iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 22篇
近 24 小時: 22篇
近 7 天: 121篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/9
最近更新: 11/9 15:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 120 篇內文

4
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象3 家

路透社2筆關係
日經中文網1筆關係
彭博社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

AI趨勢周報第275期：CRM大廠推出新版AI代理服務，強化部署觀測性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞（0620～0626）</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI代理 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 可觀測性 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Salesforce </span></strong></span></p> <p><span style="font-size: 22px;"><strong>CRM大廠推出新版AI代理服務Agentforce 3，強化部署觀測性</strong></span></p> <p>最近，CRM大廠Salesforce發布新版的AI代理平臺Agentforce 3，主打更高可觀測性、跨平臺互通和即時控管能力。進一步來說，Agentforce是Salesforce在去年10月推出的服務，他們引用即將發布的Slack調查，在過去半年內，全球AI代理使用量暴增了233%，且已有8,000多家企業註冊導入Agentforce。</p> <p>這次新版本加入了Command Center觀測中心，企業可即時追蹤AI代理健康狀況、錯誤率和任務執行成果，並透過即時警示快速介入調整。Agentforce 3還支援MCP，可與AWS、Google Cloud、Stripe、Notion等30多個工具整合，可將AI代理用於客服自動化、行銷流程、庫存查詢、帳務處理等多種情境。</p> <p>舉例來說，一家會計財務公司1-800Accountant就在今年報稅旺季，讓AI自動處理70%的行政對話，Grupo Globo則用來提高22%用戶留存率。Salesforce也指出，Agentforce 3內建超過100種操作和低程式碼設計，可讓企業快速上線客製化AI流程，落地AI人機協作。<a href="https://www.salesforce.com/news/press-releases/2025/06/23/agentforce-3-announcement/">（詳全文）</a></p> <p><img alt="" src="https://www.salesforce.com/news/wp-content/uploads/sites/3/2025/06/Salesforce-Introduces-Agentforce-3_-The-First-AI-Agent-Platform-Built-For-Businesses-to-Manage-Measure-and-Optimize-a-Hybrid-Workforce-at-Enterprise-Scale.png?w=768&h=432" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Gemini CLI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI代理 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Google開源Gemini CLI，開發者專屬的AI代理登場</strong></span></p> <p>Google日前正式開源命令列AI工具Gemini CLI，主打將Gemini 2.5 Pro的強大能力整合進終端機，採用Apache 2.0授權，提供開發者跨平臺、本地端執行的AI協作體驗。透過自然語言指令，開發者可在命令列操作程式碼撰寫、除錯、檔案管理、任務自動化等流程。</p> <p>Gemini CLI技術亮點：</p> <p>1. 支援百萬Token脈絡：能處理龐大程式碼庫和複雜任務</p> <p>2. 整合Google搜尋與MCP：可擷取即時資訊並連結外部模型如Imagen、Veo、Lyria等，從CLI直接生成圖像、影片、音樂等多媒體內容</p> <p>3. 可高度擴充和自訂提示詞：開發者可針對工作流程客製化</p> <p>4. 與Gemini Code Assist技術同源：支援VS Code和命令列雙平臺，提供多步驟AI協作推理</p> <p>Gemini CLI免費配額高達每分鐘60次、每日1,000次請求，遠超同業的平均。使用者只需Google帳戶就能開始使用，開發者也能透過GitHub獲取原始碼並參與貢獻。<a href="https://blog.google/intl/zh-tw/products/cloud/gemini-cli-your-open-source-ai-agent/">（詳全文）</a></p> <p><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/Gemini_CLI_GIF.gif" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Mu </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Copilot+ PC </span></strong></span></p> <p><span style="font-size: 22px;"><strong>微軟公開小型語言模型Mu，強化Copilot+ PC端AI代理功能</strong></span></p> <p>微軟最近發布一套專為Copilot+ PC設計的小型語言模型Mu，主打可在裝置端本地執行，還應用於Windows系統中的「設定代理人」，使用者以自然語言就能快速調整數百項系統設定，如開啟飛航模式、調整螢幕亮度等。但目前只有Dev頻道中，使用Copilot+ PC的Windows Insiders測試者能使用。</p> <p>Mu以Phi模型為基礎、重新設計而成，採用Transformer架構，以數千億個教育語料預訓練，再用Phi模型進行知識蒸餾，最後以LoRA強化特定任務表現。Mu專為NPU裝置最佳化，在裝置端可達每秒200 token的推理速度，為降低資源占用，Mu採用了參數重新分配、權重共享和後訓練量化（PTQ）技術，使模型體積僅為Phi-3.5-mini的十分之一，但仍不犧牲效能。<a href="https://blogs.windows.com/windowsexperience/2025/06/23/introducing-mu-language-model-and-how-it-enabled-the-agent-in-windows-settings/">（詳全文）</a></p> <p><img alt="" src="https://winblogs.thesourcemediaassets.com/sites/2/2025/06/EncDec-1024x795.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 機器人模型 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Google DeepMind </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 視覺 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google推新款裝置端機器人模型，離線也能執行</strong></span></p> <p>最近，Google DeepMind揭露一款裝置端機器人模型Gemini Robotics On-Device，是首款可離線執行的Gemini視覺語言動作（VLA）模型，主打能直接部署於機器人上，不需網路也能完成複雜任務。該模型具備任務泛化與低延遲推論能力，特別適合網路不穩或對即時性要求高的場域。</p> <p>Gemini Robotics On-Device以Gemini Robotics模型為基礎改良而成，支援自然語言指令控制，能在雙臂機器人上進行如解開袋子拉鏈、折衣服等高難度操作。模型經優化後僅需極少算力即可執行，且支援微調，只需50到100次示範就能快速適應新任務。Google已釋出Gemini Robotics SDK與MuJoCo模擬環境，協助開發者測試與部署。該模型目前已可運行於ALOHA及Apptronik等第三方機器人平台，開發者只需加入信賴測試計畫，即可取得SDK。<a href="https://deepmind.google/discover/blog/gemini-robotics-on-device-brings-ai-to-local-robotic-devices/">（詳全文）</a></p> <p><img alt="" src="https://lh3.googleusercontent.com/Jt_Vw7PIJEZtXcMIKM1HbWbBCLxv7RUyjyf07eHp-YOfxMCUZA6mPI9kSCaz65UkMoGcZ8CwlD3dNBvy7bnnYchjSkWyN-SugglT3dmg1A9KdoDqdQM=w2144-h1206-n-nu-rw" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Imagen 4 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 圖片生成 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google公測Imagen 4圖片生成系列模型</strong></span></p> <p>Google揭露最新圖片生成系列模型Imagen 4，並透過Gemini API和Google AI Studio開始公測。Imagen 4系列模型可分為2個版本，包括Imagen 4 Standard和4 Ultra，它們在文字渲染和生成的圖像品質，都比前一代Imagen 3要好很多。比起標準版，Imagen 4 Ultra具有更高的指令遵從能力，能精確根據用戶文字提示，生成更高品質的圖片。</p> <p>這兩款模型皆在AI Studio以預覽版提供付費公測。其中，Imagen 4 Standard每幀圖0.04美元，Ultra版則為0.06美元。開發者也可透過Gemini API測試Imagen 4。<a href="https://developers.googleblog.com/en/imagen-4-now-available-in-the-gemini-api-and-google-ai-studio/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI代理 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> FedGPT </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 工作流程 </span></strong></span></p> <p><span style="font-size:22px;"><strong>臺灣人工智慧實驗室推FedGPT AgentTeam平臺產品</strong></span></p> <p>臺灣人工智慧實驗室近日發表代理型AI產品<a href="https://fedgpt.cc/">FedGPT AgentTeam平臺</a>，結合在地化的多模態模型，支援離線執行能力和MCP協定，可讓企業打造專屬AI代理應用，來自動化完成內外部工作流程。</p> <p>FedGPT AgentTeam平臺後的模型，皆由開源LLM如Llama等微調而成，比如有以1,000億Token訓練出的通用模型、150億Token優化的醫療專業模型及10億Token訓練的金融模型。</p> <p>這款平臺具備三大功能，首先是AgentTeam RAG，支援企業多來源、多模態知識的資訊檢索，來提供更準確的回答。再來是AgentTeam Tuning，可用企業內部多模態資料，如文字、圖片、語音等來對模型微調，提高諸如語音辨識、語意理解的準確度。第三是AgentTeam Flow，提供低／無程式碼介面，來讓使用者自行建立公關發文、查帳等AI工作流程，還支援MCP可串接Slack、Gmail等第三方工具。未來，平臺也將支援 A2A（Agent-to-Agent）協定，進一步提升多代理AI間的協作能力。<a href="https://www.ithome.com.tw/news/169724">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Linux基金會 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> A2A協定 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI代理 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Agent2Agent專案轉移至Linux基金會</strong></span></p> <p>Linux基金會宣布，Google已將Agent2Agent（A2A）開放協定專案及相關軟體工具，正式捐贈給Linux基金會託管，並集結AWS、思科、Google、微軟、Salesforce、SAP、ServiceNow等多家科技公司參與，持續推動AI代理跨平臺和跨組織間的安全協作。</p> <p>A2A協定由Google發起，目標是解決AI代理在企業應用時，因平臺、框架、供應商不同，而導致代理間無法順利溝通的問題。A2A定義一套開放且可擴展的通訊語言，讓來自不同開發商、在不同平臺執行的AI代理，能安全地彼此溝通、交換資訊並協調任務。</p> <p>隨著專案轉移至Linux基金會旗下，A2A協定發展將進入社群導向的治理模式，Linux基金會將提供包括知識產權管理、技術規格改進和社群參與等基礎設施，確保A2A協定發展更加中立開放。Agent2Agent專案新一輪的發展重點，將涵蓋可信代理身分、授權管理、治理政策與代理安全等進階議題，強化代理間溝通的信任基礎，降低企業在導入AI代理協作的疑慮。<a href="https://www.linuxfoundation.org/press/linux-foundation-launches-the-agent2agent-protocol-project-to-enable-secure-intelligent-communication-between-ai-agents">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 模型評比 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Yupp </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> LLM </span></strong></span></p> <p><span style="font-size:22px;"><strong>Yupp推出AI模型評比平臺</strong></span></p> <p>AI新創Yupp近日推出人類評估系統，開放使用者比較500多款大型語言模型（LLM），包括ChatGPT、Claude、Gemini、Grok、Llama等，並依使用者回饋建立Yupp AI VIBE排行榜，涵蓋最受歡迎、最快、性價比最佳等類別。</p> <p>使用者提問後，系統隨機選出模型給出回應，並邀請用戶勾選優劣原因、提供意見回饋，即可獲得積分，這些積分可用於繼續使用模型或兌換獎勵。新註冊的使用者可獲得5,000積分，若只提問不參與評比，可能會被限制使用。Yupp由Twitter前主管Pankaj Gupta和Gilad Mishne在2024年創立，曾獲a16z領投的3,300萬美元種子資金。團隊強調，他們的目標是彙整大量用戶回饋、協助模型優化，讓AI更貼近人類需求。<a href="https://yupp.ai/">（詳全文）</a></p> <p>圖片來源／Salesforce、Google DeepMind、微軟</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. Mistral開源模型Small升級為3.2版</strong></p> <p><strong>2. <a href="https://biomni.stanford.edu/?utm_campaign=The%20Batch&utm_source=hs_email&utm_medium=email&_hsenc=p2ANqtz--vRYboX-Vrshi6EFG2BpZiySCxl_TYmVcIYV00dB6Bpli3B5fHLbQ38R3a93hS_fZr8Knd">史丹佛大學等研究者聯手打造Biomni，一款專精基因、病理、微生物、免疫和神經學的AI代理</a></strong></p> <p>資料來源：iThome整理，2025年6月</p> <div id="gtx-trans" style="position: absolute; left: 21px; top: 4986.26px;"> <div class="gtx-trans-icon"> </div> </div> </div></div></div>
2025/6/26 16:39作者王若樸https://www.ithome.com.tw/news/169746
專門「交易未來」的金融新創Kalshi創下20億美元估值
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://x.com/mansourtarek_/status/1937947818276339734" target="_blank">金融新創Kalshi共同創辦人暨執行長Tarek Mansour周三（6/25）透過X宣布</a>，該公司剛完成C輪融資，獲得1.85億美元的資金，估值已達20億美元。</p> <p>創立於2018年的Kalshi是家美國金融交易所及預測市場（Prediction Market），直至2020年11月才取得美國商品期貨交易委員會（CFTC）的許可，並於2021年正式上線。有別於傳統的期貨平臺主要交易能源、農產品、金屬、指數或貨幣期貨，Kalshi交易的是事件（Event），不管是經濟指標、天氣模式、投票結果、立法結果、產品的推出與否，預測某個事件到某個時間點的表現，大多只有正與否兩個選項，是個結合了金融與賭博的預測機制，以讓使用者「交易未來」。</p> <p><a href="https://kalshi.com/?category=all" target="_blank">Kalshi平臺</a>現在正在交易的事件包括，是<a href="https://kalshi.com/markets/kxmayornycparty/mayor-of-nyc-party-winner" target="_blank">誰會當選紐約市長</a>，<a href="https://kalshi.com/markets/kxfeddecision/fed-meeting" target="_blank">美國聯準會7月底時是否會降息或升息</a>，<a href="https://kalshi.com/markets/kxnobelpeace/nobel-peace-prize#kxnobelpeace-25" target="_blank">誰會獲得諾貝爾和平獎？</a>，或是<a href="https://kalshi.com/markets/kxaaagasm/us-gas-price" target="_blank">美國6月的平均油價</a>等。</p> <p>使用者是下注的是合約價格，例如0.01美元到0.99美元，事件完成後，獲勝的一方可獲得1美元，Kalshi營收則來自交易手續費。</p> <p>Mansour說，該輪增資活動是由Paradigm領投，其它參與者包括Sequoia、Multicoin、Peng Zhao、Neo及Bond Capital等，人們選擇在Kalshi工作並不是因為它們募到了資金，而是因為它們企圖建立地球上最重要的金融市場。</p> <p>Mansour指出，Kalshi不僅是美國發展最快的公司之一，也已讓預測市場成為主流，曾經以為不可能的事，如今看來已是必然。</p> <p>不過，<a href="https://help.kalshi.com/account/signing-up/is-kalshi-us-only" target="_blank">現階段Kalshi僅支援美國市場</a>，表明正在努力應對複雜的監管環境，以將它推廣至國際市場。由於註冊時需要美國居民的地址及社會安全碼，非美國居民亦無法直接開戶交易。</p> </div></div></div>
2025/6/26 16:49作者陳曉莉https://www.ithome.com.tw/news/169741
Nvidia分散式訓練框架Megatron LM存在高風險漏洞，攻擊者可用於注入惡意程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>人工智慧當紅，相關的開發工具越來越重要，例如，訓練大型語言模型的工具一旦存在資安弱點，很有可能危害AI的運作。</p> <p>例如，<a href="https://nvidia.custhelp.com/app/answers/detail/a_id/5663">6月24日Nvidia修補的分散式訓練框架Megatron LM</a>，就是典型的例子，他們公布CVE-2025-23264、CVE-2025-23265兩個高風險的資安漏洞，它們都存在於特定的Python元件，攻擊者可藉由惡意檔案造成程式碼注入的現象，最終導致程式碼執行、權限提升、資訊洩露，或是資料竄改，CVSS風險為7.8分，影響0.12.0以前的所有版本，該公司發布0.12.1版Megatron-LM修補。</p> <p>Megatron-LM是專門訓練GPT、BERT、T5等大型語言模型的分散式深度學習訓練框架，用於因應在訓練數十億至數千億個參數的模型時，面臨的運算瓶頸與記憶體限制，並能與Nvidia的NeMo框架整合運用，透過DGX A100、H100等GPU叢集運作。因此，上述的漏洞若不處理，很有可能影響模型安全。</p> </div></div></div>
2025/6/26 14:51作者周峻佑https://www.ithome.com.tw/news/169739
勒索軟體Dire Wolf鎖定科技業、製造業而來，攻擊範圍涵蓋臺灣等11個國家
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>新興勒索軟體不斷竄出，且在短時間就引起資安界關注的情況持續上演，我們先前介紹的<a href="https://www.ithome.com.tw/tags/crazyhunter">CrazyHunter</a>、<a href="https://www.ithome.com.tw/news/168544">NightSpire</a>、<a href="https://www.ithome.com.tw/tags/anubis">Anubis</a>都是如此，其中CrazyHunter、NightSpire都在臺灣發動攻擊，如今有新的駭客組織也將臺灣視為主要的攻擊目標，而相當值得留意。</p> <p>資安業者Trustwave揭露自今年5月開始活動的<a href="https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/dire-wolf-strikes-new-ransomware-group-targeting-global-sectors/">勒索軟體駭客組織Dire Wolf</a>，此組織專門針對全球的製造業與科技業發動攻擊，目前號稱在臺灣等11個國家當中，對16個企業組織下手。研究人員指出，根據受害組織的數量，駭客偏重在美國、泰國、臺灣發動攻擊。</p> <p>這些駭客向受害組織勒索的策略，也與大部分駭客相同，採用雙重勒索來進行，不僅加密檔案，也竊取機密資料向受害組織施壓。研究人員從惡意軟體分析平臺VirusTotal取得勒索軟體程式，指出駭客使用Go語言開發，並透過UPX加殼來混淆分析。雖然目前他們只有看到Windows版本的檔案，但由於Go語言的跨平臺特性，研究人員認為，不久之後，這支勒索軟體可能也會發展出能在其他平臺執行的版本。</p> <p>一旦Dire Wolf惡意軟體執行，會先使用vssadmin、wmic、wbadmin等公用程式刪除磁碟區陰影複製（Volume Shadow Copy）服務的備份資料，使用bcdedit阻止使用者進行系統還原，然後透過公用程式wevtutil清除Windows事件記錄，最終再使用Curve25519與ChaCha20演算法加密檔案，並留下勒索訊息。罕見的是，駭客還會檢查受害電腦是否有重複加密檔案的情況，但為何要這麼做，研究人員沒有說明。</p> </div></div></div>
2025/6/26 15:35作者周峻佑https://www.ithome.com.tw/news/169740
美國開始評估以加密貨幣作為借貸抵押資產
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://x.com/pulte/status/1937944964656152800" target="_blank">美國聯邦住房金融局（Federal Housing Finance Agency，FHFA）局長William Pulte周三（6/25）透過X表示</a>，他已指示美國兩家抵押貸款組織Fannie Mae（房利美）與Freddie Mac（房地美）進行評估，以將加密貨幣列為借貸抵押資產。Pulte還說，這是經過大量研究後的決定，同時響應美國總統川普（Donald Trump）讓美國成為全球加密貨幣之都的願景。</p> <p>由美國政府監管與資助、但皆屬於私人企業的房利美與房地美主要執行政府住房政策，它們向銀行或其它放貸機構購買美國人的住房抵押貸款，再將這些貸款打包成證券以於二級市場出售，其存在讓美國銀行可釋出更多房貸，於美國住房金融體系中扮演關鍵角色。</p> <p>過去美國人要申請房貸時，必須證明自己有足夠的資產，例如存款或股票，就算持有比特幣，也要先賣掉並換成美金才能當作資產證明，新的指示則是讓加密貨幣直接當作資產，前提是相關資產必須存放在由美國監管的交易所中。</p> <p>Pulte表示，這是因為加密貨幣可能提供股市與債市之外的財富累積機會，但過去並未被納入房貸風險評估流程，把加密貨幣視為資產，將協助房利美與房地美全面評估準備金資產資訊，進而協助信用良好的借款人實現可持續的房屋所有權。因而指示這兩個機構分別提案，以將加密貨幣納入單一家庭抵押貸款風險評估流程中，但在實施任何變更之前，必須先取得董事會批准，再提交至FHFA審核。</p> <p>此一命令僅說是加密貨幣（Cryptocurrency），並沒有指名幣別，但外界認為Pulte所說的應該只有比特幣（Bitcoin）。</p> </div></div></div>
2025/6/26 14:28作者陳曉莉https://www.ithome.com.tw/news/169738
研究人員針對Citrix重大漏洞CVE-2025-5777提出警告，指出嚴重程度堪比Citrix Bleed
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>6月17日Citrix發布NetScaler ADC與NetScaler Gateway更新，<a href="https://www.ithome.com.tw/news/169656">修補重大層級的CVE-2025-5777</a>（4.0版CVSS風險評為9.3），此為記憶體的越界讀取（OBR）弱點，起因是輸入驗證不充分造成，最近有研究人員公布更多細節，認為這項漏洞本質上與2023年揭露的<a href="https://www.ithome.com.tw/tags/citrix-bleed">Citrix Bleed</a>（<a href="https://www.ithome.com.tw/tags/cve-2023-4966">CVE-2023–4966</a>）雷同，呼籲企業的IT人員要儘速採取行動因應。</p> <p><a href="https://doublepulsar.com/citrixbleed-2-electric-boogaloo-cve-2025-5777-c7f5e349d206">資安研究員Kevin Beaumont指出</a>，CVE-2025-5777能讓攻擊者在特定組態的NetScaler設備上，讀取記憶體的內容，一旦NetScaler配置為Gateway或是驗證、授權、計費（AAA）虛擬伺服器，就會曝險。而對於攻擊者能挖掘的敏感內容，其中包含連線階段（Session）的Token，可被用於繞過多因素驗證（MFA）防護機制。而這種型態的弱點，本質上就和Citrix Bleed類似，因此Kevin Beaumont將CVE-2025-5777命名為「CitrixBleed 2」。</p> <p>雖然截至目前為止尚未傳出漏洞遭到實際利用的情況，但Kevin Beaumont透過物聯網搜尋引擎Shodan，找到全球有56,556臺NetScaler設備存在漏洞，而有可能成為駭客鎖定的目標。其中，又以美國、德國、澳洲曝險的數量最多，分別有13,745、6,810、4,101臺。</p> </div></div></div>
2025/6/26 11:29作者周峻佑https://www.ithome.com.tw/news/169735
國網中心新AI超級電腦Nano 5助攻，加速半導體研發、AI產業發展
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國網中心最新的AI超級電腦晶創25（Nano 5），以13.06PFlops，在今年6月500大超級電腦中取得118名，並開始對外徵案，以算力資源加速國內半導體研發、AI產業發展。</p> <p>Nano 5從去年便規畫建置，為我國新一代AI超級電腦，它採用21臺Nvidia H100及16臺Nvidia H200伺服器，總計296片的Nvidia Hopper計算加速器，總體效能達16PFlops，兼在今年6月全球500大超級電腦排名中，Nano 5首次以Rmax達13.06PF排名第118位，在Green 500也名列72位。</p> <p>Nano 5的加入使得臺灣在全球500大超級電腦的數量，從原本的7個增加到8個，Nano 5算力也僅次於正崴與Ubilink（45.82PFlops，全球排名41位）及Nvidia建置的TAIPEI-1（22.30PFlops，全球排名72位）。</p> <p>由於建置經費來自晶創台灣方案，因此Nano 5的設計目的之一便是，以晶片創新驅動臺灣，為扶植國內的半導體發展，特別是南方的半導體產業發展，今年3月國網中心對外徵案，以Nano 5的算力協助半導體晶片相關技術研發，本周也對外展示徵案成果，包括新思科技、日月光、鴻海研究院、仁寶電腦、群聯電子，以及陽明交大、成功大學等產學研究成果。</p> <p>除了推動半導體產業技術研發，Nano 5另一目標是扶植國內AI產業化及產業AI化的發展，結合Nano 5的GPU算力，國網中心也建置雲端AI開發平臺，稱為TAIWAN AI RAP，降低開發門檻，整合開源AI基礎模型，例如TAIDE、Llama、Phi系列、Mistral，簡化AI訓練及數據處理，讓企業或軟體業者可以在平臺上開發AI應用。</p> <p>國網中心在3月底已啟動TAIWAN AI RAP試營運，第一波在3月底到4月之間對外徵案，開放企業、軟體或新創業者申請，根據AI應用開發的相關資料進行審查，如果審查通過，提出申請的業者將能獲得2到3個月免費使用算力資源；第二波對外徵案在今年6月至7月受理。</p> <p>除了Nano 5，政府正推動AI基礎建設，國網中心負責建置國家級超級電腦，例如今年底同樣在晶創台灣方案支持下，將建置100PF的超級電腦，加上大南方新矽谷推動方案的支持，國網中心未來4年將陸續擴建新的超級電腦，預期到2029 年達到總算力480PF的目標。</p> </div></div></div>
2025/6/26 13:46作者蘇文彬https://www.ithome.com.tw/news/169720
Meta也贏得以版權內容訓練AI的官司，但法官澄清是控方論點太薄弱
