iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 32篇
近 7 天: 137篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/10
最近更新: 11/11 02:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.4%3 篇
發言者: 公職、政治人物 33.3%網友、民眾 33.3%尚未標記 33.3%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 137 篇內文

4
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象4 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

【資安日報】6月12日，大型電子商務平臺Yes24遭勒索軟體攻擊引起韓國當地高度關注
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這幾天有一起韓國追星族可能會首當其衝的資安事故，那就是在韓國經營大型書店，以及演唱會售票平臺的Yes24，驚傳遭到勒索軟體攻擊而導致服務停擺，但受害情況、影響範圍有待後續追蹤。</p> <p>對於其他的資安事故，Apache基金會重點專案Tomcat遭遇大規模攻擊、竊資軟體Myth Stealer相當值得留意，而M365 Copliot零點擊漏洞、系微（Insyde）UEFI韌體H2O漏洞的揭露，也引起資安界的關注。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169528"><strong style="font-size: 22px;">韓國電子商務平臺Yes24遭勒索軟體攻擊</strong></a></p> <p>從4月底開始，一連串針對零售業者而來的網路攻擊事故接連傳出，但這些資安事故駭客主要針對歐洲與美國的廠商下手，如今有專門針對亞洲業者的情況出現。</p> <p>我們接獲臺灣出版業的通報，得知韓國這幾天發生一起相當嚴重的勒索軟體攻擊事故，接著我們到網路搜尋發生事故的Yes24，當切換到Google新聞搜尋頁面的時候，隨即看到許多韓國媒體報導此事，這些新聞均提到：經營網路書店與購票平臺的Yes24，於6月9日傳出網站與應用程式無法使用的狀況，該公司起初僅表示系統在維護而暫停服務，未進一步說明，如此不尋常的現象引起用戶不滿，直到10日才坦承是遭遇勒索軟體攻擊，並表示他們已向韓國網路安全局（KISA，也稱為韓國網路振興院）通報此事。</p> <p>詭異的是，這起資安事故鮮少有國際新聞媒體報導，而在臺灣，儘管有不少K-POP追星族，也未見大眾新聞媒體報導這起重大資安事故，目前僅有資安廠商竣盟科技報導此事，以及追蹤韓國流行動態的社群透露相關消息，指出這起事故已經造成影響。</p> <p><a href="https://www.ithome.com.tw/news/169498"><strong style="font-size: 22px;">Apache Tomcat遭到大規模攻擊，400個IP位址對其暴力破解、登入嘗試</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/684747475d48cc2ac94e452c_GreyNoise-Tomcat-Manager-Login-Attempt.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/684747475d48cc2ac94e452c_GreyNoise-Tomcat-Manager-Login-Attempt.png" style="width: 300px; float: right;" /></a>網頁應用程式伺服器Apache Tomcat受到許多企業與雲端平臺採用，尤其適合小型應用及微服務架構，原因在於該此系統開源且占用資源少，廣泛支援Java網頁應用的特性。由於受到廣泛採用，也有攻擊者盯上這類伺服器的現象。</p> <p>最近威脅情報業者GreyNoise揭露專門針對這種應用程式伺服器的大規模嘗試入侵活動，他們在6月5日發現約有400個IP位址被用於暴力破解或嘗試登入Tomcat的管理介面。這些IP位址主要來自主機代管業者DigitalOcean的基礎設施，其中有298個IP位址用於嘗試登入，250個IP位址用於暴力破解攻擊。從GreyNoise公布的IP位址數量來看，顯然有部分的IP位址同時用兩種類型的活動。</p> <p><a href="https://www.ithome.com.tw/news/169501"><strong style="font-size: 22px;">惡意軟體Myth Stealer同時鎖定Chrome、Firefox用戶而來，藉由冒牌遊戲網站散布</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/demystifying-myth-stealer-3.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/demystifying-myth-stealer-3.jpg" style="width: 300px; float: right;" /></a>為了改善軟體開發安全，近年來有許多軟體改以程式語言Rust開發，例如Google於Chrome採用新的字型渲染程式庫Skrifa，就是以這種程式語言撰寫而成。然而，攻擊者也開始跟進，採用這種程式語言打造惡意程式。</p> <p>例如，最近資安業者Trellix揭露的Myth Stealer，就是典型的例子。研究人員從去年12月下旬看到開發者於Telegram頻道宣傳、銷售，初期提供免費試用，後來開發團隊以租用的型式牟利。</p> <p>研究人員持續進行追蹤和調查後指出，駭客主要透過假的遊戲網站散布Myth Stealer，一旦使用者下載、執行，此惡意軟體會顯示假的視窗，轉移使用者的注意力，但實際上，駭客於後臺透過XOR運算或AES演算法解開先前被加密的惡意程式碼，並予以執行。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/06/former-black-basta-members-use.html">前勒索軟體Black Basta成員使用Teams和Python指令碼從事攻擊活動</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169500"><strong style="font-size: 22px;">研究人員揭露Microsoft 365 Copilot的零點擊AI漏洞</strong></a></p> <p>以色列資安業者Aim Security旗下的Aim Labs揭露位於Microsoft 365 (M365) Copilot的資安漏洞，允許駭客在無需使用者互動的情況下，竊取M365 Copilot的機密資訊。這是第一個針對AI代理程式的零點擊攻擊鏈，不僅威脅Copilot的資料安全，可能也會影響其它基於檢索增強生成（Retrieval‑Augmented Generation，RAG）的聊天機器人與AI代理人，微軟獲報後已完成修補。</p> <p>此漏洞被命名為EchoLeak，已取得CVE‑2025‑32711漏洞編號，其CVSS風險評分高達9.3。</p> <p>EchoLeak主要涉及大型語言模型範圍違規（LLM Scope Violation）問題，同時利用了RAG Copilot的設計缺陷，以讓駭客可在不需仰賴使用者的行動下，自動汲取來自M365 Copilot的任何資料。</p> <p><a href="https://www.ithome.com.tw/news/169514"><strong style="font-size: 22px;">Insyde H2O UEFI韌體存在資安弱點，攻擊者可用於繞過安全開機</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/68436b65a6fcb3dcd3042f62_image3.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/68436b65a6fcb3dcd3042f62_image3.png" style="width: 300px; float: right;" /></a></p> <p>近年來不時有駭客針對UEFI開機系統下手，打造惡意程式發動攻擊，從而繞過作業系統與端點防護機制的偵測，一旦UEFI韌體存在相關漏洞，就有可能成為駭客利用的對象，使得資安圈越來越關切、挖掘這類弱點。</p> <p>本週有兩項與UEFI有關的漏洞揭露，其中又以卡內基美隆大學電腦緊急回應團隊協調中心（CERT/CC）揭露的CVE-2025-4275相當值得留意，此弱點出現在系微（Insyde）的UEFI韌體H2O，攻擊者能透過不受保護的非揮發性隨機存取記憶體（NVRAM）變數SecureFlashCertData，而能於電腦注入數位憑證，使得攻擊者能繞過安全開機（Secure Boot）的防護機制。CVSS風險達到7.8分，Insyde也發布資安公告，推出新版韌體修補這項漏洞。</p> <p>另一項能繞過安全開機的漏洞，是由資安業者Binarly找到的記憶體中斷漏洞CVE-2025-3052，此漏洞同樣影響Insyde H2O的UEFI韌體，起因是他們發現由微軟提供第三方UEFI憑證簽章的特定模組能觸發漏洞，一旦攻擊者成功利用，就有機會在電腦開機的過程執行未簽署的程式碼，繞過安全開機機制，風險值為6.7，微軟獲報後於本週發布的6月例行更新（Patch Tuesday）提供修補程式。</p> <p><a href="https://www.ithome.com.tw/news/169491"><strong style="font-size: 22px;">HPE修補備份平臺StoreOnce重大層級的身分驗證繞過漏洞</strong></a></p> <p>為了讓受害組織增加恢復資料的難度，勒索軟體駭客往往會針對備份系統下手，清除企業組織備份的內容，一旦這類系統出現資安弱點，就很有可能被駭客拿來利用。因此，IT人員也要特別留意相關的資安弱點資訊。</p> <p>HPE針對備份儲存系統StoreOnce發布資安公告，修補8項由趨勢科技旗下漏洞懸賞專案Zero Day Initiative（ZDI）通報的弱點，這些漏洞可被用於繞過身分驗證、遠端程式碼執行（RCE）、伺服器請求偽造（SSRF）、路徑穿越、任意檔案刪除，以及資訊洩露，影響HPE StoreOnce G4/4+，該公司發布4.3.11版予以修補。</p> <p>根據CVSS風險評分，這批漏洞最危險的是身分驗證繞過漏洞CVE-2025-37093，風險值高達9.8分（滿分10分）。在HPE的資安公告裡，並未對這些漏洞說明其他細節，而ZDI在公告提及，這項弱點存在於StoreOnce的虛擬儲存設備Virtual Storage Appliance（VSA）版本，攻擊者能遠端利用，並在無需事先通過身分驗證的情況下觸發。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/jenkins-gatling-plugin-flaw/">Jenkins公布外掛程式的資安弱點，恐被用於繞過內容安全政策機制</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/multiple-qnap-flaws-2/">威聯通修補檔案同步系統Qsync重大漏洞</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/chrome-firefox-updates-resolve-high-severity-memory-bugs/">Google、Mozilla發布Chrome 137與Firefox 139更新，修補高風險記憶體漏洞</a></strong></p> <p></p> <p><strong style="font-size: 22px;">其他資安防禦措施</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityaffairs.com/178898/cyber-crime/operation-secure-interpol-dismantles-20000-malicious-ips-in-major-cybercrime-crackdown.html">歐洲刑警組織帶頭從事執法行動Operation Secure，撤下逾2萬個用於竊資軟體攻擊的IP位址</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169486"><strong>【6月11日】微軟修補已遭利用的WebDAV零時差漏洞，若不處理攻擊者可遠端執行任意程式碼</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169459"><strong>【6月10日】中國駭客鎖定資安業者SentinelOne及超過70個企業組織從事大規模攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169436"><strong>【6月9日】中國驚傳大規模資料外洩，40億筆民眾個資在網際網路短暫裸奔</strong></a></p> </div></div></div>
2025/6/12 18:28作者周峻佑https://www.ithome.com.tw/news/169531
韓國電子商務平臺Yes24遭勒索軟體攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從4月底開始，一連串針對零售業者而來的網路攻擊事故接連傳出，但這些資安事故駭客主要針對歐洲與美國的廠商下手，如今有專門針對亞洲業者的情況出現。</p> <p>我們接獲臺灣出版業的通報，得知韓國這幾天發生一起相當嚴重的勒索軟體攻擊事故，接著我們到網路搜尋發生事故的Yes24，當切換到Google新聞搜尋頁面的時候，隨即看到許多韓國媒體報導此事，這些新聞均提到：經營網路書店與購票平臺的Yes24，於6月9日傳出網站與應用程式無法使用的狀況，該公司起初僅表示系統在維護而暫停服務，未進一步說明，如此不尋常的現象引起用戶不滿，直到10日才坦承是遭遇勒索軟體攻擊，並表示他們已向韓國網路安全局（KISA，也稱為韓國網路振興院）通報此事。</p> <p>Yes24是韓國大型網路書店與演唱會活動購票平臺，他們不僅銷售韓文及外文書籍、電子書，也販售K-POP與韓劇周邊商品著稱。而在售票的業務上，Yes24銷售演唱會、音樂劇、戲劇、體育賽事的門票，甚至經營自己的活動會場（如Yes24 Live Hall），而且，他們不光服務韓國民眾，也經營海外市場，是外國粉絲參與韓國當地活動及購買相關商品的重要管道，在K-POP生態系中擁有舉足輕重的地位。</p> <p>不過，詭異的是，這起資安事故鮮少有國際新聞媒體報導，而在臺灣，儘管有不少K-POP追星族，也未見大眾新聞媒體報導這起重大資安事故，目前<a href="https://medium.com/@Billows_Tech/%E7%82%BA%E4%BD%95-yes24-victorias-secret%E6%88%90%E7%82%BA%E9%A7%AD%E5%AE%A2%E5%8B%92%E7%B4%A2%E5%B0%8D%E8%B1%A1-%E5%BE%9E%E5%B9%B3%E5%8F%B0%E7%99%B1%E7%98%93%E4%BA%8B%E4%BB%B6-%E7%9C%8B%E5%8B%92%E7%B4%A2%E6%94%BB%E6%93%8A%E5%A6%82%E4%BD%95%E9%87%8D%E5%89%B5%E4%BC%81%E6%A5%AD%E7%87%9F%E9%81%8B-9d54cb45b337">僅有資安廠商竣盟科技報導此事</a>，以及追蹤韓國流行動態的社群透露相關消息，指出<a href="https://www.facebook.com/onnietw/posts/%E9%9F%93%E7%B6%B2%E8%AE%80%E5%A0%B1%E7%99%B1%E7%98%93%E5%85%A9%E5%A4%A9%E7%9A%84-yes24-%E5%8E%9F%E4%BE%86%E6%98%AF%E9%81%AD%E9%A7%AD%E5%AE%A2%E6%94%BB%E6%93%8A9%E6%97%A5%E5%87%8C%E6%99%A8%E9%96%8B%E5%A7%8B%E7%9A%84yes24%E7%B6%B2%E7%AB%99%E5%92%8Capp%E7%99%B1%E7%98%93%E4%BA%8B%E4%BB%B6%E6%8C%81%E7%BA%8C%E4%BA%86%E5%85%A9%E5%A4%A9%E5%85%AC%E5%8F%B8%E6%96%B9%E9%9D%A2%E4%B8%80%E7%9B%B4%E5%B0%8D%E5%8E%9F%E5%9B%A0%E7%B7%98%E5%8F%A3%E4%B8%8D%E6%8F%90%E7%9B%B4%E5%88%B0%E4%BB%8A%E5%A4%A9%E6%89%8D%E9%81%B2%E9%81%B2%E6%89%8D%E5%91%8A%E7%9F%A5%E6%AD%A4%E6%AC%A1%E4%BA%8B%E4%BB%B6%E7%9A%84%E5%8E%9F/1348087340018705/">這起事故已經造成影響</a>，例如音樂團體Enhypen取消粉絲簽名會、歌手B.I調整演唱會門票預售時間等，此外，這起事故不光影響演唱會和粉絲簽名會，音樂劇的售票也受到衝擊。</p> <p>針對這起事故，Yes24首度於10日鬆口，坦言是勒索軟體攻擊，根據該公司後來在網站的公告，可以得知目前掌握到的事件發生經過。他們表示，大約是在9日凌晨4時遭遇勒索軟體攻擊，導致該公司系統失去控制，直到11日凌晨3時，他們成功奪回管理員帳號，正著手復原相關服務運作。究竟這起事故是否導致客戶資料外洩，該公司表示根據目前的調查結果，他們尚未釐清有那些資料流出，但為保險起見，呼籲客戶要防範假冒Yes24相關的詐騙。</p> </div></div></div>
2025/6/12 18:10作者周峻佑https://www.ithome.com.tw/news/169528
Insyde H2O UEFI韌體存在資安弱點，攻擊者可用於繞過安全開機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來不時有駭客針對UEFI開機系統下手，打造惡意程式發動攻擊，從而繞過作業系統與端點防護機制的偵測，一旦UEFI韌體存在相關漏洞，就有可能成為駭客利用的對象，使得資安圈越來越關切、挖掘這類弱點。</p> <p>本週有兩項與UEFI有關的漏洞揭露，其中又以<a href="https://kb.cert.org/vuls/id/211341">卡內基美隆大學電腦緊急回應團隊協調中心（CERT/CC）揭露的</a>CVE-2025-4275相當值得留意，此弱點出現在系微（Insyde）的UEFI韌體H2O，攻擊者能透過不受保護的非揮發性隨機存取記憶體（NVRAM）變數SecureFlashCertData，而能於電腦注入數位憑證，使得攻擊者能繞過安全開機（Secure Boot）的防護機制。一旦成功利用漏洞，攻擊者就能在作業系統載入之前，執行未經簽章或惡意程式碼，從而植入持久性的惡意軟體與核心層級的Rookit程式，CVSS風險達到7.8分，<a href="https://www.insyde.com/security-pledge/sa-2025002">Insyde也發布資安公告</a>，推出新版韌體修補這項漏洞。</p> <p>值得留意的是，上述手法植入的惡意軟體與Rookit，使用者無法透過重開機或是重灌作業系統清除，甚至能夠成功迴避EDR系統的偵測，或是在該系統載入之前完全停用。</p> <p>另一項能繞過安全開機的漏洞，是由資安業者Binarly找到的<a href="https://www.binarly.io/blog/another-crack-in-the-chain-of-trust">記憶體中斷漏洞CVE-2025-3052</a>，此漏洞同樣影響Insyde H2O的UEFI韌體，起因是他們發現由微軟提供第三方UEFI憑證簽章的特定模組能觸發漏洞，一旦攻擊者成功利用，就有機會在電腦開機的過程執行未簽署的程式碼，繞過安全開機機制，風險值為6.7，微軟獲報後於本週發布的6月例行更新（Patch Tuesday）<a href="https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-3052">提供</a>修補程式。</p> <p>針對這項漏洞發現的過程，Binarly指出是他們在惡意軟體分析平臺VirusTotal找到存在弱點的UEFI應用程式，此工具原專為特定廠牌的電腦設計，但由於其中的特定模組採用了廣泛信任的Microsoft Corporation UEFI CA 2011金鑰簽署，而能在大多數電腦上運作。漏洞形成的原因也與NVRAM有關，上述模組從NVRAM變數IhisiParamBuffer讀取資料後，未進行驗證就當作記憶體指標使用，導致攻擊者可控制寫入任意記憶體位置。</p> </div></div></div>
2025/6/12 16:24作者周峻佑https://www.ithome.com.tw/news/169514
Stripe將買下嵌入式錢包供應商Privy
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://privy.io/blog/announcing-our-acquisition-by-stripe" target="_blank">成立於2021年的嵌入式錢包服務供應商Privy周三（6/11）宣布</a>，已被線上支付服務供應商Stripe收購。Privy僅披露此一交易預計於未來幾周完成，並未公布交易金額。不過，Privy在今年3月的估值約為2.3億美元。</p> <p>Privy主要提供嵌入式錢包技術，讓平臺能夠在不改變使用者的體驗下，直接產生及管理加密錢包；其關鍵技術在於透過Email、SMS、SSO等一般登入機制，即可於後端生成自主管理錢包（self‑custody wallet），讓消費者不必再下載或註冊額外的錢包。</p> <p>Privy共同創辦人暨執行長Henri Stern表示，該公司剛創立時，加密貨幣錢包的功能很強大，但只有高階使用者才會用，開發者必須要求用戶離開平臺才能使用，這阻礙了體驗也降低用戶轉換率，限制了加密貨幣領域的發展。</p> <p>而Privy僅透過一個簡單的API，便能讓各平臺安全地啟用強大的錢包能力、簽署交易，並整合各種區塊鏈系統，迄今Privy已替超過1,000個開發團隊的逾7,500萬個帳戶提供服務，協調數十億筆交易，以讓用戶能在網路上賺取、轉移與使用新資產，客戶涵蓋Hyperliquid、Blackbird、Toku與Farcaster。</p> <p>Stern認為，數位所有權與現代世界的金融系統正以前所未有的方式交織在一起，如同Stripe堅信加密貨幣結合法幣的力量，雙方將會改變網路的價值流動方式。</p> <p><a href="https://www.ithome.com.tw/news/165607" target="_blank">Stripe甫於去年10月買下了穩定幣基礎設施業者Bridge</a>，顯示該公司擁抱加密貨幣的決心。</p> </div></div></div>
2025/6/12 16:41作者陳曉莉https://www.ithome.com.tw/news/169516
【OTP盜刷網釣現況大公開1】即時網釣手法已經氾濫，AiTM中間人攻擊技術助長此類威脅
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>鎖定信用卡盜刷的網釣攻擊，已經橫行多年，雖然大家感受到事件越來越多，但可能不清楚的是：駭客攻擊技術與網路犯罪生態正在加速演進。因此這方面的威脅現況，已成為電商與支付業者不容忽視的嚴峻挑戰。</p> <p>事實上，以OTP網釣攻擊而言，過去我們看到不少這類事故消息，但其攻擊目標其實有相當多種，例如，一種是「針對企業員工，竊取員工登入內部系統所需OTP碼」，像是Dropbox員工使用OTP式硬體金鑰來強化員工帳號登入防護，但2022年時，駭客在偽冒登入的釣魚網頁上不僅騙取帳密，也即時騙取OTP碼，進而得以入侵企業內部；一種是「針對客戶，竊取服務業發給客戶用於登入服務所需的OTP碼」，像是臺灣多家銀行有採用簡訊OTP來保護客戶網銀登入，但在2021年時，有犯罪組織偽冒多家銀行發送釣魚簡訊，並以假網銀登入頁面來騙取客戶帳密，也即時騙取OTP碼，進而使受害者的網銀帳戶資金被盜轉。</p> <p>還有一種不容忽視的網釣攻擊手法，是「針對信用卡用戶，竊取刷卡交易認證時所的OTP碼」，也就是針對信用卡號及3D驗證環節進行網釣。不過這類攻擊的相關研究揭露相對較少，使得我們對其具體概況難以深入了解，特別的是，在今年3月臺灣資安業者戴夫寇爾舉行的資安攻擊型研討會上，有場演講恰巧說明最新OTP竊取手法，以及信用卡盜刷背後的網釣威脅。最近該場演說<a href="https://conf.devco.re/2025/keynote/%5BRelease%5D%20Phishing-as-a-Service-%20The%20Underground%20Card%20Shop%27s%20Arsenal%20against%203DSecure.pdf">簡報</a>於5月底正式公開。</p> <p>該場講者是台灣駭客協會理事戴辰宇（GD），他以負責威脅情資與事件應變的企業藍隊角色，解析身為防守方的他們，如何因應盜刷與網路釣魚問題，進而探索與了解攻擊背後的技術發展。當中介紹的狀況，對於關心電商與支付業者安全的人相當有參考價值，因為可以藉此更認識這方面的網路犯罪技術演進，以瞭解所要防禦的威脅與面臨的挑戰。</p> <p>解析身為防守方的他們，為了因應盜刷與網路釣魚問題，進而探索了攻擊背後的技術發展。，對於電商與支付業者而言，可以更認識這方面的網路犯罪技術演進，以瞭解防禦上我們面對的威脅與挑戰。</p> <h2><strong>攻擊技術與犯罪商業模式持續進化，實施網釣活動的門檻大幅降低</strong></h2> <p>對於信用卡網釣攻擊態勢的演變，戴辰宇指出，這類威脅不只影響全球，亞太地區也經常被鎖定，戴辰宇指出，臺灣與日本的遭遇是同樣嚴重。以臺灣而言，聯合信用卡處理中心（聯卡中心）曾揭露，2023全年國內發卡機構詐欺通報金額破32億元，年增達47％；以日本而言，信用卡詐欺帶來的損失，從10年前的一年損失100億元日幣，之後持續有所增長，2024一整年損失已達550億元日幣。</p> <p>根據戴辰宇與其研究夥伴對於相關網路犯罪活動的深入觀察，他們發現，中國信用卡黑市中的許多攻擊目標都是鎖定亞太地區而來。這些犯罪組織不僅透過微信與Telegram頻道大肆投放廣告，甚至還有頻道是專門教學如何執行信用卡盜刷網釣。由此可見，這類犯罪活動的猖獗與成熟程度令人擔憂。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%966%EF%BC%89%E7%AB%8A%E5%8F%96OTP%E7%9B%9C%E5%88%B7%E7%B6%B2%E9%87%A3%E5%A8%81%E8%84%85%E7%8F%BE%E6%B3%81%E5%A4%A7%E5%85%AC%E9%96%8B.jpg" style="width: 600px;" /></p> <p>這類網路犯罪究竟是如何運作？戴辰宇深入剖析了網釣盜刷的完整流程，希望能讓大家對此有更清晰的概念。他指出，攻擊者主要可分為三大角色：釣魚者、盜刷者，以及收貨者。</p> <p>以釣魚者而言，傳統上，攻擊者需建立網域名稱、架設釣魚網站，並要租用管控較寬鬆的VPS虛擬主機服務，才不容易讓釣魚網站被下架。接著，還要準備釣魚郵件，以誘導受害者點擊惡意連結。</p> <p>以盜刷者而言，要模擬受害者的交易環境，以提高盜刷成功率。例如，依據受害者的信用卡帳單地址，從一些駭客組織控制的殭屍網路等，租用相同地區IP位址作為盜刷的跳板，以規避銀行的反詐欺偵測或AML反洗錢系統。</p> <p>以收貨者而言，盜刷商品後需安排收貨與轉運。例如，有犯罪集團在日本針對海外留學生投放廣告，聲稱只要協助「代收包裹並轉寄」，即可賺取額外收入。這些商品最終被轉送至中國閒魚或淘寶的物流轉運站，轉售變現。</p> <p>這樣的網路犯罪模式已經使用多年，如今，我們特別要關切的是，在「執行網釣」的環節有了新變化，攻擊技術與網路犯罪生態變得更進步與普及，使我們面臨更嚴峻的威脅。</p> <h2><strong>網釣攻擊日益嚴峻有兩大原因：即時釣魚與PhaaS</strong></h2> <p>首先，身為防守方的我們，需要搞清楚這些網釣、盜刷攻擊背後的情形，掌握攻擊面的最新發展，才能意識到需要重視的問題，尤其是對支付產業與電商而言，戴辰宇強調，有兩大重點觀察需要我們關注。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1）竊取OTP盜刷網釣威脅現況大公開.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E7%AB%8A%E5%8F%96OTP%E7%9B%9C%E5%88%B7%E7%B6%B2%E9%87%A3%E5%A8%81%E8%84%85%E7%8F%BE%E6%B3%81%E5%A4%A7%E5%85%AC%E9%96%8B.jpg" style="width: 600px;" /></a></p> <p>第一，早年網釣是No-OTP Phishing，也就是非竊取OTP碼的傳統網釣時代，2020年之後轉為Real-time Phishing時代，也就是可以同步竊取OTP。我們可以發現，這方面的相關技術，在中國網路犯罪圈稱同步魚，在資安界則常稱為AiTM（Adversary-in-The-Middle）中間人攻擊手法，像是微軟曾多次揭露這類攻擊活動。</p> <p>第二，網釣即服務（PhaaS）數量大增，這不僅是助長網釣攻擊，也突顯這類犯罪服務的提供已是相當成熟。例如，2023年初，他們從中國的地下信用卡資料兜售黑市觀察到，已有50多個這樣的雲端代管訂閱制釣魚網站平臺，並且大多數都提供OTP竊取的功能，到了2025年初，這些PhaaS平臺更是增加到100個以上，而且其功能也在持續進化，像是提供半套或全套的租賃方式，還有內建多種資安偵測規避的功能。</p> <h2><strong>AiTM攻擊手法興起，促使OTP網釣更容易</strong></h2> <p>儘管資安界早就呼籲OTP不夠安全，只能視為過渡到強健MFA的臨時方案，因為仍是具有一定使用期效的文數字符號形式，還是存在被擷取、盜用的可能性，而容易遭遇網釣攻擊，不過至今許多場景仍仰賴OTP來保護帳號安全。</p> <p>對此狀況，戴辰宇指出，自2020年起，Real-time Phishing（即時網釣）技術已成熱門的網路犯罪手法，這意味，攻擊者要突破OTP驗證機制已變得普遍。