配置電池的麻煩。在今年Computex中，他們也在現場展示了具備指紋辨識的證件，包括聯合國證件、日本學校學生證，呈現其技術應用場景不限於金融卡。</p> <p>附帶一提的是，義隆電在產品漏洞因應上也很積極，去年該公司新加入MITRE CNA計畫，現在已可針對自家產品指派CVE漏洞編號。</p> <p><a href="https://s4.itho.me/sites/default/files/images/PXL_20250522_015737452.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20250522_015737452.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/PXL_20250522_015722564.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20250522_015722564.jpg" style="width: 600px;" /></a></p> <p>在實體安全方面，在<a href="http://www.ithome.com.tw/news/157528">兩年前Computex推出Cupola360多影像專用處理晶片，發展360度實境巡檢系統的信驊科技（ASPEED Technology）</a>，聚焦高科技產線參觀與巡檢，如今朝向多元應用，不僅能串連廠端生產數據、結合IoT遠端控制於現場畫面，也強調AI影像監控的結合，聚焦實體安全監控與工安警示。</p> <p><a href="https://s4.itho.me/sites/default/files/images/PXL_20250522_023446735.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20250522_023446735.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/PXL_20250522_023459381(1).jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20250522_023459381(1).jpg" style="width: 600px;" /></a></p> </div></div></div>
2025/5/28 16:43作者羅正漢https://www.ithome.com.tw/news/169198
愛料理創辦人：不會寫程式也能靠GenAI打造科技產品賺錢，但成功關鍵仍是商業能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「資深工程師可能覺得，你用Vibe Coding做出來的東西很難維護、很難用。但對我來說，做出能賺錢的產品最重要！」知名媒體Inside和愛料理共同創辦人蕭上農近期在Generative AI年會，以及政治大學的一場演講中，如此強調他對全民皆可用GenAI寫程式時代的看法。</p> <p>毫無技術背景的蕭上農，儘管身處科技業幾十年，又共同創辦了2個網路媒體，卻一直沒有習得程式開發能力，需要與專業技術人才合作，才得以推出一個個科技商品。直到最近，他才受益於GenAI，得以從0到1，自行將創意變成實際產品。不過，他認為只是出於興趣做出產品不夠，還要做出能獲利的商品，才更加發揮GenAI價值。</p> <p><strong>從不會寫程式到獨立推出科技商品，GenAI是最大助攻手</strong></p> <p>蕭上農說，自己只是一個愛玩電腦的文組生。畢業於合作經濟學系的他，年少時最接近寫程式的經驗，只有用FrontPage、DreamWeaver等軟體，架設簡單網頁。</p> <p>出社會後，他先後在遊戲公司、網路公司等科技業公司任職PM。期間，他多次嘗試自學寫程式，甚至購入一本厚重的Ruby On Rails教學書，卻因為IT背景知識不足，讀完一章就放棄。十多年後的2010年代，與Inside及愛料理共同創辦人李致緯等人，歷經開設App製作公司、創辦兩家網路媒體期間後，他還是沒有學會寫程式。「既然有更強的人負責程式開發，我就挑剩下的做。」他笑道。</p> <p>時間再次快轉到生成式AI爆發年代。2022年，持續關注科技發展的蕭上農，已經在積極實驗Midjourney，並規定自己持續500天，每天至少要產出一張滿意的圖片，作為自我訓練。</p> <p>同時，他也藉由實驗，來觀察各種生成式AI工具的成熟度發展。例如，每天在社群媒體發表用ChatGPT翻譯、毫無人工潤飾的文章。「當下面留言已經沒有人抱怨文章翻譯品質，我就知道這個工具已經足夠成熟。」</p> <p>2024年，他開始嘗試用生成式AI工具寫程式。雖然製作出幾個網站，不過他認為，完全靠AI做出完整產品仍有一定難度。一路觀望到2025年初，蕭上農發現，毫無IT背景的朋友紛紛用生成式AI打造出行動App。他便決定，要用生成式AI獨立開發出一項功能完整的行動App。不只如此，這個App第一天上線就要串接好金流系統來支援訂閱制收費，還得串接Google廣告等，各式各樣的營利功能。</p> <p>蕭上農有一個資料夾，專門儲存過往有構思但未能執行的產品規畫。從中，他選擇出名片管理App，作為第一個用GenAI實現的產品點子。這個App核心功能是掃描名片，並紀錄名片上的姓名、公司、職稱等資訊到各自欄位中。</p> <p>這個選擇，是經過蕭上農多方考量才做出。名片管理功能看似簡單，但對許多人，尤其是高階主管來說，仍是重要需求。他還估算，市面上最受好評的名片App，營收超過1億，意味著名片App市場規模足夠。「我是個人開發者，就算只賺100萬，也很足夠。」App的作業系統，是出於商業考量而選定。他認為iOS內建投放廣告機制方便又精準，有望觸及到目標族群。</p> <p>選定主題後，蕭上農花上3天，與AI反覆討論商業模式、計算成本，得出的結論是，他的定價下，必須一個人掃描超過4萬張名片，才會超過行銷、維護等成本。</p> <p>不只商業模式靠AI，蕭上農說，這個App從程式設計、文案、圖片生成、隱私權條款、使用者條款，都是用AI生成。連產品名稱、字體字型，都是和AI討論的結果。上架App Store時，與蘋果團隊來回溝通協調，他也透過AI翻譯、分析、構思回覆。「這些事情通常要有PM、設計師、法務參與，現在我一個人就能完成。」他強調。</p> <p>儘管用AI生成程式碼非常快速，不過蕭上農在開發期間，還是歷經過慘痛教訓。清明連假4天，蕭上農開始密集進行開發。不過，直到第4天，他才驚覺，從第1天起，他的程式碼就已經出錯，但憑著他的IT能力，已經無法從手頭的專案檔除錯，必須全部砍掉重練。</p> <p>好在，後續1天半，他能憑著印象，快速補回3天份進度。不過他也深刻體會到，非技術人員用AI開發產品時，無法理解AI改動處、每次改動造成的影響，以及出錯時如何修復。用AI生成程式碼，版本控制和備份更要做得徹底。</p> <p>到了5/5，這個App正式上架，從正式啟動開發至此，只花了一個多月。</p> <p>正式上架時，此App功能只有簡單的掃描和歸檔功能。「產品上線時，功能可以很少，有人用才是最重要。等有人開始要求新功能，再慢慢加。」蕭上農說，上架3周來，此App帶來了3萬元收入。他強調，雖然目前收入不多，但能用市場驗證MVP（最小可行產品）的核心功能有人用、有營利能力，對他來說更重要。目前，他計畫每周更新一個功能，預計到2個月內能完成所有功能更新。並且，從營收一定比例中挪出廣告投放費用，來獲取新使用者。</p> <p>儘管自己開發的名片App才剛推出，無從評判成敗，不過蕭上農說，沒有寫程式能力的情況下，可以從頭到尾完成商品設計、開發、上架、營利，已經證明著這個時代下，有更多人可以利用AI快速將自己的創意打造成產品，給市場驗證。</p> <p><strong>用AI開發科技商品，非技術人員應具備哪些能力</strong></p> <p>從連續共同創辦兩間熱門網路媒體，到自己嘗試快速用AI打造商品開始賺零用錢的經驗，蕭上農認為，非技術人員要用AI打造科技商品，商業面能力甚至比技術力重要。</p> <p>「理解產業，並清楚自己的想法是否能命中使用者需求，從而賺錢，最重要！」蕭上農認為，開發產品的最終目標是，有人用、有收入。用AI開發的做法，則是達成目標的手段。如今人人都可以用AI開發產品，選擇好賽道，努力才容易有收穫。</p> <p>在選定的領域打造出商品後，下一個階段的關鍵是行銷能力。蕭上農指出，更多人都能輕易開發出商品，意味著技術門檻更難形成，競爭產品間不易出現決定性的品質差距。這個環境下，如何讓更多人看見自己產品，以及如何經營顧客關係，讓他們持續使用自己產品，成為決勝關鍵。</p> <p>至於毫無IT背景知識，想學習用AI開發產品的人，如何入門？蕭上農坦言，從零開始學習，過程中仍會面臨種種技術問題，甚至連需要學習哪些知識都不清楚。他建議，與其摸黑學習，不如直接尋找網路上專門教學相關知識的課程，或拿著開發遭遇的瓶頸詢問資深工程師，會少走許多彎路。</p> <p>不過，他也認為，目前AI工具門檻已經足夠低，足以協助非IT背景的人突破許多技術門檻，讓練習寫程式有如練習寫作一樣簡單。他更強調，與練習寫作相同，需要大量嘗試、持續學習，才能從單純生成簡單程式碼，進步到打造出具商業價值的完整商品。</p> <p></p> </div></div></div>
2025/5/28 17:07作者郭又華https://www.ithome.com.tw/news/169241
