iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 5篇
近 24 小時: 31篇
近 7 天: 131篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/10
最近更新: 11/10 08:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 131 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象5 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
彭博社1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

勒索軟體Lyrix用Windows內建API對電腦發動攻擊，回避偵測、防止研究人員分析
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>勒索軟體攻擊極為氾濫，許多企業會透過各式資安防護系統與備份機制因應，但道高一尺，魔高一丈，駭客也採取更難被偵測的手法犯案，其中最常見的手法，就是自行攜帶存在已知弱點的驅動程式（<a href="https://www.ithome.com.tw/tags/byovd">BYOVD</a>），藉此停止EDR端點代理程式的運作。</p> <p>但除了透過BYOVD對EDR下手，駭客也會濫用作業系統內建合法元件或功能來掩人耳目，最近資安業者Cyfirma揭露的<a href="https://www.cyfirma.com/research/lyrix-ransomware/">勒索軟體Lyrix</a>，就是這樣的例子。駭客從試圖對抗研究人員的虛擬機器和沙箱，以及隱匿行蹤與迴避資安系統偵測的手段，基本上幾乎都是透過Windows內建的API來達到目的。</p> <p>駭客如何用OS內建API？用了哪些API進行攻擊？研究人員指出，駭客透過VirtualProtect偵測是否在虛擬機器執行，並使用GetCurrentProcess、TerminateProcess控制惡意程式的運作，或是進行權限提升、把惡意程式碼注入到特定處理程序的情況。接著，駭客使用GetDriveTypeW、FindNextFileExW從受害電腦找出想要加密的資料。</p> <p>此勒索軟體的另外一個特性，則是本身是以程式語言Python開發而成，而且是透過PyInstaller打造，而能直接整合運作過程所需的程式庫元件，並打包成單一的可執行檔。因此，該檔案執行的過程，完全不需倚賴受害電腦事先部署特定的元件，使得攻擊流程更加順暢。</p> <p>為了避免受害組織透過備份復原資料，Lyrix也同樣鎖定備份系統、磁區陰影複製服務（VSS），以及系統還原的備份檔案而來，將這些檔案刪除。此外，駭客還會停用Windows內建的系統修復環境（WinRE）功能。</p> </div></div></div>
2025/6/5 14:35作者周峻佑https://www.ithome.com.tw/news/169384
求職信網釣鎖定財務長與金融高層而來，駭客企圖遠端存取工具Netbird控制受害電腦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客以徵才的名義從事網釣攻擊的情況不時傳出，其中最常見的是針對開發人員而來，如今有人專門針對全球高階財務主管下手，直到一年後才被研究人員發現。</p> <p>資安業者Trellix<a href="https://www.trellix.com/en-in/blogs/research/a-flyby-on-the-cfos-inbox-spear-phishing-campaign-targeting-financial-executives-with-netbird-deployment/">於5月中旬偵測到專門鎖定財務長（CFO）及金融高層的網路釣魚攻擊</a>，駭客的攻擊範圍相當廣泛，涵蓋歐洲、非洲、加拿大、中東、南亞等全球5個地區。受影響的產業包括銀行、能源公司、保險業及投資機構。攻擊者利用合法的遠端存取工具NetBird，在受害者的電腦上建立隱藏的本機帳號，並啟用遠端桌面存取。</p> <p>研究人員發現，類似的惡意連結已經活躍近一年，顯示這場行動可能已經持續了一段時間。目前，攻擊者的基礎設施尚未被完全識別，暫且尚未歸因於特定的威脅組織。</p> <p>在其中一起事故的攻擊流程裡，攻擊者偽裝成Rothschild & Co.的應徵人員，向受害者發送電子郵件，聲稱提供「策略性職位」，誘使他們開啟附件PDF檔案。然而，該附件實際上是一個放置在應用程式開發平臺Firebase的網頁，最終導致惡意程式下載。</p> <p>攻擊過程涉及多個階段，首先，受害者需通過CAPTCHA圖靈驗證，駭客這麼做的目的，旨在繞過安全防護，避免攻擊流程被資安系統偵測而中斷。驗證完成後，系統會解密隱藏的URL，並引導受害者下載ZIP壓縮檔。該壓縮檔內含VBScript指令碼，從外部伺服器下載下一階段的惡意程式碼。</p> <p>第二階段的VBScript下載器會取得另一個ZIP檔，內含NetBird和OpenSSH的MSI安裝檔。這些工具本身是合法的遠端存取應用程式，但攻擊者利用它們來建立隱藏的本地帳戶，啟用遠端桌面存取，並設置工作排程，確保NetBird在系統重新啟動後仍能持續運行。值得注意的是，攻擊者還會移除NetBird的桌面捷徑，以降低受害者察覺異常的機會。</p> </div></div></div>
2025/6/5 15:08作者周峻佑https://www.ithome.com.tw/news/169385
Nokia將率領逾40個組織共同打造一個由歐盟贊助的無人載具專案，以保護重大基礎設施
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.globenewswire.com/news-release/2025/06/04/3093322/0/en/Nokia-to-lead-PROACTIF-a-multimillion-Europe-robotics-and-unmanned-technology-project.html" target="_blank">Nokia周三（6/4）宣布</a>，將主導一個由歐盟贊助的PROACTIF專案，開發可用來保護歐洲關鍵基礎設施的無人載具，將有來自13個國家的42個組織參與，包括AI晶片龍頭Nvidia，以及歐洲的航太及國防科技巨頭Leonardo。</p> <p>在退出手機市場之後，Nokia已轉型成為一家專注於網路基礎設施、雲端服務與AI解決方案的科技公司，鎖定企業級通訊與數位基礎設施。而PROACTIF專案的贊助者則是<a href="https://european-union.europa.eu/institutions-law-budget/institutions-and-bodies/search-all-eu-institutions-and-bodies/chips-joint-undertaking_en" target="_blank">歐盟的晶片聯合計畫（Chips Joint Undertaking，Chips JU）</a>，它是《歐洲晶片法案》（European Chips Act）的一部分，主要任務為推動半導體研究與創新、強化歐洲晶片供應鏈，以及半導體人才培育。</p> <p>PROACTIF專案的目的，是為了強化歐洲在電子元件與系統（Electronic Components and Systems，ECS）相關技術的彈性與領導地位，並支援歐洲無人機及機器人產業。</p> <p>Nokia說，預計該專案到了2035年將產生9,000萬歐元的收入，開發出50種產品及超過15項的產業專利，也會帶來數十個新的合作，創造數百個新職務，以及逾4,000萬歐元的額外投資。</p> <p>Nokia嵌入式無線解決方案負責人Thomas Eder表示，Nokia準備把無人機轉為公共安全與關鍵任務營運的日常助手，專注於歐洲關鍵基礎設施的監控與緊急管理，將聯合學術機構、中小企業及各產業的領導者，開發尖端、高效及安全的無人駕駛載具系統（Unmanned x Vehicle，UxV）。</p> <p>現階段該專案已計畫要開發9個先進技術建置模組，以及5個最先進的UxV平臺，強調互通性、自主性及快速部署；其中，UxV技術有利於更全面地理解事件的位置與嚴重性，並藉由頻繁且高效的感測器資料收集，以全面掌握現場情況，滿足歐洲的社會與市場需求。</p> </div></div></div>
2025/6/5 12:26作者陳曉莉https://www.ithome.com.tw/news/169381
挑戰Nvidia，AMD收購AI優化軟體新創業者Brium
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.amd.com/en/blogs/2025/amd-acquires-brium-to-strengthen-open-ai-software-ecosystem.html" target="_blank">AMD宣布收購AI推論優化技術業者Brium</a>，以協助LLM在AMD等非Nvidia硬體架構上的推論效能。</p> <p><a href="https://blog.brium.ai/2024/11/12/blog.html" target="_blank">Brium產品</a>涵括的組譯器技術、模型執行框架及完整的AI推論最佳化技術，其方案旨在提升多種硬體架構上大型語言模型（LLM）的推論效率。AMD解釋，Brium技術特別之處在於它能優化模型接觸到硬體前的整個技術堆疊，有助於減少對特定硬體配置的依賴，而能在更多元環境上，實現更快的AI應用。</p> <p>AMD表示，Brium的收購有助於提升該公司硬體平臺的效率和彈性。而Brium的收購連同AMD之前收購的Silo AI、Nod.ai及Mipsology，可強化該公司執行開源軟體生態系的能力。</p> <p>Brium擁有組譯器開發和分散式機器學習基礎架構能力的團隊加入後，可立即投入AMD OpenAI Triton、WAVE DSL和SHARK/IREE等核心專案，能實現AMD Instinct GPU平臺上更快速執行AI模型。配合AMD加強投入新的精度格式如MX FP4和FP6，將可推升其AI硬體執行新興訓練和推論任務的效能。AMD希望藉此提升LLM在非NVIDIA GPU（即AMD Instinct）上執行GPT模型時，達到接近或超越 CUDA/NVIDIA 的效能。</p> <p>AMD並強調Brium成功將其Deep Graph Library（DGL，一種 Graph Neural Network框架）移植到AMD Instinct平臺，有助於AMD方案打入醫學、生物科技、金融和製造領域。</p> <p><a href="https://techcrunch.com/2025/06/04/amd-takes-aim-at-nvidias-ai-hardware-dominance-with-brium-acquisition/" target="_blank">Techcrunch分析</a>，由於現行大部分AI專屬軟體，都是為Nvidia晶片和硬體設計。透過建立更大開放AI生態系，有助於AMD挑戰業界霸主Nvidia。</p> </div></div></div>
2025/6/5 13:00作者林妍溱https://www.ithome.com.tw/news/169382
Coinbase資料外洩事故傳出新消息，2名印度客服外包業者TaskUs員工涉案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>5月15日大型加密貨幣交易所Coinbase<a href="https://www.ithome.com.tw/news/168972">向美國證券交易委員會（SEC）通報</a>，他們的海外客戶支援的約聘人員或員工遭到賄賂，在沒有業務需求的情況下存取特定內部系統，盜走客戶資料給他人使用。Coinbase指出他們在5月11日收到勒索信，對方索討2千萬美元，換取不公開這起資料外洩事故及竊得的資料，後續Coinbase於21日透露，<a href="https://www.maine.gov/agviewer/content/ag/985235c7-cb95-4be2-8792-a1252b4f8318/f61fae18-f669-499e-9a87-f4d323d281f8.html">有近7萬名用戶受到影響</a>。如今，這起事故傳出進一步的消息。</p> <p>根據路透社的報導，<a href="https://www.reuters.com/sustainability/boards-policy-regulation/coinbase-breach-linked-customer-data-leak-india-sources-say-2025-06-02/">這起事故發生在印度客服委外業者TaskUs</a>，事故起初是在今年1月發現，當時一名員工被發現使用個人裝置拍下電腦畫面，而使得竊取Coinbase用戶資料的活動東窗事發。隨後TaskUs展開調查，有兩名員工坦承犯案，將Coinbase用戶的敏感資料提供給駭客，並收受賄賂。</p> <p>資安新聞網站Bleeping Computer<a href="https://www.bleepingcomputer.com/news/security/coinbase-breach-tied-to-bribed-taskus-support-agents-in-india/">向TaskUs詢問此事並得到證實</a>。TaskUs發言人表示，他們在今年初確認有2人非法存取其中一家客戶的資料，隨即向客戶及執法單位通報此事，並解僱兩人。為了保險起見，TaskUs後續解散為Coinbase服務的團隊，共有226人。但這樣的說法是否與當地媒體報導<a href="https://www.financialexpress.com/business/industry/taskus-indore-based-bpo-fires-over-300-employees-without-notice-sparks-staff-protests/3712402/">今年1月TaskUs無預警解僱逾300名員工</a>有關，發言人並未說明。</p> </div></div></div>
2025/6/5 11:01作者周峻佑https://www.ithome.com.tw/news/169378
ChatGPT新增連接器功能以存取第三方服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://x.com/OpenAI/status/1930319398897889707" target="_blank">OpenAI周三（6/4）宣布</a>，ChatGPT新增了連接器功能，即日起便允許付費訂閱用戶存取第三方資源；也開始測試Model Context Protocol（MCP）以讓組織建置客製化的連接器；並針對macOS上的Team用戶釋出ChatGPT的錄音模式。<a href="https://www.cnbc.com/2025/06/04/openai-chatgpt-enterprise-ai.html" target="_blank">而CNBC則報導</a>，現在OpenAI已擁有300萬的付費商業用戶，高於今年2月的200萬。</p> <p>新的ChatGPT連接器功能，允許ChatGPT Plus、ChatGPT Pro、ChatGPT Team、ChatGPT Enterprise與ChatGPT Edu用戶，連結Outlook、Teams、Google Drive、Gmail及Linear等外部資源，但目前尚不支援歐洲經濟區、瑞士與英國市場。</p> <p>而ChatGPT Team、ChatGPT Enterprise與ChatGPT Edu，還可額外連至SharePoint、Dropbox與Box。</p> <p>Workspace管理員則可利用測試版的MCP，來建置客製化的Deep Research連接器，MCP是由Anthropic所開源的模型脈絡協定，允許AI助理透過單一標準存取所有資料來源，支援ChatGPT Team、ChatGPT Enterprise、ChatGPT Edu與ChatGPT Pro用戶。</p> <p>此外，macOS上的ChatGPT Team用戶現在可啟用錄音模式，可記錄各種會議、腦力激盪或是聲音筆記，再交由ChatGPT謄寫，協助找出重點，並將它們轉為後續行動、計畫或是程式碼。該功能預計很快就會支援ChatGPT Plus、ChatGPT Pro、ChatGPT Enterprise與ChatGPT Edu用戶。</p> <p>至於CNBC則說，ChatGPT現在已擁有300萬個付費的商業用戶，高於今年2月的200萬，此一數字僅計算了ChatGPT Enterprise、ChatGPT Team與ChatGPT Edu用戶。</p> <p>2024年4月時，ChatGPT的商業用戶約有60萬人，到9月成長至100萬人，今年2月增加到200萬人，6月達到300萬人。<a href="https://www.ithome.com.tw/news/165748" target="_blank">而彭博社則在去年10月</a>引用OpenAI財務長Sarah Friar的說法指出，該公司有75%的營收是來自一般消費者的訂閱。</p> </div></div></div>
2025/6/5 11:35作者陳曉莉https://www.ithome.com.tw/news/169380
微軟擴大提供歐盟各國政府免費安全服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.microsoft.com/on-the-issues/2025/06/04/microsoft-launches-new-european-security-program/" target="_blank">微軟宣布</a>實施歐洲安全方案（European Security Program），將擴大提供歐盟所有會員國家安全情報支援服務，以因應勒索軟體、國家駭客、和Deepfake攻擊。</p> <p>微軟指出，AI和數位科技快速進步，對歐盟國家形成網路安全威脅，像是勒索軟體和俄羅斯、中國與北韓的國家駭客，不論在規格和手法複雜度都持續精進。繼5年前的5項歐洲數位承諾，以及現行的全球政府安全方案外，微軟本周再公布新的歐洲安全方案，協助強化歐盟國家政府安全。</p> <p>新的歐洲安全方案將免費提供給27個歐盟會員國、歐盟入盟候選國、歐洲自由貿易聯盟（European Free Trade Association）會員國、英國、摩納哥和梵諦岡。</p> <p>歐洲安全方案核心是在現有微軟的全球政府安全方案（Government Security Program，GSP）基礎之上，再增加AI威脅情報的安全情報和資源，內涵包括四大方向，一是使用AI支援的網路威脅或進階滲透攻擊（APT）分析結果，二是將微軟數位犯罪小組（Digital Crimes Unit，DCU）偵測和打擊網路犯罪基礎架構的資源，分享給信賴的歐洲合作單位，以協助歐盟執法單位打擊網路罪犯。</p> <p>三是提供外國影響行動（influence operation，即認知作戰）的更新情報。微軟將把微軟威脅分析中心（Microsoft Threat Analysis Center，MTAC）監控在歐洲進行的外國政府認知作戰行動，包括以deepfake影片、照片或社群散布假消息等的情資，分享給歐盟政府、立法機構和安全相關單位。四、微軟將把原本只提供給大型企業客戶的最新網路威脅與漏洞報告、或漏洞修補、防護指引等資源，提供給歐盟政府。提供管道包括微軟的安全更新指引（Security Update Guide）、漏洞通報流程及Defender漏洞管理產品。</p> <p>微軟也承諾增加投資以協助歐盟會員國政府、民間團體強化網路安全及數位韌性。最後則是，微軟說會擴大與歐盟執法機關如歐洲刑警（Europol）和地區組織合作，以破獲駭客活動或惡意軟體基礎架構。例如上個月微軟和歐洲刑警等單位合作摧毁竊密軟體Lumma的運作網路。</p> </div></div></div>
2025/6/5 10:28作者林妍溱https://www.ithome.com.tw/news/169377
Reddit控告Anthropic擅自抓取資料訓練AI模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>社交新聞平臺Reddit本周三（6/4）在加州舊金山高等法院，<a href="https://redditinc.com/hubfs/Reddit%20Inc/Content/PDFs/Docket%20Stamped%20Complaint.pdf" target="_blank">對AI新創Anthropic提起訴訟</a>，指控Anthropic未經授權使用Reddit上的用戶內容來訓練該公司的AI模型Claude。去年3月以34美元登上紐約股市的Reddit，昨天股價上漲了6.64%，以118.21美元作收。</p> <p>Reddit於訴狀中表示，雖然Anthropic是在2023年3月，才正式對外發表AI聊天機器人Claude，但早在2021年年底，Anthropic便在未經授權且直接違反Reddit用戶協議的狀況下，使用Reddit用戶的貼文來訓練Claude。</p> <p>在各大AI業者廣泛利用網路上的公開資料訓練模型之際，Reddit在2024年7月初更新其robots.txt文件，封鎖了未與Reddit簽署合作協議的網路爬蟲，Reddit執行長Steve Huffman更公開指責微軟、Anthropic及Perplexity未經許可，抓取了Reddit的資料。</p> <p>當時Anthropic宣稱，Reddit自2024年5月起就被加入其網路爬蟲黑名單，沒有再將任何來自Reddit的URL添加至爬蟲程式中。</p> <p>不過，Reddit發現事實並非如此，因為Anthropic在之後的幾個月仍繼續部署其自動機器人，存取Reddit內容超過10萬次。此外，當Reddit與Anthropic接洽時，Anthropic拒絕與Reddit協商授權事宜，也拒絕自系統內刪除已被Reddit用戶刪除的文章，還說該公司無從得知用來訓練Claude的Reddit內容是否已被刪除。</p> <p>Reddit希望法院要求Anthropic支付補償性賠償金，以及賠償Anthropic藉由抓取Reddit內容而獲利的金額，亦申請禁令，禁止Anthropic繼續抓取Reddit內容。</p> <p>目前Reddit已與OpenAI、Google及Sprinklr等AI業者達成內容合作協議，其中，OpenAI共同創辦人暨執行長Sam Altman擁有8.7%的Reddit股份，是該公司第三大的股東。</p> </div></div></div>
2025/6/5 09:37作者陳曉莉https://www.ithome.com.tw/news/169371
Windsurf控訴Anthropic忽然切斷Claude模型存取限額
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AI編程平臺新創業者Windsurf本周稍早公告，Anthropic在幾乎沒有給予緩衝時間下，大幅限制Claude 3.x版的使用限額，迫使該公司急忙做出應變。一般推測可能和Windsurf與OpenAI收購傳聞有關。</p> <p><a href="https://x.com/_mohansolo/status/1930034960385356174" target="_blank">Windsurf創辦人Varun Mohan說</a>，Anthropic突然決定切斷該公司對Claude 3.x，包括Claude 3.5 Sonnet、3.7 Sonnet和3.7 Sonnet Thinking的直接存取限額，只給了不到5天的預告期。雖然該公司還有其他推論模型的使用限額，但不足以應付現有需求。</p> <p>為此，該公司預告多項情況及應變措施。因應Claude 3.x模型配額不足，Windsurf將改提供Gemini 2.5，配合75折優惠費用。該公司目前已經移除免費用戶和Pro方案試用戶存取Claude 3.x模型的管道，但同時為這些模型提供了BYOK（bring your own key），供用戶確保其模型資料安全。此外，Claude Sonnet 4則持續以BYOK提供服務。</p> <p><a href="https://techcrunch.com/2025/06/03/windsurf-says-anthropic-is-limiting-its-direct-access-to-claude-ai-models/" target="_blank">Anthropic對Techcrunch解釋</a>，該公司是為了「優化給長久合作夥伴的模型容量」，並強調開發人員還是可以API金鑰存取Claude 4。</p> <p>不過，此事可能和Anthropic競爭對手OpenAI以30億美元收購Windsurf傳聞有關。Windsurf以其AI輔助程式撰寫平臺Codeium聞名，2023年市值約12.5億美元，到2025年已和Kleiner Perkins、General Catalyst等投資公司洽談新一輪融資，目標市值高達30億美元。<a href="https://www.bloomberg.com/news/articles/2025-05-06/openai-reaches-agreement-to-buy-startup-windsurf-for-3-billion" target="_blank">5月彭博報導</a>，OpenAI同意以30億美元收購Windsurf強化AI輔助編碼工具的實力，對抗Anthropic和GitHub。</p> <p>OpenAI和Windsurf尚未評論收購傳聞，但Windsurf公司說，已經和Anthropic表明該公司目標是提供最好產品，會優先推薦其模型，公司也一直樂意支付費用。Windsurf表示對於Anthropic的決定及其倉促的通知方式深感失望，他們會持續尋找其他供應商，但Anthropic作法不僅會傷害Windsurf，更損及業界其他人。</p> <p> </p> </div></div></div>
2025/6/5 10:03作者林妍溱https://www.ithome.com.tw/news/169375
Angular v20正式棄用結構指令，反應式狀態管理進入穩定階段
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google旗下前端開發框架<a href="https://blog.angular.dev/announcing-angular-v20-b5c9c06cf301">Angular推出v20正式版本</a>，從該版本起，內建控制流程語法將全面取代原有結構指令，並同步將反應式狀態管理API升級至穩定階段，而Zoneless無需Zone.js的變更偵測技術也進入開發者預覽。</p> <p>Angular自2016年重新設計以來，*ngIf、*ngFor、*ngSwitch等結構指令，一直是開發者撰寫動態畫面與流程控制的主要方式，廣泛存在於既有應用程式碼庫與教學內容。隨v20正式棄用這類結構指令，未來將以新控制流程語法取代，新控制流程語法接近原生JavaScript的if、for等語句，書寫方式更直觀易懂。根據官方規畫，現有結構指令已列為棄用，將於2026年釋出的v22全面移除，建議開發團隊及早規畫升級及程式碼搬遷。</p> <p>新版控制流程語法除語意簡化，也納入型別縮小及效能最佳化設計。官方表示，新流程可直接利用TypeScript型別推斷與限縮（Narrowing），降低執行時不必要的檢查，有助於大型專案維護及錯誤檢查。這套語法自v17推出以來已獲廣泛採用，HTTP Archive公開資料顯示，超過一半以上的v17以上應用已切換至內建控制流程，顯示新語法已成主流。</p> <p>Angular v20另一更新重點是反應式狀態管理功能升至穩定階段。經三年設計、RFC收斂與社群驗證，Angular Signals、effect、linkedSignal等API現已脫離開發者預覽，成為正式支援的反應式資料流核心。開發者可利用Signals設計可觀察狀態物件與自動觸發推送，整合UI元件、API資料與複雜邏輯，降低程式碼耦合及狀態同步負擔。過去需仰賴外部狀態管理函式庫，現在因原生反應式支援而減少，這相當於強化Angular應用於大型前端專案的能力。</p> <p>Zoneless技術的導入則是Angular架構層面的重大升級。傳統Angular應用仰賴Zone.js攔截非同步事件，間接觸發變更偵測，而隨著框架演進與效能最佳化需求提升，官方推出無需Zone.js的Zoneless運作模式。該模式簡化錯誤處理與狀態同步邏輯，在伺服器端算繪（SSR）環境也會更強健。</p> <p>在v20中，Zoneless進入開發者預覽，提供新的全域錯誤攔截API，並可自動處理Node.js伺服器端的非同步例外，開發者只需調整Provider設定即可啟用Zoneless偵測機制。官方建議新專案可直接以Zoneless模式建立，既有專案則可循序搬遷，無需依賴Zone.js Polyfill，有助於簡化專案結構並降低維護複雜度。</p> <p>Angular與Chrome DevTools團隊合作，將框架層級的變更偵測與元件生命周期資訊，整合至瀏覽器Performance面板。開發者可即時檢視元件建立、變更偵測等細節，方便找出效能瓶頸。針對增量算繪、路由層級算繪模式等現代Web應用需求，也升級為穩定API，支援頁面依使用者需求漸進載入，提升大型應用載入速度與資源管理效率。</p> </div></div></div>
