iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 1篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/7
最近更新: 11/8 04:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【資安日報】6月10日，中國駭客鎖定資安業者SentinelOne及超過70個企業組織從事大規模攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼5月底傳出<a href="https://www.ithome.com.tw/news/169308">營運中斷</a>的消息，本週資安業者SentinelOne公布遭遇中國駭客攻擊的調查結果。儘管兩起事故看起來沒有直接關連，但是公布的時間點相當接近，仍不免令人好奇它們之間是否有交集。</p> <p>此外，隨著暑假旅遊旺季的到來，打著訂房網站名號的網釣攻擊也相當值得留意，民眾必須特別提高警覺；而在資安漏洞的部分，Python壓縮檔模組重大漏洞、Google帳號的電話號碼資訊可被暴力破解的情況，也相當受到矚目。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169453"><strong style="font-size: 22px;">中國駭客鎖定資安業者SentinelOne而來，意圖對用戶從事供應鏈攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/China_TopTier_10.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/China_TopTier_10.jpg" style="width: 300px; float: right;" /></a></p> <p>EDR是網路攻擊者的眼中釘，除了設法迴避偵測，若能設法攻陷、破壞這些資安產品與服務、敗壞資安公司商譽，對他們自然有很大的好處，而對於資安廠商而言，協助客戶做好防護之餘，自保也很重要！4月底資安業者SentinelOne揭露有多組人馬針對他們而來的情況，這些攻擊者大致可分成3種類型，分別是以IT工作者名義求職的北韓駭客、試圖存取及濫用該公司資安平臺的勒索軟體駿客，以及鎖定他們客戶及業務的中國駭客組織。如今該公司針對中國駭客的活動，公布更完整的調查結果。</p> <p>針對相關事故的調查過程，SentinelOne指出他們起初於去年10月，察覺駭客偵察該公司網路環境的活動並進行追蹤，結果發現兩波攻擊行動，並將活動命名為PurpleHaze和ShadowPad。該公司強調，經過徹底調查及確認，他們的基礎設施、軟體與硬體均未被入侵。</p> <p>而對於受害企業的部分，SentinelOne表示，發生在他們網路環境的活動，僅是這些駭客攻擊活動的一部分，最早可追溯到去年6月，而且，該公司並非唯一的目標，他們認為，自己遭到攻擊僅是大規模攻擊的一部分。</p> <p><a href="https://www.ithome.com.tw/news/169451"><strong style="font-size: 22px;">惡意軟體AsyncRAT透過冒牌Booking.com訂房網站散布</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/fake_booking_sites_captcha.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/fake_booking_sites_captcha.png" style="width: 300px; float: right;" /></a>最近幾年許多人報復性出遊，並選擇以自助旅行的方式出國，為了安排住宿，很有可能會透過訂房網站來挑選旅館，然而駭客也看上這點來引誘旅客上當，藉此散布惡意程式。</p> <p>資安業者Malwarebytes揭露自5月中旬出現的網釣攻擊活動，駭客設置冒牌的Booking.com訂房網站，並透過電玩網站、社群網站、廣告的惡意連結，來引誘使用者上門。一旦使用者被重新導向到假訂房網站，就會看到假的CAPTCHA圖靈驗證機制，然而，實際上，這些手段都是為了引導使用者依照指示操作，將特定命令複製貼上，並透過執行對話框執行的ClickFix網釣手法。</p> <p>使用者先是看到網站上的對話框，要求勾選我不是機器人的選項，若是照做，電腦就會複製駭客的惡意指令，並顯示接下來的「驗證步驟」：攻擊者要求使用者用快速鍵（Windows鍵+R）開啟執行視窗，然後在「驗證視窗」按Ctrl+V貼上特定資料並輸入Enter。一旦使用者照做，就會在電腦執行駭客的惡意命令，啟動PowerShell視窗，下載並執行惡意檔案，最終於電腦植入惡意程式AsyncRAT。</p> <p><a href="https://www.ithome.com.tw/news/169448"><strong style="font-size: 22px;">駭客盜用React Native、GlueStack維護團隊帳號，上架惡意NPM套件散布木馬</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/684491ed44f58ba31e6c82dd_AD_4nXf9QC66wRY7ovaRZDF7wOo5Fgd1h7lRrFU6P2vZgPR0z3faqocpJnQ0hfoaWAUGvl8sA_xiG66jqAJh__yfiFLImEiDPMszUauAZbaVHg9D5ZGzzvqkVrn6kz2xyWoUrlOxuRo6Gw.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/684491ed44f58ba31e6c82dd_AD_4nXf9QC66wRY7ovaRZDF7wOo5Fgd1h7lRrFU6P2vZgPR0z3faqocpJnQ0hfoaWAUGvl8sA_xiG66jqAJh__yfiFLImEiDPMszUauAZbaVHg9D5ZGzzvqkVrn6kz2xyWoUrlOxuRo6Gw.png" style="width: 300px; float: right;" /></a></p> <p>最近幾年駭客入侵開發團隊的帳號並冒名上傳惡意套件的情況，已有多起事故傳出，如今類似的攻擊行動再度出現，引起研究人員的關注。</p> <p>資安業者Aikido Security揭露針對React Native Aria生態系統的NPM供應鏈攻擊，這起事故發生於6月6日晚間，駭客疑似透過其中一個外流的維護人員帳號Token，發布16個React Native和GlueStack套件的惡意版本。由於這些套件相當熱門，每週下載超過100萬次，影響的範圍可能非常廣泛。</p> <p>對於這起事故發生的過程，Aikido Security以其中最早被竄改的NPM套件@react-native-aria/focus為例，駭客更動了lib/commonjs/index.js，並在第46行植入惡意程式碼。為了讓資安人員難以察覺，攻擊者使用大量空白字元混淆手法，將有問題的程式碼隱匿於螢幕難以顯示的地方。研究人員經過調查，確認是曾經鎖定另一個套件rand-user-agent的RAT木馬程式。</p> <p><a href="https://www.ithome.com.tw/news/169394"><strong style="font-size: 22px;">Meta、Yandex被揭露監聽Android本機通訊埠，橋接瀏覽器與App身分進行追蹤，引發資安疑慮</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/websites-app-ID-sharing.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/websites-app-ID-sharing.png" style="width: 300px; float: right;" /></a>西班牙IMDEA Networks Institute、荷蘭Radboud University及比利時KU Leuven等學術機構研究人員共同發表研究，發現知名科技公司Meta與Yandex在Android平臺上，透過監聽本機通訊埠的方式，建立瀏覽器與原生App之間的身分橋接，實現用戶行為的去匿名化（de-anonymizing）追蹤。此技術手法繞過了傳統的隱私保護機制，侵害行動裝置用戶的個人資料保護與隱私安全。</p> <p>研究人員發現，Meta的Facebook與Instagram應用程式，以及Yandex旗下多款應用程式，會在Android裝置中於背景持續監聽特定本地端通訊埠。當用戶開啟安裝Meta Pixel或Yandex Metrica追蹤碼的網站時，瀏覽器中的JavaScript腳本會將瀏覽行為與身分資訊經由本地端Socket傳遞至這些原生App，進而實現網頁與應用程式間的身分串接。此舉突破現行如清除Cookie、無痕瀏覽以及Android權限控管等防護，可連結原本分散、短暫的瀏覽識別與長期、個人化的App帳號或裝置識別碼，提升追蹤的精確度與持續性。</p> <p>即便用戶未明確同意Cookie政策，這些身分串接仍有機會被觸發，且由於本機通訊埠監聽並無特別權限限制，其他惡意App也可能監聽相關連接埠，衍生更多資安與個資外洩風險。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/malicious-apps-google-play-users-for-seed-phrases/">逾20款惡意App上架Google Play市集，意圖加密貨幣錢包的竊取通關密語</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/new-rust-developed-infostealer/">以Rust打造的竊資軟體鎖定Chromium瀏覽器而來，企圖竊取敏感資料</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://hunt.io/blog/pasteee-xworm-asyncrat-infrastructure#XWorm_and_AsyncRat_Indicators_of_Compromise_IOCs">程式碼共享平臺Paste.ee遭濫用，駭客意圖散布XWorm和AsyncRAT</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/kimsuky-strikes/">北韓駭客Kinsuky同時藉由臉書、電子郵件、Telegram從事網釣攻擊</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://ithome.com.tw/news/169422"><strong style="font-size: 22px;">Python壓縮檔模組tarfile存在重大資安弱點，恐導致檔案系統遭任意寫入</strong></a></p> <p>在Python環境裡，專門用來讀取、建立、打包，以及解壓縮tar檔案的程式庫tarfile，一旦出現弱點，就有可能讓攻擊者用於路徑穿越、任意檔案寫入（及覆蓋）、遠端執行任意程式碼（RCE）、權限提升、逃逸沙箱，甚至還有可能污染套件，引發供應鏈攻擊，因此該程式庫相關的弱點，往往都必須提高警覺。</p> <p>6月3日Python軟體基金會發布資安公告，指出他們針對tarfile模組修補一系列資安弱點，其中有1個重大層級、3個高風險層級，以及1個中度風險的弱點。</p> <p>這些漏洞是：CVE-2025-4517、CVE-2025-4435、CVE-2025-4330、CVE-2025-4138、CVE-2024-12718，大部分涉及如何繞過tar檔案解壓縮的過濾機制，而該機制是3.12版Python開始引入的。一旦曝險的Python透過tarfile模組來解壓縮特定功能組態、不受信任的tar檔，就有可能觸發漏洞。最嚴重的資安漏洞是CVE-2025-4517，發生在使用filter="data"的功能參數執行解壓縮的過程，使得攻擊者能夠在檔案系統任意寫入，CVSS風險達到9.4分（滿分10分）。</p> <p><a href="https://www.ithome.com.tw/news/169449"><strong style="font-size: 22px;">Google用戶的電話號碼驚傳可被暴力破解</strong></a></p> <p>資安研究人員BruteCat周一（6月9日）揭露，他利用Google在無JavaScript模式中忘了關閉的帳戶復原服務，成功地暴力破解了Google用戶的電話號碼。研究人員在今年4月將漏洞報告提交給Google，獲得5,000美元獎金，而Google則於本月確認，無JavaScript的使用者名稱復原表單已全面被棄用。</p> <p>為了避免遭到濫用，Google至少自2018年於登錄服務中就開始實施JavaScript機器人檢測框架，以防止機器人登錄。BruteCat說，他是在今年初於瀏覽器上關閉了JavaScript，想查探是否有任何Google服務在沒有JavaScript的情況下仍能運作，結果發現，帳戶復原服務竟然可正常執行。BruteCat採用IPv6以隨機切換來源位址，並利用BotGuard令牌來繞過CAPTCHA，接著利用自動化工具以於密碼恢復流程中，取得只有兩個數字的遮罩電話號碼提示，再進行暴力破解。</p> <p>BruteCat利用每小時0.3美元的伺服器資源即可執行每秒4萬次的檢查，發現找到一個正確的美國電話號碼需20分鐘，找到一個英國號碼只要4分鐘，找到一個荷蘭號碼只需15秒，新加坡號碼更只要5秒。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/hpe-patches-critical-vulnerability-in-storeonce/">HPE修補備份平臺StoreOnce重大漏洞</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169436"><strong>【6月9日】中國驚傳大規模資料外洩，40億筆民眾個資在網際網路短暫裸奔</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169399"><strong>【6月6日】鎖定求職者的網釣不再只針對IT人員，出現向企業財務高層以挖角為誘餌的網路攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169392"><strong>【6月5日】Roundcube存在9.9分的重大層級漏洞，恐波及其他內建此郵件伺服器的系統</strong></a></p> </div></div></div>
2025/6/10 16:47作者周峻佑https://www.ithome.com.tw/news/169459
中國駭客鎖定資安業者SentinelOne而來，意圖對用戶從事供應鏈攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>EDR是網路攻擊者的眼中釘，除了設法迴避偵測，若能設法攻陷、破壞這些資安產品與服務、敗壞資安公司商譽，對他們自然有很大的好處，而對於資安廠商而言，協助客戶做好防護之餘，自保也很重要！4月底資安業者SentinelOne揭露<a href="https://www.sentinelone.com/labs/top-tier-target-what-it-takes-to-defend-a-cybersecurity-company-from-todays-adversaries/">有多組人馬針對他們而來</a>的情況，這些攻擊者大致可分成3種類型，分別是以IT工作者名義求職的北韓駭客、試圖存取及濫用該公司資安平臺的勒索軟體駿客，以及鎖定他們客戶及業務的中國駭客組織。如今該公司針對中國駭客的活動，<a href="https://www.sentinelone.com/labs/follow-the-smoke-china-nexus-threat-actors-hammer-at-the-doors-of-top-tier-targets/">公布更完整的調查結果</a>。</p> <p>針對相關事故的調查過程，SentinelOne指出他們起初於去年10月，察覺駭客偵察該公司網路環境的活動並進行追蹤，結果發現兩波攻擊行動，並將活動命名為PurpleHaze和ShadowPad。該公司強調，經過徹底調查及確認，他們的基礎設施、軟體與硬體均未被入侵。</p> <p>而對於受害企業的部分，SentinelOne表示，發生在他們網路環境的活動，僅是這些駭客攻擊活動的一部分，最早可追溯到去年6月，而且，該公司並非唯一的目標，他們認為，自己遭到攻擊僅是大規模攻擊的一部分。</p> <p>針對這兩波攻擊，研究人員提及在PurpleHaze發生在去年9月至10月，駭客使用後門程式GOREshell建立反向SSH連線，此後門程式以Go語言打造而成，鎖定Windows、Linux電腦下手，共通點是駭客使用相同的SSH私鑰進行，此外，為了抹除證據，他們也使用自製工具清除事件記錄檔案。</p> <p>另一波攻擊行動ShadowPad延續的時間較長，為去年6月至今年3月，駭客使用PowerShell命令下載經過混淆處理的惡意程式ShadowPad，並使用 DNS over HTTPS（DOH）建立C2連線以迴避偵測，研究人員提及，駭客取得初始入侵管道的方式，疑似透過Check Point安全閘道設備弱點得逞。</p> <p>而對於這些攻擊行動，研究人員分別看到三起事故。以ShadowPad而言，駭客在去年6月對南亞政府組織下手，接著，他們自7月至今年3月，對全球超過70個企業組織展開攻擊，範圍橫跨製造、政府、金融、電信，以及研究領域。</p> <p>最後一波攻擊與SentinelOne有關，今年初，駭客入侵一家經營IT服務與物流的公司，而該公司當時負責SentinelOne員工硬體設備的物流業務。</p> <p>在PurpleHaze活動期間裡，也同樣發生三起事故。第一起是針對上述提及的南亞政府機關，於去年10月散布GOREshell，過程裡採用中國經營的Operational Relay Box（ORB）網路。</p> <p>第二起事故也發生在10月，駭客針對SentinelOne可透過網際網路存取的伺服器試圖進行偵測，這起事故駭客使用的基礎設施，與攻擊南亞政府機關的團體有關。</p> <p>研究人員提及發生於去年9月下旬的事故，駭客入侵一家歐洲媒體，除了使用GOREshell，還使用PHP打造的Web Shell，以及名為The Hacker's Choice的工具。他們提及駭客入侵的管道，是利用Ivanti Cloud Services Appliance的資安漏洞CVE-2024-8963和CVE-2024-8190，而當時這些漏洞尚未公開。</p> </div></div></div>
2025/6/10 16:25作者周峻佑https://www.ithome.com.tw/news/169453
惡意軟體AsyncRAT透過冒牌Booking.com訂房網站散布
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近幾年許多人報復性出遊，並選擇以自助旅行的方式出國，為了安排住宿，很有可能會透過訂房網站來挑選旅館，然而駭客也看上這點來引誘旅客上當，藉此散布惡意程式。</p> <p>資安業者Malwarebytes揭露<a href="https://www.malwarebytes.com/blog/news/2025/06/victims-risk-asyncrat-infection-after-being-redirected-to-fake-booking-sites">自5月中旬出現的網釣攻擊活動</a>，駭客設置冒牌的Booking.com訂房網站，並透過電玩網站、社群網站、廣告的惡意連結，來引誘使用者上門。一旦使用者被重新導向到假訂房網站，就會看到假的CAPTCHA圖靈驗證機制，然而，實際上，這些手段都是為了引導使用者依照指示操作，將特定命令複製貼上，並透過執行對話框執行的ClickFix網釣手法。</p> <p>使用者先是看到網站上的對話框，要求勾選我不是機器人的選項，若是照做，電腦就會複製駭客的惡意指令，並顯示接下來的「驗證步驟」：攻擊者要求使用者用快速鍵（Windows鍵+R）開啟執行視窗，然後在「驗證視窗」按Ctrl+V貼上特定資料並輸入Enter。一旦使用者照做，就會在電腦執行駭客的惡意命令，啟動PowerShell視窗，下載並執行惡意檔案，最終於電腦植入惡意程式AsyncRAT。</p> <p>研究人員提及，若是Chrome的使用者，過程中可能會看到警示訊息，指出該網站試圖檢視剪貼簿的文字與圖片內容，但一般人往往為了讓流程繼續進行，而而在未了解警示訊息含義的狀態中，就按下同意，錯失察覺異狀的機會。</p> </div></div></div>
2025/6/10 14:47作者周峻佑https://www.ithome.com.tw/news/169451
駭客盜用React Native、GlueStack維護團隊帳號，上架惡意NPM套件散布木馬
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近幾年駭客入侵開發團隊的帳號並冒名上傳惡意套件的情況，已有多起事故傳出，如今類似的攻擊行動再度出現，引起研究人員的關注。</p> <p>資安業者Aikido Security揭露<a href="https://www.aikido.dev/blog/supply-chain-attack-on-react-native-aria-ecosystem">針對React Native Aria生態系統的NPM供應鏈攻擊</a>，這起事故發生於6月6日晚間，駭客疑似透過其中一個外流的維護人員帳號Token，發布16個React Native和GlueStack套件的惡意版本。由於這些套件相當熱門，每週下載超過100萬次，影響的範圍可能非常廣泛。</p> <p>React Native Aria生態系統是基於React Native 的程式庫和工具，能夠協助開發者建構跨平臺的使用者介面（UI），具備能靈活自定、整合網頁應用程式常見的W3C ARIA Authoring Practices Guide實作標準，從而提升使用者體驗，擴展用戶群體。</p> <p>對於這起事故發生的過程，Aikido Security以其中最早被竄改的NPM套件@react-native-aria/focus為例，駭客更動了lib/commonjs/index.js，並在第46行植入惡意程式碼。為了讓資安人員難以察覺，攻擊者使用大量空白字元混淆手法，將有問題的程式碼隱匿於螢幕難以顯示的地方。研究人員經過調查，確認是曾經鎖定另一個套件rand-user-agent的RAT木馬程式。</p> <p>附帶一提的是，這次研究人員看到的木馬程式，還是存在一些差異。其中最大的不同點，就是具有備援C2伺服器，並能夠根據程式碼的版本進行切換；再者，新的木馬程式能搜括受害電腦的系統資訊，並發出外部請求與回傳指定IP位址的資訊。</p> </div></div></div>
2025/6/10 12:45作者周峻佑https://www.ithome.com.tw/news/169448
OpenAI年度經常性收入突破100億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據外電報導，OpenAI根據今年6月的營收，推估其年度經常性收入（Annual Recurring Revenue，ARR）已突破100億美元。</p> <p>ARR是一種衡量訂閱型或經常性收入商業模式的指標，用來表示公司於1年內可穩定獲得的收入，因此，這次的100億美元估值，並未包含來自微軟的授權收入與其它大型的一次性交易。<a href="https://www.cnbc.com/2025/06/09/openai-hits-10-billion-in-annualized-revenue-fueled-by-chatgpt-growth.html" target="_blank">根據CNBC的報導</a>，OpenAI去年的ARR約為55億美元，同時也虧損了50億美元。</p> <p>OpenAI的收入涵蓋消費者訂閱服務，ChatGPT商業產品，以及API。<a href="https://www.ithome.com.tw/news/165748" target="_blank">去年10月時</a>，約有75%的營收來自一般消費者的訂閱。</p> <p>OpenAI今年的營收目標為127億美元，預計要到2029年完成1,250億美元的營收目標之後才會獲利。</p> <p>OpenAI在今年3月底展開<a href="https://www.ithome.com.tw/news/168182" target="_blank">新一輪融資</a>，規模為400億美元，完成後的OpenAI市值將攀上3,000億美元。</p> <p>不只是OpenAI的ARR大幅成長，根據<a href="https://www.ft.com/content/1ffc5fe7-6872-42a0-8b98-dc685f9c33c6" target="_blank">金融時報（Financial Times，FT）的報導</a>，AI開發工具Cursor的ARR也從2024年接近1億美元的狀態，成長至今年的5億美元。</p> </div></div></div>
2025/6/10 13:35作者陳曉莉https://www.ithome.com.tw/news/169450
特斯拉機器人部門工程主管離職
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>特斯拉人型機器人部門的研發主管<a href="https://x.com/_milankovac_/status/1931097888995807554" target="_blank">Milan Kovac上周宣布</a>將在任職近10年後離開。</p> <p>Kovac表示離開是為了多陪伴在國外的家人，但他之後仍然會留在美國。<a href="https://x.com/elonmusk/status/1931106237049151880" target="_blank">馬斯克（Elon Musk）也在其X感謝Kovac的貢獻</a>。</p> <p>Kovac於2016年加入特斯拉Autopilot部門，之後成為主管。2022年他再率領人型機器人Optimus部門，同時開發軟、硬體平臺。他強調，特斯拉機器人Optimus運作不會因他的離開有任何改變。</p> <p>Optimus是馬斯克實現AI機器人夢想的載具。<a href="https://uk.news.yahoo.com/elon-musks-prediction-ai-humanoid-100117434.html" target="_blank">他曾大膽預期</a>，未來地球上單價2萬到2.5萬美元的人型機器人數量將超過人類，<a href="https://www.cnn.com/2025/03/25/tech/china-robots-market-competitiveness-intl-hnk" target="_blank">因而是個10兆美元的產業</a>。此外，<a href="https://electrek.co/2025/01/31/elon-musk-says-tesla-aims-to-build-10000-optimus-robots-this-year/" target="_blank">馬斯克去年對分析師說</a>，希望在2025年內生產1萬個Optimus機器人，雖然他也承認是深具野心的目標。</p> <p>此外，馬斯克的機器人業務是否會受到最近他和川普針對大而美法案（Big and Beautiful Act）隔空交鋒影響有待觀察。<a href="https://www.wired.com/story/elon-musk-federal-contracts-government/" target="_blank">川普揚言</a>要終止給馬斯克旗下公司如SpaceX、特斯拉等的聯邦補助和政府合約，總值高達480億美元。</p> </div></div></div>
2025/6/10 12:45作者林妍溱https://www.ithome.com.tw/news/169447
Google用戶的電話號碼可被暴力破解
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://brutecat.com/articles/leaking-google-phones" target="_blank">資安研究人員BruteCat周一（6/9）揭露</a>，他利用Google在無JavaScript模式中忘了關閉的帳戶復原服務，成功地暴力破解了Google用戶的電話號碼。</p> <p>為了避免遭到濫用，Google至少自2018年於登錄服務中就開始實施JavaScript機器人檢測框架，以防止機器人登錄。BruteCat說，他是在今年初於瀏覽器上關閉了JavaScript，想查探是否有任何Google服務在沒有JavaScript的情況下仍能運作，發現帳戶復原服務竟然還是有效的。</p> <p>該服務允許透過兩個HTTP請求，來檢查所輸入的電子郵件或電話號碼是否與所顯示的特定名字有關。</p> <p>儘管Google試圖藉由限制單一IP的請求頻率，以及人機驗證CAPTCHA來減少濫用行為。但BruteCat採用IPv6以隨機切換來源位址，並利用BotGuard令牌來繞過CAPTCHA，接著撰寫一個自動化工具以於密碼恢復流程中，取得只有兩個數字的遮罩電話號碼提示，再進行暴力破解。</p> <p>BruteCat利用每小時0.3美元的伺服器資源即可執行每秒4萬次的檢查，發現找到一個正確的美國電話號碼只要20分鐘，找到一個英國號碼只要4分，找到一個荷蘭號碼只需15秒，新加坡號碼更只要5秒。</p> <p>他在今年4月將漏洞報告提交給Google，獲得5,000美元的獎金，而Google則於今年6月確認，無JavaScript的使用者名稱復原表單已全面被棄用。</p> </div></div></div>
2025/6/10 13:18作者陳曉莉https://www.ithome.com.tw/news/169449
蘋果公布macOS Tahoe 26 將成Intel-based Mac最後一代OS