荷蘭警方去年遭駭，傳出是俄羅斯駭客所為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本週揭露<a href="https://www.ithome.com.tw/news/169219">新興俄羅斯駭客組織Void Blizzard（Laundry Bear）</a>，當中特別提及他們與荷蘭情報暨安全總局（Netherlands General Intelligence and Security Service，AIVD）、荷蘭軍事情報暨安全局（Netherlands Defence Intelligence and Security Service，MIVD）聯手調查，而這些軍情機構調查此事的動機，源於去年當地執法單位遭遇的資安事故。</p> <p>去年9月荷蘭警察局（Politie）證實，<a href="https://www.politie.nl/nieuws/2024/september/27/data.html">駭客入侵其中一名警察的帳號</a>，從而取得有業務往來的警務人員的聯絡方式，<a href="https://www.politie.nl/nieuws/2024/oktober/2/update-over-datalek-politie.html">後續透露可能是國家級駭客所為</a>，當時我們就有注意到相關消息並進行追蹤，但因為Politie並未透露其他資訊，而無從得知進一步的情形。</p> <p>直到本週微軟公布Void Blizzard發起的網釣攻擊，並提及荷蘭當局也公布<a href="https://www.aivd.nl/actueel/nieuws/2025/05/27/onbekende-russische-groep-achter-hacks-nederlandse-doelen">相關調查結果</a>，指出上述Politie遭駭事故的兇手，就是這個俄羅斯駭客組織。5月27日AIVD指出，根據他們與MIVD聯手調查的結果，俄羅斯駭客組織Void Blizzard於去年9月針對Politie與當地各種組織從事網路攻擊，並指出這些事故其實是駭客大規模攻擊的其中一部分。</p> <p>AIVD指出，這些駭客至少從2024年開始活動，針對西方政府與其他機構的網路環境下手，其中又對於武裝部隊、政府機關、國防供應商、公共服務組織、IT服務供應商特別感興趣。</p> <p>他們提及這些駭客使用的手法相當難以識別，而能長時間躲過各式資安系統的偵測。MIVD提及，這些駭客疑似尋求西方政府購買、生產軍事裝備的資訊，以及向烏克蘭提供武器的情報，而且，這些駭客對於軍事物資的生產及交付，有一定程度的了解。</p> <p>而對於AIVD和MIVD兩個情報單位調查此組人馬的動機，就是該國警方發生的資安事故。當時Void Blizzard成功存取其中一名員警的帳號，隨後透過全域信箱名單（Global Address List，GAL）存取員警的工作聯絡資訊，他們研判駭客是透過Pass-the-Cookie的攻擊手法，假冒該名員警的身分而得逞。究竟駭客如何得到Cookie檔案？可能是另一組人馬使用竊資軟體偷得，然後透過地下市集賣給Void Blizzard。</p> <p>他們也提及駭客的攻擊活動的節奏相當快，因此認為駭客採用某種程度的自動化，此外，這些駭客並未自行打造惡意程式，而是採取寄生攻擊（LOTL）成功掩人耳目。</p> <p>比較特別的是，這些駭客也採用了密碼潑灑（Password Spraying）攻擊，但做法與過往的出現的手段有所不同：這些駭客通常會使用單一密碼，對不同的帳號嘗試存取。有別於對單一帳號短時間嘗試不同密碼，這麼做往往不太會觸發資安系統的警報。附帶一提，Void Blizzard試圖將行為限縮在微軟帳號能夠存取的範圍，並未進一步取得底層網路或是系統的存取權限，而這樣的策略也較能長時間避開管理員的監視。</p> </div></div></div>
2025/5/28 14:02作者周峻佑https://www.ithome.com.tw/news/169223
【臺灣資安大會直擊】詐騙、網攻、雲端服務出包、AI偽造帶來信任危機!?企業應建立數位信任強化與外界的互動關係
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在數位時代，企業或個人使用第三方服務相當普遍，但是將重要系統或資料交給第三方的雲端服務或IDC機房維運就真的能夠高枕無憂，不需擔心資料外洩或誤刪嗎？當雲端服務發生全球大當機，企業營運或服務能夠置身事外嗎？「你覺得使用規模很大的服務商就沒問題嗎？事實上，你會發現他們一旦出現問題就會更嚴重」，安永諮詢執行副總經理曾韵在今年臺灣資安大會上說。</p> <p><span style="color:#B22222;"><strong>機房大火、雲端服務出包、AI偽造衝擊企業與外界各方的信任關係</strong></span></p> <p>舉例來說，幾年前一家歐洲最大規模雲端服務商，因為位於法國一處機房發生大火，一連串反應下，導致數百萬代管網站因此停擺，當時造成不少銀行、線上遊戲、電商、新聞網站都大受影響。</p> <p>另一案例是個人使用的雲端服務，知名雲端服務大廠的網路相簿導入AI辨識，分類使用者上傳的照片，但是曾有使用者發現特定膚色的人種被錯誤辨識為動物，造成用戶的不滿，讓業者好不容易建立的信任毀於一旦，商譽因此受損。另外，企業使用AI服務，必需確保使用服務不會導致資料外洩風險。</p> <p>甚至在AI變臉或各種詐騙手法層出不窮下，偽造假消息、虛構影片欺騙民眾或企業，使他們受騙上當，蒙受金錢損失也時有所聞。</p> <p>上述種種，不論是IT基礎建設因業者錯誤操作或是發生意外災害，或是AI應用如同黑盒子，難以解釋運作方式，甚至是資安攻擊、詐騙都會衝擊數位時代下的數位信任（Digital Trust），危及企業與外界各方利害關係人之間的關係，那麼什麼是數位信任？</p> <p>曾韵以WEF提出的數位信任定義來看，個人期望數位技術和服務，以及提供這些技術和服務的組織，能保護所有利害關係人的利益，維護社會的期望和價值觀；ISACA則是將數位信任定義為，對數位生態系統內提供者和消費者之間關係、互動及交易完整性的信心，包括對人員、組織、流程、資訊及技術的創建和維護值得信賴的數位世界的能力。</p> <p>她表示，數位信任涵蓋的面相相當廣泛，資安、詐騙或是可信任AI、負責任的AI，以WEF提出的數位信任框架，建構數位信任的三個目標，其中之一是「安全可靠」（Security and reliability），即組織使用的技術及儲存的資料受到良好的保護，避免受到內外部攻擊、操作或中斷；另一項目標是建立「問責及監督」（Accountability and oversight），將信任責任分配給利害關係人、團隊或職能部門，並制定解決責任無法履行的相關規定；另一目標是包容、道德和負責任使用（Inclusive, ethical and responsibile use），確保可被整個社會廣泛存取及使用，並且負有道德責任感。</p> <p>WEF也將數位信任涵蓋8大面向或維度（Dimension），包括隱私保護、網路安全（Cybersecurity）、人或社會的安全（Safety）、互通性、透明性、可糾正性、可審計性、公平性（下圖，來源：曾韵）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%961-600(3).jpg" style="width: 600px; height: 305px;" /></p> <p><span style="color:#B22222;"><strong>如何建立AI的數位信任</strong></span></p> <p>以目前熱門的AI應用為例，透明性就是負責任AI，必需與利害關係人溝通，使其知道某項行動背後的原因，可糾正性是必需假設出現錯誤之後，容許糾正錯誤、補救造成的傷害，可審計性則是可供驗證或稽核，至於公平性部分，例如外界關心的A歧視造成的公平性問題。</p> <p>AI應用需要被妥善的管理，例如目前外界關心的Trusted AI，但是，過度的管理也可能扼殺創新，兩者之間需要尋找平衡點。</p> <p>「重點在於你拿AI做什麼，金融業自治規範相當強調風險等級，企業需要掌握內部有多少AI應用，對於風險高的應用才是需要注意的，其他的應用則是基本管理即可」，曾韵說。</p> <p>她以金融業為例，金融業將直接與客戶互動，甚至影響客戶權益者視為高風險應用，儘管金融業因為受到高度監管，業者必需建立自律規範，其他產業的AI應用還沒有迫切的需求，但是政府正在制定AI基本法，未來其他產業也勢必需要加強AI治理，輕忽AI治理，可能造成企業財產或商譽的損失，例如人資依賴AI篩選求職履歷，因為AI偏見可能造成性別歧視。</p> <p>Trusted AI不只是模型本身，而應該從生命周期角度，從一開始使用訓練資料來源，使用哪些參數、權重設計、過程如何作好保護、還有產出的穩定性，都需要對應的控管，針對評估風險的衝擊，建立風險分級管理框架。曾韵認為，在AI治理中資料治理相當重要，因為資料治理會涉及隱私保護及資料共享，也是目前研擬中的我國AI基本法7大原則之一；另外，她也強調不要過度樂觀認為應用服務不會出錯，任何應用服務都可能出錯，為降低錯誤帶來的風險，可透過第三方風險管理及措施強化數位信任。</p> <p>對於建構數位信任生態系，曾韵建議企業可以參考ISACA提出的數位信任生態框架 2024（下圖），該框架包含5大要素，關係媒介（Relationship Mediums）、關係（Relationships）、道德商譽及隱私（Ethics, Reputation and Privacy）、利害關係人（Stakeholders）、行動（Activities）。企業根據框架盤點不同的利害關係人，以及企業與他們之間的關係，透過哪些關係媒介互動，與不同關係人的互動行為，例如資料蒐集、資料保護、數位交易、數位互動、數位通訊、數位身分識別等等，這些關係人所在乎或關心的議題，如商品品質、品牌商譽、資料隱私保護、可靠性等等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%964-600(1).jpg" style="width: 600px; height: 336px;" /></p> <p>對於企業應該如何推動數位信任，可參考WEF建立數位信任的方法論（下圖），首先瞭解企業的商業環境，其次是瞭解數位環境，接下來則是制定數位信任策略，再規畫與實施數位信任瞭解，最後持續的監控執行及改善。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%96-600(18).jpg" style="width: 600px; height: 294px;" /></p> <p>曾韵企業推動數位信任有幾個需要留意的重點，例如企業推動數位信任的目的是和不同的利害關係人建立信任關係，因此需要知道關係人關心的是什麼，考慮不同的關係媒介，設法和他們建立信任，持續監控及改善與他們之間的信任。</p> <p>為建立國內的數位信任生態系統，目前國內的數位信任協會正在研擬數位信任產業地圖，目前已公告數位信任產業地圖草案，身為協會理事一員的曾韵指出，第一階段已在3月底蒐集外界的意見，未來會再開放各界登錄，協會計畫在今年公告數位信任產業地圖。</p> <p> </p> <div> </div> </div></div></div>
2025/5/28 14:42作者蘇文彬https://www.ithome.com.tw/news/169224