2025/6/5 08:22作者李建興https://www.ithome.com.tw/news/169355
正崴集團子公司星科發表AI巡檢機器狗，瞄準工廠、辦公大樓等不同場域智慧巡檢、安防需求
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>正崴集團旗下專門提供機器人方案的星科國際在今天(6/4)發表AI機器人平臺方案，結合硬體平臺及強化學習技術，以及語音與視覺辨識、視覺語言模型（VLM），加上定位及路徑規畫、人流避障等技術，對外展示AI巡檢機器狗，瞄準商業大樓、大型賣場、工廠等不同場景的安防巡檢需求。</p> <p>身為正崴集團底下的新事業，專門發展AI機器人，星科國際董事長郭守富表示，結合正崴精密累積30多年的製造業經驗，友崴與華碩合力建置大型算力中心，我們思考如何運用這些算力，必需找到出海口，必需找到應用，在人力短缺下，AI Robot平臺就是很好的出海口，去年集團買下Luminys Systems，將安防業務併入集團底下，成為新的出海口，加上製造業經驗、算力資源及安防串在一起，具備讓AI機器人落地發展的良好基礎，同時也和Nvidia合作，運用Nvidia提供的工具打造AI機器人，瞄準安防市場。</p> <p>去年友崴建置Ubilink AI算力中心，在去年11月500大超級電腦拿下第31名，為當時臺灣上榜的7個超級電腦中，效能最好的超級電腦，利用算力中心支援大規模的AI模型訓練、優化與邊緣推論，並且發展異常偵測、語音辨識等AI功能。</p> <p>星科與Nvidia合作，採用其VLM視覺語言模型進行訓練及優化，以及Nvidia的Isaac GROOT N1模型，在虛擬環境下訓練開發AI機器人，此外，還有TensorRT深度學習推論技術，加速臉部辨識，以及運用ReMEmbR，讓機器人能自主導航。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%961.jpg" style="width: 600px; height: 325px;" /></p> <p>結合上述技術，星科為機器人高效本地運算、即時決策能力，並在正崴集團底下各個事業場域進行試驗，平臺鎖定安防巡檢、智慧製造、氣候預測、影視與客服5大應用，首波先鎖定智慧安防巡檢，展示了AI巡檢機器狗。</p> <p>這款AI機器人採用4足的機器狗設計，可利用4隻腳像狗一般行走，機器狗內建擁有275TOPS的大腦，內建一般攝影機傳送巡邏的即時影像，還內建深度攝影機、熱源感應、光達、麥克風等功能，以偵測熱源，自行移動避開人流或障礙物，強調可以感測適應環境、偵測識別異常。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/20250604_154757-600.jpg" style="width: 600px; height: 450px;" /></p> <p>管理人員先以語音向機器狗下達命令，機器狗自動進行臉部辨識，確認為合法的管理者，例如告訴它去二樓巡檢，機器狗就會自行移動至貨梯，自動呼叫搭乘貨梯，在二樓執行巡檢作業，當發下異常情形時，例如異常熱源、門窗未關，就會像管理者發送Line示警訊息，同時向後臺的Dashboard管理平臺發出通知訊息。</p> <p>機器狗可透過抬頭，攝影機拍攝與其互動者的臉部進行辨識，識別管理者或企業員工的身分，當發現陌生人，即通知安防管理單位。</p> <p>根據展示的情境影片，這款AI巡檢機器狗也能上下樓梯，4足配置輪子，可克服高低落差的場地，以更快的速度移動。企業可透過Dashboard管理平臺，可同時管理多個AI巡檢機器狗的狀態，偵測到的數據、即時監控影像，甚至取得在臺南太陽能電場巡檢的機器狗即時影像。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/600(12).jpg" style="width: 600px; height: 326px;" /></p> <p>星科表示，AI巡檢機器狗在設計上，並非要完全取代安防人力，而是執行24小時巡檢，或是應用於高風險環境，當偵測到異常情形，向安防管理單位發出通知。未來將會採取訂閱的方式，讓企業租用AI機器狗巡檢服務，並且針對不同客戶案場提供客製化。</p> </div></div></div>
2025/6/4 19:25作者蘇文彬https://www.ithome.com.tw/news/169369
【資安日報】6月4日，逾250個Amazon代管IP位址被用於找尋75種應用系統弱點，恐引發大規模攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>如同歹徒犯案會事先勘察環境，駭客也會透露掃描特定弱點的方式尋找可下手的目標，但過往駭客往往是針對其中一項漏洞，或是特定組態配置不當的情況而來，如今有人同時對75種弱點挖掘能夠攻擊的目標，這樣的情況極為罕見。</p> <p>這起事故另一個特殊的地方在於，整個活動只維持一天，使得研究人員想要找出攻擊者的身分，也變得更加困難。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169362"><strong style="font-size: 22px;">逾250個Amazon代管的IP位址遭到濫用，鎖定多種應用系統發動攻擊</strong></a></p> <p>威脅情報業者GrayNoise指出，他們在5月8日發現一起不尋常的活動，有人利用251個由Amazon代管、位於日本的IP位址，進行大規模弱點掃描，針對75種應用系統曝險的情況而來，包含已知漏洞、錯誤配置，或是對系統進行偵察。特別的是，這些IP位址只在當天出現活動，在此之前及之後皆未有動靜，代表攻擊者可能租用臨時雲端基礎設施來從事活動。由於這種掃描行為往往是駭客從事攻擊行動的徵兆，他們呼籲IT人員要趕快檢查5月8日的事件記錄資料，並對相關惡意行為進行監控，以及動態封鎖從事這些行為的IP位址。</p> <p>針對駭客掃描的資安漏洞，涵蓋Adobe ColdFusion遠端程式碼執行（RCE）漏洞CVE-2018-15961、Apache Struts與Atlassian Confluence物件圖形導航語言（OGNL）注入漏洞CVE-2017-5638、CVE-2022-26134，以及Elasticsearch沙箱繞過漏洞CVE-2015-1427、Bash重大資安漏洞CVE-2014-6271（Shellshock）等，其共通點在於，都是已經揭露一段時間的已知漏洞，由於遭到鎖定的目標眾多，研究人員認為攻擊者並非針對特定應用系統而來，而是企圖尋找任何可能存在的弱點。</p> <p><a href="https://www.ithome.com.tw/news/169353"><strong style="font-size: 22px;">戶外用品與運動服飾業者The North Face遭遇帳號填充攻擊，部分客戶個資外洩</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/OpCRXzVQY9.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/OpCRXzVQY9.png" style="width: 300px; float: right;" /></a>5月29日戶外用品與運動服飾業者The North Face向佛蒙特州總檢察長通報，該公司網站在2025年4月遭遇了帳號填充（Credential Stuffing）攻擊，導致部分客戶的個人資訊被竊取，該公司也對受到影響的客戶通知此事。</p> <p>針對事情發生的經過，The North Face於4月23日發現網站出現異常活動，隨即展開調查，結果發現有部分客戶資料外洩的情況。受影響的資訊包括姓名、購買記錄、收貨地址、電子郵件、出生日期及電話號碼等。附帶一提的是，由於該公司使用外部付款服務系統處理交易，付款資訊並未受到影響。不過，究竟有多少人受到影響，該公司並未透露。</p> <p>值得留意的是，自2020年以來The North Face已有多次遭遇帳號填充攻擊的記錄。其中最近一次在今年3月，母公司VF Outdoor向緬因州總檢察長辦公室通報資料外洩事故，這起事故影響The North Face與Timberland兩個品牌的網站，影響約15713個帳號。許多資安媒體不約而同指出，這類事件接連傳出，可能與The North Face未強制採用多因素驗證（MFA）有關。</p> <p><a href="https://www.ithome.com.tw/news/169348"><strong style="font-size: 22px;">精品業者Cartier驚傳遭駭，客戶個資外洩</strong></a></p> <p>精品業者Cartier本周通知客戶系統遭駭，導致客戶資料外洩。這起事件的曝光，源自於客戶張貼Cartier寄發的通知信件，內容提及未經授權的人士或組織存取了該公司系統，取得部分客戶資訊。但對於受影響的人數，該公司並末透露。</p> <p>經過調查，Cartier判斷該攻擊者存取客戶的個資，包括名字、電子郵件信箱和國籍。但業者強調外洩的資料不包含密碼、信用卡資料，以及其他銀行資訊。考量外洩資料可能導致詐騙或其他攻擊，Cartier呼籲用戶應提高警覺。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/coinbase-breach-tied-to-bribed-taskus-support-agents-in-india/">加密貨幣交易所Coinbase資料外洩調查有新進展，疑印度客服外包業者TaskUs員工收賄流出</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/android-malware-crocodilus-adds-fake-contacts-to-spoof-trusted-callers/">安卓惡意軟體Crocodilus於受害設備加入假的通訊錄，以便駭客打電話行騙</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/06/fake-docusign-gitcode-sites-spread.html">假借提供DocuSign、Gitcode為誘餌，駭客意圖散布NetSupport RAT</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/malicious-rubygems-pose-as-fastlane-to-steal-telegram-api-data/">惡意RubyGems套件冒充CI/CD外掛散布</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169349"><strong style="font-size: 22px;">Google更新Chrome 137，修補已遭濫用的零時差漏洞</strong></a></p> <p></p> <p>6月2日Google發布電腦版Chrome更新137.0.7151.68、137.0.7151.69，這次修補3項漏洞，包含一個遭濫用的V8元件高風險漏洞。</p> <p>這次更新修補的三項資安漏洞，分別為高、中、低度風險。其中高風險漏洞編號CVE-2025-5419，為影響JavaScript引擎V8的越界讀寫漏洞，攻擊者可透過特製的HTML網頁遠端觸發，引起記憶體堆積毁損，CVSS評分為8.8。該公司指出，此漏洞已出現實際利用的情況。</p> <p>另一個出現在排版引擎Blink的漏洞CVE-2025-5068，也相當值得留意，此為記憶體釋放後再存取使用（Use After Free）型態的弱點，同樣可透過特製的HTML網頁遠端觸發，引起記憶體堆積毁損。雖然Google認為該漏洞為中度風險，但資安業者Tenable、美國網路安全暨基礎設施安全局皆將其評為8.8分的高風險層級。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/over-30-vulnerabilities-patched-in-android/">Google發布6月份安卓例行更新，修補27項資安漏洞</a></strong></p> <p></p> <p> </p> <h3><strong>【法規遵循】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169347"><strong style="font-size: 22px;">中華電信8月起暫停簽發TLS網站憑證</strong></a></p> <p>Google宣布將移除Chrome瀏覽器對中華電信TLS憑證的預設信任後，中華電信決定8月起暫停簽發TLS網站憑證，並宣布將主動聯繫憑證效期將到期的客戶，免費提供TLS憑證更新。</p> <p>本周Google宣布將調整Chrome瀏覽器根憑證的預設信任機制，因中華電信未在規定時間內配合政策完成調整，Google將從Chrome 139及後續版本開始，不再信任中華電信在2025年7月31日之後簽發的新憑證，網站如使用這種的新憑證，Chrome瀏覽器用戶造訪該網站便會顯示不安全，無法正常瀏覽網站。</p> <p>中華電信決定從8月1日開始，暫停簽發TLS憑證，但該公司強調此舉並非其憑證存在漏洞或洩露私鑰，無關資安或網路安全，同時也對造成社會大眾的困擾表達歉意。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169343"><strong>【6月3日】Chrome將從8月起停止預設信任中華電信TLS新憑證引起高度關注</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169309"><strong>【6月2日】新型態瀏覽器中間人攻擊手法濫用全螢幕隱匿意圖</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169261"><strong>【5月29日】未及時修補已知漏洞釀禍，大量華碩路由器遭殭屍網路AyySSHush綁架</strong></a></p> </div></div></div>
2025/6/4 16:37作者周峻佑https://www.ithome.com.tw/news/169365
逾250個Amazon代管的IP位址遭到濫用，鎖定多種應用系統發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一般來說，為了尋找目標，駭客往往會事先透過網路掃描，找出網際網路上具有特定弱點的應用系統，日後再對其發動攻擊，這樣的情況相當常見，也因此早年有些研究人員在未經許可的情況挖掘資安弱點，常常被企業組織認為不懷好意。而這種掃描弱點的活動，多半被視為攻擊行動前兆，過往大多駭客鎖定的弱點相當單一、明確，但如今出現一口氣掃描超過70種弱點的活動，引起研究人員的注意。</p> <p>威脅情報業者GrayNoise指出，<a href="https://www.greynoise.io/blog/coordinated-cloud-based-scanning-operation-targets-75-known-exposure-points">他們在5月8日發現一起不尋常的活動</a>，有人利用251個由Amazon代管、位於日本的IP位址，進行大規模弱點掃描，針對75種應用系統曝險的情況而來，包含已知漏洞、錯誤配置，或是對系統進行偵察。特別的是，這些IP位址只在當天出現活動，在此之前及之後皆未有動靜，代表攻擊者可能租用臨時雲端基礎設施來從事活動。由於這種掃描行為往往是駭客從事攻擊行動的徵兆，他們呼籲IT人員要趕快檢查5月8日的事件記錄資料，並對相關惡意行為進行監控，以及動態封鎖從事這些行為的IP位址。</p> <p>針對駭客掃描的資安漏洞，涵蓋Adobe ColdFusion遠端程式碼執行（RCE）漏洞CVE-2018-15961、Apache Struts與Atlassian Confluence物件圖形導航語言（OGNL）注入漏洞CVE-2017-5638、CVE-2022-26134，以及Elasticsearch沙箱繞過漏洞CVE-2015-1427、Bash重大資安漏洞CVE-2014-6271（Shellshock）等，其共通點在於，都是已經揭露一段時間的已知漏洞，由於遭到鎖定的目標眾多，研究人員認為攻擊者並非針對特定應用系統而來，而是企圖尋找任何可能存在的弱點。</p> <p>除了已知漏洞，攻擊者也執行偵察活動，像是檢查WordPress網站的作者、CGI指令碼掃描，甚至是嘗試存取網站的web.xml檔案；再者，他們也試圖找出錯誤組態，例如：對Git組態進行爬蟲、曝露的ENV環境變數，以及檢查能否上傳Shell檔案。</p> <p>研究人員也提及這些掃描行為有所交集，背後很可能透過集中控管進行，而非個別的攻擊行動。他們提及有295個IP位址掃描CVE-2018-15961、265個IP位址掃描CVE-2017-5638、260個IP位址掃描CVE-2015-1427，但有262個IP位址掃描CVE-2018-15961與CVE-2017-5638，且251個IP位址進行所有75項攻擊行為。</p> </div></div></div>
2025/6/4 15:49作者周峻佑https://www.ithome.com.tw/news/169362
自動化資安合規業者Vanta軟體出錯，導致部分客戶資料能被其他用戶存取，受影響的企業可能有數百家
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了確保能夠符合資安法規及相關要求，有些企業可能會導入自動化資安合規平臺因應，然而這類系統一旦出錯，很有可能導致一些意想不到的資安問題。</p> <p>根據<a href="https://hackread.com/code-bug-compliance-vanta-data-leak-customer-clients/">資安新聞網站HackRead的報導</a>，自動化資安合規業者Vanta<a href="https://www.vantadataleak.com/">近日確認</a>，其系統內部的程式碼錯誤導致部分客戶的敏感資料，可被其他客戶存取。該公司強調，這起事件並非外部攻擊，而是由於產品程式碼變更所引發的問題。</p> <p>Vanta於5月26日察覺此事，並立即展開調查與修復作業。針對影響的範圍，Vanta表示，受影響的資料來自第三方整合，約占不到20%，而受影響的客戶不到4%。由於Vanta擁有超過1萬個客戶，這意味著可能有數百家企業受到影響。</p> <p>受影響的資料可能包括員工姓名、職位，以及某些工具的安全性設定資訊，例如多重身份驗證（MFA）的使用狀況。然而，Vanta並未透露是否有更敏感的客戶資料遭到外洩。</p> <p>Vanta已通知所有受影響的客戶，並表示修復工作將於6月4日完成。該公司強調，這次事件並未影響其核心安全性功能，但仍建議客戶檢查帳戶設定，確保資料安全。</p> <p>這起事件凸顯了合規與安全自動化平臺在處理客戶資料時可能面臨的風險。企業應定期稽查供應商的安全性措施，以降低類似事件的影響。</p> </div></div></div>
2025/6/4 16:12作者周峻佑https://www.ithome.com.tw/news/169363
戶外用品與運動服飾業者The North Face遭遇帳號填充攻擊，部分客戶個資外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期精品業者迪奧（Dior）、<a href="https://www.ithome.com.tw/news/169348">卡地亞（Cartier）</a>，運動品牌<a href="https://www.ithome.com.tw/news/169222">愛迪達（Adidas）</a>、以及女性內衣業者<a href="https://www.ithome.com.tw/news/169292">維多莉亞的祕密（Victoria's Secret）</a>接連傳出資安事故，如今又有零售業者傳出資料外洩的情況。</p> <p>5月29日戶外用品與運動服飾業者The North Face<a href="https://ago.vermont.gov/document/2025-05-29-vf-outdoor-data-breach-notice-consumers">向佛蒙特州總檢察長通報</a>，該公司網站在2025年4月遭遇了帳號填充（Credential Stuffing）攻擊，導致部分客戶的個人資訊被竊取，<a href="https://ago.vermont.gov/sites/ago/files/documents/2025-05-29%20VF%20Outdoor%20Data%20Breach%20Notice%20to%20Consumers.pdf">該公司也對受到影響的客戶通知此事</a>。</p> <p>針對事情發生的經過，The North Face於4月23日發現網站出現異常活動，隨即展開調查，結果發現有部分客戶資料外洩的情況。受影響的資訊包括姓名、購買記錄、收貨地址、電子郵件、出生日期及電話號碼等。附帶一提的是，由於該公司使用外部付款服務系統處理交易，付款資訊並未受到影響。不過，究竟有多少人受到影響，該公司並未透露。</p> <p>值得留意的是，自2020年以來The North Face已有多次遭遇帳號填充攻擊的記錄。其中最近一次在今年3月，母公司VF Outdoor<a href="https://www.maine.gov/agviewer/content/ag/985235c7-cb95-4be2-8792-a1252b4f8318/792aded4-8b07-4c1d-86ac-5ae24253b722.html">向緬因州總檢察長辦公室通報資料外洩事故</a>，這起事故影響The North Face與Timberland兩個品牌的網站，影響約15713個帳號。許多資安媒體不約而同指出，這類事件接連傳出，可能與The North Face未強制採用多因素驗證（MFA）有關。</p> </div></div></div>
2025/6/4 11:19作者周峻佑https://www.ithome.com.tw/news/169353
郵件伺服器Roundcube存在10年重大漏洞，逾5,300萬主機恐曝險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>郵件伺服器近年來成為駭客從事網路間諜活動的重要標的，一旦這類系統出現危險的漏洞，很有可能成為駭客濫用的標的，而能夠在郵件伺服器挖掘特定人士的往來郵件，搜刮機密資訊，或是將郵件伺服器作為入侵受害組織的初期管道。</p> <p>例如，最近資安業者Fears Off揭露的<a href="https://fearsoff.org/research/roundcube">Roundcube後身分驗證漏洞CVE-2025-49113</a>，就是典型的例子，通過身分驗證的攻擊者有機會用來遠端執行任意程式碼（RCE），CVSS風險高達9.9分（滿分10分），Roundcube開發團隊獲報後，<a href="https://roundcube.net/news/2025/06/01/security-updates-1.6.11-and-1.5.10">於6月1日發布1.6.11、1.5.10版修補</a>。研究人員指出，這可能是該郵件系統近期最嚴重的漏洞之一。</p> <p>值得留意的是，此漏洞不僅相當嚴重，影響可能還相當廣泛。Fears Off指出，這項弱點影響<a href="https://roundcube.net/news/2015/02/08/new-stable-version-1.1-released">2015年推出的1.1.0版</a>，換言之，近10年的Roundcube都可能曝險；再者，此郵件系統不光是IT人員用於架設郵件伺服器，也是cPanel、Plesk、ISPConfig、DirectAdmin等管理工具的內建元件，因此研究人員估計，全球可能有超過5,300萬臺伺服器曝險。</p> <p>針對這項漏洞形成的原因，Fears Off指出是program/actions/settings/upload.php未充分驗證URL當中的_from參數，導致PHP物件出現反序列化的現象，該公司也透過影片來展示，並承諾後續將提供更多技術細節與概念驗證（PoC）程式碼。</p> <p><iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/TBkTbMJWHJY?si=lsBAwtpVlbaTxc2o" title="YouTube video player" width="560"></iframe></p> <p>附帶一提的是，最近揭露由俄羅斯駭客APT28（Fancy Bear、Forest Blizzard、Strontium）發起的<a href="https://www.ithome.com.tw/news/168993">攻擊行動Operation RoundPress</a>，其中一種被針對的郵件系統就是Roundcube，因此IT人員應儘速採取行動因應。</p> </div></div></div>
2025/6/4 12:10作者周峻佑https://www.ithome.com.tw/news/169358
Windows內建的OpenSSH元件被濫用，駭客試圖建立後門連線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟於2018年4月發布的1803版Windows 10當中，開始內建SSH支援，使得IT人員不再需要自備工具就能從事相關作業，但也有駭客藉由這種內建機制從事寄生攻擊（LOLBin），於受害電腦建立後門。</p> <p>近期SANS網路風暴中心資安研究人員<a href="https://isc.sans.edu/diary/32000">發現一種新型態的SSH後門</a>，該惡意程式利用Windows內建的OpenSSH，來建立能持續存取的管道。攻擊者透過惡意DLL檔案dllhost.exe來啟動SSH服務，並在受害電腦設定隨機連接埠來建立連線。</p> <p>該惡意程式會檢查系統是否已啟動SSH服務，若未啟動，則會讀取登錄檔中的SSH設定，或在首次執行時隨機產生新的隨機連接埠並儲存。接著，它會建立SSH設定檔，其中包含攻擊者的C2伺服器資訊，並進入無限迴圈執行，以維持連線運作。</p> <p>值得留意的是，為因應受害電腦可能透過浮動IP位址上網，此SSH組態包含遠端轉發（Remote Forward）的設定，以便攻擊者能夠遠端控制受害者系統。只是研究人員發現駭客的設定檔存在語法錯誤，無法正常運作。</p> <p>由於OpenSSH已成為Windows內建工具，研究人員呼籲系統管理員應監控SSH相關活動，並留意是否有異常的SSH連線或設定檔變更。此外，攻擊者還可能會利用scp.exe來竊取資料，因此也要對該公用程式活動進行監控。</p> <p>附帶一提的是，有多家資安新聞網站在報導SANS網路風暴中心的發現時，不約而同使用知名的第三方SSH工具PuTTY作為標題，但內文並未與提及這項工具，事實上這起事故也與PuTTY無直接關聯。這樣的情況，恐有誤導之嫌。</p> </div></div></div>
2025/6/4 13:22作者周峻佑https://www.ithome.com.tw/news/169361
Meta與Constellation Energy簽署20年的核能採購協議
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://about.fb.com/news/2025/06/meta-constellation-partner-clean-energy-project/" target="_blank">Meta周二（6/3）宣布</a>，與美國最大能源供應商之一的Constellation Energy簽署一項為期20年的核能採購協議，將自伊利諾州的Clinton Clean Energy Center採購1.1吉瓦（GW）的無碳電力，以支援其日益增長的人工智慧（AI）基礎設施需求及實現氣候承諾。</p> <p>該項協議預計自2027年6月起生效，所生產的電力將直接供應給Meta在美國中部的新一代資料中心，作為AI訓練與推論作業的主要能源來源。Meta表示，AI運算密集，將需要比傳統數據中心更高密度、更多電力，以及更加持續的能源來源。這筆長期合約不僅能確保穩定電力供應，也符合Meta「至2030年達成淨零排放」的永續目標。</p> <p><a href="https://www.ithome.com.tw/news/166379" target="_blank">Meta是在去年底</a>公開招標，收到了超過50筆申請，涵蓋公用事業公司、開發商與核能技術製造商，從該公司的聲明來看，除了Constellation之外，應該還有其它核能專案蓄勢待發。</p> <p>Constellation Energy是美國最大的無碳電力生產商，旗下擁有並經營全美最大的核能機組群。此次協議中的Clinton Clean Energy Center為一座正在營運的核能發電廠，此合約的簽訂有助於延長該電廠的營運壽命。Constellation指出，該設施原定於2027年面臨州政府補貼到期，透過此次的企業長期採購協議，得以避免潛在的退役風險。</p> <p>除了保障電廠未來營運，協議亦預計帶來地方經濟效益。此合作案將保留Clinton電廠約1,100個高薪工作機會，每年可替當地創造約1,350萬美元稅收。該公司亦計畫擴建Clinton電廠，增加30兆瓦發電容量，以提升整體供電穩定性。</p> <p>Constellation總裁暨執行長<a href="https://www.constellationenergy.com/newsroom/2025/constellation-meta-sign-20-year-deal-for-clean-reliable-nuclear-energy-in-illinois.html" target="_blank">Joe Dominguez則說</a>，支持現有核能設施的再授權與擴建，其實與開發全新能源一樣重要，有時候在邁向未來時，最關鍵的一步就是不再後退。</p> <p>此次協議也突顯出在AI時代，企業用電型態正在急劇轉變。與過去僅靠再生能源配額（如風電或太陽能）不同，如今的超大型科技公司正尋求更高容量、更穩定的乾淨能源來源，而讓核能受到各大企業的青睞。</p> <p>Meta已在2021年達到營運淨零碳排放，如今亦已於全球實現100%再生能源覆蓋，這次的核能採購協議，則是在為2030年的全價值鏈淨零排放鋪路。</p> </div></div></div>
