iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 14篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 09:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

Windows藍色死亡螢幕走入歷史未來將改用黑色
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.windows.com/windowsexperience/2025/06/26/the-windows-resiliency-initiative-building-resilience-for-a-future-ready-enterprise/" target="_blank">微軟上周宣布一項新措施</a>，將招牌的Windows藍色死亡螢幕（Blue Screen of Death，BSOD）一舉改成了黑色。此外微軟計畫讓Windows 11重開機速度加快2秒。</p> <p>數年前微軟就已計畫把BSOD改成<a href="https://www.ithome.com.tw/news/145402" target="_blank">黑色</a>或<a href="https://www.ithome.com.tw/news/168214" target="_blank">綠色</a>。但直到現在，微軟才真正導入新措施。</p> <p>這項變更是微軟2024年因應CrowdStrike事件引發全球至少800萬臺Windows機器停止運作，而提出的Windows韌性倡議（Windows Resiliency Initiatives，WRI）下的新措施之一。微軟說明，韌性組織的關鍵特色之一是維持生產力及最小化營運中斷，但一旦發生不預期系統重啟，就會導致作業延宕，影響營運持續。因此微軟將簡化不預期系統重新啟動的體驗。</p> <p>Windows 11 24H2更新包含蒐集當機資訊，可讓未來大部份用戶系統不預期重啟動所耗時間減少2秒鐘。Windows 11 24H2新加入更簡化的使用者介面（UI），包含黑色螢幕，以及「您的裝置遭遇問題，必須重新啟動」的文字訊息，搭配修復的百分比．並以頁面下方很小的字體顯示錯誤代號及出錯的驅動程式。經典的藍色畫面及QR code與憂傷的表情符號則是不復存在。微軟說，新介面提升了可讀性且符合Windows 11設計原則，同時在螢幕上保存了必要的技術資訊。</p> <p><span style="color:#B22222;"><strong>Windows 11 24H2其他強化韌性的措施</strong></span></p> <p>此外，Windows 11 24H2也將加入快速機器回復（quick machine recovery，QMR）機制，讓無法自動重新啟動的PC回復。當Windows PC發生連續多次不預期重啟動時，PC可能會卡在Windows RE（Recovery Environment）。有了QMR技術，一旦發生大範團停機事件，影響Windows重開機，微軟就能透過Windows RE（Windows Recovery Environment）部署矯正機制到這些機器上，以QMR自動修復，使用戶儘快回復到生產力狀態。黑色的重新啟動UI和快速機器回復，都將在今夏部署到Windows 11 24H2 PC上。</p> <p>除了黑色的BSOD及快速重開機功能外，微軟還計畫公布一款名為連結快取（Connected Cache）的功能，可在更新到Windows11、Windows Autopilot裝置調撥（provisioning）時、Windows Intune應用更新、Autopatch每月更新時節省上網頻寛，其原理是微軟服務是由本地部署的連結快取（Connected Cache）節點，而非雲端提供，加快這些服務的安裝。</p> <p>其他功能包括原稱為pull print的統一列印功能、Hotpatch、Windows 365 Reserve。統一列印（Universal Print）允許用戶利用Microsoft 365手機App接收的QRcode，從公司任何角落對任何授權印表機發送列印呼叫，無需預先選取印表機，這有助於防止機密文件遺留在印表機而外洩。</p> <p>新的Hotpatch更新可自動經由Windows Autopatch，每月一次自動安裝重要的Windows安全更新，而無需重啟電腦。此外，Windows 365 Reserve可讓用戶在無法使用自己的PC時，應需求臨時存取預先設定好的Cloud PC。<a href="https://www.aka.ms/W365ReserveSignUp" target="_blank">Windows 365 Reserve將提供申請的用戶加入預覽測試</a>。</p> </div></div></div>
2025/6/30 09:01作者林妍溱https://www.ithome.com.tw/news/169790
Meta要求以用戶未發布的照片訓練AI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcrunch.com/2025/06/27/facebook-is-asking-to-use-meta-ai-on-photos-in-your-camera-roll-you-havent-yet-shared/" target="_blank">Techcrunch報導</a>，Meta近日開始要求用戶同意它存取用戶手機相簿，欲藉此訓練其Meta AI模型，引發隱私疑慮。</p> <p>根據報導擷取的Meta螢幕畫面，近日當手機用戶想以Facebook App發布貼文時，該App會跳出一個對話框選項，要求用戶同意其「cloud processing」功能。一旦用戶按下「Allow」鍵，即可讓Facebook對手機相簿產出具創意的建議，像是照片拼貼、AI增添風格或生成照片主題。</p> <p>臉書並說會依據相片時間、主題或地點，定期將用戶照片上傳到其雲端伺服器。或許是為了減輕用戶疑慮，Meta說，Facebook的建議只有用戶看得到，且不會被用來發送個別化廣告。</p> <p>但報導指出，如果用戶按下Allow按鍵，等同用戶同意Meta的AI服務條款，允許Meta的AI分析用戶媒體內容或臉部特徵，它還會使用相片日期或相片中人物及物體來生成創意。<a href="https://www.facebook.com/legal/ai-terms" target="_blank">因為根據Meta的AI服務條款</a>，用戶一旦同意，就等於同意Meta以AI分析這些圖片，包括臉部特徵。這些處理使其能提供創新功能，包括提供圖片內容摘要、修改圖片、根據圖片生成新內容。</p> <p>此外，透過AI服務條款，Meta還有權保留和使用用戶分享的任何個人資訊，以便產出個人化AI內容。而且Meta還能檢視用戶和其AI互動的內容，包括提示、回饋或其他內容。但有可能這些內容最終會被其他Meta員工或約聘人員讀取，而引發隱私疑慮。</p> <p>為了訓練AI，各家科技業者無不絞盡腦汁甚至走灰色地帶取得訓練資料集。AI大廠<a href="https://www.ithome.com.tw/news/169713" target="_blank">Anthropic</a>和Meta相繼成功訴諸法庭，使其得以合法使用出版商的書籍內容來訓練AI。</p> </div></div></div>
2025/6/30 09:06作者林妍溱https://www.ithome.com.tw/news/169791
Fintech周報第267期：花旗、摩根士丹利將和三大雲廠商合作制定專屬金融業的開源通用AI安控基準
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3 style="-webkit-text-size-adjust: auto; caret-color: rgb(0, 0, 0); color: rgb(0, 0, 0);"><strong style="font-family: 微軟正黑體, sans-serif; font-size: 24.5px; -webkit-text-size-adjust: 100%; background-color: rgb(247, 247, 247); color: rgb(51, 51, 51);"><span style="font-size: 18px;"><span style="color: rgb(139, 69, 19);">6/23-6/27金融科技精選新聞</span></span></strong></h3> <h3 style="margin: 10px 0px; font-family: 微軟正黑體, sans-serif; font-weight: bold; line-height: 1.25em; text-rendering: optimizelegibility; font-size: 24.5px; -webkit-text-size-adjust: 100%; background-color: rgb(247, 247, 247);"><strong><span style="font-size: 16px; color: rgb(0, 0, 205);">#AI安全 </span></strong><strong style="font-size: 16px;"><span style="color: rgb(0, 0, 205);">#AI治理</span></strong></h3> <h3 style="-webkit-text-size-adjust: auto; caret-color: rgb(0, 0, 0); color: rgb(0, 0, 0);">花旗、摩根士丹利將和三大雲廠商合作制定專屬金融業的開源通用AI安控基準</h3> <p style="-webkit-text-size-adjust: auto;"><span style="caret-color: rgb(0, 0, 0); color: rgb(0, 0, 0);">Linux基金會旗下的金融科技開源基金會FINOS</span><font color="#000000">近日宣布，將和美國花旗集團、摩根士丹利、加拿大皇家銀行等金融機構，以及Microsoft、Google Cloud、AWS、Red Hat 等科技巨頭合作，為金融業制定一套開源、通用且標準化的AI安全控制框架。</font></p> <p style="-webkit-text-size-adjust: auto; caret-color: rgb(0, 0, 0); color: rgb(0, 0, 0);">這個框架將會建立一套在雲端或混合環境中運用AI的技術中立基礎標準，並參考全球法規，建立一致的審查治理框架。同時推出即時審查機制，意即規範即代碼（Regulation-as-Code）的機制，來提升營運透明性。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; -webkit-text-size-adjust: 100%; background-color: rgb(247, 247, 247);"><strong><span style="font-size: 16px; color: rgb(0, 0, 205);">#第一銀行 </span></strong><strong style="font-size: 16px;"><span style="color: rgb(0, 0, 205);">#AI治理</span></strong></h3> <h3 style="-webkit-text-size-adjust: auto; caret-color: rgb(0, 0, 0); color: rgb(0, 0, 0);">第一銀行獲核准辦理開放銀行第三階段</h3> <p style="-webkit-text-size-adjust: auto; caret-color: rgb(0, 0, 0); color: rgb(0, 0, 0);">第一銀行近日獲得金管會核准，是臺灣首家辦理開放銀行第三階段的銀行。第一銀行表示，將透過和第三方服務提供者（TSP）密切合作，整合外部創新技術和內部數位金融實力，例如結合AI、雲端數據和系統優化建置等應用，讓金融服務從被動邁向主動，實現銀行、消費者與 TSP 三方共贏的新形態金融合作模式。</p> <p style="-webkit-text-size-adjust: auto; caret-color: rgb(0, 0, 0); color: rgb(0, 0, 0);">開放銀行第三階段是「交易面資訊」服務，在經過消費者同意的前提下，可透過TSP業者的數位環境平台，以開放應用程式介面（Open API）進行交易及調整帳戶間的資金，包括貸款申請和查詢、扣帳授權等服務。依據金管會核定備查的第三階段API應用項目，涵蓋存款、信用卡、貸款、支付、手機門號轉帳等五大類別服務。</p> <h3 style="-webkit-text-size-adjust: auto; caret-color: rgb(0, 0, 0); color: rgb(0, 0, 0);"><strong style="font-family: 微軟正黑體, sans-serif; font-size: 24.5px; -webkit-text-size-adjust: 100%; background-color: rgb(247, 247, 247); color: rgb(51, 51, 51);"><span style="font-size: 16px; color: rgb(0, 0, 205);">#BNPL </span></strong><strong style="font-family: 微軟正黑體, sans-serif; -webkit-text-size-adjust: 100%; background-color: rgb(247, 247, 247); color: rgb(51, 51, 51); font-size: 16px;"><span style="color: rgb(0, 0, 205);">#AFTEE</span></strong></h3> <h3 style="-webkit-text-size-adjust: auto; caret-color: rgb(0, 0, 0); color: rgb(0, 0, 0);"> </h3> <h3 style="-webkit-text-size-adjust: auto; caret-color: rgb(0, 0, 0); color: rgb(0, 0, 0);">AFTEE建立在臺專屬雲端組織架構，未來計畫運用GenAI處理商品描述和交易語意分析</h3> <p style="-webkit-text-size-adjust: auto; caret-color: rgb(0, 0, 0); color: rgb(0, 0, 0);">BNPL品牌AFTEE來臺邁入第七年，目前會員人數已突破160萬人，合作商戶則超過4000家。為了提升帳號管理和營運效率，近日他們揭露已建立專屬臺灣團隊的雲端組織架構。並且，隨著業務規模擴大帶動的資料量和分析需求，AFTEE也重構了資料分析流程，透過將分析負載從營運資料庫拆分，建立獨立、可彈性擴展的分析環境，讓團隊可以運用大規模資料訓練風險模型、探索用戶歷程，和分析商家行為。</p> <p style="-webkit-text-size-adjust: auto; caret-color: rgb(0, 0, 0); color: rgb(0, 0, 0);">目前，AFTEE也正在積極探索將AI服務納入核心業務流程，例如運用大型語言模型處理商品描述和交易語意分析，強化風控模型對高風險購買行為的預測能力。或是運用AI處理非結構化資料，加強判斷高風險商品的風控能力，及早啟動危機預防措施，以及運用客服系統中的用戶回饋紀錄，來輔助資料團隊進行更深度的資料分析和風險控制。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; -webkit-text-size-adjust: 100%; background-color: rgb(247, 247, 247);"><strong><span style="font-size: 16px; color: rgb(0, 0, 205);">#三井住友信用卡 </span></strong><strong style="font-size: 16px;"><span style="color: rgb(0, 0, 205);">#GenAI</span></strong></h3> <h3 style="-webkit-text-size-adjust: auto; caret-color: rgb(0, 0, 0); color: rgb(0, 0, 0);">日本信用卡龍頭三井住友信用卡計畫年底在網路文字客服應用導入GenAI</h3> <p style="-webkit-text-size-adjust: auto; caret-color: rgb(0, 0, 0); color: rgb(0, 0, 0);">去年六月，日本信用卡龍頭三井住友信用卡公司開始在電子郵件的客服業務中運用生成式AI，當客服中心接到查詢需求時，客服人員可以透過RAG技術來快速檢索公司內部資料，生成回覆信件草稿。近日，三井住友信用卡宣布要在今年底進一步將生成式AI應用在即時聊天的客服服務。預計可協助客服人員在處理單一查詢需求時，縮短六成左右的作業時間。</p> <p style="-webkit-text-size-adjust: auto; caret-color: rgb(0, 0, 0); color: rgb(0, 0, 0);">三井住友卡在2023年時，信用卡的申請件數突破了500萬件，每個月，三井住友卡的客服中心需要處理超過50萬件的查詢需求。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; -webkit-text-size-adjust: 100%; background-color: rgb(247, 247, 247);"><strong><span style="font-size: 16px; color: rgb(0, 0, 205);">#AI防詐 </span></strong><strong style="font-size: 16px;"><span style="color: rgb(0, 0, 205);">#聯邦學習</span></strong></h3> <h3 style="-webkit-text-size-adjust: auto; caret-color: rgb(0, 0, 0); color: rgb(0, 0, 0);">日本四家銀行合作用聯邦學習實驗詐騙帳戶偵測</h3> <p style="-webkit-text-size-adjust: auto; caret-color: rgb(0, 0, 0); color: rgb(0, 0, 0);">日本國家資訊通信研究機構近日和日本Resona銀行等四間銀行合作，運用聯邦學習技術實驗詐騙帳戶偵測。結果顯示，運用聯邦學習技術訓練的模型相較銀行單獨建構的模型，準確率提高十個百分點，達到95%以上的精準度。</p> <p style="-webkit-text-size-adjust: auto; caret-color: rgb(0, 0, 0); color: rgb(0, 0, 0);">這項實驗自2023年開始進行，使用了四間銀行部分正常帳戶和凍結帳戶的交易數據來訓練模型。除了比對四間銀行各自建立的獨立模型和聯邦學習模型的實驗結果，這項研究還有額外建立四個使用三家銀行資料訓練的聯邦學習模型。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; -webkit-text-size-adjust: 100%; background-color: rgb(247, 247, 247);"><strong><span style="font-size: 16px; color: rgb(0, 0, 205);">#韓國 </span></strong><strong style="font-size: 16px;"><span style="color: rgb(0, 0, 205);">#穩定幣</span></strong></h3> <h3 style="-webkit-text-size-adjust: auto; caret-color: rgb(0, 0, 0); color: rgb(0, 0, 0);">因應政府政策，南韓大型金融機構開始積極推進穩定幣</h3> <p style="-webkit-text-size-adjust: auto; caret-color: rgb(0, 0, 0); color: rgb(0, 0, 0);">南韓政府近期積極推動穩定幣發行，包括在6月中提出允許本土企業發行穩定幣的法案。近日，南韓最大銀行國民銀行、Kakao Bank和Naver Pay等多家大型金融機構也接連申請了穩定幣商標。</p> <p style="-webkit-text-size-adjust: auto; caret-color: rgb(0, 0, 0); color: rgb(0, 0, 0);">從金融機構申請的商標類別，可看出各家業者計畫發展的業務類別。國民銀行申請了兩類商標，分別是用於穩定幣電子轉帳業務和金融交易業務。Kakao Bank則申請了加密貨幣軟體、加密貨幣金融交易業務、加密貨幣挖礦共三大類別商標。</p> <h3 style="font-weight: bold; line-height: 1.25em; margin: 10px 0px; font-family: 微軟正黑體, sans-serif; text-rendering: optimizelegibility; font-size: 24.5px; -webkit-text-size-adjust: 100%; background-color: rgb(247, 247, 247);"><strong><span style="font-size: 16px; color: rgb(0, 0, 205);">#玉山銀行 </span></strong><strong style="font-size: 16px;"><span style="color: rgb(0, 0, 205);">#PaC</span></strong></h3> <h3>玉山銀行四階段導入Policy as Code</h3> <p style="-webkit-text-size-adjust: auto; caret-color: rgb(0, 0, 0); color: rgb(0, 0, 0);">玉山銀行智能金融處近日揭露了他們導入政策即代碼（Policy as Code,PaC）的作法。玉山智金處用四階段慢慢導入PaC。第一階段是探索期，並不是直接套用規範，而是先建立一套能收集、驗證PaC的機制。第二階段，才開始啟動PaC機制。這個階段稱為無感期，當開發人員使用CI/CD過版時，背後其實已經啟用了PaC掃描機制，但開發人員不會收到任何提醒或阻擋的訊息。</p> <p style="-webkit-text-size-adjust: auto; caret-color: rgb(0, 0, 0); color: rgb(0, 0, 0);">第三階段，則是進入適應期。在這個階段，若開發人員在過版過程中違反政策，系統會出現提示。但是，系統不會中斷部署流程。最後一個階段則是落實期，規範正式上線，平臺能自動協助開發人員進行規範檢查。</p> <h3 style="-webkit-text-size-adjust: auto; caret-color: rgb(0, 0, 0); color: rgb(0, 0, 0);">其他重要Fintech新聞:</h3> <ul> <li style="-webkit-text-size-adjust: auto; caret-color: rgb(0, 0, 0); color: rgb(0, 0, 0);">LINE Pay宣布推動韓國釜山跨境支付</li> <li style="-webkit-text-size-adjust: auto; caret-color: rgb(0, 0, 0); color: rgb(0, 0, 0);">Google Pay開始提供瑞典BNPL公司Klarna的BNPL服務</li> <li style="-webkit-text-size-adjust: auto; caret-color: rgb(0, 0, 0); color: rgb(0, 0, 0);">兆豐銀行在部分ATM導入AI臉部遮蔽辨識技術</li> </ul> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; -webkit-text-size-adjust: 100%; background-color: rgb(247, 247, 247);"> </p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; -webkit-text-size-adjust: 100%; background-color: rgb(247, 247, 247);"><span style="font-size: 14pt;">責任編輯／李昀璇</span></p> <p style="margin: 0px 0px 1.5em; font-size: 14pt; line-height: 2em; font-family: 微軟正黑體, sans-serif; -webkit-text-size-adjust: 100%; background-color: rgb(247, 247, 247);">資料來源：iThome整理，2025年6月</p> </div></div></div>