駭客組織Everest、Gehenna聲稱竊得可口可樂內部資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據資安新聞網站HackRead的報導，<a href="https://hackread.com/coca-cola-bottling-partner-ransomware-data-breach/">兩個駭客組織聲稱竊得飲料大廠可口可樂（Coca-Cola）與裝瓶合作夥伴Coca-Cola Europacific Partners（CCEP）的內部資料</a>，事隔數日，其中一組人馬<a href="https://hackread.com/everest-ransomware-leaks-coca-cola-employee-data/">已公布手上部分的檔案</a>。但吊詭的是，相關消息曝光迄今已接近一週，可口可樂尚未出面做出回應，此事似乎也沒有受到太多關注，是否事故如駭客宣稱，有待後續釐清。</p> <p>這些事故最早是HackRead於22日揭露，可口可樂與CCEP疑似遭到兩組人馬的網路攻擊，其中，勒索軟體駭客Everest聲稱入侵可口可樂的系統，另一個名為Gehenna（GHNA）的駭客組織宣稱，他們從CCEP的客戶關係管理系統（CRM）平臺Salesforce竊得大量資料。</p> <p>勒索軟體駭客Everest將可口可樂列於暗網網站，並公布螢幕截圖，根據螢幕截圖內容，駭客可能存取了內部檔案及959名員工個資，其中包含簽證與護照的掃描檔案、薪資資料，以及其他人事相關的記錄。Hackread進一步檢視駭客供買家檢驗的部分內容，研判很有可能波及可口可樂中東地區的業務，其中數個檔案與位於杜拜機場自由區（Dubai Airport Free Zone，DAFZ）的杜拜辦公室有關。</p> <p>另一方面，Gehenna宣稱於5月初入侵CCEP的Salesforce主控臺，從此系統竊得逾2,300萬筆記錄，其中包含750萬筆Salesforce帳號記錄（6 GB）、950萬筆客戶服務案件資料（52 GB）、600萬筆聯絡資訊（5 GB），以及逾40萬筆的產品記錄（300 MB）。根據駭客供買家檢驗的資料，來源似乎是Coca-Cola Enterprises Norway。</p> <p>事隔數日出現新的進展，27日HackRead發現<a href="https://hackread.com/everest-ransomware-leaks-coca-cola-employee-data/">Everest公布新的資料</a>，這批檔案大小為502 MB，內容包含可口可樂中東地區的內部與員工記錄。這批資料的檔案數量，總共是1,104個，內含員工完整姓名、公司與住家地址、家庭與婚姻狀態、電話號碼、銀行帳戶資訊、薪資記錄、電子郵件信箱，以及簽證、護照、居留權文件複本。</p> <p>但除了員工個資，其中一個曝光的Excel檔案引起了HackRead的注意。此檔案標題為SuperAdmin_User_Account_Cocacola，詳細記錄可口可樂內部的管理員帳號結構，以及角色分配。雖然此檔案並未包含管理員帳密，但駭客能藉此得知那些帳號具備系統管理員、人資角色，而可能擁有特殊權限。</p> <p>另外還有兩個檔案也能提供駭客組織架構相關的情報，它們分別名為Emp Hierarchy Upload、HRBP Upload。不過，這些資料的真實性，有待可口可樂出面說明。</p> </div></div></div>
2025/5/28 15:13作者周峻佑https://www.ithome.com.tw/news/169228
Zscaler將買下MDR業者Red Canary
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.zscaler.com/press/zscaler-accelerate-innovation-ai-powered-security-operations-acquisition-red-canary" target="_blank">雲端資安業者Zscaler周二（5/27）宣布</a>，已與專精於託管式偵測與回應服務（Managed Detection and Response，MDR）的Red Canary簽署正式併購協議，雙方並未披露財務金額，僅說預計於今年8月完成交易。</p> <p>Red Canary是在2013年於美國創立，致力於提供更有效的威脅偵測及回應服務，特別是MDR；亦與微軟、CrowdStrike及SentinelOne等業者合作，提供整合性的安全解決方案；另也投入生成式AI技術的應用，開發各種AI代理人以自動化安全營運流程，同時提高威脅偵測的速度及準確性，現有超過400名員工，服務全球逾4,000個安全團隊。</p> <p>雖然Red Canary曾經展開多次融資，但皆未對外揭露公司市值。</p> <p>至於Zscaler則是專注於提供雲端零信任解決方案的資安業者，其核心產品Zero Trust Exchange提供網路安全、資料保護與身分驗證等功能，亦整合了AI。該公司截至今年1月31日的2025財年第二季財報顯示，該季Zscaler創造6.48億美元的營收，成長23%，虧損770萬美元，勝過去年同期所虧損的2,850萬美元，全球員工數超過7,000名。</p> <p>Zscaler表示，Red Canary讓其廣泛的客戶能夠以99.6%的準確率，將調查威脅的速度加快10倍，同時藉由自動化修復來簡化工作流程，在結合Zscaler的高品資資料，以及來自ThreatLabz安全研究團隊的全球情報之後，雙方的合併將帶來一個統一的、結合人類專業知識以及AI驅動工作流程的代理安全營運中心。</p> <p>另一方面，Zscaler擁有一套以AI為核心的零信任資安平臺，Red Canary則專精於端點、身分辨識、網路及雲端的威脅偵測與回應，Zscaler認為雙方的合併將能夠解決目前資安營運中常見的痛點，包括錯過關鍵警訊，不夠完整的威脅分析，而導致錯失漏洞等，而讓客戶更能精準地應對現代的資安挑戰。</p> <p>宣布併購消息的當天，Zscaler股價上漲1.26%，以257.3美元作收。</p> </div></div></div>
2025/5/28 13:48作者陳曉莉https://www.ithome.com.tw/news/169221
知名運動品牌Adidas遭網路攻擊，客戶資料外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>來自德國的全球知名運動品牌<a href="https://www.adidas-group.com/en/data-security-information" target="_blank">Adidas上周五（5/23）揭露一起資安意外</a>，指出有一未經授權的外來者藉由第三方的客戶服務供應商取得了某些消費者資料，該公司立即採取行動以遏止駭客行為，並與資安專家合作展開全面調查。</p> <p>迄今Adidas都未公布駭客的手法，或者是受到影響的消費者數量，僅說外洩資料並不包含密碼、信用卡或任何其它與支付相關的資訊，而主要是那些曾經聯繫Adidas客服的消費者聯繫資訊，正根據適用的法令通知那些遭波及的消費者。</p> <p>根據外電報導，本月位於<a href="https://www.businesskorea.co.kr/news/articleView.html?idxno=242481" target="_blank">南韓</a>及<a href="https://www.hurriyetdailynews.com/adidas-turkiye-unveils-data-breach-affecting-customer-information-209384" target="_blank">土耳其</a>的Adidas客戶都有收到Adidas的資料外洩通知，指出他們的姓名、電話號碼、電子郵件位址、生日及性別等個資都已外洩。</p> <p>一直到去年第三季，Adidas都是C<a href="https://blog.checkpoint.com/research/check-point-research-unveils-q3-2024-brand-phishing-trends-microsoft-remains-most-imitated-brand-as-alibaba-and-adobe-enter-top-10/" target="_blank">heck Point Research網釣攻擊調查</a>中，駭客最愛冒用的前十大熱門品牌之一，駭客註冊了許多仿冒Adidas的官網，從網址到介面，以誘導使用者輸入他們的憑證及個人資料。</p> </div></div></div>
2025/5/28 13:58作者陳曉莉https://www.ithome.com.tw/news/169222
俄羅斯駭客Void Blizzard以假Entra登入網頁為誘餌，入侵逾20家非政府組織
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>烏克蘭戰爭迄今仍尚未結束，有越來越多駭客組織從事網路間諜活動，協助俄羅斯政府從烏克蘭及北約國家組織（NATO）盟友收集軍事情報，並引起歐美國家關注。</p> <p><a href="https://www.microsoft.com/en-us/security/blog/2025/05/27/new-russia-affiliated-actor-void-blizzard-targets-critical-sectors-for-espionage/">微軟威脅情資中心指出</a>，他們與荷蘭情報暨安全總局（Netherlands General Intelligence and Security Service，AIVD）、荷蘭軍事情報暨安全局（Netherlands Defence Intelligence and Security Service，MIVD）、美國聯邦調查局（FBI）進行合作，調查被稱為Void Blizzard、Laundry Bear的新興駭客組織，並指出這些駭客近期針對歐美非政府組織（NGO）發動大規模攻擊。</p> <p>此駭客組織主要鎖定對於俄羅斯政府感到興趣的企業組織發動攻擊，涵蓋全球的政府機關、國防、交通運輸、媒體、非政府組織、醫療照護，大部分攻擊活動集中於歐洲及北美。這些駭客入侵受害組織的主要管道，通常是使用疑似從地下市集買到的外流帳密資料，一旦成功進入網路環境，就會大肆偷取電子郵件與內部檔案。研究人員提到，他們在今年4月看到更直接竊取密碼的手法，那就是藉由冒牌電子郵件網釣，引誘收信人上當並提供登入所需資料。</p> <p>針對這些駭客的相關活動，研究人員指出最早可追溯到去年4月，駭客從事一系列的雲端濫用行動引起他們的注意。雖然全球各地都有這些駭客的蹤跡，但是絕大部分活動是針對北約國家組織成員及烏克蘭而來，研究人員認為很有可能是為了收集軍事情報，協助俄羅斯政府達成戰略目標。</p> <p>值得留意的是，Void Blizzard定期鎖定政府機關與執法單位下手，尤其是對於北約國家組織成員國，以及向烏克蘭提供軍事或人道支援的國家。其中，研究人員特別提及駭客已滲透烏克蘭教育、交通運輸、國防組織，又以去年10月對當地航空組織出手，並提及另一個俄羅斯駭客Sandworm（Seashell Blizzard、APT44）曾於2022年對其發動攻擊。</p> <p>針對這些駭客的攻擊流程，研究人員提及通常會用密碼潑灑（Password Spraying）或是外流的帳密入侵受害組織，大部分會用於存取Exchange郵件伺服器，但也有為了挖掘特定資料存取SharePoint Online的情況。</p> <p>研究人員在4月看到駭客針對歐洲及美國逾20個非政府組織，從事對手中間人（AiTM）網釣攻擊，利用域名搶註手法製作冒牌Microsoft Entra身分驗證入口網站，駭客佯稱是歐洲國防安全高峰會的參與者，挾帶PDF附件，引誘收信人上當。</p> <p>此PDF檔案內含惡意QR Code，一旦依照指示操作，收信人就會被帶往釣魚網頁。微軟推測駭客使用網釣工具包Evilginx從事活動，並從中竊取使用者名稱、密碼、cookie等身分驗證資料。</p> <p>一旦攻擊者成功取得受害組織的存取權限，就會濫用Exchange Online和Microsoft Graph等服務的雲端API，找出使用者的電子郵件，以及存放於雲端的檔案，並疑似透過自動化的方式搜括受害者能夠存取的資料。</p> <p>在部分攻擊行動裡，駭客還會試圖利用網頁版Teams存取對話內容，或是透過公用程式AzureHound找出受害組織的Entra ID組態配置，以便進一步掌握租戶相關資訊。</p> </div></div></div>
