iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 14篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 09:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Meta發表新款AI眼鏡Oakley Meta Glasses
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta上周發表了<a href="https://about.fb.com/news/2025/06/introducing-oakley-meta-glasses-a-new-category-of-performance-ai-glasses/" target="_blank">新款的AI眼鏡Oakley Meta Glasses</a>，這是Meta與知名眼鏡集團EssilorLuxottica所合作的第三款AI眼鏡，首款是2021年的<a href="https://www.ithome.com.tw/news/146641" target="_blank">Ray-Ban Stories</a>，接著在2023年推出<a href="https://www.essilorluxottica.com/en/newsroom/stories/introducing-ray-ban-meta/" target="_blank">Ray-Ban Meta</a>，Oakley Meta Glasses則是與EssilorLuxottica旗下的運動風眼鏡品牌Oakley合作。</p> <p>Meta表示，雙方第一款針對運動員及粉絲的產品為<a href="https://www.meta.com/tw/ai-glasses/oakley-meta-hstn/" target="_blank">Oakley Meta HSTN</a> ，定位為功能性AI（Performance AI）眼鏡。</p> <p>Oakley Meta HSTN內建可拍攝3K影片的攝影機，採用開放式耳機（Open-ear Speaker），一般使用的電池續航力為8小時，加上充電盒可使用48小時，整合了Meta AI以回答天氣問題，或是以語音開啟攝影機，具備IPX4防潑水能力，限量版將在7月11日開放預購，售價499美元，其它版本會在今年夏末以399美元上市，首波將在十幾個美洲及歐洲國家推出，並未揭露是否會進入包括臺灣在內的東南亞市場。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0623-AI%20glasses%20by%20Oakley%20Meta.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Meta</span></span></p> <p>EssilorLuxottica解釋，Oakley Meta結合了Meta的AI技術，以及Oakley的開創性設計與PRIZM運動鏡片，屬於新的高性能AI眼鏡系列，Oakley Meta HSTN是該系列的首款產品，提供6種鏡框與鏡片的組合，亦支援處方鏡片。</p> <p>Oakley Meta HSTN在畫質及電池都優於上一代的Ray-Ban Meta，Ray-Ban Meta的畫質只有1080p，電池續航力是4小時。</p> <p><a href="https://www.essilorluxottica.com/en/newsroom/press-releases/q4-full-year-2024-results/" target="_blank">根據EssilorLuxottica去年第四季的統計</a>，Ray-Ban Meta自2023年10月上市以來，總計已售出200萬支，為全球銷量第一的AI眼鏡。</p> </div></div></div>
2025/6/23 14:40作者陳曉莉https://www.ithome.com.tw/news/169677
美國保險業者Aflac遭駭，疑Scattered Spider駭客組織所為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國知名保險公司Aflac發現其美國業務系統出現異常，隨即啟動資安應變程序，並在數小時內阻止入侵行動。Aflac<a href="https://newsroom.aflac.com/2025-06-20-Aflac-Incorporated-Discloses-Cybersecurity-Incident">強調</a>，雖然本次事件對公司營運未造成明顯影響，各項保單、理賠及客戶服務仍持續運作，也沒有發現有勒索軟體入侵，但部分檔案包含客戶、員工、受益人等個人敏感資訊，可能遭未授權存取。</p> <p>Aflac正與第三方資安專家合作，釐清受影響範圍，並對受影響對象提供24個月信用監控、身分盜用保護和醫療資訊保障。</p> <p>Aflac公告指出，駭客疑似利用社交工程手法取得網路存取權限，進而存取內部檔案。由於詳細調查仍在進行，公司尚無法確定實際受影響人數及資料範圍，Aflac也表示，會持續向外界更新事件進展，與監管單位及利益相關人溝通，並配合調查以及檢討現有資安措施。</p> <p>針對本次事件，Aflac雖未直接公開攻擊者身分，但表示這次入侵為近期特定網路犯罪集團，針對多家保險業者攻擊行動的一部分，因此外界多認為是國際駭客組織Scattered Spider（UNC3944）所為。根據現隸屬Google雲端威脅情報團隊的Mandiant發布的<a href="https://cloud.google.com/blog/topics/threat-intelligence/unc3944-sms-phishing-sim-swapping-ransomware/">分析</a>，Scattered Spider從2023年起便積極針對金融服務、零售、電信等產業下手，經常以社交工程手法取得企業內部存取權限，進一步滲透系統，並竊取高價值個資。</p> <p>Mandiant研究人員John Hultquist近期針對美國保險業<a href="https://x.com/JohnHultquist/status/1934676290629423329">發出警訊</a>，提醒該產業已成為新一波社交工程攻擊的重要標的。Mandiant<a href="https://cloud.google.com/blog/topics/threat-intelligence/unc3944-proactive-hardening-recommendations">建議</a>，企業除持續落實資安監控與異常存取偵測外，應提升內部員工資安意識，並針對外包團隊、客服中心等高風險單位實施嚴格權限控管，減少人為疏失帶來的潛在資安風險。</p> </div></div></div>
2025/6/23 13:58作者李建興https://www.ithome.com.tw/news/169675
人類AI評估系統Yupp上線，可測試逾500個大型語言模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年成立的AI新創<a href="https://yupp.ai/" target="_blank">Yupp日前正式推出人類評估系統</a>，邀請使用者協助評估全球逾500個大型語言模型，包括ChatGPT、Claude、Gemini、DeepSeek、Grok及Llama 等，也涵蓋了必須付費訂閱的各種Pro與Max模型，並根據使用者的回饋制定<a href="https://yupp.ai/leaderboard" target="_blank">Yupp AI VIBE（Vibe Intelligence BEnchmark）排行榜</a>。</p> <p>曾於Twitter共事的Pankaj Gupta與Gilad Mishne是在2024年6月共同創立了Yupp，當時獲得了由Andreessen Horowitz（a16z）領投的3,300萬美元的種子資金，也有超過40名科技業的天使投資人參與，包括Twitter共同創辦人Biz Stone、Google首席科學家Jeff Dean、Perplexity AI 執行長Aravind Srinivas，以及Coinbase法務長Paul Grewal等。</p> <p>當使用者在Yupp上問問題時，系統會提供兩個不同模型的答案供使用者比較，並列出優、劣原因供使用者勾選，亦允許使用者直接輸入意見，回答後系統就會出現「積分刮刮樂」，讓使用者刮出積分，這些積分可用來持續使用模型，或是用來兌換加密貨幣及法幣，目前新註冊的使用者可直接獲得5,000積分。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0623-yupp-2.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Yupp</span></span></p> <p>系統所提供的模型可能是隨機的、符合提示需求的、匿名的，但使用者也可指定特定模型來回答，一個問題最多可測試6個模型，但如果一直問問題卻不提供比較結果，就可能會被系統踢出去。</p> <p>Yupp執行長Gupta說明，該平臺透過Yupp積分運作，每個人在註冊時都會收到積分，以用來使用各種AI模型，也會因為回饋而獲得積分，回饋的品質愈高，積分就愈多；使用者的提示永遠是私密的，除非使用者選擇對外分享。</p> <p>Gupta表示，回饋有助於打造個人化AI，也可幫助AI社群建置更好的模型。來自一個用戶的意見或許不夠可靠，但凝聚全球數百萬用戶的資料便會產生強大的訊號，讓AI模型供應商可以使用這些訊號來改善它們的系統及代理人。</p> <p>至於Yupp AI VIBE提供了使用者最喜愛的模型、最快的模型、最好的低價模型、最好的開源模型、最好的圖像生成模型、最好的推理模型、最好的即時模型、最好的文字模型，以及最常被否決的模型的列表供外界參考。</p> </div></div></div>
2025/6/23 12:06作者陳曉莉https://www.ithome.com.tw/news/169673
研究人員揭露160億筆帳密資料外洩，疑透過竊資軟體收集、拼湊而成
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>大型個資資料庫不設防而任人存取的情況頻傳，其中一起是<a href="https://www.ithome.com.tw/news/169435">疑為中國政府持有</a>，內含微信、居住地址、金融財務資料等16種精心收集的資料，資料量超過40億筆，很可能是為了監控中國民眾而設，更引起我們注意的地方，是其中有專門針對臺灣而來的資料收集，因此，這樣的情況臺灣民眾也可能無法置身事外。</p> <p>如今又有大量收集並進行整理的個資曝光，且疑似涵蓋各式各樣應用程式與網路服務的帳號密碼資料，引起全球各界高度關注及恐慌。</p> <h3><b>涵蓋常見的網路服務與應用程式帳密</b></h3> <p>上週資安新聞網站Cybernews揭露<a href="https://cybernews.com/security/billions-credentials-exposed-infostealers-data-leak/">近160億筆帳密資料外洩事故</a>，這些資料來自30個公開的資料庫，每個資料庫內含數千萬至35億餘筆記錄，來源疑似是透過竊資軟體（Infostealer）收集而得。這項消息一出，引起許多資安專家提出警告，呼籲用戶最好儘速更換Google、臉書、Apple等各項網路帳號的密碼，並啟用雙因素驗證，因為上述曝光的外洩資料很有可能遭到濫用，駭客一旦取得，就有機會存取使用者各式帳密，進而用於接管帳號、竊盜身分，以及針對性網釣攻擊。</p> <p>Cybernews特別提到，經過他們的檢查，這些資料應該是新的，而非從過往的資料外洩事故彙整而成。這些資料大多之前未曾被公開，僅有一個有1.84億筆帳密的資料庫例外──架站教學網站Website Planet資安研究員Jeremiah Fowler<a href="https://www.websiteplanet.com/news/infostealer-breach-report/">於6月初揭露</a>，當時他提到此無密碼保護的資料庫大小為47.42 GB，帳密資料數量為184,162,718筆，內容包含微軟產品、臉書、Instagram、Snapchat、Roblox，以及電子郵件供應商等各式服務的帳密資料。</p> <p>值得留意的是，Cybernews也提及這些資料庫曝光的時間並不長，大部分的資料庫能透過Elasticsearch或物件儲存實體存取，但無法識別資料庫的所有者身分。雖然資料數量過於龐大，研究人員無法對不同資料庫的內容進行比對，因此他們無法確認有多少重覆資料，但研究人員指出大部分的資料遵循著相當固定的結構，依序是：URL、登入資訊、密碼，而這也是竊資軟體彙整偷到資料最常見的格式。</p> <p>針對這批資料的發現，Cybernews研究員Aras Nazarovas認為很有可能是網路犯罪份子共用竊得資料的方式出現變化，過往駭客很可能會選擇使用Telegram群組來進行，但現在他們偏好透過資料庫集中管理竊得的資料。</p> <h3><strong>疑為結合新舊資料拼湊而成</strong></h3> <p>不過，對於這些資料的解析，有研究人員提出不同的看法。<a href="https://www.infostealers.com/article/16-billion-credentials-leak-a-closer-look-at-the-hype-and-reality-behind-the-massive-data-dump/">資安業者Hudson Rock指出</a>，根據他們的統計資料，平均每臺遭竊資軟體感染的電腦會被偷走50組帳密資料，換言之，Cybernews揭露的這批資料，駭客必須在3.2億臺電腦植入竊資軟體才能取得。但這樣的感染規模與全球實際受害情況相比多上不少，顯得不切實際，因此，Hudson Rock推測這批資料不僅有許多重覆，還有過時資料，甚至可能有人工產生的內容。</p> <p>Hudson Rock也指出另一項觀察佐證他們的推測，那就是在這批資料當中，他們發現有舊版竊資軟體的事件記錄檔案，以及舊資料庫外洩的內容，而且，部分帳密資料已存在多年，多次於暗網出現，但實際上早已不再有效，也就是說，這批資料有一部分攻擊者根本無法使用。</p> <p>雖然這次Cybernews揭露的資料外洩，放大了竊資軟體帶來的威脅而造成恐慌，但也突顯此種惡意軟體的危險性不容忽視，因此Hudson Rock還是呼籲企業要採取行動加強防範，這些措施包括：監控帳號活動、導入多因素驗證（MFA），以及定期稽查VPN、網頁郵件系統、Jira等用戶存取的管道，來因應竊資軟體橫行的現象。</p> </div></div></div>
2025/6/23 11:19作者周峻佑https://www.ithome.com.tw/news/169666
Minecraft遊戲玩家遭到鎖定，駭客假借提供修改工具竊取帳密資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客鎖定遊戲玩家的情況不時有事故傳出，最近有一起專門針對知名遊戲Minecraft玩家的攻擊行動，引起研究人員高度關注。</p> <p>資安業者Check Point揭露<a href="https://research.checkpoint.com/2025/minecraft-mod-malware-stargazers/">專門鎖定Minecraft玩家的多階段攻擊行動</a>，駭客使用名為Stargazers Ghost Network惡意軟體分派服務（Distribution as a Service，DaaS），假借Oringo和Taunahi等Minecraft修改模組（Mod）散布惡意軟體，從而竊取電腦機敏資料。</p> <p>特別的是，駭客的第一階段惡意程式下載工具與第二階段的竊資軟體存在共通點，它們都是以Java打造而成，而且必須倚賴受害電腦的Minecraft遊戲主程式才能運作。第三與最終階段的惡意程式皆為.NET竊資軟體，原因是駭客開發了額外的功能。</p> <p>研究人員從今年3月開始發現專門鎖定Minecraft玩家的惡意GitHub儲存庫，這些儲存庫存放Java下載工具，而且防毒引擎都不會將這些工具視為有害。而這些儲存庫都號稱提供Minecraft修改工具，並擁有許多用戶給星星而看起來像是合法。</p> <p>這些儲存庫都存放了惡意JAR檔案，駭客將其命名稱作弊或是自動化工具。研究人員將這些JAR檔案上傳惡意軟體分析平臺VirusTotal，結果沒有防毒引擎察覺有異。</p> <p>針對惡意軟體的感染流程，在使用者依照指示下載並安裝JAR檔案之後，一旦他們開始執行Minecraft，此作弊模組就會下載第二階段的竊資軟體，而後該惡意程式又會下載另一個.NET竊資軟體，但為何駭客要先後使用兩個不同的竊資軟體，研究人員並未說明。</p> <p>附帶一提，駭客為了防範研究人員分析，這些修改模組執行的過程裡，會先偵測受害電腦的環境當中，是否存在VMware、VirtualBox、KVM、QEMU等虛擬機器相關元件，以及Wireshark、TCPView等網路分析工具，若是發現有這些軟體，修改模組就會終止運作。</p> <p>對於攻擊者的身分，研究人員表示他們掌握的資訊並不多，但駭客不僅在部分檔案使用俄文，所有檔案的提交都來自UTC+3時區，因此研究人員研判攻擊者可能來自俄羅斯。</p> </div></div></div>
2025/6/23 10:00作者周峻佑https://www.ithome.com.tw/news/169665
蘋果傳洽談收購Perplexity AI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bloomberg.com/news/articles/2025-06-20/apple-executives-have-held-internal-talks-about-buying-ai-startup-perplexity" target="_blank">彭博報導</a>，蘋果高層內部曾討論收購新創公司Perplexity AI來加速改造AI語音助理Siri。</p> <p>報導指出，參與討論的蘋果高層包括併購業務主管Adrian Perica和服務部門主管Eddy Cue。但蘋果的討論還在很初期，也可能最後不會有任何行動。</p> <p>但是這些討論反映了蘋果對提升AI能力的渴望。儘管蘋果過去致力改造其AI助理Siri，但始終無法端出有效成果。目前Siri已經遠落後新型態的AI聊天機器人如OpenAI ChatGPT或Google Gemini，迫使蘋果的Apple Intelligence只能提供讀寫協助和製作表情符號等簡單功能，手機搜尋只能和ChatGPT合作。</p> <p>另一個原因是看上Perplexity的技術，Perplexity AI提供允許用戶以AI聊天機器人進行網頁搜尋的方案，經過5月份的最新一輪募資，<a href="https://www.cnbc.com/2025/05/12/perplexity-funding-round-comet.html" target="_blank">現在市值高達140億美元</a>。長久以來，蘋果不論在macOS或是iOS平臺都是綑綁Google搜尋，然而現在Google與瀏覽器如Firefox、Safari的預設合作已經引起美國及歐盟政府的嚴審。若能取得Perplexity的搜尋，將可立即補足蘋果在搜尋能力的欠缺，並取代引發法律爭議的Google搜尋。</p> <p>蘋果計畫收購Perplexity AI的傳聞，也使其成為最新一家加入AI人才收購競賽的大廠。Google和Meta相繼以acqui-hire方式投資<a href="https://www.ithome.com.tw/news/164285" target="_blank">Character.AI</a>和<a href="https://www.ithome.com.tw/news/169561" target="_blank">Scale AI</a>。另外，<a href="https://www.theverge.com/command-line-newsletter/690720/meta-buy-thinking-machines-perplexity-safe-superintelligence" target="_blank">媒體報導</a>Meta還計畫收購前OpenAI技術長Mira Murati成立的Thinking Machine、OpenAI創辦人Ilya Sutskever設立的Safe Superintelligence，以及Perplexity AI等。</p> </div></div></div>
2025/6/23 08:23作者林妍溱https://www.ithome.com.tw/news/169667
Cloudflare阻擋一波流量達7.3Tbps的史上最大DDoS攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.cloudflare.com/defending-the-internet-how-cloudflare-blocked-a-monumental-7-3-tbps-ddos/" target="_blank">內容遞送網路暨域名服務業者Cloudflare 5月阻擋了一次7.3Tbps的分散式阻斷服務攻擊</a>，再破史上最大流量紀錄。</p> <p>這波攻擊發生在5月中，7.3Tbps的流量也破了Cloudflare<a href="https://www.ithome.com.tw/news/168679" target="_blank">第一季才剛公布的</a>6.5Tbps的史上最大攻擊紀錄。</p> <p>5月中的DDoS攻擊對象為Cloudflare一家主機代管客戶，歷時45秒。這波攻擊總流量為37.4 terabytes，在今天看來並非最大規模，但考慮到它是集中在45秒內就十分驚人，等於在不到一分鐘內串流了高達7,480小時、或9,350多部HD高解析度影片的資料量，或是935萬首歌曲、1,250萬張高解析度相片。</p> <p>當這波攻擊發生時，平均每秒轟炸了這家代管業者單一IP位址使用的21,925個目的地通訊埠，最高峰更轟炸了34,517個通訊埠。其中99.996%的攻擊流量為UDP flood，剩下0.004%約1.3GB的流量包含QOTD反射攻擊、Echo反射攻擊、NTP反射攻擊、Mirai UDP flood攻擊、Portmap flood和RIPv1放大攻擊等多種攻擊管道，其中以前二種最多，各佔超過33%。</p> <p>Cloudflare也提供了這些攻擊管道的防禦方法。</p> <p>從來源地區分，12多萬個攻擊流量IP位址分布161國，其中巴西和越南各約1/4，而1/3來自臺灣、中國、印尼、烏克蘭、烏拉圭、泰國、美國及沙烏地阿拉伯總和。5,400多個來源網路中，Telefonica巴西及越南Viettel集團分別佔10.5%及9.8%，臺灣中華電信也貢獻了約2.9%。</p> </div></div></div>
2025/6/23 08:43作者林妍溱https://www.ithome.com.tw/news/169668
玉山銀行四階段導入Policy as Code，打造具彈性、共創的治理機制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>玉山銀行智能金融處（簡稱玉山智金處）在去年將整套AI的開發流程遷移上雲，開發人員開始能在雲端平臺自行宣告並建立資源，不再像以往需要等待平臺團隊、耗時3到5天協助架設環境。上雲後，雖然為開發人員帶來更大的自主性，提升不少開發效率，卻也帶來新的挑戰——治理責任不再集中於平臺團隊，而是擴張到每位開發人員。</p> <p>這個轉變，讓玉山智金處更加體認到清楚定義邊界的重要性，包括詳細定義命名規範、安全性措施、加密限制等規範。因為當邊界設立明確，開發人員才能在範圍內自由宣告資源。然而，這些規範多半分散在跨團隊的各式文件中，導致負責審核的技術團隊主管或資深工程師，往往需要仰賴記憶、經驗或印象來審視每段程式碼。合規的重擔集中在他們身上，長期下來，也增添了不少人員壓力。</p> <p>為了解決這項問題，玉山智金處導入了政策即代碼（Policy as Code,PaC），來自動化審核流程。在今年DevOpsDays Taipei活動上，玉山銀行智能金融處副主任工程師、DevOps 團隊成員吳明倫揭露了他們的作法。「當基礎建設走向去中心化，治理就不能再靠記憶與默契。」吳明倫說，這正是他們決定導入PaC的關鍵原因。</p> <h3>PaC適用的三大場景</h3> <p>吳明倫點出，PaC適合用來協助開發團隊落實三類規範，分別是硬限制、軟規範，和業務規則。</p> <p>硬限制大多泛指組織內部針對基礎設施層設置的限制，包括網路VPC、防火牆設定，或整個組織層級的政策限制等，「這些限制要求開發人員在宣告資源時要遵循特定規則，才能正常使用服務。」吳明倫以過往經驗解釋，曾有開發人員啟動虛擬機後，看似順利完成部署，卻在後續發現系統無法安裝套件。原因是，後端的服務白名單並未開通開發人員選用的作業系統，最終，開發人員只能將整臺機器砍掉重建，「這就是被硬限制擋住。」吳明倫說。</p> <p>軟性規範指的是組織內部的命名原則或標籤制度，對單一工程師或團隊來說，可能不會帶來直接影響。然而，若組織成員並未遵守這些規範，將大幅增加治理成本。例如，在進行帳單分類或建立自動化維運機制時，若未統一命名，就容易產生管理混亂問題，和執行上的困難。</p> <p>第三類規範則是業務規則，這些規則是由團隊根據業務需求訂定的標準。以玉山智金處為例，ML團隊可能會要求開發人員須在資料表上標註資料上游，或是在訓練任務中註記對資料中心的負載量。</p> <h3>蒐集初始政策、四階段導入PaC</h3> <p>玉山智金處是如何一步步在組織內導入PaC？第一步，是要先蒐集政策。</p> <p>吳明倫表示，玉山智金處原先即採用集中化的 CI/CD 流程，協助開發人員將AI模型快速部署為服務，因此，平臺團隊在導入PaC時，只需在既有流程前加上一層檢查機制，「但困難的是，第一批政策要從哪裡來？」</p> <p>玉山智金處從三個方向著手建立第一批政策。除了透過開源社群取得現成的檢查工具，他們也訪談了內部治理角色，包括上雲管理小組、SRE團隊與平臺團隊等，彙整治理人員在現行開發流程中發現的痛點，並轉化為政策。最後，他們也回頭檢視既有CI/CD流程中的可觀測性數據，從過往部署失敗的案例中歸納常見問題，進一步轉化為政策，希望藉此降低開發人員的出錯機率。</p> <p>第二步，是以漸進式的方式導入PaC。玉山智金處用四階段慢慢導入PaC。</p> <p>第一階段是探索期，並不是直接套用規範，而是先建立一套能收集、驗證PaC的機制。具體作法是，在既有的CI/CD流程前加上一層PaC掃描機制，並蒐集一些可建立的政策。到了第二階段，才開始啟動PaC機制。這個階段稱為無感期，當開發人員使用CI/CD過版時，背後其實已經啟用了PaC掃描機制，但開發人員不會收到任何提醒或阻擋的訊息。吳明倫解釋，由於部分政策來自開源社群，未必適用於組織採用的架構，因此，無感期的目的，是要檢視現有蒐集的政策是否適合組織運作。</p> <p>第三階段，則是進入適應期。在這個階段，若開發人員在過版過程中違反政策，系統會出現提示。但是，系統不會中斷部署流程，「目的是希望讓開發人員開始習慣過版過程中的PaC檢查。」吳明倫說。最後一個階段則是落實期，規範正式上線，平臺能自動協助開發人員進行規範檢查。</p> <h3>建立Suppress機制，創造治理的彈性空間和回饋機制</h3> <p>不過，當PaC機制正式上線後，開發人員就會買單了嗎？當系統發生異常，開發人員需要緊急修正，卻被PaC攔截，平臺團隊就得面臨要堅持執行政策，或是短暫通融的兩難。若選擇前者，可能影響團隊氣氛；選擇後者，雖能維持關係，卻容易不斷累積技術債。甚至，每次緊急情況發生，都可能重演同樣戲碼，長期下來，PaC機制也難以真正落地。</p> <p>面對這個典型情境，吳明倫強調，建立Suppress機制，是讓PaC可以成功落地的關鍵。他解釋，Suppress是一種能在Terraform或IaC程式中加入的特定格式註解，平臺人員可以填寫略過的政策編號和理由，例如架構限制或緊急修正（Hotfix）。這段註解經過人工核准後，PaC機制在執行特定條件時，便會自動略過對應的檢查，並將相關說明紀錄在過版軟體中。如此一來，組織內就能建立一套較彈性的PaC機制。「我們要保留彈性空間，但不應該由人去開後門，而是透過正規流程、留下紀錄、通過適當的審核機制後，最後由PaC識別。」吳明倫說。</p> <p>除了提供彈性空間，吳明倫認為，Suppress機制也能創造回饋機制。對開發團隊主管而言，他們能根據Suppress跳過的政策，來進一步檢視團隊既有的技術架構是否適當。對平臺團隊而言，若同時有多個團隊跳過同一條政策，他們也能回頭檢視、調整既有政策。</p> <h3>讓PaC機制可由開發團隊訂定政策</h3> <p>不只要讓PaC機制作為一套管制工具，玉山智金處更期望開放所有開發人員自主制定團隊政策。吳明倫解釋，相較於平臺團隊，開發人員每日與IaC實際互動，更能產出高品質的政策。他提到，當開發團隊擁有自訂政策的空間，就能依照需求延伸出更貼近業務的規範，甚至，跨團隊在合作產出專案時，也能彼此交流團隊專屬規範，又或者，當某條團隊內部的政策解決了跨團隊共通性痛點，也能讓整個組織一同受益。</p> <p>為了在PaC中加入這套架構，玉山智金處盤點所有PaC工具，最後選擇使用Checkov。吳明倫解釋，玉山智金處有八成以上成員為ML工程師，最熟悉的語言是Python，因此，他們選擇使用能以Python定義政策的PaC工具，來讓所有開發人員都能實踐這套機制。</p> <h3>導入PaC的三大效益</h3> <p>導入PaC後為玉山智金處帶來了三個效益，第一，是減輕審核人員的負擔。吳明倫表示，透過自動化檢查，審核人員只需要專注檢視程式的核心邏輯，而不需要在每次過版時都耗時確認過程是否符合所有組織規範。再來，是提升開發人員經驗。當開發人員在部署時發生問題，可以透過視覺化報表，快速了解自己觸犯哪些規則，進一步解決問題。同時，這套機制也能協助降低開發團隊和平臺團隊之間的溝通成本。對新進的開發人員而言，導入PaC也能降低學習曲線，讓新人更快速熟悉組織內部規範。</p> <p>最後，吳明倫強調，「治理的關鍵不是限制，而是要讓好規則被實踐。」他提醒，導入PaC，是要讓規則變得說得清、改得動，「並不是單純設定一個規則，而是要設定變化的節奏。」例如設置Suppress機制，來創造彈性空間，同時建立協作和回饋機制，讓治理能持續演進。他也提到，設置PaC時，盡量不要讓規則專屬某一團隊，而是讓規則成為組織的共識。創造社群氛圍，才能讓治理更順暢運作。「重點不是控制，而是打造一個互相理解、協助的環境。」他說。</p> <p></p> </div></div></div>
2025/6/21 03:26作者李昀璇https://www.ithome.com.tw/news/169664
MIT研究顯示，習慣用AI寫文章會讓腦袋變笨
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.researchgate.net/publication/392560878_Your_Brain_on_ChatGPT_Accumulation_of_Cognitive_Debt_when_Using_an_AI_Assistant_for_Essay_Writing_Task" target="_blank">麻省理工學院（MIT）本月發表一篇研究報告</a>，比較了人類大腦在使用ChatGPT、搜尋引擎，以及完全不使用工具來進行寫作任務時，腦神經的活動狀態，發現長期依賴ChatGPT寫作，會削弱大腦神經網路的連結與參與程度。</p> <p>該研究名為《你的大腦與ChatGPT：使用AI助理進行論文寫作任務時的認知債務累積》（Your Brain on ChatGPT: Accumulation of Cognitive Debt when Using an AI Assistant for Essay Writing Task），有54名參與者被分成3組，一是使用ChatGPT的LLM組，二是使用Google的搜尋引擎組，三是沒有使用任何工具的Brain-Only組，他們在3個月內進行了3 次論文寫作任務，時間為20分鐘，撰寫基於SAT考試的文章。在第4個月執行第4次實驗時，原本使用LLM的被分配到只能使用大腦，而原本僅能用大腦的則被換到LLM組。</p> <p>在這過程中，研究人員利用腦波圖（Electroencephalography，EEG）裝置即時偵測參與者的大腦活動，評估他們的認知投入與認知負荷，也對這些文章進行自然語言處理（NLP）分析，並由人類教師與AI進行評分。</p> <p>結果發現，在前3次實驗中，同一組內的參與者在用詞習慣和主題選擇上高度相似，也就是說，只要屬於同一組，他們的寫作風格通常都很接近。從腦波圖來看，完全仰賴大腦的那一組大腦連結最佳、分布最廣，使用搜尋引擎的居中，使用LLM的大腦連結最弱，顯示認知活動會隨對工具的依賴程度而遞減。</p> <p>而在第4次實驗中，從LLM轉到大腦的參與者，其大腦出現較低的活躍度，不僅比不上只用大腦的那一組，也低於使用Google搜尋的那組；而從大腦轉至LLM的參與者，其大腦活動雖然略有下降，卻仍維持相對較高的神經參與度，而且寫作品質也提升了。</p> <p>這意謂著早期對AI的過度依賴可能會形成一種認知惰性，就算無法再使用AI，大腦也不容易快速恢復到最高的認知參與狀態；但若參與者在初期便建立了穩固的認知基礎與獨立思考能力，就算導入AI，他們也會把AI視為一個強化工具。</p> <p>此一研究由麻省理工學院媒體實驗室的腦機介面專家Nataliya Kosmyna主導。儘管尚未通過正式的同行評審，研究團隊認為結果具有重要啟示，因而選擇提前公開，盼能喚起外界對教育與認知領域可能過度依賴AI的關注。</p> </div></div></div>
2025/6/20 16:05作者陳曉莉https://www.ithome.com.tw/news/169663
新版NFC規格出爐感測距離擴大4倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://nfc-forum.org/news/2025-06-nfc-forum-announces-nfc-release-15/" target="_blank">NFC論壇本周發布NFC 15版規格</a>，將無接觸感測距離由0.5公分擴大為2公分，並可支援無線充電、數位支付以及產品永續利用等更多應用場景。</p> <p>NFC 15規格由Google、蘋果、華為、Sony、Infineon、NXP及意法半導體（ST Microelectronics）等公司擔任委員的NFC委員會主導並發展而成。</p> <p><a href="https://nfc-forum.org/nfc-release-15" target="_blank">根據NFC 15規格</a>，新版本最大更新是將支援的感測距離由現行0.5公分擴大到2公分，且連線速度更快，減少運作時的精準對齊需求。支援更長感測距離意謂連線更持久，可更早開始、失敗率較低，可提升NFC使用體驗且支援多種應用場景，像是以手機作為支付終端；這次更新可使Apple Pay、Google Pay等Tap to Pay應用更為方便。或是使用NFC裝置控制汽車、進出大眾運輸閘門和進出控管等，如以NFC裝置開啟車門或門鎖等。</p> <p>此外，新版NFC核心包含NFC數位產品護照（Digital Product Passport，DPP）標準，讓第三方產品業者有更彈性的框架，以NFC Data Exchange Format（NDEF）紀錄為格式，在單一NFC標籤中儲存和傳輸DPP，確保所有使用DPP的NFC裝置的相互操作性及相容性。這主要是因應歐盟法規，該法規要求記錄產品的生產、維修、材料、環境足跡等生命周期資訊，以促進回收、維修與再利用。利用NFC 15標籤儲存和互通DPP資料，可確保查詢相關資訊，像是刷NFC標籤可讀取衣服材料來源、產地，消費電子產品的維修紀錄、回收業可辨識產品組成，加速回收分類及減少危害物。</p> <p>NFC論壇的主要成員公司即日可下載<a href="https://nfc-forum.org/build/specifications" target="_blank">NFC Release 15的技術規格</a>。其他會員及大眾則可在今年秋天取得標準並開始驗證。</p> </div></div></div>
2025/6/20 14:30作者林妍溱https://www.ithome.com.tw/news/169659
歐洲衛星通訊業者Eutelsat打算增資13.5億美元，法國政府將成最大股東