</p> <p>這類即時網釣攻擊經常運用AiTM這類中間人攻擊技術，也就是說，駭客在受害者與合法網站之間建立一個代理伺服器（Proxy）攔截流量，並在受害者輸入帳號密碼與OTP後，即時將竊取資訊轉發至合法網站，進而完成盜刷交易。</p> <p>雖然國內近年有在加強OTP網釣的防範，但他也提醒，像是聯卡中心去年推出網頁識別碼的機制，讓使用者在輸入OTP碼時，還要從4個選項來勾選收到的識別碼，能多一道程序來緩解。但是，攻擊者只要在網釣OTP碼過程中，增加識別碼的輸入框，其實還是可以獲取識別碼並繞過防護，讓不熟悉機制的使用者上當。</p> <p>事實上，關於上述提及的AiTM網釣手法，我們過去經常看到這方面的威脅揭露。</p> <p>例如，<a href="https://www.ithome.com.tw/news/151924">2022年微軟指出，發現一起大規模網釣活動是使用AiTM手法，接著利用竊取到的帳密與Session Cookie</a>，去存取使用者的郵件，進而發動BEC詐騙。微軟觀察到，自2021年9月至2022年7月間，有1萬個企業組織遭此攻擊活動鎖定。</p> <p>換言之，透過AiTM網釣手法經常作為攻擊的開端，值得我們特別重視，有的攻擊者主要鎖定消費者信用卡交易的OTP竊取，有的則是鎖定企業登入憑證的竊取，以此發動不同類型的攻擊活動。</p> <h2><strong>防守方別以為有了OTP驗證，卻忽略用戶端環境風險檢查</strong></h2> <p>從上述威脅態勢來看，戴辰宇強調：近年網路犯罪領域PhaaS平臺的流行，代表網釣產業的專業分工更加細緻，而Real-time Phishing這類中間人攻擊的盛行，則顯示攻擊者要突破OTP驗證機制已變得普遍。</p> <p>而且我們還要注意的是，根據目前研究顯示，利用生成式AI產生社交工程釣魚郵件與 Phishing Kit，速度比傳統方法快20倍。這也代表，網釣攻擊的成本不斷下降，即便不懂繁體中文、日文或其他語言的駭客，也能產出符合當地語法的釣魚信件。</p> <p>此外，在他們的研究中，現在Real-time Phishing技術的攻擊，攻擊成功率可達0.2%至1.4%，高於傳統No-OTP Phishing（0.01%至0.1%），</p> <p>對此，他特別點出一個值得關注的問題：在沒有OTP驗證的時代，防守方會更重視用戶端環境風險的檢查，例如：確認刷卡IP地址與帳單地址是否相符，以判斷交易真實性。然而，隨著OTP驗證機制的普及，部分防守端可能因過度相信OTP，而忽略了原本的環境風險檢查，這一點是他認為防守方需加強的面向。</p> <h2><a href="https://s4.itho.me/sites/default/files/images/（圖5）竊取OTP盜刷網釣威脅現況大公開.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965%EF%BC%89%E7%AB%8A%E5%8F%96OTP%E7%9B%9C%E5%88%B7%E7%B6%B2%E9%87%A3%E5%A8%81%E8%84%85%E7%8F%BE%E6%B3%81%E5%A4%A7%E5%85%AC%E9%96%8B.jpg" style="width: 600px;" /></a> </h2><p> </p><h2 class="rtecenter"><span style="color: rgb(0, 153, 255);"><strong>竊取OTP碼方法很多，網釣只是其中一種伎倆</strong></span></h2> <p>除了常見的OTP網釣攻擊之外，我們也必須警惕駭客其他竊取OTP的手法。例如，臺灣大哥大A32手機，曾發生設備出廠時已被植入惡意程式，因此犯罪組織後續可攔截發送到手機的簡訊OTP，而其目的是以用戶門號來冒名申請遊戲帳號，以做為人頭帳號；國際間則不時傳出駭客利用SIM卡劫持（SIM Swap）攻擊手法，獲得手機號碼控制權，進而能夠竊取簡訊OTP，並用於不同攻擊活動；又或是電子郵件遭入侵導致以Email傳送的OTP碼被竊取。這些手法等於是直接入侵竊取資訊，而不是用釣魚方式讓受害者自己將資訊提供給駭客。</p> <p> </p> <h2><strong>繼續閱讀：<a href="https://www.ithome.com.tw/news/169488"><span style="color: rgb(0, 102, 204);">【OTP盜刷網釣現況大公開2】盜刷網釣即服務PhaaS數量破百，犯罪組織還在微信與Telegram頻道打廣告與教盜刷</span></a></strong></h2> <p> </p> <h2><strong>繼續閱讀：<a href="https://www.ithome.com.tw/news/169489"><span style="color: rgb(0, 102, 204);">【面對OTP盜刷網釣威脅，支付與電商產業應對策略】強化交易身分驗證與裝置指紋機制，並建立AI/ML詐欺模型</span></a></strong></h2> <p> </p> </div></div></div>
2025/6/12 16:42作者羅正漢https://www.ithome.com.tw/news/169487
【OTP盜刷網釣現況大公開2】2025中國信用卡盜刷網釣即服務百家爭鳴，甚至公然在即時通訊軟體頻道打廣告與教人盜刷
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>關於網釣即服務（<a href="https://www.ithome.com.tw/tags/phaas">PhaaS</a>）的態勢，我們從2016年至今，已經看到許有許多資安業者揭露這項威脅態勢，指出PhaaS的興起，降低業餘駭客的攻擊門檻，只要租賃雲端服務就可發動攻擊，同時也讓網路犯罪的網釣商業模式成形，而後續的資安研究也顯示，有更多提供犯罪的PhaaS供應商被揭露，並會持續提供進階釣魚與偵測規避的功能。</p> <p>不過，多數研究報告都是由國外資安業者發布，我們很少能具體瞭解其概況，近期台灣駭客協會理事戴辰宇（GD）揭露駭客竊取OTP盜刷網釣威脅現況時，更是提到PhaaS不僅降低網路犯罪的技術門檻，同時助長這類攻擊的規模更擴大。同時，他也揭露了更多關於這個網路犯罪生態系不為人知的細節，包括全套與半套的不同PhaaS型態。</p> <h2><strong>信用卡網釣盜刷氾濫，在微信、Telegram上已有犯罪教學頻道，許多是鎖定亞太地區而來</strong></h2> <p>大家可能沒想過，現在攻擊者要盜刷信用卡、網釣竊取OTP碼，不只能到暗網租賃現成的網路犯罪工具，還有許多犯罪組織透過微信與Telegram頻道打廣告，甚至有專門的教學頻道，目的是吸收更多成員加入。</p> <p>我們面對的網釣威脅有多嚴峻？根據戴辰宇與他研究夥伴的觀察，從網釣即服務（PhaaS）的發展來看，單是在信用卡盜刷領域，黑色產業在這方面的技術與市場經濟發展，已經相當成熟。</p> <p>他們發現，在微信與Telegram即時通訊平臺上，竟然就有1、2千個頻道用於中國詐欺黑色產業的交流，並有相當多是鎖定亞太地區攻擊。特別的是，當中還有專門提供CVV盜刷教學的頻道，像上課一樣介紹如何取得盜刷資料，以及搭建中國稱為魚塘（PhaaS）的攻擊環境，還有搭建盜刷環境、產品變現方法，以及其他技術面的內容。</p> <p>由於這類網釣攻擊已是相當氾濫，若是我們還不知道攻擊產業鏈的樣貌與轉變，可能輕忽了問題的嚴重性。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖2）竊取OTP盜刷網釣威脅現況大公開.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E7%AB%8A%E5%8F%96OTP%E7%9B%9C%E5%88%B7%E7%B6%B2%E9%87%A3%E5%A8%81%E8%84%85%E7%8F%BE%E6%B3%81%E5%A4%A7%E5%85%AC%E9%96%8B.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖7）竊取OTP盜刷網釣威脅現況大公開.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%967%EF%BC%89%E7%AB%8A%E5%8F%96OTP%E7%9B%9C%E5%88%B7%E7%B6%B2%E9%87%A3%E5%A8%81%E8%84%85%E7%8F%BE%E6%B3%81%E5%A4%A7%E5%85%AC%E9%96%8B.jpg" style="width: 600px;" /></a></p> <h2><strong>PhaaS租賃平臺服務競爭激烈，加速網路犯罪生態體系發展</strong></h2> <p>對於這類盜刷網路犯罪的網路釣魚即服務，中國稱為魚塘（PhaaS），目前有多氾濫？戴辰宇指出，他們觀察到，中國網路犯罪魚塘近兩年已呈現倍增的態勢，這顯示相關網路威脅正變得越來越嚴峻。</p> <p>例如，2023年初中國地下信用卡資料黑市中，約有50多個雲端代管的訂閱制釣魚網站平臺，其中大多數已具備OTP竊取功能，到了2025年初，這些PhaaS平臺數量已增長至100 個以上，且功能持續進化，不僅提供半套或全套的租賃方案，更內建多種規避資安偵測的功能。</p> <p>而且戴辰宇也發現，隨著PhaaS網釣犯罪服務的普及，彼此競爭也變得激烈，會產生什麼樣的影響？由於這類型服務就是提供攻擊者使用的雲端代管訂閱制網路釣魚平臺，當這些平臺為了搶客而不斷增加新功能，或是降低費用，結果就是讓執行網釣者能夠更容易、以更低成本發動攻擊。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖3）竊取OTP盜刷網釣威脅現況大公開.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89%E7%AB%8A%E5%8F%96OTP%E7%9B%9C%E5%88%B7%E7%B6%B2%E9%87%A3%E5%A8%81%E8%84%85%E7%8F%BE%E6%B3%81%E5%A4%A7%E5%85%AC%E9%96%8B.jpg" style="width: 600px;" /></a></p> <p>特別的是，過去資安業者雖然頻繁揭露PhaaS平臺的資訊，讓我們可以大致了解，攻擊者可選擇使用現成現成的網路釣魚工具包（Phishing Kit），或直接租用PhaaS犯罪平臺的服務。然而，戴辰宇這次揭露的內容，超越了我們既有的認知，進一步揭示了這個網路犯罪生態系中更多隱密且細緻的層面。</p> <p>以信用卡盜刷的攻擊環境建置而言，戴辰宇分析出3種不同型態：</p> <p>第一種是No PhaaS，攻擊者可以全都自己架構，以自建方式來搭建魚塘攻擊環境。</p> <p>但如果沒技術或想省時間，可選擇租用PhaaS。</p> <p>第二種是Half PhaaS，戴辰宇表示，這如同提供半套服務租賃，提供如同AppStore源碼商店的平臺環境，還會持續更新Phishing Kit。</p> <p>第三種是Full PhaaS，也就是提供全套租賃服務，不只提供Phishing Kit，連網釣使用的網域、VPS虛擬主機都提供，讓租用的攻擊者直接拿到一個後臺網址，快速建立一個魚塘攻擊環境。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖4）竊取OTP盜刷網釣威脅現況大公開.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89%E7%AB%8A%E5%8F%96OTP%E7%9B%9C%E5%88%B7%E7%B6%B2%E9%87%A3%E5%A8%81%E8%84%85%E7%8F%BE%E6%B3%81%E5%A4%A7%E5%85%AC%E9%96%8B.jpg" style="width: 600px;" /></a></p> <p>不僅是網路犯罪魚塘（PhaaS）數量增加，戴辰宇表示，他們發現租用服務的網路犯罪者也相當多。</p> <p>他舉例，一個名為熊貓源碼商店的網路犯罪平臺服務，主要鎖定偽冒物流服務的主題，有2,600多個訂閱者，另一個名為Magic Cat神奇貓貓，主要提供偽冒全球郵政的主題，有3,000多個訂閱者。</p> <p>不過，這類黑產也會有黑吃黑的情況，像是網釣者使用PhaaS平臺所竊取的資料，PhaaS服務提供者也能掌握，能將高價值信用卡資料先一步盜刷。因此地下市場也有所謂第一手、第二手、第三手資料，或是大量無效信用卡資訊。</p> <p>若是進一步觀察這些平臺上的功能，也能看出網釣攻擊技術的門檻降低與普及，將帶來更廣泛的影響。</p> <p>例如，這些平臺大多提供半套或全套的訂閱租賃方式，並且幾乎都已經提供OTP竊取的能力。</p> <p>更要注意的是，這些犯罪服務平臺還提供所謂「Anti-Red防紅」的功能，也就是內建多種規避資安偵測的能力。</p> <p>例如，攻擊者網釣目標若是鎖定日本，可設定只允許日本IP位址登入，減少被資安業者偵測的風險；還有一項特別的Entrance Key功能，其機制是透過在網址後添加？等查詢字串的參數，只有在參數值正確時，才會顯示真正的釣魚頁面，若直接存取網站，只會顯示空白頁面或無關內容，可規避資安業者的線上掃描或沙箱等偵測機制。</p> <p>從上述戴辰宇的分析介紹來看，我們可以了解到網路犯罪生態系的進化，不僅攻擊工具更易於取得，連反偵測能力也日益精進。面對如此複雜且專業化的威脅，企業又該如何有效防範呢？下一篇我們將繼續介紹。<br /> </p> <h2>繼續閱讀：<a href="https://www.ithome.com.tw/news/169489"><span style="color:#0066ff;">【面對OTP盜刷網釣威脅，支付與電商產業應對策略】強化交易身分驗證與裝置指紋機制，並建立AI/ML詐欺模型</span></a></h2> <p> </p> </div></div></div>
2025/6/12 17:07作者羅正漢https://www.ithome.com.tw/news/169488
【面對OTP盜刷網釣威脅，支付與電商產業應對策略】強化交易身分驗證與裝置指紋機制，並建立AI/ML詐欺模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>面對日益嚴峻的OTP盜刷網釣威脅，支付產業與電商產業都必須採取更積極的應對策略。</p> <p>從當前威脅態勢來看，在資安業者戴夫寇爾3月舉行的資安攻擊型研討會，台灣駭客協會理事戴辰宇（GD）指出：Real-time Phishing（即時網釣）這類中間人攻擊的盛行，顯示攻擊者要突破OTP驗證機制已變得普遍，而網路犯罪領域PhaaS平臺的流行，則代表網釣產業的專業分工更加細緻。</p> <p>當我們更充分了解這些網路犯罪技術的演進，才可以設想更周延的因應之道。戴辰宇對支付產業與電商產業，也分別提出提升防護力的建議。</p> <p>（一）以支付產業而言，現今電信業推動門號認證、SIM卡驗證，是一種可採行的進階驗證方法。電信公司可查詢該門號是否由真正的SIM卡持有人使用。此外，當懷疑當交易存在風險時，應採取更有效的驗證機制，例如，發送通知並要求點擊驗證連結來放行，這比單純輸入OTP碼安全，因為該連結可驗證額外資訊，而且攻擊者此時較難誘騙使用者提供連結。</p> <p>（二）以電商產業而言，可採取多層次的安全策略，像是採用新的身份驗證機制，如Passkey、FIDO、生物識別等，減少對OTP的依賴；建立更好的裝置指紋識別機制，像是時區、GPU、IP位址聲譽等環境與硬體綁定。建立主動偵測能力也很重要，以他過去自身經驗而言，一筆交易就有10個不同AI/ML詐欺偵測模型在偵測，才能及早發現異常。他並表示，曾發展送出訂單時製造大量運算需求，藉此讓惡意攻擊更難執行。他並提醒，不僅支付產業需要更多交易驗證措施，電商產業也該如此，一旦偵測到任何可疑交易，應及早再次啟動驗證機制來降低詐欺風險。</p> </div></div></div>
2025/6/12 17:15作者羅正漢https://www.ithome.com.tw/news/169489
惡意軟體Myth Stealer同時鎖定Chrome、Firefox用戶而來，藉由冒牌遊戲網站散布
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了改善軟體開發安全，近年來有許多軟體改以程式語言<a href="https://www.ithome.com.tw/tags/rust">Rust</a>開發，例如Google於Chrome採用<a href="https://www.ithome.com.tw/news/167975">新的字型渲染程式庫Skrifa</a>，就是以這種程式語言撰寫而成。然而，攻擊者也開始跟進，採用這種程式語言打造惡意程式。</p> <p>例如，最近資安業者Trellix揭露的<a href="https://www.trellix.com/en-in/blogs/research/demystifying-myth-stealer-a-rust-based-infostealer/">Myth Stealer</a>，就是典型的例子。研究人員從去年12月下旬看到開發者於Telegram頻道宣傳、銷售，初期提供免費試用，後來開發團隊以租用的型式牟利。</p> <p>研究人員持續進行追蹤和調查後指出，駭客主要透過假的遊戲網站散布Myth Stealer，一旦使用者下載、執行，此惡意軟體會顯示假的視窗，轉移使用者的注意力，但實際上，駭客於後臺透過XOR運算或AES演算法解開先前被加密的惡意程式碼，並予以執行。此竊資軟體同時針對Chrome與Firefox兩大陣營的瀏覽器而來，搜括密碼、Cookie，以及自動填入的資訊。附帶一提的是，經營Myth Stealer的團隊不光銷售竊資軟體，他們還提供買家出售竊得資料的管道：該團隊建名為Myth Vouches & Marketplace的頻道供買家運用。</p> <p>值得留意的是，駭客為了迴避防毒軟體的偵測，也不斷加入相關的機制，除了上述提及的程式碼混淆手法，他們也透過檢查受害電腦的使用者名稱及檔案，來確認不是在研究人員的沙箱環境執行。此外，駭客也頻繁更新竊資軟體，以確保惡意軟體檢測平臺VirusTotal所有的防毒引擎無法察覺異狀。</p> <p>針對攻擊發動的流程，研究人員指出駭客將竊資軟體偽裝成與遊戲相關的檔案，通常會聲稱是少見的檔案並受到密碼保護，或是含有如何執行遊戲說明資料的ZIP壓縮檔，此外，他們也看到駭客以單一的EXE檔案散布，或是將竊資軟體與遊戲相關檔案打包成RAR壓縮檔的情況。</p> <p>附帶一提的是，他們也看到駭客聲稱提供遊戲作弊工具為幌子的手法，為了取信受害者，駭客還提供VirusTotal的連結，表示所有防毒引擎分析皆為無害。</p> <p>此竊資軟體引起研究人員注意的原因在於，駭客同時採用多種反分析機制（Anti-analysis techniques），其中包括運用Rust套件obfstr進行字串混淆、並檢查受害電腦是否具有特定的使用者名稱與檔案，來判定自身是否處於沙箱環境，而根據研究人員列出的檔案名稱來判斷，這些檔案與VMware Tools、VirtualBox Guest Additions等虛擬機公用程式有關。</p> <p>一旦確認在真實電腦執行，Myth Stealer就會終止與瀏覽器有關的處理程序，然後從特定的應用程式挖掘密碼、Cookie、自動填入資料、信用卡資訊。為了解開瀏覽器存放的Cookie內容，駭客使用了遠端除錯功能，並透過Windows內建的API試圖取得管理員帳號的特殊權限。此外，駭客後續替這款竊資軟體加入新功能，其中包括挾持剪貼簿、螢幕截圖，使得此竊資軟體更加無孔不入。</p> </div></div></div>
2025/6/12 14:59作者周峻佑https://www.ithome.com.tw/news/169501
迪士尼跟環球影業聯手控告AI新創Midjourney侵權
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>華特迪士尼（Walt Disney Company）及環球影業（Universal Pictures）周三（6/11）<a href="https://www.courthousenews.com/wp-content/uploads/2025/06/disney-ai-lawsuit.pdf" target="_blank">攜手控告AI圖像生成平臺Midjourney侵權</a>，指控Midjourney簡直是利用無止境的抄襲來收割它們的創意成果。</p> <p>控方總計由7家業者組成，其中有5家屬於迪士尼集團，包括迪士尼Disney Enterprises、漫威角色著作權公司Marvel Characters、漫威控股公司MVL Film Finance、星際大戰系統製作公司Lucasfilm，以及20世紀福斯電影公司Twentieth Century Fox，另兩家來自環球影業的則是Universal City Studios與夢工廠動畫公司DreamWorks Animation。</p> <p>2022年成立於美國的Midjourney主要提供圖像生成服務，使用者只要輸入文字，就能生成各式各樣的圖像，迄今已吸引數百萬訂閱用戶，在2024年締造了3億美元的營收。</p> <p>迪士尼與環球影業於訴狀中指出，Midjourney的圖像生成服務如同虛擬販賣機，持續生成無數未經授權的著作權作品翻版。</p> <p>其實在原告採取法律行動之前，曾先行要求Midjourney停止竊取其智慧財產權，並採取措施來保護著作權，例如拒絕那些要求顯示或下載版權角色的提示，或者是採用各種技術來避免侵權圖像的生成，然而，Midjourney不但沒有停止侵權行為，新版本還提供更高品質的侵權圖像。</p> <p>Midjourney之所以遭到動畫及電影業者鎖定，不僅是因為該公司利用這些有版權的角色來訓練模型；更因為Midjourney允許使用者生成基於特定角色、在不同場景下的圖像，例如直接生成以《星際大戰》黑武士Darth Vader或是小小兵為主角的圖像；還利用這些使用者生成的侵權圖像來行銷Midjourney服務。</p> <p>控方指出，Midjourney輕易就能停止對其智慧財產權的竊盜與剝削，該公司能夠控制其圖像服務中的版權內容，也能防止版權內容持續被複製與散布，其它AI圖像及影像生成業者都已建立版權保護措施，以保障創作者的權利；但Midjourney卻藉由生成無數未經授權的版權作品翻版，以建立一個有利可圖的商業服務，供使用者付費訂閱，根本就是教科書等級的侵權作法。</p> <p>Midjourney則尚未對此一訴訟案作出回應。</p> </div></div></div>
2025/6/12 15:50作者陳曉莉https://www.ithome.com.tw/news/169505
研究人員揭露Microsoft 365 Copilot的零點擊AI漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.aim.security/lp/aim-labs-echoleak-blogpost" target="_blank">以色列資安業者Aim Security旗下的Aim Labs周三（6/11）揭露</a>一個位於Microsoft 365 (M365) Copilot的資安漏洞，允許駭客在無需使用者互動的情況下，竊取M365 Copilot脈絡中的機密資訊。這是第一個針對AI代理人的零點擊攻擊鏈，不僅威脅Copilot的資料安全，可能也會影響其它基於檢索增強生成（Retrieval‑Augmented Generation，RAG）的聊天機器人與AI代理人。</p> <p>此一被Aim Labs命名為EchoLeak的資安漏洞已取得CVE‑2025‑32711漏洞編號，其CVSS風險評分高達9.3。</p> <p>EchoLeak主要涉及大型語言模型範圍違規（LLM Scope Violation）問題，同時利用了RAG Copilot的設計缺陷，以讓駭客可在不需仰賴使用者的行動下，自動汲取來自M365 Copilot的任何資料。</p> <p>這是因為基於RAG的聊天機器人，可以擷取與使用者查詢相關的內容，以提升回應品質，例如M365 Copilot會查詢Microsoft Graph，並從使用者的組織環境中檢索任何機關資訊，包括電子郵件信箱、OneDrive儲存空間、M365 Office檔案、內部SharePoint網站，以及Microsoft Teams的聊天歷史紀錄等。</p> <p>依據Aim Labs所公布的攻擊鏈，駭客可以先寄一封看似無害、但可利用LLM內容違規漏洞的電子郵件至企業員工的信箱，例如與產業動態有關的文章；接著在使用者要求Copilot摘錄與分析公司的財報時，系統便會將機密資訊及攻擊資訊混合到Copilot脈絡中；然後Copilot便會將機密資訊外洩給駭客。</p> <p>在該攻擊鏈中，駭客採用輕量級的Markdown標記語言來隱藏實際意圖，以繞過微軟替Copilot設計的敏感資訊保護系統XPIA Classifiers，外部連結過濾系統External Link Redaction，以及內容安全政策（CSP）。</p> <p>研究人員表示，此一攻擊鏈可能竊取M365 Copilot脈絡中的任何資料，包括聊天歷史紀錄，M365 Copilot自Microsoft Graph所獲取的資源，以及預先載入對話脈絡中的任何資料，像是使用者或組織名稱等。</p> <p>此外，這是生成式AI產品所發現的首個零點擊漏洞，它仰賴的是AI漏洞，而非特定的使用者行為，也繞過了多項先進的防護措施，證明要保障AI並使其正常運作，可能需要新型態的保護措施。</p> <p>值得注意的是，LLM範圍違規是AI應用獨有的威脅，只要應用程式核心仰賴LLM，而且接受不可靠的輸入，便可能受到類似的攻擊。</p> <p><a href="https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2025-32711" target="_blank">微軟也在同一天揭露了該漏洞</a>，僅簡單敘述未經授權的駭客可藉由M365 Copilot的AI指令注入漏洞，透過網路竊取資訊，並說微軟已修補了該漏洞，用戶無需採取任何行動。</p> </div></div></div>
2025/6/12 14:35作者陳曉莉https://www.ithome.com.tw/news/169500
網路儲存設備Dell PowerScale存在重大漏洞，未經授權攻擊者可存取檔案系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>5月底Dell發布資安公告，指出旗下的網路儲存設備作業系統PowerScale OneFS<a href="https://www.dell.com/support/kbdoc/en-us/000326339/dsa-2025-208-security-update-for-dell-powerscale-onefs-for-multiple-security-vulnerabilities">存在5項資安漏洞</a>，一旦攻擊者成功利用，就能入侵存在漏洞的環境。Dell發布9.10.1.2、9.7.1.8、9.5.1.3版PowerScale OneFS予以修補。</p> <p>PowerScale OneFS是整合分散式檔案系統的作業系統，專為Dell EMC的PowerScale儲存平臺打造，能支援大規模網路儲存系統（NAS）的叢集架構。此作業系統的特色包含：採用單一檔案系統與單一命名空間，以軟體層整合檔案系統、磁碟區管理、資料保護機制，並提供PB級的橫向擴充能力。此外，該作業系統還能根據資料使用頻率自動調整儲存位置，提升整體系統的運作效能。</p> <p>根據CVSS風險評分，這次修補的漏洞當中最嚴重的是CVE-2024-53298，此為網路檔案系統（NFS）匯出功能缺乏授權弱點，未經授權的攻擊者只要遠端存取PowerScale OneFS，就有機會利用，從而導致未經授權的檔案系統存取，使得攻擊者能隨意讀取、竄改、刪除任何檔案。Dell強調攻擊者若是成功利用漏洞，能完整控制PowerScale OneFS，CVSS風險值為9.8。</p> <p>若是管理員無法即時套用PowerScale OneFS更新，Dell也提供緩解措施，使用特定命令與NFS匯出重新載入每個區域的組態。</p> <p>至於其他漏洞，CVE-2025-32753為中度風險的SQL注入漏洞，其餘漏洞出現在該作業系統採用的第三方元件：其中，CVE-2024-53580影響FreeBSD；CVE-2024-39689、CVE-2024-51538存在於SupportAssist模組。</p> </div></div></div>
2025/6/12 11:40作者周峻佑https://www.ithome.com.tw/news/169496
Apache Tomcat遭到大規模攻擊，400個IP位址對其暴力破解、登入嘗試
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網頁應用程式伺服器Apache Tomcat受到許多企業與雲端平臺採用，尤其適合小型應用及微服務架構，原因在於該此系統開源且占用資源少，廣泛支援Java網頁應用的特性。由於受到廣泛採用，也有攻擊者盯上這類伺服器的現象。</p> <p>最近威脅情報業者GreyNoise揭露專門針對這種應用程式伺服器的大規模嘗試入侵活動，他們<a href="https://www.greynoise.io/blog/coordinated-brute-force-activity-targeting-apache-tomcat-manager">在6月5日</a>發現約有400個IP位址被用於暴力破解或嘗試登入Tomcat的管理介面。這些IP位址主要來自主機代管業者DigitalOcean的基礎設施，其中有298個IP位址用於嘗試登入，250個IP位址用於暴力破解攻擊。從GreyNoise公布的IP位址數量來看，顯然有部分的IP位址同時用兩種類型的活動。</p> <p>值得留意的是，雖然攻擊者並未鎖定Tomcat的弱點下手，但這波活動突顯他們對這種應用程式伺服器的高度興趣。由於這類活動往往是後續攻擊行動的前兆，攻擊者很可能會搭配其他資安弱點（例如今年3月公布的<a href="https://www.ithome.com.tw/news/167913">CVE-2025-24813</a>）來進行，因此IT人員應儘速採取相關防禦措施因應，例如：限縮存取Tomcat管理介面的來源、採用多因素驗證，以及監控是否有異常的登入事件記錄等。</p> </div></div></div>
2025/6/12 12:10作者周峻佑https://www.ithome.com.tw/news/169498