2025/5/28 12:20作者周峻佑https://www.ithome.com.tw/news/169219
德州通過App Store問責法案，要求程式市集驗證兒童年紀
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>德州州長Greg Abbott在本周二（5/27）簽署了《App Store問責法案》（App Store Accountability Act），要求諸如Google Play或蘋果App Store等應用程式市集必須擔負驗證用戶年紀的責任，<a href="https://www.ithome.com.tw/news/167707" target="_blank">成為繼猶他州之後</a>，第二個簽署相關法案的美國州別。猶他州的法令已於今年的5月7日生效，德州則預計於2026年1月1日實施。</p> <p>推動該法案的德州參議員<a href="https://www.angelapaxton.com/news/its-time-to-hold-big-tech-accountable-and-equip-parents-to-protect-their-children" target="_blank">Angela Paxton表示</a>，今天的孩子是在網路持續存在的環境中長大，一轉眼就能下載應用程式並存取內容，不管內容品質為何，相較之下，實體商店要販售受限商品時還必須驗證消費者年紀，但App Store的經營卻無護欄。此外，即使父母是孩子的第一道與最好的防線，但就算是最細心的父母也可能被應用程式的誤導性描述或變更所蒙蔽。</p> <p>因此，《App Store問責法案》要求應用程式市集在未成年人下載大多數應用程式，或是進行應用程式內購買之前，必須驗證用戶的年紀並獲得父母的批准。</p> <p>不管是蘋果或是Google都反對此一法令，而亦曾被要求驗證用戶年齡的Meta與Snap則舉雙手贊成。根據華爾街日報（WSJ）的報導，蘋果執行長Tim Cook為了阻止該法案，還曾親自去電Abbott。</p> <p>蘋果認為，大家的共同目標都是強化兒童的網路安全，但《App Store問責法案》卻可能威脅所有使用者的隱私，因為它要求應用程式市集蒐集及保留每一個想要下載應用程式的德州人的個人資料，即便使用者想要下載的只是一個天氣或體育程式。相信有更好的方法可以在無需數百萬人交出個人資訊的前提下，保護兒童安全。</p> </div></div></div>
2025/5/28 13:06作者陳曉莉https://www.ithome.com.tw/news/169220
Computex秀AI資安新方向，趨勢科技用數位孿生助企業攻防演練
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>隨著當前AI發展熱潮，數位孿生（Digital Twin）概念也持續受看重，不只是在製造業智慧工廠發酵，資安領域同樣關注，今年4月底美國RSAC 2025大會上，我們才看到<a href="https://www.ithome.com.tw/news/169016">資安業者Check Point當時發出警告</a>，指出新型態AI攻擊，會利用個人資料訓練專屬AI模型，創造出模擬受害者特徵與行為模式的Digital Twin數位分身，這突顯了攻擊者運用此技術的潛在風險，而就在最近舉行的臺北國際電腦展（Computex 2025）上，臺灣資安廠商趨勢科技展示一項創新解決方案，揭露防守方對此技術的運用，目前仍研發中，主要聚焦利用Digital Twin來搭建企業攻防演練的應用環境。</p> <h2><strong>利用數位孿生打造新一代自動化攻防演練</strong></h2> <p>以今年趨勢科技在Computex 2025的展出而言，具體有3大主題，最吸引外界目光的是一款還在研發中的產品，聚焦利用數位孿生（Digital Twin）方式來協助企業紅藍隊攻防演練，推估今年內可問世。</p> <p>根據現場趨勢科技人員的說明，由於去年趨勢科技發展「預測潛在攻擊路徑」的技術，如今有點像是將原有概念再延伸，鎖定企業攻防演練的應用而來。</p> <p>這兩者還有其他不同差異，原先預測潛在攻擊路徑的應用，當時受限於只有趨勢科技自家產品的Log資訊，而這次針對攻防演練的新應用，則是加入更多第三方的Log資訊，因此能讓數位孿生環境的模擬程度，可以達到更高。</p> <p>具體而言，趨勢科技表示，此種藉助數位孿生作法的好處是，可建立更擬真且自動化的攻防演練環境，例如當中具備兩個AI Agent，一個扮演紅隊角色，一個扮演藍隊角色，當紅隊打完後可自動產生結果，重要的是此時不再需要人力介入，藍隊能夠依照發現的弱點與建議，將防護設定套上去，接著紅隊自動再打一次以驗證。如果發現效果不如預期，這時才需要專業資安人力介入，並從紫隊角度或顧問角度來進一步調整。</p> <p>我們可以看出，這種利用Digital Twin概念搭建環境的應用方式，顯然帶給企業紅藍隊攻防演練另一種革新。</p> <p><a href="https://s4.itho.me/sites/default/files/images/PXL_20250522_032358476.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20250522_032358476.jpg" style="width: 600px;" /></a></p> <p>為了更瞭解Digital Twin的應用發展，我們詢問趨勢科技產品管理副總經理Rachel Jin（金靜秀），她揭露了這方面的更多資訊。</p> <p>Rachel表示，過去談到Digital Twin，應用集中於製造業的智慧工廠，像是可以模擬與優化實體生產流程，多是用於物理層面。而趨勢科技是將Digital Twin用於軟體、資安層面。</p> <p>她解釋，在現代企業的數位環境中，其實已經遍布各式感測器（Sensor），包括網路、電子郵件、身分驗證、終端設備、雲端等，趨勢科技正是透過這些感測器所收集的資訊流，構成出企業數位活動的Digital Twin，其用途就是打造出一個完整的模擬環境，高程度的模擬環境，讓企業可在不影響實際營運的情況下，進行攻防演練與風險評估。</p> <p>畢竟，只要資安成熟到一定程度的企業組織，往往都會進行企業內部的紅隊與藍隊攻防演練，來提前找出企業組織在資安防禦上的潛在弱點，但這樣的演練並無法天天頻繁進行，或是在某些敏感環境下更是難以執行，因為怕造成意外影響營運。</p> <p>因此，透過建構在Digital Twin環境中，便能利用虛擬紅隊與藍隊、以AI模擬攻防過程，找出企業防禦的差距（GAP），之後就能進一步回饋到實體環境，實施具體補強措施。不過這類應用也存在挑戰，就像AI需要持續學習以改善，因此在Digital Twin環境中，同樣也要重複讓模型進行訓練與學習。</p> <p data-end="167" data-start="26">Rachel強調：「Digital Twin在資安領域的應用極具前景。」她表示，以趨勢科技在Digital Twin及攻防演練的發展來看，企業能夠模擬各種不同情境，因此不再只是被動防守，而是具備主動預演的能力。若能結合更多商業知識，也能進一步模擬出潛在的商業衝擊，協助企業做出適當調整。</p> <p data-end="259" data-start="169">她另也舉例說明，當企業併購另一家公司時，便可透過Digital Twin模擬環境來做風險評估，避免被整合的公司有資安弱點會帶進來，或是模擬整合後可能產生的資安風險。</p> <h2><strong>另兩項展出重點同樣聚焦AI風險管理與應用而來</strong></h2> <p>趨勢科技在Computex大會上的另兩項展示重點，一是Security for AI Blueprint概念，一是整櫃式AI資安方案。</p> <p>響應GPU大廠Nvidia近年持續發表AI藍圖，趨勢科技在AI資安風險領域也提出自家Security for AI Blueprint概念，強調從6大層面做到AI防護，涵蓋：資料、微服務、基礎架構、模型、網路與使用者。</p> <p>而趨勢科技產品的發展方向也聚焦於此，包括在「資料」、「微服務」與「AI基礎架構」層面，推出Data Security Posture Management（DSPM）、Container Security，以及AI-Security Posture Management（AI-SPM）、API Risk與AI-DR。</p> <p>特別是在AI模型方面，該公司推出ZTSA - AI Secure Access之餘，現也正開發AI Model Scanning。至於「網路」與「使用者」層面則搭配IDS/IPS，以及Deepfake偵測與AI App保護。</p> <p><a href="https://s4.itho.me/sites/default/files/images/PXL_20250522_031123950.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20250522_031123950.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/PXL_20250522_031207372.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20250522_031207372.jpg" style="width: 600px;" /></a></p> <p>另一焦點在於，為應對企業因對隱私權、資料主權及法規遵循的疑慮，進而轉向自行架設私有雲生成式AI的需求，趨勢科技去年已針對這方面發展，針對Trend Vision One推出Sovereign and Private Cloud（SPC）資料中心解決方案，當中並整合Nvidia推論微服務。</p> <p>今年他們則是更進一步推出整櫃式解決方案，將趨勢科技自家SPC方案結合Nvidia AI Factory驗證設計，並搭配Dell基礎架構，讓企業組織可以直接取得整櫃式產品來應用。</p> <p><a href="https://s4.itho.me/sites/default/files/images/PXL_20250522_032904679.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/PXL_20250522_032904679.jpg" style="width: 600px;" /></a></p> </div></div></div>