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歐洲衛星通訊業者<a href="https://www.businesswire.com/news/home/20250619657170/en/Contemplated-Capital-Increase-of-%E2%82%AC-1.35-Billion-to-Secure-the-Execution-of-Eutelsat-Long-Term-Strategic-Vision-Anchored-by-the-French-State-and-Other-Reference-Shareholders" target="_blank">Eutelsat Group周四（6/19）宣布</a>，將在今年底前增資13.5億歐元，以加速建置低軌衛星（Low Earth Orbit，LEO），且這次法國政府將再度投入至少逾5億歐元，股份將從原本的13.6%增加至29.99%，成為Eutelsat的最大股東，且外傳英國政府亦有意入股。</p> <p>Eutelsat是在1977年成立於法國的衛星通訊公司，主要提供廣播及衛星通訊服務，強項是開發地球同步軌道衛星（GEO），<a href="https://www.ithome.com.tw/news/152147" target="_blank">它在2022年與專注於建置LEO寬頻衛星網路的英國公司OneWeb合併</a>，組成Eutelsat Group（或稱Eutelsat OneWeb）。當時Eutelsat與OneWeb便已分別獲得法國及英國政府的投資。</p> <p>Eutelsat Group把馬斯克（Elon Musk）旗下的SpaceX Starlink視為最大競爭對手，也號稱是全球低軌寬頻衛星領域的第二把交椅。然而，相較於Starlink衛星星座已擁有逾7,000顆LEO衛星，Eutelsat目前只有34顆地球靜止衛星，以及由超過600顆衛星組成的LEO衛星星座。</p> <p>此次的增資將用來加速OneWeb第二代衛星的建置，以及償還債務並提升現金流，<a href="https://www.ithome.com.tw/news/154340" target="_blank">呼應歐盟的IRIS主權衛星計畫</a>，鞏固自己成為歐洲主權連網供應商的角色。</p> <p>根據規畫，Eutelsat將以兩種方式展開增資，一是以每股4歐元的價格籌措7.16億歐元的儲備資本，並由法國國有資產管理機構APE、印度太空通訊業者Bharti Space Limited、法國航運巨頭CMA CGM及法國戰略投資基金FSP認購，二則是由現有股東增資的6.34億美元。其中，代表法國政府的APE將認購6.264億歐元。</p> <p>在這兩項交易之後，法國政府將會持有29.99%的股份，Bharti Space、CMA CGM與FSP則將分別持有18.70%、7.81%與5.22%等股份。</p> <p><a href="https://www.businesswire.com/news/home/20250515853090/en/Eutelsat-Communications-Third-Quarter-and-Nine-Month-2024-25-Revenues" target="_blank">根據Eutelsat截至今年3月底的季報</a>，該季創下3億歐元的營收，與去年同期相當，其中，影片營收為1.52億歐元，下滑6.4%，連結營收為1.49億歐元，成長2.7%。</p> <p>Eutelsat估計，未來該公司的LEO營收每年將可成長50%。</p> </div></div></div>
2025/6/20 14:50作者陳曉莉https://www.ithome.com.tw/news/169660
【資安日報】6月20日，北韓駭客BlueNoroff在Zoom視訊利用AI深偽技術對企業員工網釣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客利用深偽（Deepfake）冒充公司高管，藉由線上會議從事網路釣魚攻擊的情況近期再度出現，近期由北韓駭客BlueNoroff（TA444、Sapphire Sleet）鎖定一家加密貨幣組織發起的攻擊行動引起關注，駭客假借該公司高管的名義，引誘員工安裝惡意Zoom延伸套件。</p> <p>在其他資安事故的部分，另一組北韓駭客Kimsuky的攻擊行動、木馬程式藉由大型語言模型DeepSeek-R1散布，也相當值得留意；此外，本週Citrix為NetScaler設備修補兩項重大漏洞，IT人員也要儘速處理。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169650"><strong style="font-size: 22px;">北韓駭客在Zoom視訊用AI深偽技術對企業員工網釣，意圖散布macOS惡意軟體</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/bluenoroff-web3-intrusion.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/bluenoroff-web3-intrusion.png" style="width: 300px; float: right;" /></a></p> <p>駭客使用深偽（Deepfake）技術行騙的情況，最近幾年不時有事故傳出，從多年前假冒加密貨幣交易所幣安（Binance）高層、馬斯克等名人詐騙加密貨幣，到去年發生有跨國企業遭到Deepfake視訊會議詐騙損失2億港幣、資安業者LastPass員工遭到冒牌執行長視訊會議險些上當、北韓駭客利用相關技術在資安業者KnowBe4求職得逞，最近又有駭客試圖透過深偽從事相關攻擊，直到受害組織察覺異狀才東窗事發。</p> <p>資安業者Huntress揭露一起北韓駭客的攻擊行動，攻擊者的身分是匿稱為BlueNoroff、TA444、Sapphire Sleet、Copernicium、Stardust Chollima的駭客組織，他們鎖定Web3領域下手，針對Mac電腦用戶展開攻擊。</p> <p>接觸到誘餌的使用者是加密貨幣機構的員工，當時他從Telegram頻道收到駭客的訊息，對方引誘點選偽裝成Google Meet活動的連結，而該連結是透過線上會議排程工具Calendly建立，但這名員工依照指示點選後，就被重新導向到攻擊者控制的冒牌Zoom網域。數週後，這名員工參加了Zoom群組會議，視訊畫面出現多個深偽人物，模仿其公司高層與外部合作夥伴，試圖與這名員工建立信任。過程裡要求員工下載特定的Zoom延伸套件，但實際上這是有問題的AppleScript指令碼，執行後就會下載第二階段的惡意酬載。</p> <p><a href="https://www.ithome.com.tw/news/169556"><strong style="font-size: 22px;">北韓駭客Kimsuky鎖定異議人士，透過臉書、電子郵件及Telegram展開釣魚攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Kimsuky-AttackFlowDiagram.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Kimsuky-AttackFlowDiagram.png" style="width: 300px; float: right;" /></a></p> <p>與北韓關聯的Kimsuky駭客組織被揭露利用臉書、電子郵件與Telegram等三重社交通道，對韓國本地涉北韓議題的異議人士、人權工作者及志工團體發動高度客製化的釣魚攻擊。根據韓國資安廠商Genians的調查，Kimsuky駭客組織近期攻擊範圍已從政府及國防單位，擴大至脫北者支援團體、NGO與公民運動參與者，導致相關人士面臨資訊外洩與個資遭監控的風險。</p> <p>駭客通常先在臉書上建立與目標背景相似的假帳號，例如冒用宗教組織志工、脫北者志工或具學術背景的人士，主動向涉北韓議題的個人或團體發出好友邀請，並在取得對方信任後，展開訊息互動。</p> <p>在進一步於取得受害者信任後，駭客會要求提供電子郵件，透過郵件寄送第二波攻擊檔案或惡意連結，當電子郵件及手機號碼同時掌握時，則可能進一步透過Telegram或其他即時通訊軟體接觸受害者，進行多管道且持續的攻擊。</p> <p><a href="https://www.ithome.com.tw/news/169590"><strong style="font-size: 22px;">假DeepSeek-R1廣告暗藏BrowserVenom木馬，劫持瀏覽器流量</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/browservenom-mimicks3.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/browservenom-mimicks3.png" style="width: 300px; float: right;" /></a>卡巴斯基GReAT團隊發現駭客鎖定熱門生成式人工智慧應用熱潮，透過假冒DeepSeek-R1語言模型安裝程式的Google廣告，散布名為BrowserVenom的新型惡意木馬，專門劫持受害者瀏覽器流量，並竊取個人資料。</p> <p>根據研究人員的調查，攻擊者利用Google搜尋廣告，將針對DeepSeek R1關鍵字所建立的釣魚網站推至搜尋結果頁面頂端。該網站外觀與DeepSeek官方網站極為相似，並會依據訪客作業系統顯示相對應的介面，進一步提升誘騙成功率。</p> <p>以Windows用戶為例，進入釣魚網站後會僅出現Try now按鈕，點擊後則會出現CAPTCHA防機器人驗證頁面，實際上相關驗證機制均以JavaScript混淆程式碼實作，目的是過濾自動化工具，提高釣魚精準度。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/gerrit-misconfiguration-exposed-google-projects-to-code-injection/">程式碼協作平臺Gerrit組態配置不當，Google專案恐遭惡意程式碼注入攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.darkreading.com/cyberattacks-data-breaches/water-curse-targets-cybersecurity-pros-github-repos">駭客組織Water Curse鎖定仰賴開源工具的開發者、資安專家，使用GitHub散布惡意程式</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/bert-ransomware-escalates-attacks-on-linux-machines/">勒索軟體Bert鎖定Linux系統而來，利用武器化ELF檔從事攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityaffairs.com/179036/hacking/new-predator-spyware-infrastructure-revealed-activity-in-mozambique-for-first-time.html">間諜軟體Predator捲土重來，研究人員發現新的基礎設施</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169656"><strong style="font-size: 22px;">Citrix修補NetScaler兩項重大層級漏洞</strong></a></p> <p>Citrix本周發布安全更新，修補NetScaler軟體兩項重大風險漏洞。</p> <p>本次修補的漏洞影響二項產品，包括NetScaler ADC及NetScaler Gateway，較嚴重的是CVE-2025-5777，為對外部輸入HTTP呼叫的長度驗證不足導致過度讀取記憶體（Memory Overread），造成資料不當外洩。本漏洞屬於越界讀取（Out-of-bounds Read）漏洞，CVSS 4.0風險值為9.3。</p> <p>其次是CVE-2025-5349，為前述產品NetScaler管理介面的存取控制不當漏洞，小則讓未授權用戶存取系統設定、日誌、竄改設定，大則可能導致遠端程式碼執行或控制作業系統。本漏洞風險值為8.7。</p> <p><a href="https://www.ithome.com.tw/news/169400"><strong style="font-size: 22px;">聯發科修補藍牙驅動程式高風險漏洞</strong></a></p> <p>聯發科發布產品更新，修補影響其手機及物聯網晶片的多項資安漏洞，包含一個影響藍牙驅動程式高風險提權漏洞，以及多項影響WLAN和藍牙驅動程式的中度風險漏洞。這波漏洞影響聯發科智慧型手機、平板、AIoT、智慧顯示器、智慧平臺、OTT、電腦視覺、音訊和電視晶片組。</p> <p>高風險漏洞編號CVE-2025-20672，為一堆積緩衝溢位（Heap overflow）漏洞。本漏洞起於藍牙驅動程式邊界檢查（bounds check）不正確，導致攻擊者提高本地User執行權限以進行惡意活動，而本漏洞不需使用者互動即可達成濫用。</p> <p>這波更新還修補了多項中度風險漏洞，涵括了一項提權（EoP）漏洞CVE-2025-20674（影響藍牙驅動程式）及5項阻斷服務（DoS）攻擊漏洞，包括CVE-2025-20673、CVE-2025-20675、CVE-2025-20676、CVE-2025-20677和CVE-2025-20678，其中除了CVE-2025-20678為電信模組IMS Service，其餘皆影響WLAN驅動程式。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/gitlab-patches-high-severity-account-takeover-missing-auth-issues/">GitLab修補高風險層級的帳號挾持漏洞、缺乏身分驗證漏洞</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169654"><strong style="font-size: 22px;">微軟預告7月M365將預設封鎖使用舊版身分驗證機制存取檔案</strong></a></p> <p>微軟強化Microsoft 365（M365）租戶的安全控管，將從7月起預設封鎖用戶以舊版身分驗證機制來存取檔案。</p> <p>微軟本周透過M365管理員中心訊息公布此事，M365預設封鎖以舊驗證協定如RPS（Relying Party Suite）及FPRPC（FrontPage Remote Procedure Call）登入SharePoint、OneDrive和Office檔案，微軟將從7月起逐步部署，預定8月完成。微軟說，這次更新是因應微軟安全未來倡議（Secure Future Initiative，SFI）及其預設安全（Secure by Default）原則，目的在所有企業打造更穩固的基礎安全態勢。</p> <p>微軟所指的舊式驗證協定是指比OAuth 2.0或SAML更古早的用戶驗證技術，對M365而言，受影響的協定有RPS和FPRPC二種。RPS多半為舊式瀏覽器或用戶端App存取雲端資源之用，而FRPRC則是以前用於遠端網頁開發和操作Office檔案的方法。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169632"><strong>【6月19日】朗大型加密貨幣交易所Nobitex遭駭，駭客銷毀9千萬美元資金</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169611"><strong>【6月18日】AWS宣布IAM領域重大進展</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169594"><strong>【6月17日】新興勒索軟體脅迫受害組織付錢出現新手法，藉由抹除檔案內容進行施壓</strong></a></p> </div></div></div>
2025/6/20 12:48作者周峻佑https://www.ithome.com.tw/news/169658
安卓惡意軟體GodFather濫用虛擬化機制挾持銀行、加密貨幣App的帳密
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了在安卓手機上能竊取機密資料，許多惡意軟體通常會透過覆蓋畫面等手法引誘使用者上當，但如今出現更複雜的手段，用戶更難察覺有異。</p> <p>行動裝置資安業者Zimperium揭露<a href="https://zimperium.com/blog/your-mobile-app-their-playground-the-dark-side-of-the-virtualization">名為GodFather的金融木馬</a>，此惡意程式對全球近500款銀行應用程式的用戶而來，主要集中對土耳其下手。這款惡意軟體與過往的金融木馬最大的不同，就是採用一種進階的裝置端虛擬化技術（On-device Virtualization），而能挾持數種合法的應用程式，其中包含行動銀行及加密貨幣相關的App。</p> <p>由於這種新手法是在受害裝置建立完整的、隔離的虛擬化環境，有別於一般惡意程式是藉由偽造的登入畫面來騙取帳密資料，此惡意軟體能在受害手機部署帶有虛擬化框架的惡意「主機」應用程式，並用來下載真實的行動銀行與加密貨幣App，然後透過攻擊者的沙箱環境執行。一旦受害者啟用手機裡的正牌應用程式，攻擊者就會將他們重新導向虛擬化環境的另一個App，使得這些用戶的一舉一動，包含點選、輸入的資料內容，都受到GodFather的監控。</p> <p>相較於過往金融木馬等惡意程式，這種虛擬化手法能讓攻擊者完全了解應用程式的處理程序，進而即時攔截帳密資料與敏感資料；再者，攻擊者不僅能遠端控制GodFather，還能藉由掛鉤（Hooking）框架竄改虛化版的行為，從而有效地繞過資安檢查機制。</p> <p>除此之外，駭客也使用了其他迴避偵測手法，其中一種是操弄ZIP壓縮檔，將程式碼移轉到Java層，而能讓靜態分析工具無法察覺有異。</p> <p>針對這起攻擊行動的發現，研究人員指出類似濫用虛擬化的手法並非首例，其中一個是2023年底出現的惡意程式FjordPhantom，駭客為了迴避偵測，他們在容器環境執行惡意程式碼。但這次GodFather的手段更為可怕，因為使用者操作的是正牌應用程式，不僅無法從操作畫面察覺異常，許多資安防護機制也難以識別這種惡意行為，研究人員認為，這嚴重破壞了人們對行動應用程式之間的信任。</p> </div></div></div>
2025/6/20 12:39作者周峻佑https://www.ithome.com.tw/news/169657
M365 7月預設封鎖使用舊版身分驗證機制存取檔案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟強化Microsoft 365（M365）租戶的安全控管，將從7月起預設封鎖用戶以舊版身分驗證機制來存取檔案。</p> <p><a href="http://learn.microsoft.com/en-us/entra/identity/enterprise-apps/configure-admin-consent-workflow" target="_blank">微軟本周透過M365管理員中心訊息公布</a>（註：只有管理員身分可以存取），M365預設封鎖以舊驗證協定如RPS（Relying Party Suite）及FPRPC（FrontPage Remote Procedure Call）登入SharePoint、OneDrive和Office檔案，微軟將從7月起逐步部署，預定8月完成。微軟說，這次更新是因應微軟安全未來倡議（Secure Future Initiative，SFI）及其預設安全（Secure by Default）原則，目的在所有企業打造更穩固的基礎安全態勢。</p> <p>微軟所指的舊式驗證協定是指比OAuth 2.0或SAML更古早的用戶驗證技術，對M365而言，受影響的協定有RPS和FPRPC二種。RPS多半為舊式瀏覽器或用戶端App存取雲端資源之用，而FRPRC則是以前用於遠端網頁開發和操作Office檔案的方法。</p> <p>大部份系統都已不再使用上述協定，少部份基於和舊式應用和自動化工具相容的需求而留存至今。這些協定通常欠缺多因素驗證，容易遭受暴力破解和釣魚攻擊。微軟說，最新封鎖能使還在用這些協定的應用透過瀏覽器存取SharePoint、OneDrive或Office檔案，可減少攻擊表面。</p> <p>從7月中開始，預設封鎖上述2個協定的措施將部署到所有M365租戶。受影響的服務共有Microsoft Entra（之前名為Azure Active Directory）、Microsoft 365 app、SharePoint Online和OneDrive for Business。這項變更為自動部署，不需用戶任何動作。</p> <p>至於對用戶的影響，由於現代瀏覽器已經內建新式驗證，因此Office用戶或現代瀏覽器應該不受影響，但仰賴舊式協定的應用程式或工作流程將無法連結，包括舊式Office外掛或自訂工具，其次是使用RPS或FPRPC的自動化腳本程式、檔案同步或報表。如果企業使用非常舊的系統，可能得靠支援團隊開發暫時作法，或是儘速更新。</p> <p>微軟並增加新的第三方App存取M365管理政策。之前用戶可以自行授權第三方App存取Microsoft雲端檔案，但未來用戶無法自行授權，所有第三方App存取都需經管理員明顯的審核同意。新政策可防止過多企業資料外洩，像是第三方OAuth應用存取雲端檔案及資料。新政策也透過Entra文件，指引IT細部設定決定同意和存取控制。</p> <p>微軟說，M365封鎖舊協定是「安全未來倡議」（Secure Future Initiative，SFI）的一部份。微軟宣布的其他措施包括今年初宣布M365、Office 2024關閉ActiveX控制，7月起Teams封鎖在會議中螢幕擷圖、以及擴大Outlook附件的封鎖檔案類型名單，包括.library-ms及.search-ms等。</p> </div></div></div>
2025/6/20 11:21作者林妍溱https://www.ithome.com.tw/news/169654
俄羅斯駭客利用ASP機制存取受害者Gmail帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/topics/threat-intelligence/creative-phishing-academics-critics-of-russia" target="_blank">Google威脅情報小組</a>（Google Threat Intelligence Group，GTIG）與加拿大的<a href="https://citizenlab.ca/2025/06/russian-government-linked-social-engineering-targets-app-specific-passwords/" target="_blank">公民實驗室（Citizen Lab）</a>本周揭露一起來自俄羅斯國家級駭客的攻擊行動，主要利用社交工程手法及應用程式專用密碼（Application Specific Password，ASP）來繞過重要應用的多因素身分驗證（Multi-Factor Authentication，MFA），進而入侵受害者的Gmail或其它服務。</p> <p>有些第三方應用程式會需要使用者登入以存取平臺服務，後者涵蓋了Gmail或其它Google服務，蘋果的iCloud、通訊錄或行事曆，或是微軟的Microsoft 365等；倘若使用者已於平臺上啟用了MFA，但該第三方應用程式並不支援MFA，那麼使用者便必須在這些平臺服務上生成一個16位數的應用程式專用密碼，以供第三方應用程式使用，替代MFA。</p> <p>此波攻擊行動被Google命名為UNC6293，受害者之一是英國的俄羅斯專家Keir Giles，他揭露許多俄羅斯的秘密活動，也撰寫大量有關俄羅斯入侵烏克蘭的文章。</p> <p>Giles在今年5月22日收到一名自稱是美國國務院官員Claudie Weber的來信，Weber自稱是美國國防部顧問，邀請Giles參與一場線上會議。雖然Weber通訊時使用Gmail，但也將副本送到@state.gov郵件位址，在雙方十多次的書信往來之後，Weber即寄送了一個PDF檔，引導Giles於他的Gmail電子郵件帳號中生成應用程式專用密碼，並將它指定給一個名為ms.state.gov的程式使用，再截圖回傳。</p> <p>駭客讓Giles以為他所建立的密碼是用來安全存取國務院資源或登入會議，但實際上這個ASP憑證是用來讓駭客存取Giles的Gmail帳號。此外，Giles應駭客的要求在許多帳號上都生成了ASP。</p> <p>最後是Google發現了相關攻擊，鎖住了受影響的帳號，接著禁用了駭客的Gmail帳號。</p> <p>UNC6293行動是在今年4月至6月間，鎖定了許多知名學者與俄羅斯批評者展開攻擊。Google表示，使用者其實可以完全控制其ASP，可根據需求建立或撤銷它們，且在使用者建立時，會傳送通知至相對應用的Gmail帳號、復原Email帳號，以及任何登入Google帳號的裝置，以確保使用者知道他們打算啟用該形式的身分驗證。</p> <p><a href="https://support.google.com/accounts/answer/185833?hl=en#zippy=%2Cwhy-you-may-need-an-app-password" target="_blank">Google亦提醒</a>，在大多數的情況下是不需要也不建議生成ASP的。</p> </div></div></div>
2025/6/20 11:25作者陳曉莉https://www.ithome.com.tw/news/169655
Citrix修補NetScaler 2項重大層級漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.citrix.com/support-home/kbsearch/article?articleNumber=CTX693420&articleURL=NetScaler_ADC_and_NetScaler_Gateway_Security_Bulletin_for_CVE_2025_5349_and_CVE_2025_5777" target="_blank">Citrix本周發布安全更新</a>，修補NetScaler軟體兩項重大風險漏洞。</p> <p>本次修補的漏洞影響二項產品，包括NetScaler ADC（Application Delivery Controller）及NetScaler Gateway。二個漏洞中，較嚴重的是CVE-2025-5777，為對外部輸入HTTP呼叫的長度驗證不足導致過度讀取記憶體（memory overread），造成資料不當外洩。本漏洞屬於越界讀取（Out-of-bounds Read）漏洞，風險值為CVSS 4.0的9.3。</p> <p>其次是CVE-2025-5349，為前述產品NetScaler管理介面的存取控制不當漏洞，小則讓未授權用戶存取系統設定、日誌、竄改設定，大則可能導致遠端程式碼執行或控制作業系統。本漏洞風險值為CVSS 4.0的8.7。</p> <p>受影響的產品版本為NetScaler ADC/Gateway 14.1（14.1-43.56以前）及13.1（13.1-58.32以前）、NetScaler ADC 13.1-FIPS與NDcPP（13.1-37.235以前）及NetScaler ADC 12.1-FIPS（12.1-55.328以前）。NetScaler ADC/Gateway 12.1和13.0都是已屆EoL（End of Life）的產品。Citrix建議用戶升級到支援版本。</p> <p>此外，另二項產品Secure Private Access on-prem（本地部署）或Secure Private Access Hybrid（混合雲）也受到影響。</p> <p>本次安全公告適用於自行管理的NetScaler ADC/Gateway用戶，Citrix管理的服務，則會由該公司軟體部門解決問題。</p> </div></div></div>
2025/6/20 11:48作者林妍溱https://www.ithome.com.tw/news/169656
北韓駭客在Zoom視訊用AI深偽技術對企業員工網釣，意圖散布macOS惡意軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客使用<a href="https://www.ithome.com.tw/tags/deepfake">深偽（Deepfake）</a>技術行騙的情況，最近幾年不時有事故傳出，從多年前<a href="https://www.ithome.com.tw/news/152773">假冒加密貨幣交易所幣安（Binance）高層</a>、<a href="https://www.ithome.com.tw/news/163635">馬斯克</a>等名人詐騙加密貨幣，到去年發生<a href="https://www.ithome.com.tw/news/161212#deepfake">有跨國企業遭到Deepfake視訊會議詐騙損失2億港幣</a>、<a href="https://www.ithome.com.tw/news/162249">資安業者LastPass員工遭到冒牌執行長視訊會議險些上當</a>、<a href="https://www.ithome.com.tw/news/164108">北韓駭客利用相關技術在資安業者KnowBe4求職得逞</a>，最近又有駭客試圖透過深偽從事相關攻擊，直到受害組織察覺異狀才東窗事發。</p> <p>資安業者Huntress揭露<a href="https://www.huntress.com/blog/inside-bluenoroff-web3-intrusion-analysis">一起北韓駭客的攻擊行動</a>，攻擊者的身分是匿稱為BlueNoroff、TA444、Sapphire Sleet、Copernicium、Stardust Chollima的駭客組織，他們鎖定Web3領域下手，針對Mac電腦用戶展開攻擊。</p> <p>Huntress之所以發現這起事故，起因是接獲合作夥伴的通報、發現某個終端使用者下載疑似有問題的Zoom延伸套件，等到部署Huntress的EDR代理程式、進行深度調查之後，他們觀察到使用者數週前曾收到駭客試圖取得存取權限的誘餌。</p> <p>接觸到誘餌的使用者是加密貨幣機構的員工，當時他從Telegram頻道收到駭客的訊息，對方引誘點選偽裝成Google Meet活動的連結，而該連結是透過線上會議排程工具Calendly建立，但這名員工依照指示點選後，就被重新導向到攻擊者控制的冒牌Zoom網域。</p> <p>數週後，這名員工參加了Zoom群組會議，視訊畫面出現多個深偽人物，模仿其公司高層與外部合作夥伴，試圖與這名員工建立信任。過程裡要求員工下載特定的Zoom延伸套件，但實際上這是有問題的AppleScript指令碼，執行後就會下載第二階段的惡意酬載。</p> <p>值得一提的是，該指令碼不僅會停用bash的事件記錄功能避免留下作案痕跡，還會安裝Rosetta 2轉譯程式，讓受害電腦能執行x86應用程式，最終建立隱藏檔案並下載有效酬載。</p> </div></div></div>
2025/6/20 10:41作者周峻佑https://www.ithome.com.tw/news/169650
M365 7月預設封鎖使用舊版身分驗證機制存取檔案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟強化Microsoft 365（M365）租戶的安全控管，將從7月起預設封鎖用戶以舊版身分驗證機制來存取檔案。</p> <p><a href="http://learn.microsoft.com/en-us/entra/identity/enterprise-apps/configure-admin-consent-workflow" target="_blank">微軟本周透過M365管理員中心訊息公布</a>（註：只有管理員身分可以存取），M365預設封鎖以舊驗證協定如RPS（Relying Party Suite）及FPRPC（FrontPage Remote Procedure Call）登入SharePoint、OneDrive和Office檔案，微軟將從7月起逐步部署，預定8月完成。微軟說，這次更新是因應微軟安全未來倡議（Secure Future Initiative，SFI）及其預設安全（Secure by Default）原則，目的在所有企業打造更穩固的基礎安全態勢。</p> <p>微軟所指的舊式驗證協定是指比OAuth 2.0或SAML更古早的用戶驗證技術，對M365而言，受影響的協定有RPS和FPRPC二種。RPS多半為舊式瀏覽器或用戶端App存取雲端資源之用，而FRPRC則是以前用於遠端網頁開發和操作Office檔案的方法。</p> <p>大部份系統都已不再使用上述協定，少部份基於和舊式應用和自動化工具相容的需求而留存至今。這些協定通常欠缺多因素驗證，容易遭受暴力破解和釣魚攻擊。微軟說，最新封鎖能使還在用這些協定的應用透過瀏覽器存取SharePoint、OneDrive或Office檔案，可減少攻擊表面。</p> <p>從7月中開始，預設封鎖上述2個協定的措施將部署到所有M365租戶。受影響的服務共有Microsoft Entra（之前名為Azure Active Directory）、Microsoft 365 app、SharePoint Online和OneDrive for Business。這項變更為自動部署，不需用戶任何動作。</p> <p>至於對用戶的影響，由於現代瀏覽器已經內建新式驗證，因此Office用戶或現代瀏覽器應該不受影響，但仰賴舊式協定的應用程式或工作流程將無法連結，包括舊式Office外掛或自訂工具，其次是使用RPS或FPRPC的自動化腳本程式、檔案同步或報表。如果企業使用非常舊的系統，可能得靠支援團隊開發暫時作法，或是儘速更新。</p> <p>微軟並增加新的第三方App存取M365管理政策。之前用戶可以自行授權第三方App存取Microsoft雲端檔案，但未來用戶無法自行授權，所有第三方App存取都需經管理員明顯的審核同意。新政策可防止過多企業資料外洩，像是第三方OAuth應用存取雲端檔案及資料。新政策也透過Entra文件，指引IT細部設定決定同意和存取控制。</p> <p>微軟說，M365封鎖舊協定是「安全未來倡議」（Secure Future Initiative，SFI）的一部份。微軟宣布的其他措施包括今年初宣布M365、Office 2024關閉ActiveX控制，7月起Teams封鎖在會議中螢幕擷圖、以及擴大Outlook附件的封鎖檔案類型名單，包括.library-ms及.search-ms等。</p> </div></div></div>
2025/6/20 10:48作者林妍溱https://www.ithome.com.tw/news/169651
企業與顧客互動模式的顛覆
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年5月的第三周，無疑是生成式AI最重要的技術和產品發表周，兩大科技巨頭，微軟和Google，在同一周舉辦了自家年度技術大會，Build和I/O，而且都瞄準了生成式AI和AI代理的開發。</p> <p>這兩大巨頭，不只揭露了許多讓人驚艷的新模型、生成式AI服務和開發工具，更揭露了對於生成式AI如何打造未來世界的發展願景，而且不約而同地都瞄準了，網際網路世界（WWW）的GenAI化發展，只是兩大巨頭採取了不同的路徑，展開這場顛覆計畫。</p> <p>其中，最讓我驚艷而且有感的是Google搜尋的全新功能AI模式（AI mode），不只改變了人們（消費者）使用網路的行為，我認為，這將徹底改變企業與顧客的互動模式。</p> <p>Google在去年IO大會上，在搜尋服務中推出了AI摘要功能，現在已在200多國提供，包括臺灣。根據Google最新數據，每個月高達15億人使用這項服務。AI摘要的內容，已經可以直接解答了不少人的部分資訊需求，不用像過去，得進一步點選連結，打開網頁來了解。</p> <p>因為AI摘要直接出現在Google搜尋結果的第一項，這項服務一上線，使用者不用往下繼續瀏覽，開始影響到許多高度依賴搜尋引擎導流的內容服務供應商，像是不少新聞網站開始發現，來自Google搜尋引擎的引導瀏覽流量明顯下滑了。甚至有內容供應業者甚至開始思考，搜尋引擎「零」導流的衝擊。Google執行長Sundar Pichai甚至強調，這是搜尋十年來最成功的新功能，光用AI摘要的用量不斷增加。</p> <p>AI摘要的問世，削弱了搜尋引擎導流的效果，但在今年IO大會上，Google發表了另一個功能比AI摘要更強大的生成式AI搜尋功能，也就是搜尋引擎的「AI模式」（AI Mode）。這是一種全新的搜尋，勢必搜尋引擎導流效果更大的衝擊。</p> <p>因為AI模式的搜尋，不只可以處理更長，更複雜的問題，還可以將搜尋問題拆解成數百個小問題，找到結果後組合成一份，適合使用者喜好的內容。甚至，可以將即時找出來的複雜數據視覺化，自動生成適合瀏覽的圖表，目前鎖定了金融和運動相關數據。</p> <p>甚至，AI模式還具備了更主動的能力，如AI代理般的特定任務代理能力，可以比較搜尋「特定棒球隊某一場比賽的便宜票價」，提供推薦購買連結，使用者只要一個點擊，就能完成訂票。不只棒球賽，各種活動門票、餐廳預定、本地端生活服務的預約，AI模式都可以代為執行。</p> <p>甚至，AI模式將可以提供一種新的AI購物體驗，目前以「買衣服」虛擬購物體驗為主，AI模式整合龐大網路資料和500億條購物圖譜射的商品和零售商資料，來提供購物搜尋的推薦，直接提供使用者個人化的明確、有限數量的購買清單選擇，跳過了龐大搜尋結果清單的廣告干擾，甚至提供購買考慮重點建議，縮短使用者下決定買單的過程。</p> <p>也用生成式AI技術打造了「虛擬試穿」來模擬使用者的穿搭感受，更提供了新的結帳AI代理功能，可以設定自己的預算，結帳AI代理會自動追蹤不同網站的價格變化，一但符合預算，自動輸入購買條件（顏色，尺寸等），通知使用者，獲得授權購買，還能連動到數位支付直接付款，提供從購買到訂購的購物體驗。</p> <p>未來，尤其對消費者服務的電商而言，上站瀏覽的不再只是真人，還將有許多AI代理，原本站上許多針對真人瀏覽習慣的操作設計，促銷活動，可能不再適用於AI代理。</p> <p>這個全新的AI模式，帶來了「真的想買，而不只是逛逛而已」的虛擬消費者，他們的採購目的更明確，也更有能力追蹤價格變動（對價差更敏感），和真人消費者的上網購物行為，有很大的不同，這就會顛覆了企業與顧客的傳統互動方式。</p> <p>AI模式今年5月先在美國推出，除了再次衝擊搜尋引擎結果的廣告導流效果，更值得觀察的是，科技能力強大的指標性電商平臺，如何因應AI代理人的購物行為，企業與顧客的互動行為，將會如何改變。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/ai%E4%BB%A3%E7%90%86">AI代理</a></div><div class="field-item odd"><a href="/tags/%E6%B6%88%E8%B2%BB%E6%97%85%E7%A8%8B">消費旅程</a></div><div class="field-item even"><a href="/tags/%E7%94%9F%E6%88%90%E5%BC%8F%E6%90%9C%E5%B0%8B">生成式搜尋</a></div><div class="field-item odd"><a href="/tags/ai%E6%A8%A1%E5%BC%8F">AI模式</a></div><div class="field-item even"><a href="/tags/ai%E6%91%98%E8%A6%81">AI摘要</a></div><div class="field-item odd"><a href="/tags/google%E6%90%9C%E5%B0%8B">Google搜尋</a></div></div></div>
