iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 12篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 09:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

OpenPGP.js存在高風險漏洞，攻擊者有機會繞過訊息簽章驗證機制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Codean Labs發現JavaScript加密程式庫OpenPGP.js存在<a href="https://codeanlabs.com/blog/research/cve-2025-47934-spoofing-openpgp-js-signatures/">高風險漏洞CVE-2025-47934</a>，涉及數位簽章的偽造，一旦攻擊者利用，就有機會偽造簽章，而且還看起來像是經由合法單位簽署的內容。此漏洞影響5.0.1至5.11.2版、6.0.0-alpha.0至6.1.0版OpenPGP.js，此外，該漏洞也可能影響以OpenPGP.js為基礎打造的應用程式，其中一個是網頁郵件加密的瀏覽器擴充套件Mailvelope，但Proton Mail不受影響。對此，開發團隊獲報後於5月19日發布5.11.3、6.1.1版OpenPGP.js修補上述漏洞，Mailvelope也推出6.0.1版因應。</p> <p>OpenPGP.js是以JavaScript撰寫而成的加密程式庫，可在瀏覽器和Node.js環境使用，提供全程加密（E2EE）、數位簽章、身分驗證的功能。由於這個程式庫在瀏覽器、即時通訊、電子郵件運用相當普遍，因此上述資安漏洞帶來的影響，有可能會相當廣泛。</p> <p>這項弱點形成的原因，在於OpenPGP.js處理及驗證訊息簽章的方式，導致攻擊者有機會利用，將有問題的資料加入正常簽章內容，CVSS風險值為8.7分。攻擊者可利用竄改的訊息，通過OpenPGP.js的驗證功能openpgp.verify或openpgp.decrypt，並回傳簽章有效的結果，但實際上，攻擊者並未實際進行簽署。</p> </div></div></div>
2025/6/16 17:37作者周峻佑https://www.ithome.com.tw/news/169572
紐約通過AI安全法案，要求業者揭露安全準則
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.nysenate.gov/newsroom/press-releases/2025/andrew-gounardes/sen-gounardes-ai-safety-bill-passes-state-senate" target="_blank">美國紐約州參議院在上周四（6/12）通過了 AI安全法案《RAISE Act》</a>（<a href="https://legislation.nysenate.gov/pdf/bills/2025/S6953B" target="_blank">Responsible AI Safety and Education Act</a>），目的在於預防OpenAI、Google或Anthropic等大型開發者所建置的前沿AI模型帶來重大傷害，該法案將會送給紐約州長Kathy Hochul簽署。</p> <p>《RAISE Act》主要規範大型開發者所打造的前沿模型（Frontier Model），像是在訓練過程中使用超過10^26的運算操作，且其訓練成本超過1億美元的AI模型，或者是利用知識蒸餾方法從上述前沿模型衍生的模型，只要其訓練成本超過500萬美元，就被視為是前沿模型。</p> <p>至於重大傷害指的是由前沿模型直接或間接造成超過100人死亡或受傷，或是逾10億美元財產/金錢損失的事故，例如用以製造大規模毀滅性武器，或是自主從事刑事行為。</p> <p>該法案亦要求模型開發者必須描述合理的保護措施與程序，公開對前沿模型的控制，以及揭露安全事故等，違反者最多可被判罰1,000萬美元。</p> <p>共同提出《RAISE Act》的紐約州參議員Andrew Gounardes表示，此一法案旨在確保AI蓬勃發展，同時要求大型業者制訂安全計畫，確保沒有人會為了追求利潤而偷工減料，或是將利潤置於安全之上。Gounardes形容，如同沒有家長會讓小孩搭乘一輛沒有安全帶與安全氣囊的汽車，人們也不應該使用一個缺乏基本安全措施卻功能強大的AI系統。</p> <p>去年加州參議院也通過一個AI安全法案SB 1047，它同樣只針對大型AI模型，並要求開發者應該設計一個得以關閉模型能力的開關，但最後遭加州州長Gavin Newsom否決，原因是Newsom認為大、小模型都一樣危險，只針對大模型過於狹隘。倘若Hochul簽署了《RAISE Act》，將成為美國首個強制要求AI實驗室透明化的法令。</p> </div></div></div>
2025/6/16 14:50作者陳曉莉https://www.ithome.com.tw/news/169568
AI趨勢周報第274期：Canva改寫徵才規則，要求開發者面試時用AI輔助寫程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞（0606～0612）</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI輔助開發 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Canva </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 面試 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Canva改寫徵才規則，要求開發者面試時用AI輔助寫程式</strong></span></p> <p>設計平臺大廠Canva大改技術人才面試條件，強烈建議前後端、機器學習等職缺應徵者，在面試中使用AI輔助工具，如Copilot、Cursor或Claude等，更貼近Canva自家的開發日常。Canva進一步說明，自家近半數的前後端團隊成員，每天都用AI工具來設計原型、理解龐大的程式碼庫和生成程式碼。他們認為，舊有不允許使用AI的面試，已與實務脫節了。</p> <p>因此，Canva先在一次面試中試行，以AI輔助開發，取代傳統電腦科學基礎考題，並觀察面試者如何用AI工具、如何拆解複雜且模糊的需求、如何在使用AI的同時做出合理決策、能否識別並修復AI生成的程式碼問題，以及有能力確保AI生成的解決方案符合上線標準。Canva發現，表現最好的面試者，不但會詢問詳細的產品需求，也會策略性的使用AI完成任務，還能在AI出現問題時完善調整，也能嚴謹審查AI生成的程式碼並修正。</p> <p>於是，Canva決定調整未來的開發者面試規則，以AI輔助開發為主，同時納入新流程，來評估受試者的電腦科學基礎知識。Canva表示，他們會提前告知面試者，面試會要求他們使用AI工具，並強烈建議在面試前就練習用這些工具。Canva認為，這種面試模式，可以幫助他們挑出深思熟慮、能有效利用AI的工程師，成為實務所需的人才。<a href="https://www.google.com/url?q=https://www.canva.dev/blog/engineering/yes-you-can-use-ai-in-our-interviews/&sa=D&source=docs&ust=1750054025406896&usg=AOvVaw2kwvzQr0l0i3Wo6A32TmT1">（詳全文）</a></p> <p><img alt="" src="https://www.canva.dev/_next/static/media/thumbnail.1c7590f6.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">蘋果 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 推理模型 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> LLM </span></strong></span></p> <p><span style="font-size: 22px;"><strong>蘋果：推理模型並非真的會推理</strong></span></p> <p>最近，蘋果發布一項推理模型研究報告《The Illusion of Thinking: Understanding the Strengths and Limitations of Reasoning Models via the Lens of Problem Complexity》，探討問題的複雜度，是否會影響推理模型表現。他們發現，問題很簡單時，AI的回答看起來很聰明，一旦問題變得複雜，模型就會曝露局限性。</p> <p>研究人員以《河內塔》（Tower of Hanoi）和最短路徑等經典邏輯遊戲來測試LLM與LRM，結果發現，在低複雜度下，非思考模型相對準確；隨著複雜度的增加，推理模型表現更好，但需要更多的Token。而在高難度下，不管是LLM或LRM都會故障。更意外的是，就算提供模型正確的演算法，仍無法明顯改善表現，而且不論是什麼種類的問題，模型都無法將推理能力延伸到訓練資料以外的內容。</p> <p>科技領域投資人Josh Wolfe總結，LLM會過度思考簡單問題，遇到複雜問題時，卻在還有很多運算資源時便早早放棄；就算掌握正確的演算法，也還是會搞砸，顯示模型缺乏的是基本邏輯。這意味著，這些模型不具備推理能力。<a href="https://machinelearning.apple.com/research/illusion-of-thinking">（詳全文）</a></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 機器人 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Hugging Face </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 視覺 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Hugging Face開源輕量機器人模型，主打Mac也能跑</strong></span></p> <p>Hugging Face最新開源SmolVLA，是一款只有4.5億參數、可在Mac電腦等消費級硬體上執行的視覺語言動作模型（VLA），主打低門檻、高泛化能力。進一步來說，這套SmolVLA整合了Transformer和flow-matching解碼器，採4大技術：</p> <p>1. 在視覺模型中跳過一半層數，來加速模型推論速度</p> <p>2. 混合自注意與交叉注意力區塊，強化多模態訊息整合效率</p> <p>3. 使用少量視覺Token，來提高處理速度</p> <p>4. 用更輕量的SmolVLM2進行預訓練，降低硬體需求</p> <p>即使訓練資料不到3萬筆，SmolVLA在LIBERO、Meta-World等基準模擬測試中，表現比更大型的模型如Octo、OpenVLA等還要好。模型與訓練程式碼分別釋出於Hugging Face與GitHub。<a href="https://huggingface.co/blog/smolvla">（詳全文）</a></p> <p><img alt="" src="https://cdn-uploads.huggingface.co/production/uploads/640e21ef3c82bd463ee5a76d/S-3vvVCulChREwHDkquoc.gif" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> WWDC </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 蘋果 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 基礎模型框架 </span></strong></span></p> <p><span style="font-size:22px;"><strong>蘋果發表基礎模型框架</strong></span></p> <p>在日前舉行的WWDC大會上，蘋果發表一套基礎模型框架（Foundation Models Framework），允許第三方開發者存取蘋果裝置上內建的大型語言模型，也就是Apple Intelligence所使用的模型，來在程式中整合AI能力。</p> <p>這個裝置內建的大型語言模型，擅長各種文本生成任務，如摘要、實體萃取、文字理解、優化、遊戲對話和創意內容生成等。而基礎模型框架可讓開發者建置AI驅動功能，既可離線、保護使用者隱私，也不會產生推理成本，例如教育應用程式可根據裝置上的使用者筆記生成測驗，戶外應用程式也能添加自然語言搜尋功能，讓使用者也能離線使用。</p> <p>這套基礎模型框架原生支援Swift，開發者只需寫短短的3行程式碼，就能存取Apple Intelligence模型。該框架即日起在蘋果開發者計畫（Apple Developer Program）展開測試，公測版將於下個月由Apple Beta Software Program釋出。<a href="https://www.apple.com/newsroom/2025/06/apple-supercharges-its-tools-and-technologies-for-developers/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> o3-pro </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> OpenAI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 思考 </span></strong></span></p> <p><span style="font-size:22px;"><strong>OpenAI揭露o3-pro模型</strong></span></p> <p>日前，OpenAI揭露最新推理模型o3-pro，價格比o1-pro便宜87%，o3模型費用也降價80%。OpenAI o3-pro是用來取代o1-pro模型，即日起供ChatGPT Pro和Team方案用戶在模型選單中選用，Enterprise和Edu用戶很快也能使用。此外，o3-pro也透過Responses API開放給開發人員。</p> <p>o3-pro是OpenAI最強的智慧模型，其設計宗旨是思考更久，並提供更可靠的回答。和o3一樣，o3-pro可使用工具，如搜尋網頁、分析檔案、理解視覺輸入、使用Python等，但也由於o3-pro使用工具，因此完成一項回應所需時間，比o1-pro更長。OpenAI建議將o3-pro用在更複雜、需要可靠答案而非要快速回答的問題。由於技術因素，o3-pro暫不提供即時對話功能，也暫不支援圖片生成。<a href="https://x.com/OpenAI/status/1932530423911096508">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Xcode 26 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI助理 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 開發環境 </span></strong></span></p> <p><span style="font-size:22px;"><strong>蘋果整合開發環境Xcode 26，導入AI助理</strong></span></p> <p>在日前WWDC 2025大會中，蘋果發表新版開發環境Xcode 26，整合了AI助理，正式支援ChatGPT並開放API連接第三方語言模型，來提高程式碼自動生成、錯誤修正、文件產生和專案導覽等工作效率。</p> <p>進一步來說，Xcode 26的智慧程式開發（Coding Intelligence）功能，可讓開發者在側邊欄啟用AI助理，以自然語言與AI互動，執行程式碼範例、解釋專案架構、產生或修改特定函式等任務，也能請AI協助除錯或自動產生文件。開發者可選用預設的ChatGPT模型，或自訂加入如Anthropic、Ollama等本地或雲端模型，並透過API金鑰彈性切換與管理模型來源。<a href="https://www.apple.com/newsroom/2025/06/apple-supercharges-its-tools-and-technologies-for-developers/">（詳全文）</a></p> <p><img alt="" src="https://www.apple.com/newsroom/images/2025/06/apple-supercharges-its-tools-and-technologies-for-developers/article/Apple-WWDC25-macOS-Tahoe-26-Xcode-26-Coding-Tools-250609_inline.jpg.large_2x.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 開發工具 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Cursor </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 程式碼審查 </span></strong></span></p> <p><span style="font-size:22px;"><strong>AI輔助開發工具Cursor推出1.0正式版 </strong></span></p> <p>AI輔助開發編輯器Cursor正式推出1.0版，更新亮點包括BugBot自動程式碼審查、Jupyter Notebook協作支援、背景代理（Background Agent）啟用與MCP一鍵部署。進一步來說，BugBot可在GitHub PR（提取要求）中自動檢查錯誤並具體留言，開發者可透過Fix in Cursor按鈕切換到編輯器，系統自動填入修正建議，加速修正。</p> <p>背景代理則已全面開放，支援Cursor環境的即時遠端協作編輯；而Jupyter Notebook用戶可透過代理直接編輯多段程式區塊，優化資料分析與原型開發流程。此外，新版本也支援MCP伺服器快速安裝和OAuth認證整合，降低部署門檻。Cursor 1.0也加入Memories記憶功能測試版，記錄專案上下文，加快團隊溝通。聊天室則新增Mermaid圖表與Markdown表格即時生成功能，搭配改版儀表板，讓開發狀況更透明、容易追蹤。<a href="https://www.cursor.com/en/changelog/1-0">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> FDA </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 安全性審查 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Elsa </span></strong></span></p> <p><span style="font-size:22px;"><strong>FDA推出通用AI工具Elsa，可望加速審查流程</strong></span></p> <p>美國食品藥物管理局（FDA）六月初宣布，原本預計6月30日全面部署的生成式AI工具Elsa，已提前上線。FDA指出，Elsa是一種由大型語言模型（LLM）驅動的AI工具，可協助閱讀、寫作和摘錄，能總結不良事件，來支援安全性評估、執行更快速的標籤比較，以及生成程式碼，來協助打造非臨床應用的資料庫。</p> <p>FDA局長Marty Makary表示，FDA已經開始用Elsa加速臨床試驗審查，縮短科學評估所需的時間，還能識別高優先等級的檢查目標。他們舉例，一名科學審查員使用Elsa，在6分鐘內完成了原本需要2到3天的任務。一般來說，FDA收到藥物核准申請後，會在6至10個月中作出審查決定，而Elsa可望加速這個流程。在安全性上，Elsa建置於高安全性的GovCloud政府雲端環境中，FDA員工可安全存取內部檔案，同時確保所有資訊都保存在組織內。這些模型，不會用受監管產業提交的資料來訓練。<a href="https://www.fda.gov/news-events/press-announcements/fda-launches-agency-wide-ai-tool-optimize-performance-american-people">（詳全文）</a></p> <p>圖片來源／Canva、Hugging Face、蘋果</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. Mistral AI釋出首個推理模型Magistral</strong></p> <p><strong>2. EleutherAI釋出集結合法開放資料的AI訓練資料集</strong></p> <p><strong>3. NotebookLM現在可讓使用者公開分享筆記</strong></p> <p>資料來源：iThome整理，2025年6月</p> </div></div></div>
2025/6/14 13:19作者王若樸https://www.ithome.com.tw/news/169567
Databricks推出整合交易處理與資料分析的AI資料庫Lakebase
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資料與人工智慧平臺業者Databricks<a href="http://www.databricks.com/blog/announcing-lakebase-public-preview">公開測試</a>作業型資料庫Lakebase，強調將交易處理（OLTP）與分析處理（OLAP）架構結合，針對人工智慧應用及智慧代理等新型態資料需求，提供雲端原生與全託管的Postgres解決方案。</p> <p>Databricks指出，企業對人工智慧應用與自動化代理需求提升，現有作業型資料庫難以滿足即時資料交換、高並行存取與動態擴展等需求。傳統交易處理資料庫多為早期架構，彈性不足且管理成本較高，常見供應商綁定與擴充限制。</p> <p>Lakebase為雲端原生架構，底層結合Neon技術將運算與儲存分離，讓資源可依實際需求自動擴展，並支援多雲部署。官方提到，Lakebase最低延遲可達10毫秒以下，每秒可處理超過一萬次請求，具備高可用與即時備援能力，適合金融、零售、製造等應用情境。</p> <p>Lakebase核心採用Postgres資料庫引擎，與一般雲端託管資料庫不同的是，Lakebase進一步與Databricks現有資料湖倉架構整合，資料可於作業型資料庫與資料湖自動同步，縮短人工智慧模型訓練、推論及決策的資料延遲，讓企業在單一平臺，就能同步支援即時交易、商業分析、人工智慧模型訓練與推論等多種工作負載，降低不同資料庫及分析平臺整合的複雜度。</p> <p>針對人工智慧開發過程中高頻測試與多版本需求，Lakebase引入資料庫分支（Branching）功能，供開發人員及智慧代理能基於現有資料即時建立複製分支，支援低風險開發與測試流程，並可隨時還原或合併資料。</p> <p>此外，Lakebase可於數秒內部署完成，採用彈性計價，用戶依實際運算及儲存使用量付費，有助降低前期投資成本。Lakebase也支援資料加密、即時備份、點對點還原、網路隔離，以及與Databricks企業級安全架構整合，以符合企業資安與法遵需求。</p> </div></div></div>
2025/6/16 13:43作者李建興https://www.ithome.com.tw/news/169566
Google開始於搜尋中測試語音摘要
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google繼於搜尋服務中<a href="https://www.ithome.com.tw/news/165747" target="_blank">部署AI資訊摘要（AI Overviews）</a>之後，上周也開始<a href="https://blog.google/products/search/audio-overviews-search-labs/" target="_blank">實驗語音資訊摘要（Audio Overviews）</a>，針對特定搜尋查詢產生快速且對話式的語音摘要。</p> <p>語音資訊摘要一樣也是採用Google最新的Gemini模型，Google說，當使用者在搜尋不熟悉的主題時，語音摘要可以協助快速了解狀況，適合正在多工處理或是只是喜歡語音體驗的使用者。</p> <p>完整的語音資訊摘要將會出現在搜尋結果所嵌入的播放器中，允許使用者播放、暫停、靜音，或是調整播放速度，與<a href="https://www.ithome.com.tw/news/164978" target="_blank">NotebookLM的Audio Overview</a>一樣，它也包含兩位AI生成的主持人，彼此討論使用者想了解的主題，亦會於播放器中顯示所參考的各種網頁。</p> <p>此一實驗性功能目前僅支援美國市場及英文，而且生成音訊最久可能需要40秒的時間，生成後，只要離開該頁面或是執行新的搜尋，都會讓該語音資訊摘要消失。</p> </div></div></div>
2025/6/16 11:44作者陳曉莉https://www.ithome.com.tw/news/169565
哈佛開源含有2,420億Token的AI資料集Institutional Books 1.0
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由微軟及OpenAI贊助、起源於哈佛法學院圖書館研究計畫的機構資料計畫（Institutional Data Initiative，IDI），<a href="https://huggingface.co/datasets/institutional/institutional-books-1.0" target="_blank">上周開源了AI資料集Institutional Books 1.0</a>，內含98.3萬本的哈佛藏書，總計3.86億頁，以及2,420億個Token與245種語言，而這也是IDI所釋出的首個公共領域圖書。</p> <p><a href="https://www.institutionaldatainitiative.org/posts/hello-world" target="_blank">IDI於去年12月正式啟動</a>，IDI執行董事Greg Leppert表示，AI的進步引起人們對那些存在於檔案深度的高品質資料的濃厚興趣，並準備進一步協助機構將這些資料供應給所有人；IDI將與圖書館、大學、文化團隊及政府機構等知識機構合作，幫助它們建立、分析與發布館藏資料，以支援所有用途，包括AI在內。</p> <p>IDI將致力於開發AI工具以擴大及加速上述任務，也會加以評估並研究其影響，以及找出最佳實踐來推動最負責任的資料使用，同時確認機構的管理職責。</p> <p>簡單地說，IDI將會建立容易取得又易懂的資料集，以讓知識機構與AI模型開發商擁有一致的目標，像是資料的完整性、全面性及可用性等，以讓每個人都能透過這些資料看到知識世界的全貌。</p> <p>Institutional Books 1.0所納入的館藏，是在哈佛圖書館參與Google圖書（Google Books）專案時便曾數位化的內容，<a href="https://x.com/instdin/status/1933266277117931917" target="_blank">其中有40%是英文</a>，有20個明確的主題，大多數是在19及20世紀出版，在資料集中不僅包含單純的文字，還有每一本書的元資料，包括作者、年份、語言及來源等。</p> <p>此外，該資料集也進行了優化，讓系統辨識出每一行文字的位置與類型，並依據辨識結果，把原本利用光學文字辨識（OCR）擷取出的文字重新排列及組合，讓內容更接近原書的排版與邏輯結構。</p> <p>IDI未來還會繼續擴充該資料集，例如正與波士頓公共圖書館合作，以掃描數百萬頁的報紙，有鑑於報紙的版面設計很難提取文字，需要利用新方法來提高準確度及可存取能力，繼之將研究這些資料對AI模型的行為與資訊檢索能力的影響，以便其它機構也能了解自身館藏的潛力。</p> <p>此外，IDI也積極尋求所有類型的資料合作，包括科學及生物醫學資料，雖然會優先考慮開源，但也會秉持著對機構的尊重以妥善處理相關資料。</p> </div></div></div>
2025/6/16 10:42作者陳曉莉https://www.ithome.com.tw/news/169563
Meta投資Scale AI Google傳計畫切割
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Scale AI上周證實獲得Meta AI投資，<a href="https://www.reuters.com/business/google-scale-ais-largest-customer-plans-split-after-meta-deal-sources-say-2025-06-13/" target="_blank">路透社報導</a>，Scale AI最大客戶Google已計畫與Scale終止合作，不過OpenAI說會繼續合作。</p> <p>Scale AI是總部設於舊金山的AI新創公司，其核心技術是訓練AI進行資料標註，以用於訓練更大模型的訓練。<a href="https://www.ithome.com.tw/news/169561" target="_blank">Scale AI於周末證實投資事宜</a>。</p> <p>路透社引述消息人士指，Google上周在消息還未確認時即已和多家Scale AI的競爭對手洽談，以便終止和這家業者的合作。</p> <p>不過Scale AI另一家客戶OpenAI，<a href="https://www.reuters.com/technology/openai-continue-working-with-scale-ai-after-meta-deal-2025-06-13/" target="_blank">其財務長Sarah Friar上周在一場科技活動上說</a>，該公司會繼續和Scale AI的合作。</p> <p><a href="https://techcrunch.com/2025/06/13/scale-ai-confirms-significant-investment-from-meta-says-ceo-alexandr-wang-is-leaving/" target="_blank">國際媒體報導</a>，Meta挹注了143億美元換得該公司49%股份，並延攬其執行長Alexandr Wang加入，可望確保Llama AI模型的訓練資料集，進而加速實現Meta超級智能（intelligence）的願景。而這也是Meta史上的第二大投資案，僅次於2014年買下WhatsApp的190億美元。</p> <p>AI競賽白熱化，各家大廠藉由投資或收購加速技術取得，觸發大廠之間的矛盾情結。本月AI程式撰寫輔助平臺Windsurf才傳被OpenAI以30億美元收購，<a href="https://www.ithome.com.tw/news/169375" target="_blank">就遭到Anthropic幾乎切斷其服務</a>必要的Claude 3.x模型用量配額，理由是為了「優化給長久合作夥伴的模型容量」，市場則解讀是和OpenAI競爭心理作祟。</p> </div></div></div>
2025/6/16 10:58作者林妍溱https://www.ithome.com.tw/news/169564
OpenAI新增更多GPTs模型支援、強化ChatGPT搜尋能力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://help.openai.com/en/articles/6825453-chatgpt-release-notes#h_3b94b9a4e5" target="_blank">OpenAI上周先後公布客製化GPTs擴增支援的模型</a>，以及強化ChatGPT搜尋功能，現在更能理解用戶問題並能以圖搜尋。</p> <p>GPTs是允許用戶自製符合其領域需求的聊天機器人，<a href="https://www.ithome.com.tw/news/163195" target="_blank">去年5月首度開放給所有用戶</a>。上周OpenAI開放完整的ChatGPT模型，包括GPT-4o、o3、o4-mini方便開發人員或創作者開發自製GPTs，以便針對不同任務、產業和工作流程微調。開發者們也可設定為其用戶推薦的模型。</p> <p>沒有自定義動作（custom action）的GPTs可以從模型選單中選擇所有可用模型。而已有自定義動作的GPTs則支援GPT-4o和GPT 4.1。</p> <p>目前多種模型支援的功能開放給訂閱Pro、Plus、Teams方案的網頁版用戶，很快會推向Enterprise和Edu方案用戶。</p> <p>除了GPTs，在上周的更新中，OpenAI也改善了ChatGPT搜尋品質。相較於去年11月登場、<a href="https://www.ithome.com.tw/news/166543" target="_blank">12月公開的版本</a>，新的ChatGPT網頁搜尋能處理更長的對話上下文，使其在較長對話表現更好，也更能準確理解用戶的問題，並且提供更完整的答案。</p> <p>另一方面，ChatGPT搜尋也強化了搜尋功能。它能更有效遵循指令，特別是在較長對話中，也大幅減少重覆的回答。此外還能根據用戶上傳的圖片搜尋網頁。更重要的是，ChatGPT現在在複雜或困難問題中將自動執行多次搜尋，以提升搜尋回應。</p> <p>不過伴隨搜尋能力的提升，也引發ChatGPT搜尋部份問題。像是ChatGPT回應變得更長，在某些簡單查詢中，也會出現「思維鏈」的推理。OpenAI說很快修復這個問題。</p> <p>OpenAI搜尋功能的進步已觸發Google改進搜尋。Google除了為搜尋結果頁加入AI Overview，<a href="https://www.theverge.com/news/686904/google-audio-overviews-ai-podcast-search" target="_blank">上周進一步測試</a>要把用戶搜尋結果以Audio Overview技術轉換成AI podcast。</p> </div></div></div>
2025/6/16 09:50作者林妍溱https://www.ithome.com.tw/news/169562
Graphite間諜軟體利用iOS零點擊漏洞攻擊記者，Apple已緊急修補