2025/5/28 11:22作者羅正漢https://www.ithome.com.tw/news/169194
Mistral推出Mistral Agents API
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>法國AI新創Mistral AI本周二（5/27）發表<a href="https://mistral.ai/news/agents-api" target="_blank">Mistral Agents API</a>，以讓開發人員可將大型語言模型（LLM）從單純的文字生成工具，轉變成可執行任務、持續記憶並與外部系統互動的AI代理人。</p> <p>Mistral AI表示，Mistral Agents API透過提供一個專用的框架，來簡化代理式案列的實施，可謂是企業代理平臺的支柱。具體而言，Mistral Agents API內建許多連結器以生成程式碼、執行網頁搜尋、生成圖像，以及各種Model Context Protocol（MCP）工具；它還支援跨對話的持久記憶體；具備代理式協同編排能力，允許多個AI代理人協同解決複雜問題。</p> <p>Mistral AI展示了許多應用，例如打造一個代理人與GitHub互動，同時監督一個由DevStral支援的開發代理人所撰寫的程式碼，展現AI自主管理軟體專案的能力。或者是利用Mistral Agents API建置一個金融分析師，同時編排多個MCP伺服器以獲得各種財務指標、見解，並安全地存檔。</p> <p>也能利用該API來打造一個旅行助理，協助使用者計畫旅行、預訂住宿或管理各種旅行需求。或者是由AI驅動的健康及飲食管理同伴。</p> <p>現階段也有其它業者推出代理人API功能，包括OpenAI的Assistants，Google的Gemini Agents，而Anthropic則透過Claude工具提供類似能力。</p> </div></div></div>
2025/5/28 12:13作者陳曉莉https://www.ithome.com.tw/news/169218
Salesforce將以約80億美元買下雲端資料管理業者Informatica，著眼於代理式AI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>全球客戶關係管理龍頭<a href="https://investor.salesforce.com/news/news-details/2025/Salesforce-Signs-Definitive-Agreement-to-Acquire-Informatica/default.aspx" target="_blank">Salesforce周二（5/27）宣布</a>，將以約80億美元的股權價值收購雲端資料管理業者Informatica，Informatica股東將可獲得每股25美元的現金，預計於2027年1月底之前完成交易。昨天Informatica股價上漲6.08%，以23.92美元作收。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0528-Salesforce-Acquire-Informatica.png" style="width: 400px;" /></p> <p>1993年創立的Informatica號稱是全球最大的資料整合軟體獨立供應商，該公司所提供的產品功能涵蓋了資訊生命周期管理、B2B資料交換、雲端資料整合、複合事件處理、資料複製與資料虛擬化等，可用來協助客戶打造企業等級的資料倉儲，全球客戶超過5,000家。Informatica在1999年曾經登上那斯達克（Nasdaq）股市，但2015年被Permira funds及Canada Pension Plan Investment Board（CPPIB）兩家投資公司<a href="https://www.ithome.com.tw/news/98002" target="_blank">收購而下市</a>，再於2021年重新登上紐約股市（NYSE），當時的開盤價是27.55美元。</p> <p>Salesforce表示，此一收購將強化Salesforce部署代理式AI所需的可靠資料基礎，因為Informatica擁有豐富的資料目錄、資料整合、治理、品質及隱私、元資料管理，以及主資料管理（Master Data Management，MDM），結合Salesforce的平臺之後，將能建立代理式AI的統一架構，使AI代理人得以在現代企業中安全且負責任地大規模部署。</p> <p>Salesforce解釋，有效的企業等級AI不僅需要資料，也需要資料透明度，深入理解資料脈絡，以及嚴格治理，Salesforce與Informatica將創造該產業最完整的代理人就緒資料平臺。</p> <p>儘管Salesforce所提供的MuleSoft工具類似Informatica，但其實Salesforce去年便有意收購Informatica，只是功敗垂成，今年捲土重來並達成協議。此一交易必須經過主管機關的審查，若通過審核，則將成為Salesforce史上最大的一樁收購案。</p> </div></div></div>
2025/5/28 10:40作者陳曉莉https://www.ithome.com.tw/news/169211
臺灣企業如何因應地緣政治風險？從BCM 1.0升級2.0，專家建議從六大面向因應極端情境
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在俄烏戰爭爆發之後，不少企業血淋淋地感受到地緣政治劇烈衝擊最極端的情況，並非完全不可能，尤其臺海衝突頻傳，三年前，國外知名雜誌更專文點名，將臺灣和烏克蘭、以色列並列為全球的高風險地緣政治衝突區域。</p> <p>當時就有不少臺灣大型企業，如高科技業者、金融業者、生技業者，重新審視自己的營運持續計畫（ BCP），開始思考過去視為極端情況，自己當前的準備是否足夠。安永諮詢服務執行副總經理曾韵指出，他們近幾年也協助不少臺灣企業，重新審視BCP計畫對極端情境的準備。</p> <p>在安聯2025年風險指標年報（Allianz Risk Barometer 2025）中，將地緣政治風險列為2025年的第九大事件，曾韵更指出，有14％風險專家甚至將地緣政治視為今年最重要的風險之一。像是在安永每年的全球展望調查中，1,200位CEO中，今年更有高達68%認為，因為地緣政治的不確定性，重新審視企業現有做法非常重要。</p> <p>這兩三年來，曾韵就接到不少企業詢問，想了解如何強化企業韌性的能力，才能更有能力因應激烈的地緣政治風險，甚至是戰時緊急因應程序該怎麼做。</p> <p>為了借鏡國外經驗，曾韵向安永在烏克蘭和以色列據點的同事請益，來了解身處於戰爭局勢第一線的企業，其營運持續計畫的實務作為。在今年臺灣資安大會中，曾韵分享了這幾年來，她協助多家臺灣企業評估地緣政治影響的經驗。</p> <h3><strong><span style="color:#FF0000;">地緣政治衝突常見三大類風險</span></strong></h3> <p>她先回顧過去幾起地緣政治帶來的風險事件主要有三類，第一類風險是電力中斷，在俄烏戰爭中，摧毀或占領了超過50%的烏克蘭發電設施，導致烏克蘭頻繁得採取分區限電的情況，而烏克蘭反擊俄國的本土目標，也多聚焦電力和能源設施，同樣在緬甸內戰中，大規模停電是該國人民的日常生活，吃過半數人口沒電可用。</p> <p>第二類風險則是台灣今年陸續感受到的網路中斷風險，今年臺灣海纜多次疑似遭到註冊非洲籍的中國權宜船拖斷，在烏克蘭戰爭中，該國最大固網電信公司在戰爭發生一個月後，遭受重大網路攻擊導致該國全球網路中斷，俄國也透過實體切斷電力或纜線的方式，來影響烏克蘭網路。</p> <p>最後一類風險則是國家級網路攻擊的風險，在以巴戰爭中，近5成伊朗國家級網路攻擊對象，鎖定了以色列公司，針對學校、政府機關、金融機構、醫療機構進行滲透和攻擊。同樣從南海衝突事件的風險案例中，多個中國駭客組織Raspberry Typhoon（RADIUM）、Flax Typhoon、Granite Typhoon針對東南亞國協成員國（ASEAN）的軍事實體、IT設施進行攻擊，甚至有國家級駭客滲透到印度尼西亞和馬拉西亞的海事系統。曾韵指出，電力中斷、網路中斷和國家級網路攻擊，這是思考地緣政治風險必須考慮的三類風險，臺灣尤其是第三類風險最高的區域。</p> <h3><span style="color:#FF0000;"><strong>以色列將軍事衝突視為日常來準備</strong></span></h3> <p>在烏克蘭和以色列的企業，如何因應這些地緣政治的衍生風險？在以色列要求該國銀行，要有25%的分行，具備總行（Central Branches ）等級的營運不中斷能力，採取更高安全規格和防護措施，要有適當的地理位置分散，在緊急情況下也可以營運。</p> <p>企業評估BCP計畫時，會區分不同風險等級的情境，再來考慮現有緊急應變程序需要涵蓋的風險等級。臺灣企業一般會將戰爭或軍事衝突視為極端情境，而非一般風險等級的BCP情境。考量到成本，大部分臺灣公司都不會考慮到這類極端情境的緊急應變程序。</p> <p>但在以色列的企業不一樣，他們將軍事衝突這種臺灣企業眼中的極端情境，視為是一般的BCP情境來準備。</p> <p>以色列政府要求，銀行至少會將四分之一的分行，達到總行等級的應變能力，一但遇到軍事衝突情況，可以支持更久的營運。