2025/6/20 10:10作者王宏仁https://www.ithome.com.tw/voice/169648
【資安日報】6月19日，伊朗大型加密貨幣交易所Nobitex遭駭，駭客銷毀9千萬美元資金
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這兩天最受到關注的國際資安新聞，就是以色列駭客組織Predatory Sparrow（Gonjeshke Darande）發動的破壞性網路攻擊，他們先後聲稱對伊朗國營銀行Bank Sepah、大型加密貨幣交易所Nobitex下手，後續效應有待進一少觀察。</p> <p>此外，殭屍網路鎖定LLM開發工具Langflow重大漏洞而來的情況相當值得留意，開發人員應特別提高警覺並儘速修補；這幾天還有兩份先前資安事故的報告出爐，一份是關於3月公布的Chrome零時差漏洞攻擊事故，另一份是中國駭客Salt Typhoon對美國電信業者發動大規模攻擊。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169631"><strong style="font-size: 22px;">以色列駭客Predatory Sparrow對伊朗加密貨幣交易所Nobitex下手，銷毀價值9千萬美元的資金</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/GttSWdqaQAArbOS.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/GttSWdqaQAArbOS.jpg" style="width: 300px; float: right;" /></a></p> <p>上週末以色列與伊朗再度爆發軍事衝突，本週以色列駭客組織Predatory Sparrow（Gonjeshke Darande）聲稱對伊朗國營銀行Bank Sepah發動網路攻擊，摧毀所有資料，導致有幾間分行被迫暫停營業、客戶無法存取銀行帳戶、金融卡無法使用，ATM顯示尚未連線的錯誤訊息，引起全球高度關注。事隔一天，這些駭客傳出再度犯案，這次是針對加密貨幣交易所而來。</p> <p>根據CNN、衛報、Wired等各家媒體報導，這些駭客於6月18日透過社群網站X聲稱，他們也對伊朗大型加密貨幣交易所Nobitex下手，並預告將在1天之內公布該公司的原始碼，以及內部網路竊得的資料。同日Nobitex也在社群網站X發文，證實他們的網路環境出現基礎施未經授權存取的情形，影響該公司的內部通訊系統，以及部分熱錢包。Nobitex察覺後將所有受到影響的系統隔離，並透過內部事件回應團隊展開全面調查。</p> <p>專精加密貨幣相關網路犯罪的資安業者Elliptic公布相關調查結果，證實了Nobitex的說法，他們確認有超過9千萬美元加密貨幣遭竊，駭客將竊取的資金轉移至「虛榮地址（Vanity Addresses）」，這些地址包含反伊朗政權的訊息，例如針對伊斯蘭革命護衛隊（IRGC）的侮辱字句。</p> <p><a href="https://www.ithome.com.tw/news/169626"><strong style="font-size: 22px;">殭屍網路Flodrix鎖定LLM開發工具Langflow而來，意圖發動DDoS攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Langflow-Figure-1-updated.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Langflow-Figure-1-updated.png" style="width: 300px; float: right;" /></a></p> <p>殭屍網路綁架的目標，通常是缺乏定期修補、存在已知漏洞的家用路由器、網路攝影機、NAS、防火牆等小型連網設備，但近期這樣的態勢出現了變化，6月上旬資安業者Akamai揭露有兩個殭屍網路鎖定開源資安監控平臺Wazuh而來，利用重大漏洞CVE-2025-24016（CVSS風險9.9分）攻陷及控制Wazuh伺服器，有其他駭客組織跟進，鎖定開源AI開發平臺的重大漏洞來綁架主機。</p> <p>資安業者趨勢科技揭露名為Flodrix的殭屍網路，駭客鎖定的目標，駭客的目標是大型語言模型（LLM）應用程式開發平臺Langflow，他們透過網路掃描、尋找存在重大漏洞CVE-2025-3248的伺服器下手，並運用公開的概念驗證程式碼（PoC）而奪取遠端Shell的存取權限，得逞後攻擊者於受害主機下達bash命令進行偵察，然後將結果回傳C2伺服器。</p> <p>接著，駭客於受害主機下載、執行殭屍網路病毒Flodrix，一旦此惡意軟體成功完成部署，並與C2伺服器建立連線，攻擊者就能透過TCP連線下達命令並發起各種分散式阻斷服務（DDoS）攻擊。</p> <p><a href="https://www.ithome.com.tw/news/169624"><strong style="font-size: 22px;">衛星網路公司Viasat去年遭中國駭客Salt Typhoon攻擊</strong></a></p> <p>根據彭博社報導，與中國政府有關聯的駭客組織Salt Typhoon去年對電信業者發動大規模攻擊，衛星連網服務業者Viasat也是受害者之一。</p> <p>這項報導隨後獲得Viasat證實。Viasat發言人表示，該公司去年偕同外部專家調查，攻擊者是透過一臺被入侵的裝置，在未授權情況下存取了公司網路。但該公司強調沒有客戶受到影響，而且Viasat相信事件已經解決，今年以來沒有偵測到任何和該事件有關的活動。</p> <p>而對於這起大規模攻擊事故造成的危害，現在也傳出新的調查結果。FBI指出，Salt Typhoon入侵電信業者已造成近130萬名用戶及1億筆記錄外洩。報導說，藉由入侵美國電信公司，可助長Salt Typhoon取得重要人物，例如美國官員的通話記錄。這個組織還涉入今年2月針對美國財政部的攻擊行動，藉此取得憑證存取多位美國官員的筆電。</p> <p><a href="https://www.ithome.com.tw/news/169627"><strong style="font-size: 22px;">3月公布的Chrome零時差漏洞最新調查結果出爐，駭客組織TaxOff用於部署後門</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure_2_Decoy_document_used_in_the_September_2024_attack_7052c4390c.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure_2_Decoy_document_used_in_the_September_2024_attack_7052c4390c.png" style="width: 300px; float: right;" /></a>今年3月Google修補Chrome零時差漏洞CVE-2025-2783，當時通報此事的資安廠商卡巴斯基透露，駭客發出邀請函，以世界經濟和國際關係論壇「普里馬科夫讀書會（Primakov Readings）」報告為誘餌，誘使用戶存取釣魚網站。不過，當時研究人員並未辨識出行動是由誰策動。本週有研究人員公布進一步的調查結果。</p> <p>資安廠商Positive Technologies指出，攻擊者是名為TaxOff的駭客組織，一旦收信人點選報告連結，就會觸發CVE-2025-2783，讓駭客能將後門程式Trinper植入電腦。他們進行比對，發現另一組人馬Team46於去年10月從事的網釣攻擊手法相當類似，當時這些駭客以現代世界獨立國協安全（Security of the Union State in the modern world）」國際會議為誘餌來散布Trinper，主要的差別是駭客當時鎖定Yandex瀏覽器而來，利用另一個漏洞CVE-2024-6473來達到目的。對此，研究人員認為，TaxOff與Team46可能是同一個駭客組織。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/stargazers-use-fake-minecraft-mods-to-steal-player-passwords/">Minecraft玩家遭到鎖定，駭客假借提供作弊工具竊取帳密資料</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/06/google-warns-of-scattered-spider.html">Scattered Spider鎖定美國保險業者的IT支援部門而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://cybersecuritynews.com/hundreds-of-wordpress-websites-hacked-by-vextrio-viper-group/">駭客組織VexTrio Viper入侵數百個WordPress網站，意圖架設大型惡意流量分派服務</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://medium.com/@Billows_Tech/%E8%B3%87%E5%AE%89%E5%A8%81%E8%84%85-%E5%8F%B0%E7%81%A3%E6%9F%90%E7%A7%81%E7%AB%8B%E5%A4%A7%E5%AD%B8%E9%81%AD-nova-%E5%8B%92%E7%B4%A2%E8%BB%9F%E9%AB%94%E6%94%BB%E6%93%8A-%E5%B9%95%E5%BE%8C%E7%8F%BE%E8%B9%A4%E4%B8%AD%E5%9C%8B-apt-489c778a54dd">勒索軟體Nova聲稱成功入侵臺灣一所大學，攻擊者身分疑為中國APT駭客</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169623"><strong style="font-size: 22px;">Veeam修補備份軟體重大漏洞，可導致在備份伺服器遠端執行程式碼</strong></a></p> <p>備份與資料保護軟體廠商Veeam，於6月17日揭露影響備份軟體與其代理程式的3項漏洞，並釋出修補。</p> <p>這3個漏洞中，最嚴重的是編號為CVE-2025-23121的漏洞，為CVSS嚴重性等級評分9.9的重大漏洞，由watchTowr與CodeWhite安全研究人員發現與通報，存在於Veeam Backup & Recovery備份軟體12.3.1.1139以前的版本，通過身分驗證的網域使用者，可透過這個漏洞從遠端存取備份伺服器，並且在上面任意執行各種程式碼。</p> <p>事實上，Veeam先前在今年3月，才剛修補Veeam Backup & Recovery另一個相似的遠端執行程式碼漏洞CVE-2025-23120，CVSS嚴重性評分同樣是9.9，當時Veeam曾發布12.3.1版（build 12.3.1.1139）備份軟體來修補這個漏洞，但時隔3個月後，這個修補版本也被發現存在遠端執行程式碼漏洞，解決方法是將備份軟體更新到12.3.2版（build 12.3.2.3617）。</p> <p><a href="https://www.ithome.com.tw/news/169606"><strong style="font-size: 22px;">Tenable揭露與修補漏洞管理平臺代理程式漏洞，以免攻擊者趁機覆寫Windows系統檔案</strong></a></p> <p>資安系統出現漏洞，很有可能影響保護能力，但過往大部分受到媒體報導的消息，多半與防毒軟體、EDR、防火牆、SSL VPN有關，然而最近有漏洞管理平臺的資安漏洞引起SecurityWeek、SC Media、Infosecurity Magazine、Heise Online等多家媒體關注並報導此事，因為若不處理，攻擊者能以SYSTEM權限對Windows電腦上下其手。</p> <p>漏洞管理解決方案Tenable上週發布Windows版Nessus代理程式更新，修補3項資安漏洞CVE-2025-36631、CVE-2025-36632、CVE-2025-36633，這些漏洞可被非管理員身分的使用者利用，攻擊者能以SYSTEM權限覆寫本機任意系統檔案、執行程式碼，或是刪除檔案以便提升權限，CVSS風險介於7.8至8.8分，影響10.8.4以下版本的Nessus代理程式，使用者應儘速升級至10.8.5版因應。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/linux/new-linux-udisks-flaw-lets-attackers-get-root-on-major-linux-distros/">Linux作業系統元件udisks存在漏洞，攻擊者有機會藉此得到root權限</a></strong></p> <p></p> <p> </p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169597"><strong style="font-size: 22px;">針對Chrome憑證撤銷信任，中華電信表示</strong></a><a href="https://www.ithome.com.tw/news/169597"><strong style="font-size: 22px;">受影響政府機關網站7月底可望全面完成憑證更換</strong></a></p> <p> </p> <p>6月初中華電信TLS網站憑證因改善不合規，遭Google宣布將從Chrome 139之後瀏覽器開始，移除信任中華電信從8月起簽發的TLS新憑證，受影響的中華電信TLS憑證包括商業及政府機關網站。中華電信今天（6/17）首次對外公開說明，目前正協助客戶更換憑證，受影響政府網站預期在7月底完成憑證更新或轉換為雙憑證，並祭出改進作為，包括8月起暫停簽發憑證、重整內部憑證管理團隊、加強自動化檢查憑證，避免人為疏失等等，希望在2026年3月重新獲得Chrome預設信任憑證為目標。</p> <p>中華電信董事長簡志誠對外公開說明，他表示，瀏覽器改版有時可能會變更欄位，去年3月中華電信憑證維運團隊對改版後的欄位變更敏感不足，團隊配合改版調整欄位的時效性不夠快，去年無法配合時程，導致中華電信維運團隊的行為在Bugzilla社群論壇不被信任，今年2、3月公司內高階主管瞭解這件事立即從手改善，儘管中華電信已經完成改善，但Google仍基於先前團隊的不合規紀錄，決定自8月起移除Chrome瀏覽器對中華電信新TLS憑證的預設信任。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169611"><strong>【6月18日】AWS宣布IAM領域重大進展</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169594"><strong>【6月17日】新興勒索軟體脅迫受害組織付錢出現新手法，藉由抹除檔案內容進行施壓</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169573"><strong>【6月16日】駭客運用JSFireTruck混淆手法埋藏意圖，於近270萬網站植入惡意程式碼</strong></a></p> </div></div></div>
2025/6/19 16:35作者周峻佑https://www.ithome.com.tw/news/169632
衛福部揭長照3.0目標，加強發展智慧照護
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在今日（6/19）行政院會後記者會中，衛福部長照司揭露長照3.0計畫，延續2.0實施成果，提出8大目標，包括健康促進、醫療照顧整合、積極復能、提升機構量能、強化家庭支持、導入智慧照顧、落實安寧善終、人力專業發展，同時提出8大特色，如導入智慧照護科技、新增居家智慧科技輔具租賃制度，以及建立在宅責任醫療網絡等。</p> <p><span style="font-size:22px;"><strong>提出3.0計畫3大願景、8大目標與特色</strong></span></p> <p>衛福部長照司司長祝健芳表示，長照3.0願景與長照2.0是一致的，要以社區為基礎、以人為本，來提供連續照顧。推動策略則瞄準普及照護資源、強化家庭支持、完善專業銜接，來達到健康老化、在地安老安寧善終的願景。</p> <p>長照3.0計畫還瞄準8大目標，包括健康促進、醫療照顧整合、積極復能、提升機構量能、強化家庭支持、導入智慧照顧、落實安寧善終、人力專業發展，是根據2.0計畫不足之處，提出的加強方向。</p> <p>也因此，長照司歸納出3.0計畫8大特色。首先是將現行社區內的各種據點，發展為社區共融照護圈，來打破既有對象的限制，尤其是原本聘僱外籍看護的家庭，需自費使用社區照顧資源，如日照中心、家庭式託顧服務，長照司為了讓長輩也有社區參與感，因此在3.0計畫中，將原核定額度放寬，來使用社區照顧資源。</p> <p>第二個特色是醫療長照無縫接軌。祝健芳表示，原本在居家醫療照顧和大家醫計畫併行時，未有專責醫師開立長照醫師意見書，住院PAC個案也沒有出院準備銜接長照服務，因此3.0計畫要串接這些流程，建立在宅責任醫療網絡、持續推動健保署的在宅急症照顧，並強化銜接住院PAC個案復能服務，讓醫療照護與長照更密切。</p> <p>第三是擴大服務對象，要將原本照護對象鎖定的65歲以上失能老人、失能身心障礙者、55歲以上失能原住民、50歲以上失智症者，但現在，要擴大為不分年齡的急性後期照護（PAC）失能者，盼其早日康復、回到社區；同時，照護對象也會擴大納入年輕型失智者，也就是49歲以下確診的個案，就在照護範圍內，可以使用共照中心或失智據點資源，來接受延緩失智的課程或資源。</p> <p>第四個特色是強化中重度照顧，將原本只針對部分個案提供晚間和夜間緊急服務、透過獎助加強資源不足區發展住宿資源，在3.0計畫中，會改擴增晚間照顧和夜間緊急服務量能，以及在缺乏長照資源地區，結合社宅或公私資源來加強。</p> <p>下一個特色是「住院照顧鬥跤手」，也就是由政府與民眾，共同分擔聘請住院看護的費用，來改善原本民眾住院時，家人需請假自行陪病或自聘看護的沉重經濟負擔。祝健芳表示，目前已在特定區域試辦，未來會擴大到更多醫院。</p> <p>第六個特色是以人為本智慧照顧，也就是要新增居家智慧科技輔具租賃的制度，並獎勵日照及住宿機構導入智慧照顧科技，來減輕人員負荷、提升照顧品質。</p> <p>再來是落實安寧善終，也就是針對特定疾病且一定年齡以上的民眾，由政府支付一生一次的免費預立醫療照護諮商（ACP）。過去的計畫，只針對低收入戶、中低收入戶、身心障礙者、使用日間照顧服務者、病主法第14條公告疾病者，才提供免費ACP。</p> <p>最後一個特色是充實照顧人力，因為，在長照2.0計畫中，只有住宿機構可聘僱中階人力、照顧服務均需由照服員提供，造成勞力負擔過大。於是，政府要在3.0計畫優化照服員的勞動條件、擴大外籍中階技術人力進用（尤其是夜間照護），以及推動照顧分級派工，來讓非長照核心的照顧項目，讓非長照人員執行。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202025-06-19%20170800.png" /></p> <p></p> <div id="gtx-trans" style="position: absolute; left: 813px; top: 59.1354px;"> <div class="gtx-trans-icon"> </div> </div> </div></div></div>
2025/6/19 17:36作者王若樸https://www.ithome.com.tw/news/169636
可搭8張雙寬或16張單寬GPU加速卡，Dell推出新款AI伺服器
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/dell_poweredge_xe7740_main_0.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這幾年與Nvidia相互唱和、推廣AI工廠概念的Dell，去年10月<a href="https://www.dell.com/en-us/dt/corporate/newsroom/announcements/detailpage.press-releases~usa~2024~10~amd-advancing-ai.htm#/filter-on/Country:en-us">OCP全球高峰會</a>與11月<a href="https://www.dell.com/en-us/dt/corporate/newsroom/announcements/detailpage.press-releases~usa~2024~11~dell-ai-factory.htm#/filter-on/Country:en-us">SC超級電腦大會</a>期間，陸續發表多款AI加速伺服器專用機型，持續擴充PowerEdge XE系列產品陣容，而且，特別的是，部分機型還可納入該公司推出的第二款整合式機櫃擴充系統（IRSS）：Integrated Rack 5000。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20Integrated%20Rack%20Scalable%20Systems.jpg" style="width: 600px;" /></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20Integrated%20Rack%20Scalable%20Systems2.jpg" style="width: 600px;" /></p> <p>我們先來看看4U尺寸、配備8個AI加速器的伺服器XE7745與XE7740，這兩款產品原定分別在2025年1月與第二季推出，時至今日Dell網站已陸續公布規格與技術指南，上面標明XE7745這些文件的發布時間為2025年2月，XE7740則是2025年5月。</p> <p>時間回到去年第四季，2024年10月Dell預告將推出XE7745，屆時將採用AMD第五代EPYC處理器，支援8張雙寬尺寸或16張單寬尺寸的GPU加速卡，伺服器GPU的容量增加1倍——上代機型R760xa搭配2U尺寸機箱，最多只能支援4張雙寬或12張單寬的GPU加速卡。而且，Dell XE7745還能提供額外的PCIe 5.0介面卡插槽，以便安裝網路卡，是專為AI推論、模型微調、高效能運算等應用而設置的伺服器機型。 </p> <p><a href="https://s4.itho.me/sites/default/files/images/2025-04-Dell PowerEdge XE7745 vs_ R760xa Server-Llama 3_3 70B Performance with vLLM.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-04-Dell%20PowerEdge%20XE7745%20vs_%20R760xa%20Server-Llama%203_3%2070B%20Performance%20with%20vLLM.jpg" style="width: 600px;" /></a></p> <p>一個月之後，Dell預告將推出整體配置與XE7745相當類似的XE7740，當中採用兩顆英特爾Xeon 6 P-core處理器，最多可搭配8張雙寬尺寸的AI加速器，像是<a href="https://www.ithome.com.tw/review/162428">英特爾Gaudi 3</a>、<a href="https://blogs.nvidia.com/blog/hopper-h200-nvl/">Nvidia H200 NVL</a>，或是16張單寬尺寸的AI加速器，如Nvidia L4。他們強調這款設備能涵蓋企業生成式AI模型的微調或推論應用需求，提供適合的伺服器組態，充分發揮大型資料集的價值。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Dell PowerEdge XE-New.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Dell%20PowerEdge%20XE-New.jpg" style="width: 600px;" /></a></p> <p>到了今年，在Nvidia於3月中舉行的GTC大會期間，Dell明確表示，XE7745與XE7740皆能搭配Hopper架構、記憶體更大更快的GPU加速卡Nvidia H200 NVL，能在企業部署Dell AI Factory with NVIDIA解決方案時，<a href="https://www.dell.com/zh-tw/blog/simplify-enterprise-ai-adoption-and-scale-with-agentic-ai/">提供更高的效能與使用彈性</a>，藉由這樣的系統提供高頻寬的處理能力，以及最新推出的Nvidia GPU平臺，支撐嚴苛的AI應用案例需求。在此同時，因為Nvidia在GTC 2025大會發表性能更強大的GPU加速卡：RTX Pro 6000 Blackwell Server Edition，Dell也在他們的部落格預告雙方的合作：XE7745與XE7740將能搭配8張這款資料中心GPU，而在5月下半召開的<a href="https://www.dell.com/en-us/dt/corporate/newsroom/announcements/detailpage.press-releases~usa~2025~05~dell-technologies-and-nvidia-unveil-next-generation-enterprise-ai-solutions.htm#/filter-on/Country:en-us">Dell technologies World</a>，該公司明確表示上述配置將於<a href="https://www.nextplatform.com/2025/05/20/dell-is-determined-to-gets-its-piece-of-the-ai-enterprise-pie/">7月正式推出</a>，也將在Nvidia Enterprise AI Factory驗證設計提供支援，因應機器人、數位雙生等物理AI，以及多模態AI等代理型AI應用案例的需求。</p> <p>關於效能測試的表現上，早一步上市的XE7745已出現在4月公布的MLPerf Inference v5.0，以及6月揭曉的MLPerf Training v5.0。</p> <p>以AI推論測試MLPerf Inference v5.0而言，同樣搭配8張Nvidia H200 NVL，XE7745在Llama2 70b模型的使用上，略優於其他三款伺服器：華碩ESC8000A-E13P、HPE ProLiant Compute DL380a Gen12、Supermicro SYS-522GA-NRT，但在GPTJ模型的使用上，則是落後上述伺服器。若是同樣搭配8張Nvidia L40S，XE7745大部分項目都略優於HPE DL380a。</p> <p> </p> <p><a href="https://s4.itho.me/sites/default/files/images/MLInference DataCenter 5_0-H200 NVL-llama2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/MLInference%20DataCenter%205_0-H200%20NVL-llama2.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/MLInference DataCenter 5_0-H200 NVL-GPTJ.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/MLInference%20DataCenter%205_0-H200%20NVL-GPTJ.jpg" style="width: 600px;" /></a></p> <p>而在AI訓練測試MLPerf Training v5.0，Dell提交搭配4張Nvidia H200 NVL的XE7745，以及搭配8張Nvidia H200 NVL的XE7740，由於此次無其他品牌伺服器，所以，大家無法從中比較Dell XE7745性能是否優於其他廠牌的伺服器。</p> <p>不過，我們倒是可以趁機了解這些GPU組態類似的伺服器，看看它們的硬體規格異同。</p> <p>首先是機箱尺寸，Dell XE7745與Dell XE7740、華碩ESC8000A-E13P，以及HPE DL380a皆為4U，而Supermicro SYS-522GA-NRT則是5U。</p> <p>第二是AI加速器，Dell XE7745、Dell XE7740、華碩ESC8000A-E13P、HPE DL380a、Supermicro SYS-522GA-NRT，均可搭配8張Nvidia H200 NVL。</p> <p>根據Nvidia Qualified System Catalog網站所示，採用類似組態的伺服器，還有採用4U機箱的技嘉G494-ZB4-AAP2、G494-SB0-AAP2、G494-SB4-AAP2、永擎4U8G-TURIN2、微星CG480-S5063（S5063G480），採用5U機箱的Supermicro SYS-521GE-TNRT、AS -5126GS-TNRT2，以及採用3U機箱的聯想SR675 V3。值得注意的是，Supermicro這些機型，由於機箱尺寸較大，部分產品全高全長PCIe介面卡插槽可提供到10個，甚至13個之多。</p> <p>而關於GPU的搭配，上述伺服器還可搭配Nvidia另一款資料中心GPU產品L40S，像是Dell XE7745、華碩ESC8000A-E13P、Supermicro SYS-521GE-TNRT、聯想SR675 V3。</p> <p>第三是處理器與記憶體平臺。Dell XE7740搭配兩顆英特爾Xeon 6 P-core系列的6700系列處理器（最大86核心 x 2），以及32支DDR5-5200或DDR5-6400記憶體（最大3 TB、未來4 TB）；Dell XE7745搭配兩顆AMD EPYC 9005系列處理器（最大192核心 x 2），以及24支DDR5-6000或DDR5-6400記憶體（最大2.3 TB、未來3 TB）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/dell-pexe7740-internal-cpu-layer.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/dell-pexe7740-internal-cpu-layer.jpg" style="width: 600px;" /></a></p> <p>華碩ESC8000A-E13P搭配兩顆AMD EPYC 9005系列處理器（最大192核心 x 2），以及24支DDR5-5600或DDR5-6400記憶體（最大3 TB）；HPE DL380a搭配兩顆英特爾Xeon 6 P-core系列或E-core系列，以及32支DDR5-5200或DDR5-6400記憶體（DDR5-5200最大8 TB，DDR5-6400最大4 TB）；Supermicro SYS-522GA-NRT搭配兩顆英特爾Xeon 6 P-core系列的6900系列處理器（最大128核心 x 2），以及24支DDR5-6400或DDR5-8800記憶體（最大6 TB）。</p> <p><strong><span style="color:#008080;">產品資訊</span></strong></p> <p><strong><span style="color:#0000FF;">Dell PowerEdge XE7740</span></strong><br /> ●原廠：Dell<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：4U<br /> ●處理器：2顆，Xeon 6系列（最高搭配86核心機型）<br /> ●記憶體：32個DDR5-6400插槽，最大可擴充至4 TB<br /> ●儲存配置：8臺E3.S外形NVMe固態硬碟+2臺M.2 NVMe固態硬碟（BOSS-N1 DC-MHS）<br /> ●搭配GPU：8張雙寬全高全長600瓦GPU（Nvidia H200 NVL）<br /> 或16張單寬全高全長75瓦GPU<br /> ●I/O擴充介面：8張 PCIe 5.0 x16全高全長介面卡（150瓦）<br /> ●電源供應器：8臺3200瓦<br /> ●系統管理平臺：iDRAC10</p> <p><strong><span style="color:#0000FF;">Dell PowerEdge XE7745</span></strong><br /> ●原廠：Dell<br /> ●建議售價：廠商未提供<br /> ●機箱尺寸：4U<br /> ●處理器：2顆，AMD EPYC 9005系列（最高搭配192核心機型）<br /> ●記憶體：24個DDR5-6000插槽，最大可擴充至3 TB<br /> ●儲存配置：8臺E3.S外形NVMe固態硬碟+2臺M.2 NVMe固態硬碟（BOSS-N1 DC-MHS）<br /> ●搭配GPU：8張雙寬全高全長600瓦GPU（Nvidia H200 NVL、Nvidia L40S）<br /> 或16張單寬全高全長75瓦GPU<br /> ●I/O擴充介面：8張 PCIe 5.0 x16全高半長介面卡（150瓦）<br /> ●電源供應器：8臺3200瓦<br /> ●系統管理平臺：iDRAC10</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/6/19 17:18作者李宗翰https://www.ithome.com.tw/review/169598
以色列駭客Predatory Sparrow對伊朗加密貨幣交易所Nobitex下手，銷毀9千萬美元資金