2025/6/30 00:30作者李昀璇https://www.ithome.com.tw/news/169785
DevOps快報第4期：AI開發技術競爭，戰場從IDE、專用模型延伸到CLI，從拼功能到現在開始比成本
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><strong>2025/5/1～6/25 精選DevOps與開發新聞</strong></p> <p><span style="color:#0000FF;"><strong>五六月是科技巨頭展現年度新產品的季節，Google、微軟、蘋果都有不少開發者相關的產品和發表。這期DevOps快報，要回顧過去兩個月重要的開發和DevOps新聞。三款軟體開發專用LLM，AI輔助開發的競爭從IDE蔓延到命令列工具，效能依舊是重量級編譯器和開發語言每次改版的重點。</strong></span></p> <h3><strong><span style="color:#FF0000;">開發AI代理和專用模型的競爭</span></strong></h3> <p><strong><span style="color:#0000FF;">#JetBrains #程式碼專門模型</span><br /> 第一款程式碼專用模型Mellum開源，擅長理解和補全主流開發語言的程式碼</strong></p> <p>老牌開發工具JetBrains團隊近日開源了第一個針對程式碼完成任務設計的語言模型Mellum，JetBrains團隊從零開始訓練了這款模型，而非基於現有開源模型進行微調。Mellum-4b-base模型具有40億個參數，採用類似LLaMA的架構，支援8,192個token的上下文長度。其訓練資料總量達4.2兆token，涵蓋如The Stack、StarCoder訓練集、CommitPack與英文維基百科等公開語料，針對Java、Python、C/C</p> <p><strong><span style="color:#0000FF;">#軟體工程LLM #Windsurf</span><br /> Windsurf發表專為軟體工程師建置的SWE-1模型，目標完成各種軟體工程任務</strong></p> <p>不只老牌工具聚焦開發專用模型，AI開發工具新創Windsurf也在5月中釋出了他們第一款可以針對整套軟體工程任務進行優化的一套模型家族SWE-1。這是一款可以完成所有軟體工程任務的概念性驗證模型。<br /> Windsurf解釋，閱讀或撰寫程式碼只是軟體工程的一小部分，真正的挑戰在於實現能夠長期擴展的解決方案，該公司的目標是將軟體開發速度提高99%。SWE-1基於Windsurf Editor的用戶互動資料，建立了共享時間軸，以捕捉工程中的不完整狀態與跨表面任務；另也具備流程感知能力，能與人類無縫協作，即時觀察及修正彼此行動。</p> <p><strong><span style="color:#0000FF;">#單機部署 #程式設計AI代理模型 #Mistral</span><br /> Mistral公布240億參數程式設計代理人模型Devstral，特色是可以單機本地部署</strong></p> <p>法國AI新創Mistral推出軟體工程任務的AI代理模型Devstral，這是他們與開源 AI程式設計師專案OpenHands開發商合作開發的模型，可以部署到單機上，號稱軟體工程支援能力比GPT-4.1mini、Deepseek-V3還強。Devstral是從Mistral-Small 3.1微調成240億參數的模型，具備最高128k字詞的輸入長度。具有工具使用能力，能用工具來探索codebase、編輯多個檔案，支援軟工（SWE）代理人。目前只支援文字輸出輸入。由於Devstral僅240億參數，使其適合執行在單一GPU 如Nvidia GeForce RTX 4090或32MB RAM的Mac電腦上，很適合在本地機器上的部署。<br /> 根據Mistral測試，在OpenAI的軟體解題能力評測SWE-Bench verified得分上，Devstral獲得46.8，高於同級參數量的模型，如GPT-4.1-mini、Claude 3.5 Haiku和SWE-smith-LM 32B。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%BF%AB%E5%A0%B1-Devstral%E8%A9%95%E6%B8%AC.jpeg" /></p> <p><strong><span style="color:#0000FF;">#主動型AI開發代理 #非同步執行</span><br /> Google開發AI代理Jules開放公測，整合GitHub可以自動執行版本升級、測試、重構和修補</strong></p> <p>Google新的AI開發代理Jules開放公測，這款軟體開發助手可以非同步地處理整個開發專案的多種任務輔助。Jules可以直接與 GitHub上的專案整合，將程式碼庫複製到安全的Google Cloud虛擬機器中執行，來理解完整的專案脈絡，也能自主執行一系列軟體開發任務，包括了版本升級、專寫測試程式、建構新功能和修復程式碼錯誤等。Jules採取計畫、審查和執行的三階段的開發任務交付方法，可以在原本的GitHub開發工作流程中，在背景自動執行任務。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%BF%AB%E5%A0%B1-Google-jules.jpeg" /><br /> <br /> <strong><span style="color:#0000FF;">#AI輔助軟體開發 #Codex</span><br /> ChatGPT推出了程式碼開發代理Codex，可以幫忙寫程式和除錯</strong></p> <p>AI大廠紛紛卡位軟體開發輔助需求，連ChatGPT都推出了程式撰寫代理Codex的研究預覽版，可以用來幫忙撰寫程式、回答問題、並且為程式除錯。<br /> Codex採用了以o3模型針對軟體工程優化後的codex-1模型，可以模仿真人工程師的行為，像是拉取偏好撰寫功能程式碼、回答codebase問題、除錯、並建議檢查的pull request。它會確實遵守指示，還能反覆測試直到獲得程式通過的結果。每項任務都在各自雲端沙箱環境分開執行。透過開發人員程式庫中的AGENTS.md檔可以引導Codex的行為，在其中指示Codex如何跑程式codebase、執行測試、遵循專案的標準作業。和人類一樣，提供了開發環境配置、穩定的測試設定和明確的文件，Codex代理人效果會更好。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%BF%AB%E5%A0%B1-OpenAI.jpeg" /></p> <p><strong><span style="color:#0000FF;">#模型免費額度超多 #命令列AI工具</span><br /> 從功能戰打到成本戰，Gemini CLI主打業界免費額度最高，一天千次請求</strong></p> <p>最近Google開源了命令列AI工具Gemini CLI ，整合了程式開發助理工具Gemini Code Assist，可用來存取Gemini 2.5 Pro及其100萬個Token的脈絡視窗，目前仍為預覽版。Gemini CLI擅長各種程式碼任務，包括理解程式碼、撰寫程式碼、操作檔案、執行命令，以及動態故障排除等，允許使用者透過自然語言來撰寫程式碼、除錯與簡化工作流程。更內建了許多進階工具，包括可利用Google搜尋來強化回應，藉由MCP協定或擴充功能來延伸能力，可客製化提示與說明，也可將Gemini CLI整合到自動化的腳本程式中。Google它號稱提供了業界最高的免費額度，每分鐘最多可支援60次的請求，每天支援1,000次請求。 </p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Gemini%20CLI.jpeg" /></p> <p><strong><span style="color:#0000FF;">#MCP #AWS #資料庫開發</span><br /> Amazon Q Developer CLI 支援MCP，更擅長讀取資料庫結構來優化SQL查詢</strong></p> <p>AWS旗下生成式AI開發工具Amazon Q Developer命令列工具日前也開始支援MCP協定，來提升開發人員在本地環境與資料來源互動的靈活性與準確度。支援MCP後，Q Developer可以存取外部資料來源的結構化上下文資訊，進而改善生成程式碼、撰寫SQL查詢與建立測試案例的能力，特別是在處理專案外部的資料結構，例如資料表關聯與欄位命名，來提升模型對開發專案脈絡的理解深度。對需要頻繁與資料庫互動的開發人員，這項支援可以快速將資料層結構納入開發流程，無需額外撰寫資料存取邏輯或自建中介模組。</p> <p><strong><span style="color:#0000FF;">#Cursor #氛圍開發</span><br /> 知名AI輔助開發工具Cursor終於推出1.0正式版，可以自動審查程式碼</strong></p> <p>氛圍開發（Vibe Coding）者愛用的Cursor終於推出1.0正式版，帶來多項針對開發流程與團隊協作的功能更新。更新重點包括BugBot自動程式碼審查工具、MCP一鍵安裝與OAuth認證，以及背景代理（Background Agent）開放並直接支援Jupyter Notebook，還有專案記憶（Memories）測試版，同時針對設定與儀表板頁面進行強化。官方也釋出經認證的MCP伺服器清單，開發人員可於官方文件加入快速安裝按鈕，降低整合門檻，簡化第三方服務串接，加速自有伺服器接入與用戶授權設定。</p> <p><strong><span style="color:#0000FF;">#AI代理開發 #Fireba</span>se<br /> Google正式推出雲端AI代理開發環境Firebase Studio </strong></p> <p>Google將線上開發工具專案Project IDX改名為Firebase Studio，變成了一款AI代理的雲端開發環境。採用自家Gemini 2.5模型，可以在短短幾分鐘內建立包含前後端的全端應用程式。或是直接匯入設計工具Figma的設計稿，透過Firebase中的Gemini助手，將設計稿轉換為應用程式的新功能。內建的應用原型代理可以偵測應用程式所需的後端，並自動完成設置和資源配置。</p> <p><strong><span style="color:#0000FF;">#程式碼生成 #AI開發工具</span><br /> Google AI Studio大更新，原生內建AI程式碼生成能力</strong></p> <p>近日Google AI Studio更新，最大特點在於內建了人工智慧程式碼生成能力。開發者現在可於AI Studio進行程式撰寫、預覽、調整，並可在建置分頁一鍵部署至Google Cloud Run等雲端服務。開發人員僅需輸入簡要描述，無論為文字、圖片或影片，模型便會在AI Studio中直接產生符合需求的前端或後端程式碼。相較以往僅能產生程式碼片段，需另行串接外部IDE的情境，此次原生整合大幅簡化開發流程。新版也提供檔案結構瀏覽、版本比較和即時回溯等功能，開發者可在人工智慧協助下檢視與比對程式碼異動，並透過對話式程式碼反覆調整功能，快速回到先前的檢查點進行修正。</p> <p><strong><span style="color:#0000FF;">#VS Code #AI開發 #MCP</span><br /> 微軟開放GitHub Copilot Chat原始碼，將整合到VS Code編輯器核心，更強化MCP支援</strong></p> <p>微軟不斷強化VS Code的AI代理協作和開發能力，日前宣布以MIT授權開放GitHub Copilot Chat擴充功能原始碼，並計畫分階段將部分人工智慧相關元件從擴充功能中重構，整合至VS Code核心程式碼庫中。在VS Code 1.100版中支援用Markdown撰寫的Instructions指令檔與Prompt提示詞兩種設定檔，來統一內建AI助手的環境配置和設定，可以用來統一多人團隊的AI開發規範。Instructions指令檔用來定義開發規範，例如程式風格或指定使用的框架，而提示詞檔則可儲存完整的任務指令，例如產出元件、執行安全檢查等特定請求。這些檔案可依專案或檔案類型自動套用，助團隊建立可重複使用的人工智慧工作流程，也可透過VS Code的設定同步功能，在多臺裝置間保持一致的協作環境。另外在6月推出的VS Code v1.101則聚焦MCP協定整合，可以支援MCP認證規範，涵蓋GitHub、Entra等主要帳號授權與管理，用戶可在VS Code內管理、指定、移除MCP伺服器存取權限，以符合企業對多帳號、多平臺開發環境的安全需求。</p> <p><strong><span style="color:#0000FF;">#蘋果 #AI開發助手 #XCode</span><br /> XCode 26新版終於導入AI助理，增強自動化開發與多平臺支援</strong></p> <p>在WWDC登場的Xcode 26終於將人工智慧助理整合進開發環境，正式支援ChatGPT並開放API連接第三方語言模型，開發者在側邊欄啟用人工智慧助理，透過自然語言與人工智慧互動，請求程式碼範例、解釋專案架構、產生或修改特定函式，並協助除錯與編寫API註解。Xcode可以協助生成符合DocC規範的註解內容，涵蓋類別、屬性與方法，減輕團隊文件維護負擔，提升專案可讀性與維護品質。Xcode 26還加強安全性與多平臺開發支援，提供更完整的開發工具整合方案。</p> <h3><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%BF%AB%E5%A0%B1-xcode26-ai.jpeg" /><br /> <strong><span style="color:#FF0000;">開發語言、編譯器和開發框架進展</span></strong></h3> <p><strong><span style="color:#FF8C00;">#多語言編譯器 #Rust #COBAL</span><br /> GCC近年最大改版，新版納入Rust和COBAL，邁向多語言編譯核心</strong></p> <p>GCC編譯器在四月底發布了近年最大一次的改變，從傳統C編譯器轉型為多語言編譯核心的發展方向，不僅更換C語言的預設標準，也正式將Rust與COBOL納入支援。在語言相容性、靜態分析能力與平台支援上的全面強化，提供更現代化、多元且可擴充的開發環境選擇。<br /> GCC 15.1是GCC 15系列的第一個穩定版本。預設語言標準由gnu17切換為gnu23，導入多項語言現代化設計，如#embed指令、命名迴圈、位元操作內建函式與型別診斷改善，GCC也同步改進錯誤訊息，提供具修正建議的提示。<br /> 新版增加了Rust與COBOL的原生支援。Rust前端gccrs已能正確處理Rust 1.49語法與標準函式庫，但尚未支援較新的語法與完整std函式庫，進一步替GCC納入Linux核心子系統中的Rust元件鋪路。新引入的gcobol編譯器遵循ISO/IEC 1989:2023標準，在x86-64與AArch64架構上可通過大部分測試項目，可供企業用於維運COBOL老舊系統。</p> <p><strong><span style="color:#FF8C00;">#效能提升 #Ruby #大型Web應用</span><br /> Ruby 3.5新版的物件配置速度翻六倍，有助於高流量Web服務場景</strong></p> <p>新版Ruby 3.5導入物件配置效能最佳化，在實測效能中比前一版本提升達6.5倍。對於大量產生物件的應用情境，特別是在現代Web服務或API設計中，效能提升幅度明顯。物件配置是Ruby執行環境中頻繁且基礎的作業之一，無論是新建資料模型、執行運算邏輯，或框架底層運作，都需大量使用。新版針對Class#new方法的實作機制調整，大幅提高了效能。</p> <p><strong><span style="color:#FF8C00;">#效能提升 #GO #TypeScript</span><br /> 微軟用以Go語言重寫TypeScript編譯器，編譯速度快10倍</strong></p> <p>TypeScript團隊從2024年開始推動，以Go語言重寫編譯器與工具鏈的原生計畫，最近宣布開放了TypeScript Native預覽版，TypeScript編譯器首次以原生程式語言重寫，針對效能與大型專案開發需求進行架構層級調整。根據官方公開的實測資料，Native預覽版於多項主流開源專案的型別檢查與編譯速度，可達現有JavaScript版本的10倍以上，大幅縮短專案建置與開發周期。來因應雲端原生、人工智慧應用與現代前端工程規模化的需求，也解決大型TypeScript專案效能的瓶頸。 </p> <p><strong><span style="color:#FF8C00;">#載入速度提升 #V8 #JavaScript</span><br /> V8引擎支援預編譯註解標籤，大型網頁應用載入速度再提升</strong></p> <p>JavaScript引擎V8引入一項名為Explicit Compile Hints的新功能，允許開發者透過特定註解指示V8在載入JavaScript檔案時，預先編譯其中所有會在頁面載入階段被呼叫的函式，以加速網頁初始載入效率，該功能已隨Chrome 136釋出。V8在載入期間，於背景執行緒進行完整的語法解析與編譯，並與網路請求的下載作業交錯執行，減少主執行緒的等待時間。官方實驗，測試 20個熱門網站時，有17個網頁的JavaScript載入效能明顯改善，平均可減少約630毫秒的前景解析與編譯時間。V8團隊計畫將此功能從檔案層級延伸至函式層級，使開發者能更細緻地指定特定函式進行預編譯。</p> <p><strong><span style="color:#FF8C00;">#程式碼品質 #Rust</span><br /> 問世滿十周年的Rust推新版，調整安全函式庫設計和新增匿名管道支援</strong></p> <p>1.0版釋出滿十年的Rust語言，近日推出了1.87.0版，新版特色之一是安全架構內建函式的調整。從1.87.0起，許多過去因需要啟用特定指令集例如AVX2，必須寫成unsafe的stdarch架構內建函式，現在於啟用這些指令集的情況，可以在安全程式碼中直接使用，這項變更讓高效能運算的開發更安全，也讓程式維護更容易。另外，標準函式庫也正式加入對匿名管道的支援。開發者現在可以直接使用std::io::pipe函式來建立管道，將std::process::Command的stdout與stderr整合到同一通道，方便一次處理所有輸出資料。無需額外建立執行緒，也不必依賴平臺專屬API，讓跨平臺子程序之間的資料交換更加簡單。</p> <p><strong><span style="color:#FF8C00;">#語法擴充 #C#語言</span><br /> C# 14推出擴充成員語法，可以讓現有型別擴充屬性和靜態成員</strong></p> <p>新版C# 14預覽版增加了擴充成員（Extension Members）語法，進一步擴充原有擴充方法（Extension Methods）的設計，讓開發者能以類似擴充方法的方式，替現有型別加入屬性與靜態成員。目前語法已支援方法與屬性，後續版本預期將持續擴充可支援的成員類別。# 14讓開發者除了定義擴充方法，還可以加上像是IsEmpty這樣的擴充屬性，甚至支援靜態方法與靜態屬性，並透過新的extension(...)語法指定要擴充的型別。<br /> 這讓過去不容易透過擴充方法實現的功能，例如無參數的屬性存取，變得更容易實作，也有助於整理擴充邏輯，減少重複程式碼並提升維護效率。在語法設計上，新的擴充區塊語法與既有的this參數寫法可以並存。對開發者來說，無論使用哪種語法定義擴充方法，呼叫方式都一致，不需要重新學習。</p> <p><strong><span style="color:#FF8C00;">#行動開發 #AI代理框架 #Kotlin</span><br /> Kotlin發布2.2，不只改善易用性更聚焦Kotlin生態與AI開發整合</strong></p> <p>JetBrains團隊近日發表Kotlin 2.2新版，除了著重語言易用性與安全性強化之外，也搭配人工智慧開源框架與多平臺工具的更新，來擴大Kotlin於行動、網頁、伺服器端與人工智慧應用場景的影響。新版本導入when語句守護條件（Guard Condition）、多重字串插值、非區域性break與continue，以及Context parameters等新語法，提升程式碼可讀性與表達能力。另外，JetBrains開源旗下Koog人工智慧代理框架，可提供多種預設工作流程，開發者可組合或擴充元件，加速人工智慧應用實驗與部署，可以協助開發者用Kotlin打造可組合、高可靠性的人工智慧代理應用。JetBrains 要讓Kotlin生態更容易整合AI開發生態圈。</p> <p><strong><span style="color:#0000FF;">#JavaScript框架 #Deno</span><br /> JavaScript執行環境Deno強化編譯功能，更容易發布獨立執行檔來簡化部署</strong></p> <p>這款新興的JavaScirpt執行環境Deno近日釋出2.3新版，原生編譯功能有不少強化，開發者能將使用如bcrypt這類需要Node原生位元組碼的模組，一併編譯為單一可執行檔。這不僅簡化了部署流程，也讓跨平臺發布獨立程式變得可行。此外，此版本引入—exclude參數，允許排除不需打包的資源，藉此縮小檔案大小，對於希望控制最終產出檔案大小的開發者，提供更多調整空間。2.3版本也開放透過deno.json設定，匯入本地資料夾中的模組。對開發NPM套件者來說特別實用，不用發布到套件資料庫也能進行測試與驗證。</p> <p><strong><span style="color: rgb(0, 0, 255);">#JavaScript框架 #Node.js</span><br /> Node.js強化非同步追蹤機制，上下文管理更穩定，今年10月進入LTS</strong></p> <p>另一款老牌JavaScript開發框架Node.js也釋出24主要版本，正式將非同步上下文追蹤機制，改為預設採用AsyncContextFrame實作，取代過往AsyncLocalStorage較低效率的架構。這項調整雖非外部API上的破壞性改動，卻對底層行為與效能有實際影響，特別是在需要精確追蹤請求流程與狀態傳遞的應用情境，能大幅提升穩定性與追蹤準確性。另外，24版也升級了V8 JavaScript引擎至13.6版，支援如Float16Array、RegExp.escape與Error.isError等新語法，並同步將NPM升級至11版，強化依賴管理效能與安全性。開發者熟悉的URLPattern也首度進入全域命名空間，無需額外匯入即可使用。</p> <p><span style="color:#0000FF;"><strong>更多新聞</strong></span></p> <ul> <li>Google發表Android 16用的新一代設計語言Material 3 Expressive</li> <li>Android Studio新增Android與iOS共享的模組範本，簡化跨平臺共用業務邏輯的維護</li> <li>Jenkins揭露眾多外掛程式漏洞，包括CVSS風險評分高達9.8的身分驗證外掛漏洞</li> <li>Angular v20改用新控制流程語法，全面棄用結構指令</li> </ul> <p><strong>責任編輯：王宏仁</strong></p> <p><b>圖片來源：</b>Mistral、Google、OpenAI、Apple</p> </div></div></div>