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有13名作者在2023年連袂控告Meta沒有取得授權，就利用他們的作品來訓練大型語言模型Llama，<a href="https://storage.courtlistener.com/recap/gov.uscourts.cand.415175/gov.uscourts.cand.415175.598.0.pdf" target="_blank">法官Vince Chhabria於本周裁決</a>，原告的證據不足，因此駁回此案，但Chhabria強調，此一裁決並不代表他支持Meta使用受版權保護的內容來訓練大型語言模型是合法的。</p> <p>跟<a href="https://www.ithome.com.tw/news/169713" target="_blank">Anthropic被告侵權的案件</a>一樣，控方指控Meta透過諸如Library Genesis等各種非法的影子圖書館下載大量的圖書以用來訓練模型，此外，這13名作者還指控Meta以此訓練的模型可複製書中文字，屬於未經授權的內容重製，還說Meta損害了作者授權其作品來訓練大型語言模型的能力。</p> <p>Chhabria指出，控方的這兩個論點都站不住腳，因為Llama並無法從原告的書籍中生成足夠長度的文本，此外，就算控方是作品的版權所有人，但他們並沒有權利擁有或控制「將作品授權給AI訓練」的市場。</p> <p>換句話說，法官認為，「將作品授權給AI訓練」這個市場本身並非版權法的保護範圍，作者無法因為一個新科技應用的出現，就自動擁有從中獲利的權利。</p> <p>然而，Chhabria其實是替作者感到憂心的。他坦承，合理使用並無明確規則，得視具體情況，現在所有的AI公司都主張他們的使用是具轉化性的（可創造出不同於原作的新功能或意義），但問題在於業者創造出了一個產品（AI），有能力嚴重損害原作品的市場，同時削弱人類創作的動機，在合理使用的原則下，對版權作品的傷害比業者使用這些作品的目的還重要。</p> <p>Chhabria還提出了一個控方可能勝訴的論點：Meta抄襲原告的作品並創造一種產品，該產品可能會讓類似的作品充斥市場，從而稀釋了市場。可惜控方只是敷衍帶過此一論點，也沒有提出證據來證明Llama會稀釋其作品的市場。</p> <p>雖然在Anthropic及Meta的案件中，AI模型開發商都取得了優勢，但Chhabria並不同意另一位法官William Alsup的論點，也批評AI公司宣稱不利於它們的版權裁決會阻礙AI發展是個非常荒謬的說法，因為如果業者必須使用受版權保護的作品來訓練模型，而且AI將帶來數十億或數兆美元的收入，那麼它們就會想辦法補償版權持有人。</p> </div></div></div>
2025/6/26 13:47作者陳曉莉https://www.ithome.com.tw/news/169737
研究人員揭露新型態網釣手法FileFix，攻擊者濫用檔案上傳視窗執行惡意指令
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近兩年駭客在網路釣魚攻擊頻頻使用<a href="https://www.ithome.com.tw/tags/clickfix">ClickFix</a>的攻擊手法，他們在釣魚網頁當中假借系統錯誤、圖靈驗證等名義為誘餌，要求使用者點選特定按鈕，然後依照指示以快速鍵開啟執行視窗、貼上等操作來「修正」問題，但實際上，這麼做是將剛才暗中複製的惡意命令貼上並執行，使得駭客得以對受害電腦上下其手。如今這類手法出現變化，攻擊者有機會讓這種攻擊變得更加隱密。</p> <p>資安研究員Mr.d0x揭露<a href="https://mrd0x.com/filefix-clickfix-alternative/">名為FileFix的網釣手法</a>，攻擊者可濫用瀏覽器的檔案上傳機制，要求使用者依照指示點選網站上的按鈕並開啟對話視窗，再使用快速鍵（Ctrl+L）或（Alt+D）選取網址列的內容，並貼上特定的內容，從而達到執行惡意命令的目的。研究人員指出，這種手法與他3年前提出的ClickFix手法有所不同，ClickFix必須引誘使用者離開瀏覽器並開啟執行視窗，但FileFix只需在瀏覽器的環境，就有機會讓攻擊者執行作業系統的命令。</p> <p>簡單來說，FileFix運用的是網頁要求使用者上傳檔案的功能，由於過程裡瀏覽器呼叫了Windows檔案總管視窗，供使用者選取想要上傳的檔案，而檔案總管的網址列可用來執行作業系統命令，成為這次研究人員利用的標的。</p> <p>附帶一提的是，使用者看到檔案上傳的對話框很可能會不予理會攻擊者下達的指示，依照自己的使用習慣選取想要上傳的檔案，但攻擊者可在網頁加入額外的程式碼，讓這些使用者看到錯誤訊息而乖乖就範。</p> <p>研究人員指出，這種手法不僅攻擊過程無須離開瀏覽器，若是在瀏覽器呼叫的檔案總管視窗執行惡意程式，還能突破Windows內建的Mark of the Web（MoTW）機制，此時攻擊者可正常啟動惡意酬載，該檔案的MoTW標記也會隨之消失。</p> <p>針對這種攻擊手法的發現，突顯了由瀏覽器呼叫的Windows檔案總管不僅能執行各式各樣系統命令，恐有過多權限的情形，甚至還有機會成為攻擊者突破作業系統內建防護機制的管道，不過，究竟這些算是瀏覽器或Windows的問題？研究人員並未說明，他僅有提出用戶自保的方法，那就是檢查瀏覽器的處理程序是否挾帶了特定的子處理程序，例如：cmd.exe、powershel.exe、mshta.exe。我們認為，很有可能需要微軟與瀏覽器業者共同合作，才能防範FileFix與相關的手法。</p> </div></div></div>
2025/6/26 10:41作者周峻佑https://www.ithome.com.tw/news/169733
Google開源命令列AI工具Gemini CLI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google周三（6/25）基於寬鬆的Apache 2.0授權，<a href="https://github.com/google-gemini/gemini-cli/tree/main" target="_blank">開源了命令列AI工具Gemini CLI</a>（Command Line Interface），它整合了程式開發助理工具<a href="https://www.ithome.com.tw/news/167570" target="_blank">Gemini Code Assist</a>，可用來存取Gemini 2.5 Pro及其100萬個Token的脈絡視窗，目前仍為預覽版。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0626-google%20gemini%20CLI-GitHub.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／GitHub</span></span></p> <p>Gemini CLI擅長各種程式碼任務，包括理解程式碼、撰寫程式碼、操作檔案、執行命令，以及動態故障排除等，允許使用者透過自然語言來撰寫程式碼、除錯與簡化工作流程，<a href="https://blog.google/technology/developers/introducing-gemini-cli-open-source-ai-agent/" target="_blank">然而Google強調</a>，他們打造Gemini CLI的目的是讓它發揮更多功能，因此它是款多功能的本地端工具，可廣泛應用在內容生成、解決問題、深入研究與任務管理上。</p> <p>事實上，Gemini CLI內建了許多進階工具，包括可利用Google搜尋來強化回應，藉由模型脈絡協定（Model Context Protocol，MCP）或擴充功能來延伸Gemini CLI能力，可客製化提示與說明，以及可將Gemini CLI整合到自動化的腳本程式中。</p> <p>因此，使用者可利用Gemini CLI來查詢或編輯大型程式碼庫；透過Gemini的多模態能力以自PDF或草圖中生成新的應用程式；也能自動處理開發流程中的各種任務，像是查詢Pull Request或是執行複雜的Git rebase；利用工具及MCP伺服器來連結其它AI模型，不管是文字生成圖像的Imagen、文字生成影片的Veo，或者是文字生成音樂的Lyria，讓使用者利用CLI指令直接生成多媒體內容。</p> <p>Google在昨天發表Gemini CLI之後，旋即掀起開發者社群的熱烈討論，不僅是因它的功能強大，也因它號稱提供了業界最高的免費額度，只要登入Google帳戶，除了可存取目前最強大的Gemini 2.5 Pro模型之外，每分鐘最多可支援60次的請求，每天支援1,000次請求。</p> <p><a href="https://techcrunch.com/2025/06/25/google-unveils-gemini-cli-an-open-source-ai-tool-for-terminals/" target="_blank">TechCrunch</a>與<a href="https://arstechnica.com/ai/2025/06/google-is-bringing-vibe-coding-to-your-terminal-with-gemini-cli/" target="_blank">Ars Technica</a>引用Google的說法，指出上述免費額度已是Google內部團隊使用量的兩倍，應該足夠每個人使用而不超出限制。</p> </div></div></div>
2025/6/26 11:41作者陳曉莉https://www.ithome.com.tw/news/169736
Google DeepMind公布可執行在機器人端的Gemini模型不需網路也能執行
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://deepmind.google/discover/blog/gemini-robotics-on-device-brings-ai-to-local-robotic-devices/" target="_blank">Google DeepMind部門本周公布</a>一款能執行在機器人上的Gemini Robotics On-Device，不需網路也能執行，並且具備高度任務泛化能力。</p> <p>今年3月，Google介紹了一款視覺語言動作（vision language action，VLA）模型，將Gemini 2.0的多模態推理和實體世界理解能力帶進機器人領域。而本周Google DeepMind進一步公布Gemini Robotics On-Device，是該公司可直接執行在機器人上的最強大模型。且由於Gemini Robotics On-Device的模型運作不依賴資料網路，因而適合對延遲性十分敏感的應用程式，在頻寬不穩甚至沒有網路地區也能穩定運作。</p> <p>Gemini Robotics On-Device是雙臂機器人的基礎模型，只需最少的運算資源。它是建立在Gemini Robotics的任務泛化及靈活性基礎上而開發。Google強調它設計宗旨是快速實驗、靈活操控，能透過微調適應新任務，而且能在本地執行低延遲性的推論。</p> <p>Gemini Robotics On-Device能在多種測試場景展現強大的視覺、語意和行為泛化能力，超越Gemini Robotics和其他裝置上執行的模型，且能遵從自然語言指令，透過在機器人端執行而完成高難度任務，像是解開袋子拉鏈，或折疊衣服。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0626-Gemini%20Robotics%20On-Device%20model-600.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;">圖片來源／Google</span></span></p> <p>Gemini Robotics On-Device也是Google首個開放微調的VLA模型。它在未微調情況下也能執行眾多任務，但開發人員還是可以加以微調以適應新領域，過程中開發人員只需給予50到100次示範。</p> <p>Gemini Robotics On-Device是以ALOHA機器人訓練，但Google示範，經過微調，也能執行在第三方廠商的機器人，如德國Apptronik的<a href="https://franka.de/franka-research-3" target="_blank">Franka FR3</a>雙臂工業機器人或<a href="https://apptronik.com/apollo" target="_blank">Apollo</a>人型機器人。</p> <p>Google並釋出<a href="https://github.com/google-deepmind/gemini-robotics-sdk" target="_top">Gemini Robotics SDK</a>，可幫開發人員評估Gemini Robotics On-Device用於其環境下或任務的效能，他們也可以利用Google幾年前<a href="https://www.ithome.com.tw/news/147343" target="_blank">釋出</a>的<a href="https://github.com/google-deepmind/aloha_sim" target="_blank">MuJoCo物理模擬函式庫</a>測試模型，並快速適應其他新領域。開發人員現在只要報名加入信賴測試員計畫即可存取SDK。</p> </div></div></div>
2025/6/26 09:24作者林妍溱https://www.ithome.com.tw/news/169728
行政院召開今年度生技產業策略諮議委員會預備會議，鎖定AI賦能、精準健康等6大議題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>行政院今日舉辦2025年度生技產業策略諮議委員會（BTC）預備會議，透過跨部會與國內外委員交流，來盤點過去一年政策推動成果，並討論接下來的生醫產業發展策略，涵蓋AI賦能應用、醫療資訊與健康數據、精準健康和全人照護等6大面向，來讓國家政策更貼近社會和民眾需求。</p> <p><span style="font-size:22px;"><strong>預備會議鎖定6大面向，還聚焦主權AI與資料保護</strong></span></p> <p>這場預備會議由行政院政務委員吳誠文主持，請來了國內外委員，各個專精不同領域，如新藥開發、資料科學、Bio-ICT、智慧醫療等。同時，會議也召集國科會、衛福部、經濟部、金管會、數發部、中研院、教育部、農業部、財政部、國發會、國發基金、個資委員會籌備處等12個相關部會機關代表。</p> <p>他們透過跨部會與國內外委員交流，先是盤點近年政府推動生醫、精準健康等領域政策成果，像是全國性醫療費用資訊平臺上線、加速醫療資訊系統互通串接、開發國產生醫及智慧農業晶片技術應用、輔導國產數位醫材拓銷海外市場、成立癌症新藥基金、鼓勵企業ESG揭露員工健康指標等。</p> <p>接著，他們針對6大面向，包括AI賦能應用、醫療資訊與健康數據、精準健康與全人健康照護、人才與資金、落地發展與市場准入、國際鏈結與市場布局等議題和未來政策方向進行討論，將於BTC會議8月25日至27日正式登場時揭露更多內容。</p> <p>行政院也揭露未來政策推動方向，包括強化推動在宅醫療科技，從民眾需求出發，減輕醫護負擔。同時也要發展AI驅動藥物開發，加速本土新藥上市，另也將由公私協力，帶動健康數據服務產業發展。他們希望透過各項重要生醫政策，來提高國人健康福祉，同時促進產業發展，提升臺灣生醫競爭力。</p> <p>吳誠文指出，面對AI技術快速發展和地緣政治變局，對臺灣是挑戰也是轉機。他認為，臺灣應將半導體和AI等高科技優勢與生醫產業緊密結合，並匯集產、學、研、醫各界能量加速前瞻技術研發，持續培育跨域人才，推動AI在生技醫藥領域的實質落地應用。</p> <p>他也表示，政府將善盡資料保護的責任，並持續發展臺灣主權AI，推動在宅醫療科技、健康數據服務、智慧醫療等應用，結合健保制度改革，來跨部會推動讓民眾有感的「健康台灣」政策。</p> <p>2025生技產業策略諮議委員會將於8月25日至27日正式登場，會議主軸鎖定臺灣永續力、生醫新動能，延續各部會政策推動成果、聚焦討論AI與半導體等前瞻科技應用，以及產業韌性、環境建構、國際布局等議題，要規畫臺灣生醫產業發展藍圖。</p> <p></p> </div></div></div>
2025/6/25 20:27作者王若樸https://www.ithome.com.tw/news/169725
臺灣人工智慧實驗室推出FedGPT AgentTeam平臺產品，瞄準RAG、微調和自建工作流程3大功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣人工智慧實驗室（Taiwan AI Labs）今日宣布推出代理型AI產品FedGPT AgentTeam平臺，主打多專家小模型架構、多模態、可離線執行且用語高度在地化等特色，還支援MCP協定，能整合企業內外部工具與資料，來更自動化完成作業流程。</p> <p><span style="font-size:22px;"><strong>代理AI平臺3大功能：RAG、微調、自建工作流程</strong></span></p> <p>進一步來說，這款FedGPT AgentTeam平臺由大型語言模型（LLM）驅動，整合了語音辨識（ASR）、文字轉語音（TTS）和影像與視覺問答（VLM）等多模態AI模型，能以低程式碼/無程式碼形式提供服務。</p> <p>臺灣人工智慧實驗室創辦人杜奕瑾指出，這款產品的目的，是要將企業內部複雜流程自動化，而產品背後的模型則是以Llama等主流開源LLM為基礎，再以收集到的資料來優化為各種基礎模型。</p> <p>比如他們有以1,000億個Token訓練出具備臺灣知識的通用模型、以150億Token優化的具備臺灣醫療專業模型，以及用10億Token訓練的臺灣金融專用模型等。</p> <p>就整個FedGPT AgentTeam平臺來說，主要有3大功能，包括可以理解企業專屬知識的AgentTeam RAG、能讓員工訓練出符合專業需求大腦的AgentTeam Tuning，以及可用拖拉式建立代理工作流程的AgentTeam Flow。</p> <p>臺灣人工智慧實驗室核心平臺產品總監杜長城解釋，AgentTeam RAG可用於專業知識問答，他現場示範，給FedGPT AgentTeam平臺一張特斯拉股票走勢圖，並詢問特斯拉執行長馬斯克與美國總統川普決裂的那天，特斯拉股價變化如何，AI除了根據圖中描述給出說明，也會加上圖表文字未說明的下跌百分比（如下圖）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%89%B9%E6%96%AF%E6%8B%89.JPG" /></p> <p>又或是給一張自2018年至2024年的每年度可轉債成交金額長條圖，AI可以給出詳細的趨勢解讀，包括一些年份小幅下降，但整體走勢是上漲的（如下圖）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%90%E4%BA%A4%E9%87%91%E9%A1%8D.JPG" /></p> <p>總的來說，AgentTeam RAG支援多格式、多來源、多模態的知識檢索與生成，能處理圖片、圖表、影片、語音、文字等非結構化資料。臺灣人工智慧實驗室補充，AgentTeam RAG也會判斷問題難易度，選擇最合適的解題方式。</p> <p>再來，AgentTeam Tuning可支援企業內部專業語境，進行多模態模型微調（fine-tuning），如文字、圖表、語音、圖片等。杜長城在現場展示，一段背景音吵雜的護理錄音，若沒有以專業資料微調，模型無法給出正確的語音轉文字答案。而有了專業資料微調，就能辨識出專業術語和藥物名稱（如下圖）。這些資料也可依使用者需求，匯入到醫療資訊系統中。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%BE%AE%E8%AA%BF.JPG" /></p> <p>另一方面，使用者也能在後臺查看，模型微調前後的差異，並測試、比較版本差異。</p> <p><span style="font-size:22px;"><strong>用AgentTeam Flow自建發文和查帳工作流程</strong></span></p> <p>而AgentTeam Flow是一款流程設計功能，提供低／無程式碼介面，就算沒有專業背景的企業員工，也能快速上手，自動化加速跨部門作業。</p> <p>臺灣人工智慧實驗室產業方案總經理黃佳欣指出，他們自己就用這個功能，來用於公關發文作業。他現場示範，建立一套發稿工作流程（如下圖），可細分為內容生成引擎和標題創意發想兩大類。在內容生成引擎中，又可分為負責社群貼文的社群小編角色，以及產出正式新聞稿的公關專員。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%85%AC%E9%97%9C.JPG" /></p> <p>首先，他們將訪談內容輸入在右側的聊天欄，FedGPT會詢問生成樣式，如社群貼文還是新聞稿，並根據需求產出相應的文章，接著也能產出候選標題。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%A8%99%E9%A1%8C.JPG" /></p> <p>另一個例子是，臺灣人工智慧實驗室打造的雅婷客服Agent工作流程。黃佳欣解釋，早年他們推出雅婷逐字稿服務，隨著客戶數增加，不少人會打電話詢問帳單資訊。通常，團隊需要手動查詢系統，輸入帳號、查詢帳單，再告知客戶。這個流程繁瑣，因此團隊決定打造Agent流程來自動化查詢。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%9B%85%E5%A9%B7%E5%B8%B3%E5%96%AE.JPG" /></p> <p>他們將任務分流，包括帳號驗證、通報和轉介真人服務。由於AgentTeam Flow支援MCP協定、作為MCP Client端，能與同樣支援MCP的外部工具，比如企業協作工具Slack、Gmail等。在這個例子中，就能將通報結果串接Slack，來傳遞資訊。</p> <p>臺灣人工智慧實驗室還預告，未來將支援Agent to Agent（A2A）協定，來互通AI代理的資訊、更精準完成任務。未來，平臺也會納入對更多模型的支援。</p> <p><span style="font-size:22px;"><strong>產業應用範例：金融客服訓練員</strong></span></p> <p>杜奕瑾指出，FedGPT模型本身具備強大的本土知識和用語。比如在臺灣認知測試中，FedGPT分數高達81.4 分（滿分 100 分），遠高於中國的千問模型（44.3 分）和 Deepseek（38.7 分），顯示模型對臺灣語境的理解和使用上有極大優勢。</p> <p>FedGPT目前也已應用在不同領域，如醫療、金融、教育、公部門等，花蓮慈濟醫院、輔大醫院、東華大學、台新銀行等皆已使用。</p> <p>在發表會現場，也有一家專攻金融業客服服務的廠商華厚，現場展示一套金融客服訓練員，可讓金融專員更快上手。這套金融客服訓練員背後串接不同LLM，FedGPT也在其中，能扮演顧客角色、分析專員的回答並給建議。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%87%91%E8%9E%8D(1).JPG" /></p> <p></p> <div id="gtx-trans" style="position: absolute; left: 357px; top: 7134.4px;"> <div class="gtx-trans-icon"> </div> </div> </div></div></div>
2025/6/25 19:30作者王若樸https://www.ithome.com.tw/news/169724
Mastercard攜手Chainlink，讓35億持卡人可直接購買加密貨幣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.mastercard.com/us/en/news-and-trends/press/2025/june/mastercard-chainlink-crypto.html?utm_source=chatgpt.com" target="_blank">全球支付巨頭萬事達卡公司（Mastercard）周二（6/24）宣布</a>，與區塊鏈預言機技術開發商Chainlink Labs合作，推出名為Swapper Finance的新平臺。這項合作讓全球超過35億張Mastercard信用卡與金融卡，首次具備直接購買加密貨幣的能力，無需仰賴中心化交易所，突顯出傳統支付系統與去中心化金融（DeFi）的接軌。</p> <p>過去民眾若要進入加密貨幣市場，通常需先註冊Binance、Coinbase等交易所帳戶，完成電子郵件、身分證件與手機驗證後，才能入金購幣，資產亦需選擇由交易所託管或轉至自有錢包。Swapper Finance的出現，簡化了這一繁複過程。</p> <p>在Swapper介面上，用戶僅需輸入想購買的幣別與金額，並以Mastercard信用卡或金融卡付款，系統即會啟動完整的區塊鏈交易流程：Shift4負責後端支付授權；Mastercard完成資金清算；Chainlink的預言機系統（oracle）則將「支付成功」這項鏈下事件回報鏈上，觸發智慧合約；由ZeroHash將法幣轉換為加密貨幣；並透過XSwap或Uniswap等去中心化交易所進行幣兌幣交易，最後將資產直接傳送至使用者錢包，全程去中心化且透明。</p> <p>其中，Chainlink Labs的預言機技術負責鏈下付款資訊的驗證與轉譯，確保交易流程安全無誤，並支援智慧合約的自動化執行，被視為是傳統金融與區塊鏈系統間的關鍵橋梁。</p> <p>萬事達卡指出，這是首次有主流支付網路實現大規模、直達去中心化交易所的加密貨幣購買服務，Swapper的出現大幅降低了用戶進入DeFi世界的門檻。</p> <p>萬事達卡區塊鏈暨數位資產執行副總裁Raj Dhamodharan則說，這才是加密貨幣在現實世界中應有的樣子，與Chainlink的合作，將徹底改變人們使用金融卡參與鏈上金融的方式，進一步推動數位資產的普及，以讓全球數十億人口更容易進入加密經濟。</p> </div></div></div>
2025/6/25 16:18作者陳曉莉https://www.ithome.com.tw/news/169719
【資安日報】6月25日，勒索軟體Qilin提供加盟主法律咨詢服務引發資安界關注
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期竄起的勒索軟體駭客組織Qilin再度引起研究人員關注，原因是這些駭客在加盟主（Affiliate）向受害組織談判的過程，新增了法律顧問的協助機制，這樣的做法前所未見，後續效應相當值得觀察。</p> <p>專門針對Fortinet防火牆、Minecraft玩家的惡意軟體攻擊，也同樣值得IT人員和玩家提高警覺；此外，微軟在提供個人Windows 10用戶延伸安全更新（ESU）的做法上，出現付錢以外的機制，替許多短期內難以升級的用戶解套。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169710"><strong style="font-size: 22px;">勒索軟體Qilin提供加盟主法律咨詢服務，意圖向受害組織施加更多壓力</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Qillin-image14.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Qillin-image14.jpg" style="width: 300px; float: right;" /></a></p> <p>資安業者Cybereason、Qualys公布針對Qilin的長期追蹤結果，Cybereason主要指出這些駭客在其他同行面臨關閉、基礎設施遭駭、成員背叛的情況下，趁勢崛起、壯大，甚至接收部分組織的基礎設施來擴大規模；Qualys則是公布Qilin發展作案工具的演進過程，並指出這些會透過多種管道入侵受害組織。</p> <p>但這兩家資安業者都提到一件事而引起大家的注意，那就是駭客為加盟主（Affiliate）提供名為「呼叫律師（Call Lawyer）」的功能，藉由在談判過程為加盟主提供法律方面的協助，從而施加法律風險的壓力，目的是增加受害組織付錢的意願，而這樣的做法，在勒索軟體網路犯罪生態圈裡，可說是首見。</p> <p>呼叫律師到底有什麼功能？Cybereason指出，顧名思義，自然是Qilin的法律顧問會提供加盟主相關的法律建議，並介入雙方談判的聊天室，他們這麼做的目的，一來是讓加盟主能有更具體的法律資訊和受害組織談判贖金金額，再者就是律師出現在聊天室，本身就能對受害組織產生額外的壓力，原因是企業通常不願陷入法律訴訟，而更有機會選擇付錢了事。</p> <p> </p> <p><a href="https://www.ithome.com.tw/news/169714"><strong style="font-size: 22px;">惡意軟體Umbrella Stand、Shoe Rack鎖定Fortinet防火牆而來</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/ZGdiyiSeym.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/ZGdiyiSeym.jpg" style="width: 300px; float: right;" /></a></p> <p>英國國家網路安全中心（NCSC）上週針對惡意軟體Umbrella Stand、Shoe Rack發布資安公告，它們都是專門針對特定產品線的防火牆FortiGate 100D系列而來，因此引起NCSC的注意。</p> <p>針對Umbrella Stand的部分，NCSC指出它是一系列的二進位檔案工具包，攻擊者疑似利用防火牆的資安弱點滲透並進行部署，用途是建立能夠存取受害組織內部網路環境的長期管道。此惡意軟體包含遠端Shell與Beacon的功能，並透過AES加密與C2之間的連線。</p> <p>另一個惡意程式Shoe Rack為後利用工具，攻擊者可藉由遠端Shell或TCP隧道存取受害設備並使用。此惡意程式使用DNS-over-HTTPS（DOH）與C2建立連線來隱匿蹤跡，但由於不尋常地使用SSH通訊協定，使得防守方有機會發現相關活動。此惡意程式以Go語言開發，一旦執行，就會透過寫死的C2網址連向指定的SSH主機。</p> <p><a href="https://www.ithome.com.tw/news/169665"><strong style="font-size: 22px;">Minecraft遊戲玩家遭到鎖定，駭客假借提供修改工具竊取帳密資料</strong></a></p> <p>駭客鎖定遊戲玩家的情況不時有事故傳出，最近有一起專門針對知名遊戲Minecraft玩家的攻擊行動，引起研究人員高度關注。</p> <p>資安業者Check Point揭露專門鎖定Minecraft玩家的多階段攻擊行動，駭客使用名為Stargazers Ghost Network惡意軟體分派服務（Distribution as a Service，DaaS），假借Oringo和Taunahi等Minecraft修改模組（Mod）散布惡意軟體，從而竊取電腦機敏資料。</p> <p>特別的是，駭客的第一階段惡意程式下載工具與第二階段的竊資軟體存在共通點，它們都是以Java打造而成，而且必須倚賴受害電腦的Minecraft遊戲主程式才能運作。第三與最終階段的惡意程式皆為.NET竊資軟體，原因是駭客開發了額外的功能。</p> <p><a href="https://s4.itho.me/sites/default/files/images/V8URAMTG6O-rId38.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/V8URAMTG6O-rId38.png" style="width: 580px;" /></a></p> <p><a href="https://www.ithome.com.tw/news/169577"><strong style="font-size: 22px;">流量導向系統HelloTDS散布假圖靈驗證程式，感染數百萬裝置</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/HelloTDS-Figure2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/HelloTDS-Figure2.png" style="width: 300px; float: right;" /></a></p> <p>Gen Digital安全研究人員發現駭客利用名為HelloTDS的流量導向系統（Traffic Direction System，TDS）散布假CAPTCHA等惡意程式，已感染430萬臺用戶裝置。</p> <p>近來發生數波FakeCaptcha變種攻擊，曾在2024年秋天肆虐，駭客使用假的網站圖靈驗證機制騙取造訪用戶點擊，並在受害者電腦植入LummaC2等惡意程式。研究人員相信這幾波變種攻擊背後，都來自一個由駭客控制的流量導向系統（Traffic Direction System，TDS）網路，並將之稱為HelloTDS，能辨識用戶裝置和網路資訊，藉此決定下載竊密、竊財或其他目的的惡意程式。</p> <p>HelloTDS至少在今年4、5月開始就感染了超過430萬用戶。以絕對值而言，受害者以美、巴西、印度和西歐最多，但考量人口及受害者比例，相對風險以巴爾幹半島、及盧安達、埃及、坦尚尼亞和肯亞等非洲國家最高。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/filefix-attack-weaponizes-windows-file-explorer-for-stealthy-powershell-commands/">研究人員揭露新型態網釣手法FileFix</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/06/hackers-target-65-microsoft-exchange.html">逾70臺Exchange Server遭鎖定，駭客企圖挖掘帳密資料</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/sonicwall-warns-of-trojanized-netextender-stealing-vpn-logins/">SonicWall警告駭客散布木馬化的SSL VPN用戶端程式，用戶帳號恐遭挾持</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/06/hackers-exploit-misconfigured-docker.html">濫用組態不當的Docker API挖礦再度出現，這次駭客透過洋蔥網路得逞</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/mocha-manakin-malware-nodeinitrat-via-clickfix-attack/">惡意軟體Mocha Manakin透過Click網釣散布，目的是於受害電腦部署NodelnitRAT</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169709"><strong style="font-size: 22px;">微軟新增Windows 10用戶兩種取得延伸安全更新的方案、開放企業訂閱</strong></a></p> <p>Windows 10將在今年10月終止技術支援，但仍有許多用戶不打算升級Windows 11，而是希望為Windows 10「續命」，因此，微軟罕見在去年宣布，過往只提供企業用戶的付費延伸安全更新（Extended Security Updates，ESU），個人用戶也能以30美元的代價得到1年份的Windows 10更新，如今微軟宣布新增方案，讓Windows10個人用戶以Microsoft Rewards點數、或是啟用雲端備份Windows設定換取ESU，透過這兩種方法，用戶就能在無須付費的情況下獲得ESU更新。</p> <p>附帶一提的是，微軟也正式開放企業用戶購買Windows 10的ESU，最長提供3年更新，本方案依PC臺數計價，第一年每臺61美元，第二年122美元，第三年244美元。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169703"><strong>【6月24日】中國駭客利用ORB網路LapDogs發動網攻，臺灣是主要目標之一</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169683"><strong>【6月23日】臺灣加密貨幣交易所幣託公布5月遭駭事故調查結果</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169658"><strong>【6月20日】北韓駭客BlueNoroff在Zoom視訊利用AI深偽技術對企業員工網釣</strong></a></p> </div></div></div>