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在臺北時間周二（6/10）凌晨舉行的WWDC 2025上，蘋果公布了最新桌機作業系統<a href="https://www.apple.com/newsroom/2025/06/macos-tahoe-26-makes-the-mac-more-capable-productive-and-intelligent-than-ever/" target="_blank">macOS Tahoe 26</a>，採用新的視覺介面語言Liquid Glass，並強化手機和Mac電腦接續（Continuity）應用、改良Spotlight、及新增Apple Intelligence及支援捷徑等。而蘋果預告，這也是Intel-based Mac最後一個可更新的macOS。</p> <p><a href="https://www.ithome.com.tw/news/169319" target="_blank">一如彭博早先報導</a>，最新macOS以加州度假勝地太浩湖（Lake Tahoe）為其代號名稱，並且所有OS版本打破過去使用的序號系統，全面改採以年份命名。</p> <p>Mac Tahoe 26支援產品包括使用Apple silicon的MacBook Air（2020及以後）及MacBook Pro（2020及以後）；MacBook Pro（16吋、2019）；MacBook Pro（13吋，2020）、iMac（2020及以後）、Mac mini（2020及以後）、Mac Studio（2022及以後）、Mac Pro（2019及以後）。</p> <p>今天macOS Tahoe 26已提供開發人員測試版，公測版預定下個月釋出，而正式版則一如往年，會在秋天推出。</p> <p><a href="https://www.theverge.com/news/683846/macos-tahoe-intel-x86-arm-m-cpu" target="_blank">The Verge引述蘋果公司官方說法報導</a>，Tahoe是Intel-based Mac最後一個能更新的macOS版本。用戶若想使用macOS 27以後的新作業系統，必須使用搭載Apple Silicon的Mac筆電。</p> <p><span style="color:#B22222;"><strong>Liquid Glass</strong></span></p> <p>全新的Liquid Glass取其一如湖水映照天光山色，為Tahoe介面賦予半透明感且反映周遭環境。選單列完全變透明，可讓顯示器變得更大；Dock、側邊欄與工具列也更著重突顯使用者內容。選單和控制中心（Control Center）提供更多客製化控制，資料匣也能改變色彩增加表情或符號，配合個人化桌布和布景主題，允許用戶創造個人化Mac使用體驗。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0610-Apple-WWDC25-macOS-Liquid%20Glass.jpg" style="width: 600px;" /></p> <hr /> <p><span style="color:#B22222;"><strong>Continuity</strong></span></p> <p>新Mac也強化了加入讓用戶在Mac電腦接續鄰近iPhone電話的接續（Continuity），由iOS移植二項功能。一是Phone（電話）App，除了近日通話、喜愛的聯絡人（Favorites）和語音郵件，新版本還加入來電過濾（Call Screening）及保留輔助（Hold Assist），後者可讓用戶邊等待撥通邊持續Mac電腦上的工作。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0610-Apple-WWDC25-macOS-26-Phone-app-Continuity.jpg" style="width: 600px;" /></p> <p>目前來電過濾已支援繁體中文，但FaceTime/電話的Live Translation還不支援中文。Message中的Live Translation已支援簡中。</p> <p>Continuity第二項新增功能是Live Activities可顯示在Mac電腦選單上。點入Live Activities，Phone App會在iPhone鏡像輸出（iPhone Mirroring）模式中開啟，顯示即時接收最新動態，如Uber接送、運動賽事或飛機航班資訊等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0610-wwdc-macos%2026-Live%20Activities%20from%20iPhone.png" style="width: 600px;" /></p> <hr /> <p><span style="color:#B22222;"><strong>Spotlight</strong></span></p> <p>搜尋功能Spotlight獲得號稱最大改版。現在Spotlight會列出所有搜尋結果，再依用戶關聯性智慧排列。它能限縮特定文件類型，如PDF或郵件，還能搜尋儲存在第三方雲端硬碟的文件。新的瀏覽檢視功能可掃過所有應用、檔案、剪貼簿紀錄等，幫助用戶找到沒有明確線索的目標。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0610-wwdc-macos%2026-Spotlight.png" style="width: 600px;" /></p> <p>透過App Intents API串聯App，用戶現在能直接在Spotlight執行多種作業，包括寄發電子郵件、建立筆記或播放podcast，不再需要在不同App間切換。用戶也能從App選單列建立捷徑以執行作業。Spotlight並支援快速鍵，它也能記憶用戶長期行為，而顯示個人化行動選項。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0610-wwdc-macos%2026-Spotlight-2.png" style="width: 600px;" /></p> <hr /> <p><span style="color:#B22222;"><strong>Apple Intelligence</strong></span></p> <p>雖然macOS並未包含AI重大革新，但蘋果仍然為Apple Intelligence加入新功能，包括Message、FaceTime、Phone App通話上的即時翻譯（Live Translation）文字或字幕翻譯。其次，用戶可為Apple Intelligence功能建立捷徑，如撰文助理Writing Tools及圖片生成Image Playground，或直接點選Mac電腦或Private Cloud Compute上的模型生成回應，日後再匯入捷徑。此外還能建立串聯AI的捷徑，例如以Apple Intelligence模型比對上課錄音檔和筆記，再增加漏記的重點，也能自動化執行，像是在一天特定時間或儲存檔案到特定資料匣。</p> <p>其他包括以AI自建Genmoji、在Image Playground以ChatGPT畫圖或是Apple Intelligence檢視郵件、網站及筆記自動發送提醒，且自動為「提醒」分類。</p> <p><span style="color:#B22222;"><strong>Tahoe其他新功能</strong></span></p> <p>Safari新介面元素如浮動圓形標籤頁設計、新刷新側邊欄，提升可使用性與Chrome相比，Safari載入經常訪問的網站速度提高50%，為減少追蹤連接攻擊，Safari瀏覽器現在預設啟用網站指紋保護。密碼功能加入提示方便用戶檢視他們的更改紀錄，包括檢查他們儲存密碼的先前版本，以及變更時間的詳細資訊。</p> <p>Messages應用程式加入背景、投票和新的詳細信息檢視。日記（Journal）App登陸Mac，在Mac上，用戶可以建立多個日記，以地圖查找，也能在Apple設備之間同步。Notes添加筆記匯入／匯出到檔案，並支援將iPhone App的對話擷取出附有聽寫的錄音檔。</p> <p>Photos App改用Liquid Glass設計、自定義功能、也加入了釘選照片集，點擊側邊欄即可訪問。FaceTime也改版為Liquid Glass設計，新的“更多”功能包括使用者快速訪問SharePlay和即時翻譯等功能。</p> <p>輔助功能包括Mac上的「放大器」功能，視力不佳的用戶能使用iPhone上的「Continuity Camera」或外接USB攝影機來放大周圍環境。Vehicle Motion Cues，它有助於減少行動車輛中的暈動症。<span style="font-size:14px;"><span style="color:#696969;">圖片來源／蘋果</span></span></p> </div></div></div>
2025/6/10 11:37作者林妍溱https://www.ithome.com.tw/news/169445
VMware NSX存在XSS重要風險漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/25738" target="_blank">博通旗下的VMware上周發出安全公告</a>，修補3項網路虛擬化和安全平臺NSX資安漏洞。</p> <p>這三項漏洞分別為CVE-2025-22243、CVE-2025-22244和CVE-2025-22245，屬於「重要」（important）漏洞。影響產品包括VMware NSX、VMware Cloud Foundation和VMware Telco Cloud Platform。</p> <p>其中CVE-2025-22243為NSX Manager UI中的儲存型跨站腳本攻擊（Stored cross-site scripting）漏洞，源自對輸入驗證不當。具有建立或修改網站設定的攻擊者可注入惡意程式碼，在他人檢視網路設定時執行。CVSS v3風險值為7.5。</p> <p>CVE-2025-22244亦為儲存型跨站腳本攻擊（Stored cross-site scripting）漏洞，本漏洞位於閘道防火牆。具備過濾URL的防火牆回應頁建立和修改權限的攻擊者，可注入惡意程式碼，並在另一名用戶試圖存取網頁時執行。本漏洞風險值為6.9。</p> <p>CVE-2025-22245也是類似的儲存型跨站腳本攻擊漏洞，影響路由器傳輸埠。攻擊者若具備新增或修改路由器傳輸埠的權限，即可注入惡意程式碼，在他人存取傳輸埠時執行。漏洞CVSS 風險值為5.9。</p> <p>受影響產品包括VMWare NSX 4.2.x、4.2.1.x、4.1.x、4.0.x、3.2.x；VMware Cloud Foundation 5.2.x、5.1.x、5.0.x、4.5.x；VMware Telco Cloud Infrastructure 5.x、4.x、3.x、2.x。VMware部門已經釋出解決漏洞的更新軟體。</p> <p>CVE-2025-22243為研究人員Dawid Jonienc通報，CVE-2025-22244及CVE-2025-22245則為波蘭ING Hubs研究人員Łukasz Rupala of通報。</p> </div></div></div>
2025/6/10 12:17作者林妍溱https://www.ithome.com.tw/news/169446
蘋果發表基礎模型框架，供第三方存取裝置上模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果於周一（6/9）舉行的WWDC大會上，<a href="https://www.apple.com/newsroom/2025/06/apple-supercharges-its-tools-and-technologies-for-developers/" target="_blank">發表了基礎模型（Foundation Models）框架</a>，允許第三方開發者存取蘋果裝置上所內建的大型語言模型，亦即 Apple Intelligence所使用的模型，以於程式中整合AI能力。</p> <p class="rtecenter"><a href="http://developer.apple.com/documentation/foundationmodels" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0610-Foundation%20Models-apple.png" style="width: 585px;" /></a></p> <p>目前<a href="https://developer.apple.com/documentation/foundationmodels" target="_blank">此一位於裝置上的模型</a>擅長各種文本生成任務，像是摘要、實體萃取、文字理解、優化、遊戲對話，以及生成創意內容等，它可根據開發者的需求作出回應，也能決定呼叫開發者所撰寫的程式碼來執行專門任務。</p> <p>由於該框架原生支援Swift，使得開發者只需要撰寫短短的3行程式碼就能存取Apple Intelligence模型。開發者可藉由@Generable巨集來讓模型生成Swift資料結構，或是利用Tool來建立客製化的工具以供該模型呼叫。Automattic正於日記程式Day One中使用該框架，以替使用者帶來基於隱私的AI功能。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0610-wwdc%2025-%20Foundation%20Models%20framework-apple%20intelligence-app.png" style="width: 404px;" /></p> <p><a href="https://www.apple.com/cm/newsroom/2025/06/apple-intelligence-gets-even-more-powerful-with-new-capabilities-across-apple-devices/" target="_blank">蘋果表示</a>，此一基礎模型框架讓開發者得以建置以AI驅動的功能，這些功能既可離線，也能保護使用者隱私，而且也不會產生推理成本，例如教育應用程式可根據裝置上的使用者筆記生成測驗，戶外應用程式也能添加自然語言搜尋功能，即使使用者處於離線狀態也能使用。</p> <p>基礎模型框架即日起透過蘋果開發者計畫（Apple Developer Program）展開測試，公開測試版則會在下個月藉由Apple Beta Software Program釋出。<span style="font-size:14px;"><span style="color:#696969;">圖片來源／蘋果</span></span></p> </div></div></div>
2025/6/10 11:03作者陳曉莉https://www.ithome.com.tw/news/169444
Python壓縮檔模組tarfile存在重大資安弱點，恐導致檔案系統遭任意寫入
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在Python環境裡，專門用來讀取、建立、打包，以及解壓縮tar檔案的程式庫tarfile，一旦出現弱點，就有可能讓攻擊者用於路徑穿越、任意檔案寫入（及覆蓋）、遠端執行任意程式碼（RCE）、權限提升、逃逸沙箱，甚至還有可能污染套件，引發供應鏈攻擊，因此該程式庫相關的弱點，往往都必須提高警覺。</p> <p>6月3日Python軟體基金會發布資安公告，指出他們針對tarfile模組<a href="https://mail.python.org/archives/list/[email protected]/thread/MAXIJJCUUMCL7ATZNDVEGGHUMQMUUKLG/">修補一系列資安弱點</a>，其中有1個重大層級、3個高風險層級，以及1個中度風險的弱點。</p> <p>這些漏洞是：CVE-2025-4517、CVE-2025-4435、CVE-2025-4330、CVE-2025-4138、CVE-2024-12718，大部分涉及如何繞過tar檔案解壓縮的過濾機制，而該機制是3.12版Python開始引入的。一旦曝險的Python透過tarfile模組來解壓縮特定功能組態、不受信任的tar檔，就有可能觸發漏洞，此外，雖然仍在測試階段的3.14版預設過濾功能參數有所調整，但只要使用者採用預設組態，同樣也可能會受到影響。假若Python在未啟用過濾機制的情況下解壓縮不受信任的tar檔，那麼就會導致攻擊者能在解壓縮資料夾的外部進行任意寫入。</p> <p>值得留意的是，雖然該基金會指出上述弱點與3.12版引入的功能有關，但他們不光發布了<a href="https://docs.python.org/release/3.13.4/whatsnew/changelog.html#security">3.13.4</a>、<a href="https://docs.python.org/release/3.12.11/whatsnew/changelog.html#security">3.12.11</a>版更新，也對舊版推出<a href="https://docs.python.org/release/3.11.13/whatsnew/changelog.html#security">3.11.13</a>、<a href="https://docs.python.org/release/3.10.18/whatsnew/changelog.html#security">3.10.18</a>、<a href="https://docs.python.org/release/3.9.23/whatsnew/changelog.html#security">3.9.23</a>版修補相關漏洞。</p> <p>最嚴重的資安漏洞是<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-4517">CVE-2025-4517</a>，發生在使用filter="data"的功能參數執行解壓縮的過程，使得攻擊者能夠在檔案系統任意寫入，CVSS風險達到9.4分（滿分10分）。</p> <p>另外幾個高風險漏洞CVE-2025-4435、CVE-2025-4330、CVE-2025-4138也值得留意，風險值皆為7.5，其中的CVE-2025-4435涉及套用特定參數TarFile.errorlevel = 0的時候，理應被過濾的惡意檔案仍能解壓縮；CVE-2025-4330能忽略過濾機制並建立符號連結（Symlink）；至於CVE-2025-4138，可讓攻擊者建立解壓縮資料夾外部的符號連結。</p> </div></div></div>
2025/6/10 09:53作者周峻佑https://www.ithome.com.tw/news/169422
蘋果研究：一旦問題變複雜，大型語言與推理模型便暴露盲點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果研究人員日前發布了一個有關推理模型的AI研究報告《<a href="https://machinelearning.apple.com/research/illusion-of-thinking" target="_blank">The Illusion of Thinking: Understanding the Strengths and Limitations of Reasoning Models via the Lens of Problem Complexity</a>》，主要探索問題的複雜度是否會影響推理模型的表現，發現當問題很簡單時，AI看起來很聰明，但一旦問題變得複雜，便會曝露AI的局限性。</p> <p>此一研究方向源自於近來AI領域出現了一個名為大型推理模型（Large Reasoning Models，LRMs）的新方向，像是OpenAI的o1與o3，DeepSeek-R1、Claude 3.7 Sonnet Thinking，以及Gemini Thinking等，標榜具備「思考」特性，強調長鏈思考（Chain-of-Thought，CoT）與自我反省，且在各種推理基準測試中表現良好。</p> <p>研究人員以《河內塔》（<a href="https://www.mathsisfun.com/games/towerofhanoi.html" target="_blank">Tower of Hanoi</a>）及最短路徑等經典邏輯遊戲來測試LLM與LRM，結果發現它們都很容易就完成3個圓盤的任務，但就算只是移動7個圓盤，Claude模型的準確率都不到80%，而且其它模型也沒有好到哪裡去。</p> <p>結論是在低複雜度下，非思考模型相對準確；隨著複雜度的增加，推理模型的表現更好，但需要更多的Token；而在高難度下，不管是LLM或LRM都會直接崩潰。</p> <p>更令人意外的是，就算提供它們正確的演算法，模型仍無法顯著地改善表現，亦發現不管是什麼種類的問題，模型都無法將推理能力延伸到訓練資料以外。</p> <p><a href="https://x.com/wolfejosh/status/1931182279755178074" target="_blank">科技領域投資人Josh Wolfe總結了該報告</a>，指出LLM過度思考簡單問題，遇到複雜問題時卻在還有很多運算資源時便早早放棄；就算掌握了正確的演算法還是會搞砸，顯示它們缺乏的是基本邏輯；這些模型不具備推理能力，而只是昂貴的模式比對器。</p> <p><a href="https://garymarcus.substack.com/p/a-knockout-blow-for-llms" target="_blank">該論文共同作者Iman Mirzadeh向美國認知科學家Gary Marcus透露</a>，其論點是LRM的處理過程既不合邏輯，也不聰明。</p> <p>Marcus表示，他喜歡AI，但人類如果在《河內塔》這種遊戲上失敗，往往是因為記憶力不足，而擁有數GB記憶體的LLMs不應有同樣的藉口；該報告基本上展現出，不管人們如何定義通用人工智慧，LLMs都還無法取代優秀且規範明確的傳統演算法。</p> </div></div></div>
2025/6/10 08:23作者陳曉莉https://www.ithome.com.tw/news/169442
開源多媒體處理函式庫FFmpeg原生整合WebRTC，增強低延遲串流場景支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>長期主導開源影音生態的多媒體處理函式庫FFmpeg，正式將WebRTC支援<a href="http://git.ffmpeg.org/gitweb/ffmpeg.git/commit/167e343bbe75515a80db8ee72ffa0c607c944a00">合併</a>入主線，並新增WHIP muxer（WebRTC-HTTP Ingestion Protocol Multiplexer），使FFmpeg原生具備次秒級低延遲串流輸出能力。這項更新使FFmpeg正式進入WebRTC生態系，功能從離線轉檔與解編碼，擴展至互動直播與雲端製播等即時性場景。</p> <p>WebRTC已成為現代瀏覽器與行動應用低延遲影音傳輸的主要標準。過去當要從FFmpeg推送串流至WebRTC平臺，開發者需額外部署轉接服務或自建媒體閘道，將RTP或其他封裝格式橋接至WebRTC，而這會造成架構複雜與延遲難以控制。</p> <p>新加入的WHIP muxer讓使用者在FFmpeg指令中加入-f whip參數，即可將音訊與視訊串流直接送到支援WHIP的WebRTC伺服器。無論是自建串流平臺、即時監控整合或互動視訊服務開發，開發者及硬體設備廠商只要內建FFmpeg，即可直接輸出WebRTC串流，進一步縮短整合時程並減少伺服器資源消耗，提供額外低延遲串流選項。</p> <p>WHIP在今年3月獲IETF定版為<a href="https://datatracker.ietf.org/doc/rfc9725/">RFC 9725</a>，協定設計強調最小訊號交換流程以完成即時推送串流，採用HTTPS進行會話協商，並以UDP傳送加密RTP封包，連線建立時間更短，具備NAT穿透與安全傳輸特性，特別適用於互動直播、雲端遊戲、遠距教學等對延遲敏感的應用。</p> <p>此次合併涉及約三千行程式碼的新增與重構，涵蓋協定協商、會話管理與加密傳輸等機制，使FFmpeg與GStreamer、OBS Studio等主流工具在WebRTC支援更趨一致，形成完整且互通的開源串流生態。</p> </div></div></div>
2025/6/10 08:43作者李建興https://www.ithome.com.tw/news/169437
【資安日報】6月9日，中國驚傳大規模資料外洩，40億筆民眾個資在網際網路短暫裸奔
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本日資安新聞環繞兩大主題：中國與勒索軟體；在中國的部分，彙整當地民眾的40億筆記錄大型資料庫曝光最受到矚目，其次，中國駭客使用iMessage零點擊漏洞攻擊政要，以及鎖定SQL Server、NetWeaver等應用系統入侵企業組織的情況，也相當值得留意。</p> <p>而在勒索軟體的部分，駭客組織Qilin的活動再度浮上檯面，在此同時，攻擊者假借提供AI工具之名的線上平臺，成為散布勒索軟體的另類管道。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169435"><strong style="font-size: 22px;">中國驚傳大規模資料外洩，40億筆民眾個資在網際網路裸奔一天</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/china-leak-data-sample2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/china-leak-data-sample2.png" style="width: 300px; float: right;" /></a></p> <p>中國政府藉由收集民眾各式資料進行監控的情況，不時有相關消息傳出，然而這些資料保護不周的現象也時有所聞，最近有一起大規模資料外洩事故，引起全球高度關注。</p> <p>資安新聞網站Cybernews的研究團隊與資安業者Security Discovery聯手，於5月19日發現未受密碼保護的大型資料庫，內有超過40億筆用戶記錄，檔案大小為631 GB，內含金融財務資料、微信及支付寶（Alipay）的詳細資料，而且，大部分資料來自中國的使用者。研究人員認為，這應該是中國史上規模最大的資料外洩事故。</p> <p>這批資料裡面有什麼？Cybernews提及持有者疑似將內容依據類型分成16種資料集存放，根據筆數多寡，最多的是名為wechatid_db的資料集，內有8.05億筆微信帳號資料；其次是名為address_db的資料集，內有7.8億筆住宅的地理識別資訊，第三大的資料集名稱為bank，內有6.3億筆涉及信用卡號、存款、消費習慣的金融財務資料。研究人員指出，相關資料是透過精心收集與維護，目的很有可能是彙整所有中國民眾的行為、經濟能力，以及社會狀態。</p> <p><a href="https://www.ithome.com.tw/news/169423"><strong style="font-size: 22px;">中國資助的駭客利用iMessage零點擊漏洞Nickname，攻擊歐美重要人物</strong></a></p> <p>端點防護業者iVerify發現駭客組織利用iPhone上的iMessage漏洞攻擊歐美政治人物、媒體高層、AI廠商等重要人物，過程裡完全無需使用者互動。他們也透露這些受害者的共通點，就是曾遭到另一駭客組織Salt Typhoon攻擊。</p> <p>去年底到今年三月間之前，多位iPhone用戶發生手機當機事件，iVerify研究人員分析是和iMessage有關的零點擊攻擊，這波攻擊源自iMessage的imagent行程（process）中的一個漏洞，該漏洞基於其功能和位置因而之前未曾被揭露，iVerify將其命名為NICKNAME。</p> <p>研究人員發現，有6名iPhone用戶遭到和iMessage有關的攻擊。其中一名用戶手機頻繁發生當機後，iMessage附件在數秒內被一次大量刪除或新增的異常情形。這類異常情況僅發生在高價值，如重要政經人物身上。另一個證據是，其中一位用戶是歐盟資深政府官員，他曾接到蘋果發送威脅通知，這類通知的對象是國家駭客或政府監聽活動鎖定的iPhone用戶。</p> <p><a href="https://www.ithome.com.tw/news/169419"><strong style="font-size: 22px;">中國駭客Earth Lamia鎖定SQL Server、NetWeaver等應用系統而來，利用已知漏洞入侵受害組織</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/EarthLamiafig01-01.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/EarthLamiafig01-01.png" style="width: 300px; float: right;" /></a>5月上旬威脅情報業者EclecticIQ指出，與中國國家安全部（MSS）有關的駭客團體CL-STA-0048、UNC5221，以及UNC5174，利用SAP修補的NetWeaver滿分漏洞CVE-2025-31324，廣泛於英國、美國、沙烏地阿拉伯發動攻擊，現在有研究人員公布長期調查的結果，指出這些駭客長期針對網頁應用系統的資安漏洞來入侵受害組織，得逞後透過多種手法從事網路間諜活動，竊取內部資料。</p> <p>資安業者趨勢科技指出，他們從2023年追蹤與上述團體有關的中國駭客組織Earth Lamia，這些駭客主要針對巴西、印度、東南亞的企業組織從事攻擊行動，他們利用的管道，是透過網頁應用程式的SQL注入漏洞存取受害組織的SQL Server，這些駭客也擅於使用已知漏洞對能夠從網際網路存取的伺服器下手。</p> <p>這些駭客經常透過掃描找出目標網站的SQL注入漏洞，一旦找到漏洞，他們就會試圖開啟系統的Shell，從而得到SQL Server的遠端存取管道。