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>上週末以色列與伊朗再度爆發軍事衝突，本週以色列駭客組織Predatory Sparrow（Gonjeshke Darande）<a href="https://www.ithome.com.tw/news/169610">聲稱對伊朗國營銀行Bank Sepah發動網路攻擊</a>，摧毀所有資料，導致有幾間分行被迫暫停營業、客戶無法存取銀行帳戶、金融卡無法使用，ATM顯示尚未連線的錯誤訊息，引起全球高度關注。事隔一天，這些駭客傳出再度犯案，這次是針對加密貨幣交易所而來。</p> <p>根據<a href="https://edition.cnn.com/2025/06/18/middleeast/pro-israel-hackers-iran-crypto">CNN</a>、<a href="https://www.theguardian.com/technology/2025/jun/18/israel-linked-group-hacks-iranian-cryptocurrency-exchange-in-90m-heist">衛報</a>、<a href="https://www.wired.com/story/israels-predatory-sparrow-hackers-are-waging-cyberwar-on-irans-financial-system/">Wired</a>等各家媒體報導，這些駭客於6月18日透過社群網站X聲稱，他們也對<a href="https://x.com/GonjeshkeDarand/status/1935231018937536681">伊朗大型加密貨幣交易所Nobitex下手</a>，並預告將在1天之內公布該公司的原始碼，以及內部網路竊得的資料。</p> <p>而對於攻擊的動機，駭客表示Nobitex是伊朗資助全球恐怖主義活動的核心，而且還指導用戶運用他們的基礎設施繞過國際制裁，其中一個就是敘利亞政權相當依賴該加密貨幣交易所。</p> <p>同日Nobitex也<a href="https://x.com/nobitexmarket/status/1935244739575480472">在社群網站X發文</a>，證實他們的網路環境出現基礎施未經授權存取的情形，影響該公司的內部通訊系統，以及部分熱錢包。Nobitex察覺後將所有受到影響的系統隔離，並透過內部事件回應團隊展開全面調查。</p> <p>而對於這起事故造成的影響，Nobitex強調只有用於日常資金流通的熱錢包受到影響，大部分用戶的資產不受影響，因為這些資產多數都存放在冷錢包而未受波及。為了保險起見，Nobitex表示在進行全面稽核與加強防護之際，將暫停網站及應用程式的服務。至於可能會蒙受損失的用戶，該公司將透過保險基金與儲備金因應。</p> <p>究竟損失的規模有多大？<a href="https://x.com/nobitexmarket/status/1935409871257579815">Nobitex估計攻擊者偷走了價值約1億美元的加密貨幣</a>，值得留意的是，他們提及這些資產被移轉到以隨意字元組成的非標準加密貨幣錢包位址，這種不尋常的現象，突顯攻擊者的目的與其他針對加密貨幣交易所的事故有所不同，對方並非為了牟利，而是想要銷毀用戶的資產進行破壞。</p> <p>專精加密貨幣相關網路犯罪的資安業者Elliptic<a href="https://www.elliptic.co/blog/iranian-crypto-exchange-nobitex-hacked-pro-israel-group">公布相關調查結果</a>，證實了Nobitex的說法，他們確認有超過9千萬美元加密貨幣遭竊，駭客將竊取的資金轉移至「虛榮地址（Vanity Addresses）」，這些地址包含反伊朗政權的訊息，例如針對伊斯蘭革命護衛隊（IRGC）的侮辱字句。由於這些地址極難產生且無法存取私鑰，相關資金實際上形同被銷毀而無法取回。附帶一提的是，Elliptic特別提到，若被盜的是以美元為基礎發行的穩定幣，由於美元由加密貨幣發行者持有，不會因此遭到銷毀，因此這次駭客的手法，穩定幣將不受影響。</p> <p>Elliptic也確認Nobitex的確與IRGC有關，並指出IRGC成員在對關鍵基礎設施從事勒索軟體攻擊的過程中，就將比特幣送至Nobitex帳戶。</p> </div></div></div>
2025/6/19 15:07作者周峻佑https://www.ithome.com.tw/news/169631
Google開始測試能夠連續對話的Search Live語音搜尋功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/search/search-live-ai-mode/" target="_blank">Google周三（6/18）宣布</a>，已開始藉由搜尋實驗室（Search Labs）中的AI模式，測試具備語音輸入功能的Search Live，它允許Android及iOS平臺上的Google程式在搜尋時，能夠利用語音與系統連續對話，它會秀出逐字稿（Transcript），也會列出參考連結，亦可於背景使用。不過，目前僅開放美國市場參與測試。</p> <p>隨著大型語言模型的能力愈來愈強，科技業者正著手改善人們與AI模型之間的體驗，例如<a href="https://deepmind.google/models/project-astra/" target="_blank">Google DeepMind的Astra專案（Project Astra）</a>目標是建置一個可覆蓋所有Google產品的AI助理，目前正在開發自然語音的連續互動功能，或是使用各種工具替使用者完成任務，或是提供個人化答案等，並將它們應用在Gemini Live、Google搜尋或眼鏡等新裝置上。</p> <p>Google搜尋團隊解釋，AI模式中的Search Live採用一個具備先進語音能力的客製化Gemini模型，該模型是建立在擁有最佳品質及資訊的搜尋系統上，因此不管使用者從哪裡、用什麼方式發問，系統都能提供可靠且有幫助的回答。</p> <p>此外，Search Live的語音搜尋功能還採用了查詢扇出（query fan-out）技術，將一個查詢同時傳送到多個系統、模型或資料源，整合之後再予以回應，以呈現更多元的結果。</p> <p>於是Google程式用戶在搜尋中啟用Search Live時，得以用語音詢問問題，系統也會以語音回應，而且雙方可以不間斷地回應與互動，使用者也可查看對話的逐字稿，或是系統所提供的參考連結，也能進入AI模式的歷史紀錄查詢先前的對話內容。</p> <p>由於Search Live可於背景執行，因此就算螢幕鎖住了仍能繼續對話，也能在對話時使用其它程式。</p> <p>目前Google除了開放Gemini聊天機器人之外，在去年10月於全球搜尋服務中部署的<a href="https://www.ithome.com.tw/news/165747" target="_blank">AI Overviews</a>也已替使用者彙整並摘錄了重要資訊。</p> </div></div></div>
2025/6/19 14:42作者陳曉莉https://www.ithome.com.tw/news/169630
OpenAI也終止和Scale AI合作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>繼Google之後，<a href="https://www.bloomberg.com/news/articles/2025-06-18/openai-is-phasing-out-its-work-with-scale-ai-after-meta-deal" target="_blank">彭博報導</a>，OpenAI也已逐步終止和AI資料標註平臺Scale AI的合作，將尋求更專精的資料供應商。</p> <p>總部設於舊金山的Scale AI核心技術是訓練AI進行資料標註，以用於更大模型的訓練。上周Scale AI證實已獲得Meta投資。隨後，<a href="https://www.ithome.com.tw/news/169564" target="_blank">路透社報導，</a>Google已經終止和Scale AI的合作。</p> <p>另一家客戶OpenAI財務長Sarah Friar在上周一場科技活動上表示，該公司會繼續和Scale AI的合作。不過言猶在耳，彭博又引述消息人士報導，OpenAI並不準備延續合作關係。</p> <p>OpenAI證實此事，但表示，公司早在Scale AI和Meta合作之前，就已規劃6到12個月內降低對Scale AI的依賴。OpenAI希望尋找更專精某領域的資料供應商如Mercor為合作夥伴，以推進AI研發。</p> <p><a href="https://www.ithome.com.tw/news/169561" target="_blank">業界報導</a>，Meta投資Scale AI 143億美元取得該公司49%的股份，並聘請Scale AI創辦人Alexandr Wang加入Meta。本投資案使得Scale AI市值一舉超過290億美元。</p> </div></div></div>
2025/6/19 14:09作者林妍溱https://www.ithome.com.tw/news/169629
殭屍網路Flodrix鎖定LLM開發工具Langflow而來，意圖發動DDoS攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>殭屍網路綁架的目標，通常是缺乏定期修補、存在已知漏洞的家用路由器、網路攝影機、NAS、防火牆等小型連網設備，但近期這樣的態勢出現了變化，6月上旬資安業者Akamai揭露<a href="https://www.ithome.com.tw/news/169540">有兩個殭屍網路鎖定開源資安監控平臺Wazuh而來</a>，利用重大漏洞<a href="https://www.ithome.com.tw/tags/cve-2025-24016">CVE-2025-24016</a>（CVSS風險9.9分）攻陷及控制Wazuh伺服器，有其他駭客組織跟進，<a href="https://www.trendmicro.com/en_us/research/25/f/langflow-vulnerability-flodric-botnet.html">鎖定開源AI開發平臺的重大漏洞來綁架主機</a>。</p> <p>資安業者趨勢科技揭露名為Flodrix的殭屍網路，駭客鎖定的目標，駭客的目標是大型語言模型（LLM）應用程式開發平臺Langflow，他們透過網路掃描、尋找存在重大漏洞<a href="https://www.ithome.com.tw/tags/cve-2025-3248">CVE-2025-3248</a>的伺服器下手，並運用公開的概念驗證程式碼（PoC）而奪取遠端Shell的存取權限，得逞後攻擊者於受害主機下達bash命令進行偵察，然後將結果回傳C2伺服器。</p> <p>接著，駭客於受害主機下載、執行殭屍網路病毒Flodrix，一旦此惡意軟體成功完成部署，並與C2伺服器建立連線，攻擊者就能透過TCP連線下達命令並發起各種分散式阻斷服務（DDoS）攻擊。</p> <p>Langflow是以Python開發而成的圖形化應用程式開發工具，用戶可透過圖形化的操作流程快速建立AI工作流程，而無須自行撰寫大量程式碼，能以此建立ChatGPT外掛程式與聊天機器人、文件問答系統、多代理程式協作流程，或是快速原型設計與AI應用實驗。此開源專案相當受到歡迎，在GitHub儲存庫獲得逾7萬個星星。</p> <p>而這次駭客利用的漏洞CVE-2025-3248，<a href="https://www.ithome.com.tw/news/168806">開發團隊於今年3月發布1.3.0版Langflow修補</a>，影響1.2.x所有版本，風險值達到9.8分。這項漏洞發生的原因，在於Langflow平臺處理程式碼驗證的過程，缺乏適當的安全控管，攻擊者可透過未受到認證及保護的API端點提交特製Python程式碼，然後利用裝飾器（Decorator）或預設參數中的表示式，在功能函數尚未執行之前觸發想要執行的程式碼。值得留意的是，美國網路安全暨基礎設施安全局（CISA）5月初已將CVE-2025-3248列入KEV資料庫，意味著此漏洞已被用於實際攻擊行動。</p> <p>針對Flodrix的發展歷程，趨勢科技的分析認為這是以名為LeetHozer的殭屍網路家族為基礎進行改良、變種，採用多種隱身手法，本身包含自我刪除的機制，企圖大幅降低留下的證據並迴避偵測。</p> </div></div></div>
2025/6/19 11:05作者周峻佑https://www.ithome.com.tw/news/169626
3月公布的Chrome零時差漏洞被駭客用於部署後門
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年3月Chrome零時差漏洞CVE-2025-2783遭到攻擊，<a href="https://global.ptsecurity.com/analytics/pt-esc-threat-intelligence/team46-and-taxoff-two-sides-of-the-same-coin" target="_blank">資安廠商Positive Technologies發現</a>，這起行動中，駭客組織TaxOff在受害電腦上部署了後門。</p> <p>CVE-2025-2783起於Google Chrome中的IPC（inter-process communication）框架Mojo，可在某些狀況下處理惡意handle觸發，使遠端攻擊者得以繞過Chrome沙箱保護機制，而在Windows電腦上執行程式碼。<a href="https://www.ithome.com.tw/news/168082" target="_blank">Google已在今年3月發布Chrome 134修補</a>。</p> <p>今年3月的釣魚信件行動，首先是由資安廠商卡巴斯基（Kaspersky）揭露。當時，卡巴斯基發現，駭客發出冒充邀請函，以世界經濟和國際關係論壇「普里馬科夫讀書會（Primakov Readings）」報告為誘餌，誘使用戶連向釣魚網站。不過當時研究人員並未辨識出行動是由誰策動。</p> <p>Positive Technologies本周發布進一步研究成果。研究人員將3月份攻擊背後行動者命名為TaxOff，而且揭露了危害結果。當受害者點入「普里馬科夫讀書會（Primakov Readings）」報告連結，會觸發Chrome CVE-2025-2783漏洞，使TaxOff部署的Trinper後門程式植入用戶電腦。</p> <p>而在研究3月份的攻擊時，Positive Technologies研究人員發現另一起同樣使用釣魚信件的攻擊，不過時間可追溯到2024年10月。該起事件是誘使用戶點擊「現代世界獨立國協安全（Security of the Union State in the modern world）」國際會議連結。Positive Technologies將去年10月的攻擊中的背後操作者命名為Team46。</p> <p>而研究二起事件，Positive Technologies研究人員認為Team46和TaxOff可能是同一組人。原因在於二起事件同樣採用釣魚信件、使用高階政經會議為誘餌，而且惡意程式運作方式相同。</p> <p>但今年3月的事件中，攻擊手法又更高明，像是去年10月攻擊並未使用零時差漏洞，而是利用PowerShell腳本和DLL劫持等多階段攻擊。3月的攻擊行動中，駭客使用Chrome零時差漏洞，而且具自動化能力，受害者一鍵點擊後，即自動植入後門。</p> <p>研究人員因此指出，從其植入建立和使用惡意程式的手法來看，顯示攻擊者具長期策略，並企圖確保在受害系統內能潛藏更長的時間。</p> </div></div></div>
2025/6/19 12:02作者林妍溱https://www.ithome.com.tw/news/169627
Midjourney推出首個影片生成AI模型V1
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國AI新創Midjourney繼推出圖像生成服務之後，<a href="https://www.midjourney.com/updates/introducing-our-v1-video-model" target="_blank">今日（6/19）發表首個影片模型V1</a>，利用圖像來生成影片，費用約是生成圖像的8倍，<a href="https://x.com/EccentrismArt/status/1935415953803931932?utm_source=chatgpt.com" target="_blank">一上線就頗獲好評</a>。</p> <p>2022年創立的Midjourney表示，該公司的目標是建置一個可即時模擬開放世界的模型，想像一個可即時生成影像的AI系統，允許使用者命令它在3D空間移動，環境及角色也會跟著移動並彼此互動。為了達到該目標，Midjourney需要建立各種模組，像是圖像模型，可讓圖像動作的影片模型，以及可於空間中移動的3D模型，以及能夠快速完成所有的即時模型。</p> <p>明年起Midjourney將分別建置並發表這些元件，再將它們整合成一個統一的系統，並解釋一開始可能比較貴，但很快地就可經濟實惠到每個人都能使用。</p> <p>V1即是Midjourney所推出的第一個影片模型，它的工作流程基本上為圖像轉影片（Image-to-Video），一開始還是製作或上傳圖像，成為影像的第一幀圖，再按下「Animate」讓它動起來。使用者可以選擇自動或是手動，前者是由系統決定動作，後者允許使用者描述物體的移動方式與場景的變化。</p> <p>使用者亦可選擇低速（low motion）或高速（high motion）運動，前者代表主體的行動是緩慢的，後者則會讓所有物件都動起來，雖然有趣，但也會出現奇怪的錯誤。</p> <p><a href="https://docs.midjourney.com/hc/en-us/articles/37460773864589-Video" target="_blank">根據Midjourney的影片模型說明文件</a>，V1基本會生成一個5秒、解析度為480p的影片，之後可以選擇延長影片，每次延長時間為4秒，最多可延長4次，代表可建立最長21秒的影片。</p> <p>現階段Midjourney並未提供免費額度，<a href="https://docs.midjourney.com/hc/en-us/articles/27870484040333-Comparing-Midjourney-Plans?utm_source=google&utm_medium=cpc&utm_campaign=22322214874&utm_content=&utm_term=&utm_source=google&utm_medium=cpc&utm_campaign=22322214874&utm_content=&utm_term=&gad_source=1&gad_campaignid=22312026471&gbraid=0AAAAA9f1z5h8KWKfi1L0isgeIE4LuwQhA&gclid=CjwKCAjwx8nCBhAwEiwA_z__08sdXy28yTo3_vHqt0-sL-yAOvQbTjrCVQl7rBXA9fv8jBPAkXD-SBoCogsQAvD_BwE" target="_blank">目前提供4種訂閱方案</a>，都可生成圖像或影片，每個方案的額度計算方式為快速GPU時間（Fast GPU Time），最便宜的是每月10美元的基本方案（Basic Plan），Fast GPU Time額度為每月200分鐘。除了基本方案之外的3種相對高階方案，都有提供放鬆GPU時間（Relax GPU Time），它的生成速度較慢，可能需要排隊，但不消耗額度，還可無限使用。</p> <p>Midjourney表示，用戶生成一個影片的成本約是圖像的8倍，但這已是市場上其它影片生成服務的1/25。</p> <p>Midjourney是市場最熱門的圖像生成服務之一，<a href="https://www.ithome.com.tw/news/169505" target="_blank">目前正面臨迪士尼跟環球影業的聯手控告</a>，這兩家動畫界的IP大廠指控Midjourney不僅利用其動畫角色來訓練模型，允許使用者生成基於相同角色的圖像，還拿這些生成作品來行銷，嚴重且故意侵害其著作權。</p> </div></div></div>
2025/6/19 12:17作者陳曉莉https://www.ithome.com.tw/news/169628
衛星網路公司Viasat去年也遭Salt Typhoon駭客組織攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bloomberg.com/news/articles/2025-06-17/viasat-identified-as-victim-in-china-linked-salt-typhoon-hack" target="_blank">彭博新聞報導</a>，與中國政府有關聯的駭客組織Salt Typhoon去年發動大規模攻擊，衛星連網服務業者Viasat也是受害者之一。</p> <p>這項報導隨後獲得Viasat證實。Viasat發言人表示，該公司去年偕同外部專家調查，攻擊者是透過一臺被入侵的裝置，在未授權情況下存取了公司網路。但該公司強調沒有客戶受到影響，而且Viasat相信事件已經解決，今年以來沒有偵測到任何和該事件有關的活動。</p> <p>去年9月華爾街日報及趨勢科技等資安業者首先<a href="https://www.ithome.com.tw/news/167393" target="_blank">揭露Salt Typhoon的存在</a>，並引起美國政府調查。之後<a href="https://www.ithome.com.tw/news/167393" target="_blank">安全研究報告顯示</a>Salt Typhoon相繼入侵了9家美國電信業者包括AT&T、Lumen、T-Mobile、Verizon。美國政府相信Salt Typhoon不但獲得中國政府大量資源，事實上也聽命中國政府。中國政府駁斥這項指控。</p> <p>彭博報導，FBI的調查指出，Salt Typhoon入侵電信業者已造成近130萬名用戶及1億筆紀錄外洩。報導說，藉由入侵美國電信公司，可助長Salt Typhoon取得重要人物，例如美國官員的通話紀錄。<a href="https://cybernews.com/security/chinese-threat-actors-hacked-the-us-treasury/" target="_blank">這個組織還涉入</a>今年2月針對美國財政部的攻擊行動，藉此取得憑證存取多位美國官員的筆電。</p> <p>今年初美國財政部外國資產控制辦公室（OFAC）以資助Salt Typhoon為由對中國資安業者聚信和等<a href="https://www.ithome.com.tw/news/167063" target="_blank">發出制裁命令</a>。</p> </div></div></div>
2025/6/19 09:51作者林妍溱https://www.ithome.com.tw/news/169624
臉書即將支援Passkey登入
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://about.fb.com/news/2025/06/introducing-passkeys-facebook-easier-sign-in/" target="_blank">Meta周三（6/18）宣布</a>，很快就會在臉書（Facebook）的iOS及Android行動裝置上推出通行密鑰（Passkey），利用數位憑證來取代密碼以登入臉書服務，且未來幾個月就會延伸至Messenger。</p> <p>通行密鑰由一對金鑰對組成，公鑰用來註冊網站或行動程式，私鑰則存放在使用者裝置上，可能是指紋、人臉或PIN碼，並藉由它們來登入服務，無需再記住密碼，也更難遭駭客破解或入侵。</p> <p>該功能上線後，使用者即可透過設定中的Accounts Center來設定與管理通行密鑰，系統也會在使用者登入時秀出提示，不管有沒有設定通行密鑰，使用者依然可持續透過密碼來存取臉書帳戶。</p> <p>目前美國五大科技巨頭皆已開始支援通行密鑰，推動全球進入無密碼時代。蘋果的macOS、iOS與iPadOS都已支援Passkey；<a href="https://www.ithome.com.tw/news/156706" target="_blank">Google及旗下Chrome瀏覽器與Android平臺</a>也已支援Passkey；<a href="https://www.ithome.com.tw/news/168721" target="_blank">微軟帳戶已預設支援</a>包括Passkey在內的各種無密碼登入方式；<a href="https://www.ithome.com.tw/news/159335" target="_blank">Amazon電子商務服務及WhatsApp</a>亦支援使用者以Passkey登入。</p> </div></div></div>
2025/6/19 10:17作者陳曉莉https://www.ithome.com.tw/news/169625
【資安日報】6月18日，AWS宣布IAM領域重大進展
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>大型雲端服務供應商AWS在美國費城舉辦年度資安會議re:Inforce 2025，會中不僅揭露了該公司在身分安全發展的最新成果，並強調現今企業若要讓資安基礎穩固，必須採取更簡便且具擴展性的做法。</p> <p>在資安事故方面，伊朗國有銀行Bank Sepah因遭網路攻擊導致服務停擺是國際焦點；而在國內，有資安業者追蹤假冒國稅局的網釣攻擊事故，公布最新的調查結果。此外，兆勤防火牆與TP-Link路由器於2年前公布及修補的資安漏洞，傳出被用於實際攻擊。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169610"><strong style="font-size: 22px;">伊朗大型國有銀行Bank Sepah傳出遭駭造成服務停擺，駭客聲稱摧毀所有資料</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/GtoWkUwWwAAan0p.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/GtoWkUwWwAAan0p.jpg" style="width: 300px; float: right;" /></a></p> <p>6月13日以色列對伊朗發動名為「獅子崛起行動（Operation Rising Lion）」的軍事行動，展開大規模空襲，企圖剷除伊朗持有的核子武器，伊朗也發動代號為「真實承諾III（True Promise III）」的大規模攻擊回應，向以色列多個目標發射超過150枚彈道飛彈、100架無人機，雙方再度引爆戰火，而在此同時，傳出以色列駭客也對伊朗發動網路攻擊，癱瘓當地銀行的運作。</p> <p>根據伊朗國際電視臺（Iran International）的報導，伊朗大型國有銀行Bank Sepah遭遇網路攻擊，幾間分行因此被迫暫停營業，客戶無法存取銀行帳戶，由Kosar與Ansar與伊朗軍方有關的兩家金融業者發行的金融卡，也出現無法使用的現象。有當地記者Ariel Oseran拍下ATM暫服服務的畫面，螢幕上顯示ATM目前尚未連線的錯誤訊息。</p> <p>究竟攻擊者的身分為何？與以色列有關的駭客組織Predatory Sparrow（亦稱Gonjeshke Darande）於社群網站X聲稱是他們所為，已破壞Bank Sepah的基礎設施並摧毀相關資料。特別的是，他們還感謝勇敢的伊朗人協助犯案。</p> <p><a href="https://www.ithome.com.tw/news/169600"><strong style="font-size: 22px;">駭客假冒政府機關與商業夥伴，在臺灣散布惡意軟體HoldingHands RAT、Gh0stCringe</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/fig08-silver-fox-fortinet-blog.jpeg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig08-silver-fox-fortinet-blog.jpeg" style="width: 300px; float: right;" /></a></p> <p>今年1月資安業者Fortinet發現惡意程式Winos 4.0的活動向臺灣擴散，駭客假借國稅局的名義寄送釣魚信，以抽查稅務為由鎖定公司財務主管而來，後續資安署也在2月份的資通安全網路月報提及類似的攻擊事故。如今研究人員提出警告，這起攻擊活動似乎仍在持續進行。</p> <p>Fortinet持續追蹤相關攻擊事故，於今年3月找到後續活動的惡意程式與釣魚郵件，但駭客不光冒充國稅局或財政部，也有佯裝其他政府部門或商業夥伴的情況，他們使用稅收、養老金、發票等名目為誘餌，引誘收信人開啟附件或是連結，一旦收信人照做，電腦就有可能被植入惡意程式，除了Winos 4.0，這些駭客也使用源自於Gh0st RAT的惡意軟體HoldingHands RAT（Gh0stBins）與Gh0stCringe。</p> <p><a href="https://www.ithome.com.tw/news/169604"><strong style="font-size: 22px;">兩年前兆勤修補的防火牆已知漏洞再傳攻擊行動</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/68506f209c3cb9d8d35cff28_AD_4nXeNtLTR844J3KYfwAGznEphK3b70GU1M3wIeOyKHj6ggURdXPeRSHb4kOfdVrZEWoblgjKxq2T_VmK9LPEWRW7bJUX_MqjCyqtGTmuFqNg8iUJ928jupfNXptbGvbMPUEsew9a3gw.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/68506f209c3cb9d8d35cff28_AD_4nXeNtLTR844J3KYfwAGznEphK3b70GU1M3wIeOyKHj6ggURdXPeRSHb4kOfdVrZEWoblgjKxq2T_VmK9LPEWRW7bJUX_MqjCyqtGTmuFqNg8iUJ928jupfNXptbGvbMPUEsew9a3gw.png" style="width: 300px; float: right;" /></a></p> <p>兩年前兆勤科技（Zyxel Networks）修補防火牆設備重大層級的CVE-2023-28771，此為遠端程式碼執行（RCE）漏洞，影響兆勤網路金鑰交換（IKE）封包解密過程，CVSS風險達到9.8（滿分10分），不久後駭客用於散布殭屍網路程式Mirai，丹麥更傳出有超過20家能源關鍵基礎設施遭遇漏洞攻擊，如今再度出現有人試圖尋找尚未修補的防火牆下手的情況。</p> <p>威脅情報業者GrayNoise提出警告，駭客於6月16日試圖利用這項漏洞，他們透過244個IP位址想要滲透到目標設備的UDP 500埠，攻擊目標涵蓋美國、英國、西班牙、德國、印度。駭客使用的IP位址疑似皆位於美國，且使用Verizon Business基礎架構。研究人員指出，由於這次攻擊者透過UDP 500埠利用CVE-2023-28771，有可能進行欺騙，因此這些被發現的IP位址無法反映實際的攻擊來源。</p> <p><a href="https://www.ithome.com.tw/news/169602"><strong style="font-size: 22px;">美國警告TP-Link路由器已知漏洞遭到利用</strong></a></p> <p>美國網路安全暨基礎設施安全局（CISA）近日警告，路由器大廠TP-Link多款產品2023年的漏洞CVE-2023-33538，已出現攻擊或濫用活動，他們已將這項漏洞列入已遭利用漏洞列表（KEV），並要求聯邦機構於7月7日前完成修補。</p> <p>此漏漏可被用於命令注入，攻擊者可利用/userRpm路徑下的WlanNetworkRpm元件執行惡意指令，影響TP-Link三款家用或小型企業路由器產品，包括TP-Link TL-WR940N V2/V4、TL-WR841N V8/V10，以及TL-WR740N V1/V2。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/xdspy-threat-actors-exploit-windows-lnk-zero-day-vulnerability/">XDSpy駭客利用LNK零時差漏洞攻擊東歐及俄羅斯</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/north-korean-apt-hackers-target-ukrainian-government-agencies/">北韓駭客鎖定烏克蘭政府機關而來，企圖竊取帳密資料</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://news.ltn.com.tw/news/society/breakingnews/5074474">臺北市公有場地租借系統驚傳遭受網路攻擊一度癱瘓，幕後首腦竟是網球教練</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169595"><strong style="font-size: 22px;">IBM修補IBM i平臺備份服務漏洞，包括提升權限與惡意存取的重大漏洞</strong></a></p> <p>6月13日IBM揭露與修補大型主機IBM i作業系統平臺有關的漏洞，受此影響的產品，受此影響的產品，主要是針對IBM i 7.4與IBM i 7.5這兩個版本主機系統的備份還原與媒體服務（Backup Recovery and Media Services，BRMS），並釋出修補。</p> <p>這個漏洞的編號是CVE-2025-33108，CVSS評分達到8.5，屬於高度嚴重等級的弱點，擁有編譯（compile）或還原程式權限的使用者，可透過這個漏洞擅自擴張其不應具備的權限，因此，攻擊者能經由這個空隙，以使用者控制的程式碼存取系統元件。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/hashicorp-nomad-acl-lookup/">HashiCorp Nomad存在ACL查詢漏洞，若不處理攻擊者恐用於提升權限</a></strong></p> <p></p> <p><strong style="font-size: 22px;">其他資安防禦措施</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/uk-fines-23andme-for-profoundly-damaging-breach-exposing-genetics-data/">英國對基因技術業者23andMe開罰231萬歐元</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169608"><strong style="font-size: 22px;">AWS身分安全再進化！率先強制所有帳戶Root使用者啟用MFA，邁向更易實踐的資安設計</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1）AWS reInforce 2025 Policy Language.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89AWS%20reInforce%202025%20Policy%20Language.jpg" style="width: 300px; float: right;" /></a>落實Security by Design（設計即安全），已成為支撐現代企業發展的關鍵課題。作為全球三大雲端服務供應商之一，AWS於17日在美國費城舉辦年度資安會議re:Inforce 2025，會中不僅揭露了該公司在身分安全發展的最新成果，更強調企業現今需要更簡便且具擴展性的方法，才能讓資安基礎更加穩固。</p> <p>為了因應持續變化的攻擊態勢，AWS副總裁暨資安長Amy Herzog表示，Secure by design一向是他們秉持的重要核心概念，特別是在身分識別與存取管理（IAM）領域，成為現場矚目焦點，因為Amy Herzog宣布一項重大進展：「AWS已率先針對所有帳戶的Root使用者強制啟用多因素驗證（MFA），成為全球首家採取此項強制措施的雲端服務供應商。」</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169573"><strong>【6月17日】興勒索軟體脅迫受害組織付錢出現新手法，藉由抹除檔案內容進行施壓</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169573"><strong>【6月16日】駭客運用JSFireTruck混淆手法埋藏意圖，於近270萬網站植入惡意程式碼</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169544"><strong>【6月13日】Mirai變種企圖利用重大漏洞綁架資安平臺Wazuh</strong></a></p> </div></div></div>
2025/6/18 16:43作者周峻佑https://www.ithome.com.tw/news/169611