2025/6/27 16:56作者王宏仁https://www.ithome.com.tw/news/169783
蘋果變更歐盟App Store規定以符合數位市場法令，將開放自App Store以外下載程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了符合歐盟在2023年5月正式實施的《數位市場法》（Digital Markets Act，DMA），<a href="https://developer.apple.com/news/?id=awedznci" target="_blank">蘋果周四（6/26）變更其App Store規定與商業條款</a>，不再禁止開發人員於程式內部導流，並將以Core Technology Commission（CTC）取代現有的核心技術費（Core Technology Fee，CTF），也會開放使用者自App Store之外下載程式。</p> <p>DMA是歐盟為了防止大型科技業者壟斷市場而制定的法令，<a href="https://digital-markets-act.ec.europa.eu/gatekeepers_en?utm_source=chatgpt.com" target="_blank">目前主要規範</a>蘋果、Alphabet、Meta、微軟、Amazon、字節跳動（ByteDance）與Booking等6家業者旗下的24項服務。</p> <p><a href="https://www.ithome.com.tw/news/168573" target="_blank">歐盟認為</a>蘋果App Store的限制引導條款違反DMA，也對蘋果的核心技術費展開調查。</p> <p>總之，蘋果此次的更新都是為了符合DMA的要求。首先即是開放開發人員不管是在程式內或程式外，都能將用戶引導至其它平臺以購買數位商品或服務，所謂的其它平臺包括了網站、其它應用程式，或是其它應用程式市集。過去蘋果完全禁止開發人員在程式內宣傳第三方支付或其它平臺。</p> <p>其次則是針對那些選擇推廣並提供外部購買連結的開發人員，設計了新的商業條款，要求開發人員必須支付初次取得費用（Initial Acquisition Fee）、商店服務費用（Store Services Fee），以及核心技術費用（Core Technology Commission，CTC），前兩項取代了先前App Store的30%抽成費用，CTC則取代了現行的CTF。</p> <p>目前的CTF只針對那些首年安裝數量超過100萬次的程式，每超過1次就必須支付0.5歐元予蘋果，CTC則會根據程式的交易金額抽成，預計將在明年1月1日全面取代CTF。</p> <p>此外，從iOS 18.6及iPadOS 18.6開始，蘋果將允許歐盟使用者能夠從開發者網站或第三方市集安裝行動程式。目前最新的iOS與iPadOS版本為18.5，18.6正式版可望會在8月中以前出爐。</p> </div></div></div>
2025/6/27 15:22作者陳曉莉https://www.ithome.com.tw/news/169780
外傳Meta挖角OpenAI人才，打算買下開發語音AI的PlayAI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.wsj.com/tech/ai/meta-poaches-three-openai-researchers-eb55eea9?st=8QcsTj&reflink=desktopwebshare_permalink" target="_blank">華爾街日報（The Wall Street Journal，WSJ）本周引述消息來源報導</a>，Meta已挖角了3名OpenAI的研究人員，<a href="https://www.bloomberg.com/news/articles/2025-06-26/meta-in-talks-to-buy-ai-voice-startup-playai-in-push-for-talent?embedded-checkout=truec" target="_blank">彭博社（Bloomberg）亦於本周指出</a>，Meta正積極協商以買下AI新創PlayAI，種種跡象皆顯示，Meta正加速對AI的布局。</p> <p>根據WSJ的報導，Meta挖走的人才是Lucas Beyer、Alexander Kolesnikov與翟曉華（Xiaohua Zhai），他們3人在Google DeepMind就是同事，隨後轉戰OpenAI，現在則已被Meta延攬。</p> <p>從<a href="https://lucasb.eyer.be/?utm_source=chatgpt.com" target="_blank">Beyer的個人網頁上</a>可發現，他們三人共同創立了OpenAI位於蘇黎世的辦公室，他負責多模式研究與程式碼庫；Kolesnikov的專長則是計算機視覺及深度學習；<a href="https://sites.google.com/view/xzhai?utm_source=chatgpt.com" target="_blank">翟曉華</a>的專長則是多模態資料、開放權重模型與包容性。</p> <p>外傳Meta創辦人暨執行長祖克柏（Mark Zuckerberg）不斷尋覓AI人才，並祭出高薪挖角，<a href="https://www.ithome.com.tw/news/169561" target="_blank">檯面上的消息</a>還包括Meta日前以超過140億美元的價格，換得49%的Scale AI股份，以及讓Scale AI的共同創辦人暨執行長Alexandr Wang加入Meta。</p> <p>不只是Scale AI，彭博社指出，Meta也對專門開發語音AI的PlayAI有興趣，有意收購PlayAI的技術及部分員工。</p> <p>2019年創立的PlayAI專門開發先進的AI語音模型，讓人們能夠輕鬆地利用語音與系統互動，主要產品包括Play文字轉語音模型、PlayDialog語音模型、語音克隆平臺及語音代理建立工具，並宣稱能夠以超真實的效果克隆及生成任何語言的語音，但一直到去年11月才<a href="https://blog.play.ai/blog/21m-funding" target="_blank">完成其2,100萬美元的種子輪融資</a>。</p> <p>不過目前不管是Meta或PlayAI都不願對彭博社的報導作出回應。</p> </div></div></div>
2025/6/27 15:34作者陳曉莉https://www.ithome.com.tw/news/169781
搭配8個輝達B200，AWS新款頂級GPU執行個體上線
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/aws_p6-main.png" width="960" height="421" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這幾年以來，Nvidia資料中心GPU已成為許多雲端服務業者爭相建置的加速運算環境，隨著下一代GPU架構Blackwell去年3月浮出檯面之後，三大公有雲陸續揭露導入計畫。</p> <p>例如，<a href="https://techcommunity.microsoft.com/blog/azurehighperformancecomputingblog/microsoft-adopts-nvidia-blackwell-to-power-the-next-frontier-of-ai-supercomputin/4303541">微軟去年11月宣布</a>採用Nvidia GB200 Grace Blackwell Superchip，Azure ND GB200 V6系列虛擬機器發表預覽版本，<a href="https://techcommunity.microsoft.com/blog/azurehighperformancecomputingblog/accelerating-the-intelligence-age-with-azure-ai-infrastructure-and-the-ga-of-nd-/4394575">今年3月正式推出</a>；Google Cloud<a href="https://cloud.google.com/blog/products/compute/introducing-a4-vms-powered-by-nvidia-b200-gpu-aka-blackwell">今年2月初宣布</a>採用Nvidia HGX B200平臺，A4虛擬機器發表預覽版本，<a href="https://cloud.google.com/blog/products/compute/google-cloud-goes-to-nvidia-gtc?e=13802955">3月正式推出</a>，並在<a href="https://cloud.google.com/blog/products/compute/new-a4x-vms-powered-by-nvidia-gb200-gpus">2月下半宣布</a>採用Nvidia GB200 NVL72平臺，A4X虛擬機器發表預覽版本，5月底正式推出。</p> <p>至於AWS，<a href="https://press.aboutamazon.com/2023/11/aws-and-nvidia-announce-strategic-collaboration-to-offer-new-supercomputing-infrastructure-software-and-services-for-generative-ai">前年底宣布與Nvidia合作設計的AI超級電腦Project Ceiba</a>，原本打算採用Nvidia GH200 NVL32平臺，去年3月宣布改用Nvidia GB200 NVL72平臺，在此同時，也預告將推出基於Grace Blackwell平臺的Amazon EC2執行個體服務，以及DGX Cloud on AWS服務。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2025-03-Enhance fraud detection with AI and accelerated computing-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-03-Enhance%20fraud%20detection%20with%20AI%20and%20accelerated%20computing-2.jpg" style="width: 600px;" /></a> </p> <p>在2024年12月，<a href="https://blogs.nvidia.com/blog/aws-reinvent-ai-robotics-quantum-software/">Nvidia</a>與AWS宣布將推出執行個體服務P6</p> <p><a href="https://s4.itho.me/sites/default/files/images/AWS-Nvidia instances-2024-12.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS-Nvidia%20instances-2024-12.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/2025-03-Enhance fraud detection with AI and accelerated computing-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/2025-03-Enhance%20fraud%20detection%20with%20AI%20and%20accelerated%20computing-1.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/AWC EC2-Accel-2024-12-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWC%20EC2-Accel-2024-12-1.jpg" style="width: 600px;" /></a> </p> <p>到了今年5月中，AWS宣布P6正式上線，而且，僅提供一種組態的雲端運算服務：P6-b200.48xlarge，每臺虛擬機器採用8個Nvidia B200 GPU，而且GPU之間彼此透過第五代NVLink與NVLink Switch相連，互連頻寬為1800 GB/s。</p> <p>相較之下，AWS採用Nvidia H100 GPU的<a href="https://www.ithome.com.tw/review/158051">P5</a>在2023年推出時，也是如此，起初僅有p5.48xlarge可用，在2024年下半，陸續增設改用Nvidia H200 GPU的<a href="https://aws.amazon.com/tw/blogs/machine-learning/amazon-ec2-p5e-instances-are-generally-available/">P5e（p5en.48xlarge）</a>、<a href="https://aws.amazon.com/tw/blogs/aws/new-amazon-ec2-p5en-instances-with-nvidia-h200-tensor-core-gpus-and-efav3-networking/">P5en（p5e.48xlarge）</a>。</p> <p><a href="https://s4.itho.me/sites/default/files/images/2025-03-Enhance fraud detection with AI and accelerated computing-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20EC2-2025-06-26.jpg" style="width: 600px;" /></a></p> <p>而且，P6建置在AWS雲端基礎架構，當中整合多種技術，像是提升虛擬化與安全防護的AWS Nitro System（<a href="https://docs.aws.amazon.com/ec2/latest/instancetypes/ac.html#ac_summary">P6-b200.48xlarge是第一款支援Nitro v6架構的執行個體</a>，後續推出的C8gn也將支援Nitro v6）；搭配8張支援400GbE網路規格的第四代Elastic Fabric Adapter（EFAv4），<a href="https://docs.aws.amazon.com/ec2/latest/instancetypes/ac.html#ac_network">提供3.2 Tbps乙太網路</a>。</p> <p><a href="https://s4.itho.me/sites/default/files/images/AWS Nitro v1-V5.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20Nitro%20v1-V5.jpg" style="width: 199px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/AWS Nitro v6.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20Nitro%20v6.jpg" style="width: 398px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20Supported%20instance%20types-V6.jpg" style="width: 298px;" /> <a href="https://s4.itho.me/sites/default/files/images/AWS Nitro v1-v6-2024-12.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/AWS%20Nitro%20v1-v6-2024-12.jpg" style="width: 298px;" /></a></p> <p>企業若要採用Amazon EC2 P6，可經由機器學習專用的EC2容量區塊（EC2 Capacity Blocks for ML）的服務模式，進行預租，截至目前為止，AWS在全球有兩個資料中心能申請使用P6-b200.48xlarge，一個是5月揭露的美國西部（奧勒岡）區域，另一個是美國東部（俄亥俄）區域，可從AWS網站的服務計價頁面、技術文件，以及用戶的AWS管理主控臺，看到這座資料中心也能租用P6。</p> <p><a href="https://s4.itho.me/sites/default/files/images/EC2 Capacity Block for ML-P6.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/EC2%20Capacity%20Block%20for%20ML-P6.jpg" style="width: 600px;" /></a></p> <p>關於使用成效，根據AWS在部落格的公告，就AI訓練所需時間與推論能力（每秒處理的Token數量）而言，以P5en為基準，P6可提供兩倍的效能。若比較兩個執行個體服務採用的GPU，以P5en搭配的<a href="https://www.nvidia.com/zh-tw/data-center/h200/">H200</a>為基準，P6搭配的<a href="https://lenovopress.lenovo.com/lp2226-thinksystem-nvidia-b200-180gb-1000w-gpu">B200</a>，浮點運算領先幅度高達125％（80 TFLOPS vs. 60 TFLOPS），HBM3e記憶體容量增加27％（180 GB vs. 141 GB），HBM3e記憶體頻寬提升60％（8 TB/s vs. 4.8 TB/s）。</p> <p><span style="color:#008080;"><strong>產品資訊</strong></span></p> <p><span style="color:#0000FF;"><strong>AWS Amazon EC2 P6</strong></span><br /> ●原廠：AWS<br /> ●建議售價：美國西部（奧勒岡）區域，On-Demand方案每小時113.9328美元<br /> ●基礎運算規格：英特爾第五代Xeon Scalable處理器、2 TiB記憶體、30.72 TB NVMe儲存空間<br /> ●提供服務規模選擇與組態：<br /> p6-b200.48xlarge，192顆虛擬處理器、2048 GiB記憶體、8臺3.84 TB本機儲存、8個Nvidia B200 GPU、網路頻寬為3,200 Gbps，網路儲存：使用AWS區塊儲存服務EBS，存取頻寬為100 Gbps</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/6/27 15:41作者李宗翰https://www.ithome.com.tw/review/169732
【資安日報】6月27日，思科修補ISE兩項滿分資安漏洞受到高度關注
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週思科、Citrix、IBM都發布資安公告，修補Identity Services Engine（ISE）、NetScaler、WebSphere Application Server重大層級的漏洞，其中又以思科公布兩項滿分的漏洞最受到關注，而Citrix則是在不到10天裡兩度修補NetScaler重大漏洞，也引起資安圈的注意。</p> <p>除了上述的漏洞揭露，另一項AMI的BMC韌體滿分漏洞CVE-2024-54085，也被美國網路安全暨基礎設施安全局（CISA）納入已遭利用的漏洞名單（KEV）而同樣值得留意。此外，資安業者Positive Technologies揭露專門的鎖定Exchange伺服器的攻擊行動，當中提及臺灣是駭客主要攻擊的目標。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169695"><strong style="font-size: 22px;">北韓駭客組織Kimsuky濫用GitHub、Dropbox服務，對韓國發動APT攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/FppkyPRzGkX4qOQJESQEq0J8VE.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/FppkyPRzGkX4qOQJESQEq0J8VE.jpg" style="width: 300px; float: right;" /></a></p> <p>韓國再度成為北韓駭客組織Kimsuky的攻擊目標，根據資安公司ENKI揭露，3月起Kimsuky濫用GitHub私有儲存庫與Dropbox雲端服務，發動高度針對性的攻擊行動，將開源雲端平臺轉為攻擊與資料洩漏基礎設施。這波攻擊以魚叉式網釣郵件為開端，誘導受害者下載執行PowerShell惡意程式，最終在受害系統植入XenoRAT遠端存取木馬，持續收集和竊取敏感資訊。</p> <p>本次事件的攻擊鏈起始於偽裝成韓國本地法律或金融機構的釣魚郵件，攻擊者會針對目標身分量身設計文件，例如債務通知或授權書等，文件中不僅包含受害者個人資料，內容設計也極具真實感，使收件人降低戒心。郵件附件通常為加密壓縮檔，解壓密碼直接附於郵件內文，受害者一旦點擊壓縮檔內的捷徑或文件，系統即會執行嵌入的PowerShell腳本，首先從Dropbox下載偽裝為.docx或.pdf的惡意檔案，接著進行特殊檔案頭改寫與解壓縮，最終釋放並執行.NET格式的XenoRAT惡意程式。</p> <p><a href="https://www.ithome.com.tw/news/169771"><strong style="font-size: 22px;">CISA將AMI的BMC韌體滿分漏洞列入KEV</strong></a></p> <p>本週美國網路安全暨基礎設施安全局（CISA）將3項資安弱點納入已遭利用的漏洞名單（KEV），並要求聯邦機構於7月16日完成修補，其中，最受到關注的是風險值達到滿分的CVE-2024-54085。</p> <p>這項漏洞最早在今年3月由資安業者Eclypsium揭露，存在於American Megatrends（AMI）基板管理控制器（BMC）系統MegaRAC，一旦攻擊者成功利用，就有機會遠端控制伺服器，造成主機板BMC或UEFI元件損壞，甚至無限循環地重開機，而且，該漏洞的影響範圍並非單一伺服器，攻擊者可透過資料中心環境發送惡意命令，導致所有伺服器集體受害。4月下旬華碩對於4款工作站主機板發布新版韌體，修補這項漏洞。</p> <p>究竟這項漏洞如何遭到利用，CISA並未進一步說明，有待後續研究人員公布相關調查結果。