Safari 26原生支援WebGPU推進瀏覽器3D與AI算繪效能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Apple於WWDC 2025<a href="https://webkit.org/blog/16993/news-from-wwdc25-web-technology-coming-this-fall-in-safari-26-beta/#webgpu">宣布</a>，Safari 26將於macOS、iOS、iPadOS及visionOS版本預設啟用WebGPU。這項更新讓瀏覽器具備直接呼叫圖形處理單元（GPU）的能力，有助於提升3D圖形與前端運算效能，未來預期將對網頁應用開發及效能表現產生影響。</p> <p>WebGPU屬於新一代跨平臺網頁圖形標準，能以更貼近底層硬體的方式執行運算與圖形著色器，現已陸續在Chrome、Edge等主要瀏覽器桌面版本支援，但各平臺細節與預設開啟情形仍有所不同。</p> <p>WebGPU相較於WebGL，能繞過OpenGL ES等轉譯層，直接呼叫Metal等系統級繪圖API，有助於減少處理延遲與記憶體資源複製負擔。實際應用場景如即時光影、粒子模擬、物理運算等高負載網頁3D功能，預期可藉此獲得較佳互動體驗。主流前端函式庫如Three.js、Babylon.js，以及Unity等實驗性WebGPU方案已釋出，開發者可根據專案需求調整轉譯後端，評估是否啟用WebGPU功能。</p> <p>WebGPU也支援前端進行矩陣運算、影像處理等非圖形運算工作，更多運算任務可於本地端執行，降低對雲端資源的依賴，有助於減少延遲並強化使用者隱私。開發團隊提到，WebGPU由於能夠存取較底層的硬體資源，因此他們在設計時也特別重視安全性，避免產生新的攻擊途徑。此外，官方也透過調整驗證機制，在確保安全性的同時，減少執行負擔，讓效能更接近原生應用程式。</p> <p>在行動裝置方面，WebGPU與硬體能源管理與排程技術協同運作，根據設備運算能力與狀態調整算繪負載，協助提升iPhone、iPad或Apple Vision裝置的3D模型、動畫或運算內容表現，以兼顧裝置效能與續航。</p> <p>現在Safari 26預設啟用WebGPU，代表著該技術已進入主流瀏覽器發展階段，主要桌面瀏覽器皆具備WebGPU核心支援，不過支援範圍及成熟度仍因平臺有所差異。開發者可透過Safari Technology Preview測試WebGPU功能，並依專案需求評估相關開發指引，以發揮GPU運算潛力。</p> </div></div></div>
2025/6/12 11:52作者李建興https://www.ithome.com.tw/news/169492
Patch Tuesday不相容部分Windows 11 24H2 PC，微軟撤回再送
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本周釋出<a href="https://www.ithome.com.tw/news/169471" target="_blank">6月份Patch Tuesday安全更新</a>，卻有部分搭載Windows 11 24H2的PC因相容問題無法安裝，迫使微軟必須撤回再發送一次。</p> <p><a href="https://x.com/WindowsUpdate/status/1932521946509611190" target="_blank">微軟說明</a>，2025年6月安全更新以漸次方式部署到24H2（KB5060842）過程中，發現在部分執行24H2的裝置上有不相容問題，已經暫停對這些裝置部署更新，並改以例外（out-of-band，OOB）更新（KB5063060）方式安裝。</p> <p><a href="https://learn.microsoft.com/en-us/windows/release-health/windows-message-center#3570" target="_blank">根據周三微軟更新的相關網頁</a>，微軟已經於昨日發送了KB5063060更新版。</p> <p>本月的Patch Tuesday修補66項漏洞，包括一個已遭濫用的WebDAV遠端程式碼執行（RCE）漏洞CVE-2025-33053，以及一個已公開的Windows SMB提權攻擊漏洞CVE-2025-33073。</p> <p>這也是最新Patch Tuesday引發的用戶端問題。微軟上個月發布5月安全更新時，也在部分搭載Windows 11 22H2 及23H2 PC上安裝失敗，並出現和ACPI.sys有關的回復錯誤訊息(0xc0000098) ，主要影響Azure Virtual Machines、Azure Virtual Desktop和代管在Citrix、Hyper-V的本地部署VM。</p> </div></div></div>
2025/6/12 10:57作者林妍溱https://www.ithome.com.tw/news/169494
OpenAI開源權重的模型要延到夏天
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI推出開源權重模型的承諾，基於一些技術問題要延後到夏天了。</p> <p>有鑒於DeepSeek帶動的開源AI模型風潮，也讓封閉模型業者如OpenAI開始思考靠攏開放路線。<a href="https://www.wired.com/story/openai-sam-altman-announce-open-source-model/" target="_blank">OpenAI執行長Sam Altman 3月底宣布</a>，公司正在推進開源權重模型的專案，預計未來幾個月內開源一款具推理能力的模型之權重。初步預定為6月。</p> <p><a href="https://x.com/sama/status/1932573231199707168" target="_blank">周二Altman在X公告</a>，這個專案要再多花一點時間，預計要到今年夏天。他說研究團隊開發了「預期之外很讚」的東西，非常值得等待，只是要再等等。</p> <p>OpenAI面臨AI新創公司的激烈競爭，可能促使該公司加緊推進研發及業務發展。法國新創公司<a href="https://www.ithome.com.tw/news/169475" target="_blank">Mistral AI本周公布了第一款推理模型Magistral</a>，<a href="https://www.reuters.com/world/china/chinas-deepseek-releases-an-update-its-r1-reasoning-model-2025-05-29/" target="_blank">DeepSeek 也在上個月推出R1更新版</a>。</p> <p>另一方面OpenAI也藉由收購擴大產品能力，包括<a href="https://www.ithome.com.tw/news/169088" target="_blank">買下前Apple首席設計師Jony Ive的AI裝置新創公司io</a>，以及傳言以30億美元買下程式AI輔助撰寫平臺Windsurf。</p> </div></div></div>
2025/6/12 11:16作者林妍溱https://www.ithome.com.tw/news/169495
HPE修補備份平臺StoreOnce重大層級的身分驗證繞過漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了讓受害組織增加恢復資料的難度，勒索軟體駭客往往會針對備份系統下手，清除企業組織備份的內容，一旦這類系統出現資安弱點，就很有可能被駭客拿來利用。因此，IT人員也要特別留意相關的資安弱點資訊。</p> <p>HPE針對儲存備份系統StoreOnce<a href="https://support.hpe.com/hpesc/public/docDisplay?docId=hpesbst04847en_us&docLocale=en_US">發布資安公告</a>，修補8項由趨勢科技旗下漏洞懸賞專案Zero Day Initiative（ZDI）通報的弱點，這些漏洞可被用於繞過身分驗證、遠端程式碼執行（RCE）、伺服器請求偽造（SSRF）、路徑穿越、任意檔案刪除，以及資訊洩露，影響HPE StoreOnce G4/4+，該公司發布4.3.11版予以修補。</p> <p>StoreOnce是高效能備份暨資料保護解決方案，可靈活透過實體設備、虛擬設備，以及雲端環境進行部署，也能整合Cloud Bank Storage以混合雲型態建置。其特點是能透過刪除重複資料來大幅降低資源需求，並內建可防堵勒索軟體攻擊的威脅防護機制，支援應用程式感知備份。</p> <p>根據CVSS風險評分，這批漏洞最危險的是身分驗證繞過漏洞CVE-2025-37093，風險值高達9.8分（滿分10分）。在HPE的資安公告裡，並未對這些漏洞說明其他細節，而ZDI<a href="https://www.zerodayinitiative.com/advisories/ZDI-25-316/">在公告提及</a>，這項弱點存在於StoreOnce的虛擬儲存設備Virtual Storage Appliance（VSA）版本，攻擊者能遠端利用，並在無需事先通過身分驗證的情況下觸發。</p> <p>此漏洞發生在名為machineAccountCheck的方法，起因是其中一項身分驗證的演算法實作不當。ZDI於去年10月通報HPE，並在雙方協調之下於今年6月正式發布相關公告。</p> <p>雖然目前這項漏洞尚未傳出遭到利用的情況，也尚無概念驗證程式碼（PoC），但<a href="https://arcticwolf.com/resources/blog/cve-2025-37093/">資安業者Arctic Wolf提出警告</a>，攻擊者很有可能串連其他危險係數較低的漏洞，從而達到遠端執行程式碼、洩露資訊，或是路徑穿越等目的。由於備份系統近年來不斷成為攻擊目標，他們認為駭客可能不久就會試圖利用這項漏洞。</p> <p>除了重大層級的CVE-2025-37093，占據本次發布漏洞總數一半的RCE漏洞，也相當值得留意，這些都是高風險漏洞，風險值皆為7.2分，這些漏洞被登記為CVE-2025-37089、CVE-2025-37091、CVE-2025-37092、CVE-2025-37096列管。</p> </div></div></div>
2025/6/11 22:44作者周峻佑https://www.ithome.com.tw/news/169491
Android 16正式發布先提供Pixel手機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/android/android-16/" target="_blank">Google宣布Android 16正式發布</a>，已優先推向Pixel手機用戶，提供全新設計語言、新通知介面、Log紀錄，以及支援平板分割螢幕等功能。</p> <p>Android 16也是近幾年來公布最早的重大更新。而除了Pixel手機用戶，接下來也會逐步推向三星、小米、OnePlus、Motorola及其他Android手機。</p> <p>Android 16介面採用最新的Material 3 Expressive設計語言。Android 16也提供了多項新功能及功能更新。首先是即時通知（Live Updates），可即時顯示相容第三方服務的更新狀態，不必每5分鐘點開App查看一次。第一批相容服務是叫車類及餐點外送。Google並說，會逐步將這功能推向其他Android手機業者開發的通知，如三星的Now、OPPO和OnePlus的Live Alerts。此外Android 16也會將單一App的通知自動集結起來以減少資訊量過載。</p> <p>其次為輔助（accessibility）功能。Android 16將可改善助聽器使用經驗；現有使用藍牙LE Audio的助聽器，是以內建前向式麥克風來收聽來自前方的聲音，但無法收聽使用者本身的聲音。現在在嘈雜環境中，用戶可以用Android 16手機的麥克風取代助聽器。Android 16加入原生的助聽器控制功能，允許在手機上控制助聽器音量。</p> <p>Android 16現在加入進階防護（Advanced Protection）功能，號稱是Google最強行動裝置安全功能，可協助防護線上攻擊、有害App、惡意網站、詐騙電話等。<a href="https://security.googleblog.com/2025/05/advanced-protection-mobile-devices.html" target="_blank">根據Google網頁</a>，進階防護功能可運用於Chrome、Google Message、Phone by Google等，Google也計畫未來整合第三方App。</p> <p>Google也推出Android裝置專用，號稱業界第一個入侵紀錄（Intrusion Logging）。它將裝置log加密防護保存，只有用戶可以存取，這可在裝置遭駭時，提供鑑識分析。</p> <p>Android 16另外新增平板專用的電腦分割視窗（desktop windowing）。這是Google和三星合作，以三星DeX為基礎開發，可在單一Android平板上開啟多個應用程式視窗並調整大小，一如在桌機上，</p> <p>本項功能也會在今年推向其他相容裝置。此外Google預告今年內還會推出自訂鍵盤快速鍵，以及工作列溢位管理（taskbar overflow），後者方面工作列開滿時快速找到想要的App。此外，<a href="https://android-developers.googleblog.com/2025/06/developer-preview-enhanced-android-desktop-experiences-connected-displays.html" target="_blank">Google也正在公測</a>連結Android手機/平板和外接顯示器的功能。</p> <p>Google預告今年內還會為Android 16及Wear OS 6，加入更多Material 3 Expressive設計更新。</p> <p>除了Android 16，<a href="https://blog.google/intl/zh-tw/products/devices-services/pixel-drop-june-2025/" target="_blank">Google同時也釋出</a>Pixel手機功能更新（Pixel Drop），包括放大鏡支援搜尋、Pixel VIP聯絡人小工具等、新增的照片編輯能力、以及能消除背景噪音的錄音工具等。</p> </div></div></div>
2025/6/12 10:16作者林妍溱https://www.ithome.com.tw/news/169493
竊資軟體AMOS冒充美國電信業者，針對macOS用戶展開ClickFix網釣攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安公司CloudSEK<a href="https://www.cloudsek.com/blog/amos-variant-distributed-via-clickfix-in-spectrum-themed-dynamic-delivery-campaign-by-russian-speaking-hackers">揭露</a>一波針對macOS用戶的攻擊事件，駭客集團假冒美國電信業者Spectrum註冊相關網域，結合ClickFix網釣流程，散布新版Atomic macOS Stealer（AMOS）惡意程式。攻擊行動自5月下旬開始活躍，駭客設置與Spectrum相關的釣魚網站，誘使受害者下載並執行AMOS惡意程式，進而竊取憑證、瀏覽器快取、加密貨幣錢包及其他敏感資料。</p> <p>研究人員指出，駭客註冊多個與Spectrum高度相似的假冒網域，誘導用戶進入釣魚網站。網站會引導用戶進行驗證操作，畫面設計模仿常見驗證介面，誘使點擊替代驗證按鈕，實則將攻擊腳本複製到剪貼簿，並要求用戶在終端機執行。</p> <p>駭客會根據用戶作業系統，自動切換不同的攻擊腳本，本次攻擊主力鎖定macOS用戶，攻擊流程會透過bash指令下載惡意殼層腳本，該腳本會反覆提示用戶輸入系統密碼，並以macOS本地驗證指令確認密碼正確性。在取得有效密碼後，腳本將憑證儲存至暫存目錄，隨後自遠端伺服器下載惡意執行檔，利用sudo權限清除安全隔離標記，並將其設為可執行檔後執行。</p> <p>研究人員提到，攻擊者在6月初設立偽造的Homebrew軟體庫，利用廣告釣魚誘導以Homebrew為開發工具的開發者誤入假網域，下載並執行惡意安裝腳本，造成AMOS變種程式植入系統。該假冒軟體庫會切換指向真正Homebrew安裝頁面，或攻擊者控制的伺服器，提升釣魚網站的真實性並增加追蹤困難度。</p> <p>假冒網站原始碼存在俄語註解，且其命令與控制伺服器資訊與過往俄語地區駭客團體所用特徵相符，研究人員認為本次行動疑似由俄語地區駭客發動。部分攻擊網頁前端存在邏輯錯誤，例如針對不同作業系統顯示不一致的指令提示，或向macOS用戶顯示Windows快捷鍵操作，凸顯出攻擊基礎架構組裝較為倉促，但其社交工程誘騙與針對性設定仍有高安全風險。</p> </div></div></div>
2025/6/11 18:46作者李建興https://www.ithome.com.tw/news/169490
【資安日報】6月11日，微軟修補已遭利用的WebDAV零時差漏洞，若不處理攻擊者可遠端執行任意程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週二有許多軟體業者發布6月份資安更新，其中微軟發布的內容尤其值得留意，因為其中包含了已被用於攻擊行動的資安漏洞。再者，SAP發布的公告也引起關注，原因是他們再度為NetWeaver修補重大漏洞。此外，本週有兩組研究人員公布Salesforce弱點的消息，也值得用戶留意。</p> <p>而在資安事故的消息上，零售業者遭到攻擊的事故，從時尚精品和運動服飾品牌轉向了保健食品業者；而在國內的部分，光電封測大廠聯鈞光電透露，5月下旬他們二度遭到攻擊。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169469"><strong style="font-size: 22px;">健康食品批發龍頭United Natural Foods遭網路攻擊，出貨受影響</strong></a></p> <p>北美最大健康食品批發通路商United Natural Foods Inc（UNFI）本月初遭到網路攻擊，迫使暫時關閉系統，已影響出貨及業務運作。</p> <p>UNFI在提交美國證管會的報告指出，該公司今年6月5日在部分IT系統發現未授權活動，立即採取應變，關閉部分和客戶訂單交付相關的系統。</p> <p>UNFI表示，此事件已經對公司營運有短期影響，預估情形還會持續。UNFI目前已援引外部網路安全專家的協助，進行評估與緩解、修復事件影響，也已通報執法機關。該公司正努力回復系統，而因應事件，UNFI也實作替代方案，以便交付訂單。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=122607&SPOKE_DATE=20250609&COMPANY_ID=3450"><strong style="font-size: 22px;">針對駭客兜售內部資料的情況，聯鈞光電發布資安重訊說明，指出在著手強化防禦過程再度遭到攻擊</strong></a></p> <p>6月9日矽光子及光電封測大廠聯鈞光電發布資安重訊，針對有媒體報導駭客於地下論壇公然兜售竊得資料的情況進行說明，他們提及1月19日<a href="https://www.ithome.com.tw/news/167064">遭受勒索軟體攻擊</a>後，就尋求外部資安業者協助，強化網路與資安架構，但在尚於著手改善的過程裡，又於5月16日面臨另一勒索軟體入侵的情況。針對這起事故可能造成的影響，聯鈞表示根據他們的評估，對公司營運無重大影響，但他們提及有疑似資料外洩的情況，將進行深入調查。</p> <p>究竟聯鈞提及的報導為何？我們推測很有可能是民視新聞網<a href="https://www.ftvnews.com.tw/news/detail/2025607W0132">於6月7日的報導</a>，當中提及於今年1月駭客組織Akira對聯鈞光電發動攻擊，他們當時在駭客論壇兜售90 GB資料，號稱內含大量保密協議（NDA）、公司機密授權文件，開價1千美元。</p> <p>另一組聲稱攻擊聯鈞的勒索軟體駭客組織是Crypto，這批歹徒於5月28日表示手上握有700 GB聯鈞內部資料。但聯鈞遭遇的資安事故是否就是這些勒索軟體駭客所為，該公司並未說明。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/fin6-hackers-pose-as-job-seekers-to-backdoor-recruiters-devices/">駭客組織FIN6假借求職名義從事社交工程攻擊，意圖散布惡意軟體More_eggs</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://FBI: BADBOX 2.0 Android malware infects millions of consumer devices">針對綁架全球逾百萬臺連網裝置的殭屍網路BadBox 2.0，FBI警告用戶要加強防範，以免裝置被綁架用於網路犯罪</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169471"><strong style="font-size: 22px;">微軟發布6月例行更新，修補已被實際利用的WebDAV零時差漏洞</strong></a></p> <p>6月10日微軟發布本月例行更新（Patch Tuesday），修補67個漏洞，數量較上個月78個有所減少。從漏洞的類型來看，遠端程式碼執行（RCE）漏洞25個最多，約占整體四成；其次是資訊洩露漏洞、權限提升漏洞，分別有17個、15個；其餘有6個是阻斷服務（DoS）漏洞、2個安全功能繞過漏洞，以及2個可被用於欺騙的漏洞。從危險的程度而言，其中有10個是重大層級，8個是遠端程式碼執行漏洞、2個是權限提升漏洞。</p> <p>值得留意的是，這次有兩個零時差漏洞，其中一個已被用於實際攻擊活動，另一個在修補前就被公開。這些漏洞分別是：WebDAV遠端程式碼執行漏洞CVE-2025-33053，以及SMB用戶端權限提升漏洞CVE-2025-33073。</p> <p>其中，CVE-2025-33053是資安業者Check Point發現及通報，對於漏洞發現的過程，Check Point表示，他們於今年3月看到被稱為Stealth Falcon（FruityArmor）的APT駭客，用於攻擊一家土耳其國防公司。</p> <p><a href="https://www.ithome.com.tw/news/169478"><strong style="font-size: 22px;">兩組研究人員公布Salesforce零時差漏洞，涉及SOQL物件查詢注入攻擊、低程式碼平臺組態配置不當</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/salesforce-emails.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/salesforce-emails.png" style="width: 300px; float: right;" /></a>為了進一步挖掘受害企業的機敏資訊，駭客可能會鎖定客戶關係管理系統（CRM）平臺Salesforce下手，竊取其中的內容，一旦這類系統出現資安漏洞，就有可能成為駭客利用的標的。</p> <p>最近有兩組研究人員揭露與Salesforce有關的漏洞，其中又以資安研究員Tobia Righi公布的零時差漏洞引起關注，這項弱點發生在Salesforce預設的控制器，此控制器將contentDocumentId參數直接嵌入動態的Salesforce Object Query Language（SOQL）查詢，卻未經過適當處理，導致可被惡意操控。Tobia Righi先後於2月下旬及4月初向Salesforce通報此事，直到最近似乎Salesforce默默地完成修補，Tobia Righi才公布漏洞細節。研究人員指出，Salesforce並未發布資安公告提及此事，也沒有登記CVE編號。</p> <p>另一組漏洞的揭露，來自SaaS應用程式資安業者AppOmni，他們在Salesforce為特定產業提供的雲端解決方案Industry Clouds當中，找到21項與組態配置有關的弱點，有可能導致未經授權的攻擊者存取加密表單、竊取連線階段（Session）、帳密資料，甚至是掌握商業運作邏輯。AppOmni向Salesforce通報並進行合作，結果有5個登記了CVE編號列管，其中有3項完成修補、2項Salesforce發布組態配置指引，而對於未登記編號的16項組態弱點，Salesforce認為並非是軟體錯誤，應由客戶負責處理。</p> <p><a href="https://www.ithome.com.tw/news/169474"><strong style="font-size: 22px;">SAP修補NetWeaver重大層級漏洞</strong></a></p> <p>本週二（6月10日）SAP發布6月份Security Patch Day每月例行更新，總共發布14則公告，其中最受到關注的部分，是應用程式伺服器NetWeaver的重大漏洞CVE-2025-42989，由於SAP從4月底至5月上旬，先後修補已被用於攻擊行動的NetWeaver資安漏洞CVE-2025-31324、CVE-2025-42999（CVSS風險值為10分、9.1分），由於上述事故的發生，使得與這套應用程式伺服器相關的嚴重漏洞，近期特別受到關注。</p> <p>CVE-2025-42989存在於NetWeaver Application Server for ABAP，為缺乏授權檢查的漏洞，影響核心為7.89、7.93、9.14、9.15版的應用程式伺服器系統，CVSS風險評為9.6分。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/06/adobe-releases-patch-fixing-254.html">Adobe發布6月例行更新，修補254個漏洞創下今年新高</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://kb.cert.org/vuls/id/211341">Insyde H2O UEFI韌體存在資安弱點，攻擊者可用於憑證注入攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/ivanti-workspace-control-hardcoded-key-flaws-expose-sql-credentials/">Ivanti Workspace Control存在寫死金鑰弱點，搭配的SQL資料庫恐曝險</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169470"><strong style="font-size: 22px;">F5買下代理程式型態AI的資安新創Fletch</strong></a></p> <p>資安大廠F5本月初宣布收購以代理人AI為核心的新創業者Fletch，期望降低資安管理的複雜性。</p> <p>對於併購案金額，雙方並未透露相關資訊。F5今年初整合負載平衡、流量管理及應用與API安全能力成為應用遞送與安全平臺（Application Delivery and Security Platform，ADSP），旨在以平臺簡化眾多企業應用的管理複雜性，在買下Fletch後，Fletch技術將整合進F5的ADSP架構，推進其產品藍圖。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169459"><strong>【6月10日】中國駭客鎖定資安業者SentinelOne及超過70個企業組織從事大規模攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169436"><strong>【6月9日】中國驚傳大規模資料外洩，40億筆民眾個資在網際網路短暫裸奔</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169399"><strong>【6月6日】鎖定求職者的網釣不再只針對IT人員，出現向企業財務高層以挖角為誘餌的網路攻擊</strong></a></p> </div></div></div>
2025/6/11 17:19作者周峻佑https://www.ithome.com.tw/news/169486
兩組研究人員公布Salesforce零時差漏洞，涉及SOQL物件查詢注入攻擊、低程式碼平臺組態配置不當
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了進一步挖掘受害企業的機敏資訊，駭客可能會鎖定客戶關係管理系統（CRM）平臺<a href="https://www.ithome.com.tw/tags/salesforce">Salesforce</a>下手，竊取其中的內容，最近一起針對該平臺而來的資安事故，是<a href="https://www.ithome.com.tw/news/169228">駭客組織Gehenna（GHNA）從可口可樂裝瓶合作夥伴Coca-Cola Europacific Partners（CCEP）竊得內部資料</a>。一旦這類系統出現資安漏洞，就有可能成為駭客利用的標的。</p> <p>最近有兩組研究人員揭露與Salesforce有關的漏洞，其中又以<a href="https://mastersplinter.work/research/salesforce-sqli/">資安研究員Tobia Righi公布的零時差漏洞</a>引起關注，這項弱點發生在Salesforce預設的控制器，此控制器將contentDocumentId參數直接嵌入動態的Salesforce Object Query Language（SOQL）查詢，卻未經過適當處理，導致可被惡意操控。Tobia Righi先後於2月下旬及4月初向Salesforce通報此事，直到最近似乎Salesforce默默地完成修補，Tobia Righi才公布漏洞細節。研究人員指出，Salesforce並未發布資安公告提及此事，也沒有登記CVE編號，當他詢問能否參與漏洞懸賞專案，Salesforce竟回覆：該專案不再受理漏洞通報。</p> <p>這項資安漏洞的發現，源自於Tobia Righi對於Salesforce提供的Aura框架進行模糊測試（Fuzzing），察覺其中一項內建的控制器存在SOQL注入弱點，並指出攻擊者若是能繞過SOQL的管制，就有可能取得敏感的用戶資料，以及上傳檔案的詳細資訊。這種問題影響將相當廣泛，成千上萬的Salesforce平臺都可能曝險。研究人員最終透過特製的輸入觸發錯誤訊息，成功找出能用於SOQL注入的資安弱點。</p> <p>另一組漏洞的揭露，來自SaaS應用程式資安業者AppOmni，他們在Salesforce為特定產業提供的雲端解決方案Industry Clouds當中，<a href="https://appomni.com/blog/low-code-high-stakes-salesforce-security/">找到21項與組態配置有關的弱點</a>，有可能導致未經授權的攻擊者存取加密表單、竊取連線階段（Session）、帳密資料，甚至是掌握商業運作邏輯。AppOmni向Salesforce通報並進行合作，結果有5個登記了CVE編號列管，其中有3項完成修補、2項Salesforce發布組態配置指引，而對於未登記編號的16項組態弱點，Salesforce認為並非是軟體錯誤，應由客戶負責處理。</p> <p>Industry Clouds是Salesforce以Customer 360平臺為基礎建構的垂直整合解決方案，結合CRM與產業專屬功能，讓企業能以低程式碼（Low-code）方式快速部署符合業務需求的應用程式。由於Industry Clouds廣泛用於金融、醫療保健、製造、電信、公共服務等領域，因此這些配置不當的弱點，影響範圍可能會相當廣泛。</p> <p>針對這次AppOmni找到的弱點，研究人員指出存在於FlexCards、Data Mappers、Integration Procedures、Data Packs、OmniOut，以及OmniScript Saved Sessions功能。其中被登記CVE編號的弱點，有4項出現於FlexCards，1項與Data Mappers有關，CVSS風險介於5.3至7.5分。</p> </div></div></div>