高層每月緊追GenAI績效，華南銀揭GenAI兩大應用模式，一年創造50多名數位勞動力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「每月的高階主管會議，我都得向董事長報告GenAI效益。」華南銀行副總經理陳晞涵說：「最新數據是，產生50多名數位勞動力，相當於一年千萬元的價值。」</p> <p>2022年，華南銀行啟動數位轉型計畫，儘管起步稍晚，但他們正積極追趕，甚至成為生成式AI的先前者。在華南，生成式AI成了高層最關注的一項技術。每個月，統籌金融科技與資訊系統發展的陳晞涵，都得在高階主管會議中，更新這項技術的推動情況。</p> <p>甚至，「等不及我的報告，總經理就天天敲門問我，生成式 AI 的進度如何」高層的關注，讓他們更積極的投入。早在去年6月，華南銀行就開始發展生成式AI，5個月後公開了導入生成式AI原則和藍圖。</p> <h3>華南生成式AI戰略不靠自建LLM</h3> <p>華南銀行兵分兩路發展AI，一條路線是延續傳統的機器學習，包含華南自行開發的AI防詐模型、防洗錢模型，和客戶貼標模型等，另一個新方向則是生成式AI。</p> <p>如何發展生成式AI，「我們很快就決定要上雲端。」陳晞涵解釋，規畫初期評估後發現，落地型生成式AI系統的初期基礎建設成本十分龐大，光是GPU運算叢集，就需要2,000萬至6,000萬元不等。「初期開銷龐大，卻沒辦法展現效益，對科技長或資訊長而言，都會是辛苦的過程。」陳晞涵說。</p> <p>不只考量成本，人才也是一大考量因素。陳晞涵解釋，訓練模型，除了昂貴的設備，還得設法招募懂得調教LLM人才，「這並不實際。」他坦言，目前這類人才稀缺，即便勉強找到人，也可能快速被挖角。因此，他更傾向和雲端業者合作，才能更專注在GenAI應用開發。</p> <p>去年6月，華南銀行和雲端廠商完成簽約，運用地端AI平臺介接雲端LLM，三個月後，華南銀行內部完成了第一支GenAI服務的POC驗證，連接各部門的數據和文件，提供一站式的知識管理平臺服務，並在去年12月正式上線。目前，這個知識管理平臺上架了兩本實務手冊，分別是人資和存匯實務手冊，涵蓋了這兩類作業最重要的參考資訊。陳晞涵表示，今年預計再上架5本實務手冊，包括財富管理產品資訊，和授信相關內容。</p> <h3>生成式AI雙軌應用模式</h3> <p>華南銀行生成式AI發展還細分成兩種應用模式，第一種是AI平臺應用，包括去年12月正式上線的知識管理平臺，今年第四季預計上線多國語言翻譯功能，和語音轉文字服務。</p> <p>針對知識管理平臺服務，陳晞涵解釋，過往傳統上，銀行內部實務手冊多以PDF形式供員工查閱，例如，人資工作須知、存匯作業流程、手續費規定等。這類文件動輒數百頁，行員手動翻找規範時，往往需耗費不少時間。因此，華南想到的第一項生成式AI應用，就是知識管理。他們將內部實務手冊等文件導入雲端生成式AI平臺，由LLM進行摘要和應答，供行員快速查找相關規範。</p> <p>「剛上線、不做任何調教，就有六成左右準確率。」陳晞涵指出，在開發初期，團隊僅將文件上傳，就已展現不錯的應答能力。為了進一步優化，團隊設計了回饋機制，讓員工標示無幫助的回答內容。上線初期，標示無幫助的訊息比例約15%，隨著模型持續調教，這類訊息的比例降至3%至5%，目前，知識管理平臺準確率也提升至約九成。在平臺使用量上，陳晞涵也表示，每月互動量超過1萬筆，半年以來累積總查詢也達到6萬筆以上。</p> <p>除了用於優化平臺，知識管理平臺的回饋機制，也成為改善實務手冊資料的依據。陳晞涵解釋，團隊重新檢視被標示無幫助的實務手冊內容，發現部分資料存在錯誤或矛盾。例如，同樣是颱風天作業規範，卻因前人和後人分別書寫，導致規範內容前後矛盾。因此，華南也建立一支小型團隊，負責將需要精進的內容分派到不同業管單位，讓各單位自行修改知識內容。</p> <p>起初，華南僅聚焦在通用型應用，挖掘適合全行8,000名員工使用的服務。不過，隨著應用取得一定進展和效益後，華南今年開始發展第二軌生成式AI應用模式—AI代理人（AI Agent），包括生成產經徵信研究、授信報告，和投資研究報告，或是使用GitHub Copilot來輔助IT人員。</p> <p>陳晞涵坦言，AI代理人應用模式尚在實驗階段，團隊已啟動多項嘗試。例如，針對銀行授信人員需要撰寫的產經研究下手，從網路上取得鎖定研究的產業領域資料，來自動生成報告。不過，「到上月為止，我們認為不太成功。」陳晞涵解釋，由於模型從網路抓取的雜訊過多，導致報告品質不穩、內容不夠精準。為了解決這個問題，最近，他們開始轉變作法，改以華南內部訂閱的高品質資料作為模型素材，例如專業財經資訊源或信評機構等資訊服務平臺。</p> <p>授信報告和投資研究報告生成，是陳晞涵看好的AI代理人應用場景。他表示，團隊目前積極尋找其他AI代理人應用，「提供模型部分資料後，讓模型協助生成一份報告，或是提供某份報告的回應。」陳晞涵預計今年底舉辦全行黑客松，希望能產生8至10件AI代理人落地案件。</p> <p>華南目前較成熟的AI代理人應用，是採用GitHub Copilot來輔助IT團隊。陳晞涵表示，目前IT團隊已訂閱這項工具，應用在弱點修補、系統手冊撰寫，和生成測試腳本。</p> <p>他解釋，過去IT人員需要花費許多時間處理弱點，而Copilot應用能根據程式上下文，自動提出修補建議，且多數建議內容幾乎可直接套用。不只如此，陳晞涵表示，過往少數IT撰寫的系統手冊品質較低，甚至完全忽略撰寫註解，導致後續維運不易。Copilot能自動分析程式碼來補充註解。最後，華南IT也運用Copilot生成測試腳本，從原先的人工測試，改為AI輔助測試。</p> <p>陳晞涵粗估GitHub Copilot的投資報酬率，每投入1元的成本，可帶來7到9元的回饋。所以，華南準備擴大規模，預計再添購至少70至100套授權供IT團隊使用。</p> <h3>生成式AI應用方向：輔助人員、資料生成為主</h3> <p>相較於優先發展AI的金融同業，華南銀行偏向將AI定位在輔助員工工作，「更像是一名內部超級助理，而非主要執行者。」陳晞涵認為，以AI現今的穩定度而言，「還難以單獨依賴AI來完成任務。」因此，華南發展的生成式AI應用方向，更著重在輔助現有系統或人員，協助生成部分資料，而非發展代理型AI。</p> <p>延續這個應用方向，華南進一步根據生成式AI擅長的任務，來尋找應用場景。陳晞涵認為，生成式AI的潛力，是能進行資料蒐集、推理，和依樣化葫蘆，「只要提供足夠的訓練資料，就能生成類似作品。」他解釋。例如，華南正在發展一款授信助理，就是一個可以同時發揮三項潛力的應用場景。當行員要撰寫客戶的授信報告時，只要內部有客戶的完整資料，或是擁有和客戶業務型態、規模相似的授信報告資料，生成式AI就能依據這些過往資料，協助行員生成相似的報告內容。</p> <p>除了根據生成式AI潛力來評估應用場景，華南也用了「數位勞動力」概念，來衡量每一項AI應用帶來的效益。陳晞涵舉例說明，若要立刻關閉華南所有AI工具，必須額外增聘約50人，才能處理相同工作量，就等於這些AI工具可以帶來50名數位勞動力。「並不是真的取代人，而是看AI創造了多少數位員工。」他解釋，還可以進一步換算出產值，一個作法是將人力換算成薪資，「一年大概有千萬元的效益。」陳晞涵說。</p> <p>未來，華南預計會發展更多AI代理人應用，例如授信審核和履歷資料審核助理，前者協助審核員建立一致的授信文件審核標準，後者則是輔助人資從大量履歷資料中篩選合適的求職者。</p> <p>在基礎建設上，為了更方便透過API存取內部訓練資料，華南也正在建立物件型儲存空間（object storage），來提升既有資料架構。</p> <p>針對生成式AI技術發展，陳晞涵表示，他正在密切觀察小型語言模型的發展，關鍵是，「要分辨出，哪些才是真正可以落地的模型。」他強調。文⊙李昀璇</p> <p></p> </div></div></div>
2025/6/18 16:53作者李昀璇https://www.ithome.com.tw/news/169617
AWS身分安全再進化！率先強制所有帳戶Root使用者啟用MFA，邁向更易實踐的資安設計
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>【美國費城直擊】落實Security by Design（設計即安全），已成為支撐現代企業發展的關鍵課題。作為全球三大雲端服務供應商之一，AWS於今（17）日在美國費城舉辦年度資安會議re:Inforce 2025，會中不僅揭露了該公司在身分安全發展的最新成果，更強調企業現今需要更簡便且具擴展性的方法，才能讓資安基礎更加穩固。</p> <p>為了因應持續變化的攻擊態勢，AWS副總裁暨資安長Amy Herzog表示，Secure by design一向是他們秉持的重要核心概念，這讓他們在技術、控制措施與實踐上，都能扮演產業的領先角色。</p> <p>而要徹底落實這件事，資安文化會是一大關鍵，我們去年看到AWS 已經強調此點，因為有了資安文化，才能促使組織優先從資安角度考量。</p> <p>今年，AWS揭露了更進一步的發展策略，我們可以歸納出兩大重點：</p> <p>（一）AWS 不僅是要「落實」Secure by Design，更是朝「更容易落實」邁進，因此需要找出更簡單、更具擴展性的方式。</p> <p>（二）任何事都要優先從資安出發，在產品開發的每一層與每一個階段都應徹底貫徹 Secure by Design。</p> <p>特別是在身分識別與存取管理（IAM）領域，成為現場矚目焦點，因為Amy Herzog宣布一項重大進展：「AWS已率先針對所有帳戶的Root使用者強制啟用多因素驗證（MFA），成為全球首家採取此項強制措施的雲端服務供應商。」</p> <p>Amy Herzog進一步說明，這不僅是去年底AWS IAM加入根帳號憑證（Root Credentials）集中管理，以及根帳號登入Session監控的延續。還包括MFA機制支援FIDO2與passkey，讓使用者可採用高強度的無密碼MFA驗證。甚至，為了降低因設備遺失導致鎖帳的風險，AWS還支援每個Root或 IAM使用者可綁定最多8個MFA裝置。</p> <p>Amy Herzog強調，這突顯AWS響應美國CISA所推動的「Secure by Design」倡議，並不止於口號，而是採取實際行動，並且已經相當重視Security by Default（預設即安全）的概念，讓身分存取控管在預設情況下，就套用最佳安全實務。</p> <p>如今，AWS不僅持續擴大這項政策，並將目標放在要讓落實可以變得更加容易。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖5）AWS reInforce 2025 MFA.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%965%EF%BC%89AWS%20reInforce%202025%20MFA.jpg" style="width: 600px;" /></a></p> <h2><strong>強化最小權限原則管理，需要建立更容易實踐的機制</strong></h2> <p>「建構以身分優先（identity-first）的安全策略」，是AWS今年的核心主軸之一，為此，該公司也揭露了在身分識別與存取管控領域的最新發展。例如，Amy Herzog公布了一項重要新功能，也呼應「更容易落實設計安全」的發展態勢，那就是IAM Access Analyzer中的內部存取發現。</p> <p>Amy Herzog強調，身分與存取管控（IAM）不僅是資安的一環，更是所有安全控制的基石。然而，隨著企業規模與業務成長，IAM系統的管理複雜度也大幅提升。例如，AWS IAM目前在全球處理的API呼叫，已達每秒12億次，數量相當驚人，因此，AWS先前已經構建一種策略語言（policy language）驅動IAM的方式，來因應這樣的處理規模。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖1）AWS reInforce 2025 Policy Language.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%961%EF%BC%89AWS%20reInforce%202025%20Policy%20Language.jpg" style="width: 600px;" /></a></p> <p>但是，若從管理複雜性角度來看，早期IAM的管理仍面臨巨大挑戰，因為企業需要預先設計複雜的權限策略。這讓AWS意識到問題，若要正確設定權限將是一個持續的過程，而不是一次性的任務，幾乎不可能預先確切清楚所需的權限程度。</p> <p>因此，AWS在前幾年推出IAM Access Analyzer並持續改進，從識別並移除最近未使用的角色、使用者與權限，到新增政策驗證與強化規則檢查，並且還能根據CloudTrail日誌自動產生最小權限的政策。如今2025年再推出名為內部存取發現（Internal access findings）的新功能。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖2）AWS reInforce 2025 IAM Internal access findings.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%962%EF%BC%89AWS%20reInforce%202025%20IAM%20Internal%20access%20findings.jpg" style="width: 600px;" /></a></p> <p>具體而言，這項新功能的特色在於，可依據組織內多個管理政策（如 SCP、資源政策、身分政策），讓系統自動推理（Automated reasoning）整體的設定是否足夠安全，找出潛在風險，甚至提供建議。它能分析角色、使用者對個別S3儲存桶、PCI資料等關鍵資源的存取權限，並將結果整合到單一儀表板，讓存取檢視可以更直覺。</p> <p>因此我們可以清楚看出，此項新的強化機制，其目的就是要協助企業更有效實踐「最小權限原則」。</p> <h2><strong>消除長期憑證風險，應改採臨時存取機制</strong></h2> <p>另一個身分安全的重要議題，Amy Herzog指出，我們需要消除長期憑證（long-term credentials）的風險。</p> <p>她解釋，由於長期憑證的效期很長久，攻擊者發現並濫用的機會就越高。雖然定期輪換憑證是降低風險的基本做法，但AWS強調應透過IAM提供的臨時憑證與角色存取機制，來取代傳統長期憑證，將可確保每次存取的最小權限。</p> <p>Amy Herzog特別分享近期一起資安事件，指出攻擊者就是透過竊取或取得外洩的長期憑證，對AWS客戶發動攻擊。此次攻擊案例的關鍵在於，攻擊者濫用了平臺本身的SSE-C加密機制，該機制允許客戶使用自有金鑰，並透過AES-256演算法對Amazon S3物件進行加解密。</p> <p>然而，攻擊者利用新的自有金鑰重新加密S3物件，導致原本的金鑰無法再解密資料，使客戶無法存取自身資料。</p> <p>面對這樣的威脅，AWS祭出主動偵測手段，以辨識並防止可疑的加密行為，在在過去五個月內，AWS已阻擋多達9.436億次的未經授權S3物件加密嘗試。因此，Amy Herzog強烈提醒，若企業能全面淘汰固定使用的長期憑證，並改用臨時存取機制，將能大幅降低被濫用的機率，因為憑證一旦過期，將無法被重複使用，自然降低攻擊面。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖4）AWS reInforce 2025 Long-tern Credential.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%964%EF%BC%89AWS%20reInforce%202025%20Long-tern%20Credential.jpg" style="width: 600px;" /></a></p> <h2><strong>ACM憑證管理新突破，支援匯出公開SSL/TLS憑證</strong></h2> <p>另一項在憑證管理方面的重要進化，恰好是臺灣近期關注的焦點。</p> <p>Amy Herzog指出，憑證管理一直是項挑戰，多年前AWS也就推出 AWS Certificate Manager（ACM）服務，可簡化這方面的管理、部署、續訂與金鑰儲存的過程。</p> <p>如今這項服務也有全新功能發布，支援匯出型公開SSL/TLS憑證，此宣布獲得現場許多與會人士的掌聲。</p> <p>此項匯出功能，打破以往ACM簽發公開憑證，或匯入第三方CA簽發的憑證，只能用於AWS整合服務中的限制。</p> <p>對於用戶來說，這不僅降低了憑證簽發的實作門檻，減少手動管理憑證流程的複雜與風險，更是擴展了憑證管理的適用範圍，讓其安全設計不再被特定平臺綁定。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖6）AWS reInforce 2025 Exportable public certificates.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%966%EF%BC%89AWS%20reInforce%202025%20Exportable%20public%20certificates.jpg" style="width: 600px;" /></a></p> <h2><strong>簡化安全管理流程，監控、防護與威脅偵測亦有升級</strong></h2> <p>此外，AWS在本次大會其實發表多項重要功能，也都與簡化安全管理流程有關。</p> <p>例如，在資安監控方面，AWS Security Hub預覽版本已經推出，這項機制如同安全指揮中心，可將不同類型的安全警報與漏洞資訊進行關聯分析，幫助企業識別最關鍵的安全問題，找出優先處理順序，並且更容易掌握整體安全態勢。</p> <p>在DDoS防護方面，AWS Shield現在具備更直覺的儀表板介面，可將問題依嚴重程度標示出來，並且提供逐步操作指南，幫助客戶快速修復問題。</p> <p>至於威脅偵測方面，Amazon GuardDuty 現在已擴大偵測範圍，總算可以涵蓋Amazon Elastic Kubernetes Service（Amazon EKS）上的容器化應用程式，並藉此提升偵測效能，有助於讓資安團隊更快調查，減少發現潛在威脅的花費時間。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（圖3）AWS reInforce 2025 Cedar Analysis.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E5%9C%963%EF%BC%89AWS%20reInforce%202025%20Cedar%20Analysis.jpg" style="width: 600px; height: 353px;" /></a></p> <blockquote><p>值得一提的是，在AWS IAM政策語言之外，兩年前AWS曾開源一套Cedar政策語言，不過，兩者在設計目的、應用範圍與特性上，存在顯著差異。例如，前者以管理AWS資源存取為設計目標，Cedar則被設計為通用的存取控制政策語言。而在本場大會前一天，我們注意到，AWS新宣布開源Cedar Anaysis，根據展會現場工作人員的說明，這同樣是具備上述所提的自動推理能力的工具，可讓希望確保授權策略正確性的開發人員，或是探索這方面的研究人員，也能進一步應用或貢獻。</p> </blockquote> </div></div></div>
2025/6/18 16:16作者羅正漢https://www.ithome.com.tw/news/169608
伊朗大型國有銀行Bank Sepah傳出遭駭造成服務停擺，駭客聲稱摧毀所有資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>6月13日以色列對伊朗發動名為「<a href="https://zh.wikipedia.org/wiki/2025%E5%B9%B46%E6%9C%88%E4%BB%A5%E8%89%B2%E5%88%97%E8%A2%AD%E5%87%BB%E4%BC%8A%E6%9C%97">獅子崛起行動（Operation Rising Lion）</a>」的軍事行動，展開大規模空襲，企圖剷除伊朗持有的核子武器，伊朗也發動代號為「<a href="https://zh.wikipedia.org/wiki/2025%E5%B9%B46%E6%9C%88%E4%BC%8A%E6%9C%97%E7%A9%BA%E8%A5%B2%E4%BB%A5%E8%89%B2%E5%88%97">真實承諾III（True Promise III）</a>」的大規模攻擊回應，向以色列多個目標發射超過150枚彈道飛彈、100架無人機，雙方再度引爆戰火，而在此同時，傳出以色列駭客也對伊朗發動網路攻擊，癱瘓當地銀行的運作。</p> <p>根據<a href="https://www.iranintl.com/en/202506176243">伊朗國際電視臺（Iran International）的報導</a>，伊朗大型國有銀行Bank Sepah遭遇網路攻擊，幾間分行因此被迫暫停營業，客戶無法存取銀行帳戶，由Kosar與Ansar與伊朗軍方有關的兩家金融業者發行的金融卡，也出現無法使用的現象。有當地記者Ariel Oseran拍下<a href="https://x.com/ariel_oseran/status/1934912682076901501/photo/1">ATM暫服服務的畫面</a>，螢幕上顯示ATM目前尚未連線的錯誤訊息。</p> <p>究竟攻擊者的身分為何？與以色列有關的駭客組織Predatory Sparrow（亦稱Gonjeshke Darande）<a href="https://x.com/GonjeshkeDarand/status/1934883811327705166">於社群網站X聲稱是他們所為</a>，攻擊的動機是該銀行為伊斯蘭革命護衛隊（IRGC）所有，被IRGC用來規避國際制裁，並藉此利用伊朗民眾的錢財來資助恐怖主義代理人，以及彈道飛彈、核武相關計畫。</p> <p>Predatory Sparrow聲稱，他們已破壞Bank Sepah的基礎設施，並摧毀相關資料。特別的是，他們還感謝勇敢的伊朗人協助犯案。附帶一提的是，這項消息廣泛在國際間傳開，並引起高度討論，<a href="https://www.facebook.com/story.php?story_fbid=10161357869853341&id=598868340&mibextid=wwXIfr&rdid=fQr0mJjvoHVI3ogS">有人甚至提及伊朗全國帳戶因此歸零</a>，但是否真是如此，伊朗政府又如何因應此事，有待進一步釐清。</p> <p>值得留意的是，這些駭客對伊朗關鍵基礎設施發動攻擊的情況已非首例，他們曾聲稱對當地的<a href="https://www.iranintl.com/en/202206274256">鋼鐵廠</a>和<a href="https://www.iranintl.com/en/202312183371">加油站</a>發動攻擊，導致相關設施運作受到影響。</p> </div></div></div>
2025/6/18 16:23作者周峻佑https://www.ithome.com.tw/news/169610
臺灣金融資安新里程碑：台新銀行成臺灣首家以銀行名義加入FIRST的業者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在全球網路威脅日益嚴峻、攻擊手法不斷翻新的今日，資安聯防已從「選擇」走向「必要」。在法規遵循與資安事件頻傳的雙重驅動下，臺灣金融業正積極強化資安防護能力。其中，台新銀行於 2024 年 11 月下旬正式宣布加入國際資安事件應變小組論壇（Forum of Incident Response and Security Teams，FIRST），成為臺灣首家、也是迄今唯一一家，加入此一全球最大資安事件應變與協作組織的銀行業者。這不僅為臺灣金融資安聯防樹立了全新的里程碑，更展現台新銀行致力提供客戶更安全、便捷且可信任的數位金融服務的堅定決心。</p> <p>實際上，不少國際銀行已經直接以銀行或金融機構的CSIRT（Computer Security Incident Response Team，資安事件應變團隊）團隊身分，成為FIRST（國際資安事件應變小組論壇）的會員，成員構成多元，涵蓋全球頂尖金融機構。</p> <p>大家耳熟能詳的銀行業者，包括：美國銀行（Bank of America）、新加坡星展銀行（DBS Bank）及歐洲中央銀行（European Central Bank）等，都是直接以銀行的CSIRT名義，加入FIRST國際資安組織。</p> <p>台新銀行也加入臺灣金融業者自發組成的F-ISAC（金融業資安情資共享與分析中心），台新銀行資安長陳詰昌表示，選擇另外以台新銀行TSB-CSIRT的名義加入FIRST，除了代表該銀行的資安事件應變能力獲得國際承認，該公司也成為全球資安信任與情報共享網路的一份子，他認為，台新銀行加入FIRST的作為，除了具有戰略價值外，也同時面臨組織與資源上的挑戰。</p> <p>可以肯定的是，FIRST強調合作快速應變，同時促進資安事件預防及成員間情資共享協作，台新銀行CSIRT團隊從無到有，從紙上組織到實戰應變的發展歷程，以及加入FIRST後所面臨的挑戰，都將對未來臺灣金融資安生態帶來新的挑戰。</p> <h2><strong>從合規到實戰，台新銀行CSIRT的轉型之路</strong></h2> <p>台新銀行的資安事件應變團隊（CSIRT，也稱IR Team）的成立並非一蹴可幾，陳詰昌指出，該團隊約在2020年9月左右，已具備形式上的組織架構，但真正開始發揮功能，是在他上任之後。「在此之前，團隊可能更偏向『形式上面』的存在，直到後來才比較有在演練和培養人才。」他說。</p> <p>台新銀行資訊安全部資深協理劉俊良補充說明，CSIRT團隊成立的初衷，是受到業界震撼的一銀和遠銀等資安事件啟發。儘管這些事件發生已久，但金融單位陸續仍有各種資安事件，因此，劉俊良表示，成立CSIRT的核心思考點在於：「如果台新銀行也發生同樣的資安事件時，我們是不是有這個能量跟資源去處理這件事件？」。</p> <p>CSIRT團隊在成立初期，台新銀行採取自行摸索的方式，去打造屬於自家的CSIRT，當然也參考其他金融單位的組織和內容。劉俊良解釋，當時CSIRT團隊的性質是一個虛擬組織（Virtual Team），其成員組成是「跨部門」組成的。</p> <p>陳詰昌進一步指出，除了主要的IT和資安部門成員外，還有其他部門的人參與這個跨部門的虛擬組織，例如公關、保險、總務，以及風管、法務和稽核等。</p> <p>他特別強調，團隊的實際成員數量和涵蓋範圍，其實會依據「資安事件本身的性質和發展重要性來決定」。例如，如果事件不涉及外部單位或客戶，公關部門可能就不需要「啟動」，但可能需要被通知。</p> <h3><strong>從紙上組織到實際維運，提供資源和角色釐清</strong></h3> <p>陳詰昌指出，台新銀行CSIRT團隊的成立，從原本的紙上組織──只有組織規章，到後來實際運作──還提供工具，這是個逐漸成熟的演變過程，有賴公司願意提供足夠的資源，也讓同仁可以在過程中摸索並釐清角色。</p> <p>台新銀行對CSIRT團隊的投入，體現在多個面向。陳詰昌提到，首先是文件的檢視，第一步就是：規章要出來，這樣同仁才知道「哪些時候他要做些什麼事情」。</p> <p>其次是「組織」，發生資安事件時，「誰要當責」，也就是誰是負責這個事件後續處理的中心負責人，「這個組織架構要出來。」他說。</p> <p>「公司最重要的資源投入之一，就是人員的教育訓練」，他強調，台新銀行其實安排了許多「藍隊」的教育訓練，並邀請許多外部專家，為包括所有子公司在內的同仁進行教育訓練，教導他們一旦遇到資安事件時，「第一時間要做什麼、該做什麼，有什麼工具可以提供協助」。</p> <p>陳詰昌特別強調「第一線處理人員」的角色定位。他指出，銀行或外部顧問常傾向於「聚焦在數位鑑識」，這不是說不該做，但是，他認為，「數位鑑識不是內部資安團隊的第一要務」。</p> <p>他進一步解釋，第一線人員應該聚焦於第一時間的應變，例如，重要證據的蒐集，因為，有證據你才能夠去把事件做重建；而事件重建的目的，就是要找出資安事件發生的根因，然後能夠徹底的解決。</p> <p>在處理資安事件時，判斷事態是否嚴重到可能進入司法程序「很重要」，他表示，如果要上到法庭，那麼「證據保全就必須優先」；然而，絕大多數的資安事件，它不見得是一定要進到司法程序，這時候可能會以「維運優先」，也就是「讓客戶的服務權益不受影響」作為優先選擇。</p> <p>陳詰昌坦言，這個部分很依賴經驗，資安事件應變（IR），其實很仰賴現場處理的資安鑑識專家的經驗，才能夠判斷到底要怎麼樣下決策，到底要往哪一條路走是對公司最好。</p> <p>他也觀察到，多數公司內部資安同仁處理資安事件的經驗不夠多，或是事前訓練和準備不足，導致同仁在遇到資安事件時「可能會慌」甚至「下錯判斷」。為了解決這個問題，陳詰昌強調「要給工具」。他表示，公司應該給第一線同仁「可以無腦的、直覺式使用的腳本工具（Script）」；執行腳本程式後，就可以先幫公司初步收集重要的證據（Evidence）；至於更困難的深入分析，則可交由專業資安專家協助。</p> <h3><strong>從建立韌性思維，看CSIRT團隊應變能力的迭代進化</strong></h3> <p>在建立和運作CSIRT團隊的過程中，台新銀行確實遇到了不少挑戰。陳詰昌表示，首先是「觀念的不一致」，因為大家對於資安事件應變（IR）的認知不同，即使成立了團隊，對於團隊「到底要做什麼」、「團隊成員的角色」、「要做哪一些事情」，以及這個團隊「希望為公司帶來什麼樣的效益」，可能存在認知的落差；尤其是，資安投資效益難以量化，高層不清楚為什麼要做這件事，是另一大挑戰。</p> <p>陳詰昌觀察到，過去大家長期以來都把重點擺在前端，也就是「不要讓駭客進來」；然而，現在的趨勢顯示，要阻擋駭客入侵，已經變成「不太容易達成的事情」。因為，攻守雙方是處於不對稱的狀態，駭客「只要找到一個弱點，就可以進攻企業組織內部」。</p> <p>他表示，台新銀行每年都做紅隊演練，從近幾年的演練結果也發現一些原本沒有注意到的弱點。這代表：台新銀行其實有很多潛在的弱點還沒有被發現。因此，台新銀行必須調整思維，將重點轉向「一旦資安事件發生的時候，怎麼做到減輕損害，怎麼做到保持韌性（Resilience）」。</p> <p>陳詰昌對「韌性」有獨特看法。他認為，韌性不是單純的維運持續，而是要假設「今天公司遇到一個沒有事先設想到的狀況時，該如何維持營運？」最常見的就是各種資安事件，這些往往出乎意料之外、沒有應變計畫的，在這種狀況下，陳詰昌會要求公司資安同仁去思考：「如何做最即時的判斷，才能達到將公司損害降到最小的處置作為」。</p> <h3><strong>最大挑戰不在合規，而在讓CSIRT活過來</strong></h3> <p>陳詰昌表示，CSIRT成立到實際運作的過程中，最大的挑戰是「怎麼把原本的紙上組織，變成實際可以維運和執行的活生生的組織」。台新銀行資訊安全部資深協理劉俊良則提到，金融業有時過於「合規」導向，雖然「你有手、有腳」（組織和文件規章），但「原則上不能動」。</p> <p>台新銀行資訊安全部協理林世杰則補充，技術層面遇到的挑戰包括「人力、設備和經費」上的差距。陳詰昌坦言，他剛上任時，第一次參加銀行紅隊演練後，就明顯感受到衝擊，當時CSIRT團隊剛成立不久，同仁們還不太熟悉運作，不清楚各自角色定位，單靠成立組織和上課，「能量是不太足夠的」。</p> <p>「講一百遍，不如自己遇到一遍」，有時候真的要親身體會過一次，才會知道那個痛，陳詰昌說道。他也強調，但這個「痛」，不能對個人或公司造成致命性影響才行。</p> <p>為此，陳詰昌提出了更多元的演練想法。例如，演練時加入外部單位如調查局，或結合BAS（攻擊模擬系統，俗稱數位靶場）來「驗測台新銀行資安設備的有效性」。</p> <p>他認為，台新銀行透過不斷完善演練場景和情境，讓CSIRT團隊的「雛形」日漸成熟，「透過各種資源投入，慢慢的增量、慢慢的迭代，CSIRT團隊就可以做得越來越好。」他說。</p> <h2><strong>台新銀行成為臺灣第一家加入FIRST的銀行業者，為國際聯防奠基</strong></h2> <p>陳詰昌表示，決定讓台新銀行CSIRT團隊申請加入FIRST，並非是一時興起。他觀察FIRST已久，早在公部門服務時就注意到該組織。來到台新銀行後，他觀察到臺灣陸續有越來越多的各類型企業加入FIRST，他認為，這可能受到外部環境因素影響，例如，現在的資安事件越來越多，每個人都沒辦法置身事外，必須要透過「聯防」來鞏固資安。</p> <p>陳詰昌解釋，該公司基於三大核心效益，選擇申請加入FISRT國際資安組織，包括：擴大聯防、人才培育與品牌提升</p> <p>台新銀行選擇加入FIRST的第一個原因就是：希望擴大聯防的範圍。陳詰昌強調，台新銀行已加入由國內金融業者聯合組成的F-ISAC（金融資安資訊分享與分析中心），F-ISAC也是FIRST國際資安組織的成員之一，但台新銀行選擇以TSB-CSIRT（台新銀行CSIRT團隊）的身分加入FIRST之後，目的就是希望則能夠藉此接觸更廣泛的國際資安情資。</p> <p>「第二個主要原因是，期待同仁能多多參與國際組織」。陳詰昌回憶，過去在公部門有較多機會參與國際資安會議，如Black Hat、DEFCON或RSA等國際行的資安會議，但來到台新銀行後，則發現同仁很少參與國際會議。他認為，加入FIRST之後，至少有一個正式名目，藉由他們每年固定舉辦的年度會議，編列相關的預算，鼓勵同仁參加國際會議，讓同仁們「多去看看人家到底怎麼做、多交流」，了解其他參與會員因應資安的思維或趨勢發展等，可以趁機更新一下腦袋。</p> <p>「第三個效益是提升品牌形象（branding）」，陳詰昌提到，台新銀行加入FIRST的新聞公開後，引起廣泛關注，不僅國內，可能國外也注意到「原來臺灣還有一家台新銀行」。</p> <p>他表示，這對公司的商譽是正面的效果，同時也是品牌展現，可以幫助台新銀行「打一個免費的廣告」。他指出，資安也是現在ESG（環境、社會、公司治理）考量中的重要項目，ESG的一個共通關鍵點就是：「如何在事件發生後，能夠馬上復原，然後防止下次再發生類似的事情」。</p> <p>陳詰昌認為，雖然ESG聽起來都是無形且難以具體量化的事情，但對於公司高層來講，這些都是有價值的事情。他強調，台新銀行透過通過ISO 27701、加入FIRST 資安國際組織等亮點，可以讓客戶知道台新銀行做了些什麼，間接提升客戶對公司的信心。</p> <h2><strong>爆量情資帶來的量變與質變，成為主動思考有願景的資安專家</strong></h2> <p>提及加入FIRST的過程，陳詰昌表示，一開始是由該公司資訊安全部副理葉雅妘於去年初進行相關調查，並尋求了外部協助，例如找了勤業眾信（Deloitte）協助輔導加入程序。</p> <p>他認為，這個加入FIRST的過程，就是透過公正第三方來，幫忙台新銀行檢視內部資安成熟度達到什麼樣的水準，並提供哪邊可以再修正的建議，這對台新來說是「好事」。</p> <p>加入FIRST後，最直接的「量變」就是「情資變多」了。陳詰昌笑說，每天跟情資有關的E-mail，收都收不完，但這是「應該早就預期到」的結果。</p> <p>因應情資的「量變」，台新銀行也必須要有後續作為。他提到，台新銀行於2024 年開始導入SOAR（資安自動化應變）系統，目的就是希望將各種外部情資，做到能自動匯入情資分析系統；此外，ISO 27001改版後有個「危險情資」項目，剛好可以與此結合。</p> <p>陳詰昌認為，接收到資安情資時，他延續以往當警察時的習慣，會「把每一個情資都視為是一個被害者」，也鼓勵同仁在處理這些情資的過程中，能夠多去看看、多了解情資可能是什麼狀況。</p> <p>他認為，當資安同仁真的可以看懂這些情資所代表的意義時，就會「慢慢變得有感」，因為「你如果沒真的去看情資，對情資的變化，其實是沒感覺的」，就不會知道，原來情資的數量這麼多，其中，還有一些情資分享的內容中，會揭露一些「手法」或是「IOC（Indicators of Compromise）」等多元狀況。</p> <p>至於海量情資對台新銀行帶來的「質變」和「效益」，陳詰昌坦言，當時，加入台新銀行才一個多月，還沒有馬上感受到巨大改變。但他希望，透過鼓勵資安同仁處理大量情資和整理這些情資的過程，有助於協助他們改善日常資安維運的流程，對於未來要進行的硬體或系統的投資，能有「更清晰的判斷」。</p> <p>陳詰昌最大的期待是，不要每次都是長官要求資安同仁做什麼，他希望有一天資安同仁可以主動向他提報想做什麼。例如，同仁可以從綜合情資中發現：近期在端點設備（Endpoint）的風險更高一點，進而回過頭來，主動向長官建議資安部門最近應該投注心力，放在端點設備的防護上面。</p> <p>他認為，資安同仁如果可以更主動討論這些事情，如「資安部門應該要做什麼」、「明年要做什麼、後年要做什麼」、「為什麼要這樣子做等等」，就代表他們已經開始有自己的思考，有想法也有能力，然後知道自己在做什麼。</p> <p>陳詰昌用「三個泥瓦匠」的故事，比喻他對資安同仁的期待。這三個泥瓦匠對於他們的工作描繪，一個自認為只是在砌牆，一個說自己在做城堡，但還有一個表示自己在蓋一座城市。因此，他期待台新銀行的資安同仁們，未來都是有能力蓋城市的泥瓦匠，未來都是資安領域的專家。</p> <p>在效益方面，除了對公司有信譽上的提升外，陳詰昌也回頭去看，「為了加入 FIRST這件事情，台新銀行做了什麼」，以及這件事情為同仁帶來什麼效益。</p> <p>他再次強調，數位鑑識與第一時間應變（IR）角色和本質是不一樣的。他曾對五百多位子公司同仁進行線上授課時強調，「數位鑑識不是資安部門的首要任務」，更重要的是，「面對資安事件發生時，第一線的資安部門同仁，在第一時間應該如何應變？」</p> <p>例如，要判斷是否是真的資安事件，之後應該如何應變，最立即的判斷就是：是否需要斷網，是否必須要蒐集證據準備上法庭，或是要做其他什麼動作因應等。