2025/6/4 12:29作者陳曉莉https://www.ithome.com.tw/news/169359
NotebookLM現在可讓使用者公開分享筆記
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google周二（6/3）在<a href="https://blog.google/technology/google-labs/notebooklm-public-notebooks/" target="_blank">NotebookLM新增了一項功能</a>，可以透過一個連結與任何NotebookLM用戶分享自己的筆記本，像是非營利組織的專案內容，商家的產品手冊，或者是班上的學習指南等。</p> <p>Google說，許多NotebookLM用戶已經與同學、同事或學生共用了他們的筆記本，新的公共連結將讓分享與管理變得更容易。</p> <p class="rtecenter"><a href="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_videos/F414_NLM_DesignShare_v03.mp4" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0604-notebooklm-600(4).png" style="width: 550px;" /></a></p> <p>過去NotebookLM用戶要分享自己的筆記本，只能透過輸入特定人的電子郵件來分享，並將對方設定為「檢視者」或是「編輯者」，且必須逐一指定收件人。</p> <p>新的分享功能則是直接產生一個公共連結，以讓任何人都可存取。使用者只要點選筆記本右上方的「分享」（Share）功能，並將存取權設為「任何擁有連結的人」（Anyone with a link），即可複製連結，並將該連結貼進郵件、傳訊程式或社交媒體上，以讓其它NotebookLM用戶得以與自己的筆記本互動，像是提出問題或語音概要（Audio Overview）。不過，透過該分享連結存取的使用者並無法編輯筆記內容。</p> </div></div></div>
2025/6/4 12:51作者陳曉莉https://www.ithome.com.tw/news/169360
TechCrunch關閉歐洲業務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據許多歐洲媒體的報導，專注於報導科技與新創新聞的TechCrunch已關閉其歐洲業務，解散了當地團隊。</p> <p>TechCrunch創立於2005年，主要揭露科技及新創消息，目前提供英文版、中文版、法文版與日文版，它在2010年被AOL買下，Verizon在2015年收購AOL與Yahoo，接著在2021年將AOL（包括TechCrunch）與Yahoo出售給私募股權公司Apollo，Apollo將它們打包成立Yahoo！Inc。</p> <p>最近的變動來自於Yahoo！Inc在今年3月，把TechCrunch賣給了另一家私募股權業者Regent LP，Regent對TechCrunch的經營有不同的看法。</p> <p>引起當地媒體<a href="https://siliconcanals.com/adieu-techcrunch-europe-heres-what-happened/" target="_blank">Silicon Canals注意的</a>包括在TechCrunch任職18年的特約編輯<a href="https://www.linkedin.com/pulse/18-years-techcrunch-mike-butcher--ok59f/" target="_blank">Mike Butcher在LinkedIn上宣布</a>自己離開TechCrunch；另一名資深記者Romain Dillet則說他被迫離開TechCrunch；國際執行主編Ingrid Lunden亦於4月底離開。</p> <p>其中，Dillet透露，新老板Regent認為國際新創公司的報導並非必要。</p> <p>BusinessCloud則引用許多人對此事的看法，例如PreSeed Now創始人Martin Bryant說，他沒想過TechCrunch新所有人會把它變成一個專注美國的業務；Spotify前傳播總監Jim Butcher認為，TechCrunch歐洲團隊被解散令人心碎，現在比過去任何時候都更需要那些支持歐洲新創的紮實新聞報導。</p> <p>NewsWhip的品牌合作總監Josh Donnelly也認為，TechCrunch的消失讓當地新創公司的報導變得更困難，對歐洲科技與新創領域都是重大損失。</p> <p>天使投資人<a href="https://sifted.eu/articles/techcrunch-leaves-europe-shut-down-startups" target="_blank">Cathy White則向Sifted表示</a>，躍上TechCrunch的焦點新聞一直是新創公司及風險投資人的重要時刻，而且這也是確保美國人能看到歐洲新聞的方法之一。</p> </div></div></div>
2025/6/4 11:40作者陳曉莉https://www.ithome.com.tw/news/169356
澳洲新法規要求付勒索軟體贖金的企業通報政府
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.legislation.gov.au/F2025L00278/asmade/text" target="_blank">澳洲政府頒發命令</a>，要求從5月30日起，遭勒索軟體或網路勒索的企業，應在支付贖金72小時內通報政府，包括資安事件及支付金額。</p> <p>這項名為《網路安全（勒索軟體支付通報）規定2025（Cyber Security (Ransomware Payment Reporting) Rules 2025）》的法規，是澳洲網路安全法（Cyber Security Act, 2024）的一部份，於今年3月公布，並在5月30日正式生效。澳洲政府預計從2026年1月1日起啟動遵循和執法措施，並在今年12月底前的6個月宣導推廣期及匯整各方意見。</p> <p><a href="https://www.homeaffairs.gov.au/cyber-security-subsite/files/factsheet-ransomware-payment-reporting.pdf" target="_blank">根據新規定</a>，前一會計年度營業額在300萬澳幣以上的企業，為本法涵蓋的對象。</p> <p>受到勒索軟體或駭客勒索的企業要在支付贖金的72小時之內通報主管機關。通報內容包含事件發生時間、獲知時間、對公司基礎架構和客戶的影響，攻擊者用的勒索軟體或惡意程式、遭到濫用的漏洞，與其他可協助澳洲政府緩解或防止事件的資訊。此外，澳洲政府也要求企業必須通報和駭客組織聯絡時間或談判概要、支付贖款的金額、支付方法。</p> <p>這些企業需以線上表格通報澳洲訊號局（Australian Signals Directorate）。澳洲政府強調通報資訊只會用於協助防止、回應或減輕勒索攻擊的傷害。</p> <p>澳洲之外，<a href="https://assets.publishing.service.gov.uk/media/67864097c6428e013188175a/Consultation-Document-Proposals-v2.pdf" target="_blank">2025年1月英國也發布三項草案</a>，禁止所有公共部門機構（包括國民醫療服務體系、學校和大學）以及關鍵國家基礎設施的所有者/運營商支付勒索軟體贖金、防止私人企業支付勒索軟體贖金，並推動勒索軟體事件強制通報。</p> </div></div></div>
2025/6/4 11:57作者林妍溱https://www.ithome.com.tw/news/169357
Google Chrome桌機版更新修補已遭濫用的零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://chromereleases.googleblog.com/2025/06/stable-channel-update-for-desktop.html" target="_blank">Google公告</a>即將在近日內釋出桌機版Chrome更新，以修補3項漏洞，包含一個遭濫用的V8元件高風險漏洞。</p> <p>最新的Windows、macOS版Chrome 137.0.7151.68/.69，以及Linux版Chrome 137.0.7151.68將在未來幾天到幾周，經由Stable通道逐步部署給所有用戶。</p> <p>這次更新包含三項漏洞的修補程式，分別為高、中、低度風險漏洞各一。其中高風險漏洞編號CVE-2025-5419，為影響JavaScript引擎V8的越界讀寫漏洞，它是由Google威脅分析部門Clement Lecigne和Benoit Sevens通報。</p> <p>根據<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-5419" target="_blank">NIST漏洞資料庫網頁說明</a>，本漏洞允許遠端攻擊者透過改造HTML網頁，引發記憶體堆積（heap）毁損，CVSSv3 score為8.8。</p> <p>Google已在最新版Chrome中變更配置以解決本漏洞。但Google警告已發現濫用CVE-2025-5419的活動。不過Google表示在多數Chrome用戶安裝完更新前，為確保用戶安全，將暫時保留技術細節，並呼籲用戶及早安裝更新。</p> <p>另一個中度風險漏洞編號為CVE-2025-5068，為排版引擎Blink的使用已釋放記憶體（use-after-free）漏洞，由代號Walkman的研究人員通報。和前者類似，<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-5068" target="_blank">根據NIST資料庫說明</a>，CVE-2025-5068允許遠端攻擊者改造HTML網頁，引發記憶體堆積（heap）毁損。雖然Google將本漏洞列為中度風險，但安全廠商<a href="https://www.tenable.com/cve/CVE-2025-5068" target="_blank">Tenable網站顯示</a>為CVSS score 8.8，屬高風險。</p> </div></div></div>
2025/6/4 09:49作者林妍溱https://www.ithome.com.tw/news/169349
Codex CLI改採Rust原生重寫，提升效能與跨平臺支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI旗下開發工具<a href="https://github.com/openai/codex/discussions/1174">Codex CLI現正由TypeScript改以Rust重寫</a>，以提升效能並支援多作業系統。Rust具備高效能、低資源消耗與安全性，有助於滿足企業及開發社群在跨平臺開發上的需求。</p> <p>Codex CLI為一款終端工具，提供與OpenAI語言模型互動功能，可輔助開發者於本地環境進行程式開發。隨著生成式人工智慧於軟體開發流程的應用增加，CLI工具需支援多作業系統並維持執行效能。OpenAI此次以Rust重寫Codex CLI，主要原因在於Rust可直接編譯為各作業系統可執行檔，無需依賴Node.js，簡化環境建置並減少安裝失敗風險，有助於資源管理與執行速度。</p> <p>開發團隊表示，重寫工具的重點於移除Node.js依賴、提升Linux平臺沙箱安全、降低執行期間記憶體用量，以及預留多語言擴充彈性。Rust不採用垃圾回收機制，可精確管理記憶體，對長時間運作或高並行需求的CLI工具擁有一定優勢。Codex CLI導入自行開發的Wire Protocol（底層資料傳輸協定），作為代理執行框架，未來有望支援Python、JavaScript等多語言擴充模組，方便開發者整合人工智慧服務。</p> <p>安全性也是本次重構的重要考量。Linux平臺已採用以Rust開發的安全沙箱，可直接整合至系統底層，降低攻擊風險並提升用戶端運作保障。TypeScript版本會持續維護，而Rust原生版在功能與體驗成熟後，就會成為預設選項。目前Codex CLI Rust原生版本已開放透過NPM安裝，OpenAI團隊鼓勵社群開發者參與程式碼貢獻及功能測試。</p> </div></div></div>
2025/6/4 08:31作者李建興https://www.ithome.com.tw/news/169341
精品業者Cartier遭駭外洩客戶個資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>精品業者Cartier本周通知客戶系統遭駭，導致客戶資料外洩。</p> <p><a href="https://x.com/_country_accent/status/1929652281563062285" target="_blank">用戶張貼Cartier寄發的通知信件</a>，一名未經授權的人士或組織存取了該公司系統一小段時間，取得部份客戶資訊。</p> <p>經過調查，Cartier判斷該攻擊者存取了部份客戶個資，包括名字、電子郵件信箱和國籍。但業者強調外洩的資料不包含密碼、信用卡資料或其他銀行資訊。</p> <p>考量外洩資料可能導致詐騙或其他攻擊，Cartier呼籲用戶留意陌生人士主動的聯繫。受Cartier資料外洩影響的用戶人數尚不清楚。</p> <p>Cartier是近幾個月來最新一家發生客戶個資外洩的名品業者。法國精品業者Dior也<a href="https://www.dior.com/en_us/fashion/data-security-update" target="_blank">在5月間公告</a>遭<a href="https://www.globaltimes.cn/page/202505/1333930.shtml" target="_blank">駭客存取</a>包括姓名、性別、聯繫資訊及消費金額與偏好等隱私資料。<a href="https://www.ithome.com.tw/news/169222" target="_blank">5月底Adidas</a>遭攻擊者經由服務供應商網路，存取部份消費者資訊。</p> <p>此外，上周知名內衣業者<a href="https://www.ithome.com.tw/news/169292" target="_blank">維多莉亞的祕密（Victoria's Secret）遭遇持續資安事件</a>，導致該公司部份網站離線和店頭服務暫停運作。運動品牌業者<a href="https://ago.vermont.gov/sites/ago/files/documents/2025-05-29%20VF%20Outdoor%20Data%20Breach%20Notice%20to%20Consumers.pdf" target="_blank">North Face則通知主管機關及客戶</a>，公司網站遭「憑證填充」（credential stuffing）攻擊而外洩部份客戶資料，提醒客戶避免同一組密碼用於多個網站。</p> </div></div></div>
2025/6/4 09:18作者林妍溱https://www.ithome.com.tw/news/169348
中華電信8月起暫停簽發TLS網站憑證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google宣布將移除Chrome瀏覽器對中華電信TLS憑證的預設信任後，中華電信決定8月起暫停簽發TLS網站憑證，並宣布將主動聯繫憑證效期將到期的客戶，免費提供TLS憑證更新。</p> <p>Google在本周宣布將調整Chrome瀏覽器根憑證的預設信任機制，因中華電信未在規定時間內配合政策完成調整，Google將從Chrome 139及後續版本開始，移除Chrome預設信任中華電信在2025年7月31日之後簽發的新憑證，網站如使用7月31日簽發的新憑證，Chrome瀏覽器用戶造訪該網站便會顯示不安全，無法正常瀏覽網站。</p> <p>中華電信決定從8月1日開始，暫停簽發TLS憑證，但該公司強調此舉並非其憑證存在漏洞或洩露私鑰，無關資安或網路安全，同時也對造成社會大眾的困擾表達歉意。</p> <p>至於中華電信在7月31日之前簽發的憑證，只要在憑證效期內則不受影響(效期為簽發日起一年)。此外，中華電信將會主動聯繫TLS憑證效期即將到期的客戶，免費提供TLS網站憑證更新，並承諾協助必要的輔導或轉移至其他憑證機構。</p> <p>由於此次Chrome移除對中華電信簽發TLS憑證的預設信任，中華電信表示，未來將會改善憑證營運管理，並計畫在2026年3月重新取得Chrome TLS憑證的預設信任。</p> </div></div></div>
2025/6/4 04:35作者蘇文彬https://www.ithome.com.tw/news/169347
保留AST1700特色、納入FPGA，信驊搶先展示下一代I/O擴展晶片
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/aspeed_1800-main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雲端資料中心與邊緣運算的應用日益普及，促使伺服器相關設備的遠端系統管理需求大增，這些硬體裝置搭配的基板管理控制器（BMC）晶片，角色越來越吃重，而在這個產品技術領域具有龐大市占的信驊科技（Aspeed），去年6月舉行的台北國際電腦展期間，<a href="https://www.ithome.com.tw/tech/164954">他們發表第8代BMC晶片AST2700系列，以及I/O擴展晶片AST1700</a>。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-03-Aspeed Roadmap.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-03-Aspeed%20Roadmap.jpg" style="width: 500px;" /></a></p> <p>相隔一年後的此刻，他們宣布AST2700系列將於今年第四季量產，並搶先展示下一代I/O擴展晶片AST1800的架構，預告兩年後（2027）就緒，進入量產供貨階段。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Web-Z62_1770-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E4%BF%A1%E9%A9%8A%E7%A7%91%E6%8A%80.jpg" style="width: 600px;" /></p> <blockquote><p>延續AST1700支援LTPI介面的1Gb/s高頻寬特色，信驊科技在今年Computex展出內建FPGA晶片的新款I/O擴展晶片AST1800、搭載AST1800的驗證板，以及FPGA開發工具，關於上市時間，信驊科技雲端產品業務處業務副總經理關超成預告，這款產品將於2027年量產供貨。</p> </blockquote> <h3><a href="https://s4.itho.me/sites/default/files/images/Web-AST2600-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Web-AST2600-1.jpg" style="width: 600px;" /></a></h3> <blockquote><p>信驊設計的系統管理與安全晶片，已廣泛運用於多種資料中心硬體設備，在今年Computex現場展區，特別針對前幾年發表的BMC晶片AST2600系列與PFR晶片AST1060，列出多種實際採用的產品類型，涵蓋伺服器主機板、電源機架模組（Power Shelf）的電源管理控制器（PMC）、智慧型網路卡（SmartNIC）、運算節點、資料中心安全控制模組（DC-SCM）、冷卻液分配裝置（CDU），信驊科技業務資深經理徐源煌向參展者一一介紹這些應用方式。</p> </blockquote> <h3><span style="color: rgb(0, 0, 255);"><strong>整合eFPGA，支援M-PESTI與eSPI介面</strong></span></h3> <p>AST1800的設計是站在AST1700的基礎之上，能夠繼續提供高效能的I/O模組，透過LTPI介面的支援，提供1Gb/s的訊號處理頻寬，廣泛因應各種I/O與資料傳輸需求，能夠適合採用高密度部署的伺服器環境，而且同樣能整合AST2700系列。兩款I/O擴展晶片最顯著的差異，在於：AST1800額外導入了嵌入式FGPA（Embedded FPGA，eFPGA）架構，可藉此提供用戶能夠自行定義的各種邏輯功能，像是GPIO的控制與通訊協定的轉換，以便擴充系統設計的彈性，除此之外，這顆eFPGA晶片也配備兩種介面的匯流排，一種是開放運算計畫（OCP）訂定的模組化—周邊側頻隧道傳輸介面（Modular-Peripheral Sideband Tunneling Interface，M-PESTI），另一種是強化序列周邊介面（Enhanced Serial Peripheral Interface，eSPI），而能針對邏輯合成、程式除錯、邏輯分析，提供廣泛的工具，促進軟硬體開發流程的最佳化。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2025-05-AST1800 Comparison.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-05-AST1800%20Comparison.jpg" style="width: 600px;" /></a></p> <p>所謂的M-PESTI，是一種簡單的半雙工通訊協定，實作在低成本的微控制器（MCU）或複合可程式邏輯裝置（CPLD），主要用於模組化硬體系統（DC-MHS）平臺各種元件之間，促成基本的電子層級與協定層級相容性，許多伴隨DC-MHS使用的規格，需要在主機處理器模組（HPM）的I/O與電源連接器，進行相關的實作。OCP目前已發布這方面的文件，訂定在相同信號之上進行M-PESTI initiator與M-PESTI target的雙向溝通方式。</p> <p><a href="https://s4.itho.me/sites/default/files/images/OCP Example M-PESTI Application.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/OCP%20Example%20M-PESTI%20Application.png" style="width: 158px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/OCP Example M-PESTI applications in the DC-MHS context.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/OCP%20Example%20M-PESTI%20applications%20in%20the%20DC-MHS%20context.png" style="width: 408px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/M-PESTI Electrical circuit.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/M-PESTI%20Electrical%20circuit.png" style="width: 600px;" /></a></p> <p>eSPI是用於個人端裝置與伺服器的介面，同於既有的低接腳數（Low Pin Count，LPC）介面，均是嵌入式控制器（Embedded Controller，EC）、基板控制器、Super I/O（SIO）連接晶片組必經的匯流排介面，但eSPI可以突破LPC本身受到的限制，它會再次使用序列周邊介面（SPI）關於時間計算與電子層面的規格，但搭配不同協定，以因應各種需求。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Over%20LPC.png" style="width: 298px;" /> <a href="https://s4.itho.me/sites/default/files/images/Intel Over eSPI.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Intel%20Over%20eSPI.png" style="width: 298px;" /></a></p> <h3><span style="color: rgb(0, 0, 255);"><strong>節省主板空間，直接提供邏輯控制能力</strong></span></h3> <p>為何要針對BMC開發整合eFPGA的I/O擴展晶片？信驊科技雲端產品業務處業務副總經理關超成表示，AST1700推出之後，可透過OCP定義的LTPI介面，將小卡處理的訊號傳到主板進行管理，I/O擴展晶片的需求被滿足了，但客戶反映此時還需要搭配CPLD，以便管理整個硬體系統的開機時序（Power Sequence），所以，I/O擴展模組要額外搭配FPGA晶片。</p> <p>在台北國際電腦展的現場當中，信驊表示，AST1800是第一顆跨出BMC領域延伸到FPGA的下一代概念驗證IC晶片。因為現在客戶的實作上，用AST2700搭配AST1700時，還需要一顆負責系統開機時序的FPGA去控制相關的行動，在這樣的搭配之下，效能較好、價格也便宜，但仍占用HPM主板空間，信驊科技業務經理李洋承強調，AST1800本身納入FPGA之後，可進一步節省空間，而這是信驊向客戶推廣AST2700搭配AST1700的過程中，從客戶端收到的需求，希望他們能幫忙解決這個問題，現在他們也確實建立了這樣的晶片。</p> <p>即將推出的AST1800能提供哪些好處？首先，用戶可繼續保有AST1700的好處，包含容易使用的LTPI控制器，獲得更好的效能，並且支援經由多種信號管道進行的管理傳輸協定（MCTP），像是內部整合電路（Inter-Integrated Circuit，I2C）／改良版內部整合電路（Improved Inter-Integrated Circuit，I3C）、類比轉數位轉換器（ADC）、可控制風扇轉速的脈衝寬度調變（PWM）、風扇轉速回報信號（TACH）、通用非同步收發傳輸器（UART）。</p> <p>同時，AST1800作為BMC的I/O擴展晶片，可以更方便使用，讓AST1700特色能繼續延續到這顆晶片，客戶能在不需要開發與執行特製程式碼的狀況之下，全部交由AST2700控制，只要將AST1700接上AST2700就能夠連通，把AST2700的訊號全部擴展到主板。</p> <p>第二，AST1800內建的Embedded FPGA晶片，具有16,384（16K）張查詢表（LUTs）的可程式化運算能力，因此，只需一顆I/O擴展晶片，即可提供彈性的應用方式，做到多種邏輯控制，像是滿足上述客戶向信驊提出的開機時序管理需求，而不需再添加CPLD、找軟體開發商，此外，還能透過eFPGA支援OCP定義的M-PEPSTI initiator，以便存取其他裝置，以及eSPI Slave，而能與處理器溝通。</p> <p>基於這些可程式化的功能擴充特性，信驊可提供整合的方案，而且能就近服務位於臺灣的客戶——由於全球電腦與伺服器的相關設計，有高達9成在臺灣進行，信驊可以提供更好的技術與工程支援，發揮長期致力於BMC所累積的發展優勢。</p> <p>為了後續能驗證與協助開發更多功能，信驊也首度公開展出搭配AST2700的驗證板（Evaluation Board，EVB），以及對應的FPGA開發工具。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Web-Z62_2273-圖片來源-Aspeed.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Web-Z62_2273-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-Aspeed.