2025/6/11 16:19作者周峻佑https://www.ithome.com.tw/news/169478
Apple整合開發環境Xcode 26導入AI助理，增強自動化開發與多平臺支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Apple於WWDC 2025<a href="https://developer.apple.com/videos/play/wwdc2025/247/?time=110">發表</a>Xcode 26，該版本將人工智慧助理整合進開發環境，正式支援ChatGPT並開放API連接第三方語言模型，提升程式碼自動生成、錯誤修正、文件產生及專案導覽等工作效率。這項更新有助於提升開發人員的生產力，並改變團隊協作與專案維護的模式。</p> <p>根據Apple官方說明，Xcode 26的<a href="https://developer.apple.com/documentation/Xcode/writing-code-with-intelligence-in-xcode">智慧程式開發（Coding Intelligence）</a>功能可讓開發者在側邊欄啟用人工智慧助理，透過自然語言與人工智慧互動，請求程式碼範例、解釋專案架構、產生或修改特定函式，並協助除錯與自動產生文件。開發者可選用預設的ChatGPT模型，或自訂加入如Anthropic、Ollama等本地或雲端模型，並透過API金鑰彈性切換與管理模型來源。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0611-Apple-Xcode%2026-Coding%20Intelligence.png" style="width: 600px;" /></p> <p>在實際應用上，人工智慧助理可依據專案內容給予建議與修改，支援多輪對話及上下文理解。每次人工智慧互動均自動保存對話紀錄及程式碼變更歷程，開發者可隨時回顧、還原或比對各階段程式狀態，降低人為疏失，方便團隊追蹤問題。針對安全性及專案管理需求，Xcode提供手動審核或自動套用變更的選項，使用者可依專案政策調整設定。</p> <p>新版Xcode提升專案導覽、符號查詢與即時測試體驗。透過按住Control鍵再用滑鼠點擊，或工具列可呼叫出人工智慧助理，針對指定函式、類別或檔案說明架構，或提供最佳化建議。針對SwiftUI或複雜UI開發需求，人工智慧可自動生成Playground巨集或UI預覽程式碼，供開發者驗證介面與互動邏輯。遇到編譯錯誤或警告時，使用者可直接請人工智慧生成修正建議並決定是否套用於專案，提升錯誤修正效率與一致性。</p> <p>文件生成也是智慧助理的功能更新。開發者僅需選取特定符號（Symbol），即可自動產生符合DocC規範的API說明文件，涵蓋類別、屬性與方法，減輕團隊文件維護負擔，提升專案可讀性與維護品質。Xcode 26還加強安全性與多平臺開發支援，提供更完整的開發工具整合方案。</p> </div></div></div>
2025/6/11 13:39作者李建興https://www.ithome.com.tw/news/169473
IBM將於2029年交付史上首個可容錯的大型量子電腦Quantum Starling
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://newsroom.ibm.com/2025-06-10-IBM-Sets-the-Course-to-Build-Worlds-First-Large-Scale,-Fault-Tolerant-Quantum-Computer-at-New-IBM-Quantum-Data-Center" target="_blank">IBM周二（6/10）公布其量子電腦發展藍圖</a>，指出計畫在2029年時，於紐約Poughkeepsie的新IBM Quantum資料中心，交付一臺名為Quantum Starling的大型容錯量子電腦。該系統將可透過200個邏輯量子位元（Logical Qubit）執行1億個量子邏輯閘（Quantum Gate），運算能力預期可達到目前量子電腦的2萬倍。</p> <p>IBM解釋，1個邏輯量子位元是由多個物理量子位元（Qubit）組成，它具備錯誤修正能力，能夠穩定儲存與運算量子資訊；實現大型量子電腦的關鍵，在於使用最少的物理量子位元，來打造出更多低錯誤率的邏輯量子位元，如今IBM率先提出一個可行的藍圖，能以合理的工程資源建置容錯量子電腦。</p> <p>Quantum Starling不僅運算能力是現代量子電腦的2萬倍，若要完整表示Quantum Starling量子電腦的計算狀態，將需要超過10^48臺全球最強大超級電腦的記憶體容量。</p> <p>建置Quantum Starling還有許多技術需要克服，IBM執行長Arvind Krishna表示，該公司在數學、物理與工程上的專業知識正在為大型的容錯量子電腦舖路。一個具備數百或數千個邏輯量子位元的電腦可執行數億至數十億次的操作，可望提升藥品開發、材料發現或化學等領域的速度及成本效率。</p> <p>根據IBM所展示的Quantum Starling開發藍圖，該公司將於2025年推出Quantum Loon晶片，藉由C-coupler技術來連結晶片內距離較遠的量子位元；於2026年發表能夠結合量子記憶體及邏輯運算的IBM Quantum Kookaburra量子處理器模組；2027年發表IBM Quantum Cockatoo，展示多模組連接與跨模組操作；在2028年進行Quantum Starling的概念性驗證。</p> <p><a href="https://www.technologyreview.com/2025/06/10/1118297/ibm-large-scale-error-corrected-quantum-computer-by-2028/" target="_blank">IBM量子計畫副總裁 Jay Gambetta向MIT Technology Review說明</a>，Starling將由一個模組網路組成，每個模組都包含一組晶片，IBM已開始建構該空間。此外，Gambetta也強調，IBM已經破解了量子糾錯的密碼，擁有於大型電腦上建置糾錯功能的所有組件，已自科學轉向工程階段。</p> <p>如同AI，量子電腦也吸引所有大型科技業者及新創業者的投入，像是<a href="https://www.ithome.com.tw/news/164961" target="_blank">微軟</a>、<a href="https://www.ithome.com.tw/news/166434" target="_blank">Google</a>或是<a href="https://www.ithome.com.tw/news/167637" target="_blank">Amazon</a>，新創則有D-Wave、Quantinuum與IonQ等。</p> </div></div></div>
2025/6/11 13:51作者陳曉莉https://www.ithome.com.tw/news/169476
微軟發布6月例行更新，修補已被實際利用的零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>6月10日微軟發布<a href="https://msrc.microsoft.com/update-guide/releaseNote/2025-Jun">本月例行更新（Patch Tuesday）</a>，修補67個漏洞，數量較<a href="https://www.ithome.com.tw/news/168932">上個月78個</a>有所減少。從漏洞的類型來看，遠端程式碼執行（RCE）漏洞25個最多，約占整體四成；其次是資訊洩露漏洞、權限提升漏洞，分別有17個、15個；其餘有6個是阻斷服務（DoS）漏洞、2個安全功能繞過漏洞，以及2個可被用於欺騙的漏洞。從危險的程度而言，其中有10個是重大層級，8個是遠端程式碼執行漏洞、2個是權限提升漏洞。</p> <p>值得留意的是，這次有兩個零時差漏洞，其中一個已被用於實際攻擊活動，另一個在修補前就被公開。這些漏洞分別是：WebDAV遠端程式碼執行漏洞CVE-2025-33053，以及SMB用戶端權限提升漏洞CVE-2025-33073。</p> <p>其中，CVE-2025-33053是資安業者Check Point發現及通報。這項弱點攻擊者可在未經授權的情況下利用，透過WebDAV資料夾檔案名稱或路徑的外部控制，從而透過網路執行任意程式碼，CVSS風險評為8.8。對於漏洞發現的過程，<a href="https://research.checkpoint.com/2025/stealth-falcon-zero-day/">Check Point表示</a>，他們於今年3月看到被稱為Stealth Falcon（FruityArmor）的APT駭客，用於攻擊一家土耳其國防公司，過程中攻擊者藉由操弄Windows內建工具的工作資料夾，而能在他們控制的WebDAV伺服器執行檔案。</p> <p>另一個在修補前就被公開的漏洞CVE-2025-33073，形成的原因是SMB存取控制不當，通過身分驗證的攻擊者能透過網路達到權限提升的目的，風險值為8.8。攻擊者可利用惡意指令碼讓受害電腦連回攻擊者的系統，並透過SMB進行身分驗證。雖然微軟公布的資訊並不多，但根據<a href="https://borncity.com/win/2025/06/10/attention-june-2025-patchday-closes-vulnerability-cve-2025-33073-in-windows/">科技部落格Born City的報導</a>，德國研究網路電腦緊急應變團隊DFN-CERT於6月6日透過電子郵件警告此事，指出資安業者RedTeam Pentesting GmbH找到並通報這項漏洞，呼籲使用者在微軟發布更新後要儘速修補。</p> </div></div></div>
2025/6/11 11:35作者周峻佑https://www.ithome.com.tw/news/169471
SAP修補NetWeaver重大層級漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週二（6月10日）<a href="https://www.ithome.com.tw/tags/sap">SAP</a>發布<a href="https://support.sap.com/en/my-support/knowledge-base/security-notes-news/june-2025.html">6月份Security Patch Day每月例行更新</a>，總共發布14則公告，其中最受到關注的部分，是應用程式伺服器NetWeaver的重大漏洞CVE-2025-42989，由於SAP從4月底至5月上旬，先後修補已被用於攻擊行動的NetWeaver資安漏洞<a href="https://www.ithome.com.tw/news/168625">CVE-2025-31324</a>、<a href="https://www.ithome.com.tw/news/168935">CVE-2025-42999</a>（CVSS風險值為10分、9.1分），因此與這套應用程式伺服器相關的嚴重漏洞，很容易受到關注。</p> <p>CVE-2025-42989存在於NetWeaver Application Server for ABAP，為缺乏授權檢查的漏洞，影響核心為7.89、7.93、9.14、9.15版的應用程式伺服器系統，CVSS風險評為9.6分。資安業者Onapsis<a href="https://onapsis.com/blog/sap-security-notes-june-2025-patch-day/">說明這項漏洞的細節</a>，指出此弱點出現於SAP遠端功能呼叫（Remote Function Call，RFC）框架，在特定的情況下，通過身分驗證的攻擊者能藉此繞過標準的授權檢查流程，從而提升權限，進而對系統完整性與可用性構成重大威脅。不過，稍微值得慶幸的是，目前尚未出現漏洞被用於實際攻擊的情況。</p> <p>對於其他SAP修補的項目，涵蓋資訊洩露、跨網站指令碼（XSS）、伺服器請求偽造（SSRF）、路徑穿越，以及缺乏授權檢查的問題。這些漏洞出現在GRC外掛程式、Business Warehouse、BusinessObjects、Visual Composer，以及MDM Server等應用系統。</p> </div></div></div>
2025/6/11 12:48作者周峻佑https://www.ithome.com.tw/news/169474
Mistral AI釋出首個推理模型家族Magistral
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>法國AI新創Mistral AI周二（6/10）<a href="https://mistral.ai/news/magistral" target="_blank">釋出該公司首個推理模型家族Magistral</a>，包括具備240億個參數的開源版Magistral Small，以及專供企業使用的Magistral Medium。</p> <p>Mistral AI指出，最好的人類思維並非線性的，它貫穿於邏輯、洞察、不確定及發現之中，推理語言模型可強化AI的複雜思維及深入理解，從而改善解決問題所需的精確、逐步考慮與分析能力。簡單地說，相較於通用模型，Magistral推理模型針對多步驟邏輯進行了微調，提高可解釋性，並以使用者的語言提供可追溯的思考過程。</p> <p>目前市場上標榜自己是推理模型或針對推理改善的模型，包括DeepSeek-R1、DeepSeek-V3、OpenAI o3及Gemini 2.5 Pro等，Mistral AI以Magistral Medium與Mistral Medium 3、DeepSeek-R1、DeepSeek-V3，以及Majority Voting@4、Majority Voting@64作比較，發現它不管是在AIME2024、AIME2025、GPQA Diamond、LiveCodeBench或Aider-Polyglot等基準測試上都有傑出的表現，僅稍微落後DeepSeek-R1。</p> <p>Mistral AI於自家聊天機器人Le Chat中，針對Magistral Medium模型進行了速度上的最佳化，只要啟用設定中的Think mode及Flash Answers，其回應速度將是競爭產品的10倍快。</p> <p>使用者現在可<a href="https://huggingface.co/mistralai/Magistral-Small-2506" target="_blank">透過Hugging Face免費存取Magistral Small</a>，或是藉由Le Chat及API試用Magistral Medium預覽版。此外，Mistral AI也已經或即將於Amazon SageMaker、IBM WatsonX、Azure AI 及Google Cloud Marketplace上部署了Magistral Medium。</p> <p>本周<a href="https://www.ithome.com.tw/news/169442" target="_blank">蘋果才發表了一個有關推理AI模型的研究報告</a>，指出許多標榜長鏈思考及自我反省能力的推理模型，只能處理簡單問題，遇見複雜問題就會破功，而且多半無法將推理能力延伸到訓練資料以外。</p> </div></div></div>
2025/6/11 12:51作者陳曉莉https://www.ithome.com.tw/news/169475
F5買下代理程式型態AI的資安新創Fletch
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.f5.com/company/blog/how-agentic-ai-simplifies-cybersecurity-and-modern-threat-management" target="_blank">資安大廠F5本月初宣布收購以代理人AI為核心的新創業者Fletch</a>，期望降低資安管理的複雜性。</p> <p>隨著AI、混合雲與多雲環境的興起及分散式架構日愈複雜，企業資料、應用及API安全管理也更加困難。Fletch代理人AI方案結合代理人AI、自然語言和進階分析，可將外部威脅情報及內部系統log，整合成即時、按照優先排序的洞見及行動建議。</p> <p>總部位於舊金山的Fletch創立於2020年，其技術核心是使用眾多代理人掃瞄、蒐集威脅訊號及提供威脅的分析，例如對特定企業的影響。其方案整合到F5的ADSP平臺後，將可減輕管理負擔，並且藉由即時分析洞見及提供安全建議，加速事件回應。</p> <p>本收購金額不詳。F5今年初整合負載平衡、流量管理及應用與API安全能力成為應用遞送與安全平臺（Application Delivery and Security Platform，ADSP），旨在以平臺簡化眾多企業應用的管理複雜性。收購後，Fletch技術將整合進F5的ADSP架構，推進其產品藍圖。</p> </div></div></div>
2025/6/11 11:07作者林妍溱https://www.ithome.com.tw/news/169470
OpenAI公布o3-pro模型 o3降價80%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/OpenAI/status/1932530423911096508" target="_blank">OpenAI昨日宣布最新推理模型o3-pro</a>，價格比o1-pro便宜87%，同時間o3模型費用也降價80%。</p> <p>OpenAI o3-pro是用於取代o1-pro，在底層模型上則和o3相同。o3-pro即日起已可供ChatGPT Pro和Team方案用戶在模型選單中選取。Enterprise和Edu用戶將可在下周使用。此外，o3-pro也透過Responses API開放給開發人員。</p> <p>價格方面，相較於o1-pro去年12月推出時，輸入/輸出價格為每百萬token 150/600美元，o3-pro價格則為20/80美元，大約便宜了87%。</p> <p>如同o1-pro，o3-pro是OpenAI最強的智能模型。其設計宗旨是思考得更久，並提供更可靠的回應。從o1-pro推出以來，獲得理工領域如數學、科學和程式開發用戶的偏愛。而和o3一樣，o3-pro可使用工具，如搜尋網頁、分析檔案、理解視覺輸入、使用Python，提供ChatGPT的用處，它也使用模型來提供個人化回應。</p> <p>由於o3-pro使用工具，因此完成一項回應所需時間較o1-pro來得長。OpenAI建議將o3-pro用在更複雜、需要可靠度而非速度的問題，然後等上數分鐘獲取更好的答案。</p> <p>OpenAI說，專家評估中，o3-pro在每項測試領域的效能都持續優於o3，而在科學、教育、商業和寫作輔助方面尤其如此。o3-pro在清楚度、完整性、指令遵從及準確性等指標，也都獲得更高的評價。</p> <p>目前由於技術因素，o3-pro暫不提供臨時交談。o3-pro此時不支援圖片生成，有需求者應改用GPT-4o、OpenAI o3或OpenAI o4-mini。此外o3-pro也暫時不支援Canvas（工作區）功能。</p> <p>因應o3-pro的推出，<a href="https://x.com/sama/status/1932434606558462459" target="_blank">OpenAI執行長Sam Altman宣布o3大降價</a>。根據<a href="https://community.openai.com/t/o3-is-80-cheaper-and-introducing-o3-pro/1284925" target="_blank">OpenAI的價目表</a>，o3輸入百萬Token的價格由10美元降為2美元，輸出百萬Token價格則由40美元降為8美元。同時OpenAI也優化了o3的推理技術堆疊。</p> </div></div></div>
2025/6/11 09:42作者林妍溱https://www.ithome.com.tw/news/169466
法國準備出手限制15歲以下兒童使用社交媒體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>法國總統馬克宏（Emmanuel Macron）周二（6/10）對外表示，倘若歐盟不採取行動，法國將在最近幾個月內開始禁止15歲以下的兒童使用社交媒體。</p> <p>馬克宏的舉動起因於法國校園暴力日益盛行。今年4月時有一名學生以刀子刺傷了4名同學，其中有一名同學死亡；為此，法國教育部已於今年開始要求學校檢查學生的包包，導火線是本周法國有一名14歲的中學生，在學校的例行性包包檢查時，以刀子刺死了一名學校工作人員。</p> <p><a href="https://x.com/EmmanuelMacron/status/1932531520297738501" target="_blank">馬克宏在X上表示</a>，兒童與青少年不應在街上或學校裡持刀，我們應該禁止販售它們；<a href="https://x.com/EmmanuelMacron/status/1932533029089521831" target="_blank">他還主張禁止15歲以下的兒童使用社交媒體</a>，由各大平臺負責驗證使用者的年齡，並說這是數位螢幕委員會的建議。</p> <p><a href="https://www.politico.eu/article/emmanuel-macron-social-media-ban-minors-france/" target="_blank">根據Politico的報導</a>，法國在今年6月7日正式強制要求色情網站驗證用戶年齡，也開始迫使 X、Reddit、Bluesky與Mastodon等社交網站導入年齡驗證機制，而使得當地的虛擬網路服務（VPN）需求激增。</p> <p>決定立法禁止青少年存取社交平臺的還有澳洲，<a href="https://www.ithome.com.tw/news/166276" target="_blank">澳洲政府要求社交平臺必</a>須阻止16歲以下的兒童註冊帳號，可望於今年11月生效。</p> <p>相較於歐洲對社交平臺必須負責驗證使用者身分的要求，美國<a href="https://www.ithome.com.tw/news/167707" target="_blank">猶他州</a>與<a href="https://www.ithome.com.tw/news/169220" target="_blank">德州</a>相繼通過了《App Store問責法令》（App Store Accountability Act），認為像是蘋果App Store或Google Play才應負責使用者年齡的驗證，而讓Meta與Snap等社交平臺業者大聲叫好。</p> </div></div></div>
2025/6/11 10:01作者陳曉莉https://www.ithome.com.tw/news/169467
健康食品批發龍頭United Natural Foods遭網路攻擊出貨受影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>北美最大健康食品批發通路商United Natural Foods Inc（UNFI）本月初遭到網路攻擊，迫使暫時關閉系統，已影響出貨及業務運作。</p> <p><a href="https://www.sec.gov/Archives/edgar/data/1020859/000102085925000021/unfi-20250605.htm" target="_blank">UNFI在提交美國證管會的報告指出</a>，該公司今年6月5日在部份IT系統上發現到未授權活動，立即採取應變，包括關閉部分和客戶訂單交付相關的系統。</p> <p>UNFI表示，此事件已經對公司營運有短期影響，預估情形還會持續。UNFI目前已援引外部網路安全專家之力，評估與緩解、修復事件影響，也已通報執法機關。該公司正努力回復系統，而因應事件，UNFI也已經為特定業務實作替代方案以便交付訂單。</p> <p>UNFI是美國和加拿大最大的健康和天然、有機食品上市批發商，也是亞馬遜旗下Whole Foods Market的主要供應商。UNFI全美有56個配貨中心、超過3萬個零售據點。</p> <p><a href="https://www.reddit.com/r/wholefoods/comments/1l6rm5g/thanks_unfi/#lightbox" target="_blank">根據Reddit張貼的照片</a>，受到UNFI網攻事件影響，部份零售據點供貨已經呈現短少、斷貨甚至貨架清空。</p> <p>UNFI未說明事件是否起於勒索軟體，以及影響幅度。也還沒有駭客組織出面承認犯案。</p> <p>這也是近幾個月來，最新一家遭網路攻擊的零售業者。之前受害企業還包括英國Harrods百貨、Co-op及Marks & Spencer等。<a href="https://www.bleepingcomputer.com/news/security/grocery-wholesale-giant-united-natural-foods-hit-by-cyberattack/" target="_blank">BleepingComputer報導</a>，後二者分別是DragonForce和Scattered Spider勒索軟體襲擊的受害者。</p> </div></div></div>
2025/6/11 10:18作者林妍溱https://www.ithome.com.tw/news/169469
網路流量解析工具Wireshark存在高風險漏洞，攻擊者可藉特製封包觸發DoS
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>知名開源網路封包解析工具Wireshark<a href="https://www.wireshark.org/security/wnpa-sec-2025-02.html">修補</a>了高風險安全漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-5601">CVE-2025-5601</a>，該漏洞影響Wireshark 4.4.0至4.4.6及4.2.0至4.2.11等多個主要版本。根據官方公告，攻擊者僅需注入特製封包至網路，或誘導使用者開啟特製封包檔案，即可能導致Wireshark程式異常終止，造成阻斷服務（DoS）。雖然目前Wireshark官方尚未接獲實際攻擊事件，但仍建議所有受影響用戶儘速升級至4.4.7、4.2.12或更新版本，以避免潛在風險。</p> <p>本次漏洞源自Wireshark處理封包欄位資訊時，欄位工具（Column Utility）模組存在記憶體操作缺陷。官方<a href="https://gitlab.com/wireshark/wireshark/-/issues/20509">透過</a>自動化模糊測試（Fuzz Testing）發現，當系統遇到特定格式的封包或封包檔案，可能導致記憶體寫入越界，進而引發程式崩潰。此問題屬於典型的緩衝區溢位（Buffer Overflow）問題，濫用該漏洞不需複雜攻擊流程，只要將特製資料注入網路，或讓Wireshark開啟惡意封包檔案，都可能觸發崩潰。</p> <p>Wireshark開發團隊已於官方GitLab專案平臺完成漏洞追蹤與修補，所有相關修補程式已併入主線分支，並於官網公告及CVE資料庫公開。根據漏洞嚴重度評分CVSS 3.1，此漏洞風險等級為高，主要影響尚未升級，以及在安全隔離措施不足的環境中運作的Wireshark。</p> <p>Wireshark被廣泛應用於企業網路監控、資訊安全事件分析與學術研究，使用者應檢查現有環境所用版本，並儘速部署官方更新，並參考Wireshark官方安全公告、GitLab專案說明及CVE-2025-5601漏洞細節，獲取最新修補資訊及安全指引。</p> </div></div></div>
2025/6/10 17:31作者李建興https://www.ithome.com.tw/news/169460