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://cybersecuritynews.com/new-supercard-malware-using-hacked-android-phones/">惡意軟體SuperCard挾持安卓手機，意圖將用戶金融卡資料轉送給駭客</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169766"><strong style="font-size: 22px;">思科揭露兩項網路存取控制平臺ISE滿分資安漏洞</strong></a></p> <p>6月25日思科發布資安公告，針對旗下網路存取控制（NAC）平臺Identity Services Engine（ISE），以及ISE被動身分識別連接器（ISE Passive Identity Connector，ISE-PIC）修補風險值達到滿分（10分）的重大層級漏洞CVE-2025-20281、CVE-2025-20282，並指出若不盡快解決相關問題，攻擊者就能在未經授權的情況下，遠端於作業系統底層以root的身分發出命令。由於本月初思科才對ISE修補危險程度達到9.9分的重大漏洞CVE-2025-20286，因此這批新漏洞的揭露，引起外界高度關注。</p> <p>這兩個漏洞都出現在ISE的特定API，皆為未經授權的遠端程式碼執行（RCE）漏洞。其中，CVE-2025-20281影響3.3版以上的ISE和ISE-PIC，CVE-2025-20282則影響3.4版以上的應用系統。值得留意的是，思科特別提及這些漏洞沒有其他緩解措施，企業IT人員應儘速套用相關更新因應。</p> <p><a href="https://www.ithome.com.tw/news/169755"><strong style="font-size: 22px;">Citrix修補NetScaler重大層級的記憶體溢位漏洞，並指出已有遭到利用的情況</strong></a></p> <p>6月25日Citrix發布資安公告，針對應用交付控制器NetScaler ADC、安全閘道NetScaler Gateway發布緊急更新14.1-47.46、13.1-59.19版，目的是修補重大層級的資安漏洞CVE-2025-6543，值得留意的是，Citrix在公告當中提及，此漏洞已有實際用於攻擊的情況。由於剛好有研究人員針對一週前公布的重大層級資安漏洞CVE-2025–5777提出警告，並指出與一年半前造成嚴重災情的Citrix Bleed同樣危險，因此這次Citrix公布的新漏洞，格外受到關注。</p> <p>附帶一提的是，他們特別提及這項漏洞可能還會影響零信任解決方案Secure Private Access，企業無論是採用內部環境建置或是混合雲模式部署，都會曝險，Citrix呼籲這些企業的IT人員也要更新搭配的NetScaler系統來因應。</p> <p><a href="https://www.ithome.com.tw/news/169768"><strong style="font-size: 22px;">IBM發布應用程式伺服器WebSphere更新，修補任意程式碼執行漏洞</strong></a></p> <p>6月25日IBM發布資安公告，指出應用程式伺服器WebSphere Application Server存在重大層級的CVE-2025-36038，影響9.0和8.5版，CVSS風險為9.0分（滿分10分）。值得留意的是，由於沒有其他的替代緩解措施，該公司呼籲企業IT人員應儘速處理。</p> <p>對於大型企業IT環境而言，WebSphere Application Server曾是相當重要的平臺，因為它是三大企業級 Java EE 應用程式伺服器之一，根據一些行銷科技公司的觀察，目前有兩千家企業採用。</p> <p>對於這項漏洞帶來的危害，IBM指出此漏洞能遠端利用，攻擊者若是透過序列化物件的序列（Sequence），就有機會讓在系統層級執行程式碼。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/winrar-patches-bug-letting-malware-launch-from-extracted-archives/">WinRAR修補高風險漏洞，若不處理恐被用於執行惡意程式碼</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/firefox-140-launches-with-critical-code-execution-bug/">Mozilla發布Firefox、Thunderbird大改版140，修補高風險記憶體漏洞</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/teamviewer-for-windows-vulnerability/">Windows版TeamViewer存在高風險漏洞，攻擊者可利用SYSTEM權限刪除檔案</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/amazon-eks-flaws-expose-aws-credentials/">Amazon EKS存在權限提升漏洞，恐曝露AWS帳密資料</a></strong></p> <p></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169742"><strong>【6月26日】勒索軟體Dire Wolf鎖定臺灣、美國、泰國而來，科技與製造產業是主要標的</strong></a></p> <p><strong style="color: rgb(7, 130, 193);">【6月25日】勒索軟體Qilin提供加盟主法律咨詢服務引發資安界關注</strong></p> <p><a href="https://www.ithome.com.tw/news/169703"><strong>【6月24日】中國駭客利用ORB網路LapDogs發動網攻，臺灣是主要目標之一</strong></a></p> </div></div></div>
2025/6/27 13:56作者周峻佑https://www.ithome.com.tw/news/169773
商用軟體AI化的競賽開跑
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年五月，科技巨頭微軟和Google都在同一周舉辦了年度產品大會，不約而同地瞄準了代理AI浪潮，發表了多項生成式AI產品和技術，我們也一連用兩期封面故事，各自來介紹這兩大公雲、同時也是AI技術領導廠商的最新產品布局。</p> <p>上周，<a href="http://www.ithome.com.tw/article/169649" target="_blank"><span style="color:#3366ff;">我們先介紹了Google IO大會</span></a>，尤其聚焦生成式AI如何全面加速開發的角度。軟體開發是生成式AI已知最成熟的應用領域，也是企業需求明確的第一個場景，成了傳統開發工具廠商的新競爭焦點。Google當然也不例外，Google揭露了一系列用GenAI模型加速企業開發的工具，這些工具來自Google內部實作經驗，再進一步發展成對外的產品和服務，尤其瞄準了4大場景，像是快速生成互動式UI的工具、原有AI開發工具開始支援快速生成Web App，也推出了程式開發代理Jules公測版，要讓大規模開發工作更加自動化，最後則是要將AI代理融入開發環境，來強化AI代理App的開發工具鏈。</p> <p>Google原有的開發技術也瞄準代理AI而有不少強化，像是Android機器學習開發套件ML Kits，增加了更多GenAI API，讓Android應用程式，更容易能在裝置本地端執行Gemini Nano模型。而行動開發工具Android Studio也增加新的開發AI代理能力，輔助寫測試和執行測試的Journeys代理，以及可協助更新套件相依性和SDK的版本升級AI代理，這都是原本開發日常中繁瑣但非做不可的例行工作，現在可以有AI 代理來幫忙。</p> <p>當然不只Google開始改造、升級原有的軟體技術和工具來瞄準新一波的AI代理需求，微軟在今年開發者大會Build上，更提出了新的AI代理發展願景「Open Agentic Web」，作為旗下技術和產品的新發展方向，<a href="http://www.ithome.com.tw/article/169777" target="_blank"><span style="color:#3366ff;">這正是本周的封面故事主題</span></a>。</p> <p>微軟想像的未來網際網路，將充滿了各式各樣不同能力的AI代理，來執行企業與個人交代的工作。這些AI代理可以處理複雜的任務、存取不同類型的資料來源，甚至與其他AI代理協同合作。</p> <p>微軟想要善用開源的框架與開源工具來促成這個願景，除了擴大支援熱門的模型通訊協定MCP和跨代理協作框架A2A之外，微軟還發表了兩個新的開源專案TypeAgent和NLWeb。前者的目標是要強化AI代理記憶能力做法，後者則是為了簡化AI代理存取網站內容的門檻。</p> <p>還在發展初期的TypeAgent專案，提出了一個新的結構式RAG（Structured RAG）做法，來強化AI代理的記憶能力和回想完整度，並且進一步降低生成式AI產生幻覺的機率。</p> <p>NLWeb專案瞄準了全球2億個網站的內容，結合既有網頁標準如RSS，加上搜尋技術和LLM技術，提供了一套可以支援網站資料索引、自然語言查詢處理、LLM呼叫、向量資料庫呼叫，及站內搜尋處理等作業的技術框架，可以讓網站主很快的打造出站內的自然語言搜尋機制，也可以讓AI代理更容易讀取第三方的網站內容。這是一個瞄準真人查詢需求和AI代理檢索網站內容的通用框架。</p> <p>微軟也將邁向Open Agentic Web的相關技術和策略，開始導入到自家產品、工具和平臺的發展上。</p> <p>不只這兩大科技巨頭，開始將LLM技術和AI代理戰略，整合到既有軟體產品和工具，SAP（<a href="https://www.ithome.com.tw/news/169716" target="_blank"><span style="color:#3366ff;">請見：SAP大揭各產品線AI發展藍圖</span></a>）、SAS、紅帽今年的產品大會，也都有不少原有產品擁抱AI代理或用生成式AI技術來強化的新功能。</p> <p>隨著眾人看好企業大規模生成式AI、AI代理的落地部署需求，科技大廠紛紛動起來，今年開始加速企業級產品的AI化，也掀起了新的商用軟體AI化競賽。</p> <p><a href="https://www.ithome.com.tw/article/169777" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1240-feng_mian_p1-you_hua_-open-960x420_kao_bei_0.jpg?itok=31nBv0Tw" style="width: 550px;" /></a></p> <p><a href="https://www.ithome.com.tw/article/169649" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1239-feng_mian_p1-open-960x420_kao_bei_0.jpg?itok=pGaxwcVs" style="width: 550px;" /></a></p> <p><a href="https://www.ithome.com.tw/article/169412" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1237-feng_mian_p1-dou_zi_-open-960x420_kao_bei_0.jpg?itok=Ss4z5qIo" style="width: 550px;" /></a></p> <p><a href="https://www.ithome.com.tw/article/169264" target="_blank"><strong><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1236-feng_mian_p1-ruo_pu_-open-960x420_kao_bei_0.jpg?itok=Tnr9qAlS" style="width: 550px;" /></strong></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E4%BB%A3%E7%90%86ai">代理AI</a></div><div class="field-item odd"><a href="/tags/%E7%94%9F%E6%88%90%E5%BC%8Fai">生成式AI</a></div><div class="field-item even"><a href="/tags/%E5%BE%AE%E8%BB%9F">微軟</a></div><div class="field-item odd"><a href="/tags/google">google</a></div><div class="field-item even"><a href="/tags/google-io%E5%A4%A7%E6%9C%83">Google IO大會</a></div><div class="field-item odd"><a href="/tags/mcp">MCP</a></div><div class="field-item even"><a href="/tags/open-agentic-web">Open Agentic Web</a></div><div class="field-item odd"><a href="/tags/build%E5%A4%A7%E6%9C%83">Build大會</a></div><div class="field-item even"><a href="/tags/%E9%96%8B%E7%99%BC%E8%80%85%E5%A4%A7%E6%9C%83">開發者大會</a></div><div class="field-item odd"><a href="/tags/%E5%95%86%E7%94%A8%E8%BB%9F%E9%AB%94ai%E5%8C%96">商用軟體AI化</a></div></div></div>
2025/6/27 14:50作者王宏仁https://www.ithome.com.tw/voice/169778
逾70臺Exchange Server遭鎖定，駭客埋入鍵盤側錄工具，企圖挖掘用戶帳密資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近幾年有許多駭客鎖定Exchange Server以外的郵件伺服器下手，例如6月初資安業者Fears Off揭露的<a href="https://www.ithome.com.tw/news/169358">Roundcube重大漏洞CVE-2025-49113</a>（CVSS風險值9.9），<a href="https://www.ithome.com.tw/news/169551">很快有人就在地下市集兜售利用方法</a>；資安業者ESET揭露<a href="https://www.ithome.com.tw/news/168993">俄羅斯駭客APT28的攻擊行動Operation RoundPress</a>當中，駭客曾針對Roundcube、Zimbra、Horde、MDaemon等郵件伺服器下手，利用跨網站指令碼（XSS）漏洞注入惡意JavaScript指令碼SpyPress。但這樣的態勢不代表採用Exchange 的企業能掉以輕心，因為仍有駭客針對這類郵件伺服器發動大規模攻擊。</p> <p>資安業者Positive Technologies揭露<a href="https://global.ptsecurity.com/analytics/pt-esc-threat-intelligence/exchange-mutations-malicious-code-in-outlook-pages">橫跨全球26個國家、鎖定65個企業組織而來的攻擊行動</a>，這起攻擊高度針對政府機關而來，因為有三分之一（22臺）Exchange伺服器受害，但除此之外，也有針對IT、工業、物流業者的情況。駭客在這些郵件伺服器的Outlook Web Access（OWA）登入網頁植入惡意程式碼，目的是進行鍵盤內容側錄。值得留意的是，從受害規模來看，臺灣是最嚴重的國家之一，僅次於越南和俄羅斯。</p> <p>這波攻擊行動最早可追溯至去年5月，當時研究人員察覺有人在Exchange 伺服器的特定網頁當中，注入鍵盤內容側錄工具（Keylogger），後續研究人員發現多起相關攻擊事故，共通點就是使用完全相同的鍵盤內容側錄工具。他們進行深度分析，指出攻擊者使用的惡意程式大致分成兩種類型，其中一種是將竊得資料儲存於受害主機，但能從外界存取，另一種則是直接將竊得資料傳送到外部主機。</p> <p>究竟這些鍵盤內容側錄工具如何運作？一旦使用者存取OWA網頁並輸入帳密資料，惡意程式碼就會從網頁表單讀取並處理這些資料，向受害Exchange伺服器的特定網頁發送XHR請求。最終該網頁便會讀取請求內容，並將資料寫入伺服器上的某個檔案，供駭客存取。附帶一提，為了掩人耳目，這些惡意程式碼通常會嵌入於合法身份驗證功能clkLgn裡。</p> <p>值得留意的是，Positive Technologies特別提及這些Exchange伺服器存在多項已知漏洞的情況，例如：CVE-2021-31206、CVE-2021-34473、CVE-2021-34523、CVE-2021-31207，其中部分甚至存在11年前的CVE-2014-4078，這代表郵件伺服器可能長期未定期修補，而讓攻擊者有機可乘。</p> </div></div></div>
2025/6/27 13:50作者周峻佑https://www.ithome.com.tw/news/169772
IBM發布應用程式伺服器WebSphere更新，修補任意程式碼執行漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>6月25日<a href="https://www.ibm.com/support/pages/node/7237967">IBM發布資安公告</a>，指出應用程式伺服器WebSphere Application Server存在重大層級的CVE-2025-36038，影響9.0和8.5版，CVSS風險為9.0分（滿分10分）。值得留意的是，由於沒有其他的替代緩解措施，該公司呼籲企業IT人員應儘速處理。</p> <p>對於大型企業IT環境而言，WebSphere Application Server曾是相當重要的平臺，因為它是三大企業級 Java EE 應用程式伺服器之一，根據一些行銷科技公司的觀察，目前有兩千家企業採用。</p> <p>對於這項漏洞帶來的危害，IBM指出此漏洞能遠端利用，攻擊者若是透過序列化物件的序列（Sequence），就有機會讓在系統層級執行程式碼。</p> <p>值得留意的是，這次IBM發布的是<a href="https://www.ibm.com/support/pages/node/7237824">臨時修補套件PH66674</a>，企業IT人員必須將WebSphere Application Server升級到9.0.5.15或8.5.5.23以上版本，才能套用。但該公司也提到，這項漏洞的修補，也會在預計今年第三季推出的9.0.5.25、8.5.5.28版納入。</p> </div></div></div>
2025/6/27 11:57作者周峻佑https://www.ithome.com.tw/news/169768
CISA將AMI的BMC韌體滿分漏洞列入KEV
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週美國網路安全暨基礎設施安全局（CISA）<a href="https://www.cisa.gov/news-events/alerts/2025/06/25/cisa-adds-three-known-exploited-vulnerabilities-catalog">將3項資安弱點納入已遭利用的漏洞名單（KEV）</a>，並要求聯邦機構於7月16日完成修補，其中，最受到關注的是風險值達到滿分的CVE-2024-54085。</p> <p>這項漏洞最早在<a href="https://eclypsium.com/blog/ami-megarac-vulnerabilities-bmc-part-3/">今年3月由資安業者Eclypsium揭露</a>，存在於American Megatrends（AMI）基板管理控制器（BMC）系統MegaRAC，一旦攻擊者成功利用，就有機會遠端控制伺服器，造成主機板BMC或UEFI元件損壞，甚至無限循環地重開機，而且，該漏洞的影響範圍並非單一伺服器，攻擊者可透過資料中心環境發送惡意命令，導致所有伺服器集體受害。</p> <p>而對於漏洞的影響範圍，當時研究人員提及影響華碩、永擎電子（ASRock Rack）、HPE部分型號的主機板，其中<a href="https://www.ithome.com.tw/news/168581">4月下旬華碩對於4款工作站主機板發布新版韌體</a>，修補這項漏洞。</p> <p>究竟這項漏洞如何遭到利用，CISA並未進一步說明，有待後續研究人員公布相關調查結果。</p> <p>另外兩項被列入KEV的漏洞，分別是：D-Link路由器DIR-859路徑穿越漏洞CVE-2024-0769，以及Fortinet防火牆作業系統寫死密碼漏洞CVE-2019-6693，風險值為5.3、4.2。</p> </div></div></div>
2025/6/27 12:46作者周峻佑https://www.ithome.com.tw/news/169771
Salesforce執行長Marc Benioff宣稱AI已完成該公司3成以上的工作
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.youtube.com/watch?v=d-s-3V56o54&list=PLqq4LnWs3olV2nw7GgFjXHvxVc3T5hXXT&index=1" target="_blank">Salesforce共同創辦人暨執行長Marc Benioff周四（6/26）在彭博社（Bloomberg）的The Circuit with Emily Chang訪問節目中透露</a>，AI正在取代該公司內部涵蓋工程、撰寫程式碼、技術支援及服務等關鍵領域的人力，並已承擔30~50%的工作，而且他相信這樣的狀態會持續到他們挖掘AI所能從事的任何過去由人類擔任的工作。</p> <p>今年以來，Salesforce已裁撤1,000個職缺，Benioff將AI對勞動力帶來的衝擊稱為數位勞工革命，估計會部署價值3兆至12兆美元的數位勞工，涵蓋AI代理人到機器人。但同時Benioff也認為，這將推動人類從事更有價值的任務。</p> <p>在OpenAI於2022年11月推出一鳴驚人的ChatGPT之後，Salesforce在2023年就發表了Einstein GPT，以將OpenAI的模型整合到該公司的客戶關係管理（CRM）系統中，讓使用者可透過自然語言與AI互動，以此一「愛因思坦」（Einstein）為名的AI服務還有Einstein Copilot及Einstein Copilot Studio。</p> <p>接著Salesforce在2024年10月正式推出Agentforce平臺，專供企業用來建置與部署AI代理人，包括設計AI代理人感知環境或理解使用者的意圖並採取行動；也能整合內部應用與資料來源；或是自動執行跨系統流程，像是處理客訴、發送報價及安排業務任務等。<a href="https://www.ithome.com.tw/news/167675" target="_blank">並於今年3月發表AgentExchange市集</a>，以供客戶下載現成的AI代理人範本，也能在此導入各種技能模組來擴充代理人能力，並與生態夥伴共享代理人。</p> <p>Benioff認為，AI代理人就是用來提高效率與降低成本，估計Salesforce在今年年底前就能產出10億個AI代理人，而且現在已經有5,000家客戶正在部署AI代理人。</p> <p><a href="https://www.ithome.com.tw/news/169267" target="_blank">AI新創Anthropic執行長Dario Amodei日前警告</a>，AI將會消滅一半的入門級白領工作，且未來5年內的失業率可能因為AI而飆升至10%~20%。公開聲明公司內部有些職務會被AI取代的還有Amazon執行長Andy Jassy，<a href="https://www.ithome.com.tw/news/169603" target="_blank">Jassy認為AI是繼網路之後，最具革命性的技術，呼籲員工應該擁抱AI</a>。</p> </div></div></div>