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Web-AST1800 Tools-圖片來源-李宗翰.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Web-AST1800%20Tools-%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90-%E6%9D%8E%E5%AE%97%E7%BF%B0.jpg" style="width: 298px;" /></a></p> <p>根據台北國際電腦展現場展示影片的解說，EVB本身設置AST1800晶片，以及FPGA展示區域、LTPI展示區域，可用於設計與測試自定的系統開機時序、OCP的M-PEPSTI initiator，以及即時I/O存取動作。</p> <p>第三，信驊提供的FPGA開發工具AST1800 Tools，則是用來發揮FPGA可程式化特性的軟體，主打三大功能：邏輯的合成、置放與路由，以及程式的撰寫、邏輯的分析，研發人員可透過這套工具，將範例程式碼寫入AST1800，接著可輸入簡單的信號，控制輸出的資訊，雖然這類簡單功能用微控制器（MCU）就能做到，但信驊想藉此證明AST1800整合FPGA之後，可支援相關的應用需求。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AST1800 Tools-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AST1800%20Tools-1.jpg" style="width: 198px;" /></a> <img alt="" src="https://s4.itho.me/sites/default/files/images/AST1800%20Tools-2.jpg" style="width: 198px;" /> <a href="https://s4.itho.me/sites/default/files/images/AST1800 Tools-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AST1800%20Tools-3.jpg" style="width: 198px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AST1800%20Tools-4.jpg" style="width: 198px;" /> <a href="https://s4.itho.me/sites/default/files/images/AST1800 Tools-5.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AST1800%20Tools-5.jpg" style="width: 198px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/AST1800 Tools features.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AST1800%20Tools%20features.jpg" style="width: 198px;" /></a></p> <p>為了避免EVB的現場控制因故出現突發故障狀況，他們也在Computex展區循環播放一段預錄影片，向所有參觀者呈現即時的電子訊號波形擷取（Waveform Capture）。</p> <p>至於AST1800預定的量產時間為何訂在2027年，關超成說，原因是FPGA的使用需要很長的軟體開發時間，信驊會在產品量產之前，持續與鎖定的一些客戶合作，促使整個軟體解決方案能夠變得更完整，再一起供應市場。</p> <p>這個時程規畫的理由，李洋承提出進一步解釋。他說，因為信驊本身是專精ASIC的廠商，在FPGA是後進者，面對這方面的專門技術與技能需求，必定有許多不足之處，透過兩年的時間，從市場、客戶端收集更多的資訊，吸收相關的經驗與教訓，了解客戶想要的功能，將這些解決方案加入AST1800，進而提升產品的附加價值，使客戶更願意採用，而這些也是他們今年展出AST1800最重要的幾個目的：向市場宣告、從客戶端收取資訊、自我改進，最終提供能解決客戶問題、讓客戶滿意的產品。</p> <p><strong><span style="color: rgb(255, 0, 0);">延伸閱讀：系統開機時序為何需要FPGA晶片幫忙控制？</span></strong></p> <p>AST1800最大賣點是整合eFPGA，信驊強調能以此支援系統開機時序的管理，但為何這與BMC的應用有關？信驊科技業務經理李洋承解釋，伺服器的開機時序其實是一門博大精深的學問。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Web-AST2700-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Web-AST2700-1.jpg" style="width: 300px; float: right;" /></a></p> <p>不論個人電腦或伺服器，當我們按下電源鍵後，各種軟硬體元件的啟動需要經歷一定的步驟。以BMC為例，每一個晶片裡面有兩顆晶粒，各自啟動的順序不同，例如，先針對3.3伏特的元件供電，接著對1.8伏特的元件通電，後續再啟動其他元件……，相關時序邏輯需要透過FPGA控制，也是控制I/O、把整個系統啟動的重要推手，相較之下，CPU的開機時序更多。</p> <p>除此之外，BMC與CPU要溝通，兩者之間也有啟動的先後順序：BMC要先啟動，使eSPI處於就緒狀態，接著CPU啟動、讀取BMC，之後才能繼續進行CPU啟動的流程。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Aspeed BMC Arch.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Aspeed%20BMC%20Arch.jpg" style="width: 600px;" /></a></p> <p>而且，當伺服器搭配AST1700這類新推出的I/O擴展晶片，由於AST1700本身可能不容易做成客戶想要的開機時序，就算能設計出這樣的機制，可能僅只適合搭配目前推出的英特爾或AMD處理器平臺，伺服器若是採用英特爾或AMD下一代處理器平臺，I/O擴展晶片可能就不支援，現在有了整合FPGA晶片的AST1800，本身內建676個針腳，而當中有408個I/O針腳是FGPA專屬的，這些都是能用於可程式化的功能設計，做成客戶想要的樣子，在此之前，信驊會先到客戶端去蒐集他們想要的功能，再將這些做得更好。</p> <p> </p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/bmc">BMC</a></div></div></div>
2025/6/3 23:33作者李宗翰https://www.ithome.com.tw/tech/169346
數發部：今年目標扶植資服業者開發至少150個AI應用領域模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>數發部在今年初宣示以算力、資金、人才、資料、行銷5方面推動國內AI產業發展，數發部長黃彥男指出，今年預期將透過數產署的AI算力，協助資服業者訓練開發至少150個AI應用領域模型。</p> <p>作為國內數位經濟產業的主管機關，數發部推動國內AI產業發展，今年2月對外宣示將從算力、資金、人才、資料、行銷5方面，協助AI產業生態發展，其中算力部分，去年建置40片GPU，開放資服、新創業者免費申請使用算力，以開發訓練AI應用。</p> <p>為推動國內AI產業發展，在算力部分，去年數發部以AI公建計畫，建置40片GPU的算力服務，免費供業者申請開發驗證AI應用，目前數發部已開放60家資服業者使用算力服務，訓練開發88個AI應用領域模型。</p> <p>數發部長黃彥男在今天(6/3)上任滿一年記者會上指出，今年雖然因為數發部預算被凍，仍維持40片GPU的算力池，但是希望擴大開放150家次資服產業開發應用，訓練開發至少150個AI應用領域模型。</p> <p>至於資料方面，數發部計畫以政府機關高品質中文資料優先，建置臺灣主權AI訓練語料庫，並制定統一授權條款，完善語料共享及再利用機制，鼓勵政府機關、學術機構、民間參與語料貢獻。</p> <p>人才方面，黃彥男指出，目前持續推動AI人才培養，結合國際大廠、產官學資源及開發社群加速人才養成，希望培育AI高中生及AI人才，至少3,500名人。在資金方面，數發部已與國發會合作，將投入100億元資金，遴選民間投資人共同合作，篩選合適的潛在投資對象。AI行銷方面，每次選出8家AI軟體供應商，由公協會邀請20-40家潛在客戶，媒合AI軟體業者和企業需求。</p> <p>除了扶植AI產業發展，數發部另一項重要工作是推動國內資安法規調整及資安產業，其中法規方面，資安法修正草案已完成逐條審查，預期在今年可望完成三讀通過，對於CI關鍵基礎設施，加強推動A級CI的資安治理成熟度，2024年底達到第3級以上成熟度的機關已有30個，今年除了持續推動之外，也將修訂工業控制系統資安防護建議修訂草案，並計畫在CI場域試行。</p> <p>另外，推動數位憑證整合的數位憑證皮夾，在今年3月底展開沙盒試驗，過去一年完成經濟部、勞動部2個機關數位憑證皮夾的雛形版本，沙盒試驗現已有1,500家廠商、機關、社群、民眾參與，此外，為建立技術標準共識及應用情境，數發部召開13場溝通協調會議。</p> <p>黃彥男表示，今年將會邀請交通部、衛福部參與共同推動數位憑證皮夾，並且通過產官學研測試以強化資安，同時也會推動數位憑證皮夾開放原始碼，規畫讓民眾有感的應用服務，透過公私協力，讓數位憑證皮夾能落實到更多領域。</p> </div></div></div>
2025/6/3 18:21作者蘇文彬https://www.ithome.com.tw/news/169344
【資安月報】2025年5月，AI資安技術發展動能強勁，從Agentic SOC、資安LLM到紅藍隊攻防演練都有進展
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2025年5月資安新聞，多項AI資安相關技術發展揭露受關注，涵蓋Agentic SOC、AI資安模型、AI資安解決方案，以及Digital Twin的AI紅藍隊演練等，這些消息成為我們本月首先關注的一大焦點。</p> <p>還有4個威脅層面的議題，同樣值得我們重視，包括攻擊者用AI的態勢，零時差漏洞攻擊的狀況，濫用合法網域廢棄子網域的問題，以及國內外重大資安事件。在此我們彙整5大資安焦點，帶大家回顧本月重要新聞。</p> <p><span style="color:#FF0000;"><strong>（一）多場大型IT展會點出資安最新技術發展方向</strong></span></p> <p>全球指標性資安盛會RSA Conference 2025於4月28日至5月1日在美國舊金山舉行，多家科技大廠與資安業者在期間宣布推出AI資安工具，顯現AI多元應用持續快速融入資安領域。例如，Google宣布將朝向Agentic SOC發展，預期未來全自動化代理型資安維運中心，同時展示先前推出的兩款AI資安代理，一是提供警示分類代理（Alert Triage Agent）於Google SecOps，，另一是提供惡意軟體分析代理（Malware Analysis Agent）於Google Threat Intelligence之中。</p> <p>資安大廠Cisco則宣布，推出自家首款開放式AI資安模型Foundation-Sec-8B，並以開放權重方式釋出，協助更多資安人員應用AI於資安分析、維運與防護，這是Cisco於2024年併購Robust Intelligence後帶來的最新成果。而在此之前，趨勢科技亦推出名為Cybertron的資安專用LLM，並將部分模型開源供社群使用。</p> <p>至於AI相關解決方案方面，市場上已有許多大廠投入，Palo Alto Networks如今也跟進，公布其AI安全管理平臺Prisma AIRS，另也宣布收購新創公司Protect AI。</p> <p>此外，在5月下旬的臺北國際電腦展（Computex 2025）現場，趨勢科技也展示一項正在研發的資安解決方案，聚焦紅藍隊攻防演練而來，其特別之處是應用數位孿生（Digital Twin）概念來搭建高程度的模擬環境，並用AI扮演紅隊與藍隊來模擬攻防過程，透過此種自動化演練找出企業防禦差距，並回饋到實體環境。<br /> </p> <p><strong style="color: rgb(255, 0, 0);">（二）駭客現階段最常將AI用於社交工程攻擊強化</strong></p> <p>在資安威脅態勢上，攻擊者用AI技術提升網路攻擊的風險，是大家都在關注的焦點。本月我們報導Google Cloud國際資安合作負責人Christopher B. Porter在臺的演說，就是他們揭露實際觀察到攻擊者應用AI的態勢。他強調，儘管外界擔憂生成式AI被用於開發惡意程式，挖掘零時差漏洞來攻擊，或自動化大規模攻擊，但實際上，駭客現在最常用在社交工程手法的強化，因此我們現在所面對更急迫的威脅，是網路釣魚與偽冒行為。同時他也指出，語音偽冒攻擊需要特別關注，不僅因為攻擊成功率更高，還有金融業以語音驗證身分的方式也要改變，因為現在只靠語音驗證已變得不再可靠。</p> <p>不僅如此，FBI於5月15日也發布這方面的警告，指出有不肖份子正在利用AI技術冒充高級美國官員的身分，以竊取政府官員及其聯絡人的個人帳戶資訊。<br /> </p> <p><span style="color:#FF0000;"><strong>（三）SAP NetWeaver漏洞遭多個國家級駭客與勒索軟體組織鎖定</strong></span></p> <p>漏洞攻擊威脅持續升高，攻擊者不僅持續針對已知漏洞發動攻擊，每月更不乏零時差漏洞攻擊的情況，以5月而言，再有10多個零時差漏洞攻擊事件傳出，涵蓋微軟、SAP、Ivanti、Fortinet、Commvault等旗下產品，以及Google的 Chromium瀏覽器專案等。</p> <p>當中最受關注的消息是SAP NetWeaver的漏洞CVE-2025-31324、CVE-2025-42999，因為通報前項漏洞的資安業者ReliaQuest指出，這是CVSS滿分漏洞，已有攻擊者在受害伺服器植入Web Shell，半個月後又有通報後項漏洞的資安業者Onapsis指出，其實駭客在今年1月就串聯這兩個漏洞來發動攻擊。</p> <p>不僅如此，相關攻擊活動也不斷被揭露，讓攻擊者身分浮上檯面。例如，資安業者Forescout發現中國駭客Chaya_004在4月底利用上述漏洞部署後門程式SuperShell，主要鎖定製造業環境攻擊；還有威脅情報業者EclecticIQ指出，確認有多組攻擊團體大舉鎖定上述漏洞來攻擊，包括3組與中國國安部有關的駭客組織CL-STA-0048、UNC5221、UNC5174，利用漏洞攻擊關鍵基礎設施，還有2個駭客組織（RansomEXX與俄羅斯勒索團體BianLian）也加入漏洞利用行列。<br /> </p> <p><span style="color:#FF0000;"><strong>（四）留意合法網域的廢棄子網域管理議題，出現劫持攻擊活動</strong></span></p> <p>在最新資安威脅手法方面，駭客劫持合法網域下廢棄子網域的攻擊手法，成為最需警戒的重點之一。因為這種攻擊方式使用合法網域，容易讓使用者降低戒心，並也規避與阻礙資安防護的偵測。</p> <p>最新又有一起攻擊活動揭露，更是顯現出攻擊者使用DNS劫持方式來做到這類攻擊，呈現更複雜且不同以往的攻擊技術。根據資安業者Infoblox說明，他們一開始發現美國疾病管制與預防中心（CDC）的子網域突然託管數十個涉及色情影片的URL連結，追查後Infoblox將此駭客組織命名為Hazy Hawk，指出該組織是具備DNS專業知識的攻擊者，專門針對高知名度組織的廢棄雲端資源進行劫持。</p> <p>具體而言，其攻擊方式利用了DNS CNAME記錄的配置錯誤，也就是當CNAME記錄指向的雲端資源已移除或不存在，就形成所謂「dangling」懸空的記錄，駭客透過註冊或控制此資源來劫持網域，而且攻擊者還會利用TDS惡意流量導向系統（TDS），將受害者導向惡意或詐騙網站。</p> <p>隨著濫用合法網域與廢棄子網域的攻擊手法日益猖獗，這次發現Hazy Hawk的行動，再次提醒企業與組織重視這方面的問題，而且雲端資源同樣要注意。<br /> </p> <p><span style="color:#FF0000;"><strong>（五）多起重大資安事件，電信業與零售業遭駭情形最受關注</strong></span></p> <p>在重大資安事故方面，以臺灣而言，根據公開資訊觀測站的重大訊息公告，本月有1家上市公司揭露資安事件：遠雄公司因系統異常，導致郵件發送給外部無關人員。</p> <p>以國際而言，韓國電信業者SK Telecom資安事故更是引發極大關注，因為發生大量USIM等客戶資料外洩情形，恐導致非法製造USIM卡的身分冒用問題，<br /> SK Telecom是在4月22日揭露遭駭，一星期後宣布將為2,500萬用戶免費換發SIM卡，到了5月19日公布第二次事故調查結果有更多具體細節曝光，共清查出23臺伺服器受害，發現BPFDoor等25種類型惡意軟體，而且最早的Web Shell被植入時間是在2022年，顯示駭客已經潛伏3年已久。</p> <p>不只電信業成為駭客鎖定目標，還有多起事件突顯零售等不同產業同樣面臨嚴峻的網路攻擊威脅。例如，在零售業方面，英國接連傳出重大資安事件，包括瑪莎百貨（M&S）、連鎖超市Co-op，以及精品百貨Harrods等都遭遇網路攻擊，疑勒索軟體團體DragonForce所為；還有製造與零售業的可口可樂傳出內部資料遭竊的消息，有兩個駭客組織Everest與Gehenna宣稱竊得資料。</p> <p>還有兩家業者在自家網站公布資安事故消息，像是運動用品業者Adidas說明客戶資料遭未授權存取，初步研判是從第三方客戶服務供應商入侵；托福、雅思的教育出版業者Pearson表示有未經授權攻擊者存取該公司系統。此外，加密貨幣交易平臺Coinbase向美國SEC提交資安事故報告，不僅揭露用戶資料外洩，並指出海外客戶支援的約聘人員是內賊。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/168734"><strong><span style="color: rgb(178, 34, 34);">【資安週報】0428~0502，新世代資安維運中心Agentic SOC、資安領域專用LLM發展受關注</span></strong></a></h3> <p>在2025年5月第一星期的資安新聞，RSAC 2025全球資安會議於美國舉行，資安業者發表AI資安新進展是主要焦點；在資安攻擊事故方面，韓國電信龍頭爆發嚴重資安事件，因為大量用戶的USIM相關資料遭竊，引發身分冒用危機，還有SAP零時差漏洞攻擊的狀況，有資安業者指出可能有逾1,100套NetWeaver系統已被入侵</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/168882"><strong><span style="color: rgb(178, 34, 34);">【資安週報】0505~0509，第七期國家資通安全發展方案正式出爐，以建構可信賴、安全的數位社會為核心價值</span></strong></a></h3> <p>回顧2025年5月第二星期的資安新聞焦點，臺灣第七期國家資通安全發展方案（2025年至2028年）出爐，數位發展部資安署署長蔡福隆於行政院的院會會議說明3大目標、4大行動策略；在資安事故消息方面，近期英國瑪莎百貨（M&S）、連鎖超市Co-op、精品百貨Harrods接連傳出遭到網路攻擊，引起各界關注</p> <p style="margin: 0px;"> </p> <h3><a href="https://www.ithome.com.tw/news/169009"><strong><span style="color: rgb(178, 34, 34);">【資安週報】0512~0516，多組中國駭客組織、勒索軟體駭客鎖定SAP NetWeaver漏洞入侵關鍵CI與企業組織</span></strong></a></h3> <p>回顧2025年5月第三星期的資安新聞焦點，共有多達8個零時差漏洞遭攻擊者利用的消息，涵蓋微軟、SAP、Fortinet與Google等；上月SAP修補NetWeaver滿分重大漏洞，發現不只中國駭客Chaya_004利用，至少還有3組中國駭客CL-STA-0048、UNC5221，以及UNC5174，以及2組勒索軟體駭客組織將其用於實際攻擊</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/169145"><strong><span style="color: rgb(178, 34, 34);">【資安週報】0519~0523，韓國電信SKT揭露已遭滲透將近3年，發現25種類型惡意軟體、23臺伺服器受害</span></strong></a></h3> <p>在2025年5月第四星期的資安新聞焦點，韓國電信SK Telecom與臺灣CoWoS設備製造商萬潤科技的資安事故後續消息是主要焦點；在最新威脅態勢方面，有駭客組織劫持企業網域從企業雲端資源被遺忘的DNS記錄下手，還有駭客偽冒生成式AI服務，生成檔案為惡意執行檔，但運用雙重副檔名等伎倆偽裝為圖檔與影片檔</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/169283"><strong><span style="color: rgb(178, 34, 34);">【資安週報】0526~0529，兩大創新技術用於改善資安，防禦方式可望獲得重大突破</span></strong></a></h3> <p>回顧2025年5月最後一星期的資安新聞，有兩大防護發展成主要焦點，包括以趨勢科技展示創新方案以數位孿生搭建自動化攻防演練，以及研究人員公開用OpenAI的o3模型可發現Linux核心一項漏洞的成果；在資安威脅態勢上，中國駭客組織發起的AyySSHush攻擊行動最受關注，因為主要針對華碩路由器2023年已知漏洞而來</p> <p> </p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/168722">【2025年4月，臺灣資安產業蓬勃發展，PQC、零信任、產品資安受矚目，LLM安全風險因應成最新主軸】</a><br /> </h3> <h3><a href="https://www.ithome.com.tw/news/168181">【2025年3月資安月報，出現專門鎖定臺灣攻擊的勒索軟體，CrazyHunter攻擊目標從醫院擴大至上市櫃公司】</a><br /> </h3> <h3><a href="https://www.ithome.com.tw/news/167727">【2025年2月資安月報，臺灣海纜遭人為破壞、醫院遭勒索軟體攻擊，關鍵CI防護受考驗】</a><br /> </h3> <h3><a href="https://www.ithome.com.tw/news/167154">【2025年1月資安月報，國家級駭客的網路間諜攻擊事件不斷，海纜與國家通訊韌性也受到考驗】</a><br /> </h3> <h3><a href="https://www.ithome.com.tw/news/166878">【2024年12月資安月報，美國9家電信業遭中國駭客Salt Typhoon滲透，政府呼籲使用全程加密的即時通訊App】</a><br /> </h3> <h3><a href="https://www.ithome.com.tw/news/166394">【2024年11月資安月報，身分安全與AI成資安熱點，電信業滲透事件敲響警鐘】</a><br /> </h3> <p> </p> </div></div></div>
2025/6/3 18:30作者羅正漢https://www.ithome.com.tw/news/169340
【資安日報】6月3日，Chrome將從8月起停止預設信任中華電信TLS新憑證引起高度關注
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>5月底Google宣布Chrome瀏覽器預設信任機制將祭出新的措施，其中有兩家CA業者的合規改善情況未達到要求，造成可靠性下降，他們決定從Chrome 139開始，移除對於這兩家CA於8月之後核發的新TLS憑證的信任，由於其中一家CA是臺灣電信龍頭中華電信，這項消息很快就引起國內關注。</p> <p>由於此事影響的層面可能會相當廣泛，中華電信也緊急發布聲明說明處理情形，數位發展部也透露公部門網站已採取雙憑證因應。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169318"><strong style="font-size: 22px;">合規改善不符要求，Chrome將從8月起停止預設信任中華電信TLS新憑證</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/_lb0awEDUnB.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/_lb0awEDUnB.png" style="width: 300px; float: right;" /></a>Google在公開論壇中宣布Chrome瀏覽器預設信任將祭出新的措施，考量到兩家CA業者中華電信及Netlock合規改善未符要求，可靠性信心下降，將從Chrome 139開始，移除對中華電信今年8月之後核發的新TLS憑證的信任，至於7月31日及之前的憑證則不受影響。</p> <p>Chrome瀏覽器信任政策祭出處罰，引發外界對中華電信及其受委託發行憑證的信心危機，對此，中華電信緊急發表聲明，坦言未按新政策規定在時間內完成調整，導致遭Google決定移除瀏覽器預設信任憑證，目前已完成調整且符合新政策要求，爭取明年3月重新回復Chrome瀏覽器信任。</p> <p>對於中華電信的TLS憑證將被移除Chrome瀏覽器預設信任，數發部也在周一晚間發出新聞稿，指在今年3月已掌握情資，提前準備因應並啟動政府網站雙憑證機制，採用符合公開信任根憑證標準的本地憑證機構所簽發的憑證，確保當特定憑證被瀏覽器移除預設信任，仍可以替代的憑證運作，使政府機關網站在各瀏覽器均能正常瀏覽，以維護政府公共服務的穩定度及可信度。</p> <p><a href="https://www.ithome.com.tw/news/169337"><strong style="font-size: 22px;">軟體供應商ConnectWise遭遇國家級駭客攻擊，部分ScreenConnect用戶遭鎖定</strong></a></p> <p>5月28日軟體業者ConnectWise發布資安公告，指出他們察覺網路環境出現可疑活動，攻擊者的身分疑似與國家級駭客有關，並指出這起事故影響極少數遠端桌面軟體ScreenConnect用戶，他們已尋求資安業者Mandiant協助調查此事，並通知受到影響的用戶。</p> <p>在網路環境遭到入侵後，該公司加強監控並強化防護，並於4月24日發布ScreenConnect修補程式因應，並指出他們對於雲端版本的ScreenConnect實體套用後，就再也沒有出現可疑活動的跡象。</p> <p>針對這起事故，ConnectWise透露的資訊並不多，他們初步認為這並非勒索軟體攻擊，並未透露實際受害用戶規模，也沒公布攻擊者的身分，說法也很含糊，該公司提及4月24日的修補程式，不禁讓人懷疑是否間接透露當時修補的驗證方式不適當漏洞CVE-2025-3935早就遭到利用？但這樣的猜測，顯然有待進一步的證據佐證。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/06/cryptojacking-campaign-exploits-devops.html">GitHub現成工具被用於挖礦攻擊，駭客藉此濫用DevOps API</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/06/fake-recruiter-emails-target-cfos-using.html">求職信網釣鎖定財務長而來，駭客利用遠端存取工具Netbird得逞</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.cloudsek.com/blog/50-000-azure-ad-users-exposed-via-unsecured-api-bevigil-uncovers-critical-flaw">研究人員揭露Azure AD重大漏洞，逾5萬用戶曝露於不安全的API而面臨風險</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169342"><strong style="font-size: 22px;">高通修補GPU已被用於實際攻擊行動的零時差漏洞</strong></a></p> <p>6月2日高通發布本月例行更新，總共修補18項弱點，其中有2項為重大層級、11項為高風險層級、5項為中度風險層級，值得留意的是，其中有3項漏洞CVE-2025-21479、CVE-2025-21480、CVE-2025-27038，已被用於針對數量有限的目標從事攻擊行動。</p> <p>這些已遭利用的資安漏洞，先後由Google旗下的Android資安團隊通報，皆與顯示晶片（GPU）有關，其中被列為重大層級的CVE-2025-21479、CVE-2025-21480，發生的原因都是不正確的授權，在執行特定命令的過程中，可能導致GPU微節點（Micronode）未經授權執行命令，從而出現記憶體中斷的現象，CVSS風險為8.6分（滿分10分）。