2025/6/25 13:11作者周峻佑https://www.ithome.com.tw/news/169715
不只瞄準GAI流程和資料整合需求，SAP更大揭各產品線AI發展藍圖
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年是科技廠商競相展現產品GenAI能力的一年，傳統IT業者紛紛開始在自家產品中支援最新的GenAI和AI助手。日前ERP龍頭SAP就在臺展示重新推出的Business Suite，尤其展示了多項業務情境的GenAI應用，像是可以用自然語言要求AI助手分析供應鏈交貨情況。SAP也揭露了多項產品線在2025年的AI發展藍圖，從ERP、人資管理、客戶體驗到程式開發工具都有。</p> <p>SAP日前在臺灣舉辦研討會，展示了多項生成式AI的應用場景。SAP策略不是推出一套超強的生成式AI產品，而是在原有產品線中嵌入不同的應用場景和工具，目前已經發表了230個AI情境，可供企業自行整合到所用的SAP產品，例如SAP供應鏈管理。SAP預計今年底增加到400種生成式AI應用場景。<br /> 圖為 Joule供應鏈管理AI助手，可以自動建立採購申請單，也可以分析SAP產品中的所有供應鏈資訊，來提供進階分析圖表，例如分析供應鏈中的事故風險，哪些訂單生產可能受到供應鏈事故的影響等。</p> <p>不過，目前可以提供整體供應鏈風險分析，例如展示中的事故分析助手，但是AI助手還無法進一步，比較不同供應來源影響或風險的組合分析，提供如供應商更換建議或安排等更細緻的供應鏈管理需求。</p> <p>在展示現場，也有IT主管擔心，這類供應鏈管理助手的出現，可能削弱了真人供應鏈管理員的當責能力，將供應鏈決策失利或出錯的責任，推給生成式AI，或者是IT部門，推說供應鏈成效不彰都是IT部門的系統建議不夠好。原本是供應鏈管理部門的業務決策責任，卻因此變成了IT部門的責任，這也成了在場IT主管評估生成式AI輔助決策的成熟度衡量條件之一。</p> <p>現場有IT主管表示，希望能取得所有員工在供應鏈AI助手中的提問，以及這些提問所產生的AI分析建議和圖表，一方面用來了解第一線供應鏈管理人員遇到哪些實務問題，另一方面則用來比較AI助手提出的建議和分析圖表的成效，是否對供應鏈管理帶來實質幫助。不過，SAP目前雖然提供了不同場景的Joule助理，但還無法將員工與這些助理的對話內容整套匯出的功能。</p> <p>新任亞太區Business Suite業務負責人 Verena Siow指出，全球企業高階主管都面臨了更複雜的流程，企業流程要融合人、資料和平臺，才能有更好的效果。</p> <p>Verena Siow解釋，舊版Business Suite主要是地端的解決方案，現在則加上AI優先策略，在提供的應用系統中搭載AI。</p> <p>從企業管理角度來看，單看ERP、HR、採購、客戶體驗等不同業務領域個別系統的資訊已經不夠，需要達到資料和流程的縱向整合，重新推出的Business Suite想要提供端到端的全程服務， Verena Siow表示，不用一次導入所有套件，企業可依據需求和準備度來考慮採用其中的哪些套件。</p> <p>重新推出的SAP Business Suite（商業套件）涵蓋了三大特色，第一是整合了SAP的雲端ERP流程和資料，如HR、採購、財務流程。第二是提供了新的資料整合服務SAP Business Data Cloud，這是SAP與Databricks合作的SaaS服務。可以整合和管理SAP旗下產品的資料，包括了 SAP Datasphere、SAP Analytics Cloud和SAP Business Warehouse，還可以連結到第三方的資料源，也可以整合第三方工具資料治理工具Collibra、資料串流處理工具Confluent和機器學習AI自動化工具DataRobot等。</p> <p>SAP臺灣暨香港澳門總經理陳志惟表示，SAP會持續擴充 Business Suite的功能，尤其會加強數據整合方面的功能，2年前，企業得花力氣自己整合非SAP來源的第三方數據，現在可以使用現成的數據整合跟決策工具。</p> <p>第三項特色則是提供了SAP Business AI解決方案，SAP提供了超過230個AI情境，讓企業直接套用，預計2025年擴充到400個AI情境。也包括了一款AI助手Joule，「這個助手既是Copilot，也是不同用途的AI代理，就像虛擬管家，來提供即時可用的資訊。」目前全球已有3萬4千家企業導入這套解決方案，像渣打銀行就將Joule導入到全球 85,000員工。</p> <h3><span style="color:#FF0000;"><strong>SAP揭露了今年的AI產品發展藍圖</strong></span></h3> <p><span style="color:#FF0000;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/SAP%E4%BB%8A%E5%B9%B4AI%E8%97%8D%E5%9C%96.png" /></strong></span></p> <p>Verena Siow表示，SAP產品聚焦企業流程的應用層級，可以應用到不同的LLM模型技術上，企業可以依據自己的需求來選擇適合的LLM。預計AI助手Joule今年可以涵蓋到SAP八成的服務。</p> <p>SAP今年上半年，多項產品線都開始推出新的AI強化功能或機制。從雲端ERP，數位供應鏈、人資管理、支出管理，IT開發平臺到新推出的商業資料平臺，超過百項AI相關功能。</p> <p>像是雲端公開版S/4 HANA推出美國稅務配置AI助手，資產維護工單AI推薦、主檔管理變動摘要功能、EPPM的Joule專案助手等。今年第三季時，S/4 HANA雲端公開版的前端設計工具Flori將提供企業級NLP搜尋支援，生成式AI強化身分管理，APP內的使用者助手等。雲端私有版的多項GenAI助手將會推出功能更強的新版。</p> <p>數位供應鏈管理系統今年上半年推出多項Beta版功能，從LLM搜尋，文件摘要、需求管理文件生成，文件NLP搜尋、PLM文件分類。人資管理產品也提供生成式AI助手，如文案生成。SAP支出管理方案Ariba有有AI助手。在客戶體驗產品線則推出了用Joule代理打造的AI工具包CX AI Toolkit，可提供產品畫面生成，問答機器人客製工具、AI購物助手設計等。今年第三季將推出PLM產品資料管理的知識圖譜，可供Joule代理使用，也會推出檢查工作流程差異的AI合規工具。IBP整合規畫產品線，第三季將提供預測可解釋性能力，第四季則將推多項規畫和配置助手。</p> <p>用生成式AI輔助開發工具是SAP今年AI藍圖的一大重點。去年推出的開發工具SAP Build Code在今年初搭載了多款Joule助手，可以支援更複雜更多步驟的程式碼分析和開發輔助，例如可以用來解釋既有程式碼，生成Fiori UI的應用，或套用範本建立新行動開發專案。</p> <p>今年第二季，SAP Build Code開發工具的Joule助手開始可以輔助既有程式碼的重構，甚至現有App整支重構，以及除錯過程支援，開始支援不用加入斜線符號的自由提示輸入，提高生成式AI的運用彈性。SAP計劃在今年第三季，讓企業可以在自家應用中加入客製化的AI助手Joule能力，SAP雲端開發框架和Hana ML框架也將推出Joule開發助手，用於整合AI助理能力的Joule Stidio，今年下半年也將可以用來打造客製化的AI代理。</p> <p> </p> <p> </p> </div></div></div>
2025/6/25 13:49作者王宏仁https://www.ithome.com.tw/news/169716
Waymo與Uber合作於亞特蘭大推出無人駕駛計程車服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.uber.com/newsroom/waymo-on-uber-atl/?utm_source=chatgpt.com" target="_blank">Uber周二（6/24）宣布</a>，即日起亞特蘭大（Atlantans）用戶將可在uber程式上叫到Waymo的無人駕駛計程車。這是雙方所合作的第二個城市，第一個是<a href="https://www.uber.com/newsroom/waymo-on-uber-austin/" target="_blank">今年3月上線的奧斯汀（Austin）</a>。</p> <p>Alphabet旗下的<a href="https://waymo.com/blog/2024/09/waymo-and-uber-expand-partnership?utm_source=chatgpt.com" target="_blank">Waymo與Uber是在2024年9月宣布結盟</a>，表示將獨家透過Uber程式，於奧斯汀及亞特蘭大提供Waymo One無人駕駛計程車服務。</p> <p>根據Waymo的說明，在這兩個地區的Uber用戶，只要像平常一樣使用Uber叫車，不管是UberX、Uber Green、Uber Comfort Plus或Uber Comfort Electric，都有可能配對到附近的Waymo汽車，使用者可選擇接受或是切換到非自動駕駛車輛。</p> <p>目前的Waymo車隊清一色採用Jaguar I-PACE電動車，在奧斯汀已部署100輛，乘客的平均給分高達4.9顆星。</p> <p>除了在奧斯汀與亞特蘭大是與Uber合作之外，Waymo自己也在鳳凰城、舊金山灣區，以及洛杉磯等地透過Waymo One程式提供無人駕駛計程車服務。</p> <p><a href="https://www.ithome.com.tw/news/169692" target="_blank">特斯拉（Tesla）的無人駕駛計程車服務Robotaxi也在本周日（6/22）正式加入戰局</a>，進駐德州的奧斯汀。</p> </div></div></div>
2025/6/25 14:06作者陳曉莉https://www.ithome.com.tw/news/169717
惡意軟體Umbrella Stand、Shoe Rack鎖定Fortinet防火牆而來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期鎖定Fortinet防火牆而來的攻擊行動不時傳出，例如：<a href="https://www.ithome.com.tw/news/169434">勒索軟體Qilin在5月至6月初鎖定該廠牌防火牆而來</a>，利用CVE-2024-21762、CVE-2024-55591等已知漏洞，來取得受害組織的初始入侵管道。最近兩起惡意軟體攻擊相當值得留意，駭客的攻擊標的都是Fortinet防火牆，但手段卻不盡相同。</p> <p>英國國家網路安全中心（NCSC）上週針對惡意軟體<a href="https://www.ncsc.gov.uk/static-assets/documents/malware-analysis-reports/umbrella-stand/ncsc-mar-umbrella_stand.pdf">Umbrella Stand</a>、<a href="https://www.ncsc.gov.uk/static-assets/documents/malware-analysis-reports/shoe-rack-tipper/ncsc-tip-shoe_rack.pdf">Shoe Rack</a>發布資安公告，它們都是專門針對特定產品線的防火牆FortiGate 100D系列而來，因此引起NCSC的注意。</p> <p>針對Umbrella Stand的部分，NCSC指出它是一系列的二進位檔案工具包，攻擊者疑似利用防火牆的資安弱點滲透並進行部署，用途是建立能夠存取受害組織內部網路環境的長期管道。此惡意軟體包含遠端Shell與Beacon的功能，並透過AES加密與C2之間的連線。</p> <p>除此之外，Umbrella Stand還具備以下特性，例如使用Beacon接收C2伺服器訊號時，駭客透過443埠與假的TLS連線來進行，並能與受害防火牆的重開機功能掛鉤。附帶一提的是，這套工具集納入多項可公開取得的程式，例如：BusyBox、nbtscan、tcpdump、openLDAP，從而執行Shell命令、截取網路流量、進行偵察工作。</p> <p>另一個惡意程式Shoe Rack為後利用工具，攻擊者可藉由遠端Shell或TCP隧道存取受害設備並使用。此惡意程式使用DNS-over-HTTPS（DOH）與C2建立連線來隱匿蹤跡，但由於不尋常地使用SSH通訊協定，使得防守方有機會發現相關活動。此惡意程式以Go語言開發，一旦執行，就會透過寫死的C2網址連向指定的SSH主機。</p> </div></div></div>
2025/6/25 12:30作者周峻佑https://www.ithome.com.tw/news/169714
勒索軟體Qilin提供加盟主法律咨詢服務，意圖向受害組織施加更多壓力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近兩到三年，勒索軟體Qilin不斷在資安新聞版面出現，<a href="https://www.bleepingcomputer.com/news/security/qilin-ransomware-claims-attack-on-automotive-giant-yanfeng/">中國汽車內裝零件製造商延峰（Yangfeng）</a>、<a href="https://www.cyberdaily.au/security/9983-victorian-court-systems-allegedly-breached-by-qilin-ransomware-gang">澳洲法院服務業者Victoria</a>、英<a href="https://www.ithome.com.tw/news/163329">國病理學暨診斷服務供應商Synnovis</a>、<a href="https://therecord.media/newspaper-lee-enterprises-cyberattack-ssn">美國報社集團Lee Enterprises</a>、<a href="https://www.ithome.com.tw/news/168720">吉隆坡國際機場（KLIA）</a>先後遭到攻擊，甚至今年4月韓國SK集團旗下的<a href="https://www.ithome.com.tw/news/168675">大型電信公司SK Telecom資料外洩</a>，傳出就是這些駭客所為，連<a href="https://medium.com/@Billows_Tech/%E8%B3%87%E5%AE%89%E5%88%86%E6%9E%90-%E9%BA%92%E9%BA%9F-qilin-%E5%8B%92%E7%B4%A2%E8%BB%9F%E9%AB%94%E5%86%8D%E5%BA%A6%E4%BE%86%E8%A5%B2-%E4%B8%80%E9%80%B1%E5%85%A7%E5%85%A9%E8%B5%B7%E6%94%BB%E6%93%8A%E5%8F%B0%E7%81%A3-%E6%89%8B%E6%B3%95%E8%88%87%E9%81%8E%E5%BE%80%E6%A1%88%E4%BE%8B%E4%B8%80%E6%AC%A1%E7%9C%8B%E6%87%82-946f45772083">臺灣也有企業組織受害</a>，因此這些駭客的一舉一動，近期格外受到關注，在6月初資安業者Prodaft提出警告，<a href="https://www.ithome.com.tw/news/169434">他們看到Qilin利用Fortinet防火牆已知漏洞入侵受害組織</a>，最近有兩組研究人員不約而同對這些駭客的新作法提出警告。</p> <p>資安業者<a href="https://www.cybereason.com/blog/threat-alert-qilin-seizes-control">Cybereason</a>、<a href="https://blog.qualys.com/vulnerabilities-threat-research/2025/06/18/qilin-ransomware-explained-threats-risks-defenses">Qualys</a>上週公布針對Qilin的長期追蹤結果，Cybereason主要指出這些駭客在其他同行面臨關閉、基礎設施遭駭、成員背叛的情況下，趁勢崛起、壯大，甚至接收部分組織的基礎設施來擴大規模；Qualys則是公布Qilin發展作案工具的演進過程，並指出這些會透過多種管道入侵受害組織。</p> <p>但這兩家資安業者都提到一件事而引起大家的注意，那就是駭客為加盟主（Affiliate）提供名為「呼叫律師（Call Lawyer）」的功能，藉由在談判過程為加盟主提供法律方面的協助，從而施加法律風險的壓力，目的是增加受害組織付錢的意願，而這樣的做法，在勒索軟體網路犯罪生態圈裡，可說是首見。</p> <p>呼叫律師到底有什麼功能？Cybereason指出，顧名思義，自然是Qilin的法律顧問會提供加盟主相關的法律建議，並介入雙方談判的聊天室，他們這麼做的目的，一來是讓加盟主能有更具體的法律資訊和受害組織談判贖金金額，再者就是律師出現在聊天室，本身就能對受害組織產生額外的壓力，原因是企業通常不願陷入法律訴訟，而更有機會選擇付錢了事。</p> <p>具體而言，Qilin的法律顧問能對竊得的資料進行評估，並對於資料曝光在不同地區可能會觸犯的法條進行分類，此外，他們也能估計資料外洩衍生的訴訟、法律費用、公司名譽損失，甚至是由律師直接對受害組織進行談判。假如受害組織還是拒絕付錢，這些顧問還會協助加盟主對受害組織造成嚴重的經濟損失。</p> <p>根據Cybereason的調查結果，他們認為這些駭客試圖擴展網路犯罪生態圈，除了加入法律及媒體的支援，還有PB等級的資料儲存規模，甚至是提供垃圾郵件工具、DDoS工具，這些已超出原本勒索軟體的業務，代表駭客朝向全方位的網路犯罪平臺發展。另一家資安業者Qualys的調查結果也反映這樣的現象，其中之一是他們提及最新版Qilin加入竊資軟體的功能，能以Chrome延伸套件的型式植入受害電腦，以便竊取各式帳密用於後續攻擊活動。</p> </div></div></div>
2025/6/25 10:54作者周峻佑https://www.ithome.com.tw/news/169710
美國法官判決Anthropic以版權書籍來訓練AI模型屬於合理使用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國作家Andrea Bartz等人代表多位創作者，2024年8月針對開發Claude模型與聊天機器人的AI新創Anthropic提起集體訴訟，控告其在訓練語言模型時大規模使用來自非法來源的電子書。<a href="https://www.documentcloud.org/documents/25982111-bartz/" target="_blank">聯邦法官William Alsup周一（6/23）裁定</a>，雖然AI訓練本身可視為合理使用，但Anthropic儲存未授權書籍的行為可能侵犯著作權，將於今年12月進入審判程序，成為生成式AI產業中關鍵的著作權判例。</p> <p>控方主張Anthropic大規模使用盜版書籍來訓練AI模型，未取得授權或付費，涉嫌侵犯著作權。</p> <p>事實上，此一訴訟過程揭露了Anthropic自2021年起便大規模蒐集盜版電子書的行為，包括下載了內含近20萬本電子書的Books3資料集，自著名盜版電子書網站Library Genesis取得逾500萬本書籍，以及從另一個盜版網站Pirate Library Mirror下載200萬本書籍，並將它們存在自家中央圖書館中。</p> <p>Alsup認為，將書籍內容用以訓練大型語言模型，其目的與性質是轉化的，亦即AI訓練屬於創造新內容的轉化性用途，而非用來取代原作；且Anthropic模型並未向公眾再現原著的創意原素，也沒有模仿任何作者可識別的風格，符合公平使用原則。</p> <p>然而，Alsup也指出，以所下載的盜版書籍來建立永久的資料庫無法被免責，應該要進行正式審理，以判定是否購成侵權並計算潛在賠償。</p> <p>依照美國的著作權法，侵權賠償介於750美元至15萬美元之間，就算以最低的750美元來計算，Anthropic存放逾700萬本盜版書籍的賠償費用將是逾50億美元的天價。</p> <p>總之，此一裁決被視為是生成式AI領域首起針對「AI訓練是否屬於合理使用」作出明確判決的案例，認為大型語言模型屬於高度轉化，另也向AI業者示警，若未經授權取得受保護作品依然得承擔法律後果。</p> </div></div></div>
2025/6/25 11:59作者陳曉莉https://www.ithome.com.tw/news/169713
Google公測圖片生成模型Imagen 4家族
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://developers.googleblog.com/en/imagen-4-now-available-in-the-gemini-api-and-google-ai-studio/" target="_blank">Google宣布最新圖片生成模型Imagen 4家族</a>，並透過Gemini API及Google AI Studio公測。</p> <p>Imagen 4家族首度分成2個版本，包含Imagen 4 Standard和4 Ultra，強調在文字渲染及生成的整體圖像品質，都較Imagen 3大為提升。Imagen 4 Ultra則比標準版具備更高的指令遵從能力，能精確根據用戶文字提示，生成更高品質的圖片。</p> <p>現在二個模型已在AI Studio以Preview版上線提供付費公測。其中Imagen 4 Standard為每幀圖0.04美元，Ultra版則為0.06美元。開發人員另外也可以<a href="https://ai.google.dev/gemini-api/docs/image-generation#imagen" target="_blank">透過Gemini API測試Imagen 4</a>。而Imagen 3則為每幀圖0.03美元。</p> <p>Google在幾個星期以內會公布分層收費價目。但在公測期間，<a href="https://ai.google.dev/gemini-api/docs/rate-limits#request-rate-limit-increase" target="_blank">開發人員可以要求提高速限</a>。</p> </div></div></div>
2025/6/25 10:59作者林妍溱https://www.ithome.com.tw/news/169711
微軟新增Windows 10 PC用戶2種取得安全更新的方案、啟售企業ESU訂閱
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Windows 10將在今年10月終止技術支援，<a href="https://blogs.windows.com/windowsexperience/2025/06/24/stay-secure-with-windows-11-copilot-pcs-and-windows-365-before-support-ends-for-windows-10/" target="_blank">微軟本周宣布新增方案</a>，讓Windows10個人用戶以Microsoft Rewards點數、或以雲端備份Windows設定換取延長安全更新（Extended Security Updates，ESU）。此外，企業用戶今天起可為Windows 10 PC購買ESU。</p> <p>微軟預定在2025年10月14日終止對Windows 10的技術支援，包括安全更新，以推動用戶升級到Windows 11。基於還有為數龐大的Windows 10用戶尚未或不願升級，去年微軟首度對Windows 10個人用戶公布付費延伸安全更新（Extended Security Updates，ESU）方案，支付30美元可獲得一年的安全更新。</p> <p>本周微軟在30美元選項之外，新增兩種選擇。一是以Microsoft Rewards 1000 點兌換ESU。二是使用Windows Backup功能將Windows設定同步到雲端，使用二種方法皆可不需支付其他費用換取ESU。</p> <p>用戶選定上述選項之一，跟著螢幕指示操作，PC即可自動登錄到ESU方案中。個人版ESU提供的安全更新期間為2025年10月15日到2026年10月13日。</p> <p>即日起，Windows Insider方案用戶就可以選擇加入，這項方案7月以選擇性方案提供給Windows 10用戶，預計8月中全面供應。想要早點獲得本方案的個人用戶，需先在「設定」>「Windows Update」中，開啟「在更新推出以後即可取得最新的更新」選項。</p> <p>至於企業環境下的Windows 10 PC，微軟透過大量授權方案（Microsoft Volume Licensing Program）<a href="https://www.ithome.com.tw/news/162134" target="_blank">提供最長3年的訂閱方案</a>，提供每月重大及重要漏洞軟體更新。本方案依PC臺數計價，第一年每臺61美元，第二年122美元，第三年244美元。今天開始，企業可透過大量授權方案訂閱ESU，9月1日起，將可經由微軟雲端服務供應商夥伴購買。</p> <p>此外，若Windows 10 PC透過Windows 365或VM使用Windows 11 Cloud PC服務，這些Windows 10 PC將可免費獲得ESU資格，獲得每月自動安全更新。</p> </div></div></div>
2025/6/25 10:11作者林妍溱https://www.ithome.com.tw/news/169709
Agent2Agent專案轉移至Linux基金會，續推動開放協定促進AI代理安全溝通
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Linux基金會<a href="https://www.linuxfoundation.org/press/linux-foundation-launches-the-agent2agent-protocol-project-to-enable-secure-intelligent-communication-between-ai-agents">宣布</a>，Google已將其主導開發的Agent2Agent（A2A）開放協定專案及相關軟體工具，正式捐贈給Linux基金會託管，並集結AWS、思科、Google、微軟、Salesforce、SAP、ServiceNow等多家科技公司參與，持續推動人工智慧代理跨平臺及跨組織間安全協作。</p> <p>A2A協定由Google發起，目標是解決人工智慧代理於企業應用時，因平臺、框架、供應商不同而缺乏統一標準，導致代理間無法順利溝通的問題。A2A定義一套開放且可擴展的通訊語言，讓來自不同開發商、運作於各類基礎設施的人工智慧代理，能夠安全地發現彼此、交換資訊並協調任務，提升資料傳遞的安全性與可信度。</p> <p>對企業而言，A2A協定有助於推動多代理應用，無論是在不同部門或子系統的自動化流程協作，還是整合第三方代理至現有架構，都能降低多元技術供應商帶來的開發與維運複雜度。</p> <p>而隨著專案轉移至Linux基金會旗下，A2A協定的發展進入社群導向的治理模式，Linux基金會將提供包括知識產權管理、技術規格改進和社群參與等基礎設施，確保A2A協定發展更加中立開放。</p> <p>Agent2Agent專案新一輪的發展重點除維持現有安全性、可擴展性外，也將涵蓋可信代理身分、授權管理、治理政策與代理安全等進階議題，強化代理間溝通的信任基礎，降低企業在導入人工智慧代理協作時的疑慮。</p> </div></div></div>
2025/6/25 08:12作者李建興https://www.ithome.com.tw/news/169698
【資安日報】6月24日，中國駭客利用ORB網路LapDogs發動網攻，臺灣是主要目標之一