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Apple針對部分iOS用戶發出罕見威脅通知，指稱其裝置遭遇高階間諜軟體攻擊，提醒受影響用戶提高警覺。根據資安研究團隊Citizen Lab最新調查，經技術鑑識後，首次有法證證據確認，至少兩名歐洲記者的iPhone遭濫用iOS零點擊漏洞入侵，悄悄植入以色列Paragon Solutions開發的Graphite間諜軟體。Apple目前已針對該漏洞CVE-2025-43200發布安全更新並加強防護。</p> <p>Citizen Lab公布的<a href="https://citizenlab.ca/2025/06/first-forensic-confirmation-of-paragons-ios-mercenary-spyware-finds-journalists-targeted/">調查結果</a>顯示，收到Apple通知的受害者包括一名歐洲知名記者及義大利媒體Fanpage.it主編。團隊對兩臺受害iPhone進行系統日誌及網路流量鑑識，發現這兩臺裝置於2025年1月至2月間，在iOS 18.2.1版本下連線至一個與Graphite間諜軟體基礎設施有關的C2伺服器，並留下攻擊者特徵帳號ATTACKER1的iMessage訊息紀錄。研究團隊比對伺服器指紋及既有行為模式，高度確信攻擊來自Paragon Solutions的Graphite產品，且屬於零點擊攻擊，也就是無須用戶互動即可遠端入侵。</p> <p>iOS零點擊攻擊已成為高價傭兵間諜軟體主要入侵管道，相關技術門檻與漏洞價值均高。此次攻擊所用的CVE-2025-43200，經Apple確認已於iOS 18.3.1修補，Apple同步主動通知疑似受害用戶，建議盡快升級系統並尋求專業協助。Citizen Lab指出，受害裝置中的關鍵證據，如惡意伺服器連線紀錄及攻擊帳號，均指向同一間諜軟體操作方，顯示攻擊可能由單一客戶針對多個目標，並有系統性監控新聞機構之情形。</p> <p>Graphite間諜軟體過去已在歐洲多國，被揭露用於監控人權工作者、政治異議人士及新聞從業人員。義大利國會委員會今年6月初發布調查報告，承認國安單位曾購買並運用該軟體於特定案件，但對於Fanpage.it媒體相關人員遭駭一事，未明確說明責任歸屬。Paragon Solutions雖表示願意協助義大利政府調查，但因國安考量遭婉拒，雙方說法不一。</p> <p>Graphite等產品具備高度模組化，支援iOS與Android等多種平臺，並結合分散式基礎設施與反鑑識技術。即便作業系統業者積極修補漏洞，仍難以完全杜絕此類攻擊。各國立法、監管與資安社群已多次呼籲強化商業間諜軟體管理，但由於供應鏈跨國、授權方不明及技術查核難度高，後續追蹤及責任釐清存在挑戰。</p> </div></div></div>
2025/6/16 08:10作者李建興https://www.ithome.com.tw/news/169558
北韓駭客Kimsuky鎖定異議人士，透過臉書、電子郵件及Telegram展開釣魚攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>與北韓關聯的Kimsuky駭客組織被揭露利用臉書、電子郵件與Telegram等三重社交通道，對韓國本地涉北韓議題的異議人士、人權工作者及志工團體發動高度客製化的釣魚攻擊。根據韓國資安廠商Genians的<a href="https://www.genians.co.kr/en/blog/threat_intelligence/triple-combo">調查</a>，Kimsuky駭客組織近期攻擊範圍已從政府及國防單位，擴大至脫北者支援團體、NGO與公民運動參與者，導致相關人士面臨資訊外洩與個資遭監控的風險。</p> <p>Kimsuky攻擊手法以社交工程為主，駭客通常先在臉書上建立與目標背景相似的假帳號，例如冒用宗教組織志工、脫北者志工或具學術背景的人士，主動向涉北韓議題的個人或團體發出好友邀請，並在取得對方信任後，展開訊息互動。</p> <p>針對這類敏感議題的受害者，駭客會以志工招募、活動交流等名義，主動分享聲稱與脫北者救援相關的文件或連結，這些檔案實則暗藏惡意程式，且多以韓國常見的EGG壓縮格式或JSE腳本檔案傳送，需在Windows環境透過特定壓縮工具解壓與執行，降低在手機或雲端資安掃描時被發現的機率，同時也挑戰一般Windows環境的防護設定。</p> <p>駭客進一步於取得受害者信任後，會要求提供電子郵件，透過郵件寄送第二波攻擊檔案或惡意連結，當電子郵件及手機號碼同時掌握時，則可能進一步透過Telegram或其他即時通訊軟體接觸受害者，進行多管道且持續的攻擊。</p> <p>Kimsuky使用的惡意程式們具備多層次的解碼與反偵查能力，例如AppleSeed變種，駭客利用JSE腳本在執行時先釋出誘餌PDF檔案，讓使用者誤以為開啟的是正常文件，實際上則在背景安裝經過VMProtect包裝的惡意DLL。這個DLL會註冊以自動啟動，長期監控系統、蒐集資訊、檢查權限，並具備遠端下載及執行指定指令的能力，資料傳輸則採用RC4與RSA加密，並以一般PDF檔案偽裝，將蒐集到的資料上傳至C2伺服器，使得防禦端更難追查來源。</p> </div></div></div>
2025/6/16 08:10作者李建興https://www.ithome.com.tw/news/169556
Scale AI證實取得Meta的重大投資，外傳Meta以143億美元取得49%股份
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在經歷了沸沸揚揚的各種傳言之後，<a href="https://scale.com/blog/scale-ai-announces-next-phase-of-company-evolution" target="_blank">AI新創Scale AI終於在上周五（6/13）證實</a>，已取得了來自Meta Platforms的重大投資，新投資對Scale AI的估計超過290億美元，且現年只有28歲的Scale AI共同創辦人暨執行長Alexandr Wang將加入Meta。</p> <p>Scale AI創立於2016年，專精於安全、評估及對齊研究，主要針對生成式AI公司、政府機構及大型企業提供資料標註與模型評估服務。Scale AI甫於去年5月<a href="https://scale.com/blog/scale-ai-series-f" target="_blank">完成由Accel領投的F輪融資</a>，當時的融資目標為1億美元，Scale AI的估值為138億美元。一年後，Scale AI的身價直接翻漲了一倍。</p> <p>根據<a href="https://www.theinformation.com/articles/meta-pay-nearly-15-billion-scale-ai-stake-startups-28-year-old-ceo" target="_blank">The Information</a>及<a href="https://www.reuters.com/business/google-scale-ais-largest-customer-plans-split-after-meta-deal-sources-say-2025-06-13/" target="_blank">路透社</a>的報導，Meta支付了接近150億美元的金額，取得49%的Scale AI股份。The Economic Times則引用消息來源指出，正確的金額是143億美元。而這也是Meta史上的第二大交易，僅次於在2014年以190億美元<a href="https://www.ithome.com.tw/news/85362" target="_blank">買下WhatsApp</a>。</p> <p>值得注意的是，此一交易還包括Wang將卸下Scale AI執行長一職，並加入Meta，以負責Meta的AI任務。Scale AI董事會已指派其策略長Jason Droege暫代執行長，而Wang則是持續擔任Scale AI的董事，也會支援Scale AI的既有任務。</p> <p>Scale AI表示，該公司將利用新資金來加速創新、強化與客戶的策略合作夥伴關係，以及將收益分配給Scale AI的既有股東。</p> <p>Wang則說，AI是這個時代最具革命性的技術之一，不管是對人們、企業或政府的成功都具備無限的可能性及深遠的影響，而Scale AI則彌合了人類價值觀與技術之間的差距，協助客戶充分發揮AI的潛力，Meta的投資等於是認同了該公司迄今為止所取得的成就。</p> </div></div></div>
2025/6/16 08:10作者陳曉莉https://www.ithome.com.tw/news/169561
以24或48個GbE埠搭4個10GbE埠，Netgear新款交換器登場
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/netgear_s3400_main_0.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一年多前，Netgear智慧型網管型交換器<a href="https://www.ithome.com.tw/review/161776">S3600系列</a>在臺上市，主攻1GbE/2.5GbE /5GbE /10GbE網路環境建置需求，</p> <p>今年6月代理商瀚錸科技正式向臺灣市場介紹另一批智慧網管型交換器，名為S3400系列，可因應多個GbE埠搭配少量10GbE上行埠的交換器組態應用。</p> <p>就機型而言，S3400系列可根據網路埠數量細分兩大類，一種是24個GbE網路埠搭配4個10GbE上行埠（SFP+），分別是：GS728TXv3、GS728TXPv3、GS728TXUPv3；另一種是48個GbE網路埠搭配4個10GbE上行埠（SFP+），分別是：GS752TXv3、GS752TXPv3、GS752TXUPv3。而在交換器的集中管理方式上，這6款機型均支援單機的網頁介面、命令列的存取，以及雲端管理平臺Netgear Insight（可透過網頁與行動App存取，設備內建可免費使用1年的Insight雲端管理服務）。</p> <p>接著，對於是否支援乙太網路供電（PoE），S3400系列交換器又有區分。基本上，型號命名有P的產品，像是GS728TXPv3的24個GbE埠，以及GS752TXPv3的48個GbE埠，都支援PoE+規格，整臺設備對這項應用提供的總體電力，各為190瓦與380瓦。而且，這兩款機型也是此系列最先登場的產品，已於2024年第二季推出。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Netgear S3400 to market.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Netgear%20S3400%20to%20market.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Netgear S3400-models4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Netgear%20S3400-models4.jpg" style="width: 600px;" /></a></p> <p>另一批型號命名有UP的產品，是2025年第二季推出的一部分機型，內建的多數GbE埠支援PoE+規格，可連接Wi-Fi 6基地臺、安全監控攝影機，少數GbE埠支援PoE++規格，可連接電力需求更高的Wi-Fi 7基地臺、4K PTZ攝影機。例如，GS728TXUPv3有24個GbE埠，當中有16埠支援PoE+，8埠支援PoE++，GS752TXUPv3有48個GbE埠，其中的32埠支援PoE+，16埠支援PoE++。若就整臺設備而言，兩款機型所能提供的PoE電力，各為420瓦與640瓦，根據瀚錸科技記者會在公布的規格比較表，均優於其他廠牌組態配置相似的網路交換器。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Netgear TXUP.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Netgear%20TXUP.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/GS752TXP series Comparison.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/GS752TXP%20series%20Comparison.png" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/GS728TXP series Comparison.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/GS728TXP%20series%20Comparison.png" style="width: 600px;" /></a></p> <p>一般而言，支援PoE+的網路埠最大可供應的電力是30瓦，支援PoE++的網路埠是能提供到60瓦電力，因此綜合上述配置來看，若S3400系列交換器的每個網路埠都插滿，考量到設備的整體PoE電力供應有上限，顯然只有部分網路埠的供電可滿足PoE+與PoE++的單埠最大功率。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Netgear TXP.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Netgear%20TXP.jpg" style="width: 600px;" /></a></p> <p>除了上述兩款支援多樣PoE規格的機型，Netgear S3400系列這波最新推出的產品裡面，還有兩款不支援PoE的機型：GS728TXv3、GS752TXv3，可提供不需要該項規格的用戶選購。</p> <p><a href="https://s4.itho.me/sites/default/files/images/GS752TX Comparison.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/GS752TX%20Comparison.png" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/GS728TX Comparison.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/GS728TX%20Comparison.png" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Netgear Smart Switch Portfilo-2025.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Netgear%20Smart%20Switch%20Portfilo-2025.jpg" style="width: 600px;" /></a></p> <p><span style="color: rgb(0, 128, 128);"><strong>產品資訊</strong></span></p> <p><span style="color: rgb(0, 0, 255);"><strong>Netgear S3400系列</strong></span><br /> ●代理商：瀚錸科技<br /> ●建議售價：<br /> GS728TXv3為14,800元，GS752TXv3為26,600元，<br /> GS728TXPv3為21,000元，GS728TXUPv3為30,000元，<br /> GS752TXPv3為35,000元，GS752TXUPv3為55,000元，皆是未稅價<br /> ●網路介面：24個GbE埠+4個10GbE上行埠為GS728TXv3、GS728TXPv3、GS728TXUPv3<br /> 48個GbE網路埠+4個10GbE上行埠為GS752TXv3、GS752TXPv3、GS752TXUPv3<br /> ●機型：無PoE為GS752TXv3、GS728TXv3<br /> 支援PoE為GS752TXUPv3、GS752TXPv3、GS728TXUPv3、GS728TXPv3<br /> ●機箱尺寸：1U<br /> ●MAC位址數量：均為16,000個<br /> ●封包緩衝記憶體容量：均為1.5 MB<br /> ●管理平臺：本機網頁介面、SNMP、RMON、Syslog、雲端管理平臺Insight</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/6/14 23:45作者李宗翰https://www.ithome.com.tw/review/169559
以24或48個GbE埠搭4個10GbE埠，Netgear新款交換器登場
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/netgear_s3400_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一年多前，Netgear智慧型網管型交換器<a href="https://www.ithome.com.tw/review/161776">S3600系列</a>在臺上市，主攻1GbE/2.5GbE /5GbE /10GbE網路環境建置需求，</p> <p>今年6月代理商瀚錸科技正式向臺灣市場介紹另一批智慧網管型交換器，名為S3400系列，可因應多個GbE埠搭配少量10GbE上行埠的交換器組態應用。</p> <p>就機型而言，S3400系列可根據網路埠數量細分兩大類，一種是24個GbE網路埠搭配4個10GbE上行埠（SFP+），分別是：GS728TXv3、GS728TXPv3、GS728TXUPv3；另一種是48個GbE網路埠搭配4個10GbE上行埠（SFP+），分別是：GS752TXv3、GS752TXPv3、GS752TXUPv3。而在交換器的集中管理方式上，這6款機型均支援單機的網頁介面、命令列的存取，以及雲端管理平臺Netgear Insight（可透過網頁與行動App存取，設備內建可免費使用1年的Insight雲端管理服務）。</p> <p>接著，對於是否支援乙太網路供電（PoE），S3400系列交換器又有區分。基本上，型號命名有P的產品，像是GS728TXPv3的24個GbE埠，以及GS752TXPv3的48個GbE埠，都支援PoE+規格，整臺設備對這項應用提供的總體電力，各為190瓦與380瓦。而且，這兩款機型也是此系列最先登場的產品，已於2024年第二季推出。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Netgear S3400 to market.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Netgear%20S3400%20to%20market.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Netgear S3400-models4.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Netgear%20S3400-models4.jpg" style="width: 600px;" /></a></p> <p>另一批型號命名有UP的產品，是2025年第二季推出的一部分機型，內建的多數GbE埠支援PoE+規格，可連接Wi-Fi 6基地臺、安全監控攝影機，少數GbE埠支援PoE++規格，可連接電力需求更高的Wi-Fi 7基地臺、4K PTZ攝影機。例如，GS728TXUPv3有24個GbE埠，當中有16埠支援PoE+，8埠支援PoE++，GS752TXUPv3有48個GbE埠，其中的32埠支援PoE+，16埠支援PoE++。若就整臺設備而言，兩款機型所能提供的PoE電力，各為420瓦與640瓦，根據瀚錸科技記者會在公布的規格比較表，均優於其他廠牌組態配置相似的網路交換器。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Netgear TXUP.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Netgear%20TXUP.jpg" style="width: 600px;" /></a></p> <p>一般而言，支援PoE+的網路埠最大可供應的電力是30瓦，支援PoE++的網路埠是能提供到60瓦電力，因此綜合上述配置來看，若S3400系列交換器的每個網路埠都插滿，考量到設備的整體PoE電力供應有上限，顯然只有部分網路埠的供電可滿足PoE+與PoE++的單埠最大功率。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Netgear TXP.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Netgear%20TXP.jpg" style="width: 600px;" /></a></p> <p>除了上述兩款支援多樣PoE規格的機型，Netgear S3400系列這波最新推出的產品裡面，還有兩款不支援PoE的機型：GS728TXv3、GS752TXv3，可提供不需要該項規格的用戶選購。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Netgear Smart Switch Portfilo-2025.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Netgear%20Smart%20Switch%20Portfilo-2025.jpg" style="width: 600px;" /></a></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><span style="color:#0000FF;"><strong>Netgear S3400系列</strong></span><br /> ●代理商：瀚錸科技<br /> ●建議售價：<br /> GS728TXv3為14,800元，GS752TXv3為26,600元，<br /> GS728TXPv3為21,000元，GS728TXUPv3為30,000元，<br /> GS752TXPv3為35,000元，GS752TXUPv3為55,000元，皆是未稅價<br /> ●網路介面：24個GbE埠+4個10GbE上行埠為GS728TXv3、GS728TXPv3、GS728TXUPv3<br /> 48個GbE網路埠+4個10GbE上行埠為GS752TXv3、GS752TXPv3、GS752TXUPv3<br /> ●機型：無PoE為GS752TXv3、GS728TXv3<br /> 支援PoE為GS752TXUPv3、GS752TXPv3、GS728TXUPv3、GS728TXPv3<br /> ●機箱尺寸：1U<br /> ●MAC位址數量：均為16,000個<br /> ●封包緩衝記憶體容量：均為1.5 MB<br /> ●管理平臺：本機網頁介面、SNMP、RMON、Syslog、雲端管理平臺Insight</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/6/14 17:09作者李宗翰https://www.ithome.com.tw/review/169554
重構的入門之道
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/itshu_zhai_-xian_zheng_li_yi_xia_-960.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">碁峰資訊</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在重構逐漸被接受多年之後的今天，程式設計環境針對重構這件事，還是很缺乏自動化支援，這點實在很讓人難以理解。但好吧。希望你已經很習慣一次只邁出一小步，一點一滴持續不斷的進行軟體設計。整理可以說就是重構的入門之道。</p> <p>我們將會討論如何把整理這件事，納入到個人開發工作流程中：</p> <p><strong>• 什麼時候要開始做整理？</strong></p> <p><strong>• 什麼時候要停止做整理？</strong></p> <p><strong>• 如何把整理、改變程式碼結構、改變系統行為這三件事結合起來？</strong></p> <p>我們一開始可以先來討論一下，整理這件事，如何與「拉取請求」（PR；pull request）和「程式碼審查」（code review）這兩個工作流程互相搭配起來。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>把整理工作切分出來</strong></span></span></p> <p>我們暫時假設，你在寫程式的時候，採用的是拉取請求（PR）/程式碼審查的開發模式。你會把整理這件事，放在哪個位置呢？</p> <p>下面就是一個「追著尾巴跑」（tail chasing）的醜陋做法：</p> <p>1. 我把整理工作與行為上的改變混在一起。</p> <p>2. 審查者向我抱怨，說我的PR拖得太長了。</p> <p>3. 我把整理工作切分出來，讓它擁有自己的PR，然後把它放在行為改變的前面（這種情況居多）或後面。</p> <p>4. 審查者向我抱怨說，這種整理類PR根本就沒意義。</p> <p>5. 回到1。</p> <p>整理這件事總要有個地方去做，要不然就是完全不做。究竟應該在哪裡做呢？直接跳到結論的話，就是：放到獨立的PR中，然後每個PR所做的整理盡量越少越好。</p> <p>我們就來深入探討一下其中的取捨。剛開始學習如何做整理的人，好像都會經歷好幾個可預期的不同階段。在第一個階段，我們只懂得做出各種改變，而且一開始這一大堆的改變，並沒有什麼特別的區別。</p> <p>假設我們正在修正一個if語句，修到一半發現有個名稱錯了，於是就順手把它修正過來，然後再回頭繼續修正這個if語句。在這個階段，改變就只是改變而已。</p> <p>學會整理的做法之後，感覺就好像顯微鏡底下的圖片焦點變清楚了。其中有一些改變，改變的是程式的行為屬性，也就是程式執行過程中可以觀察到的一些改變。另外還有一些改變，改變的是程式的結構。像這樣的改變，只有直接去查看程式碼才能看得出來。</p> <p>在這個階段，我們對行為上的改變和結構上的改變，還沒有什麼特別的想法和做法—我們只是意識到，可以把改變分成兩種而已。</p> <p>經過一段時間之後，我們就可以開始察覺出一些共通的流程。如果先把程式碼切成一塊一塊的，接下來經常就可以提取出一些具有解釋效果的輔助函式，再接下來我們就會更容易去做出行為上的改變。如此一來程式設計這件事，就變得更像是下一盤西洋棋，你可能在好幾步之前，就可以猜出整盤棋大概會怎麼發展了。</p> <p>請注意，這時候我們還只是用了一個很大的PR，把所有改變全都包在一起。目前我們還只是處在「追著尾巴跑」這個循環的第1步而已。我們所做的每個行動都有其目的，要不是為了做出某個簡單的改變，要不就是為了更容易做出改變。不過，把所有這些全都混在一起，實在有點亂。審查者會抱怨，也是很正常的事。</p> <p>於是，我們開始嘗試把改變區分成兩種獨立的PR。一系列的整理（甚至只是一次小小的整理），會被放進一個獨立的PR。行為上的改變，也會放進一個獨立的PR。每次在「整理」和「行為改變」之間進行切換時，我們都會開一個新的 PR。</p> <p>PR應該如何整併或拆分，這也是一件需要權衡取捨的事情。你可以從動機的角度來思考。一個比較大的、包羅萬象的PR，可以呈現出比較完整的情況，但對審查者來說，其中所包含的改變可能太多了，這樣就很難提供真正有用的回饋意見。比較小的PR則可以讓回饋意見限縮在比較小的範圍，但是也有可能讓審查者陷入瑣碎的枝末細節中。</p> <p>審查過程如果拖得比較長，也會影響到大家的動機。如果程式碼審查的速度很快，就等於是鼓勵你多去建立一些更小的PR。這種更有針對性的PR也會鼓勵審查者加快審查。同樣的道理，這個循環也可能反過來：比較慢的審查速度，只會鼓勵PR變得更大，而更大的PR，也會拖慢後續的審查。</p> <p>如果你可以做出讓人很放心的整理，懂得用小小的步驟去進行整理，而且會用絕對安全的方式進行整理，這樣我就會鼓勵你去嘗試，讓這種整理類的PR不再需要進行審查。這樣就可以進一步降低延遲的影響，從而激勵大家多去提交一些比較小的整理類PR。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>連鎖效應</strong></span></span></p> <p>整理就像洋芋片。你吃了一片，就想再吃一片。控制住想要做整理的衝動，其實是一個很關鍵的整理技巧。你才剛剛整理過；還應該再多整理一下嗎？這其實要看情況。</p> <p>你想要踏出多大的步伐，由你自己決定，不過我還是要鼓勵你，整理時盡量保持小小的步伐。然後盡可能去優化每一步。表面上來看，你好像在奔跑，但你知道自己其實就像蜈蚣一樣，實際上是邁出了許多小小的步伐。</p> <p>整理就像是下一盤棋，你多多少少都可以預見接下來幾步的發展。我們就來看看各種整理的做法，如何進一步帶動其他整理的做法：</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3366ff;"> 守衛語句 </span></strong></span>一旦你採用守衛語句的寫法，判斷條件可能就會變簡單，讓你可以提取出某個具有解釋效果的輔助函式，或是提取出某些具有解釋效果的變數。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3366ff;"> 沒用到的死程式碼 </span></strong></span> 一旦刪除掉一堆亂七八糟的死程式碼，也許你就可以看得出來，如何根據閱讀順序或內聚順序，來重新排列程式碼。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3366ff;"> 用同樣的寫法做同樣的事 </span></strong></span> 如果你確實可以做到，同樣的工作都用同樣的程式碼來實現，不同的工作就用不同的程式碼來實現，這樣你就可以把一些邏輯意義上平行對等的程式碼，按照閱讀順序來進行分組。舉個例子，有一次我在處理一個檔案，其中包含了好幾個Web入口點。由於程式碼看起來都很相似，所以我很自然就把它們分組放在檔案的最前面，變成了其餘程式碼的一個目錄。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3366ff;"> 舊的實作方式搭配新介面 </span></strong></span> 一旦你有了一個閃亮的新介面，你一定想好好善用它。如果你沒有好用的自動重構工具，去針對所有呼叫到新介面的地方進行轉換，你就只好一個一個進行人工轉換。這是我們第一次見識到所謂的扇出（fanout）的威力—一個整理動作，導致了更多的整理需求，而每個整理需求，又會導致更多的整理需求。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3366ff;"> 閱讀順序 </span></strong></span> 建立好閱讀順序之後，你可能就會看到一些機會，可以讓同樣的事，全都採用同樣的寫法。因為之前各個元素相隔的距離比較遠，以至於你看不到其中的相似之處。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3366ff;"> 內聚順序 </span></strong></span> 根據內聚順序把元素放到一起之後，下一步或許就可以考慮把它們提取到一個子元素中。舉例來說，你可以建立一個輔助物件（helper object），不過這樣的做法，已經超出整理的範疇了。話雖如此，但如果你在整理過程中很自在、很有自信，你很自然就可以看出更大規模的設計變更做法，進一步讓行為上的改變變得更加容易。</p> <p>你可能會開始把許多整理做法串聯起來，對程式碼結構做出比較大的改變。請務必小心留意，不要做出太多、太快的改變。一連串成功的整理，抵不過一次有問題的、成本昂貴的整理。這就像是在練習每個音階的音符，請好好練習怎麼做好整理這件事。等你能夠輕鬆俐落處理好各種不同的音符，你就能編寫出美妙的旋律了。<strong>（本文摘錄整理自《先整理一下？｜個人層面的軟體設計考量》，碁峰資訊出版提供）</strong></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98-%E5%85%88%E6%95%B4%E7%90%86%E4%B8%80%E4%B8%8B-600.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源_碁峰資訊</span></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> <span style="color:#3399ff;">先整理一下？｜個人層面的軟體設計考量（Tidy First?: A Personal Exercise in Empirical Software Design）</span></strong></p> <p>Kent Beck／著；藍子軒／譯</p> <p>碁峰資訊出版</p> <p>定價：480元</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98_%E5%85%88%E6%95%B4%E7%90%86%E4%B8%80%E4%B8%8B_%E5%9C%962_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_Kent%20Beck.png" style="width: 130px;" /></p> <p><a href="https://kentbeck.com/" target="_blank"><span style="color:#696969;"><span style="font-size:14px;">圖片來源_Kent Beck</span></span></a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><strong>Kent Beck</strong></p> <p>Kent Beck 是「極限程式設計」（Extreme Programming）的創建者，同時也是軟體模式的先驅、JUnit的共同作者、測試驅動開發（Test-Driven Development）的重新發現者，以及3X： Explore/Expand/Extract（探索/擴展/提取）的觀察家。他也是《敏捷宣言（Agile Manifesto）的第一位簽署者（按照字母順序）。Kent住在加州舊金山，擔任Mechanical Orchard的首席科學家，他經常會傳授一些技能，協助極客們能夠在這個世界上感覺到更加安心。</p> </div></div></div>
2025/6/13 17:15未署名https://www.ithome.com.tw/article/169557
郵件伺服器Roundcube近滿分重大漏洞有駭客於地下市集兜售利用方法，全球仍有近8.5萬臺恐曝險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>6月初電子郵件伺服器系統Roundcube發布資安更新，修補風險值達到9.9分的<a href="https://www.ithome.com.tw/news/169358">後身分驗證漏洞CVE-2025-49113</a>，通報此事的資安業者Fears Off指出，這項漏洞不僅危險，影響範圍還相當廣泛，因為該漏洞影響近10年的Roundcube，更可怕的是Roundcube有許多管理工具內建，也有許多雲端服務業者、主機代管業者採用，粗估有超過5,300萬臺伺服器曝險，攻擊者很快就會將其用於實際攻擊，如今研究人員的推測成真，因為馬上就有駭客在地下市集兜售利用漏洞的方法。</p> <p>CVE-2025-49113是在6月1日揭露，3天後，Fears Off執行長Kirill Firsov在社群網站X提出警告，<a href="https://x.com/k_firsov/status/1930246402099044789">指出暗網有人在兜售CVE-2025-49113的利用方法</a>，駭客號稱這種手法可用於對全球353.6萬臺郵件伺服器下手，雖然駭客並未公布售價，但Kirill Firsov認為，漏洞掮客可能會以5萬美元的價格買下。</p> <p>有鑑於已有駭客提供作案工具的情況，Fears Off決定<a href="http://fearsoff.org/research/roundcube">更新先前發布的部落格文章內容</a>，公開此漏洞更多細節，並指出問題源自於$_GET['_from']的參數缺乏消毒（sanitization）處理，造成PHP物件出現反序列化的現象。</p> <p>事隔數日（6月9日），威脅監控平臺Shadowserver基金會公布此漏洞曝險的情形，他們<a href="https://x.com/Shadowserver/status/1931792740616196222">在6月8日偵測到有84,925臺郵件伺服器尚未修補</a>，其中以美國、印度、德國最多，分別約有19,500、15,500、13,600臺。</p> <p>值得留意的是，鎖定Roundcube的攻擊事故頻傳，6月5日<a href="https://cert.pl/en/posts/2025/06/unc1151-campaign-roundcube/">波蘭電腦緊急應變團隊（CERT Polska）提出警告</a>，與白俄羅斯有利益關係的駭客組織UNC1151，藉由寄送釣魚信試圖觸發另一個重大層級的跨網站指令碼（XSS）漏洞CVE-2024-42009（CVSS風險值9.3），意圖攻擊波蘭的企業組織。由於正好碰到研究人員公布CVE-2025-49113，CERT Polska認為攻擊者接下來也可能嘗試利用、串連新漏洞，呼籲當地企業組織應儘速套用更新修補漏洞因應。</p> </div></div></div>