但除了試圖利用SQL注入手法，駭客也使用已知漏洞來攻擊其他應用程式伺服器。</p> <p><a href="https://www.ithome.com.tw/news/169434"><strong style="font-size: 22px;">勒索軟體Qilin利用Fortinet已知漏洞從事攻擊行動</strong></a></p> <p>根據資安新聞網站Bleeping Computer的報導，資安業者Prodaft指出，勒索軟體駭客Qilin在今年5月至6月之間，發起鎖定多個企業組織的攻擊活動，利用Fortinet防火牆的已知漏洞來取得初始入侵管道，其中包含CVE-2024-21762、CVE-2024-55591。</p> <p>而對於這些駭客針對的目標，研究人員指出共通點是來自使用西班牙語的國家，但他們認為駭客應該會隨機挑選下手目標，而非特別局限於特定的地理區域從事相關活動。</p> <p>上述研究人員提及的防火牆漏洞，皆已用於實際攻擊行動，而且，CVE-2024-55591被用於散布勒索軟體已非首例，今年1月下旬，使用俄語的駭客組織Mora_001藉此部署以LockBit 3.0為基礎的勒索軟體SuperBlack；另一個漏洞CVE-2024-21762，美國網路安全暨基礎設施安全局（CISA）於2月列入已遭利用的漏洞名冊（KEV）。</p> <p><a href="https://www.ithome.com.tw/news/169407"><strong style="font-size: 22px;">勒索及惡意軟體偽裝成AI工具散布</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/data-src-image-2f8ff667-a31c-4338-ae7f-b67d048f4c6c.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/data-src-image-2f8ff667-a31c-4338-ae7f-b67d048f4c6c.png" style="width: 300px; float: right;" /></a>資安業者Cisco Talos警告，隨著AI工具的盛行，駭客開始假冒各種合法的AI工具以散布CyberLock與Lucky_Gh0$t等勒索軟體，以及全新的惡意軟體Numero。</p> <p>其中，CyberLock假冒為Novaleads，這是個協助企業將潛在客戶變現的線上平臺，主要提供行銷與客戶關係管理服務，其官網為Novaleads.app，其實跟AI並無關係，但駭客建立了一個Novaleads AI品牌，並申請Novaleadsai[.]com網址，同樣宣傳可推動銷售，企圖混淆視聽，提供產品下載，還說前12個月可免費使用，結果於執行程式中暗藏了CyberLock勒索軟體，向受害者要求價值5萬美元的門羅幣作為贖金。</p> <p>而Lucky_Gh0$t則偽裝成ChatGPT 4.0完整版安裝程式ChatGPT 4.0 full version - Premium.exe，它只加密小於1.2GB的檔案，包括文字、程式碼與配置檔，或是Office與Adobe文件，以及安裝程式或憑證檔等，較大的檔案則是直接破壞。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/new-pathwiper-malware-targets-critical-infrastructure/">惡意軟體PathWiper鎖定關鍵基礎設施而來，意圖植入管理工具以便駭客後續作案</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/hacker-targets-other-hackers-and-gamers-with-backdoored-github-code/">遊戲玩家、指令碼小子遭鎖定，駭客企圖透過GitHub散布木馬程式Sakura RAT</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/06/new-supply-chain-malware-operation-hits.html">後門程式GlueStack透過惡意NPM套件散布</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/unsecured-database-exposes-passion-io-creators-data/?web_view=true">應用程式建置服務Passion.io資料庫未受保護，360萬開發者資料恐曝險</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://blog.virustotal.com/2025/06/what-17845-github-repos-taught-us-about.html">MCP伺服器近8%為惡意用途，逾1.7萬個GitHub儲存庫曝險</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169401"><strong style="font-size: 22px;">思科修補身分服務引擎ISE的驗證繞過漏洞</strong></a></p> <p>思科本周發布安全更新，修補身分服務引擎（Identity Service Engine，ISE）上高度風險的漏洞。</p> <p>編號CVE-2025-20286的漏洞一旦被成功濫用，駭客就可存取在AWS、Azure或OCI等雲端平臺的Cisco ISE執行個體，進而取得敏感資料、執行部份管理員運作、修改系統配置或擾亂受害系統內的服務，CVSS風險值高達9.9（滿分10分），屬重大層級。</p> <p>思科說明，這項漏洞起於思科ISE部署在雲端平臺時憑證產出不當，導致多個不同ISE執行個體可共用同一組憑證，只要這些環境的ISE軟體版本和雲端平臺一樣。攻擊者可以從雲端上的Cisco ISE執行個體擷取出用戶憑證，再以不安全的傳輸埠存取另一雲端平臺上的ISE執行個體，進而執行惡意存取行為。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169399"><strong>【6月6日】鎖定求職者的網釣不再只針對IT人員，出現向企業財務高層以挖角為誘餌的網路攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169392"><strong>【6月5日】Roundcube存在9.9分的重大層級漏洞，恐波及其他內建此郵件伺服器的系統</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169365"><strong>【6月4日】逾250個Amazon代管IP位址被用於找尋75種應用系統弱點，恐引發大規模攻擊</strong></a></p> </div></div></div>
2025/6/9 17:35作者周峻佑https://www.ithome.com.tw/news/169436
中國驚傳大規模資料外洩，曝露40億筆民眾詳細個資，涵蓋微信、支付寶、財務資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國政府藉由收集民眾各式資料進行監控的情況，不時有相關消息傳出，然而這些資料保護不周的現象也時有所聞，最近有一起<a href="https://cybernews.com/security/chinese-data-leak-billiones-records-exposed/">大規模資料外洩事故</a>，引起全球高度關注。</p> <p>資安新聞網站Cybernews的研究團隊與資安業者Security Discovery聯手，於5月19日發現未受密碼保護的大型資料庫，內有超過40億筆用戶記錄，檔案大小為631 GB，內含金融財務資料、微信及支付寶（Alipay）的詳細資料，而且，大部分資料來自中國的使用者。研究人員認為，這應該是中國史上規模最大的資料外洩事故。</p> <p>這批資料的內容為何？Cybernews提及所有者疑似將內容依據類型分成16種資料集存放，根據筆數多寡，最多的是名為wechatid_db的資料集，內有8.05億筆微信帳號資料；其次是名為address_db的資料集，內有7.8億筆住宅的地理識別資訊，第三大的資料集名稱為bank，內有6.3億筆涉及信用卡號、存款、消費習慣的金融財務資料。研究人員指出，相關資料是透過精心收集與維護，目的很有可能是彙整所有中國民眾的行為、經濟能力，以及社會狀態。</p> <p>值得留意的是，光是透過上述的3種資料，就有可能讓攻擊者掌握出民眾的生活型態、消費習慣、借貸與存款的情形等。</p> <p>另一個為數可觀的資料集也引起研究人員注意，此資料集以簡體中文命名，稱為三因子檢查（three-factor checks），共有逾6.1億筆記錄，包含使用者ID、電話號碼、使用者名稱。</p> <p>附帶一提的是，與微信有關的還有名為wechatinfo的資料集，約有5.77億筆記錄，研究人員推測此資料集內含中繼資料或是通訊事件記錄，甚至不排除是使用者對話內容。</p> <p>與支付寶有關的資料集也有2個，其中較大的是zfbkt_db，內含支付寶的卡片與Token資料，這代表攻擊者能用於未經授權付款、挾持帳號，甚至是竊取使用者的身分；另一個資料集則是與支付寶有關的金融資料。</p> <p>雖然大部分資料與中國民眾有關，但其中一個名為tw_db的資料集相當特別，研究人員推測很有可能與臺灣有關，不過內容為何，他們並未進一步透露。</p> <p>僅管研究人員發現並檢視資料庫的部分內容，但由於對方很快就察覺，並將資料庫離線，因此研究人員無法確認資料庫的所有者身分，資料庫曝露在網際網路的時間持續多久，是否有其他人未經授權存取，也無從得知。</p> </div></div></div>
2025/6/9 17:26作者周峻佑https://www.ithome.com.tw/news/169435
勒索軟體Qilin利用Fortinet已知漏洞從事攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年<a href="https://www.ithome.com.tw/news/163329">攻擊英國倫敦醫院服務供應商Synnovis</a>、今年3月<a href="https://www.ithome.com.tw/news/168720">攻擊吉隆坡國際機場（KLIA）</a>的<a href="https://www.ithome.com.tw/tags/qilin">勒索軟體駭客組織Qilin</a>，最近傳出發起新一波的攻擊行動，針對特定廠牌防火牆已知資安漏洞而來，過程完全自動化進行。</p> <p>勒索軟體Qilin自2022年8月開始出沒，也被稱為Agenda，駭客以租用服務（Ransomware-as-a-Service）的型態經營，這幾年傳出受害者相當廣泛，還包含中國汽車內裝零件製造商延峰（Yangfeng）、美國新聞媒體業者Lee Enterprises，以及澳洲法院服務業者Victoria等。其中，攻擊Synnovis導致英國倫敦多家醫院停擺的情況，受到全球高度關注。</p> <p>根據<a href="https://www.bleepingcomputer.com/news/security/critical-fortinet-flaws-now-exploited-in-qilin-ransomware-attacks/">資安新聞網站Bleeping Computer的報導</a>，<a href="https://x.com/PRODAFT/status/1930959948810264845">資安業者Prodaft指出</a>，這些駭客在今年5月至6月之間，發起鎖定多個企業組織的攻擊活動，利用Fortinet防火牆的已知漏洞來取得初始入侵管道，其中包含CVE-2024-21762、<a href="https://ithome.com.tw/tags/cve-2024-55591">CVE-2024-55591</a>。</p> <p>而對於這些駭客針對的目標，研究人員指出共通點是來自使用西班牙語的國家，但他們認為駭客應該會隨機挑選下手目標，而非特別局限於特定的地理區域從事相關活動。</p> <p>上述研究人員提及的防火牆漏洞，皆已用於實際攻擊行動，而且，CVE-2024-55591被用於散布勒索軟體已非首例，今年1月下旬，使用俄語的駭客組織Mora_001<a href="https://ithome.com.tw/news/167900">藉此部署以LockBit 3.0為基礎的勒索軟體SuperBlack</a>；另一個漏洞CVE-2024-21762，美國網路安全暨基礎設施安全局（CISA）於2月<a href="https://www.cisa.gov/news-events/alerts/2024/02/09/cisa-adds-one-known-exploited-vulnerability-catalog">列入已遭利用的漏洞名冊（KEV）</a>。</p> </div></div></div>
2025/6/9 14:45作者周峻佑https://www.ithome.com.tw/news/169434
知名AI輔助開發工具Cursor推出1.0正式版，內建BugBot自動程式碼審查功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以人工智慧輔助開發為核心，同時也是氛圍開發（Vibe Coding）者愛用的<a href="https://www.cursor.com/en/changelog/1-0">Cursor推出1.0正式版</a>，帶來多項針對開發流程與團隊協作的功能更新。更新重點包括BugBot自動程式碼審查工具、MCP一鍵安裝與OAuth認證，以及背景代理（Background Agent）開放並直接支援Jupyter Notebook，還有專案記憶（Memories）測試版，同時針對設定與儀表板頁面進行強化。</p> <p>BugBot自動程式碼審查功能針對拉取請求流程自動檢查潛在錯誤，當發現問題時會於GitHub留下具體評論，開發人員可透過Fix in Cursor按鈕切換到編輯器，系統會自動填入修正提示，以加速修正與提升程式品質。對於需經常協作的團隊而言，BugBot自動化功能可減少人工審查負擔。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0609-Cursor-BugBot-by%20Anysphere.png" style="width: 600px;" /></p> <p>Cursor全面開放背景代理，而這個遠端協作代理讓用戶只需於聊天室點選雲端圖示或使用快捷鍵，即可啟用，支援遠端協作者在Cursor環境同步編輯專案。針對啟用隱私模式的用戶，目前還無法直接啟用背景代理，團隊預計後續推出新設定以擴大適用範圍。</p> <p>針對Jupyter Notebook用戶，Cursor正式支援由代理直接於筆記本內新增與編輯多個程式區塊，目前此功能優先開放給採用Sonnet模型的用戶。該功能可簡化Notebook內容修改流程，提升資料分析與原型開發速度，適合研究或資料科學團隊使用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0609-Cursor-Agent%20in%20Jupyter%20Notebooks-by%20Anysphere.png" style="width: 600px;" /></p> <p>本次更新也新增Memories專案記憶測試版，Cursor可於每個專案層級記錄與引用先前對話重點，協作者可於設定中管理記憶內容，提升溝通效率並減少重複說明或遺漏資訊的可能性。</p> <p>在基礎設施方面，MCP伺服器現可一鍵安裝並支援OAuth認證，官方也釋出經認證的MCP伺服器清單，開發人員可於官方文件加入快速安裝按鈕，降低整合門檻，簡化第三方服務串接，加速自有伺服器接入與用戶授權設定。</p> <p>Cursor聊天室現已內建Mermaid圖表與Markdown表格即時生成功能，使溝通內容更結構化與視覺化，增加技術討論效率。設定與儀表板頁面則經全面改版，提供即時使用狀況統計、團隊使用行為分析、顯示名稱修改與網路診斷等功能，讓開發及管理過程更透明且更具可追蹤性。</p> </div></div></div>
2025/6/9 16:05作者李建興https://www.ithome.com.tw/news/169433
【資安週報】0602~0606，Chrome將從8月開始不信任中華電信新簽發的TLS/HTTPS憑證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>回顧2025年6月第一星期的資安新聞，有一項與瀏覽器TLS加密憑證合規的消息受到矚目，是關於Google宣布自Chrome 139（預計2025年8月發布）起，將不信任中華電信與匈牙利Netlock這兩家CA（憑證機構）於8月後核發的新TLS憑證，以中華電信問題而言，原因是合規性不足與缺乏有效管理。數發部表示，今年3月已掌握情資，啟動政府網站申請雙憑證方式來因應。</p> <p>具體影響在於，屆時服務端若向中華電信申請新憑證，使用Chrome瀏覽的用戶將出現連線錯誤或安全警告提示，雖然其他瀏覽器未跟進這項措施，Edge、Safari、Firefox的用戶不受影響，但Chrome的不信任仍可能讓一般用戶造成困擾，整個IT領域也關注是否還有其他影響，像是防護系統是否可能因瀏覽器信任清單，而將採用這些憑證的網站列入不信任名單。中華電信已經宣布，8月起暫停簽發新的TLS網站憑證，也承諾爭取讓自家憑證重獲預設信任，但根據Bugzilla紀錄的事件資訊來看，如何改善像是誤發憑證無法在規範5天內撤銷，以及年度自評報告延遲繳交等狀況，才是重點。</p> <p>在資安事故方面，有兩大類型議題備受我們關注，首先，是有兩起資安業者出狀況引發的資安危機：（一）資安業者SentinelOne於5月29日傳出多項服務中斷，事故原因是將正式系統過渡至新雲端架構過程中，誤刪路由導致組態比對功能異常；（二）自動化資安合規業者Vanta於5月26日發現系統內部程式碼錯誤，導致部分客戶敏感資料可被其他客戶存取，約有數百家企業受影響。</p> <p>另一是多家精品與服飾業者接連遭遇事故，相當不尋常：（一）內衣與時尚品牌業者維多利亞的秘密（Victoria's Secret）上星期網站服務停擺，該公司證實遭遇資安事故因此暫時關閉網站與網路商店服務；（二）精品業者Cartier通知客戶系統遭駭，有客戶個資外洩狀況；（三）戶外用品與運動服飾業者The North Face通報4月遭遇帳號填充攻擊，部分客戶個資外洩。</p> <p>其他重要資安事故方面，在臺灣，聯嘉光電於公開資訊觀測站發布資安重訊，揭露資訊系統遭到攻擊，駭客試圖存取總部與部分子公司網路環境；先前美國虛擬貨幣交易所Coinbase向美國SEC通報資料外洩，最新調查發現事件與兩名印度客服外包商TaskUs員工有關；還有法律與商業資訊業者LexisNexis發生客戶資料外洩，此事同樣因向主管機關通報而曝光，影響人數達36萬多人，初步調查顯示資料是從該公司使用的GitHub外洩，細節仍待釐清。</p> <p>在最新威脅態勢上，有4則新聞值得留意，涵蓋全螢幕BitM攻擊手法、濫用合法OpenSSH與Windows內建的API的攻擊活動，以及利用挖腳名義鎖定高層網釣攻擊的揭露。我們整理如下：</p> <p>●研究人員揭露新的瀏覽器中間人（BitM）攻擊手法，能以全螢幕方式展現，使惡意URL不被看到，降低遭察覺的機會，並指出fullscreen API的安全問題。<br /> ●有駭客濫用Windows內建的OpenSSH元件試圖建立後門連線，SANS網路風暴中心資安研究人員指出，攻擊者透過惡意DLL檔案dllhost.exe來啟動SSH服務。<br /> ●發現勒索軟體Lyrix駭客濫用Windows內建的API來隱匿行蹤，像是使用GetCurrentProcess、TerminateProcess控制惡意程式的運作等多種方式。<br /> ●發現鎖定不同產業高層與財務長（CFO）的網路釣魚攻擊，是以其他公司挖角名義來誘騙，攻擊範圍涵蓋歐洲、非洲、加拿大、中東與南亞。</p> <p>在漏洞攻擊威脅方面，有4個零時差漏洞攻擊，涵蓋Google Chromium與高通GPU晶片，可惜目前還未有具體攻擊影響揭露。</p> <p>●Google修補Chromium V8中1個已遭露利用的零時差漏洞CVE-2025-5419<br /> ●高通修補3個涉及GPU已遭利用的零時差漏洞，分別是CVE-2025-21479、CVE-2025-21480、CVE-2025-27038，僅透露已被用於目標式攻擊。<br /> ●ConnectWise於4月修補的漏洞CVE-2025-3935，近期發現可能遭國家級駭客利用，但也傳出可能早在去年8月就已遭利用。<br /> ●先前威脅情報業者GrayNoise揭露華碩路由器已知漏洞遭鎖定，尤其是CVE-2021-32030、CVE-2023-39780遭駭客利用，後續華碩提醒，後項漏洞與其他4個漏洞也有關。<br /> ●舊版網路論壇軟體vBulletin存在兩項已遭駭客利用的漏洞，分別是：CVE-2025-48827與CVE-2025-48828，但去年4月修補未公布CVE，近期駭客鎖定攻擊、經資安業者通報，才讓這兩個CVSS滿分的CVE漏洞浮上檯面。</p> <p>至於資安防禦動態方面，有3大重點值得大家關注，首先，澳洲政府頒布新規範，針對遭勒索的企業，要求從5月30日起，不僅要通報資安事件，也要在72小時內通報支付贖金的金額，這在國際相當少見；其次，針對駭客組織命名不同問題，微軟與CrowdStrike正合作發展一套對照指引，雖然這並非建立共通標準，但目的很明顯是要減少資安資訊交流阻礙。</p> <p>第三項重點是打擊網路犯罪。美國財政部指出菲律賓公司Funnull向AWS或Azure購買大量IP位址，再轉售給詐騙集團，協助架設投資詐騙網站，因此對Funnull祭出制裁。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/169309"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月2日】新型態瀏覽器中間人攻擊手法濫用全螢幕隱匿意圖</span></strong></a></h3> <p>駭客架設遠端瀏覽器來發動瀏覽器中間人攻擊（Browser in the Middle，BitM），藉由在使用者存取網路應用程式的過程裡，不知不覺地挾持用戶的帳號，但如今有研究人員揭露改良版的攻擊手法，使用者恐更難察覺。</p> <p>資安業者SquareX指出，一般的BitM攻擊有機會從網址列察覺，但若是攻擊者搭配瀏覽器全螢幕瀏覽的API，就更有機會騙過使用者而得逞。</p> <h3><a href="https://www.ithome.com.tw/news/169343"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月3日】Chrome將從8月起停止預設信任中華電信TLS新憑證引起高度關注</span></strong></a></h3> <p>5月底Google宣布Chrome瀏覽器預設信任機制將祭出新的措施，其中有兩家CA業者的合規改善情況未達到要求，造成可靠性下降，他們決定從Chrome 139開始，移除對於這兩家CA於8月之後核發的新TLS憑證的信任，由於其中一家CA是臺灣電信龍頭中華電信，這項消息很快就引起國內關注。</p> <p>由於此事影響的層面可能會相當廣泛，中華電信也緊急發布聲明說明處理情形，數位發展部也透露公部門網站已採取雙憑證因應。</p> <p><a href="https://www.ithome.com.tw/news/169365"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月4日】逾250個Amazon代管IP位址被用於找尋75種應用系統弱點，恐引發大規模攻擊</span></strong></a></p> <p>如同歹徒犯案會事先勘察環境，駭客也會透露掃描特定弱點的方式尋找可下手的目標，但過往駭客往往是針對其中一項漏洞，或是特定組態配置不當的情況而來，如今有人同時對75種弱點挖掘能夠攻擊的目標，這樣的情況極為罕見。</p> <p>這起事故另一個特殊的地方在於，整個活動只維持一天，使得研究人員想要找出攻擊者的身分，也變得更加困難。</p> <h3><a href="https://www.ithome.com.tw/news/169392"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月5日】Roundcube存在9.9分的重大層級漏洞，恐波及其他內建此郵件伺服器的系統</span></strong></a></h3> <p>過往駭客組織鎖定的郵件伺服器系統，多半以微軟的Exchange為主，但最近兩到三年，有越來越多駭客針對Roundcube、Zimbra等開源解決方案而來，因此這類系統若是出現資安漏洞，也相當值得留意。</p> <p>最近有資安業者發現Roundcube重大層級漏洞，值得留意的是，由於不光是IT人員用來架設郵件伺服器，再加上有其他應用系統如主機管理平臺cPanel、Plesk整合Roundcube，亦有Yandex.Mail、Zoho Mail等服務採用，因此這種漏洞的影響範圍會相當可觀。</p> <h3><a href="https://www.ithome.com.tw/news/169399"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月6日】鎖定求職者的網釣不再只針對IT人員，出現向企業財務高層以挖角為誘餌的網路攻擊</span></strong></a></h3> <p>今天的資安新聞當中，針對高階財務主管的攻擊行動相當值得留意，過往駭客通常是透過電子郵件詐騙（BEC）手法，佯稱是公司的CEO來行騙，但如今有歹徒以獵人頭的名義來對這些主管下手，目的是在他們的電腦植入惡意軟體並進行控制。</p> <p>此外，駭客針對DevOps環境配置不當、濫用Windows內建的OpenSSH元件也值得留意。在國內消息的部分，昨天傍晚聯嘉光電發布資安重訊，指出總部與海外子公司同時遭受攻擊。</p> <p> </p> </div></div></div>
2025/6/9 14:33作者羅正漢https://www.ithome.com.tw/news/169425
非營利的EleutherAI釋出集結合法開放資料的AI訓練資料集
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>非營利的AI研究組織EleutherAI上周<a href="https://huggingface.co/blog/stellaathena/common-pile" target="_blank">發布了Common Pile v0.1</a>，這是個AI訓練資料集，所蒐集的資料全部屬於開放授權或公有領域，且利用該資料集訓練出的2個7B模型，發現它們的表現並不亞於LLaMA、MPT、PRJ-INCITE或Qwen等知名模型。</p> <p>EleutherAI創立於2020年，是個非營利的AI研究機構，亦被稱為OpenAI的開源版。甫釋出的Common Pile v0.1收錄超過30種來源的逾8TB的純文字，該資料集採用嚴格的授權過濾機制，僅保留採用創用CC BY、CC BY-SA或CC0協議的內容，涵蓋生物醫學領域的PubMed Central、數理科學領域的ArXiv、GitHub Archive、StackExchange、Ubuntu IRC、USPTO專利資料集及維基百科等。</p> <p>Common Pile v0.1的重點是它們皆屬於公開授權及公有領域，明確排除了不符合開放意義的資料，避免侵權問題，並提升訓練資料集的透明度。</p> <p>EleutherAI還利用Common Pile v0.1訓練了兩個7B參數模型，其中的<a href="https://huggingface.co/common-pile/comma-v0.1-1t" target="_blank">Comma v0.1-1T</a>以1兆個Token作為訓練量，<a href="https://huggingface.co/common-pile/comma-v0.1-2t" target="_blank">Comma v0.1-2T</a>則使用了2兆個Token進行訓練。</p> <p>當比較Comma v0.1-1T與LLaMA、MPT及PRJ-INCIT等模型時，發現Comma v0.1-1T在ARC-C、MMLU、BoolQ、SIQA、HumEval及MBPP等基準測試上勝出。</p> <p>若是比較Comma v0.1-2T與OLMo Twin、Llama 2及DeepSeekLLM，Comma v0.1-2T也在ARC-E、MMLU、SIQA及HumEval上的表現最為突出。</p> <p>EleutherAI認為，使用未授權資料可能引發法律與倫理爭議，因此應該建立一套完全由開放授權或是公有領域組成的資料集，而且實驗也發現，這些基於開放資料集的模型在許多測試中的表現也與主流模型相當，彰顯出開放資料也能訓練出高品質的語言模型，將能鼓勵社群持續蒐集與擴展開放授權資料，朝向合法、可持續及倫理的AI模型發展路線。</p> </div></div></div>
2025/6/9 12:25作者陳曉莉https://www.ithome.com.tw/news/169432
Apple用Swift重寫密碼監控服務效能提升40％