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對中國駭客利用Operational Relay Box（ORB）網路來隱匿網路攻擊的現象，有資安業者警告有越來越氾濫的現象，他們看到過往未被發現的ORB網路，已暗中活動近2年。</p> <p>除了ORB網路，去年攻擊多家美國電信業者的中國駭客組織Salt Typhoon，繼衛星電信業者Viasat遭駭後，如今傳出加拿大也有電信業者受害的情況；此外，惡名昭彰的勒索軟體Anubis號稱竊得巴黎迪士尼樂園內部資料、更難察覺惡意行為的安卓金融木馬GodFather，以及針對GitHub儲存庫的供應鏈攻擊都相當值得留意。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169697"><strong style="font-size: 22px;">中國駭客透過ORB網路LapDogs發動網攻，利用後門程式ShortLeash控制1千多臺連網裝置</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/90HVsZONAl.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/90HVsZONAl.jpg" style="width: 300px; float: right;" /></a></p> <p>中國駭客架設Operational Relay Box（ORB）網路用於攻擊活動，藉此隱匿行蹤，一年多前資安業者Mandiant曾對這種手法提出警告，當時研究人員發現駭客利用虛擬專用伺服器（VPS），以及存在弱點的物聯網（IoT）裝置、路由器組成ORB網路，藉此混淆受害裝置與C2基礎設施的流量，這種網路相當難以捉摸，其中一個在2019年就開始運作。如今有研究人員指出，有人在兩年前也架設這類網路設施，直到最近才被發現。</p> <p>資安業者SecurityScorecard揭露名為LapDogs的ORB網路，駭客主要透過小型辦公室（SOHO）的Linux作業系統裝置建置而成，研判最早從2023年9月開始運作並逐步擴張規模，至少有一千臺受到感染的節點在積極活動。這些駭客主要利用後門程式ShortLeash入侵受害裝置，使得攻擊者能隱密地從事活動。</p> <p>此ORB網路的攻擊具有高度地域性，駭客主要用於攻擊臺灣、香港、韓國、日本，但在其他東南亞國家與美國也有災情。受害組織涵蓋房仲業者、IT與網路服務業者、多媒體公司等領域。附帶一提的是，研究人員提及LapDogs與名為PolarEdge的ORB網路有共通的基礎設施特性，但戰術、手段、流程（TTP）與憑證管理存在不同的地方，因此他們認為LapDogs是獨立的ORB網路。</p> <p><a href="https://www.ithome.com.tw/news/169688"><strong style="font-size: 22px;">加拿大電信業者傳出遭受中國駭客Salt Typhoon攻擊</strong></a></p> <p>6月19日加拿大網路安全中心警告，中國駭客組織Salt Typhoon已經對加拿大電信業者及其他產業組織發動攻擊。</p> <p>去年10月底加拿大資安主管機關曾連同美國網路安全暨基礎架構管理署（CISA）、聯邦調查局（FBI）聯合發布警告，由中國政府資助的Salt Typhoon已對全球主要電信業者、關鍵基礎設施、國防部門等進行網域名稱偵察及掃描，以便發動網路間諜攻擊。最新的警告則是說明已經出現受害者。</p> <p>加拿大政府獲報該國電信公司遭到惡意網路攻擊，兇嫌幾乎確定就是Salt Typhoon。Salt Typhoon在今年2月間駭入3臺加拿大電信公司的網路設備，攻擊者濫用了CVE-2023-20198的軟體漏洞，從這3臺設備存取配置檔，並且至少修改了其中一個檔案，重新配置了一般路由封裝（Generic Routing Encapsulation，GRE）通道，而從該業者網路蒐集流量資料。</p> <p><a href="https://www.ithome.com.tw/news/169699"><strong style="font-size: 22px;">巴黎迪士尼樂園傳出遭到勒索軟體Anubis攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/anubis-ransomware-lists-disneyland-paris-new-victim-3.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/anubis-ransomware-lists-disneyland-paris-new-victim-3.jpg" style="width: 300px; float: right;" /></a></p> <p>根據資安新聞網站HackRead的報導，Anubis近期在他們的暗網網站聲稱，巴黎迪士尼樂園（Disneyland Paris）是最新的受害組織，並表明竊得64 GB內部資料。</p> <p>究竟這批檔案有那些內部資料？駭客宣稱包含約3.9萬份工程檔案，涉及「冰雪奇緣」、「加勒比海盜」、「巴斯光年」，以及雲霄飛車Crush's Coaster等遊樂設施的建設與翻新計畫。為了佐證他們說法的真實性，駭客在數小時後公布部分檔案內容，但是否有員工或遊客的資料外洩，目前仍不得而知。</p> <p>至於駭客竊取這批資料的管道，他們並非直接入侵巴黎迪士尼樂園，而是從其中一家發生資安事故的合作夥伴取得。不過，巴黎迪士尼樂園並未對此公開說明，因此外界目前也無法確定Anubis是否對其進行勒索。</p> <p><a href="https://www.ithome.com.tw/news/169657"><strong style="font-size: 22px;">安卓惡意軟體GodFather濫用虛擬化機制挾持銀行、加密貨幣App的帳密</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/GodFather-app.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/GodFather-app.png" style="width: 300px; float: right;" /></a></p> <p>為了在安卓手機上能竊取機密資料，許多惡意軟體通常會透過覆蓋畫面等手法引誘使用者上當，但如今出現更複雜的手段，用戶更難察覺有異。</p> <p>行動裝置資安業者Zimperium揭露名為GodFather的金融木馬，此惡意程式對全球近500款銀行應用程式的用戶而來，主要集中對土耳其下手。這款惡意軟體與過往的金融木馬最大的不同，就是採用一種進階的裝置端虛擬化技術（On-device Virtualization），而能挾持數種合法的應用程式，其中包含行動銀行及加密貨幣相關的App。</p> <p>由於這種新手法是在受害裝置建立完整的、隔離的虛擬化環境，有別於一般惡意程式是藉由偽造的登入畫面來騙取帳密資料，此惡意軟體能在受害手機部署帶有虛擬化框架的惡意「主機」應用程式，並用來下載真實的行動銀行與加密貨幣App，然後透過攻擊者的沙箱環境執行。一旦受害者啟用手機裡的正牌應用程式，攻擊者就會將他們重新導向虛擬化環境的另一個App，使得這些用戶的一舉一動，包含點選、輸入的資料內容，都受到GodFather的監控。</p> <p><a href="https://www.ithome.com.tw/news/169686"><strong style="font-size: 22px;">GitHub出現67個木馬專案，Banana Squad攻擊軟體供應鏈竊取開發者資料</strong></a></p> <p>資安公司ReversingLabs揭露，近期在GitHub發現多達67個含有木馬程式的專案。這些惡意專案仿冒合法開源工具名稱，透過在開發者社群中散布惡意程式碼，竊取使用者系統資訊、應用程式資料、瀏覽器紀錄及加密貨幣等敏感資訊。調查顯示，這波攻擊與資安威脅組織Banana Squad有關，該組織自2023年以來多次針對開源社群發動軟體供應鏈攻擊，目標為程式開發者及資訊科技專業人士。</p> <p>Banana Squad本次攻擊主要策略，是在GitHub建立與熱門Python工具同名的專案，將惡意木馬程式隱藏於Python原始碼檔案內。木馬程式透過插入大量空白字符，將惡意程式碼隱藏在螢幕右側，降低被開發者檢查發現的機率。研究人員指出，這些偽裝專案的說明內容與合法專案相似，README檔案中則常出現自動產生的亂數字串混淆視聽。</p> <p>Banana Squad自2023年4月起持續發動相關攻擊，該組織曾於多個開源平臺，包括PyPI及NPM發起類似攻擊，近期則將重心轉向GitHub。GitHub接獲通報後，已協助下架所有被標記為惡意的67個專案。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/ncsc-issues-alert-on-umbrella-stand-malware/">惡意軟體Umbrella Stand鎖定Fortinet防火牆而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/apt36-hackers-target-indian-defense-personnel/">巴基斯坦駭客Transparent Tribe針對印度國防部從事網釣</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/06/dhs-warns-pro-iranian-hackers-likely-to.html">伊朗駭客傳出對美國網路環境發動攻擊，美國介入以色列與伊朗衝突疑為導火線</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/06/xdigo-malware-exploits-windows-lnk-flaw.html">惡意軟體Xdigo橫行，利用LNK漏洞攻擊東歐政府機關</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/apt28-hackers-use-signal-chats-to-launch-new-malware-attacks-on-ukraine/">APT28利用即時通訊軟體Signal散布惡意軟體，針對烏克蘭政府機關而來</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169691"><strong style="font-size: 22px;">IBM修補SIEM平臺QRader重大層級漏洞，若不處理攻擊者可用來執行任意命令</strong></a></p> <p>6月19日IBM發布資安公告，針對安全資訊暨事件管理（SIEM）平臺QRadar修補漏洞CVE-2025-33117、CVE-2025-33121、CVE-2025-36050，主要影響的版本是7.5.0版，該公司發布7.5.0 UP12 IF02版更新予以修補，值得留意的是，沒有其他的替代緩解措施，企業資安人員應儘速安排部署更新的作業因應。</p> <p>根據CVSS風險評分，最嚴重的是重大層級的CVE-2025-33117，取得特殊權限的攻擊者有機會竄改組態檔案，進而上傳惡意自動更新檔案，而能夠執行任意命令，風險值達到9.1分。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169683"><strong>【6月23日】臺灣加密貨幣交易所幣託公布5月遭駭事故調查結果</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169658"><strong>【6月20日】北韓駭客BlueNoroff在Zoom視訊利用AI深偽技術對企業員工網釣</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169632"><strong>【6月19日】伊朗大型加密貨幣交易所Nobitex遭駭，駭客銷毀9千萬美元資金</strong></a></p> </div></div></div>
2025/6/24 18:10作者周峻佑https://www.ithome.com.tw/news/169703
中國駭客透過ORB網路LapDogs發動網攻，利用後門程式ShortLeash控制1千多臺連網裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國駭客架設<a href="https://www.ithome.com.tw/tags/orb">Operational Relay Box（ORB）網路</a>用於攻擊活動，藉此隱匿行蹤，一年多前資安業者Mandiant<a href="https://www.ithome.com.tw/news/163058">曾對這種手法提出警告</a>，當時研究人員發現駭客利用虛擬專用伺服器（VPS），以及存在弱點的物聯網（IoT）裝置、路由器組成ORB網路，藉此混淆受害裝置與C2基礎設施的流量，這種網路相當難以捉摸，其中一個在2019年就開始運作。如今有研究人員指出，有人在兩年前也架設這類網路設施，直到最近才被發現。</p> <p>資安業者SecurityScorecard揭露<a href="https://securityscorecard.com/blog/unmasking-a-new-china-linked-covert-orb-network-inside-the-lapdogs-campaign/">名為LapDogs的ORB網路</a>，駭客主要透過小型辦公室（SOHO）的Linux作業系統裝置建置而成，至少從2023年9月開始運作並逐步擴張規模，至少有一千臺受到感染的節點在積極活動。這些駭客主要利用後門程式ShortLeash入侵受害裝置，使得攻擊者能隱密地從事活動。</p> <p>此ORB網路的攻擊具有高度地域性，駭客主要用於攻擊臺灣、香港、韓國、日本，但在其他東南亞國家與美國也有災情。受害組織涵蓋房仲業者、IT與網路服務業者、多媒體公司等領域。</p> <p>而對於駭客使用的後門程式，研究人員指出，當中採用了自行簽署的TLS憑證，此憑證由LAPD發行，駭客可能是打算冒充洛杉磯警局（Los Angeles Police Department）的名義，混淆視聽。</p> <p>特別的是，雖然駭客同時打造Windows和Linux版本的ShortLeash，但他們似乎偏好針對Linux作業系統的裝置下手。駭客先使用Bash指令碼取得本機root權限，並檢查作業系統類型（Ubuntu、CentOS，或其他作業系統），備份特定惡意服務組態檔案、以系統處理程序轉譯現有的服務，使其在背景執行，並在受害裝置重開機後也會重新載入。</p> <p>針對這些受感染裝置，SecurityScorecard指出有超過半數（55%）為Ruckus無線基地臺，其次是Buffalo的AirStation無線路由器，而且，這些裝置都位於日本，大部分在東京。但除此之外，研究人員也提及組成LapDogs的節點，還有華碩、Linksys、D-Link、Panasonic、群暉等廠牌的設備。</p> <p>此外，研究人員指出大部分受害的IP位址當中，都存在了特定的資安漏洞CVE-2015-1548、CVE-2017-17663，這些漏洞皆與老舊版本的ACME mini_httpd有關。</p> <p>究竟那些人運用LapDogs從事網路攻擊？研究人員提及大多是APT駭客組織，<a href="https://www.ithome.com.tw/news/168051">其中一組人馬是UAT-5918</a>。該組織今年3月由思科威脅情報團隊Talos揭露，專門針對臺灣的關鍵基礎設施（CI）下手。</p> </div></div></div>
2025/6/24 16:17作者周峻佑https://www.ithome.com.tw/news/169697
微軟揭露專為Copilot+ PC設計的Mu模型，可透過自然語言調整數百項電腦設定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.windows.com/windowsexperience/2025/06/23/introducing-mu-language-model-and-how-it-enabled-the-agent-in-windows-settings/" target="_blank">微軟Windows應用科學副總裁Vivek Pradeep於周一（6/23）發布部落格文章</a>，揭露一款專為Copilot+ PC所設計的小型語言模型Mu。這是一個可於裝置端執行的模型，目前主要應用在Windows系統中的「設定代理人」功能，協助使用者透過自然語言調整數百項系統設定。該功能目前僅開放給Dev頻道中、使用Copilot+ PC的Windows Insiders測試者試用。</p> <p>微軟於2024年5月正式發表主打AI應用的Copilot+ PC，採用基於Arm架構的系統單晶片，並整合神經處理單元（NPU），要求其NPU運算效能至少達到每秒40兆次操作（40 TOPS）。包括Surface、ASUS、HP、Lenovo、Dell、Acer等品牌皆已推出Copilot+ PC。然而截至2025年第一季，這類產品在整體PC市場中的市占率仍不到5%，距離普及尚有一段距離。</p> <p>Mu模型正是專為這類具備NPU的裝置所打造，可完全於本機執行，推理速度超過每秒100個token。這也是微軟首度將語言模型應用於裝置端，並聚焦於「Windows設定代理人」的角色。使用者只需輸入像是「開啟飛航模式」、「提高螢幕亮度」、「關閉自動更新」等自然語言，就能觸發對應設定操作。不過目前僅支援文字輸入，尚未直接支援語音。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0624-Mu%20model-copilot%2B%20PC-600-2.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>Pradeep表示，Mu是在微軟開發Phi系列模型的基礎上重新設計，從零開始打造、專為資源受限的NPU裝置最佳化。其核心採用Transformer的Encoder–Decoder架構，能先全面理解輸入內容，再產生精準輸出，運算效率更高。</p> <p>為了發揮裝置端效能，微軟針對Mu的模型尺寸與參數分配做出精細調整，例如將2/3的參數配置給編碼器、1/3配給解碼器，並採用輸入／輸出權重共享以節省記憶體。同時，Mu僅使用NPU完全支援的運算操作，確保每次推理都能以最高效率執行。</p> <p>在訓練過程上，Mu先以數千億個高品質教育資料進行預訓練，再透過Phi模型進行知識蒸餾，最後以LoRA微調技術針對特定任務強化模型表現。即便模型體積僅為Phi-3.5-mini的十分之一，Mu在標準任務（如SQuAD問答與CodeXGlue程式任務）上的表現仍與Phi相當接近。</p> <p>在部署階段，微軟應用了後訓練量化（PTQ）技術，將模型從浮點格式轉為整數表示，進一步壓縮體積並降低計算負擔。加上與Qualcomm、Intel、AMD等晶片廠的合作優化，Mu在如Surface Laptop 7等Copilot+ PC裝置上，推理速度可達每秒200個token。</p> <p>Pradeep補充，目前Mu僅應用於Windows設定代理人，並已針對此任務使用約360萬筆樣本進行微調，涵蓋數百項系統設定。模型也根據輸入語句的長度與明確程度調整回應方式，例如輸入「亮度」這類短語時會回傳傳統搜尋結果，而輸入「提高主要螢幕亮度」這類具體語句，才會由Mu代理人執行具體設定動作，以兼顧準確度與使用體驗。</p> </div></div></div>
2025/6/24 16:23作者陳曉莉https://www.ithome.com.tw/news/169696
北韓駭客組織Kimsuky濫用GitHub、Dropbox服務，對韓國發動APT攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>韓國再度成為北韓駭客組織Kimsuky的攻擊目標，根據資安公司ENKI<a href="http://www.enki.co.kr/en/media-center/tech-blog/dissecting-kimsuky-s-attacks-on-south-korea-in-depth-analysis-of-github-based-malicious-infrastructure#9">揭露</a>，3月起Kimsuky濫用GitHub私有儲存庫與Dropbox雲端服務，發動高度針對性的攻擊行動，將開源雲端平臺轉為攻擊與資料洩漏基礎設施。這波攻擊以魚叉式網釣郵件為開端，誘導受害者下載執行PowerShell惡意程式，最終在受害系統植入XenoRAT遠端存取木馬，持續收集和竊取敏感資訊。</p> <p>本次事件的攻擊鏈起始於偽裝成韓國本地法律或金融機構的釣魚郵件，攻擊者會針對目標身分量身設計文件，例如債務通知或授權書等，文件中不僅包含受害者個人資料，內容設計也極具真實感，使收件人降低戒心。郵件附件通常為加密壓縮檔，解壓密碼直接附於郵件內文，受害者一旦點擊壓縮檔內的捷徑或文件，系統即會執行嵌入的PowerShell腳本，首先從Dropbox下載偽裝為.docx或.pdf的惡意檔案，接著進行特殊檔案頭改寫與解壓縮，最終釋放並執行.NET格式的XenoRAT惡意程式。</p> <p>攻擊全程採無檔案方法，降低被防毒軟體攔截的機率。而且由於攻擊者未直接以C2主機溝通，而是將GitHub私有儲存庫作為惡意程式與竊取資料的傳遞中樞，攻擊團隊會針對不同受害對象或攻擊階段，建立專屬的私有儲存庫，以寫死的GitHub個人存取Token（PAT）管理權限。</p> <p>當受害系統遭植入XenoRAT後，惡意程式便會從GitHub下載命令腳本與執行檔，並將收集到的系統資訊、執行程序、按鍵記錄、剪貼簿內容等資料回傳至儲存庫。透過GitHub API，Kimsuky能隱密且高效地掌控每一臺受控主機，隨時調整攻擊腳本內容以及監控感染狀態。由於全程仰賴合法雲端服務，不僅掩護惡意流量來源，也提高現有資安設備辨識與阻擋的難度。</p> <p>Kimsuky在攻擊測試過程中重複使用特定的內部及公開IP位置，其攻擊基礎設施與過去被歸類於該組織的MoonPeak、Naver釣魚活動高度重疊。此外，研究人員比對XenoRAT變種的程式編譯GUID、字串加解密方式與指揮控制伺服器位址，進一步確認攻擊來源與系列惡意軟體的關係。部分C2伺服器同時也被發現用作釣魚網站主機，針對韓國常見網路服務設計針對性詐騙頁面。</p> </div></div></div>
2025/6/24 16:37作者李建興https://www.ithome.com.tw/news/169695
巴黎迪士尼樂園傳出遭到勒索軟體Anubis攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>新興勒索軟體Anubis<a href="https://www.kelacyber.com/blog/anubis-a-new-ransomware-threat/">自今年2月開始</a>動作頻頻，先是在地下論壇尋找負責勒索軟體攻擊、向受害組織勒索，以及挖掘企業組織初始入侵管道的附屬團體，後續在勒索軟體<a href="https://www.ithome.com.tw/news/169593">加入了資料破壞功能（Wiper）</a>，意圖對受害組織施加更大的壓力，脅迫他們不得不付錢來換回遭到破壞的資料，如今有新的事故傳出，再度引起資安界關注。</p> <p>根據資安新聞網站HackRead的報導，Anubis<a href="http://hackread.com/anubis-ransomware-lists-disneyland-paris-new-victim/">近期在他們的暗網網站聲稱</a>，巴黎迪士尼樂園（Disneyland Paris）是最新的受害組織，並表明竊得64 GB內部資料。</p> <p>究竟這批檔案有那些內部資料？駭客宣稱包含約3.9萬份工程檔案，涉及「冰雪奇緣」、「加勒比海盜」、「巴斯光年」，以及雲霄飛車Crush's Coaster等遊樂設施的建設與翻新計畫。為了佐證他們說法的真實性，駭客在數小時後公布部分檔案內容，但是否有員工或遊客的資料外洩，目前仍不得而知。</p> <p>至於駭客竊取這批資料的管道，他們並非直接入侵巴黎迪士尼樂園，而是從其中一家發生資安事故的合作夥伴取得。不過，巴黎迪士尼樂園並未對此公開說明，因此外界目前也無法確定Anubis是否對其進行勒索。</p> </div></div></div>
2025/6/24 17:00作者周峻佑https://www.ithome.com.tw/news/169699
【資安週報】0616~0620，伊朗國有銀行與加密貨幣交易所雙雙遇襲引發全球關注
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>回顧2025年6月第三週的資安新聞中，全球爆發多起重大網路攻擊事件，不僅有以色列與伊朗軍事衝突衍生的網路攻擊戰，以色列駭客攻擊伊朗國有銀行與加密貨幣交易所，還有來自中國駭客組織的持續威脅，將目標鎖定在媒體機構與衛星領域，發動高度隱蔽的網路間諜活動。</p> <p>● 伊朗國有銀行Bank Sepah遭駭，多間分行被迫暫停營業，客戶無法存取銀行帳戶，後續，與以色列有關的駭客組織Predatory Sparrow宣稱是他們所為。<br /> ● 伊朗加密貨幣交易所Nobitex同樣遭遇以色列駭客Predatory Sparrow攻擊，該交易所證實部分熱錢包受影響，估計有逾9千萬美元加密貨幣遭竊並被銷毀。<br /> ● 美國華盛頓郵報發現自家電子郵件系統遭駭，調查顯示是6月12日遭遇目標式攻擊，已知有負責報導國安、經濟政策、中國等領域的記者帳號被入侵。<br /> ● 衛星網路公司Viasat近期證實，去年中國駭客組織Salt Typhoon大規模攻擊，他們也是受害者之一，同時說明雖遭遇未經授權的存取，但無客戶資料遭外洩。</p> <p>臺灣有兩起先前資安事件出現後續進展，一是臺灣加密貨幣交易所幣託（BitoPro）曾在6月初揭露公司於5月8日遭到網路攻擊，最近調查結果公布，指出駭客先是鎖定負責雲端業務的員工發動社交工程攻擊，植入惡意程式後逐步滲透，最終挾持AWS連線階段的Session Token繞過MFA，並將惡意指令碼轉移至熱錢包主機。另一是聯鈞光電在6月9日發布資安重訊，說明今年1月遭遇勒索軟體攻擊後，5月16日又遭另一勒索病毒入侵；6月13日該公司再次發布重訊補充說明，表示部分檔案遭竊取，並呼籲可能的利害關係人勿向駭客購買這些資料。</p> <p>在威脅態勢方面，在國內，有駭客假冒臺灣政府機關散布惡意軟體HoldingHands RAT、Gh0stCringe的攻擊活動，需要我們特別留意。今年1月Fortinet曾揭露有駭客假借國稅局的名義寄送釣魚信，如今該駭客攻擊活動仍然持續與擴大，對方還會佯裝海關總署、財政部等名義，使用稅收、養老金、發票、營業稅電子申報等名目為誘餌，引誘臺灣民眾誤信而遭植入惡意軟體。</p> <p>國際間還有其他重要威脅態勢，有一起藉由AI深度偽造發起的網路攻擊活動，最值得關注，這起事件是北韓駭客誘騙金融業員工參加視訊會議，且會議中包含公司內部知名高層領導的Deepfake影像，藉此誘騙受害者不慎下載macOS惡意軟體。</p> <p>●北韓駭客BlueNoroff散布macOS惡意軟體的攻擊活動被資安業者Huntress揭露，指出有加密貨幣機構的員工被誘騙參加一場精心偽冒的Zoom群組會議，當中要求員工下載包含惡意的特定Zoom延伸套件。<br /> ●駭客在3月、4月間鎖定近27萬個網站植入JavaScript惡意程式碼，將瀏覽這些網站的使用者導向惡意網站，Palo Alto Networks指出此攻擊是植入以JSFireTruck（JSFuck）手法處理的惡意JavaScript程式碼來達到目的。<br /> ●攻擊者濫用熱門紅隊演練工具TeamFiltration，針對微軟Entra ID帳戶發動密碼潑灑攻擊，Proofpoint警告年初這波攻擊影響了數百個組織、逾8萬個使用者帳戶，並有多起成功接管帳戶的案例</p> <p>至於零時差漏洞攻擊方面，Apple在6月10緊急修補一項已遭利用的零時差漏洞CVE-2025-43200，兩日後，加拿大Citizen Lab揭露這起攻擊事件已有2名歐洲記者中招，因為存在這個漏洞而被入侵，被植入以色列Paragon Solutions開發的Graphite間諜軟體。此外，還有兩個老舊漏洞持續遭攻擊者鎖定，引發美國CISA示警，包括TP-Link的漏洞CVE-2023-33538，以及Linux Kernel的漏洞CVE-2023-0386 。</p> <p>其他值得注意的漏洞消息，6月初電子郵件伺服器Roundcube修補重大漏洞 CVE-2025-49113（CVSS 9.9），10日後Shadowserver基金會警告，仍有近8.5萬臺伺服器未修補；5月資料圖形視覺化軟體Grafana修補漏洞CVE-2025-4123，一個月後應用程式安全業者指出，在Shodan連網裝置搜尋引擎上，可查到12.8萬臺系統，其中仍有逾4.6萬臺尚未更新，處於曝險狀態。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/169573"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月16日】駭客運用JSFireTruck混淆手法埋藏意圖，於近270萬網站植入惡意程式碼</span></strong></a></h3> <p>為了透過合法掩蓋非法行為，駭客不是濫用合法的雲端服務，就是入侵網站植入惡意程式碼，將其做為散布惡意軟體或從事其他惡意行為的管道，如今有一起大規模網站攻擊行動引起研究人員關注，因為駭客使用了罕見手法隱藏意圖。</p> <p>此外，鎖定微軟Entra ID的密碼潑灑（Password spraying）攻擊、iOS零點擊漏洞的間諜軟體攻擊事故、駭客兜售Roundcube重大漏洞的利用方法，後續都值得觀察。而在國內的資安事故，聯鈞光電週末發布重大訊息，揭露深度調查的新發現。</p> <h3><a href="https://www.ithome.com.tw/news/169594"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月17日】新興勒索軟體脅迫受害組織付錢出現新手法，藉由抹除檔案內容進行施壓</span></strong></a></h3> <p>勒索軟體橫行多年，從一開始駭客採取雙重勒索的手段，到後來將勒索軟體開發與作案進行工成為常態，如今有新興駭客組織採取不同的作法，其中最引起研究人員注意的部分，就是納入抹除資料的手段，使得受害組織無法藉由竊密金鑰復原內容。</p> <p>其他的資安事故也值得留意，包含：駭客GrayAlpha意圖散布NetSupport RAT、逾三分之一資料圖形視覺化系統Grafana尚未修補CVE-2025-4123，以及華盛頓郵報部分記者郵件系統帳號遭駭。</p> <p><a href="https://www.ithome.com.tw/news/169611"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月18日】AWS宣布IAM領域重大進展</span></strong></a></p> <p>大型雲端服務供應商AWS在美國費城舉辦年度資安會議re:Inforce 2025，會中不僅揭露了該公司在身分安全發展的最新成果，並強調現今企業若要讓資安基礎穩固，必須採取更簡便且具擴展性的做法。</p> <p>在資安事故方面，伊朗國有銀行Bank Sepah因遭網路攻擊導致服務停擺是國際焦點；而在國內，有資安業者追蹤假冒國稅局的網釣攻擊事故，公布最新的調查結果。此外，兆勤防火牆與TP-Link路由器於2年前公布及修補的資安漏洞，傳出被用於實際攻擊。</p> <h3><a href="https://www.ithome.com.tw/news/169632"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月19日】伊朗大型加密貨幣交易所Nobitex遭駭，駭客銷毀9千萬美元資金</span></strong></a></h3> <p>這兩天最受到關注的國際資安新聞，就是以色列駭客組織Predatory Sparrow（Gonjeshke Darande）發動的破壞性網路攻擊，他們先後聲稱對伊朗國營銀行Bank Sepah、大型加密貨幣交易所Nobitex下手，後續效應有待進一少觀察。</p> <p>此外，殭屍網路鎖定LLM開發工具Langflow重大漏洞而來的情況相當值得留意，開發人員應特別提高警覺並儘速修補；這幾天還有兩份先前資安事故的報告出爐，一份是關於3月公布的Chrome零時差漏洞攻擊事故，另一份是中國駭客Salt Typhoon對美國電信業者發動大規模攻擊。</p> <h3><a href="https://www.ithome.com.tw/news/169658"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月20日】北韓駭客BlueNoroff在Zoom視訊利用AI深偽技術對企業員工網釣</span></strong></a></h3> <p>駭客利用深偽（Deepfake）冒充公司高階主管，藉由線上會議從事網路釣魚攻擊的情況近期再度出現，近期由北韓駭客BlueNoroff（TA444、Sapphire Sleet）鎖定一家加密貨幣組織發起的攻擊行動引起關注，駭客假借該公司高管的名義，引誘員工安裝惡意Zoom延伸套件。</p> <p>在其他資安事故的部分，另一組北韓駭客Kimsuky的攻擊行動、木馬程式藉由大型語言模型DeepSeek-R1散布，也相當值得留意；此外，本週Citrix為NetScaler設備修補兩項重大漏洞，IT人員也要儘速處理。</p> <p> </p> <p> </p> </div></div></div>
2025/6/24 11:30作者羅正漢https://www.ithome.com.tw/news/169690
擴大衛星應用落地，數發部開放衛星行動通信頻譜申請
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因應低軌衛星通訊需求增加，數發部今天(6/24)宣布已完成相關法規修正，即日起開放國內衛星行動通信頻譜申請，為國內首次開放衛星行動通信頻譜申請，加速國際衛星通信服務落地，讓衛星直連手機服務可望在國內實現。</p> <p>數發部資源管理司長曾文方表示，隨著低軌衛星快速發展、成本降低，衛星通信服務蓬勃發展，數發部於今年2月修訂頻率管理計畫，增訂開放頻率，6月19日完成相關法規修正，此次開放有三項特色，分別是新增開放頻率用途、新增開放頻段、延長頻率使用期限。</p> <p>首先是新增開放頻率用途方面，以往國內僅開放衛星固定通信，現在新增衛星行動通信，擴大衛星通信的應用，從固定地點通信擴大至行動通信。</p> <p>其次是新增開放頻段方面，原本衛星固定僅開放4個頻段，經過數發部過去一年盤點國際衛星使用頻段，以及國內頻段使用情形，並蒐集國內產業意見，此次將衛星固定頻段增加至12個頻段，衛星行動可使用頻段7個。</p> <p>另外，為促使國內衛星通信服務發展，因應業者布建服務較長的時間，數發部也將業者使用頻率期限從原來的2年延長到5年。曾文方表示，考慮到業者建置服務需較長時間，延長頻率使用期間，希望能提升業者落地的意願。</p> <p>其中受到關注的是這次開放衛星行動的7個頻段，4個頻段分別是，1518-1559 MHz、1610-1616.5 MHz、1668-1675 MHz、2483.5-2500 MHz，為較低頻段、頻寬較窄，其他3個頻段則是19GHz以上較高頻段。</p> <p>曾文方指出，上述4個頻段的特性，因為較低頻，衛星訊號傳輸過程損耗較少，也是國際上衛星直連手機應用的頻段，同時也因為這些頻段的頻寬較窄，適用於窄頻的應用。</p> <p>鑑於未來6G標準結合非地面通訊來增加通信涵蓋的範圍，非地面通信網路在6G時代將扮演關鍵角色，特別是地面通訊如4G、5G、6G，未來結合非地面通訊如衛星通信，實現無所不在的連結。</p> <p>曾文方指出，在人口密集的都會區，國內行動通訊網路在人口密集區已涵蓋95%以上，但是對於偏遠地區、山區，或是離島、海洋地區，行動通訊涵蓋不足，過去發展高空通訊平臺或是現在的衛星通訊，其目的為補足地面通訊涵蓋不足之處。</p> <p><span style="color:#B22222;"><strong>擴大衛星通訊落地應用</strong></span></p> <p>在開放之前，國內的衛星通訊為固定通訊，被應用在偏鄉、山地、離島地區建置地面接收設備，作為地面通訊網路的備援通訊技術，例如偏遠地區的光纖網路中斷，或是離島地區海纜中斷時，緊急通過衛星對外通訊，當發生地震災害時，導致地面通訊網路中斷，派遺衛星通訊固定通訊設備或是衛星通訊車前往災區建立救災緊急通訊。另外，衛星通信也能作為行動基地臺的後傳線路，連回後端的核心網路。</p> <p>而在開放衛星行動通信頻段，除了以往海上航行或登山使用的衛星電話，iPhone等手機的衛星直連手機應用也可望落地至臺灣，在沒有行動網路的地區，使用者可透過隨身的手機直連衛星，依所在地點的限制，發送緊急求救訊號、傳送簡訊、地址資訊或是語音，例如蘋果iPhone在美國已提供衛星直連手機服務，讓用戶在沒有行動網路、Wi-Fi涵蓋的地區，可使用手機連接衛星對外發送緊急求救SOS訊息。</p> <p>不過，由於目前手機直連衛星多使用低頻段、頻寬較窄，因此多為窄頻的應用，並非日常生活中經常使用的高速連網、接收雲檔大型檔案、線上遊戲、收看線上影視內容等行動寬頻應用。</p> <p>儘管手機直播衛星使用較窄頻寬，不適合寬頻應用，但是足夠用於緊急對外通訊，也可適用於企業的IoT應用，利用窄頻段來傳送感測器的監測數據，例如聯發科先前已測試衛星IoT的通訊應用。</p> <p>另外，日前中華電信宣布取得OneWeb低軌衛星固定通信的商用許可，該公司強調布局海星陸空多元通訊網路，正籌備在國內開通OneWeb商用服務。在今天數發部開放衛星行動通信頻段，預期未來可能吸引電信業者申請衛星行動通信頻段，擴大低軌衛星的行動通信應用。</p> </div></div></div>