蘋果切入雲原生基礎技術競爭，推出主打安全和隱私的MacOS原生容器化專案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今年WWDC，除了多項全新介面設計的發布之外，蘋果也悄悄的發布了一項根本性的雲原生開源專案，MacOS原生的容器技術專案，也就是<a href="https://github.com/apple/containerization">容器化開源專案Containerization專案</a>，以及對應的命令列工具<a href="https://github.com/apple/container">container專案</a>。</p> <p>蘋果工程師Michael Crosby在WWDC中發布了這個容器化開源專案（Containerization），這是一個可以像原生應用般建置容器化應用的Swift框架。「蘋果發布這個專案的目標是希望能改變Linux容器的設計和導入方式，達到更安全，更隱私，也更有效率的效果。」他強調。 </p> <p>蘋果在2021年挖角了Docker公司重要工程師Michael Crosby，他是Docker專案的維護者，擔任過2018年OCI技術監督委員會主席，是容器技術標準化的關鍵推手。Michael Crosby現在成了蘋果容器化專案的關鍵推手。</p> <p>過去要在macOS上執行一個容器，得先建立一個大型Linux虛擬機器，預先配置足夠的處理器和記憶體資源，才能用來執行多個容器。這個虛擬機器會將事先配置的資源，共享、分配給虛擬機器中每一個容器來運用。</p> <p>這個做法的缺點是，每當要新增一個容器需要存取一份外部目錄中的檔案時，得先將Mac上的這個目錄和檔案分享給虛擬機器，接著才能提供給這份檔案資料的容器，其他容器也有機會可以存取這個檔案。<br /> Michael Crosby指出，蘋果推出這個容器化專案想要達成三大目標，第一是安全目標，希望能容器具備現在虛擬化技術所能提供的隔離效果，也希望減少在虛擬機器中的核心工具和動態函式庫。「減少這些機制，可以減少可被駭客利用的攻擊面，也能降低維運成本。」他解釋。</p> <p>其次，隱私是第二項目標，「限制可存取的目錄應該成為每一個容器的基礎能力，應該讓只有這份資料需求的容器，才能存取它。」Michael Crosby補充。最後一項專案目標是效能，希望能依據使用者所能提供的資源來調校效能。</p> <p>蘋果新發表的Containerization專案是一個開源的Swift框架專案，提供了一套可以執行容器和管理容器映像檔的API，以及一個用Swift開發的系統啟動工具。要啟動一個容器，通常會先從儲存庫下載一份容器映像檔，映像檔中有一份用來啟動這個容器的配置，以及內建儲存應用程式碼和相關站是酷的檔案系統。在Containerization專案，在一個macOS容器中的檔案系統，會視為一個區塊儲存裝置（block device），會格式化成Linux最常見的EXT4目錄結構。Containerization專案提供了Swift元件，可以直接存取EXT4格式目錄中的檔案。 </p> <p>為了確保夠安全的隔離應，每一個macOS容器要執行時，Containerization會同時啟動一個輕量化的虛擬機器來隔離這個容器，啟動時間不用到1秒。這個設計帶來幾個好處，第一是，可以讓每一個macOS容器可以有獨立的IP位址，讓這些容器的網路存取更有效率，存取macOS容器上的服務，不需要參考通訊埠對應表，而能直接存取。另一個好處是，可以限制，容器只能讀取到它所請求的內容，這些內容不會被其他容器接觸。在資源配置也能更有效率，只要沒有啟動容器，就不需要占用記憶體貨處理器的資源。</p> <p>啟動一個maOS容器時，會透過一隻起程式vminid，進行IP指派，掛上區塊儲存裝置和相關啟動作業。傳統虛擬機器啟動時，會啟動一套完整的作業系統，但為了減少攻擊面，在Containerization專案的輕量化虛擬機器中，完全沒有核心工具和動態函式庫，移除了許多核心指令，如移除cd、cp、ls等常見目錄指令，也沒有提供libc實作。這個vminid沒有任何連結檔案，直接用了Swift的靜態Linux SDK，把vminitd編譯成一隻靜態的linux執行檔。</p> <p>Containerization支援容器化標準OCI的映像檔，可以直接從Docker Hub等標準Registre直接拉取映像檔來部署。另外，也提供了一套建置Linux容器化應用的工具，也就是命令列工具container，可以管理容器映像檔和支援容器需要的儲存、網路服務等，可以支援 run、pull 及 push等標準容器化操作命令。另外，macOS容器透過Rosetta 2技術，也可以執行為x86-64架構編譯的二進位檔，也就是在Intel 處理器Mac上編譯的二進位檔。 </p> <p>目前這個Containerization容器化專案需要安裝macOS 26 Beta或更新版本才能執行。若在macOS 15上執行，則會有部分網路功能的閒置。</p> <p>許多開發者使用Mac電腦作為開發工具，但要在本地端提供容器化的雲原生測試環境，過去得安裝一些容器軟體，像是Docker、Podman、Orbstack或Lima等。</p> <p>雖然蘋果沒有進一步說明，為何要跳下來打造雲原生生態圈最基礎的容器化技術。但隨著蘋果Containerization專案，以及對應的命令列工具container專案的發布，這意味著蘋果開始提供更原生的Linux容器支援，有助於讓macOS成為大規模雲原生架構的資訊基礎，在雲原生技術生態圈中，扮演更關鍵的角色。</p> <p> </p> </div></div></div>
2025/6/10 18:53作者王宏仁https://www.ithome.com.tw/news/169464
【資安日報】6月10日，中國駭客鎖定資安業者SentinelOne及超過70個企業組織從事大規模攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼5月底傳出<a href="https://www.ithome.com.tw/news/169308">營運中斷</a>的消息，本週資安業者SentinelOne公布遭遇中國駭客攻擊的調查結果。儘管兩起事故看起來沒有直接關連，但是公布的時間點相當接近，仍不免令人好奇它們之間是否有交集。</p> <p>此外，隨著暑假旅遊旺季的到來，打著訂房網站名號的網釣攻擊也相當值得留意，民眾必須特別提高警覺；而在資安漏洞的部分，Python壓縮檔模組重大漏洞、Google帳號的電話號碼資訊可被暴力破解的情況，也相當受到矚目。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169453"><strong style="font-size: 22px;">中國駭客鎖定資安業者SentinelOne而來，意圖對用戶從事供應鏈攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/China_TopTier_10.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/China_TopTier_10.jpg" style="width: 300px; float: right;" /></a></p> <p>EDR是網路攻擊者的眼中釘，除了設法迴避偵測，若能設法攻陷、破壞這些資安產品與服務、敗壞資安公司商譽，對他們自然有很大的好處，而對於資安廠商而言，協助客戶做好防護之餘，自保也很重要！4月底資安業者SentinelOne揭露有多組人馬針對他們而來的情況，這些攻擊者大致可分成3種類型，分別是以IT工作者名義求職的北韓駭客、試圖存取及濫用該公司資安平臺的勒索軟體駿客，以及鎖定他們客戶及業務的中國駭客組織。如今該公司針對中國駭客的活動，公布更完整的調查結果。</p> <p>針對相關事故的調查過程，SentinelOne指出他們起初於去年10月，察覺駭客偵察該公司網路環境的活動並進行追蹤，結果發現兩波攻擊行動，並將活動命名為PurpleHaze和ShadowPad。該公司強調，經過徹底調查及確認，他們的基礎設施、軟體與硬體均未被入侵。</p> <p>而對於受害企業的部分，SentinelOne表示，發生在他們網路環境的活動，僅是這些駭客攻擊活動的一部分，最早可追溯到去年6月，而且，該公司並非唯一的目標，他們認為，自己遭到攻擊僅是大規模攻擊的一部分。</p> <p><a href="https://www.ithome.com.tw/news/169451"><strong style="font-size: 22px;">惡意軟體AsyncRAT透過冒牌Booking.com訂房網站散布</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/fake_booking_sites_captcha.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/fake_booking_sites_captcha.png" style="width: 300px; float: right;" /></a>最近幾年許多人報復性出遊，並選擇以自助旅行的方式出國，為了安排住宿，很有可能會透過訂房網站來挑選旅館，然而駭客也看上這點來引誘旅客上當，藉此散布惡意程式。</p> <p>資安業者Malwarebytes揭露自5月中旬出現的網釣攻擊活動，駭客設置冒牌的Booking.com訂房網站，並透過電玩網站、社群網站、廣告的惡意連結，來引誘使用者上門。一旦使用者被重新導向到假訂房網站，就會看到假的CAPTCHA圖靈驗證機制，然而，實際上，這些手段都是為了引導使用者依照指示操作，將特定命令複製貼上，並透過執行對話框執行的ClickFix網釣手法。</p> <p>使用者先是看到網站上的對話框，要求勾選我不是機器人的選項，若是照做，電腦就會複製駭客的惡意指令，並顯示接下來的「驗證步驟」：攻擊者要求使用者用快速鍵（Windows鍵+R）開啟執行視窗，然後在「驗證視窗」按Ctrl+V貼上特定資料並輸入Enter。一旦使用者照做，就會在電腦執行駭客的惡意命令，啟動PowerShell視窗，下載並執行惡意檔案，最終於電腦植入惡意程式AsyncRAT。</p> <p><a href="https://www.ithome.com.tw/news/169448"><strong style="font-size: 22px;">駭客盜用React Native、GlueStack維護團隊帳號，上架惡意NPM套件散布木馬</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/684491ed44f58ba31e6c82dd_AD_4nXf9QC66wRY7ovaRZDF7wOo5Fgd1h7lRrFU6P2vZgPR0z3faqocpJnQ0hfoaWAUGvl8sA_xiG66jqAJh__yfiFLImEiDPMszUauAZbaVHg9D5ZGzzvqkVrn6kz2xyWoUrlOxuRo6Gw.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/684491ed44f58ba31e6c82dd_AD_4nXf9QC66wRY7ovaRZDF7wOo5Fgd1h7lRrFU6P2vZgPR0z3faqocpJnQ0hfoaWAUGvl8sA_xiG66jqAJh__yfiFLImEiDPMszUauAZbaVHg9D5ZGzzvqkVrn6kz2xyWoUrlOxuRo6Gw.png" style="width: 300px; float: right;" /></a></p> <p>最近幾年駭客入侵開發團隊的帳號並冒名上傳惡意套件的情況，已有多起事故傳出，如今類似的攻擊行動再度出現，引起研究人員的關注。</p> <p>資安業者Aikido Security揭露針對React Native Aria生態系統的NPM供應鏈攻擊，這起事故發生於6月6日晚間，駭客疑似透過其中一個外流的維護人員帳號Token，發布16個React Native和GlueStack套件的惡意版本。由於這些套件相當熱門，每週下載超過100萬次，影響的範圍可能非常廣泛。</p> <p>對於這起事故發生的過程，Aikido Security以其中最早被竄改的NPM套件@react-native-aria/focus為例，駭客更動了lib/commonjs/index.js，並在第46行植入惡意程式碼。為了讓資安人員難以察覺，攻擊者使用大量空白字元混淆手法，將有問題的程式碼隱匿於螢幕難以顯示的地方。研究人員經過調查，確認是曾經鎖定另一個套件rand-user-agent的RAT木馬程式。</p> <p><a href="https://www.ithome.com.tw/news/169394"><strong style="font-size: 22px;">Meta、Yandex被揭露監聽Android本機通訊埠，橋接瀏覽器與App身分進行追蹤，引發資安疑慮</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/websites-app-ID-sharing.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/websites-app-ID-sharing.png" style="width: 300px; float: right;" /></a>西班牙IMDEA Networks Institute、荷蘭Radboud University及比利時KU Leuven等學術機構研究人員共同發表研究，發現知名科技公司Meta與Yandex在Android平臺上，透過監聽本機通訊埠的方式，建立瀏覽器與原生App之間的身分橋接，實現用戶行為的去匿名化（de-anonymizing）追蹤。此技術手法繞過了傳統的隱私保護機制，侵害行動裝置用戶的個人資料保護與隱私安全。</p> <p>研究人員發現，Meta的Facebook與Instagram應用程式，以及Yandex旗下多款應用程式，會在Android裝置中於背景持續監聽特定本地端通訊埠。當用戶開啟安裝Meta Pixel或Yandex Metrica追蹤碼的網站時，瀏覽器中的JavaScript腳本會將瀏覽行為與身分資訊經由本地端Socket傳遞至這些原生App，進而實現網頁與應用程式間的身分串接。此舉突破現行如清除Cookie、無痕瀏覽以及Android權限控管等防護，可連結原本分散、短暫的瀏覽識別與長期、個人化的App帳號或裝置識別碼，提升追蹤的精確度與持續性。</p> <p>即便用戶未明確同意Cookie政策，這些身分串接仍有機會被觸發，且由於本機通訊埠監聽並無特別權限限制，其他惡意App也可能監聽相關連接埠，衍生更多資安與個資外洩風險。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/malicious-apps-google-play-users-for-seed-phrases/">逾20款惡意App上架Google Play市集，意圖加密貨幣錢包的竊取通關密語</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/new-rust-developed-infostealer/">以Rust打造的竊資軟體鎖定Chromium瀏覽器而來，企圖竊取敏感資料</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://hunt.io/blog/pasteee-xworm-asyncrat-infrastructure#XWorm_and_AsyncRat_Indicators_of_Compromise_IOCs">程式碼共享平臺Paste.ee遭濫用，駭客意圖散布XWorm和AsyncRAT</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/kimsuky-strikes/">北韓駭客Kinsuky同時藉由臉書、電子郵件、Telegram從事網釣攻擊</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://ithome.com.tw/news/169422"><strong style="font-size: 22px;">Python壓縮檔模組tarfile存在重大資安弱點，恐導致檔案系統遭任意寫入</strong></a></p> <p>在Python環境裡，專門用來讀取、建立、打包，以及解壓縮tar檔案的程式庫tarfile，一旦出現弱點，就有可能讓攻擊者用於路徑穿越、任意檔案寫入（及覆蓋）、遠端執行任意程式碼（RCE）、權限提升、逃逸沙箱，甚至還有可能污染套件，引發供應鏈攻擊，因此該程式庫相關的弱點，往往都必須提高警覺。</p> <p>6月3日Python軟體基金會發布資安公告，指出他們針對tarfile模組修補一系列資安弱點，其中有1個重大層級、3個高風險層級，以及1個中度風險的弱點。</p> <p>這些漏洞是：CVE-2025-4517、CVE-2025-4435、CVE-2025-4330、CVE-2025-4138、CVE-2024-12718，大部分涉及如何繞過tar檔案解壓縮的過濾機制，而該機制是3.12版Python開始引入的。一旦曝險的Python透過tarfile模組來解壓縮特定功能組態、不受信任的tar檔，就有可能觸發漏洞。最嚴重的資安漏洞是CVE-2025-4517，發生在使用filter="data"的功能參數執行解壓縮的過程，使得攻擊者能夠在檔案系統任意寫入，CVSS風險達到9.4分（滿分10分）。</p> <p><a href="https://www.ithome.com.tw/news/169449"><strong style="font-size: 22px;">Google用戶的電話號碼驚傳可被暴力破解</strong></a></p> <p>資安研究人員BruteCat周一（6月9日）揭露，他利用Google在無JavaScript模式中忘了關閉的帳戶復原服務，成功地暴力破解了Google用戶的電話號碼。研究人員在今年4月將漏洞報告提交給Google，獲得5,000美元獎金，而Google則於本月確認，無JavaScript的使用者名稱復原表單已全面被棄用。</p> <p>為了避免遭到濫用，Google至少自2018年於登錄服務中就開始實施JavaScript機器人檢測框架，以防止機器人登錄。BruteCat說，他是在今年初於瀏覽器上關閉了JavaScript，想查探是否有任何Google服務在沒有JavaScript的情況下仍能運作，結果發現，帳戶復原服務竟然可正常執行。BruteCat採用IPv6以隨機切換來源位址，並利用BotGuard令牌來繞過CAPTCHA，接著利用自動化工具以於密碼恢復流程中，取得只有兩個數字的遮罩電話號碼提示，再進行暴力破解。</p> <p>BruteCat利用每小時0.3美元的伺服器資源即可執行每秒4萬次的檢查，發現找到一個正確的美國電話號碼需20分鐘，找到一個英國號碼只要4分鐘，找到一個荷蘭號碼只需15秒，新加坡號碼更只要5秒。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/hpe-patches-critical-vulnerability-in-storeonce/">HPE修補備份平臺StoreOnce重大漏洞</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169436"><strong>【6月9日】中國驚傳大規模資料外洩，40億筆民眾個資在網際網路短暫裸奔</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169399"><strong>【6月6日】鎖定求職者的網釣不再只針對IT人員，出現向企業財務高層以挖角為誘餌的網路攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169392"><strong>【6月5日】Roundcube存在9.9分的重大層級漏洞，恐波及其他內建此郵件伺服器的系統</strong></a></p> </div></div></div>
2025/6/10 16:47作者周峻佑https://www.ithome.com.tw/news/169459
中國駭客鎖定資安業者SentinelOne而來，意圖對用戶從事供應鏈攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>EDR是網路攻擊者的眼中釘，除了設法迴避偵測，若能設法攻陷、破壞這些資安產品與服務、敗壞資安公司商譽，對他們自然有很大的好處，而對於資安廠商而言，協助客戶做好防護之餘，自保也很重要！4月底資安業者SentinelOne揭露<a href="https://www.sentinelone.com/labs/top-tier-target-what-it-takes-to-defend-a-cybersecurity-company-from-todays-adversaries/">有多組人馬針對他們而來</a>的情況，這些攻擊者大致可分成3種類型，分別是以IT工作者名義求職的北韓駭客、試圖存取及濫用該公司資安平臺的勒索軟體駿客，以及鎖定他們客戶及業務的中國駭客組織。如今該公司針對中國駭客的活動，<a href="https://www.sentinelone.com/labs/follow-the-smoke-china-nexus-threat-actors-hammer-at-the-doors-of-top-tier-targets/">公布更完整的調查結果</a>。</p> <p>針對相關事故的調查過程，SentinelOne指出他們起初於去年10月，察覺駭客偵察該公司網路環境的活動並進行追蹤，結果發現兩波攻擊行動，並將活動命名為PurpleHaze和ShadowPad。該公司強調，經過徹底調查及確認，他們的基礎設施、軟體與硬體均未被入侵。</p> <p>而對於受害企業的部分，SentinelOne表示，發生在他們網路環境的活動，僅是這些駭客攻擊活動的一部分，最早可追溯到去年6月，而且，該公司並非唯一的目標，他們認為，自己遭到攻擊僅是大規模攻擊的一部分。</p> <p>針對這兩波攻擊，研究人員提及在PurpleHaze發生在去年9月至10月，駭客使用後門程式GOREshell建立反向SSH連線，此後門程式以Go語言打造而成，鎖定Windows、Linux電腦下手，共通點是駭客使用相同的SSH私鑰進行，此外，為了抹除證據，他們也使用自製工具清除事件記錄檔案。</p> <p>另一波攻擊行動ShadowPad延續的時間較長，為去年6月至今年3月，駭客使用PowerShell命令下載經過混淆處理的惡意程式ShadowPad，並使用 DNS over HTTPS（DOH）建立C2連線以迴避偵測，研究人員提及，駭客取得初始入侵管道的方式，疑似透過Check Point安全閘道設備弱點得逞。</p> <p>而對於這些攻擊行動，研究人員分別看到三起事故。以ShadowPad而言，駭客在去年6月對南亞政府組織下手，接著，他們自7月至今年3月，對全球超過70個企業組織展開攻擊，範圍橫跨製造、政府、金融、電信，以及研究領域。</p> <p>最後一波攻擊與SentinelOne有關，今年初，駭客入侵一家經營IT服務與物流的公司，而該公司當時負責SentinelOne員工硬體設備的物流業務。</p> <p>在PurpleHaze活動期間裡，也同樣發生三起事故。第一起是針對上述提及的南亞政府機關，於去年10月散布GOREshell，過程裡採用中國經營的Operational Relay Box（ORB）網路。</p> <p>第二起事故也發生在10月，駭客針對SentinelOne可透過網際網路存取的伺服器試圖進行偵測，這起事故駭客使用的基礎設施，與攻擊南亞政府機關的團體有關。</p> <p>研究人員提及發生於去年9月下旬的事故，駭客入侵一家歐洲媒體，除了使用GOREshell，還使用PHP打造的Web Shell，以及名為The Hacker's Choice的工具。他們提及駭客入侵的管道，是利用Ivanti Cloud Services Appliance的資安漏洞CVE-2024-8963和CVE-2024-8190，而當時這些漏洞尚未公開。</p> </div></div></div>
2025/6/10 16:25作者周峻佑https://www.ithome.com.tw/news/169453
惡意軟體AsyncRAT透過冒牌Booking.com訂房網站散布
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近幾年許多人報復性出遊，並選擇以自助旅行的方式出國，為了安排住宿，很有可能會透過訂房網站來挑選旅館，然而駭客也看上這點來引誘旅客上當，藉此散布惡意程式。</p> <p>資安業者Malwarebytes揭露<a href="https://www.malwarebytes.com/blog/news/2025/06/victims-risk-asyncrat-infection-after-being-redirected-to-fake-booking-sites">自5月中旬出現的網釣攻擊活動</a>，駭客設置冒牌的Booking.com訂房網站，並透過電玩網站、社群網站、廣告的惡意連結，來引誘使用者上門。一旦使用者被重新導向到假訂房網站，就會看到假的CAPTCHA圖靈驗證機制，然而，實際上，這些手段都是為了引導使用者依照指示操作，將特定命令複製貼上，並透過執行對話框執行的ClickFix網釣手法。</p> <p>使用者先是看到網站上的對話框，要求勾選我不是機器人的選項，若是照做，電腦就會複製駭客的惡意指令，並顯示接下來的「驗證步驟」：攻擊者要求使用者用快速鍵（Windows鍵+R）開啟執行視窗，然後在「驗證視窗」按Ctrl+V貼上特定資料並輸入Enter。一旦使用者照做，就會在電腦執行駭客的惡意命令，啟動PowerShell視窗，下載並執行惡意檔案，最終於電腦植入惡意程式AsyncRAT。</p> <p>研究人員提及，若是Chrome的使用者，過程中可能會看到警示訊息，指出該網站試圖檢視剪貼簿的文字與圖片內容，但一般人往往為了讓流程繼續進行，而而在未了解警示訊息含義的狀態中，就按下同意，錯失察覺異狀的機會。</p> </div></div></div>
2025/6/10 14:47作者周峻佑https://www.ithome.com.tw/news/169451
駭客盜用React Native、GlueStack維護團隊帳號，上架惡意NPM套件散布木馬
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近幾年駭客入侵開發團隊的帳號並冒名上傳惡意套件的情況，已有多起事故傳出，如今類似的攻擊行動再度出現，引起研究人員的關注。</p> <p>資安業者Aikido Security揭露<a href="https://www.aikido.dev/blog/supply-chain-attack-on-react-native-aria-ecosystem">針對React Native Aria生態系統的NPM供應鏈攻擊</a>，這起事故發生於6月6日晚間，駭客疑似透過其中一個外流的維護人員帳號Token，發布16個React Native和GlueStack套件的惡意版本。由於這些套件相當熱門，每週下載超過100萬次，影響的範圍可能非常廣泛。</p> <p>React Native Aria生態系統是基於React Native 的程式庫和工具，能夠協助開發者建構跨平臺的使用者介面（UI），具備能靈活自定、整合網頁應用程式常見的W3C ARIA Authoring Practices Guide實作標準，從而提升使用者體驗，擴展用戶群體。</p> <p>對於這起事故發生的過程，Aikido Security以其中最早被竄改的NPM套件@react-native-aria/focus為例，駭客更動了lib/commonjs/index.js，並在第46行植入惡意程式碼。為了讓資安人員難以察覺，攻擊者使用大量空白字元混淆手法，將有問題的程式碼隱匿於螢幕難以顯示的地方。研究人員經過調查，確認是曾經鎖定另一個套件rand-user-agent的RAT木馬程式。</p> <p>附帶一提的是，這次研究人員看到的木馬程式，還是存在一些差異。其中最大的不同點，就是具有備援C2伺服器，並能夠根據程式碼的版本進行切換；再者，新的木馬程式能搜括受害電腦的系統資訊，並發出外部請求與回傳指定IP位址的資訊。</p> </div></div></div>
2025/6/10 12:45作者周峻佑https://www.ithome.com.tw/news/169448
OpenAI年度經常性收入突破100億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>根據外電報導，OpenAI根據今年6月的營收，推估其年度經常性收入（Annual Recurring Revenue，ARR）已突破100億美元。</p> <p>ARR是一種衡量訂閱型或經常性收入商業模式的指標，用來表示公司於1年內可穩定獲得的收入，因此，這次的100億美元估值，並未包含來自微軟的授權收入與其它大型的一次性交易。<a href="https://www.cnbc.com/2025/06/09/openai-hits-10-billion-in-annualized-revenue-fueled-by-chatgpt-growth.html" target="_blank">根據CNBC的報導</a>，OpenAI去年的ARR約為55億美元，同時也虧損了50億美元。</p> <p>OpenAI的收入涵蓋消費者訂閱服務，ChatGPT商業產品，以及API。<a href="https://www.ithome.com.tw/news/165748" target="_blank">去年10月時</a>，約有75%的營收來自一般消費者的訂閱。</p> <p>OpenAI今年的營收目標為127億美元，預計要到2029年完成1,250億美元的營收目標之後才會獲利。</p> <p>OpenAI在今年3月底展開<a href="https://www.ithome.com.tw/news/168182" target="_blank">新一輪融資</a>，規模為400億美元，完成後的OpenAI市值將攀上3,000億美元。</p> <p>不只是OpenAI的ARR大幅成長，根據<a href="https://www.ft.com/content/1ffc5fe7-6872-42a0-8b98-dc685f9c33c6" target="_blank">金融時報（Financial Times，FT）的報導</a>，AI開發工具Cursor的ARR也從2024年接近1億美元的狀態，成長至今年的5億美元。</p> </div></div></div>
2025/6/10 13:35作者陳曉莉https://www.ithome.com.tw/news/169450
特斯拉機器人部門工程主管離職
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>特斯拉人型機器人部門的研發主管<a href="https://x.com/_milankovac_/status/1931097888995807554" target="_blank">Milan Kovac上周宣布</a>將在任職近10年後離開。</p> <p>Kovac表示離開是為了多陪伴在國外的家人，但他之後仍然會留在美國。<a href="https://x.com/elonmusk/status/1931106237049151880" target="_blank">馬斯克（Elon Musk）也在其X感謝Kovac的貢獻</a>。</p> <p>Kovac於2016年加入特斯拉Autopilot部門，之後成為主管。2022年他再率領人型機器人Optimus部門，同時開發軟、硬體平臺。他強調，特斯拉機器人Optimus運作不會因他的離開有任何改變。</p> <p>Optimus是馬斯克實現AI機器人夢想的載具。<a href="https://uk.news.yahoo.com/elon-musks-prediction-ai-humanoid-100117434.html" target="_blank">他曾大膽預期</a>，未來地球上單價2萬到2.5萬美元的人型機器人數量將超過人類，<a href="https://www.cnn.com/2025/03/25/tech/china-robots-market-competitiveness-intl-hnk" target="_blank">因而是個10兆美元的產業</a>。此外，<a href="https://electrek.co/2025/01/31/elon-musk-says-tesla-aims-to-build-10000-optimus-robots-this-year/" target="_blank">馬斯克去年對分析師說</a>，希望在2025年內生產1萬個Optimus機器人，雖然他也承認是深具野心的目標。</p> <p>此外，馬斯克的機器人業務是否會受到最近他和川普針對大而美法案（Big and Beautiful Act）隔空交鋒影響有待觀察。<a href="https://www.wired.com/story/elon-musk-federal-contracts-government/" target="_blank">川普揚言</a>要終止給馬斯克旗下公司如SpaceX、特斯拉等的聯邦補助和政府合約，總值高達480億美元。</p> </div></div></div>