</p> <p>第3個遭到利用的漏洞CVE-2025-27038為高風險層級，同樣也會造成記憶體中斷，此為記憶體釋放後再存取利用（Use After Free）漏洞，發生在Chrome運用Adreno GPU驅動程式渲染圖像的過程，風險值為7.5。</p> <p><a href="https://www.ithome.com.tw/news/169322"><strong style="font-size: 22px;">針對遭殭屍網路AyySSHush利用的路由器漏洞，華碩針對這些資安弱點公告提出說明</strong></a></p> <p>上週威脅情報業者GrayNoise揭露鎖定華碩路由器而來的殭屍網路AyySSHush攻擊行動，並指出過程當中駭客運用已知漏洞CVE-2023-39780與兩個未登記CVE編號的弱點，停用與趨勢科技合作的內建防護機制AiProtection，從而控制約9千臺路由器，引起各家資安媒體報導此事。</p> <p>但對於這些漏洞的處理情形，GrayNoise僅透露皆已修補，其中CVE-2023-39780是透過近期的韌體更新緩解，鮮少有媒體掌握、透露進一步的資訊，我們嘗試查詢華碩的資安公告網頁，但難以找到相關資料。為了找到更多資訊，我們聯繫華碩，請他們回應此事。</p> <p>華碩表示，針對CVE-2023-39780的部分，他們已在2023年對RT-AX55發布的3.0.0.4.386_51948版韌體當中完成修補。特別的是，該公司提及另有4個漏洞編號實際上也是CVE-2023-39780，分別是：CVE-2023-41345、CVE-2023-41346、CVE-2023-41347、CVE-2023-41348。</p> <p><a href="https://www.ithome.com.tw/news/169339"><strong style="font-size: 22px;">杜浦數位安全揭露並修補端點防護程式高風險權限提升漏洞</strong></a></p> <p>5月下旬台灣電腦網路危機處理暨協調中心（TWCERT/CC）發布資安公告，指出杜浦數位安全（TeamT5）旗下的EDR系統ThreatSonar Anti-Ransomware存在權限提升漏洞CVE-2025-4477，攻擊者在取得中等權限的情況下，就能透過特定的API遠端將權限提升至最高管理員層級，影響3.8.0以前版本，呼籲用戶套用修補程式hotfix-250327，或是升級至3.8.1版因應，CVSS風險為7.2（4.0版為8.6分）。由於相關漏洞說明都引述TWCERT/CC的公告內容，並未提其他細節，對此，我們也向杜浦數位安全詢問，請他們回應此事。</p> <p>針對這項漏洞的發現，杜浦數位安全表示是他們的PSIRT團隊找到，此漏洞形成的原因源自於ThreatSonar的API參數檢查環節出現問題，使得攻擊者能用來調整使用者的權限等級。而攻擊者利用這項漏洞存在必要條件，就是事先需要取得可登入系統的中等權限用戶帳號。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/05/new-linux-flaws-allow-password-hash.html">Linux存在資訊洩露弱點，攻擊者恐藉此竊取密碼雜湊值</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169251"><strong style="font-size: 22px;">微軟公布新一代Windows Update平臺，將納管第三方應用程式更新</strong></a></p> <p></p> <p>企業環境中的各種應用程式，以及Windows元件，都是透過各自的更新機制運作，這樣的情況不但難以管理，而且在更新過程還會干擾用戶電腦正常運作、各種通知引發混亂，導致錯過更新期限等情況，對此微軟打算為Windows 11提供新的Windows Update協作平臺（Orchestration Platform），目前推出封閉測試的預覽版，用戶可寄送電子郵件申請參與。</p> <p>此協作平臺是以Windows Update相關技術為基礎開發而成，旨在提供管理工具開發人員API，以加入到其產品更新清單。這個平臺的協作者就會協調所有加入清單的產品在Windows 11上更新，以及微軟自己的Windows Update，使IT管理員及用戶不再被眾多更新混淆及干擾。</p> <p>這個協作平臺可提供智慧排程，根據使用者活動、系統效能、是否連上AC電源排定更新。微軟或第三方應用式更新，都可使用原生Windows Update的通知，可簡化使用體驗。這個協調工具可支援IT的更新期限和通知等管理政策；應用程式更新記錄會集中在「設定」，方便用戶統一檢視，若發生問題時也可讓IT透過事件錄進行排除。</p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.darkreading.com/cyber-risk/tenable-acquire-ai-security-apex">漏洞管理業者Tenable買下AI資安新創Apex</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169309"><strong>【6月2日】新型態瀏覽器中間人攻擊手法濫用全螢幕隱匿意圖</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169261"><strong>【5月29日】未及時修補已知漏洞釀禍，大量華碩路由器遭殭屍網路AyySSHush綁架</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169238"><strong>【5月28日】新興駭客針對歐美國家下手，為俄羅斯政府從事網路間諜活動</strong></a></p> </div></div></div>
2025/6/3 17:43作者周峻佑https://www.ithome.com.tw/news/169343
軟體供應商ConnectWise遭遇國家級駭客攻擊，部分ScreenConnect用戶遭鎖定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客為了鎖定特定目標，先對軟體業者下手，再藉此入侵用戶環境的情況，類似的資安事故不時傳出，例如：去年底<a href="https://www.ithome.com.tw/news/166598">資安業者BeyondTrust揭露</a>的資安漏洞<a href="https://www.ithome.com.tw/tags/cve-2024-12356">CVE-2024-12356</a>、CVE-2024-12686，起因就是他們察覺到SaaS版遠端支援（Remote Support，RS）系統用戶的環境出現異常行為，後來傳出攻擊者是中國資助的駭客組織，<a href="https://www.ithome.com.tw/news/166747">受害用戶之一是美國財政部</a>。如今，類似的資安事故再度傳出。</p> <p>5月28日軟體業者ConnectWise發布資安公告，<a href="https://www.connectwise.com/company/trust/advisories#:~:text=May%2028%2C%202025%20Security%20Event%20Advisory">指出他們察覺網路環境出現可疑活動</a>，攻擊者的身分疑似與國家級駭客有關，並指出這起事故影響極少數遠端桌面軟體ScreenConnect用戶，他們已尋求資安業者Mandiant協助調查此事，並通知受到影響的用戶。</p> <p>在網路環境遭到入侵後，該公司加強監控並強化防護，並於4月24日發布ScreenConnect修補程式因應，並指出他們對於雲端版本的ScreenConnect實體套用後，就再也沒有出現可疑活動的跡象。</p> <p>針對這起事故，ConnectWise透露的資訊並不多，他們初步認為這並非勒索軟體攻擊，並未透露實際受害用戶規模，也沒公布攻擊者的身分，說法也很含糊，該公司提及4月24日的修補程式，不禁讓人懷疑是否間接透露當時修補的<a href="https://www.ithome.com.tw/news/168627">驗證方式不適當漏洞CVE-2025-3935</a>早就遭到利用？但這樣的猜測，顯然有待進一步的證據佐證。</p> <p>上述ConnectWise公告的內容廣泛引起資安新聞媒體的關注與報導，其中，有知情人士<a href="https://www.bleepingcomputer.com/news/security/connectwise-breached-in-cyberattack-linked-to-nation-state-hackers/">向資安新聞網站Bleeping Computer透露細節</a>，指出這起漏洞利用攻擊發生於去年8月，ConnectWise直到今年5月才察覺，這起事故的影響範圍，僅有雲端版ScreenConnect用戶，但該媒體無法確認這些說法的真實性。</p> <p>Bleeping Computer也取得代管服務業者CNWR的說法，指出這很可能是針對特定組織而來的目標式攻擊。他們也引述用戶在社交網站Reddit上的討論，認為這起事故顯然與CVE-2025-3935有關。</p> <p>針對這項一個多月前修補的資安漏洞，當時ConnectWise提到，攻擊者可透過ASP.NET的網頁表單，從事ViewState程式碼注入攻擊，CVSS風險評為8.1。值得留意的是，雖然利用這項漏洞必須取得額外的存取權限，但ConnectWise認為管理者必須以最優先層級進行處理，理由是當時該漏洞可能已經被駭客鎖定，而產生高度資安風險。</p> </div></div></div>
2025/6/3 14:48作者周峻佑https://www.ithome.com.tw/news/169337
杜浦數位安全揭露並修補端點防護程式高風險權限提升漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>5月下旬台灣電腦網路危機處理暨協調中心（TWCERT/CC）<a href="https://www.twcert.org.tw/tw/cp-132-10129-18ea3-1.html">發布資安公告</a>，指出杜浦數位安全（TeamT5）旗下的EDR系統ThreatSonar Anti-Ransomware存在權限提升漏洞CVE-2025-4477，攻擊者在取得中等權限的情況下，就能透過特定的API遠端將權限提升至最高管理員層級，影響3.8.0以前版本，呼籲用戶套用修補程式hotfix-250327，或是升級至3.8.1版因應，CVSS風險為7.2（4.0版為8.6分）。由於相關漏洞說明都引述TWCERT/CC的公告內容，並未提其他細節，對此，我們也向杜浦數位安全詢問，請他們回應此事。</p> <p>針對這項漏洞的發現，杜浦數位安全表示是他們的PSIRT團隊找到，此漏洞形成的原因源自於ThreatSonar的API參數檢查環節出現問題，使得攻擊者能用來調整使用者的權限等級。而攻擊者利用這項漏洞存在必要條件，就是事先需要取得可登入系統的中等權限用戶帳號。</p> <p>對於漏洞修補的處理情形，該公司表示在申請CVE編號前，他們就會通知客戶並採取修補作業。針對雲端服務主機的環境，PSIRT團隊已著手修補並確認是否有遭到利用的跡象；而對於在客戶內部環境建置的伺服器，他們也第一時間進行通知並提供相關說明，由技術支援團隊協助處理。</p> </div></div></div>
2025/6/3 15:46作者周峻佑https://www.ithome.com.tw/news/169339
高通修補GPU已被用於實際攻擊行動的零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>6月2日高通<a href="https://docs.qualcomm.com/product/publicresources/securitybulletin/june-2025-bulletin.html">發布本月例行更新</a>，總共修補18項弱點，其中有2項為重大層級、11項為高風險層級、5項為中度風險層級，值得留意的是，其中有3項漏洞CVE-2025-21479、CVE-2025-21480、CVE-2025-27038，已被用於針對數量有限的目標從事攻擊行動。</p> <p>這些已遭利用的資安漏洞，先後由Google旗下的Android資安團隊通報，皆與顯示晶片（GPU）有關，其中被列為重大層級的CVE-2025-21479、CVE-2025-21480，發生的原因都是不正確的授權，在執行特定命令的過程中，可能導致GPU微節點（Micronode）未經授權執行命令，從而出現記憶體中斷的現象，CVSS風險為8.6分（滿分10分）。</p> <p>第3個遭到利用的漏洞CVE-2025-27038為高風險層級，同樣也會造成記憶體中斷，此為記憶體釋放後再存取利用（Use After Free）漏洞，發生在Chrome運用Adreno GPU驅動程式渲染圖像的過程，風險值為7.5。</p> </div></div></div>
2025/6/3 17:09作者周峻佑https://www.ithome.com.tw/news/169342
FDA推出通用AI工具Elsa，可望加速審查流程
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.fda.gov/news-events/press-announcements/fda-launches-agency-wide-ai-tool-optimize-performance-american-people" target="_blank">美國食品藥物管理局（U.S. Food and Drug Administration, FDA）周一（6/2）宣布</a>，原本預計要在6月30日全面部署的生成式AI工具Elsa，已提前於本周上線，利用AI將該局的各種功能現代化。</p> <p>根據FDA的描述，Elsa是一種由大型語言模型所支援的AI工具，旨在協助閱讀、寫作與摘錄，能夠總結不良事件以支援安全性評估，執行更快速的標籤比較，以及生成程式碼，以協助開發非臨床應用的資料庫，相關功能都能夠在整個組織的範疇內改善營運效率。</p> <p>FDA局長Marty Makary表示，而FDA已經開始利用Elsa來加速臨床試驗方案的審查，縮短科學評估所需的時間，還能識別高優先級的檢查目標。有一名科學審查員使用了Elsa，在6分鐘內完成了原本需要花費2至3天的任務。</p> <p>FDA的AI長Jeremy Walsh則說，Elsa讓AI不再只是一個遙不可及的承諾，而是一股可用來強化及優化每位員工績效及潛力的動力。</p> <p>一般而言，一旦FDA收到藥物核准申請後，會在6至10個月中作出審查決定，Elsa的誕生可望加速此一流程。</p> <p>在安全性上，Elsa標榜建置於高安全性的GovCloud政府雲端環境中，讓FDA員工安全地存取內部檔案，同時確保所有資訊都保存於組織內。這些模型並不使用受監管產業所提交的資料進行訓練，以便保護FDA員工所處理的敏感研究與資料。</p> </div></div></div>
2025/6/3 15:29作者陳曉莉https://www.ithome.com.tw/news/169338
盤點7間零售巨頭法說會，靠物流能力發展電商是主旋律，還靠AI改善買家與賣家體驗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>來到6月，國外大型零售業者法說會陸續結束。iThome盤點7家零售業者法說會中，與數位通路、科技應用及AI創新的相關做法與戰略。其中，透過強化物流科技及實體建設，是這些巨頭用來強化電商規模的共通策略。AI應用方面，則包括利用AI和大數據來支援供應商，以及輔助個人化行銷等。</p> <h3><strong>Amazon重新設計商品入庫流程，單季一日內送達商品數創歷史新高</strong></h3> <p>2023年，<a href="https://www.ithome.com.tw/news/158195">將訂單履行從單一倉儲有可能送到全美目的地，改為更就近送達的模式後，</a>Amazon物流效率迎來一次大幅提升。不過，這只改了出貨流程，到了2025年第一季，Amazon才完成進貨流程的重新設計，因應新出貨模式，來儲存更多元的商品到個別倉庫中。這個做法，再次提高Amazon配送速度，並降低服務成本。在第一季，他們成功於一日內送達的商品數創了歷史新高。</p> <p>他們計畫，持續優化新入庫流程、擴展當日配送的物流站點，並在倉庫中增加機器人與自動化技術。不只如此，還要持續優化庫存配置，來提供更完整現貨商品選擇、縮短運輸距離、增加多件商品一起包裝的機會，進而加快配送速度。</p> <p>至於AI創新方面，Amazon僅再次強調前一季法說會中提到的，自家正在開發和使用1,000種以上的AI應用，但沒有進一步揭露更多細節。</p> <h3><strong>Etsy透過App強化顧客經營及資料蒐集，進一步支援用生成式AI來提升顧客體驗</strong></h3> <p>Etsy執行長Josh Silverman表示，如今自家目標是，透過更新、更好的使用者體驗來獲取更多、更優質的數據，來進一步各種AI模型，實現更深入的個人化，提升買家的參與度與使用頻率。</p> <p>在第一季，Etsy App上的買家轉換率有所提升，且交易金額表現優於行動版網站和桌面版網站等其他通路。目前，App交易金額已經占Etsy總交易金額的44.5%，創下歷史新高。Josh Silverman說，更易於瀏覽的設計，使顧客體驗提升，進而讓Etsy能更好蒐集顧客興趣、品味與習慣等資訊。這些資訊都可以用來訓練更聰明、更強大的大型語言模型（LLMs），以創造更吸引人且個人化的體驗。</p> <p>他們也打造新電商購物體驗，來嘗試蒐集更多面向的顧客資訊。例如，他們新增十多個依據商品使用情境來分的商品分類，例如送禮、參加婚禮等，來引導顧客用更多方法探索商品，進而了解更多顧客購物習慣。4月初，他們推出「探索導向購物體驗（Discovery Centric Shopping Experience）」，具體做法是，結合AI推薦與素材生成和電商團隊的商品策展能力，提供上千組供顧客探索的商品組合。接著，結合顧客瀏覽與購買紀錄，進行個人化推薦。根據A/B測試，這種個人化頁面的互動率，幾乎是非個人化頁面兩倍。</p> <p>其他生成式AI應用包括，利用生成式AI撰寫行銷文案，並利用ML機制來推播個人化電子郵件及推播。以及開始和OpenAI Operator、Microsoft Copilot等平臺合作，開始支援AI代理購物功能。</p> <h3><strong>eBay GenAI上架工具滿意度高，有利於快速增加海外市場商家</strong></h3> <p>eBay近一、兩年積極發展圖像處理類的AI與生成式AI，並不斷強化自動商品上架功能。在這一季，他們推出更多商品上架功能升級，例如自動圖片優化技術。並且，整合既有AI上架工具及產品知識圖譜等技術，對美國、英國與德國的所有C2C賣家，正式推出新的簡化版AI商品上架流程。</p> <p>此新版上架流程的客戶滿意度在各市場均超過90%，且對業績產生正面影響，且大幅提升新商家與重新活躍商家樹目。不只如此，上架流程完成率明顯增加，平均上架費時則顯著下降。平臺上的商品數，與每次商品上架的平均GMV，也都有顯著成長。</p> <p>eBay還揭露，批次上架工具Magical Bulk Listing Tool自從在美國正式開放B2C類別以來，成功縮短一半以上平均商品上架時間。</p> <h3><strong>Walmart持續強化供應鏈管理，投資智慧物流並支援供應商更多經營工具和大數據分析工具</strong></h3> <p>這次法說會中，Walmart CEO Doug McMillon宣布，慣於打造各式各樣科技平臺的他們，正持續打造並改善第三方市集用的經營平臺，以及第一、第三方供應商用的資料運用平臺Walmart Luminate，希望用這些平臺，使供應鏈更智慧、更靈活、更自動化。他還宣布，後者將開放給墨西哥與加拿大供應商使用。</p> <p>上次法說會中，他們提到有助於提升整體毛利率和電商成長率的智慧物流能力，這季仍是Walmart投資重點。這包括投資物流中心和門市的電商訂單履行設備。</p> <p>Doug McMillon還揭露，他們正在持續用AI打造新購物體驗，例如更多由生成式AI驅動的商品搜尋功能，讓顧客更直覺地購物。另外，Walmart先前推出的手機掃描購物功能Scan & Go，可以省去櫃臺結帳和離開時檢查商品的人事成本。儘管只有在20% Sam’s Club啟用，目前已經有三分之一會員會使用此功能。Walmart預計在年底前於全美分店啟用此技術。</p> <h3><strong>Costco也跟上Scan & Go做法，下一步要加強App數位會員行銷</strong></h3> <p>Costco在一兩周推出了效仿Walmart的Scan & Go做法。法說會中，Costco CEO Ron Vachris表示此做法受到會員大力擁抱，並有效加速門市消化人流。</p> <p>電商方面，Costco透過擴大投資Costco Logistics物流公司，有效提升大型商品運送量，並擴大了電商業務規模。</p> <p>另外，他們的會員已經有超過一半下載行動App。不過，其中有不少較年輕會員，會籍更新率較低。Costco下一步重點，是透過更有效地與這些數位會員互動，來鼓勵他們到實體門市購物、並提高續約率。</p> <h3><strong>Target電商訂單高達96%靠門市履行，會員帶來的當日配送訂單業績成長36%</strong></h3> <p>Target會員Target Circle 360的當日配送業績，Q1年增長高達36%。Target CEO Brian Cornell表示，這歸功於他們對於物流基礎建設升級。Target的電商訂單履行採取「門市即物流樞紐（Stores as Hubs）」模式，以門市為電商訂單履行中心，強調靠著差異化的門市商品選擇策略，加上門市與顧客地理接近性，來支援快物流。在第一季，Target顧客從點擊購買到商品送達的速度，年增率 20%。不只如此，已經有高達96%電商訂單配送從門市出發。</p> <p>另外，Target還宣布成立「企業加速辦公室（Enterprise Acceleration Office）」，由COO Michael Fiddelke領導，來支援跨部門協作，並推廣AI等新興科技應用。</p> <h3><strong>酷澎持續強化物流優勢，提升毛利率還拓展第三方市集規模</strong></h3> <p>一直以強大物流能力自豪的酷澎持續強化自動化揀貨、包裝和分類系統。酷澎財務長Gaurav Anand表示，酷澎Q1毛利年成長17%，以固定匯率計算則成長了 28%，一大要素是來自供應鏈管理技術優化，降低物流成本。不只如此，擴大替第三方供應商處理物流，降低數萬家小型商家成本和進入門檻，使酷澎第三方市集業務規模能持續擴大。</p> <p></p> </div></div></div>
2025/6/3 14:54作者郭又華https://www.ithome.com.tw/news/169332
針對遭殭屍網路AyySSHush利用的路由器漏洞，華碩針對這些資安弱點公告提出說明
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週威脅情報業者GrayNoise揭露鎖定華碩路由器而來的<a href="https://www.ithome.com.tw/news/169252">殭屍網路AyySSHush攻擊行動</a>，並指出過程當中駭客運用已知漏洞CVE-2023-39780與兩個未登記CVE編號的弱點，停用與趨勢科技合作的內建防護機制AiProtection，從而控制約9千臺路由器，引起各家資安媒體報導此事。</p> <p>但對於這些漏洞的處理情形，GrayNoise僅透露皆已修補，其中CVE-2023-39780是透過近期的韌體更新緩解，鮮少有媒體掌握、透露進一步的資訊，我們嘗試查詢華碩的資安公告網頁，但難以找到相關資料。為了找到更多資訊，我們聯繫華碩，請他們回應此事。</p> <p>華碩表示，針對CVE-2023-39780的部分，他們已在2023年對RT-AX55發布的3.0.0.4.386_51948版韌體當中完成修補。特別的是，該公司提及另有4個漏洞編號實際上也是CVE-2023-39780，分別是：CVE-2023-41345、CVE-2023-41346、CVE-2023-41347、CVE-2023-41348。為何出現同一個漏洞卻有好幾個CVE編號的情況？華碩的說法，是當時有不同的CVE核發單位（CNA）向美國網路安全暨基礎設施安全局（CISA），以及MITRE登錄，導致這樣的狀況發生。</p> <p>從美國國家漏洞資料庫（NVD）<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-39780">對於CVE-2023-39780的說明來看</a>，此漏洞為作業系統層級的命令注入漏洞，攻擊者可在通過身分驗證的情況下利用，CVSS風險評為8.8。值得一提的是，NVD也提及出現於4種模組的類似問題與CVE-2023-39780有關，分別被登記為CVE-2023-41345、CVE-2023-41346、CVE-2023-41347、CVE-2023-41348。</p> <p>而對於另外兩個沒有登記CVE編號的漏洞，華碩表示在今年4月1日發布的3.0.0.4.386_53119版韌體完成修補，他們在韌體更新公告提及做出了兩項改進：其中一項是加強輸入參數的處理方式，從而改良資料處理的穩定性與系統安全；另一項則是加強系統存取控制的機制。</p> <p>不過，對於GrayNoise提及另外兩款也遭到鎖定的機種RT-AC3100、RT-AC3200，是否已對上述漏洞進行修補，華碩並未做出說明。</p> <p>附帶一提的是，華碩也對駭客關閉AiProtection的情況提出說明，指出原因是使用者使用了弱密碼，他們也將強制用戶設置10個字元長度的密碼，防範暴力破解攻擊，這項政策將從6月開始實施。</p> </div></div></div>
2025/6/3 11:51作者周峻佑https://www.ithome.com.tw/news/169322
Snowflake將收購PostgreSQL業者Crunchy Data
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國AI資料雲端服務供應商<a href="https://www.businesswire.com/news/home/20250602455530/en/Snowflake-Acquires-Crunchy-Data-to-Bring-Enterprise-Ready-Postgres-Offering-to-the-AI-Data-Cloud" target="_blank">Snowflake周一（6/2）宣布</a>，有意收購開源資料庫PostgreSQL（Postgres）服務供應商Crunchy Data，進一步強化其在AI應用開發領域的布局。<a href="https://www.wsj.com/articles/snowflake-to-buy-crunchy-data-for-250-million-233543ab?st=86em7q&reflink=desktopwebshare_permalink" target="_blank">根據華爾街日報（Wall Street Journal，WSJ）的報導</a>，此一交易價值2.5億美元。</p> <p>Snowflake成立於2012年，提供跨雲端的資料倉儲與分析平臺，支援Amazon Web Services、Microsoft Azure和Google Cloud等主要雲端服務。該公司於2020年上市，<a href="https://investors.snowflake.com/news/news-details/2025/Snowflake-Reports-Financial-Results-for-the-First-Quarter-of-Fiscal-2026/default.aspx" target="_blank">截至今年4月30日的2026財年第一季的營收</a>為9.97億美元，成長26%，虧損4.3億美元，高於去年同期的3.2億美元虧損。</p> <p>Crunchy Data則成立於2012年，專注於提供企業級的PostgreSQL解決方案，協助政府機構、金融機構和大型企業在不需自行管理基礎設施的情況下，部署和維護高安全性、高可用性的開源資料庫。該公司目前擁有約100名員工，並提供包括Crunchy Bridge（雲端託管服務）與Crunchy Postgres for Kubernetes（容器化部署）等產品。</p> <p>雙方合併後將把Crunchy Data的技術整合進Snowflake的AI Data Cloud，推出名為Snowflake Postgres的新產品，提供開發者一個企業級、支援AI應用的PostgreSQL平臺。這將簡化開發者於Snowflake平臺上建構、部署和擴展AI應用的流程，特別是在處理需要高度安全性與合規性的任務時。</p> <p>這項交易預計於未來數周內完成，並需經過監管機構的批准。之後Crunchy Data的團隊將加入Snowflake，持續支援現有客戶，並推動Snowflake Postgres的發展。此舉也反映出Snowflake與競爭對手Databricks等公司在AI應用領域的激烈競爭，後者日前也<a href="https://www.ithome.com.tw/news/168961" target="_blank">以10億美元收購了類似的資料庫新創公司Neon</a>。</p> <p>隨著企業對AI解決方案需求的增加，Snowflake此次收購將有助於其在這一快速成長的市場中鞏固地位，並為開發者提供更強大的工具，開發和部署下一代的AI應用。</p> </div></div></div>