「上述這些，才是第一線同仁所應該思考的工作內容。」陳詰昌說道。</p> <p>他認為，就像紅隊有自己的工具一樣，台新銀行也應該有專屬自家資安部門使用的工具，關鍵在於：這是一個符合台新銀行內部環境的緊急救援工具。陳詰昌認為，有了工具之後，第一線同仁在資安事件發生時，才能「知道怎麼應變」。</p> <h2><strong>導入CDM量化資安效益，資安人才培育：從「保護公司」到「保護個人」</strong></h2> <p>儘管資安投資的重要性無庸置疑，但其效益衡量一直是個難題。陳詰昌資安長坦言，資安的投資和績效「還是很難具體衡量」。然而，他堅信，「你不做，就是零；你做了，分數就會慢慢提升」。</p> <p>為了更有效地衡量資安投資效益，台新正在嘗試導入「Cyber Defense Matrix（CDM）」的概念。台新銀行資安部副理葉雅妘解釋說，這個CDM其實就是一個5乘5的矩陣，橫軸分別是NIST CSF 的五大類別：識別、保護、偵測、回應、復原，並且加入了以資產類別畫分的縱軸：設備（Devices）、應用程式（Application）、網路（Network），資料（Data）與人員（User）。</p> <p>葉雅妘表示，這是一種「以成果為導向」的衡量方式，透過衡量「各個面向的指標」。例如，在人員方面，可以評估實施教育訓練或社交工程演練後，同仁的資安意識是否能有效提升，她說：「他們會先去做這個評比，然後可能以每季或每年來檢視。」</p> <p>又如，針對電腦中毒事件，則會去看使用者和操作行為的關係，像是操作電腦時的網路衛生習慣，或是有沒有防禦不足的地方，需要補強進而加強相關資安投資。她指出，公司希望藉此有一個比較量化的結果，去呈現「這個投資是不是有效益」。</p> <p>陳詰昌則補充說道，資安要做到持續改善，但問題在於「你沒辦法量測，就不能改善」。因此，他認為，如何量測資安投資的效益，是資安部門最大的功課，他也特別強調量測、量化的重要性。</p> <p>在教育訓練方面，陳詰昌強調資安意識與個人關聯的重要性。他提到，社交工程演練的教育訓練，不會只刻板地告訴同仁「你不要點擊連結」，反而會從「保護個人不要被詐騙」的角度出發。</p> <p>他指出，很多人本性都太善良了，太容易信任別人，結果就是「容易被詐騙」。他會舉很多銀行用戶被騙的例子，例如點擊臉書廣告後輸入信用卡資料，或是收到假冒中華郵政、台水、台電的簡訊或郵件；甚至有高階主管收到其他銀行的通知簡訊，第一直覺以為收到詐騙簡訊，事後查證後才發現，原來不是詐騙。</p> <p>他表示，透過這些案例的分享，都可以讓台新銀行的同仁意識到，資安與個人生活「息息相關」。他甚至會問同仁「台新的網域是什麼」，來強調辨識網域真偽的重要性。</p> <p>「要讓同仁對資安防護有感，一定要讓同仁覺得，銀行種種措施的目的，是為了保護個人，而不是單純為了保護公司系統。」陳詰昌說道。</p> <h2><strong>培養資安領導者，鼓勵主動貢獻與獨立思考</strong></h2> <p>對於加入FIRST之後，陳詰昌表示，他對於台新銀行自家的CSIRT團隊也有不一樣的期許。他再次強調「主動性」與「獨立思考」的重要性。他特別鼓勵同仁，要多多參與外部的討論，例如，參與銀行公會不同工作小組（Working Group，WG）組別，特別是關於資安相關法規擬定的會議。</p> <p>他意識到，銀行應該更有意識地培養更多資安接班人，由其他具備專業能力、但目前可能職階還不高的同仁代表出席，這對他們也是一種訓練和磨練。</p> <p>陳詰昌表示，參加這種法遵相關的會議，可以知道討論過程中，對於法條制定的前因後果、來龍去脈，也有助於判斷某條法規的適用原因，這樣才不會發生「看到某一條法規，不知道為什麼要這麼制定，然後就只能照做而已。」</p> <p>他強調，讓下面的同仁多去參與，而不是總是由某些高階主管出席這類法遵會議。因為，只有參與其中，才能真正做到「知其然、知其所以然」，特別是涉及合規的部分，如果知道當初討論的過程的歷程，就會知道「為什麼這樣定，背後緣由是什麼」。</p> <p>這類會議之所以珍貴且重要的原因在於：所有的法規都不可能強硬到大家都無法配合，總會保留一些彈性，陳詰昌說：「而那個彈性的判斷標準，往往是在討論的過程當中，由各家銀行分享實際窒礙難行的地方才產生的」。</p> <p>所以，陳詰昌對於台新銀行加入FIRST國際資安組織，也是基於類似的邏輯。他認為，在這種國際性的場合中，往往會有許多討論，可以知道大家對資安事件的觀點為何。</p> <p>若以「零信任」為例，他認為，各家銀行都會「一個零信任、各自表述」，對他而言，了解其他銀行同業的不同觀點就很重要。陳詰昌強調，不希望銀行資安同仁處於一個一言堂的工作環境，希望透過更多面向的觀點交流，進而鼓勵同仁能更主動表態，願意在這樣的場合中分享他們的觀點，並可以透過與他人討論的方式，對自己的觀點可以有更多琢磨。</p> <p>總的來說，陳詰昌對CSIRT團隊最大的期許是，不只是被動執行指令的團隊，希望透過更多經驗累積和情資的分析學習，成為具備獨立思考和判斷能力的資安團隊。</p> <p>他希望CSIRT團隊成員能夠「像蓋一個城市」的泥瓦匠一樣，心中可以看到更大的願景，而不是只是做一個砌牆或蓋城堡的泥瓦匠而已，能夠累積更寬廣的視野和高度，逐步成長為資安領域的領導者。</p> <p>他相信，透過這樣一個長時間的訓練，和每一個環節的歷練，可以讓資安團隊的成員，都成為具備思考和動手能力的資安官。</p> <h2><strong>資安共好，共築信任的數位金融未來</strong></h2> <p>陳詰昌坦承，資安的投資和績效還是很難具體衡量，但是他堅信，「你不做，就是零；你做了，分數就會慢慢提升」。這也是為什麼台新銀行成為臺灣第一家加入FIRST的銀行業者的原因。</p> <p>他說：「加入FIRST以及持續推動CSIRT的發展，都是希望提升台新銀行在資安領域的整體能力和成熟度」。</p> <p>透過加入FIRST這樣的國際平臺，陳詰昌表示，台新銀行不僅將資安聯防生態系擴展至全球，與全球頂尖團隊合作交流，共享資安威脅情資，提升應對網路攻擊的能力。更重要的是，「這也為內部CSIRT團隊創造了學習、成長與展現的機會。」他說。</p> <p>陳詰昌相信，台新銀行CSIRT團隊正一步步努力，將資安從「合規」要求，逐步轉化提升業務發展和韌性的關鍵力量，台新銀行正在往「為客戶提供可信任的數位金融服務」的願景努力著，並對臺灣金融環境的整體安全與發展，貢獻一份心力。</p> <p>台新銀行成為台灣第一家以銀行業者身分加入FIRST國際資安組織的舉措，不僅為自身資安防護能力開啟新篇章，更為臺灣金融產業在全球資安合作樹立典範。他笑說：「這是一個充滿挑戰的過程，但也充滿了培養未來資安人才、實現資安共好的願景」。</p> <p>隨著全球網路威脅日益加劇，金融業資安不再是單打獨鬥的戰役，而是需要國際聯防、共同進步的長期工程。陳詰昌認為，他希望透過分享台新銀行的經驗，可以為臺灣金融業面對未來資安挑戰，提供寶貴的借鑒與啟示。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/600-01_%E9%99%B3%E8%A9%B0%E6%98%8C_%E5%8F%B0%E6%96%B0%E5%9C%8B%E9%9A%9B%E5%95%86%E6%A5%AD%E9%8A%80%E8%A1%8C_%E8%B3%87%E5%AE%89%E9%95%B7_20241217_%E6%B4%AA%E6%94%BF%E5%81%89%E6%94%9D(1).jpg" style="width: 600px; height: 400px;" /></p> <blockquote><p>台新銀行資安長陳詰昌表示，他對該公司CSIRT資安團隊的期待是成為具有願景和高度的「建造城市的泥瓦匠」，透過主動性和獨立思考，成為資安領域的專家。</p> </blockquote> <div class="ui-widget-content ui-draggable" id="haloword-lookup" style="position: relative;"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"> </div> </div> <div id="haloword-content"> </div> </div> </div></div></div>
2025/6/18 16:45作者黃彥棻https://www.ithome.com.tw/news/169614
Tenable揭露與修補漏洞管理平臺代理程式漏洞，以免攻擊者趁機覆寫Windows系統檔案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安系統出現漏洞，很有可能影響保護能力，但過往大部分受到媒體報導的消息，多半與防毒軟體、EDR、防火牆、SSL VPN有關，然而最近有漏洞管理平臺的資安漏洞引起<a href="https://www.securityweek.com/high-severity-vulnerabilities-patched-in-tenable-nessus-agent/">SecurityWeek</a>、<a href="https://www.scworld.com/brief/high-severity-tenable-vulnerability-scanner-bugs-fixed">SC Media</a>、<a href="https://www.infosecurity-magazine.com/news/tenable-fixes-flaws-nessus/">Infosecurity Magazine</a>、<a href="https://www.scworld.com/brief/high-severity-tenable-vulnerability-scanner-bugs-fixed">Heise Online</a>等多家媒體關注並報導此事，因為若不處理，攻擊者能以SYSTEM權限對Windows電腦上下其手。</p> <p>漏洞管理解決方案Tenable上週<a href="https://www.tenable.com/security/tns-2025-11">發布Windows版Nessus代理程式更新</a>，修補3項資安漏洞CVE-2025-36631、CVE-2025-36632、CVE-2025-36633，這些漏洞可被非管理員身分的使用者利用，攻擊者能以SYSTEM權限覆寫本機任意系統檔案、執行程式碼，或是刪除檔案以便提升權限，CVSS風險介於7.8至8.8分，影響10.8.4以下版本的Nessus代理程式，使用者應儘速升級至10.8.5版因應。</p> <p>他們提及這些漏洞有兩個為外部研究人員通報，一個由Tenable內部發現。其中，CVE-2025-36631由Rishad Sheikh在5月上旬通報，該公司於5月底確認並登記CVE編號；另一個由外部研究人員通報的漏洞是CVE-2025-36633，Tenable於6月3日接獲通報、7日完成確認並登記CVE編號列管。</p> </div></div></div>
2025/6/18 15:02作者周峻佑https://www.ithome.com.tw/news/169606
中國AI新創MiniMax開源支援100萬個Token脈絡長度的M1推理模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>總部位於中國上海的AI新創<a href="https://github.com/MiniMax-AI/MiniMax-M1" target="_blank">MiniMax周一（6/16）開源了MiniMax-M1</a>，宣稱是全球首個開源的大規模混合注意力推理模型，它採用Apache‑2.0開源授權，支援100萬個Token的脈絡長度，在基準測試中發現，該模型於複雜並以生產力為導向的場景中表現特別出色，像是軟體工程、長脈絡與工具上的使用等。</p> <p>MiniMax是由來自商湯科技的幾名工程師於2021年共同創辦，去年3月取得阿里巴巴的6億美元資金，估值為25億美元，並在今年1月開源了<a href="https://www.ithome.com.tw/news/167013" target="_blank">MiniMax-01系列模型</a>，包括語言模型MiniMax-Text-01與視覺多模態模型MiniMax-VL-01。</p> <p>與MiniMax-01一致的是，MiniMax-M1亦擁有4,560億個參數，每次推理使用46億個參數，支援100萬個Token的脈絡長度。不同的是，MiniMax-01定位為通用大型語言模型，採用混合專家及Transformer架構；MiniMax-M1則是個推理模型，採用混合專家及包括閃電注意力在內的混合注意力架構。</p> <p>此外，相較於開源的DeepSeek-R1、Qwen3-235B，以及私有的OpenAI o3、Gemini-2.5 Pro、Claude 4 Opus與Seed-Thinking-v1.5等8款目前市場上最先進的模型，MiniMax-M1在AIME 2024數奧基準測試上排名第四，在LiveCodeBench動態程式碼生成的基準測試上名列第六，在SWE-bench軟體工程測試中排名第五，在使用工具解決複雜任務的Tau-Bench測試中排名第二，在長脈絡與多步推理的MRCR測試中亦僅次於Gemini-2.5 Pro。</p> <p>MiniMax表示，M1的一個明顯優勢是它支援100萬個Token的脈絡長度，這個長度與Google Gemini 2.5 Pro相當，而且是DeepSeek R1（僅支援12.8萬個Token脈絡長度）的8倍。此外，M1的最大輸出值為8萬個Token，僅次於OpenAI o3的10萬Token，優於Gemini 2.5 Pro與DeepSeek-R1的6.4萬個。</p> <p>根據該公司的說明，這主要是歸功於所採用的混合注意力機制中內建閃電注意力（Lightning Attention），使得模型在計算長脈絡及深度推理上特別有效率，例如當MiniMax-M1在處理8萬個Token的推理任務時，只需要30%左右的DeepSeek R1計算量。</p> <p>此外，MiniMax使用了新的強化學習（RL）演算法CISPO，有別於傳統RL是依據新模型生成的Token進行策略更新，CISPO則是對重要性採樣權重進行剪裁，可提升訓練穩定性及加速收斂。實驗顯示，其訓練速度是其它RL方法的兩倍快。因此，MiniMax-M1僅使用512張H800，在3周內便完成整個強化學習階段，租金為534,700美元，大約只有原本估計的1/10。</p> <p>MiniMax指出，因為對訓練及推理計算能力的利用相對高效，因此將在MiniMax App與Web提供無限免費使用，且提供價格非常經濟實惠的API，對於200K以下的輸入長度，每百萬個Token的輸入/輸出費用為0.4/2.2美元，200K~1M的輸入長度，每百萬個Token的輸入/輸出費用為1.3/2.2美元，比DeepSeek-R1還便宜。</p> </div></div></div>
2025/6/18 16:16作者陳曉莉https://www.ithome.com.tw/news/169609
Google釋出Gemini 2.5 Flash與2.5 Pro穩定版，預覽入門級Gemini 2.5 Flash-L…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.google/products/gemini/gemini-2-5-model-family-expands/" target="_blank">Google在本周二（6/17）正式釋出</a>已預覽數月的Gemini 2.5 Flash與2.5 Pro穩定版，同時宣布預覽入門級的Gemini 2.5 Flash-Lite。</p> <p>首個具備思考（Thinking）能力的Gemini模型是Google是在去年12月發表的<a href="https://www.ithome.com.tw/news/166597" target="_blank">Gemini 2.0 Flash Thinking Mode</a>，而今年開始測試的Gemini 2.5家族則是首個內建Thinking能力的Gemini模型家族，包括<a href="https://www.ithome.com.tw/news/168081" target="_blank">Gemini 2.5 Pro</a>與<a href="https://www.ithome.com.tw/news/168482" target="_blank">Gemini 2.5 Flash</a>。</p> <p>此一Thinking能力指的是模型在生成回應之前，會先進行內部推理、分析與規畫，以產生更精確也更深入的回答，旨在支援複雜任務的處理，回應時間也會比較久，內建思考能力的大型語言模型亦被外界稱為推理模型。</p> <p>在Gemini 2.5模型家族中，2.5 Pro與2.5 Flash內建並啟用Thinking能力，而Gemini 2.5 Flash-Lite的Thinking能力雖然也是內建的，但預設值是關閉的。</p> <p>一般而言，開發者可以透過API來設定thinkingBudget參數，以決定模型所投入的Thinking資源。在目前的Gemini 2.5模型家族中，2.5 Pro版的thinkingBudget最低閥值是128個Token，意謂著它不論如何都會發揮Thinking能力，也代表著它無法被關閉。</p> <p>至於2.5 Flash雖然也是預設啟用Thinking，但可將thinkingBudget設為0，以關閉其思考功能；至於Gemini 2.5 Flash-Lite預設值則是關閉了Thinking，可藉由thinkingBudget設定來啟用。而且在2.5 Flash與Gemini 2.5 Flash-Lite中，不管有沒有啟用Thinking的費用都是一樣的。</p> <p>最新的Gemini 2.5 Flash-Lite就是講求成本與效率，每100萬個Token的輸入費用為0.1美元，輸出為0.4美元。而2.5 Flash的輸入/輸出費用則是0.3/2.5美元，2.5 Pro則是1.25/10美元。</p> <p>而在Google的各式基準測試中，可以發現啟用Thinking的測試結果絕大多數都優於未啟用。</p> <p>除了Thinking功能之外，3個模型都支援多模態輸入，包括文字、程式碼、圖片、聲音、影片與PDF等，在輸出上，2.5 Pro與2.5 Flash支援文字、程式碼，以及文字+圖片的輸出，2.5 Flash-Lite則僅支援文字與程式碼的輸出。</p> <p>此外，2.5 Pro適用於高階決策、商業分析、複雜的程式碼生成及除錯；2.5 Flash可支援即時聊天、客服、快速摘要或圖片標註等；入門款的Gemini 2.5 Flash-Lite則適用於大規模內容摘要、高吞吐量的資料處理、基本問答與低延遲應用。</p> </div></div></div>
2025/6/18 14:43作者陳曉莉https://www.ithome.com.tw/news/169605
駭客假冒政府機關與商業夥伴，在臺灣散布惡意軟體HoldingHands RAT、Gh0stCringe
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年1月資安業者Fortinet發現惡意程式Winos 4.0的活動<a href="https://www.ithome.com.tw/news/167619">向臺灣擴散</a>，駭客假借國稅局的名義寄送釣魚信，以抽查稅務為由鎖定公司財務主管而來，後續資安署也在<a href="https://www.ithome.com.tw/news/167987">2月份的資通安全網路月報</a>提及類似的攻擊事故。如今研究人員提出警告，這起攻擊活動似乎<a href="https://www.fortinet.com/blog/threat-research/threat-group-targets-companies-in-taiwan">仍在持續進行</a>。</p> <p>Fortinet持續追蹤相關攻擊事故，於今年3月找到後續活動的惡意程式與釣魚郵件，但駭客不光冒充國稅局或財政部，也有佯裝其他政府部門或商業夥伴的情況，他們使用稅收、養老金、發票等名目為誘餌，引誘收信人開啟附件或是連結，一旦收信人照做，電腦就有可能被植入惡意程式，除了Winos 4.0，這些駭客也使用源自於Gh0st RAT的惡意軟體HoldingHands RAT（Gh0stBins）與Gh0stCringe。</p> <p>在研究人員公布的釣魚信當中，駭客聲稱是海關總署，以進出口稅務通知為由，引誘收信人開啟PDF附件，並點選檔案內容的連結來觸發攻擊鏈。</p> <p>另一種誘餌是以財政部的名義，佯稱營業稅電子申報繳稅程式發布新版並提供下載，駭客甚至在釣魚信裡提及，部分電腦安裝過程會出現系統不相容的警示訊息，要求使用者停用防毒軟體後再次執行安裝。</p> <p>然而不論上述的那一種釣魚信，收信人都會被導向特定的檔案下載網頁，要求下載受到密碼保護的ZIP壓縮檔，其內容包含合法的執行檔、DLL檔案、經加密處理的Shell Code，以及對應的惡意程式載入工具，一旦依照指示開啟特定檔案，電腦就可能被植入前述的惡意軟體。</p> <p>針對近期的調查結果，Fortinet認為駭客在攻擊鏈加入許多Shell Code及惡意程式載入工具，使得整個攻擊流程變得更為複雜，也可能更難察覺異狀。</p> </div></div></div>
2025/6/18 11:20作者周峻佑https://www.ithome.com.tw/news/169600
美國警告TP-Link路由器已知漏洞遭到利用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.cisa.gov/news-events/alerts/2025/06/16/cisa-adds-two-known-exploited-vulnerabilities-catalog" target="_blank">美國網路安全暨基礎架構安全管理署（CISA）近日警告</a>，路由器大廠TP-Link多款產品2023年的漏洞已出現攻擊或濫用活動。</p> <p>根據CISA近日發布強制性作業命令（Binding Operational Directive，BOD）22-01，在已知濫用漏洞（Known Exploited Vulnerabilities）目錄中，加入<a href="https://nvd.nist.gov/vuln/detail/CVE-2023-33538" target="_blank">影響TP-Link部份產品的CVE-2023-33538</a>。CVE-2023-33538為一指令注入漏洞，攻擊者可利用/userRpm路徑下的WlanNetworkRpm元件執行惡意指令，屬於高風險漏洞。</p> <p>本漏洞影響TP-Link三款家用或小型企業路由器產品，包括TP-Link TL-WR940N V2/V4、TL-WR841N V8/V10及TL-WR740N V1/V2。</p> <p>目前尚不知CVE-2023-33538濫用是攻擊活動，或是出現濫用程式。</p> <p>CISA發布的BOD，雖然發布對象是美國聯邦政府行政機關及公家機構，要求這些單位審視漏洞並採取矯治措施，但CISA也強烈呼籲所有組織做好防範。</p> <p>除了CVE-2023-33538，CISA也將年初被濫用的iOS漏洞CVE-2025-43200加入已知濫用漏洞清單。今年一月，Citizen Lab發現兩名義大利記者的iPhone遭人悄悄植入以色列Paragon Solutions開發的Graphite間諜軟體，隨後被命名為CVE-2025-43200。<a href="https://www.ithome.com.tw/news/169558" target="_blank">蘋果已在本周修補這項漏洞</a>。</p> </div></div></div>
2025/6/18 12:26作者林妍溱https://www.ithome.com.tw/news/169602
Amazon正在開發上千個生成式AI服務，預期未來幾年將縮編
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.aboutamazon.com/news/company-news/amazon-ceo-andy-jassy-on-generative-ai" target="_blank">Amazon執行長Andy Jassy周三（6/17）發出內部信件</a>，描繪了AI在Amazon所扮演的角色，以及Amazon對AI的態度，透露出Amazon正在全面擁抱AI代理人，亦將因此縮減員工總數，鼓勵員工應對AI保持好奇心，參加各種AI培訓與研討會，同時接受AI所帶來的變化。</p> <p>迄今Amazon已經實現了許多AI服務，不管是對內還是對外。<a href="https://www.ithome.com.tw/news/167595" target="_blank">像是可以持續對談並擔任代理人的Alexa+</a>；拍下商品照片以進行搜尋的Lens，代購服務Buy for Me，根據購買歷史紀錄預測合適尺寸的Recommended Size；近50萬個賣家使用各種AI工具來建立產品頁面及改善銷售，超過5萬個廣告主利用AI工具來規畫、建立與最佳化廣告活動，替AWS設計客製化AI晶片Trainium2，以及所開發的SageMaker機器學習平臺，生成式AI即服務平臺Bedrock，大型語言模型Nova，企業AI助理Amazon Q與Amazon Q的命令列工具Q CLI等。</p> <p>對內，Amazon正利用AI來改善庫存配置、需求預測與機器人的效率，藉此改善成本並加快交付速度；也使用生成式AI來重建客服機器人，以及建構更聰明也更吸引人的商品細節頁面。</p> <p>Jassy認為，即便如此，Amazon AI仍處於相對起步階段，他相信AI代理人將會改變所有人的工作與生活方式，例如軟體系統的AI代理人將代替使用者或其它系統執行各種任務，將會有數十億種代理人出現在每一個可想像的領域的每一家公司，而這些代理人也將改變Amazon對客戶所帶來的創新範圍與速度。</p> <p>目前Amazon正在建置超過1,000個AI服務與應用程式，但這也只占了一小部分，未來幾個月Amazon會讓打造代理人變得更容易，並在所有的事業單位及行政單位打造許多新的代理人。</p> <p>Jassy說，當有愈來愈多的生成式AI及代理人時，它應該會改變大家完成工作的方式，需要更少的人來做今天正在做的事，也需要更多人來做其它的事，在全公司廣泛使用AI來提高效率之後，預計未來幾年將會減少員工數量。</p> <p>Jassy也鼓勵員工應對AI保持好奇心，參加培訓及研討會，儘可能使用與實驗AI，參與有關AI的腦力激盪。</p> <p>事實上，Jassy認為AI是自網路出現以來最具革命性的技術，因此那些接受此一變化，讓自己熟練AI，協助Amazon建置與改善AI的人，將更有機會發揮其關鍵影響力，推動Amazon革新。</p> <p>上個月<a href="https://www.ithome.com.tw/news/169267" target="_blank">Anthropic執行長Dario Amodei亦曾警告</a>，AI將會消滅一半的入門白領工作，預期AI將會讓未來5年的失業率飆升至10%~20%。</p> </div></div></div>
2025/6/18 12:44作者陳曉莉https://www.ithome.com.tw/news/169603
兩年前兆勤修補的防火牆已知漏洞再傳攻擊行動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>兩年前兆勤科技（Zyxel Networks）<a href="https://www.zyxel.com/global/en/support/security-advisories/zyxel-security-advisory-for-remote-command-injection-vulnerability-of-firewalls">修補防火牆設備重大層級的CVE-2023-28771</a>，此為遠端程式碼執行（RCE）漏洞，影響兆勤網路金鑰交換（IKE）封包解密過程，CVSS風險達到9.8（滿分10分），不久後<a href="https://www.ithome.com.tw/news/157129">駭客用於散布殭屍網路程式Mirai</a>，丹麥更傳出有<a href="https://www.ithome.com.tw/news/162074">超過20家能源關鍵基礎設施遭遇漏洞攻擊</a>，如今<a href="https://www.greynoise.io/blog/exploit-attempts-targeting-zyxel-cve-2023-28771">再度出現有人試圖尋找尚未修補的防火牆下手</a>的情況。</p> <p>威脅情報業者GrayNoise提出警告，駭客於6月16日透過244個IP位址試圖透過UDP 500埠利用這項漏洞，攻擊目標涵蓋美國、英國、西班牙、德國、印度。駭客使用的IP位址疑似皆位於美國，且使用Verizon Business基礎架構。研究人員指出，由於這次攻擊者透過UDP 500埠利用CVE-2023-28771，有可能進行欺騙，因此這些被發現的IP位址無法反映實際的攻擊來源。</p> <p>而對於這波攻擊行動的目的，研究人員透過惡意酬載、IP中繼資料與惡意軟體分析平臺VirusTotal比對，認為可能是Mirai變種的攻擊行動。</p> </div></div></div>
2025/6/18 13:00作者周峻佑https://www.ithome.com.tw/news/169604
OpenAI 7月將關閉GPT 4.5-Preview 並從API撤下
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI將關閉GPT 4.5-Preview並預定於7月14日終止API存取，引發開發人員大喊惋惜。</p> <p><a href="https://www.ithome.com.tw/news/167613" target="_blank">GPT 4.5-Preview是在3月發佈</a>，但<a href="https://community.openai.com/t/gpt-4-5-preview-model-will-be-removed-from-the-api-on-2025-07-14/1230050/5" target="_blank">OpenAI早在4月份即已發出公告</a>，將淘汰GPT 4.5-Preview模型，並會在幾個月內從API移除。OpenAI建議開發人員改用GPT 4.1。</p> <p>這消息引發開發人員大喊惋惜。一名開發人員表示，雖然覺得可惜，但可以理解，因為使用成本很高，而且對硬體運算需求也很大，要在模型威力和效率之間取得平衡並不容易。</p> <p>也有用戶不滿關閉GPT 4.5-Preview的作法，他寧願OpenAI調高價格，而且只要部署得宜，就解決GPT 4.5-Preview帶來的運算負載。另一名開發人員測過GPT 4.1，認為雖然比GPT 4o快，且符合大部份應用需求，但是比起GPT 4.5-Preview還是差一大截。</p> <p>GPT 4.5-Preview提升世界模型準確率，降低幻覺及提升關聯性思考。擴充思維鏈推理可提升模型處理STEM或邏輯問題的能力。更能理解對話的細微差異及自然對話。但其價格也是歷來最貴，輸入和輸出百萬字詞的收費各為75美元及150美元，是GPT 4o的30倍。</p> <p>不過<a href="https://venturebeat.com/ai/openai-moves-forward-with-gpt-4-5-deprecation-in-api-triggering-developer-anguish-and-confusion/" target="_blank">OpenAI對VentureBeat表示</a>GPT 4.5-Preview還是提供個人版ChatGPT存取，只要從下拉式選單選取即可。</p> </div></div></div>
2025/6/18 11:25作者林妍溱https://www.ithome.com.tw/news/169601
Android 16支援外接螢幕桌面模式，手機可雙螢幕獨立多工
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google<a href="https://android-developers.googleblog.com/2025/06/developer-preview-enhanced-android-desktop-experiences-connected-displays.html">釋出</a>Android 16第一季更新（QPR1）Beta 2測試版，啟用外接顯示器桌面模式（Connected Displays）開發者預覽。當支援裝置透過DisplayPort連接外部螢幕時，系統會依裝置型態提供不同桌面體驗，手機在外接顯示器上啟動獨立桌面，平板則將桌面延伸至兩個螢幕形成連續工作區。使用者可在兩螢幕同時執行不同應用程式，行動多工能力再度提升。</p> <p>Android 16桌面模式最大亮點，在於將手機外接螢幕功能，不只是單純鏡像螢幕畫面，而是更近一步靠向桌機體驗，並結合視窗化管理、多桌面切換與應用程式多開等桌上型電腦操作。對手機而言，主螢幕與外接螢幕各自運作互不干擾；平板則是透過延伸桌面，讓視窗與游標可在雙螢幕自由移動。外接螢幕呈現桌上型電腦操作環境，包括獨立工作列（Taskbar）、視窗任意調整與排列，以及同時執行多個應用程式。</p> <p>外接顯示器桌面模式建立於Android 16所引入的桌面視窗管理（Desktop Windowing）功能之上，該功能讓使用者於支援的平板或手機上，在外接螢幕自由調整與排列應用程式視窗，並可同時開啟多個桌面，依不同工作情境快速切換。針對多工使用需求，系統也支援應用程式多開，例如瀏覽器或記事本工具可同時開啟多個獨立視窗，桌面狀態、視窗位置與大小也能自動保存，方便用戶下次開機或切換桌面時快速回復工作環境。</p> <p>隨著Android 16第一季更新加入外接顯示器桌面模式，多工與彈性視窗管理的能力擴展至更多裝置與應用場景。</p> <p>Android 16針對相容性進行強化，以確保傳統應用在新桌面環境下依然能正常運作，透過自適應提升舊有應用在外接螢幕和桌面模式的視覺效果與操作流暢度。開發者可在Pixel系列等裝置搶先體驗，並針對彈性視窗大小、多螢幕與多桌面場景調整應用程式設計，提升相容性與使用體驗。</p> </div></div></div>
2025/6/18 08:15作者李建興https://www.ithome.com.tw/news/169596
【資安日報】6月17日，新興勒索軟體脅迫受害組織付錢出現新手法，藉由抹除檔案內容進行施壓