這種等級的分行，會設置發電機，也有會更好的防護設施，像是設備完善的地下辦公室，這是以色列金融業的日常準備。</p> <h3><span style="color:#FF0000;"><strong>烏克蘭要求銀行設立韌性據點</strong></span></h3> <p>曾韵分享的另一個因應實例是烏克蘭經驗。戰爭發生後，烏克蘭大約半數能源設施遭到摧毀，全國經常性的輪流停電。</p> <p>所以，烏克蘭央行還提出一項Power Banking計畫，要確保銀行在長時間斷電期間，有能力自主維持最基本的服務。</p> <p>烏克蘭央行找來多家規模較大的系統性銀行，在全國各地設置這類有自主電力運作的韌性據點，而且烏克蘭央行還會確保每個區域都有夠多的韌性據點數量，可以支援全國基本的民生金融服務所需。<br /> 這個計畫要求這些系統性銀行，設立具有自主電力的韌性據點（Power Bank），在這樣的分據點，要有自己的發電機，也要有足夠的現金儲備，並且要有一套備援的通訊管道，以及儲備更多的人力。<br /> 對這些銀行的最小運作水準要求，包括了可以提領現金，可以付款和轉帳，可以換匯，甚至還要可以提供民眾財務上的諮詢。</p> <p>曾韵研究過不同戰爭爆發後對金融業的影響，在戰爭期間，銀行業業務不只不會停擺，反而還會增加，更需要加班，像是會有更多保險理賠的工作。</p> <h3><span style="color:#FF0000;"><strong>烏克蘭IT產業的戰爭韌性準備</strong></span></h3> <p>烏克蘭除了金融業有一套戰爭韌性準備以外，該國的IT產業也很有一套自己的應變做法。烏克蘭的資訊服務產業在歐洲很有名，大約有30萬名IT專家，三分之二是直接或間接服務歐美多個國家。在俄烏戰爭爆發期後，雖然發生長時間的斷電，甚至影響了電話機房和網路節點。但這群IT專家還是有能力繼續對外提供服務，一方面，從疫情發生之後，這群烏克蘭IT人力，已有一套居家辦公措施，戰爭發生後，可以迅速啟用。</p> <p>另一方面，這群IT專家也運用低軌衛星提供備用的網路通路，像是有雇主補助這群專家租用Starlinks星鏈網路，另外，IT人員也有自己的備援電力，像是行動電源包，甚至是自備柴油發電機。</p> <p>從烏克蘭經驗，曾韵提到，烏克蘭還有一件事值得借鏡，就是資訊雲端化。</p> <p>烏克蘭原本沒有開放金融業上雲。原本烏克蘭有一部《數據保護法》，規定政府及部分民間機敏資料必須放置在烏克蘭境內主機中。但在戰爭爆發前幾天，2月17日，烏克蘭緊急修法，通過《雲端服務》法案，允許政府和民營部門將數據轉移到雲端，等於開放了企業可以將關鍵資料和系統上雲，不到一周，2月24日舊爆發戰爭。很多烏克蘭銀行迅速將系統上雲，甚至營運都沒有中斷。到了3月12日，烏克蘭政府進一步擴大鬆綁，公共訊息資料、國家登記機構以及加密備份資料，允許儲存到境外雲端或資料中心。烏克蘭企業將資料上雲，轉移到沒有受到戰爭影響的西部區域，後來更可以轉移到境外鄰國。</p> <h3><span style="color:#FF0000;"><strong>雀巢的戰爭BCP做法特別重視社會責任</strong></span></h3> <p>曾韵還舉了一個比較特別的營運持續計畫實例，有家零售業特別考慮到社會責任面的BCP做法。在烏克蘭衝突期間，雀巢對於他們在烏克蘭的5,500名員工及他們的家人，提供了財務支援、搬遷支持和安全的保障，也設立了生存中心，更擴大對烏克蘭社區提供人道援助。</p> <p>這些做法涵蓋了薪資支持、員工安全援助、跨國支援和熱線服務，以及內部職位安置等面向。在薪資支持上，雀巢提前支付烏克蘭員工的薪水，甚至在未來一段時間內持續支付薪水。而在員工安全援助上，雀巢則提供一次性的搬遷補助，也準備了緊急護理包。雀巢還將當地辦公室設置為7x24小時運作的全天候生存中心，作為員工和他們家人的安全避難所。</p> <p>在跨國支援和熱線服務上，雀巢設立員工熱線，提供當地員工法律、移民諮詢，甚至還有心理支持，另外也在烏克蘭鄰國，如波蘭設立支援中心，來接待逃離烏克蘭的員工和他們的家人。作為跨國機構，雀巢更提供內部職位的安置安排，可以提供烏克蘭員工，改調整到其他地區雀巢所屬公司的工作機會。</p> <p>曾韵解釋，國外也有企業在戰爭BCP計畫中，預先考慮到類似雀巢做法的準備，像是為了持續發放薪水預先準備一筆現金，避免因為當地資訊系統因戰爭而無法運作。或是考慮要在當地設置員工避難區域，或在鄰近國外分支據點接待逃難的員工。</p> <p>「臺灣有少數企業的BCP計畫，開始考慮到極端情境，但較少準備到這麼完整。」她觀察。</p> <p>在俄烏戰爭爆後後，臺灣也有企業想要對這類地緣政治衝突的風險，採取一些作為，不過，常見會遇到一些挑戰。曾韵歸納，一方面，臺灣企業對於地緣政治事件的熟悉度不夠，就沒有辦法建立有效的策略，另外，也缺乏內部的應變權責機制。企業更會因為缺乏實際操演經驗，無從判斷自身的準備是否充分。</p> <h3><span style="color:#FF0000;"><strong>專家建議企業，因應地緣政治風險要先劃分階段</strong></span></h3> <p>曾韵建議企業，可以將地緣政治風險劃分不同的階段，在營運持續計畫中，再針對每一個階段訂定詳細的情境與事件應對方針，企業可參考國內外專家或政府機構對這些情境的規畫和建議，來安排企業自家做法。</p> <p>其次，她建議，企業需針對緊急應變設計一套管理機制，尤其要釐清決策程序，明確訂出對應的代理人制度。最後就是必須針對這些計畫，真的進行演練，讓企業上下都清楚了解，遇到這類事件時，可以怎麼做，尤其要模擬各部門的協作情境，驗證準備狀況，來做改進。</p> <p>曾韵也舉了一些臺灣企業實際開始評估極端情境BCP時才會發覺的細節。像是有企業BCP計畫中的人力準備，依照職位或能力來安排，但忽略了戰時徵召對男性人力的影響，可能得考慮更多女性人力的儲備。或者有些企業購買的保險，合約中有戰爭排外條款，遇到戰爭情況將不會理賠。</p> <h3><strong><span style="color:#FF0000;">臺灣企業四種極端情境BCP現行做法</span></strong></h3> <p>過去兩年來，已有一些臺灣企業開始評估這類極端情境的BCP，曾韵也歸納出四類臺灣企業因應極端情境的主要現行做法。</p> <p>第一類做法是建立備援電力，先盤點出自家企業的關鍵營運據點，來設計不斷電設備，發電機和柴油桶等。</p> <p>尤其許多大樓備援電力僅供消防逃生設施等關鍵設備使用，其實無法支援企業辦公室的電力備援。企業也得確保發電機的油類補給來源，例如得掌握自家辦公室附近，哪一處加油站有發電設備，遇到大規模停電時才能持續供油。臺灣中油官網後來也因有這樣的企業需求，開始在網站上提供了配備發電機的加油站據點清單。</p> <p>第二類現行做法是建立備援網路和通訊。像是考慮在關鍵營運據點導入低軌道衛星網路，列出需要配備衛星電話的關鍵人員名單，例如總經理，風控長，廠長等。目前中華電信已經宣布，2025 年上半將正式提供低軌衛星OneWeb和中軌衛星SESE的衛星商用服務，企業就可以多了一種備援通訊的選擇。</p> <p>資料上雲是臺灣企業現行的第三種BCP應變做法。像是將資料的冷備份上雲，甚至有企業為此而考慮將系統備份上雲。曾韵提醒，企業需確認所屬產業對資料上雲的相關法規，了解個資與敏感資料議題，另外也要留意資料備份所在的國家是否安全。 </p> <p>最後一種，臺灣企業常見的應變做法就是建立遠端辦公的能力。企業會延續原本疫情時的遠端辦公方案，例如採購筆電、建置VDI，定期演練測試等。曾韵提醒，有些企業疫情時的遠端辦公做法是，用筆電連回企業內部桌機來操作，若遇到大規模斷電時，這個做法就可能無效，得改到另一個據點辦公而非遠端辦公。</p> <h3><span style="color:#FF0000;"><strong>BCM 1.0：建立基本營運持續管理機制四步驟</strong></span></h3> <p>針對地緣政治衝突的風險因應，曾韵建議臺灣企業，至少要有基本的營運持續管理機制，可以按照四個步驟來進行。</p> <p>第一步是找出關鍵業務，分析企業的關鍵業務是什麼，訂出這些業務需要回復的優先順序，也要識別出提供這些關鍵業務，需要哪些資源和關鍵系統。</p> <p>接著第二步是設計公司策略，考慮在每個情境下，像是火災，地震，電力中斷、駭客攻擊等情境，企業要啟動哪些相關的措施，例如啟動部分居家辦公，停止部分品項的供應，或者暫停部分門市的營運，或是啟動備援電力和網路等。c</p> <p>有了策略後，再來就是第三步，準備資源，針對上述企業營運持續策略賴準備所需的資源，像是預備緊急備援能源，備援通訊（如購買低軌衛星服務）、人力備援（區分A/B組），預先設立應變組織等。<br /> 最後一步就是演練，甚至是取得認證。透過實際演練來確定策略的可行性和應變所需資源的完整性。也可以進一步透過第三方驗證，來了解對自身做法的意見和改善建議。</p> <h3><strong><span style="color:#FF0000;">BCM 2.0：因應極端情境要考慮6大面向</span></strong></h3> <p>曾韵指出，企業做到BCM（營運持續管理） 1.0之後，再進一步考慮到極端情境的BCM 2.0。</p> <p>「要升級到能因應極端情境的營運持續計畫（BCP），要多考慮六大面向。」曾韵建議，這六大面向包括了人員因素、周遭風險、呼叫樹（Call Tree）、備援能源、異地地點、和供應鏈。</p> <p>在人員因素上，企業應該先確定哪些員工已經被徵召入伍，以及未來若有軍事衝突時，有哪些人員有可能被徵召。其次要考慮周遭風險，例如評估機房地點時，還要多考慮避開容易成為軍事攻擊的目標設施，像是政府大樓、重要地標等。在環境考慮上，也要考慮備用異地地點的選擇，檢查備用站點的合約，是否能夠反映業務的需求，例如有企業會檢查電費帳單，避免備援機房的輪流供電分組，不會和主要機房相同，來避免同時停電。</p> <p>在通訊聯絡上，企業要定期測試所訂定的呼叫樹（Call Tree），確保所有人聯絡方式的新穎性，如群組名單的更新，手機電話正確性。</p> <p>備援能源計畫上，則要確定燃料中斷後對企業的影響，再來考慮有什麼替代燃料來源和供應商。最後一項，則要考慮對企業供應鏈的影響，地緣政治衝突可能破壞了企業的國際供應路線，業務持續性計畫人員應該審查供應鏈路線，確定若有必要如何重新安排商品和服務的供應路線。</p> <h3><span style="color:#FF0000;"><strong>先從關鍵中定義更關鍵</strong></span></h3> <p> 「用一句話點出BCP 2.0的規畫重點是，從關鍵中定義更關鍵。」曾韵強調。</p> <p>她建議可以從BCM的關鍵業務中，考量客戶信心、社會責任、合規要求和經營考量等四大面向，來挑出關鍵中的關鍵。