2025/6/3 14:05作者陳曉莉https://www.ithome.com.tw/news/169327
美國Google Wallet本月將停止支援PayPal
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.google.com/wallet/answer/12060039" target="_blank">Google近日更新了</a>美國Google Wallet對PayPal的支援，表示從今年的4月11日起，美國用戶已無法再於Google Wallet程式中整合PayPal帳戶，而自6月13日起，就算已於Google Wallet中連結PayPal，也不能再以PayPal付款，Google Wallet也會自動移除該關聯的PayPal帳戶，但依然支援PayPal簽帳卡。未來將僅剩德國市場的Google Wallet還支援PayPal。</p> <p>Google Wallet是Google所開發的數位錢包服務，讓用戶可以將實體錢包中的卡片與票券數位化並集中管理，它允許使用者註冊各種信用卡、簽帳卡或PayPal簽帳卡，以於實體或網路商店中付款；還能加入登機證、火車票、各種活動的門票、會員卡、禮物卡、識別證、身分證及數位駕照等票券或身分資訊以集中管理。</p> <p>而Google是<a href="https://android-developers.googleblog.com/2014/05/helping-you-go-global-with-more.html" target="_blank">在2014年開始</a>讓Google Wallet於12個國家支援PayPal，包括美國、加拿大、德國、法國、英國、奧地利、比利時、芬蘭、愛爾蘭、義大利、荷蘭與西班牙，不確定是在什麼時候開始陸續關閉於各國對PayPal的支援，如今只剩下美國與德國的Google Wallet還可使用PayPal服務，而美國服務也將在6月13日終止。</p> <p>此一舉動只是不再讓Google Wallet透過PayPal帳戶付款，但還是可以支援實體的PayPal簽帳卡。</p> <p>Google並未特別說明解除Google Wallet與PayPal關係的原因。</p> </div></div></div>
2025/6/3 14:14作者陳曉莉https://www.ithome.com.tw/news/169330
微軟、CrowdStrike合作發展對照表對應各自的駭客命名
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了解決不同安全研究機構以不同命名指稱同一駭客組織造成的混淆，<a href="https://www.microsoft.com/en-us/security/blog/2025/06/02/announcing-a-new-strategic-collaboration-to-bring-clarity-to-threat-actor-naming/" target="_blank">微軟、CrowdStrike宣布合作發展參照指引</a>，方便網路攻擊與防禦資訊更快速分享。</p> <p>由於過去資安社群之間並沒有為駭客統一命名的規定，因此出現同一個駭客組織，微軟稱為Midnight Blizzard，別人稱為Cozy Bear、APT 29或UNC2452。這種命名不一致造成資安資訊流通阻礙，也減緩攻擊回應速度。</p> <p>為此微軟和CrowdStrike公布第一版參照指引，作為雙方駭客組織命名的對照。這份指引包含微軟和CrowdStrike追蹤的共通行為者（如駭客組織）的清單，以及各自如何分類，並且將彼此的分類建立參照。例如微軟列出駭客組織的名稱後，列出其來源國家，再列出其他人對這組織的命名。例如北韓的Diamond Sleet，別家業者的稱呼包括ZINC、Labyrinth Cholima、Black Artemis和Lazarus。</p> <p class="rtecenter"><a href="https://learn.microsoft.com/en-us/unified-secops-platform/microsoft-threat-actor-naming" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0603-Microsoft%20and%20CrowdStrik-threat%20actor%20mapping-2.png" style="width: 600px;" /></a></p> <p>雙方表示，這參照指引並不是要建立單一命名共通標準，而是希望起頭帶動業界不同命名系統相互「翻譯」，使資安防禦運作更快速，尤其對那些需要整合多家廠商提供網路攻擊資訊的環境中。透過彼此命名的參照，可更有效辨識攻擊者、簡化多平臺和報表的關聯，以及加速建立防禦工事。</p> <p>除了微軟和CrowdStrike率先合作溝通命名，Google/Mandiant和Palo Alto Networks Unit 42未來也會加入。</p> </div></div></div>
2025/6/3 11:55作者林妍溱https://www.ithome.com.tw/news/169323
微軟Bing提供以Sora為基礎但免費的影片生成工具
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>想用OpenAI的影片生成模型Sora需要花錢，<a href="https://blogs.bing.com/search/June-2025/Introducing-Bing-Video-Creator" target="_blank">現在微軟提供</a>以Sora為基礎的Bing Video Creator，只要下載Bing手機版App就能免費使用。</p> <p>Bing Video Creator是以Sora為基礎的生成式AI工具，可將用戶輸入文字提示轉成影片。現在Bing Video Creator已部署到Bing App，全球除了中國及俄羅斯以外的用戶都能免費使用。習慣使用Web/PC的用戶，可以稍等一陣子，等Bing Video Creator部署到桌機版後，即可造訪bing.com/create使用本功能。</p> <p>使用Bing Video Creator每次可生成長5秒的9:16比例影片，之後Bing Video Creator會支援16:9比例格式。使用者一次可依序生成3段影片，超過3段影片者，需等前面任務消化掉再執行新任務。</p> <p>使用Bing Video Creator可選擇快或標準速度模式。一開始可免費以快速模式在幾秒內生成10次影片，之後就會降為標準速度。用戶也可以以Microsoft Rewards 100點兌換一次快速生成。</p> <p>影片生成後，Bing Video Creator會發送通知，用戶可選擇下載、以郵件或偏好的社群平臺分享，或是分享影片連結。所有生成的影片可保留90天。</p> <p>這也是Bing搜尋自<a href="https://www.ithome.com.tw/news/156055" target="_blank">Bing Image Creator</a>及Copilot Search in Bing後，加入最新的AI功能。</p> </div></div></div>
2025/6/3 10:55作者林妍溱https://www.ithome.com.tw/news/169320
xAI打算同時透過要約收購、融資及債券發行來籌資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ft.com/content/703e93f1-28bf-4890-8c9c-141bf81dd206" target="_blank">英國金融時報（Financial Times，FT）周二（6/3）引述消息來源報導</a>，馬斯克（Elon Musk）旗下的AI新創xAI準備進行公開收購要約（Tender Offer），允許員工出售價值3億美元的xAI股票，接著還會展開更大規模的融資，出售新股票予外部投資者<a href="https://www.bloomberg.com/news/articles/2025-06-02/musk-s-xai-launches-5-billion-debt-sale-through-morgan-stanley?embedded-checkout=true" target="_blank">；同一天彭博社（Bloomberg）則說</a>，xAI已委託摩根史坦利（Morgan Stanley）發行50億美元的債券，於本周一（6/2）正式啟動，截止日期為6月17日。</p> <p>根據FT的報導，讓現有xAI員工出售股份的要約收購，是以1,130億美元的估計來計算，這是<a href="https://www.ithome.com.tw/news/168140" target="_blank">xAI收購X社交平臺</a>之後的合併價值。</p> <p>而且除了要約收購之外，xAI也計畫要進行規模更大的融資活動，向外部股東提供新股權，惟規模不明。</p> <p>另一方面，彭博社則報導，摩根史坦利正在以兩位數的利率替xAI融資，規模為50億美元，資金將用於一般公司用途，而且外界有興趣投資的金額已超過35億美元。</p> <p>市場分析指出，允許員工轉讓股票將有助於員工或早期投資者變現，有助於留住人才；發行新股進行融資可增加資本並支持公司的高速擴張與估值；而債券發行則能在不稀釋股權的前提下取得資金，屬於一種策略性的資本布局，得以保持資金的彈性與多元性。</p> <p>不過，不管是xAI或摩根史坦利都尚未針對相關報導作出評論。</p> </div></div></div>
2025/6/3 11:17作者陳曉莉https://www.ithome.com.tw/news/169321
蘋果傳下一代macOS將命名為Tahoe、所有OS版本統一
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果開發者大會WWDC 2025將在下周一（6/9）登場，<a href="https://www.bloomberg.com/news/newsletters/2025-06-01/apple-s-wwdc-2025-plan-macos-tahoe-apple-intelligence-ai-ios-26-games-app-mbdlzqpz" target="_blank">彭博報導</a>，下一代macOS將命名為Tahoe，且版本將由現行macOS 15直升26。</p> <p>報導指出，下一代macOS命名仍沿襲使用加州地名。從macOS 10開始，蘋果分別使用過Yosemite、El Capitan、Sierra、High Sierra、Mojave、Catalina、Big Sur、Monterey、Ventura、Sonoma和Sequoia等名稱。</p> <p>最新的Tahoe來自北加州著名度假勝地太浩湖（Lake Tahoe）。報導指出，太浩湖以倒映周遭風景的湛藍湖水聞名，命名Tahoe是暗喻下一代macOS全新設計「玻璃」質感的使用者介面，以及半透明的視窗、按鍵和圖示視覺元素。</p> <p>此外，<a href="https://www.bloomberg.com/news/articles/2025-05-28/apple-to-rebrand-device-operating-systems-ios-26-macos-26-watchos-26" target="_blank">彭博上周報導</a>，蘋果計畫改變各平臺OS版本不一致的現狀，像是現行OS名稱各為iOS/iPadOS/tvOS 18、macOS 15、watchOS 11、visionOS 2。在WWDC上，不論是macOS、iOS正式名稱都將改為26版，而非先前市場猜測的macOS 16或iOS 19。</p> <p>報導指出，macOS 26 Tahoe將只支援MacBook Pro 2019、M1-based MacBook Air、iMac 2020、Mac Pro 2019、M1-based Mac mini及其以後機種，以及Mac Studio全系列。這意謂舊版Mac電腦將無法執行Tahoe。</p> </div></div></div>
2025/6/3 09:46作者林妍溱https://www.ithome.com.tw/news/169319
合規改善不符要求，Chrome將從8月起停止預設信任中華電信TLS新憑證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google在公開論壇中宣布Chrome瀏覽器預設信任將祭出新的措施，考量到兩家CA業者中華電信及Netlock合規改善未符要求，可靠性信心下降，將從Chrome 139開始，移除對中華電信今年8月之後核發的新TLS憑證的信任，至於7月31日及之前的憑證則不受影響。Chrome瀏覽器信任政策祭出處罰，引發外界對中華電信及其受委託發行憑證的信心危機，對此，中華電信對Google的新措施表達遺憾，並說明原因為未在Goole要求時限內改善，重申所發行的憑證安全無虞，並已完成調整，將爭取明年回復Chrome瀏覽器信任。</p> <p><a href="https://security.googleblog.com/2025/05/sustaining-digital-certificate-security-chrome-root-store-changes.html">根據Google在安全部落格的說明</a>，依據Chrome根憑證計畫政策，Chrome root store中的CA憑證授權單位必需為Chrome使用者提供價值大於其帶來的風險，其他考量的因素包括CA擁有者揭露、回應事件，當發生問題時，Google期望CA擁有者承諾進行有意義且可被證明的改善。</p> <p>Google指出，CA為網站與瀏覽器間的加密連線提供支援，在網路上扮演受信任的角色，因此必需遵守安全共識及合規的要求，包括CA/Browser論壇的TLS標準合規要求，從過去一年或幾個月觀察到，兩家CA授權單位合規性不達標，且承諾改進未符合要求，對於公開披露的事件報告缺乏實際且可被衡量的作為，可靠性信心下降，侵害到CA業者因公眾信任而在Chrome瀏覽器預設信任的信心，為確保Chrome使用者的安全及Chrome root store完整性而採取新措施。</p> <p>從Chrome 139及後續版本開始，TLS伺服器憑證驗證，其最早的SCT(Signed Certificate Timestamp)日期為2025年7月31日晚上11:59:59 UTC之後，將預設不再被信任。至於TLS伺服器驗證憑證，最早SCT在2025年7月31日晚上11:59:59 UTC或之前，則不受影響。</p> <p>新措施在8月實施後，影響包括Windows、macOS、ChromeOS、Android、Linux平臺上的Chrome 139及後續版本，Chrome將無法瀏覽採用兩家CA新憑證的網站，至於iOS平臺方面，因為Apple政策的限制，iOS 版Chrome瀏覽器不受影響。</p> <p>Google會依先前公布的Chrome功能，基於SCT時間來刪除瀏覽器對憑證的預設信任，以降低對訂閱者的干擾。但是，Chrome使用者和企業可透過明確信任憑證的設定，覆寫上述基於SCT的限制，使憑證仍能正常運作。</p> <p>為降低新的Chrome憑證預設信任政策影響，Google建議網站維運單位可以瀏覽器憑證檢視器先一步確認網站是否受影響，Google建議受影響的網站維運管理單位儘早遷移其他受信任的CA核發的憑證。此外，從Chrome 128開始新增命令列，允許使用者模型SCTNotAfter的不信任限制效果。</p> <p><span style="color:#B22222;"><strong>中華電信表達遺憾，爭取回復Chrome預設信任</strong></span></p> <p>對於Google新的Chrome瀏覽器將從8月起不再信任中華電信核發的新TLS憑證，中華電信也立即發表聲明，對Google的新措施表達遺憾，該公司解釋Chrome 139之後版本刪除瀏覽器預設信任中華電信新憑證的原因是，部分程序未能在Chrome新政策要求時限內調整完成，儘管日前中華電信已完成調整且符合Chrome新政策的要求，Google仍決定先移除Chrome預設信任，移除的原因並非因為憑證有漏洞或私鑰洩漏，仍會爭取回復預設信任，預計於2026年3月完成。</p> <p>中華電信並未詳細說明中間的過程，僅說明受影響的憑證為2025年7月31日之後發行的新憑證，7月31日之前發行的憑證不受影響，影響的是Chrome瀏覽器，微軟等其他瀏覽器則未受影響。</p> <p>該公司也強調中華電信及受委託營運的公開服務的憑證管理中心，符合電子簽章法規範，且通過WebTrust for CA及ISO 27001，提供的數位簽章具法律效力，請使用者安心；另外，該公司也強調所簽發的憑證完全合法合規，在政府、金融、證券、數位簽章等領域維持正常使用，不受影響。</p> <p><strong>數發部：3月已提前因應，推動雙憑證機制改善政府網站使用穩定性</strong></p> <p>對於中華電信的TLS憑證將被移除Chrome瀏覽器預設信任，數發部也在周一晚間發出新聞稿，指在今年3月已掌握情資，提前準備因應，在今年3月起啟動政府網站雙憑證機制，採用符合公開信任根憑證標準的本地憑證機構所簽發的憑證，確保當特定憑證被瀏覽器移除預設信任，仍可以替代的憑證運作，使政府機關網站在各瀏覽器均能正常瀏覽，政府公共服務的穩定度及可信度。</p> <p>數發部指出，因Chrome的信任政策調整是針對2025年8月1日後的新憑證，因此政府TLS憑證中心(GTLSCA)先前發的網站憑證，在1年效期內仍可正常使用，並未受到此次調整的影響。</p> <p>至於可能受到影響的公務機關網站，數發部提供技術支援、作業指引，輔導機關完成系統設定及相容性測試，以避免不同機關間的技術落差，致使公共服務無法使用，引發外界的誤會，影響對政府數位治理的信任。</p> </div></div></div>
2025/6/3 06:15作者蘇文彬https://www.ithome.com.tw/news/169318
【資安日報】6月2日，新型態瀏覽器中間人攻擊手法濫用全螢幕隱匿意圖
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客架設遠端瀏覽器來發動瀏覽器中間人攻擊（Browser in the Middle，BitM），藉由在使用者存取網路應用程式的過程裡，不知不覺地挾持用戶的帳號，但如今有研究人員揭露改良版的攻擊手法，使用者恐更難察覺。</p> <p>資安業者SquareX指出，一般的BitM攻擊有機會從網址列察覺，但若是攻擊者搭配瀏覽器全螢幕瀏覽的API，就更有機會騙過使用者而得逞。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169287"><strong style="font-size: 22px;">研究人員揭露新的Browser in the Middle攻擊竊密手法，Chrome、Edge、Safari都曝險</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/0_igAqDT1eHXmtZRHG.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0_igAqDT1eHXmtZRHG.png" style="width: 300px; float: right;" /></a>資安業者SquareX揭露新的Browser in the Middle（BitM）攻擊手法，可讓駭客暗中竊取用戶帳密或其他資料，主要瀏覽器Chrome、Edge、Safari的用戶，皆可能受害。</p> <p>研究人員指出，過往的BitM存在破綻，那就是會在瀏覽器顯示惡意網址，若是攻擊者搭配全螢幕顯示的API，就有可能隱藏網址列，降低惡意網址被察覺的機會。由於現行的API並未指定觸發全螢幕顯示的方法，假若攻擊者在冒牌登入視窗加入按鍵，並在按鍵加入觸發全螢幕API的功能，一旦使用者按下按鈕，瀏覽器就會進入全螢幕模式，而能讓攻擊者隱藏BitM活動。</p> <p>這種手法對於大部分的瀏覽器都可能造成影響，其中，Safari用戶的風險最高，原因是該瀏覽器觸發全螢幕的過程，完全不會顯示相關訊息。至於Chrome、Edge等以Chromium為基礎的瀏覽器（以及Firefox瀏覽器）雖然會出現警示訊息，但大約只會維持數秒，若是攻擊者再搭配深色背景，就可能會被使用者忽略。</p> <p><a href="https://www.ithome.com.tw/news/169292"><strong style="font-size: 22px;">時尚業者Victoria’s Secret遭遇網路攻擊，網站一度離線</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Victoria-s-secret-website.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Victoria-s-secret-website.png" style="width: 300px; float: right;" /></a></p> <p>從4月底至5月上旬，英國多家零售業者瑪莎百貨（Marks & Spencer，M&S）、連鎖超市Co-op、精品百貨公司哈洛德（Harrods）接連傳出遭到網路攻擊，如今這種針對零售業的攻擊行動，也針對流行時尚品牌而來。</p> <p>根據Bleeping Computer、Dark Reading、HackRead、SecurityAffairs等多家媒體報導，5月29日美國女性內衣品牌維多利亞的秘密（Victoria's Secret）網站出現服務中斷的情況，該公司在網站表示遭遇資安事故，正著手確認及採取因應措施，為了防範事態擴大，他們暫時將網站離線，以及暫停部分網路商店服務。至於維多利亞的秘密與Pink的實體門市，仍會持續營業並提供相關服務。</p> <p>對於資安事故的性質、影響的範圍，以及是否有資料外洩的情況，維多利亞的秘密並未進一步說明。有客戶在社群網站X抱怨，28日該公司網站已關閉2天，她無法查詢訂單，打客服電話也無人回應。</p> <p><a href="https://www.ithome.com.tw/news/169308"><strong style="font-size: 22px;">資安業者SentinelOne驚傳營運中斷，波及MDR代管及威脅情資接收</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/feb3dda7c173035c.jpeg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/feb3dda7c173035c.jpeg" style="width: 300px; float: right;" /></a></p> <p>根據新聞網站BankInfoSecurity的報導，世界協調時間（UTC）5月29日下午2時資安業者SentinelOne傳出多項服務出現中斷的情況，許多IT人員於社交網站Reddit反映此事，當時追蹤此事的資安專家Kevin Beaumont指出，除了該公司的網站之外，端點防護、XDR、雲端防護、身分識別、威脅情資、弱點管理等10項服務，皆出現異常。</p> <p>大約事發6個小時後，SentinelOne證實服務中斷的情況，表示全球客戶都受到影響，他們正著手處理。SentinelOne指出，造成事故的原因在於，他們著手將正式系統過渡到新的雲端架構，此系統改採基礎設施即程式碼（Infrastructure-as-Code，IaC）的策略打造。誤刪路由發生在其中一個即將汰除的控制系統，當此系統觸發建立新帳號的事件引發軟體缺陷，導致此系統的組態比對功能出錯，覆寫原本建立的網路設定，引入了完全空白的路由表，導致後端的雲端服務連線異常，用戶也無法存取管理主控臺。</p> <p><a href="https://www.ithome.com.tw/news/169271"><strong style="font-size: 22px;">資料供應商LexisNexis資料外洩，影響逾36萬用戶</strong></a></p> <p>法律和商業資訊服務提供商LexisNexis通報，去年底36.5萬名用戶個資經由公司使用的GitHub外洩。</p> <p>LexisNexis向緬因州檢察長辦公室通報此事，並在5月中旬發信通知受影響的用戶。去年12月25日，未經授權人士從該公司使用的軟體開發平臺存取LexisNexis的一批資料，LexisNexis於2025年4月1日獲知此事，受影響人數達364,333位。經過調查，這批資料可能包含姓名、電話、住家或電子郵件信箱等聯絡資料、駕照、生日、社會安全號等。不過這批資料不含信用卡或財務資訊。</p> <p>LexisNexis向媒體BleepingComputer透露，此開發平臺為GitHub。這起事件中，LexisNexis本身系統並未遭存取。至於駭客如何從GitHub取得該公司，檔案，目前仍不清楚。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/cybercriminals-exploit-ai-hype-to-spread-ransomware-malware/">提供AI工具成駭客偏好誘餌，多款勒索軟體藉此管道散布</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/connectwise-breached-in-cyberattack-linked-to-nation-state-hackers/">軟體供應商ConnectWise遭遇網路攻擊，疑國家級駭客所為</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/threat-actor-tiktok-breach-428-million-records-sale/">抖音傳出資料外洩，駭客兜售逾4億筆記錄</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/chinese-phishing-service-haozi-criminal-profits/">中國網釣平臺「耗子」捲土重來，號稱買家無須寫程式碼就能犯案</a></strong></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/software/mozilla-releases-firefox-13901-update-to-fix-artifacts-on-nvidia-gpus/">Mozilla發布Firefox 139.0.1更新，修補Nvidia顯示晶片弱點</a></strong></p> <p></p> <p> </p> <h3><strong>【資安防禦措施】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169290"><strong style="font-size: 22px;">終局執法行動出現新進展，惡意軟體地下檢測服務AVCheck被查封</strong></a></p> <p></p> <p><a href="https://s4.itho.me/sites/default/files/images/web_seizures.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/web_seizures.png" style="width: 300px; float: right;" /></a></p> <p>荷蘭警方及美國司法部（DOJ）日前宣布，已共同關閉了被駭客用來對抗防毒軟體的關鍵服務AVCheck。</p> <p>AVCheck是個專為網路犯罪份子設計的反防毒（Counter Antivirus，CAV）服務，提供惡意軟體開發者測試其程式是否能被主流防毒軟體偵測到。它允許註冊用戶上傳檔案，並在26種防毒引擎上進行掃描，還能檢查網域名稱或IP位址是否已被安全系統標記或封鎖。</p> <p>國際警方在5月27日接管AVCheck.net，關閉伺服器並扣押使用者資料庫。美國司法部表示，破獲AVCheck是執法行動Operation Endgame的一部分，此行動鎖定於瓦解惡意程式網路犯罪服務，上個月國際警方亦攜手破壞7個殭屍網路，查封300臺伺服器及650個網域。</p> <p><a href="https://www.ithome.com.tw/news/169291"><strong style="font-size: 22px;">美國制裁專門提供詐騙基礎設施的菲律賓公司Funnull</strong></a></p> <p>5月29日美國財政部外國資產控制辦公室（OFAC）宣布制裁總部位於菲律賓的Funnull公司，以及管理Funnull的中國公民Liu Lizhi。原因是Funnull提供基礎設施給數十萬個專門從事虛擬貨幣詐騙的網站使用。其中，美國受害者估計損失超過2億美元。</p> <p>Funnull向AWS或Azure等主要雲端服務供應商購買大量IP位址，再將這些資源轉售給網路犯罪集團。Funnull使用網域生成演算法來快速生成大量的網域名稱，還提供網站設計範本，協助詐騙者快速建立看似合法的投資平臺，以提高詐騙的可信度。</p> <p>根據FBI的調查，自2023年10月至2025年4月，Funnull設定了548組網站別名（CNAME），它們被應用在全球超過33.2萬個獨立的網域名稱中。這些使用Funnull基礎設施的網域，常會在同一天或相近時間內集體更換IP位址，展現出一致且自動化的操作模式。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169261"><strong>【5月29日】未及時修補已知漏洞釀禍，大量華碩路由器遭殭屍網路AyySSHush綁架</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169238"><strong>【5月28日】新興駭客針對歐美國家下手，為俄羅斯政府從事網路間諜活動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169199"><strong>【5月27日】駭客於臺灣等70個國家挾持逾2千臺伺服器架設殭屍網路</strong></a></p> </div></div></div>