2025/6/27 12:53作者陳曉莉https://www.ithome.com.tw/news/169770
思科揭露兩項網路存取控制平臺ISE滿分資安漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>6月25日思科發布資安公告，針對旗下網路存取控制（NAC）平臺Identity Services Engine（ISE），以及ISE被動身分識別連接器（ISE Passive Identity Connector，ISE-PIC）<a href="https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-ise-unauth-rce-ZAd2GnJ6">修補風險值達到滿分（10分）的重大層級漏洞CVE-2025-20281、CVE-2025-20282</a>，並指出若不盡快解決相關問題，攻擊者就能在未經授權的情況下，遠端於作業系統底層以root的身分發出命令。由於本月初思科才對ISE修補危險程度達到9.9分的<a href="https://www.ithome.com.tw/news/169401">重大漏洞CVE-2025-20286</a>，因此這批新漏洞的揭露，引起外界高度關注。</p> <p>這兩個漏洞都出現在ISE的特定API，皆為未經授權的遠端程式碼執行（RCE）漏洞。其中，CVE-2025-20281影響3.3版以上的ISE和ISE-PIC，CVE-2025-20282則影響3.4版以上的應用系統。值得留意的是，思科特別提及這些漏洞沒有其他緩解措施，企業IT人員應儘速套用相關更新因應。</p> <p>對於這些漏洞形成的原因，CVE-2025-20281源自於對使用者輸入的驗證不足，攻擊者可提交特製的API請求來觸發漏洞，從而得到root權限。思科特別提及，攻擊者不需事先取得有效帳密資料，就能利用這項漏洞。</p> <p>另一項漏洞CVE-2025-20282，則是因為缺乏檔案驗證檢查程序而造成，導致未經身分驗證的遠端攻擊者，能將任意檔案上傳具有特殊權限的資料夾。一旦攻擊者上傳特製的檔案，就有機會觸發漏洞，而能於受影響的系統存放惡意檔案、執行任意程式碼，或是取得root權限。</p> <p>附帶一提的是，思科本週也為ISE中度風險漏洞進行修補，這項漏洞是授權繞過漏洞CVE-2025-20264，風險值為4.9。</p> </div></div></div>
2025/6/27 10:53作者周峻佑https://www.ithome.com.tw/news/169766
臺灣第一個以企業科技品牌名稱加入FIRST，華碩電腦ASUS打造資安新里程碑，一趟務實的資安國際之旅
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在全球數位威脅日益複雜的今日，企業資安已不再是單純的技術防禦，更昇華為一種戰略高度與國際合作的體現。面對瞬息萬變的網路戰場，全球知名的電腦品牌華碩電腦（ASUS）去年12月宣布，正式加入國際資安事件應變小組論壇（Forum of Incident Response and Security Teams，FIRST），此舉不僅是該公司資安策略深化的重要里程碑，更彰顯其對產品安全和社群共好的積極承諾。</p> <p>華碩電腦資安長金慶柏表示，該公司此次選擇以企業品牌名稱「ASUS」加入FIRST，而非是以CSIRT或PSIRT名稱加入，就是跟國際品牌大廠，如Apple、Dell、HP等看齊，強調華碩電腦的資安，已經涵蓋資安事件處理的CSIRT，以及產品安全的PSIRT等兩種角色，不會有所偏廢。</p> <h2><strong>企業資安組織的蛻變，從虛擬團隊到專責中心</strong></h2> <p>華碩電腦的資安轉型之路，可追溯至2020年。華碩電腦資安部副理許宗仁指出，早在2020年5月，該公司便已成立「資訊安全委員會」。他表示，這個委員會在董事長的監督管理下運作，並已包含資訊安全事件應變團隊（CSIRT），以及產品安全事件應變團隊（PSIRT）的虛擬編組。</p> <p>「最初，華碩電腦內部資安議題缺乏跨團隊協調的平臺，各產品團隊在面對漏洞（如CVE申請）時，往往各自摸索解決方案。」許宗仁回憶道。而資安委員會的成立，正是為了解決這一痛點，讓各單位能將資安需求和遇到的問題提出討論，形成經驗交流的平臺，例如，對於產品漏洞如何申請CVE編號的工作，過去不同單位各自想辦法，現在則能透過委員會與TW-CERT建立統一的申請管道。</p> <p>資安長金慶柏回憶，他在2021年開始擔任資安長一職。華碩電腦在9月正式設立資安專責單位「數位安全中心」，並同時設立了資安長職位。</p> <p>金慶柏表示，這個時間點，其實早於主管機關對上市櫃公司設立資安專責單位，以及設立資安長的要求，充分展現了華碩電腦將資安「務實不務虛」的決心，並非僅為法規合規而已。當時，華碩電腦執行長已明確指示：「資安這件事情，沒事就沒事，但是，出事就是大事。」因此，高層拍板決定成立專責團隊。</p> <p>許宗仁進一步說明，在數位安全中心之下，他們於2023年1月1日成立「威脅監測暨事故回應部門」，此部門正是CSIRT和PSIRT的核心所在，同時涵蓋安全開發、安全架構及資安治理等職能。</p> <p>華碩電腦資安部經理劉諭聰補充說明，「數位安全中心」的成員組成廣泛，涵蓋至少15個事業單位，以及眾多功能性與核心運作單位，如人資、財務、法務、客服、公關、業務等。</p> <p>他表示，實際處理CSIRT相關事務的人員約有50人，形成一個龐大的虛擬團隊；這個團隊每月定期召開月例會，由資安長金慶柏主持，副董事長及兩位共同執行長皆會參與，目的就是確保高層的指示能有效傳達至各單位，並讓跨領域的單位也能提出資安相關的需求與考量。劉諭聰認為，這種跨領域的協作模式，大幅提升資安議題的可視性與回應速度。</p> <h2><strong>加入國際情資組織，用資安為品牌加分</strong></h2> <p>金慶柏強調，資安是一個「全世界共同的議題」。他深信，「一個人走得快，但是一群人走得遠」的道理，因此積極參與更多的國際資安組織與國際性展覽，不僅有助於企業教學相長、終身學習，更能建立資安領域所需的信任度。他表示，華碩電腦在2024年6月，便已前往日本福岡參加FIRST年會，作為加入該組織的先行準備。</p> <p>華碩電腦涵蓋電腦組裝主機板、AOD裝置、穿戴式裝置、筆記型電腦，乃至AI伺服器等多種產品線，金慶柏指出，他們不同於多數臺灣代工廠，客戶對其產品安全性有極高的要求，華碩電腦必須負起主要責任。</p> <p>他強調，華碩電腦作為國際品牌公司，產品行銷全世界，對產品安全的認知、要求和持續改善至關重要，這能增加華碩品牌與產品的附加價值。</p> <p>因此，他認為，加入FIRST有助於華碩電腦遵守全球性的法規要求，例如歐盟的《資安韌性法（Cyber Resilience Act，CRA）》，以及美國的《網路信任標章（Cyber Trust Mark）》；而透過與FIRST的交流，華碩電腦能深入了解國際社會在產品安全上的法規，以及未來要求。</p> <p>金慶柏也期許華碩電腦能藉此協助臺灣產業和公部門，在產品安全上，符合全球未來趨勢，推動「臺灣設計、臺灣製造」的產品安全理念。他提到，臺灣政府也高度重視資安，並關注全球ICT、消費性及IoT產品的資安法規，並協助臺灣廠商及早了解國際要求，因為許多產品的驗測需長達一年半的規畫，所以政府也將資安產業視為重要產業。</p> <p>此外，華碩電腦希望在產品安全上能有「加值效果」，讓從硬體、韌體、作業系統到應用程式的華碩電腦產品更加安全。金慶柏以瑞典Volvo汽車對安全的重視為例，闡明華碩電腦希望成為讓消費者信任的品牌，讓客戶想到「更安全的汽車」就會想到Volvo，這也可能帶來「優質標章」（Premium Label）的效果，提升產品售價，避免低價競爭。</p> <p>對於資安「高調會被攻擊」的迷思，金慶柏認為這是過時的想法。他指出，華碩電腦、臺積電、鴻海等公司之所以可能成為被鎖定目標，是因為這些企業夠大、獲利能力強，華碩電腦更是連續11年臺灣品牌價值第一名。他認為，許多駭客攻擊都是透過自動化工具進行，並不會因為企業是否「高調」而特別鎖定，除非是APT攻擊或網路間諜。</p> <h2><strong>如何落實內部協調與專業信任，成最大挑戰</strong></h2> <p>在華碩電腦資安組織的建立與運作過程中，劉諭聰與許宗仁坦言面臨不少挑戰。許宗仁指出，最大的困難在於與各事業單位進行協調的過程。他笑稱：「光是要派出什麼樣的人員參與，就有很多可以『吵』的」。</p> <p>許宗仁表示，資安中心要求各單位派出的成員必須具備一定層級、資歷與產業知識，才能有效對接並在事件發生時進行處理與通知。對此，他也進一步解釋，許多事業單位會質疑「做這件事情對我來講，有什麼幫助？」因此，難免有許多抗拒。</p> <p>為了解決這個問題，華碩資安中心設置三種角色：資安幹事、PSIRT成員、CSIRT成員，其中的資安幹事負責宣達策略，CSIRT成員處理資安事件調查，PSIRT成員則針對產品線特有的資安問題，提供專業協助。</p> <p>劉諭聰則將資安團隊的運作比喻為「里民服務」，他指出，華碩電腦內部的不同事業單位如同「各自山頭」，彼此的了解不深，資安中心扮演著「中間人」的角色，不僅要具備專業的資安背景，更需要極佳的溝通與協調能力。</p> <p>劉諭聰表示，資安團隊的成員，如許宗仁等，必須能夠面對來自近50個功能性及核心運作單位的各式各樣問題，從法務、財務、人資到客服、公關，都需要提供協助與建議。「這也考驗著團隊成員的熱情與耐心。」胎說</p> <p>此外，要獲得華碩電腦內部研發（RD）和IT團隊的信任，專業能力更是關鍵。劉諭聰強調，如果你不夠專業，或是你無法把問題的核心或是風險到底在哪裡，跟內部同仁說明或是跟他們做出證明的時候，其實是難以說服這些團隊的，信任感沒有辦法建立起來。</p> <p>許宗仁補充，有時需要直接將攻防過程展示給內部同仁看，例如，「某種攻擊手法是如何攻進企業內部，展示給同仁看，對方一看就知道了」、「某個地方如何提高防禦力，實際操作一次，同仁就明白了」。</p> <p>他認為，這不僅要求資安團隊成員具備高強的技術能力，也必須不斷追逐最新的資安新聞、技術趨勢與法規變化，以提供精準的分析與建議。許宗仁表示，團隊成員為此，每天都會閱讀全球資安相關新聞，以期能快速掌握最新法規變化，並即時傳達給業務團隊。</p> <h2><strong>加入FIRST必須經歷的嚴謹程序與SIM3評估</strong></h2> <p>談到加入FIRST的實際過程，許宗仁詳細說明了其嚴謹性。他表示，早在2018年就已得知FIRST這個組織，並在2023年進入華碩電腦後，向主管提出加入FIRST的建議，最終在2024年將其納入規畫。</p> <p>加入FIRST的首要步驟，是進行「SIM3成熟度評估表」（Security Incident Management Maturity Model）的自評。許宗仁解釋，SIM3是FIRST推廣的資安事件處理成熟度模型，其核心目的是評估並提升資安事件處理小組（包括：CSIRT、 CERT、SOC 等）的運作成熟度與能力。</p> <p>許宗仁指出，「這份評估表涵蓋了組織（Organizational，ORG）、人員（Human，HUM）、工具（Tools，TOOL）、程序（Processes，PROC）等四大面向，共約44個參數。」每個參數則以五級制（從0到4表示無到完善成熟）衡量成熟度。</p> <p>許宗仁表示，華碩在申請FIRST會員資格時，必須達到特定的成熟度要求，例如對於CSIRT職責的分配，就必須經由高階管理層核准，並要求達到等級三的標準。為了準備這份SIM3自我評估，許宗仁自行製作一份詳盡的中文英文對照表，標註FIRST會員資格所要求的必要項目，以便內部檢視與佐證。</p> <p>他指出，雖然官方估計SIM3自評僅需一週，但為了提供完整的佐證資料並確保萬無一失，他投入大量的時間進行文件整備，實際投入SIM3評估與文件整備的時間約在2到3個月。他表示，SIM3評估從2024年3月開始，文件整備則持續到10月底完成。隨後，華碩電腦在11月初提交了申請。</p> <p>申請過程還需要兩位推薦人（Sponsor）。華碩電腦的第一位推薦人是勤業眾信（Deloitte），第二位是TeamT5。許宗仁表示，推薦人不僅要在申請文件上背書，甚至會進行實地訪查，以確認申請單位確實符合資格。他說，華碩電腦的第一位推薦人勤業眾信，便在2024年11月1日進行了實地訪視，確認華碩符合資格。</p> <p>儘管從最初的資訊委員會成立到決定加入FIRST的意識（Awareness）階段較長，但許宗仁實際投入SIM3評估與文件整備的時間約在2到3個月。由於審核過程通常採取批次進行，華碩電腦的申請很快便獲得通過，成為FIRST的正式會員。</p> <p>值得一提的是，華碩電腦刻意選擇以「ASUS」這個公司及品牌名稱加入FIRST，而非單純常見的以CSIRT或PSIRT名稱加入，與Apple、Dell、HP等國際品牌商的做法類似。他強調：「這也代表華碩電腦的資安，已經涵蓋CSIRT和PSIRT的全部職能，展現出CSIRT/PSIRT全都要的決心。」</p> <p>此外，華碩電腦在2024年9月18日也正式成為CVE編號發放機構（CNA），是臺灣第11個CNA組織。許宗仁表示，這也讓華碩電腦能夠掌握自家產品CVE的發放節奏與時程，確保在漏洞對外揭露前，相關修補程式都已完成測試、派送，並促使客戶完成升級，將對客戶提供的資安保護極大化。他說，華碩電腦內部還為此開發CWE（Common Weakness Enumeration）查核系統，用以統計並減少持續發生的重複性弱點。</p> <h2><strong>加入FIRST帶來的質變與量變，加速情資分析與精準回應</strong></h2> <p>加入FIRST之後，華碩電腦資安團隊的日常運作產生了顯著的「質變」與「量變」。許宗仁指出，最直接的效益是能夠「更快接收到所有的全球情資與「最佳實務」。他表示，透過FIRST提供的每日新聞郵件，可以快速瀏覽全球的資安漏洞、威脅動態及法規變化，大幅減少自行蒐集資訊所需的時間與精力。</p> <p>此外，FIRST也提供名為「MISP」的平臺，許宗仁解釋，該平臺匯集了全球開源情資，包含俗稱IoC（Indicators of Compromise）的資料，讓華碩電腦能快速取得並利用這些資訊進行威脅分析。</p> <p>劉諭聰補充說明，這使得華碩電腦對於任何資安問題的「可視性」都提高了，並且，「整體回應（Response）的時間也持續縮短，華碩電腦就能夠更快應對來自長篇報告、漏洞通報、外部或內部資安事件的各種議題。」他說。</p> <p>在知識分享與團隊協作方面，加入FIRST後的效益更是顯著。許宗仁指出，透過FIRST的虛擬團隊模式及每月例會的經驗交流，華碩電腦內部各事業單位在資安認知上，能夠「對齊」。</p> <p>他進一步解釋，資安團隊會在例會中，分享各種資安事件的處理經驗與重大漏洞議題，確保團隊可以學到相關的知識；若有團隊曾經「受傷」（受駭），其經驗將回饋至整個華碩電腦，做到「不二過」。</p> <p>劉諭聰則強調，這樣的作為，使得華碩電腦能夠將重複、持續發生的弱點，以及開發方式有問題的部分，持續降低，大幅提升該公司的資安防護能力。</p> <p>另一個吸引劉諭聰的好處在於，加入FIRST後，華碩電腦資安團隊有機會參與FIRST的「特殊工作小組」（Special Interest Group，SIG），其中，他對華碩電腦加入「EPSS-SIG」（Exploit Prediction Scoring System SIG）興致勃勃。</p> <p>他指出，EPSS（Exploit Prediction Scoring System）用於預測CVE（Common Vulnerabilities and Exposures）漏洞，在未來30天內可被駭客利用可能性的動態數值，「這對於資源有限但面臨大量漏洞需修補的企業來說，極為實用。」劉諭聰說。</p> <p>他進一步解釋，傳統的CVSS分數雖高，但若缺乏實際利用率的資訊，仍難以有效判斷修補優先級；但是，現在透過EPSS，就可以更精準地評估全球範圍內漏洞被利用的狀況，從而優先修補那些真正高風險的漏洞。</p> <p>劉諭聰期待，透過參與此類工作組，能更深入了解這些數值的計算方式，甚至有機會參與未來的標準制定。目前華碩規畫將加入AI security、威脅情資、PSIRT，以及資料傳輸等特別工作組。</p> <h2><strong>引領產業標準、深化資安韌性，共築安全生態</strong></h2> <p>對於加入FIRST後的未來規畫與期待，金慶柏寄予厚望。他期許華碩電腦資安團隊能夠積極參與FIRST的各個工作組（SIG），不僅掌握最新資訊，更能在未來的標準制定上有所貢獻，甚至「代表臺灣扮演更重要的角色」。</p> <p>許宗仁表示，華碩電腦參與FIRST的最終目標是提升「整體資安韌性」，包括從FIRST接收到的各種國內「最佳實務」與資安議題，都回饋到公司的相關產品上。</p> <p>他強調，希望其他公司出現的漏洞情況，不要出現在華碩電腦產品上，藉此提升客戶對華碩電腦產品的信任度，而這種信任不僅限於電腦或手機等核心產品，也希望延伸到穿戴式裝置、IoT設備，甚至無線AP等網通產品，以確保用戶的隱私與資料安全，提供「兼顧簡單防護的功能」。許宗仁坦承，這是一條「漫漫長路」，但華碩電腦將持續努力。</p> <p>劉諭聰也補充，透過資安委員會，華碩電腦將不斷統計自家產品發出的CVE數量與分布，並邀請各團隊在月例會中分享改善與強化的方案。他指出，該公司各團隊將持續透過各種工具和流程，如源碼檢測、開源軟體組成分析等，協助各事業單位有效應對資安挑戰。</p> <p>最重要的是，劉諭聰表示，華碩電腦致力於建立「非常明確透明的通訊管道」，讓客戶能隨時聯繫華碩電腦反映問題，並且保證內部資安團隊會積極回應、確認與處理，確保漏洞問題不會在不同的產品線上重複發生，「藉此可以為所有華碩電腦軟體團隊，節省犯錯跟摸索的時間。」他說。</p> <p>華碩電腦加入FIRST，不僅是其資安能力獲得國際肯定的體現，更是對全球資安社群合作的積極回應。從早期資安委員會的建立，到專責數位安全中心的成立，再到成為FIRST成員，以及成為CVE發放機構，金慶柏表示，華碩電腦一步一腳印地強化自身資安體質，並將資安視為提升品牌價值與客戶信任的核心要素。</p> <p>此外，金慶柏協助創辦的「高科技資安聯盟」和「臺灣資安主管聯盟」，也正是華碩電腦資安策略中實現「社群共好」的縮影。他認為，資安工作有時會很孤單，透過建立平臺，可以讓資安人員了解產業現況與共同擔憂，並參考NIST、OWASP等國際指引，而非從零開始摸索。</p> <p>他強調，華碩電腦透過資安團隊持續的努力，不僅為自身產品築起堅固防線，更期盼能透過國際合作與社群貢獻，與各界攜手共築一個更安全、更值得信賴的數位生態系統。</p> <p> </p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/600-01_%E9%87%91%E6%85%B6%E6%9F%8F_%E8%8F%AF%E7%A2%A9ASUS_%E8%B3%87%E5%AE%89%E9%95%B7_20250122_%E6%B4%AA%E6%94%BF%E5%81%89%E6%94%9D.jpg" style="width: 600px; height: 399px;" /></p> <blockquote><p>華碩電腦資安長金慶柏表示，華碩電腦不同於其他代工業者，產品線多元，客戶對於產品的安全性也有一定的要求。因此，華碩電腦作為行銷全世界的國際品牌公司，需要一肩扛起資安的責任。攝影∕洪政偉</p> </blockquote> <div class="ui-widget-content ui-draggable" id="haloword-lookup" style="position: relative;"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"> </div> </div> <div id="haloword-content"> </div> </div> <div class="ui-widget-content" id="haloword-lookup"> <div id="haloword-title"> <audio id="haloword-audio"> </audio> <div id="haloword-control-container"></div> </div> <div id="haloword-content"> </div> </div> </div></div></div>
2025/6/27 11:25作者黃彥棻https://www.ithome.com.tw/news/169767
Swift程式語言將Android納入官方支援平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://forums.swift.org/t/announcing-the-android-workgroup/80666" target="_blank">Swift官方論壇（Swift Forums）周四（6/26）宣布</a>成立了Android工作小組（Android Workgroup），以推動Android成為Swift官方支援的平臺，可望簡化行動程式開發人員同時建置iOS與Android程式的流程。</p> <p>蘋果是在2014年正式推出Swift來取代Objective-C，以開發iOS、macOS、iPadOS、watchOS、tvOS以及visionOS等蘋果平臺的應用程式，並在隔年將它開源，接著於2020年釋出的Swift 5.3開始支援Windows與其它Linux發行版本。</p> <p><a href="https://www.swift.org/android-workgroup/" target="_blank">此一Android工作小組的主要工作內容</a>包括改善及維護Swift官方版本對Android的支援；改善Foundation與Dispatch等核心Swift套件，讓它們更適合在Android環境下運作；與平臺指導小組共同制定平臺支援等級標準，並努力讓Android獲得相對應的支援；確定所要支援的Android API版本；建立持續整合系統，以於Swift專案的提交審查過程中加入Android測試；制定Swift與Android Java SDK之間的最佳整合實務，以及如何將Swift函式庫打包到Android應用程式中；開發在Android上替Swift程式除錯的工具；以及協助各種社群Swift套件新增對Android的支援。</p> <p>有一派開發人員認為，此一宣布最大的影響在可於Android及iOS程式之間共享程式碼，最終可能會取代JetBrains替跨平臺所撰寫的Kotlin Multiplatform（KMP）。亦有另一派Kotlin（Google推薦的Android程式開發語言）的支持者認為，他們還是會使用Kotlin與KMP開發。</p> <p>身為Android Workgroup推手及跨平臺開發者的Marc Prud說明，在Android程式中使用Swift的程度取決於專案的需求，開發人員可以全面採用Swift，或是簡單地將它當作一種比C++更容易攜帶及維護的底層語言。</p> <p>要讓Swift融入Android體系還有許多挑戰尚待克服，例如可能會使得APK體積爆增、需重新撰寫使用者介面，以及若是要讓Swift及Java互相呼叫，必須透過複雜且成本較高的JNI（Java Native Interface），不若KMP簡單。</p> </div></div></div>
2025/6/27 12:09作者陳曉莉https://www.ithome.com.tw/news/169769
Citrix修補NetScaler重大層級的記憶體溢位漏洞，並指出已有遭到利用的情況