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.swift.org/blog/swift-at-apple-migrating-the-password-monitoring-service-from-java/">Apple將密碼監控服務後端由Java改為Swift</a>，效能提升40％，記憶體用量降低一個量級，單一實例記憶體大幅縮減，99.9％請求延遲低於1毫秒，整體資源使用量減半</p> <p>Apple近年推動軟體基礎架構現代化，繼在行動裝置與桌面端廣泛導入Swift後，最新重大調整是將密碼監控服務後端從Java改寫為Swift，並已在全球生產環境部署。根據Apple官方團隊說明，Swift版本的效能較Java提升約40％，同時能大幅降低記憶體用量。</p> <p>密碼監控服務是Apple在2024年所推出Passwords應用程式的核心功能之一。該服務協助用戶於多裝置間管理密碼、通行密鑰與驗證碼，並即時檢查密碼是否外洩。而其服務後端運作在Linux基礎設施，須要長時間高效處理全球數十億裝置的查詢請求，對效能與擴充性要求嚴格。</p> <p>Apple團隊表示，隨用戶規模擴大，Java雖具穩定性及豐富生態系，但在大規模服務下的資源使用率已經成為瓶頸。特別是在記憶體管理、JVM啟動速度與垃圾回收調校上，難以兼顧高並行（Concurrency）的即時性與運算效能。團隊在多次調校JVM後仍無法達成預期目標，因此評估以Swift重構系統架構。</p> <p>採用Swift重寫後，服務單一實例記憶體需求從Java高峰時的數十GB降至數百MB，資源用量大幅減少。整體吞吐量提升約40％，99.9％請求延遲低於1毫秒，團隊指出，Swift具嚴謹型別系統、可選值與安全釋放機制，有助減少執行期間錯誤並提升程式碼可讀性。Swift語法設計也使開發人員能以更精簡且易於維護的方式建構模組化架構，重寫後程式碼行數約為原先的15％，有利於降低維運負擔。</p> <p>在軟體架構方面，Apple採用Swift的Vapor伺服器端框架，並針對密碼監控需求，開發橢圓曲線密碼技術、稽核、設定及錯誤處理等自訂元件。針對高安全標準，密碼監控服務不會回傳用戶密碼至Apple，採用隱私集合交集（Private Set Intersection）等密碼技術協定，確保用戶隱私與安全。</p> <p>Apple技術團隊進一步指出，Swift除了高效能與安全性，也具動態擴充能力，適合在Kubernetes等雲端原生架構運作。轉換後，密碼監控服務的資源使用量減半，使Kubernetes叢集可釋出更多資源供其他服務使用，進而提升整體系統的可用性與彈性。</p> </div></div></div>
2025/6/9 12:06作者李建興https://www.ithome.com.tw/news/169429
中國駭客Earth Lamia鎖定SQL Server、NetWeaver等應用系統而來，利用已知漏洞入侵受害組織
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>5月上旬<a href="https://www.ithome.com.tw/news/168966">威脅情報業者EclecticIQ指出</a>，與中國國家安全部（MSS）有關的駭客團體CL-STA-0048、UNC5221，以及UNC5174，利用SAP修補的NetWeaver滿分漏洞CVE-2025-31324，廣泛於英國、美國、沙烏地阿拉伯發動攻擊，現在有研究人員公布長期調查的結果，指出這些駭客長期針對網頁應用系統的資安漏洞來入侵受害組織，得逞後透過多種手法從事網路間諜活動，竊取內部資料。</p> <p>資安業者趨勢科技指出，他們<a href="https://www.trendmicro.com/en_us/research/25/e/earth-lamia.html">從2023年追蹤與上述團體有關的中國駭客組織Earth Lamia</a>，這些駭客主要針對巴西、印度、東南亞的企業組織從事攻擊行動，他們利用的管道，是透過網頁應用程式的SQL注入漏洞存取受害組織的SQL Server，這些駭客也擅於使用已知漏洞對能夠從網際網路存取的伺服器下手。</p> <p>研究人員提及，這些駭客廣泛鎖定許多企業組織，但同時間只會對特定行業下手，根據駭客針對的對象，大致可分成幾個時期，從2023年至2024年初，他們主要的目標是金融業，尤其是與證券和金融經紀公司；到了2024年下半，他們將目標轉向物流與網路零售業；直到最近，駭客將目標轉向IT公司、大學、政府機關。</p> <p>雖然Earth Lamia高度使用可公開取得的工具從事攻擊，但他們也不斷開發自己的工具Pulsepack、BypassBoss。其中Pulsepack約從去年8月出現，今年駭客改用升級版本，最大的差異就是更換C2通訊的做法，這代表駭客積極開發這個後門程式。</p> <p>針對駭客的攻擊流程，這些駭客經常透過掃描找出目標網站的SQL注入漏洞，一旦找到漏洞，他們就會試圖開啟系統的Shell，從而得到SQL Server的遠端存取管道。但除了試圖利用SQL注入手法，駭客也使用已知漏洞來攻擊其他應用程式伺服器。</p> <p>除了前述提及的CVE-2025-31324，這些漏洞包含：Apache Struts2漏洞CVE-2017-9805、Craft CMS漏洞CVE-2024-56145、CyberPanel漏洞CVE-2024-51378與CVE-2024-51567、GitLab漏洞CVE-2021-22205、JetBrains TeamCity漏洞CVE-2024-27198與CVE-2024-27199，以及WordPress檔案上傳外掛漏洞CVE-2024-9047，這些漏洞大部分涉及遠端程式碼執行（RCE），但也有任意檔案存取、身分驗證繞過、路徑穿越弱點。</p> <p>一旦成功入侵受害伺服器，這些駭客就會從事一系列的行為，於受害組織的網路環境進行橫向移動。這些行為包含利用Certutil及PowerShell下載作案工具、在網頁應用程式伺服器植入Web Shell、使用GodPotato或JuicyPotato等工具提升權限，以及利用Fscan及Kscan等工具掃描網路環境等。</p> <p>另一方面，這些駭客還會建立名為helpdesk的使用者帳號，並加入管理員群組，透過LSASS或是特定的機碼截取帳密資料，並使用公用程式nltest.exe、net.exe收集網域控制器的資訊。</p> <p>而對於建立對外通訊的部分，駭客使用rakshasa與Stowaway建立代理伺服器隧道，使用Vshell、Cobalt Strike、Brute Ratel等滲透測試工具產生後門程式，並透過schtasks.exe維持後門的運作。</p> <p>附帶一提，若是Earth Lamia成功利用SQL注入漏洞，就會建立具有管理員權限的帳號sysadmin123。</p> </div></div></div>
2025/6/9 10:30作者周峻佑https://www.ithome.com.tw/news/169419
Hugging Face開源機器人模型SmolVLA 可跑在Mac電腦上
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Hugging Face積極拓展機器人業務，繼公布二款低成本機器人後，<a href="https://huggingface.co/blog/smolvla" target="_blank">上周再開源一款4.5億參數量的機器人模型SmolVLA</a>，號稱能執行在消費硬體如Mac電腦上。</p> <p>相較於AI快速進步，機器人進展緩慢許多，這是因為欠缺高品質多元資料，及協助機器人像人類一樣思考和行動的模型。為解決這個問題，產業界最近開始重視視覺語言行動（vision-language-action，VLA）模型，這類模型希望在單一模型中整合知覺、語言理解和行動預測能力，並輸出相應的機器人行動。惟此類模型主要是專屬模型，其訓練通常要求昂貴的硬體、多種工程資源及大規模私有資料集，對研究社群取用有很高的門檻。</p> <p>因此Hugging Face釋出SmolVLA，希望能以這個開源、以公開資料集訓練，且能執行在消費硬體的輕量模型，推動VLA普及化，加速通用型機器代理人的研究。</p> <p>在訓練時，SmolVLA是以一般操作資料預訓練，再以特定任務專用資料進行後訓練，以實現更強的適應能力。在模型架構上，SmolVLA結合了Transformer及flow-matching解碼器，並採用4種技術，包括加速視覺模型推理速度：在視覺模型中跳過一半層數，以加速推論並縮小模型；交錯融合自注意力（self-attention）與交叉注意力（cross-attention）區塊，以強化多模態訊息整合效率；使用較少的視覺token提升處理速度；並選用更輕量的SmolVLM2來預訓練，降低硬體需求。</p> <p>即便訓練集僅包含不到3萬筆任務紀錄，遠少於其他視覺語言代理（VLA）模型，但Hugging Face說，SmolVLA在模擬與實體場景中的表現仍與大型模型相當，甚至超越。</p> <p>此外，SmolVLA引入非同步推理架構（asynchronous inference stack），將感知（視覺與聽覺理解）與動作執行解耦，有利於讓機器人在環境快速變化時更迅速做出反應，有效提升機器人的實用性。</p> <p>最後訓練出的SmolVLA-450M可執行在搭載消費級GPU的硬體甚至MacBook上。而搭配SmolVLA-450M的機器人，則包括Hugging Face自己的平價機器人機型，如SO-100、SO-101、LeKiwi等。</p> <p>而在標竿測試中，Hugging Face強調SmolVLA效能表現優異，其中在LIBERO、Meta-World模擬標竿測試中結果優於更大的模型，如Octo、OpenVLA，而在實際機器人SO100和SO101的抓取與放置、堆疊、分類的能力測試中，以SmolVLA的效能較好，而在SO101，SmolVLA也表現更好的泛化（generalization）能力。而非同步推論將執行和推論解耦，可使機器人在移動時反應更快，該公司強調支援提升30%速度及2倍的任務輸出。</p> <p>SmolVLA基礎模型<a href="https://huggingface.co/lerobot/smolvla_base" target="_blank">在Hugging Face平臺釋出</a>。<a href="https://github.com/TheRobotStudio/SO-ARM100" target="_blank">訓練方法則在GitHub公布</a>。</p> </div></div></div>
2025/6/9 11:14作者林妍溱https://www.ithome.com.tw/news/169427
Linux基金會啟動FAIR套件管理專案，打造WordPress的去中心化套件平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Linux基金會（Linux Foundation）上周五（6/6）<a href="https://www.linuxfoundation.org/press/linux-foundation-announces-the-fair-package-manager-project-for-open-source-content-management-system-stability" target="_blank">宣布啟動FAIR套件管理（FAIR Package Manager）專案</a>，該專案定位為中央WordPress.org外掛程式及主題生態系統的去中心化替代方案，以將控制權交還給托管商及開發人員。被視為是<a href="https://www.ithome.com.tw/news/165222" target="_blank">WP Engine爭議</a>的衍生性產物。</p> <p><a href="https://github.com/fairpm" target="_blank">根據該專案的說明</a>，FAIR套件管理可作為一個隨插即用的WordPress外掛程式運行，以聯合的開源基礎設施無縫地替換現有的集中式服務。該系統有兩個核心支柱，包括以本地或FIAR管理的替代方案取代了與 WordPress.org API的通訊，以及採用去中心化的套件管理。</p> <p>該專案說明，儘管穩定的外掛程式目前使用的是WordPress.org鏡像，但未來的版本將完全支援FIAR原生套件。</p> <p>託管商有兩種方式來遞送FAIR，一是提供獨立的外掛程式，可直接安裝在現有的WordPress上，二是透過FAIR發行版來自動部署網站。</p> <p>Linux基金會執行董事Jim Zemlin指出，FAIR套件管理專案將替開源內容管理的穩定性及發展鋪路，替貢獻者與企業提供了一個由中立社群治理的額外選項。</p> <p>該專案的意義在於可消除核心更新、外掛程式及主題對任何單一來源的依賴；藉由整合不同來源的外掛程式，替現代安全實踐奠定基礎；以及將安全性構建至供應鏈中，改善加密安全措施，強化瀏覽器相容性檢查，以允許依賴來自可信來源的安全加密鹽值。</p> <p>FAIR套件管理專案被視為是WP Engine事件的衍生物。WordPress專案主要貢獻者並開發WordPress.com的Automattic，在2024年要求同為WordPress託管商的WP Engine付費取得WordPress商標使用權，但遭WP Engine拒絕，隨後Automattic創辦人Matt Mullenweg即於去年9月<a href="https://www.ithome.com.tw/news/165222" target="_blank">禁止WP Engine存取WordPress.org</a>。</p> <p>WordPress.org為WordPress開源專案的官方網站與資源中心，負責提供核心軟體的免費下載與文件，也是官方的外掛程式及主題儲存庫，儘管它理論上應該是由社群所擁有，但Automattic或Mullenweg卻可片面決定封鎖WP Engine，還在同年10月<a href="https://www.ithome.com.tw/news/165480" target="_blank">擅自分叉WP Engine的ACF外掛</a>。Automattic內部也因此出現矛盾，最後<a href="https://www.ithome.com.tw/news/165444" target="_blank">造成159名員工離職</a>，Mullenweg也被批評違反開源精神，同時使得WordPress.org的中心化審核、發布機制與更新過程開始受到質疑。</p> <p>WordPress企業級解決方案供應商Crowd Favorite也贊助了FAIR套件管理專案，該公司執行長Karim Marucchi表示，從個人用戶、企業到遞送管道，WordPress的每個人都有一個共同的目標，亦即平臺的長期生存能力；而實現此一目標的最佳途徑即是消除供應鏈安全漏洞，以穩定整個WordPress生態系統。</p> </div></div></div>
2025/6/9 10:19作者陳曉莉https://www.ithome.com.tw/news/169426
中國支持的駭客利用iMessage NICKNAME零點擊漏洞攻擊歐美重要人物
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://iverify.io/blog/iverify-uncovers-evidence-of-zero-click-mobile-exploitation-in-the-us" target="_blank">端點防護業者iVerify發現</a>一個駭客組織利用iPhone上的iMessage漏洞，無需使用者互動就能攻擊歐美政治人物、媒體高層、AI廠商等重要人物，而這些受害者也曾遭到Salt Typhoon的攻擊。</p> <p>去年底到今年三月間之前，多位iPhone用戶發生手機當機事件，iVerify研究人員分析是和iMessage有關的零點擊攻擊，這波攻擊源自iMessage的imagent行程（process）中的一個漏洞，該漏洞基於其功能和位置因而之前未曾被揭露，iVerify將其命名為NICKNAME。</p> <p>研究人員解釋命名的由來。iPhone允許用戶為聯絡人設定暱稱或虛擬化身，而當攻擊者接連快速重覆發送暱稱更新到iMessage就會觸發「使用已釋放記憶體」（use-after-free）毁損，這讓NICKNAME成為一個更大範圍攻擊串最好的起始點。</p> <p>研究人員發現，有6名iPhone用戶遭到和iMessage有關的攻擊。其中一名用戶手機頻繁發生當機後，iMessage附件在數秒內被一次大量刪除或新增的異常情形。這類異常情況僅發生在高價值，如重要政經人物身上，當機率在50000部iPhone 中，有此類當機比例僅0.0001%。另一個證據是，其中一位用戶是歐盟資深政府官員，他曾接到蘋果發送威脅通知，這類通知的對象是國家駭客或政府監聽活動鎖定的iPhone用戶。</p> <p>研究人員相信，6名iPhone用戶中，4人手機明顯有和NICKNAME相關的簽章，2人手機更顯示了成功濫用漏洞的跡象。所有受害人都證實也曾經遭到中國駭客Salt Typhoon的攻擊，他們有人不願與中共同一路線，有人則是投入抗中活動。</p> <p>差分分析顯示，NICKNAME影響iOS 18.3，蘋果已經修補，但是該漏洞可能只是更大攻擊串的其中一段，因此研究人員認為無法下結論說這波攻擊已經平息。</p> </div></div></div>
2025/6/9 08:22作者林妍溱https://www.ithome.com.tw/news/169423
Google Gemini排程行動功能上線，提供付費用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/gemini/scheduled-actions-gemini-app/" target="_blank">Google周三宣布</a>排程行動（scheduled action）功能正在部署到聊天機器人Gemini，提供給付費用戶，能為用戶自動摘要電子郵件，或自動報告運動賽事比分。</p> <p>排程行動功能是Gemini最新功能，旨在為用戶主動處理任務，類似OpenAI測試中的<a href="https://www.ithome.com.tw/news/166970" target="_blank">ChatGPT Tasks</a>。利用排程行動，用戶可簡化日常重複性作業，或讓Gemini直接提供個人化更新資訊。只需告訴Gemini在特定時間執行特定任務、或者將用戶一次性的提示變成重複執行的行為。</p> <p>例如用戶可設定Gemini做出行事曆行程或未讀郵件的摘要、排定每周一讓Gemini提供5個部落格撰寫的好點子、更新支持球隊的對戰行程或成績，也可以要求它每次金馬獎結束後，重點整理頒獎結果。Google說這項功能只要一次設定就可以一勞永逸。排程好的行動，之後也可以隨時在「設定」頁中變更。</p> <p>目前這項功能提供給每月20美元（臺幣650元）Google AI Pro或每月250美元（臺幣8150元）Ultra方案的訂閱用戶。</p> </div></div></div>
2025/6/9 08:44作者林妍溱https://www.ithome.com.tw/news/169424
Cloud Run GPU正式上線，支援AI推論與批次運算彈性擴展
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google正式發布<a href="https://cloud.google.com/blog/products/serverless/cloud-run-gpus-are-now-generally-available">Cloud Run GPU</a>，用戶可直接在Cloud Run服務啟用Nvidia L4 GPU，無需申請配額。此功能使開發團隊能彈性部署生成式人工智慧、深度學習推論與批次運算等工作負載，同時降低資源閒置帶來的成本，提升運算彈性。</p> <p>Cloud Run採無伺服器運作模式，支援自動擴展、彈性部署與簡化管理。本次新增GPU支援後，開發者可透過指令或控制臺選項啟用GPU加速。</p> <p>系統提供按秒計費及自動縮減至零的調度能力，有助於降低閒置資源的費用並提升使用效益。根據Google官方測試，Cloud Run GPU服務在冷啟動時約5秒內可完成GPU與驅動程式啟動。以Gemma 3:4b模型推論為例，從冷啟動至產生第一個Token約需19秒，具支援互動性應用的能力。</p> <p>在服務可靠性方面，Cloud Run GPU納入Cloud Run既有SLA，並提供分區備援與彈性部署。企業可根據營運需求部署於多個區域以提升可用性，或選擇關閉分區備援以調整資源配置。Cloud Run GPU目前已於美國、歐洲及亞洲多個區域上線，供企業在全球市場部署應用，減少跨區延遲。</p> <p>Cloud Run Jobs現也已支援GPU，開發者可用於模型微調、批次推論、影片轉檔與圖像處理等非同步運算任務。開發者可根據需求啟動、執行與釋放GPU資源，無需自建基礎設施，即可執行彈性運算任務。</p> </div></div></div>
2025/6/9 08:14作者李建興https://www.ithome.com.tw/news/169415
新光人壽導入模組化數位保險平臺，預計下半年在越南推出首波數位保險產品
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了推動越南數位保險市場發展，新光人壽近日導入具備模組化架構的數位保險平臺，來加強結合新光在越南的在地通路和營運實力。</p> <p>新光人壽預計今年下半年在越南推出首批數位保險產品，透過和越南石油保險公司合作，推出車險、旅平險，和健康保障等保險產品。</p> <p>新光人壽此次導入的數位保險平臺具備模組化的保險產品模板和流程，支援彈性介接，和具備自動化服務引擎，能在一季內快速建立數位投保頁面。</p> <p>除了在今年下半年推出車險、旅平險等產品，未來新光也預計透過保險平臺推出更多產品，例如商業險產品，和臺資企業員工團體保險。越南新光未來也預計和日本第一生命公司越南分公司展開進一步合作。</p> <h3>金融科技創新園區媒合企業合作</h3> <p style="text-align: justify;">新光人壽此次計劃，是透過金融科技創新園區媒合園區進駐企業AIFT而成。透過園區導師制，雙方企業發展出金融科技發展的合作藍圖，目標以臺資企業為起點，逐步拓展越南當地與東南亞市場。</p> <p>其實，近期金管會也正在積極推動金融科技創新園區的企業輔導機制。金管會昨日發布「金融科技創新園區2.0」計畫，透過導入分級輔導機制，為新創業者量身提供輔導及資源。金管會計畫將新創業者區分成初創期、成長期、成熟期共三階段，依不同階段打造資源與輔導機制。他們希望每年新增至少十家新創團隊進駐，整合創投與資本市場資源，打造從創業到上市的完整金融科技生態鏈。</p> <p>金融科技創新園區自2018年成立，到今年5月底，累計招募了186家新創團隊進駐。但過往園區提供的資源較為一致，並未明確依據業者條件打造輔導路徑。</p> <p></p> </div></div></div>
2025/6/6 17:54作者李昀璇https://www.ithome.com.tw/news/169414
正視習以為常的缺失
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年端午節有三天連假，放假前一天（5月29日）發生銀行行員到分行附近的大型醫院收款，因為保管不慎，鉅款遭人揀走，遺失／遭竊金額高達387萬元，引發大家關注這麼嚴重的問題原因。</p> <p>據媒體報導，我們注意到幾個奇怪的地方。首先，行員收完款（醫院前一日掛號總收入，現金387萬元），進入地下街商場辦公室收取地下街商場前一日的營業收入，他卻未將裝有這筆現金的袋子帶入，而是留置在辦公室門口地上，等到兩三分鐘後走出辦公室之後，發現袋子不見了、遭人撿走；其次，由一位行員獨自收取如此鉅款，相當危險，為何無人隨行？有媒體報導提到，該銀行的內部收款安全作業規範要求：行員收取超過300萬元現鈔，需2人以上護鈔隨行，令人好奇這位行員為何違反規定？第三，案發地點距離該行員所屬分行只有幾百公尺，依照Google地圖估算，步行只需5分鐘，是否因為兩地距離很短，所以相關規定疏於落實？</p> <p>第四，這位負責收款的行員今年64歲，一年後即將退休，而且在該家銀行任職超過20年，獲得公司長官的信任，不免令人質疑是否可能串通外部人員，但有媒體報導問到銀行同業推估行員退休金高於被竊款項387萬元，以及其資歷之深，不應犯下基本疏失；第五，一度被外界誤以為事發後3小時才報案，該行後續發布聲明表示，案發當天上午11時55分即通報醫院駐衛警，致電管區分局報案請求協助，下午2點21分完成報案筆錄。</p> <p>關於這起事件，媒體報導也持續關注取走鉅款的犯嫌行蹤。警方已調閱相關監視器畫面了解此人移動狀態，像是身穿黑衣黑褲與連身帽、戴口罩，並且利用公車、步行、計程車等方式移動（均以現金付款），行跡涵蓋5個都會行政區，過程中並未使用手機，而且隨身攜帶超過三套衣物變裝、更換鞋子，而在案發前警方也看到犯嫌多次前往醫院（應是事後透過監視器畫面得知），疑似勘查地形與觀察現場出入狀況，而這似乎也呼應稍早媒體推測行員被「盯梢」的可能性。</p> <p>得知這項重大案件之後，暫時不論是否有「內神通外鬼」的狀況，單就資深員工而言，我們是否必須重新反思該如何看待他們的工作狀況，IT人員也不例外。</p> <p>第一，「人非聖賢，孰能無過」，就算是職場老手，也會犯低級錯誤，而作為主管與同事的我們，可能因為對其非常熟悉與信任，而過度授權，並且放鬆、縱容應有的監督與管制。</p> <p>換個角度來看，當我們是任職多年，可能也以為自己經年累月重複執行某些工作，對自己負責的業務駕輕就熟，而可能在不自覺的情況下，偶而會以不夠謹慎的方式在部分工作環節便宜行事，然而，可能又因為當下已無其他同事可幫忙照看（或別人知道你有此問題，但不敢或懶得跟你說），而讓這樣的缺失無法及時改正，最終可能因為有心人士的窺伺而得知這個可乘之機，最後釀成難以挽回的大禍。</p> <p>另一個反思是「給人方便，卻可能被對方當隨便」獲得信任不是一件容易的事，但得到信任之後，於公於私，我們真的足夠重視這份囑托嗎？就像下列幾句諺語「親近生侮慢」、「親則生狎，近則不遜」、「Familiarity breeds contempt」一旦熟悉、親近某事某人之後，可能不自覺地怠慢了，我們可曾想過：一時疏忽，可能徹底敗壞別人對自己的信任嗎？當例行工作步入軌道，甚至規律到一成不變的地步，我們是否還能時時刻刻緊盯流程、避免可能出錯的因素？</p> <p>應該以這起鉅額收款竊案為師，我們要認知到：嚴守紀律、標準作業流程，是為了對得起自己手上的這份工作、單位與同仁的信任，同時也是為了保護自己，敵人可能正在看不見的角落，正在尋找你任何可能出錯的地方，因此，我們不僅要秉持本身的職業道德要求，謹慎行事，同時，也必須要借助其他人的良知良能，請他們盡可能提醒我們即將或已經出錯的地方，以免類似的憾事再度發生。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E6%A8%99%E6%BA%96%E4%BD%9C%E6%A5%AD%E6%B5%81%E7%A8%8B">標準作業流程</a></div><div class="field-item odd"><a href="/tags/%E5%AE%89%E5%85%A8%E4%BD%9C%E6%A5%AD%E8%A6%8F%E7%AF%84">安全作業規範</a></div><div class="field-item even"><a href="/tags/%E8%81%B7%E6%A5%AD%E9%81%93%E5%BE%B7">職業道德</a></div><div class="field-item odd"><a href="/tags/%E7%9B%A3%E7%9D%A3">監督</a></div><div class="field-item even"><a href="/tags/%E7%AE%A1%E5%88%B6">管制</a></div></div></div>
2025/6/6 16:49作者李宗翰https://www.ithome.com.tw/voice/169413
以色列資安業者Cellebrite買下Arm架構虛擬化技術開發商Corellium
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cellebrite.com/en/cellebrite-to-acquire-corellium/" target="_blank">知名的數位鑑識業者Cellebrite周四（6/5）宣布</a>，將買下專注於Arm架構虛擬化技術的Corellium，Cellebrite將先支付1.7億美元的現金，未來兩年會再根據Corellium的業績最高額外支付3,000萬美元。雙方預計於今年夏天完成交易。</p> <p>1999年創立於以色列的Cellebrite，主要替執法機構、企業及服務供應商提供各種工具以管理數位資料，其旗艦產品為Universal Forensics Extraction Device（通用鑑識提取裝置，UFED），可協助執法機構從行動裝置中提取並分析資料，曾幫美國聯邦調查局（FBI）破解嫌犯的iPhone與Android手機，在2021年以CLBT為代號登上美國那斯達克股市（Nasdaq）。</p> <p>至於Corellium則是家專注於Arm架構虛擬化技術的美國業者，成立於2017年，打造支援iOS、Android與其它基於Arm架構的虛擬硬體，以讓開發者能夠測試系統漏洞，執行逆向工程或分析惡意軟體，並觀察系統行為，蘋果曾因此控告該公司侵權。</p> <p>Cellebrite表示，此一交易將替數位鑑識與智慧裝置的安全性設定新標準，涵蓋iOS、Android、車用系統，以及所有基於Arm架構的物聯網裝置，不管是公共安全、國防、情報或私人企業等能因此而受益，以更快辨識行動裝置漏洞與攻擊手法，能夠看到並與虛擬裝置互動，全面提升所有基於Arm架構裝置的DevSecOps效率與速度，以及執行原生Arm架構的滲透測試等。</p> <p>Cellebrite臨時執行長Thomas Hogan表示，該收購不僅能強化Cellebrite在Arm架構上的數位鑑識與安全測試能力，還引進了漏洞研究、惡意軟體分析及安全測試等領域的頂尖人才。</p> <p>消息曝光後，Cellebrite當天的盤後股價上揚了4.51%，漲至17.6美元。</p> </div></div></div>
2025/6/6 12:35作者陳曉莉https://www.ithome.com.tw/news/169405
Anthropic發表專為美國國安設計的Claude Gov模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.anthropic.com/news/claude-gov-models-for-u-s-national-security-customers" target="_blank">AI新創Anthropic今日（6/6）發表</a>了一系列專為美國國家安全機構設計的客製化Claude Gov模型。這些模型已部署於美國最高層級的國家安全機構，僅限於在機密環境中運作的單位使用。</p> <p>Anthropic說明，這些模型是根據政府客戶的意見及實際操作需求所開發，也經過了與其它Claude模型一樣嚴格的安全測試，美國國家安全客戶可將這些Claude Gov模型應用在戰略規畫、作戰支援、情報分析及威脅評估等多種任務上。</p> <p>Claude Gov模型的主要特點包括它們能夠更有效地處理機密資料，對於機密資訊的拒絕率較低；對於情報與國防脈絡有更深入的理解能力；更熟悉那些攸關國家安全的關鍵語言及方言；改善對複雜網路安全資料的理解以強化情報分析能力。</p> <p>其它AI業者也對國防合約有興趣，例如OpenAI藉由與國防承包商Carahsoft合作進駐政府組織，Meta亦在向美國政府及承包商推銷其Llama模型，而Google也正在開發支援機密環境的Gemini版本。</p> </div></div></div>