2025/6/13 18:01作者周峻佑https://www.ithome.com.tw/news/169551
【美國AMD全球發表會直擊】蘇姿丰：AMD將建立以開放、開發者優先的AI生態系發展
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「未來AI不會由任何一家業者或是封閉生態系統所建構，而是由開放合作、跨產業來形塑AI的發展，因為人人都可以帶來最好的想法，一起共同創新」，AMD執行長蘇姿丰在美國舉辦的AMD全球發表活動中總結說。</p> <p>這個想法呼應今年AMD全球發表活動的口號Together we advance，也體現蘇姿丰提出AMD對AI的3大策略，除了提供廣泛運算產品，讓合適的運算資源和合適的模型、應用配對，以及提供完整的方案之外，更重要的是大力投資建構一個開放性、開發者優先的生態系，「真正支援每一個主流框架、每個函式庫，以開放標準讓產業凝聚在一起，讓每個人都能為AI創新提供貢獻」。</p> <p>開放生態系在 AMD 的人工智慧願景中扮演核心的關鍵角色，AMD也在發表活動中，多次提及開放標準的重要性，以和競爭對手建立區隔。</p> <p>該公司的策略是提供開放標準的硬體、軟體，例如此次新發表的資料中心AI加速器AMD Instinct MI350系列，該資料中心GPU除了支援更大的HBM記憶體及提升記憶體頻寬，增加AI運算效能之外，支援業界的GPU節點標準UBB8，展示搭載MI350系列的AI Rack設計，以建立大規模的AI基礎建設。</p> <p>在建立生態系方面，AMD一直積極地向AI開發社群招手，呼應蘇姿丰提到的3大AI策略，以開發者優先的策略，AMD開源軟體堆疊ROCm經營開發社群下已獲得一些進展，透過持續優化開發工具、SDK套件，例如除錯、微調工具，也和GitHub、Hugging Face開發社群平臺強化與開發社群平臺的合作關係，讓平臺上的模型更容易開發及部署。以Hugging Face為例，目前已有超過180萬的模型支援AMD平臺。</p> <p>針對比較熱門的AI模型，鑑於這些模型快速的更新發展，AMD強調在Day 0就與模型業者合作，強化AMD各種運算產品對最新模型的支援，推動Llama、Mistral等模型在AMD平臺的優化，不斷改善模型訓練、推論在AMD平臺的效能。</p> <p><span style="color:#B22222;"><strong>模型推論及訓練效能加強的ROCm 7</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202025-06-13%20%E4%B8%8A%E5%8D%884_37_28.jpeg" style="width: 600px; height: 262px;" /></p> <p>在今年美國發表活動中推出ROCm 7，支援最新發表的MI350系列GPU，強調新的ROCm 7有更好的推論能力，相較於前代的ROCm 6，AMD比較新舊的軟體推疊在DeepSeek R1、Llama 3.1 70B及Qwen-2 72B三個模型的推論效能表現，ROCm7比ROCm6有平均3.5倍的推論效能提升。</p> <p>AMD也不忘秀出與開發社群深化合作的成果，以執行DeepSeek R1為例，在FP 8的效能測試下，AMD的MI355X在ROCm 7加持下，較Nvidia GB200高出1.3倍的效能。</p> <p>此外，ROCm 7與ROCm 6在模型訓練效能表現上，在Llama 2 70B、Llama 3.1 8B、Qwen 1.5 7B三個模型，ROCm7較ROCm 6的訓練平均效能提升3倍。</p> <p>ROCm也加強對Linux開發社群的支援，包括Red Hat EPEL、Ubuntu、OpenSUSE的支援，陸續會在今年完成。此外，過去缺乏Pytorch在Windows的開發環境支援，也可望在今年下半年完整支援Pytorch在Windows環境的開發。</p> <p>呼應開發者優先的策略，AMD也發表Developer Cloud，提供開發工具、ROCm 7，讓開發社群能在一定的資源限制下，免費存取使用AMD Instinct 300系列GPU的資源。</p> <p><span style="color:#B22222;"><strong>與紅帽聯手強化企業AI的高效能推論部署</strong></span></p> <p>針對企業需要的資料安全整合、容易部署，AMD強化ROCm for Enterprise AI，強調讓企業易於部署AI，ROCm for Enterprise AI以ROCm 7對資料中心CPU、GPU、DPU基礎資源，靈活彈性調度低層的叢集資源，支援Kubernetes及Slurm的整合，加強對上層的AI工作負載的管理，並進一步支援MLOps。</p> <p>在企業的AI應用部署方面，AMD已與紅帽合作，包括在VLM對開源模型推論部署的提高效能，強化對AMD旗下運算加速產品的支援，還有以VLM為基礎的LLMD(Large Language Model Distributed inference framework)，加強對大語言模型推論的分散架構支援，進一步支援在混合雲環境的企業AI推論部署。</p> <p>OpenShift AI簡化企業AI推論部署，其中對於CPU及GPU的支援相當重要，雙方合作讓OpenShift AI支援AMD最新的Instinct系列GPU，確保企業能以彈性且易於部署的方式部署高效能AI推論。</p> </div></div></div>
2025/6/13 19:47作者蘇文彬https://www.ithome.com.tw/news/169555
零售IT雙周報第57期：Amazon揭露新AI物流士導航系統及物流需求預測模型，未來還要用代理式AI打造聽得懂自然語言…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#0000FF;"><strong>重點新聞(0601~0614)</strong></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#生成式AI #代理式AI #智慧物流</span></span><br /> Amazon揭露兩項新物流AI技術應用，還要打造聽得懂自然語言指令的物流機器人</strong></p> <p><a href="https://www.aboutamazon.com/news/operations/amazon-ai-innovations-delivery-forecasting-robotics">Amazon近日介紹自家兩項新物流AI技術</a>，利用GenAI提升配送地點準確度的Wellspring導航系統，以及一個新物流需求預測AI模型。並且，揭露他們將開始用代理式AI技術，打造可以聽懂口頭指令的物流中心機器人系統。</p> <p>Wellspring系統利用來自衛星影像、街景圖像、顧客指示和歷史配送數據等多方資訊，幫助物流士更精確地定位目的地。在多樓層公寓或新建社區等環境中，系統仍可以準確識別郵箱、車位和入口等具體位置，改善配送精準度。這些資訊會透過圖標顯示於地圖上，供物流士送貨時能快速辨識。Amazon表示，透過生成式AI，他們才能如此有效率的結合多種區域資料來提供物流士導航。自2024年10月起，Wellspring在美國測試，已成功對超過14,000個多樓層公寓中的280萬地址進行精準定位，並替物流是找到400萬個方便的停車位置。</p> <p>Amazon還更新了AI物流需求預測模型，不僅考量銷售歷史，還包括天氣模式、顧客假期安排、配送區域特性等因素。此模型可以支援他們近期將物流規畫從全國性規畫改為地方性規畫，使Amazon更準確預測商品在何時、何地會有較高需求，來調配商品庫存地點。這項技術已在美國、加拿大、墨西哥和巴西投入應用。</p> <p>最後，Amazon還宣布將有一組代理式AI團隊開始打造物流機器人AI技術，使機器人可以接收人類員工的自然語言口頭指令，例如「把載貨區的包裹都裝到拖車中」。機器人再透過語言視覺模型（VLM）等技術，根據實際物流中心環境來完成任務。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#生成式AI #商品數據維護</span></span><br /> Walmart介紹自家運用生成式AI維護數十億筆商品資料的做法</strong></p> <p>Walmart曾揭露，自家利用生成式AI來管理商品目錄，達到原本人力100倍的作業效率。<a href="https://tech.walmart.com/content/walmart-global-tech/en_us/blog/post/using-llms-to-manage-product-catalogs.html">近日，他們於技術部落格中揭露更多做法細節。</a></p> <p>他們的商品目錄是商品單一資訊來源（Single Source of Truth），有數十億個數據點，人工維護時，是一項無止境的艱巨工作。生成式AI技術問世後，他們則設計出一套系統，分兩大階段來自動化維護資料。</p> <p>第一階段是屬性提取，利用一個LLM從產品描述和圖片中識別顏色、尺寸和材質等相關屬性。第二階段是品質管制，由另一個經過人類驗證數據訓練的LLM，用來驗證提取屬性是否準確。藉此，來更新和</p> <p>訓練這些模型過程中，Walmart採用多任務微調（Multitask Fine-Tuning）做法，使模型同時處理多個相關任務，來同時提高任務相關的專門能力，同時不忘其他一般性的通用語言知識。Walmart還採用知識蒸餾（Knowledge Distillation）技術，將大型LLM知識轉移到較小的模型中，進一步提升模型的執行效率並降低成本。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#生成式AI #AI模式購物 #虛擬試穿</span></span></strong><br /> <strong>Google推出AI模式購物體驗，提供虛擬試穿、智慧推薦和價格追蹤等功能</strong></p> <p><a href="https://blog.google/products/shopping/google-shopping-ai-mode-virtual-try-on-update">Google於自家對話式搜尋引擎AI Mode中推出購物體驗</a>，結合了Google的Gemini模型和自家超過500億條商品資料的Shopping Graph資料集，來提供對話式、個人化購物功能。AI模式可以根據用戶需求提供建議與篩選，針對不同情境，如天氣、地點等，推薦符合條件的商品。</p> <p>AI模式還有價格追蹤功能，用戶可以設置價格追蹤、商品規格等資料，當價格調整到指定範圍時會通知用戶。未來，當用戶授權購買，AI還會自動到商品所在商城完成結帳購買等流程。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/aimodeshopping.png" style="width: 600px;" /></p> <p>此搜尋模式也內建過往購物搜尋結果中的虛擬試穿功能。用戶夠透過上傳自己的照片，模擬衣物材質和尺寸等外觀特性在自己身上的樣子。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#生成式AI #代理式AI</span></span></strong><br /> <strong>Walmart正式推出生成式AI購物助手Sparky，未來還要加入多模態處理功能及代理式AI功能</strong></p> <p><a href="https://corporate.walmart.com/news/2025/06/06/walmart-the-future-of-shopping-is-agentic-meet-sparky">Walmart正式推出GenAI技術購物助手Sparky</a>，一個於行動應用中的對話式購物助手。主要功能包括查詢產品細節、比較不同選項，並且回答購物相關的其他問題。舉例來說，顧客可以問Sparky當晚的體育賽事或查詢旅遊地點天氣，以及推薦的合適衣物。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/sparky-user-experience.jpg" style="width: 600px;" /></p> <p>未來，Walmart還計畫為Sparky加入多模態處理功能，支援理解文字、圖片、音訊和影片輸入。他們還要加入代理式AI功能，例如自動紀錄家庭周期性購買的商品並重新訂購，以及協助預訂Walmart各式顧客服務等。甚至，可以結合顧客詢問的生活相關問題，提供建議並自動訂購所需商品，例如安排一周菜單後訂購食材，或提供水管修繕指南並訂購工具。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#AI搜尋 #第三方市集</span></span></strong><br /> <strong>Best Buy將推出新商品搜尋體驗，利用AI建議來引導顧客搜尋出更符合需求的結果</strong></p> <p><a href="https://seekingalpha.com/article/4790899-best-buy-co-inc-bby-q1-2026-earnings-call-transcript">美國大型3C賣場Best Buy於近日法說會中宣布，將於2026年推出一種新AI搜尋體驗。</a>CEO Corie Barry說明，這個搜尋引擎將透過AI建議搜尋內容，來引導顧客進行更具體的搜尋。他們期望，這種做法可以減少搜尋次數，同時增加搜尋結果反映顧客意圖的精準度。</p> <p>法說會中Corie Barry還提到，Best Buy預計夏季上線第三方市集平臺。他們將提供直接退還給賣家或通過Best Buy門市退貨的選項。</p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#0099FF;">#健康福利 #健康規畫 #商品推薦</span></span></strong><br /> <strong>Walmart將電商平臺串接聯邦醫療保險資料，以協助保戶尋找能用補助款購買的藥品與食品</strong></p> <p><a href="https://corporate.walmart.com/news/2025/05/28/walmart-is-helping-medicare-advantage-customers-seamlessly-use-their-supplemental-health-benefits-for-everyday-wellness-purchases">Walmart近日於電商中，加入協助美國聯邦醫療保險Medicare Advandtage資格者，尋找可以用補助款項購買商品的功能。</a></p> <p>Medicare Advantage是美國聯邦醫療保險的一種，會提供保戶一定補助額，來購買食品、保健食品及藥物。此保險計畫光是每年未被使用的補助額度，就超過數十億美元。Walmart鎖定此潛在商機，將自家電商平臺的電子錢包串聯Medicare保險系統。供顧客認證保戶身分。接著，顧客能看到有哪些商品，可以用補助款購買。系統還會追蹤，該名顧客還剩多少補助餘額。</p> <p>Walmart還推出一款AI驅動的健康管理平臺Everyday Health Signals，目前開放給部分前述的Medicare Advandtage保戶使用。此平臺根據顧客購物紀錄等資訊，由AI提供量身定制的健康建議，並據此推薦購物清單。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099FF;">更多零售IT動態：</span></strong></span></p> <p>1. 91APP與百貨專櫃ERP及POS廠商輔翼科技合作推出更多百貨業OMO零售功能。</p> <p>2. <a href="https://corporate.walmart.com/news/2025/06/05/walmart-takes-flight-with-drone-delivery-expansion-to-5-new-cities-redefining-fast-flexible-retail">Walmart宣布未來一年內將無人機送貨服務擴展至5個新城市，多服務數百萬名顧客。</a></p> <p>3. 家樂福在VivaTech 2025宣布導入一款邊緣AI應用，能即時監控貨架狀況、偵測缺貨、確認價格合規性，並精確定位商品位置。</p> <p>4. <a href="https://deliveroo.co.uk/more/news-articles/project-chopper-launch?srsltid=AfmBOoq1Sw1AgDg5vlWLVdjyR4V3jGgvLUPX6ZcpanXM7drFEAWz0jQp">外送平臺Deliveroo開始在愛爾蘭都柏林推出無人機送餐功能。</a></p> <p>資料來源：iThome整理，2025年6月</p> <p>責任編輯：郭又華</p> <p>圖片來源：Walmart、Google、Amazon</p> <p></p> </div></div></div>
2025/6/13 18:54作者郭又華https://www.ithome.com.tw/news/169549
國科會揭露在宅醫療科技政策推動方向，明年開始實施
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國科會在昨日（6/12）<a href="https://www.youtube.com/watch?v=z-ur-1o8cwk&t=1358s&ab_channel=%E8%A1%8C%E6%94%BF%E9%99%A2%E9%96%8B%E9%BA%A5%E5%95%A6-2">行政院會後記者會揭露</a>在宅醫療科技政策<a href="https://drive.google.com/file/d/1IUsEwVwOx0LwOW6Xt8duN8nOdZKUksiC/view">推動方向</a>，比如要導入AI等創新工具來減輕醫護負擔、開發符合第一線需求且可負擔的產品，以及提高民眾健康識能等。該政策預計2026年開始執行。</p> <p><span style="font-size:22px;"><strong>瞄準4大方向</strong></span></p> <p>國科會科技辦公室副執行長秘書呂佩融指出，去年，總統賴清德提出健康臺灣願景和國家希望工程，要分別推動智慧醫療結合健康照護、擴大醫療投資，而去年8月的生技產業策略諮議委員會議（BTC）則提出2大建議，要加速建置接軌國際標準之系統平臺、布建智慧在宅醫療網，以及推動預防醫學和精準醫療的普及並落實在宅醫療。</p> <p>在這些背景下，國科會開始布局在宅醫療科技政策，他們的推動方向有4個，包括：</p> <ol> <li>減輕醫護負擔</li> <li>帶動產業發展</li> <li>滿足民眾需求</li> <li>共築健康台灣</li> </ol> <p>其中，第一個方向要導入AI等創新工具，來減少行政負擔、加速個案轉銜效率，也要減少急診待床。第二個方向則要用健康數據和智慧科技，來結合家戶需求、建置製造整合開發平臺，帶動相關產業發展。</p> <p>至於第三個方向，是要優化普及可負擔且好用的產品，來滿足民眾在宅醫療照護需求。最後一個方向，則是要強化民眾健康識能、提升疾病控制效益，來改善病患生活品質。</p> <p><span style="font-size:22px;"><strong>推動目標鎖定3對象</strong></span></p> <p>呂佩融說明這項在宅醫療科技政策範疇，只要是能將醫療和照護服務，延伸到居家、機構與社區生活圈的科技，都在範圍內。國科會也盤點在宅醫療科技應用範疇，至少有遠距門診、在宅急診照護、在宅住院以及在宅醫療照護。</p> <p>而政策推動目標是要建立在宅醫療生態系統，瞄準3大對象，包括醫療／照護提供者、被照顧者和在宅醫療科技產業。呂佩融說明，醫療／照護提供者包括醫療單位、居家照護和復健單位，比如基層診所、地區／區域醫院和醫學中心，以及居家護理所、呼吸照護所、物理和職能治療所等，要透過在宅醫療科技，來提高照護效果、減少負擔。</p> <p>而被照顧者則能與醫療照護提供者，透過在宅醫療科技導入，形成社區整合性醫療照護模式。呂佩融解釋，被照顧者可分為一般地區、都會地區、醫療資源不足地區，以及山地離島地區，國科會也將針對不同族群，提出不同的科技解決方案，進一步促進智慧醫療發展。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202025-06-13%20171612.png" /></p> <p><span style="font-size:22px;"><strong>自2026年實施到2029年，共有3大主軸</strong></span></p> <p>這個在宅醫療科技政策預計2026年開始執行至2029年，採取由上而下的方式，聯合國科會、經濟部、衛福部、數發部等部會來推動3大主軸，包括科技創新、優化普及和基盤建置。</p> <p>就科技創新來說，他們要導入創新智慧科技，來擴大在宅醫療科技的應用，並依據第一線需求，運用新工具強化照護服務量能。</p> <p>就優化普及而言，則要開發或優化能滿足家戶需求，且可負擔的產品，同時也要推廣效益良好的產品。至於基盤建置，則是要讓在宅醫療網絡更完善，所以要串接多元資訊流來加速照護團隊協作，並建立基層醫護應用網，打造在宅醫療科技的驗證場域。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202025-06-13%20171551.png" /></p> <p>呂佩融總結，要落實在宅醫療科技政策，政府也要落實跨部會協作，持續加強部會間的溝通、整合資源。同時也要聚焦需求，由需求導向推動政策，特別是根據第一線醫護和民眾需求，來調整、優化政策工具。</p> <p>國科會希望，透過健保引導和支持、創新應用的導入、驗證場域擴散和法規完善，來發展本土創新的解決方案，形塑永續在宅醫療科技生態系。</p> <p></p> </div></div></div>
2025/6/13 17:21作者王若樸https://www.ithome.com.tw/news/169550
駭客正針對微軟Entra ID帳戶發動密碼潑灑攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.proofpoint.com/us/blog/threat-insight/attackers-unleash-teamfiltration-account-takeover-campaign" target="_blank">資安業者Proofpoint近日警告</a>，有一起惡意活動UNK_SneakyStrike自去年12月以來，便開始針對微軟雲端身分驗證服務Entra ID發動密碼潑灑（Password spraying）攻擊，影響了數百個組織的逾8萬個使用者帳戶，並有多起成功接管帳戶的案例。</p> <p>根據Proofpoint的分析，駭客所使用的工具是一名威脅研究人員於2021年所打造的TeamFiltration，該工具具備帳戶枚舉、密碼潑灑、資料汲取，以及透過OneDrive植入後門等能力，原本是要用來進行滲透測試及風險評估，模擬對Microsoft Azure用戶的攻擊，卻直接被駭客應用於惡意活動。</p> <p>例如駭客先透過公開資料與Microsoft Teams API測試帳戶的存在與否；再嘗試以少量卻常見的密碼來登入大量帳戶（密碼潑灑攻擊）；成功登入後便可匯出Outlook郵件、下載OneDrive，或是存取Teams的聊天紀錄、通訊錄或行事曆等；再上傳嵌有惡意巨集的Word/Excel文件到OneDrive上來維持常駐能力。</p> <p>駭客透過AWS雲端伺服器從不同的地理區域輪番發動攻擊，主要為美國（42%）、愛爾蘭（11%）及英國（8%），以增加追蹤難度。</p> <p>UNK_SneakyStrike攻擊行動始於2024年12月，在2025年1月達到高峰，當時1天內有16,500個帳戶遭到攻擊。</p> <p>有許多紅隊演練工具經常被駭客用來執行惡意活動，除了TeamFiltration之外，還有威脅模擬工具Cobalt Strike被用來部署後門，或是滲透測試框架Metasploit Framework被用來攻擊未修補的安全漏洞。</p> <p>而對Proofpoint研究人員而言，最大的難題之一是區分TeamFiltration的合法及攻擊流量，他們發現，與受控的安全評估不同，惡意活動往往遵循更廣泛、更無差別的攻擊模式。</p> </div></div></div>
2025/6/13 17:27作者陳曉莉https://www.ithome.com.tw/news/169548
Google發表Weather Lab互動網站以預測熱帶氣旋
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google DeepMind及Google Research周四（6/12）<a href="https://deepmind.google/discover/blog/weather-lab-cyclone-predictions-with-ai/" target="_blank">發表</a>了<a href="https://deepmind.google.com/science/weatherlab" target="_blank">Weather Lab互動式網站</a>，以分享其最新的AI天氣模型。Weather Lab所展示的是個基於隨機神經網路的實驗性AI熱帶氣旋模型，它能夠預測氣旋的形成、路徑、強度、大小及形狀，並提供多達50種可能的情境，最早可提前15天進行預測。Google亦與美國國家颶風中心（U.S. National Hurricane Center）合作，以支援該中心在氣旋季節的預測及警告。</p> <p>熱帶氣旋通常是在溫暖的海面上形成，它的中心氣壓顯著低於周圍，造成氣流向中心旋轉聚集，大型的熱帶氣旋又被稱為颶風或颱風，在過去半個世紀以來，已造成1.4兆美元的經濟損失。</p> <p>此一天氣模型是以全球再分析資料，以及過去45年來近5,000個熱帶氣旋的觀測紀錄進行訓練，而且突破了傳統「全球低解析度模型擅長路徑預測」與「區域高解析度模型擅長強度預測」的限制，讓該模型同時具備路徑及強度預測能力。例如它的5天氣旋路徑預測比歐洲ECMWF的ENS實體模型誤差少了140公里；強度預測也優於NOAA的HAFS區域高解析度模型；另外，其15天的預測情境，遠遠地超越傳統模型常見的5~7天預測範圍，以爭取寶貴的防災準備時間。</p> <p>Google表示，新模型的5天氣旋路徑預測與ENS模型3.5天預測的精確度相當，而這1.5天的差距通常需要十多年才能實現。</p> <p>不過，Google也提醒，目前該模型仍只是一款研究工具，以讓使用者得以比較並分析各種AI模型與實體模型的預測能力，所顯示的即時預測是由仍在開發中的模型所生成，並非官方預警，正式的天氣預報還是要以當地的氣象機構為準。</p> </div></div></div>
2025/6/13 16:14作者陳曉莉https://www.ithome.com.tw/news/169547
Mistral跨足AI雲端平臺業務推出Mistral Compute
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://mistral.ai/news/mistral-compute" target="_blank">法國AI新創業者Mistral AI宣布在歐洲推出Mistral Compute</a>，正式跨足AI雲端平臺供應。</p> <p>Mistral希望透過Mistral Compute，在三大美國巨頭Azure、Amazon Web Services（AWS）和Google Cloud及中國業者如阿里巴巴之外，提供AI基礎架構平臺的新選項，實現AI民主化及資料主權。</p> <p>Mistral Compute是Mistral和Nvidia合作的完整AI基礎架構平臺，以Mistral AI的訓練套件為核心，提供私有、整合式AI技術堆疊，包含GPU、協同層、API、產品和服務，支援企業打造從最簡單的裸機到全代管的PaaS環境各層級需求。</p> <p>目前雖然Mistral Compute支援範圍在歐洲，但該公司計畫推向中東、亞洲及南半球那些希望有美、中之外選項的客戶，包括政府、企業或研究單位，以及想要服務歐洲客戶，有資料主權或減碳法規考量的美、中企業。</p> <p>藉由Mistral Compute，Mistral AI將試圖挑戰美中雲端巨擘，以及新創公司如CoreWeave或Lambda Labs。</p> <p>Mistral強調，Mistral Compute底層有數萬顆Nivida GPU，提供最新推論架構，未來幾年還會快速增加。</p> <p>Mistral Compute其他合作技術業者還包括歐洲模型業者Black Forest Labs、法國AI研究實驗室Kyutai、法國電商SaaS Mirakl、法國電信業者Orange、自動化巨人Schneider Electric、法國網路及資安廠商Thales及永續方案業者Veolia等。</p> </div></div></div>
2025/6/13 14:34作者林妍溱https://www.ithome.com.tw/news/169545
加密貨幣交易平臺Coinbase即將推出可回饋比特幣的信用卡Coinbase One Card
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.coinbase.com/blog/earn-up-to-4-percent-bitcoin-back-on-every-purchase-with-the-new-coinbase-one-card" target="_blank">美國最大的加密貨幣交易平臺Coinbase周四（6/12）宣布</a>，即將於今年秋天針對Coinbase One會員推出Coinbase One Card信用卡，持卡人每次購物都能獲得最高4%的比特幣（Bitcoin）回饋金。同一天Coinbase也宣布Coinbase One訂閱服務將新增Basic入門方案，每月費用為4.99美元。</p> <p><a href="https://help.coinbase.com/en/coinbase/other-topics/coinbase-one/account" target="_blank">Coinbase One</a>是Coinbase在2023年推出的付費訂閱會員服務，一開始只有提供每月29.99美元的Preferred方案及每月299.99美元的Premium方案，會員的主要優惠包括特定額度的零交易手續費、現金回饋、提息到專屬客服等，適合中高頻或持有大量穩定幣的用戶。</p> <p>本周新增的Basic方案每月的訂閱費用則是4.99美元，可享有500美元以內的免交易手續費，支援1,000美元的帳戶盜用保障，所存入的第一筆價值1萬美元的USDC可獲得4.5%的年百分比收益率（APY），並可申請Coinbase One Card。</p> <p>迄今Coinbase僅說擁有1億註冊用戶，未曾公布其Coinbase One付費用戶規模。</p> <p>至於Coinbase One Card則是由Coinbase及Cardless合作推出的信用卡，由Cardless扮演技術平臺業者的角色，負責整個信用卡的應用流程，發卡銀行為First Electronic Bank，使用American Express的支付網路。</p> <p>根據Coinbase的規畫，持卡人在Coinbase所持有的資產愈多，所賺取的比特幣就愈多，基本的回饋金為2%，適用於各種日常消費，不過，現階段該信用卡只限美國的Coinbase One會員申請。</p> </div></div></div>
2025/6/13 14:46作者陳曉莉https://www.ithome.com.tw/news/169546
【資安日報】6月13日，Mirai變種企圖利用重大漏洞綁架資安平臺Wazuh