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>6月25日Citrix發布資安公告，針對應用交付控制器NetScaler ADC、安全閘道NetScaler Gateway<a href="https://support.citrix.com/support-home/kbsearch/article?articleNumber=CTX694788">發布緊急更新14.1-47.46、13.1-59.19版</a>，目的是修補重大層級的資安漏洞CVE-2025-6543，值得留意的是，Citrix在公告當中提及，此漏洞已有實際用於攻擊的情況。由於剛好<a href="https://www.ithome.com.tw/news/169735">有研究人員針對一週前公布的重大層級資安漏洞CVE-2025–5777提出警告</a>，並指出與一年半前造成嚴重災情的Citrix Bleed同樣危險，因此這次Citrix公布的新漏洞，格外受到關注。</p> <p>針對這項漏洞的性質，Citrix指出是記憶體溢位漏洞，有可能導致非預期的控制流程，或是造成阻斷服務的現象，4.0版CVSS風險評為9.2分。附帶一提的是，只要企業將NetScaler設備設置為VPN虛擬伺服器、ICA代理伺服器、無客戶端VPN伺服器（CVPN）、RDP代理伺服器等閘道組態，或是驗證、授權、計費（AAA）虛擬伺服器，就會曝險。</p> <p>附帶一提的是，他們特別提及這項漏洞可能還會影響零信任解決方案Secure Private Access，企業無論是採用內部環境建置或是混合雲模式部署，都會曝險，Citrix呼籲這些企業的IT人員也要更新搭配的NetScaler系統來因應。</p> </div></div></div>
2025/6/27 10:24作者周峻佑https://www.ithome.com.tw/news/169755
VCF大改版從5.2直接跳到9.0，從多產品套裝變成通管VM和容器的單一平臺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>博通最近發表VMware Cloud Foundation 9.0新版，直接從前一版5.2，直接跳到了9.0版。最大特色是統一了資料中心、邊緣環境和公雲基礎架構的單一整合平臺，也統一了虛擬機器、容器和K8s的管理方式和介面。</p> <p>VCF過去目標雖然是為了簡化資訊基礎架構的部署和生命週期管理，原本的VCF核心基礎設施套件，如vSphere、vSAN、NSX和vRealize Suite雖有彼此整合，但在先前版本，仍需針對不同的套件使用不同的工具和安裝，到了9.0才變成了一個統一平臺。</p> <p>VCF 9.0新版最大特色之一是，透過VMware Aria Suite（前身是vRealize Suite）提供了集中式的控制，可以跨私有雲和公雲工作負載的維運自動化管理介面。透過內建的VSK可以公平地原生支援虛擬機器、容器和K8s。VMware Tanzu 也整合到VCF中，Kubernetes叢集直接在vSphere上運作。</p> <p>像是在VCF Operations Console，提供管理者一站式的操作，取代原本多個獨立工具，來簡化私有雲管理。也針對開發團隊提供了VCF Automation Console，可支援基礎架構程式碼化（IaC）的工作流程，來支援自動化部署管理。</p> <p>另外，新版也有不少簡化，像是增加了應用程式快速啟動，可以縮短設定時間和複雜度。所有VCF元件現在都可透過單一安裝程式下載和安裝，大大簡化了安裝過程。還提供了自助式IaaS體驗設計，如提供的預先配置的基礎架構配置藍圖，可供開發人員快速選用。也提供了更自動化的生命週期管理，來簡化跨叢集升級排程，可以集中式IAM、SSO、密碼策略和憑證來確保部署環境的一致性。</p> <p>新版的目標是同時支援傳統和現代化的負載，提供單一介面和維運方式，來管理虛擬化的應用系統，雲原生工作負載，AI應用程式和傳統企業級資料庫。產品策略是將雲端維運膜是和公雲使用體驗導入到資料中心的管理。</p> <p>９.0版在網路功能也有新亮點，推出開箱即用的VPC，提供了自助式服務功能和自動整合，可以針對不同專案或用戶環境提供隔離環境，讓專案自助式存取子網路、NAT、防火墻規則和負載平衡配置。VPC整個生命週期的運作整合到VCF自動化工作流程和vCenter中，來簡化部署和使用的複雜度。</p> <p>新版提供了新的網路閘道器功能Transit Gateway，可以簡化VPC之間的通訊，以及與外部服務的連結，像是支援主機直連到實體網路，無需部署邊緣節點貨進階路由配置，來提高網路吞吐量和降低延遲。</p> <p>9.0另一個新特色是支援NVme快閃作為第二層記憶體，可以用來擴充整套私有雲基礎架構的記憶體，讓主機可以支援更多虛擬機器或容器。對於需要大量記憶體的應用系統，成本將對記憶體便宜的NVme快閃，可以成為降低整體成本的做法。</p> <p>針對GPU工作負載優化上，VCF 9.0強化了vMotion能力，可以做到搭載GPU的虛擬機器免停機轉移的vMotion能力，來提高AI推理工作負載的遷移靈活度和可靠性。vSAN ESA全域資料重複刪除能力，可以支援到叢集範圍的資料刪除，來降低叢集儲存成本。</p> <p>新版也針對主權雲架構，推出確保資料控制和合規性的機制，新功能是SecOps儀表板，可以提供全平臺安全性和資料控制的檢視，也能用來檢視整體合規性的策略。9.0也支援AMD和Intel最新的機密運算技術，可以在異質基礎架構上部署機密工作負載。</p> <p>過去兩年來，VCF的管理架構逐漸轉變，邁向更高度自動化、管理介面統一。在2023年6月推出5.0版，涵蓋了vSphere、NSX和vSAN，該年底11月升級到5.1版，強化核心SDDS功能。到了2024年7月，又推出了5.2版，該版特色提供了VCF匯入工具來簡化私有雲的轉移，也持續強化網路管理、主機生命週期管理、備份還原功能、身份管理等維運功能。</p> <p>過了一年，今年6月，VCF直接推出了從5.2版，跳到了9.0版，提供了統一管理介面、全新架構、自助式服務的VPC、單一安裝程式，通管VM、容器和K8s。<br /> 這也意味著，VCF從原本多套元件的套餐組合，變成了一套單一平臺的產品。</p> <p> </p> </div></div></div>
2025/6/27 10:30作者王宏仁https://www.ithome.com.tw/news/169763
蔡祈岩：不只培訓AI人才，臺灣要善用開源創造國際影響力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「臺灣很多企業普遍採用開源，但不重視奉獻，真正要培養人才，要讓員工有舞臺，企業應該鼓勵員工參與開源貢獻。」台灣大哥大資訊長蔡祈岩強調。</p> <p>臺灣許多企業普遍都會使用各式各樣的開源軟體，但是參與開源軟體開發和貢獻的企業相對較少很多。要將自己開發的軟體開源釋出，不是一件容易的事，不只要寫程式，還要懂得設計，寫的程式碼品質要夠好，相關文件要能滿足大家參考，遇到社群的問題要能解答，這些都是將開源後，維護成員要面臨的義務。蔡祈岩表示，這也意味著，有能力維護開源的軟體人才，是更有軟體能力的人才。</p> <p>「開源精神應該是臺灣下一步的發展。」蔡祈岩建議：「一方面可以鍛鍊人才，另一方面可以創造臺灣的國際競爭力。」</p> <p>他以法國為例，這幾年法國在AI競爭力快速提高的關鍵，正是法國積極擁抱開源文化。 </p> <p>在最新的國家AI競爭力排名《Global AI Index 2024》榜單中，這份用122項指標來評比全球83個國家的AI競爭力，美國和中國，不意外地分別是冠、亞軍，但新加坡名列第三，英國第四，而過去法國也搶下第5名。</p> <p>臺灣在這份人工智慧世界排名中名列24名，遠落後亞洲其他國家，不用說中國（第二）和新加坡（第三），連排名第六的南韓和排名第九的日本的國家AI競爭力，都遠遠超越了臺灣。</p> <p>舉例來說，AI圈最愛用的模型共享平臺，不是全球最大開源專案管理平臺GitHub，而法國企業家打造的機器學習社群平臺Hugging Face。但為何法國企業家，可以打造出全球最大的AI模型共享平臺Hugging Face，連各大科技巨頭都搶得跟這個社群合作發展AI生態圈。蔡祈岩認為，關鍵是法國力推的開源文化。</p> <p>法國非常積極推動開源文化，尤其是政府部門更是帶頭擁抱開源，早在2012年積極鼓勵政府優先採用開源軟體，2018年發布《國家開源貢獻政策》，鼓勵政府部門將新開發的程式碼開源。2021年更設立跨部會開源推廣任務，在每個部會指派協調開源政策執行的「資料、演算法與源碼管理專員」等做法。</p> <p>蔡祈岩表示，因為AI不只需要模型程式的分享，下載，還需要展示，測試等與開源專案管理不太一樣的特性，需要一個不一樣的共享平臺。法國積極參與開源的氛圍，讓他們的企業家更容易察覺AI技術發展的趨勢，可以說，法國有一個「AI鼻」，能嗅到AI創新發展的關鍵，才會發展出Hugging Face，這個全球開源AI生態發展的關鍵基礎。或像是法國AI獨角獸Mistral AI同樣也是用開源策略，來挑戰OpenAI，成了歐洲AI技術的領導者。這些開源加上AI的發展策略，讓法國在去年擠進了全球AI國家前五強。</p> <p>身兼IMA（中華民國資訊經理人協會）理事長的蔡祈岩，今年致力於透過協會力量來推廣臺灣開源發展。</p> <p>他指出，IMA今年想要與臺灣企業組成開源臺灣隊（Open Source Team Taiwan），一方面開始接觸有興趣的企業，以聯盟的形式合作。IMA角色是合作者，而非主導者，以扮演企業和開源社群之間的媒合為主。臺灣產業過去以硬體為主，現在許多科技大廠是靠軟體創造競爭力，例如Nvidia不只是GPU，更關鍵的是CUDA軟體開發框架。臺灣原本就有不少企業投入開源，例如聯發科、台灣大哥大或有多家老牌SI公司。「集結成開源臺灣隊，可以一起到開源世界中合作。」</p> <p>另一方面，則是透過舉辦獎項方式來鼓勵企業和個人投入開源的創新。從Github上更可以看到，臺灣已有數萬人投入開源，但這些公司和臺灣開源開發者卻少為人知。所以，IMA協會在今年進入第三屆的IT Matters Awards獎項，也新增加了開源社群貢獻獎和AI Selected獎，前者用來表揚長期推動開源文化、促進技術共享與社群活絡的臺灣貢獻者，而後者「AI Selected 獎」則包括了社會影響力獎和創新研發獎，來表揚臺灣用AI開發的服務或研發成果。</p> <p>早在2024年底，IMA就發起了一項臺灣語言通用語料庫（Taiwan Tongues）專案，計畫提供各種臺灣用語的開放語料，涵蓋華語、臺語、客語、原住民族語等語言，目前累積有十多位作家授權提供，超過600萬字。目前開放的語料涵蓋了小說、詩歌、論文與翻譯文本，計畫陸續增加臺灣客語、原住民族語與新住民語等其他語種的文本，可供AI模型用來訓練臺灣用語的能力，也就是說臺灣腔的能力。</p> <p>這項計畫的目標是，蔡祈岩解釋，在AI時代裡面，要讓全世界所有的AI都能夠懂臺灣，能講臺灣話，能夠說寫臺灣的文字，用臺灣的方法思考，來呈現符合臺灣的價值觀。</p> <p>除了蒐集AI可用的臺灣開放語料，今年七月初也計畫發表臺灣腔AI評測結果和評測標準，公布全球主要大型模型的臺灣腔能力評分。未來，還會推出一項開源工具，提供企業優化所用LLM模型的臺灣用語能力。</p> <p>參與臺灣腔計畫的作家，不只是授權自己的文字，也有作家願意未來幫忙糾正AI的臺灣腔訓練結果，審視AI生成的內容，幫忙標示出正確的臺灣用語。</p> <p>蔡祈岩強調：「臺灣不求變成軟體競爭力第一名，而是要盡快補上這個短版，避免拖累整體科技競爭力。追上最好的方法，就是擁抱開源。」</p> </div></div></div>
2025/6/27 09:10作者王宏仁https://www.ithome.com.tw/news/169758
【資安日報】6月26日，勒索軟體Dire Wolf鎖定臺灣、美國、泰國而來，科技與製造產業是主要標的
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>鎖定臺灣而來的資安威脅與日俱增，我們前天（24日）曾報導將臺灣視為主要目標之一的<a href="https://www.ithome.com.tw/news/169697">ORB網路LapDogs</a>，期還有其他新興的勒索軟體駭客組織，也是如此，研究人員正密切觀察當中。</p> <p>國內上市櫃公司熒茂光學、黑松發布資安重訊的消息，後續影響值得觀察；另外，有研究人員揭露新型態的網釣手法FileFix，號稱整個攻擊過程都會在瀏覽器進行，有鑑於這名研究員先揭露的ClickFix已被駭客廣泛運用，FileFix可能很快會有人試圖用在實際攻擊行動，使用者切勿掉以輕心。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169740"><strong style="font-size: 22px;">勒索軟體Dire Wolf鎖定科技業、製造業而來，攻擊範圍涵蓋臺灣等11個國家</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Figure 13_ Victims published on Dire Wolf Data Leak Site.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Figure%2013_%20Victims%20published%20on%20Dire%20Wolf%20Data%20Leak%20Site.jpg" style="width: 300px; float: right;" /></a></p> <p>新興勒索軟體不斷竄出，且在短時間就引起資安界關注的情況持續上演，我們先前介紹的CrazyHunter、NightSpire、Anubis都是如此，其中CrazyHunter、NightSpire都在臺灣發動攻擊，如今有新的駭客組織也將臺灣視為主要的攻擊目標，而相當值得留意。</p> <p>資安業者Trustwave揭露自今年5月開始活動的勒索軟體駭客組織Dire Wolf，此組織專門針對全球的製造業與科技業發動攻擊，目前號稱在臺灣等11個國家當中，對16個企業組織下手。研究人員指出，根據受害組織的數量，駭客偏重在美國、泰國、臺灣發動攻擊。</p> <p>這些駭客向受害組織勒索的策略，也與大部分駭客相同，採用雙重勒索來進行，不僅加密檔案，也竊取機密資料向受害組織施壓。研究人員從惡意軟體分析平臺VirusTotal取得勒索軟體程式，指出駭客使用Go語言開發，並透過UPX加殼來混淆分析。雖然目前他們只有看到Windows版本的檔案，但由於Go語言的跨平臺特性，研究人員認為，不久之後，這支勒索軟體可能也會發展出能在其他平臺執行的版本。</p> <p><a href="https://www.ithome.com.tw/news/169733"><strong style="font-size: 22px;">研究人員揭露新型態網釣手法FileFix，攻擊者濫用檔案上傳視窗執行惡意指令</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/filefix-1.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/filefix-1.jpg" style="width: 300px; float: right;" /></a></p> <p>最近兩年駭客在網路釣魚攻擊頻頻使用ClickFix的攻擊手法，他們在釣魚網頁當中假借系統錯誤、圖靈驗證等名義為誘餌，要求使用者點選特定按鈕，然後依照指示以快速鍵開啟執行視窗、貼上等操作來「修正」問題，但實際上，這麼做是將剛才暗中複製的惡意命令貼上並執行，使得駭客得以對受害電腦上下其手。如今這類手法出現變化，攻擊者有機會讓這種攻擊變得更加隱密。</p> <p>資安研究員Mr.d0x揭露名為FileFix的網釣手法，攻擊者可濫用瀏覽器的檔案上傳機制，要求使用者依照指示點選網站上的按鈕並開啟對話視窗，再使用快速鍵（Ctrl+L）或（Alt+D）選取網址列的內容，並貼上特定的內容，從而達到執行惡意命令的目的。研究人員指出，這種手法與他3年前提出的ClickFix手法有所不同，ClickFix必須引誘使用者離開瀏覽器並開啟執行視窗，但FileFix只需在瀏覽器的環境，就有機會讓攻擊者執行作業系統的命令。</p> <p>研究人員指出，這種手法不僅攻擊過程無須離開瀏覽器，若是在瀏覽器呼叫的檔案總管視窗執行惡意程式，還能突破Windows內建的Mark of the Web（MoTW）機制，此時攻擊者可正常啟動惡意酬載，該檔案的MoTW標記也會隨之消失。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=175439&SPOKE_DATE=20250623&COMPANY_ID=4729"><strong style="font-size: 22px;">科技業者熒茂光學遭遇檔案加密攻擊</strong></a></p> <p>專精於光學鏡片、觸控面板技術研發的熒茂光學，於6月23日在股市公開觀測站發布重大訊息，表示他們的資安單位察覺檔案遭到加密檔案的情況，隨即啟動防禦機制與復原作業。</p> <p>而對於這起事故可能會帶來的影響，該公司根據初步評估，表示對公司營運無重大影響，也沒有個資、機密或重要文件資料外洩的跡象。但這起事故是否與勒索軟體有關，有待進一步釐清。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=1&SPOKE_TIME=141531&SPOKE_DATE=20250625&COMPANY_ID=1234"><strong style="font-size: 22px;">飲料製造商黑松內部郵件通訊錄遭竊</strong></a></p> <p></p> <p>駭客鎖定郵件伺服器發動攻擊的情況，近期不時有事故傳出，而最近有一則資安重訊疑似與這類系統遭到入侵有關，因為他們提及，攻擊者外流該公司的內部通訊錄。</p> <p>6月25日知名飲料製造商黑松發布資安重訊，指出他們遭到網路入侵，導致內部郵件通訊錄外流的情況，目前尋求外部資安顧問協助處理，調查此事發生的原因。針對這起事故可能造成的影響，根據他們的初步評估，對於公司的營運無重大影響。</p>  <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/androxgh0st-botnet-expand-exploit-us-university-servers/">殭屍網路Androxgh0st擴大勢力範圍，鎖定美國大學伺服器下手</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/hackers-turn-screenconnect-into-malware-using-authenticode-stuffing/">遠端存取工具ScreenConnect遭濫用，駭客用於驗證碼填充攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/north-korean-hackers-pose-as-recruiters-target-developers/">北韓駭客假借徵才名義散布惡意NPM套件</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/hackers-turn-screenconnect-into-malware-using-authenticode-stuffing/">遠端存取工具ScreenConnect遭濫用，駭客用於驗證碼填充攻擊</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169739"><strong style="font-size: 22px;">Nvidia分散式訓練框架Megatron LM存在高風險漏洞，攻擊者可用於注入惡意程式碼</strong></a></p> <p>人工智慧當紅，相關的開發工具越來越重要，例如，訓練大型語言模型的工具一旦存在資安弱點，很有可能危害AI的運作。</p> <p>例如，6月24日Nvidia修補的分散式訓練框架Megatron LM，就是典型的例子，他們公布CVE-2025-23264、CVE-2025-23265兩個高風險的資安漏洞，它們都存在於特定的Python元件，攻擊者可藉由惡意檔案造成程式碼注入的現象，最終導致程式碼執行、權限提升、資訊洩露，或是資料竄改，CVSS風險為7.8分，影響0.12.0以前的所有版本，該公司發布0.12.1版Megatron-LM修補。</p> <p><a href="https://www.ithome.com.tw/news/169735"><strong style="font-size: 22px;">研究人員針對Citrix重大漏洞CVE-2025-5777提出警告，指出嚴重程度堪比Citrix Bleed</strong></a></p> <p>6月17日Citrix發布NetScaler ADC與NetScaler Gateway更新，修補重大層級的CVE-2025-5777（4.0版CVSS風險評為9.3），此為記憶體的越界讀取（OBR）弱點，起因是輸入驗證不充分造成，最近有研究人員公布更多細節，認為這項漏洞本質上與2023年揭露的Citrix Bleed（CVE-2023–4966）雷同，呼籲企業的IT人員要儘速採取行動因應。</p> <p>資安研究員Kevin Beaumont指出，CVE-2025-5777能讓攻擊者在特定組態的NetScaler設備上，讀取記憶體的內容，一旦NetScaler配置為Gateway或是驗證、授權、計費（AAA）虛擬伺服器，就會曝險。而對於攻擊者能挖掘的敏感內容，其中包含連線階段（Session）的Token，可被用於繞過多因素驗證（MFA）防護機制。而這種型態的弱點，本質上就和Citrix Bleed類似，因此Kevin Beaumont將CVE-2025-5777命名為「CitrixBleed 2」。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/critical-kibana-flaws-enable-heap-corruption/">圖像化分析平臺Kibana存在重大漏洞，恐導致記憶體中斷、遠端執行任意程式碼</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169405"><strong style="font-size: 22px;">以色列資安業者Cellebrite買下Arm架構虛擬化技術開發商Corellium</strong></a></p> <p>知名的數位鑑識業者Cellebrite宣布，將買下專注於Arm架構虛擬化技術的Corellium，Cellebrite將先支付1.7億美元的現金，未來兩年會再根據Corellium的業績最高額外支付3,000萬美元。雙方預計於今年夏天完成交易。</p> <p>Cellebrite表示，此交易將替數位鑑識與智慧裝置的安全性設定新標準，涵蓋iOS、Android、車用系統，以及所有基於Arm架構的物聯網裝置，不管是公共安全、國防、情報或私人企業等能因此而受益，以更快辨識行動裝置漏洞與攻擊手法，能夠看到並與虛擬裝置互動，全面提升所有基於Arm架構裝置的DevSecOps效率與速度，以及執行原生Arm架構的滲透測試等。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169715"><strong>【6月25日】勒索軟體Qilin提供加盟主法律咨詢服務引發資安界關注</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169703"><strong>【6月24日】中國駭客利用ORB網路LapDogs發動網攻，臺灣是主要目標之一</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169683"><strong>【6月23日】臺灣加密貨幣交易所幣託公布5月遭駭事故調查結果</strong></a></p> </div></div></div>
2025/6/26 16:09作者周峻佑https://www.ithome.com.tw/news/169742
AI趨勢周報第275期：CRM大廠推出新版AI代理服務，強化部署觀測性