2025/6/6 12:44作者陳曉莉https://www.ithome.com.tw/news/169406
勒索及惡意軟體偽裝成AI工具散布
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.talosintelligence.com/fake-ai-tool-installers/" target="_blank">資安業者Cisco Talos近日警告</a>，隨著AI工具的盛行，駭客開始假冒各種合法的AI工具以散布CyberLock與Lucky_Gh0$t等勒索軟體，以及全新的惡意軟體Numero。</p> <p>其中，CyberLock假冒為Novaleads，這是個協助企業將潛在客戶變現的線上平臺，主要提供行銷與客戶關係管理服務，其官網為Novaleads.app，其實跟AI並無關係，但駭客建立了一個Novaleads AI品牌，並申請Novaleadsai[.]com網址，同樣宣傳可推動銷售，企圖混淆視聽，提供產品下載，還說前12個月可免費使用，結果於執行程式中暗藏了CyberLock勒索軟體，向受害者要求價值5萬美元的門羅幣作為贖金。</p> <p>而Lucky_Gh0$t則偽裝成ChatGPT 4.0完整版安裝程式ChatGPT 4.0 full version - Premium.exe，它只加密小於1.2GB的檔案，包括文字、程式碼與配置檔，或是Office與Adobe文件，以及安裝程式或憑證檔等，較大的檔案則是直接破壞。</p> <p>至於Numero則喬裝成InVideo AI，後者是個影片生成工具，標榜只要輸入文字，就能全自動生成影片，包含畫面、旁白、字幕與背景音樂，而冒牌的Numero基本上是個視窗操縱惡意軟體，它會持續監控受害者的桌面視窗，將所有視窗標題、按鈕或內容以數字「1234567890」覆蓋，使系統介面完全無法使用或辨識，而且每60秒就會重新啟動一次惡意程式，目的在於癱瘓系統，屬於純粹的破壞性攻擊。</p> <p>研究人員分析，上述AI工具的合法版本在B2B銷售領域，或者是技術及行銷領域特別受歡迎，顯示出這些行業的個人與組織特別可能成為惡意威脅的目標，建議使用者要謹慎驗證軟體來源，僅仰賴可靠的供應商，以及實施多層次的安全防護措施，以免引狼入室。</p> </div></div></div>
2025/6/6 12:50作者陳曉莉https://www.ithome.com.tw/news/169407
【資安日報】6月6日，鎖定求職者的網釣不再只針對IT人員，出現向企業財務高層以挖角為誘餌的網路攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今天的資安新聞當中，針對高階財務主管的攻擊行動相當值得留意，過往駭客通常是透過電子郵件詐騙（BEC）手法，佯稱是公司的CEO來行騙，但如今有歹徒以獵人頭的名義來對這些主管下手，目的是在他們的電腦植入惡意軟體並進行控制。</p> <p>此外，駭客針對DevOps環境配置不當、濫用Windows內建的OpenSSH元件也值得留意。在國內消息的部分，昨天傍晚聯嘉光電發布資安重訊，指出總部與海外子公司同時遭受攻擊。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169385"><strong style="font-size: 22px;">求職信網釣鎖定財務長與金融高層而來，駭客企圖植入遠端存取工具Netbird控制受害電腦</strong></a> </p> <p><a href="https://s4.itho.me/sites/default/files/images/spear-phishing-campaign-1.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/spear-phishing-campaign-1.jpg" style="width: 300px; float: right;" /></a></p> <p>駭客以徵才的名義從事網釣攻擊的情況不時傳出，其中最常見的是針對開發人員而來（例如：北韓駭客發動的的攻擊行動Contagious Interview，也被稱做Dev#Popper），如今有人專門針對全球高階財務主管下手，直到一年後才被研究人員發現。</p> <p>資安業者Trellix於5月中旬偵測到專門鎖定財務長（CFO）及金融高層的網路釣魚攻擊，駭客的攻擊範圍相當廣泛，涵蓋歐洲、非洲、加拿大、中東、南亞等全球5個地區。受影響的產業包括銀行、能源公司、保險業及投資機構。攻擊者利用合法的遠端存取工具NetBird，在受害者的電腦上建立隱藏的本機帳號，並啟用遠端桌面存取。</p> <p>研究人員發現，類似的惡意連結已經活躍近一年，顯示這場行動可能已經持續了一段時間。目前，攻擊者的基礎設施尚未被完全識別，暫且尚未歸因於特定的威脅組織。</p> <p><a href="https://www.ithome.com.tw/news/169391"><strong style="font-size: 22px;">駭客組織鎖定DevOps環境而來，濫用Nomad、Docker API等不當配置的情況從事挖礦攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/1748631346-screenshot-2025-05-30-at-11-55-35-am.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1748631346-screenshot-2025-05-30-at-11-55-35-am.png" style="width: 300px; float: right;" /></a></p> <p>結合軟體開發及IT維運的DevOps環境，近年來也成為駭客偏好下手的目標，將其中特定系統的運算資源用來挖礦，但如今有人同時針對多套系統發動攻擊。</p> <p>雲端安全公司Wiz揭露駭客組織JINX-0132的攻擊行動，這些駭客針對Docker、Gitea、HashiCorp Consul，以及HashiCorp Nomad等DevOps應用程式伺服器而來，利用配置不當的情況或資安弱點來植入挖礦程式XMRig。研究人員指出，這是首度有人濫用HashiCorp Nomad來進行挖礦的活動。</p> <p>究竟這波攻擊行動的曝險範圍有多大？Wiz研究人員未公布明確的數字，但他們提及全球約有8成雲端環境採用Docker、逾20%採用Consul；四分之一採用上述提及的Consul、Gitea，或是Nomad。而採用這些DevOps工具的環境，約有5%直接曝露於網際網路，其中有三成存在組態配置不當而曝險。</p> <p><a href="https://www.ithome.com.tw/news/169361"><strong style="font-size: 22px;">Windows內建的OpenSSH元件被濫用，駭客試圖建立後門連線</strong></a></p> <p>微軟於2018年4月發布的1803版Windows 10當中，開始內建SSH支援，使得IT人員不再需要自備工具就能從事相關作業，但也有駭客藉由這種內建機制從事寄生攻擊（LOLBin），於受害電腦建立後門。</p> <p>近期SANS網路風暴中心資安研究人員發現一種新型態的SSH後門，該惡意程式利用Windows內建的OpenSSH，來建立能持續存取的管道。攻擊者透過惡意DLL檔案dllhost.exe來啟動SSH服務，並在受害電腦設定隨機連接埠來建立連線。</p> <p>該惡意程式會檢查系統是否已啟動SSH服務，若未啟動，則會讀取登錄檔中的SSH設定，或在首次執行時隨機產生新的隨機連接埠並儲存。接著，它會建立SSH設定檔，其中包含攻擊者的C2伺服器資訊，並進入無限迴圈執行，以維持連線運作。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=6&SPOKE_TIME=165352&SPOKE_DATE=20250605&COMPANY_ID=6288"><strong style="font-size: 22px;">聯嘉光電資訊系統遭到攻擊，駭客試圖存取總部與部分子公司網路環境</strong></a></p> <p>6月5日汽車車燈供應鏈業者聯嘉光電於股市公開觀測站發布資安重訊，指出集團總部與部分海外子公司的網路環境，皆出現駭客企圖登入的跡象，資訊系統遭到攻擊。對此，他們在察覺相關異狀後，立即啟動相關防禦機制因應。而對於這起事故可能會造成的影響，聯嘉光電表示根據他們的初步評估，對於營運無重大影響。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/fbi-play-ransomware-breached-900-victims-including-critical-orgs/">勒索軟體Play威脅加劇，迄今已有逾900家企業組織受害</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/lumma-infostealer-developers/">竊資軟體Lumma捲土重來，透過俄羅斯C2試圖恢復運作</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/google-hackers-target-salesforce-accounts-in-data-extortion-attacks/">駭客組織ShinyHunters挾持跨國企業的Salesforce帳號，意圖竊取機敏資訊</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169300"><strong style="font-size: 22px;">駭客利用vBulletin滿分漏洞來植入後門</strong></a></p> <p>資安業者Karma(In)Security於5月23日揭露兩個位於vBulletin的資安漏洞，同時釋出概念驗證攻擊（PoC）程式，另一資安研究人員Ryan Dewhurst在5月26日便發現駭客已開始嘗試攻擊誘捕系統（Honeypot），企圖植入後門。</p> <p>Karma(In)Security發現的兩個資安漏洞分別是CVE-2025-48827與CVE-2025-48828，其中，CVE-2025-48827是在系統於PHP 8.1或更新的環境執行時，允許未經授權的使用者可呼叫受保護的API控制器，換句話說，它讓駭客得以繞過身分驗證，直接存取各種API端點，CVSS風險評分達到滿分（10分）。至於CVE-2025-48828，允許駭客濫用模板條件（Template Conditionals），繞過系統安全檢查並執行任意PHP程式碼，風險值為9.0。</p> <p>值得留意的是，其實Internet Brands早在去年4月就修補了這兩個漏洞，只是直到今年才被揭露、分配CVE漏洞編號。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/apple-ios-activation-flaw-enables-injection/">蘋果iOS設備啟動後臺系統存在弱點，攻擊者有機會任意竄改相關配置</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/critical-dell-powerscale-vulnerability/">網路儲存設備Dell PowerScale存在重大漏洞，未經授權攻擊者可存取檔案系統</a></strong></p> <p> </p> <h3><strong>【法規遵循】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169357"><strong style="font-size: 22px;">針對遭勒索的企業，澳洲政府要求通報支付贖金的金額</strong></a></p> <p>最近幾年，各國政府要求企業在發生資安事故的時候必須限時通報，其中對於勒索軟體攻擊，多半是呼籲受害企業不要向歹徒低頭，選擇付錢了事，不過，如今有國家對於支付贖金的企業，要求必須通報相關資訊，這樣的態勢引起外界關注。澳洲政府頒發命令，要求從5月30日起，遭勒索軟體或網路勒索的企業，若是向歹徒付錢，應在支付贖金72小時內通報政府，包括資安事件及支付金額。</p> <p>這項名為《網路安全（勒索軟體支付通報）規定2025（Cyber Security (Ransomware Payment Reporting) Rules 2025）》的法規，是澳洲網路安全法（Cyber Security Act, 2024）的一部分，於今年3月公布，並在5月30日正式生效。澳洲政府預計從2026年1月1日起啟動遵循和執法措施，並在今年12月底前的6個月宣導推廣期及匯整各方意見。根據規定，前一會計年度營業額在300萬澳幣以上的企業，為本法涵蓋的對象。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169198"><strong style="font-size: 22px;">持續擴大身分安全防護產品陣容，Computex 2025臺廠展出多種硬體解決方案</strong></a></p> <p>今年臺北國際電腦展（Computex 2025）舉行，展現臺灣資通訊（ICT）產業在全球科技供應鏈的影響力之餘，現場亦有不少資安相關展示受到關注，當中有部分來自臺灣資安大會展覽上大家所熟悉的廠商，有部分則沒有那麼熟悉，但也展現廣泛資安技術。</p> <p>以上個月在臺灣資安大會展出，5月又現身Computex展覽的業者而言，資安大廠趨勢科技就是一例，他們特別展示用Digital Twin來搭建企業紅藍隊攻防演練的解決方案，目前已在開發階段。</p> <p>還有近年陸續在多場活動展出零信任相關資安解決方案的眾至資訊，在這次Computex也不缺席，主要展示其防火牆與交換器協同防禦的解決方案，以及OT安全防護設備；主打內網流量管理與DDoS安全防護的UGuard Networks崴遠科技，他們也在Computex也展示一項今年新推的Defense Trust威脅情資解決方案，其他還有像是TeamT5杜浦數位安全、中華資安國際等業者，也同樣現身於Computex活動現場。</p> <p><a href="https://www.ithome.com.tw/news/169208"><strong style="font-size: 22px;">臺灣企業如何因應地緣政治風險？從BCM 1.0升級2.0，專家建議從六大面向因應極端情境</strong></a></p> <p>在俄烏戰爭爆發之後，不少企業血淋淋地感受到地緣政治劇烈衝擊最極端的情況，並非完全不可能，尤其臺海衝突頻傳，三年前，國外知名雜誌更專文點名，將臺灣和烏克蘭、以色列並列為全球的高風險地緣政治衝突區域。</p> <p>當時就有不少臺灣大型企業，如高科技業者、金融業者、生技業者，重新審視自己的營運持續計畫（ BCP），開始思考過去視為極端情況，自己當前的準備是否足夠。安永諮詢服務執行副總經理曾韵指出，他們近幾年也協助不少臺灣企業，重新審視BCP計畫對極端情境的準備。</p> <p>曾韵建議企業，可以將地緣政治風險劃分不同的階段，在營運持續計畫中，再針對每一個階段訂定詳細的情境與事件應對方針，企業可參考國內外專家或政府機構對這些情境的規畫和建議，來安排企業自家做法。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169392"><strong>【6月5日】Roundcube存在9.9分的重大層級漏洞，恐波及其他內建此郵件伺服器的系統</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169365"><strong>【6月4日】逾250個Amazon代管IP位址被用於找尋75種應用系統弱點，恐引發大規模攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169343"><strong>【6月3日】Chrome將從8月起停止預設信任中華電信TLS新憑證引起高度關注</strong></a></p> </div></div></div>
2025/6/6 09:28作者周峻佑https://www.ithome.com.tw/news/169399
聯發科修補藍牙驅動程式高風險漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://corp.mediatek.com/product-security-bulletin/June-2025" target="_blank">聯發科本周發布產品更新</a>，修補影響其手機及物聯網晶片的多項資安漏洞，包含一個影響藍牙驅動程式高風險提權漏洞，以及多項影響WLAN和藍牙驅動程式的中度風險漏洞。</p> <p>這波漏洞影響聯發科智慧型手機、平板、AIoT、智慧顯示器、智慧平臺、OTT、電腦視覺、音訊和電視晶片組。</p> <p>高風險漏洞編號CVE-2025-20672，為一堆積緩衝溢位（Heap overflow）漏洞。本漏洞起於藍牙驅動程式邊界檢查（bounds check）不正確，導致攻擊者提高本地User執行權限以進行惡意活動，而本漏洞不需使用者互動即可達成濫用。</p> <p>本項漏洞是由外部研究人員通報，採用受影響軟體的晶片涵括IoT裝置到中、高階筆電。</p> <p>這波更新還修補了多項中度風險漏洞，涵括了一項提權（EoP）漏洞CVE-2025-20674（影響藍牙驅動程式）及5項阻斷服務（DoS）攻擊漏洞，包括CVE-2025-20673、CVE-2025-20675、CVE-2025-20676、CVE-2025-20677和CVE-2025-20678，其中除了CVE-2025-20678為電信模組IMS Service，其餘皆影響WLAN驅動程式。</p> <p>聯發科已經提早至少二個月通知裝置製造商並提供安全修補程式。</p> </div></div></div>
2025/6/6 09:43作者林妍溱https://www.ithome.com.tw/news/169400
思科修補身分服務引擎的驗證繞過漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ise-aws-static-cred-FPMjUcm7" target="_blank">思科本周發布安全更新</a>，修補身分服務引擎（Identity Service Engine，ISE）上高度風險的漏洞。</p> <p>編號CVE-2025-20286的漏洞一旦被成功濫用，駭客就可存取在AWS、Azure或OCI等雲端平臺的Cisco ISE執行個體，進而取得敏感資料、執行部份管理員運作、修改系統配置或擾亂受害系統內的服務。</p> <p>思科說明，這項漏洞起於思科ISE部署在雲端平臺時憑證產出不當，導致多個不同ISE執行個體可共用同一組憑證，只要這些環境的ISE軟體版本和雲端平臺一樣。攻擊者可以從雲端上的Cisco ISE執行個體擷取出用戶憑證，再以不安全的傳輸埠存取另一雲端平臺上的ISE執行個體，進而執行惡意存取行為。</p> <p>CVE-2025-20286屬高風險漏洞，CVSS 3.1風險值高達9.9。</p> <p>不過思科表示，只有主管理節點部署在雲端時，Cisco ISE才會受此漏洞影響，若主管理節點是部署在本地資料中心，Cisco ISE就不受影響。</p> <p>思科已釋出新版軟體更新修補漏洞，且沒有替代解決方案。但思科建議管理員可以將存取雲端ISE的來源IP，限制為平臺安全群組或是管理員。</p> </div></div></div>
2025/6/6 09:54作者林妍溱https://www.ithome.com.tw/news/169401
X開始禁止第三方使用其內容來訓練模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://developer.x.com/en/developer-terms/agreement-and-policy" target="_blank">X最近修改其開發者協定</a>，於X API與X Content的使用限制中，新增禁止第三方平臺利用它們來微調或訓練基礎及前沿模型。外界揣測此舉可能是因為X有意效法Reddit，以與第三方業者達成內容合作協議。</p> <p>馬斯克（Elon Musk）在2022年10月以440億美元買下Twitter，並將其更名為X，接著在2023年3月創辦了AI公司xAI，同年9月，X變更其隱私政策，表示可能會使用所蒐集的公開資訊來訓練機器學習或人工智慧模型，接著便利用X的內容來訓練xAI的Grok模型。</p> <p>2024年10月，X還進一步於服務條款及隱私政策中，<a href="https://www.ithome.com.tw/news/165563" target="_blank">開放</a>第三方業者利用該平臺的內容來訓練AI模型。</p> <p>上述變更主要屬於使用者端的協議，在針對開發者的協議與政策中，X一直到了今年6月，才於使用限制中祭出不得以X API及X Content來訓練模型的規定。</p> <p>外傳X的廣告營收在馬斯克接手之後持續下滑，然而，AI的興起及模型訓練的需求替內容網站創造另一個營收來源。以社交新聞平臺Reddit為例，迄今Reddit已於OpenAI、Google、 Sprinklr及Cision簽署合作協議，讓它們能夠合法存取Reddit內容，這也讓Reddit的身價水漲船高，甫於去年3月以34美元的發行價登上紐約股市的Reddit，現在的股價已突破110美元。</p> </div></div></div>
2025/6/6 10:02作者陳曉莉https://www.ithome.com.tw/news/169402
USDC穩定幣開發商Circle上市首日股價大漲168%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國USDC穩定幣開發商Circle周四（6/5）以31美元的發行價登上紐約股市（New York Stock Exchange，NYSE），交易代號為CRCL，成為美國少數公開發行股票的純加密貨幣公司，上市首日即大漲168.48%，以83.23美元作收。</p> <p>Circle創立於2013年，所發行的USDC是個與美元掛鉤的穩定幣，意味著它會維持與美元相當的價格。<a href="https://coinmarketcap.com/" target="_blank">根據CoinMarketCap的統計</a>，USDC目前的市值為611億美元，在穩定幣範疇僅次於Tether USDT的1,539億美元，此外，USDC的規模也已讓它成為全球第七大加密貨幣。</p> <p>Circle在2022、2023與2024年的營收及儲備收入，分別是7.7億美元、14.5億美元，以及16.8億美元，除了在2022年虧損了7.7億美元之外，2023年及2024年的淨收入，分別達到了2.7億美元及1.6億美元。</p> <p>值得注意的是，Circle有超過99%的營收都來自儲備收入（Reserve Income）。儲備資產指的是Circle用來支持USDC穩定幣且價值相當的資產，可能是國債或短期投資，可帶來利息收入。</p> <p>其它在美國公開上市的純加密貨幣業者，還包括加密貨幣交易平臺Coinbase，以及兩家比特幣挖礦公司MARA Holdings與Riot Platforms。</p> </div></div></div>
2025/6/6 10:15作者陳曉莉https://www.ithome.com.tw/news/169403
Meta、Yandex被揭露監聽Android本機通訊埠，橋接瀏覽器與App身分進行追蹤
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>西班牙IMDEA Networks Institute、荷蘭Radboud University及比利時KU Leuven等學術機構研究人員共同<a href="https://localmess.github.io/#disclosure">發表研究</a>，發現知名科技公司Meta與Yandex在Android平臺上，透過監聽本機通訊埠的方式，建立瀏覽器與原生App之間的身分橋接，實現用戶行為的去匿名化追蹤。此技術手法繞過了傳統的隱私保護機制，侵害行動裝置用戶的個人資料保護與隱私安全。</p> <p>根據該項研究結果，Meta的Facebook與Instagram應用程式，以及Yandex旗下多款應用程式，會在Android裝置中於背景持續監聽特定本地端通訊埠。當用戶開啟安裝有Meta Pixel或Yandex Metrica追蹤碼的網站時，瀏覽器中的JavaScript腳本會將瀏覽行為與身分資訊經由本地端Socket傳遞至這些原生App，進而實現Web與App間的身分串接。此舉突破現行如清除Cookie、無痕瀏覽以及Android權限控管等防護，可連結原本分散、短暫的瀏覽識別與長期、個人化的App帳號或裝置識別碼，提升追蹤的精確度與持續性。</p> <p>以Meta為例，研究指出其Facebook與Instagram應用程式會在背景啟動服務，監聽一組UDP與TCP本地埠口。當用戶瀏覽嵌有Meta Pixel的網站時，腳本會將_fbp Cookie透過WebRTC協定，以名為SDP Munging或TURN的方法傳遞至本機通訊埠，然後由原生App接收後，與用戶帳號一同傳送至Meta伺服器。這讓Meta能夠跨網頁與App層串接同一用戶，打破現有第一方Cookie僅限單一網站範疇的隱私保護。</p> <p>Yandex則採用HTTP與HTTPS請求發送至指定本地端埠口，由旗下如Yandex Maps、Yandex Browser等App監聽。這些App會回應包含Android Advertising ID等身分資訊，由瀏覽器腳本收集後一併上傳，這種設計還透過DNS解析將追蹤網域指向127.0.0.1，進一步隱匿流量與資料流向，使一般檢測機制更難發現。</p> <p>此種利用Android開放本機Socket設計的追蹤方式，受影響範圍極廣，據統計，Meta Pixel與Yandex Metrica分別被嵌入全球數百萬個網站。研究實測也顯示，即便用戶未明確同意Cookie政策，這些身分串接仍有機會被觸發，且由於本機通訊埠監聽並無特別權限限制，其他惡意App也可能偵聽相關埠口，衍生更多資安與個資外洩風險。</p> <p>為了評估此追蹤手法對不同瀏覽器的影響，研究團隊針對多款主流瀏覽器，包括Chrome、Microsoft Edge、Firefox、DuckDuckGo及Brave進行測試。測試結果顯示，當網站腳本嘗試與本機通訊埠連線時，Chrome及Edge均受到Meta與Yandex這類追蹤行為的影響，能夠被追蹤腳本連接並傳遞身分資料。Brave則因為自2022年起針對本地主機連線實施嚴格封鎖策略，能有效防止這類攻擊，DuckDuckGo則透過增加阻擋清單減少部分風險。Firefox雖對Meta的技術較具防禦力，但對Yandex的HTTP請求仍會受到影響。</p> <p>目前主流瀏覽器已針對此類本地端Socket溝通提出初步防禦措施，例如封鎖特定埠口、限制SDP欄位操作等。不過，研究人員強調，Android平臺本身的設計限制若未根本改善，相關風險仍然存在。Meta與Yandex皆未在官方文件公開說明此類技術細節，也未針對外界或開發者社群的相關討論給出明確回應，但是皆已停止相關追蹤功能運作。</p> </div></div></div>
2025/6/6 08:21作者李建興https://www.ithome.com.tw/news/169394
AWS正式啟用臺北區域資料中心，第一批啟用六十多項常見基礎服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AWS網站今天正式啟用了臺灣本地的臺北區域資料中心（代號ap-east-2）目前可以提供61項雲端服務，以運算、儲存、網路、資料庫等基礎服務為主。但還沒提供更進階的AI相關服務，例如Bedrock、SageMaker</p> <p>AWS三年前先在臺啟用了Local Zone本地雲端機房，去年則進一步宣布了規模更大的臺北區域等級資料中心建置計畫。這座臺北區域資料中心是AWS十年來在臺最大規模的投資，AWS計畫未來15年在臺投資數十億美元。 </p> <p>臺北區域資料中心由3個可用區域（AZ）組成且區域間彼此相隔，每個AZ之間都具有獨立的電源、冷卻和實體安全性，並透過冗餘、超低延遲網路串連，來實現服務或應用高可用性與高容錯。</p> <p>根據 AWS香港暨台灣總經理王定愷去年揭露了資訊，臺灣本地企業使用AWS服務的往返延遲時間有望進一步縮短至10毫秒以下。</p> <p>目前AWS在全球推出36個區域資料中心，在亞太和中國區有14座區域資料中心，今年初新增了泰國區域資料中心，接著是臺北區域資料中心，預計亞太區今年還將新增紐西蘭區域資料中心。</p> <p><a href="https://aws.amazon.com/tw/about-aws/global-infrastructure/regional-product-services/?p=ngi&loc=4">從AWS官網上按區域提供的AWS服務清單</a>可以看到，今天已經增加了ap-east-2的亞太地區(台北）區域，可提供61項服務，像是常見的運算服務（如EC2、ECS、EKS）、儲存服務（S3、EBS等）、資料庫類（RDS、Aurora、DynamoDB、Redshift等）。</p> <p>不過，AWS東京區域資料中心目前提供了216項服務，遠高於臺北區域資料中心的61項。多項AI類服務，如Bedrock、 SageMaker都還沒在臺提供。</p> </div></div></div>
2025/6/6 07:16作者王宏仁https://www.ithome.com.tw/news/169398
摩根大通2025年科技預算達180億美元，IT投資重心從基礎設施轉向應用端