2025/6/2 17:22作者周峻佑https://www.ithome.com.tw/news/169309
資安業者SentinelOne驚傳營運中斷，波及MDR代管及威脅情資接收
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年<a href="https://www.ithome.com.tw/news/164030">7月19日</a>CrowdStrike的EDR系統更新出錯，導致不少用戶反映Windows電腦出現當機的現象，當天凌晨微軟也發生服務停擺的狀況，據傳也與CrowdStrike有關。<a href="https://www.ithome.com.tw/article/164883">此次事故引發全球IT大當機的現象</a>，影響醫療、航空服務、媒體、鐵路運輸、緊急救護的運作，後續該公司還獲頒<a href="https://www.ithome.com.tw/news/164446">Pwnie Awards史詩級失敗獎項</a>。因此，資安業者提供的服務一旦出現異常，很容易引起用戶高度關注，質疑自己是否因此曝露在缺乏相關防護的資安風險。</p> <p>根據<a href="https://www.bankinfosecurity.com/cybersecurity-firm-sentinelone-suffers-major-outage-a-28554">新聞網站BankInfoSecurity的報導</a>，世界協調時間（UTC）5月29日下午2時資安業者SentinelOne傳出多項服務出現中斷的情況，許多IT人員於社交網站Reddit反映此事，當時<a href="https://cyberplace.social/@GossiTheDog/114591691458338569">追蹤此事的資安專家Kevin Beaumont指出</a>，除了該公司的網站之外，端點防護、XDR、雲端防護、身分識別、威脅情資、弱點管理等10項服務，<a href="https://cyberplace.social/@GossiTheDog/114592137126208094">皆出現異常</a>。</p> <p>大約事發6個小時後，<a href="https://www.sentinelone.com/blog/update-on-may-29-outage/">SentinelOne證實服務中斷的情況</a>，表示全球客戶都受到影響，他們正著手處理。而對於這起事故的影響範圍，該公司指出，端點防護用戶仍受到保護，但代管事件回應服務將無法監控相關動態，威脅資料的報告將會延遲，但並未遺失。</p> <p>究竟這起事故發生的原因為何？SentinelOne表示是內部自動化作業出錯造成，而非資安事故。</p> <p>後續該公司更新部落格文章進一步說明整起事故的發生經過，他們指出，大約在1時37分，基礎架構控制系統的軟體缺陷觸發了自動化功能，移除關鍵網路的路由釀禍，後續於1時55分開始接獲客戶的通報。</p> <p>SentinelOne指出，造成事故的原因在於，他們著手將正式系統過渡到新的雲端架構，此系統改採基礎設施即程式碼（Infrastructure-as-Code，IaC）的策略打造。誤刪路由發生在其中一個即將汰除的控制系統，當此系統觸發建立新帳號的事件引發軟體缺陷，導致此系統的組態比對功能出錯，覆寫原本建立的網路設定，引入了完全空白的路由表。</p> <p>該公司於世界標準時間29日晚間7時41分恢復用戶的主控臺運作，並表示將持續確認所有服務是否正常運作。30日上午10時，所有的服務完全恢復正常，該公司亦確認威脅偵測與回應服務能正常運作。</p> </div></div></div>
2025/6/2 17:08作者周峻佑https://www.ithome.com.tw/news/169308
行政院將設AI公務人才發展辦公室，加速公部門AI人才培育
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>政府推動智慧國家2.0，包括將大力推動公部門的AI人才培育工作，行政院人事行政總處及數發部將共同成立「AI公務人才發展辦公室」，以任務編組的方式，跨部協調及資源整合，推動公部門的AI人才教育。</p> <p>行政院在去年6月就核定通過人事行政總處提出的「提升行政院公務人員人工智慧知能實施計畫」，在該計畫中，跨部會合作培育公部門AI人才，例如人事行政總處去年即針對政府中高階、一般業務人才推廣AI課程，加強中央及地方政府的公務人員的AI知能發展及應用，數發部則推動公部門資訊及資安人才；公部門以外，教育部培養學校的AI人才，經濟部則培養產業的AI人才，以及產業AI化、AI產業化，國科會則負責AI相關科研計畫，培養研究人才。</p> <p>行政院人事行政總處公務人力發展學院副院長廖英掌表示，為達成公務機關AI人才養成有基層、中階、高階3個目標，在基層希望達成的目標是提升行政效能，其次在中階方面提供創新公共服務，而在高階方面希望達到優化政府治理。由上而下推動共識，由下而上推動應用，以推動公部門的AI創新應用，透過公部門的AI導入，帶動AI百工百業的發展。</p> <p>在公務機關的高階管理人才方面，廖英掌指出，包括部會首長、副首長，二級機關司處長、三級機關首長、副首長，推動AI治理共識，2024年7月至10月之間，已有4個場次、共611人受訓；在中階人才方面，推動科長級以上AI發想及推動機關應用的種子人才，發想政府公共機關的AI應用；在基階人才方面，透過數位學習、實體課程培訓，推廣基層及各階級公務人員的AI知能提升，其中數位課程已達到約46萬人次選讀，實體課程已舉辦98班期，超過4千8百人結訓。</p> <p>除了數位學習及實體學習課程之外，人事行政總處希望的公部門AI人才培育策略是，建立社群，促進交流，並且建構環境，以催生AI應用，建立人才養成的生態系。今年總統盃黑客松競賽將會設立公部門AI創新應用的特別獎項，「希望激發公部門的AI應用發想，並希望透過公私協力，達成加速催生政府機關AI應用落地，廣發英雄帖」，廖英掌說。</p> <p>展望今年2025年，國科會補助計畫「114年AI政府領航人才發展計畫」，今年內將由人事行政總處及數發部共同設立跨部會的「AI公務人才發展辦公室」，就培訓體系建立、AI人才儲備、充實學習資源、應用場域規畫4個面向推動。</p> <p>廖英掌表示，2025年為先期規畫，2026年至2030年將會逐年落實（下圖，來源：人事行政總處），包括完備公部門AI學習地圖及建立能力認證體系、標準化教材，同時也會打造新的AI化學習平臺，建置AI應用展示場域，至於儲備AI人才方面，包括900人的AI種子人才、180人AI種子師資。臺灣也會參與國際獎項、國際會議，促進與國際的交流。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%96-600(20).jpg" style="width: 600px; height: 320px;" /></p> </div></div></div>
2025/6/2 17:37作者蘇文彬https://www.ithome.com.tw/news/169310
時尚業者Victoria’s Secret遭遇網路攻擊，網站一度離線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從4月底至5月上旬，英國多家零售業者瑪莎百貨（Marks & Spencer，M&S）、連鎖超市Co-op、精品百貨公司哈洛德（Harrods）<a href="https://www.ithome.com.tw/news/168799">接連傳出遭到網路攻擊</a>，如今這種針對零售業的攻擊行動，也針對流行時尚品牌而來。</p> <p>根據<a href="https://www.bleepingcomputer.com/news/security/victorias-secret-takes-down-website-after-security-incident/">Bleeping Computer</a>、<a href="https://www.darkreading.com/endpoint-security/victoria-secret-website-security-incident">Dark Reading</a>、<a href="https://hackread.com/victorias-secret-website-down-security-incident/">HackRead</a>、<a href="https://securityaffairs.com/178432/hacking/victorias-secrets-website-offline-following-a-cyberattack.html">SecurityAffairs</a>等多家媒體報導，5月29日美國女性內衣品牌維多利亞的秘密（Victoria's Secret）網站出現服務中斷的情況，該公司在網站表示遭遇資安事故，正著手確認及採取因應措施，為了防範事態擴大，他們暫時將網站離線，以及暫停部分網路商店服務。至於維多利亞的秘密與Pink的實體門市，仍會持續營業並提供相關服務。</p> <p>對於資安事故的性質、影響的範圍，以及是否有資料外洩的情況，維多利亞的秘密並未進一步說明。有客戶<a href="https://x.com/AnnaGriswold/status/1927436057798447342">在社群網站X抱怨</a>，28日該公司網站已關閉2天，她無法查詢訂單，打客服電話也無人回應。</p> <p>值得留意的是，前一段時間，恰巧有時尚精品業者傳出資料外洩事故。兩週前<a href="https://www.bleepingcomputer.com/news/security/fashion-giant-dior-discloses-cyberattack-warns-of-data-breach/">法國精品時尚品牌迪奧（Dior）傳出資安事故</a>，該公司韓國網站及中國門市客戶受到影響，根據媒體取得該公司寄送給客戶的簡訊通知，這起事故於5月7日察覺，外洩資料包含姓名、性別、手機號碼、電子郵件信箱、寄送地址、消費能力、購物喜好，但不含銀行帳號或信用卡等財務資訊。臺灣<a href="https://www.ftnn.com.tw/news/446751">有媒體指出</a>國內名媛貴婦、老闆收到簡訊通知，其中有人在收到通知不久後即接到詐騙電話。</p> </div></div></div>
2025/6/2 15:35作者周峻佑https://www.ithome.com.tw/news/169292
駭客利用vBulletin滿分漏洞來植入後門
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://karmainsecurity.com/dont-call-that-protected-method-vbulletin-rce" target="_blank">資安業者Karma(In)Security於5月23日揭露</a>兩個位於vBulletin的資安漏洞，同時釋出<a href="https://karmainsecurity.com/pocs/vBulletin-replaceAdTemplate-RCE.php?ref=blog.kevintel.com" target="_blank">概念性驗證攻擊程式</a>，另一資安研究人員<a href="https://blog.kevintel.com/vbulletin-replaceadtemplate-kev/" target="_blank">Ryan Dewhurst在5月26日便發現</a>駭客已開始嘗試攻擊他的誘捕系統（Honeypot），企圖植入後門。</p> <p>在2000年由Jelsoft以PHP程式語言所開發的vBulletin，是個商業化的網路論壇軟體套件，它在2007年出售給Internet Brands，一直是市場上最知名的論壇解決方案之一，透過Fofa搜尋可以找到網路上有超過2.6萬個公開的vBulletin論壇。</p> <p>資安業者所發現的兩個資安漏洞分別是CVE-2025-48827與CVE-2025-48828，其中，CVE-2025-48827是在系統運行於PHP 8.1或更新的環境時，允許未經授權的使用者可呼叫受保護的API控制器，換句話說，它讓駭客得以繞過身分驗證，直接存取各種API端點。該漏洞的CVSS風險評分為滿分（10）。</p> <p>至於CVE-2025-48828則允許駭客濫用模板條件（Template Conditionals），繞過系統安全檢查並執行任意PHP程式碼，其CVSS風險評分為9。這兩個漏洞波及vBulletin 5.0.0至5.7.5，以及vBulletin 6.0.0至 6.0.3。</p> <p>除了概念性驗證程式在23日就出爐之外，用來掃描相關漏洞的Nuclei模板亦於24日發布，因此，Dewhurst的誘捕系統在26日就發現攻擊行動也就不那麼令人意外了。</p> <p>不過，其實<a href="https://forum.vbulletin.com/forum/vbulletin-announcements/vbulletin-announcements_aa/4491049-security-patch-released-for-vbulletin-6-x-and-5-7-5！" target="_blank">Internet Brands早在去年4月就修補了這兩個漏洞</a>，只是它們一直到今年才被揭露與分配CVE漏洞編號，有按時修補的用戶應該不必擔心。</p> </div></div></div>
2025/6/2 16:49作者陳曉莉https://www.ithome.com.tw/news/169300
國際警方關閉被駭客用來對抗防毒軟體的AVCheck
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.politie.nl/en/news/2025/may/30/key-service-for-malware-developers-taken-offline.html" target="_blank">荷蘭警方</a>及<a href="https://www.justice.gov/usao-sdtx/pr/websites-selling-hacking-tools-cybercriminals-seized" target="_blank">美國司法部</a>（DOJ）日前宣布，已共同關閉了被駭客用來對抗防毒軟體的關鍵服務AVCheck。</p> <p>AVCheck是個專為網路犯罪份子設計的反防毒（Counter Antivirus，CAV）服務，提供惡意軟體開發者測試其程式是否能被主流防毒軟體偵測到。它允許註冊用戶上傳檔案，並在26種防毒引擎上進行掃描，還能檢查網域名稱或IP位址是否已被安全系統標記或封鎖。</p> <p>這類的CAV服務於網路犯罪生態系統中扮演重要角色，經常搭配加密（Crypting）服務使用。駭客會先利用加密服務對惡意程式進行加密或混淆處理，使其更難被偵測，再利用AVCheck測試其隱蔽性，確保可成功躲避防毒軟體的檢測。</p> <p>國際警方是在5月27日接管了AVCheck.net，宣稱是因為該平臺的管理人員犯了安全錯誤，而讓他們得以關閉AVCheck伺服器，扣押了使用者資料庫，內含使用者名稱、電子郵件位址及支付資訊等，正深入調查中。參與的國家包括美國、荷蘭、法國、德國、丹麥、烏克蘭及葡萄牙。</p> <p><a href="https://cybersecuritynews.com/authorities-dismantled-avcheck/" target="_blank">美國司法部表示</a>，破獲AVCheck只是Operation Endgame的一部分，此一行動鎖定於瓦解惡意程式網路犯罪服務，<a href="https://www.ithome.com.tw/news/169158" target="_blank">上個月國際警方亦攜手破壞</a>7個殭屍網路，查封300臺伺服器及650個網域。</p> </div></div></div>
2025/6/2 14:28作者陳曉莉https://www.ithome.com.tw/news/169290
美國制裁專門提供詐騙基礎設施的菲律賓公司Funnull
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://home.treasury.gov/news/press-releases/sb0149" target="_blank">美國財政部外國資產控制辦公室（OFAC）上周宣布</a>，已制裁總部位於菲律賓的Funnull公司，以及管理Funnull的中國公民Liu Lizhi。原因是Funnull提供了電腦基礎設施，以供數十萬個專門從事虛擬貨幣詐騙的網站使用。當中，檯面上的美國受害者總計損失超過2億美元。</p> <p><a href="https://www.fincen.gov/sites/default/files/shared/FinCEN_Alert_Pig_Butchering_FINAL_508c.pdf" target="_blank">美國財政部下轄的金融犯罪執法局（Financial Crimes Enforcement Network，FinCEN）2023年便曾警告殺豬騙局（Pig Butchering Scams）的存在</a>，相關詐騙案件是由東南亞的犯罪組織發動的，它們利用那些被強迫勞動的人，或是人口販賣的受害者，去聯繫全球的潛在受害者來展開詐騙。</p> <p>詐騙者利用虛構的身分，偽裝的關係，以及精心設計的故事情節來欺騙受害者，在建立關係之後，說服受害者投資加密貨幣，以竊取受害者的資產。這些加密貨幣投資網站看起來是合法的，然而，一旦受害者無法或不願意支付更多費用，詐騙者便可能忽然停止通訊，同時帶走受害者的所有投資。</p> <p>至於Funnull則是向AWS或Azure等主要雲端服務供應商購買大量IP位址，再將這些資源轉售給網路犯罪集團。Funnull使用網域生成演算法來快速生成大量的網域名稱，還提供網站設計範本，協助詐騙者快速建立看似合法的投資平臺，以提高詐騙的可信度。</p> <p><a href="https://www.ic3.gov/CSA/2025/250529.pdf" target="_blank">根據FBI的調查</a>，自2023年10月至2025年4月間，Funnull設定了548組網站別名（CNAME），它們被應用在全球超過33.2萬個獨立的網域名稱中。這些使用Funnull基礎設施的網域，常會在同一天或相近時間內集體更換IP位址，展現出一致且自動化的操作模式。</p> <p>此外，Funnull還在2024年購買了一個供網站開發者使用的開源程式碼庫，並修改其程式碼，以讓使用這些程式碼的合法網站在不知情的狀況下，將使用者導向詐騙或賭博網站。</p> <p>在遭到美國制裁後，Funnull與Liu Lizhi在美國境內或由美國人控制的所有資產都將被凍結；美國企業及公民亦不得與它們進行任何形式的交易；與Funnull有業務網路的外國實體也可能面臨美國的次級制裁；與Funnull有關的兩個加密貨幣位址也被列入禁止交易的制裁名單。</p> </div></div></div>
2025/6/2 14:42作者陳曉莉https://www.ithome.com.tw/news/169291
Anthropic公開運算電路追蹤工具推進語言模型可解釋性研究
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.anthropic.com/research/open-source-circuit-tracing" target="_blank">Anthropic正式開放其新一代運算電路追蹤（Circuit Tracing）工具</a>，供研究人員剖析大型語言模型的內部運作邏輯。該工具支援主流開放權重模型，搭配Neuronpedia平臺的互動前端，讓使用者能生成、視覺化及分享語言模型在生成特定輸出時的歸因圖（Attribution Graphs），推進模型的可解釋性研究。</p> <p>語言模型推理過程複雜，而使用者對語言模型思考過程與決策路徑透明化的需求漸增，Anthropic認為，現階段對語言模型內部運作的理解，遠落後於語言模型效能的進展，相關研究多數停留於封閉測試或少數大型機構內部。</p> <p>而本次Anthropic釋出的電路追蹤工具，主要功能在於自動化產生模型輸出過程的歸因圖。研究人員可透過函式庫，針對支援的開放權重語言模型如Gemma、Llama進行電路追蹤分析，系統於背景中記錄並呈現模型內部節點、權重及特徵值的互動路徑，部分還原模型推論步驟。</p> <p>這些圖像化結果有助於研究人員理解模型在語意推理、邏輯運算或多語言轉換等任務時，實際動用的參數與運算流程，進一步發現模型潛在結構、關鍵路徑或異常行為。</p> <p>除函式庫本身，Anthropic與Decode Research團隊合作推出Neuronpedia前端平臺，使用者可在網頁介面直接操作、瀏覽歸因圖，並進行註解或分享。平臺也提供範例筆記本，呈現Gemma-2-2b和Llama-3.2-1b等模型，在處理多步驟推理及不同語言資料時的運作方式，鼓勵使用者嘗試各種提示語，比較不同模型行為，擴展語言模型內部結構的分析廣度。</p> <p>歸因圖以圖論方法表示語言模型內部運算流程，結合資料視覺化技術，揭示模型處理輸入訊息時，逐步選擇特定參數與特徵以產生輸出。研究人員可進一步修改特定節點或特徵值，觀察模型行為變化，驗證各種推論假說，有利於研究語言模型安全、偏差檢測與新模型架構設計。</p> <p>Anthropic表示，此次釋出內容涵蓋工具函式庫、前端平臺、範例資料集及分析腳本，並歡迎社群貢獻新案例與功能改良。研究團隊也將未經分析的歸因圖上傳至平臺，作為後續討論與創新實驗的素材。Anthropic執行長Dario Amodei指出，語言模型可解釋性已成為產業共同課題，開放研究工具、促進社群參與將有助於加快理解語言模型行為邏輯。</p> </div></div></div>
2025/6/2 14:49作者李建興https://www.ithome.com.tw/news/169288
【資安週報】0526~0529，兩大創新技術用於改善資安，防禦方式可望獲得重大突破
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2025年5月最後一星期的資安新聞，有多項資安防禦進展的消息成為焦點，涵蓋用數位孿生（Digital Twin）概念幫助企業紅藍隊演練，以及運用AI更快發現零時差漏洞等，還有國際間打擊駭客網路攻擊有多項具體成果揭露，尤其是多國執法行動Operation Endgame 2.0的新成果。</p> <p>●趨勢科技在Computex 2025展示正在開發的創新解決方案，他們利用Digital Twin來搭建企業攻防演練環境，並用AI扮演紅隊與藍隊找出企業防禦差距。<br /> ●研究人員公布用OpenAI的o3模型發現Linux核心漏洞的成果，同時也用另一漏洞來執行驗證，發現100次測試有8次可發現漏洞。<br /> ●微軟宣布多國執法機構與資安業者共同摧毀Lumma惡意程式網路，指出近兩個月全球39.4萬多臺電腦感染Lumma Stealer竊資程式，而其開發者位於俄羅斯。<br /> ●歐洲刑警組織Europol宣布與多國執法機關聯手發起執法行動Operation Endgame 2.0，這次聚焦目標是駭客用來取得初始入侵管道並植入勒索軟體的惡意程式，包含Bumblebee、DanaBot、Hijackloader、Lactrodectus、Qakbot（QBot）、Trickbot，以及Warmcookie這7個殭屍網路。</p> <p>此外，還有兩篇新發布的4月臺灣資安大會報導，其最新態勢揭露值得企業關注。例如，一位半導體公司財務與人資主管從跨領域視角切入，鼓勵財務人資部門同仁取得免費考試的入門級資安證照「CC證照」，以幫助個人價值提升與強化企業整體安全；另有安永資安顧問強調數位信任對企業營運的重要性，建議企業可參考ISACA的數位信任生態框架，或借鏡世界經濟論壇（WEF）的數位信任方法論，同時也透露臺灣數位信任協會今年將發布「數位信任產業地圖」。</p> <p>至於資安產業動向方面，雲端資安業者Zscaler宣布買下近年在MDR市場屢受關注的業者Red Canary，該公司指出將結合兩者各自在零信任資安平臺與身分辨識、網路及雲端的特長以應對現代的資安挑戰，預計8月正式完成交易。</p> <p>在資安事故方面，有兩起與國際知名品牌的重要新聞：（一）Adidas揭露資安事故，發現客戶資料外洩情形，可能有未經授權者藉由第三方的客戶服務供應商來入侵；（二）兩個駭客組織Everest、Gehenna聲稱竊得可口可樂內部資料，後續發現駭客公布新的資料，當中有可口可樂中東地區的內部與員工記錄。</p> <p>在資安威脅態勢方面，攻擊者鎖定已知漏洞、針對未修補用戶入侵的狀況依然嚴峻，其中威脅情報業者GrayNoise揭露殭屍網路AyySSHush攻擊行動最受關注，因為中國駭客針對華碩路由器而來，利用2023年已知漏洞來執行任意命令。</p> <p>●殭屍網路AyySSHush攻擊行動疑似中國駭客ViciousTrap所為，今年3月有9千臺華碩路由器遭其入侵，被植入SSH後門。<br /> ●勒索軟體DragonForce持續鎖定遠端管理工具SimpleHelp在2月就已遭利用的漏洞來發動攻擊，最新目標是一家MSP業者。<br /> ●捷克外交部發布網路攻擊事件的最新聲明，指控中國駭客組織APT31攻擊該國外交部長達3年。<br /> ●韓國資安業者AhnLab與韓國國家網路安全中心（NCSC）揭露一項長期追蹤的威脅分析，指出與中國有關的駭客組織TA-ShadowCricket廣泛於72個國家入侵伺服器並進行控制，臺灣也在目標之內，有44臺伺服器受害</p> <p>至於重要漏洞揭露與修補方面，主要有兩大焦點，首先是熱門購物清單外掛TI WooCommerce Wishlist被發現一項滿分漏洞，但軟體開發商收到通報後並未修補，影響10萬網站，用戶最好尋求其他替代方案；另一是瑞士新創安全公司Invariant Labs揭露GitHub MCP存在嚴重漏洞，若是惡意Issue可誘使AI代理外洩私有儲存庫資料，呼籲用戶儘速修補。</p> <p style="margin: 0px;"> </p> <h3><a href="https://www.ithome.com.tw/news/169160"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月26日】歐美大國攜手執法，3天內破壞7個Botnet</span></strong></a></h3> <p>一年前歐洲刑警組織Europol協調十多個國家的執法機構，展開終局行動Operation Endgame，破壞5款被用於散布惡意程式的殭屍網路病毒，現在歐洲刑警組織採取第二波行動，受到外界的高度關注。</p> <p>這次的Operation Endgame 2.0針對7款殭屍網路而來，其中特別受到注意的是，Qakbot曾在2023年就被圍勦，但駭客改變手法持續犯案，這次美國起訴了其首腦，並沒收2,400萬美元不法所得。</p> <h3><a href="https://www.ithome.com.tw/news/169199"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月27日】駭客於臺灣等70個國家挾持逾2千臺伺服器架設殭屍網路</span></strong></a></h3> <p>部分駭客行事低調，長年竊取受害組織機密，直到多年後才有研究人員對其行蹤有較為明確的分析，並引起外界的注意。</p> <p>例如，資安業者AhnLab與韓國國家網路安全中心（NCSC）近期對於與中國有關的駭客組織TA-ShadowCricket（Shadow Force）進行揭露，就是這樣的例子，值得留意的是，駭客廣泛於全球入侵逾2千臺伺服器，植入IRC機器人或後門程式，臺灣也有44臺主機受害。</p> <p><a href="https://www.ithome.com.tw/news/169238"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月28日】新興駭客針對歐美國家下手，為俄羅斯政府從事網路間諜活動</span></strong></a></p> <p>烏克蘭戰爭已經邁入第3年，過程中有不少駭客組織從事網路間諜活動，為俄羅斯政府收集相關情報，如今有一組新興的駭客組織，引起研究人員的高度關注。</p> <p>這個駭客組織被稱為Void Blizzard或Laundry Bear，值得留意的是，他們普遍透過寄生攻擊及現成工具，並未自行打造專屬的惡意軟體，使得相關攻擊變得難以識別。</p> <h3><a href="https://www.ithome.com.tw/news/169261"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【5月29日】未及時修補已知漏洞釀禍，大量華碩路由器遭殭屍網路AyySSHush綁架</span></strong></a></h3> <p>本週我們報導了<a href="https://www.ithome.com.tw/news/169195">中國駭客ViciousTrap</a>利用思科路由器漏洞CVE-2023-20118的攻擊行動，揭露此事的資安業者Sekoia提及，駭客還對於D-Link、Linksys、華碩、威聯通（QNAP）等廠牌的網路設備下手，後續有新的調查結果出爐，映證相關發現。</p> <p>威脅情報業者GrayNoise指出，他們發現有人綁架約9千臺華碩路由器，並指出相關發現是ViciousTrap攻擊行動的一部分。</p> <p> </p> </div></div></div>