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞（0620～0626）</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI代理 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 可觀測性 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Salesforce </span></strong></span></p> <p><span style="font-size: 22px;"><strong>CRM大廠推出新版AI代理服務Agentforce 3，強化部署觀測性</strong></span></p> <p>最近，CRM大廠Salesforce發布新版的AI代理平臺Agentforce 3，主打更高可觀測性、跨平臺互通和即時控管能力。進一步來說，Agentforce是Salesforce在去年10月推出的服務，他們引用即將發布的Slack調查，在過去半年內，全球AI代理使用量暴增了233%，且已有8,000多家企業註冊導入Agentforce。</p> <p>這次新版本加入了Command Center觀測中心，企業可即時追蹤AI代理健康狀況、錯誤率和任務執行成果，並透過即時警示快速介入調整。Agentforce 3還支援MCP，可與AWS、Google Cloud、Stripe、Notion等30多個工具整合，可將AI代理用於客服自動化、行銷流程、庫存查詢、帳務處理等多種情境。</p> <p>舉例來說，一家會計財務公司1-800Accountant就在今年報稅旺季，讓AI自動處理70%的行政對話，Grupo Globo則用來提高22%用戶留存率。Salesforce也指出，Agentforce 3內建超過100種操作和低程式碼設計，可讓企業快速上線客製化AI流程，落地AI人機協作。<a href="https://www.salesforce.com/news/press-releases/2025/06/23/agentforce-3-announcement/">（詳全文）</a></p> <p><img alt="" src="https://www.salesforce.com/news/wp-content/uploads/sites/3/2025/06/Salesforce-Introduces-Agentforce-3_-The-First-AI-Agent-Platform-Built-For-Businesses-to-Manage-Measure-and-Optimize-a-Hybrid-Workforce-at-Enterprise-Scale.png?w=768&h=432" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Gemini CLI </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI代理 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Google開源Gemini CLI，開發者專屬的AI代理登場</strong></span></p> <p>Google日前正式開源命令列AI工具Gemini CLI，主打將Gemini 2.5 Pro的強大能力整合進終端機，採用Apache 2.0授權，提供開發者跨平臺、本地端執行的AI協作體驗。透過自然語言指令，開發者可在命令列操作程式碼撰寫、除錯、檔案管理、任務自動化等流程。</p> <p>Gemini CLI技術亮點：</p> <p>1. 支援百萬Token脈絡：能處理龐大程式碼庫和複雜任務</p> <p>2. 整合Google搜尋與MCP：可擷取即時資訊並連結外部模型如Imagen、Veo、Lyria等，從CLI直接生成圖像、影片、音樂等多媒體內容</p> <p>3. 可高度擴充和自訂提示詞：開發者可針對工作流程客製化</p> <p>4. 與Gemini Code Assist技術同源：支援VS Code和命令列雙平臺，提供多步驟AI協作推理</p> <p>Gemini CLI免費配額高達每分鐘60次、每日1,000次請求，遠超同業的平均。使用者只需Google帳戶就能開始使用，開發者也能透過GitHub獲取原始碼並參與貢獻。<a href="https://blog.google/intl/zh-tw/products/cloud/gemini-cli-your-open-source-ai-agent/">（詳全文）</a></p> <p><img alt="" src="https://storage.googleapis.com/gweb-uniblog-publish-prod/original_images/Gemini_CLI_GIF.gif" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 微軟 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Mu </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Copilot+ PC </span></strong></span></p> <p><span style="font-size: 22px;"><strong>微軟公開小型語言模型Mu，強化Copilot+ PC端AI代理功能</strong></span></p> <p>微軟最近發布一套專為Copilot+ PC設計的小型語言模型Mu，主打可在裝置端本地執行，還應用於Windows系統中的「設定代理人」，使用者以自然語言就能快速調整數百項系統設定，如開啟飛航模式、調整螢幕亮度等。但目前只有Dev頻道中，使用Copilot+ PC的Windows Insiders測試者能使用。</p> <p>Mu以Phi模型為基礎、重新設計而成，採用Transformer架構，以數千億個教育語料預訓練，再用Phi模型進行知識蒸餾，最後以LoRA強化特定任務表現。Mu專為NPU裝置最佳化，在裝置端可達每秒200 token的推理速度，為降低資源占用，Mu採用了參數重新分配、權重共享和後訓練量化（PTQ）技術，使模型體積僅為Phi-3.5-mini的十分之一，但仍不犧牲效能。<a href="https://blogs.windows.com/windowsexperience/2025/06/23/introducing-mu-language-model-and-how-it-enabled-the-agent-in-windows-settings/">（詳全文）</a></p> <p><img alt="" src="https://winblogs.thesourcemediaassets.com/sites/2/2025/06/EncDec-1024x795.png" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 機器人模型 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Google DeepMind </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 視覺 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google推新款裝置端機器人模型，離線也能執行</strong></span></p> <p>最近，Google DeepMind揭露一款裝置端機器人模型Gemini Robotics On-Device，是首款可離線執行的Gemini視覺語言動作（VLA）模型，主打能直接部署於機器人上，不需網路也能完成複雜任務。該模型具備任務泛化與低延遲推論能力，特別適合網路不穩或對即時性要求高的場域。</p> <p>Gemini Robotics On-Device以Gemini Robotics模型為基礎改良而成，支援自然語言指令控制，能在雙臂機器人上進行如解開袋子拉鏈、折衣服等高難度操作。模型經優化後僅需極少算力即可執行，且支援微調，只需50到100次示範就能快速適應新任務。Google已釋出Gemini Robotics SDK與MuJoCo模擬環境，協助開發者測試與部署。該模型目前已可運行於ALOHA及Apptronik等第三方機器人平台，開發者只需加入信賴測試計畫，即可取得SDK。<a href="https://deepmind.google/discover/blog/gemini-robotics-on-device-brings-ai-to-local-robotic-devices/">（詳全文）</a></p> <p><img alt="" src="https://lh3.googleusercontent.com/Jt_Vw7PIJEZtXcMIKM1HbWbBCLxv7RUyjyf07eHp-YOfxMCUZA6mPI9kSCaz65UkMoGcZ8CwlD3dNBvy7bnnYchjSkWyN-SugglT3dmg1A9KdoDqdQM=w2144-h1206-n-nu-rw" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Imagen 4 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 圖片生成 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span></p> <p><span style="font-size:22px;"><strong>Google公測Imagen 4圖片生成系列模型</strong></span></p> <p>Google揭露最新圖片生成系列模型Imagen 4，並透過Gemini API和Google AI Studio開始公測。Imagen 4系列模型可分為2個版本，包括Imagen 4 Standard和4 Ultra，它們在文字渲染和生成的圖像品質，都比前一代Imagen 3要好很多。比起標準版，Imagen 4 Ultra具有更高的指令遵從能力，能精確根據用戶文字提示，生成更高品質的圖片。</p> <p>這兩款模型皆在AI Studio以預覽版提供付費公測。其中，Imagen 4 Standard每幀圖0.04美元，Ultra版則為0.06美元。開發者也可透過Gemini API測試Imagen 4。<a href="https://developers.googleblog.com/en/imagen-4-now-available-in-the-gemini-api-and-google-ai-studio/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI代理 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> FedGPT </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 工作流程 </span></strong></span></p> <p><span style="font-size:22px;"><strong>臺灣人工智慧實驗室推FedGPT AgentTeam平臺產品</strong></span></p> <p>臺灣人工智慧實驗室近日發表代理型AI產品<a href="https://fedgpt.cc/">FedGPT AgentTeam平臺</a>，結合在地化的多模態模型，支援離線執行能力和MCP協定，可讓企業打造專屬AI代理應用，來自動化完成內外部工作流程。</p> <p>FedGPT AgentTeam平臺後的模型，皆由開源LLM如Llama等微調而成，比如有以1,000億Token訓練出的通用模型、150億Token優化的醫療專業模型及10億Token訓練的金融模型。</p> <p>這款平臺具備三大功能，首先是AgentTeam RAG，支援企業多來源、多模態知識的資訊檢索，來提供更準確的回答。再來是AgentTeam Tuning，可用企業內部多模態資料，如文字、圖片、語音等來對模型微調，提高諸如語音辨識、語意理解的準確度。第三是AgentTeam Flow，提供低／無程式碼介面，來讓使用者自行建立公關發文、查帳等AI工作流程，還支援MCP可串接Slack、Gmail等第三方工具。未來，平臺也將支援 A2A（Agent-to-Agent）協定，進一步提升多代理AI間的協作能力。<a href="https://www.ithome.com.tw/news/169724">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Linux基金會 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> A2A協定 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI代理 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Agent2Agent專案轉移至Linux基金會</strong></span></p> <p>Linux基金會宣布，Google已將Agent2Agent（A2A）開放協定專案及相關軟體工具，正式捐贈給Linux基金會託管，並集結AWS、思科、Google、微軟、Salesforce、SAP、ServiceNow等多家科技公司參與，持續推動AI代理跨平臺和跨組織間的安全協作。</p> <p>A2A協定由Google發起，目標是解決AI代理在企業應用時，因平臺、框架、供應商不同，而導致代理間無法順利溝通的問題。A2A定義一套開放且可擴展的通訊語言，讓來自不同開發商、在不同平臺執行的AI代理，能安全地彼此溝通、交換資訊並協調任務。</p> <p>隨著專案轉移至Linux基金會旗下，A2A協定發展將進入社群導向的治理模式，Linux基金會將提供包括知識產權管理、技術規格改進和社群參與等基礎設施，確保A2A協定發展更加中立開放。Agent2Agent專案新一輪的發展重點，將涵蓋可信代理身分、授權管理、治理政策與代理安全等進階議題，強化代理間溝通的信任基礎，降低企業在導入AI代理協作的疑慮。<a href="https://www.linuxfoundation.org/press/linux-foundation-launches-the-agent2agent-protocol-project-to-enable-secure-intelligent-communication-between-ai-agents">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 模型評比 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Yupp </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> LLM </span></strong></span></p> <p><span style="font-size:22px;"><strong>Yupp推出AI模型評比平臺</strong></span></p> <p>AI新創Yupp近日推出人類評估系統，開放使用者比較500多款大型語言模型（LLM），包括ChatGPT、Claude、Gemini、Grok、Llama等，並依使用者回饋建立Yupp AI VIBE排行榜，涵蓋最受歡迎、最快、性價比最佳等類別。</p> <p>使用者提問後，系統隨機選出模型給出回應，並邀請用戶勾選優劣原因、提供意見回饋，即可獲得積分，這些積分可用於繼續使用模型或兌換獎勵。新註冊的使用者可獲得5,000積分，若只提問不參與評比，可能會被限制使用。Yupp由Twitter前主管Pankaj Gupta和Gilad Mishne在2024年創立，曾獲a16z領投的3,300萬美元種子資金。團隊強調，他們的目標是彙整大量用戶回饋、協助模型優化，讓AI更貼近人類需求。<a href="https://yupp.ai/">（詳全文）</a></p> <p>圖片來源／Salesforce、Google DeepMind、微軟</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. Mistral開源模型Small升級為3.2版</strong></p> <p><strong>2. <a href="https://biomni.stanford.edu/?utm_campaign=The%20Batch&utm_source=hs_email&utm_medium=email&_hsenc=p2ANqtz--vRYboX-Vrshi6EFG2BpZiySCxl_TYmVcIYV00dB6Bpli3B5fHLbQ38R3a93hS_fZr8Knd">史丹佛大學等研究者聯手打造Biomni，一款專精基因、病理、微生物、免疫和神經學的AI代理</a></strong></p> <p>資料來源：iThome整理，2025年6月</p> <div id="gtx-trans" style="position: absolute; left: 21px; top: 4986.26px;"> <div class="gtx-trans-icon"> </div> </div> </div></div></div>
2025/6/26 16:39作者王若樸https://www.ithome.com.tw/news/169746
專門「交易未來」的金融新創Kalshi創下20億美元估值
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://x.com/mansourtarek_/status/1937947818276339734" target="_blank">金融新創Kalshi共同創辦人暨執行長Tarek Mansour周三（6/25）透過X宣布</a>，該公司剛完成C輪融資，獲得1.85億美元的資金，估值已達20億美元。</p> <p>創立於2018年的Kalshi是家美國金融交易所及預測市場（Prediction Market），直至2020年11月才取得美國商品期貨交易委員會（CFTC）的許可，並於2021年正式上線。有別於傳統的期貨平臺主要交易能源、農產品、金屬、指數或貨幣期貨，Kalshi交易的是事件（Event），不管是經濟指標、天氣模式、投票結果、立法結果、產品的推出與否，預測某個事件到某個時間點的表現，大多只有正與否兩個選項，是個結合了金融與賭博的預測機制，以讓使用者「交易未來」。</p> <p><a href="https://kalshi.com/?category=all" target="_blank">Kalshi平臺</a>現在正在交易的事件包括，是<a href="https://kalshi.com/markets/kxmayornycparty/mayor-of-nyc-party-winner" target="_blank">誰會當選紐約市長</a>，<a href="https://kalshi.com/markets/kxfeddecision/fed-meeting" target="_blank">美國聯準會7月底時是否會降息或升息</a>，<a href="https://kalshi.com/markets/kxnobelpeace/nobel-peace-prize#kxnobelpeace-25" target="_blank">誰會獲得諾貝爾和平獎？</a>，或是<a href="https://kalshi.com/markets/kxaaagasm/us-gas-price" target="_blank">美國6月的平均油價</a>等。</p> <p>使用者是下注的是合約價格，例如0.01美元到0.99美元，事件完成後，獲勝的一方可獲得1美元，Kalshi營收則來自交易手續費。</p> <p>Mansour說，該輪增資活動是由Paradigm領投，其它參與者包括Sequoia、Multicoin、Peng Zhao、Neo及Bond Capital等，人們選擇在Kalshi工作並不是因為它們募到了資金，而是因為它們企圖建立地球上最重要的金融市場。</p> <p>Mansour指出，Kalshi不僅是美國發展最快的公司之一，也已讓預測市場成為主流，曾經以為不可能的事，如今看來已是必然。</p> <p>不過，<a href="https://help.kalshi.com/account/signing-up/is-kalshi-us-only" target="_blank">現階段Kalshi僅支援美國市場</a>，表明正在努力應對複雜的監管環境，以將它推廣至國際市場。由於註冊時需要美國居民的地址及社會安全碼，非美國居民亦無法直接開戶交易。</p> </div></div></div>
2025/6/26 16:49作者陳曉莉https://www.ithome.com.tw/news/169741
Nvidia分散式訓練框架Megatron LM存在高風險漏洞，攻擊者可用於注入惡意程式碼
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>人工智慧當紅，相關的開發工具越來越重要，例如，訓練大型語言模型的工具一旦存在資安弱點，很有可能危害AI的運作。</p> <p>例如，<a href="https://nvidia.custhelp.com/app/answers/detail/a_id/5663">6月24日Nvidia修補的分散式訓練框架Megatron LM</a>，就是典型的例子，他們公布CVE-2025-23264、CVE-2025-23265兩個高風險的資安漏洞，它們都存在於特定的Python元件，攻擊者可藉由惡意檔案造成程式碼注入的現象，最終導致程式碼執行、權限提升、資訊洩露，或是資料竄改，CVSS風險為7.8分，影響0.12.0以前的所有版本，該公司發布0.12.1版Megatron-LM修補。</p> <p>Megatron-LM是專門訓練GPT、BERT、T5等大型語言模型的分散式深度學習訓練框架，用於因應在訓練數十億至數千億個參數的模型時，面臨的運算瓶頸與記憶體限制，並能與Nvidia的NeMo框架整合運用，透過DGX A100、H100等GPU叢集運作。因此，上述的漏洞若不處理，很有可能影響模型安全。</p> </div></div></div>
2025/6/26 14:51作者周峻佑https://www.ithome.com.tw/news/169739
勒索軟體Dire Wolf鎖定科技業、製造業而來，攻擊範圍涵蓋臺灣等11個國家
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>新興勒索軟體不斷竄出，且在短時間就引起資安界關注的情況持續上演，我們先前介紹的<a href="https://www.ithome.com.tw/tags/crazyhunter">CrazyHunter</a>、<a href="https://www.ithome.com.tw/news/168544">NightSpire</a>、<a href="https://www.ithome.com.tw/tags/anubis">Anubis</a>都是如此，其中CrazyHunter、NightSpire都在臺灣發動攻擊，如今有新的駭客組織也將臺灣視為主要的攻擊目標，而相當值得留意。</p> <p>資安業者Trustwave揭露自今年5月開始活動的<a href="https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/dire-wolf-strikes-new-ransomware-group-targeting-global-sectors/">勒索軟體駭客組織Dire Wolf</a>，此組織專門針對全球的製造業與科技業發動攻擊，目前號稱在臺灣等11個國家當中，對16個企業組織下手。研究人員指出，根據受害組織的數量，駭客偏重在美國、泰國、臺灣發動攻擊。</p> <p>這些駭客向受害組織勒索的策略，也與大部分駭客相同，採用雙重勒索來進行，不僅加密檔案，也竊取機密資料向受害組織施壓。研究人員從惡意軟體分析平臺VirusTotal取得勒索軟體程式，指出駭客使用Go語言開發，並透過UPX加殼來混淆分析。雖然目前他們只有看到Windows版本的檔案，但由於Go語言的跨平臺特性，研究人員認為，不久之後，這支勒索軟體可能也會發展出能在其他平臺執行的版本。</p> <p>一旦Dire Wolf惡意軟體執行，會先使用vssadmin、wmic、wbadmin等公用程式刪除磁碟區陰影複製（Volume Shadow Copy）服務的備份資料，使用bcdedit阻止使用者進行系統還原，然後透過公用程式wevtutil清除Windows事件記錄，最終再使用Curve25519與ChaCha20演算法加密檔案，並留下勒索訊息。罕見的是，駭客還會檢查受害電腦是否有重複加密檔案的情況，但為何要這麼做，研究人員沒有說明。</p> </div></div></div>
2025/6/26 15:35作者周峻佑https://www.ithome.com.tw/news/169740
美國開始評估以加密貨幣作為借貸抵押資產