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>摩根大通在今年五月中舉辦一年一度的投資者日，在2025年，摩根大通的科技預算達到180億美元，較去年增加10億美元。這180億中，有53億資金投資在產品、平臺和創新發展，27億美元投資在基礎的技術架構上。若以業務領域來看，共有80億分別投資在投資銀行、消費銀行和財富管理三大業務領域上。</p> <p>談到2025年的科技預算，摩根大通財務長Jeremy Barnum強調，大部分科技預算已投入在產品、平臺和功能，「我們現在已經度過現代化計畫支出的高峰期，這幫助我們持續投資在產品、平臺和功能上。」同時，他也提到，公司整體的業務量增漲，帶動了部分硬體和基礎設施的預算上漲，但透過提升效率，得以抵銷這些額外開銷。</p> <p>Jeremy Barnum強調的論點，呼應了摩根大通今年的科技預算變化。今年，摩根大通的科技預算首次出現現代化計畫投資金額減少，遞減了約2億美元。另外，效率提升為摩根大通節省了6億美元。不過，隨著業務量增加，摩根大通今年在地端基礎設施和公有雲投入的成本增加了10億美元，投資在產品、平臺和功能開發的預算也大幅增加了9億美元。整體預算相較去年，增加約10億美元。</p> <h3>40萬名工程師配備AI Coding助理、20萬名員工使用GenAI平臺、超過100項GenAI解決方案正在運作</h3> <p>相較於去年，摩根大通在今年端出了更多GenAI成果。例如，超過40萬名工程人員使用AI程式碼輔助助理，另外，他們在2024年推出了生成式AI平臺LLM Suite，提供全球超過20萬名員工使用，協助員工節省每周數小時工作時間、提升員工生產力。此外，透過LLM Suite，「我們也開始看到不少公民開發者的案例已開始正式運作。」Jeremy Barnum說。目前，摩根大通也有超過100項GenAI解決方案正在運作中。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202025-06-02%20211116.png" style="width: 600px;" /></p> <blockquote><p>摩根大通揭露今年的科技計畫進展和成果，著重在GenAI成果和IT現代化計畫進展。(圖片來源:摩根大通)</p> </blockquote> <h3>IT現代化計畫邁入尾聲、65%應用程式運作在雲端環境</h3> <p>摩根大通推動IT現代化計畫多年，早在2022年，他們就宣布要加速運用公有雲和私有雲上的運算資源來提高彈性，另一方面也要將過去大型的單體式應用，逐漸轉換成API驅動的模組化架構，重新打造成雲端原生的應用，來提供快速和大規模的交付能力。去年，他們投資近20億美元，在美國打造4個全新且現代化的私有雲資料中心，並計畫要開始關閉效率較低的資料中心。2024年，摩根大通約有一半的應用程式和七成的資料部署在雲端環境。</p> <p>在今年投資日上，Jeremy Barnum表示，目前摩根大通約有65%的應用程式運作在公有雲或私有雲上，相較去年提升了15%。若將運作在虛擬器上的應用程式也納入統計，會有約八成應用程式運作在現代化基礎設施上。同時，Jeremy Barnum也強調，他們幾乎完成了大型傳統資料中心的遷移計畫，並且正在關閉那些資料中心，「現代化計畫的進展，持續在集團的開發速度和敏捷度上帶來顯著效益。」他說。</p> <p></p> </div></div></div>
2025/6/5 19:19作者李昀璇https://www.ithome.com.tw/news/169397
Martech雙周報第76期：Amazon推出新CTV廣告格式，用AI分析影音內容並即時生成符合當下內容的行銷文案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#0000FF;"><strong>重點新聞(0525~0607)</strong></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#CTV廣告 #AI影音內容分析 #跨裝置廣告 #購物廣告</span></span></strong><br /> <strong>Amazon推出新串流媒體廣告格式，用AI分析影音內容並即時生成文案</strong></p> <p><a href="https://advertising.amazon.com/en-us/library/news/ai-pause-format-prime-video/?ref_=a20m_us_libr">Amazon宣布推出一種由AI驅動的新串流媒體廣告格式。這種廣告在觀眾暫停時顯示，內容則是透過AI分析暫停當下的影音內容和廣告主素材，來動態生成相關廣告文案。</a></p> <p>他們還推出其他兩種新串流廣告格式，其一是可以直接從Amazon商店擷取產品細節、價格、優惠、庫存情況和Prime配送信息的購物廣告。觀眾可以看完廣告，在原畫面完成購物結帳。</p> <p>另一種格式則是針對不在Amazon上銷售的品牌，提供一系列互動式行動呼籲廣告。例如，「獲取報價」、「馬上預約」等，並將訊息直接發送到觀眾手機。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#行銷成效追蹤 #注意力追蹤科技 #IAB</span></span></strong><br /> <strong>IAB與MRC共同發布行銷注意力測量指南，為不同注意力追蹤科技定義測量方法與標準</strong></p> <p>美國互動廣告局（IAB）與媒體評級理事會（MRC）合作，<a href="https://www.iab.com/guidelines/attention-measurement/">共同發布《注意力測量指南》草案</a>。此指南由超過200位廣告、媒體和測量領域的專家共同開發，希望為數位行銷業界提供標準的注意力測量與報告框架。</p> <p>指南中涵蓋的測量方法包括數位資料信號、視覺與聽覺追蹤、生理與神經學觀察，以及質化觀察或對談等4大類。並且，依照3大面向來定義注意力測量標準，包括廣告版位所在環境、廣告於環境中的位置，以及廣告內容本身。</p> <p>IAB希望透過此指南提高業界廣告注意力測量透明度、一致性和可比較性。媒體公司、廣告平臺、和測量技術供應商可以此為標準來調整自家服務，廣告主則能用來評估注意力測量工具的品質與效果。此指南開放意見回饋到7月中。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#生成式AI #SEO #搜尋廣告 #關鍵字廣告</span></span></strong><br /> <strong>Google Marketing Live宣布多項AI廣告新功能，AI類搜尋與YouTube成重點戰場</strong></p> <p>Google於5月21日舉辦的Google Marketing Live年會中，再次強調生成式AI在廣告業務中的關鍵角色，宣布多項新功能聚焦於搜尋廣告與YouTube生態系的廣告應用。</p> <p>首先，Google宣布擴展AI Overviews、Google Lens與AI Mode中的廣告版位。Google表示，AI Mode具備對話式互動特性，有助於系統捕捉更細緻的用戶意圖。這個做法，雖然廣告主帶來新流量來源，但也可能加劇零點擊（Zero-click）搜尋情境，對網站經營者與SEO人員造成衝擊。</p> <p>關鍵字廣告部分，Google推出兩項AI Max for Search campaigns新功能。Keywordless Targeting透過語意判斷用戶需求，不依賴既有關鍵字即可觸發廣告；Smart Bidding Exploration則讓AI自動尋找冷門但具潛力的關鍵字競標機會，以降低成本、提高成效。</p> <p>YouTube則強化獲客相關的廣告功能與CTV（聯網電視）購物廣告格式，後者支援用戶於大螢幕觀看同時透過QR Code進行行動裝置購買。另外，還翻新Creator Partnership Hub，讓廣告主可更有效搜尋有意商業合作的YouTube創作者。（<a href="https://www.ithome.com.tw/news/169178">更多生成式AI及數位行銷更新，請詳見全文</a>）</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#AI搜尋 #短影音行銷</span></span></strong><br /> <strong>YouTube Shorts開始支援Google Lens搜尋功能，可用來導流觀眾到商品或品牌等外部頁面</strong></p> <p><a href="https://support.google.com/youtube/thread/347477687">Google開始測試在YouTube Shorts中加入Google Lens搜尋功能功能。</a>用戶於YouTube行動應用中觀看Shorts時，可以暫停影片後選擇畫面上的Lens選項。隨後，點擊或標註影片中的任何物品或場景，來給Google Lens進行以圖搜圖。這意味著，Shorts這個媒介多出一種導流手段，可以透過行動呼籲等方法，引導觀眾到商品或品牌等外部頁面。</p> <p>在測試階段，這些搜索結果中不會顯示廣告，且該功能不適用於已經包含YouTube Shopping連結或有商品推廣的Shorts。測試版本將於未來幾周內逐步向所有用戶開放。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#遊戲廣告 #AI精準投放</span></span></strong><br /> <strong>Unity推出全新AI廣告平臺Vector，根據遊玩資料來強化廣告精準投放</strong></p> <p>遊戲開發平臺Unity推出旗下全新AI驅動的廣告平臺Vector正式向所有廣告商和開發者開放，用來取代2011年推出的Audience Pinpointer廣告平臺。經過全面重建，Vecotr通過機器學習機制分析大量來自Unity生態系的數據，例如設備數據和遊玩時間、完成的關卡、使用的功能等玩家行為，以強化廣告精準投放。Unity會給廣告主報告，呈現不同地區和受眾的行銷成效。</p> <p>Unity還計畫進一步與更多遊戲開發者合作，來獲取更多遊戲相關數據，以提升平臺廣告投放精準度的表現。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#生成式AI #市場調查</span></span></strong><br /> <strong>Insivia推出AI生成買家平臺BuyerTwin，生成虛擬買家提供回饋，來模擬對真人的市調</strong></p> <p><a href="https://www.insivia.com/insivia-launches-buyertwin-an-ai-platform-to-give-businesses-direct-access-to-virtual-buyer-feedback">AI新創推出AI買家模擬平臺BuyerTwin，結合AI技術及真實世界買家資料，為企業生成虛擬買家，來進行市場調查。</a>平臺提供不同類型的互動模式，讓企業透過虛擬買家來測試自家網站、內容和行銷策略的效果。</p> <p>例如，通過網站反饋，企業可以立即從買家的視角理解網站文案、設計和導航的體驗，進而調整以提升用戶體驗。在內容方面，企業能夠了解哪些主題、格式和溝通角度能吸引買家注意，並解決需求。透過通路行為分析，企業可以發現理想買家花時間在哪些接觸點，以及他們偏好的互動方式。</p> <p>企業還可以進行定位與訊息測試，讓行銷文案更聚焦，消除阻礙溝通的用詞。甚至，從虛擬買家對文案的回饋，了解買家需要如何建立對品牌信任感。企業還可以詢問虛擬買家對競爭對手產品和定位的看法。甚至，可以透過和虛擬買家對話，發掘買家喜歡使用的用字遣詞和搜尋習慣，進一步強化SEO策略。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#跨通路行銷資料 #行銷成效測量</span></span></strong><br /> <strong>The Trade Desk推出提供多種廣告測量數據的免費API，包括廣告能見度和廣告版位環境分析等</strong></p> <p><a href="https://www.thetradedesk.com/uk/news/press-room/the-trade-desk-announces-opensincera">The Trade Desk（TTD）推出OpenSincera，這是個免費API，利用先前收購的廣告測量公司Sincera技術</a>而打造，來提供Sincera原本會提供的多種數據。例如，單一頁面上的廣告數量、平均可見廣告數量、廣告刷新頻率等。此API目標使用族群為包括代理商、出版商、DMP（資料管理平臺）及DSP（需求方平臺）</p> <p>原本，Sincera只會透過免費儀表板提供部分數據，作為吸引企業訂閱自家服務的宣傳。如今，則透過免費API形式提供更多相關數據，讓企業導入到自家其他廣告系統。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#媒體轉型 #生成式AI</span></span><br /> TVBS如何用AI強化媒體經營</strong></p> <p>身處網路通路崛起、科技飛速進步的時代，30年老電視臺TVBS花費5年，用AI改寫自家軟體開發、內容產製、行政管理及商業盈利的流程。背後關鍵，不只是技術部門持續學習最新科技，更是把技術力和應用意願帶給第一線人員，讓公司每一個非技術部門，都有自主用AI創新的能力。</p> <p>這一期封面故事中，我們將介紹TVBS如何將AI應用於數位通路經營，包括利用生成式AI打造數位媒體的互動式體驗、用NLP技術分類網站文章來強化推薦能力等。以及，TVBS如何推動應用AI的風氣到非技術部門中，讓第一線人員能積極接受、應用、學習AI技能，並應用到數位通路經營及數位行銷等業務中。（<a href="https://www.ithome.com.tw/article/169110">詳全文</a>）</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#外部通路廣告 #第一方資料 #RMN</span></span></strong><br /> <strong>PayPal推出Offsite Ads廣告服務，用300多億筆交易資料支援商家在Google等通路投放廣告</strong></p> <p><a href="https://newsroom.paypal-corp.com/2025-04-29-PayPal-Launches-Offsite-Ads-Unlocking-the-Power-of-Transaction-Data-Off-Platform">PayPal近日宣布推出站外廣告服務Offsite Ads</a>，將其4億用戶、每年350億筆交易資料應用於Google、Meta等通路的廣告投放。</p> <p>Offsite Ads利用PayPal自身掌握的消費者支付與購買行為數據，於使用者經常造訪的站外平臺中進行廣告投放。PayPal表示，該服務目前已協助既有商家廣告主在不額外調整內容或素材的情況下，平均提高18%轉換率及35%廣告投資報酬率。</p> <p>此服務還提供包含地區、年齡層、消費習慣等維度的再行銷投放策略選項。PayPal強調，所有用於投廣的數據均經去識別化處理。該服務目前正逐步推向更多商家廣告主，並計畫於今年稍晚整合至PayPal與Venmo等平臺操作介面，進一步簡化廣告投放流程。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099FF;">更多Martech動態：</span></strong></span></p> <p>1. <a href="https://techblog.lycorp.co.jp/zh-hant/introduction-to-mcp-and-building-mcp-server-using-line-messaging-api">LineOA的Messaging API開始支援MCP協定。他們還從頭開始介紹如何架設MCP伺服器，用來打造AI代理應用</a></p> <p>2. Google擴展AdSense for Search投廣通路，將廣告導入第三方AI聊天機器人</p> <p>3. <a href="https://www.prnewswire.com/news-releases/iab-releases-general-terms-for-digital-advertising-agreements-for-public-comment-302458140.html">IAB針對發布更新版的數位廣告協議一般條款，針對近年新興數位廣告交易模式量身打造公版定型化契約</a></p> <p>4. <a href="https://www.prweb.com/releases/emailanalytics-launches-groundbreaking-ai-powered-sentiment-analysis-for-email-communications-302440877.html?utm_medium=email&_hsenc=p2ANqtz-9TKZ90iik4kLdZxT3A7Xhaz0tLv1A5BevgRRPNUSBGQ_QBXLBwz1R066E5X3ACsVG0XKp4thLBZFL8ZLav6V1jro44lw&_hsmi=361378940&utm_content=361378940&utm_source=hs_email">EmailAnalytics推出用AI大量分析Email內用語的情感分析功能，來觀察顧客滿意程度</a></p> <p>5. <a href="https://www.globenewswire.com/news-release/2025/06/04/3093607/31297/en/Taboola-Launches-Predictive-Audiences-As-Part-of-Realize-Offering-Empowering-Advertisers-to-Reach-More-High-Converting-Customers-Advertisers-Including-The-Motley-Fool-and-NerdWalle.html">Taboola廣告平臺推出預測受眾功能，結合廣告主第一方數據與平臺上數據來投廣給轉換潛力較高的新受眾</a></p> <p>資料來源：iThome整理，2025年6月</p> <p>責任編輯：郭又華</p> <p>圖片來源：Amazon</p> <p></p> </div></div></div>
2025/6/5 18:56作者郭又華https://www.ithome.com.tw/news/169396
駭客組織鎖定DevOps環境而來，濫用Nomad、Docker API等不當配置的情況從事挖礦攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>結合軟體開發及IT維運的DevOps環境，近年來也成為駭客偏好下手的目標，將其中特定系統的運算資源用來挖礦，但如今有人同時針對多套系統發動攻擊。</p> <p>雲端安全公司Wiz揭露<a href="https://www.wiz.io/blog/jinx-0132-cryptojacking-campaign">駭客組織JINX-0132的攻擊行動</a>，這些駭客針對Docker、Gitea、HashiCorp Consul，以及HashiCorp Nomad等DevOps應用程式伺服器而來，利用配置不當的情況或資安弱點來植入挖礦程式XMRig。研究人員指出，這是首度有人濫用HashiCorp Nomad來進行挖礦的活動。</p> <p>HashiCorp Nomad是工作負載編排工具，可用於部署和管理容器化與非容器化應用程式，適用於雲端、內部部署及邊緣環境，號稱簡單易用且能靈活配置。但研究人員特別提及，HashiCorp在相關文件指出，Nomad並非採取預設安全（Secure by Default）的配置，使用者必須自行正確配置各種資安功能。換言之，假若管理員並未採取適當的配置，就有可能讓所有能夠存取API的使用者隨意建立或執行工作排程，這種沒有任何管制的狀態下，形同開放用戶遠端在Nomad及節點上執行任意程式碼（RCE）。</p> <p>而JINX-0132下手的對象，主要是曝露在網際網路、使用預設組態而未套用HashiCorp建議配置的Nomad伺服器API他們在受害主機建立多項新的工作，從GitHub儲存庫下載XMRig並授予權限，然後執行挖礦工作，並連線到公開的門羅幣礦池。研究人員提及，攻擊者並未使用自己打造的惡意酬載或是伺服器，因此唯一識別駭客活動的管道，就是他們的加密貨幣錢包。</p> <p>此外，攻擊者還濫用配置不當Docker API，呼叫特定的端點，例如：/containers/create、/image/create來啟動惡意容器，而這些配置不當的Docker，管理者往往僅透過快速上手指引部署，從而曝露tcp://0.0.0.0:2375（或2376埠己，使得攻擊者有機會遠端執行任意程式碼。</p> <p>針對Git儲存庫Gitea的部分，研究人員認為JINX-0132可能是利用CVE-2020-14144或配置不當的情況，取得伺服器的初期入侵管道。這些技術讓攻擊者能夠遠端執行惡意程式碼，並確保挖礦活動持續進行。</p> <p>對於HashiCorp Consul的環境，攻擊者利用錯誤配置來註冊惡意服務，並透過健康檢查機制執行bash命令，下載並執行XMRig。這些攻擊手法顯示，許多企業的DevOps環境仍然存在嚴重的安全漏洞。</p> <p>究竟這波攻擊行動的曝險範圍有多大？Wiz研究人員未公布明確的數字，但他們提及全球約有8成雲端環境採用Docker、逾20%採用Consul；四分之一採用上述提及的Consul、Gitea，或是Nomad。而採用這些DevOps工具的環境，約有5%直接曝露於網際網路，其中有三成存在組態配置不當而曝險。為了更具體呈現JINX-0132的威脅規模，Wiz研究人員使用物聯網搜尋引擎Shodan尋找可能遭殃的系統，他們發現有5,319臺Consul伺服器、405臺伺服器曝露於網際網路，這些系統有可能已淪陷。</p> </div></div></div>
2025/6/5 16:40作者周峻佑https://www.ithome.com.tw/news/169391
【資安日報】6月5日，Roundcube存在9.9分的重大層級漏洞，恐波及其他內建此郵件伺服器的系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過往駭客組織鎖定的郵件伺服器系統，多半以微軟的Exchange為主，但最近兩到三年，有越來越多駭客針對Roundcube、Zimbra等開源解決方案而來，因此這類系統若是出現資安漏洞，也相當值得留意。</p> <p>最近有資安業者發現Roundcube重大層級漏洞，值得留意的是，由於不光是IT人員用來架設郵件伺服器，再加上有其他應用系統如主機管理平臺cPanel、Plesk整合Roundcube，亦有Yandex.Mail、Zoho Mail等服務採用，因此這種漏洞的影響範圍會相當可觀。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169384"><strong style="font-size: 22px;">勒索軟體Lyrix用Windows內建API對電腦發動攻擊，回避偵測、防止研究人員分析</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/ransomware28-19.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/ransomware28-19.jpg" style="width: 300px; float: right;" /></a>勒索軟體攻擊極為氾濫，許多企業會透過各式資安防護系統與備份機制因應，但道高一尺，魔高一丈，駭客也採取更難被偵測的手法犯案，其中最常見的手法，就是自行攜帶存在已知弱點的驅動程式（BYOVD），藉此停止EDR端點代理程式的運作。</p> <p>但除了透過BYOVD對EDR下手，駭客也會濫用作業系統內建合法元件或功能來掩人耳目，最近資安業者Cyfirma揭露的勒索軟體Lyrix，就是這樣的例子。駭客從試圖對抗研究人員的虛擬機器和沙箱，以及隱匿行蹤與迴避資安系統偵測的手段，基本上幾乎都是透過Windows內建的API來達到目的。</p> <p>駭客如何用OS內建API？用了哪些API進行攻擊？研究人員指出，駭客透過VirtualProtect偵測是否在虛擬機器執行，並使用GetCurrentProcess、TerminateProcess控制惡意程式的運作，或是進行權限提升、把惡意程式碼注入到特定處理程序的情況。接著，駭客使用GetDriveTypeW、FindNextFileExW從受害電腦找出想要加密的資料。</p> <p><a href="https://www.ithome.com.tw/news/169363"><strong style="font-size: 22px;">自動化資安合規業者Vanta軟體出錯，導致部分客戶資料能被其他用戶存取，受影響的企業可能有數百家</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/compliance-platform-vanta-exposes-customer-info-via-software-bug-1.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/compliance-platform-vanta-exposes-customer-info-via-software-bug-1.jpg" style="width: 300px; float: right;" /></a></p> <p>為了確保能夠符合資安法規及相關要求，有些企業可能會導入自動化資安合規平臺因應，然而這類系統一旦出錯，很有可能導致一些意想不到的資安問題。</p> <p>根據資安新聞網站HackRead的報導，自動化資安合規業者Vanta近日確認，其系統內部的程式碼錯誤導致部分客戶的敏感資料，可被其他客戶存取。該公司強調，這起事件並非外部攻擊，而是由於產品程式碼變更所引發的問題。</p> <p>Vanta於5月26日察覺此事，並立即展開調查與修復作業。針對影響的範圍，Vanta表示，受影響的資料來自第三方整合，約占不到20%，而受影響的客戶不到4%。由於Vanta擁有超過1萬個客戶，這意味著可能有數百家企業受到影響。</p> <p><a href="https://www.ithome.com.tw/news/169378"><strong style="font-size: 22px;">Coinbase資料外洩事故傳出新消息，2名印度客服外包業者TaskUs員工涉案</strong></a></p> <p>5月15日大型加密貨幣交易所Coinbase向美國證券交易委員會（SEC）通報，他們的海外客戶支援的約聘人員或員工遭到賄賂，在沒有業務需求的情況下存取特定內部系統，盜走客戶資料給他人使用。Coinbase指出他們在5月11日收到勒索信，對方索討2千萬美元，換取不公開這起資料外洩事故及竊得的資料，後續Coinbase於21日透露，有近7萬名用戶受到影響。如今，這起事故傳出進一步的消息。</p> <p>根據路透社的報導，這起事故發生在印度客服委外業者TaskUs，事故起初是在今年1月發現，當時一名員工被發現使用個人裝置拍下電腦畫面，而使得竊取Coinbase用戶資料的活動東窗事發。隨後TaskUs展開調查，有兩名員工坦承犯案，將Coinbase用戶的敏感資料提供給駭客，並收受賄賂。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/hackers-use-gh0st-rat-to-hijack-internet-cafe/">韓國網咖遭到Gh0st RAT挾持，被用於挖礦牟利</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/fake-booking-com-sites-spread-asyncrat-malware/">惡意軟體AsyncRAT透過冒牌Booking.com散布</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/russian-hacker-black-owl-targets-critical-industries/">烏克蘭駭客Black Owl針對俄羅斯企業而來，意圖竊取財務資料</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.rapid7.com/blog/post/2025/06/03/from-ideology-to-financial-gain-exploring-the-convergence-from-hacktivism-to-cybercrime/">以政治訴求為動機的駭客轉換跑道，從事勒索軟體攻擊牟取經濟利益</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169358"><strong style="font-size: 22px;">郵件伺服器Roundcube存在10年重大漏洞，逾5,300萬主機恐曝險</strong></a></p> <p>資安業者Fears Off揭露的Roundcube後身分驗證漏洞CVE-2025-49113，通過身分驗證的攻擊者有機會濫用此項弱點，遠端執行任意程式碼（RCE），CVSS風險高達9.9分（滿分10分），Roundcube開發團隊獲報後，於6月1日發布1.6.11、1.5.10版修補。研究人員指出，這可能是該郵件系統近期最嚴重的漏洞之一。</p> <p>值得留意的是，此漏洞不僅相當嚴重，影響可能還相當廣泛。Fears Off指出，這項弱點影響2015年推出的1.1.0版，換言之，近10年的Roundcube都可能曝險；再者，此郵件系統不光是IT人員用於架設郵件伺服器，也是cPanel、Plesk、ISPConfig、DirectAdmin等管理工具的內建元件，因此研究人員估計，全球可能有超過5,300萬臺伺服器曝險。</p> <p><a href="https://www.ithome.com.tw/news/169379"><strong style="font-size: 22px;">IBM資安平臺QRadar Suite存在重大權限提升漏洞</strong></a></p> <p>6月4日IBM發布資安公告，指出旗下資安平臺QRadar Suite、Cloud Pak for Security存在6項資安漏洞，其中，列為重大層級的CVE-2025-25022最為嚴重，CVSS評分高達9.6，允許未經驗證的攻擊者存取系統中的高度敏感資訊，該公司強調這些漏洞沒有其他緩解措施，呼籲用戶升級至1.11.3.0版因應。但為何兩款獨立的資安平臺會被同一批弱點影響，IBM並未進一步說明。</p> <p>針對CVE-2025-25022帶來的影響，IBM指出未經授權的攻擊者能從組態檔案取得高度敏感資訊，但這些敏感資訊為何？根據該公司歸納的弱點類型，為組態檔案裡的密碼（CWE-260），換言之，攻擊者可能藉此得到特定的帳密資料，進行未經授權的存取。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://unit42.paloaltonetworks.com/azure-openai-dns-resolution/">由Azure代管的OpenAI環境存在DNS解析邏輯出錯，恐導致租戶資料外洩、中間人攻擊</a></strong></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169323"><strong style="font-size: 22px;">微軟、CrowdStrike合作彙整駭客代號對照表</strong></a></p> <p>在不同的資安業者或研究機構裡，研究人員往往會使用自己偏好的命名來代表駭客組織，這樣的情況長期在資安產業當中造成混亂，嚴重影響防守方的資訊溝通。微軟自2023年<a href="https://www.ithome.com.tw/news/156487">採用氣候型態歸納不同國家的駭客組織</a>後，最近他們又有新的動作。</p> <p>6月2日微軟、CrowdStrike宣布合作發展駭客名稱的對照表，方便網路攻擊與防禦資訊更快速分享。這份對照表包含微軟和CrowdStrike追蹤的駭客組織清單，以及各自如何分類，並且根據彼此的分類方式建立對照表。雙方表示，這參照指引並不是要建立單一命名共通標準，而是希望起頭帶動業界不同命名系統相互「翻譯」，使資安防禦運作更快速，尤其對那些需要整合多家廠商提供網路攻擊資訊的環境中。透過彼此命名的參照，可更有效辨識攻擊者、簡化多平臺和報表的關聯，以及加速建立防禦工事。</p> <p>繼微軟和CrowdStrike宣布此事，Google及Mandiant、Palo Alto Networks也表態，他們將會加入合作的行列。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169365"><strong>【6月4日】逾250個Amazon代管IP位址被用於找尋75種應用系統弱點，恐引發大規模攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169343"><strong>【6月3日】Chrome將從8月起停止預設信任中華電信TLS新憑證引起高度關注</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169309"><strong>【6月2日】新型態瀏覽器中間人攻擊手法濫用全螢幕隱匿意圖</strong></a></p> </div></div></div>