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>殭屍網路攻擊事故頻傳，最近資安業者Akamai揭露的事故相當特別，駭客鎖定的目標，竟是在中小企業、教育機構、政府機關相當受歡迎的資安平臺Wazuh。</p> <p>而在漏洞消息的方法，趨勢科技、Palo Alto Networks修補旗下資安防護產品的漏洞相當值得留意；Acronis、Dell也為備份軟體、NAS作業系統修補重大層級漏洞。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169540"><strong style="font-size: 22px;">開源資安平臺Wazuh重大漏洞遭鎖定，兩個Mirai殭屍網路變種用於攻擊行動</strong></a></p> <p>一般而言，殭屍網路攻擊主要鎖定的標的，大多是缺乏資安防護與相關管理的物聯網設備，例如：SOHO或家用路由器、NAS、網路攝影機，利用資安漏洞滲透設備。然而近期有一起攻擊行動相當不尋常，駭客鎖定的標的竟是一套資安系統。</p> <p>資安業者Akamai揭露專門針對開源資安監控平臺Wazuh的攻擊行動，有兩個殭屍網路Mirai變種自3月下旬鎖定已知的重大層級漏洞CVE-2025-24016而來，入侵並控制Wazuh伺服器。而對於這些殭屍網路的來歷，一個是專門針對物聯網裝置的LZRD（也稱做Morte），另一個是使用義大利語的人士經營的Resbot（Resentual）。</p> <p>這些殭屍網路不約而同盯上Wazuh重大漏洞並用於攻擊，突顯可能已有不少這類系統直接曝露在網際網路，以及未及時套用新版軟體的現象，使得攻擊者有機可乘，得以利用漏洞來入侵這類資安平臺。</p> <p><a href="https://www.ithome.com.tw/news/169490"><strong style="font-size: 22px;">竊資軟體AMOS冒充美國電信業者，針對macOS用戶展開ClickFix網釣攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/683fd1159b230ce09c72c78b_AD_4nXds5qbBqTDHs9r2dHQxv7Z3sI4jLtTY_69cfRBT99gDn4hz50bJKpfMSgDe8pOWwwGo14-jH01SzNThNWJGexGWuXjDf6eo2I7SOPKMiK_FMq2jRurZ4HdoK2wzzCPv2gg3yQBdRA.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/683fd1159b230ce09c72c78b_AD_4nXds5qbBqTDHs9r2dHQxv7Z3sI4jLtTY_69cfRBT99gDn4hz50bJKpfMSgDe8pOWwwGo14-jH01SzNThNWJGexGWuXjDf6eo2I7SOPKMiK_FMq2jRurZ4HdoK2wzzCPv2gg3yQBdRA.png" style="width: 300px; float: right;" /></a></p> <p>資安公司CloudSEK揭露一波針對macOS用戶的攻擊事件，駭客集團假冒美國電信業者Spectrum註冊相關網域，結合ClickFix網釣流程，散布新版Atomic macOS Stealer（AMOS）惡意程式。攻擊行動自5月下旬開始活躍，駭客設置與Spectrum相關的釣魚網站，誘使受害者下載並執行AMOS惡意程式，進而竊取憑證、瀏覽器快取、加密貨幣錢包及其他敏感資料。</p> <p>研究人員指出，駭客註冊多個與Spectrum高度相似的假冒網域，誘導用戶進入釣魚網站。網站會引導用戶進行驗證操作，畫面設計模仿常見驗證介面，誘使點擊替代驗證按鈕，實則將攻擊腳本複製到剪貼簿，並要求用戶在終端機執行。</p> <p>攻擊者在6月初設立偽造的Homebrew軟體庫，利用廣告釣魚誘導以Homebrew為開發工具的開發者誤入假網域，下載並執行惡意安裝腳本，造成AMOS變種程式植入系統。該假冒軟體庫會切換指向真正Homebrew安裝頁面，或攻擊者控制的伺服器，提升釣魚網站的真實性並增加追蹤困難度。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/fog-ransomware-attack-uses-unusual-mix-of-legitimate-and-open-source-tools/">勒索軟體Fog濫用開源滲透測試工具、員工監控軟體Syteca從事攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/graphite-spyware-used-in-apple-ios-zero-click-attacks-on-journalists/">蘋果iOS零點擊漏洞遭到濫用，間諜軟體Graphite鎖定記者而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/password-spraying-attacks-target-80-000-microsoft-entra-id-accounts/">逾8萬微軟Entra ID帳號遭密碼潑灑攻擊</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169533"><strong style="font-size: 22px;">趨勢科技修補影響端點加密、安全管理平臺多項高風險漏洞</strong></a></p> <p>趨勢科技本周發布產品更新，修補影響端點加密Endpoint Encryption、安全控管平臺Apex Central的多項高風險、重大層級漏洞。</p> <p>其中，他們一口氣為Trend Micro Endpoint Encryption（EMEE）的PolicyServer元件修補8項漏洞，最嚴重的4項皆為反序列化（deserialization）漏洞，分別被登記為CVE-2025-49212、CVE-2025-49213、CVE-2025-49214、CVE-2025-49217，CVSS風險介於8.8至9.8；對於Apex Central，該公司修補了2項反序列化漏洞CVE-2025-49219及CVE-2025-49220，風險值皆達到9.8。</p> <p>特別的是，趨勢科技提及多項漏洞相當類似，他們提及CVE-2025-49212、CVE-2025-49213、CVE-2025-49217、CVE-2025-49219、CVE-2025-49220為相似的反序列化漏洞；CVE-2025-49215、CVE-2025-49218為類似的SQL注入權限提升漏洞。</p> <p><a href="https://www.ithome.com.tw/news/169543"><strong style="font-size: 22px;">Palo Alto Networks修補安全瀏覽器、SSL VPN高風險漏洞</strong></a></p> <p>6月12日資安業者Palo Alto Networks發布7則資安公告，針對旗下的安全瀏覽器Prisma Access Browser、SSL VPN系統GlobalProtect、防火牆作業系統PAN-OS進行修補，其中有兩則被列為高風險的公告內容，特別值得留意。</p> <p>根據CVSS風險評分，最危險的是該公司為Prisma Access Browser修補的一系列資安漏洞，4.0版風險值達到8.6分，影響136.24.1.93以下版本Prisma Access Browser，他們發布了137.16.2.69版予以修補。這些漏洞總共有12個，大部分源自Google近期發布的Chromium更新，僅有CVE-2025-4233是Prisma Access Browser獨有的弱點。值得留意的是，其中的CVE-2025-4664、CVE-2025-5419，Google在公布漏洞的時候就提及已遭利用的情況。</p> <p>另一項高風險弱點影響macOS版GlobalProtect用戶，此漏洞登記為CVE-2025-4232，為通過驗證的程式碼注入漏洞，影響6.2、6.3版GlobalProtect應用程式，攻擊者有機會透過macOS版GlobalProtect用戶端程式將權限提升為root，風險值為7.1。</p> <p><a href="https://www.ithome.com.tw/news/169526"><strong style="font-size: 22px;">Acronis修補資料保護與備份軟體多個漏洞，包括資料外洩與非授權存取的重大漏洞</strong></a></p> <p>主要資料安全與備份軟體供應商之一的Acronis，於6月4日公布旗下主力產品Acronis Cyber Protect的7個漏洞，包括4個重大漏洞（CVSS風險評分達到9.8與10.0），分別會影響Acronis Cyber Protect與其代理程式，並釋出修補。</p> <p>這7個漏洞中，最嚴重的是3個CVSS嚴重性評分達到10.0的漏洞，包括CVE-2025-30411、CVE-2025-30412與CVE-2025-30416，都是涉及身分驗證不足導致敏感資料外洩與操弄（manipulation），資安新聞網站Cybersecurity Made Easy對CVE-2025-30416另提供額外說明，指出這個漏洞涉及非授權存取。這3個漏洞都會影響到build 39938版本以前的Acronis Cyber Protect 16（含Windows與Linux版），解決方法是升級到Acronis Cyber Protect 16 Update 4。</p> <p><a href="https://www.ithome.com.tw/news/169496"><strong style="font-size: 22px;">網路儲存設備Dell PowerScale存在重大漏洞，未經授權攻擊者可存取檔案系統</strong></a></p> <p>5月底Dell發布資安公告，指出旗下的網路儲存設備作業系統PowerScale OneFS存在5項資安漏洞，一旦攻擊者成功利用，就能入侵存在漏洞的環境。Dell發布9.10.1.2、9.7.1.8、9.5.1.3版PowerScale OneFS予以修補。</p> <p>根據CVSS風險評分，這次修補的漏洞當中最嚴重的是CVE-2024-53298，此為網路檔案系統（NFS）匯出功能缺乏授權弱點，未經授權的攻擊者只要遠端存取PowerScale OneFS，就有機會利用，從而導致未經授權的檔案系統存取，使得攻擊者能隨意讀取、竄改、刪除任何檔案。Dell強調攻擊者若是成功利用漏洞，能完整控制PowerScale OneFS，CVSS風險值為9.8。</p> <p>若是管理員無法即時套用PowerScale OneFS更新，Dell也提供緩解措施，使用特定命令與NFS匯出功能，重新載入每個區域的組態。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/06/new-tokenbreak-attack-bypasses-ai.html">AI審核機制可被繞過！研究人員揭露TokenBreak攻擊手法，透過更動單一字元達到目的</a></strong></p> <p> </p> <p><strong style="font-size: 22px;">其他資安產業動態</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/securonix-acquires-threat-intelligence-firm-threatquotient/">資安業者Securonix買下威脅情報公司ThreatQuotient</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169531"><strong>【6月12日】大型電子商務平臺Yes24遭勒索軟體攻擊引起韓國當地高度關注</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169486"><strong>【6月11日】微軟修補已遭利用的WebDAV零時差漏洞，若不處理攻擊者可遠端執行任意程式碼</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169459"><strong>【6月10日】中國駭客鎖定資安業者SentinelOne及超過70個企業組織從事大規模攻擊</strong></a></p> </div></div></div>
2025/6/13 12:24作者周峻佑https://www.ithome.com.tw/news/169544
導入HAMR技術、大幅提升單位儲存密度，希捷硬碟跨入30TB
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/seagate_exos_m_30tb_main.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年1月，Seagate（希捷科技）率先宣布推出儲存容量30TB以上的資料中心硬碟，標榜他們的產品是基於自行研發的<a href="https://www.seagate.com/innovation/mozaic/">Mozaic 3+平臺</a>而成，採用熱輔助磁記錄（HAMR）技術，標榜多種特色，像是：超晶格鉑合金碟片（Superlattice Platinum-Alloy Media）、電漿寫入磁頭（Plasmonic Writer）、第7代自旋電子讀取磁頭（Gen 7 Spintronic Reader）、12奈米製程的整合式控制器，可提供單張碟片超過3 TB的磁錄密度，並預告未來幾年單碟磁錄密度將能超過4 TB和5 TB，</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-01-Seagate Mozaic Generation-web.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-01-Seagate%20Mozaic%20Generation-web.jpg" style="width: 600px;" /></a></p> <p>當時他們在臺灣召開的記者會現場，也曾展示名為Exos X 30 TB的硬碟。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2024-01-Seagate Exos X.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2024-01-Seagate%20Exos%20X.jpg" style="width: 600px;" /></a></p> <p>到了2024年底，他們悄悄在自家品牌網站入口，揭露Exos M系列30 TB硬碟的技術規格。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Exos M Datasheet.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Exos%20M%20Datasheet.jpg" style="width: 600px;" /></a></p> <p>今年1月，Seagate發布新聞稿宣布推出儲存容量36TB的硬碟，並提到他們可提供32 TB與36 TB 的Exos M系列，以及這個系列採用以HAMR技術為基礎的Mozaic3+平臺，能透過10 碟片產品設計提供高達36 TB的容量，實現單碟3.6TB磁錄密度，未來可望將單碟容量提高到10 TB。</p> <p>如果想要了解這些產品具體的技術規格，目前Seagate網站僅列出部分資訊。首先，可提供30TB容量以上的硬碟，的確只有Exos M系列，細分為Exos M 30TB（型號為ST30000NM004K）、Exos M 32TB（型號為ST32000NM003K）、Exos M 36TB（型號為ST36000NM003K）；關於採用的磁記錄技術，Exos M 30TB屬於傳統磁記錄（CMR），Exos M 32TB與Exos M 36TB是疊瓦式磁記錄（SMR）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Exos M 30TB.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Exos%20M%2030TB.png" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Exos M 32TB.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Exos%20M%2032TB.png" style="width: 298px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Exos%20M%2036TB.png" style="width: 298px; height: 125px;" /></p> <p>而根據這些線索，我們只找到Exos M 30 TB硬碟的技術規格簡介文件，上面重申與該公司網站的內容之餘，也具體列出一些更能判斷其運用成效的資料，像是介面存取速度為6 Gb/s與3Gb/s，顯然是指支援6Gb SATA；轉速為7200 rpm，快取記憶體為512 MB，平均存取延遲為4.16毫秒，平均故障間隔時間（MTBF）為250萬小時，提供5年有限保固，都是資料中心硬碟普遍採用的配備，但沒提到支援的工作負載規格，一般而言，這個等級的產品通常是每年550 TB。</p> <p>持續傳輸率是我們最想知道的規格，Seagate對這款大容量CMR硬碟的最高效能標示為275 MB/s。相較之下，另一家硬碟廠商WD目前僅針對30 TB容量的產品，提供SMR類型的產品<a href="https://www.ithome.com.tw/review/165703">Ultrastar DC HC690</a>，以30TB、SATA介面規格的機型而言，持續傳輸率最高為260 MB/s，而32TB、SATA介面規格的機型，持續傳輸率最高為269 MB/s。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Seagate%20Exos%20M%2030TB%20Datasheet.jpg" style="width: 600px;" /></p> <p>在今年5月底召開的投資者與分析師大會，Seagate也透露Mozaic 3+平臺產品的市場推廣成果。他們表示，該項產品已進入量產出貨階段，並獲得3家大型雲端服務供應商的認證，目前有多家廠商正在進行相關的驗證流程，截至目前為止，出貨的HAMR硬碟已超過1百萬臺，去年供應的HAMR硬碟儲存總容量達到550 EB。</p> <p>展望未來，Seagate預告今年稍晚將開始驗證Mozaic 4+平臺的硬碟，屆時將可提供單張碟片磁錄密度超過4 TB的產品，</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Seagate%20Mosaic4%2B.jpg" style="width: 600px;" /></p> <p>他們也提到去年內部工程人員曾在實驗室展示單張碟片磁錄密度為6.5 TB的產品，期望2028年能展示單張碟片磁錄密度為10 TB的產品，預估2032年能驗證單張碟片磁錄密度超過100 TB的產品。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Seagate HDD Progress.png"><img alt="" src="https://s4.itho.me/sites/default/files/images/Seagate%20HDD%20Progress.png" style="width: 600px;" /></a> </p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Seagate%20HDD%20Transition.png" style="width: 600px;" /></p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><strong><span style="color:#0000FF;">Seagate Exos M 30TB</span></strong><br /> ●原廠：Seagate<br /> ●建議售價：廠商未提供<br /> ●型號：ST30000NM004K<br /> ●外觀尺寸：3.5吋<br /> ●機械設計：氦氣封裝<br /> ●容量：30 TB<br /> ●傳輸規格：6Gb SATA<br /> ●支援磁碟格式：512e<br /> ●緩衝記憶體：512 MB<br /> ●轉速：7200轉<br /> ●最大持續傳輸率：275 MB/s<br /> ●平均延遲：4.16毫秒<br /> ●平均故障間隔時間（MTBF）：250萬小時<br /> ●耗電量：運作最大為9.5瓦<br /> ●重量:：695克<br /> ●保固：5年有限</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/6/13 12:59作者李宗翰https://www.ithome.com.tw/review/169465
開源資安平臺Wazuh重大漏洞遭鎖定，兩個Mirai殭屍網路變種用於攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>一般而言，<a href="https://www.ithome.com.tw/tags/%E6%AE%AD%E5%B1%8D%E7%B6%B2%E8%B7%AF">殭屍網路</a>攻擊主要鎖定的標的，大多是缺乏資安防護與相關管理的物聯網設備，例如：SOHO或家用路由器、NAS、網路攝影機，利用資安漏洞滲透設備。然而近期有一起攻擊行動相當不尋常，駭客鎖定的標的竟是一套資安系統。</p> <p>資安業者Akamai揭露<a href="https://www.akamai.com/blog/security-research/botnets-flaw-mirai-spreads-through-wazuh-vulnerability">專門針對開源資安監控平臺Wazuh的攻擊行動</a>，有兩個殭屍網路Mirai變種自3月下旬鎖定已知的重大層級漏洞CVE-2025-24016而來，入侵並控制Wazuh伺服器。而對於這些殭屍網路的來歷，一個是專門針對物聯網裝置的LZRD（也稱做Morte），另一個是使用義大利語的人士經營的Resbot（Resentual）。</p> <p>Wazuh是開源的安全資訊與事件管理（SIEM）、XDR平臺，專門用來協助企業組織入侵偵測、事件記錄分析、漏洞管理、合規監控，由於其開源的特性，擁有廣泛的使用者社群，並在中小企業、教育機構、政府機關受到歡迎，也是資安研究人員常會用於打造客製化SIEM的平臺，今年臺灣資安大會有講者恰巧以Wazuh為題發表演講，<a href="https://cybersec.ithome.com.tw/2025/session-page/3616">向資安社群介紹這套開放原始碼資安平臺</a>。此資安平臺號稱已保護超過10萬個企業組織、1,500萬臺端點，每年被下載逾3千萬次，其開源專案並在GitHub獲得超過1.2萬顆星，足見其受到歡迎的程度。</p> <p>而這次駭客利用的資安漏洞CVE-2025-24016，<a href="https://www.sonicwall.com/blog/critical-wazuh-rce-vulnerability-cve-2025-24016-risks-exploits-and-remediation">Wazuh於今年2月公告及修補</a>，此漏洞存在於DistributedAPI元件，屬於不安全的反序列化處理弱點，一旦攻擊者透過API存取Wazuh伺服器，就有機會注入惡意JSON酬載，並遠端執行任何Python程式碼，影響4.4.0至4.9.0版Wazuh，CVSS風險達到9.9（滿分10分），Wazuh發布4.9.1版修補漏洞。</p> <p>有別於其他針對物聯網裝置的殭屍網路攻擊，由於Wazuh伺服器本身能匯集可找出資安事件的各式記錄，一旦駭客成功控制這類伺服器，不光能運用伺服器的能力從事DDoS攻擊、挖礦、散布惡意軟體，我們推測，或許也將進一步挖掘或竄改存放於該平臺的資料，掌握企業的網路環境，並發展其他型態的攻擊行動。</p> <p>這些殭屍網路不約而同盯上Wazuh重大漏洞並用於攻擊，突顯可能已有不少這類系統直接曝露在網際網路，以及未及時套用新版軟體的現象，使得攻擊者有機可乘，得以利用漏洞來入侵這類資安平臺。</p> </div></div></div>
2025/6/13 11:09作者周峻佑https://www.ithome.com.tw/news/169540
Google Cloud當機波及Cloudflare等客戶
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google雲端服務Google Cloud Platform（GCP）在世界協調時間（Temps Universel Coordonné，UTC）周四（6/12）傍晚約6點之際當機，涵蓋旗下數十種服務，殃及歐洲、南美，以及包括臺灣、香港與日本在內的亞太市場，Cloudflare等GCP客戶的服務也隨之癱瘓。</p> <p><a href="https://www.google.com/appsstatus/dashboard/incidents/Eab7zGLWSaUJyh9c9R9L" target="_blank">根據Google Workspace的狀態頁面</a>，此次服務中斷事件始於UTC時間12日的晚上5點58分，結束於當天的晚上11點，約是臺北時間13日的凌晨1點58分到早上7點。隸屬於Google Workspace的服務包括Gmail、Google行事曆、Google Chat、Google Meet、Google文件及Google雲端硬碟等。</p> <p>然而，受到影響的不僅是Google Workspace，<a href="https://status.cloud.google.com/incidents/ow5i3PPK96RduMcb1SsW" target="_blank">而是廣泛地涉及了數十種服務</a>，而且當機時間是從太平洋夏令時間（PDT）的12日早上10點51分到當天晚上的6點18分，約是臺北時間的13日凌晨1點51分到早上10點18分，持續了逾8小時才完全修復。</p> <p>使用GCP服務的Cloudflare，幾乎是在Google當機後的20分鐘內就出現問題，一開始只發現其存取身分驗證服務故障了，隨後各種服務都陸續停擺。<a href="https://www.cloudflarestatus.com/incidents/25r9t0vz99rp" target="_blank">Cloudflare於事故報告</a>中僅說是因為所仰賴的第三方服務停擺了，並未指名Google，但在媒體向其求證時，承認所謂的第三方就是Google。</p> <p><a href="https://downdetector.com/" target="_blank">根據Downdetector的統計</a>，在GCP服務中斷的期間，除了Cloudflare之外，Spotify、Instagram、TikTok、Netflix、Facebook、OpenAI與Steam等服務，也都出現比平常還要高出許多的當機報告。</p> </div></div></div>
2025/6/13 11:20作者陳曉莉https://www.ithome.com.tw/news/169541
金融科技業者Chime上市首日大漲37%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>金融科技業者Chime周四（6/12）以27美元的發行價登上了美國那斯達克（Nasdaq）股市，首日即以大漲37.44%、37.11美元的股價作收。</p> <p>成立於2012年的Chime雖然提供儲蓄帳戶、支票帳戶、簽帳卡與信用卡服務，以及可整合Apple Pay或Google Pay的支付與金融行動程式，但本身並非銀行，沒有直接接受存款或是發放貸款，而是與The Bancorp Bank或Stride Bank等銀行合作，且是一家完全於網路上運作的公司，所有服務都透過網站或行動服務供應。主要的收入來自於用戶使用該公司所發行的金融卡消費，所產生的交易手續費。</p> <p>成立超過10年的Chime已經擁有860萬名活躍用戶，其中有67%將Chime當作其主要金融帳戶。且根據美國金融研究機構Cornerstone Advisors的調查，Chime在年收入低於10萬美元的族群中，是開設新帳戶或指定直接入帳的首選品牌之一。</p> <p>雖然Chime的營收持續成長，在2022、2023與2024年分別創造了10億、12.8億及16.7億美元的營收，但仍處於虧損狀態，這3年分別虧損了4.7億、2億及2,500萬美元。</p> <p>不過，Chime對自己的未來很有信心，指出美國有接近2億人口的年收入低於10萬美元，而該公司目前的滲透率還不到3%，該領域的潛在年營收可達860億美元。</p> <p>Chime首次公開發行股票（IPO）所計算的市值為116億美元，昨天收盤時的市值大約是135億美元，還遠低於2021年時的250億美元估值。</p> </div></div></div>
2025/6/13 11:29作者陳曉莉https://www.ithome.com.tw/news/169542
Palo Alto Networks修補安全瀏覽器、SSL VPN高風險漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>6月12日資安業者Palo Alto Networks發布7則<a href="https://www.cyber.gc.ca/en/alerts-advisories/palo-alto-networks-security-advisory-av25-338">資安公告</a>，針對旗下的安全瀏覽器Prisma Access Browser、SSL VPN系統GlobalProtect、防火牆作業系統PAN-OS進行修補，其中有兩則被列為高風險的公告內容，特別值得留意。</p> <p>根據CVSS風險評分，最危險的是該公司<a href="https://security.paloaltonetworks.com/PAN-SA-2025-0011">為Prisma Access Browser修補的一系列資安漏洞</a>，4.0版風險值達到8.6分，影響136.24.1.93以下版本Prisma Access Browser，他們發布了137.16.2.69版予以修補。這些漏洞總共有12個，大部分源自Google近期發布的Chromium更新，僅有CVE-2025-4233是Prisma Access Browser獨有的弱點。值得留意的是，其中的<a href="https://www.ithome.com.tw/news/168977">CVE-2025-4664</a>、<a href="https://www.ithome.com.tw/news/169349">CVE-2025-5419</a>，Google在公布漏洞的時候就提及已遭利用的情況。</p> <p>另一項高風險弱點影響macOS版GlobalProtect用戶，<a href="https://security.paloaltonetworks.com/CVE-2025-4232">此漏洞登記為CVE-2025-4232</a>，為通過驗證的程式碼注入漏洞，影響6.2、6.3版GlobalProtect應用程式，此漏洞發生的原因，在於事件記錄收集功能的萬用字元（Wildcard）中和處理機制不當，一旦攻擊者取得非管理員權限的使用者帳號，就有機會透過macOS版GlobalProtect用戶端程式將權限提升為root，風險值為7.1。</p> <p>值得留意的是，除了套用相關更新，這些漏洞沒有其他替代的緩解措施，因此IT人員要儘速採取行動因應。</p> </div></div></div>
2025/6/13 11:56作者周峻佑https://www.ithome.com.tw/news/169543
臺中捷運要整合IT和OT，自建中捷雲瞄準數位雙生戰情室
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>用最少的資源，做最多的事，這是許多企業面臨的日常挑戰，也是臺中捷運IT正在解決的難題。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>草創的逆境：從0到1的IT建置</strong></span></span></p> <p>臺中捷運公司（簡稱中捷）在2017年成立，是臺中市政府百分百持股的公營事業，由臺北市政府捷運工程局負責首條路線工程。2018年底成立資訊室，他們找來北捷工作25年的老將林永盛，擔任維修處處長和資訊室主任，帶領團隊，要趕在2020年底實現通車目標。</p> <p>在這段草創期，中捷延攬來自北捷、高捷、桃捷、高鐵的人才，組成共18人的IT團隊，拼在短時間內建置各項系統。他們採取核心系統自行開發、其餘委外的方式來爭取時間，比如維修管理、倉儲物料管理、採購管理和財產管理等4大核心系統自行開發，官網、人資、財會等行政系統委外，用1年半時間建置流程和系統上線，最終趕在通車期限內完成。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>收回開發主導權，也自建核心系統整合資料</strong></span></span></p> <p>2024年底林永盛退休，由臺中捷運公司資訊處副處長安晉萱接棒，帶領IT團隊。安晉萱回顧，草創時期中捷人力不足、系統開發經驗有限，再加上通車迫在眉睫，不得不將部分系統委外建置。但他們很清楚，這不是長久之計。</p> <p>所以，通車一年後，也就是2021年，中捷資訊室轉型資訊處，精實人力至15人，啟動系統回收計畫，將委外的系統一套套接手，比如人資系統、財會系統和官網，已經收回團隊手中自行維運。中捷App由於變動頻繁，改採「部分委外、部分自建」的模式維運。</p> <p>在中捷IT逐步掌控系統開發權的同時，他們還有另一項重要任務，要整合原本自行開發和委外的系統資料。</p> <p>其中一例就是中捷目前2大核心系統之一的BIMMS系統，這是一套由資訊處主導設計、自行開發的建物資訊維修管理系統，也是中捷系統資料整合的起點。它以工單為中心，負責工單的蒐集和處理，支援所有營運維修的開工到完工流程，可說是「維修—領料—報銷—帳務」流程的中樞系統。</p> <p>這套BIMMS還串接了草創期自建的核心系統資料，包括維修管理、倉儲物料管理、採購管理和財產管理等4大系統。採購用料後（如列車、號誌，通訊，月臺門、水電等設備），用料資訊會儲存在倉儲物料管理系統，當設備出現問題需報修時，維修管理系統會查詢倉儲物料系統，扣除所用新物料數量，也紀錄舊用料的報廢結果，最後再回到財會系統處理。</p> <p>BIMMS整合了大部分流程，舉例來說，當列車或月臺發生設備故障，BIMMS會記錄工單、從倉儲系統抓取領用料件資料，接著人員判斷是否需報廢，並在年終時將用料資料交由會計出帳。可以說這整套機制，原先依賴4大系統分散處理，現已逐漸整合進BIMMS系統流程，只是有些地方仍須人工處理，只差一步就能全程自動化。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>更深入的整合：打造中捷雲</strong></span></span></p> <p>也因此，中捷IT並未止步於系統維運，他們打算以BIMMS為核心，展開更深入的系統整合，串起倉儲管理、報銷、財會和OT，甚至是人資和差勤紀錄等資訊，打造一套可追蹤資產消耗、料件流動、維修效率和營運動態的戰情室儀表板，為數位雙生奠定基礎，這正是安晉萱的年度大目標。</p> <p>他解釋，這個願景源自交通部鐵道局去年發起的國家智慧鐵道系統發展計畫，鐵道局要建置一朵鐵道雲，打造跨機構、可即時交換資料的監理平臺。也就是說，鐵道雲計畫要將全臺所有鐵道和捷運整合到統一架構，包括高鐵、臺鐵、林鐵，北捷、桃捷、中捷、高捷等，由這些單位各自建置一朵雲，來與鐵道雲即時交換重要資訊。</p> <p>鐵道局的目標是實現事故即時回報。過去，臺鐵等單位常因事故無法即時上報，只能透過後續報告讓主管機關「回溯追蹤」，未來透過鐵道雲整合資料，就能讓鐵道局在第一時間掌握事故狀況，比如事故地點、列車資訊，來加快反應能力。</p> <p>因此，中捷也開始規畫「中捷雲」私有雲平臺，明年展開相關系統整合，順便帶動自己的IT升級。安晉萱指出，他們初期會截取、提供車站與列車的基本運行狀態資料，作為鐵道雲交換內容的第一步。</p> <p>這朵中捷雲建置完成後，中捷IT打算在資訊整合基礎上，開發SaaS軟體應用，打造一套類似數位雙生的戰情室儀表板，來為不同團隊提供所需資訊。比如針對管理階層，即時呈現耗料、存料、載運人流和營收等數據，讓高層一眼掌握，不必等到年底結算才知道成本盈虧。又或是針對維修團隊，即時呈現維修狀態、列車狀態、裝置狀態、電力狀態等資訊。</p> <p>然而，這項計畫還有不少挑戰。安晉萱坦言，系統整合所需資源與費用遠高於目前獲得的預算，更棘手的是設備本身的技術限制。因為，不少列車來自國外廠商，採封閉式設計，無法輕易取得資料，「就像你想讀Windows的底層介面，但微軟沒有提供API一樣，」他舉例。即便捷運公司花錢買了這些系統，想要將資訊整合進中捷雲、鐵道雲依然困難重重，需要與原廠長期溝通。</p> <p>制度上的隔閡也是鐵道雲一大變數。臺灣現行鐵道體系分屬不同法規管理，比如臺鐵適用鐵路法，而捷運系統則是大眾捷運法。這導致資料交換權責分工出現模糊地帶，各單位對法條解讀也不盡相同，「還需要很多磨合。」</p> <hr /> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0613_%E5%AE%89%E6%99%89%E8%90%B1_600.jpg" style="width: 600px;" /></p> <hr /> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>持續推動流程再造和無紙化</strong></span></span></p> <p>中捷雲的資訊整合目標，也與他們內部流程的改造息息相關。在制度尚未完全成熟的草創期，中捷資訊處將系統按職能拆分為財會、採購、倉儲、運管等模組設計，「在同一單位裡可以一條龍操作，」但涉及跨單位協作，就會出現斷點，資訊無法順暢流通。</p> <p>於是，流程整合、再造也成為中捷IT重要任務，要讓「跨單位作業也能一條龍完成。」安晉萱指出，目前計畫優先整合的系統，包括官方網站的後臺管理、報修與耗材申請、財會、採購等。</p> <p>這種流程再造，還會帶動更多無紙化發展。他舉例，初期許多系統就採無紙化設計，但因法規、審核和組織慣性，有些流程仍仰賴紙張，像是財會、採購等需要紙本存檔，或是單純的離職單也需要跨單位蓋章、跑流程。</p> <p>在流程改造的過程中，他們的目標是將紙張用量降到最低，首先瞄準離職單的全面電子化。安晉萱強調，只有將這些流程數位化整合，才能支撐即時決策所需的資訊基礎。但要做到這一點，IT需耐心協調。「每個部門的流程、權限和習慣不同，有些當初為了操作方便，刻意的簡化設計。現在為了重新整合，還需要討論、調整。」</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>為藍線擴充做準備</strong></span></span></p> <p>最近，中捷藍線已完成標案，要進入設計階段。安晉萱說，目前藍線僅確定車站數，還未確定詳細設備與人力擴增規模，但未來維修部門和IT人力，勢必會增加。為支援這些人員的行政作業，中捷IT也投入行動化服務，比如擴展差勤App，減少人員對PC的依賴。</p> <p>不單是IT，藍線擴建也需要OT整合，這是一個難度高的任務，因為每條路線的建置廠商系統不同，若不整合，則需兩套人力；若要整合，可能需要額外費用，需高層決策。