2025/6/10 12:45作者林妍溱https://www.ithome.com.tw/news/169447
Google用戶的電話號碼可被暴力破解
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://brutecat.com/articles/leaking-google-phones" target="_blank">資安研究人員BruteCat周一（6/9）揭露</a>，他利用Google在無JavaScript模式中忘了關閉的帳戶復原服務，成功地暴力破解了Google用戶的電話號碼。</p> <p>為了避免遭到濫用，Google至少自2018年於登錄服務中就開始實施JavaScript機器人檢測框架，以防止機器人登錄。BruteCat說，他是在今年初於瀏覽器上關閉了JavaScript，想查探是否有任何Google服務在沒有JavaScript的情況下仍能運作，發現帳戶復原服務竟然還是有效的。</p> <p>該服務允許透過兩個HTTP請求，來檢查所輸入的電子郵件或電話號碼是否與所顯示的特定名字有關。</p> <p>儘管Google試圖藉由限制單一IP的請求頻率，以及人機驗證CAPTCHA來減少濫用行為。但BruteCat採用IPv6以隨機切換來源位址，並利用BotGuard令牌來繞過CAPTCHA，接著撰寫一個自動化工具以於密碼恢復流程中，取得只有兩個數字的遮罩電話號碼提示，再進行暴力破解。</p> <p>BruteCat利用每小時0.3美元的伺服器資源即可執行每秒4萬次的檢查，發現找到一個正確的美國電話號碼只要20分鐘，找到一個英國號碼只要4分，找到一個荷蘭號碼只需15秒，新加坡號碼更只要5秒。</p> <p>他在今年4月將漏洞報告提交給Google，獲得5,000美元的獎金，而Google則於今年6月確認，無JavaScript的使用者名稱復原表單已全面被棄用。</p> </div></div></div>
2025/6/10 13:18作者陳曉莉https://www.ithome.com.tw/news/169449
蘋果公布macOS Tahoe 26 將成Intel-based Mac最後一代OS
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在臺北時間周二（6/10）凌晨舉行的WWDC 2025上，蘋果公布了最新桌機作業系統<a href="https://www.apple.com/newsroom/2025/06/macos-tahoe-26-makes-the-mac-more-capable-productive-and-intelligent-than-ever/" target="_blank">macOS Tahoe 26</a>，採用新的視覺介面語言Liquid Glass，並強化手機和Mac電腦接續（Continuity）應用、改良Spotlight、及新增Apple Intelligence及支援捷徑等。而蘋果預告，這也是Intel-based Mac最後一個可更新的macOS。</p> <p><a href="https://www.ithome.com.tw/news/169319" target="_blank">一如彭博早先報導</a>，最新macOS以加州度假勝地太浩湖（Lake Tahoe）為其代號名稱，並且所有OS版本打破過去使用的序號系統，全面改採以年份命名。</p> <p>Mac Tahoe 26支援產品包括使用Apple silicon的MacBook Air（2020及以後）及MacBook Pro（2020及以後）；MacBook Pro（16吋、2019）；MacBook Pro（13吋，2020）、iMac（2020及以後）、Mac mini（2020及以後）、Mac Studio（2022及以後）、Mac Pro（2019及以後）。</p> <p>今天macOS Tahoe 26已提供開發人員測試版，公測版預定下個月釋出，而正式版則一如往年，會在秋天推出。</p> <p><a href="https://www.theverge.com/news/683846/macos-tahoe-intel-x86-arm-m-cpu" target="_blank">The Verge引述蘋果公司官方說法報導</a>，Tahoe是Intel-based Mac最後一個能更新的macOS版本。用戶若想使用macOS 27以後的新作業系統，必須使用搭載Apple Silicon的Mac筆電。</p> <p><span style="color:#B22222;"><strong>Liquid Glass</strong></span></p> <p>全新的Liquid Glass取其一如湖水映照天光山色，為Tahoe介面賦予半透明感且反映周遭環境。選單列完全變透明，可讓顯示器變得更大；Dock、側邊欄與工具列也更著重突顯使用者內容。選單和控制中心（Control Center）提供更多客製化控制，資料匣也能改變色彩增加表情或符號，配合個人化桌布和布景主題，允許用戶創造個人化Mac使用體驗。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0610-Apple-WWDC25-macOS-Liquid%20Glass.jpg" style="width: 600px;" /></p> <hr /> <p><span style="color:#B22222;"><strong>Continuity</strong></span></p> <p>新Mac也強化了加入讓用戶在Mac電腦接續鄰近iPhone電話的接續（Continuity），由iOS移植二項功能。一是Phone（電話）App，除了近日通話、喜愛的聯絡人（Favorites）和語音郵件，新版本還加入來電過濾（Call Screening）及保留輔助（Hold Assist），後者可讓用戶邊等待撥通邊持續Mac電腦上的工作。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0610-Apple-WWDC25-macOS-26-Phone-app-Continuity.jpg" style="width: 600px;" /></p> <p>目前來電過濾已支援繁體中文，但FaceTime/電話的Live Translation還不支援中文。Message中的Live Translation已支援簡中。</p> <p>Continuity第二項新增功能是Live Activities可顯示在Mac電腦選單上。點入Live Activities，Phone App會在iPhone鏡像輸出（iPhone Mirroring）模式中開啟，顯示即時接收最新動態，如Uber接送、運動賽事或飛機航班資訊等。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0610-wwdc-macos%2026-Live%20Activities%20from%20iPhone.png" style="width: 600px;" /></p> <hr /> <p><span style="color:#B22222;"><strong>Spotlight</strong></span></p> <p>搜尋功能Spotlight獲得號稱最大改版。現在Spotlight會列出所有搜尋結果，再依用戶關聯性智慧排列。它能限縮特定文件類型，如PDF或郵件，還能搜尋儲存在第三方雲端硬碟的文件。新的瀏覽檢視功能可掃過所有應用、檔案、剪貼簿紀錄等，幫助用戶找到沒有明確線索的目標。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0610-wwdc-macos%2026-Spotlight.png" style="width: 600px;" /></p> <p>透過App Intents API串聯App，用戶現在能直接在Spotlight執行多種作業，包括寄發電子郵件、建立筆記或播放podcast，不再需要在不同App間切換。用戶也能從App選單列建立捷徑以執行作業。Spotlight並支援快速鍵，它也能記憶用戶長期行為，而顯示個人化行動選項。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0610-wwdc-macos%2026-Spotlight-2.png" style="width: 600px;" /></p> <hr /> <p><span style="color:#B22222;"><strong>Apple Intelligence</strong></span></p> <p>雖然macOS並未包含AI重大革新，但蘋果仍然為Apple Intelligence加入新功能，包括Message、FaceTime、Phone App通話上的即時翻譯（Live Translation）文字或字幕翻譯。其次，用戶可為Apple Intelligence功能建立捷徑，如撰文助理Writing Tools及圖片生成Image Playground，或直接點選Mac電腦或Private Cloud Compute上的模型生成回應，日後再匯入捷徑。此外還能建立串聯AI的捷徑，例如以Apple Intelligence模型比對上課錄音檔和筆記，再增加漏記的重點，也能自動化執行，像是在一天特定時間或儲存檔案到特定資料匣。</p> <p>其他包括以AI自建Genmoji、在Image Playground以ChatGPT畫圖或是Apple Intelligence檢視郵件、網站及筆記自動發送提醒，且自動為「提醒」分類。</p> <p><span style="color:#B22222;"><strong>Tahoe其他新功能</strong></span></p> <p>Safari新介面元素如浮動圓形標籤頁設計、新刷新側邊欄，提升可使用性與Chrome相比，Safari載入經常訪問的網站速度提高50%，為減少追蹤連接攻擊，Safari瀏覽器現在預設啟用網站指紋保護。密碼功能加入提示方便用戶檢視他們的更改紀錄，包括檢查他們儲存密碼的先前版本，以及變更時間的詳細資訊。</p> <p>Messages應用程式加入背景、投票和新的詳細信息檢視。日記（Journal）App登陸Mac，在Mac上，用戶可以建立多個日記，以地圖查找，也能在Apple設備之間同步。Notes添加筆記匯入／匯出到檔案，並支援將iPhone App的對話擷取出附有聽寫的錄音檔。</p> <p>Photos App改用Liquid Glass設計、自定義功能、也加入了釘選照片集，點擊側邊欄即可訪問。FaceTime也改版為Liquid Glass設計，新的“更多”功能包括使用者快速訪問SharePlay和即時翻譯等功能。</p> <p>輔助功能包括Mac上的「放大器」功能，視力不佳的用戶能使用iPhone上的「Continuity Camera」或外接USB攝影機來放大周圍環境。Vehicle Motion Cues，它有助於減少行動車輛中的暈動症。<span style="font-size:14px;"><span style="color:#696969;">圖片來源／蘋果</span></span></p> </div></div></div>
2025/6/10 11:37作者林妍溱https://www.ithome.com.tw/news/169445
VMware NSX存在XSS重要風險漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/25738" target="_blank">博通旗下的VMware上周發出安全公告</a>，修補3項網路虛擬化和安全平臺NSX資安漏洞。</p> <p>這三項漏洞分別為CVE-2025-22243、CVE-2025-22244和CVE-2025-22245，屬於「重要」（important）漏洞。影響產品包括VMware NSX、VMware Cloud Foundation和VMware Telco Cloud Platform。</p> <p>其中CVE-2025-22243為NSX Manager UI中的儲存型跨站腳本攻擊（Stored cross-site scripting）漏洞，源自對輸入驗證不當。具有建立或修改網站設定的攻擊者可注入惡意程式碼，在他人檢視網路設定時執行。CVSS v3風險值為7.5。</p> <p>CVE-2025-22244亦為儲存型跨站腳本攻擊（Stored cross-site scripting）漏洞，本漏洞位於閘道防火牆。具備過濾URL的防火牆回應頁建立和修改權限的攻擊者，可注入惡意程式碼，並在另一名用戶試圖存取網頁時執行。本漏洞風險值為6.9。</p> <p>CVE-2025-22245也是類似的儲存型跨站腳本攻擊漏洞，影響路由器傳輸埠。攻擊者若具備新增或修改路由器傳輸埠的權限，即可注入惡意程式碼，在他人存取傳輸埠時執行。漏洞CVSS 風險值為5.9。</p> <p>受影響產品包括VMWare NSX 4.2.x、4.2.1.x、4.1.x、4.0.x、3.2.x；VMware Cloud Foundation 5.2.x、5.1.x、5.0.x、4.5.x；VMware Telco Cloud Infrastructure 5.x、4.x、3.x、2.x。VMware部門已經釋出解決漏洞的更新軟體。</p> <p>CVE-2025-22243為研究人員Dawid Jonienc通報，CVE-2025-22244及CVE-2025-22245則為波蘭ING Hubs研究人員Łukasz Rupala of通報。</p> </div></div></div>
2025/6/10 12:17作者林妍溱https://www.ithome.com.tw/news/169446
蘋果發表基礎模型框架，供第三方存取裝置上模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果於周一（6/9）舉行的WWDC大會上，<a href="https://www.apple.com/newsroom/2025/06/apple-supercharges-its-tools-and-technologies-for-developers/" target="_blank">發表了基礎模型（Foundation Models）框架</a>，允許第三方開發者存取蘋果裝置上所內建的大型語言模型，亦即 Apple Intelligence所使用的模型，以於程式中整合AI能力。</p> <p class="rtecenter"><a href="http://developer.apple.com/documentation/foundationmodels" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/0610-Foundation%20Models-apple.png" style="width: 585px;" /></a></p> <p>目前<a href="https://developer.apple.com/documentation/foundationmodels" target="_blank">此一位於裝置上的模型</a>擅長各種文本生成任務，像是摘要、實體萃取、文字理解、優化、遊戲對話，以及生成創意內容等，它可根據開發者的需求作出回應，也能決定呼叫開發者所撰寫的程式碼來執行專門任務。</p> <p>由於該框架原生支援Swift，使得開發者只需要撰寫短短的3行程式碼就能存取Apple Intelligence模型。開發者可藉由@Generable巨集來讓模型生成Swift資料結構，或是利用Tool來建立客製化的工具以供該模型呼叫。Automattic正於日記程式Day One中使用該框架，以替使用者帶來基於隱私的AI功能。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0610-wwdc%2025-%20Foundation%20Models%20framework-apple%20intelligence-app.png" style="width: 404px;" /></p> <p><a href="https://www.apple.com/cm/newsroom/2025/06/apple-intelligence-gets-even-more-powerful-with-new-capabilities-across-apple-devices/" target="_blank">蘋果表示</a>，此一基礎模型框架讓開發者得以建置以AI驅動的功能，這些功能既可離線，也能保護使用者隱私，而且也不會產生推理成本，例如教育應用程式可根據裝置上的使用者筆記生成測驗，戶外應用程式也能添加自然語言搜尋功能，即使使用者處於離線狀態也能使用。</p> <p>基礎模型框架即日起透過蘋果開發者計畫（Apple Developer Program）展開測試，公開測試版則會在下個月藉由Apple Beta Software Program釋出。<span style="font-size:14px;"><span style="color:#696969;">圖片來源／蘋果</span></span></p> </div></div></div>
2025/6/10 11:03作者陳曉莉https://www.ithome.com.tw/news/169444
Python壓縮檔模組tarfile存在重大資安弱點，恐導致檔案系統遭任意寫入
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在Python環境裡，專門用來讀取、建立、打包，以及解壓縮tar檔案的程式庫tarfile，一旦出現弱點，就有可能讓攻擊者用於路徑穿越、任意檔案寫入（及覆蓋）、遠端執行任意程式碼（RCE）、權限提升、逃逸沙箱，甚至還有可能污染套件，引發供應鏈攻擊，因此該程式庫相關的弱點，往往都必須提高警覺。</p> <p>6月3日Python軟體基金會發布資安公告，指出他們針對tarfile模組<a href="https://mail.python.org/archives/list/[email protected]/thread/MAXIJJCUUMCL7ATZNDVEGGHUMQMUUKLG/">修補一系列資安弱點</a>，其中有1個重大層級、3個高風險層級，以及1個中度風險的弱點。</p> <p>這些漏洞是：CVE-2025-4517、CVE-2025-4435、CVE-2025-4330、CVE-2025-4138、CVE-2024-12718，大部分涉及如何繞過tar檔案解壓縮的過濾機制，而該機制是3.12版Python開始引入的。一旦曝險的Python透過tarfile模組來解壓縮特定功能組態、不受信任的tar檔，就有可能觸發漏洞，此外，雖然仍在測試階段的3.14版預設過濾功能參數有所調整，但只要使用者採用預設組態，同樣也可能會受到影響。假若Python在未啟用過濾機制的情況下解壓縮不受信任的tar檔，那麼就會導致攻擊者能在解壓縮資料夾的外部進行任意寫入。</p> <p>值得留意的是，雖然該基金會指出上述弱點與3.12版引入的功能有關，但他們不光發布了<a href="https://docs.python.org/release/3.13.4/whatsnew/changelog.html#security">3.13.4</a>、<a href="https://docs.python.org/release/3.12.11/whatsnew/changelog.html#security">3.12.11</a>版更新，也對舊版推出<a href="https://docs.python.org/release/3.11.13/whatsnew/changelog.html#security">3.11.13</a>、<a href="https://docs.python.org/release/3.10.18/whatsnew/changelog.html#security">3.10.18</a>、<a href="https://docs.python.org/release/3.9.23/whatsnew/changelog.html#security">3.9.23</a>版修補相關漏洞。</p> <p>最嚴重的資安漏洞是<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-4517">CVE-2025-4517</a>，發生在使用filter="data"的功能參數執行解壓縮的過程，使得攻擊者能夠在檔案系統任意寫入，CVSS風險達到9.4分（滿分10分）。</p> <p>另外幾個高風險漏洞CVE-2025-4435、CVE-2025-4330、CVE-2025-4138也值得留意，風險值皆為7.5，其中的CVE-2025-4435涉及套用特定參數TarFile.errorlevel = 0的時候，理應被過濾的惡意檔案仍能解壓縮；CVE-2025-4330能忽略過濾機制並建立符號連結（Symlink）；至於CVE-2025-4138，可讓攻擊者建立解壓縮資料夾外部的符號連結。</p> </div></div></div>
2025/6/10 09:53作者周峻佑https://www.ithome.com.tw/news/169422
蘋果研究：一旦問題變複雜，大型語言與推理模型便暴露盲點
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>蘋果研究人員日前發布了一個有關推理模型的AI研究報告《<a href="https://machinelearning.apple.com/research/illusion-of-thinking" target="_blank">The Illusion of Thinking: Understanding the Strengths and Limitations of Reasoning Models via the Lens of Problem Complexity</a>》，主要探索問題的複雜度是否會影響推理模型的表現，發現當問題很簡單時，AI看起來很聰明，但一旦問題變得複雜，便會曝露AI的局限性。</p> <p>此一研究方向源自於近來AI領域出現了一個名為大型推理模型（Large Reasoning Models，LRMs）的新方向，像是OpenAI的o1與o3，DeepSeek-R1、Claude 3.7 Sonnet Thinking，以及Gemini Thinking等，標榜具備「思考」特性，強調長鏈思考（Chain-of-Thought，CoT）與自我反省，且在各種推理基準測試中表現良好。</p> <p>研究人員以《河內塔》（<a href="https://www.mathsisfun.com/games/towerofhanoi.html" target="_blank">Tower of Hanoi</a>）及最短路徑等經典邏輯遊戲來測試LLM與LRM，結果發現它們都很容易就完成3個圓盤的任務，但就算只是移動7個圓盤，Claude模型的準確率都不到80%，而且其它模型也沒有好到哪裡去。</p> <p>結論是在低複雜度下，非思考模型相對準確；隨著複雜度的增加，推理模型的表現更好，但需要更多的Token；而在高難度下，不管是LLM或LRM都會直接崩潰。</p> <p>更令人意外的是，就算提供它們正確的演算法，模型仍無法顯著地改善表現，亦發現不管是什麼種類的問題，模型都無法將推理能力延伸到訓練資料以外。</p> <p><a href="https://x.com/wolfejosh/status/1931182279755178074" target="_blank">科技領域投資人Josh Wolfe總結了該報告</a>，指出LLM過度思考簡單問題，遇到複雜問題時卻在還有很多運算資源時便早早放棄；就算掌握了正確的演算法還是會搞砸，顯示它們缺乏的是基本邏輯；這些模型不具備推理能力，而只是昂貴的模式比對器。</p> <p><a href="https://garymarcus.substack.com/p/a-knockout-blow-for-llms" target="_blank">該論文共同作者Iman Mirzadeh向美國認知科學家Gary Marcus透露</a>，其論點是LRM的處理過程既不合邏輯，也不聰明。</p> <p>Marcus表示，他喜歡AI，但人類如果在《河內塔》這種遊戲上失敗，往往是因為記憶力不足，而擁有數GB記憶體的LLMs不應有同樣的藉口；該報告基本上展現出，不管人們如何定義通用人工智慧，LLMs都還無法取代優秀且規範明確的傳統演算法。</p> </div></div></div>
2025/6/10 08:23作者陳曉莉https://www.ithome.com.tw/news/169442
開源多媒體處理函式庫FFmpeg原生整合WebRTC，增強低延遲串流場景支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>長期主導開源影音生態的多媒體處理函式庫FFmpeg，正式將WebRTC支援<a href="http://git.ffmpeg.org/gitweb/ffmpeg.git/commit/167e343bbe75515a80db8ee72ffa0c607c944a00">合併</a>入主線，並新增WHIP muxer（WebRTC-HTTP Ingestion Protocol Multiplexer），使FFmpeg原生具備次秒級低延遲串流輸出能力。這項更新使FFmpeg正式進入WebRTC生態系，功能從離線轉檔與解編碼，擴展至互動直播與雲端製播等即時性場景。</p> <p>WebRTC已成為現代瀏覽器與行動應用低延遲影音傳輸的主要標準。過去當要從FFmpeg推送串流至WebRTC平臺，開發者需額外部署轉接服務或自建媒體閘道，將RTP或其他封裝格式橋接至WebRTC，而這會造成架構複雜與延遲難以控制。</p> <p>新加入的WHIP muxer讓使用者在FFmpeg指令中加入-f whip參數，即可將音訊與視訊串流直接送到支援WHIP的WebRTC伺服器。無論是自建串流平臺、即時監控整合或互動視訊服務開發，開發者及硬體設備廠商只要內建FFmpeg，即可直接輸出WebRTC串流，進一步縮短整合時程並減少伺服器資源消耗，提供額外低延遲串流選項。</p> <p>WHIP在今年3月獲IETF定版為<a href="https://datatracker.ietf.org/doc/rfc9725/">RFC 9725</a>，協定設計強調最小訊號交換流程以完成即時推送串流，採用HTTPS進行會話協商，並以UDP傳送加密RTP封包，連線建立時間更短，具備NAT穿透與安全傳輸特性，特別適用於互動直播、雲端遊戲、遠距教學等對延遲敏感的應用。</p> <p>此次合併涉及約三千行程式碼的新增與重構，涵蓋協定協商、會話管理與加密傳輸等機制，使FFmpeg與GStreamer、OBS Studio等主流工具在WebRTC支援更趨一致，形成完整且互通的開源串流生態。</p> </div></div></div>
2025/6/10 08:43作者李建興https://www.ithome.com.tw/news/169437
【資安日報】6月9日，中國驚傳大規模資料外洩，40億筆民眾個資在網際網路短暫裸奔