2025/6/5 16:52作者周峻佑https://www.ithome.com.tw/news/169392
IBM資安平臺QRadar Suite存在重大權限提升漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>6月4日IBM發布資安公告，指出旗下資安平臺QRadar Suite、Cloud Pak for Security<a href="https://www.ibm.com/support/pages/node/7235432">存在6項資安漏洞</a>，其中，列為重大層級的CVE-2025-25022最為嚴重，CVSS評分高達9.6，允許未經驗證的攻擊者存取系統中的高度敏感資訊，該公司強調這些漏洞沒有其他緩解措施，呼籲用戶升級至1.11.3.0版因應。但為何兩款獨立的資安平臺會被同一批弱點影響，IBM並未進一步說明。</p> <p>針對CVE-2025-25022帶來的影響，IBM指出未經授權的攻擊者能從組態檔案取得高度敏感資訊，但這些敏感資訊為何？根據該公司歸納的弱點類型，為組態檔案裡的密碼（CWE-260），換言之，攻擊者可能藉此得到特定的帳密資料，進行未經授權的存取。</p> <p>另一個被列為高風險的漏洞CVE-2025-25021，也值得留意，此漏洞發生的原因在於不當產生程式碼，使得具備特殊權限的攻擊者能夠執行程式碼，風險值為7.2。</p> </div></div></div>
2025/6/5 11:33作者周峻佑https://www.ithome.com.tw/news/169379
勒索軟體Lyrix用Windows內建API對電腦發動攻擊，回避偵測、防止研究人員分析
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>勒索軟體攻擊極為氾濫，許多企業會透過各式資安防護系統與備份機制因應，但道高一尺，魔高一丈，駭客也採取更難被偵測的手法犯案，其中最常見的手法，就是自行攜帶存在已知弱點的驅動程式（<a href="https://www.ithome.com.tw/tags/byovd">BYOVD</a>），藉此停止EDR端點代理程式的運作。</p> <p>但除了透過BYOVD對EDR下手，駭客也會濫用作業系統內建合法元件或功能來掩人耳目，最近資安業者Cyfirma揭露的<a href="https://www.cyfirma.com/research/lyrix-ransomware/">勒索軟體Lyrix</a>，就是這樣的例子。駭客從試圖對抗研究人員的虛擬機器和沙箱，以及隱匿行蹤與迴避資安系統偵測的手段，基本上幾乎都是透過Windows內建的API來達到目的。</p> <p>駭客如何用OS內建API？用了哪些API進行攻擊？研究人員指出，駭客透過VirtualProtect偵測是否在虛擬機器執行，並使用GetCurrentProcess、TerminateProcess控制惡意程式的運作，或是進行權限提升、把惡意程式碼注入到特定處理程序的情況。接著，駭客使用GetDriveTypeW、FindNextFileExW從受害電腦找出想要加密的資料。</p> <p>此勒索軟體的另外一個特性，則是本身是以程式語言Python開發而成，而且是透過PyInstaller打造，而能直接整合運作過程所需的程式庫元件，並打包成單一的可執行檔。因此，該檔案執行的過程，完全不需倚賴受害電腦事先部署特定的元件，使得攻擊流程更加順暢。</p> <p>為了避免受害組織透過備份復原資料，Lyrix也同樣鎖定備份系統、磁區陰影複製服務（VSS），以及系統還原的備份檔案而來，將這些檔案刪除。此外，駭客還會停用Windows內建的系統修復環境（WinRE）功能。</p> </div></div></div>
2025/6/5 14:35作者周峻佑https://www.ithome.com.tw/news/169384
求職信網釣鎖定財務長與金融高層而來，駭客企圖遠端存取工具Netbird控制受害電腦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客以徵才的名義從事網釣攻擊的情況不時傳出，其中最常見的是針對開發人員而來，如今有人專門針對全球高階財務主管下手，直到一年後才被研究人員發現。</p> <p>資安業者Trellix<a href="https://www.trellix.com/en-in/blogs/research/a-flyby-on-the-cfos-inbox-spear-phishing-campaign-targeting-financial-executives-with-netbird-deployment/">於5月中旬偵測到專門鎖定財務長（CFO）及金融高層的網路釣魚攻擊</a>，駭客的攻擊範圍相當廣泛，涵蓋歐洲、非洲、加拿大、中東、南亞等全球5個地區。受影響的產業包括銀行、能源公司、保險業及投資機構。攻擊者利用合法的遠端存取工具NetBird，在受害者的電腦上建立隱藏的本機帳號，並啟用遠端桌面存取。</p> <p>研究人員發現，類似的惡意連結已經活躍近一年，顯示這場行動可能已經持續了一段時間。目前，攻擊者的基礎設施尚未被完全識別，暫且尚未歸因於特定的威脅組織。</p> <p>在其中一起事故的攻擊流程裡，攻擊者偽裝成Rothschild & Co.的應徵人員，向受害者發送電子郵件，聲稱提供「策略性職位」，誘使他們開啟附件PDF檔案。然而，該附件實際上是一個放置在應用程式開發平臺Firebase的網頁，最終導致惡意程式下載。</p> <p>攻擊過程涉及多個階段，首先，受害者需通過CAPTCHA圖靈驗證，駭客這麼做的目的，旨在繞過安全防護，避免攻擊流程被資安系統偵測而中斷。驗證完成後，系統會解密隱藏的URL，並引導受害者下載ZIP壓縮檔。該壓縮檔內含VBScript指令碼，從外部伺服器下載下一階段的惡意程式碼。</p> <p>第二階段的VBScript下載器會取得另一個ZIP檔，內含NetBird和OpenSSH的MSI安裝檔。這些工具本身是合法的遠端存取應用程式，但攻擊者利用它們來建立隱藏的本地帳戶，啟用遠端桌面存取，並設置工作排程，確保NetBird在系統重新啟動後仍能持續運行。值得注意的是，攻擊者還會移除NetBird的桌面捷徑，以降低受害者察覺異常的機會。</p> </div></div></div>
2025/6/5 15:08作者周峻佑https://www.ithome.com.tw/news/169385
Nokia將率領逾40個組織共同打造一個由歐盟贊助的無人載具專案，以保護重大基礎設施
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.globenewswire.com/news-release/2025/06/04/3093322/0/en/Nokia-to-lead-PROACTIF-a-multimillion-Europe-robotics-and-unmanned-technology-project.html" target="_blank">Nokia周三（6/4）宣布</a>，將主導一個由歐盟贊助的PROACTIF專案，開發可用來保護歐洲關鍵基礎設施的無人載具，將有來自13個國家的42個組織參與，包括AI晶片龍頭Nvidia，以及歐洲的航太及國防科技巨頭Leonardo。</p> <p>在退出手機市場之後，Nokia已轉型成為一家專注於網路基礎設施、雲端服務與AI解決方案的科技公司，鎖定企業級通訊與數位基礎設施。而PROACTIF專案的贊助者則是<a href="https://european-union.europa.eu/institutions-law-budget/institutions-and-bodies/search-all-eu-institutions-and-bodies/chips-joint-undertaking_en" target="_blank">歐盟的晶片聯合計畫（Chips Joint Undertaking，Chips JU）</a>，它是《歐洲晶片法案》（European Chips Act）的一部分，主要任務為推動半導體研究與創新、強化歐洲晶片供應鏈，以及半導體人才培育。</p> <p>PROACTIF專案的目的，是為了強化歐洲在電子元件與系統（Electronic Components and Systems，ECS）相關技術的彈性與領導地位，並支援歐洲無人機及機器人產業。</p> <p>Nokia說，預計該專案到了2035年將產生9,000萬歐元的收入，開發出50種產品及超過15項的產業專利，也會帶來數十個新的合作，創造數百個新職務，以及逾4,000萬歐元的額外投資。</p> <p>Nokia嵌入式無線解決方案負責人Thomas Eder表示，Nokia準備把無人機轉為公共安全與關鍵任務營運的日常助手，專注於歐洲關鍵基礎設施的監控與緊急管理，將聯合學術機構、中小企業及各產業的領導者，開發尖端、高效及安全的無人駕駛載具系統（Unmanned x Vehicle，UxV）。</p> <p>現階段該專案已計畫要開發9個先進技術建置模組，以及5個最先進的UxV平臺，強調互通性、自主性及快速部署；其中，UxV技術有利於更全面地理解事件的位置與嚴重性，並藉由頻繁且高效的感測器資料收集，以全面掌握現場情況，滿足歐洲的社會與市場需求。</p> </div></div></div>
2025/6/5 12:26作者陳曉莉https://www.ithome.com.tw/news/169381
挑戰Nvidia，AMD收購AI優化軟體新創業者Brium
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.amd.com/en/blogs/2025/amd-acquires-brium-to-strengthen-open-ai-software-ecosystem.html" target="_blank">AMD宣布收購AI推論優化技術業者Brium</a>，以協助LLM在AMD等非Nvidia硬體架構上的推論效能。</p> <p><a href="https://blog.brium.ai/2024/11/12/blog.html" target="_blank">Brium產品</a>涵括的組譯器技術、模型執行框架及完整的AI推論最佳化技術，其方案旨在提升多種硬體架構上大型語言模型（LLM）的推論效率。AMD解釋，Brium技術特別之處在於它能優化模型接觸到硬體前的整個技術堆疊，有助於減少對特定硬體配置的依賴，而能在更多元環境上，實現更快的AI應用。</p> <p>AMD表示，Brium的收購有助於提升該公司硬體平臺的效率和彈性。而Brium的收購連同AMD之前收購的Silo AI、Nod.ai及Mipsology，可強化該公司執行開源軟體生態系的能力。</p> <p>Brium擁有組譯器開發和分散式機器學習基礎架構能力的團隊加入後，可立即投入AMD OpenAI Triton、WAVE DSL和SHARK/IREE等核心專案，能實現AMD Instinct GPU平臺上更快速執行AI模型。配合AMD加強投入新的精度格式如MX FP4和FP6，將可推升其AI硬體執行新興訓練和推論任務的效能。AMD希望藉此提升LLM在非NVIDIA GPU（即AMD Instinct）上執行GPT模型時，達到接近或超越 CUDA/NVIDIA 的效能。</p> <p>AMD並強調Brium成功將其Deep Graph Library（DGL，一種 Graph Neural Network框架）移植到AMD Instinct平臺，有助於AMD方案打入醫學、生物科技、金融和製造領域。</p> <p><a href="https://techcrunch.com/2025/06/04/amd-takes-aim-at-nvidias-ai-hardware-dominance-with-brium-acquisition/" target="_blank">Techcrunch分析</a>，由於現行大部分AI專屬軟體，都是為Nvidia晶片和硬體設計。透過建立更大開放AI生態系，有助於AMD挑戰業界霸主Nvidia。</p> </div></div></div>
2025/6/5 13:00作者林妍溱https://www.ithome.com.tw/news/169382
Coinbase資料外洩事故傳出新消息，2名印度客服外包業者TaskUs員工涉案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>5月15日大型加密貨幣交易所Coinbase<a href="https://www.ithome.com.tw/news/168972">向美國證券交易委員會（SEC）通報</a>，他們的海外客戶支援的約聘人員或員工遭到賄賂，在沒有業務需求的情況下存取特定內部系統，盜走客戶資料給他人使用。Coinbase指出他們在5月11日收到勒索信，對方索討2千萬美元，換取不公開這起資料外洩事故及竊得的資料，後續Coinbase於21日透露，<a href="https://www.maine.gov/agviewer/content/ag/985235c7-cb95-4be2-8792-a1252b4f8318/f61fae18-f669-499e-9a87-f4d323d281f8.html">有近7萬名用戶受到影響</a>。如今，這起事故傳出進一步的消息。</p> <p>根據路透社的報導，<a href="https://www.reuters.com/sustainability/boards-policy-regulation/coinbase-breach-linked-customer-data-leak-india-sources-say-2025-06-02/">這起事故發生在印度客服委外業者TaskUs</a>，事故起初是在今年1月發現，當時一名員工被發現使用個人裝置拍下電腦畫面，而使得竊取Coinbase用戶資料的活動東窗事發。隨後TaskUs展開調查，有兩名員工坦承犯案，將Coinbase用戶的敏感資料提供給駭客，並收受賄賂。</p> <p>資安新聞網站Bleeping Computer<a href="https://www.bleepingcomputer.com/news/security/coinbase-breach-tied-to-bribed-taskus-support-agents-in-india/">向TaskUs詢問此事並得到證實</a>。TaskUs發言人表示，他們在今年初確認有2人非法存取其中一家客戶的資料，隨即向客戶及執法單位通報此事，並解僱兩人。為了保險起見，TaskUs後續解散為Coinbase服務的團隊，共有226人。但這樣的說法是否與當地媒體報導<a href="https://www.financialexpress.com/business/industry/taskus-indore-based-bpo-fires-over-300-employees-without-notice-sparks-staff-protests/3712402/">今年1月TaskUs無預警解僱逾300名員工</a>有關，發言人並未說明。</p> </div></div></div>
2025/6/5 11:01作者周峻佑https://www.ithome.com.tw/news/169378
ChatGPT新增連接器功能以存取第三方服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://x.com/OpenAI/status/1930319398897889707" target="_blank">OpenAI周三（6/4）宣布</a>，ChatGPT新增了連接器功能，即日起便允許付費訂閱用戶存取第三方資源；也開始測試Model Context Protocol（MCP）以讓組織建置客製化的連接器；並針對macOS上的Team用戶釋出ChatGPT的錄音模式。<a href="https://www.cnbc.com/2025/06/04/openai-chatgpt-enterprise-ai.html" target="_blank">而CNBC則報導</a>，現在OpenAI已擁有300萬的付費商業用戶，高於今年2月的200萬。</p> <p>新的ChatGPT連接器功能，允許ChatGPT Plus、ChatGPT Pro、ChatGPT Team、ChatGPT Enterprise與ChatGPT Edu用戶，連結Outlook、Teams、Google Drive、Gmail及Linear等外部資源，但目前尚不支援歐洲經濟區、瑞士與英國市場。</p> <p>而ChatGPT Team、ChatGPT Enterprise與ChatGPT Edu，還可額外連至SharePoint、Dropbox與Box。</p> <p>Workspace管理員則可利用測試版的MCP，來建置客製化的Deep Research連接器，MCP是由Anthropic所開源的模型脈絡協定，允許AI助理透過單一標準存取所有資料來源，支援ChatGPT Team、ChatGPT Enterprise、ChatGPT Edu與ChatGPT Pro用戶。</p> <p>此外，macOS上的ChatGPT Team用戶現在可啟用錄音模式，可記錄各種會議、腦力激盪或是聲音筆記，再交由ChatGPT謄寫，協助找出重點，並將它們轉為後續行動、計畫或是程式碼。該功能預計很快就會支援ChatGPT Plus、ChatGPT Pro、ChatGPT Enterprise與ChatGPT Edu用戶。</p> <p>至於CNBC則說，ChatGPT現在已擁有300萬個付費的商業用戶，高於今年2月的200萬，此一數字僅計算了ChatGPT Enterprise、ChatGPT Team與ChatGPT Edu用戶。</p> <p>2024年4月時，ChatGPT的商業用戶約有60萬人，到9月成長至100萬人，今年2月增加到200萬人，6月達到300萬人。<a href="https://www.ithome.com.tw/news/165748" target="_blank">而彭博社則在去年10月</a>引用OpenAI財務長Sarah Friar的說法指出，該公司有75%的營收是來自一般消費者的訂閱。</p> </div></div></div>
2025/6/5 11:35作者陳曉莉https://www.ithome.com.tw/news/169380
微軟擴大提供歐盟各國政府免費安全服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.microsoft.com/on-the-issues/2025/06/04/microsoft-launches-new-european-security-program/" target="_blank">微軟宣布</a>實施歐洲安全方案（European Security Program），將擴大提供歐盟所有會員國家安全情報支援服務，以因應勒索軟體、國家駭客、和Deepfake攻擊。</p> <p>微軟指出，AI和數位科技快速進步，對歐盟國家形成網路安全威脅，像是勒索軟體和俄羅斯、中國與北韓的國家駭客，不論在規格和手法複雜度都持續精進。繼5年前的5項歐洲數位承諾，以及現行的全球政府安全方案外，微軟本周再公布新的歐洲安全方案，協助強化歐盟國家政府安全。</p> <p>新的歐洲安全方案將免費提供給27個歐盟會員國、歐盟入盟候選國、歐洲自由貿易聯盟（European Free Trade Association）會員國、英國、摩納哥和梵諦岡。</p> <p>歐洲安全方案核心是在現有微軟的全球政府安全方案（Government Security Program，GSP）基礎之上，再增加AI威脅情報的安全情報和資源，內涵包括四大方向，一是使用AI支援的網路威脅或進階滲透攻擊（APT）分析結果，二是將微軟數位犯罪小組（Digital Crimes Unit，DCU）偵測和打擊網路犯罪基礎架構的資源，分享給信賴的歐洲合作單位，以協助歐盟執法單位打擊網路罪犯。</p> <p>三是提供外國影響行動（influence operation，即認知作戰）的更新情報。微軟將把微軟威脅分析中心（Microsoft Threat Analysis Center，MTAC）監控在歐洲進行的外國政府認知作戰行動，包括以deepfake影片、照片或社群散布假消息等的情資，分享給歐盟政府、立法機構和安全相關單位。四、微軟將把原本只提供給大型企業客戶的最新網路威脅與漏洞報告、或漏洞修補、防護指引等資源，提供給歐盟政府。提供管道包括微軟的安全更新指引（Security Update Guide）、漏洞通報流程及Defender漏洞管理產品。</p> <p>微軟也承諾增加投資以協助歐盟會員國政府、民間團體強化網路安全及數位韌性。最後則是，微軟說會擴大與歐盟執法機關如歐洲刑警（Europol）和地區組織合作，以破獲駭客活動或惡意軟體基礎架構。例如上個月微軟和歐洲刑警等單位合作摧毁竊密軟體Lumma的運作網路。</p> </div></div></div>
2025/6/5 10:28作者林妍溱https://www.ithome.com.tw/news/169377
Reddit控告Anthropic擅自抓取資料訓練AI模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>社交新聞平臺Reddit本周三（6/4）在加州舊金山高等法院，<a href="https://redditinc.com/hubfs/Reddit%20Inc/Content/PDFs/Docket%20Stamped%20Complaint.pdf" target="_blank">對AI新創Anthropic提起訴訟</a>，指控Anthropic未經授權使用Reddit上的用戶內容來訓練該公司的AI模型Claude。去年3月以34美元登上紐約股市的Reddit，昨天股價上漲了6.64%，以118.21美元作收。</p> <p>Reddit於訴狀中表示，雖然Anthropic是在2023年3月，才正式對外發表AI聊天機器人Claude，但早在2021年年底，Anthropic便在未經授權且直接違反Reddit用戶協議的狀況下，使用Reddit用戶的貼文來訓練Claude。</p> <p>在各大AI業者廣泛利用網路上的公開資料訓練模型之際，Reddit在2024年7月初更新其robots.txt文件，封鎖了未與Reddit簽署合作協議的網路爬蟲，Reddit執行長Steve Huffman更公開指責微軟、Anthropic及Perplexity未經許可，抓取了Reddit的資料。</p> <p>當時Anthropic宣稱，Reddit自2024年5月起就被加入其網路爬蟲黑名單，沒有再將任何來自Reddit的URL添加至爬蟲程式中。</p> <p>不過，Reddit發現事實並非如此，因為Anthropic在之後的幾個月仍繼續部署其自動機器人，存取Reddit內容超過10萬次。此外，當Reddit與Anthropic接洽時，Anthropic拒絕與Reddit協商授權事宜，也拒絕自系統內刪除已被Reddit用戶刪除的文章，還說該公司無從得知用來訓練Claude的Reddit內容是否已被刪除。</p> <p>Reddit希望法院要求Anthropic支付補償性賠償金，以及賠償Anthropic藉由抓取Reddit內容而獲利的金額，亦申請禁令，禁止Anthropic繼續抓取Reddit內容。</p> <p>目前Reddit已與OpenAI、Google及Sprinklr等AI業者達成內容合作協議，其中，OpenAI共同創辦人暨執行長Sam Altman擁有8.7%的Reddit股份，是該公司第三大的股東。</p> </div></div></div>
2025/6/5 09:37作者陳曉莉https://www.ithome.com.tw/news/169371
Windsurf控訴Anthropic忽然切斷Claude模型存取限額
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AI編程平臺新創業者Windsurf本周稍早公告，Anthropic在幾乎沒有給予緩衝時間下，大幅限制Claude 3.x版的使用限額，迫使該公司急忙做出應變。一般推測可能和Windsurf與OpenAI收購傳聞有關。</p> <p><a href="https://x.com/_mohansolo/status/1930034960385356174" target="_blank">Windsurf創辦人Varun Mohan說</a>，Anthropic突然決定切斷該公司對Claude 3.x，包括Claude 3.5 Sonnet、3.7 Sonnet和3.7 Sonnet Thinking的直接存取限額，只給了不到5天的預告期。雖然該公司還有其他推論模型的使用限額，但不足以應付現有需求。</p> <p>為此，該公司預告多項情況及應變措施。因應Claude 3.x模型配額不足，Windsurf將改提供Gemini 2.5，配合75折優惠費用。該公司目前已經移除免費用戶和Pro方案試用戶存取Claude 3.x模型的管道，但同時為這些模型提供了BYOK（bring your own key），供用戶確保其模型資料安全。此外，Claude Sonnet 4則持續以BYOK提供服務。</p> <p><a href="https://techcrunch.com/2025/06/03/windsurf-says-anthropic-is-limiting-its-direct-access-to-claude-ai-models/" target="_blank">Anthropic對Techcrunch解釋</a>，該公司是為了「優化給長久合作夥伴的模型容量」，並強調開發人員還是可以API金鑰存取Claude 4。</p> <p>不過，此事可能和Anthropic競爭對手OpenAI以30億美元收購Windsurf傳聞有關。Windsurf以其AI輔助程式撰寫平臺Codeium聞名，2023年市值約12.5億美元，到2025年已和Kleiner Perkins、General Catalyst等投資公司洽談新一輪融資，目標市值高達30億美元。<a href="https://www.bloomberg.com/news/articles/2025-05-06/openai-reaches-agreement-to-buy-startup-windsurf-for-3-billion" target="_blank">5月彭博報導</a>，OpenAI同意以30億美元收購Windsurf強化AI輔助編碼工具的實力，對抗Anthropic和GitHub。</p> <p>OpenAI和Windsurf尚未評論收購傳聞，但Windsurf公司說，已經和Anthropic表明該公司目標是提供最好產品，會優先推薦其模型，公司也一直樂意支付費用。Windsurf表示對於Anthropic的決定及其倉促的通知方式深感失望，他們會持續尋找其他供應商，但Anthropic作法不僅會傷害Windsurf，更損及業界其他人。</p> <p> </p> </div></div></div>
2025/6/5 10:03作者林妍溱https://www.ithome.com.tw/news/169375
Angular v20正式棄用結構指令，反應式狀態管理進入穩定階段