中捷的主要OT有幾類，如列車自動控制系統（ATS）、電力控制系統、水電空調環控系統（ECS），以及車輛維護系統，其中最核心的是列車自動控制系統，攸關營運安全和運載效率。</p> <p>中捷執行這些OT時，主要依循廠商提供的標準操作程序，但部分操作流程與實務仍有落差。因此，中捷希望分析系統運作過程中的各種狀況，從中累積經驗，將實務案例整理為可系統化學習的經驗資料庫，讓新進或現有人員快速掌握應對方式。</p> <p>而他們的初步策略是靠中捷雲計畫練兵，先截取系統資訊，逐步建立基礎資料架構，未來再評估加入其他資料整合與模擬技術，來提高營運效率。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>拼精實管理</strong></span></span></p> <p>這一切策略，都離不開中捷董事長2年前提出的精實管理改革。安晉萱解釋，精實管理並非單純的節流作法，而是從根本檢討每一個流程與操作，消減不必要或重複多餘的步驟，來提高效率、降低能耗和支出。「現在正在進行流程精煉。」安晉萱解釋，他們會重新審視每一段作業，比如這個動作是否必要？是否造成時間浪費？或是導致系統負荷過大？減少不必要的步驟，不只能節省時間和人力，也能降低CPU運算負載，進而節能減碳，兼顧ESG。</p> <p>精實管理的精神也落實到中捷的私有雲規畫上，資訊處打算將現有的虛擬機轉移至雲端，來提高系統整合效率和營運韌性，同時降低伺服器運維成本。「目標是所有系統整合後，能全年無休地穩定運作。」</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>關注AI新技術，但持謹慎態度</strong></span></span></p> <p>在專訪過程中，安晉萱不只一次提到「經費」，他並非抱怨，而是清楚指出經費是公部門IT創新的天花板。「中捷本業靠人流運輸，運價成本高，但票價低、副業收入有限，砸大錢搞創新要仔細評估效益。」也因此，他對近來各產業紛紛擁抱的生成式AI等新技術，都持開放但審慎的態度。他鼓勵同仁嘗試生成式AI、關注國際鐵道AI實例，就連自己也研究不少國外鐵道運用AI的成效，但不會讓新技術主導營運邏輯。</p> <p>「AI不是不能用，而是要清楚想達成的效果，」他指出，常見的鐵道AI用例為預防性維護，但目前中捷設備還新，資料量也還在累積，因此比起投入昂貴的新技術，不如先顧好基本營運流程，減少浪費、延長設備壽命。文⊙王若樸</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3366ff;"> CIO小檔案 </span></strong></span></p> <p><strong>臺中捷運公司資訊處副處長安晉萱</strong></p> <p>學歷：成大地球科學研究所畢業</p> <p>經歷：1997年起先後任職於倚天資訊、歐特斯科技、凌群電腦等公司，2002年加入臺北捷運票務系統團隊，歷任工程師至系統組組長，2017年轉任鴻海精密富連網經理。2019年先後任職臺中捷運票務中心正工程師、維修處電子廠廠長，2024年起擔任資訊處副處長</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3366ff;"> 公司檔案 </span></strong></span></p> <p><strong>臺中捷運公司</strong></p> <p>●地址：臺中市北屯區松竹路一段1000號</p> <p>●成立時間：2017年</p> <p>●網址：<a href="http://www.tmrt.com.tw">www.tmrt.com.tw</a></p> <p>●主要業務：捷運運輸業及相關附屬事業</p> <p>●員工數：約850人</p> <p>●資本額：35億元</p> <p>●董事長：顏邦傑</p> <p>●總經理：朱來順</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3366ff;"> 資訊部門檔案 </span></strong></span></p> <p>●資訊部門名稱：資訊處</p> <p>●資訊部門人數：15人</p> <p>●資訊部門分工：開發應用課、系統維護課</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3366ff;"> IT大事記 </span></strong></span></p> <p>●2017年：臺中捷運公司正式成立</p> <p>●2018年：招募系統、人資系統上線</p> <p>●2019年：先後完成本部行政網路建置、企業入口網EIP上線、電子郵件系統上線、維修管理系統上線</p> <p>●2020年：倉儲物料管理系統、採購管理、財產管理上線、進場管制系統先後上線；6月官網上線；車站行政網路建置完成；10月完成交通部履勘，11月獲營運許可</p> <p>●2021年：臺中捷運綠線3月25日起全線18個車站開放免費試乘30天，4月25日正式通車營運。同年通過ISO 27001:2013資安管理系統驗證</p> <p>●2022年：自建教學平臺</p> <p>●2023年：行動差勤APP上線</p> <p>●2024年：臺中捷運通過ISO 27001:2022資安系統驗證，再度獲得最新版資訊安全管理系統國際標準驗證，同年電子發票系統上線</p> <p>●2025年：資訊系統整合規畫與中捷雲建置規畫進行中</p> </div></div></div><div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/0613_an_jin_xuan_960.jpg" width="960" height="420" alt="" title="臺中捷運公司資訊處副處長安晉萱" /></div></div></div>
2025/6/13 10:31作者王若樸https://www.ithome.com.tw/people/169536
不只數位信任失效，更是顧客信任崩壞
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.ithome.com.tw/article/169532" target="_blank"><span style="color:#3366ff;">這周我們緊急更換封面，換成了中華電信兩張根憑證遭Google撤銷的深入報導</span></a>，這是臺灣第一起重大商用憑證的信任危機事件。</p> <p>Google 撤銷中華電信憑證信任，不是源自單一事件的決定，而中華電信在憑證作業上，長期的「不合規」行為和「誠信」問題所致。甚至更像是，為了彌補一個小錯誤，連帶衍生許多大問題，才導致的信任雪崩。</p> <p>我們資安主筆黃彥棻深入剖析了重要造成信任崩壞的原因。</p> <p>第一個也是最初的原因是，憑證擴充欄位問題。政府委托給中華電信維運的政府伺服器數位憑證管理中心（GTLSCA）所發的憑證欄位有問題。這其實不是太大的問題，國外其他憑證中心也曾發生憑證資訊不正確而需更換，只要「及時換新憑證」，本來就是例行維運會遭遇的可控事件。</p> <p>這個「及時」，依照主要瀏覽器供應商共組成的社群合規規範（BRs）要求，問題憑證最快一天，最慢必須在「五天」內完成廢止。這是為了信任考量，不想讓失效的憑證流通在外，削弱使用者對憑證機制的信心，就像發現了一批偽造身分證，要趕快找出來銷毀，免得大眾對身分證的有效性產生懷疑，就會帶來更全面性的信任風險。</p> <p>但是，中華電信處理憑證問題時，多次（至少兩次）無法遵循此一時效，甚至以「憑證用於塔臺」作為延期理由，事後被揭穿與憑證可用規定不符，中華電信才改口用於航班網站。這些未依社群公約處理的行為及不實藉口，讓Google認定是更嚴重的「誠信」問題，而不只是技術問題。這是造成憑證撤銷的第二個原因。</p> <p>中華電信維運GTLSCA時，因出錯需要廢止的憑證多達數千張，而且不只一次，第一次來延遲撤消作業時，中華電信曾對社群承諾會改進，卻又再次發生延遲。問題重複發生，但中華電信內部沒有任何矯正預防措施，甚至外部稽核人員進行內部稽核時發現，中華電信沒有留下因應紀錄。</p> <p>早在2024年11月，數發部委托第三方稽核的2024年政府伺服器數位憑證管理中心外部稽核報告中就提到，從2023年10月後，委外維運的中華電信發生兩起憑證撤銷作業，都未能在5天內完成作業，而是各花了一個月。兩次各只有一份文件，連時間軸紀錄都沒有。而且到2024年7月23日前沒有任何矯正或預防措施。看到這樣的稽核保留意見，難怪數發部要趕快建立憑證備援機制。</p> <p>大規模作業重複出錯沒有改善，甚至不敢留下詳細紀錄，更凸顯了中華電信憑證作業內部管理機制失效了，這是第三個原因。</p> <p>還有一點值得留意的是，中華電信自己維運的「ePKI商用憑證」沒有發生同樣的問題，而另一個負責承包政府GTLSCA的維運團隊卻出包，導致「商用沒問題，政府用的有問題」的弔詭情況，這凸顯出中華電信不同部門溝通不良的組織管理問題。</p> <p>無法遵守社群規範，又提供不實理由，更缺乏有效內控，導致Google失去對中華電信的數位信心，才會不只撤銷了次級憑證管理中心GTLSCA的根憑證，連同上屬的中華電信商用憑證ePKI Root CA根憑證都被撤銷。</p> <p>對維運人員來說，更換網站安全憑證不難，只是有點費工，需要一些時間，<a href="https://www.ithome.com.tw/news/138197" target="_blank"><span style="color:#3366ff;">過去也曾有不少網站的憑證過期、</span></a>失效事件，<a href="https://www.ithome.com.tw/news/135636" target="_blank"><span style="color:#3366ff;">像Teams在2020年就曾因SSL憑證過期，當機3小時</span></a>，影響2千萬用戶，找到問題後，1小時就完成換新。</p> <p>許多企業長年租用中華電信機房、網路，多半順便租用相關的網路憑證，尤其是政府機關及其外包廠商。大型臺灣企業也多半選用臺灣在地的網路憑證業者，不是臺網就是中華電信的憑證。</p> <p>目前使用中華電信所發憑證的商用網站，短期內沒有失效的風險。但若「忘了」換新，明年憑證期限一到，恐怕就會像Teams一樣，網站突然當機數小時。</p> <p>平常忙碌的電商平臺，醫院掛號網站（過去曾發生過醫院網站因憑證過期而當機）一但當機，會大大影響了所有顧客和病人，這就不只是數位信任的失效，更是顧客信任的崩壞。不只是用了問題商用憑證的企業，對中華電信失去信心，也恐怕會連帶波及這些企業的顧客的信賴感。</p> <p><a href="https://www.ithome.com.tw/article/169532" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1238-feng_mian_gu_shi_-p1yan_fen_-open-960x420_kao_bei_0.jpg?itok=z05oezfs" style="width: 550px;" /></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E6%86%91%E8%AD%89%E9%81%8E%E6%9C%9F">憑證過期</a></div><div class="field-item odd"><a href="/tags/%E7%95%B6%E6%A9%9F">當機</a></div><div class="field-item even"><a href="/tags/%E4%B8%AD%E8%8F%AF%E9%9B%BB%E4%BF%A1">中華電信</a></div><div class="field-item odd"><a href="/tags/epki">ePKI</a></div><div class="field-item even"><a href="/tags/gtlsca">GTLSCA</a></div><div class="field-item odd"><a href="/tags/%E6%94%BF%E5%BA%9C%E4%BC%BA%E6%9C%8D%E5%99%A8%E6%95%B8%E4%BD%8D%E6%86%91%E8%AD%89%E7%AE%A1%E7%90%86%E4%B8%AD%E5%BF%83">政府伺服器數位憑證管理中心</a></div><div class="field-item even"><a href="/tags/google">google</a></div><div class="field-item odd"><a href="/tags/%E6%A0%B9%E6%86%91%E8%AD%89">根憑證</a></div><div class="field-item even"><a href="/tags/%E6%92%A4%E9%8A%B7">撤銷</a></div></div></div>
2025/6/13 10:42作者王宏仁https://www.ithome.com.tw/voice/169538
趨勢科技修補影響端點加密、安全管理中心產品多項高風險漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>趨勢科技本周發布產品更新，分別修補影響端點加密Endpoint Encryption及安全控管平臺Apex Central的多項高風險甚至重大漏洞。</p> <p>趨勢科技分別透過二項安全公告來修補漏洞。編號CVE-2025-49211到CVE-2025-49218，<a href="https://success.trendmicro.com/en-US/solution/KA-0019928" target="_blank">影響Trend Micro Endpoint Encryption（EMEE）PolicyServer元件</a>。其中CVE-2025-49212、CVE-2025-49213、CVE-2025-49214及CVE-2025-49217為反序列化（deserialization）漏洞，攻擊者以未信任資料觸發不安全反序列化，導致驗證前的遠端程式碼執行（RCE）。這些漏洞類似，但反序列方法不同。四項漏洞除CVE-2025-49214為8.8風險值外，其他三者CVSS 3.1風險值達9.8。</p> <p>CVE-2025-49216為驗證繞過漏洞，使攻擊者以管理員身份修改產品配置，本漏洞風險值亦為9.8。另二項漏洞中，CVE-2025-49215和CVE-2025-49218為SQL指令注入提權漏洞，CVSS 3.1風險值各為8.8和8.7。</p> <p><a href="https://success.trendmicro.com/en-US/solution/KA-0019926" target="_blank">影響Apex Central的另一批漏洞</a>為CVE-2025-49219及CVE-2025-49220，二者皆為反序列漏洞，可導致前驗證的遠端程式碼執行，兩者類似但方法不同，風險值皆為CVSS 3.1 9.8。</p> <p>趨勢科技表示，上述漏洞皆沒有已被濫用的跡象。趨勢科技已釋出更新修補漏洞，雖然其中有些漏洞需要攻擊者具備權限，或是實際存取到系統，但業者強烈建議用戶儘速安裝最新版本軟體。</p> </div></div></div>
2025/6/13 09:59作者林妍溱https://www.ithome.com.tw/news/169533
【美國AMD全球發表會直擊】AMD發表採用CDNA 4新架構的資料中心AI加速器MI350系列
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AMD在美國聖荷西市正式發表了採用新一代CDNA 4架構的資料中心AI加速器Instinct MI350系列，採用3奈米製程，內含1,850億電晶體，相較於前一代提升4倍的AI運算能力，35倍的推論能力提升，而因應資料中心大量AI運算需求持續增加，AMD大膽預告其機架級產品的能源效率，將以2030年提升20倍能源效率為目標。</p> <p>AMD執行長蘇姿丰指出，到2028年預估全球AI推論需求年複合成長率將超過80%，綜合AI訓練及推論需求，全球資料中心的AI加速運算市場年複合成長將超過60%，預計到2028年全球AI資料中心加速運算市場規模將成長到超過5,000億美元的規模。</p> <p>蘇姿丰進一步說明AMD的AI市場3大策略，首先是提供AMD的CPU、GPU、DPU各種運算產品組合，其次是支援各種函式及模型，以擴大支援建立開放生態系，最後是提供完整的軟體及硬體方案，以支援各種的AI創新應用發展。</p> <p>產品方面，AMD更新旗下的資料中心Instinct系列AI加速器產品。自2023年推出Instinct MI300系列，去年更推出標榜效能更佳的Instinct MI325X，均採用CDNA 3架構，而在今年美國聖荷西舉辦的全球發表活動，AMD如預期正式發表Instinct MI350系列GPU，將Instinct AI加速器架構推進至新一代的CDNA 4架構。</p> <p>新的CDNA 4架構特別針對GenAI及LLM改善矩陣引擎，並且新增資料格式，以支援混合精度運算，不僅如此，在新架構中也改善Infinity Fabric及先進封裝連接能力，綜合這些新增及改進，帶來能源效率方面的提升，特別是在資料中心的能源限制之下，提高AI加速運算效能。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202025-06-12%20%E4%B8%8A%E5%8D%881_33_06.jpeg" style="width: 600px; height: 330px;" /></p> <p>在新的架構設計特色之下，新的MI350系列GPU內部整合8個XCD(Accelerator Complex Die)，每個XCD有32個CDNA 4 CU(Compute Units)，加快AI推論及訓練能力，FP4及FP6之下效能達到20PF，AMD宣稱其效能要比前一代的MI325X提高4倍。</p> <p>MI350系列整合的HBM3E記憶體容量也有提升，從MI325X的256GB HBM3E記憶體，在CDNA 4架構改進之下增加至最高288GB HBM3E記憶體，頻寬達每秒8TB，使得單一GPU能夠支援520B參數規模的AI模型。</p> <p>相較於舊的CDNA 3架構MI300系列GPU，採用新架構的MI350系列GPU，在HBM記憶體的每瓦頻寬讀取效能提高1.3倍；MI350系列GPU內整合的256個CDNA 4 CU，每個CU的尖鋒HBM記憶體讀取頻寬則提高1.5倍。</p> <p>如下圖所示，AMD比較CDNA 3舊架構的MI300系列GPU，以及採用全新CDNA 4架構MI350系列GPU，在不同資料格式之間的AI生成效能表現：</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202025-06-12%20%E4%B8%8A%E5%8D%881_41_53.jpeg" style="width: 600px; height: 295px;" /></p> <p>AMD不忘以MI350系列和競爭對手Nvidia作比較，以AMD MI355X與Nvidia B200、GB200相比，在DeepSeek R1 FP4之下，MI355X較B200的效能表現高出1.2倍，而在Llama 3.1 405B方面，MI355X比B200、GB200，分別高出1.3倍及1倍。</p> <p><strong><span style="color:#B22222;">強化AI系統設計及整合能力搶攻全球AI基礎建設商機</span></strong></p> <p>相較於Nvidia以AI Infrastructure自許，在全球各地與政府及企業合作，大力搶攻AI基礎建設市場版圖，AMD也不落人後，去年AMD以49億美元併購ZT System，強化自身的AI系統整合能力，儘管上個月再出售ZT System，但AMD也取得AI系統設計及整合能力，強化自身的AI資料中心方案。</p> <p>以這次發表的MI350系列為例，AMD稱MI350系列是專為現代AI基礎建設所設計，MI350系列GPU分為兩種版本，用於氣冷的MI350X，還有用於直接液冷設計(DLC)的MI355X。</p> <p>MI350X與MI355X在單顆GPU硬體規格上相同，但是採用氣冷的MI350X和液冷的MI355X，兩者在效能表現上則有差異：</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202025-06-12%20%E4%B8%8A%E5%8D%882_20_24.jpeg" style="width: 600px; height: 336px;" /></p> <p>在8顆GPU組成的平臺(Platform)部分，AMD展示第5代EPYC CPU，搭配8顆Instinct MI350系列GPU、400 Gbps NIC/Stoage組成的平臺，其中8顆Instinct MI350系列GPU之間，可以每秒153.6GB的Infinity Fabric互連，GPU以外則是使用每秒128GB的PCIe Gen 5連接CPU及儲存系統。</p> <p>8顆MI350X系列GPU組成的平臺效能方面，HBM3E記憶體容量可擴充到2.3TB，根據AMD提供的數據，FP4/FP6效能從單顆MI 350X的18.45PF、單顆MI 355X的20.1PF，在8顆GPU組成MI350系列平臺後，達到8顆MI350X的147.6PF、8顆MI355X的161PF，不同資料精度格式的效能表現：</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202025-06-12%20%E4%B8%8A%E5%8D%883_29_48.jpeg" style="width: 600px; height: 242px;" /></p> <p>在更大的機櫃組態方面，氣冷的MI350X適用於4U的機架式設計，在氣冷式散熱的機架下，最高支援到64顆GPU，記憶體最高到18TB HBM3E；而液冷的MI355X適用於10U與2U機架，在液冷式機架設計下，最多支援到128顆GPU，記憶體最高到36TB HBM3E。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202025-06-12%20%E4%B8%8A%E5%8D%889_26_40.jpeg" style="width: 600px; height: 333px;" /></p> <p>AMD也強調Instinct MI350系列GPU，採用OCP(Open Compute Project)，以及UEC(Ultra Ethernet Consortium)的業界開放標準，以強調和其他對手提出自己規格之間的差異。</p> <p>AMD也提前秀出代號為Helios的下一代AI機架設計，將會採用更新一代Instinct MI400系列GPU，搭配代號為Venice，採用新CPU架構Zen 6架構的EPYC CPU，以及稱為Vulcano的Pensando NIC。整合更多的記憶體、更大的記憶體的頻寬，提升AI運算效能。</p> <p>Instinct MI350系列GPU預期會在今年下半年推出，首波已有雲端運算服務商將與AMD合作，AMD宣布已和Oracle Cloud合作推出OCI的AI基礎運算服務，將採用13萬多顆的MI355X建立Zetascale的AI運算叢集，以支援大規模的AI訓練及推論運算需求。</p> <p>至於已與AMD合作的Meta，先前採用Instinct 300X系列GPU，用於Llama 3及Llama 4推論，Meta雖未說明未來是否採用MI350X系列GPU，但在發表活動中，對於新一代MI350X系列GPU的效能、每瓦效率表示樂觀的態度，AMD也宣布將和Meta合作Insinct MI450平臺的相關計畫。</p> <p>另外，AMD此次活動也說明在AI策略上與紅帽合作，通過Red Hat OpenShift AI，結合AMD的Instinct GPU，強化在混合雲環境裡的AI高效能、效率處理能力。</p> <p>在今年發表MI350系列之後，接下來將在2026年推出MI400系列GPU，將支援最大432GB的HBM 4記憶體，記憶體頻寬達到每秒19.6TB，其機架方案效能將比MI350系列提升10倍。</p> <p>AMD也揭露明年將推出的下一代EPYC處理器Venice，將採用2奈米製程、最高有256個Zen 6 CPU核心, 2倍的CPU與GPU連接頻寬，效能為前代產品的1.7倍。</p> <p>鑑於雲端大規模資料中心及企業資料中心的AI運算需求增加，耗電也隨之增加，AMD也提出新的能耗目標，指出Instinct MI350系列已超出AMD將AI訓練和高效能運算節點能源效率提升30倍的5年目標。該公司也提出2030年的新目標，以2024年為基準，2030年將機架級的能源效率提升20倍，以現今需要超過275機架的AI模型，在2030年在單一機架內訓練，並降低9成5耗電。</p> </div></div></div>
2025/6/13 02:39作者蘇文彬https://www.ithome.com.tw/news/169527
預計今年7、8月上線！健保署聯手Google打造糖尿病風險預測AI，將於健保快易通App和家醫大平臺亮相
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼去年聯手Google、國衛院和北醫展開糖尿病風險預測AI專案，健保署今日（6/12）揭露新進展，目前系統已能進行糖尿病風險分級和共病預測，比如顯示糖尿病高風險／等級2，並預測視網膜病變、腦血管病變、腎病變等共病機率。他們也開發一套Gemini模型驅動的糖尿病AI代理，來自動生成衛教內容，目前已將成果投稿國際學術期刊、接受同儕審核，預計今年7、8月正式上線。屆時，民眾在健康存摺就能看到風險資訊，參與家醫計畫的院所也能在系統查看患者風險。</p> <p>健保署也將根據這次專案，在下半年展開新的論值給付模式研究，同時發展高血脂、慢性腎臟病風險預測模型。</p> <h3><span style="font-size:22px;"><strong>起因：三高照護負擔與健康臺灣888計畫</strong></span></h3> <p>臺灣健保自1995年實施以來，已邁入第30年。健保署署長石崇良指出，根據統計，臺灣有800多萬人受三高（高血壓、高血脂、高血糖）及其共病所苦，光是去年，用來照顧三高患者的健保點數支出，就高達3600億，占健保總額40%（如下圖）。而且，糖尿病、高血壓、高血脂患者人數與支出，還有逐年增加的趨勢。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%95%B8%E6%93%9A.JPG" /></p> <p>再加上，總統賴清德上任提出健康臺灣888三高防治計畫，目標是2030年前將80%的三高與慢性腎臟病患者納入照護網，並讓其中的80%患者接受生活形態諮詢、80%的三高與慢性腎臟病患者達到最終控制目標。</p> <p>健保署於是盤點2024年狀態，888目標只分別達到了60%、26%、52%，他們便針對這3項目標，自去年起分別展開幾項計畫，比如針對第一個8，推動家醫照護整合性計畫2.0、地區醫院全人全社區照護計畫和創新藥物給付機制等；第二個8則是開發實證基礎的生活型態評估工具、試辦慢性病價值導向的全人照護模式；第三個8則是導入創新數位照護模式，比如開發新平臺，來整合個人健康數據、落實健康管理，還要發展AI輔助的個人化衛教素材和工具，並藉由公私協力，鼓勵使用創新數位照護工具等。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%B8%89%E9%AB%98.JPG" /></p> <h3><span style="font-size:22px;"><strong>糖尿病風險預測：AI應用的第一步</strong></span></h3> <p>在這些背景下，健保署去年5月找來Google、國衛院和北醫，聯手展開糖尿病風險預測AI專案：AI-on-DM。</p> <p>他們的分工是，健保署負責政策引導和提供數據管理，Google提供AI技術和算力，國衛院則扮演智庫角色，負責實證研發與標準建立，北醫則是模型驗證和智慧照護示範。</p> <p>石崇良也給出糖尿病風險預測AI的整體發展藍圖，總共有7大步。首先是用健保去識別化的30年大數據，打造第二型糖尿病風險預測AI模型。有了模型，第二步就能為每年200萬名的第二型糖尿病患者，進行個人化風險分級。</p> <p>接著，健保署將模型風險分級資訊，整合至已完工的家醫大平臺，來根據更多數據，預防糖尿病可能導致的共病，達到個人化照護。第四步是導入AI衛教助理，也就是一套基於Gemini模型的AI代理，來根據個人資訊，快速產生個人化衛教資訊，並整合在健保快易通／健康存摺App中。</p> <p>再來，健保署還要推動論質（值）支付，也就是以糖尿病風險預測模型給出的風險分級為基礎，來判斷醫師照護後，成功預防患者惡化到原本預測的風險值，因此減少健保支出，健保署再依此回饋，有別於現行的論量計酬。下一步，健保署要擴大應用範圍，強化第三方合作機制與回饋，最後一步則要驗證效益，來衡量健康、財務和成效追蹤。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%97%8D%E5%9C%96.JPG" /></p> <h3><span style="font-size:22px;"><strong>目前已能分級風險、預測共病機率，預計7、8月上架</strong></span></h3> <p>就實際進展來說，石崇良指出，去年6月展開計畫，9月開始建置風險資訊，包括風險架構設計和分級，以及Google團隊分享生成式工具和資源。今年1月則加入第三方業者諮詢，由WaCare嘗試風險分級加上AI衛教，與團隊發展風險衛教整合模式的雛形。</p> <p>今年4月，國衛院、北醫和健保署也對這套糖尿病風險預測AI和AI衛教進行醫療實證，並發表學術論文、接受同儕審核中。</p> <p>目前，該AI已能進行糖尿病風險分級和共病預測，比如系統能產出個人風險報告，顯示糖尿病風險（如高風險／等級2），並預測其他共病的發生機率，像是視網膜病變、腦血管病變、腎病變等。（如下圖）他們也開發一款Gemini模型驅動的糖尿病AI代理，來自動生成衛教內容。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%A2%A8%E9%9A%AA%E5%88%86%E7%B4%9A.JPG" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%A1%9B%E6%95%99.JPG" /></p> <p>石崇良在會後專訪中表示，該糖尿病風險預測與風險分級預計今年7、8月正式上線，屆時民眾可在健保快易通／健康存摺中查看風險與衛教資訊，同時，只要是參與家醫計畫的醫院，也都能在系統中查看患者風險資訊。</p> <p><span style="font-size:22px;"><strong>鼓勵民間業者合作，下半年研究論值給付機制</strong></span></p> <p>他也強調，風險分級的目的，不單只是顯示風險，而在於個人化照護，因此健保署非常重視與民間業者和醫院的合作，開放業者與醫院申請糖尿病風險預測SDK。「健康存摺是通用型的，有很多功能，民間業者有其專一、特定的族群，」石崇良舉例，如目前已合作的WaCare專精高血壓控管、智抗糖專攻高血糖，民眾在不同平臺也能獲得風險評估和衛教服務，對疾病預防有很大的幫助。健保署副署長龐一鳴補充，目前也有幾家醫院參與合作中。</p> <p>另一方面，石崇良也透露，健保署將於今年下半年，展開論值支付的給付模式研究。</p> <p>糖尿病風險預測AI只是三高防治的起點，健保署接下來還將推動高血脂與慢性腎臟病的風險預測模型，並計畫跨部會導入更多資料，如自費健檢等，來將疾病風險預測更往前推一步，把還沒出現明顯症狀的民眾也納入照護範圍中。</p> <p></p> </div></div></div>
2025/6/12 18:25作者王若樸https://www.ithome.com.tw/news/169530
【資安日報】6月12日，大型電子商務平臺Yes24遭勒索軟體攻擊引起韓國當地高度關注