2025/6/24 13:32作者蘇文彬https://www.ithome.com.tw/news/169693
美國國會禁止公家裝置安裝WhatsApp
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.axios.com/2025/06/23/whatsapp-house-congress-staffers-messaging-app" target="_blank">根據Axios報導</a>，美國眾議院行政長Catherine Szpindor本周一（6/23）通知所有該院工作人員，不得於任何官方裝置上安裝WhatsApp傳訊程式，涵蓋手機、電腦桌面或瀏覽器版本。若在眾議院的裝置管理介面上發現有人安裝了WhatsApp，即會要求將其刪除。</p> <p>Szpindor表示，眾議院的網路安全辦公室認定WhatsApp存在高風險，原因包括其在保護使用者資料上缺乏透明度，未對儲存資料進行加密，以及整體使用過程中潛藏安全風險。建議工作人員可改用Microsoft Teams、Wickr、Signal、iMessage或FaceTime。</p> <p>Meta在2014年以190億美元買下的WhatsApp是全球最受歡迎的傳訊程式，根據市場調查機構<a href="https://www.statista.com/statistics/258749/most-popular-global-mobile-messenger-apps/" target="_blank">Statista今年2月的統計</a>，WhatsApp在全球約有20億用戶，凌駕微信（WeChat）的13.8億、Telegram的9.5億，以及Messenger的9.47億。</p> <p><a href="https://x.com/andymstone/status/1937169248582770921" target="_blank">Meta公關主任Andy Stone則在X上反駁</a>，指出議員與眾議院工作人員都經常使用WhatsApp，強烈反對行政長對WhatsApp的描述。Stone解釋，WhatsApp上的訊息預設採用端對端加密，意味著只有收件者才看得到訊息，甚至連WhatsApp都無法看到，其安全等級高過行政長所建議的大多數程式。</p> <p>其實Szpindor不只禁了WhatsApp，先前也陸續禁止TikTok、DeepSeek、Microsoft Copilot，以及在2023年禁用了免費版的ChatGPT，但可使用付費版的ChatGPT Plus，當時Szpindor宣稱，只有付費版本才有提供隱私功能。</p> <p>不過，相關禁令皆只適用於由眾議院提供的手機或電腦等官方裝置，並未擴及眾議員或工作人員的私人裝置。</p> </div></div></div>
2025/6/24 13:45作者陳曉莉https://www.ithome.com.tw/news/169694
IBM修補SIEM平臺QRader重大層級漏洞，若不處理攻擊者可用來執行任意命令
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>6月19日<a href="https://www.ibm.com/support/pages/node/7237317">IBM發布資安公告</a>，針對安全資訊暨事件管理（SIEM）平臺QRadar修補漏洞CVE-2025-33117、CVE-2025-33121、CVE-2025-36050、影響UP12 IF01之前的7.5.0版QRadar，該公司發布7.5.0 UP12 IF02版更新予以修補，值得留意的是，沒有其他的替代緩解措施，企業資安人員應儘速安排部署更新的作業因應。</p> <p>根據CVSS風險評分，最嚴重的是重大層級的CVE-2025-33117，取得特殊權限的攻擊者有機會竄改組態檔案，進而上傳惡意自動更新檔案，而能夠執行任意命令，風險值達到9.1分。</p> <p>另一個被評估為高風險層級的漏洞CVE-2025-33121，此弱點涉及XML外部執行個體注入（XXE），攻擊者有機會遠端利用，從而曝露敏感資訊或消耗記憶體資源，風險值為7.1。</p> </div></div></div>
2025/6/24 12:23作者周峻佑https://www.ithome.com.tw/news/169691
特斯拉無人駕駛計程車服務Robotaxi邁入公開測試
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://x.com/elonmusk/status/1936834688188129503" target="_blank">馬斯克（Elon Musk）本周一（6/22）宣布</a>，特斯拉（Tesla）的無人駕駛計程車服務Robotaxi已正式於德州奧斯汀（Austin）展開測試，目前採用邀請制以及單程4.2美元的固定費率。</p> <p>根據外電報導，現階段僅於奧斯汀提供服務的Robotaxi車隊是由大約10輛的Model Y休旅車組成，雖然沒有駕駛員，但前方座位仍設置一名人類安全監督員。</p> <p><a href="https://www.tesla.com/support/robotaxi/getting-started" target="_blank">特斯拉於官網上說明</a>，要搭乘Robotaxi必須先註冊一個Tesla帳號，接著下載Robotaxi程式；輸入目的地，程式便會預估到達時間與車資，上車後，乘客還可透過程式或車上的觸控螢幕來調整各種設定，包括空調、座椅或音樂等，也能在需要時要求車輛靠邊停車。</p> <p>不過，剛上路的Robotaxi似乎還有些狀況，有試乘者將無人計程車逆向行駛或忽然緊急剎車的畫面拍了下來，並已惹來美國國家公路交通安全管理局（NHTSA）的關切。</p> <p>儘管<a href="https://www.tesla.com/robotaxi" target="_blank">Robotaxi的官網</a>已經現身，並說很快就會迎來自駕車時代，但除了上述的小故障之外，可能還得視美國各州的法令。</p> <p>當今美國無人駕駛計程車的龍頭是Alphabet旗下的Waymo，擁有1,500輛汽車，已於舊金山、洛杉磯、鳳凰城及奧斯汀等地區提供商業服務，每周完成25萬次的載客服務，並計畫於明年將車隊擴大至3,500輛。</p> </div></div></div>
2025/6/24 12:39作者陳曉莉https://www.ithome.com.tw/news/169692
Mistral開源模型Small升級為3.2版
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://x.com/MistralAI/status/1936093325116781016" target="_blank">法國AI新創公司Mistral宣布</a>開源模型Small由3.1版升級為3.2版，強化指令遵從、函式呼叫功能。</p> <p>Small 3.2為一小改版，主要功能和Mistral-Small-3.1-24B-Instruct-2503一樣，而改進功能包括：更能精確遵從指令，會遵照用戶指令直到最後一句；和Small 3.1（24B Instruct）相較，新版本Small 3.2在Wildbench（55.6% vs 65.33%）及Arena Hardv2（19.56% vs.43.1%）效能大幅改進。此外，Small 3.2函式（如Python snippet）或工具呼叫的能力也更強大。</p> <p>Small 3.2也減少了重覆性錯誤，在長而重覆性的困難提示測試中，Small 3.2產生無限生成或重覆性答案的情形比Small 3.1減少2倍，不過在大部份MMLU、數理測試及視覺能力測試的成績差不多、甚至略差。</p> <p>目前Mistral-Small-3.2-24B-Instruct-2506版模型，已經可<a href="https://huggingface.co/mistralai/Mistral-Small-3.2-24B-Instruct-2506" target="_blank">在Hugging Face存取</a>。</p> <p>Mistral Small 3.2現已支援24種語言，適合用於VLLM框架，但開發人員也可以配合Transformers執行。</p> <p>兩周前Mistral宣布推出跨足AI雲端平臺產品，<a href="https://www.ithome.com.tw/news/169545" target="_blank">推出Mistral Compute</a>，協助企業自建AI訓練環境。</p> </div></div></div>
2025/6/24 10:17作者林妍溱https://www.ithome.com.tw/news/169689
Salt Typhoon也攻擊了加拿大電信業者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.cyber.gc.ca/en/guidance/cyber-threat-bulletin-prc-cyber-actors-target-telecommunications-companies-global-cyberespionage-campaign" target="_blank">加拿大網路安全中心上周（6/19）警告</a>，中國駭客組織Salt Typhoon已經對加拿大電信業者及其他產業組織發動攻擊。</p> <p>去年10月底加拿大資安主管機關曾連同美國網路安全暨基礎架構管理署（CISA）、聯邦調查局（FBI）<a href="https://www.ithome.com.tw/news/165750" target="_blank">聯合發布警告</a>，由中國政府資助的Salt Typhoon已對全球主要電信業者、關鍵基礎設施、國防部門等進行網域名稱偵察及掃描，以便發動網路間諜攻擊。最新的警告則是說明已經出現受害者。</p> <p>加拿大政府說已獲報，加拿大電信公司遭到惡意網路攻擊，兇嫌幾乎確定就是Salt Typhoon。Salt Typhoon在今年2月間駭入3臺加拿大電信公司的網路設備，攻擊者濫用了CVE-2023-20198的軟體漏洞，從這3臺設備存取配置檔，並且至少修改了其中一個檔案，重新配置了一般路由封裝（Generic Routing Encapsulation，GRE）通道，而從該業者網路蒐集流量資料。</p> <p>加拿大主管機關並由合作夥伴個別調查發現，這起攻擊的入侵指標和Salt Typhoon有重疊處。該報告還指稱，Salt Typhoon的鎖定目標不只是電信業部門。駭客可能旨在對加拿大組織的網路裝置下手，以便從受害者內部網路蒐集資料，或利用受害者裝置駭入其他組織。但加國主管機關評估，某些案例中，攻擊者的活動可能僅限網路偵察活動。</p> <p>加國政府警告，中國駭客組織未來二年內還會持續鎖定該國業者發動間諜攻擊，對象包括電信業者和其客戶，呼籲其及早強化網路防禦。</p> <p>雖然加國網路安全中心並未指出是哪種網路設備，但CVE-2023-20198是屬於思科（Cisco）設備系統的IOS XE軟體漏洞。今年二月，<a href="https://www.ithome.com.tw/news/167535" target="_blank">思科發表報告</a>，Salt Typhoon利用該漏洞攻擊了美國電信業者。<a href="https://www.ithome.com.tw/news/166878" target="_blank">美國政府一月報告</a>，至少有9家電信公司包括AT&T、Lumen、T-Mobile、Verizon遭Salt Typhoon鎖定。</p> <p>上周美國衛星通訊服務業者<a href="https://www.ithome.com.tw/news/169624" target="_top">Viasat證實</a>自己也在去年底Salt Typhoon大規模攻擊中遭到駭入，但強調沒有客戶受影響。</p> </div></div></div>
2025/6/24 09:49作者林妍溱https://www.ithome.com.tw/news/169688
GitHub出現67個木馬專案，Banana Squad攻擊軟體供應鏈竊取開發者資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安公司ReversingLabs<a href="https://www.reversinglabs.com/blog/threat-actor-banana-squad-exploits-github-repos-in-new-campaign">揭露</a>，近期在GitHub發現多達67個含有木馬程式的專案。這些惡意專案仿冒合法開源工具名稱，透過在開發者社群中散布惡意程式碼，竊取使用者系統資訊、應用程式資料、瀏覽器紀錄及加密貨幣等敏感資訊。調查顯示，這波攻擊與資安威脅組織Banana Squad有關，該組織自2023年以來多次針對開源社群發動軟體供應鏈攻擊，目標為程式開發者及資訊科技專業人士。</p> <p>Banana Squad本次攻擊主要策略，是在GitHub建立與熱門Python工具同名的專案，將惡意木馬程式隱藏於Python原始碼檔案內。木馬程式透過插入大量空白字符，將惡意程式碼隱藏在螢幕右側，降低被開發者檢查發現的機率。研究人員指出，這些偽裝專案的說明內容與合法專案相似，README檔案中則常出現自動產生的亂數字串混淆視聽。</p> <p>Banana Squad自2023年4月起持續發動相關攻擊，該組織曾於多個開源平臺，包括PyPI及NPM發起類似攻擊，近期則將重心轉向GitHub，根據ReversingLabs及Checkmarx等組織調查，2023年攻擊惡意套件累積超過7萬次下載。GitHub接獲通報後，已協助下架所有被標記為惡意的67個專案，但由於原始碼平臺公開且專案易於複製，實際受害規模難以全面掌握。</p> <p>研究人員建議，開發者不應僅憑專案名稱或簡介判斷其可信度，應主動比對導入專案與已知良好版本的差異，並利用自動化安全掃描等工具，針對原始碼完整性進行驗證，以確保軟體未遭竄改。</p> </div></div></div>
2025/6/24 08:15作者李建興https://www.ithome.com.tw/news/169686
【資安日報】6月23日，臺灣加密貨幣交易所幣託公布5月遭駭事故調查結果
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>北韓駭客的攻擊行動近期不斷出現在新聞版面，例如，上週五我們報導<a href="https://www.ithome.com.tw/news/169650">北韓駭客BlueNoroff在Zoom視訊用AI深偽技術對企業員工網釣</a>、<a href="https://www.ithome.com.tw/news/169556">Kimsuky鎖定異議人士進行網釣的事故</a>，還有一起針對臺灣的加密貨幣交易所的資安事故相當值得留意，因為犯案者就是惡名昭彰的Lazarus。</p> <p>除了北韓駭客，160億筆帳密資料曝光、鎖定主機代管業者的大規模DDoS攻擊、俄羅斯駭客利用應用程式專用密碼（ASP）挾持Gmail，以及美國保險公司Aflac疑似遭Scattered Spider攻擊的情況，也引起各界高度關注。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169681"><strong style="font-size: 22px;">臺灣加密貨幣交易所幣託傳出5月遭遇攻擊事故，攻擊者身分是北韓駭客Lazarus</strong></a></p> <p>北韓駭客鎖定加密貨幣交易所的情況，已有不少研究人員揭露相關資安事故，但過往大多發生在國外，6月初臺灣加密貨幣交易所幣託（BitoPro）傳出遭駭並得到證實，最近該公司公布調查結果。</p> <p>這起事故最早是由區塊鏈偵探ZachXBT於6月2日揭露，他指出幣託疑似在5月8日遭到攻擊，多個熱錢包出現異常資金外流，損失金額約為1,150萬美元，但直到金管會證券期貨局證實此事並要求幣託公開說明，該公司才坦承確有此事。</p> <p>6月19日幣託發布公告，表示他們委託資安業者經過一個月的調查，確認攻擊者的身分是北韓駭客組織Lazarus，駭客鎖定負責雲端業務的成員進行社交工程攻擊，最終挾持AWS連線階段（Session）的Token，而能繞過多因素驗證（MFA）機制，於該公司AWS環境與C2建立連線，並將惡意指令碼轉移到熱錢包主機。直到5月9日凌晨1時左右，駭客模擬合法交易行為啟動惡意指令碼，從熱錢包移轉加密貨幣，直到幣託的錢包水位監控系統偵測到異常並發出警示，資安團隊啟動應變機制並阻斷駭客行為。</p> <p><a href="https://www.ithome.com.tw/news/169666"><strong style="font-size: 22px;">研究人員揭露160億筆帳密資料外洩，疑透過竊資軟體收集、拼湊而成</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/goat-data-breach-16billion-passwords-leaked.jpeg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/goat-data-breach-16billion-passwords-leaked.jpeg" style="width: 300px; float: right;" /></a></p> <p>上週資安新聞網站Cybernews揭露近160億筆帳密資料外洩事故，這些資料來自30個公開的資料庫，每個資料庫內含數千萬至35億餘筆記錄，來源疑似是透過竊資軟體（Infostealer）收集而得。這項消息一出，引起許多資安專家提出警告，呼籲用戶最好儘速更換Google、臉書、Apple等各項網路帳號的密碼，並啟用雙因素驗證，因為上述曝光的外洩資料很有可能遭到濫用，駭客一旦取得，就有機會存取使用者各式帳密，進而用於接管帳號、竊盜身分，以及針對性網釣攻擊。</p> <p>值得留意的是，Cybernews也提及這些資料庫曝光的時間並不長，大部分的資料庫能透過Elasticsearch或物件儲存執行個體存取，但無法識別資料庫的所有者身分。雖然資料數量過於龐大，研究人員無法對不同資料庫的內容進行比對，因此他們無法確認有多少重覆資料，但研究人員指出大部分的資料遵循著相當固定的結構，依序是：URL、登入資訊、密碼，而這也是竊資軟體彙整偷到資料最常見的格式。</p> <p>不過，對於這些資料的解析，有研究人員提出不同的看法。資安業者Hudson Rock指出，根據他們的統計資料，平均每臺遭竊資軟體感染的電腦會被偷走50組帳密資料，換言之，Cybernews揭露的這批資料，駭客必須在3.2億臺電腦植入竊資軟體才能取得。但這樣的感染規模與全球實際受害情況相比多上不少，顯得不切實際，因此，Hudson Rock推測這批資料不僅有許多重覆，還有過時資料，甚至可能有人工產生的內容。</p> <p><a href="https://www.ithome.com.tw/news/169668"><strong style="font-size: 22px;">大規模DDoS攻擊鎖定主機代管業者而來，7.3 Tbps流量轟炸45秒</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/7_3Tbps-in-45-sec-3.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/7_3Tbps-in-45-sec-3.png" style="width: 300px; float: right;" /></a></p> <p>內容遞送網路暨域名服務業者Cloudflare 5月阻擋了一次7.3 Tbps的分散式阻斷服務攻擊，這波攻擊發生在5月中，7.3 Tbps的流量也破了Cloudflare第一季才剛公布的6.5 Tbps的紀錄。</p> <p>遭到攻擊的對象為Cloudflare服務的一家主機代管業者，歷時45秒，總流量約為37.4 TB，這樣的流量有多龐大？相當於每分鐘5 MB的影音串流7,480小時、9,350部HD高解析度影片（一部以4 GB計算）、935萬首4 MB的MP3歌曲，或是1,250萬張高解析度（每張為3 MB）的照片。</p> <p>特別的是，Cloudflare也提及駭客不同連接埠發動攻擊的現象，整起攻擊行動裡，對方平均針對同一個IP位址轟炸21,925個連接埠，最高峰更轟炸了34,517個。其中99.996%的攻擊流量為UDP洪水攻擊，剩下0.004%約1.3GB的流量包含QOTD反射攻擊、Echo反射攻擊、NTP反射攻擊、Mirai UDP洪水攻擊、Portmap洪水和RIPv1放大攻擊等多種攻擊管道。</p> <p><a href="https://www.ithome.com.tw/news/169675"><strong style="font-size: 22px;">應用程式專用密碼遭到濫用！俄羅斯駭客藉此挾持Gmail帳號</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/google-asp-copy.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/google-asp-copy.png" style="width: 300px; float: right;" /></a>Google威脅情報小組（Google Threat Intelligence Group，GTIG）與加拿大的公民實驗室（Citizen Lab）揭露一起來自俄羅斯國家級駭客的攻擊行動，主要利用社交工程手法及應用程式專用密碼（Application Specific Password，ASP）來繞過多因素身分驗證（MFA），進而入侵受害者的Gmail或其他Google服務。</p> <p>此波攻擊行動被Google命名為UNC6293，並認為與俄羅斯資助的APT29有關。受害者之一是英國的俄羅斯專家Keir Giles，他揭露許多俄羅斯的秘密活動，也撰寫大量有關俄羅斯入侵烏克蘭的文章。</p> <p>Giles在今年5月22日收到自稱是美國國務院官員Claudie Weber的來信，對方自稱是美國國防部顧問，邀請Giles參與一場線上會議。雖然Weber通訊時使用Gmail，但也將副本送到@state.gov郵件位址，在雙方十多次的書信往來之後，Weber即寄送了一個PDF檔，引導Giles於他的Gmail電子郵件帳號中生成應用程式專用密碼，並將它指定給一個名為ms.state.gov的程式使用，再截圖回傳。最後是Google發現了相關攻擊，鎖住受影響帳號、禁用駭客的Gmail帳號。</p> <p><a href="https://www.ithome.com.tw/news/169675"><strong style="font-size: 22px;">美國保險業者Aflac遭駭，疑Scattered Spider駭客組織所為</strong></a></p> <p>6月17日Mandiant研究人員John Hultquist針對美國保險業發出警訊，指出國際駭客組織Scattered Spider（UNC3944）接下來會鎖定該產業而來，一旦得逞將會在整個行業進行滲透。對此，他呼籲保險公司要特別防範對客服電話支援中心而來的相關社交工程攻擊。事隔3天，有保險業者證實遭遇網路攻擊而引起高度關注。</p> <p>美國知名保險公司Aflac指出，他們在6月12日發現其美國業務系統出現異常，隨即啟動資安應變程序，並在數小時內阻止入侵行動。Aflac強調，雖然本次事件對公司營運未造成明顯影響，各項保單、理賠及客戶服務仍持續運作，也沒有發現勒索軟體入侵，但部分檔案包含客戶、員工、受益人等個人敏感資訊，可能遭未授權存取。</p> <p>針對本次事件，Aflac雖未直接公開攻擊者身分，但表示這次入侵為近期特定網路犯罪集團，針對多家保險業者攻擊行動的一部分，因此外界普遍認為，攻擊者的身分就是Scattered Spider。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/06/qilin-ransomware-adds-call-lawyer.html">勒索軟體Qilin加入打電話給律師的功能，意圖向受害組織施加更多壓力</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/silver-fox-apt-uses-weaponized-medical-software/">中國駭客Silver Fox假借提供醫療照護軟體，針對公共設施而來</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/coinmarketcap-briefly-hacked-to-drain-crypto-wallets-via-fake-web3-popup/">加密貨幣價格追蹤網站CoinMarketCap遭駭，攻擊者藉由彈出式視窗榨乾用戶錢包</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/wordpress-motors-theme-flaw-mass-exploited-to-hijack-admin-accounts/">WordPress佈景主題存在能挾持管理員帳號的漏洞，已有攻擊行動出現</a></strong></p> <p></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/ibm-qradar-siem-bug/">IBM修補旗下SIEM平臺QRadar，若不處理攻擊者有機會執行任意命令</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169658"><strong>【6月20日】北韓駭客BlueNoroff在Zoom視訊利用AI深偽技術對企業員工網釣</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169632"><strong>【6月19日】伊朗大型加密貨幣交易所Nobitex遭駭，駭客銷毀9千萬美元資金</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169611"><strong>【6月18日】AWS宣布IAM領域重大進展</strong></a></p> </div></div></div>
2025/6/23 16:40作者周峻佑https://www.ithome.com.tw/news/169683
GovTech月報第42期：行政院規畫AI新十大建設，4年將投入1,900億元發展AI、量子科技、矽光子等技術；美國F…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0517~0620)</span></p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">基礎建設</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><span style="font-size:22px;"><strong>政府規畫AI新十大建設，涵蓋主權AI、智慧機器人、量子電腦等領域</strong></span></p> <p>行政院長卓榮泰近期在一場活動透露，行政院正規畫AI新十大建設，分別由國發會、國科會規畫，預期4年將會投入1,900億元預算，AI新十大建設包括加速國內AI基礎建設，並發展主權AI、智慧機器人、量子電腦等新興技術。</p> <p>AI新十大建設包括六大基礎建設及四大技術領域；基礎建設方面，包括建置超級電腦、雲端資料中心，大幅提升我國自有的AI運算資源，以支援政府或民間企業的需求，此外，也將強化資料治理及資安控管，確保技術發展及資訊安全保護。政府也會推動AI軟體產業發展，以協助交通、醫療、教育等產業導入AI技術的轉型發展。</p> <p>技術方面，聚焦在新興的前瞻技術，由國科會規畫，涵蓋主權AI、智慧機器人、量子科技、矽光子，其中智慧機器人以製造及日常生活應用場域為主；主權AI則以推本土大語言模型及關鍵技術的發展，降低對國外技術的依賴；至於量子科技則是結合半導體及光電技術，推動新的運算架構發展；矽光子則是推動低能耗、高效能AI晶片發展的關鍵技術。</p> <p>AI新十大建設預計在今年7月將會送交行政院，目標是在2040年能帶動15兆元產值，創造50萬個就業機會。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">FDA</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><span style="font-size: 22px;"><strong><span id="docs-internal-guid-e7588a07-7fff-dd8c-b3a3-1b9e6d72e090"><span style="font-family: Arial, sans-serif; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; font-variant-emoji: normal; vertical-align: baseline; white-space-collapse: preserve;">美國FDA用AI工具加快藥物審查速度</span></span></strong></span></p> <p>美國食品藥物管理局FDA近期部署生成式AI工具Elsa，以加速臨床試驗方案以及藥物核准申請的審查流程。</p> <p>Elsa為以大型語言模型為基礎的AI工具，可以協助閱讀、寫作生成內容、摘要，或是根據不良紀錄來產生安全評估報告，或是進行標籤化的分析比較，以及用於生成程式碼，加速非臨床應用的資料庫開發，換言之，FDA希望透過AI工具來提升營運效率。</p> <p>FDA指出，目前已利用Elsa在加速臨床試驗方案的審查，用於縮短科學評估所需要的時間，並能識別高優先性的檢查目標，根據驗證，可在6分鐘內完成原本需要花費2至3天的工作任務。過去，FDA收到藥物核准申請，約需6到10個月審查時間，採用Elsa得以大幅加速審查流程。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">台電</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">智慧用電</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><span style="font-size:22px;"><strong>台電導入AI技術推出智能客服及App住宅用電分析服務</strong></span></p> <p>身為國營事業，台電積極導入AI技術，近期展現該公司推動AI應用成果，包括推出台電智能AI客服，提供民眾24小時電費繳納結果、查詢停復電情形，還在App提供住宅用電分析服務。</p> <p>台電是從2024年開始，導入AI技術升級客服系統，目前台電智能AI客服可提供民眾24小時查詢電費繳納情形、停復電情形、反詐騙，並解答用戶在用電上的一些疑問，迄今使用已超過10萬人次。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/_Image.jpg" style="width: 600px; height: 366px;" /></p> <p>另外，國內推動智慧電表，截至今年3月為止，全國已安裝數已突破350萬具智慧電表，一天就能產生超過3億筆用電大數據，台電利用AI模型演算法，在台電App提供用電戶服務，例如推算家中冷氣、冰箱等家電用電占比及度數的「住宅用電分析」，以及衡量每天用電習慣、視覺化呈現的「用電作息指標」，讓用電戶可以瞭解自己的用電情形。</p> <p>台電內部也推動生成式AI應用，例如去年開始推動的行政文書助理、程式開發助理等生成式AI工具，舉辦教育訓練鼓勵員工應用新科技，還在內部打造台電版GPT，稱為ChatTPC，作為AI助理，協助快速查找資料、歸納工作重點。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">國防</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><span style="font-size:22px;"><strong>美國防部與Open AI合作，將用AI改善行政流程、作業效率</strong></span></p> <p>美國國防部近期宣布已與Open AI簽約，將利用AI改善國防部行政作業流程及效率，以支援戰爭或企業的國家安全挑戰。</p> <p>美國國防部是由位於華盛頓特區的國防部長辦公室的數位暨人工智慧辦公室與Open AI簽約，該份價值2億美元的合約，委託Open AI負責開發具有人工智慧能力的原型，以應對戰爭或企業領域的國家安全議題，主要在華盛頓特區進行，預計2026年7月完成。</p> <p>Open AI表示，該合作將探討前瞻的AI如何改善國防部的行政運作效率，例如優化軍人與眷屬就醫流程，簡化國防部計畫與資料管理，支援主動式網路防禦，這項合作均在OpenAI的使用政策及準則，即禁止AI用於開發及使用武器。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">加密貨幣</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">區塊鏈</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><span style="font-size:22px;"><strong>烏茲別克試辦基於區塊鏈的HUMO代幣，降低即時交易成本</strong></span></p> <p>烏茲別克近期推動數位資產，以試點發行的方式推出由政府債券支持的HUMO代幣，利用區塊鏈技術，將傳統的政府主權債券予以數位化，盼以創新的方式吸引國外資金，提高金融交易的透明度，以及降低交易的成本。</p> <p>HUMO代幣的推出是運用區塊鏈技術，一方面提高透明度，並籍此降低成本，以吸引國外資金，同時也能打擊影子經濟，代幣將在EVM及Tycho協議上運作，以建立高效率及可擴展性，並且整合烏茲別克已有3,500萬使用者的HUMO支付系統，作為推動HUMO代幣的基礎。</p> <p>近幾年烏茲別克一直積極推動區塊鏈、加密貨幣發展，該國在2018年就為加密貨幣交易提供合法化及稅收優惠，並設立Digital Trust國家區塊鏈發展基金，這次試辦HUMO代幣，讓該國在中亞地區的打造數位金融創新環境居於比較領先的地位。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位身分</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位皮夾</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><span style="font-size:22px;"><strong>行政院：駕照、畢業證書將於2025年納入數位憑證皮夾</strong></span></p> <p>我國推動數位公共基礎建設之一的數位憑證皮夾，目前正與多方合作進行沙盒實驗，近期行政院長卓榮泰表示，今年可望將駕照、畢業證書納入數位憑證皮夾，2025年完成系統測試及試辦。</p> <p>卓榮泰是在行政院召開青年諮詢委員會，應會中委員建議政府擴大數位憑證皮夾應用，卓榮泰允諾，將由數發部持續技術支援、個資保護措施，教育部、交通部配合規畫，以將畢業證書、駕照納入數位憑證皮夾，並以2025年完成測試及試辦為目標。</p> <p>卓榮泰指出，只要數位技術可行，就不需要紙本，但前題是必需確保個資保護及資通安全，同時提供民眾使用的選擇權利。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">無人機</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">科技救災</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><span style="font-size:22px;"><strong>提升科技救災能量，嘉義縣加強消防人員使用無人機、消防機器人救災能力</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/unname.jpg" style="width: 600px; height: 450px;" /></p> <p>嘉義縣政府消防局近期加強科技救災能量，導入無人機、消防機器人協助救災工作，近期加強消防人員訓練，以熟悉利用無人機、消防機器人深入災害現場，提高救災工作效率及改善消防人員安全。</p> <p>其中無人機的救災工作，主要利用在災害現場，例如高溫難以靠近的火災現場，從空中拍攝火災現場的環境畫面，即時回傳現場影像，並利用無人機從空中，以鳥瞰的視角來搜尋災害現場的受困人員，供救災指揮人員制定救援決策。</p> <p>嘉義縣政府消防局近期也接受捐贈消防機器人，該機器人採用履帶移動設計，可代替消防人員深入火場，除了探測火場內部情形，協助定位受困者的位置，協助救援人員制定救援行動路徑，也能利用攜帶的水帶射水協助滅火。</p> <p> </p> <p>圖片來源／台電、嘉義縣政府</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多GovTech動態 </span></strong></span></p> <p><strong>1.歐洲衛星通訊業者Eutelsat擬增資，法國政府成最大股東</strong></p> <p><strong>2.行政院將設AI公務人才發展辦公室，加速公部門AI人才培育</strong></p> <p>資料來源：iThome整理，2025年6月</p> </div></div></div>