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%A6%82%E4%BD%95%E5%AE%9A%E7%BE%A9%E9%97%9C%E9%8D%B5%E4%B8%AD%E7%9A%84%E9%97%9C%E9%8D%B5-%E6%94%9D%E5%BD%B1-%E7%8E%8B%E5%AE%8F%E4%BB%81.jpeg" /></p> <p>在客戶信心考量上，例如對金融業而言，基礎金融業務如支付、貸款、理賠、債券等影響客戶信心的業務，優先順序相對較高。也可提高社會責任相關的業務，如前述跨國零售業者重視的員工與家屬安置，或有助於客戶關懷、捐款通路支援和提供等。合規要求也是BCM 2.0應考量的面向，如需要與所屬產業的主管機關溝通，確認所採取應變措施的合規性，例如哪些資料可上雲。最後一項經營考量上，企業則需要衡量投資活動的持續，核心競爭力的保全，或是各地布局的安排，來挑選出更關鍵的項目。</p> <h3><span style="color:#FF0000;"><strong>盤點關鍵資源的儲備程度</strong></span></h3> <p>找出關鍵中的關鍵後，下一步就是要盤點關鍵資源的儲備，包括了資訊系統、資料備份、網路通訊、場地與設施，還有人員，都是關鍵資源的類型，除了正常備援機制外，需考量另外的第二方案。</p> <p>例如關鍵業務所需資訊系統，對外溝通管道（官網，Email，聊天機器人）或內部溝通軟體的第二方案。或是在資料備份上，除了關鍵業務所需系統的備援，重要資料的電子備份，重要紙本文件的儲存與保管第二方案，甚至需考量運送機制。</p> <p>網路通訊的第二方案考量，則可考慮網路出口使用不同ISP業者，網路設備則區出出主中心、備援中心、重要場所的網路設備。在場地和設施考量上，則要先盤點全臺適合使用的辦公場所和資源（如電力雙迴路），這些地點在緊急狀況下的油料儲備取用方式。</p> <p>而在人員第二方案考量上，則要預先安排關鍵業務執行人員的順序（如區分A/B組），更新人員聯繫清單，也要和預定的通訊機制建立連結（如預先建立群組）等。</p> <p>在地緣風政治風暴中，企業要如何駕馭不確定性？曾韵建議，臺灣企業不能完全不做準備，考慮企業和資訊韌性，也應該將地緣政治風險納入考量，來因應前面提到的種種挑戰，如電力中斷，網路中斷，資安攻擊等議題。可借鏡以色列和烏克蘭的做法，來升級既有的營運持續計畫。</p> </div></div></div>
2025/5/28 10:11作者王宏仁https://www.ithome.com.tw/news/169208
Copilot代理深入整合Office擴充，統一開發工具加速辦公應用自動化
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟對Office Add-ins進行<a href="https://devblogs.microsoft.com/microsoft365dev/office-addins-at-build-2025/">重大更新</a>，重點在於Copilot代理與Office擴充功能的深度整合，並以統一開發工具Microsoft 365 Agents Toolkit強化辦公應用智慧化與自動化。此更新提升Word、Excel、PowerPoint等辦公軟體的智慧功能與自動化整合，簡化開發與部署流程。</p> <p>過去Office Add-in多以傳統用戶界面為主，必須仰賴功能窗格或操作按鈕觸發功能，現在則可由Copilot代理直接以自然語言理解用戶需求，呼叫Add-in的各項專業功能。用戶在Office應用中僅需透過Copilot輸入指令或問題，即可啟動第三方擴充元件，無論是自動插入內容、進行資料分析，或串接企業內部資料來源，皆可用對話式方式完成。微軟表示，該設計旨在協助用戶以自然語言操作擴充功能，簡化自動化流程，提升日常辦公效率。</p> <p>對開發者而言，統一描述檔（Manifest）與Microsoft 365 Agents Toolkit使Office各產品共用相同應用架構，開發者可使用單一程式碼，部署至Word、Excel、PowerPoint等應用，大幅降低維護與更新複雜度。新版開發工具Microsoft 365 Agents Toolkit整合API、測試與除錯等功能，提升開發流程一致性與效率，根據官方說明，系統管理員能透過統一部署與管理介面，設定擴充元件的安裝與存取規則。</p> <p>本次更新也導入事件型自動啟動（Event-based Activation）概念，讓擴充元件能於文件開啟或建立時在背景自動執行。此設計減少使用者操作步驟，並可應用於自動化內容驗證、資料更新或法規檢查等場景，有助於提升辦公應用安全性與一致性。</p> <p>微軟同步升級Office Add-ins相關API與功能，增強圖形物件處理、資料型別自訂與流程自動化等能力，讓開發者能打造更貼近企業需求的辦公自動化工具。新版統一的儲存與安裝管理機制，讓企業能以集中方式發布、部署並管理多款擴充元件，減少手動安裝或分散維護的困擾。整體而言，Office Add-ins與Copilot代理的結合，加上統一開發工具，讓企業與開發者能更有效率地跨多種Office應用推動自動化與智慧化。</p> </div></div></div>
2025/5/28 08:43作者李建興https://www.ithome.com.tw/news/169201
中國稱用於保護身分的網路ID系統已有600萬人啟用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.mps.gov.cn/n2254098/n4904352/c10087598/content.html" target="_blank">中國政府宣布</a>，已經有600萬人啟用驗證網路身分的App，將在今年7月正式使用，以減少冒名詐騙、或是保護真實身分。</p> <p>中國公安部於今年2月通過並公布《國家網路身分認證公共服務管理辦法》，預定7月15日正式施行。該法旨在推行「網號」及「網證」用於驗證使用者真實身分，同時能減少真實身分的使用，以保障身分安全。其中網號是與自然人身分相對應、由字母和數字組成的符號，網證是指身分憑證。網號、網證可用於在網際網路平臺、政府服務或旅遊、醫療業等民間服務中的非明文登記用於日後身分驗證。</p> <p>統一的「網路身分認證公共服務平臺」為使用者提供身分驗證，方法是結合實體身分證明，如居民身分證和其他資料，再運用密碼演算法，完成網號、網證的發放。</p> <p>國家網路身分認證公共服務自2023年6月27日上線。<a href="https://m.huanqiu.com/article/4MnOKsenxCn" target="_blank">中國公安部上周公告表示</a>，國家網路身分認證App累計下載超過1,600萬次，啟用達600萬人，提供認證服務1,250餘萬次。</p> <p>中國政府說，網路ID是人民自願取得。</p> </div></div></div>
2025/5/28 08:51作者林妍溱https://www.ithome.com.tw/news/169206
金融科技產業聯盟最新進展！國泰金控計畫用區塊鏈串接警政和醫院資料，加速交通事故理賠流程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>金管會今日在記者會上公布金融科技產業聯盟最新進展，連帶揭露了國泰金控預計在異業生態共創工作圈推動的新計畫，要運用產險聯盟區塊鏈來串連醫療場所和警政單位資料，將三方資料彙整於單一系統平臺，例如，在保戶同意下取得警政通報單，加快民眾申請交通事故產險理賠的作業流程。</p> <p>早在今年2月金融科技聯盟舉辦成立儀式，國泰金控就公開異業生態共創工作圈的推動方向和初步提案。除了要促進異業結盟，他們也希望打造跨業、跨域，和跨境議題的解決方案。當時，他們揭露三個初步提案構想，分別是發展聯合學習技術授權、推動醫療業和保險業數據互通，提高醫療保險理賠效率，最後是推動數位金融護照。如今，金管會揭露的最新提案，則是要用產險聯盟區塊鏈，來推動跨業合作，減少交通事故理賠花費的時長。</p> <p>產險聯盟區塊鏈是由國泰金控和國泰產險合作推動，將區塊鏈應用至產險作業，協助減少理賠過程中需耗費的大量人力、物力。</p> <p>以汽機車強制險理賠為例，過去不同保險公司需要耗費大量人力和時間來對照同一件案件的受理、審核流程，和理賠案件進度。而透過產險聯盟理賠鏈，可以讓各間保險公司以加密和高信任度的方式交換資料，更快完成案件審核、給付和追償，降低理賠作業時間及紙本作業風險。產險聯盟區塊鏈平臺自2022年上線至今，已有14家產險業者加入。</p> <p></p> </div></div></div>
2025/5/27 21:32作者李昀璇https://www.ithome.com.tw/news/169204
【資安日報】5月27日，駭客於臺灣等70個國家挾持逾2千臺伺服器架設殭屍網路
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>部分駭客行事低調，長年竊取受害組織機密，直到多年後才有研究人員對其行蹤有較為明確的分析，並引起外界的注意。</p> <p>例如，資安業者AhnLab與韓國國家網路安全中心（NCSC）近期對於與中國有關的駭客組織TA-ShadowCricket（Shadow Force）進行揭露，就是這樣的例子，值得留意的是，駭客廣泛於全球入侵逾2千臺伺服器，植入IRC機器人或後門程式，臺灣也有44臺主機受害。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169197"><strong style="font-size: 22px;">駭客組織TA-ShadowCricket控制全球逾2千臺伺服器，44臺在臺灣</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/HKWx5zE2JI1zk6TUyfGuflTHQ3cLhLdljbNE7qqb.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/HKWx5zE2JI1zk6TUyfGuflTHQ3cLhLdljbNE7qqb.png" style="width: 300px; float: right;" /></a>近期有部分鮮為人知的中國駭客遭到資安研究人員起底，其中不少攻擊範圍涵蓋臺灣，引起國內媒體高度關注。</p> <p>根據自由時報、ETtoday新聞雲等多家媒體的報導，資安業者AhnLab與韓國國家網路安全中心（NCSC）聯手，針對與中國有關、名為TA-ShadowCricket、Shadow Force的駭客組織，揭露相關攻擊行動的長期調查結果。