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這幾天有一起韓國追星族可能會首當其衝的資安事故，那就是在韓國經營大型書店，以及演唱會售票平臺的Yes24，驚傳遭到勒索軟體攻擊而導致服務停擺，但受害情況、影響範圍有待後續追蹤。</p> <p>對於其他的資安事故，Apache基金會重點專案Tomcat遭遇大規模攻擊、竊資軟體Myth Stealer相當值得留意，而M365 Copliot零點擊漏洞、系微（Insyde）UEFI韌體H2O漏洞的揭露，也引起資安界的關注。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169528"><strong style="font-size: 22px;">韓國電子商務平臺Yes24遭勒索軟體攻擊</strong></a></p> <p>從4月底開始，一連串針對零售業者而來的網路攻擊事故接連傳出，但這些資安事故駭客主要針對歐洲與美國的廠商下手，如今有專門針對亞洲業者的情況出現。</p> <p>我們接獲臺灣出版業的通報，得知韓國這幾天發生一起相當嚴重的勒索軟體攻擊事故，接著我們到網路搜尋發生事故的Yes24，當切換到Google新聞搜尋頁面的時候，隨即看到許多韓國媒體報導此事，這些新聞均提到：經營網路書店與購票平臺的Yes24，於6月9日傳出網站與應用程式無法使用的狀況，該公司起初僅表示系統在維護而暫停服務，未進一步說明，如此不尋常的現象引起用戶不滿，直到10日才坦承是遭遇勒索軟體攻擊，並表示他們已向韓國網路安全局（KISA，也稱為韓國網路振興院）通報此事。</p> <p>詭異的是，這起資安事故鮮少有國際新聞媒體報導，而在臺灣，儘管有不少K-POP追星族，也未見大眾新聞媒體報導這起重大資安事故，目前僅有資安廠商竣盟科技報導此事，以及追蹤韓國流行動態的社群透露相關消息，指出這起事故已經造成影響。</p> <p><a href="https://www.ithome.com.tw/news/169498"><strong style="font-size: 22px;">Apache Tomcat遭到大規模攻擊，400個IP位址對其暴力破解、登入嘗試</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/684747475d48cc2ac94e452c_GreyNoise-Tomcat-Manager-Login-Attempt.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/684747475d48cc2ac94e452c_GreyNoise-Tomcat-Manager-Login-Attempt.png" style="width: 300px; float: right;" /></a>網頁應用程式伺服器Apache Tomcat受到許多企業與雲端平臺採用，尤其適合小型應用及微服務架構，原因在於該此系統開源且占用資源少，廣泛支援Java網頁應用的特性。由於受到廣泛採用，也有攻擊者盯上這類伺服器的現象。</p> <p>最近威脅情報業者GreyNoise揭露專門針對這種應用程式伺服器的大規模嘗試入侵活動，他們在6月5日發現約有400個IP位址被用於暴力破解或嘗試登入Tomcat的管理介面。這些IP位址主要來自主機代管業者DigitalOcean的基礎設施，其中有298個IP位址用於嘗試登入，250個IP位址用於暴力破解攻擊。從GreyNoise公布的IP位址數量來看，顯然有部分的IP位址同時用兩種類型的活動。</p> <p><a href="https://www.ithome.com.tw/news/169501"><strong style="font-size: 22px;">惡意軟體Myth Stealer同時鎖定Chrome、Firefox用戶而來，藉由冒牌遊戲網站散布</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/demystifying-myth-stealer-3.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/demystifying-myth-stealer-3.jpg" style="width: 300px; float: right;" /></a>為了改善軟體開發安全，近年來有許多軟體改以程式語言Rust開發，例如Google於Chrome採用新的字型渲染程式庫Skrifa，就是以這種程式語言撰寫而成。然而，攻擊者也開始跟進，採用這種程式語言打造惡意程式。</p> <p>例如，最近資安業者Trellix揭露的Myth Stealer，就是典型的例子。研究人員從去年12月下旬看到開發者於Telegram頻道宣傳、銷售，初期提供免費試用，後來開發團隊以租用的型式牟利。</p> <p>研究人員持續進行追蹤和調查後指出，駭客主要透過假的遊戲網站散布Myth Stealer，一旦使用者下載、執行，此惡意軟體會顯示假的視窗，轉移使用者的注意力，但實際上，駭客於後臺透過XOR運算或AES演算法解開先前被加密的惡意程式碼，並予以執行。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/06/former-black-basta-members-use.html">前勒索軟體Black Basta成員使用Teams和Python指令碼從事攻擊活動</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169500"><strong style="font-size: 22px;">研究人員揭露Microsoft 365 Copilot的零點擊AI漏洞</strong></a></p> <p>以色列資安業者Aim Security旗下的Aim Labs揭露位於Microsoft 365 (M365) Copilot的資安漏洞，允許駭客在無需使用者互動的情況下，竊取M365 Copilot的機密資訊。這是第一個針對AI代理程式的零點擊攻擊鏈，不僅威脅Copilot的資料安全，可能也會影響其它基於檢索增強生成（Retrieval‑Augmented Generation，RAG）的聊天機器人與AI代理人，微軟獲報後已完成修補。</p> <p>此漏洞被命名為EchoLeak，已取得CVE‑2025‑32711漏洞編號，其CVSS風險評分高達9.3。</p> <p>EchoLeak主要涉及大型語言模型範圍違規（LLM Scope Violation）問題，同時利用了RAG Copilot的設計缺陷，以讓駭客可在不需仰賴使用者的行動下，自動汲取來自M365 Copilot的任何資料。</p> <p><a href="https://www.ithome.com.tw/news/169514"><strong style="font-size: 22px;">Insyde H2O UEFI韌體存在資安弱點，攻擊者可用於繞過安全開機</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/68436b65a6fcb3dcd3042f62_image3.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/68436b65a6fcb3dcd3042f62_image3.png" style="width: 300px; float: right;" /></a></p> <p>近年來不時有駭客針對UEFI開機系統下手，打造惡意程式發動攻擊，從而繞過作業系統與端點防護機制的偵測，一旦UEFI韌體存在相關漏洞，就有可能成為駭客利用的對象，使得資安圈越來越關切、挖掘這類弱點。</p> <p>本週有兩項與UEFI有關的漏洞揭露，其中又以卡內基美隆大學電腦緊急回應團隊協調中心（CERT/CC）揭露的CVE-2025-4275相當值得留意，此弱點出現在系微（Insyde）的UEFI韌體H2O，攻擊者能透過不受保護的非揮發性隨機存取記憶體（NVRAM）變數SecureFlashCertData，而能於電腦注入數位憑證，使得攻擊者能繞過安全開機（Secure Boot）的防護機制。CVSS風險達到7.8分，Insyde也發布資安公告，推出新版韌體修補這項漏洞。</p> <p>另一項能繞過安全開機的漏洞，是由資安業者Binarly找到的記憶體中斷漏洞CVE-2025-3052，此漏洞同樣影響Insyde H2O的UEFI韌體，起因是他們發現由微軟提供第三方UEFI憑證簽章的特定模組能觸發漏洞，一旦攻擊者成功利用，就有機會在電腦開機的過程執行未簽署的程式碼，繞過安全開機機制，風險值為6.7，微軟獲報後於本週發布的6月例行更新（Patch Tuesday）提供修補程式。</p> <p><a href="https://www.ithome.com.tw/news/169491"><strong style="font-size: 22px;">HPE修補備份平臺StoreOnce重大層級的身分驗證繞過漏洞</strong></a></p> <p>為了讓受害組織增加恢復資料的難度，勒索軟體駭客往往會針對備份系統下手，清除企業組織備份的內容，一旦這類系統出現資安弱點，就很有可能被駭客拿來利用。因此，IT人員也要特別留意相關的資安弱點資訊。</p> <p>HPE針對備份儲存系統StoreOnce發布資安公告，修補8項由趨勢科技旗下漏洞懸賞專案Zero Day Initiative（ZDI）通報的弱點，這些漏洞可被用於繞過身分驗證、遠端程式碼執行（RCE）、伺服器請求偽造（SSRF）、路徑穿越、任意檔案刪除，以及資訊洩露，影響HPE StoreOnce G4/4+，該公司發布4.3.11版予以修補。</p> <p>根據CVSS風險評分，這批漏洞最危險的是身分驗證繞過漏洞CVE-2025-37093，風險值高達9.8分（滿分10分）。在HPE的資安公告裡，並未對這些漏洞說明其他細節，而ZDI在公告提及，這項弱點存在於StoreOnce的虛擬儲存設備Virtual Storage Appliance（VSA）版本，攻擊者能遠端利用，並在無需事先通過身分驗證的情況下觸發。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/jenkins-gatling-plugin-flaw/">Jenkins公布外掛程式的資安弱點，恐被用於繞過內容安全政策機制</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/multiple-qnap-flaws-2/">威聯通修補檔案同步系統Qsync重大漏洞</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/chrome-firefox-updates-resolve-high-severity-memory-bugs/">Google、Mozilla發布Chrome 137與Firefox 139更新，修補高風險記憶體漏洞</a></strong></p> <p></p> <p><strong style="font-size: 22px;">其他資安防禦措施</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityaffairs.com/178898/cyber-crime/operation-secure-interpol-dismantles-20000-malicious-ips-in-major-cybercrime-crackdown.html">歐洲刑警組織帶頭從事執法行動Operation Secure，撤下逾2萬個用於竊資軟體攻擊的IP位址</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169486"><strong>【6月11日】微軟修補已遭利用的WebDAV零時差漏洞，若不處理攻擊者可遠端執行任意程式碼</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169459"><strong>【6月10日】中國駭客鎖定資安業者SentinelOne及超過70個企業組織從事大規模攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169436"><strong>【6月9日】中國驚傳大規模資料外洩，40億筆民眾個資在網際網路短暫裸奔</strong></a></p> </div></div></div>
2025/6/12 18:28作者周峻佑https://www.ithome.com.tw/news/169531
韓國電子商務平臺Yes24遭勒索軟體攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>從4月底開始，一連串針對零售業者而來的網路攻擊事故接連傳出，但這些資安事故駭客主要針對歐洲與美國的廠商下手，如今有專門針對亞洲業者的情況出現。</p> <p>我們接獲臺灣出版業的通報，得知韓國這幾天發生一起相當嚴重的勒索軟體攻擊事故，接著我們到網路搜尋發生事故的Yes24，當切換到Google新聞搜尋頁面的時候，隨即看到許多韓國媒體報導此事，這些新聞均提到：經營網路書店與購票平臺的Yes24，於6月9日傳出網站與應用程式無法使用的狀況，該公司起初僅表示系統在維護而暫停服務，未進一步說明，如此不尋常的現象引起用戶不滿，直到10日才坦承是遭遇勒索軟體攻擊，並表示他們已向韓國網路安全局（KISA，也稱為韓國網路振興院）通報此事。</p> <p>Yes24是韓國大型網路書店與演唱會活動購票平臺，他們不僅銷售韓文及外文書籍、電子書，也販售K-POP與韓劇周邊商品著稱。而在售票的業務上，Yes24銷售演唱會、音樂劇、戲劇、體育賽事的門票，甚至經營自己的活動會場（如Yes24 Live Hall），而且，他們不光服務韓國民眾，也經營海外市場，是外國粉絲參與韓國當地活動及購買相關商品的重要管道，在K-POP生態系中擁有舉足輕重的地位。</p> <p>不過，詭異的是，這起資安事故鮮少有國際新聞媒體報導，而在臺灣，儘管有不少K-POP追星族，也未見大眾新聞媒體報導這起重大資安事故，目前<a href="https://medium.com/@Billows_Tech/%E7%82%BA%E4%BD%95-yes24-victorias-secret%E6%88%90%E7%82%BA%E9%A7%AD%E5%AE%A2%E5%8B%92%E7%B4%A2%E5%B0%8D%E8%B1%A1-%E5%BE%9E%E5%B9%B3%E5%8F%B0%E7%99%B1%E7%98%93%E4%BA%8B%E4%BB%B6-%E7%9C%8B%E5%8B%92%E7%B4%A2%E6%94%BB%E6%93%8A%E5%A6%82%E4%BD%95%E9%87%8D%E5%89%B5%E4%BC%81%E6%A5%AD%E7%87%9F%E9%81%8B-9d54cb45b337">僅有資安廠商竣盟科技報導此事</a>，以及追蹤韓國流行動態的社群透露相關消息，指出<a href="https://www.facebook.com/onnietw/posts/%E9%9F%93%E7%B6%B2%E8%AE%80%E5%A0%B1%E7%99%B1%E7%98%93%E5%85%A9%E5%A4%A9%E7%9A%84-yes24-%E5%8E%9F%E4%BE%86%E6%98%AF%E9%81%AD%E9%A7%AD%E5%AE%A2%E6%94%BB%E6%93%8A9%E6%97%A5%E5%87%8C%E6%99%A8%E9%96%8B%E5%A7%8B%E7%9A%84yes24%E7%B6%B2%E7%AB%99%E5%92%8Capp%E7%99%B1%E7%98%93%E4%BA%8B%E4%BB%B6%E6%8C%81%E7%BA%8C%E4%BA%86%E5%85%A9%E5%A4%A9%E5%85%AC%E5%8F%B8%E6%96%B9%E9%9D%A2%E4%B8%80%E7%9B%B4%E5%B0%8D%E5%8E%9F%E5%9B%A0%E7%B7%98%E5%8F%A3%E4%B8%8D%E6%8F%90%E7%9B%B4%E5%88%B0%E4%BB%8A%E5%A4%A9%E6%89%8D%E9%81%B2%E9%81%B2%E6%89%8D%E5%91%8A%E7%9F%A5%E6%AD%A4%E6%AC%A1%E4%BA%8B%E4%BB%B6%E7%9A%84%E5%8E%9F/1348087340018705/">這起事故已經造成影響</a>，例如音樂團體Enhypen取消粉絲簽名會、歌手B.I調整演唱會門票預售時間等，此外，這起事故不光影響演唱會和粉絲簽名會，音樂劇的售票也受到衝擊。</p> <p>針對這起事故，Yes24首度於10日鬆口，坦言是勒索軟體攻擊，根據該公司後來在網站的公告，可以得知目前掌握到的事件發生經過。他們表示，大約是在9日凌晨4時遭遇勒索軟體攻擊，導致該公司系統失去控制，直到11日凌晨3時，他們成功奪回管理員帳號，正著手復原相關服務運作。究竟這起事故是否導致客戶資料外洩，該公司表示根據目前的調查結果，他們尚未釐清有那些資料流出，但為保險起見，呼籲客戶要防範假冒Yes24相關的詐騙。</p> </div></div></div>
2025/6/12 18:10作者周峻佑https://www.ithome.com.tw/news/169528
Insyde H2O UEFI韌體存在資安弱點，攻擊者可用於繞過安全開機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來不時有駭客針對UEFI開機系統下手，打造惡意程式發動攻擊，從而繞過作業系統與端點防護機制的偵測，一旦UEFI韌體存在相關漏洞，就有可能成為駭客利用的對象，使得資安圈越來越關切、挖掘這類弱點。</p> <p>本週有兩項與UEFI有關的漏洞揭露，其中又以<a href="https://kb.cert.org/vuls/id/211341">卡內基美隆大學電腦緊急回應團隊協調中心（CERT/CC）揭露的</a>CVE-2025-4275相當值得留意，此弱點出現在系微（Insyde）的UEFI韌體H2O，攻擊者能透過不受保護的非揮發性隨機存取記憶體（NVRAM）變數SecureFlashCertData，而能於電腦注入數位憑證，使得攻擊者能繞過安全開機（Secure Boot）的防護機制。一旦成功利用漏洞，攻擊者就能在作業系統載入之前，執行未經簽章或惡意程式碼，從而植入持久性的惡意軟體與核心層級的Rookit程式，CVSS風險達到7.8分，<a href="https://www.insyde.com/security-pledge/sa-2025002">Insyde也發布資安公告</a>，推出新版韌體修補這項漏洞。</p> <p>值得留意的是，上述手法植入的惡意軟體與Rookit，使用者無法透過重開機或是重灌作業系統清除，甚至能夠成功迴避EDR系統的偵測，或是在該系統載入之前完全停用。</p> <p>另一項能繞過安全開機的漏洞，是由資安業者Binarly找到的<a href="https://www.binarly.io/blog/another-crack-in-the-chain-of-trust">記憶體中斷漏洞CVE-2025-3052</a>，此漏洞同樣影響Insyde H2O的UEFI韌體，起因是他們發現由微軟提供第三方UEFI憑證簽章的特定模組能觸發漏洞，一旦攻擊者成功利用，就有機會在電腦開機的過程執行未簽署的程式碼，繞過安全開機機制，風險值為6.7，微軟獲報後於本週發布的6月例行更新（Patch Tuesday）<a href="https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-3052">提供</a>修補程式。</p> <p>針對這項漏洞發現的過程，Binarly指出是他們在惡意軟體分析平臺VirusTotal找到存在弱點的UEFI應用程式，此工具原專為特定廠牌的電腦設計，但由於其中的特定模組採用了廣泛信任的Microsoft Corporation UEFI CA 2011金鑰簽署，而能在大多數電腦上運作。漏洞形成的原因也與NVRAM有關，上述模組從NVRAM變數IhisiParamBuffer讀取資料後，未進行驗證就當作記憶體指標使用，導致攻擊者可控制寫入任意記憶體位置。</p> </div></div></div>
2025/6/12 16:24作者周峻佑https://www.ithome.com.tw/news/169514
Stripe將買下嵌入式錢包供應商Privy
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://privy.io/blog/announcing-our-acquisition-by-stripe" target="_blank">成立於2021年的嵌入式錢包服務供應商Privy周三（6/11）宣布</a>，已被線上支付服務供應商Stripe收購。Privy僅披露此一交易預計於未來幾周完成，並未公布交易金額。不過，Privy在今年3月的估值約為2.3億美元。</p> <p>Privy主要提供嵌入式錢包技術，讓平臺能夠在不改變使用者的體驗下，直接產生及管理加密錢包；其關鍵技術在於透過Email、SMS、SSO等一般登入機制，即可於後端生成自主管理錢包（self‑custody wallet），讓消費者不必再下載或註冊額外的錢包。</p> <p>Privy共同創辦人暨執行長Henri Stern表示，該公司剛創立時，加密貨幣錢包的功能很強大，但只有高階使用者才會用，開發者必須要求用戶離開平臺才能使用，這阻礙了體驗也降低用戶轉換率，限制了加密貨幣領域的發展。</p> <p>而Privy僅透過一個簡單的API，便能讓各平臺安全地啟用強大的錢包能力、簽署交易，並整合各種區塊鏈系統，迄今Privy已替超過1,000個開發團隊的逾7,500萬個帳戶提供服務，協調數十億筆交易，以讓用戶能在網路上賺取、轉移與使用新資產，客戶涵蓋Hyperliquid、Blackbird、Toku與Farcaster。</p> <p>Stern認為，數位所有權與現代世界的金融系統正以前所未有的方式交織在一起，如同Stripe堅信加密貨幣結合法幣的力量，雙方將會改變網路的價值流動方式。</p> <p><a href="https://www.ithome.com.tw/news/165607" target="_blank">Stripe甫於去年10月買下了穩定幣基礎設施業者Bridge</a>，顯示該公司擁抱加密貨幣的決心。</p> </div></div></div>
2025/6/12 16:41作者陳曉莉https://www.ithome.com.tw/news/169516
【OTP盜刷網釣現況大公開1】即時網釣手法已經氾濫，AiTM中間人攻擊技術助長此類威脅
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>鎖定信用卡盜刷的網釣攻擊，已經橫行多年，雖然大家感受到事件越來越多，但可能不清楚的是：駭客攻擊技術與網路犯罪生態正在加速演進。因此這方面的威脅現況，已成為電商與支付業者不容忽視的嚴峻挑戰。</p> <p>事實上，以OTP網釣攻擊而言，過去我們看到不少這類事故消息，但其攻擊目標其實有相當多種，例如，一種是「針對企業員工，竊取員工登入內部系統所需OTP碼」，像是Dropbox員工使用OTP式硬體金鑰來強化員工帳號登入防護，但2022年時，駭客在偽冒登入的釣魚網頁上不僅騙取帳密，也即時騙取OTP碼，進而得以入侵企業內部；一種是「針對客戶，竊取服務業發給客戶用於登入服務所需的OTP碼」，像是臺灣多家銀行有採用簡訊OTP來保護客戶網銀登入，但在2021年時，有犯罪組織偽冒多家銀行發送釣魚簡訊，並以假網銀登入頁面來騙取客戶帳密，也即時騙取OTP碼，進而使受害者的網銀帳戶資金被盜轉。</p> <p>還有一種不容忽視的網釣攻擊手法，是「針對信用卡用戶，竊取刷卡交易認證時所的OTP碼」，也就是針對信用卡號及3D驗證環節進行網釣。不過這類攻擊的相關研究揭露相對較少，使得我們對其具體概況難以深入了解，特別的是，在今年3月臺灣資安業者戴夫寇爾舉行的資安攻擊型研討會上，有場演講恰巧說明最新OTP竊取手法，以及信用卡盜刷背後的網釣威脅。最近該場演說<a href="https://conf.devco.re/2025/keynote/%5BRelease%5D%20Phishing-as-a-Service-%20The%20Underground%20Card%20Shop%27s%20Arsenal%20against%203DSecure.pdf">簡報</a>於5月底正式公開。</p> <p>該場講者是台灣駭客協會理事戴辰宇（GD），他以負責威脅情資與事件應變的企業藍隊角色，解析身為防守方的他們，如何因應盜刷與網路釣魚問題，進而探索與了解攻擊背後的技術發展。當中介紹的狀況，對於關心電商與支付業者安全的人相當有參考價值，因為可以藉此更認識這方面的網路犯罪技術演進，以瞭解所要防禦的威脅與面臨的挑戰。</p> <p>解析身為防守方的他們，為了因應盜刷與網路釣魚問題，進而探索了攻擊背後的技術發展。，對於電商與支付業者而言，可以更認識這方面的網路犯罪技術演進，以瞭解防禦上我們面對的威脅與挑戰。</p> <h2><strong>攻擊技術與犯罪商業模式持續進化，實施網釣活動的門檻大幅降低</strong></h2> <p>對於信用卡網釣攻擊態勢的演變，戴辰宇指出，這類威脅不只影響全球，亞太地區也經常被鎖定，戴辰宇指出，臺灣與日本的遭遇是同樣嚴重。以臺灣而言，聯合信用卡處理中心（聯卡中心）曾揭露，2023全年國內發卡機構詐欺通報金額破32億元，年增達47％；以日本而言，信用卡詐欺帶來的損失，從10年前的一年損失100億元日幣，之後持續有所增長，2024一整年損失已達550億元日幣。</p> <p>根據戴辰宇與其研究夥伴對於相關網路犯罪活動的深入觀察，他們發現，中國信用卡黑市中的許多攻擊目標都是鎖定亞太地區而來。這些犯罪組織不僅透過微信與Telegram頻道大肆投放廣告，甚至還有頻道是專門教學如何執行信用卡盜刷網釣。由此可見，這類犯罪活動的猖獗與成熟程度令人擔憂。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%966%EF%BC%89%E7%AB%8A%E5%8F%96OTP%E7%9B%9C%E5%88%B7%E7%B6%B2%E9%87%A3%E5%A8%81%E8%84%85%E7%8F%BE%E6%B3%81%E5%A4%A7%E5%85%AC%E9%96%8B.jpg" style="width: 600px;" /></p> <p>這類網路犯罪究竟是如何運作？戴辰宇深入剖析了網釣盜刷的完整流程，希望能讓大家對此有更清晰的概念。他指出，攻擊者主要可分為三大角色：釣魚者、盜刷者，以及收貨者。</p> <p>以釣魚者而言，傳統上，攻擊者需建立網域名稱、架設釣魚網站，並要租用管控較寬鬆的VPS虛擬主機服務，才不容易讓釣魚網站被下架。接著，還要準備釣魚郵件，以誘導受害者點擊惡意連結。</p> <p>以盜刷者而言，要模擬受害者的交易環境，以提高盜刷成功率。例如，依據受害者的信用卡帳單地址，從一些駭客組織控制的殭屍網路等，租用相同地區IP位址作為盜刷的跳板，以規避銀行的反詐欺偵測或AML反洗錢系統。</p> <p>以收貨者而言，盜刷商品後需安排收貨與轉運。例如，有犯罪集團在日本針對海外留學生投放廣告，聲稱只要協助「代收包裹並轉寄」，即可賺取額外收入。這些商品最終被轉送至中國閒魚或淘寶的物流轉運站，轉售變現。</p> <p>這樣的網路犯罪模式已經使用多年，如今，我們特別要關切的是，在「執行網釣」的環節有了新變化，攻擊技術與網路犯罪生態變得更進步與普及，使我們面臨更嚴峻的威脅。</p> <h2><strong>網釣攻擊日益嚴峻有兩大原因：即時釣魚與PhaaS</strong></h2> <p>首先，身為防守方的我們，需要搞清楚這些網釣、盜刷攻擊背後的情形，掌握攻擊面的最新發展，才能意識到需要重視的問題，尤其是對支付產業與電商而言，戴辰宇強調，有兩大重點觀察需要我們關注。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1）竊取OTP盜刷網釣威脅現況大公開.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89%E7%AB%8A%E5%8F%96OTP%E7%9B%9C%E5%88%B7%E7%B6%B2%E9%87%A3%E5%A8%81%E8%84%85%E7%8F%BE%E6%B3%81%E5%A4%A7%E5%85%AC%E9%96%8B.jpg" style="width: 600px;" /></a></p> <p>第一，早年網釣是No-OTP Phishing，也就是非竊取OTP碼的傳統網釣時代，2020年之後轉為Real-time Phishing時代，也就是可以同步竊取OTP。我們可以發現，這方面的相關技術，在中國網路犯罪圈稱同步魚，在資安界則常稱為AiTM（Adversary-in-The-Middle）中間人攻擊手法，像是微軟曾多次揭露這類攻擊活動。</p> <p>第二，網釣即服務（PhaaS）數量大增，這不僅是助長網釣攻擊，也突顯這類犯罪服務的提供已是相當成熟。例如，2023年初，他們從中國的地下信用卡資料兜售黑市觀察到，已有50多個這樣的雲端代管訂閱制釣魚網站平臺，並且大多數都提供OTP竊取的功能，到了2025年初，這些PhaaS平臺更是增加到100個以上，而且其功能也在持續進化，像是提供半套或全套的租賃方式，還有內建多種資安偵測規避的功能。</p> <h2><strong>AiTM攻擊手法興起，促使OTP網釣更容易</strong></h2> <p>儘管資安界早就呼籲OTP不夠安全，只能視為過渡到強健MFA的臨時方案，因為仍是具有一定使用期效的文數字符號形式，還是存在被擷取、盜用的可能性，而容易遭遇網釣攻擊，不過至今許多場景仍仰賴OTP來保護帳號安全。</p> <p>對此狀況，戴辰宇指出，自2020年起，Real-time Phishing（即時網釣）技術已成熱門的網路犯罪手法，這意味，攻擊者要突破OTP驗證機制已變得普遍。</p> <p>這類即時網釣攻擊經常運用AiTM這類中間人攻擊技術，也就是說，駭客在受害者與合法網站之間建立一個代理伺服器（Proxy）攔截流量，並在受害者輸入帳號密碼與OTP後，即時將竊取資訊轉發至合法網站，進而完成盜刷交易。</p> <p>雖然國內近年有在加強OTP網釣的防範，但他也提醒，像是聯卡中心去年推出網頁識別碼的機制，讓使用者在輸入OTP碼時，還要從4個選項來勾選收到的識別碼，能多一道程序來緩解。但是，攻擊者只要在網釣OTP碼過程中，增加識別碼的輸入框，其實還是可以獲取識別碼並繞過防護，讓不熟悉機制的使用者上當。</p> <p>事實上，關於上述提及的AiTM網釣手法，我們過去經常看到這方面的威脅揭露。</p> <p>例如，<a href="https://www.ithome.com.tw/news/151924">2022年微軟指出，發現一起大規模網釣活動是使用AiTM手法，接著利用竊取到的帳密與Session Cookie</a>，去存取使用者的郵件，進而發動BEC詐騙。微軟觀察到，自2021年9月至2022年7月間，有1萬個企業組織遭此攻擊活動鎖定。</p> <p>換言之，透過AiTM網釣手法經常作為攻擊的開端，值得我們特別重視，有的攻擊者主要鎖定消費者信用卡交易的OTP竊取，有的則是鎖定企業登入憑證的竊取，以此發動不同類型的攻擊活動。</p> <h2><strong>防守方別以為有了OTP驗證，卻忽略用戶端環境風險檢查</strong></h2> <p>從上述威脅態勢來看，戴辰宇強調：近年網路犯罪領域PhaaS平臺的流行，代表網釣產業的專業分工更加細緻，而Real-time Phishing這類中間人攻擊的盛行，則顯示攻擊者要突破OTP驗證機制已變得普遍。</p> <p>而且我們還要注意的是，根據目前研究顯示，利用生成式AI產生社交工程釣魚郵件與 Phishing Kit，速度比傳統方法快20倍。這也代表，網釣攻擊的成本不斷下降，即便不懂繁體中文、日文或其他語言的駭客，也能產出符合當地語法的釣魚信件。</p> <p>此外，在他們的研究中，現在Real-time Phishing技術的攻擊，攻擊成功率可達0.2%至1.4%，高於傳統No-OTP Phishing（0.01%至0.1%），</p> <p>對此，他特別點出一個值得關注的問題：在沒有OTP驗證的時代，防守方會更重視用戶端環境風險的檢查，例如：確認刷卡IP地址與帳單地址是否相符，以判斷交易真實性。然而，隨著OTP驗證機制的普及，部分防守端可能因過度相信OTP，而忽略了原本的環境風險檢查，這一點是他認為防守方需加強的面向。</p> <h2><a href="https://s4.itho.me/sites/default/files/images/（圖5）竊取OTP盜刷網釣威脅現況大公開.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965%EF%BC%89%E7%AB%8A%E5%8F%96OTP%E7%9B%9C%E5%88%B7%E7%B6%B2%E9%87%A3%E5%A8%81%E8%84%85%E7%8F%BE%E6%B3%81%E5%A4%A7%E5%85%AC%E9%96%8B.jpg" style="width: 600px;" /></a> </h2><p> </p><h2 class="rtecenter"><span style="color: rgb(0, 153, 255);"><strong>竊取OTP碼方法很多，網釣只是其中一種伎倆</strong></span></h2> <p>除了常見的OTP網釣攻擊之外，我們也必須警惕駭客其他竊取OTP的手法。例如，臺灣大哥大A32手機，曾發生設備出廠時已被植入惡意程式，因此犯罪組織後續可攔截發送到手機的簡訊OTP，而其目的是以用戶門號來冒名申請遊戲帳號，以做為人頭帳號；國際間則不時傳出駭客利用SIM卡劫持（SIM Swap）攻擊手法，獲得手機號碼控制權，進而能夠竊取簡訊OTP，並用於不同攻擊活動；又或是電子郵件遭入侵導致以Email傳送的OTP碼被竊取。這些手法等於是直接入侵竊取資訊，而不是用釣魚方式讓受害者自己將資訊提供給駭客。</p> <p> </p> <h2><strong>繼續閱讀：<a href="https://www.ithome.com.tw/news/169488"><span style="color: rgb(0, 102, 204);">【OTP盜刷網釣現況大公開2】盜刷網釣即服務PhaaS數量破百，犯罪組織還在微信與Telegram頻道打廣告與教盜刷</span></a></strong></h2> <p> </p> <h2><strong>繼續閱讀：<a href="https://www.ithome.com.tw/news/169489"><span style="color: rgb(0, 102, 204);">【面對OTP盜刷網釣威脅，支付與電商產業應對策略】強化交易身分驗證與裝置指紋機制，並建立AI/ML詐欺模型</span></a></strong></h2> <p> </p> </div></div></div>
2025/6/12 16:42作者羅正漢https://www.ithome.com.tw/news/169487
【OTP盜刷網釣現況大公開2】2025中國信用卡盜刷網釣即服務百家爭鳴，甚至公然在即時通訊軟體頻道打廣告與教人盜刷
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>關於網釣即服務（<a href="https://www.ithome.com.tw/tags/phaas">PhaaS</a>）的態勢，我們從2016年至今，已經看到許有許多資安業者揭露這項威脅態勢，指出PhaaS的興起，降低業餘駭客的攻擊門檻，只要租賃雲端服務就可發動攻擊，同時也讓網路犯罪的網釣商業模式成形，而後續的資安研究也顯示，有更多提供犯罪的PhaaS供應商被揭露，並會持續提供進階釣魚與偵測規避的功能。</p> <p>不過，多數研究報告都是由國外資安業者發布，我們很少能具體瞭解其概況，近期台灣駭客協會理事戴辰宇（GD）揭露駭客竊取OTP盜刷網釣威脅現況時，更是提到PhaaS不僅降低網路犯罪的技術門檻，同時助長這類攻擊的規模更擴大。同時，他也揭露了更多關於這個網路犯罪生態系不為人知的細節，包括全套與半套的不同PhaaS型態。</p> <h2><strong>信用卡網釣盜刷氾濫，在微信、Telegram上已有犯罪教學頻道，許多是鎖定亞太地區而來</strong></h2> <p>大家可能沒想過，現在攻擊者要盜刷信用卡、網釣竊取OTP碼，不只能到暗網租賃現成的網路犯罪工具，還有許多犯罪組織透過微信與Telegram頻道打廣告，甚至有專門的教學頻道，目的是吸收更多成員加入。</p> <p>我們面對的網釣威脅有多嚴峻？根據戴辰宇與他研究夥伴的觀察，從網釣即服務（PhaaS）的發展來看，單是在信用卡盜刷領域，黑色產業在這方面的技術與市場經濟發展，已經相當成熟。</p> <p>他們發現，在微信與Telegram即時通訊平臺上，竟然就有1、2千個頻道用於中國詐欺黑色產業的交流，並有相當多是鎖定亞太地區攻擊。特別的是，當中還有專門提供CVV盜刷教學的頻道，像上課一樣介紹如何取得盜刷資料，以及搭建中國稱為魚塘（PhaaS）的攻擊環境，還有搭建盜刷環境、產品變現方法，以及其他技術面的內容。</p> <p>由於這類網釣攻擊已是相當氾濫，若是我們還不知道攻擊產業鏈的樣貌與轉變，可能輕忽了問題的嚴重性。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖2）竊取OTP盜刷網釣威脅現況大公開.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89%E7%AB%8A%E5%8F%96OTP%E7%9B%9C%E5%88%B7%E7%B6%B2%E9%87%A3%E5%A8%81%E8%84%85%E7%8F%BE%E6%B3%81%E5%A4%A7%E5%85%AC%E9%96%8B.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖7）竊取OTP盜刷網釣威脅現況大公開.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%967%EF%BC%89%E7%AB%8A%E5%8F%96OTP%E7%9B%9C%E5%88%B7%E7%B6%B2%E9%87%A3%E5%A8%81%E8%84%85%E7%8F%BE%E6%B3%81%E5%A4%A7%E5%85%AC%E9%96%8B.jpg" style="width: 600px;" /></a></p> <h2><strong>PhaaS租賃平臺服務競爭激烈，加速網路犯罪生態體系發展</strong></h2> <p>對於這類盜刷網路犯罪的網路釣魚即服務，中國稱為魚塘（PhaaS），目前有多氾濫？戴辰宇指出，他們觀察到，中國網路犯罪魚塘近兩年已呈現倍增的態勢，這顯示相關網路威脅正變得越來越嚴峻。</p> <p>例如，2023年初中國地下信用卡資料黑市中，約有50多個雲端代管的訂閱制釣魚網站平臺，其中大多數已具備OTP竊取功能，到了2025年初，這些PhaaS平臺數量已增長至100 個以上，且功能持續進化，不僅提供半套或全套的租賃方案，更內建多種規避資安偵測的功能。</p> <p>而且戴辰宇也發現，隨著PhaaS網釣犯罪服務的普及，彼此競爭也變得激烈，會產生什麼樣的影響？由於這類型服務就是提供攻擊者使用的雲端代管訂閱制網路釣魚平臺，當這些平臺為了搶客而不斷增加新功能，或是降低費用，結果就是讓執行網釣者能夠更容易、以更低成本發動攻擊。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖3）竊取OTP盜刷網釣威脅現況大公開.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89%E7%AB%8A%E5%8F%96OTP%E7%9B%9C%E5%88%B7%E7%B6%B2%E9%87%A3%E5%A8%81%E8%84%85%E7%8F%BE%E6%B3%81%E5%A4%A7%E5%85%AC%E9%96%8B.jpg" style="width: 600px;" /></a></p> <p>特別的是，過去資安業者雖然頻繁揭露PhaaS平臺的資訊，讓我們可以大致了解，攻擊者可選擇使用現成現成的網路釣魚工具包（Phishing Kit），或直接租用PhaaS犯罪平臺的服務。然而，戴辰宇這次揭露的內容，超越了我們既有的認知，進一步揭示了這個網路犯罪生態系中更多隱密且細緻的層面。</p> <p>以信用卡盜刷的攻擊環境建置而言，戴辰宇分析出3種不同型態：</p> <p>第一種是No PhaaS，攻擊者可以全都自己架構，以自建方式來搭建魚塘攻擊環境。</p> <p>但如果沒技術或想省時間，可選擇租用PhaaS。</p> <p>第二種是Half PhaaS，戴辰宇表示，這如同提供半套服務租賃，提供如同AppStore源碼商店的平臺環境，還會持續更新Phishing Kit。</p> <p>第三種是Full PhaaS，也就是提供全套租賃服務，不只提供Phishing Kit，連網釣使用的網域、VPS虛擬主機都提供，讓租用的攻擊者直接拿到一個後臺網址，快速建立一個魚塘攻擊環境。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖4）竊取OTP盜刷網釣威脅現況大公開.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89%E7%AB%8A%E5%8F%96OTP%E7%9B%9C%E5%88%B7%E7%B6%B2%E9%87%A3%E5%A8%81%E8%84%85%E7%8F%BE%E6%B3%81%E5%A4%A7%E5%85%AC%E9%96%8B.jpg" style="width: 600px;" /></a></p> <p>不僅是網路犯罪魚塘（PhaaS）數量增加，戴辰宇表示，他們發現租用服務的網路犯罪者也相當多。</p> <p>他舉例，一個名為熊貓源碼商店的網路犯罪平臺服務，主要鎖定偽冒物流服務的主題，有2,600多個訂閱者，另一個名為Magic Cat神奇貓貓，主要提供偽冒全球郵政的主題，有3,000多個訂閱者。</p> <p>不過，這類黑產也會有黑吃黑的情況，像是網釣者使用PhaaS平臺所竊取的資料，PhaaS服務提供者也能掌握，能將高價值信用卡資料先一步盜刷。因此地下市場也有所謂第一手、第二手、第三手資料，或是大量無效信用卡資訊。</p> <p>若是進一步觀察這些平臺上的功能，也能看出網釣攻擊技術的門檻降低與普及，將帶來更廣泛的影響。</p> <p>例如，這些平臺大多提供半套或全套的訂閱租賃方式，並且幾乎都已經提供OTP竊取的能力。</p> <p>更要注意的是，這些犯罪服務平臺還提供所謂「Anti-Red防紅」的功能，也就是內建多種規避資安偵測的能力。</p> <p>例如，攻擊者網釣目標若是鎖定日本，可設定只允許日本IP位址登入，減少被資安業者偵測的風險；還有一項特別的Entrance Key功能，其機制是透過在網址後添加？等查詢字串的參數，只有在參數值正確時，才會顯示真正的釣魚頁面，若直接存取網站，只會顯示空白頁面或無關內容，可規避資安業者的線上掃描或沙箱等偵測機制。</p> <p>從上述戴辰宇的分析介紹來看，我們可以了解到網路犯罪生態系的進化，不僅攻擊工具更易於取得，連反偵測能力也日益精進。面對如此複雜且專業化的威脅，企業又該如何有效防範呢？下一篇我們將繼續介紹。<br /> </p> <h2>繼續閱讀：<a href="https://www.ithome.com.tw/news/169489"><span style="color:#0066ff;">【面對OTP盜刷網釣威脅，支付與電商產業應對策略】強化交易身分驗證與裝置指紋機制，並建立AI/ML詐欺模型</span></a></h2> <p> </p> </div></div></div>