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本日資安新聞環繞兩大主題：中國與勒索軟體；在中國的部分，彙整當地民眾的40億筆記錄大型資料庫曝光最受到矚目，其次，中國駭客使用iMessage零點擊漏洞攻擊政要，以及鎖定SQL Server、NetWeaver等應用系統入侵企業組織的情況，也相當值得留意。</p> <p>而在勒索軟體的部分，駭客組織Qilin的活動再度浮上檯面，在此同時，攻擊者假借提供AI工具之名的線上平臺，成為散布勒索軟體的另類管道。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169435"><strong style="font-size: 22px;">中國驚傳大規模資料外洩，40億筆民眾個資在網際網路裸奔一天</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/china-leak-data-sample2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/china-leak-data-sample2.png" style="width: 300px; float: right;" /></a></p> <p>中國政府藉由收集民眾各式資料進行監控的情況，不時有相關消息傳出，然而這些資料保護不周的現象也時有所聞，最近有一起大規模資料外洩事故，引起全球高度關注。</p> <p>資安新聞網站Cybernews的研究團隊與資安業者Security Discovery聯手，於5月19日發現未受密碼保護的大型資料庫，內有超過40億筆用戶記錄，檔案大小為631 GB，內含金融財務資料、微信及支付寶（Alipay）的詳細資料，而且，大部分資料來自中國的使用者。研究人員認為，這應該是中國史上規模最大的資料外洩事故。</p> <p>這批資料裡面有什麼？Cybernews提及持有者疑似將內容依據類型分成16種資料集存放，根據筆數多寡，最多的是名為wechatid_db的資料集，內有8.05億筆微信帳號資料；其次是名為address_db的資料集，內有7.8億筆住宅的地理識別資訊，第三大的資料集名稱為bank，內有6.3億筆涉及信用卡號、存款、消費習慣的金融財務資料。研究人員指出，相關資料是透過精心收集與維護，目的很有可能是彙整所有中國民眾的行為、經濟能力，以及社會狀態。</p> <p><a href="https://www.ithome.com.tw/news/169423"><strong style="font-size: 22px;">中國資助的駭客利用iMessage零點擊漏洞Nickname，攻擊歐美重要人物</strong></a></p> <p>端點防護業者iVerify發現駭客組織利用iPhone上的iMessage漏洞攻擊歐美政治人物、媒體高層、AI廠商等重要人物，過程裡完全無需使用者互動。他們也透露這些受害者的共通點，就是曾遭到另一駭客組織Salt Typhoon攻擊。</p> <p>去年底到今年三月間之前，多位iPhone用戶發生手機當機事件，iVerify研究人員分析是和iMessage有關的零點擊攻擊，這波攻擊源自iMessage的imagent行程（process）中的一個漏洞，該漏洞基於其功能和位置因而之前未曾被揭露，iVerify將其命名為NICKNAME。</p> <p>研究人員發現，有6名iPhone用戶遭到和iMessage有關的攻擊。其中一名用戶手機頻繁發生當機後，iMessage附件在數秒內被一次大量刪除或新增的異常情形。這類異常情況僅發生在高價值，如重要政經人物身上。另一個證據是，其中一位用戶是歐盟資深政府官員，他曾接到蘋果發送威脅通知，這類通知的對象是國家駭客或政府監聽活動鎖定的iPhone用戶。</p> <p><a href="https://www.ithome.com.tw/news/169419"><strong style="font-size: 22px;">中國駭客Earth Lamia鎖定SQL Server、NetWeaver等應用系統而來，利用已知漏洞入侵受害組織</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/EarthLamiafig01-01.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/EarthLamiafig01-01.png" style="width: 300px; float: right;" /></a>5月上旬威脅情報業者EclecticIQ指出，與中國國家安全部（MSS）有關的駭客團體CL-STA-0048、UNC5221，以及UNC5174，利用SAP修補的NetWeaver滿分漏洞CVE-2025-31324，廣泛於英國、美國、沙烏地阿拉伯發動攻擊，現在有研究人員公布長期調查的結果，指出這些駭客長期針對網頁應用系統的資安漏洞來入侵受害組織，得逞後透過多種手法從事網路間諜活動，竊取內部資料。</p> <p>資安業者趨勢科技指出，他們從2023年追蹤與上述團體有關的中國駭客組織Earth Lamia，這些駭客主要針對巴西、印度、東南亞的企業組織從事攻擊行動，他們利用的管道，是透過網頁應用程式的SQL注入漏洞存取受害組織的SQL Server，這些駭客也擅於使用已知漏洞對能夠從網際網路存取的伺服器下手。</p> <p>這些駭客經常透過掃描找出目標網站的SQL注入漏洞，一旦找到漏洞，他們就會試圖開啟系統的Shell，從而得到SQL Server的遠端存取管道。但除了試圖利用SQL注入手法，駭客也使用已知漏洞來攻擊其他應用程式伺服器。</p> <p><a href="https://www.ithome.com.tw/news/169434"><strong style="font-size: 22px;">勒索軟體Qilin利用Fortinet已知漏洞從事攻擊行動</strong></a></p> <p>根據資安新聞網站Bleeping Computer的報導，資安業者Prodaft指出，勒索軟體駭客Qilin在今年5月至6月之間，發起鎖定多個企業組織的攻擊活動，利用Fortinet防火牆的已知漏洞來取得初始入侵管道，其中包含CVE-2024-21762、CVE-2024-55591。</p> <p>而對於這些駭客針對的目標，研究人員指出共通點是來自使用西班牙語的國家，但他們認為駭客應該會隨機挑選下手目標，而非特別局限於特定的地理區域從事相關活動。</p> <p>上述研究人員提及的防火牆漏洞，皆已用於實際攻擊行動，而且，CVE-2024-55591被用於散布勒索軟體已非首例，今年1月下旬，使用俄語的駭客組織Mora_001藉此部署以LockBit 3.0為基礎的勒索軟體SuperBlack；另一個漏洞CVE-2024-21762，美國網路安全暨基礎設施安全局（CISA）於2月列入已遭利用的漏洞名冊（KEV）。</p> <p><a href="https://www.ithome.com.tw/news/169407"><strong style="font-size: 22px;">勒索及惡意軟體偽裝成AI工具散布</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/data-src-image-2f8ff667-a31c-4338-ae7f-b67d048f4c6c.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/data-src-image-2f8ff667-a31c-4338-ae7f-b67d048f4c6c.png" style="width: 300px; float: right;" /></a>資安業者Cisco Talos警告，隨著AI工具的盛行，駭客開始假冒各種合法的AI工具以散布CyberLock與Lucky_Gh0$t等勒索軟體，以及全新的惡意軟體Numero。</p> <p>其中，CyberLock假冒為Novaleads，這是個協助企業將潛在客戶變現的線上平臺，主要提供行銷與客戶關係管理服務，其官網為Novaleads.app，其實跟AI並無關係，但駭客建立了一個Novaleads AI品牌，並申請Novaleadsai[.]com網址，同樣宣傳可推動銷售，企圖混淆視聽，提供產品下載，還說前12個月可免費使用，結果於執行程式中暗藏了CyberLock勒索軟體，向受害者要求價值5萬美元的門羅幣作為贖金。</p> <p>而Lucky_Gh0$t則偽裝成ChatGPT 4.0完整版安裝程式ChatGPT 4.0 full version - Premium.exe，它只加密小於1.2GB的檔案，包括文字、程式碼與配置檔，或是Office與Adobe文件，以及安裝程式或憑證檔等，較大的檔案則是直接破壞。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/new-pathwiper-malware-targets-critical-infrastructure/">惡意軟體PathWiper鎖定關鍵基礎設施而來，意圖植入管理工具以便駭客後續作案</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/hacker-targets-other-hackers-and-gamers-with-backdoored-github-code/">遊戲玩家、指令碼小子遭鎖定，駭客企圖透過GitHub散布木馬程式Sakura RAT</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/06/new-supply-chain-malware-operation-hits.html">後門程式GlueStack透過惡意NPM套件散布</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/unsecured-database-exposes-passion-io-creators-data/?web_view=true">應用程式建置服務Passion.io資料庫未受保護，360萬開發者資料恐曝險</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://blog.virustotal.com/2025/06/what-17845-github-repos-taught-us-about.html">MCP伺服器近8%為惡意用途，逾1.7萬個GitHub儲存庫曝險</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169401"><strong style="font-size: 22px;">思科修補身分服務引擎ISE的驗證繞過漏洞</strong></a></p> <p>思科本周發布安全更新，修補身分服務引擎（Identity Service Engine，ISE）上高度風險的漏洞。</p> <p>編號CVE-2025-20286的漏洞一旦被成功濫用，駭客就可存取在AWS、Azure或OCI等雲端平臺的Cisco ISE執行個體，進而取得敏感資料、執行部份管理員運作、修改系統配置或擾亂受害系統內的服務，CVSS風險值高達9.9（滿分10分），屬重大層級。</p> <p>思科說明，這項漏洞起於思科ISE部署在雲端平臺時憑證產出不當，導致多個不同ISE執行個體可共用同一組憑證，只要這些環境的ISE軟體版本和雲端平臺一樣。攻擊者可以從雲端上的Cisco ISE執行個體擷取出用戶憑證，再以不安全的傳輸埠存取另一雲端平臺上的ISE執行個體，進而執行惡意存取行為。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169399"><strong>【6月6日】鎖定求職者的網釣不再只針對IT人員，出現向企業財務高層以挖角為誘餌的網路攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169392"><strong>【6月5日】Roundcube存在9.9分的重大層級漏洞，恐波及其他內建此郵件伺服器的系統</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169365"><strong>【6月4日】逾250個Amazon代管IP位址被用於找尋75種應用系統弱點，恐引發大規模攻擊</strong></a></p> </div></div></div>
2025/6/9 17:35作者周峻佑https://www.ithome.com.tw/news/169436
中國驚傳大規模資料外洩，曝露40億筆民眾詳細個資，涵蓋微信、支付寶、財務資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國政府藉由收集民眾各式資料進行監控的情況，不時有相關消息傳出，然而這些資料保護不周的現象也時有所聞，最近有一起<a href="https://cybernews.com/security/chinese-data-leak-billiones-records-exposed/">大規模資料外洩事故</a>，引起全球高度關注。</p> <p>資安新聞網站Cybernews的研究團隊與資安業者Security Discovery聯手，於5月19日發現未受密碼保護的大型資料庫，內有超過40億筆用戶記錄，檔案大小為631 GB，內含金融財務資料、微信及支付寶（Alipay）的詳細資料，而且，大部分資料來自中國的使用者。研究人員認為，這應該是中國史上規模最大的資料外洩事故。</p> <p>這批資料的內容為何？Cybernews提及所有者疑似將內容依據類型分成16種資料集存放，根據筆數多寡，最多的是名為wechatid_db的資料集，內有8.05億筆微信帳號資料；其次是名為address_db的資料集，內有7.8億筆住宅的地理識別資訊，第三大的資料集名稱為bank，內有6.3億筆涉及信用卡號、存款、消費習慣的金融財務資料。研究人員指出，相關資料是透過精心收集與維護，目的很有可能是彙整所有中國民眾的行為、經濟能力，以及社會狀態。</p> <p>值得留意的是，光是透過上述的3種資料，就有可能讓攻擊者掌握出民眾的生活型態、消費習慣、借貸與存款的情形等。</p> <p>另一個為數可觀的資料集也引起研究人員注意，此資料集以簡體中文命名，稱為三因子檢查（three-factor checks），共有逾6.1億筆記錄，包含使用者ID、電話號碼、使用者名稱。</p> <p>附帶一提的是，與微信有關的還有名為wechatinfo的資料集，約有5.77億筆記錄，研究人員推測此資料集內含中繼資料或是通訊事件記錄，甚至不排除是使用者對話內容。</p> <p>與支付寶有關的資料集也有2個，其中較大的是zfbkt_db，內含支付寶的卡片與Token資料，這代表攻擊者能用於未經授權付款、挾持帳號，甚至是竊取使用者的身分；另一個資料集則是與支付寶有關的金融資料。</p> <p>雖然大部分資料與中國民眾有關，但其中一個名為tw_db的資料集相當特別，研究人員推測很有可能與臺灣有關，不過內容為何，他們並未進一步透露。</p> <p>僅管研究人員發現並檢視資料庫的部分內容，但由於對方很快就察覺，並將資料庫離線，因此研究人員無法確認資料庫的所有者身分，資料庫曝露在網際網路的時間持續多久，是否有其他人未經授權存取，也無從得知。</p> </div></div></div>
2025/6/9 17:26作者周峻佑https://www.ithome.com.tw/news/169435
勒索軟體Qilin利用Fortinet已知漏洞從事攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年<a href="https://www.ithome.com.tw/news/163329">攻擊英國倫敦醫院服務供應商Synnovis</a>、今年3月<a href="https://www.ithome.com.tw/news/168720">攻擊吉隆坡國際機場（KLIA）</a>的<a href="https://www.ithome.com.tw/tags/qilin">勒索軟體駭客組織Qilin</a>，最近傳出發起新一波的攻擊行動，針對特定廠牌防火牆已知資安漏洞而來，過程完全自動化進行。</p> <p>勒索軟體Qilin自2022年8月開始出沒，也被稱為Agenda，駭客以租用服務（Ransomware-as-a-Service）的型態經營，這幾年傳出受害者相當廣泛，還包含中國汽車內裝零件製造商延峰（Yangfeng）、美國新聞媒體業者Lee Enterprises，以及澳洲法院服務業者Victoria等。其中，攻擊Synnovis導致英國倫敦多家醫院停擺的情況，受到全球高度關注。</p> <p>根據<a href="https://www.bleepingcomputer.com/news/security/critical-fortinet-flaws-now-exploited-in-qilin-ransomware-attacks/">資安新聞網站Bleeping Computer的報導</a>，<a href="https://x.com/PRODAFT/status/1930959948810264845">資安業者Prodaft指出</a>，這些駭客在今年5月至6月之間，發起鎖定多個企業組織的攻擊活動，利用Fortinet防火牆的已知漏洞來取得初始入侵管道，其中包含CVE-2024-21762、<a href="https://ithome.com.tw/tags/cve-2024-55591">CVE-2024-55591</a>。</p> <p>而對於這些駭客針對的目標，研究人員指出共通點是來自使用西班牙語的國家，但他們認為駭客應該會隨機挑選下手目標，而非特別局限於特定的地理區域從事相關活動。</p> <p>上述研究人員提及的防火牆漏洞，皆已用於實際攻擊行動，而且，CVE-2024-55591被用於散布勒索軟體已非首例，今年1月下旬，使用俄語的駭客組織Mora_001<a href="https://ithome.com.tw/news/167900">藉此部署以LockBit 3.0為基礎的勒索軟體SuperBlack</a>；另一個漏洞CVE-2024-21762，美國網路安全暨基礎設施安全局（CISA）於2月<a href="https://www.cisa.gov/news-events/alerts/2024/02/09/cisa-adds-one-known-exploited-vulnerability-catalog">列入已遭利用的漏洞名冊（KEV）</a>。</p> </div></div></div>
2025/6/9 14:45作者周峻佑https://www.ithome.com.tw/news/169434
知名AI輔助開發工具Cursor推出1.0正式版，內建BugBot自動程式碼審查功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以人工智慧輔助開發為核心，同時也是氛圍開發（Vibe Coding）者愛用的<a href="https://www.cursor.com/en/changelog/1-0">Cursor推出1.0正式版</a>，帶來多項針對開發流程與團隊協作的功能更新。更新重點包括BugBot自動程式碼審查工具、MCP一鍵安裝與OAuth認證，以及背景代理（Background Agent）開放並直接支援Jupyter Notebook，還有專案記憶（Memories）測試版，同時針對設定與儀表板頁面進行強化。</p> <p>BugBot自動程式碼審查功能針對拉取請求流程自動檢查潛在錯誤，當發現問題時會於GitHub留下具體評論，開發人員可透過Fix in Cursor按鈕切換到編輯器，系統會自動填入修正提示，以加速修正與提升程式品質。對於需經常協作的團隊而言，BugBot自動化功能可減少人工審查負擔。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0609-Cursor-BugBot-by%20Anysphere.png" style="width: 600px;" /></p> <p>Cursor全面開放背景代理，而這個遠端協作代理讓用戶只需於聊天室點選雲端圖示或使用快捷鍵，即可啟用，支援遠端協作者在Cursor環境同步編輯專案。針對啟用隱私模式的用戶，目前還無法直接啟用背景代理，團隊預計後續推出新設定以擴大適用範圍。</p> <p>針對Jupyter Notebook用戶，Cursor正式支援由代理直接於筆記本內新增與編輯多個程式區塊，目前此功能優先開放給採用Sonnet模型的用戶。該功能可簡化Notebook內容修改流程，提升資料分析與原型開發速度，適合研究或資料科學團隊使用。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0609-Cursor-Agent%20in%20Jupyter%20Notebooks-by%20Anysphere.png" style="width: 600px;" /></p> <p>本次更新也新增Memories專案記憶測試版，Cursor可於每個專案層級記錄與引用先前對話重點，協作者可於設定中管理記憶內容，提升溝通效率並減少重複說明或遺漏資訊的可能性。</p> <p>在基礎設施方面，MCP伺服器現可一鍵安裝並支援OAuth認證，官方也釋出經認證的MCP伺服器清單，開發人員可於官方文件加入快速安裝按鈕，降低整合門檻，簡化第三方服務串接，加速自有伺服器接入與用戶授權設定。</p> <p>Cursor聊天室現已內建Mermaid圖表與Markdown表格即時生成功能，使溝通內容更結構化與視覺化，增加技術討論效率。設定與儀表板頁面則經全面改版，提供即時使用狀況統計、團隊使用行為分析、顯示名稱修改與網路診斷等功能，讓開發及管理過程更透明且更具可追蹤性。</p> </div></div></div>
2025/6/9 16:05作者李建興https://www.ithome.com.tw/news/169433
【資安週報】0602~0606，Chrome將從8月開始不信任中華電信新簽發的TLS/HTTPS憑證
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>回顧2025年6月第一星期的資安新聞，有一項與瀏覽器TLS加密憑證合規的消息受到矚目，是關於Google宣布自Chrome 139（預計2025年8月發布）起，將不信任中華電信與匈牙利Netlock這兩家CA（憑證機構）於8月後核發的新TLS憑證，以中華電信問題而言，原因是合規性不足與缺乏有效管理。數發部表示，今年3月已掌握情資，啟動政府網站申請雙憑證方式來因應。</p> <p>具體影響在於，屆時服務端若向中華電信申請新憑證，使用Chrome瀏覽的用戶將出現連線錯誤或安全警告提示，雖然其他瀏覽器未跟進這項措施，Edge、Safari、Firefox的用戶不受影響，但Chrome的不信任仍可能讓一般用戶造成困擾，整個IT領域也關注是否還有其他影響，像是防護系統是否可能因瀏覽器信任清單，而將採用這些憑證的網站列入不信任名單。中華電信已經宣布，8月起暫停簽發新的TLS網站憑證，也承諾爭取讓自家憑證重獲預設信任，但根據Bugzilla紀錄的事件資訊來看，如何改善像是誤發憑證無法在規範5天內撤銷，以及年度自評報告延遲繳交等狀況，才是重點。</p> <p>在資安事故方面，有兩大類型議題備受我們關注，首先，是有兩起資安業者出狀況引發的資安危機：（一）資安業者SentinelOne於5月29日傳出多項服務中斷，事故原因是將正式系統過渡至新雲端架構過程中，誤刪路由導致組態比對功能異常；（二）自動化資安合規業者Vanta於5月26日發現系統內部程式碼錯誤，導致部分客戶敏感資料可被其他客戶存取，約有數百家企業受影響。</p> <p>另一是多家精品與服飾業者接連遭遇事故，相當不尋常：（一）內衣與時尚品牌業者維多利亞的秘密（Victoria's Secret）上星期網站服務停擺，該公司證實遭遇資安事故因此暫時關閉網站與網路商店服務；（二）精品業者Cartier通知客戶系統遭駭，有客戶個資外洩狀況；（三）戶外用品與運動服飾業者The North Face通報4月遭遇帳號填充攻擊，部分客戶個資外洩。</p> <p>其他重要資安事故方面，在臺灣，聯嘉光電於公開資訊觀測站發布資安重訊，揭露資訊系統遭到攻擊，駭客試圖存取總部與部分子公司網路環境；先前美國虛擬貨幣交易所Coinbase向美國SEC通報資料外洩，最新調查發現事件與兩名印度客服外包商TaskUs員工有關；還有法律與商業資訊業者LexisNexis發生客戶資料外洩，此事同樣因向主管機關通報而曝光，影響人數達36萬多人，初步調查顯示資料是從該公司使用的GitHub外洩，細節仍待釐清。</p> <p>在最新威脅態勢上，有4則新聞值得留意，涵蓋全螢幕BitM攻擊手法、濫用合法OpenSSH與Windows內建的API的攻擊活動，以及利用挖腳名義鎖定高層網釣攻擊的揭露。我們整理如下：</p> <p>●研究人員揭露新的瀏覽器中間人（BitM）攻擊手法，能以全螢幕方式展現，使惡意URL不被看到，降低遭察覺的機會，並指出fullscreen API的安全問題。<br /> ●有駭客濫用Windows內建的OpenSSH元件試圖建立後門連線，SANS網路風暴中心資安研究人員指出，攻擊者透過惡意DLL檔案dllhost.exe來啟動SSH服務。<br /> ●發現勒索軟體Lyrix駭客濫用Windows內建的API來隱匿行蹤，像是使用GetCurrentProcess、TerminateProcess控制惡意程式的運作等多種方式。<br /> ●發現鎖定不同產業高層與財務長（CFO）的網路釣魚攻擊，是以其他公司挖角名義來誘騙，攻擊範圍涵蓋歐洲、非洲、加拿大、中東與南亞。</p> <p>在漏洞攻擊威脅方面，有4個零時差漏洞攻擊，涵蓋Google Chromium與高通GPU晶片，可惜目前還未有具體攻擊影響揭露。</p> <p>●Google修補Chromium V8中1個已遭露利用的零時差漏洞CVE-2025-5419<br /> ●高通修補3個涉及GPU已遭利用的零時差漏洞，分別是CVE-2025-21479、CVE-2025-21480、CVE-2025-27038，僅透露已被用於目標式攻擊。<br /> ●ConnectWise於4月修補的漏洞CVE-2025-3935，近期發現可能遭國家級駭客利用，但也傳出可能早在去年8月就已遭利用。<br /> ●先前威脅情報業者GrayNoise揭露華碩路由器已知漏洞遭鎖定，尤其是CVE-2021-32030、CVE-2023-39780遭駭客利用，後續華碩提醒，後項漏洞與其他4個漏洞也有關。<br /> ●舊版網路論壇軟體vBulletin存在兩項已遭駭客利用的漏洞，分別是：CVE-2025-48827與CVE-2025-48828，但去年4月修補未公布CVE，近期駭客鎖定攻擊、經資安業者通報，才讓這兩個CVSS滿分的CVE漏洞浮上檯面。</p> <p>至於資安防禦動態方面，有3大重點值得大家關注，首先，澳洲政府頒布新規範，針對遭勒索的企業，要求從5月30日起，不僅要通報資安事件，也要在72小時內通報支付贖金的金額，這在國際相當少見；其次，針對駭客組織命名不同問題，微軟與CrowdStrike正合作發展一套對照指引，雖然這並非建立共通標準，但目的很明顯是要減少資安資訊交流阻礙。</p> <p>第三項重點是打擊網路犯罪。美國財政部指出菲律賓公司Funnull向AWS或Azure購買大量IP位址，再轉售給詐騙集團，協助架設投資詐騙網站，因此對Funnull祭出制裁。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/169309"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月2日】新型態瀏覽器中間人攻擊手法濫用全螢幕隱匿意圖</span></strong></a></h3> <p>駭客架設遠端瀏覽器來發動瀏覽器中間人攻擊（Browser in the Middle，BitM），藉由在使用者存取網路應用程式的過程裡，不知不覺地挾持用戶的帳號，但如今有研究人員揭露改良版的攻擊手法，使用者恐更難察覺。</p> <p>資安業者SquareX指出，一般的BitM攻擊有機會從網址列察覺，但若是攻擊者搭配瀏覽器全螢幕瀏覽的API，就更有機會騙過使用者而得逞。</p> <h3><a href="https://www.ithome.com.tw/news/169343"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月3日】Chrome將從8月起停止預設信任中華電信TLS新憑證引起高度關注</span></strong></a></h3> <p>5月底Google宣布Chrome瀏覽器預設信任機制將祭出新的措施，其中有兩家CA業者的合規改善情況未達到要求，造成可靠性下降，他們決定從Chrome 139開始，移除對於這兩家CA於8月之後核發的新TLS憑證的信任，由於其中一家CA是臺灣電信龍頭中華電信，這項消息很快就引起國內關注。</p> <p>由於此事影響的層面可能會相當廣泛，中華電信也緊急發布聲明說明處理情形，數位發展部也透露公部門網站已採取雙憑證因應。</p> <p><a href="https://www.ithome.com.tw/news/169365"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月4日】逾250個Amazon代管IP位址被用於找尋75種應用系統弱點，恐引發大規模攻擊</span></strong></a></p> <p>如同歹徒犯案會事先勘察環境，駭客也會透露掃描特定弱點的方式尋找可下手的目標，但過往駭客往往是針對其中一項漏洞，或是特定組態配置不當的情況而來，如今有人同時對75種弱點挖掘能夠攻擊的目標，這樣的情況極為罕見。</p> <p>這起事故另一個特殊的地方在於，整個活動只維持一天，使得研究人員想要找出攻擊者的身分，也變得更加困難。</p> <h3><a href="https://www.ithome.com.tw/news/169392"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月5日】Roundcube存在9.9分的重大層級漏洞，恐波及其他內建此郵件伺服器的系統</span></strong></a></h3> <p>過往駭客組織鎖定的郵件伺服器系統，多半以微軟的Exchange為主，但最近兩到三年，有越來越多駭客針對Roundcube、Zimbra等開源解決方案而來，因此這類系統若是出現資安漏洞，也相當值得留意。</p> <p>最近有資安業者發現Roundcube重大層級漏洞，值得留意的是，由於不光是IT人員用來架設郵件伺服器，再加上有其他應用系統如主機管理平臺cPanel、Plesk整合Roundcube，亦有Yandex.Mail、Zoho Mail等服務採用，因此這種漏洞的影響範圍會相當可觀。</p> <h3><a href="https://www.ithome.com.tw/news/169399"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月6日】鎖定求職者的網釣不再只針對IT人員，出現向企業財務高層以挖角為誘餌的網路攻擊</span></strong></a></h3> <p>今天的資安新聞當中，針對高階財務主管的攻擊行動相當值得留意，過往駭客通常是透過電子郵件詐騙（BEC）手法，佯稱是公司的CEO來行騙，但如今有歹徒以獵人頭的名義來對這些主管下手，目的是在他們的電腦植入惡意軟體並進行控制。</p> <p>此外，駭客針對DevOps環境配置不當、濫用Windows內建的OpenSSH元件也值得留意。在國內消息的部分，昨天傍晚聯嘉光電發布資安重訊，指出總部與海外子公司同時遭受攻擊。</p> <p> </p> </div></div></div>
2025/6/9 14:33作者羅正漢https://www.ithome.com.tw/news/169425
非營利的EleutherAI釋出集結合法開放資料的AI訓練資料集
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>非營利的AI研究組織EleutherAI上周<a href="https://huggingface.co/blog/stellaathena/common-pile" target="_blank">發布了Common Pile v0.1</a>，這是個AI訓練資料集，所蒐集的資料全部屬於開放授權或公有領域，且利用該資料集訓練出的2個7B模型，發現它們的表現並不亞於LLaMA、MPT、PRJ-INCITE或Qwen等知名模型。</p> <p>EleutherAI創立於2020年，是個非營利的AI研究機構，亦被稱為OpenAI的開源版。甫釋出的Common Pile v0.1收錄超過30種來源的逾8TB的純文字，該資料集採用嚴格的授權過濾機制，僅保留採用創用CC BY、CC BY-SA或CC0協議的內容，涵蓋生物醫學領域的PubMed Central、數理科學領域的ArXiv、GitHub Archive、StackExchange、Ubuntu IRC、USPTO專利資料集及維基百科等。</p> <p>Common Pile v0.1的重點是它們皆屬於公開授權及公有領域，明確排除了不符合開放意義的資料，避免侵權問題，並提升訓練資料集的透明度。</p> <p>EleutherAI還利用Common Pile v0.1訓練了兩個7B參數模型，其中的<a href="https://huggingface.co/common-pile/comma-v0.1-1t" target="_blank">Comma v0.1-1T</a>以1兆個Token作為訓練量，<a href="https://huggingface.co/common-pile/comma-v0.1-2t" target="_blank">Comma v0.1-2T</a>則使用了2兆個Token進行訓練。</p> <p>當比較Comma v0.1-1T與LLaMA、MPT及PRJ-INCIT等模型時，發現Comma v0.1-1T在ARC-C、MMLU、BoolQ、SIQA、HumEval及MBPP等基準測試上勝出。</p> <p>若是比較Comma v0.1-2T與OLMo Twin、Llama 2及DeepSeekLLM，Comma v0.1-2T也在ARC-E、MMLU、SIQA及HumEval上的表現最為突出。</p> <p>EleutherAI認為，使用未授權資料可能引發法律與倫理爭議，因此應該建立一套完全由開放授權或是公有領域組成的資料集，而且實驗也發現，這些基於開放資料集的模型在許多測試中的表現也與主流模型相當，彰顯出開放資料也能訓練出高品質的語言模型，將能鼓勵社群持續蒐集與擴展開放授權資料，朝向合法、可持續及倫理的AI模型發展路線。</p> </div></div></div>