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google旗下前端開發框架<a href="https://blog.angular.dev/announcing-angular-v20-b5c9c06cf301">Angular推出v20正式版本</a>，從該版本起，內建控制流程語法將全面取代原有結構指令，並同步將反應式狀態管理API升級至穩定階段，而Zoneless無需Zone.js的變更偵測技術也進入開發者預覽。</p> <p>Angular自2016年重新設計以來，*ngIf、*ngFor、*ngSwitch等結構指令，一直是開發者撰寫動態畫面與流程控制的主要方式，廣泛存在於既有應用程式碼庫與教學內容。隨v20正式棄用這類結構指令，未來將以新控制流程語法取代，新控制流程語法接近原生JavaScript的if、for等語句，書寫方式更直觀易懂。根據官方規畫，現有結構指令已列為棄用，將於2026年釋出的v22全面移除，建議開發團隊及早規畫升級及程式碼搬遷。</p> <p>新版控制流程語法除語意簡化，也納入型別縮小及效能最佳化設計。官方表示，新流程可直接利用TypeScript型別推斷與限縮（Narrowing），降低執行時不必要的檢查，有助於大型專案維護及錯誤檢查。這套語法自v17推出以來已獲廣泛採用，HTTP Archive公開資料顯示，超過一半以上的v17以上應用已切換至內建控制流程，顯示新語法已成主流。</p> <p>Angular v20另一更新重點是反應式狀態管理功能升至穩定階段。經三年設計、RFC收斂與社群驗證，Angular Signals、effect、linkedSignal等API現已脫離開發者預覽，成為正式支援的反應式資料流核心。開發者可利用Signals設計可觀察狀態物件與自動觸發推送，整合UI元件、API資料與複雜邏輯，降低程式碼耦合及狀態同步負擔。過去需仰賴外部狀態管理函式庫，現在因原生反應式支援而減少，這相當於強化Angular應用於大型前端專案的能力。</p> <p>Zoneless技術的導入則是Angular架構層面的重大升級。傳統Angular應用仰賴Zone.js攔截非同步事件，間接觸發變更偵測，而隨著框架演進與效能最佳化需求提升，官方推出無需Zone.js的Zoneless運作模式。該模式簡化錯誤處理與狀態同步邏輯，在伺服器端算繪（SSR）環境也會更強健。</p> <p>在v20中，Zoneless進入開發者預覽，提供新的全域錯誤攔截API，並可自動處理Node.js伺服器端的非同步例外，開發者只需調整Provider設定即可啟用Zoneless偵測機制。官方建議新專案可直接以Zoneless模式建立，既有專案則可循序搬遷，無需依賴Zone.js Polyfill，有助於簡化專案結構並降低維護複雜度。</p> <p>Angular與Chrome DevTools團隊合作，將框架層級的變更偵測與元件生命周期資訊，整合至瀏覽器Performance面板。開發者可即時檢視元件建立、變更偵測等細節，方便找出效能瓶頸。針對增量算繪、路由層級算繪模式等現代Web應用需求，也升級為穩定API，支援頁面依使用者需求漸進載入，提升大型應用載入速度與資源管理效率。</p> </div></div></div>
2025/6/5 08:22作者李建興https://www.ithome.com.tw/news/169355
正崴集團子公司星科發表AI巡檢機器狗，瞄準工廠、辦公大樓等不同場域智慧巡檢、安防需求
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>正崴集團旗下專門提供機器人方案的星科國際在今天(6/4)發表AI機器人平臺方案，結合硬體平臺及強化學習技術，以及語音與視覺辨識、視覺語言模型（VLM），加上定位及路徑規畫、人流避障等技術，對外展示AI巡檢機器狗，瞄準商業大樓、大型賣場、工廠等不同場景的安防巡檢需求。</p> <p>身為正崴集團底下的新事業，專門發展AI機器人，星科國際董事長郭守富表示，結合正崴精密累積30多年的製造業經驗，友崴與華碩合力建置大型算力中心，我們思考如何運用這些算力，必需找到出海口，必需找到應用，在人力短缺下，AI Robot平臺就是很好的出海口，去年集團買下Luminys Systems，將安防業務併入集團底下，成為新的出海口，加上製造業經驗、算力資源及安防串在一起，具備讓AI機器人落地發展的良好基礎，同時也和Nvidia合作，運用Nvidia提供的工具打造AI機器人，瞄準安防市場。</p> <p>去年友崴建置Ubilink AI算力中心，在去年11月500大超級電腦拿下第31名，為當時臺灣上榜的7個超級電腦中，效能最好的超級電腦，利用算力中心支援大規模的AI模型訓練、優化與邊緣推論，並且發展異常偵測、語音辨識等AI功能。</p> <p>星科與Nvidia合作，採用其VLM視覺語言模型進行訓練及優化，以及Nvidia的Isaac GROOT N1模型，在虛擬環境下訓練開發AI機器人，此外，還有TensorRT深度學習推論技術，加速臉部辨識，以及運用ReMEmbR，讓機器人能自主導航。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%93%B7%E5%8F%961.jpg" style="width: 600px; height: 325px;" /></p> <p>結合上述技術，星科為機器人高效本地運算、即時決策能力，並在正崴集團底下各個事業場域進行試驗，平臺鎖定安防巡檢、智慧製造、氣候預測、影視與客服5大應用，首波先鎖定智慧安防巡檢，展示了AI巡檢機器狗。</p> <p>這款AI機器人採用4足的機器狗設計，可利用4隻腳像狗一般行走，機器狗內建擁有275TOPS的大腦，內建一般攝影機傳送巡邏的即時影像，還內建深度攝影機、熱源感應、光達、麥克風等功能，以偵測熱源，自行移動避開人流或障礙物，強調可以感測適應環境、偵測識別異常。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/20250604_154757-600.jpg" style="width: 600px; height: 450px;" /></p> <p>管理人員先以語音向機器狗下達命令，機器狗自動進行臉部辨識，確認為合法的管理者，例如告訴它去二樓巡檢，機器狗就會自行移動至貨梯，自動呼叫搭乘貨梯，在二樓執行巡檢作業，當發下異常情形時，例如異常熱源、門窗未關，就會像管理者發送Line示警訊息，同時向後臺的Dashboard管理平臺發出通知訊息。</p> <p>機器狗可透過抬頭，攝影機拍攝與其互動者的臉部進行辨識，識別管理者或企業員工的身分，當發現陌生人，即通知安防管理單位。</p> <p>根據展示的情境影片，這款AI巡檢機器狗也能上下樓梯，4足配置輪子，可克服高低落差的場地，以更快的速度移動。企業可透過Dashboard管理平臺，可同時管理多個AI巡檢機器狗的狀態，偵測到的數據、即時監控影像，甚至取得在臺南太陽能電場巡檢的機器狗即時影像。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/600(12).jpg" style="width: 600px; height: 326px;" /></p> <p>星科表示，AI巡檢機器狗在設計上，並非要完全取代安防人力，而是執行24小時巡檢，或是應用於高風險環境，當偵測到異常情形，向安防管理單位發出通知。未來將會採取訂閱的方式，讓企業租用AI機器狗巡檢服務，並且針對不同客戶案場提供客製化。</p> </div></div></div>
2025/6/4 19:25作者蘇文彬https://www.ithome.com.tw/news/169369
【資安日報】6月4日，逾250個Amazon代管IP位址被用於找尋75種應用系統弱點，恐引發大規模攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>如同歹徒犯案會事先勘察環境，駭客也會透露掃描特定弱點的方式尋找可下手的目標，但過往駭客往往是針對其中一項漏洞，或是特定組態配置不當的情況而來，如今有人同時對75種弱點挖掘能夠攻擊的目標，這樣的情況極為罕見。</p> <p>這起事故另一個特殊的地方在於，整個活動只維持一天，使得研究人員想要找出攻擊者的身分，也變得更加困難。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169362"><strong style="font-size: 22px;">逾250個Amazon代管的IP位址遭到濫用，鎖定多種應用系統發動攻擊</strong></a></p> <p>威脅情報業者GrayNoise指出，他們在5月8日發現一起不尋常的活動，有人利用251個由Amazon代管、位於日本的IP位址，進行大規模弱點掃描，針對75種應用系統曝險的情況而來，包含已知漏洞、錯誤配置，或是對系統進行偵察。特別的是，這些IP位址只在當天出現活動，在此之前及之後皆未有動靜，代表攻擊者可能租用臨時雲端基礎設施來從事活動。由於這種掃描行為往往是駭客從事攻擊行動的徵兆，他們呼籲IT人員要趕快檢查5月8日的事件記錄資料，並對相關惡意行為進行監控，以及動態封鎖從事這些行為的IP位址。</p> <p>針對駭客掃描的資安漏洞，涵蓋Adobe ColdFusion遠端程式碼執行（RCE）漏洞CVE-2018-15961、Apache Struts與Atlassian Confluence物件圖形導航語言（OGNL）注入漏洞CVE-2017-5638、CVE-2022-26134，以及Elasticsearch沙箱繞過漏洞CVE-2015-1427、Bash重大資安漏洞CVE-2014-6271（Shellshock）等，其共通點在於，都是已經揭露一段時間的已知漏洞，由於遭到鎖定的目標眾多，研究人員認為攻擊者並非針對特定應用系統而來，而是企圖尋找任何可能存在的弱點。</p> <p><a href="https://www.ithome.com.tw/news/169353"><strong style="font-size: 22px;">戶外用品與運動服飾業者The North Face遭遇帳號填充攻擊，部分客戶個資外洩</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/OpCRXzVQY9.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/OpCRXzVQY9.png" style="width: 300px; float: right;" /></a>5月29日戶外用品與運動服飾業者The North Face向佛蒙特州總檢察長通報，該公司網站在2025年4月遭遇了帳號填充（Credential Stuffing）攻擊，導致部分客戶的個人資訊被竊取，該公司也對受到影響的客戶通知此事。</p> <p>針對事情發生的經過，The North Face於4月23日發現網站出現異常活動，隨即展開調查，結果發現有部分客戶資料外洩的情況。受影響的資訊包括姓名、購買記錄、收貨地址、電子郵件、出生日期及電話號碼等。附帶一提的是，由於該公司使用外部付款服務系統處理交易，付款資訊並未受到影響。不過，究竟有多少人受到影響，該公司並未透露。</p> <p>值得留意的是，自2020年以來The North Face已有多次遭遇帳號填充攻擊的記錄。其中最近一次在今年3月，母公司VF Outdoor向緬因州總檢察長辦公室通報資料外洩事故，這起事故影響The North Face與Timberland兩個品牌的網站，影響約15713個帳號。許多資安媒體不約而同指出，這類事件接連傳出，可能與The North Face未強制採用多因素驗證（MFA）有關。</p> <p><a href="https://www.ithome.com.tw/news/169348"><strong style="font-size: 22px;">精品業者Cartier驚傳遭駭，客戶個資外洩</strong></a></p> <p>精品業者Cartier本周通知客戶系統遭駭，導致客戶資料外洩。這起事件的曝光，源自於客戶張貼Cartier寄發的通知信件，內容提及未經授權的人士或組織存取了該公司系統，取得部分客戶資訊。但對於受影響的人數，該公司並末透露。</p> <p>經過調查，Cartier判斷該攻擊者存取客戶的個資，包括名字、電子郵件信箱和國籍。但業者強調外洩的資料不包含密碼、信用卡資料，以及其他銀行資訊。考量外洩資料可能導致詐騙或其他攻擊，Cartier呼籲用戶應提高警覺。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/coinbase-breach-tied-to-bribed-taskus-support-agents-in-india/">加密貨幣交易所Coinbase資料外洩調查有新進展，疑印度客服外包業者TaskUs員工收賄流出</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/android-malware-crocodilus-adds-fake-contacts-to-spoof-trusted-callers/">安卓惡意軟體Crocodilus於受害設備加入假的通訊錄，以便駭客打電話行騙</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/06/fake-docusign-gitcode-sites-spread.html">假借提供DocuSign、Gitcode為誘餌，駭客意圖散布NetSupport RAT</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/malicious-rubygems-pose-as-fastlane-to-steal-telegram-api-data/">惡意RubyGems套件冒充CI/CD外掛散布</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169349"><strong style="font-size: 22px;">Google更新Chrome 137，修補已遭濫用的零時差漏洞</strong></a></p> <p></p> <p>6月2日Google發布電腦版Chrome更新137.0.7151.68、137.0.7151.69，這次修補3項漏洞，包含一個遭濫用的V8元件高風險漏洞。</p> <p>這次更新修補的三項資安漏洞，分別為高、中、低度風險。其中高風險漏洞編號CVE-2025-5419，為影響JavaScript引擎V8的越界讀寫漏洞，攻擊者可透過特製的HTML網頁遠端觸發，引起記憶體堆積毁損，CVSS評分為8.8。該公司指出，此漏洞已出現實際利用的情況。</p> <p>另一個出現在排版引擎Blink的漏洞CVE-2025-5068，也相當值得留意，此為記憶體釋放後再存取使用（Use After Free）型態的弱點，同樣可透過特製的HTML網頁遠端觸發，引起記憶體堆積毁損。雖然Google認為該漏洞為中度風險，但資安業者Tenable、美國網路安全暨基礎設施安全局皆將其評為8.8分的高風險層級。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/over-30-vulnerabilities-patched-in-android/">Google發布6月份安卓例行更新，修補27項資安漏洞</a></strong></p> <p></p> <p> </p> <h3><strong>【法規遵循】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169347"><strong style="font-size: 22px;">中華電信8月起暫停簽發TLS網站憑證</strong></a></p> <p>Google宣布將移除Chrome瀏覽器對中華電信TLS憑證的預設信任後，中華電信決定8月起暫停簽發TLS網站憑證，並宣布將主動聯繫憑證效期將到期的客戶，免費提供TLS憑證更新。</p> <p>本周Google宣布將調整Chrome瀏覽器根憑證的預設信任機制，因中華電信未在規定時間內配合政策完成調整，Google將從Chrome 139及後續版本開始，不再信任中華電信在2025年7月31日之後簽發的新憑證，網站如使用這種的新憑證，Chrome瀏覽器用戶造訪該網站便會顯示不安全，無法正常瀏覽網站。</p> <p>中華電信決定從8月1日開始，暫停簽發TLS憑證，但該公司強調此舉並非其憑證存在漏洞或洩露私鑰，無關資安或網路安全，同時也對造成社會大眾的困擾表達歉意。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169343"><strong>【6月3日】Chrome將從8月起停止預設信任中華電信TLS新憑證引起高度關注</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169309"><strong>【6月2日】新型態瀏覽器中間人攻擊手法濫用全螢幕隱匿意圖</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169261"><strong>【5月29日】未及時修補已知漏洞釀禍，大量華碩路由器遭殭屍網路AyySSHush綁架</strong></a></p> </div></div></div>
2025/6/4 16:37作者周峻佑https://www.ithome.com.tw/news/169365
逾250個Amazon代管的IP位址遭到濫用，鎖定多種應用系統發動攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一般來說，為了尋找目標，駭客往往會事先透過網路掃描，找出網際網路上具有特定弱點的應用系統，日後再對其發動攻擊，這樣的情況相當常見，也因此早年有些研究人員在未經許可的情況挖掘資安弱點，常常被企業組織認為不懷好意。而這種掃描弱點的活動，多半被視為攻擊行動前兆，過往大多駭客鎖定的弱點相當單一、明確，但如今出現一口氣掃描超過70種弱點的活動，引起研究人員的注意。</p> <p>威脅情報業者GrayNoise指出，<a href="https://www.greynoise.io/blog/coordinated-cloud-based-scanning-operation-targets-75-known-exposure-points">他們在5月8日發現一起不尋常的活動</a>，有人利用251個由Amazon代管、位於日本的IP位址，進行大規模弱點掃描，針對75種應用系統曝險的情況而來，包含已知漏洞、錯誤配置，或是對系統進行偵察。特別的是，這些IP位址只在當天出現活動，在此之前及之後皆未有動靜，代表攻擊者可能租用臨時雲端基礎設施來從事活動。由於這種掃描行為往往是駭客從事攻擊行動的徵兆，他們呼籲IT人員要趕快檢查5月8日的事件記錄資料，並對相關惡意行為進行監控，以及動態封鎖從事這些行為的IP位址。</p> <p>針對駭客掃描的資安漏洞，涵蓋Adobe ColdFusion遠端程式碼執行（RCE）漏洞CVE-2018-15961、Apache Struts與Atlassian Confluence物件圖形導航語言（OGNL）注入漏洞CVE-2017-5638、CVE-2022-26134，以及Elasticsearch沙箱繞過漏洞CVE-2015-1427、Bash重大資安漏洞CVE-2014-6271（Shellshock）等，其共通點在於，都是已經揭露一段時間的已知漏洞，由於遭到鎖定的目標眾多，研究人員認為攻擊者並非針對特定應用系統而來，而是企圖尋找任何可能存在的弱點。</p> <p>除了已知漏洞，攻擊者也執行偵察活動，像是檢查WordPress網站的作者、CGI指令碼掃描，甚至是嘗試存取網站的web.xml檔案；再者，他們也試圖找出錯誤組態，例如：對Git組態進行爬蟲、曝露的ENV環境變數，以及檢查能否上傳Shell檔案。</p> <p>研究人員也提及這些掃描行為有所交集，背後很可能透過集中控管進行，而非個別的攻擊行動。他們提及有295個IP位址掃描CVE-2018-15961、265個IP位址掃描CVE-2017-5638、260個IP位址掃描CVE-2015-1427，但有262個IP位址掃描CVE-2018-15961與CVE-2017-5638，且251個IP位址進行所有75項攻擊行為。</p> </div></div></div>
2025/6/4 15:49作者周峻佑https://www.ithome.com.tw/news/169362
自動化資安合規業者Vanta軟體出錯，導致部分客戶資料能被其他用戶存取，受影響的企業可能有數百家
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了確保能夠符合資安法規及相關要求，有些企業可能會導入自動化資安合規平臺因應，然而這類系統一旦出錯，很有可能導致一些意想不到的資安問題。</p> <p>根據<a href="https://hackread.com/code-bug-compliance-vanta-data-leak-customer-clients/">資安新聞網站HackRead的報導</a>，自動化資安合規業者Vanta<a href="https://www.vantadataleak.com/">近日確認</a>，其系統內部的程式碼錯誤導致部分客戶的敏感資料，可被其他客戶存取。該公司強調，這起事件並非外部攻擊，而是由於產品程式碼變更所引發的問題。</p> <p>Vanta於5月26日察覺此事，並立即展開調查與修復作業。針對影響的範圍，Vanta表示，受影響的資料來自第三方整合，約占不到20%，而受影響的客戶不到4%。由於Vanta擁有超過1萬個客戶，這意味著可能有數百家企業受到影響。</p> <p>受影響的資料可能包括員工姓名、職位，以及某些工具的安全性設定資訊，例如多重身份驗證（MFA）的使用狀況。然而，Vanta並未透露是否有更敏感的客戶資料遭到外洩。</p> <p>Vanta已通知所有受影響的客戶，並表示修復工作將於6月4日完成。該公司強調，這次事件並未影響其核心安全性功能，但仍建議客戶檢查帳戶設定，確保資料安全。</p> <p>這起事件凸顯了合規與安全自動化平臺在處理客戶資料時可能面臨的風險。企業應定期稽查供應商的安全性措施，以降低類似事件的影響。</p> </div></div></div>
2025/6/4 16:12作者周峻佑https://www.ithome.com.tw/news/169363
戶外用品與運動服飾業者The North Face遭遇帳號填充攻擊，部分客戶個資外洩
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期精品業者迪奧（Dior）、<a href="https://www.ithome.com.tw/news/169348">卡地亞（Cartier）</a>，運動品牌<a href="https://www.ithome.com.tw/news/169222">愛迪達（Adidas）</a>、以及女性內衣業者<a href="https://www.ithome.com.tw/news/169292">維多莉亞的祕密（Victoria's Secret）</a>接連傳出資安事故，如今又有零售業者傳出資料外洩的情況。</p> <p>5月29日戶外用品與運動服飾業者The North Face<a href="https://ago.vermont.gov/document/2025-05-29-vf-outdoor-data-breach-notice-consumers">向佛蒙特州總檢察長通報</a>，該公司網站在2025年4月遭遇了帳號填充（Credential Stuffing）攻擊，導致部分客戶的個人資訊被竊取，<a href="https://ago.vermont.gov/sites/ago/files/documents/2025-05-29%20VF%20Outdoor%20Data%20Breach%20Notice%20to%20Consumers.pdf">該公司也對受到影響的客戶通知此事</a>。</p> <p>針對事情發生的經過，The North Face於4月23日發現網站出現異常活動，隨即展開調查，結果發現有部分客戶資料外洩的情況。受影響的資訊包括姓名、購買記錄、收貨地址、電子郵件、出生日期及電話號碼等。附帶一提的是，由於該公司使用外部付款服務系統處理交易，付款資訊並未受到影響。不過，究竟有多少人受到影響，該公司並未透露。</p> <p>值得留意的是，自2020年以來The North Face已有多次遭遇帳號填充攻擊的記錄。其中最近一次在今年3月，母公司VF Outdoor<a href="https://www.maine.gov/agviewer/content/ag/985235c7-cb95-4be2-8792-a1252b4f8318/792aded4-8b07-4c1d-86ac-5ae24253b722.html">向緬因州總檢察長辦公室通報資料外洩事故</a>，這起事故影響The North Face與Timberland兩個品牌的網站，影響約15713個帳號。許多資安媒體不約而同指出，這類事件接連傳出，可能與The North Face未強制採用多因素驗證（MFA）有關。</p> </div></div></div>
2025/6/4 11:19作者周峻佑https://www.ithome.com.tw/news/169353
郵件伺服器Roundcube存在10年重大漏洞，逾5,300萬主機恐曝險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>郵件伺服器近年來成為駭客從事網路間諜活動的重要標的，一旦這類系統出現危險的漏洞，很有可能成為駭客濫用的標的，而能夠在郵件伺服器挖掘特定人士的往來郵件，搜刮機密資訊，或是將郵件伺服器作為入侵受害組織的初期管道。</p> <p>例如，最近資安業者Fears Off揭露的<a href="https://fearsoff.org/research/roundcube">Roundcube後身分驗證漏洞CVE-2025-49113</a>，就是典型的例子，通過身分驗證的攻擊者有機會用來遠端執行任意程式碼（RCE），CVSS風險高達9.9分（滿分10分），Roundcube開發團隊獲報後，<a href="https://roundcube.net/news/2025/06/01/security-updates-1.6.11-and-1.5.10">於6月1日發布1.6.11、1.5.10版修補</a>。研究人員指出，這可能是該郵件系統近期最嚴重的漏洞之一。</p> <p>值得留意的是，此漏洞不僅相當嚴重，影響可能還相當廣泛。Fears Off指出，這項弱點影響<a href="https://roundcube.net/news/2015/02/08/new-stable-version-1.1-released">2015年推出的1.1.0版</a>，換言之，近10年的Roundcube都可能曝險；再者，此郵件系統不光是IT人員用於架設郵件伺服器，也是cPanel、Plesk、ISPConfig、DirectAdmin等管理工具的內建元件，因此研究人員估計，全球可能有超過5,300萬臺伺服器曝險。</p> <p>針對這項漏洞形成的原因，Fears Off指出是program/actions/settings/upload.php未充分驗證URL當中的_from參數，導致PHP物件出現反序列化的現象，該公司也透過影片來展示，並承諾後續將提供更多技術細節與概念驗證（PoC）程式碼。</p> <p><iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="315" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/TBkTbMJWHJY?si=lsBAwtpVlbaTxc2o" title="YouTube video player" width="560"></iframe></p> <p>附帶一提的是，最近揭露由俄羅斯駭客APT28（Fancy Bear、Forest Blizzard、Strontium）發起的<a href="https://www.ithome.com.tw/news/168993">攻擊行動Operation RoundPress</a>，其中一種被針對的郵件系統就是Roundcube，因此IT人員應儘速採取行動因應。</p> </div></div></div>
2025/6/4 12:10作者周峻佑https://www.ithome.com.tw/news/169358
Windows內建的OpenSSH元件被濫用，駭客試圖建立後門連線
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟於2018年4月發布的1803版Windows 10當中，開始內建SSH支援，使得IT人員不再需要自備工具就能從事相關作業，但也有駭客藉由這種內建機制從事寄生攻擊（LOLBin），於受害電腦建立後門。</p> <p>近期SANS網路風暴中心資安研究人員<a href="https://isc.sans.edu/diary/32000">發現一種新型態的SSH後門</a>，該惡意程式利用Windows內建的OpenSSH，來建立能持續存取的管道。攻擊者透過惡意DLL檔案dllhost.exe來啟動SSH服務，並在受害電腦設定隨機連接埠來建立連線。</p> <p>該惡意程式會檢查系統是否已啟動SSH服務，若未啟動，則會讀取登錄檔中的SSH設定，或在首次執行時隨機產生新的隨機連接埠並儲存。接著，它會建立SSH設定檔，其中包含攻擊者的C2伺服器資訊，並進入無限迴圈執行，以維持連線運作。</p> <p>值得留意的是，為因應受害電腦可能透過浮動IP位址上網，此SSH組態包含遠端轉發（Remote Forward）的設定，以便攻擊者能夠遠端控制受害者系統。只是研究人員發現駭客的設定檔存在語法錯誤，無法正常運作。</p> <p>由於OpenSSH已成為Windows內建工具，研究人員呼籲系統管理員應監控SSH相關活動，並留意是否有異常的SSH連線或設定檔變更。此外，攻擊者還可能會利用scp.exe來竊取資料，因此也要對該公用程式活動進行監控。</p> <p>附帶一提的是，有多家資安新聞網站在報導SANS網路風暴中心的發現時，不約而同使用知名的第三方SSH工具PuTTY作為標題，但內文並未與提及這項工具，事實上這起事故也與PuTTY無直接關聯。這樣的情況，恐有誤導之嫌。</p> </div></div></div>
2025/6/4 13:22作者周峻佑https://www.ithome.com.tw/news/169361