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>勒索軟體橫行多年，從一開始駭客採取雙重勒索的手段，到後來將勒索軟體開發與作案進行工成為常態，如今有新興駭客組織採取不同的作法，其中最引起研究人員注意的部分，就是納入抹除資料的手段，使得受害組織無法藉由竊密金鑰復原內容。</p> <p>其他的資安事故也值得留意，包含：駭客GrayAlpha意圖散布NetSupport RAT、逾三分之一資料圖形視覺化系統Grafana尚未修補CVE-2025-4123，以及華盛頓郵報部分記者郵件系統帳號遭駭。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169593"><strong style="font-size: 22px;">勒索軟體Anubis加入檔案抹除的破壞功能，受害組織恐無法購買金鑰換回資料</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/fig2_anubis_raas.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig2_anubis_raas.png" style="width: 300px; float: right;" /></a></p> <p>勒索軟體的活動氾濫多年，如今駭客的營運模式也出現變化，從招募打手提供作案工具的租用服務模式（Ransomware-as-a-Service），開始出現新的模式，例如：駭客組織DragonForce改以橫向聯盟（cartel）的模式經營，合作的附屬團體能以自己的名義從事活動。而到了最近，有新的經營模式出現，使得相關攻擊的危害更加嚴重。</p> <p>例如，今年2月資安業者Kela揭露的勒索軟體駭客組織Anubis，就是這樣的例子，他們使用俄文溝通，於地下論壇RAMP與XSS招兵買馬，尋找3種型態的附屬團體，分別負責勒索軟體攻擊、向受害組織勒索，以及挖掘企業組織初始入侵管道，並以利潤拆分的方式進行合作，如今有其他研究人員也觀察到相關情形，並指出駭客還發展出更具破壞性的手法，對受害組織造成更大的危害。</p> <p>資安業者趨勢科技發現，Anubis最近在勒索軟體加入了資料破壞工具（Wiper）的功能，一旦攻擊者執行相關參數抹除檔案，受害組織無法透過解密恢復檔案與資料，此舉將對受害組織形成更大的壓力，意圖迫使他們不得不付錢，以便從駭客手上拿回遭到破壞的資料。針對這項發現，研究人員認為代表勒索軟體攻擊出現重大變化。</p> <p><a href="https://www.ithome.com.tw/news/169582"><strong style="font-size: 22px;">假借瀏覽器更新、提供軟體或服務的名義為幌子，駭客GrayAlpha意圖散布NetSupport RAT</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/grayalpha_001_df8a7fc3cc.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/grayalpha_001_df8a7fc3cc.png" style="width: 300px; float: right;" /></a></p> <p>以經濟利益為動機的俄羅斯駭客組織FIN7去年攻擊事故頻傳，這些駭客偏好使用SAP應用系統的資安漏洞、也曾使用裸照生成器DeepNude為誘餌散布惡意程式，甚至進一步對其他網路罪犯提供EDR迴避偵測工具，如今他們也甚至與其他駭客共用基礎設施。</p> <p>資安業者Recorded Future旗下的研究團隊Insikt Group揭露名為GrayAlpha的駭客組織，這些駭客與FIN7有所交集，共用散布惡意酬載的網域名稱及基礎設施架構，藉此於受害電腦植入遠端存取木馬NetSupport RAT並執行。</p> <p>針對駭客散布NetSupport RAT的管道，大致可分成3種，包含使用偽造的瀏覽器更新網頁、冒牌7-Zip下載網站，以及使用名為TAG-124的多層次惡意流量導向系統（TDS），過程中使用自製的惡意程式載入工具，其中一種是以PowerShell打造而成的PowerNet，另一種是與FakeBat相當類似的MaskBat。</p> <p><a href="https://www.ithome.com.tw/news/169578"><strong style="font-size: 22px;">4.6萬套資料圖形視覺化Grafana系統尚未修補XSS漏洞而曝險</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Grafana-XSS-12.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Grafana-XSS-12.png" style="width: 300px; float: right;" /></a>研究人員發現，資料圖形視覺化軟體Grafana於5月間修補的跨網站指令碼（XSS）資安漏洞CVE-2025-4123，仍然有超過4.6萬臺系統未更新版本而處於曝險狀態。</p> <p>5月21日Grafana接獲外部研究人員通報CVE-2025-4123。該漏洞是結合終端路徑穿越和開放重導向，可讓攻擊者將用戶導向一個代管前端外掛的網站並執行任意JavaScript。攻擊者還可能用它來執行開放重導向，導致可完整讀取受害機器的伺服器請求偽造（SSRF）。CVE-2025-4123 CVSS 3.1風險值為7.6。研發本軟體的Grafana Labs已在5月釋出更新版修補。</p> <p>本週應用程式安全廠商OX Security發現，直到最近還有超過4萬臺系統仍未修補漏洞。研究人員利用Shodan搜尋，發現128,864臺面向網際網路，其中46,572臺為未更新的Grafana執行個體。以所在地國家來看，以美國1.1萬最大宗，其次為德國（,276）及巴西（3,400）。</p> <p><a href="https://www.ithome.com.tw/news/169591"><strong style="font-size: 22px;">華盛頓郵報電子郵件系統遭駭，部分負責國安、經濟政策、中國等領域報導的記者帳號被入侵</strong></a></p> <p>新聞媒體因為能夠廣泛影響輿論，往往也是國家級駭客盯上的目標類型，他們基於政治與國家安全等考量，攻擊新聞媒體的內部系統，竊取記者的電子郵件或調查資料，挖掘敏感資訊，甚至到了選舉期間，還可能試圖操弄媒體報導來影響選民決策，因此新聞媒體一旦傳出遭到網路攻擊而停擺或內容遭竄改、操弄，很快就引起各界的關注。</p> <p>例如，本週華盛頓郵報（Washington Post）透露他們郵件系統遭到入侵的情況，美國媒體與多家資安新聞網站，例如：Bleeping Computer、CNN、Dark Reading、GBHackers、路透社紛紛報導此事。這些媒體的報導指出，華盛頓郵報的主管近日向部分受到影響的員工告知，有數名記者的電子郵件帳號遭到入侵。</p> <p>這項消息的曝光，源自於6月15日華盛頓郵報執行主編Matt Murray向所有員工發出的內部備忘錄，內容提及他們察覺郵件系統疑似於上週四（6月12日）遭遇目標式攻擊，該公司於隔日重設所有員工的帳密。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://cybersecuritynews.com/zoomcar-hacked/">印度租車業者Zoomcar遭駭，8,400萬用戶敏感資料外洩</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/06/malicious-pypi-package-masquerades-as.html">惡意NPM、PyPI套件及AI工具鎖定DevOps及雲端環境而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://cybersecuritynews.com/lockbits-admin-panel-leak/">勒索軟體LockBit遭起底，曝露附屬組織、受害名單、勒索金額等細節</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169572"><strong style="font-size: 22px;">OpenPGP.js存在高風險漏洞，攻擊者有機會繞過訊息簽章驗證機制</strong></a></p> <p>資安業者Codean Labs發現JavaScript加密程式庫OpenPGP.js存在高風險漏洞CVE-2025-47934，涉及數位簽章的偽造，一旦攻擊者利用，就有機會偽造簽章，而且還看起來像是經由合法單位簽署的內容。此漏洞影響5.0.1至5.11.2版、6.0.0-alpha.0至6.1.0版OpenPGP.js，此外，該漏洞也可能影響以OpenPGP.js為基礎打造的應用程式，其中一個是網頁郵件加密的瀏覽器擴充套件Mailvelope，但Proton Mail不受影響。對此，開發團隊獲報後於5月19日發布5.11.3、6.1.1版OpenPGP.js修補上述漏洞，Mailvelope也推出6.0.1版因應。</p> <p>這項弱點形成的原因，在於OpenPGP.js處理及驗證訊息簽章的方式，導致攻擊者有機會利用，將有問題的資料加入正常簽章內容，CVSS風險值為8.7分。</p> <p><a href="https://www.ithome.com.tw/news/169460"><strong style="font-size: 22px;">網路流量解析工具Wireshark存在高風險漏洞，攻擊者可藉特製封包觸發DoS攻擊</strong></a></p> <p>知名開源網路封包解析工具Wireshark修補了高風險安全漏洞CVE-2025-5601，該漏洞影響Wireshark 4.4.0至4.4.6及4.2.0至4.2.11等多個主要版本，CVSS風險值為7.8分。根據官方公告，攻擊者僅需注入特製封包至網路，或誘導使用者開啟特製封包檔案，即可能導致Wireshark異常終止，造成阻斷服務（DoS）。雖然目前Wireshark官方尚未接獲實際攻擊事件，但仍建議所有受影響用戶儘速升級至4.4.7、4.2.12或更新版本，以避免潛在風險。</p> <p>本次漏洞源自Wireshark處理封包欄位資訊時，欄位工具（Column Utility）模組存在記憶體操作缺陷。官方透過自動化模糊測試（Fuzz Testing）發現，當系統遇到特定格式的封包或封包檔案，可能導致記憶體寫入越界，進而引發程式崩潰。此問題屬於典型的緩衝區溢位（Buffer Overflow）問題，濫用該漏洞不需複雜攻擊流程，只要將特製資料注入網路，或讓Wireshark開啟惡意封包檔案，都可能觸發崩潰。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://cybersecuritynews.com/kia-ecuador-keyless-entry-systems/">Kia汽車鑰匙、遙控器存在弱點，恐被偷車賊利用</a></strong></p> <p><strong style="font-size: 22px;">其他資安防禦措施</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/archetyp-dark-web-market-shut-down-by-law-enforcement/">暗網市集Archetyp被執法機關關閉</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169573"><strong>【6月16日】駭客運用JSFireTruck混淆手法埋藏意圖，於近270萬網站植入惡意程式碼</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169544"><strong>【6月13日】Mirai變種企圖利用重大漏洞綁架資安平臺Wazuh</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169531"><strong>【6月12日】大型電子商務平臺Yes24遭勒索軟體攻擊引起韓國當地高度關注</strong></a></p> </div></div></div>
2025/6/17 18:03作者周峻佑https://www.ithome.com.tw/news/169594
中華電信：Chrome憑證撤信受影響政府機關網站7月底可望全面完成憑證更換，將強化內部憑證管理明年重拾Chrome信任
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>6月初中華電信TLS網站憑證因改善不合規，遭Google宣布將從Chrome 139之後瀏覽器開始，移除信任中華電信從8月起簽發的TLS新憑證，受影響的中華電信TLS憑證包括商業及政府機關網站。中華電信今天（6/17）首次對外公開說明，目前正協助客戶更換憑證，受影響政府網站預期在7月底完成憑證更新或轉換為雙憑證，並祭出改進作為，包括8月起暫停簽發憑證、重整內部憑證管理團隊、加強自動化檢查憑證，避免人為疏失等等，希望在2026年3月回新回到Chrome預設信任憑證為目標。</p> <p>中華電信董事長簡志誠對外公開說明，他表示，瀏覽器改版有時可能會變更欄位，去年3月中華電信憑證維運團隊對改版後的欄位變更敏感不足，團隊配合改版調整欄位的時效性不夠快，去年無法配合時程，導致中華電信維運團隊的行為在Bugzilla社群論壇不被信任，今年2、3月公司內高階主管瞭解這件事立即從手改善，儘管中華電信已經完成改善，但Google仍基於先前團隊的不合規紀錄，決定自8月起移除Chrome瀏覽器對中華電信新TLS憑證的預設信任。</p> <p><strong><span style="color:#B22222;">中華電信以往不合規紀錄引發論壇不滿</span></strong></p> <p>依據中華電信的補充資料說明，其憑證被撤除信任的原因為，其團隊沒有即時掌握落實的調整，例如2023年9月15日生效的BR，要求修改延伸用途欄位EKU的標註內容，因其團隊沒有即時掌握和執行，致使部分憑證的格式EKU不符規定，其他疏失還有包括機關代號、地址欄位的編碼不符規定等。</p> <p>此外，中華電信團隊先前以窒難行為由，沒有即時向上通報，快速處理，例如依規定，對於Bugzilla論壇上社群的詢問，CA業者需在72小時內回應，但中華電信以和憑證客戶的合約，需得到客戶的審查才能回應論壇提問，致使無法來得及在72小時內回應，過慢的回應引發論壇上的不滿。</p> <p>其次是，CA業者依規定需定期提交合規文件，但是中華電信以團隊正值更替、交接不完整，致使承接的團隊沒能在規定時限內提交。</p> <p>上述2024年中華電信憑證團隊的不合規事件，中華電信表示，雖然督導憑證團隊的主管在接到通報，立即與Google溝通提出改善計畫，Google肯定其改善計畫，但仍決定採取措施先保護Chrome使用者安全為優先，決定移除Chrome對中華電信新憑證的信任，中華電信仍可重新申請加入瀏覽器信任。</p> <p>簡志誠指出，雖然可以重新申請，後續需要經過第三方檢視中華電信內部憑證維運的流程、文件，經過嚴格檢視後發給證明，加上文件才能重新向Google Chrome申請信任憑證。目前將以2026年3月爭取回復瀏覽器預設信任憑證為目標。至於中華電信能否如期於明年3月重新回復Chrome憑證信任清單，外界認為時程可能過於樂觀，他表示，中華電信將積極爭取2026年3月重新回到Chrome的憑證信任清單，對於萬一來不及達成該目標，內部已有備用計畫方案，但目前不便對外透露。</p> <p>他表示，自Google宣布Chrome新的調整後，中華電信已盤點憑證客戶，一方面協助客戶提前更新憑證降低影響，對於不想更新中華電信TLS憑證的客戶，中華電信協助轉換到其他被信任業者的憑證，如台灣網路認證或國外業者的憑證。目前使用中華電信TLS憑證的商業網站約2千個，政府網站約8千多個，目前協助客戶更新或轉換憑證的進度已完成約95%以上，預期7月底百分百完成。</p> <p>簡志誠認為，全球約有40億個網站，台灣有約40萬個網站，而使用中華電信TLS網站憑證，商業及政府機關合計約1萬，中華電信TLS網站憑證被Google Chrome移除預設信任，加上中華電信協助客戶處理憑證問題，降低Chrome移除中華電信新憑證預設信任的影響。他認為「影響是微乎其微」。</p> <p>儘管中華電信說明，此次憑證事件並非技術或是資安漏洞，受影響網站在國內網站數量的占比並不高，且在中華電信積極協助客戶處理之下，影響可能「微乎其微」，但是其客戶使用的憑證如果到期，將導致Chrome使用者無法正常瀏覽商業網站，甚至是8千多個政府機關網站，可能導致民眾的不便，為此，數發部先前已表示在獲得情資後，已提前在今年3月展開因應，推動政府機關使用雙憑證機制。</p> <p><span style="color:#B22222;"><strong>重整憑證團隊、加強事件應變</strong></span></p> <p>這次事件，簡志誠坦言，中華電信憑證團隊確實有疏失，內部檢討後提出改善作法，希望重新爭取列入Chrome瀏覽器信任清單中，並避免再次重蹈履轍。</p> <p>除了自8月起暫停簽發新的TLS憑證，協助客戶處理憑證換發，爭取明年回復Chrome瀏覽器預設信任清單之外。</p> <p>該公司重整憑證團隊的組織調整，他們將原本獨立維運的商業及政府憑證團隊整合為一支團隊，由一直遵循合規要求、經驗豐富的商業憑證團隊主管帶領，統一技術標準與合規流程，改善原本內部團隊溝通不良的問題。</p> <p>經此教訓後，該公司內部成立專責單位，成立跨部門專案小組，導入敏捷管理工具，每周追蹤改善進度。</p> <p>中華電信也加強論壇社群的合規要求，針對先前因為回應過慢引發論壇不滿的問題，中華電信將強化事件應變機制，建立事件應變的SOP，要求在4小時內召開會議，72小時內提交報告，1個月內結案。此外，中華也將建立合規監控制度，每季召開法規監控會議，追蹤文件到系統端的合規要求落實，建重拾信任，向主管機關及Google回報成果，展現其改進的決心。</p> <p>另外，該公司也計畫導入自動化檢查工具，例如在中華電信及客戶兩端導入ACME，為了避免單層審查機制的錯漏，將建立雙層（Double Check）的憑證格式審查機制。</p> <p>儘管中華電信提出上述種種改進，試圖強化、提高內部對事件應變的速度及效率，但中華電信憑證客戶最多的是政府機關，先前憑證團隊就以依合約需經客戶審查才能回應論壇回應而引發不滿，儘管中華電信強化內部應變，若政府機關客戶無法配合加快審查，仍可能導致無法在時限內回應論壇提問，對此，中華電信僅表示，在這次事件之後將會加強和政府機關客戶的溝通，設法加快回應。</p> </div></div></div>
2025/6/17 19:12作者蘇文彬https://www.ithome.com.tw/news/169597
勒索軟體Anubis加入檔案抹除的破壞功能，受害組織恐無法購買金鑰換回資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>勒索軟體的活動氾濫多年，如今駭客的營運模式也出現變化，從招募打手提供作案工具的租用服務模式（Ransomware-as-a-Service），開始出現新的模式，例如：駭客組織DragonForce<a href="https://www.ithome.com.tw/news/168743">改以橫向聯盟（cartel）的模式經營</a>，合作的附屬團體能以自己的名義從事活動。而到了最近，有新的經營模式出現，使得相關攻擊的危害更加嚴重。</p> <p>例如，<a href="https://www.kelacyber.com/blog/anubis-a-new-ransomware-threat/">今年2月資安業者Kela揭露的勒索軟體駭客組織Anubis</a>，就是這樣的例子，他們使用俄文溝通，於地下論壇RAMP與XSS招兵買馬，尋找3種型態的附屬團體，分別負責勒索軟體攻擊、向受害組織勒索，以及挖掘企業組織初始入侵管道，並以利潤拆分的方式進行合作，如今<a href="https://www.trendmicro.com/en_us/research/25/f/anubis-a-closer-look-at-an-emerging-ransomware.html">有其他研究人員也觀察到相關情形</a>，並指出駭客還發展出更具破壞性的手法，對受害組織造成更大的危害。</p> <p>資安業者趨勢科技發現，Anubis最近在勒索軟體加入了資料破壞工具（Wiper）的功能，使得受害組織無法透過解密恢復檔案與資料，此舉將對受害組織形成更大的壓力，意圖迫使他們不得不付錢，以便從駭客手上拿回遭到破壞的資料。針對這項發現，研究人員認為代表勒索軟體攻擊出現重大變化，因為這麼一來，就算受害組織願意付錢購買解密金鑰，有可能因為駭客已將資料破壞而無法復原。</p> <p>這些駭客列出的受害組織也逐漸增加，從Kela看到的4個現在增加至7個。研究人員指出，這些駭客攻擊的範圍相當廣泛，涵蓋澳洲、加拿大、秘魯、美國的醫療保健、工程、營造產業，他們認為駭客採取投機主義的做法尋找目標，當目標有利可圖就會對其發動攻擊，而非針對特定國家或產業下手。</p> <p>這些駭客如何進行攻擊？他們透過網釣接觸受害組織，成功入侵後執行命令與指令碼的解譯器，並操弄Token與處理程序提升權限、藉由有效的帳號迴避偵測，最終找出想要終止的處理程序，以及欲加密的檔案、資料夾，執行勒索軟體攻擊。</p> <p>研究人員提及，一旦駭客執行Anubis的資料破壞模式，所有遭到勒索軟體攻擊的檔案雖然看似並未刪除，副檔名也未被更動，但檔案內容皆完全被清除，大小變成0 KB。</p> </div></div></div>
2025/6/17 17:45作者周峻佑https://www.ithome.com.tw/news/169593
華盛頓郵報電子郵件系統遭駭，部分負責國安、經濟政策、中國等領域報導的記者帳號被入侵
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>新聞媒體因為能夠廣泛影響輿論，往往也是國家級駭客盯上的目標類型，他們基於政治與國家安全等考量，攻擊新聞媒體的內部系統，竊取記者的電子郵件或調查資料，挖掘敏感資訊，甚至到了選舉期間，還可能試圖操弄媒體報導來影響選民決策，因此新聞媒體一旦傳出遭到網路攻擊而停擺或內容遭竄改、操弄，很快就引起各界的關注。</p> <p>例如，本週華盛頓郵報（Washington Post）<a href="https://www.wsj.com/tech/cybersecurity/cyberattack-on-washington-post-compromises-email-accounts-of-journalists-70bf1300?gaa_at=eafs&gaa_n=ASWzDAjV91_AZ96wWbB2_UsgtvUUngOMFUz-8lbhBCJOYSF2Gr9Yfv7lKIOaTRMIMEg%3D&gaa_ts=68500bb6&gaa_sig=k9KiTjrS_8YbLccbuH-gW8xVj6-vJgJ3ceMr_qz35yFL59jXY22bPEmbNZKEE8mfybs2qlmGSqDGGbCcka80Jw%3D%3D">透露他們郵件系統遭到入侵的情況</a>，美國媒體與多家資安新聞網站，例如：<a href="https://www.bleepingcomputer.com/news/security/washington-posts-email-system-hacked-journalists-accounts-compromised/">Bleeping Computer</a>、<a href="https://edition.cnn.com/2025/06/15/media/washington-post-cyberback-emails">CNN</a>、<a href="https://www.darkreading.com/vulnerabilities-threats/washington-post-staffer-emails-targeted-cyber-breach">Dark Reading</a>、<a href="https://gbhackers.com/washington-post-hacked/">GBHackers</a>、<a href="https://www.reuters.com/world/us/washington-post-investigating-cyberattack-journalists-wsj-reports-2025-06-15/">路透社</a>紛紛報導此事。這些媒體的報導指出，華盛頓郵報的主管近日向部分受到影響的員工告知，有數名記者的電子郵件帳號遭到入侵。</p> <p>這項消息的曝光，源自於6月15日華盛頓郵報執行主編Matt Murray向所有員工發出的內部備忘錄，內容提及他們察覺郵件系統疑似於上週四（6月12日）遭遇目標式攻擊，該公司於隔日重設所有員工的帳密。</p> <p>針對這起事故發生的原因，華盛頓郵報仍在調查，但他們已經確認有限數量的記者微軟電子郵件帳號受到影響，除此之外，這起未經授權的入侵行為並未波及其他系統，客戶也沒有受到影響。</p> <p>究竟這起事故的攻擊者身分為何？華盛頓郵報懷疑是外國政府主導的活動，但他們尚未確認犯案的駭客組織身分。</p> <p>有知情人士透露，駭客攻擊的目標，是專門負責國家安全與經濟政策的記者，以及負責中國新聞的記者，這樣的情況很難不讓人聯想整起事故與中國有關。</p> <p>值得留意的是，華盛頓郵報並非首度遭遇網路攻擊事故。3年前，該公司的<a href="https://www.ithome.com.tw/news/149214">母公司新聞集團（News Corp）傳出遭遇網路攻擊</a>，導致華盛頓郵報、道瓊公司、紐約郵報，以及新聞集團總部都受到影響。協助調查此事的資安業者Mandiant透露，駭客使用來自中國的技術，目的可能是收集對中國有利的資訊。</p> </div></div></div>
2025/6/17 16:04作者周峻佑https://www.ithome.com.tw/news/169591
假DeepSeek-R1廣告暗藏BrowserVenom木馬，劫持瀏覽器流量
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>卡巴斯基GReAT團隊<a href="https://securelist.com/browservenom-mimicks-deepseek-to-use-malicious-proxy/115728/">發現</a>駭客鎖定熱門生成式人工智慧應用熱潮，透過假冒DeepSeek-R1語言模型安裝程式的Google廣告，散布名為BrowserVenom的新型惡意木馬，專門劫持受害者瀏覽器流量，並竊取個人資料。</p> <p>根據研究人員的調查，攻擊者利用Google搜尋廣告，將針對DeepSeek R1關鍵字所建立的釣魚網站推至搜尋結果頁面頂端。該網站外觀與DeepSeek官方網站極為相似，並會依據訪客作業系統顯示相對應的介面，進一步提升誘騙成功率。以Windows用戶為例，進入釣魚網站後會僅出現Try now按鈕，點擊後則會出現CAPTCHA防機器人驗證頁面，實際上相關驗證機制均以JavaScript混淆程式碼實作，目的是過濾自動化工具，提高釣魚精準度。</p> <p>當用戶完成CAPTCHA步驟後，網站提供名為AI_Launcher_1.21.exe的假DeepSeek安裝程式供下載。研究人員進一步分析這個安裝程式後發現，檔案內嵌多層惡意行為，首先，安裝程式會偵測並嘗試將受害者目錄排除於Windows Defender防護之外，採用AES加密方式隱藏PowerShell命令，降低被內建防毒軟體攔截的機率。當執行環境具備系統管理員權限，該程式會繼續下載第二階段惡意執行檔，並將其儲存於使用者目錄的指定路徑。</p> <p>最後一個階段，安裝程式會以同樣的加解密流程，在記憶體中載入名為BrowserVenom的木馬程式。BrowserVenom會先檢查系統是否具備管理員權限，當符合條件便會自動安裝由駭客簽發的根憑證，以取得瀏覽器流量攔截與解密能力。之後，該木馬會針對受害系統中常見的Chromium及Gecko架構瀏覽器，像是Chrome、Edge、Firefox與Tor Browser等，修改啟動參數與使用者設定檔，強制所有瀏覽流量經由駭客指定的Proxy伺服器傳送，完整監控受害者的網路流量內容，包含個人憑證、登入資訊甚至敏感文件資料。</p> <p>由於攻擊程式碼與釣魚網站內部皆發現俄語相關註解，因此本次攻擊可能出自俄語系駭客組織之手。駭客採取自動化廣告推播與全球釣魚策略，大規模散布木馬，依研究團隊偵測，目前已知受害地區遍及巴西、印度、古巴、南非、尼泊爾等多個國家。</p> </div></div></div>
2025/6/17 16:48作者李建興https://www.ithome.com.tw/news/169590
OpenAI獲得美國國防部2億美元的合約
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://openai.com/global-affairs/introducing-openai-for-government/" target="_blank">OpenAI周一（6/16）發表</a>專為政府設計的OpenAI for Government計畫，同時宣布已取得美國國防部的2億美元合約，將協助數位長暨AI辦公室（Chief Digital and Artificial Intelligence Office，CDAO）改善其行政流程。</p> <p>雙方打算共同探究前沿AI可如何改變國防部的行政運作，包括優化軍人與家屬的醫療流程，簡化國防部的計畫與資料管理，以及支援主動式網路防禦，並強調所有的案例都必須符合OpenAI的使用政策及準則。<a href="https://openai.com/zh-Hant/policies/usage-policies/" target="_blank">OpenAI的使用政策</a>明文禁止其服務用來開發或使用武器。</p> <p>OpenAI表示，此一合作的目標是改善公共服務的日常體驗，並讓公務員在執行關鍵任務時感覺更有能力、效率，也受到更多支持。曾參與OpenAI測試的賓州公務員發現，ChatGPT每天幫他們節省的例行任務時間為105分鐘；此外，Los Alamos Lab、Lawrence Livermore Lab及Sandia National Labs等實驗室也都部署了OpenAI模型，以加速科學研究，強化國家安全準備，以及推動公共部門創新。</p> <p>另一方面，根據<a href="https://www.defense.gov/News/Contracts/Contract/Article/4218062/" target="_blank">CDAO在同一天發布的消息</a>，在與OpenAI簽訂的協議中，OpenAI將負責開發前沿AI的原型，以同時解決作戰及組織管理領域的重大國家安全挑戰，並應於2026年的7月完成，已先撥款近200萬美元。</p> <p>其實OpenAI先前已與許多美國政府部門合作，趁著此次的發表也宣布把既有的所有政府專案都納入OpenAI for Government計畫，包括上述的美國國家實驗室，空軍研究實驗室（Air Force Research Laboratory），美國太空總署（NASA），美國衛生研究院（NIH）及財政部等。</p> <p>OpenAI for Government將會因應政府部門的需求，提供ChatGPT Enterprise、ChatGPT Gov或客製化模型，並提供技術支援與最新技術的預覽服務。</p> <p>雖然不開發或使用AI武器，但<a href="https://www.anduril.com/article/anduril-partners-with-openai-to-advance-u-s-artificial-intelligence-leadership-and-protect-u-s/" target="_blank">OpenAI去年12月成為美國國防技術業者Anduril Industries的策略合作夥伴</a>，雙方同意共同開發與部署應用於國家安全任務的先進AI解決方案，打算整合OpenAI的模型與Anduril的國防系統及Lattice軟體平臺，以避免美軍及其盟軍受到無人機或其它空中裝置的攻擊。</p> </div></div></div>
2025/6/17 16:57作者陳曉莉https://www.ithome.com.tw/news/169592
【資安週報】0609~0613，中國驚傳40億筆民眾個資在網際網路裸奔一天
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>時間來到6月的第二週，本週有幾項資安事故特別受到矚目，尤其有多項與中國有關。首先是資安新聞媒體Cybernews發現疑似為中國政府所有的大型資料庫曝險情事，從資料的筆數來看，高達40億筆創下紀錄，研究人員提到，這些資料是精心收集與維護，並分成16種資料集歸納，筆數前3大的資料集涉及微信帳號、住家地址、銀行資料，光是這些資料，就有機會讓攻擊者了解中國民眾的生活型態、借貸與存款的情形。</p> <p>雖然這起資料庫曝光主要是印證中國政府無孔不入地監控百姓，但臺灣民眾也要小心，因為上述資料集當中有一個疑似專門彙整臺灣民眾的資料，後續的影響有待觀察。</p> <p>另一個我們在意的資安事故，是中國駭客鎖定歐美政要及媒體高層等重要人物的零點擊攻擊，駭客鎖定這些人士使用的iPhone手機，利用iMessage漏洞Nickname下手，目前至少有6人確認遭受相關攻擊。</p> <p>第三個資安事故態勢，是針對零售業者的全球網路攻擊事故，自4月底從英國出現，後續有其他歐洲國家與美國的精品業者及運動用品業者受害，但如今災情也蔓延到亞洲。這次的苦主，是在韓國K-POP生態系扮演粉絲與偶像重要的橋梁，而有擁有舉足輕重地位的Yes24，該公司主要經營書店及銷售K-POP和韓劇周邊商品，並經營演唱會活動購票平臺，因此Yes24於6月9日網站服務停擺受到當地媒體高度關注，並認為很可能會重創韓國藝文界，該公司後續於隔天坦承是遭受勒索軟體攻擊，並於13日恢復訂票等多項服務，至於客戶資料是否受到影響，有待Yes24進一步說明。</p> <p>本週還有其他資安事故揭露也相當值得留意，其中一個是鎖定Apache Tomcat大規模嘗試暴力破解的情事，與上週揭露5月初利用Amazon代管IP位址尋找超過70種應用系統弱點的情況有些雷同，不禁讓人聯想兩者之間是否有所關連。</p> <p>此外，針對資安平臺的殭屍網路活動也相當特別，有研究人員發現專門針對開放原始碼的SIEM、XDR平臺Wazuh的攻擊行動，駭客試圖利用公布不久的已知漏洞發動攻擊，由於這類平臺往往會存放許多用於資安事故調查所需的資料，利用漏洞帶來的影響可能會更加廣泛。</p> <p>附帶一提的是，6月初發生服務中斷的資安業者SentinelOne，本週公布之前遭到中國駭客攻擊的調查結果，由於這兩起事故發布的時間點相當接近，讓人不禁好奇它們是否有交集。</p> <p>而在國內的資安消息方面，本週光電封測大廠聯鈞光電發布資安重訊，對於有媒體報導駭客在地下論壇公開兜售竊得資料的情況進行說明，他們提及在1月遭受勒索軟體攻擊之後，5月二度受害，這樣的情況相當不尋常。</p> <p>在漏洞修補的部分，本週有許多IT業者發布6月份例行更新，其中微軟的公告相當值得留意，因為這次也有零時差漏洞，其中出現在WebDAV的資安漏洞CVE-2025-33053，已被駭客組織Stealth Falcon用於攻擊土耳其國防公司。</p> <p>附帶一提的是，微軟本週也公布M365 Copilot重大層級漏洞CVE‑2025‑32711，通報此事的資安業者Aim Security將其稱做EchoLeak，並指出這是第一個針對AI代理程式的零點擊攻擊鏈弱點，不僅會影響Copliot的資料安全，還可能波及其他以檢索增強生成（RAG）的AI代理程式或聊天機器人。</p> <p>除此之外，有兩組研究人員揭露Salesforce相關漏洞的消息也相當值得留意，其中一個涉及Salesforce Object Query Language（SOQL）查詢；另一批影響低程式碼的組態配置。也有兩組研究人員公布相關漏洞的系統，還有系微（Insyde）的UEFI韌體H2O，這些弱點皆與非揮發性隨機存取記憶體（NVRAM）有關，能繞過安全開機（Secure Boot）防護機制。</p> <p>多項企業資安產品持續發布漏洞公告，令人憂心後續影響。前一週網路儲存設備Dell PowerScale、HPE備份平臺StoreOnce、Acronis資料保護與備份軟體Cyber Protect陸續修補重大漏洞，本週有趨勢科技修補影響端點加密與安全管理平臺多項漏洞，以及Palo Alto Networks修補安全瀏覽器、SSL VPN高風險漏洞的消息，IT人員應儘速採取行動，進行修補或緩解作業。</p> <p> </p> <p><a href="https://www.ithome.com.tw/news/169436"><strong style="font-size: 22px;">【6月9日】中國驚傳大規模資料外洩，40億筆民眾個資在網際網路短暫裸奔</strong></a></p> <p>本日資安新聞環繞兩大主題：中國與勒索軟體；在中國的部分，彙整當地民眾的40億筆記錄大型資料庫曝光最受到矚目，其次，中國駭客使用iMessage零點擊漏洞攻擊政要，以及鎖定SQL Server、NetWeaver等應用系統入侵企業組織的情況，也相當值得留意。</p> <p>而在勒索軟體的部分，駭客組織Qilin的活動再度浮上檯面，在此同時，攻擊者假借提供AI工具之名的線上平臺，成為散布勒索軟體的另類管道。</p> <p><a href="https://www.ithome.com.tw/news/169459"><strong style="font-size: 22px;">【6月10日】中國駭客鎖定資安業者SentinelOne及超過70個企業組織從事大規模攻擊</strong></a></p> <p>繼5月底傳出營運中斷的消息，本週資安業者SentinelOne公布遭遇中國駭客攻擊的調查結果。儘管兩起事故看起來沒有直接關連，但是公布的時間點相當接近，仍不免令人好奇它們之間是否有交集。</p> <p>此外，隨著暑假旅遊旺季的到來，打著訂房網站名號的網釣攻擊也相當值得留意，民眾必須特別提高警覺；而在資安漏洞的部分，Python壓縮檔模組重大漏洞、Google帳號的電話號碼資訊可被暴力破解的情況，也相當受到矚目。</p> <p><a href="https://www.ithome.com.tw/news/169486"><strong style="font-size: 22px;">【6月11日】微軟修補已遭利用的WebDAV零時差漏洞，若不處理攻擊者可遠端執行任意程式碼</strong></a></p> <p>本週二有許多軟體業者發布6月份資安更新，其中微軟發布的內容尤其值得留意，因為其中包含了已被用於攻擊行動的資安漏洞。再者，SAP發布的公告也引起關注，原因是他們再度為NetWeaver修補重大漏洞。此外，本週有兩組研究人員公布Salesforce弱點的消息，也值得用戶留意。</p> <p>而在資安事故的消息上，零售業者遭到攻擊的事故，從時尚精品和運動服飾品牌轉向了保健食品業者；而在國內的部分，光電封測大廠聯鈞光電透露，5月下旬他們二度遭到攻擊。</p> <p><a href="https://www.ithome.com.tw/news/169531"><strong style="font-size: 22px;">【6月12日】大型電子商務平臺Yes24遭勒索軟體攻擊引起韓國當地高度關注</strong></a></p> <p>這幾天有一起韓國追星族可能會首當其衝的資安事故，那就是在韓國經營大型書店，以及演唱會售票平臺的Yes24，驚傳遭到勒索軟體攻擊而導致服務停擺，但受害情況、影響範圍有待後續追蹤。</p> <p>對於其他的資安事故，Apache基金會重點專案Tomcat遭遇大規模攻擊、竊資軟體Myth Stealer相當值得留意，而M365 Copliot零點擊漏洞、系微（Insyde）UEFI韌體H2O漏洞的揭露，也引起資安界的關注。</p> <p><a href="https://www.ithome.com.tw/news/169544"><strong style="font-size: 22px;">【6月13日】Mirai變種企圖利用重大漏洞綁架資安平臺Wazuh</strong></a></p> <p>殭屍網路攻擊事故頻傳，最近資安業者Akamai揭露的事故相當特別，駭客鎖定的目標，竟是在中小企業、教育機構、政府機關相當受歡迎的資安平臺Wazuh。</p> <p>而在漏洞消息的方面，趨勢科技、Palo Alto Networks修補旗下資安防護產品的漏洞相當值得留意；Acronis、Dell也為備份軟體、NAS作業系統修補重大層級漏洞。</p> </div></div></div>