這些駭客約從2012年開始活動，積極對亞太地區國家下手，通常會針對曝露在網際網路的Windows Server主機，或是管理不善的SQL Server而來，植入IRC機器人或後門程式。</p> <p>而對於這些駭客控制的範圍，迄今駭客於全球72個國家、超過2千個IP位址，部署IRC伺服器並充當C2。其中，受影響最嚴重的國家是中國、韓國，分別有895臺、457臺主機，值得留意的是，臺灣也有44臺伺服器遭到這些駭客控制。AhnLab也在調查報告當中，提及TA-ShadowCricket偽造或盜用數家軟體廠商憑證簽署惡意軟體的現象，其中一家是臺灣軟體業者訊連科技（CyberLink），駭客於2012年曾偽造該公司憑證為惡意軟體簽章。</p> <p><a href="https://www.ithome.com.tw/news/169195"><strong style="font-size: 22px;">5,300臺網路設備遭殭屍網路綁架，中國駭客ViciousTrap利用未有修補程式的已知漏洞入侵</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/vicioustrap-map.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/vicioustrap-map.png" style="width: 300px; float: right;" /></a>提供中小企業及SOHO族使用的網路設備，即使廠商因生命週期結束（EOL）不再提供修補，用戶往往因為仍然能夠運作，並未汰換而是繼續使用，這樣的情況也變成駭客眼中的肥羊，且有越來越多設備遭到控制。</p> <p>例如，最近資安業者Sekoia對於追蹤思科路由器漏洞CVE-2023-20118的攻擊行動，揭露最新的發展，他們原本在今年1月底至2月上旬，發現有人利用這項漏洞，綁架思科的小型路由器設備，組成殭屍網路PolarEdge，當時已有逾2千臺設備受害，如今研究人員發現，還有其他駭客組織也加入漏洞利用行列：中國駭客ViciousTrap已藉此綁架超過5千臺路由器，並在這些路由器植入Shell指令碼NetGhost，然後將流入的網路流量導向類似蜜罐陷阱（Honeypot）的基礎設施。</p> <p>但前述思科路由器並非駭客的唯一目標。Sekoia研究人員進一步對駭客的基礎設施調查，結果發現，他們也鎖定D-Link、Linksys、華碩、威聯通（QNAP），以及Araknis Networks等廠牌的網路設備。</p> <p><a href="https://www.ithome.com.tw/news/169179"><strong style="font-size: 22px;">駭客組織Careto傳出背後主使是西班牙政府</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/kaspersky-careto-the-mask-illustration.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/kaspersky-careto-the-mask-illustration.png" style="width: 300px; float: right;" /></a>根據科技新聞網站Techcrunch報導，資安業者卡巴斯基前員工向他們透露，11年前被視為世界上最狡猾的駭客攻擊行動，幕後主使者就是西班牙政府。卡巴斯基、西班牙國防部拒絕回應此事。</p> <p>2014年卡巴斯基發現進階滲透攻擊（APT）行動，鎖定政府機關和能源企業，包括外交辦公室、大使館、能源或石油企業，目的在竊取機密資料如文件、加密金鑰、VPN配置等。經過分析，研究人員將犯案的駭客組織稱為Careto或The Mask，這是因為他們在其程式碼中發現到Careto（西班牙語中的面具之意）的字樣。</p> <p>至少有4名卡巴斯基前員工指認，Careto背後的主謀是西班牙政府，其中一名員工透露，卡巴斯基調查Careto的動機，就是源自駭客攻擊古巴政府特定的網路環境，此受害政府機關是「零號病人（Patient Zero）」，也是將Careto與西班牙當局關連的重要關鍵。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityonline.info/malicious-vs-code-extensions-deliver-spyware-steal-crypto-credentials/">駭客組織MUT-9332利用VS Code外掛鎖定開發人員</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/tiktok-videos-now-push-infostealer-malware-in-clickfix-attacks/">抖音成散布竊資軟體的新管道，駭客藉此從事Click網釣</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/hackers-use-fake-ledger-apps-to-steal-mac-users-seed-phrases/">蘋果電腦用戶遭鎖定，駭客假借冒牌Ledger軟體挾持加密貨幣錢包</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169196"><strong style="font-size: 22px;">AI助手GitLab Duo存在漏洞，恐被用於挾持AI回應、洩露程式原始碼</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/gitlab-duo-prompt-injection-16.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/gitlab-duo-prompt-injection-16.jpg" style="width: 300px; float: right;" /></a>生成式AI廣泛受到開發者運用，一旦這類應用程式出現弱點，就有可能遭到利用，藉此影響軟體開發安全。</p> <p>根據資安業者Legit Security的研究，AI助理GitLab Duo有資安弱點，攻擊者可藉由埋入的註解，導致GitLab Duo洩露開發人員處理的程式原始碼，並且在回應裡注入不受信任的HTML內容。研究人員於2月12日通報此事，GitLab已進行確認並完成修補。</p> <p>而Legit Security在這款人工智慧助理當中，發現遠端提示注入漏洞，攻擊者只要透過Duo Chat，就能從私人專案竊取原始碼、竄改程式碼建議並顯示給其他用戶，甚至還可以洩露機密資訊，或是零時差漏洞。</p> <p><a href="https://www.ithome.com.tw/news/169151"><strong style="font-size: 22px;">資安研究員利用OpenAI o3模型發現Linux核心零時差漏洞</strong></a></p> <p>資安研究人員Sean Heelan上周揭露，他利用OpenAI的o3模型於Linux核心中發現了CVE-2025-37899零時差安全漏洞，當他透過同樣的方法於Claude Sonnet 3.5及Claude Sonnet 3.7中測試時，並未發現同樣的漏洞。</p> <p>Heelan是名獨立研究人員，專門研究與大型語言模型（LLM）有關的漏洞自動發現及攻擊程式生成。他說，最近正想從LLM中抽身，休息一下，於是展開了ksmbd漏洞稽核專案，ksmbd是一個在Linux核心空間中實作SMB3協定的伺服器，可透過網路共享檔案。</p> <p>然而，當OpenAI發表o3之後，他便忍不住利用他在ksmbd中發現的錯誤作為o3能力的快速基準測試，結果o3成功找到了先前未被揭露的CVE-2025-37899，此為ksmbd元件的記憶體釋放後再存取使用（Use-After-Free）漏洞，出現在處理SMB的logoff命令，當其中一個執行緒釋放特定物件的過程，另一個執行緒可能嘗試存取記憶體空間，進而觸發記憶體損壞，允許駭客執行任意程式。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thecyberexpress.com/cloudflare-fixes-cve-2025-4366-in-pingora-oss/">Cloudflare修補代理伺服器框架高風險漏洞</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/netgear-router-flaw/">Netgear路由器存在重大漏洞，攻擊者能得到完整管理員權限</a></strong></p> <p></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169002"><strong style="font-size: 22px;">【臺灣資安大會直擊】當人資遇上資安挑戰：半導體公司人資主管解析，資安證照如何助力公司和個人價值提升</strong></a></p> <p>在數位轉型浪潮席捲各產業的今天，「資安即國安」的口號已深入人心，然而，談及企業資安，大眾的目光往往聚焦IT部門的技術防禦。事實上，在企業運作的核心深處，人力資源（HR）和財務部門正因其獨特的工作性質和所處理的敏感資料，悄然成為企業資安防線中最為關鍵的「前沿」陣地。</p> <p>任職於半導體公司財務與人資主管鄭惠如（RuRu Cheng），她日前在「臺灣資安大會」Cyber Talent Forum的演講中，以逾十年的財務人資經驗及資安領域的跨界視角，深入剖析為何人資和財務部門必須重視資安意識與相關證照，以及對於個人職涯和企業安全所帶來的深遠影響。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169160"><strong>【5月26日】歐美大國攜手執法，3天內破壞7個Botnet</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169135"><strong>【5月23日】新版Windows伺服器作業系統dMSA服務帳號的遷移流程可被濫用而惹議</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169114"><strong>【5月22日】VMware修補旗下多款平臺的資安漏洞</strong></a></p> </div></div></div>
2025/5/27 17:59作者周峻佑https://www.ithome.com.tw/news/169199