2025/6/12 17:07作者羅正漢https://www.ithome.com.tw/news/169488
【面對OTP盜刷網釣威脅，支付與電商產業應對策略】強化交易身分驗證與裝置指紋機制，並建立AI/ML詐欺模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>面對日益嚴峻的OTP盜刷網釣威脅，支付產業與電商產業都必須採取更積極的應對策略。</p> <p>從當前威脅態勢來看，在資安業者戴夫寇爾3月舉行的資安攻擊型研討會，台灣駭客協會理事戴辰宇（GD）指出：Real-time Phishing（即時網釣）這類中間人攻擊的盛行，顯示攻擊者要突破OTP驗證機制已變得普遍，而網路犯罪領域PhaaS平臺的流行，則代表網釣產業的專業分工更加細緻。</p> <p>當我們更充分了解這些網路犯罪技術的演進，才可以設想更周延的因應之道。戴辰宇對支付產業與電商產業，也分別提出提升防護力的建議。</p> <p>（一）以支付產業而言，現今電信業推動門號認證、SIM卡驗證，是一種可採行的進階驗證方法。電信公司可查詢該門號是否由真正的SIM卡持有人使用。此外，當懷疑當交易存在風險時，應採取更有效的驗證機制，例如，發送通知並要求點擊驗證連結來放行，這比單純輸入OTP碼安全，因為該連結可驗證額外資訊，而且攻擊者此時較難誘騙使用者提供連結。</p> <p>（二）以電商產業而言，可採取多層次的安全策略，像是採用新的身份驗證機制，如Passkey、FIDO、生物識別等，減少對OTP的依賴；建立更好的裝置指紋識別機制，像是時區、GPU、IP位址聲譽等環境與硬體綁定。建立主動偵測能力也很重要，以他過去自身經驗而言，一筆交易就有10個不同AI/ML詐欺偵測模型在偵測，才能及早發現異常。他並表示，曾發展送出訂單時製造大量運算需求，藉此讓惡意攻擊更難執行。他並提醒，不僅支付產業需要更多交易驗證措施，電商產業也該如此，一旦偵測到任何可疑交易，應及早再次啟動驗證機制來降低詐欺風險。</p> </div></div></div>
2025/6/12 17:15作者羅正漢https://www.ithome.com.tw/news/169489
惡意軟體Myth Stealer同時鎖定Chrome、Firefox用戶而來，藉由冒牌遊戲網站散布
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了改善軟體開發安全，近年來有許多軟體改以程式語言<a href="https://www.ithome.com.tw/tags/rust">Rust</a>開發，例如Google於Chrome採用<a href="https://www.ithome.com.tw/news/167975">新的字型渲染程式庫Skrifa</a>，就是以這種程式語言撰寫而成。然而，攻擊者也開始跟進，採用這種程式語言打造惡意程式。</p> <p>例如，最近資安業者Trellix揭露的<a href="https://www.trellix.com/en-in/blogs/research/demystifying-myth-stealer-a-rust-based-infostealer/">Myth Stealer</a>，就是典型的例子。研究人員從去年12月下旬看到開發者於Telegram頻道宣傳、銷售，初期提供免費試用，後來開發團隊以租用的型式牟利。</p> <p>研究人員持續進行追蹤和調查後指出，駭客主要透過假的遊戲網站散布Myth Stealer，一旦使用者下載、執行，此惡意軟體會顯示假的視窗，轉移使用者的注意力，但實際上，駭客於後臺透過XOR運算或AES演算法解開先前被加密的惡意程式碼，並予以執行。此竊資軟體同時針對Chrome與Firefox兩大陣營的瀏覽器而來，搜括密碼、Cookie，以及自動填入的資訊。附帶一提的是，經營Myth Stealer的團隊不光銷售竊資軟體，他們還提供買家出售竊得資料的管道：該團隊建名為Myth Vouches & Marketplace的頻道供買家運用。</p> <p>值得留意的是，駭客為了迴避防毒軟體的偵測，也不斷加入相關的機制，除了上述提及的程式碼混淆手法，他們也透過檢查受害電腦的使用者名稱及檔案，來確認不是在研究人員的沙箱環境執行。此外，駭客也頻繁更新竊資軟體，以確保惡意軟體檢測平臺VirusTotal所有的防毒引擎無法察覺異狀。</p> <p>針對攻擊發動的流程，研究人員指出駭客將竊資軟體偽裝成與遊戲相關的檔案，通常會聲稱是少見的檔案並受到密碼保護，或是含有如何執行遊戲說明資料的ZIP壓縮檔，此外，他們也看到駭客以單一的EXE檔案散布，或是將竊資軟體與遊戲相關檔案打包成RAR壓縮檔的情況。</p> <p>附帶一提的是，他們也看到駭客聲稱提供遊戲作弊工具為幌子的手法，為了取信受害者，駭客還提供VirusTotal的連結，表示所有防毒引擎分析皆為無害。</p> <p>此竊資軟體引起研究人員注意的原因在於，駭客同時採用多種反分析機制（Anti-analysis techniques），其中包括運用Rust套件obfstr進行字串混淆、並檢查受害電腦是否具有特定的使用者名稱與檔案，來判定自身是否處於沙箱環境，而根據研究人員列出的檔案名稱來判斷，這些檔案與VMware Tools、VirtualBox Guest Additions等虛擬機公用程式有關。</p> <p>一旦確認在真實電腦執行，Myth Stealer就會終止與瀏覽器有關的處理程序，然後從特定的應用程式挖掘密碼、Cookie、自動填入資料、信用卡資訊。為了解開瀏覽器存放的Cookie內容，駭客使用了遠端除錯功能，並透過Windows內建的API試圖取得管理員帳號的特殊權限。此外，駭客後續替這款竊資軟體加入新功能，其中包括挾持剪貼簿、螢幕截圖，使得此竊資軟體更加無孔不入。</p> </div></div></div>
2025/6/12 14:59作者周峻佑https://www.ithome.com.tw/news/169501
迪士尼跟環球影業聯手控告AI新創Midjourney侵權
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>華特迪士尼（Walt Disney Company）及環球影業（Universal Pictures）周三（6/11）<a href="https://www.courthousenews.com/wp-content/uploads/2025/06/disney-ai-lawsuit.pdf" target="_blank">攜手控告AI圖像生成平臺Midjourney侵權</a>，指控Midjourney簡直是利用無止境的抄襲來收割它們的創意成果。</p> <p>控方總計由7家業者組成，其中有5家屬於迪士尼集團，包括迪士尼Disney Enterprises、漫威角色著作權公司Marvel Characters、漫威控股公司MVL Film Finance、星際大戰系統製作公司Lucasfilm，以及20世紀福斯電影公司Twentieth Century Fox，另兩家來自環球影業的則是Universal City Studios與夢工廠動畫公司DreamWorks Animation。</p> <p>2022年成立於美國的Midjourney主要提供圖像生成服務，使用者只要輸入文字，就能生成各式各樣的圖像，迄今已吸引數百萬訂閱用戶，在2024年締造了3億美元的營收。</p> <p>迪士尼與環球影業於訴狀中指出，Midjourney的圖像生成服務如同虛擬販賣機，持續生成無數未經授權的著作權作品翻版。</p> <p>其實在原告採取法律行動之前，曾先行要求Midjourney停止竊取其智慧財產權，並採取措施來保護著作權，例如拒絕那些要求顯示或下載版權角色的提示，或者是採用各種技術來避免侵權圖像的生成，然而，Midjourney不但沒有停止侵權行為，新版本還提供更高品質的侵權圖像。</p> <p>Midjourney之所以遭到動畫及電影業者鎖定，不僅是因為該公司利用這些有版權的角色來訓練模型；更因為Midjourney允許使用者生成基於特定角色、在不同場景下的圖像，例如直接生成以《星際大戰》黑武士Darth Vader或是小小兵為主角的圖像；還利用這些使用者生成的侵權圖像來行銷Midjourney服務。</p> <p>控方指出，Midjourney輕易就能停止對其智慧財產權的竊盜與剝削，該公司能夠控制其圖像服務中的版權內容，也能防止版權內容持續被複製與散布，其它AI圖像及影像生成業者都已建立版權保護措施，以保障創作者的權利；但Midjourney卻藉由生成無數未經授權的版權作品翻版，以建立一個有利可圖的商業服務，供使用者付費訂閱，根本就是教科書等級的侵權作法。</p> <p>Midjourney則尚未對此一訴訟案作出回應。</p> </div></div></div>
2025/6/12 15:50作者陳曉莉https://www.ithome.com.tw/news/169505
研究人員揭露Microsoft 365 Copilot的零點擊AI漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.aim.security/lp/aim-labs-echoleak-blogpost" target="_blank">以色列資安業者Aim Security旗下的Aim Labs周三（6/11）揭露</a>一個位於Microsoft 365 (M365) Copilot的資安漏洞，允許駭客在無需使用者互動的情況下，竊取M365 Copilot脈絡中的機密資訊。這是第一個針對AI代理人的零點擊攻擊鏈，不僅威脅Copilot的資料安全，可能也會影響其它基於檢索增強生成（Retrieval‑Augmented Generation，RAG）的聊天機器人與AI代理人。</p> <p>此一被Aim Labs命名為EchoLeak的資安漏洞已取得CVE‑2025‑32711漏洞編號，其CVSS風險評分高達9.3。</p> <p>EchoLeak主要涉及大型語言模型範圍違規（LLM Scope Violation）問題，同時利用了RAG Copilot的設計缺陷，以讓駭客可在不需仰賴使用者的行動下，自動汲取來自M365 Copilot的任何資料。</p> <p>這是因為基於RAG的聊天機器人，可以擷取與使用者查詢相關的內容，以提升回應品質，例如M365 Copilot會查詢Microsoft Graph，並從使用者的組織環境中檢索任何機關資訊，包括電子郵件信箱、OneDrive儲存空間、M365 Office檔案、內部SharePoint網站，以及Microsoft Teams的聊天歷史紀錄等。</p> <p>依據Aim Labs所公布的攻擊鏈，駭客可以先寄一封看似無害、但可利用LLM內容違規漏洞的電子郵件至企業員工的信箱，例如與產業動態有關的文章；接著在使用者要求Copilot摘錄與分析公司的財報時，系統便會將機密資訊及攻擊資訊混合到Copilot脈絡中；然後Copilot便會將機密資訊外洩給駭客。</p> <p>在該攻擊鏈中，駭客採用輕量級的Markdown標記語言來隱藏實際意圖，以繞過微軟替Copilot設計的敏感資訊保護系統XPIA Classifiers，外部連結過濾系統External Link Redaction，以及內容安全政策（CSP）。</p> <p>研究人員表示，此一攻擊鏈可能竊取M365 Copilot脈絡中的任何資料，包括聊天歷史紀錄，M365 Copilot自Microsoft Graph所獲取的資源，以及預先載入對話脈絡中的任何資料，像是使用者或組織名稱等。</p> <p>此外，這是生成式AI產品所發現的首個零點擊漏洞，它仰賴的是AI漏洞，而非特定的使用者行為，也繞過了多項先進的防護措施，證明要保障AI並使其正常運作，可能需要新型態的保護措施。</p> <p>值得注意的是，LLM範圍違規是AI應用獨有的威脅，只要應用程式核心仰賴LLM，而且接受不可靠的輸入，便可能受到類似的攻擊。</p> <p><a href="https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2025-32711" target="_blank">微軟也在同一天揭露了該漏洞</a>，僅簡單敘述未經授權的駭客可藉由M365 Copilot的AI指令注入漏洞，透過網路竊取資訊，並說微軟已修補了該漏洞，用戶無需採取任何行動。</p> </div></div></div>
2025/6/12 14:35作者陳曉莉https://www.ithome.com.tw/news/169500
網路儲存設備Dell PowerScale存在重大漏洞，未經授權攻擊者可存取檔案系統
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>5月底Dell發布資安公告，指出旗下的網路儲存設備作業系統PowerScale OneFS<a href="https://www.dell.com/support/kbdoc/en-us/000326339/dsa-2025-208-security-update-for-dell-powerscale-onefs-for-multiple-security-vulnerabilities">存在5項資安漏洞</a>，一旦攻擊者成功利用，就能入侵存在漏洞的環境。Dell發布9.10.1.2、9.7.1.8、9.5.1.3版PowerScale OneFS予以修補。</p> <p>PowerScale OneFS是整合分散式檔案系統的作業系統，專為Dell EMC的PowerScale儲存平臺打造，能支援大規模網路儲存系統（NAS）的叢集架構。此作業系統的特色包含：採用單一檔案系統與單一命名空間，以軟體層整合檔案系統、磁碟區管理、資料保護機制，並提供PB級的橫向擴充能力。此外，該作業系統還能根據資料使用頻率自動調整儲存位置，提升整體系統的運作效能。</p> <p>根據CVSS風險評分，這次修補的漏洞當中最嚴重的是CVE-2024-53298，此為網路檔案系統（NFS）匯出功能缺乏授權弱點，未經授權的攻擊者只要遠端存取PowerScale OneFS，就有機會利用，從而導致未經授權的檔案系統存取，使得攻擊者能隨意讀取、竄改、刪除任何檔案。Dell強調攻擊者若是成功利用漏洞，能完整控制PowerScale OneFS，CVSS風險值為9.8。</p> <p>若是管理員無法即時套用PowerScale OneFS更新，Dell也提供緩解措施，使用特定命令與NFS匯出重新載入每個區域的組態。</p> <p>至於其他漏洞，CVE-2025-32753為中度風險的SQL注入漏洞，其餘漏洞出現在該作業系統採用的第三方元件：其中，CVE-2024-53580影響FreeBSD；CVE-2024-39689、CVE-2024-51538存在於SupportAssist模組。</p> </div></div></div>
2025/6/12 11:40作者周峻佑https://www.ithome.com.tw/news/169496
Apache Tomcat遭到大規模攻擊，400個IP位址對其暴力破解、登入嘗試
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>網頁應用程式伺服器Apache Tomcat受到許多企業與雲端平臺採用，尤其適合小型應用及微服務架構，原因在於該此系統開源且占用資源少，廣泛支援Java網頁應用的特性。由於受到廣泛採用，也有攻擊者盯上這類伺服器的現象。</p> <p>最近威脅情報業者GreyNoise揭露專門針對這種應用程式伺服器的大規模嘗試入侵活動，他們<a href="https://www.greynoise.io/blog/coordinated-brute-force-activity-targeting-apache-tomcat-manager">在6月5日</a>發現約有400個IP位址被用於暴力破解或嘗試登入Tomcat的管理介面。這些IP位址主要來自主機代管業者DigitalOcean的基礎設施，其中有298個IP位址用於嘗試登入，250個IP位址用於暴力破解攻擊。從GreyNoise公布的IP位址數量來看，顯然有部分的IP位址同時用兩種類型的活動。</p> <p>值得留意的是，雖然攻擊者並未鎖定Tomcat的弱點下手，但這波活動突顯他們對這種應用程式伺服器的高度興趣。由於這類活動往往是後續攻擊行動的前兆，攻擊者很可能會搭配其他資安弱點（例如今年3月公布的<a href="https://www.ithome.com.tw/news/167913">CVE-2025-24813</a>）來進行，因此IT人員應儘速採取相關防禦措施因應，例如：限縮存取Tomcat管理介面的來源、採用多因素驗證，以及監控是否有異常的登入事件記錄等。</p> </div></div></div>
2025/6/12 12:10作者周峻佑https://www.ithome.com.tw/news/169498
Safari 26原生支援WebGPU推進瀏覽器3D與AI算繪效能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Apple於WWDC 2025<a href="https://webkit.org/blog/16993/news-from-wwdc25-web-technology-coming-this-fall-in-safari-26-beta/#webgpu">宣布</a>，Safari 26將於macOS、iOS、iPadOS及visionOS版本預設啟用WebGPU。這項更新讓瀏覽器具備直接呼叫圖形處理單元（GPU）的能力，有助於提升3D圖形與前端運算效能，未來預期將對網頁應用開發及效能表現產生影響。</p> <p>WebGPU屬於新一代跨平臺網頁圖形標準，能以更貼近底層硬體的方式執行運算與圖形著色器，現已陸續在Chrome、Edge等主要瀏覽器桌面版本支援，但各平臺細節與預設開啟情形仍有所不同。</p> <p>WebGPU相較於WebGL，能繞過OpenGL ES等轉譯層，直接呼叫Metal等系統級繪圖API，有助於減少處理延遲與記憶體資源複製負擔。實際應用場景如即時光影、粒子模擬、物理運算等高負載網頁3D功能，預期可藉此獲得較佳互動體驗。主流前端函式庫如Three.js、Babylon.js，以及Unity等實驗性WebGPU方案已釋出，開發者可根據專案需求調整轉譯後端，評估是否啟用WebGPU功能。</p> <p>WebGPU也支援前端進行矩陣運算、影像處理等非圖形運算工作，更多運算任務可於本地端執行，降低對雲端資源的依賴，有助於減少延遲並強化使用者隱私。開發團隊提到，WebGPU由於能夠存取較底層的硬體資源，因此他們在設計時也特別重視安全性，避免產生新的攻擊途徑。此外，官方也透過調整驗證機制，在確保安全性的同時，減少執行負擔，讓效能更接近原生應用程式。</p> <p>在行動裝置方面，WebGPU與硬體能源管理與排程技術協同運作，根據設備運算能力與狀態調整算繪負載，協助提升iPhone、iPad或Apple Vision裝置的3D模型、動畫或運算內容表現，以兼顧裝置效能與續航。</p> <p>現在Safari 26預設啟用WebGPU，代表著該技術已進入主流瀏覽器發展階段，主要桌面瀏覽器皆具備WebGPU核心支援，不過支援範圍及成熟度仍因平臺有所差異。開發者可透過Safari Technology Preview測試WebGPU功能，並依專案需求評估相關開發指引，以發揮GPU運算潛力。</p> </div></div></div>
2025/6/12 11:52作者李建興https://www.ithome.com.tw/news/169492
Patch Tuesday不相容部分Windows 11 24H2 PC，微軟撤回再送
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟本周釋出<a href="https://www.ithome.com.tw/news/169471" target="_blank">6月份Patch Tuesday安全更新</a>，卻有部分搭載Windows 11 24H2的PC因相容問題無法安裝，迫使微軟必須撤回再發送一次。</p> <p><a href="https://x.com/WindowsUpdate/status/1932521946509611190" target="_blank">微軟說明</a>，2025年6月安全更新以漸次方式部署到24H2（KB5060842）過程中，發現在部分執行24H2的裝置上有不相容問題，已經暫停對這些裝置部署更新，並改以例外（out-of-band，OOB）更新（KB5063060）方式安裝。</p> <p><a href="https://learn.microsoft.com/en-us/windows/release-health/windows-message-center#3570" target="_blank">根據周三微軟更新的相關網頁</a>，微軟已經於昨日發送了KB5063060更新版。</p> <p>本月的Patch Tuesday修補66項漏洞，包括一個已遭濫用的WebDAV遠端程式碼執行（RCE）漏洞CVE-2025-33053，以及一個已公開的Windows SMB提權攻擊漏洞CVE-2025-33073。</p> <p>這也是最新Patch Tuesday引發的用戶端問題。微軟上個月發布5月安全更新時，也在部分搭載Windows 11 22H2 及23H2 PC上安裝失敗，並出現和ACPI.sys有關的回復錯誤訊息(0xc0000098) ，主要影響Azure Virtual Machines、Azure Virtual Desktop和代管在Citrix、Hyper-V的本地部署VM。</p> </div></div></div>
2025/6/12 10:57作者林妍溱https://www.ithome.com.tw/news/169494
OpenAI開源權重的模型要延到夏天
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI推出開源權重模型的承諾，基於一些技術問題要延後到夏天了。</p> <p>有鑒於DeepSeek帶動的開源AI模型風潮，也讓封閉模型業者如OpenAI開始思考靠攏開放路線。<a href="https://www.wired.com/story/openai-sam-altman-announce-open-source-model/" target="_blank">OpenAI執行長Sam Altman 3月底宣布</a>，公司正在推進開源權重模型的專案，預計未來幾個月內開源一款具推理能力的模型之權重。初步預定為6月。</p> <p><a href="https://x.com/sama/status/1932573231199707168" target="_blank">周二Altman在X公告</a>，這個專案要再多花一點時間，預計要到今年夏天。他說研究團隊開發了「預期之外很讚」的東西，非常值得等待，只是要再等等。</p> <p>OpenAI面臨AI新創公司的激烈競爭，可能促使該公司加緊推進研發及業務發展。法國新創公司<a href="https://www.ithome.com.tw/news/169475" target="_blank">Mistral AI本周公布了第一款推理模型Magistral</a>，<a href="https://www.reuters.com/world/china/chinas-deepseek-releases-an-update-its-r1-reasoning-model-2025-05-29/" target="_blank">DeepSeek 也在上個月推出R1更新版</a>。</p> <p>另一方面OpenAI也藉由收購擴大產品能力，包括<a href="https://www.ithome.com.tw/news/169088" target="_blank">買下前Apple首席設計師Jony Ive的AI裝置新創公司io</a>，以及傳言以30億美元買下程式AI輔助撰寫平臺Windsurf。</p> </div></div></div>
2025/6/12 11:16作者林妍溱https://www.ithome.com.tw/news/169495
HPE修補備份平臺StoreOnce重大層級的身分驗證繞過漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了讓受害組織增加恢復資料的難度，勒索軟體駭客往往會針對備份系統下手，清除企業組織備份的內容，一旦這類系統出現資安弱點，就很有可能被駭客拿來利用。因此，IT人員也要特別留意相關的資安弱點資訊。</p> <p>HPE針對儲存備份系統StoreOnce<a href="https://support.hpe.com/hpesc/public/docDisplay?docId=hpesbst04847en_us&docLocale=en_US">發布資安公告</a>，修補8項由趨勢科技旗下漏洞懸賞專案Zero Day Initiative（ZDI）通報的弱點，這些漏洞可被用於繞過身分驗證、遠端程式碼執行（RCE）、伺服器請求偽造（SSRF）、路徑穿越、任意檔案刪除，以及資訊洩露，影響HPE StoreOnce G4/4+，該公司發布4.3.11版予以修補。</p> <p>StoreOnce是高效能備份暨資料保護解決方案，可靈活透過實體設備、虛擬設備，以及雲端環境進行部署，也能整合Cloud Bank Storage以混合雲型態建置。其特點是能透過刪除重複資料來大幅降低資源需求，並內建可防堵勒索軟體攻擊的威脅防護機制，支援應用程式感知備份。</p> <p>根據CVSS風險評分，這批漏洞最危險的是身分驗證繞過漏洞CVE-2025-37093，風險值高達9.8分（滿分10分）。在HPE的資安公告裡，並未對這些漏洞說明其他細節，而ZDI<a href="https://www.zerodayinitiative.com/advisories/ZDI-25-316/">在公告提及</a>，這項弱點存在於StoreOnce的虛擬儲存設備Virtual Storage Appliance（VSA）版本，攻擊者能遠端利用，並在無需事先通過身分驗證的情況下觸發。</p> <p>此漏洞發生在名為machineAccountCheck的方法，起因是其中一項身分驗證的演算法實作不當。ZDI於去年10月通報HPE，並在雙方協調之下於今年6月正式發布相關公告。</p> <p>雖然目前這項漏洞尚未傳出遭到利用的情況，也尚無概念驗證程式碼（PoC），但<a href="https://arcticwolf.com/resources/blog/cve-2025-37093/">資安業者Arctic Wolf提出警告</a>，攻擊者很有可能串連其他危險係數較低的漏洞，從而達到遠端執行程式碼、洩露資訊，或是路徑穿越等目的。由於備份系統近年來不斷成為攻擊目標，他們認為駭客可能不久就會試圖利用這項漏洞。</p> <p>除了重大層級的CVE-2025-37093，占據本次發布漏洞總數一半的RCE漏洞，也相當值得留意，這些都是高風險漏洞，風險值皆為7.2分，這些漏洞被登記為CVE-2025-37089、CVE-2025-37091、CVE-2025-37092、CVE-2025-37096列管。</p> </div></div></div>
2025/6/11 22:44作者周峻佑https://www.ithome.com.tw/news/169491
Android 16正式發布先提供Pixel手機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/android/android-16/" target="_blank">Google宣布Android 16正式發布</a>，已優先推向Pixel手機用戶，提供全新設計語言、新通知介面、Log紀錄，以及支援平板分割螢幕等功能。</p> <p>Android 16也是近幾年來公布最早的重大更新。而除了Pixel手機用戶，接下來也會逐步推向三星、小米、OnePlus、Motorola及其他Android手機。</p> <p>Android 16介面採用最新的Material 3 Expressive設計語言。Android 16也提供了多項新功能及功能更新。首先是即時通知（Live Updates），可即時顯示相容第三方服務的更新狀態，不必每5分鐘點開App查看一次。第一批相容服務是叫車類及餐點外送。Google並說，會逐步將這功能推向其他Android手機業者開發的通知，如三星的Now、OPPO和OnePlus的Live Alerts。此外Android 16也會將單一App的通知自動集結起來以減少資訊量過載。</p> <p>其次為輔助（accessibility）功能。Android 16將可改善助聽器使用經驗；現有使用藍牙LE Audio的助聽器，是以內建前向式麥克風來收聽來自前方的聲音，但無法收聽使用者本身的聲音。現在在嘈雜環境中，用戶可以用Android 16手機的麥克風取代助聽器。Android 16加入原生的助聽器控制功能，允許在手機上控制助聽器音量。</p> <p>Android 16現在加入進階防護（Advanced Protection）功能，號稱是Google最強行動裝置安全功能，可協助防護線上攻擊、有害App、惡意網站、詐騙電話等。<a href="https://security.googleblog.com/2025/05/advanced-protection-mobile-devices.html" target="_blank">根據Google網頁</a>，進階防護功能可運用於Chrome、Google Message、Phone by Google等，Google也計畫未來整合第三方App。</p> <p>Google也推出Android裝置專用，號稱業界第一個入侵紀錄（Intrusion Logging）。它將裝置log加密防護保存，只有用戶可以存取，這可在裝置遭駭時，提供鑑識分析。</p> <p>Android 16另外新增平板專用的電腦分割視窗（desktop windowing）。這是Google和三星合作，以三星DeX為基礎開發，可在單一Android平板上開啟多個應用程式視窗並調整大小，一如在桌機上，</p> <p>本項功能也會在今年推向其他相容裝置。此外Google預告今年內還會推出自訂鍵盤快速鍵，以及工作列溢位管理（taskbar overflow），後者方面工作列開滿時快速找到想要的App。此外，<a href="https://android-developers.googleblog.com/2025/06/developer-preview-enhanced-android-desktop-experiences-connected-displays.html" target="_blank">Google也正在公測</a>連結Android手機/平板和外接顯示器的功能。</p> <p>Google預告今年內還會為Android 16及Wear OS 6，加入更多Material 3 Expressive設計更新。</p> <p>除了Android 16，<a href="https://blog.google/intl/zh-tw/products/devices-services/pixel-drop-june-2025/" target="_blank">Google同時也釋出</a>Pixel手機功能更新（Pixel Drop），包括放大鏡支援搜尋、Pixel VIP聯絡人小工具等、新增的照片編輯能力、以及能消除背景噪音的錄音工具等。</p> </div></div></div>
2025/6/12 10:16作者林妍溱https://www.ithome.com.tw/news/169493
竊資軟體AMOS冒充美國電信業者，針對macOS用戶展開ClickFix網釣攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安公司CloudSEK<a href="https://www.cloudsek.com/blog/amos-variant-distributed-via-clickfix-in-spectrum-themed-dynamic-delivery-campaign-by-russian-speaking-hackers">揭露</a>一波針對macOS用戶的攻擊事件，駭客集團假冒美國電信業者Spectrum註冊相關網域，結合ClickFix網釣流程，散布新版Atomic macOS Stealer（AMOS）惡意程式。攻擊行動自5月下旬開始活躍，駭客設置與Spectrum相關的釣魚網站，誘使受害者下載並執行AMOS惡意程式，進而竊取憑證、瀏覽器快取、加密貨幣錢包及其他敏感資料。</p> <p>研究人員指出，駭客註冊多個與Spectrum高度相似的假冒網域，誘導用戶進入釣魚網站。網站會引導用戶進行驗證操作，畫面設計模仿常見驗證介面，誘使點擊替代驗證按鈕，實則將攻擊腳本複製到剪貼簿，並要求用戶在終端機執行。</p> <p>駭客會根據用戶作業系統，自動切換不同的攻擊腳本，本次攻擊主力鎖定macOS用戶，攻擊流程會透過bash指令下載惡意殼層腳本，該腳本會反覆提示用戶輸入系統密碼，並以macOS本地驗證指令確認密碼正確性。在取得有效密碼後，腳本將憑證儲存至暫存目錄，隨後自遠端伺服器下載惡意執行檔，利用sudo權限清除安全隔離標記，並將其設為可執行檔後執行。</p> <p>研究人員提到，攻擊者在6月初設立偽造的Homebrew軟體庫，利用廣告釣魚誘導以Homebrew為開發工具的開發者誤入假網域，下載並執行惡意安裝腳本，造成AMOS變種程式植入系統。該假冒軟體庫會切換指向真正Homebrew安裝頁面，或攻擊者控制的伺服器，提升釣魚網站的真實性並增加追蹤困難度。</p> <p>假冒網站原始碼存在俄語註解，且其命令與控制伺服器資訊與過往俄語地區駭客團體所用特徵相符，研究人員認為本次行動疑似由俄語地區駭客發動。部分攻擊網頁前端存在邏輯錯誤，例如針對不同作業系統顯示不一致的指令提示，或向macOS用戶顯示Windows快捷鍵操作，凸顯出攻擊基礎架構組裝較為倉促，但其社交工程誘騙與針對性設定仍有高安全風險。</p> </div></div></div>