2025/6/9 12:25作者陳曉莉https://www.ithome.com.tw/news/169432
Apple用Swift重寫密碼監控服務效能提升40％
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.swift.org/blog/swift-at-apple-migrating-the-password-monitoring-service-from-java/">Apple將密碼監控服務後端由Java改為Swift</a>，效能提升40％，記憶體用量降低一個量級，單一實例記憶體大幅縮減，99.9％請求延遲低於1毫秒，整體資源使用量減半</p> <p>Apple近年推動軟體基礎架構現代化，繼在行動裝置與桌面端廣泛導入Swift後，最新重大調整是將密碼監控服務後端從Java改寫為Swift，並已在全球生產環境部署。根據Apple官方團隊說明，Swift版本的效能較Java提升約40％，同時能大幅降低記憶體用量。</p> <p>密碼監控服務是Apple在2024年所推出Passwords應用程式的核心功能之一。該服務協助用戶於多裝置間管理密碼、通行密鑰與驗證碼，並即時檢查密碼是否外洩。而其服務後端運作在Linux基礎設施，須要長時間高效處理全球數十億裝置的查詢請求，對效能與擴充性要求嚴格。</p> <p>Apple團隊表示，隨用戶規模擴大，Java雖具穩定性及豐富生態系，但在大規模服務下的資源使用率已經成為瓶頸。特別是在記憶體管理、JVM啟動速度與垃圾回收調校上，難以兼顧高並行（Concurrency）的即時性與運算效能。團隊在多次調校JVM後仍無法達成預期目標，因此評估以Swift重構系統架構。</p> <p>採用Swift重寫後，服務單一實例記憶體需求從Java高峰時的數十GB降至數百MB，資源用量大幅減少。整體吞吐量提升約40％，99.9％請求延遲低於1毫秒，團隊指出，Swift具嚴謹型別系統、可選值與安全釋放機制，有助減少執行期間錯誤並提升程式碼可讀性。Swift語法設計也使開發人員能以更精簡且易於維護的方式建構模組化架構，重寫後程式碼行數約為原先的15％，有利於降低維運負擔。</p> <p>在軟體架構方面，Apple採用Swift的Vapor伺服器端框架，並針對密碼監控需求，開發橢圓曲線密碼技術、稽核、設定及錯誤處理等自訂元件。針對高安全標準，密碼監控服務不會回傳用戶密碼至Apple，採用隱私集合交集（Private Set Intersection）等密碼技術協定，確保用戶隱私與安全。</p> <p>Apple技術團隊進一步指出，Swift除了高效能與安全性，也具動態擴充能力，適合在Kubernetes等雲端原生架構運作。轉換後，密碼監控服務的資源使用量減半，使Kubernetes叢集可釋出更多資源供其他服務使用，進而提升整體系統的可用性與彈性。</p> </div></div></div>
2025/6/9 12:06作者李建興https://www.ithome.com.tw/news/169429
中國駭客Earth Lamia鎖定SQL Server、NetWeaver等應用系統而來，利用已知漏洞入侵受害組織
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>5月上旬<a href="https://www.ithome.com.tw/news/168966">威脅情報業者EclecticIQ指出</a>，與中國國家安全部（MSS）有關的駭客團體CL-STA-0048、UNC5221，以及UNC5174，利用SAP修補的NetWeaver滿分漏洞CVE-2025-31324，廣泛於英國、美國、沙烏地阿拉伯發動攻擊，現在有研究人員公布長期調查的結果，指出這些駭客長期針對網頁應用系統的資安漏洞來入侵受害組織，得逞後透過多種手法從事網路間諜活動，竊取內部資料。</p> <p>資安業者趨勢科技指出，他們<a href="https://www.trendmicro.com/en_us/research/25/e/earth-lamia.html">從2023年追蹤與上述團體有關的中國駭客組織Earth Lamia</a>，這些駭客主要針對巴西、印度、東南亞的企業組織從事攻擊行動，他們利用的管道，是透過網頁應用程式的SQL注入漏洞存取受害組織的SQL Server，這些駭客也擅於使用已知漏洞對能夠從網際網路存取的伺服器下手。</p> <p>研究人員提及，這些駭客廣泛鎖定許多企業組織，但同時間只會對特定行業下手，根據駭客針對的對象，大致可分成幾個時期，從2023年至2024年初，他們主要的目標是金融業，尤其是與證券和金融經紀公司；到了2024年下半，他們將目標轉向物流與網路零售業；直到最近，駭客將目標轉向IT公司、大學、政府機關。</p> <p>雖然Earth Lamia高度使用可公開取得的工具從事攻擊，但他們也不斷開發自己的工具Pulsepack、BypassBoss。其中Pulsepack約從去年8月出現，今年駭客改用升級版本，最大的差異就是更換C2通訊的做法，這代表駭客積極開發這個後門程式。</p> <p>針對駭客的攻擊流程，這些駭客經常透過掃描找出目標網站的SQL注入漏洞，一旦找到漏洞，他們就會試圖開啟系統的Shell，從而得到SQL Server的遠端存取管道。但除了試圖利用SQL注入手法，駭客也使用已知漏洞來攻擊其他應用程式伺服器。</p> <p>除了前述提及的CVE-2025-31324，這些漏洞包含：Apache Struts2漏洞CVE-2017-9805、Craft CMS漏洞CVE-2024-56145、CyberPanel漏洞CVE-2024-51378與CVE-2024-51567、GitLab漏洞CVE-2021-22205、JetBrains TeamCity漏洞CVE-2024-27198與CVE-2024-27199，以及WordPress檔案上傳外掛漏洞CVE-2024-9047，這些漏洞大部分涉及遠端程式碼執行（RCE），但也有任意檔案存取、身分驗證繞過、路徑穿越弱點。</p> <p>一旦成功入侵受害伺服器，這些駭客就會從事一系列的行為，於受害組織的網路環境進行橫向移動。這些行為包含利用Certutil及PowerShell下載作案工具、在網頁應用程式伺服器植入Web Shell、使用GodPotato或JuicyPotato等工具提升權限，以及利用Fscan及Kscan等工具掃描網路環境等。</p> <p>另一方面，這些駭客還會建立名為helpdesk的使用者帳號，並加入管理員群組，透過LSASS或是特定的機碼截取帳密資料，並使用公用程式nltest.exe、net.exe收集網域控制器的資訊。</p> <p>而對於建立對外通訊的部分，駭客使用rakshasa與Stowaway建立代理伺服器隧道，使用Vshell、Cobalt Strike、Brute Ratel等滲透測試工具產生後門程式，並透過schtasks.exe維持後門的運作。</p> <p>附帶一提，若是Earth Lamia成功利用SQL注入漏洞，就會建立具有管理員權限的帳號sysadmin123。</p> </div></div></div>
2025/6/9 10:30作者周峻佑https://www.ithome.com.tw/news/169419
Hugging Face開源機器人模型SmolVLA 可跑在Mac電腦上
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Hugging Face積極拓展機器人業務，繼公布二款低成本機器人後，<a href="https://huggingface.co/blog/smolvla" target="_blank">上周再開源一款4.5億參數量的機器人模型SmolVLA</a>，號稱能執行在消費硬體如Mac電腦上。</p> <p>相較於AI快速進步，機器人進展緩慢許多，這是因為欠缺高品質多元資料，及協助機器人像人類一樣思考和行動的模型。為解決這個問題，產業界最近開始重視視覺語言行動（vision-language-action，VLA）模型，這類模型希望在單一模型中整合知覺、語言理解和行動預測能力，並輸出相應的機器人行動。惟此類模型主要是專屬模型，其訓練通常要求昂貴的硬體、多種工程資源及大規模私有資料集，對研究社群取用有很高的門檻。</p> <p>因此Hugging Face釋出SmolVLA，希望能以這個開源、以公開資料集訓練，且能執行在消費硬體的輕量模型，推動VLA普及化，加速通用型機器代理人的研究。</p> <p>在訓練時，SmolVLA是以一般操作資料預訓練，再以特定任務專用資料進行後訓練，以實現更強的適應能力。在模型架構上，SmolVLA結合了Transformer及flow-matching解碼器，並採用4種技術，包括加速視覺模型推理速度：在視覺模型中跳過一半層數，以加速推論並縮小模型；交錯融合自注意力（self-attention）與交叉注意力（cross-attention）區塊，以強化多模態訊息整合效率；使用較少的視覺token提升處理速度；並選用更輕量的SmolVLM2來預訓練，降低硬體需求。</p> <p>即便訓練集僅包含不到3萬筆任務紀錄，遠少於其他視覺語言代理（VLA）模型，但Hugging Face說，SmolVLA在模擬與實體場景中的表現仍與大型模型相當，甚至超越。</p> <p>此外，SmolVLA引入非同步推理架構（asynchronous inference stack），將感知（視覺與聽覺理解）與動作執行解耦，有利於讓機器人在環境快速變化時更迅速做出反應，有效提升機器人的實用性。</p> <p>最後訓練出的SmolVLA-450M可執行在搭載消費級GPU的硬體甚至MacBook上。而搭配SmolVLA-450M的機器人，則包括Hugging Face自己的平價機器人機型，如SO-100、SO-101、LeKiwi等。</p> <p>而在標竿測試中，Hugging Face強調SmolVLA效能表現優異，其中在LIBERO、Meta-World模擬標竿測試中結果優於更大的模型，如Octo、OpenVLA，而在實際機器人SO100和SO101的抓取與放置、堆疊、分類的能力測試中，以SmolVLA的效能較好，而在SO101，SmolVLA也表現更好的泛化（generalization）能力。而非同步推論將執行和推論解耦，可使機器人在移動時反應更快，該公司強調支援提升30%速度及2倍的任務輸出。</p> <p>SmolVLA基礎模型<a href="https://huggingface.co/lerobot/smolvla_base" target="_blank">在Hugging Face平臺釋出</a>。<a href="https://github.com/TheRobotStudio/SO-ARM100" target="_blank">訓練方法則在GitHub公布</a>。</p> </div></div></div>
2025/6/9 11:14作者林妍溱https://www.ithome.com.tw/news/169427
Linux基金會啟動FAIR套件管理專案，打造WordPress的去中心化套件平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Linux基金會（Linux Foundation）上周五（6/6）<a href="https://www.linuxfoundation.org/press/linux-foundation-announces-the-fair-package-manager-project-for-open-source-content-management-system-stability" target="_blank">宣布啟動FAIR套件管理（FAIR Package Manager）專案</a>，該專案定位為中央WordPress.org外掛程式及主題生態系統的去中心化替代方案，以將控制權交還給托管商及開發人員。被視為是<a href="https://www.ithome.com.tw/news/165222" target="_blank">WP Engine爭議</a>的衍生性產物。</p> <p><a href="https://github.com/fairpm" target="_blank">根據該專案的說明</a>，FAIR套件管理可作為一個隨插即用的WordPress外掛程式運行，以聯合的開源基礎設施無縫地替換現有的集中式服務。該系統有兩個核心支柱，包括以本地或FIAR管理的替代方案取代了與 WordPress.org API的通訊，以及採用去中心化的套件管理。</p> <p>該專案說明，儘管穩定的外掛程式目前使用的是WordPress.org鏡像，但未來的版本將完全支援FIAR原生套件。</p> <p>託管商有兩種方式來遞送FAIR，一是提供獨立的外掛程式，可直接安裝在現有的WordPress上，二是透過FAIR發行版來自動部署網站。</p> <p>Linux基金會執行董事Jim Zemlin指出，FAIR套件管理專案將替開源內容管理的穩定性及發展鋪路，替貢獻者與企業提供了一個由中立社群治理的額外選項。</p> <p>該專案的意義在於可消除核心更新、外掛程式及主題對任何單一來源的依賴；藉由整合不同來源的外掛程式，替現代安全實踐奠定基礎；以及將安全性構建至供應鏈中，改善加密安全措施，強化瀏覽器相容性檢查，以允許依賴來自可信來源的安全加密鹽值。</p> <p>FAIR套件管理專案被視為是WP Engine事件的衍生物。WordPress專案主要貢獻者並開發WordPress.com的Automattic，在2024年要求同為WordPress託管商的WP Engine付費取得WordPress商標使用權，但遭WP Engine拒絕，隨後Automattic創辦人Matt Mullenweg即於去年9月<a href="https://www.ithome.com.tw/news/165222" target="_blank">禁止WP Engine存取WordPress.org</a>。</p> <p>WordPress.org為WordPress開源專案的官方網站與資源中心，負責提供核心軟體的免費下載與文件，也是官方的外掛程式及主題儲存庫，儘管它理論上應該是由社群所擁有，但Automattic或Mullenweg卻可片面決定封鎖WP Engine，還在同年10月<a href="https://www.ithome.com.tw/news/165480" target="_blank">擅自分叉WP Engine的ACF外掛</a>。Automattic內部也因此出現矛盾，最後<a href="https://www.ithome.com.tw/news/165444" target="_blank">造成159名員工離職</a>，Mullenweg也被批評違反開源精神，同時使得WordPress.org的中心化審核、發布機制與更新過程開始受到質疑。</p> <p>WordPress企業級解決方案供應商Crowd Favorite也贊助了FAIR套件管理專案，該公司執行長Karim Marucchi表示，從個人用戶、企業到遞送管道，WordPress的每個人都有一個共同的目標，亦即平臺的長期生存能力；而實現此一目標的最佳途徑即是消除供應鏈安全漏洞，以穩定整個WordPress生態系統。</p> </div></div></div>
2025/6/9 10:19作者陳曉莉https://www.ithome.com.tw/news/169426
中國支持的駭客利用iMessage NICKNAME零點擊漏洞攻擊歐美重要人物
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://iverify.io/blog/iverify-uncovers-evidence-of-zero-click-mobile-exploitation-in-the-us" target="_blank">端點防護業者iVerify發現</a>一個駭客組織利用iPhone上的iMessage漏洞，無需使用者互動就能攻擊歐美政治人物、媒體高層、AI廠商等重要人物，而這些受害者也曾遭到Salt Typhoon的攻擊。</p> <p>去年底到今年三月間之前，多位iPhone用戶發生手機當機事件，iVerify研究人員分析是和iMessage有關的零點擊攻擊，這波攻擊源自iMessage的imagent行程（process）中的一個漏洞，該漏洞基於其功能和位置因而之前未曾被揭露，iVerify將其命名為NICKNAME。</p> <p>研究人員解釋命名的由來。iPhone允許用戶為聯絡人設定暱稱或虛擬化身，而當攻擊者接連快速重覆發送暱稱更新到iMessage就會觸發「使用已釋放記憶體」（use-after-free）毁損，這讓NICKNAME成為一個更大範圍攻擊串最好的起始點。</p> <p>研究人員發現，有6名iPhone用戶遭到和iMessage有關的攻擊。其中一名用戶手機頻繁發生當機後，iMessage附件在數秒內被一次大量刪除或新增的異常情形。這類異常情況僅發生在高價值，如重要政經人物身上，當機率在50000部iPhone 中，有此類當機比例僅0.0001%。另一個證據是，其中一位用戶是歐盟資深政府官員，他曾接到蘋果發送威脅通知，這類通知的對象是國家駭客或政府監聽活動鎖定的iPhone用戶。</p> <p>研究人員相信，6名iPhone用戶中，4人手機明顯有和NICKNAME相關的簽章，2人手機更顯示了成功濫用漏洞的跡象。所有受害人都證實也曾經遭到中國駭客Salt Typhoon的攻擊，他們有人不願與中共同一路線，有人則是投入抗中活動。</p> <p>差分分析顯示，NICKNAME影響iOS 18.3，蘋果已經修補，但是該漏洞可能只是更大攻擊串的其中一段，因此研究人員認為無法下結論說這波攻擊已經平息。</p> </div></div></div>
2025/6/9 08:22作者林妍溱https://www.ithome.com.tw/news/169423
Google Gemini排程行動功能上線，提供付費用戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/gemini/scheduled-actions-gemini-app/" target="_blank">Google周三宣布</a>排程行動（scheduled action）功能正在部署到聊天機器人Gemini，提供給付費用戶，能為用戶自動摘要電子郵件，或自動報告運動賽事比分。</p> <p>排程行動功能是Gemini最新功能，旨在為用戶主動處理任務，類似OpenAI測試中的<a href="https://www.ithome.com.tw/news/166970" target="_blank">ChatGPT Tasks</a>。利用排程行動，用戶可簡化日常重複性作業，或讓Gemini直接提供個人化更新資訊。只需告訴Gemini在特定時間執行特定任務、或者將用戶一次性的提示變成重複執行的行為。</p> <p>例如用戶可設定Gemini做出行事曆行程或未讀郵件的摘要、排定每周一讓Gemini提供5個部落格撰寫的好點子、更新支持球隊的對戰行程或成績，也可以要求它每次金馬獎結束後，重點整理頒獎結果。Google說這項功能只要一次設定就可以一勞永逸。排程好的行動，之後也可以隨時在「設定」頁中變更。</p> <p>目前這項功能提供給每月20美元（臺幣650元）Google AI Pro或每月250美元（臺幣8150元）Ultra方案的訂閱用戶。</p> </div></div></div>
2025/6/9 08:44作者林妍溱https://www.ithome.com.tw/news/169424
Cloud Run GPU正式上線，支援AI推論與批次運算彈性擴展
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google正式發布<a href="https://cloud.google.com/blog/products/serverless/cloud-run-gpus-are-now-generally-available">Cloud Run GPU</a>，用戶可直接在Cloud Run服務啟用Nvidia L4 GPU，無需申請配額。此功能使開發團隊能彈性部署生成式人工智慧、深度學習推論與批次運算等工作負載，同時降低資源閒置帶來的成本，提升運算彈性。</p> <p>Cloud Run採無伺服器運作模式，支援自動擴展、彈性部署與簡化管理。本次新增GPU支援後，開發者可透過指令或控制臺選項啟用GPU加速。</p> <p>系統提供按秒計費及自動縮減至零的調度能力，有助於降低閒置資源的費用並提升使用效益。根據Google官方測試，Cloud Run GPU服務在冷啟動時約5秒內可完成GPU與驅動程式啟動。以Gemma 3:4b模型推論為例，從冷啟動至產生第一個Token約需19秒，具支援互動性應用的能力。</p> <p>在服務可靠性方面，Cloud Run GPU納入Cloud Run既有SLA，並提供分區備援與彈性部署。企業可根據營運需求部署於多個區域以提升可用性，或選擇關閉分區備援以調整資源配置。Cloud Run GPU目前已於美國、歐洲及亞洲多個區域上線，供企業在全球市場部署應用，減少跨區延遲。</p> <p>Cloud Run Jobs現也已支援GPU，開發者可用於模型微調、批次推論、影片轉檔與圖像處理等非同步運算任務。開發者可根據需求啟動、執行與釋放GPU資源，無需自建基礎設施，即可執行彈性運算任務。</p> </div></div></div>
2025/6/9 08:14作者李建興https://www.ithome.com.tw/news/169415
新光人壽導入模組化數位保險平臺，預計下半年在越南推出首波數位保險產品
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了推動越南數位保險市場發展，新光人壽近日導入具備模組化架構的數位保險平臺，來加強結合新光在越南的在地通路和營運實力。</p> <p>新光人壽預計今年下半年在越南推出首批數位保險產品，透過和越南石油保險公司合作，推出車險、旅平險，和健康保障等保險產品。</p> <p>新光人壽此次導入的數位保險平臺具備模組化的保險產品模板和流程，支援彈性介接，和具備自動化服務引擎，能在一季內快速建立數位投保頁面。</p> <p>除了在今年下半年推出車險、旅平險等產品，未來新光也預計透過保險平臺推出更多產品，例如商業險產品，和臺資企業員工團體保險。越南新光未來也預計和日本第一生命公司越南分公司展開進一步合作。</p> <h3>金融科技創新園區媒合企業合作</h3> <p style="text-align: justify;">新光人壽此次計劃，是透過金融科技創新園區媒合園區進駐企業AIFT而成。透過園區導師制，雙方企業發展出金融科技發展的合作藍圖，目標以臺資企業為起點，逐步拓展越南當地與東南亞市場。</p> <p>其實，近期金管會也正在積極推動金融科技創新園區的企業輔導機制。金管會昨日發布「金融科技創新園區2.0」計畫，透過導入分級輔導機制，為新創業者量身提供輔導及資源。金管會計畫將新創業者區分成初創期、成長期、成熟期共三階段，依不同階段打造資源與輔導機制。他們希望每年新增至少十家新創團隊進駐，整合創投與資本市場資源，打造從創業到上市的完整金融科技生態鏈。</p> <p>金融科技創新園區自2018年成立，到今年5月底，累計招募了186家新創團隊進駐。但過往園區提供的資源較為一致，並未明確依據業者條件打造輔導路徑。</p> <p></p> </div></div></div>
2025/6/6 17:54作者李昀璇https://www.ithome.com.tw/news/169414
正視習以為常的缺失
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年端午節有三天連假，放假前一天（5月29日）發生銀行行員到分行附近的大型醫院收款，因為保管不慎，鉅款遭人揀走，遺失／遭竊金額高達387萬元，引發大家關注這麼嚴重的問題原因。</p> <p>據媒體報導，我們注意到幾個奇怪的地方。首先，行員收完款（醫院前一日掛號總收入，現金387萬元），進入地下街商場辦公室收取地下街商場前一日的營業收入，他卻未將裝有這筆現金的袋子帶入，而是留置在辦公室門口地上，等到兩三分鐘後走出辦公室之後，發現袋子不見了、遭人撿走；其次，由一位行員獨自收取如此鉅款，相當危險，為何無人隨行？有媒體報導提到，該銀行的內部收款安全作業規範要求：行員收取超過300萬元現鈔，需2人以上護鈔隨行，令人好奇這位行員為何違反規定？第三，案發地點距離該行員所屬分行只有幾百公尺，依照Google地圖估算，步行只需5分鐘，是否因為兩地距離很短，所以相關規定疏於落實？</p> <p>第四，這位負責收款的行員今年64歲，一年後即將退休，而且在該家銀行任職超過20年，獲得公司長官的信任，不免令人質疑是否可能串通外部人員，但有媒體報導問到銀行同業推估行員退休金高於被竊款項387萬元，以及其資歷之深，不應犯下基本疏失；第五，一度被外界誤以為事發後3小時才報案，該行後續發布聲明表示，案發當天上午11時55分即通報醫院駐衛警，致電管區分局報案請求協助，下午2點21分完成報案筆錄。</p> <p>關於這起事件，媒體報導也持續關注取走鉅款的犯嫌行蹤。警方已調閱相關監視器畫面了解此人移動狀態，像是身穿黑衣黑褲與連身帽、戴口罩，並且利用公車、步行、計程車等方式移動（均以現金付款），行跡涵蓋5個都會行政區，過程中並未使用手機，而且隨身攜帶超過三套衣物變裝、更換鞋子，而在案發前警方也看到犯嫌多次前往醫院（應是事後透過監視器畫面得知），疑似勘查地形與觀察現場出入狀況，而這似乎也呼應稍早媒體推測行員被「盯梢」的可能性。</p> <p>得知這項重大案件之後，暫時不論是否有「內神通外鬼」的狀況，單就資深員工而言，我們是否必須重新反思該如何看待他們的工作狀況，IT人員也不例外。</p> <p>第一，「人非聖賢，孰能無過」，就算是職場老手，也會犯低級錯誤，而作為主管與同事的我們，可能因為對其非常熟悉與信任，而過度授權，並且放鬆、縱容應有的監督與管制。</p> <p>換個角度來看，當我們是任職多年，可能也以為自己經年累月重複執行某些工作，對自己負責的業務駕輕就熟，而可能在不自覺的情況下，偶而會以不夠謹慎的方式在部分工作環節便宜行事，然而，可能又因為當下已無其他同事可幫忙照看（或別人知道你有此問題，但不敢或懶得跟你說），而讓這樣的缺失無法及時改正，最終可能因為有心人士的窺伺而得知這個可乘之機，最後釀成難以挽回的大禍。</p> <p>另一個反思是「給人方便，卻可能被對方當隨便」獲得信任不是一件容易的事，但得到信任之後，於公於私，我們真的足夠重視這份囑托嗎？就像下列幾句諺語「親近生侮慢」、「親則生狎，近則不遜」、「Familiarity breeds contempt」一旦熟悉、親近某事某人之後，可能不自覺地怠慢了，我們可曾想過：一時疏忽，可能徹底敗壞別人對自己的信任嗎？當例行工作步入軌道，甚至規律到一成不變的地步，我們是否還能時時刻刻緊盯流程、避免可能出錯的因素？</p> <p>應該以這起鉅額收款竊案為師，我們要認知到：嚴守紀律、標準作業流程，是為了對得起自己手上的這份工作、單位與同仁的信任，同時也是為了保護自己，敵人可能正在看不見的角落，正在尋找你任何可能出錯的地方，因此，我們不僅要秉持本身的職業道德要求，謹慎行事，同時，也必須要借助其他人的良知良能，請他們盡可能提醒我們即將或已經出錯的地方，以免類似的憾事再度發生。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E6%A8%99%E6%BA%96%E4%BD%9C%E6%A5%AD%E6%B5%81%E7%A8%8B">標準作業流程</a></div><div class="field-item odd"><a href="/tags/%E5%AE%89%E5%85%A8%E4%BD%9C%E6%A5%AD%E8%A6%8F%E7%AF%84">安全作業規範</a></div><div class="field-item even"><a href="/tags/%E8%81%B7%E6%A5%AD%E9%81%93%E5%BE%B7">職業道德</a></div><div class="field-item odd"><a href="/tags/%E7%9B%A3%E7%9D%A3">監督</a></div><div class="field-item even"><a href="/tags/%E7%AE%A1%E5%88%B6">管制</a></div></div></div>
2025/6/6 16:49作者李宗翰https://www.ithome.com.tw/voice/169413
以色列資安業者Cellebrite買下Arm架構虛擬化技術開發商Corellium
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cellebrite.com/en/cellebrite-to-acquire-corellium/" target="_blank">知名的數位鑑識業者Cellebrite周四（6/5）宣布</a>，將買下專注於Arm架構虛擬化技術的Corellium，Cellebrite將先支付1.7億美元的現金，未來兩年會再根據Corellium的業績最高額外支付3,000萬美元。雙方預計於今年夏天完成交易。</p> <p>1999年創立於以色列的Cellebrite，主要替執法機構、企業及服務供應商提供各種工具以管理數位資料，其旗艦產品為Universal Forensics Extraction Device（通用鑑識提取裝置，UFED），可協助執法機構從行動裝置中提取並分析資料，曾幫美國聯邦調查局（FBI）破解嫌犯的iPhone與Android手機，在2021年以CLBT為代號登上美國那斯達克股市（Nasdaq）。</p> <p>至於Corellium則是家專注於Arm架構虛擬化技術的美國業者，成立於2017年，打造支援iOS、Android與其它基於Arm架構的虛擬硬體，以讓開發者能夠測試系統漏洞，執行逆向工程或分析惡意軟體，並觀察系統行為，蘋果曾因此控告該公司侵權。</p> <p>Cellebrite表示，此一交易將替數位鑑識與智慧裝置的安全性設定新標準，涵蓋iOS、Android、車用系統，以及所有基於Arm架構的物聯網裝置，不管是公共安全、國防、情報或私人企業等能因此而受益，以更快辨識行動裝置漏洞與攻擊手法，能夠看到並與虛擬裝置互動，全面提升所有基於Arm架構裝置的DevSecOps效率與速度，以及執行原生Arm架構的滲透測試等。</p> <p>Cellebrite臨時執行長Thomas Hogan表示，該收購不僅能強化Cellebrite在Arm架構上的數位鑑識與安全測試能力，還引進了漏洞研究、惡意軟體分析及安全測試等領域的頂尖人才。</p> <p>消息曝光後，Cellebrite當天的盤後股價上揚了4.51%，漲至17.6美元。</p> </div></div></div>
2025/6/6 12:35作者陳曉莉https://www.ithome.com.tw/news/169405