2025/6/23 18:37作者蘇文彬https://www.ithome.com.tw/news/169680
臺灣加密貨幣交易所幣託傳出5月遭遇攻擊事故，攻擊者身分是北韓駭客Lazarus
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>北韓駭客鎖定加密貨幣交易所的情況，已有不少研究人員揭露相關資安事故，但過往大多發生在國外，6月初<a href="https://x.com/zachxbt/status/1929417001296146868">臺灣加密貨幣交易所幣託（BitoPro）傳出遭駭</a>並得到<a href="https://www.bitopro.com/ns/announcements/1219">證實</a>，最近該公司<a href="https://www.bitopro.com/ns/announcements/1226">公布調查結果</a>。</p> <p>這起事故最早是由區塊鏈偵探ZachXBT於6月2日揭露，他指出幣託疑似在5月8日遭到攻擊，多個熱錢包出現異常資金外流，損失金額約為1,150萬美元，由於事發當下該公司<a href="https://www.bitopro.com/ns/announcements/1207">僅以臨時系統維護為由暫停加密貨幣加值和提領業務</a>，後續並未透露發生資安事故，ZachXBT認為幣託應出面說明。此消息引起加密貨幣社群高度關注，懷疑該公司想隱匿資安事故；<a href="https://www.ctee.com.tw/news/20250603700115-439901">金管會證券期貨局也證實此事</a>，要求幣託發布正式聲明說明，幣託才坦承在進行錢包系統升級與資產移轉作業的過程裡，舊熱錢包在調度資金過程遭到攻擊。不過，當時幣託僅強調用戶權益完全不受影響，並未透露其他細節。</p> <p>6月19日幣託發布公告，表示他們委託資安業者經過一個月的調查，確認攻擊者的身分是北韓駭客組織Lazarus，並指出攻擊手法與過往該組織針對銀行SWIFT系統進行非法轉帳，以及其他大型加密貨幣交易所竊取數位貨幣的事故相似。</p> <p>針對事故發生的過程，幣託表示駭客鎖定負責雲端業務的成員進行社交工程攻擊，在成功於電腦植入惡意軟體後，繞過該公司的防毒、端點防護，以及雲端安全檢測系統，駭客潛伏在此名員工的電腦，藉由觀察日常操作的行為，進而迴避資安人員的監控。最終挾持AWS連線階段（Session）的Token，而能繞過多因素驗證（MFA）機制，於該公司AWS環境與C2建立連線，並將惡意指令碼轉移到熱錢包主機。</p> <p>直到5月9日凌晨1時左右，駭客模擬合法交易行為啟動惡意指令碼，從熱錢包移轉加密貨幣，直到幣託的錢包水位監控系統偵測到異常並發出警示，資安團隊啟動應變機制並阻斷駭客行為。該公司第一時間進行相關檢查並重新建立錢包系統，後續於5月19日將熱錢包位址提供給區塊鏈去匿名化威脅情報平臺Arkham，目的是更新平臺水位與相關資料。</p> </div></div></div>
2025/6/23 16:18作者周峻佑https://www.ithome.com.tw/news/169681
Uber資料服務Scaled Solutions更名Uber AI Solutions，新增資料工廠與代理人AI服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.businesswire.com/news/home/20250620173883/en/Uber-Expands-AI-Data-Platform-to-Power-Next-Gen-Enterprise-and-AI-Lab-Needs" target="_blank">Uber上周五（6/20）宣布</a>擴展其AI資料服務業務，藉由Uber AI Solutions來支援全球的AI實驗室與大型企業，除了基本的資料蒐集、標註、測試及本土化之外，並提供資料工廠（Data Foundry）及代理人AI（Agentic AI）等新服務。外界猜測，Uber的大動作與<a href="https://www.ithome.com.tw/news/169561" target="_blank">Scale AI被Meta半收購</a>有關。</p> <p><a href="https://www.uber.com/us/en/scaled-solutions/" target="_blank">Uber解釋</a>，隨著該公司每天支援超過3,300萬次的行程與外送服務，亦同時在產品、平臺、AI及ML上進行創新，打造了一個世界級的技術平臺，以滿足自己在資料標註、測試及本土化上的各種需求，並將它提供給其它客戶。</p> <p>Uber是在2023年年底推出名為Scaled Solutions的B2B資料服務業務，主要提供資料標註、測試及本土化服務，並已於30個國家提供服務，上周的宣布等於將該服務更名為Uber AI Solutions。</p> <p>邁入Uber AI Solutions階段之後，原本的服務被稱為全球數位任務平臺（Global Digital Task Platform），它連繫了全球各領域的專家來註釋與編輯資料內容；另有新的資料工廠可提供現成或客製化的多模態資料集，以用來訓練大型語言模型、視覺模型與多模態模型；還可利用高品質的標註資料、模擬環境及任務流程，以及對多語言的支援等，協助客戶訓練AI代理人。</p> <p>Uber AI Solutions的服務內容與服務對象，類似日前才被Meta半收購的Scale AI。2016年創立的Scale AI主要提供資料標註及模型評估服務，標榜可透過精準的資料服務加速AI模型的落地應用，在日前的收購消息中，Scale AI僅承認收到了Meta的「重大」（Significant）投資，讓該公司的估值達到290億美元，以及共同創辦人暨執行長Alexandr Wang將加入Meta，並未透露其它數字，但外傳Meta支付近150億美元的金額取得29%的Scale AI股份。</p> <p>該消息讓<a href="https://www.ithome.com.tw/news/169564" target="_blank">Google</a>與<a href="https://www.ithome.com.tw/news/169629" target="_blank">OpenAI</a>都決定終止與Scale AI的合作，凸顯大型AI開發者對資料供應中立性與資訊安全的高度重視，而紛紛尋求替代方案，也讓Uber AI Solutions等業者有機會填補市場空缺。</p> </div></div></div>
2025/6/23 16:49作者陳曉莉https://www.ithome.com.tw/news/169684
Meta發表新款AI眼鏡Oakley Meta Glasses
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Meta上周發表了<a href="https://about.fb.com/news/2025/06/introducing-oakley-meta-glasses-a-new-category-of-performance-ai-glasses/" target="_blank">新款的AI眼鏡Oakley Meta Glasses</a>，這是Meta與知名眼鏡集團EssilorLuxottica所合作的第三款AI眼鏡，首款是2021年的<a href="https://www.ithome.com.tw/news/146641" target="_blank">Ray-Ban Stories</a>，接著在2023年推出<a href="https://www.essilorluxottica.com/en/newsroom/stories/introducing-ray-ban-meta/" target="_blank">Ray-Ban Meta</a>，Oakley Meta Glasses則是與EssilorLuxottica旗下的運動風眼鏡品牌Oakley合作。</p> <p>Meta表示，雙方第一款針對運動員及粉絲的產品為<a href="https://www.meta.com/tw/ai-glasses/oakley-meta-hstn/" target="_blank">Oakley Meta HSTN</a> ，定位為功能性AI（Performance AI）眼鏡。</p> <p>Oakley Meta HSTN內建可拍攝3K影片的攝影機，採用開放式耳機（Open-ear Speaker），一般使用的電池續航力為8小時，加上充電盒可使用48小時，整合了Meta AI以回答天氣問題，或是以語音開啟攝影機，具備IPX4防潑水能力，限量版將在7月11日開放預購，售價499美元，其它版本會在今年夏末以399美元上市，首波將在十幾個美洲及歐洲國家推出，並未揭露是否會進入包括臺灣在內的東南亞市場。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0623-AI%20glasses%20by%20Oakley%20Meta.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Meta</span></span></p> <p>EssilorLuxottica解釋，Oakley Meta結合了Meta的AI技術，以及Oakley的開創性設計與PRIZM運動鏡片，屬於新的高性能AI眼鏡系列，Oakley Meta HSTN是該系列的首款產品，提供6種鏡框與鏡片的組合，亦支援處方鏡片。</p> <p>Oakley Meta HSTN在畫質及電池都優於上一代的Ray-Ban Meta，Ray-Ban Meta的畫質只有1080p，電池續航力是4小時。</p> <p><a href="https://www.essilorluxottica.com/en/newsroom/press-releases/q4-full-year-2024-results/" target="_blank">根據EssilorLuxottica去年第四季的統計</a>，Ray-Ban Meta自2023年10月上市以來，總計已售出200萬支，為全球銷量第一的AI眼鏡。</p> </div></div></div>
2025/6/23 14:40作者陳曉莉https://www.ithome.com.tw/news/169677
美國保險業者Aflac遭駭，疑Scattered Spider駭客組織所為
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國知名保險公司Aflac發現其美國業務系統出現異常，隨即啟動資安應變程序，並在數小時內阻止入侵行動。Aflac<a href="https://newsroom.aflac.com/2025-06-20-Aflac-Incorporated-Discloses-Cybersecurity-Incident">強調</a>，雖然本次事件對公司營運未造成明顯影響，各項保單、理賠及客戶服務仍持續運作，也沒有發現有勒索軟體入侵，但部分檔案包含客戶、員工、受益人等個人敏感資訊，可能遭未授權存取。</p> <p>Aflac正與第三方資安專家合作，釐清受影響範圍，並對受影響對象提供24個月信用監控、身分盜用保護和醫療資訊保障。</p> <p>Aflac公告指出，駭客疑似利用社交工程手法取得網路存取權限，進而存取內部檔案。由於詳細調查仍在進行，公司尚無法確定實際受影響人數及資料範圍，Aflac也表示，會持續向外界更新事件進展，與監管單位及利益相關人溝通，並配合調查以及檢討現有資安措施。</p> <p>針對本次事件，Aflac雖未直接公開攻擊者身分，但表示這次入侵為近期特定網路犯罪集團，針對多家保險業者攻擊行動的一部分，因此外界多認為是國際駭客組織Scattered Spider（UNC3944）所為。根據現隸屬Google雲端威脅情報團隊的Mandiant發布的<a href="https://cloud.google.com/blog/topics/threat-intelligence/unc3944-sms-phishing-sim-swapping-ransomware/">分析</a>，Scattered Spider從2023年起便積極針對金融服務、零售、電信等產業下手，經常以社交工程手法取得企業內部存取權限，進一步滲透系統，並竊取高價值個資。</p> <p>Mandiant研究人員John Hultquist近期針對美國保險業<a href="https://x.com/JohnHultquist/status/1934676290629423329">發出警訊</a>，提醒該產業已成為新一波社交工程攻擊的重要標的。Mandiant<a href="https://cloud.google.com/blog/topics/threat-intelligence/unc3944-proactive-hardening-recommendations">建議</a>，企業除持續落實資安監控與異常存取偵測外，應提升內部員工資安意識，並針對外包團隊、客服中心等高風險單位實施嚴格權限控管，減少人為疏失帶來的潛在資安風險。</p> </div></div></div>
2025/6/23 13:58作者李建興https://www.ithome.com.tw/news/169675
人類AI評估系統Yupp上線，可測試逾500個大型語言模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>去年成立的AI新創<a href="https://yupp.ai/" target="_blank">Yupp日前正式推出人類評估系統</a>，邀請使用者協助評估全球逾500個大型語言模型，包括ChatGPT、Claude、Gemini、DeepSeek、Grok及Llama 等，也涵蓋了必須付費訂閱的各種Pro與Max模型，並根據使用者的回饋制定<a href="https://yupp.ai/leaderboard" target="_blank">Yupp AI VIBE（Vibe Intelligence BEnchmark）排行榜</a>。</p> <p>曾於Twitter共事的Pankaj Gupta與Gilad Mishne是在2024年6月共同創立了Yupp，當時獲得了由Andreessen Horowitz（a16z）領投的3,300萬美元的種子資金，也有超過40名科技業的天使投資人參與，包括Twitter共同創辦人Biz Stone、Google首席科學家Jeff Dean、Perplexity AI 執行長Aravind Srinivas，以及Coinbase法務長Paul Grewal等。</p> <p>當使用者在Yupp上問問題時，系統會提供兩個不同模型的答案供使用者比較，並列出優、劣原因供使用者勾選，亦允許使用者直接輸入意見，回答後系統就會出現「積分刮刮樂」，讓使用者刮出積分，這些積分可用來持續使用模型，或是用來兌換加密貨幣及法幣，目前新註冊的使用者可直接獲得5,000積分。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0623-yupp-2.jpg" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Yupp</span></span></p> <p>系統所提供的模型可能是隨機的、符合提示需求的、匿名的，但使用者也可指定特定模型來回答，一個問題最多可測試6個模型，但如果一直問問題卻不提供比較結果，就可能會被系統踢出去。</p> <p>Yupp執行長Gupta說明，該平臺透過Yupp積分運作，每個人在註冊時都會收到積分，以用來使用各種AI模型，也會因為回饋而獲得積分，回饋的品質愈高，積分就愈多；使用者的提示永遠是私密的，除非使用者選擇對外分享。</p> <p>Gupta表示，回饋有助於打造個人化AI，也可幫助AI社群建置更好的模型。來自一個用戶的意見或許不夠可靠，但凝聚全球數百萬用戶的資料便會產生強大的訊號，讓AI模型供應商可以使用這些訊號來改善它們的系統及代理人。</p> <p>至於Yupp AI VIBE提供了使用者最喜愛的模型、最快的模型、最好的低價模型、最好的開源模型、最好的圖像生成模型、最好的推理模型、最好的即時模型、最好的文字模型，以及最常被否決的模型的列表供外界參考。</p> </div></div></div>
2025/6/23 12:06作者陳曉莉https://www.ithome.com.tw/news/169673
研究人員揭露160億筆帳密資料外洩，疑透過竊資軟體收集、拼湊而成
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>大型個資資料庫不設防而任人存取的情況頻傳，其中一起是<a href="https://www.ithome.com.tw/news/169435">疑為中國政府持有</a>，內含微信、居住地址、金融財務資料等16種精心收集的資料，資料量超過40億筆，很可能是為了監控中國民眾而設，更引起我們注意的地方，是其中有專門針對臺灣而來的資料收集，因此，這樣的情況臺灣民眾也可能無法置身事外。</p> <p>如今又有大量收集並進行整理的個資曝光，且疑似涵蓋各式各樣應用程式與網路服務的帳號密碼資料，引起全球各界高度關注及恐慌。</p> <h3><b>涵蓋常見的網路服務與應用程式帳密</b></h3> <p>上週資安新聞網站Cybernews揭露<a href="https://cybernews.com/security/billions-credentials-exposed-infostealers-data-leak/">近160億筆帳密資料外洩事故</a>，這些資料來自30個公開的資料庫，每個資料庫內含數千萬至35億餘筆記錄，來源疑似是透過竊資軟體（Infostealer）收集而得。這項消息一出，引起許多資安專家提出警告，呼籲用戶最好儘速更換Google、臉書、Apple等各項網路帳號的密碼，並啟用雙因素驗證，因為上述曝光的外洩資料很有可能遭到濫用，駭客一旦取得，就有機會存取使用者各式帳密，進而用於接管帳號、竊盜身分，以及針對性網釣攻擊。</p> <p>Cybernews特別提到，經過他們的檢查，這些資料應該是新的，而非從過往的資料外洩事故彙整而成。這些資料大多之前未曾被公開，僅有一個有1.84億筆帳密的資料庫例外──架站教學網站Website Planet資安研究員Jeremiah Fowler<a href="https://www.websiteplanet.com/news/infostealer-breach-report/">於6月初揭露</a>，當時他提到此無密碼保護的資料庫大小為47.42 GB，帳密資料數量為184,162,718筆，內容包含微軟產品、臉書、Instagram、Snapchat、Roblox，以及電子郵件供應商等各式服務的帳密資料。</p> <p>值得留意的是，Cybernews也提及這些資料庫曝光的時間並不長，大部分的資料庫能透過Elasticsearch或物件儲存實體存取，但無法識別資料庫的所有者身分。雖然資料數量過於龐大，研究人員無法對不同資料庫的內容進行比對，因此他們無法確認有多少重覆資料，但研究人員指出大部分的資料遵循著相當固定的結構，依序是：URL、登入資訊、密碼，而這也是竊資軟體彙整偷到資料最常見的格式。</p> <p>針對這批資料的發現，Cybernews研究員Aras Nazarovas認為很有可能是網路犯罪份子共用竊得資料的方式出現變化，過往駭客很可能會選擇使用Telegram群組來進行，但現在他們偏好透過資料庫集中管理竊得的資料。</p> <h3><strong>疑為結合新舊資料拼湊而成</strong></h3> <p>不過，對於這些資料的解析，有研究人員提出不同的看法。<a href="https://www.infostealers.com/article/16-billion-credentials-leak-a-closer-look-at-the-hype-and-reality-behind-the-massive-data-dump/">資安業者Hudson Rock指出</a>，根據他們的統計資料，平均每臺遭竊資軟體感染的電腦會被偷走50組帳密資料，換言之，Cybernews揭露的這批資料，駭客必須在3.2億臺電腦植入竊資軟體才能取得。但這樣的感染規模與全球實際受害情況相比多上不少，顯得不切實際，因此，Hudson Rock推測這批資料不僅有許多重覆，還有過時資料，甚至可能有人工產生的內容。</p> <p>Hudson Rock也指出另一項觀察佐證他們的推測，那就是在這批資料當中，他們發現有舊版竊資軟體的事件記錄檔案，以及舊資料庫外洩的內容，而且，部分帳密資料已存在多年，多次於暗網出現，但實際上早已不再有效，也就是說，這批資料有一部分攻擊者根本無法使用。</p> <p>雖然這次Cybernews揭露的資料外洩，放大了竊資軟體帶來的威脅而造成恐慌，但也突顯此種惡意軟體的危險性不容忽視，因此Hudson Rock還是呼籲企業要採取行動加強防範，這些措施包括：監控帳號活動、導入多因素驗證（MFA），以及定期稽查VPN、網頁郵件系統、Jira等用戶存取的管道，來因應竊資軟體橫行的現象。</p> </div></div></div>
2025/6/23 11:19作者周峻佑https://www.ithome.com.tw/news/169666
Minecraft遊戲玩家遭到鎖定，駭客假借提供修改工具竊取帳密資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客鎖定遊戲玩家的情況不時有事故傳出，最近有一起專門針對知名遊戲Minecraft玩家的攻擊行動，引起研究人員高度關注。</p> <p>資安業者Check Point揭露<a href="https://research.checkpoint.com/2025/minecraft-mod-malware-stargazers/">專門鎖定Minecraft玩家的多階段攻擊行動</a>，駭客使用名為Stargazers Ghost Network惡意軟體分派服務（Distribution as a Service，DaaS），假借Oringo和Taunahi等Minecraft修改模組（Mod）散布惡意軟體，從而竊取電腦機敏資料。</p> <p>特別的是，駭客的第一階段惡意程式下載工具與第二階段的竊資軟體存在共通點，它們都是以Java打造而成，而且必須倚賴受害電腦的Minecraft遊戲主程式才能運作。第三與最終階段的惡意程式皆為.NET竊資軟體，原因是駭客開發了額外的功能。</p> <p>研究人員從今年3月開始發現專門鎖定Minecraft玩家的惡意GitHub儲存庫，這些儲存庫存放Java下載工具，而且防毒引擎都不會將這些工具視為有害。而這些儲存庫都號稱提供Minecraft修改工具，並擁有許多用戶給星星而看起來像是合法。</p> <p>這些儲存庫都存放了惡意JAR檔案，駭客將其命名稱作弊或是自動化工具。研究人員將這些JAR檔案上傳惡意軟體分析平臺VirusTotal，結果沒有防毒引擎察覺有異。</p> <p>針對惡意軟體的感染流程，在使用者依照指示下載並安裝JAR檔案之後，一旦他們開始執行Minecraft，此作弊模組就會下載第二階段的竊資軟體，而後該惡意程式又會下載另一個.NET竊資軟體，但為何駭客要先後使用兩個不同的竊資軟體，研究人員並未說明。</p> <p>附帶一提，駭客為了防範研究人員分析，這些修改模組執行的過程裡，會先偵測受害電腦的環境當中，是否存在VMware、VirtualBox、KVM、QEMU等虛擬機器相關元件，以及Wireshark、TCPView等網路分析工具，若是發現有這些軟體，修改模組就會終止運作。</p> <p>對於攻擊者的身分，研究人員表示他們掌握的資訊並不多，但駭客不僅在部分檔案使用俄文，所有檔案的提交都來自UTC+3時區，因此研究人員研判攻擊者可能來自俄羅斯。</p> </div></div></div>
2025/6/23 10:00作者周峻佑https://www.ithome.com.tw/news/169665
蘋果傳洽談收購Perplexity AI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bloomberg.com/news/articles/2025-06-20/apple-executives-have-held-internal-talks-about-buying-ai-startup-perplexity" target="_blank">彭博報導</a>，蘋果高層內部曾討論收購新創公司Perplexity AI來加速改造AI語音助理Siri。</p> <p>報導指出，參與討論的蘋果高層包括併購業務主管Adrian Perica和服務部門主管Eddy Cue。但蘋果的討論還在很初期，也可能最後不會有任何行動。</p> <p>但是這些討論反映了蘋果對提升AI能力的渴望。儘管蘋果過去致力改造其AI助理Siri，但始終無法端出有效成果。目前Siri已經遠落後新型態的AI聊天機器人如OpenAI ChatGPT或Google Gemini，迫使蘋果的Apple Intelligence只能提供讀寫協助和製作表情符號等簡單功能，手機搜尋只能和ChatGPT合作。</p> <p>另一個原因是看上Perplexity的技術，Perplexity AI提供允許用戶以AI聊天機器人進行網頁搜尋的方案，經過5月份的最新一輪募資，<a href="https://www.cnbc.com/2025/05/12/perplexity-funding-round-comet.html" target="_blank">現在市值高達140億美元</a>。長久以來，蘋果不論在macOS或是iOS平臺都是綑綁Google搜尋，然而現在Google與瀏覽器如Firefox、Safari的預設合作已經引起美國及歐盟政府的嚴審。若能取得Perplexity的搜尋，將可立即補足蘋果在搜尋能力的欠缺，並取代引發法律爭議的Google搜尋。</p> <p>蘋果計畫收購Perplexity AI的傳聞，也使其成為最新一家加入AI人才收購競賽的大廠。Google和Meta相繼以acqui-hire方式投資<a href="https://www.ithome.com.tw/news/164285" target="_blank">Character.AI</a>和<a href="https://www.ithome.com.tw/news/169561" target="_blank">Scale AI</a>。另外，<a href="https://www.theverge.com/command-line-newsletter/690720/meta-buy-thinking-machines-perplexity-safe-superintelligence" target="_blank">媒體報導</a>Meta還計畫收購前OpenAI技術長Mira Murati成立的Thinking Machine、OpenAI創辦人Ilya Sutskever設立的Safe Superintelligence，以及Perplexity AI等。</p> </div></div></div>
2025/6/23 08:23作者林妍溱https://www.ithome.com.tw/news/169667
Cloudflare阻擋一波流量達7.3Tbps的史上最大DDoS攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blog.cloudflare.com/defending-the-internet-how-cloudflare-blocked-a-monumental-7-3-tbps-ddos/" target="_blank">內容遞送網路暨域名服務業者Cloudflare 5月阻擋了一次7.3Tbps的分散式阻斷服務攻擊</a>，再破史上最大流量紀錄。</p> <p>這波攻擊發生在5月中，7.3Tbps的流量也破了Cloudflare<a href="https://www.ithome.com.tw/news/168679" target="_blank">第一季才剛公布的</a>6.5Tbps的史上最大攻擊紀錄。</p> <p>5月中的DDoS攻擊對象為Cloudflare一家主機代管客戶，歷時45秒。這波攻擊總流量為37.4 terabytes，在今天看來並非最大規模，但考慮到它是集中在45秒內就十分驚人，等於在不到一分鐘內串流了高達7,480小時、或9,350多部HD高解析度影片的資料量，或是935萬首歌曲、1,250萬張高解析度相片。</p> <p>當這波攻擊發生時，平均每秒轟炸了這家代管業者單一IP位址使用的21,925個目的地通訊埠，最高峰更轟炸了34,517個通訊埠。其中99.996%的攻擊流量為UDP flood，剩下0.004%約1.3GB的流量包含QOTD反射攻擊、Echo反射攻擊、NTP反射攻擊、Mirai UDP flood攻擊、Portmap flood和RIPv1放大攻擊等多種攻擊管道，其中以前二種最多，各佔超過33%。</p> <p>Cloudflare也提供了這些攻擊管道的防禦方法。</p> <p>從來源地區分，12多萬個攻擊流量IP位址分布161國，其中巴西和越南各約1/4，而1/3來自臺灣、中國、印尼、烏克蘭、烏拉圭、泰國、美國及沙烏地阿拉伯總和。5,400多個來源網路中，Telefonica巴西及越南Viettel集團分別佔10.5%及9.8%，臺灣中華電信也貢獻了約2.9%。</p> </div></div></div>
2025/6/23 08:43作者林妍溱https://www.ithome.com.tw/news/169668
玉山銀行四階段導入Policy as Code，打造具彈性、共創的治理機制