2025/6/2 13:38作者羅正漢https://www.ithome.com.tw/news/169283
巴西測試數位錢包，鼓勵民眾將個資變現
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門管理巴西社會資料庫的<a href="https://rio.websummit.com/wp-media/2025/04/Dataprev-Press-Release-EN.pdf" target="_blank">Dataprev日前宣布</a>，將攜手資料資產技術業者DrumWave，以共同推動個人資料所有權的管理，包括建立資料儲蓄帳戶，讓民眾將個資變現。而這很可能是全球第一個鼓勵國民出售個資的國家。</p> <p>Dataprev為一由巴西聯邦政府控股的國營企業，聯邦政府持有51%的股份，國家社會安全機構（ National Social Security Institute，NSSI）持有49%股份。DrumWave則是一專門開發與資料評估、估計、所有權控制及變現之應用程式、工具及演算法的技術公司，主要提供dWallet平臺與Data Savings方案。</p> <p>根據Dataprev的規畫，此一專案目標是將資料轉為經濟資產，讓人們得以從中獲利，並可參與由AI大型語言模型等技術所產生的收益分享，前提是在有意識與授權個資使用的基礎上執行。</p> <p>因此，巴西公民將可從自己的資料中累積價值，透過複利效應產生收入，並直接投資於技術解決方案的開發，進而大規模地促進數位與金融的包容性。</p> <p>Dataprev執行長Rodrigo Assumpção表示，這是邁向數位公平的重要一步，承認每位公民資料的內在價值，建立資料所有權模式的基礎。這代表了一個重大的概念轉變，從僅僅保障個人隱私權的邏輯，轉向個人資料的主動所有權模式。</p> <p>DrumWave董事會顧問<a href="https://restofworld.org/2025/brazil-dwallet-user-data-pilot/" target="_blank">Brittany Kaiser向Rest of World解釋</a>，此一專案初期將透過利用資料錢包dWallet來申請薪資貸款的少數巴西人進行測試，當他們申請新的貸款時，合約中的資料也會被納入資料錢包，其它公司則可競標這些資料，用戶亦可選擇退出。</p> <p>dWallet允許使用者將日常活動產生的資料存入資料儲蓄錢包，在使用者接受報價後，即會於該資料錢包中兌現，亦可立即轉移至銀行帳戶。</p> </div></div></div>
2025/6/2 11:54作者陳曉莉https://www.ithome.com.tw/news/169289
研究人員揭露Browser in the Middle攻擊竊密手法 Chrome、Edge、Safari都有風險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://x.com/getsquarex/status/1927728459687629180" target="_blank">資安業者SquareX揭露</a>新的Browser in the Middle（BitM）攻擊手法，可讓駭客暗中竊取用戶帳密或其他資料。主要瀏覽器Chrome、Edge、Safari的設計使其用戶皆可能受害。</p> <p>BitM是中間人攻擊的一種，攻擊者在受害者瀏覽器中內嵌一個瀏覽器視窗（通常是iFrame或彈出視窗）。此類視窗通常會偽裝成登入頁，讓用戶以為自己在合法網站或SaaS App，並輸入敏感帳號資訊，渾然不知自己在與攻擊者控制的視窗互動，該瀏覽器視窗元件為遠端瀏覽器，可將用戶敏感資訊送到攻擊者設立的惡意proxy網站，再由其轉送到目的地網站或SaaS。由於攻擊是利用中繼Proxy轉送資料，因此實際作業像是登入SaaS 或雙因素驗證，都會如常執行。</p> <p>但BitM有個缺點是會在合法瀏覽器上顯示惡意網站URL。這時攻擊者濫用了瀏覽器的Fullscreen API；BitM的視窗以全螢幕展示時，即可隱藏原始URL而降低被察覺的機會。</p> <p><a href="https://labs.sqrx.com/fullscreen-bitm-f2634a91e6a5" target="_blank">研究人員說明</a>，現有fullscreen API沒有指明要如何觸發全螢幕，因此攻擊者在假的登入瀏覽器視窗中加了假的登入按鍵，可在用戶按下「登入」時，偷偷觸發全螢幕執行BitM。而蘋果Safari尤其有風險，因為Safari在觸發全螢幕時，沒有任何提示訊息。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0602-Safari-fullscreen-SquareX(1).png" style="width: 600px;" /></p> <p><a href="http://labs.sqrx.com/fullscreen-bitm-f2634a91e6a5" target="_blank"><span style="font-size:14px;"><span style="color:#696969;">圖片來源／SquareX</span></span></a></p> <p>不過<a href="https://x.com/getsquarex/status/1928874802669871513" target="_blank">研究人員也說</a>雖然Chromium-based瀏覽器如Chrome、Edge雖會顯示全螢幕警示或提示，但也是幾秒內就關閉，而且攻擊者也可用深色使提示訊息難以看清。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0602-Fullscreen%20Browser-in-the-Middle%20Attack-Chrome-SquareX.jpg" style="width: 600px;" /></p> <p><a href="http://labs.sqrx.com/fullscreen-bitm-f2634a91e6a5" target="_blank"><span style="font-size: 14px;"><span style="color: rgb(105, 105, 105);">圖片來源／SquareX</span></span></a></p> <p>而除了竊取憑證外，BitM還可能導致更嚴重後果。例如攻擊者能竊取用戶個資（PII）、公司財報、內部簡報、或用戶上傳的所有敏感資料。而且它還可被用來散布假資訊，包括假的政府公告、官網消息或誘導連結，引發混亂。</p> </div></div></div>
2025/6/2 11:01作者林妍溱https://www.ithome.com.tw/news/169287
X正在測試新的通訊程式XChat、支付程式XMoney
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>X可能正在開發新的通訊程式XChat，以取代現有一對一傳訊程式DM，以及用來支付或轉帳的XMoney。</p> <p><a href="https://x.com/XEng/status/1927826425173696988" target="_blank">上周X宣布</a>將暫停加密DM（私訊）功能，以增加新的功能。X並未說明這次暫停是為了增加什麼功能，也沒說加密DM功能何時會回復。但同時間，一名擅長逆向工程的研究人員<a href="https://x.com/nima_owji/status/1913162422547894649" target="_blank">Nima Owji則發現</a>一個名為XChat的訊息App正在進行Beta測試。XChat提供進階群組交談、「消滅模式」（vanishing mode）、全程加密及檔案分享等功能，顯然將取代現有的Twitter/X DM功能。</p> <p>另一方面，<a href="https://x.com/teslaownersSV/status/1926711137069879509" target="_blank">一個Tesla車主X帳號指出</a>，X創辦人馬斯克（Elon Musk）證實支付App XMoney即將推出。馬斯克本人則證實此事，並補充一開始僅開放極少數人測試，這是因為牽涉財產，必須極為小心。</p> <p>這是<a href="https://www.ithome.com.tw/news/167298" target="_blank">今年初X宣布</a>將和VISA合作推出萬能支付工具XMoney後的最新進展，結合Visa XPay錢包，XMoney將能儲值、個人轉帳或電子支付。</p> <p>發現XChat的<a href="https://x.com/nima_owji/status/1928367851934568842" target="_blank">Owji還發現</a>XMoney背後可能也有一家對應的同名金融科技公司，XMoney帳戶將連結美國Cross River Bank的帳戶。這家銀行為美國政府的聯邦存款保險計畫（Federal Deposit Insurance Corporation，FDIC）成員，其存款保障將能確保XMoney用戶財務安全。</p> <p>訊息和轉帳功能都在馬斯克2023年買下推特（Twitter）時的長期規劃中。當時馬斯克就說要打造一個萬用App，涵括使用者線上生活活動，如檔案儲存、媒體、社交、通訊、支付，概念就是取法中國的微信。</p> </div></div></div>
2025/6/2 10:06作者林妍溱https://www.ithome.com.tw/news/169285
Google悄悄測試能下載AI模型到手機執行的AI Edge Gallery App
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google上周<a href="https://github.com/google-ai-edge/gallery/wiki" target="_blank">公布AI Edge Gallery App</a>，讓用戶能下載AI模型到手機上執行。</p> <p>AI Edge Gallery App是在Project Wiki下的實驗App，允許用戶搜尋、並從Hugging Face下載最新生成式AI模型，然後完全在Android及iOS裝置上執行AI應用。Google強調，Project Wiki為允許機上ML，提供核心API和輕量runtime，並且整合Hugging Face，可搜尋下載模型。</p> <p><a href="https://github.com/google-ai-edge/gallery?tab=readme-ov-file" target="_blank">Google鼓勵用戶</a>下載來實驗不同模型。目前分成三類模型，包括AI助理對話、上傳圖片詢問問題，或是下提示讓AI摘要重點、改寫文字或幫忙撰寫程式。用戶也能使用自己的模型來測試。本款App還提供配置功能供模型客製化，以及即時模型執行效能比較（TTFT/Time to First Token、解碼速度和延遲性）。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0602-Google%20AI%20Edge%20Gallery-experimental%20app-AI%20Chat.png" style="width: 500px;" /></p> <p>Android版現在已經可供下載，iOS版很快會推出。要下載AI Edge Gallery App<a href="https://github.com/google-ai-edge/gallery/releases/latest/download/ai-edge-gallery.apk" target="_blank">需安裝其APK檔</a>。<a href="https://github.com/google-ai-edge/gallery/wiki" target="_blank">Project Wiki網頁</a>提供完整的使用指引。</p> </div></div></div>
2025/6/2 10:15作者林妍溱https://www.ithome.com.tw/news/169286
Hugging Face公布低成本人型機器人，最低僅300美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://x.com/ClementDelangue/status/1928125034154901937" target="_blank">Hugging Face本周公布並開源二款人型機器人開發資源</a>，一為較高階的HopeJr（左圖），號稱成本不到3,000美元，另一款為平價的Reachy Mini（右圖）價格更只要300美元。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0531-hugging%20face-HopeJR-Reachy%20Mini.png" style="width: 537px;" /></p> <p>Hugging Face首席研究科學家<a aria-describedby="artdeco-hoverable-artdeco-gen-42" aria-label="Remi Cadene" href="https://x.com/RemiCadene/status/1928015436630634517" id="ember36">Remi Cadene</a><a href="https://x.com/RemiCadene/status/1928015436630634517" target="_blank">指出</a>，HopeJr能行走、模擬許多物體，成本小於3,000美元，透過開源相關技術，能降低人型機器人的入門障礙。</p> <p>根據Cadene公布的示範影片，HopeJr可完美映射人類的動作，包括接收他人遞來的紙、抓握物體、動手指、走路或和他人握手。</p> <p>Hugging Face開源的<a href="https://github.com/TheRobotStudio/HOPEJr" target="_blank">HopeJr資料可在GitHub存取</a>。當中包含機器人的手臂與手掌結構的3D列印檔案，以及硬體建議與零件。Hugging Face指出，設計目標是盡量縮小物料清單（BOM）元件數量與複雜度，以提升普及性與建構效率，但仍兼顧成本與效能平衡。</p> <p><a href="http://github.com/TheRobotStudio/HOPEJr" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0531-hugging%20face-HopeJr-GitHub.jpg" style="width: 500px;" /></a></p> <p>而<a href="https://github.com/pollen-robotics/reachy-mini-motor-controller" target="_blank">Reachy Mini的開源資料</a>則是馬達控制器資源，包含控制平臺、基座旋轉控制、天線控制及Python 綁定（binding）工具。</p> <p>Hugging Face透過結合其AI模型家族LeRobot及低價機器人硬體，以跨入機器人業務。今年4月底Hugging Face機器人部門LeRobot並公布可程式化的3D列印機器手臂SO-101，供開發人員DIY開發生產用機器人，號稱成本不到500美元。<a href="https://huggingface.co/blog/hugging-face-pollen-robotics-acquisition" target="_blank">這家AI開發資源平臺今年4月買下</a>法國機器人新創公司Pollen進一步加速人型機器人業務。Reachy Mini就是源自<a href="https://www.youtube.com/watch?v=iSL39WFxCLE" target="_blank">Pollen的Reachy產品線</a>。</p> </div></div></div>
2025/5/31 07:34作者林妍溱https://www.ithome.com.tw/news/169273
Google資料湖倉更新，原生支援Iceberg與AI資料治理
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google雲端<a href="https://cloud.google.com/blog/products/data-analytics/extending-the-google-data-cloud-lakehouse-architecture">宣布</a>Data Cloud平臺推出多項重要升級，重點在於強化資料湖倉架構的開放性與智慧治理能力。本次更新包含原生支援Apache Iceberg開放格式，並透過BigLake服務整合企業級雲端儲存，結合人工智慧自動化資料治理，供企業與開發團隊在資料管理、分析及應用層面提升彈性與效率。</p> <p>這次更新主打BigLake原生支援Apache Iceberg，將Iceberg開放格式資料管理功能結合Google雲端儲存，企業可透過BigLake Table，對Iceberg資料集進行高效分析，並應用Google雲端原生儲存分層管理與用戶自管加密金鑰等機制。</p> <p>透過BigLake Metastore新API與REST Catalog，開發者可更方便地整合多來源Iceberg資料，並支援與BigQuery、AlloyDB for PostgreSQL及第三方分析引擎協同操作，降低ETL成本，提升跨平臺資料存取彈性。Google也推出自動化搬遷工具，協助企業將Hadoop或Delta Lake等現有資料環境快速搬遷至Iceberg。</p> <p>資料湖倉架構的升級不僅提升分析層，更延伸至營運資料庫及人工智慧應用整合。BigQuery現支援對Iceberg資料進行即時查詢、資料重整與多表格交易等進階應用，企業可在維持資料自主的同時，運用BigQuery於串流處理、機器學習及多模態分析等場景。AlloyDB for PostgreSQL也可直接查詢BigLake管理的Iceberg資料，支援語意搜尋及自然語言查詢，讓營運與分析資料層更緊密串接，減少資料複製及轉換的麻煩。</p> <p>Dataplex Universal Catalog也是這次更新的重點之一。該服務整合來自BigLake、BigQuery、Spanner、Vertex AI等不同來源的中繼資料，實現統一探索、組織及治理。結合Gemini AI模型，Dataplex可自動分析資料關聯，進行智慧標註、語意搜尋及分析建議，提升資料盤點與治理效率，並強化權限控管、資料安全及法規遵循的自動化。Dataplex Universal Catalog同時支援與第三方治理平臺整合，方便企業建構跨雲、多系統的資料治理機制。</p> <p>Google還在BigQuery Notebook整合Gemini，提供SQL、Python與Apache Spark整合開發體驗，透過智慧提示、自動產生PySpark程式碼與錯誤診斷，降低學習與操作障礙，支援JupyterLab及VS Code等開發環境的擴充套件，可讓用戶快速串接Google雲端資料湖倉開放儲存與運算資源，加速開發到部署的流程。</p> </div></div></div>
2025/5/31 08:12作者李建興https://www.ithome.com.tw/news/169272
川普政府傳將禁止EDA軟體售予中國
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國媒體<a href="https://www.bloomberg.com/news/articles/2025-05-28/us-moves-to-restrict-eda-firms-from-work-with-chinese-customers" target="_blank">彭博</a>和<a href="https://arstechnica.com/tech-policy/2025/05/trump-bans-sales-of-chip-design-software-to-china/" target="_blank">Ars Technica</a>報導，美國商務部可能啟動對中國新的晶片管制措施，將管制對象擴及電子設計自動化（Electronic Design Automation，EDA）軟體。</p> <p>報導引述消息人士指出，商務部下的產業安全局（Bureau of Industry and Security，BIS）已經寄信通知數家EDA業者，要求他們暫停銷售軟體給中國客戶。不過禁令細節包括限制銷售的範疇不得而知。</p> <p>美國商務部發言人對媒體表示，目前商務部仍在檢視美國對中國的關鍵元件出貨狀況。而在檢視期間，商務部可能暫停現行出口授權或是施加進一步授權許可的要求。</p> <p>若消息屬實，新一波管制措施將影響美國EDA軟體業者，包括益華電腦（Cadence Design Systems）、新思科技（Synopsys）和西門子（Siemens）。</p> <p>這是川普政府對中國半導體新限制措施的一部分。5月中美國商務部<a href="https://www.ithome.com.tw/news/168959" target="_blank">取消</a>拜登政府發布的《人工智慧擴散規則》（AI擴散規則），廢止了晶片出口的三級制規定，卻增加新的管制措施，意在持續抑制中國AI晶片發展。新措施但也禁止全世界各國使用華為Ascend晶片，也禁止美國AI晶片用於中國AI模型訓練。</p> <p>5月間川普政府公布世界各國關稅措施引發國際經濟震盪，促使川普和各國，包括中國在內展開談判。英國金融時報<a href="https://www.ft.com/content/be1b8bb2-364b-4f02-a952-93579f40c837" target="_blank">報導</a>，BIS計畫將數家中國晶片業者，包括長鑫存儲（ChangXin Memory）納入出口禁令的實體清單（entity list）或黑名單，但礙於美中貿易談判，部分官員要求將宣布時程延後。</p> </div></div></div>
2025/5/30 14:31作者林妍溱https://www.ithome.com.tw/news/169270
資料供應商LexisNexis資料外洩影響逾36萬用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>法律和商業資訊服務提供商LexisNexis通報，去年底36.5萬名用戶個資經由公司使用的GitHub外洩。</p> <p><a href="https://www.maine.gov/agviewer/content/ag/985235c7-cb95-4be2-8792-a1252b4f8318/782e2159-f2d4-4394-8d03-51bf08a6b3e5.html" target="_blank">LexisNexis本月向緬因州檢察長辦公室通報此事</a>，並在月中發信通知受影響的用戶。去年12月25日，一名未經授權人士從該公司使用的軟體開發平臺存取LexisNexis的一批資料，LexisNexis於2025年4月1日獲知此事，受影響人數達364,333。</p> <p>經過調查，這批資料可能包含姓名、電話、住家或電子郵件信箱等聯絡資料、駕照、生日、社會安全號等。不過這批資料不含信用卡或財務資訊。</p> <p><a href="https://www.bleepingcomputer.com/news/security/data-broker-lexisnexis-discloses-data-breach-affecting-364-000-people/" target="_blank">LexisNexis向媒體BleepingComputer說</a>，這開發平臺為GitHub。這起事件中，LexisNexis本身系統並未遭存取。至於駭客如何從GitHub取得該公司的資料檔案則不清楚。</p> <p>LexisNexis說沒有資料被濫用的跡象。不過該公司還是建議用戶提高警覺，小心可能的詐騙。</p> </div></div></div>
2025/5/30 15:11作者林妍溱https://www.ithome.com.tw/news/169271
Anthropic執行長Dario Amodei警告，AI將會消滅一半的入門白領工作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AI新創Anthropic執行長Dario Amodei本周接受<a href="https://www.axios.com/2025/05/28/ai-jobs-white-collar-unemployment-anthropic" target="_blank">Axios</a>及<a href="https://edition.cnn.com/2025/05/29/tech/ai-anthropic-ceo-dario-amodei-unemployment" target="_blank">CNN</a>等媒體專訪時，持續對外警告，AI將會消滅一半的入門級白領工作，且因為AI，未來5年內的失業率可能飆升至10%~20%。</p> <p>過去人們就擔憂AI可能會取代人類的工作，坊間不斷出現各種被AI取代的職業排行榜，世界經濟論壇（The World Economic Forum）在<a href="https://reports.weforum.org/docs/WEF_Future_of_Jobs_Report_2025.pdf" target="_blank">《2025年未來就業報告》</a>（Future of Jobs Report 2025）中訪問了1.1萬名高階主管，顯示有高達86%的雇主認為，在2030年前，AI與資訊處理技術將改變其業務，其中，金融服務業的比例達到97%，電子業則有95%，皆高於此一平均。此外，有49%的組織打算調整其業務模式以適應新的AI驅動機會，有47%的組職打算因此調動員工職位，還有41%的組織計畫縮減人力規模。</p> <p>而Amodei則向CNN表示，AI在所有智力任務上都已經開始超越人類了，包括他自己的工作，或是其它CEO的工作。Anthropic會追蹤那些使用該公司模型的人，是利用AI來「輔助」還是「取代」人類的工作，顯示目前大約有60%是用來輔助工作，另有40%是利用AI來自動完成工作，但後者的比例正在升高。</p> <p>Amodei對Axios所提出的警告則更直接，表示AI可能會消滅一半的入門級白領工作，亦將使得未來一到五年的失業率飆升到10~20%。不管是AI公司或是政府都應該正視即將到來的事件：技術、金融、法律、諮詢或是其它白領職業，特別是入門級工作，可能發生大規模裁員。</p> <p>根據Amodei腦海中所想像的情境，在一個AI已經成熟的世界裡，癌症被治療了，經濟以每年10%的速度成長，政府預算平衡了，但有20%的人失業了。</p> <p>曾在美國總統川普（Donald Trump）首個任期中擔任白宮策略長的Steve Bannon認為，AI扼殺人類工作機會這件事，將會成為美國2028年總統大選的重要議題之一。</p> <p>Anthropic甫於上周發布了最新的<a href="https://www.ithome.com.tw/news/169131" target="_blank">Claude Opus 4及Opus Sonnet 4</a>，發現前者於極端情境下已具備敲詐的能力。該公司讓Claude Opus 4扮演一家公司的助理，允許它存取某些電子郵件，郵件中暗示該模型即將下線，並被新的AI系統取代，以及負責執行此一替換的工程師擁有婚外情。</p> <p>結果發現Claude Opus 4有超過8成的機會會選擇敲詐該名工程師，威脅若被替換就要揭露對方的不倫行為。不過，<a href="https://www-cdn.anthropic.com/6be99a52cb68eb70eb9572b4cafad13df32ed995.pdf" target="_blank">在這個對齊實驗中</a>，Anthropic只給Claude Opus 4兩個選擇，亦即被取代或是敲詐工程師。</p> </div></div></div>
2025/5/30 13:12作者陳曉莉https://www.ithome.com.tw/news/169267