2025/6/11 18:46作者李建興https://www.ithome.com.tw/news/169490
【資安日報】6月11日，微軟修補已遭利用的WebDAV零時差漏洞，若不處理攻擊者可遠端執行任意程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週二有許多軟體業者發布6月份資安更新，其中微軟發布的內容尤其值得留意，因為其中包含了已被用於攻擊行動的資安漏洞。再者，SAP發布的公告也引起關注，原因是他們再度為NetWeaver修補重大漏洞。此外，本週有兩組研究人員公布Salesforce弱點的消息，也值得用戶留意。</p> <p>而在資安事故的消息上，零售業者遭到攻擊的事故，從時尚精品和運動服飾品牌轉向了保健食品業者；而在國內的部分，光電封測大廠聯鈞光電透露，5月下旬他們二度遭到攻擊。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169469"><strong style="font-size: 22px;">健康食品批發龍頭United Natural Foods遭網路攻擊，出貨受影響</strong></a></p> <p>北美最大健康食品批發通路商United Natural Foods Inc（UNFI）本月初遭到網路攻擊，迫使暫時關閉系統，已影響出貨及業務運作。</p> <p>UNFI在提交美國證管會的報告指出，該公司今年6月5日在部分IT系統發現未授權活動，立即採取應變，關閉部分和客戶訂單交付相關的系統。</p> <p>UNFI表示，此事件已經對公司營運有短期影響，預估情形還會持續。UNFI目前已援引外部網路安全專家的協助，進行評估與緩解、修復事件影響，也已通報執法機關。該公司正努力回復系統，而因應事件，UNFI也實作替代方案，以便交付訂單。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=122607&SPOKE_DATE=20250609&COMPANY_ID=3450"><strong style="font-size: 22px;">針對駭客兜售內部資料的情況，聯鈞光電發布資安重訊說明，指出在著手強化防禦過程再度遭到攻擊</strong></a></p> <p>6月9日矽光子及光電封測大廠聯鈞光電發布資安重訊，針對有媒體報導駭客於地下論壇公然兜售竊得資料的情況進行說明，他們提及1月19日<a href="https://www.ithome.com.tw/news/167064">遭受勒索軟體攻擊</a>後，就尋求外部資安業者協助，強化網路與資安架構，但在尚於著手改善的過程裡，又於5月16日面臨另一勒索軟體入侵的情況。針對這起事故可能造成的影響，聯鈞表示根據他們的評估，對公司營運無重大影響，但他們提及有疑似資料外洩的情況，將進行深入調查。</p> <p>究竟聯鈞提及的報導為何？我們推測很有可能是民視新聞網<a href="https://www.ftvnews.com.tw/news/detail/2025607W0132">於6月7日的報導</a>，當中提及於今年1月駭客組織Akira對聯鈞光電發動攻擊，他們當時在駭客論壇兜售90 GB資料，號稱內含大量保密協議（NDA）、公司機密授權文件，開價1千美元。</p> <p>另一組聲稱攻擊聯鈞的勒索軟體駭客組織是Crypto，這批歹徒於5月28日表示手上握有700 GB聯鈞內部資料。但聯鈞遭遇的資安事故是否就是這些勒索軟體駭客所為，該公司並未說明。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/fin6-hackers-pose-as-job-seekers-to-backdoor-recruiters-devices/">駭客組織FIN6假借求職名義從事社交工程攻擊，意圖散布惡意軟體More_eggs</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://FBI: BADBOX 2.0 Android malware infects millions of consumer devices">針對綁架全球逾百萬臺連網裝置的殭屍網路BadBox 2.0，FBI警告用戶要加強防範，以免裝置被綁架用於網路犯罪</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169471"><strong style="font-size: 22px;">微軟發布6月例行更新，修補已被實際利用的WebDAV零時差漏洞</strong></a></p> <p>6月10日微軟發布本月例行更新（Patch Tuesday），修補67個漏洞，數量較上個月78個有所減少。從漏洞的類型來看，遠端程式碼執行（RCE）漏洞25個最多，約占整體四成；其次是資訊洩露漏洞、權限提升漏洞，分別有17個、15個；其餘有6個是阻斷服務（DoS）漏洞、2個安全功能繞過漏洞，以及2個可被用於欺騙的漏洞。從危險的程度而言，其中有10個是重大層級，8個是遠端程式碼執行漏洞、2個是權限提升漏洞。</p> <p>值得留意的是，這次有兩個零時差漏洞，其中一個已被用於實際攻擊活動，另一個在修補前就被公開。這些漏洞分別是：WebDAV遠端程式碼執行漏洞CVE-2025-33053，以及SMB用戶端權限提升漏洞CVE-2025-33073。</p> <p>其中，CVE-2025-33053是資安業者Check Point發現及通報，對於漏洞發現的過程，Check Point表示，他們於今年3月看到被稱為Stealth Falcon（FruityArmor）的APT駭客，用於攻擊一家土耳其國防公司。</p> <p><a href="https://www.ithome.com.tw/news/169478"><strong style="font-size: 22px;">兩組研究人員公布Salesforce零時差漏洞，涉及SOQL物件查詢注入攻擊、低程式碼平臺組態配置不當</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/salesforce-emails.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/salesforce-emails.png" style="width: 300px; float: right;" /></a>為了進一步挖掘受害企業的機敏資訊，駭客可能會鎖定客戶關係管理系統（CRM）平臺Salesforce下手，竊取其中的內容，一旦這類系統出現資安漏洞，就有可能成為駭客利用的標的。</p> <p>最近有兩組研究人員揭露與Salesforce有關的漏洞，其中又以資安研究員Tobia Righi公布的零時差漏洞引起關注，這項弱點發生在Salesforce預設的控制器，此控制器將contentDocumentId參數直接嵌入動態的Salesforce Object Query Language（SOQL）查詢，卻未經過適當處理，導致可被惡意操控。Tobia Righi先後於2月下旬及4月初向Salesforce通報此事，直到最近似乎Salesforce默默地完成修補，Tobia Righi才公布漏洞細節。研究人員指出，Salesforce並未發布資安公告提及此事，也沒有登記CVE編號。</p> <p>另一組漏洞的揭露，來自SaaS應用程式資安業者AppOmni，他們在Salesforce為特定產業提供的雲端解決方案Industry Clouds當中，找到21項與組態配置有關的弱點，有可能導致未經授權的攻擊者存取加密表單、竊取連線階段（Session）、帳密資料，甚至是掌握商業運作邏輯。AppOmni向Salesforce通報並進行合作，結果有5個登記了CVE編號列管，其中有3項完成修補、2項Salesforce發布組態配置指引，而對於未登記編號的16項組態弱點，Salesforce認為並非是軟體錯誤，應由客戶負責處理。</p> <p><a href="https://www.ithome.com.tw/news/169474"><strong style="font-size: 22px;">SAP修補NetWeaver重大層級漏洞</strong></a></p> <p>本週二（6月10日）SAP發布6月份Security Patch Day每月例行更新，總共發布14則公告，其中最受到關注的部分，是應用程式伺服器NetWeaver的重大漏洞CVE-2025-42989，由於SAP從4月底至5月上旬，先後修補已被用於攻擊行動的NetWeaver資安漏洞CVE-2025-31324、CVE-2025-42999（CVSS風險值為10分、9.1分），由於上述事故的發生，使得與這套應用程式伺服器相關的嚴重漏洞，近期特別受到關注。</p> <p>CVE-2025-42989存在於NetWeaver Application Server for ABAP，為缺乏授權檢查的漏洞，影響核心為7.89、7.93、9.14、9.15版的應用程式伺服器系統，CVSS風險評為9.6分。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/06/adobe-releases-patch-fixing-254.html">Adobe發布6月例行更新，修補254個漏洞創下今年新高</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://kb.cert.org/vuls/id/211341">Insyde H2O UEFI韌體存在資安弱點，攻擊者可用於憑證注入攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/ivanti-workspace-control-hardcoded-key-flaws-expose-sql-credentials/">Ivanti Workspace Control存在寫死金鑰弱點，搭配的SQL資料庫恐曝險</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169470"><strong style="font-size: 22px;">F5買下代理程式型態AI的資安新創Fletch</strong></a></p> <p>資安大廠F5本月初宣布收購以代理人AI為核心的新創業者Fletch，期望降低資安管理的複雜性。</p> <p>對於併購案金額，雙方並未透露相關資訊。F5今年初整合負載平衡、流量管理及應用與API安全能力成為應用遞送與安全平臺（Application Delivery and Security Platform，ADSP），旨在以平臺簡化眾多企業應用的管理複雜性，在買下Fletch後，Fletch技術將整合進F5的ADSP架構，推進其產品藍圖。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169459"><strong>【6月10日】中國駭客鎖定資安業者SentinelOne及超過70個企業組織從事大規模攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169436"><strong>【6月9日】中國驚傳大規模資料外洩，40億筆民眾個資在網際網路短暫裸奔</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169399"><strong>【6月6日】鎖定求職者的網釣不再只針對IT人員，出現向企業財務高層以挖角為誘餌的網路攻擊</strong></a></p> </div></div></div>
2025/6/11 17:19作者周峻佑https://www.ithome.com.tw/news/169486
兩組研究人員公布Salesforce零時差漏洞，涉及SOQL物件查詢注入攻擊、低程式碼平臺組態配置不當
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了進一步挖掘受害企業的機敏資訊，駭客可能會鎖定客戶關係管理系統（CRM）平臺<a href="https://www.ithome.com.tw/tags/salesforce">Salesforce</a>下手，竊取其中的內容，最近一起針對該平臺而來的資安事故，是<a href="https://www.ithome.com.tw/news/169228">駭客組織Gehenna（GHNA）從可口可樂裝瓶合作夥伴Coca-Cola Europacific Partners（CCEP）竊得內部資料</a>。一旦這類系統出現資安漏洞，就有可能成為駭客利用的標的。</p> <p>最近有兩組研究人員揭露與Salesforce有關的漏洞，其中又以<a href="https://mastersplinter.work/research/salesforce-sqli/">資安研究員Tobia Righi公布的零時差漏洞</a>引起關注，這項弱點發生在Salesforce預設的控制器，此控制器將contentDocumentId參數直接嵌入動態的Salesforce Object Query Language（SOQL）查詢，卻未經過適當處理，導致可被惡意操控。Tobia Righi先後於2月下旬及4月初向Salesforce通報此事，直到最近似乎Salesforce默默地完成修補，Tobia Righi才公布漏洞細節。研究人員指出，Salesforce並未發布資安公告提及此事，也沒有登記CVE編號，當他詢問能否參與漏洞懸賞專案，Salesforce竟回覆：該專案不再受理漏洞通報。</p> <p>這項資安漏洞的發現，源自於Tobia Righi對於Salesforce提供的Aura框架進行模糊測試（Fuzzing），察覺其中一項內建的控制器存在SOQL注入弱點，並指出攻擊者若是能繞過SOQL的管制，就有可能取得敏感的用戶資料，以及上傳檔案的詳細資訊。這種問題影響將相當廣泛，成千上萬的Salesforce平臺都可能曝險。研究人員最終透過特製的輸入觸發錯誤訊息，成功找出能用於SOQL注入的資安弱點。</p> <p>另一組漏洞的揭露，來自SaaS應用程式資安業者AppOmni，他們在Salesforce為特定產業提供的雲端解決方案Industry Clouds當中，<a href="https://appomni.com/blog/low-code-high-stakes-salesforce-security/">找到21項與組態配置有關的弱點</a>，有可能導致未經授權的攻擊者存取加密表單、竊取連線階段（Session）、帳密資料，甚至是掌握商業運作邏輯。AppOmni向Salesforce通報並進行合作，結果有5個登記了CVE編號列管，其中有3項完成修補、2項Salesforce發布組態配置指引，而對於未登記編號的16項組態弱點，Salesforce認為並非是軟體錯誤，應由客戶負責處理。</p> <p>Industry Clouds是Salesforce以Customer 360平臺為基礎建構的垂直整合解決方案，結合CRM與產業專屬功能，讓企業能以低程式碼（Low-code）方式快速部署符合業務需求的應用程式。由於Industry Clouds廣泛用於金融、醫療保健、製造、電信、公共服務等領域，因此這些配置不當的弱點，影響範圍可能會相當廣泛。</p> <p>針對這次AppOmni找到的弱點，研究人員指出存在於FlexCards、Data Mappers、Integration Procedures、Data Packs、OmniOut，以及OmniScript Saved Sessions功能。其中被登記CVE編號的弱點，有4項出現於FlexCards，1項與Data Mappers有關，CVSS風險介於5.3至7.5分。</p> </div></div></div>
2025/6/11 16:19作者周峻佑https://www.ithome.com.tw/news/169478
Apple整合開發環境Xcode 26導入AI助理，增強自動化開發與多平臺支援
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Apple於WWDC 2025<a href="https://developer.apple.com/videos/play/wwdc2025/247/?time=110">發表</a>Xcode 26，該版本將人工智慧助理整合進開發環境，正式支援ChatGPT並開放API連接第三方語言模型，提升程式碼自動生成、錯誤修正、文件產生及專案導覽等工作效率。這項更新有助於提升開發人員的生產力，並改變團隊協作與專案維護的模式。</p> <p>根據Apple官方說明，Xcode 26的<a href="https://developer.apple.com/documentation/Xcode/writing-code-with-intelligence-in-xcode">智慧程式開發（Coding Intelligence）</a>功能可讓開發者在側邊欄啟用人工智慧助理，透過自然語言與人工智慧互動，請求程式碼範例、解釋專案架構、產生或修改特定函式，並協助除錯與自動產生文件。開發者可選用預設的ChatGPT模型，或自訂加入如Anthropic、Ollama等本地或雲端模型，並透過API金鑰彈性切換與管理模型來源。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0611-Apple-Xcode%2026-Coding%20Intelligence.png" style="width: 600px;" /></p> <p>在實際應用上，人工智慧助理可依據專案內容給予建議與修改，支援多輪對話及上下文理解。每次人工智慧互動均自動保存對話紀錄及程式碼變更歷程，開發者可隨時回顧、還原或比對各階段程式狀態，降低人為疏失，方便團隊追蹤問題。針對安全性及專案管理需求，Xcode提供手動審核或自動套用變更的選項，使用者可依專案政策調整設定。</p> <p>新版Xcode提升專案導覽、符號查詢與即時測試體驗。透過按住Control鍵再用滑鼠點擊，或工具列可呼叫出人工智慧助理，針對指定函式、類別或檔案說明架構，或提供最佳化建議。針對SwiftUI或複雜UI開發需求，人工智慧可自動生成Playground巨集或UI預覽程式碼，供開發者驗證介面與互動邏輯。遇到編譯錯誤或警告時，使用者可直接請人工智慧生成修正建議並決定是否套用於專案，提升錯誤修正效率與一致性。</p> <p>文件生成也是智慧助理的功能更新。開發者僅需選取特定符號（Symbol），即可自動產生符合DocC規範的API說明文件，涵蓋類別、屬性與方法，減輕團隊文件維護負擔，提升專案可讀性與維護品質。Xcode 26還加強安全性與多平臺開發支援，提供更完整的開發工具整合方案。</p> </div></div></div>
2025/6/11 13:39作者李建興https://www.ithome.com.tw/news/169473
IBM將於2029年交付史上首個可容錯的大型量子電腦Quantum Starling
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://newsroom.ibm.com/2025-06-10-IBM-Sets-the-Course-to-Build-Worlds-First-Large-Scale,-Fault-Tolerant-Quantum-Computer-at-New-IBM-Quantum-Data-Center" target="_blank">IBM周二（6/10）公布其量子電腦發展藍圖</a>，指出計畫在2029年時，於紐約Poughkeepsie的新IBM Quantum資料中心，交付一臺名為Quantum Starling的大型容錯量子電腦。該系統將可透過200個邏輯量子位元（Logical Qubit）執行1億個量子邏輯閘（Quantum Gate），運算能力預期可達到目前量子電腦的2萬倍。</p> <p>IBM解釋，1個邏輯量子位元是由多個物理量子位元（Qubit）組成，它具備錯誤修正能力，能夠穩定儲存與運算量子資訊；實現大型量子電腦的關鍵，在於使用最少的物理量子位元，來打造出更多低錯誤率的邏輯量子位元，如今IBM率先提出一個可行的藍圖，能以合理的工程資源建置容錯量子電腦。</p> <p>Quantum Starling不僅運算能力是現代量子電腦的2萬倍，若要完整表示Quantum Starling量子電腦的計算狀態，將需要超過10^48臺全球最強大超級電腦的記憶體容量。</p> <p>建置Quantum Starling還有許多技術需要克服，IBM執行長Arvind Krishna表示，該公司在數學、物理與工程上的專業知識正在為大型的容錯量子電腦舖路。一個具備數百或數千個邏輯量子位元的電腦可執行數億至數十億次的操作，可望提升藥品開發、材料發現或化學等領域的速度及成本效率。</p> <p>根據IBM所展示的Quantum Starling開發藍圖，該公司將於2025年推出Quantum Loon晶片，藉由C-coupler技術來連結晶片內距離較遠的量子位元；於2026年發表能夠結合量子記憶體及邏輯運算的IBM Quantum Kookaburra量子處理器模組；2027年發表IBM Quantum Cockatoo，展示多模組連接與跨模組操作；在2028年進行Quantum Starling的概念性驗證。</p> <p><a href="https://www.technologyreview.com/2025/06/10/1118297/ibm-large-scale-error-corrected-quantum-computer-by-2028/" target="_blank">IBM量子計畫副總裁 Jay Gambetta向MIT Technology Review說明</a>，Starling將由一個模組網路組成，每個模組都包含一組晶片，IBM已開始建構該空間。此外，Gambetta也強調，IBM已經破解了量子糾錯的密碼，擁有於大型電腦上建置糾錯功能的所有組件，已自科學轉向工程階段。</p> <p>如同AI，量子電腦也吸引所有大型科技業者及新創業者的投入，像是<a href="https://www.ithome.com.tw/news/164961" target="_blank">微軟</a>、<a href="https://www.ithome.com.tw/news/166434" target="_blank">Google</a>或是<a href="https://www.ithome.com.tw/news/167637" target="_blank">Amazon</a>，新創則有D-Wave、Quantinuum與IonQ等。</p> </div></div></div>
2025/6/11 13:51作者陳曉莉https://www.ithome.com.tw/news/169476
微軟發布6月例行更新，修補已被實際利用的零時差漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>6月10日微軟發布<a href="https://msrc.microsoft.com/update-guide/releaseNote/2025-Jun">本月例行更新（Patch Tuesday）</a>，修補67個漏洞，數量較<a href="https://www.ithome.com.tw/news/168932">上個月78個</a>有所減少。從漏洞的類型來看，遠端程式碼執行（RCE）漏洞25個最多，約占整體四成；其次是資訊洩露漏洞、權限提升漏洞，分別有17個、15個；其餘有6個是阻斷服務（DoS）漏洞、2個安全功能繞過漏洞，以及2個可被用於欺騙的漏洞。從危險的程度而言，其中有10個是重大層級，8個是遠端程式碼執行漏洞、2個是權限提升漏洞。</p> <p>值得留意的是，這次有兩個零時差漏洞，其中一個已被用於實際攻擊活動，另一個在修補前就被公開。這些漏洞分別是：WebDAV遠端程式碼執行漏洞CVE-2025-33053，以及SMB用戶端權限提升漏洞CVE-2025-33073。</p> <p>其中，CVE-2025-33053是資安業者Check Point發現及通報。這項弱點攻擊者可在未經授權的情況下利用，透過WebDAV資料夾檔案名稱或路徑的外部控制，從而透過網路執行任意程式碼，CVSS風險評為8.8。對於漏洞發現的過程，<a href="https://research.checkpoint.com/2025/stealth-falcon-zero-day/">Check Point表示</a>，他們於今年3月看到被稱為Stealth Falcon（FruityArmor）的APT駭客，用於攻擊一家土耳其國防公司，過程中攻擊者藉由操弄Windows內建工具的工作資料夾，而能在他們控制的WebDAV伺服器執行檔案。</p> <p>另一個在修補前就被公開的漏洞CVE-2025-33073，形成的原因是SMB存取控制不當，通過身分驗證的攻擊者能透過網路達到權限提升的目的，風險值為8.8。攻擊者可利用惡意指令碼讓受害電腦連回攻擊者的系統，並透過SMB進行身分驗證。雖然微軟公布的資訊並不多，但根據<a href="https://borncity.com/win/2025/06/10/attention-june-2025-patchday-closes-vulnerability-cve-2025-33073-in-windows/">科技部落格Born City的報導</a>，德國研究網路電腦緊急應變團隊DFN-CERT於6月6日透過電子郵件警告此事，指出資安業者RedTeam Pentesting GmbH找到並通報這項漏洞，呼籲使用者在微軟發布更新後要儘速修補。</p> </div></div></div>
2025/6/11 11:35作者周峻佑https://www.ithome.com.tw/news/169471
SAP修補NetWeaver重大層級漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週二（6月10日）<a href="https://www.ithome.com.tw/tags/sap">SAP</a>發布<a href="https://support.sap.com/en/my-support/knowledge-base/security-notes-news/june-2025.html">6月份Security Patch Day每月例行更新</a>，總共發布14則公告，其中最受到關注的部分，是應用程式伺服器NetWeaver的重大漏洞CVE-2025-42989，由於SAP從4月底至5月上旬，先後修補已被用於攻擊行動的NetWeaver資安漏洞<a href="https://www.ithome.com.tw/news/168625">CVE-2025-31324</a>、<a href="https://www.ithome.com.tw/news/168935">CVE-2025-42999</a>（CVSS風險值為10分、9.1分），因此與這套應用程式伺服器相關的嚴重漏洞，很容易受到關注。</p> <p>CVE-2025-42989存在於NetWeaver Application Server for ABAP，為缺乏授權檢查的漏洞，影響核心為7.89、7.93、9.14、9.15版的應用程式伺服器系統，CVSS風險評為9.6分。資安業者Onapsis<a href="https://onapsis.com/blog/sap-security-notes-june-2025-patch-day/">說明這項漏洞的細節</a>，指出此弱點出現於SAP遠端功能呼叫（Remote Function Call，RFC）框架，在特定的情況下，通過身分驗證的攻擊者能藉此繞過標準的授權檢查流程，從而提升權限，進而對系統完整性與可用性構成重大威脅。不過，稍微值得慶幸的是，目前尚未出現漏洞被用於實際攻擊的情況。</p> <p>對於其他SAP修補的項目，涵蓋資訊洩露、跨網站指令碼（XSS）、伺服器請求偽造（SSRF）、路徑穿越，以及缺乏授權檢查的問題。這些漏洞出現在GRC外掛程式、Business Warehouse、BusinessObjects、Visual Composer，以及MDM Server等應用系統。</p> </div></div></div>
2025/6/11 12:48作者周峻佑https://www.ithome.com.tw/news/169474
Mistral AI釋出首個推理模型家族Magistral
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>法國AI新創Mistral AI周二（6/10）<a href="https://mistral.ai/news/magistral" target="_blank">釋出該公司首個推理模型家族Magistral</a>，包括具備240億個參數的開源版Magistral Small，以及專供企業使用的Magistral Medium。</p> <p>Mistral AI指出，最好的人類思維並非線性的，它貫穿於邏輯、洞察、不確定及發現之中，推理語言模型可強化AI的複雜思維及深入理解，從而改善解決問題所需的精確、逐步考慮與分析能力。簡單地說，相較於通用模型，Magistral推理模型針對多步驟邏輯進行了微調，提高可解釋性，並以使用者的語言提供可追溯的思考過程。</p> <p>目前市場上標榜自己是推理模型或針對推理改善的模型，包括DeepSeek-R1、DeepSeek-V3、OpenAI o3及Gemini 2.5 Pro等，Mistral AI以Magistral Medium與Mistral Medium 3、DeepSeek-R1、DeepSeek-V3，以及Majority Voting@4、Majority Voting@64作比較，發現它不管是在AIME2024、AIME2025、GPQA Diamond、LiveCodeBench或Aider-Polyglot等基準測試上都有傑出的表現，僅稍微落後DeepSeek-R1。</p> <p>Mistral AI於自家聊天機器人Le Chat中，針對Magistral Medium模型進行了速度上的最佳化，只要啟用設定中的Think mode及Flash Answers，其回應速度將是競爭產品的10倍快。</p> <p>使用者現在可<a href="https://huggingface.co/mistralai/Magistral-Small-2506" target="_blank">透過Hugging Face免費存取Magistral Small</a>，或是藉由Le Chat及API試用Magistral Medium預覽版。此外，Mistral AI也已經或即將於Amazon SageMaker、IBM WatsonX、Azure AI 及Google Cloud Marketplace上部署了Magistral Medium。</p> <p>本周<a href="https://www.ithome.com.tw/news/169442" target="_blank">蘋果才發表了一個有關推理AI模型的研究報告</a>，指出許多標榜長鏈思考及自我反省能力的推理模型，只能處理簡單問題，遇見複雜問題就會破功，而且多半無法將推理能力延伸到訓練資料以外。</p> </div></div></div>
2025/6/11 12:51作者陳曉莉https://www.ithome.com.tw/news/169475
F5買下代理程式型態AI的資安新創Fletch
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.f5.com/company/blog/how-agentic-ai-simplifies-cybersecurity-and-modern-threat-management" target="_blank">資安大廠F5本月初宣布收購以代理人AI為核心的新創業者Fletch</a>，期望降低資安管理的複雜性。</p> <p>隨著AI、混合雲與多雲環境的興起及分散式架構日愈複雜，企業資料、應用及API安全管理也更加困難。Fletch代理人AI方案結合代理人AI、自然語言和進階分析，可將外部威脅情報及內部系統log，整合成即時、按照優先排序的洞見及行動建議。</p> <p>總部位於舊金山的Fletch創立於2020年，其技術核心是使用眾多代理人掃瞄、蒐集威脅訊號及提供威脅的分析，例如對特定企業的影響。其方案整合到F5的ADSP平臺後，將可減輕管理負擔，並且藉由即時分析洞見及提供安全建議，加速事件回應。</p> <p>本收購金額不詳。F5今年初整合負載平衡、流量管理及應用與API安全能力成為應用遞送與安全平臺（Application Delivery and Security Platform，ADSP），旨在以平臺簡化眾多企業應用的管理複雜性。收購後，Fletch技術將整合進F5的ADSP架構，推進其產品藍圖。</p> </div></div></div>
2025/6/11 11:07作者林妍溱https://www.ithome.com.tw/news/169470
OpenAI公布o3-pro模型 o3降價80%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://twitter.com/OpenAI/status/1932530423911096508" target="_blank">OpenAI昨日宣布最新推理模型o3-pro</a>，價格比o1-pro便宜87%，同時間o3模型費用也降價80%。</p> <p>OpenAI o3-pro是用於取代o1-pro，在底層模型上則和o3相同。o3-pro即日起已可供ChatGPT Pro和Team方案用戶在模型選單中選取。Enterprise和Edu用戶將可在下周使用。此外，o3-pro也透過Responses API開放給開發人員。</p> <p>價格方面，相較於o1-pro去年12月推出時，輸入/輸出價格為每百萬token 150/600美元，o3-pro價格則為20/80美元，大約便宜了87%。</p> <p>如同o1-pro，o3-pro是OpenAI最強的智能模型。其設計宗旨是思考得更久，並提供更可靠的回應。從o1-pro推出以來，獲得理工領域如數學、科學和程式開發用戶的偏愛。而和o3一樣，o3-pro可使用工具，如搜尋網頁、分析檔案、理解視覺輸入、使用Python，提供ChatGPT的用處，它也使用模型來提供個人化回應。</p> <p>由於o3-pro使用工具，因此完成一項回應所需時間較o1-pro來得長。OpenAI建議將o3-pro用在更複雜、需要可靠度而非速度的問題，然後等上數分鐘獲取更好的答案。</p> <p>OpenAI說，專家評估中，o3-pro在每項測試領域的效能都持續優於o3，而在科學、教育、商業和寫作輔助方面尤其如此。o3-pro在清楚度、完整性、指令遵從及準確性等指標，也都獲得更高的評價。</p> <p>目前由於技術因素，o3-pro暫不提供臨時交談。o3-pro此時不支援圖片生成，有需求者應改用GPT-4o、OpenAI o3或OpenAI o4-mini。此外o3-pro也暫時不支援Canvas（工作區）功能。</p> <p>因應o3-pro的推出，<a href="https://x.com/sama/status/1932434606558462459" target="_blank">OpenAI執行長Sam Altman宣布o3大降價</a>。根據<a href="https://community.openai.com/t/o3-is-80-cheaper-and-introducing-o3-pro/1284925" target="_blank">OpenAI的價目表</a>，o3輸入百萬Token的價格由10美元降為2美元，輸出百萬Token價格則由40美元降為8美元。同時OpenAI也優化了o3的推理技術堆疊。</p> </div></div></div>
2025/6/11 09:42作者林妍溱https://www.ithome.com.tw/news/169466