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>玉山銀行智能金融處（簡稱玉山智金處）在去年將整套AI的開發流程遷移上雲，開發人員開始能在雲端平臺自行宣告並建立資源，不再像以往需要等待平臺團隊、耗時3到5天協助架設環境。上雲後，雖然為開發人員帶來更大的自主性，提升不少開發效率，卻也帶來新的挑戰——治理責任不再集中於平臺團隊，而是擴張到每位開發人員。</p> <p>這個轉變，讓玉山智金處更加體認到清楚定義邊界的重要性，包括詳細定義命名規範、安全性措施、加密限制等規範。因為當邊界設立明確，開發人員才能在範圍內自由宣告資源。然而，這些規範多半分散在跨團隊的各式文件中，導致負責審核的技術團隊主管或資深工程師，往往需要仰賴記憶、經驗或印象來審視每段程式碼。合規的重擔集中在他們身上，長期下來，也增添了不少人員壓力。</p> <p>為了解決這項問題，玉山智金處導入了政策即代碼（Policy as Code,PaC），來自動化審核流程。在今年DevOpsDays Taipei活動上，玉山銀行智能金融處副主任工程師、DevOps 團隊成員吳明倫揭露了他們的作法。「當基礎建設走向去中心化，治理就不能再靠記憶與默契。」吳明倫說，這正是他們決定導入PaC的關鍵原因。</p> <h3>PaC適用的三大場景</h3> <p>吳明倫點出，PaC適合用來協助開發團隊落實三類規範，分別是硬限制、軟規範，和業務規則。</p> <p>硬限制大多泛指組織內部針對基礎設施層設置的限制，包括網路VPC、防火牆設定，或整個組織層級的政策限制等，「這些限制要求開發人員在宣告資源時要遵循特定規則，才能正常使用服務。」吳明倫以過往經驗解釋，曾有開發人員啟動虛擬機後，看似順利完成部署，卻在後續發現系統無法安裝套件。原因是，後端的服務白名單並未開通開發人員選用的作業系統，最終，開發人員只能將整臺機器砍掉重建，「這就是被硬限制擋住。」吳明倫說。</p> <p>軟性規範指的是組織內部的命名原則或標籤制度，對單一工程師或團隊來說，可能不會帶來直接影響。然而，若組織成員並未遵守這些規範，將大幅增加治理成本。例如，在進行帳單分類或建立自動化維運機制時，若未統一命名，就容易產生管理混亂問題，和執行上的困難。</p> <p>第三類規範則是業務規則，這些規則是由團隊根據業務需求訂定的標準。以玉山智金處為例，ML團隊可能會要求開發人員須在資料表上標註資料上游，或是在訓練任務中註記對資料中心的負載量。</p> <h3>蒐集初始政策、四階段導入PaC</h3> <p>玉山智金處是如何一步步在組織內導入PaC？第一步，是要先蒐集政策。</p> <p>吳明倫表示，玉山智金處原先即採用集中化的 CI/CD 流程，協助開發人員將AI模型快速部署為服務，因此，平臺團隊在導入PaC時，只需在既有流程前加上一層檢查機制，「但困難的是，第一批政策要從哪裡來？」</p> <p>玉山智金處從三個方向著手建立第一批政策。除了透過開源社群取得現成的檢查工具，他們也訪談了內部治理角色，包括上雲管理小組、SRE團隊與平臺團隊等，彙整治理人員在現行開發流程中發現的痛點，並轉化為政策。最後，他們也回頭檢視既有CI/CD流程中的可觀測性數據，從過往部署失敗的案例中歸納常見問題，進一步轉化為政策，希望藉此降低開發人員的出錯機率。</p> <p>第二步，是以漸進式的方式導入PaC。玉山智金處用四階段慢慢導入PaC。</p> <p>第一階段是探索期，並不是直接套用規範，而是先建立一套能收集、驗證PaC的機制。具體作法是，在既有的CI/CD流程前加上一層PaC掃描機制，並蒐集一些可建立的政策。到了第二階段，才開始啟動PaC機制。這個階段稱為無感期，當開發人員使用CI/CD過版時，背後其實已經啟用了PaC掃描機制，但開發人員不會收到任何提醒或阻擋的訊息。吳明倫解釋，由於部分政策來自開源社群，未必適用於組織採用的架構，因此，無感期的目的，是要檢視現有蒐集的政策是否適合組織運作。</p> <p>第三階段，則是進入適應期。在這個階段，若開發人員在過版過程中違反政策，系統會出現提示。但是，系統不會中斷部署流程，「目的是希望讓開發人員開始習慣過版過程中的PaC檢查。」吳明倫說。最後一個階段則是落實期，規範正式上線，平臺能自動協助開發人員進行規範檢查。</p> <h3>建立Suppress機制，創造治理的彈性空間和回饋機制</h3> <p>不過，當PaC機制正式上線後，開發人員就會買單了嗎？當系統發生異常，開發人員需要緊急修正，卻被PaC攔截，平臺團隊就得面臨要堅持執行政策，或是短暫通融的兩難。若選擇前者，可能影響團隊氣氛；選擇後者，雖能維持關係，卻容易不斷累積技術債。甚至，每次緊急情況發生，都可能重演同樣戲碼，長期下來，PaC機制也難以真正落地。</p> <p>面對這個典型情境，吳明倫強調，建立Suppress機制，是讓PaC可以成功落地的關鍵。他解釋，Suppress是一種能在Terraform或IaC程式中加入的特定格式註解，平臺人員可以填寫略過的政策編號和理由，例如架構限制或緊急修正（Hotfix）。這段註解經過人工核准後，PaC機制在執行特定條件時，便會自動略過對應的檢查，並將相關說明紀錄在過版軟體中。如此一來，組織內就能建立一套較彈性的PaC機制。「我們要保留彈性空間，但不應該由人去開後門，而是透過正規流程、留下紀錄、通過適當的審核機制後，最後由PaC識別。」吳明倫說。</p> <p>除了提供彈性空間，吳明倫認為，Suppress機制也能創造回饋機制。對開發團隊主管而言，他們能根據Suppress跳過的政策，來進一步檢視團隊既有的技術架構是否適當。對平臺團隊而言，若同時有多個團隊跳過同一條政策，他們也能回頭檢視、調整既有政策。</p> <h3>讓PaC機制可由開發團隊訂定政策</h3> <p>不只要讓PaC機制作為一套管制工具，玉山智金處更期望開放所有開發人員自主制定團隊政策。吳明倫解釋，相較於平臺團隊，開發人員每日與IaC實際互動，更能產出高品質的政策。他提到，當開發團隊擁有自訂政策的空間，就能依照需求延伸出更貼近業務的規範，甚至，跨團隊在合作產出專案時，也能彼此交流團隊專屬規範，又或者，當某條團隊內部的政策解決了跨團隊共通性痛點，也能讓整個組織一同受益。</p> <p>為了在PaC中加入這套架構，玉山智金處盤點所有PaC工具，最後選擇使用Checkov。吳明倫解釋，玉山智金處有八成以上成員為ML工程師，最熟悉的語言是Python，因此，他們選擇使用能以Python定義政策的PaC工具，來讓所有開發人員都能實踐這套機制。</p> <h3>導入PaC的三大效益</h3> <p>導入PaC後為玉山智金處帶來了三個效益，第一，是減輕審核人員的負擔。吳明倫表示，透過自動化檢查，審核人員只需要專注檢視程式的核心邏輯，而不需要在每次過版時都耗時確認過程是否符合所有組織規範。再來，是提升開發人員經驗。當開發人員在部署時發生問題，可以透過視覺化報表，快速了解自己觸犯哪些規則，進一步解決問題。同時，這套機制也能協助降低開發團隊和平臺團隊之間的溝通成本。對新進的開發人員而言，導入PaC也能降低學習曲線，讓新人更快速熟悉組織內部規範。</p> <p>最後，吳明倫強調，「治理的關鍵不是限制，而是要讓好規則被實踐。」他提醒，導入PaC，是要讓規則變得說得清、改得動，「並不是單純設定一個規則，而是要設定變化的節奏。」例如設置Suppress機制，來創造彈性空間，同時建立協作和回饋機制，讓治理能持續演進。他也提到，設置PaC時，盡量不要讓規則專屬某一團隊，而是讓規則成為組織的共識。創造社群氛圍，才能讓治理更順暢運作。「重點不是控制，而是打造一個互相理解、協助的環境。」他說。</p> <p></p> </div></div></div>
2025/6/21 03:26作者李昀璇https://www.ithome.com.tw/news/169664
MIT研究顯示，習慣用AI寫文章會讓腦袋變笨
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.researchgate.net/publication/392560878_Your_Brain_on_ChatGPT_Accumulation_of_Cognitive_Debt_when_Using_an_AI_Assistant_for_Essay_Writing_Task" target="_blank">麻省理工學院（MIT）本月發表一篇研究報告</a>，比較了人類大腦在使用ChatGPT、搜尋引擎，以及完全不使用工具來進行寫作任務時，腦神經的活動狀態，發現長期依賴ChatGPT寫作，會削弱大腦神經網路的連結與參與程度。</p> <p>該研究名為《你的大腦與ChatGPT：使用AI助理進行論文寫作任務時的認知債務累積》（Your Brain on ChatGPT: Accumulation of Cognitive Debt when Using an AI Assistant for Essay Writing Task），有54名參與者被分成3組，一是使用ChatGPT的LLM組，二是使用Google的搜尋引擎組，三是沒有使用任何工具的Brain-Only組，他們在3個月內進行了3 次論文寫作任務，時間為20分鐘，撰寫基於SAT考試的文章。在第4個月執行第4次實驗時，原本使用LLM的被分配到只能使用大腦，而原本僅能用大腦的則被換到LLM組。</p> <p>在這過程中，研究人員利用腦波圖（Electroencephalography，EEG）裝置即時偵測參與者的大腦活動，評估他們的認知投入與認知負荷，也對這些文章進行自然語言處理（NLP）分析，並由人類教師與AI進行評分。</p> <p>結果發現，在前3次實驗中，同一組內的參與者在用詞習慣和主題選擇上高度相似，也就是說，只要屬於同一組，他們的寫作風格通常都很接近。從腦波圖來看，完全仰賴大腦的那一組大腦連結最佳、分布最廣，使用搜尋引擎的居中，使用LLM的大腦連結最弱，顯示認知活動會隨對工具的依賴程度而遞減。</p> <p>而在第4次實驗中，從LLM轉到大腦的參與者，其大腦出現較低的活躍度，不僅比不上只用大腦的那一組，也低於使用Google搜尋的那組；而從大腦轉至LLM的參與者，其大腦活動雖然略有下降，卻仍維持相對較高的神經參與度，而且寫作品質也提升了。</p> <p>這意謂著早期對AI的過度依賴可能會形成一種認知惰性，就算無法再使用AI，大腦也不容易快速恢復到最高的認知參與狀態；但若參與者在初期便建立了穩固的認知基礎與獨立思考能力，就算導入AI，他們也會把AI視為一個強化工具。</p> <p>此一研究由麻省理工學院媒體實驗室的腦機介面專家Nataliya Kosmyna主導。儘管尚未通過正式的同行評審，研究團隊認為結果具有重要啟示，因而選擇提前公開，盼能喚起外界對教育與認知領域可能過度依賴AI的關注。</p> </div></div></div>
2025/6/20 16:05作者陳曉莉https://www.ithome.com.tw/news/169663
新版NFC規格出爐感測距離擴大4倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://nfc-forum.org/news/2025-06-nfc-forum-announces-nfc-release-15/" target="_blank">NFC論壇本周發布NFC 15版規格</a>，將無接觸感測距離由0.5公分擴大為2公分，並可支援無線充電、數位支付以及產品永續利用等更多應用場景。</p> <p>NFC 15規格由Google、蘋果、華為、Sony、Infineon、NXP及意法半導體（ST Microelectronics）等公司擔任委員的NFC委員會主導並發展而成。</p> <p><a href="https://nfc-forum.org/nfc-release-15" target="_blank">根據NFC 15規格</a>，新版本最大更新是將支援的感測距離由現行0.5公分擴大到2公分，且連線速度更快，減少運作時的精準對齊需求。支援更長感測距離意謂連線更持久，可更早開始、失敗率較低，可提升NFC使用體驗且支援多種應用場景，像是以手機作為支付終端；這次更新可使Apple Pay、Google Pay等Tap to Pay應用更為方便。或是使用NFC裝置控制汽車、進出大眾運輸閘門和進出控管等，如以NFC裝置開啟車門或門鎖等。</p> <p>此外，新版NFC核心包含NFC數位產品護照（Digital Product Passport，DPP）標準，讓第三方產品業者有更彈性的框架，以NFC Data Exchange Format（NDEF）紀錄為格式，在單一NFC標籤中儲存和傳輸DPP，確保所有使用DPP的NFC裝置的相互操作性及相容性。這主要是因應歐盟法規，該法規要求記錄產品的生產、維修、材料、環境足跡等生命周期資訊，以促進回收、維修與再利用。利用NFC 15標籤儲存和互通DPP資料，可確保查詢相關資訊，像是刷NFC標籤可讀取衣服材料來源、產地，消費電子產品的維修紀錄、回收業可辨識產品組成，加速回收分類及減少危害物。</p> <p>NFC論壇的主要成員公司即日可下載<a href="https://nfc-forum.org/build/specifications" target="_blank">NFC Release 15的技術規格</a>。其他會員及大眾則可在今年秋天取得標準並開始驗證。</p> </div></div></div>
2025/6/20 14:30作者林妍溱https://www.ithome.com.tw/news/169659
歐洲衛星通訊業者Eutelsat打算增資13.5億美元，法國政府將成最大股東
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歐洲衛星通訊業者<a href="https://www.businesswire.com/news/home/20250619657170/en/Contemplated-Capital-Increase-of-%E2%82%AC-1.35-Billion-to-Secure-the-Execution-of-Eutelsat-Long-Term-Strategic-Vision-Anchored-by-the-French-State-and-Other-Reference-Shareholders" target="_blank">Eutelsat Group周四（6/19）宣布</a>，將在今年底前增資13.5億歐元，以加速建置低軌衛星（Low Earth Orbit，LEO），且這次法國政府將再度投入至少逾5億歐元，股份將從原本的13.6%增加至29.99%，成為Eutelsat的最大股東，且外傳英國政府亦有意入股。</p> <p>Eutelsat是在1977年成立於法國的衛星通訊公司，主要提供廣播及衛星通訊服務，強項是開發地球同步軌道衛星（GEO），<a href="https://www.ithome.com.tw/news/152147" target="_blank">它在2022年與專注於建置LEO寬頻衛星網路的英國公司OneWeb合併</a>，組成Eutelsat Group（或稱Eutelsat OneWeb）。當時Eutelsat與OneWeb便已分別獲得法國及英國政府的投資。</p> <p>Eutelsat Group把馬斯克（Elon Musk）旗下的SpaceX Starlink視為最大競爭對手，也號稱是全球低軌寬頻衛星領域的第二把交椅。然而，相較於Starlink衛星星座已擁有逾7,000顆LEO衛星，Eutelsat目前只有34顆地球靜止衛星，以及由超過600顆衛星組成的LEO衛星星座。</p> <p>此次的增資將用來加速OneWeb第二代衛星的建置，以及償還債務並提升現金流，<a href="https://www.ithome.com.tw/news/154340" target="_blank">呼應歐盟的IRIS主權衛星計畫</a>，鞏固自己成為歐洲主權連網供應商的角色。</p> <p>根據規畫，Eutelsat將以兩種方式展開增資，一是以每股4歐元的價格籌措7.16億歐元的儲備資本，並由法國國有資產管理機構APE、印度太空通訊業者Bharti Space Limited、法國航運巨頭CMA CGM及法國戰略投資基金FSP認購，二則是由現有股東增資的6.34億美元。其中，代表法國政府的APE將認購6.264億歐元。</p> <p>在這兩項交易之後，法國政府將會持有29.99%的股份，Bharti Space、CMA CGM與FSP則將分別持有18.70%、7.81%與5.22%等股份。</p> <p><a href="https://www.businesswire.com/news/home/20250515853090/en/Eutelsat-Communications-Third-Quarter-and-Nine-Month-2024-25-Revenues" target="_blank">根據Eutelsat截至今年3月底的季報</a>，該季創下3億歐元的營收，與去年同期相當，其中，影片營收為1.52億歐元，下滑6.4%，連結營收為1.49億歐元，成長2.7%。</p> <p>Eutelsat估計，未來該公司的LEO營收每年將可成長50%。</p> </div></div></div>
2025/6/20 14:50作者陳曉莉https://www.ithome.com.tw/news/169660
【資安日報】6月20日，北韓駭客BlueNoroff在Zoom視訊利用AI深偽技術對企業員工網釣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客利用深偽（Deepfake）冒充公司高管，藉由線上會議從事網路釣魚攻擊的情況近期再度出現，近期由北韓駭客BlueNoroff（TA444、Sapphire Sleet）鎖定一家加密貨幣組織發起的攻擊行動引起關注，駭客假借該公司高管的名義，引誘員工安裝惡意Zoom延伸套件。</p> <p>在其他資安事故的部分，另一組北韓駭客Kimsuky的攻擊行動、木馬程式藉由大型語言模型DeepSeek-R1散布，也相當值得留意；此外，本週Citrix為NetScaler設備修補兩項重大漏洞，IT人員也要儘速處理。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169650"><strong style="font-size: 22px;">北韓駭客在Zoom視訊用AI深偽技術對企業員工網釣，意圖散布macOS惡意軟體</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/bluenoroff-web3-intrusion.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/bluenoroff-web3-intrusion.png" style="width: 300px; float: right;" /></a></p> <p>駭客使用深偽（Deepfake）技術行騙的情況，最近幾年不時有事故傳出，從多年前假冒加密貨幣交易所幣安（Binance）高層、馬斯克等名人詐騙加密貨幣，到去年發生有跨國企業遭到Deepfake視訊會議詐騙損失2億港幣、資安業者LastPass員工遭到冒牌執行長視訊會議險些上當、北韓駭客利用相關技術在資安業者KnowBe4求職得逞，最近又有駭客試圖透過深偽從事相關攻擊，直到受害組織察覺異狀才東窗事發。</p> <p>資安業者Huntress揭露一起北韓駭客的攻擊行動，攻擊者的身分是匿稱為BlueNoroff、TA444、Sapphire Sleet、Copernicium、Stardust Chollima的駭客組織，他們鎖定Web3領域下手，針對Mac電腦用戶展開攻擊。</p> <p>接觸到誘餌的使用者是加密貨幣機構的員工，當時他從Telegram頻道收到駭客的訊息，對方引誘點選偽裝成Google Meet活動的連結，而該連結是透過線上會議排程工具Calendly建立，但這名員工依照指示點選後，就被重新導向到攻擊者控制的冒牌Zoom網域。數週後，這名員工參加了Zoom群組會議，視訊畫面出現多個深偽人物，模仿其公司高層與外部合作夥伴，試圖與這名員工建立信任。過程裡要求員工下載特定的Zoom延伸套件，但實際上這是有問題的AppleScript指令碼，執行後就會下載第二階段的惡意酬載。</p> <p><a href="https://www.ithome.com.tw/news/169556"><strong style="font-size: 22px;">北韓駭客Kimsuky鎖定異議人士，透過臉書、電子郵件及Telegram展開釣魚攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Kimsuky-AttackFlowDiagram.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Kimsuky-AttackFlowDiagram.png" style="width: 300px; float: right;" /></a></p> <p>與北韓關聯的Kimsuky駭客組織被揭露利用臉書、電子郵件與Telegram等三重社交通道，對韓國本地涉北韓議題的異議人士、人權工作者及志工團體發動高度客製化的釣魚攻擊。根據韓國資安廠商Genians的調查，Kimsuky駭客組織近期攻擊範圍已從政府及國防單位，擴大至脫北者支援團體、NGO與公民運動參與者，導致相關人士面臨資訊外洩與個資遭監控的風險。</p> <p>駭客通常先在臉書上建立與目標背景相似的假帳號，例如冒用宗教組織志工、脫北者志工或具學術背景的人士，主動向涉北韓議題的個人或團體發出好友邀請，並在取得對方信任後，展開訊息互動。</p> <p>在進一步於取得受害者信任後，駭客會要求提供電子郵件，透過郵件寄送第二波攻擊檔案或惡意連結，當電子郵件及手機號碼同時掌握時，則可能進一步透過Telegram或其他即時通訊軟體接觸受害者，進行多管道且持續的攻擊。</p> <p><a href="https://www.ithome.com.tw/news/169590"><strong style="font-size: 22px;">假DeepSeek-R1廣告暗藏BrowserVenom木馬，劫持瀏覽器流量</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/browservenom-mimicks3.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/browservenom-mimicks3.png" style="width: 300px; float: right;" /></a>卡巴斯基GReAT團隊發現駭客鎖定熱門生成式人工智慧應用熱潮，透過假冒DeepSeek-R1語言模型安裝程式的Google廣告，散布名為BrowserVenom的新型惡意木馬，專門劫持受害者瀏覽器流量，並竊取個人資料。</p> <p>根據研究人員的調查，攻擊者利用Google搜尋廣告，將針對DeepSeek R1關鍵字所建立的釣魚網站推至搜尋結果頁面頂端。該網站外觀與DeepSeek官方網站極為相似，並會依據訪客作業系統顯示相對應的介面，進一步提升誘騙成功率。</p> <p>以Windows用戶為例，進入釣魚網站後會僅出現Try now按鈕，點擊後則會出現CAPTCHA防機器人驗證頁面，實際上相關驗證機制均以JavaScript混淆程式碼實作，目的是過濾自動化工具，提高釣魚精準度。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/gerrit-misconfiguration-exposed-google-projects-to-code-injection/">程式碼協作平臺Gerrit組態配置不當，Google專案恐遭惡意程式碼注入攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.darkreading.com/cyberattacks-data-breaches/water-curse-targets-cybersecurity-pros-github-repos">駭客組織Water Curse鎖定仰賴開源工具的開發者、資安專家，使用GitHub散布惡意程式</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/bert-ransomware-escalates-attacks-on-linux-machines/">勒索軟體Bert鎖定Linux系統而來，利用武器化ELF檔從事攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://securityaffairs.com/179036/hacking/new-predator-spyware-infrastructure-revealed-activity-in-mozambique-for-first-time.html">間諜軟體Predator捲土重來，研究人員發現新的基礎設施</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169656"><strong style="font-size: 22px;">Citrix修補NetScaler兩項重大層級漏洞</strong></a></p> <p>Citrix本周發布安全更新，修補NetScaler軟體兩項重大風險漏洞。</p> <p>本次修補的漏洞影響二項產品，包括NetScaler ADC及NetScaler Gateway，較嚴重的是CVE-2025-5777，為對外部輸入HTTP呼叫的長度驗證不足導致過度讀取記憶體（Memory Overread），造成資料不當外洩。本漏洞屬於越界讀取（Out-of-bounds Read）漏洞，CVSS 4.0風險值為9.3。</p> <p>其次是CVE-2025-5349，為前述產品NetScaler管理介面的存取控制不當漏洞，小則讓未授權用戶存取系統設定、日誌、竄改設定，大則可能導致遠端程式碼執行或控制作業系統。本漏洞風險值為8.7。</p> <p><a href="https://www.ithome.com.tw/news/169400"><strong style="font-size: 22px;">聯發科修補藍牙驅動程式高風險漏洞</strong></a></p> <p>聯發科發布產品更新，修補影響其手機及物聯網晶片的多項資安漏洞，包含一個影響藍牙驅動程式高風險提權漏洞，以及多項影響WLAN和藍牙驅動程式的中度風險漏洞。這波漏洞影響聯發科智慧型手機、平板、AIoT、智慧顯示器、智慧平臺、OTT、電腦視覺、音訊和電視晶片組。</p> <p>高風險漏洞編號CVE-2025-20672，為一堆積緩衝溢位（Heap overflow）漏洞。本漏洞起於藍牙驅動程式邊界檢查（bounds check）不正確，導致攻擊者提高本地User執行權限以進行惡意活動，而本漏洞不需使用者互動即可達成濫用。</p> <p>這波更新還修補了多項中度風險漏洞，涵括了一項提權（EoP）漏洞CVE-2025-20674（影響藍牙驅動程式）及5項阻斷服務（DoS）攻擊漏洞，包括CVE-2025-20673、CVE-2025-20675、CVE-2025-20676、CVE-2025-20677和CVE-2025-20678，其中除了CVE-2025-20678為電信模組IMS Service，其餘皆影響WLAN驅動程式。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/gitlab-patches-high-severity-account-takeover-missing-auth-issues/">GitLab修補高風險層級的帳號挾持漏洞、缺乏身分驗證漏洞</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169654"><strong style="font-size: 22px;">微軟預告7月M365將預設封鎖使用舊版身分驗證機制存取檔案</strong></a></p> <p>微軟強化Microsoft 365（M365）租戶的安全控管，將從7月起預設封鎖用戶以舊版身分驗證機制來存取檔案。</p> <p>微軟本周透過M365管理員中心訊息公布此事，M365預設封鎖以舊驗證協定如RPS（Relying Party Suite）及FPRPC（FrontPage Remote Procedure Call）登入SharePoint、OneDrive和Office檔案，微軟將從7月起逐步部署，預定8月完成。微軟說，這次更新是因應微軟安全未來倡議（Secure Future Initiative，SFI）及其預設安全（Secure by Default）原則，目的在所有企業打造更穩固的基礎安全態勢。</p> <p>微軟所指的舊式驗證協定是指比OAuth 2.0或SAML更古早的用戶驗證技術，對M365而言，受影響的協定有RPS和FPRPC二種。RPS多半為舊式瀏覽器或用戶端App存取雲端資源之用，而FRPRC則是以前用於遠端網頁開發和操作Office檔案的方法。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169632"><strong>【6月19日】朗大型加密貨幣交易所Nobitex遭駭，駭客銷毀9千萬美元資金</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169611"><strong>【6月18日】AWS宣布IAM領域重大進展</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169594"><strong>【6月17日】新興勒索軟體脅迫受害組織付錢出現新手法，藉由抹除檔案內容進行施壓</strong></a></p> </div></div></div>
2025/6/20 12:48作者周峻佑https://www.ithome.com.tw/news/169658
安卓惡意軟體GodFather濫用虛擬化機制挾持銀行、加密貨幣App的帳密
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了在安卓手機上能竊取機密資料，許多惡意軟體通常會透過覆蓋畫面等手法引誘使用者上當，但如今出現更複雜的手段，用戶更難察覺有異。</p> <p>行動裝置資安業者Zimperium揭露<a href="https://zimperium.com/blog/your-mobile-app-their-playground-the-dark-side-of-the-virtualization">名為GodFather的金融木馬</a>，此惡意程式對全球近500款銀行應用程式的用戶而來，主要集中對土耳其下手。這款惡意軟體與過往的金融木馬最大的不同，就是採用一種進階的裝置端虛擬化技術（On-device Virtualization），而能挾持數種合法的應用程式，其中包含行動銀行及加密貨幣相關的App。</p> <p>由於這種新手法是在受害裝置建立完整的、隔離的虛擬化環境，有別於一般惡意程式是藉由偽造的登入畫面來騙取帳密資料，此惡意軟體能在受害手機部署帶有虛擬化框架的惡意「主機」應用程式，並用來下載真實的行動銀行與加密貨幣App，然後透過攻擊者的沙箱環境執行。一旦受害者啟用手機裡的正牌應用程式，攻擊者就會將他們重新導向虛擬化環境的另一個App，使得這些用戶的一舉一動，包含點選、輸入的資料內容，都受到GodFather的監控。</p> <p>相較於過往金融木馬等惡意程式，這種虛擬化手法能讓攻擊者完全了解應用程式的處理程序，進而即時攔截帳密資料與敏感資料；再者，攻擊者不僅能遠端控制GodFather，還能藉由掛鉤（Hooking）框架竄改虛化版的行為，從而有效地繞過資安檢查機制。</p> <p>除此之外，駭客也使用了其他迴避偵測手法，其中一種是操弄ZIP壓縮檔，將程式碼移轉到Java層，而能讓靜態分析工具無法察覺有異。</p> <p>針對這起攻擊行動的發現，研究人員指出類似濫用虛擬化的手法並非首例，其中一個是2023年底出現的惡意程式FjordPhantom，駭客為了迴避偵測，他們在容器環境執行惡意程式碼。但這次GodFather的手段更為可怕，因為使用者操作的是正牌應用程式，不僅無法從操作畫面察覺異常，許多資安防護機制也難以識別這種惡意行為，研究人員認為，這嚴重破壞了人們對行動應用程式之間的信任。</p> </div></div></div>
2025/6/20 12:39作者周峻佑https://www.ithome.com.tw/news/169657
M365 7月預設封鎖使用舊版身分驗證機制存取檔案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟強化Microsoft 365（M365）租戶的安全控管，將從7月起預設封鎖用戶以舊版身分驗證機制來存取檔案。</p> <p><a href="http://learn.microsoft.com/en-us/entra/identity/enterprise-apps/configure-admin-consent-workflow" target="_blank">微軟本周透過M365管理員中心訊息公布</a>（註：只有管理員身分可以存取），M365預設封鎖以舊驗證協定如RPS（Relying Party Suite）及FPRPC（FrontPage Remote Procedure Call）登入SharePoint、OneDrive和Office檔案，微軟將從7月起逐步部署，預定8月完成。微軟說，這次更新是因應微軟安全未來倡議（Secure Future Initiative，SFI）及其預設安全（Secure by Default）原則，目的在所有企業打造更穩固的基礎安全態勢。</p> <p>微軟所指的舊式驗證協定是指比OAuth 2.0或SAML更古早的用戶驗證技術，對M365而言，受影響的協定有RPS和FPRPC二種。RPS多半為舊式瀏覽器或用戶端App存取雲端資源之用，而FRPRC則是以前用於遠端網頁開發和操作Office檔案的方法。</p> <p>大部份系統都已不再使用上述協定，少部份基於和舊式應用和自動化工具相容的需求而留存至今。這些協定通常欠缺多因素驗證，容易遭受暴力破解和釣魚攻擊。微軟說，最新封鎖能使還在用這些協定的應用透過瀏覽器存取SharePoint、OneDrive或Office檔案，可減少攻擊表面。</p> <p>從7月中開始，預設封鎖上述2個協定的措施將部署到所有M365租戶。受影響的服務共有Microsoft Entra（之前名為Azure Active Directory）、Microsoft 365 app、SharePoint Online和OneDrive for Business。這項變更為自動部署，不需用戶任何動作。</p> <p>至於對用戶的影響，由於現代瀏覽器已經內建新式驗證，因此Office用戶或現代瀏覽器應該不受影響，但仰賴舊式協定的應用程式或工作流程將無法連結，包括舊式Office外掛或自訂工具，其次是使用RPS或FPRPC的自動化腳本程式、檔案同步或報表。如果企業使用非常舊的系統，可能得靠支援團隊開發暫時作法，或是儘速更新。</p> <p>微軟並增加新的第三方App存取M365管理政策。之前用戶可以自行授權第三方App存取Microsoft雲端檔案，但未來用戶無法自行授權，所有第三方App存取都需經管理員明顯的審核同意。新政策可防止過多企業資料外洩，像是第三方OAuth應用存取雲端檔案及資料。新政策也透過Entra文件，指引IT細部設定決定同意和存取控制。</p> <p>微軟說，M365封鎖舊協定是「安全未來倡議」（Secure Future Initiative，SFI）的一部份。微軟宣布的其他措施包括今年初宣布M365、Office 2024關閉ActiveX控制，7月起Teams封鎖在會議中螢幕擷圖、以及擴大Outlook附件的封鎖檔案類型名單，包括.library-ms及.search-ms等。</p> </div></div></div>