2025/6/17 14:35作者周峻佑https://www.ithome.com.tw/news/169586
川普家族成立Trump Mobile，將推出499美元的美國製手機T1 Phone
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國總統川普（Donald Trump）的長子Donald Trump Jr.及次子Eric Trump周一（6/16）與Trump Mobile團隊共同揭露了<a href="https://www.trump.com/media/trump-mobile-launches-a-bold-new-wireless-service" target="_blank">T1 Mobile行動服務</a>，並準備於今年8月推出在美國設計與製造的智慧型手機T1 Phone，規格堪比iPhone，但售價只有499美元。</p> <p>儘管該新聞稿中特別聲明，Trump Mobile及其產品與服務，並非由川普集團或其附屬公司或負責人所設計、開發、製造或經銷，Trump Mobile只是取得Trump的名稱與商標，隨時可終止及撤銷，企圖切割Trump Mobile與川普集團的關係。然而，該消息是由川普集團（Trump Organization）所發布，再加上川普兩名兒子的站臺，外界一面倒地認為這是川普集團的新業務，代表川普家族將進軍電信市場。</p> <p>Trump Mobile將與美國三大行動電信商Verizon、T-Mobile及AT&T合作，旗艦產品為每月47.45美元的The 47 Plan方案，提供無限的資料傳輸、簡訊及通話服務，還可免費撥打國際電話至逾100個國家，且不必綁約，支援各種手機。</p> <p>Trump Mobile也準備在今年8月推出智慧型手機<a href="https://trumpmobile.com/t1-phone" target="_blank">T1 Phone</a>。T1 Phone採用6.8吋螢幕，內建Android 15作業系統，配備12GB記憶體，256GB儲存空間，5,000萬畫素的主相機，以及1,600萬畫素的自拍相機，還有5000mAh容量的電池。</p> <p>雖然沒有揭露處理器，但T1 Phone的其它硬體規格堪比蘋果最新的<a href="https://www.apple.com/iphone/compare/" target="_blank">iPhone 16系列</a>，售價卻只要499美元，還標榜是在美國設計與製造。</p> <p>不過，<a href="https://www.wsj.com/tech/trump-t1-phone-components-features-2415c7cd" target="_blank">華爾街日報（WSJ）認為</a>，T1 Phone若是要在8月上市，就絕不可能是在美國製造。該報引用供應鏈專家的看法，指出美國需要數年及數十億美元才能建立起與中國產量相當的工廠及技術組合，且其勞動力與基礎設施成本也將是天文數字，手機生產成本將是iPhone的好幾倍，因而揣測T1 Phone初期很可能來自中國。</p> </div></div></div>
2025/6/17 14:36作者陳曉莉https://www.ithome.com.tw/news/169587
假借瀏覽器更新、提供軟體或服務的名義為幌子，駭客GrayAlpha意圖散布NetSupport RAT
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>以經濟利益為動機的俄羅斯駭客組織<a href="https://www.ithome.com.tw/tags/fin7">FIN7</a>去年攻擊事故頻傳，這些駭客<a href="https://www.ithome.com.tw/news/162561">偏好使用SAP應用系統的資安漏洞</a>、也<a href="https://www.ithome.com.tw/news/165307">曾使用裸照生成器DeepNude為誘餌散布惡意程式</a>，甚至進一步對<a href="https://www.ithome.com.tw/news/164003">其他網路罪犯提供EDR迴避偵測工具</a>，如今他們也甚至與其他駭客共用基礎設施。</p> <p>資安業者Recorded Future旗下的研究團隊Insikt Group揭露<a href="https://www.recordedfuture.com/research/grayalpha-uses-diverse-infection-vectors-deploy-powernet-loader-netsupport-rat">名為GrayAlpha的駭客組織</a>，這些駭客與FIN7有所交集，共用散布惡意酬載的網域名稱及基礎設施架構，藉此於受害電腦植入遠端存取木馬NetSupport RAT並執行。</p> <p>針對駭客散布NetSupport RAT的管道，大致可分成3種，包含使用偽造的瀏覽器更新網頁、冒牌7-Zip下載網站，以及使用名為TAG-124的多層次惡意流量導向系統（TDS），過程中使用自製的惡意程式載入工具，其中一種是以PowerShell打造而成的PowerNet，另一種是與FakeBat相當類似的MaskBat。雖然駭客的攻擊流程大致能分成3種主要管道，但研究人員指出，後續他們只看到冒牌7-Zip下載網站仍處於活動的狀態，且在今年4月駭客還使用了新註冊的網域名稱。</p> <p>值得留意的是，雖然研究人員表明第一種接觸受害者的管道是「瀏覽器更新」，但駭客也假借其他應用程式或是服務的名義來從事相關活動，這些被冒用的包括：Advanced IP Scanner、Asana、AIMP、Google Meet、LexisNexis、SAP Concur，以及CNN和華爾街日報等新聞媒體。這些網站多半使用相同的指令碼來列管受害電腦的指紋。一旦使用者上當，就有可能將PowerNet、MaskBat下載到電腦，並引發後續感染流程。</p> </div></div></div>
2025/6/17 12:14作者周峻佑https://www.ithome.com.tw/news/169582
微軟6月安全更新引發Windows Server DHCP運作問題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟上周發布的6月份Patch Tuesday安全更新，引發部份Windows Server的動態主機設定協定（Dynamic Host Configuration Protocol，DHCP）服務出現運作不穩或無法運作問題，影響Server 2016到2025。</p> <p>上周Patch Tuesday分別針對Windows用戶端及伺服器端釋出安全更新。<a href="https://www.reddit.com/r/sysadmin/comments/1lb93v2/dhcp_service_might_stop_responding_after/" target="_blank">但一些Reddit用戶反映</a>，安裝了更新版後，Server 2016的DHCP Server功能幾乎立即無法運作，迫使用戶必須移除才能恢復運作。</p> <p>微軟在前後幾代Windows Server的安全更新發布頁，都增列「DHCP Server」問題的相關說明，包括Windows Server 2016 (<a href="https://support.microsoft.com/en-us/topic/june-10-2025-kb5061010-os-build-14393-8148-6766ca26-dc1e-4592-b959-d0c92d6deb6f" target="_blank">KB5061010</a>)、Server 2019 (<a href="https://support.microsoft.com/en-gb/topic/june-10-2025-kb5060531-os-build-17763-7434-32fce7e7-305d-4d32-913f-3fdc0709a763" target="_blank">KB5060531</a>)、Server 2022 (<a href="https://support.microsoft.com/en-us/topic/june-10-2025-kb5060526-os-build-20348-3807-4e9453c4-6602-48ea-b349-689cd66dfdb9" target="_blank">KB5060526</a>)，以及Server 2025 (<a href="https://support.microsoft.com/en-us/topic/june-10-2025-kb5060842-os-build-26100-4349-47ff300b-2a04-440c-9476-2860d04fce8d" target="_blank">KB5060842</a>)。</p> <p>微軟說明，安裝本次安全更新後，DHCP Server服務出現斷續停止回應的情形，影響所有用戶的IP更新。微軟正趕製修復方法，預計未來幾天內提供更多資訊。</p> <p>這是6月份安全更新引發的最新問題。Patch Tuesday安全更新上周部署到用戶端時，部分搭載Windows 11 24H2的PC不相容而無法安裝，迫使微軟一度暫停部署，之後以例外更新重新發送。</p> <p>5月安全更新發布時，部分搭載Windows 11 22H2及23H2 PC安裝失敗，並出現和ACPI.sys有關的回復錯誤訊息(0xc0000098)，導致系統不預期凍結或重新啟動。受影響系統包含Azure Virtual Machines、Azure Virtual Desktop和代管在Citrix、Hyper-V的本地部署VM。</p> </div></div></div>
2025/6/17 11:52作者林妍溱https://www.ithome.com.tw/news/169580
Meta正式於WhatsApp中導入廣告服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在Meta於2014年（當時還稱為Facebook）以190億美元買下WhatsApp之後，<a href="https://about.fb.com/news/2025/06/helping-you-find-more-channels-businesses-on-whatsapp/" target="_blank">終於在本周一（6/16）宣布</a>要正式於WhatsApp中導入廣告服務，包括允許使用者付費訂閱創作者頻道，讓商家付費以提高頻道能見度，以及推出動態廣告服務。</p> <p>WhatsApp是由兩名Yahoo前員工Brian Acton及Jan Koum在2009年共同創立，最初的想法只是想打造一個可在手機通訊錄上顯示用戶狀態的應用，<a href="https://blog.whatsapp.com/why-we-don-t-sell-ads" target="_blank">而且堅持不出售廣告</a>，認為廣告不只破壞美感，侮辱使用者智商，打斷使用者思路，而且當涉及廣告時，用戶就是產品。</p> <p>於是WhatsApp於2013年開始，向使用第二年的用戶收取每年0.99美元的年費，<a href="https://www.ithome.com.tw/news/103332" target="_blank">繼之於2016年取消向用戶收費的策略</a>，隨後轉向商家收費，包括釋出Business API以讓商家得以藉由WhatsApp與客戶互動，包括更新訂單或確認出貨事宜；Meta則允許商家在Facebook及Instagram下廣告，並開啟一個WhatsApp聊天視窗與消費者互動。</p> <p>總之，本周的宣布是WhatsApp首次向用戶展示廣告，但目前僅出現在動態（Status）功能中。動態是WhatsApp的功能頁面之一，主要用來展現親友的即時狀態，包括文字、相片、影片及GIF等，且這些動態在24小時之後就會消失。根據WhatsApp的統計，動態每天的使用人數高達15億。</p> <p>新的政策包括允許使用者每月付費訂閱接收特定頻道的專屬動態；以及在使用者於動態中瀏覽時，推廣頻道以提升頻道的能見度；或是允許商家於動態中推廣商品。</p> <p>WhatsApp強調，上述訂閱或廣告服務只會出現在動態功能中，不會出現在使用者尋常的個人對話中；但會存取使用者的部分資訊，包括所在的國家、城市、語言、所追蹤的頻道，以及與廣告的互動方式等，來遞送使用者可能感興趣的廣告。絕不會與廣告商分享用戶的電話號碼，也不會利用個人資訊、通話及所加入的群組資訊來提供個人化廣告。<a href="https://business.whatsapp.com/whatsapp-ads" target="_blank">廣告主可透過WhatsApp所設立的廣告服務首頁來存取相關資訊</a>。</p> <p>廣告一直是Meta主要的營收來源，<a href="https://www.ithome.com.tw/news/168711" target="_blank">在該公司今年第一季所創下的423億美元營收中</a>，有419億美元來自於涵蓋Facebook、Instagram、WhatsApp、Messenger及Threads等程式家族（Family of Apps），占了Meta總營收的99%。</p> </div></div></div>
2025/6/17 12:04作者陳曉莉https://www.ithome.com.tw/news/169581
流量導向系統HelloTDS散布假圖靈驗證程式，感染數百萬裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.gendigital.com/blog/insights/research/inside-hellotds-malware-network" target="_blank">Gen Digital安全研究人員發現</a>駭客利用名為HelloTDS的流量導向系統（Traffic Direction System，TDS）散布假CAPTCHA等惡意程式，已感染430萬臺用戶裝置。</p> <p>近來發生數波FakeCaptcha變種攻擊。<a href="https://www.gendigital.com/blog/insights/research/global-surge-in-fake-captcha-attacks" target="_blank">Fake Captcha曾在2024年秋天肆虐</a>，駭客使用假的網站圖靈驗證機制騙取造訪用戶點擊，並在受害者電腦植入LummaC2等惡意程式。研究人員相信這幾波變種攻擊背後，都來自一個由駭客控制的流量導向系統（Traffic Direction System，TDS）網路，並將之稱為HelloTDS，能辨識用戶裝置和網路資訊，藉此決定下載竊密、竊財或其他目的的惡意程式。</p> <p>HelloTDS至少在今年4、5月開始就感染了超過430萬用戶。以絕對值而言，受害者以美、巴西、印度和西歐最多，但考量人口及受害者比例，相對風險以巴爾幹半島、及盧安達、埃及、坦尚尼亞和肯亞等非洲國家最高。</p> <p>從攻擊鏈而言，當受害者點選受感染的網站，就面臨HelloTDS的攻擊。研究人員分析HelloTDS感染的網站，少部份是廣告網路，多半是偽造的電影串流、檔案共享、縮址網站、色情或BT鏡像網站，其實都是攻擊者控制的網站，構成HelloTDS的主要來源。</p> <p>受害者造訪的網站先向原始HelloTDS端點請求JavaScript及其他檔案，接連從用戶連線、瀏覽器或滑鼠動作是否為適合的受害者。若否，連線及攻擊會中止。若是，則將用戶導向惡意網站。受害者主要被導向包含FakeCaptcha，其他還有假更新、加密惡意程式、詐騙內容等的登陸頁。一旦受害者點入這些登陸頁並執行點選動作，就會下載惡意程式下載計，例如Emmenhtal loader。</p> <p>研究人員指出，這波攻擊中，不但偽造的網站使用看似合法網站的網址博取用戶信任，又利用假的Captcha製造可信度假象，進一步提高HelloTDS的威脅。研究人員提醒用戶使用防止瀏覽器或裝置指紋辨識（fingerprint）的防護。若是針對Fake Captcha，則必須避免從陌生網站複製貼上指令以Windows Run執行。</p> </div></div></div>
2025/6/17 10:51作者林妍溱https://www.ithome.com.tw/news/169577
4.6萬套資料圖形視覺化Grafana系統尚未修補XSS漏洞而曝險
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>研究人員發現，資料視覺化軟體Grafana 5月間修補的跨網站指令碼（XSS）資安漏洞，仍然有超過4.6萬臺系統未更新版本而處於曝險狀態。</p> <p>Grafana是多平臺開源資料分析及視覺化網頁應用，可連結多種資料源生成圖表、互動式儀表板及警示，常用於系統監控和即時資料分析。</p> <p>5月21日Grafana接獲外部研究人員通報一個跨站指令碼（XSS）漏洞，編號CVE-2025-4123。該漏洞是結合終端路徑穿越和開放重導向，可讓攻擊者將用戶導向一個代管前端外掛的網站並執行任意JavaScript。濫用本漏洞不需編輯器(editor)許可，只要有匿名存取權就能執行XSS，後果包括劫持用戶連線、變更帳號憑證。此外，如果用戶安裝了Grafana圖像渲染（Image Render）外掛程式，攻擊者還可能用它來執行開放重導向，導致可完整讀取受害機器的伺服器端請求偽造（Server-side request forgery，SSRF）。CVE-2025-4123 CVSS 3.1風險值為7.6。<a href="https://grafana.com/security/security-advisories/cve-2025-4123/" target="_blank">研發本軟體的Grafana Labs已在5月釋出更新版修補</a>。</p> <p><a href="https://www.ox.security/confirmed-critical-the-grafana-ghost-exposes-36-of-public-facing-instances-to-malicious-account-takeover/" target="_blank">不過應用安全廠商OX Security發現</a>，直到最近還有超過4萬臺系統仍未修補漏洞。研究人員利用Shodan搜尋，發現128,864臺面向網際網路，其中46572個為未更新的Grafana執行個體。以所在地國家來看，以美國1.1萬佔最大宗，其次為德國（6276）及巴西（3400）。</p> <p>Grafana預設的內容安全政策可以透過connect-src指令防堵XSS，但只是權限措施。研究人員及Grafana Labs呼籲用戶最好是更新軟體以確保企業及系統安全。</p> </div></div></div>
2025/6/17 11:01作者林妍溱https://www.ithome.com.tw/news/169578
VS Code更新著重MCP整合，增強AI與多代理開發體驗
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://code.visualstudio.com/updates/v1_101">VS Code推出v1.101</a>，本次更新重點放在MCP（Model Context Protocol）協定整合，提升人工智慧與多代理工具在實際開發流程中的整合與應用效率。由於VS Code在新版中與人工智慧工具的整合度更好，日常開發的自動化工作流程也更靈活。</p> <p>MCP最早由Anthropic於2024年提出，目標是以開放標準讓大型語言模型能以統一格式讀寫外部資料與工具，確保上下文共享與安全存取。此協定現已被Google、OpenAI、微軟等科技公司採納，成為多模型整合與智慧應用生態系的重要基礎。VS Code v1.101進一步強化MCP實作，首先支援提示詞功能，讓MCP伺服器可直接提供可重用指令或範本，並能在對話介面中以斜線指令呼叫，提升各類任務與程式碼生成的效率。</p> <p>VS Code現已支援MCP協定的資源管理功能，開發者可直接在對話介面中瀏覽、拖曳或儲存來自不同MCP伺服器的資料資源。這項設計協助開發者跨工具、跨伺服器呼叫模型、範本或其他資源，讓人工智慧驅動的開發模式更為順暢。此外，MCP協定本次也增添採樣（Sampling）功能，雖然目前仍屬實驗階段，但已能讓人工智慧代理伺服器依需求向模型發送請求，增進應用彈性。</p> <p>針對安全與法遵需求，VS Code v1.101加入MCP認證規範支援，涵蓋GitHub、Entra等主要帳號授權與管理，用戶可在VS Code內管理、指定、移除MCP伺服器存取權限，以符合企業對多帳號、多平臺開發環境的安全需求。</p> <p>VS Code導入工具集的概念，開發者可將多個相關工具群組，在人工智慧代理模式下快速切換或批次啟用與停用。VS Code本次還開放自訂對話模式，開發者可依需求定義專屬對話流程與可用工具組合，最佳化特定工作流程。</p> <p>微軟根據用戶回饋，改善VS Code對話區訊息區分與視覺辨識度，讓使用者訊息與人工智慧回應在介面上更明顯分離，提升可讀性。編輯區域的儲存與撤銷操作經過調整，避免與既有熱門指令衝突。開發者也能更靈活地控制目前檔案作為人工智慧對話情境的參考來源，簡化情境切換。</p> <p>在原始碼管理方面，VS Code新增Source Control Graph檢視圖，方便開發者以視覺化方式掌握專案版本結構，方便協作與審查程式碼流程。與GitHub Copilot整合則進一步讓任務指派與追蹤，可以直接於編輯器內完成。</p> </div></div></div>
2025/6/17 08:06作者李建興https://www.ithome.com.tw/news/169569
【資安日報】6月16日，駭客運用JSFireTruck混淆手法埋藏意圖，於近270萬網站植入惡意程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了透過合法掩蓋非法行為，駭客不是濫用合法的雲端服務，就是入侵網站植入惡意程式碼，將其做為散布惡意軟體或從事其他惡意行為的管道，如今有一起大規模網站攻擊行動引起研究人員關注，因為駭客使用了罕見手法隱藏意圖。</p> <p>此外，鎖定微軟Entra ID的密碼潑灑（Password spraying）攻擊、iOS零點擊漏洞的間諜軟體攻擊事故、駭客兜售Roundcube重大漏洞的利用方法，後續都值得觀察。而在國內的資安事故，聯鈞光電週末發布重大訊息，揭露深度調查的新發現。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169571"><strong style="font-size: 22px;">JavaScript惡意程式碼攻擊行動JSFireTruck橫行，一個月感染逾26萬個網站</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/word-image-148013-142866-1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/word-image-148013-142866-1.png" style="width: 300px; float: right;" /></a>資安業者Palo Alto Networks揭露針對近30萬個網站而來攻擊活動，攻擊者運用經過JSFuck（研究人員稱為JSFireTruck）的混淆手法處理JavaScript惡意程式碼，並將它們植入受害網站。這種程式碼的組成內容主要是符號，例如：[、]、+、$、{、}等。</p> <p>這些被植入的程式碼，將會檢查網站的引用來源（Website Referrer），一旦發現來源是搜尋引擎，惡意程式碼就會將使用者導向惡意網站，而有可能導致惡意軟體下載、惡意廣告，或是其他濫用流量獲利的行為。但駭客為何要進行上述過濾流程，研究人員並未說明。</p> <p>研究人員根據遙測的資料進行分析，結果發現，從3月26日至4月25日一個月的時間裡，總計有269,552個網頁被植入JSFireTruck程式碼，這波活動在4月12日達到高峰。</p> <p><a href="https://www.ithome.com.tw/news/169548"><strong style="font-size: 22px;">駭客針對微軟Entra ID帳戶發動密碼潑灑攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Screenshot 2025-06-09 at 12_13_25 PM.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Screenshot%202025-06-09%20at%2012_13_25%E2%80%AFPM.png" style="width: 300px; float: right;" /></a></p> <p>資安業者Proofpoint近日警告，有一起惡意活動UNK_SneakyStrike自去年12月以來，便開始針對微軟雲端身分驗證服務Entra ID發動密碼潑灑（Password spraying）攻擊，影響了數百個組織、逾8萬個使用者帳戶，並有多起成功接管帳戶的案例。</p> <p>根據Proofpoint的分析，駭客所使用的工具是威脅研究人員於2021年所打造的紅隊演練工具TeamFiltration，該工具具備帳戶枚舉、密碼潑灑、資料汲取，以及透過OneDrive植入後門等能力，原本是要用來進行滲透測試及風險評估，模擬對Azure用戶的攻擊，卻直接被駭客應用於惡意活動。</p> <p>駭客透過AWS雲端伺服器從不同的地理區域輪番發動攻擊，主要為美國（42%）、愛爾蘭（11%）及英國（8%），以增加追蹤難度。這起攻擊行動在2025年1月達到高峰，當時1天內有16,500個帳戶遭到攻擊。</p> <p><a href="https://www.ithome.com.tw/news/169558"><strong style="font-size: 22px;">Graphite間諜軟體利用iOS零點擊漏洞攻擊記者</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Paragonredux-1.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Paragonredux-1.png" style="width: 300px; float: right;" /></a>蘋果針對部分iOS用戶發出罕見威脅通知，指稱其裝置遭遇高階間諜軟體攻擊，提醒受影響用戶提高警覺。根據資安研究團隊Citizen Lab最新調查，經技術鑑識後，首次有法證證據確認，至少兩名歐洲記者的iPhone遭濫用iOS零點擊漏洞入侵，悄悄植入以色列Paragon Solutions開發的Graphite間諜軟體。Apple目前已針對該漏洞CVE-2025-43200發布安全更新並加強防護。</p> <p>根據Citizen Lab公布的調查結果，收到蘋果通知的受害者包括一名歐洲知名記者及義大利媒體Fanpage.it主編。團隊對兩臺受害iPhone進行系統日誌及網路流量鑑識，發現這兩臺裝置於2025年1月至2月間執行iOS 18.2.1版本的作業系統，連線至一個與Graphite間諜軟體基礎設施有關的C2伺服器，並留下攻擊者特徵帳號ATTACKER1的iMessage訊息紀錄。研究團隊比對伺服器指紋及既有行為模式，高度確信攻擊來自Paragon Solutions的Graphite產品，且屬於零點擊攻擊，也就是無須用戶互動即可遠端入侵。</p> <p><a href="https://www.ithome.com.tw/news/169551"><strong style="font-size: 22px;">郵件伺服器Roundcube近滿分重大漏洞有駭客於地下市集兜售利用方法，全球仍有近8.5萬臺恐曝險</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/GsmbJc2XEAA4yZI.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/GsmbJc2XEAA4yZI.jpg" style="width: 300px; float: right;" /></a>6月初電子郵件伺服器系統Roundcube發布資安更新，修補風險值達到9.9分的後身分驗證漏洞CVE-2025-49113，通報此事的資安業者Fears Off指出，這項漏洞不僅危險，影響範圍還相當廣泛，攻擊者很快就會將其用於實際攻擊，如今研究人員的推測成真，因為馬上就有駭客在地下市集兜售利用漏洞的方法。</p> <p>CVE-2025-49113是在6月1日揭露，3天後，Fears Off執行長Kirill Firsov在社群網站X提出警告，指出暗網有人在兜售CVE-2025-49113的利用方法，駭客號稱這種手法可用於對全球353.6萬臺郵件伺服器下手，雖然駭客並未公布售價，但Kirill Firsov認為，漏洞掮客可能會以5萬美元的價格買下。</p> <p>事隔數日（6月9日），威脅監控平臺Shadowserver基金會公布此漏洞曝險的情形，他們在6月8日偵測到有84,925臺郵件伺服器尚未修補，其中以美國、印度、德國最多，分別約有19,500、15,500、13,600臺。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=2&SPOKE_TIME=164444&SPOKE_DATE=20250613&COMPANY_ID=3450"><strong style="font-size: 22px;">針對勒索軟體攻擊事故，聯鈞光電再發重訊表示部分資料遭竊</strong></a></p> <p></p> <p>6月9日矽光子及光電封測大廠聯鈞光電發布資安重訊，針對有媒體報導駭客於地下論壇公然兜售竊得資料的情況<a href="https://www.ithome.com.tw/news/169486">進行說明</a>，但該公司當時主要是透露他們1月遭受勒索軟體的事故後續處理情形，並認為疑似有資料外洩的情況，該公司後續於13日發布新的重訊表示，經過他們的深入調查，部分檔案遭到駭客竊取，而有可能洩露。</p> <p>對於遭竊的資料內容為何，聯鈞並未進一步說明，但特別的是，他們呼籲可能利害關係人切勿向駭客購買這些資料，由此看來，外流的檔案內容可能涉及內部機密，或是與其他廠商往來的重要資料。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/westjet-investigates-cyberattack-disrupting-internal-systems/">大型加拿大航空業者WestJet遭駭，部分內部系統中斷運作</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/06/discord-invite-link-hijacking-delivers.html">即時通訊軟體Discord邀請連結遭濫用，駭客藉此散布AsyncRAT及竊資軟體Skuld</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/06/ransomware-gangs-exploit-unpatched.html">勒索軟體駭客鎖定遠端管理軟體SimpleHelp已知漏洞而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/anubis-ransomware-adds-wiper-to-destroy-files-beyond-recovery/">勒索軟體Anubis加入檔案撕票功能</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169446"><strong style="font-size: 22px;">VMware NSX存在XSS高風險漏洞</strong></a></p> <p>博通旗下的VMware上周發出安全公告，修補3項網路虛擬化和安全平臺NSX資安漏洞。</p> <p>這三項漏洞分別為CVE-2025-22243、CVE-2025-22244和CVE-2025-22245，嚴重程度被評為「重要」（important）層級。影響產品包括VMware NSX、VMware Cloud Foundation和VMware Telco Cloud Platform。</p> <p>受影響產品包括VMware NSX 4.2.x、4.2.1.x、4.1.x、4.0.x、3.2.x；VMware Cloud Foundation 5.2.x、5.1.x、5.0.x、4.5.x；VMware Telco Cloud Infrastructure 5.x、4.x、3.x、2.x。VMware部門已經釋出解決漏洞的更新軟體。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/critical-vulnerability-exposes-many-mitel-micollab-instances-to-remote-hacking/">Mitel視訊會議協作平臺MiCollab存在重大漏洞，攻擊者可遠端挾持</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169544"><strong>【6月13日】Mirai變種企圖利用重大漏洞綁架資安平臺Wazuh</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169531"><strong>【6月12日】大型電子商務平臺Yes24遭勒索軟體攻擊引起韓國當地高度關注</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169486"><strong>【6月11日】微軟修補已遭利用的WebDAV零時差漏洞，若不處理攻擊者可遠端執行任意程式碼</strong></a></p> </div></div></div>
2025/6/16 18:03作者周峻佑https://www.ithome.com.tw/news/169573
JavaScript惡意程式碼攻擊行動JSFireTruck橫行，一個月感染逾26萬個網站
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了利用合法網站做為散布惡意軟體的管道，或是濫用其網路流量進行獲利，駭客在網站埋入惡意程式碼的情況，最近兩到三年越來越頻繁，最近有一起大規模活動引起研究人員的關注。</p> <p>資安業者Palo Alto Networks揭露<a href="https://unit42.paloaltonetworks.com/malicious-javascript-using-jsfiretruck-as-obfuscation/">針對近30萬個網站而來攻擊活動</a>，攻擊者運用經過JSFuck（研究人員稱為JSFireTruck）的混淆手法處理JavaScript惡意程式碼，並將它們植入受害網站。這種程式碼的組成內容主要是符號，例如：[、]、+、$、{、}等。</p> <p>這些被植入的程式碼，將會檢查網站的引用來源（Website Referrer），一旦發現來源是搜尋引擎，惡意程式碼就會將使用者導向惡意網站，而有可能導致惡意軟體下載、惡意廣告，或是其他濫用流量獲利的行為。</p> <p>研究人員根據遙測的資料進行分析，結果發現，從3月26日至4月25日一個月的時間裡，總計有269,552個網頁被植入JSFireTruck程式碼，這波活動在4月12日達到高峰。</p> <p>什麼是JSFireTruck？這是一種源自於JavaScript混淆手法JJEncode的變種，約於2012年出現，當中僅使用前述提及的6種ASCII符號字元（JJEncode使用18個字元）。由於只使用特定的符號字元呈現，因此資安系統可能難以察覺其埋藏的意圖。</p> <p>這種手法同時濫用JavaScript的資料類別強制轉換（Type Coercion）機制，此機制主要在程式語言執行運算的過程裡，用於將不同類型的資料轉換成能夠相容的型態，以避免產生錯誤，而駭客藉由這種轉換機制，用6種符號拼湊出特定的字元，以產生數值0為例，研究人員使用了三個字元+[]；數值1則是+!![]。</p> </div></div></div>
2025/6/16 16:41作者周峻佑https://www.ithome.com.tw/news/169571