2025/6/20 11:21作者林妍溱https://www.ithome.com.tw/news/169654
俄羅斯駭客利用ASP機制存取受害者Gmail帳號
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cloud.google.com/blog/topics/threat-intelligence/creative-phishing-academics-critics-of-russia" target="_blank">Google威脅情報小組</a>（Google Threat Intelligence Group，GTIG）與加拿大的<a href="https://citizenlab.ca/2025/06/russian-government-linked-social-engineering-targets-app-specific-passwords/" target="_blank">公民實驗室（Citizen Lab）</a>本周揭露一起來自俄羅斯國家級駭客的攻擊行動，主要利用社交工程手法及應用程式專用密碼（Application Specific Password，ASP）來繞過重要應用的多因素身分驗證（Multi-Factor Authentication，MFA），進而入侵受害者的Gmail或其它服務。</p> <p>有些第三方應用程式會需要使用者登入以存取平臺服務，後者涵蓋了Gmail或其它Google服務，蘋果的iCloud、通訊錄或行事曆，或是微軟的Microsoft 365等；倘若使用者已於平臺上啟用了MFA，但該第三方應用程式並不支援MFA，那麼使用者便必須在這些平臺服務上生成一個16位數的應用程式專用密碼，以供第三方應用程式使用，替代MFA。</p> <p>此波攻擊行動被Google命名為UNC6293，受害者之一是英國的俄羅斯專家Keir Giles，他揭露許多俄羅斯的秘密活動，也撰寫大量有關俄羅斯入侵烏克蘭的文章。</p> <p>Giles在今年5月22日收到一名自稱是美國國務院官員Claudie Weber的來信，Weber自稱是美國國防部顧問，邀請Giles參與一場線上會議。雖然Weber通訊時使用Gmail，但也將副本送到@state.gov郵件位址，在雙方十多次的書信往來之後，Weber即寄送了一個PDF檔，引導Giles於他的Gmail電子郵件帳號中生成應用程式專用密碼，並將它指定給一個名為ms.state.gov的程式使用，再截圖回傳。</p> <p>駭客讓Giles以為他所建立的密碼是用來安全存取國務院資源或登入會議，但實際上這個ASP憑證是用來讓駭客存取Giles的Gmail帳號。此外，Giles應駭客的要求在許多帳號上都生成了ASP。</p> <p>最後是Google發現了相關攻擊，鎖住了受影響的帳號，接著禁用了駭客的Gmail帳號。</p> <p>UNC6293行動是在今年4月至6月間，鎖定了許多知名學者與俄羅斯批評者展開攻擊。Google表示，使用者其實可以完全控制其ASP，可根據需求建立或撤銷它們，且在使用者建立時，會傳送通知至相對應用的Gmail帳號、復原Email帳號，以及任何登入Google帳號的裝置，以確保使用者知道他們打算啟用該形式的身分驗證。</p> <p><a href="https://support.google.com/accounts/answer/185833?hl=en#zippy=%2Cwhy-you-may-need-an-app-password" target="_blank">Google亦提醒</a>，在大多數的情況下是不需要也不建議生成ASP的。</p> </div></div></div>
2025/6/20 11:25作者陳曉莉https://www.ithome.com.tw/news/169655
Citrix修補NetScaler 2項重大層級漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://support.citrix.com/support-home/kbsearch/article?articleNumber=CTX693420&articleURL=NetScaler_ADC_and_NetScaler_Gateway_Security_Bulletin_for_CVE_2025_5349_and_CVE_2025_5777" target="_blank">Citrix本周發布安全更新</a>，修補NetScaler軟體兩項重大風險漏洞。</p> <p>本次修補的漏洞影響二項產品，包括NetScaler ADC（Application Delivery Controller）及NetScaler Gateway。二個漏洞中，較嚴重的是CVE-2025-5777，為對外部輸入HTTP呼叫的長度驗證不足導致過度讀取記憶體（memory overread），造成資料不當外洩。本漏洞屬於越界讀取（Out-of-bounds Read）漏洞，風險值為CVSS 4.0的9.3。</p> <p>其次是CVE-2025-5349，為前述產品NetScaler管理介面的存取控制不當漏洞，小則讓未授權用戶存取系統設定、日誌、竄改設定，大則可能導致遠端程式碼執行或控制作業系統。本漏洞風險值為CVSS 4.0的8.7。</p> <p>受影響的產品版本為NetScaler ADC/Gateway 14.1（14.1-43.56以前）及13.1（13.1-58.32以前）、NetScaler ADC 13.1-FIPS與NDcPP（13.1-37.235以前）及NetScaler ADC 12.1-FIPS（12.1-55.328以前）。NetScaler ADC/Gateway 12.1和13.0都是已屆EoL（End of Life）的產品。Citrix建議用戶升級到支援版本。</p> <p>此外，另二項產品Secure Private Access on-prem（本地部署）或Secure Private Access Hybrid（混合雲）也受到影響。</p> <p>本次安全公告適用於自行管理的NetScaler ADC/Gateway用戶，Citrix管理的服務，則會由該公司軟體部門解決問題。</p> </div></div></div>
2025/6/20 11:48作者林妍溱https://www.ithome.com.tw/news/169656
北韓駭客在Zoom視訊用AI深偽技術對企業員工網釣，意圖散布macOS惡意軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客使用<a href="https://www.ithome.com.tw/tags/deepfake">深偽（Deepfake）</a>技術行騙的情況，最近幾年不時有事故傳出，從多年前<a href="https://www.ithome.com.tw/news/152773">假冒加密貨幣交易所幣安（Binance）高層</a>、<a href="https://www.ithome.com.tw/news/163635">馬斯克</a>等名人詐騙加密貨幣，到去年發生<a href="https://www.ithome.com.tw/news/161212#deepfake">有跨國企業遭到Deepfake視訊會議詐騙損失2億港幣</a>、<a href="https://www.ithome.com.tw/news/162249">資安業者LastPass員工遭到冒牌執行長視訊會議險些上當</a>、<a href="https://www.ithome.com.tw/news/164108">北韓駭客利用相關技術在資安業者KnowBe4求職得逞</a>，最近又有駭客試圖透過深偽從事相關攻擊，直到受害組織察覺異狀才東窗事發。</p> <p>資安業者Huntress揭露<a href="https://www.huntress.com/blog/inside-bluenoroff-web3-intrusion-analysis">一起北韓駭客的攻擊行動</a>，攻擊者的身分是匿稱為BlueNoroff、TA444、Sapphire Sleet、Copernicium、Stardust Chollima的駭客組織，他們鎖定Web3領域下手，針對Mac電腦用戶展開攻擊。</p> <p>Huntress之所以發現這起事故，起因是接獲合作夥伴的通報、發現某個終端使用者下載疑似有問題的Zoom延伸套件，等到部署Huntress的EDR代理程式、進行深度調查之後，他們觀察到使用者數週前曾收到駭客試圖取得存取權限的誘餌。</p> <p>接觸到誘餌的使用者是加密貨幣機構的員工，當時他從Telegram頻道收到駭客的訊息，對方引誘點選偽裝成Google Meet活動的連結，而該連結是透過線上會議排程工具Calendly建立，但這名員工依照指示點選後，就被重新導向到攻擊者控制的冒牌Zoom網域。</p> <p>數週後，這名員工參加了Zoom群組會議，視訊畫面出現多個深偽人物，模仿其公司高層與外部合作夥伴，試圖與這名員工建立信任。過程裡要求員工下載特定的Zoom延伸套件，但實際上這是有問題的AppleScript指令碼，執行後就會下載第二階段的惡意酬載。</p> <p>值得一提的是，該指令碼不僅會停用bash的事件記錄功能避免留下作案痕跡，還會安裝Rosetta 2轉譯程式，讓受害電腦能執行x86應用程式，最終建立隱藏檔案並下載有效酬載。</p> </div></div></div>
2025/6/20 10:41作者周峻佑https://www.ithome.com.tw/news/169650
M365 7月預設封鎖使用舊版身分驗證機制存取檔案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟強化Microsoft 365（M365）租戶的安全控管，將從7月起預設封鎖用戶以舊版身分驗證機制來存取檔案。</p> <p><a href="http://learn.microsoft.com/en-us/entra/identity/enterprise-apps/configure-admin-consent-workflow" target="_blank">微軟本周透過M365管理員中心訊息公布</a>（註：只有管理員身分可以存取），M365預設封鎖以舊驗證協定如RPS（Relying Party Suite）及FPRPC（FrontPage Remote Procedure Call）登入SharePoint、OneDrive和Office檔案，微軟將從7月起逐步部署，預定8月完成。微軟說，這次更新是因應微軟安全未來倡議（Secure Future Initiative，SFI）及其預設安全（Secure by Default）原則，目的在所有企業打造更穩固的基礎安全態勢。</p> <p>微軟所指的舊式驗證協定是指比OAuth 2.0或SAML更古早的用戶驗證技術，對M365而言，受影響的協定有RPS和FPRPC二種。RPS多半為舊式瀏覽器或用戶端App存取雲端資源之用，而FRPRC則是以前用於遠端網頁開發和操作Office檔案的方法。</p> <p>大部份系統都已不再使用上述協定，少部份基於和舊式應用和自動化工具相容的需求而留存至今。這些協定通常欠缺多因素驗證，容易遭受暴力破解和釣魚攻擊。微軟說，最新封鎖能使還在用這些協定的應用透過瀏覽器存取SharePoint、OneDrive或Office檔案，可減少攻擊表面。</p> <p>從7月中開始，預設封鎖上述2個協定的措施將部署到所有M365租戶。受影響的服務共有Microsoft Entra（之前名為Azure Active Directory）、Microsoft 365 app、SharePoint Online和OneDrive for Business。這項變更為自動部署，不需用戶任何動作。</p> <p>至於對用戶的影響，由於現代瀏覽器已經內建新式驗證，因此Office用戶或現代瀏覽器應該不受影響，但仰賴舊式協定的應用程式或工作流程將無法連結，包括舊式Office外掛或自訂工具，其次是使用RPS或FPRPC的自動化腳本程式、檔案同步或報表。如果企業使用非常舊的系統，可能得靠支援團隊開發暫時作法，或是儘速更新。</p> <p>微軟並增加新的第三方App存取M365管理政策。之前用戶可以自行授權第三方App存取Microsoft雲端檔案，但未來用戶無法自行授權，所有第三方App存取都需經管理員明顯的審核同意。新政策可防止過多企業資料外洩，像是第三方OAuth應用存取雲端檔案及資料。新政策也透過Entra文件，指引IT細部設定決定同意和存取控制。</p> <p>微軟說，M365封鎖舊協定是「安全未來倡議」（Secure Future Initiative，SFI）的一部份。微軟宣布的其他措施包括今年初宣布M365、Office 2024關閉ActiveX控制，7月起Teams封鎖在會議中螢幕擷圖、以及擴大Outlook附件的封鎖檔案類型名單，包括.library-ms及.search-ms等。</p> </div></div></div>
2025/6/20 10:48作者林妍溱https://www.ithome.com.tw/news/169651
企業與顧客互動模式的顛覆
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年5月的第三周，無疑是生成式AI最重要的技術和產品發表周，兩大科技巨頭，微軟和Google，在同一周舉辦了自家年度技術大會，Build和I/O，而且都瞄準了生成式AI和AI代理的開發。</p> <p>這兩大巨頭，不只揭露了許多讓人驚艷的新模型、生成式AI服務和開發工具，更揭露了對於生成式AI如何打造未來世界的發展願景，而且不約而同地都瞄準了，網際網路世界（WWW）的GenAI化發展，只是兩大巨頭採取了不同的路徑，展開這場顛覆計畫。</p> <p>其中，最讓我驚艷而且有感的是Google搜尋的全新功能AI模式（AI mode），不只改變了人們（消費者）使用網路的行為，我認為，這將徹底改變企業與顧客的互動模式。</p> <p>Google在去年IO大會上，在搜尋服務中推出了AI摘要功能，現在已在200多國提供，包括臺灣。根據Google最新數據，每個月高達15億人使用這項服務。AI摘要的內容，已經可以直接解答了不少人的部分資訊需求，不用像過去，得進一步點選連結，打開網頁來了解。</p> <p>因為AI摘要直接出現在Google搜尋結果的第一項，這項服務一上線，使用者不用往下繼續瀏覽，開始影響到許多高度依賴搜尋引擎導流的內容服務供應商，像是不少新聞網站開始發現，來自Google搜尋引擎的引導瀏覽流量明顯下滑了。甚至有內容供應業者甚至開始思考，搜尋引擎「零」導流的衝擊。Google執行長Sundar Pichai甚至強調，這是搜尋十年來最成功的新功能，光用AI摘要的用量不斷增加。</p> <p>AI摘要的問世，削弱了搜尋引擎導流的效果，但在今年IO大會上，Google發表了另一個功能比AI摘要更強大的生成式AI搜尋功能，也就是搜尋引擎的「AI模式」（AI Mode）。這是一種全新的搜尋，勢必搜尋引擎導流效果更大的衝擊。</p> <p>因為AI模式的搜尋，不只可以處理更長，更複雜的問題，還可以將搜尋問題拆解成數百個小問題，找到結果後組合成一份，適合使用者喜好的內容。甚至，可以將即時找出來的複雜數據視覺化，自動生成適合瀏覽的圖表，目前鎖定了金融和運動相關數據。</p> <p>甚至，AI模式還具備了更主動的能力，如AI代理般的特定任務代理能力，可以比較搜尋「特定棒球隊某一場比賽的便宜票價」，提供推薦購買連結，使用者只要一個點擊，就能完成訂票。不只棒球賽，各種活動門票、餐廳預定、本地端生活服務的預約，AI模式都可以代為執行。</p> <p>甚至，AI模式將可以提供一種新的AI購物體驗，目前以「買衣服」虛擬購物體驗為主，AI模式整合龐大網路資料和500億條購物圖譜射的商品和零售商資料，來提供購物搜尋的推薦，直接提供使用者個人化的明確、有限數量的購買清單選擇，跳過了龐大搜尋結果清單的廣告干擾，甚至提供購買考慮重點建議，縮短使用者下決定買單的過程。</p> <p>也用生成式AI技術打造了「虛擬試穿」來模擬使用者的穿搭感受，更提供了新的結帳AI代理功能，可以設定自己的預算，結帳AI代理會自動追蹤不同網站的價格變化，一但符合預算，自動輸入購買條件（顏色，尺寸等），通知使用者，獲得授權購買，還能連動到數位支付直接付款，提供從購買到訂購的購物體驗。</p> <p>未來，尤其對消費者服務的電商而言，上站瀏覽的不再只是真人，還將有許多AI代理，原本站上許多針對真人瀏覽習慣的操作設計，促銷活動，可能不再適用於AI代理。</p> <p>這個全新的AI模式，帶來了「真的想買，而不只是逛逛而已」的虛擬消費者，他們的採購目的更明確，也更有能力追蹤價格變動（對價差更敏感），和真人消費者的上網購物行為，有很大的不同，這就會顛覆了企業與顧客的傳統互動方式。</p> <p>AI模式今年5月先在美國推出，除了再次衝擊搜尋引擎結果的廣告導流效果，更值得觀察的是，科技能力強大的指標性電商平臺，如何因應AI代理人的購物行為，企業與顧客的互動行為，將會如何改變。</p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/ai%E4%BB%A3%E7%90%86">AI代理</a></div><div class="field-item odd"><a href="/tags/%E6%B6%88%E8%B2%BB%E6%97%85%E7%A8%8B">消費旅程</a></div><div class="field-item even"><a href="/tags/%E7%94%9F%E6%88%90%E5%BC%8F%E6%90%9C%E5%B0%8B">生成式搜尋</a></div><div class="field-item odd"><a href="/tags/ai%E6%A8%A1%E5%BC%8F">AI模式</a></div><div class="field-item even"><a href="/tags/ai%E6%91%98%E8%A6%81">AI摘要</a></div><div class="field-item odd"><a href="/tags/google%E6%90%9C%E5%B0%8B">Google搜尋</a></div></div></div>
2025/6/20 10:10作者王宏仁https://www.ithome.com.tw/voice/169648
【資安日報】6月19日，伊朗大型加密貨幣交易所Nobitex遭駭，駭客銷毀9千萬美元資金
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這兩天最受到關注的國際資安新聞，就是以色列駭客組織Predatory Sparrow（Gonjeshke Darande）發動的破壞性網路攻擊，他們先後聲稱對伊朗國營銀行Bank Sepah、大型加密貨幣交易所Nobitex下手，後續效應有待進一少觀察。</p> <p>此外，殭屍網路鎖定LLM開發工具Langflow重大漏洞而來的情況相當值得留意，開發人員應特別提高警覺並儘速修補；這幾天還有兩份先前資安事故的報告出爐，一份是關於3月公布的Chrome零時差漏洞攻擊事故，另一份是中國駭客Salt Typhoon對美國電信業者發動大規模攻擊。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169631"><strong style="font-size: 22px;">以色列駭客Predatory Sparrow對伊朗加密貨幣交易所Nobitex下手，銷毀價值9千萬美元的資金</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/GttSWdqaQAArbOS.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/GttSWdqaQAArbOS.jpg" style="width: 300px; float: right;" /></a></p> <p>上週末以色列與伊朗再度爆發軍事衝突，本週以色列駭客組織Predatory Sparrow（Gonjeshke Darande）聲稱對伊朗國營銀行Bank Sepah發動網路攻擊，摧毀所有資料，導致有幾間分行被迫暫停營業、客戶無法存取銀行帳戶、金融卡無法使用，ATM顯示尚未連線的錯誤訊息，引起全球高度關注。事隔一天，這些駭客傳出再度犯案，這次是針對加密貨幣交易所而來。</p> <p>根據CNN、衛報、Wired等各家媒體報導，這些駭客於6月18日透過社群網站X聲稱，他們也對伊朗大型加密貨幣交易所Nobitex下手，並預告將在1天之內公布該公司的原始碼，以及內部網路竊得的資料。同日Nobitex也在社群網站X發文，證實他們的網路環境出現基礎施未經授權存取的情形，影響該公司的內部通訊系統，以及部分熱錢包。Nobitex察覺後將所有受到影響的系統隔離，並透過內部事件回應團隊展開全面調查。</p> <p>專精加密貨幣相關網路犯罪的資安業者Elliptic公布相關調查結果，證實了Nobitex的說法，他們確認有超過9千萬美元加密貨幣遭竊，駭客將竊取的資金轉移至「虛榮地址（Vanity Addresses）」，這些地址包含反伊朗政權的訊息，例如針對伊斯蘭革命護衛隊（IRGC）的侮辱字句。</p> <p><a href="https://www.ithome.com.tw/news/169626"><strong style="font-size: 22px;">殭屍網路Flodrix鎖定LLM開發工具Langflow而來，意圖發動DDoS攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Langflow-Figure-1-updated.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Langflow-Figure-1-updated.png" style="width: 300px; float: right;" /></a></p> <p>殭屍網路綁架的目標，通常是缺乏定期修補、存在已知漏洞的家用路由器、網路攝影機、NAS、防火牆等小型連網設備，但近期這樣的態勢出現了變化，6月上旬資安業者Akamai揭露有兩個殭屍網路鎖定開源資安監控平臺Wazuh而來，利用重大漏洞CVE-2025-24016（CVSS風險9.9分）攻陷及控制Wazuh伺服器，有其他駭客組織跟進，鎖定開源AI開發平臺的重大漏洞來綁架主機。</p> <p>資安業者趨勢科技揭露名為Flodrix的殭屍網路，駭客鎖定的目標，駭客的目標是大型語言模型（LLM）應用程式開發平臺Langflow，他們透過網路掃描、尋找存在重大漏洞CVE-2025-3248的伺服器下手，並運用公開的概念驗證程式碼（PoC）而奪取遠端Shell的存取權限，得逞後攻擊者於受害主機下達bash命令進行偵察，然後將結果回傳C2伺服器。</p> <p>接著，駭客於受害主機下載、執行殭屍網路病毒Flodrix，一旦此惡意軟體成功完成部署，並與C2伺服器建立連線，攻擊者就能透過TCP連線下達命令並發起各種分散式阻斷服務（DDoS）攻擊。</p> <p><a href="https://www.ithome.com.tw/news/169624"><strong style="font-size: 22px;">衛星網路公司Viasat去年遭中國駭客Salt Typhoon攻擊</strong></a></p> <p>根據彭博社報導，與中國政府有關聯的駭客組織Salt Typhoon去年對電信業者發動大規模攻擊，衛星連網服務業者Viasat也是受害者之一。</p> <p>這項報導隨後獲得Viasat證實。Viasat發言人表示，該公司去年偕同外部專家調查，攻擊者是透過一臺被入侵的裝置，在未授權情況下存取了公司網路。但該公司強調沒有客戶受到影響，而且Viasat相信事件已經解決，今年以來沒有偵測到任何和該事件有關的活動。</p> <p>而對於這起大規模攻擊事故造成的危害，現在也傳出新的調查結果。FBI指出，Salt Typhoon入侵電信業者已造成近130萬名用戶及1億筆記錄外洩。報導說，藉由入侵美國電信公司，可助長Salt Typhoon取得重要人物，例如美國官員的通話記錄。這個組織還涉入今年2月針對美國財政部的攻擊行動，藉此取得憑證存取多位美國官員的筆電。</p> <p><a href="https://www.ithome.com.tw/news/169627"><strong style="font-size: 22px;">3月公布的Chrome零時差漏洞最新調查結果出爐，駭客組織TaxOff用於部署後門</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure_2_Decoy_document_used_in_the_September_2024_attack_7052c4390c.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure_2_Decoy_document_used_in_the_September_2024_attack_7052c4390c.png" style="width: 300px; float: right;" /></a>今年3月Google修補Chrome零時差漏洞CVE-2025-2783，當時通報此事的資安廠商卡巴斯基透露，駭客發出邀請函，以世界經濟和國際關係論壇「普里馬科夫讀書會（Primakov Readings）」報告為誘餌，誘使用戶存取釣魚網站。不過，當時研究人員並未辨識出行動是由誰策動。本週有研究人員公布進一步的調查結果。</p> <p>資安廠商Positive Technologies指出，攻擊者是名為TaxOff的駭客組織，一旦收信人點選報告連結，就會觸發CVE-2025-2783，讓駭客能將後門程式Trinper植入電腦。他們進行比對，發現另一組人馬Team46於去年10月從事的網釣攻擊手法相當類似，當時這些駭客以現代世界獨立國協安全（Security of the Union State in the modern world）」國際會議為誘餌來散布Trinper，主要的差別是駭客當時鎖定Yandex瀏覽器而來，利用另一個漏洞CVE-2024-6473來達到目的。對此，研究人員認為，TaxOff與Team46可能是同一個駭客組織。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/stargazers-use-fake-minecraft-mods-to-steal-player-passwords/">Minecraft玩家遭到鎖定，駭客假借提供作弊工具竊取帳密資料</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/06/google-warns-of-scattered-spider.html">Scattered Spider鎖定美國保險業者的IT支援部門而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://cybersecuritynews.com/hundreds-of-wordpress-websites-hacked-by-vextrio-viper-group/">駭客組織VexTrio Viper入侵數百個WordPress網站，意圖架設大型惡意流量分派服務</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://medium.com/@Billows_Tech/%E8%B3%87%E5%AE%89%E5%A8%81%E8%84%85-%E5%8F%B0%E7%81%A3%E6%9F%90%E7%A7%81%E7%AB%8B%E5%A4%A7%E5%AD%B8%E9%81%AD-nova-%E5%8B%92%E7%B4%A2%E8%BB%9F%E9%AB%94%E6%94%BB%E6%93%8A-%E5%B9%95%E5%BE%8C%E7%8F%BE%E8%B9%A4%E4%B8%AD%E5%9C%8B-apt-489c778a54dd">勒索軟體Nova聲稱成功入侵臺灣一所大學，攻擊者身分疑為中國APT駭客</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169623"><strong style="font-size: 22px;">Veeam修補備份軟體重大漏洞，可導致在備份伺服器遠端執行程式碼</strong></a></p> <p>備份與資料保護軟體廠商Veeam，於6月17日揭露影響備份軟體與其代理程式的3項漏洞，並釋出修補。</p> <p>這3個漏洞中，最嚴重的是編號為CVE-2025-23121的漏洞，為CVSS嚴重性等級評分9.9的重大漏洞，由watchTowr與CodeWhite安全研究人員發現與通報，存在於Veeam Backup & Recovery備份軟體12.3.1.1139以前的版本，通過身分驗證的網域使用者，可透過這個漏洞從遠端存取備份伺服器，並且在上面任意執行各種程式碼。</p> <p>事實上，Veeam先前在今年3月，才剛修補Veeam Backup & Recovery另一個相似的遠端執行程式碼漏洞CVE-2025-23120，CVSS嚴重性評分同樣是9.9，當時Veeam曾發布12.3.1版（build 12.3.1.1139）備份軟體來修補這個漏洞，但時隔3個月後，這個修補版本也被發現存在遠端執行程式碼漏洞，解決方法是將備份軟體更新到12.3.2版（build 12.3.2.3617）。</p> <p><a href="https://www.ithome.com.tw/news/169606"><strong style="font-size: 22px;">Tenable揭露與修補漏洞管理平臺代理程式漏洞，以免攻擊者趁機覆寫Windows系統檔案</strong></a></p> <p>資安系統出現漏洞，很有可能影響保護能力，但過往大部分受到媒體報導的消息，多半與防毒軟體、EDR、防火牆、SSL VPN有關，然而最近有漏洞管理平臺的資安漏洞引起SecurityWeek、SC Media、Infosecurity Magazine、Heise Online等多家媒體關注並報導此事，因為若不處理，攻擊者能以SYSTEM權限對Windows電腦上下其手。</p> <p>漏洞管理解決方案Tenable上週發布Windows版Nessus代理程式更新，修補3項資安漏洞CVE-2025-36631、CVE-2025-36632、CVE-2025-36633，這些漏洞可被非管理員身分的使用者利用，攻擊者能以SYSTEM權限覆寫本機任意系統檔案、執行程式碼，或是刪除檔案以便提升權限，CVSS風險介於7.8至8.8分，影響10.8.4以下版本的Nessus代理程式，使用者應儘速升級至10.8.5版因應。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/linux/new-linux-udisks-flaw-lets-attackers-get-root-on-major-linux-distros/">Linux作業系統元件udisks存在漏洞，攻擊者有機會藉此得到root權限</a></strong></p> <p></p> <p> </p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169597"><strong style="font-size: 22px;">針對Chrome憑證撤銷信任，中華電信表示</strong></a><a href="https://www.ithome.com.tw/news/169597"><strong style="font-size: 22px;">受影響政府機關網站7月底可望全面完成憑證更換</strong></a></p> <p> </p> <p>6月初中華電信TLS網站憑證因改善不合規，遭Google宣布將從Chrome 139之後瀏覽器開始，移除信任中華電信從8月起簽發的TLS新憑證，受影響的中華電信TLS憑證包括商業及政府機關網站。中華電信今天（6/17）首次對外公開說明，目前正協助客戶更換憑證，受影響政府網站預期在7月底完成憑證更新或轉換為雙憑證，並祭出改進作為，包括8月起暫停簽發憑證、重整內部憑證管理團隊、加強自動化檢查憑證，避免人為疏失等等，希望在2026年3月重新獲得Chrome預設信任憑證為目標。</p> <p>中華電信董事長簡志誠對外公開說明，他表示，瀏覽器改版有時可能會變更欄位，去年3月中華電信憑證維運團隊對改版後的欄位變更敏感不足，團隊配合改版調整欄位的時效性不夠快，去年無法配合時程，導致中華電信維運團隊的行為在Bugzilla社群論壇不被信任，今年2、3月公司內高階主管瞭解這件事立即從手改善，儘管中華電信已經完成改善，但Google仍基於先前團隊的不合規紀錄，決定自8月起移除Chrome瀏覽器對中華電信新TLS憑證的預設信任。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169611"><strong>【6月18日】AWS宣布IAM領域重大進展</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169594"><strong>【6月17日】新興勒索軟體脅迫受害組織付錢出現新手法，藉由抹除檔案內容進行施壓</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169573"><strong>【6月16日】駭客運用JSFireTruck混淆手法埋藏意圖，於近270萬網站植入惡意程式碼</strong></a></p> </div></div></div>
2025/6/19 16:35作者周峻佑https://www.ithome.com.tw/news/169632