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://x.com/pulte/status/1937944964656152800" target="_blank">美國聯邦住房金融局（Federal Housing Finance Agency，FHFA）局長William Pulte周三（6/25）透過X表示</a>，他已指示美國兩家抵押貸款組織Fannie Mae（房利美）與Freddie Mac（房地美）進行評估，以將加密貨幣列為借貸抵押資產。Pulte還說，這是經過大量研究後的決定，同時響應美國總統川普（Donald Trump）讓美國成為全球加密貨幣之都的願景。</p> <p>由美國政府監管與資助、但皆屬於私人企業的房利美與房地美主要執行政府住房政策，它們向銀行或其它放貸機構購買美國人的住房抵押貸款，再將這些貸款打包成證券以於二級市場出售，其存在讓美國銀行可釋出更多房貸，於美國住房金融體系中扮演關鍵角色。</p> <p>過去美國人要申請房貸時，必須證明自己有足夠的資產，例如存款或股票，就算持有比特幣，也要先賣掉並換成美金才能當作資產證明，新的指示則是讓加密貨幣直接當作資產，前提是相關資產必須存放在由美國監管的交易所中。</p> <p>Pulte表示，這是因為加密貨幣可能提供股市與債市之外的財富累積機會，但過去並未被納入房貸風險評估流程，把加密貨幣視為資產，將協助房利美與房地美全面評估準備金資產資訊，進而協助信用良好的借款人實現可持續的房屋所有權。因而指示這兩個機構分別提案，以將加密貨幣納入單一家庭抵押貸款風險評估流程中，但在實施任何變更之前，必須先取得董事會批准，再提交至FHFA審核。</p> <p>此一命令僅說是加密貨幣（Cryptocurrency），並沒有指名幣別，但外界認為Pulte所說的應該只有比特幣（Bitcoin）。</p> </div></div></div>
2025/6/26 14:28作者陳曉莉https://www.ithome.com.tw/news/169738
研究人員針對Citrix重大漏洞CVE-2025-5777提出警告，指出嚴重程度堪比Citrix Bleed
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>6月17日Citrix發布NetScaler ADC與NetScaler Gateway更新，<a href="https://www.ithome.com.tw/news/169656">修補重大層級的CVE-2025-5777</a>（4.0版CVSS風險評為9.3），此為記憶體的越界讀取（OBR）弱點，起因是輸入驗證不充分造成，最近有研究人員公布更多細節，認為這項漏洞本質上與2023年揭露的<a href="https://www.ithome.com.tw/tags/citrix-bleed">Citrix Bleed</a>（<a href="https://www.ithome.com.tw/tags/cve-2023-4966">CVE-2023–4966</a>）雷同，呼籲企業的IT人員要儘速採取行動因應。</p> <p><a href="https://doublepulsar.com/citrixbleed-2-electric-boogaloo-cve-2025-5777-c7f5e349d206">資安研究員Kevin Beaumont指出</a>，CVE-2025-5777能讓攻擊者在特定組態的NetScaler設備上，讀取記憶體的內容，一旦NetScaler配置為Gateway或是驗證、授權、計費（AAA）虛擬伺服器，就會曝險。而對於攻擊者能挖掘的敏感內容，其中包含連線階段（Session）的Token，可被用於繞過多因素驗證（MFA）防護機制。而這種型態的弱點，本質上就和Citrix Bleed類似，因此Kevin Beaumont將CVE-2025-5777命名為「CitrixBleed 2」。</p> <p>雖然截至目前為止尚未傳出漏洞遭到實際利用的情況，但Kevin Beaumont透過物聯網搜尋引擎Shodan，找到全球有56,556臺NetScaler設備存在漏洞，而有可能成為駭客鎖定的目標。其中，又以美國、德國、澳洲曝險的數量最多，分別有13,745、6,810、4,101臺。</p> </div></div></div>
2025/6/26 11:29作者周峻佑https://www.ithome.com.tw/news/169735
國網中心新AI超級電腦Nano 5助攻，加速半導體研發、AI產業發展
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>國網中心最新的AI超級電腦晶創25（Nano 5），以13.06PFlops，在今年6月500大超級電腦中取得118名，並開始對外徵案，以算力資源加速國內半導體研發、AI產業發展。</p> <p>Nano 5從去年便規畫建置，為我國新一代AI超級電腦，它採用21臺Nvidia H100及16臺Nvidia H200伺服器，總計296片的Nvidia Hopper計算加速器，總體效能達16PFlops，兼在今年6月全球500大超級電腦排名中，Nano 5首次以Rmax達13.06PF排名第118位，在Green 500也名列72位。</p> <p>Nano 5的加入使得臺灣在全球500大超級電腦的數量，從原本的7個增加到8個，Nano 5算力也僅次於正崴與Ubilink（45.82PFlops，全球排名41位）及Nvidia建置的TAIPEI-1（22.30PFlops，全球排名72位）。</p> <p>由於建置經費來自晶創台灣方案，因此Nano 5的設計目的之一便是，以晶片創新驅動臺灣，為扶植國內的半導體發展，特別是南方的半導體產業發展，今年3月國網中心對外徵案，以Nano 5的算力協助半導體晶片相關技術研發，本周也對外展示徵案成果，包括新思科技、日月光、鴻海研究院、仁寶電腦、群聯電子，以及陽明交大、成功大學等產學研究成果。</p> <p>除了推動半導體產業技術研發，Nano 5另一目標是扶植國內AI產業化及產業AI化的發展，結合Nano 5的GPU算力，國網中心也建置雲端AI開發平臺，稱為TAIWAN AI RAP，降低開發門檻，整合開源AI基礎模型，例如TAIDE、Llama、Phi系列、Mistral，簡化AI訓練及數據處理，讓企業或軟體業者可以在平臺上開發AI應用。</p> <p>國網中心在3月底已啟動TAIWAN AI RAP試營運，第一波在3月底到4月之間對外徵案，開放企業、軟體或新創業者申請，根據AI應用開發的相關資料進行審查，如果審查通過，提出申請的業者將能獲得2到3個月免費使用算力資源；第二波對外徵案在今年6月至7月受理。</p> <p>除了Nano 5，政府正推動AI基礎建設，國網中心負責建置國家級超級電腦，例如今年底同樣在晶創台灣方案支持下，將建置100PF的超級電腦，加上大南方新矽谷推動方案的支持，國網中心未來4年將陸續擴建新的超級電腦，預期到2029 年達到總算力480PF的目標。</p> </div></div></div>
2025/6/26 13:46作者蘇文彬https://www.ithome.com.tw/news/169720
Meta也贏得以版權內容訓練AI的官司，但法官澄清是控方論點太薄弱
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>有13名作者在2023年連袂控告Meta沒有取得授權，就利用他們的作品來訓練大型語言模型Llama，<a href="https://storage.courtlistener.com/recap/gov.uscourts.cand.415175/gov.uscourts.cand.415175.598.0.pdf" target="_blank">法官Vince Chhabria於本周裁決</a>，原告的證據不足，因此駁回此案，但Chhabria強調，此一裁決並不代表他支持Meta使用受版權保護的內容來訓練大型語言模型是合法的。</p> <p>跟<a href="https://www.ithome.com.tw/news/169713" target="_blank">Anthropic被告侵權的案件</a>一樣，控方指控Meta透過諸如Library Genesis等各種非法的影子圖書館下載大量的圖書以用來訓練模型，此外，這13名作者還指控Meta以此訓練的模型可複製書中文字，屬於未經授權的內容重製，還說Meta損害了作者授權其作品來訓練大型語言模型的能力。</p> <p>Chhabria指出，控方的這兩個論點都站不住腳，因為Llama並無法從原告的書籍中生成足夠長度的文本，此外，就算控方是作品的版權所有人，但他們並沒有權利擁有或控制「將作品授權給AI訓練」的市場。</p> <p>換句話說，法官認為，「將作品授權給AI訓練」這個市場本身並非版權法的保護範圍，作者無法因為一個新科技應用的出現，就自動擁有從中獲利的權利。</p> <p>然而，Chhabria其實是替作者感到憂心的。他坦承，合理使用並無明確規則，得視具體情況，現在所有的AI公司都主張他們的使用是具轉化性的（可創造出不同於原作的新功能或意義），但問題在於業者創造出了一個產品（AI），有能力嚴重損害原作品的市場，同時削弱人類創作的動機，在合理使用的原則下，對版權作品的傷害比業者使用這些作品的目的還重要。</p> <p>Chhabria還提出了一個控方可能勝訴的論點：Meta抄襲原告的作品並創造一種產品，該產品可能會讓類似的作品充斥市場，從而稀釋了市場。可惜控方只是敷衍帶過此一論點，也沒有提出證據來證明Llama會稀釋其作品的市場。</p> <p>雖然在Anthropic及Meta的案件中，AI模型開發商都取得了優勢，但Chhabria並不同意另一位法官William Alsup的論點，也批評AI公司宣稱不利於它們的版權裁決會阻礙AI發展是個非常荒謬的說法，因為如果業者必須使用受版權保護的作品來訓練模型，而且AI將帶來數十億或數兆美元的收入，那麼它們就會想辦法補償版權持有人。</p> </div></div></div>
2025/6/26 13:47作者陳曉莉https://www.ithome.com.tw/news/169737
研究人員揭露新型態網釣手法FileFix，攻擊者濫用檔案上傳視窗執行惡意指令
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近兩年駭客在網路釣魚攻擊頻頻使用<a href="https://www.ithome.com.tw/tags/clickfix">ClickFix</a>的攻擊手法，他們在釣魚網頁當中假借系統錯誤、圖靈驗證等名義為誘餌，要求使用者點選特定按鈕，然後依照指示以快速鍵開啟執行視窗、貼上等操作來「修正」問題，但實際上，這麼做是將剛才暗中複製的惡意命令貼上並執行，使得駭客得以對受害電腦上下其手。如今這類手法出現變化，攻擊者有機會讓這種攻擊變得更加隱密。</p> <p>資安研究員Mr.d0x揭露<a href="https://mrd0x.com/filefix-clickfix-alternative/">名為FileFix的網釣手法</a>，攻擊者可濫用瀏覽器的檔案上傳機制，要求使用者依照指示點選網站上的按鈕並開啟對話視窗，再使用快速鍵（Ctrl+L）或（Alt+D）選取網址列的內容，並貼上特定的內容，從而達到執行惡意命令的目的。研究人員指出，這種手法與他3年前提出的ClickFix手法有所不同，ClickFix必須引誘使用者離開瀏覽器並開啟執行視窗，但FileFix只需在瀏覽器的環境，就有機會讓攻擊者執行作業系統的命令。</p> <p>簡單來說，FileFix運用的是網頁要求使用者上傳檔案的功能，由於過程裡瀏覽器呼叫了Windows檔案總管視窗，供使用者選取想要上傳的檔案，而檔案總管的網址列可用來執行作業系統命令，成為這次研究人員利用的標的。</p> <p>附帶一提的是，使用者看到檔案上傳的對話框很可能會不予理會攻擊者下達的指示，依照自己的使用習慣選取想要上傳的檔案，但攻擊者可在網頁加入額外的程式碼，讓這些使用者看到錯誤訊息而乖乖就範。</p> <p>研究人員指出，這種手法不僅攻擊過程無須離開瀏覽器，若是在瀏覽器呼叫的檔案總管視窗執行惡意程式，還能突破Windows內建的Mark of the Web（MoTW）機制，此時攻擊者可正常啟動惡意酬載，該檔案的MoTW標記也會隨之消失。</p> <p>針對這種攻擊手法的發現，突顯了由瀏覽器呼叫的Windows檔案總管不僅能執行各式各樣系統命令，恐有過多權限的情形，甚至還有機會成為攻擊者突破作業系統內建防護機制的管道，不過，究竟這些算是瀏覽器或Windows的問題？研究人員並未說明，他僅有提出用戶自保的方法，那就是檢查瀏覽器的處理程序是否挾帶了特定的子處理程序，例如：cmd.exe、powershel.exe、mshta.exe。我們認為，很有可能需要微軟與瀏覽器業者共同合作，才能防範FileFix與相關的手法。</p> </div></div></div>
2025/6/26 10:41作者周峻佑https://www.ithome.com.tw/news/169733
Google開源命令列AI工具Gemini CLI
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google周三（6/25）基於寬鬆的Apache 2.0授權，<a href="https://github.com/google-gemini/gemini-cli/tree/main" target="_blank">開源了命令列AI工具Gemini CLI</a>（Command Line Interface），它整合了程式開發助理工具<a href="https://www.ithome.com.tw/news/167570" target="_blank">Gemini Code Assist</a>，可用來存取Gemini 2.5 Pro及其100萬個Token的脈絡視窗，目前仍為預覽版。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0626-google%20gemini%20CLI-GitHub.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／GitHub</span></span></p> <p>Gemini CLI擅長各種程式碼任務，包括理解程式碼、撰寫程式碼、操作檔案、執行命令，以及動態故障排除等，允許使用者透過自然語言來撰寫程式碼、除錯與簡化工作流程，<a href="https://blog.google/technology/developers/introducing-gemini-cli-open-source-ai-agent/" target="_blank">然而Google強調</a>，他們打造Gemini CLI的目的是讓它發揮更多功能，因此它是款多功能的本地端工具，可廣泛應用在內容生成、解決問題、深入研究與任務管理上。</p> <p>事實上，Gemini CLI內建了許多進階工具，包括可利用Google搜尋來強化回應，藉由模型脈絡協定（Model Context Protocol，MCP）或擴充功能來延伸Gemini CLI能力，可客製化提示與說明，以及可將Gemini CLI整合到自動化的腳本程式中。</p> <p>因此，使用者可利用Gemini CLI來查詢或編輯大型程式碼庫；透過Gemini的多模態能力以自PDF或草圖中生成新的應用程式；也能自動處理開發流程中的各種任務，像是查詢Pull Request或是執行複雜的Git rebase；利用工具及MCP伺服器來連結其它AI模型，不管是文字生成圖像的Imagen、文字生成影片的Veo，或者是文字生成音樂的Lyria，讓使用者利用CLI指令直接生成多媒體內容。</p> <p>Google在昨天發表Gemini CLI之後，旋即掀起開發者社群的熱烈討論，不僅是因它的功能強大，也因它號稱提供了業界最高的免費額度，只要登入Google帳戶，除了可存取目前最強大的Gemini 2.5 Pro模型之外，每分鐘最多可支援60次的請求，每天支援1,000次請求。</p> <p><a href="https://techcrunch.com/2025/06/25/google-unveils-gemini-cli-an-open-source-ai-tool-for-terminals/" target="_blank">TechCrunch</a>與<a href="https://arstechnica.com/ai/2025/06/google-is-bringing-vibe-coding-to-your-terminal-with-gemini-cli/" target="_blank">Ars Technica</a>引用Google的說法，指出上述免費額度已是Google內部團隊使用量的兩倍，應該足夠每個人使用而不超出限制。</p> </div></div></div>
2025/6/26 11:41作者陳曉莉https://www.ithome.com.tw/news/169736
Google DeepMind公布可執行在機器人端的Gemini模型不需網路也能執行
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://deepmind.google/discover/blog/gemini-robotics-on-device-brings-ai-to-local-robotic-devices/" target="_blank">Google DeepMind部門本周公布</a>一款能執行在機器人上的Gemini Robotics On-Device，不需網路也能執行，並且具備高度任務泛化能力。</p> <p>今年3月，Google介紹了一款視覺語言動作（vision language action，VLA）模型，將Gemini 2.0的多模態推理和實體世界理解能力帶進機器人領域。而本周Google DeepMind進一步公布Gemini Robotics On-Device，是該公司可直接執行在機器人上的最強大模型。且由於Gemini Robotics On-Device的模型運作不依賴資料網路，因而適合對延遲性十分敏感的應用程式，在頻寬不穩甚至沒有網路地區也能穩定運作。</p> <p>Gemini Robotics On-Device是雙臂機器人的基礎模型，只需最少的運算資源。它是建立在Gemini Robotics的任務泛化及靈活性基礎上而開發。Google強調它設計宗旨是快速實驗、靈活操控，能透過微調適應新任務，而且能在本地執行低延遲性的推論。</p> <p>Gemini Robotics On-Device能在多種測試場景展現強大的視覺、語意和行為泛化能力，超越Gemini Robotics和其他裝置上執行的模型，且能遵從自然語言指令，透過在機器人端執行而完成高難度任務，像是解開袋子拉鏈，或折疊衣服。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0626-Gemini%20Robotics%20On-Device%20model-600.jpg" style="width: 600px;" /></p> <p><span style="color: rgb(105, 105, 105);"><span style="font-size: 14px;">圖片來源／Google</span></span></p> <p>Gemini Robotics On-Device也是Google首個開放微調的VLA模型。它在未微調情況下也能執行眾多任務，但開發人員還是可以加以微調以適應新領域，過程中開發人員只需給予50到100次示範。</p> <p>Gemini Robotics On-Device是以ALOHA機器人訓練，但Google示範，經過微調，也能執行在第三方廠商的機器人，如德國Apptronik的<a href="https://franka.de/franka-research-3" target="_blank">Franka FR3</a>雙臂工業機器人或<a href="https://apptronik.com/apollo" target="_blank">Apollo</a>人型機器人。</p> <p>Google並釋出<a href="https://github.com/google-deepmind/gemini-robotics-sdk" target="_top">Gemini Robotics SDK</a>，可幫開發人員評估Gemini Robotics On-Device用於其環境下或任務的效能，他們也可以利用Google幾年前<a href="https://www.ithome.com.tw/news/147343" target="_blank">釋出</a>的<a href="https://github.com/google-deepmind/aloha_sim" target="_blank">MuJoCo物理模擬函式庫</a>測試模型，並快速適應其他新領域。開發人員現在只要報名加入信賴測試員計畫即可存取SDK。</p> </div></div></div>
2025/6/26 09:24作者林妍溱https://www.ithome.com.tw/news/169728
行政院召開今年度生技產業策略諮議委員會預備會議，鎖定AI賦能、精準健康等6大議題
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>行政院今日舉辦2025年度生技產業策略諮議委員會（BTC）預備會議，透過跨部會與國內外委員交流，來盤點過去一年政策推動成果，並討論接下來的生醫產業發展策略，涵蓋AI賦能應用、醫療資訊與健康數據、精準健康和全人照護等6大面向，來讓國家政策更貼近社會和民眾需求。</p> <p><span style="font-size:22px;"><strong>預備會議鎖定6大面向，還聚焦主權AI與資料保護</strong></span></p> <p>這場預備會議由行政院政務委員吳誠文主持，請來了國內外委員，各個專精不同領域，如新藥開發、資料科學、Bio-ICT、智慧醫療等。同時，會議也召集國科會、衛福部、經濟部、金管會、數發部、中研院、教育部、農業部、財政部、國發會、國發基金、個資委員會籌備處等12個相關部會機關代表。</p> <p>他們透過跨部會與國內外委員交流，先是盤點近年政府推動生醫、精準健康等領域政策成果，像是全國性醫療費用資訊平臺上線、加速醫療資訊系統互通串接、開發國產生醫及智慧農業晶片技術應用、輔導國產數位醫材拓銷海外市場、成立癌症新藥基金、鼓勵企業ESG揭露員工健康指標等。</p> <p>接著，他們針對6大面向，包括AI賦能應用、醫療資訊與健康數據、精準健康與全人健康照護、人才與資金、落地發展與市場准入、國際鏈結與市場布局等議題和未來政策方向進行討論，將於BTC會議8月25日至27日正式登場時揭露更多內容。</p> <p>行政院也揭露未來政策推動方向，包括強化推動在宅醫療科技，從民眾需求出發，減輕醫護負擔。同時也要發展AI驅動藥物開發，加速本土新藥上市，另也將由公私協力，帶動健康數據服務產業發展。他們希望透過各項重要生醫政策，來提高國人健康福祉，同時促進產業發展，提升臺灣生醫競爭力。</p> <p>吳誠文指出，面對AI技術快速發展和地緣政治變局，對臺灣是挑戰也是轉機。他認為，臺灣應將半導體和AI等高科技優勢與生醫產業緊密結合，並匯集產、學、研、醫各界能量加速前瞻技術研發，持續培育跨域人才，推動AI在生技醫藥領域的實質落地應用。</p> <p>他也表示，政府將善盡資料保護的責任，並持續發展臺灣主權AI，推動在宅醫療科技、健康數據服務、智慧醫療等應用，結合健保制度改革，來跨部會推動讓民眾有感的「健康台灣」政策。</p> <p>2025生技產業策略諮議委員會將於8月25日至27日正式登場，會議主軸鎖定臺灣永續力、生醫新動能，延續各部會政策推動成果、聚焦討論AI與半導體等前瞻科技應用，以及產業韌性、環境建構、國際布局等議題，要規畫臺灣生醫產業發展藍圖。</p> <p></p> </div></div></div>
2025/6/25 20:27作者王若樸https://www.ithome.com.tw/news/169725
臺灣人工智慧實驗室推出FedGPT AgentTeam平臺產品，瞄準RAG、微調和自建工作流程3大功能
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>臺灣人工智慧實驗室（Taiwan AI Labs）今日宣布推出代理型AI產品FedGPT AgentTeam平臺，主打多專家小模型架構、多模態、可離線執行且用語高度在地化等特色，還支援MCP協定，能整合企業內外部工具與資料，來更自動化完成作業流程。</p> <p><span style="font-size:22px;"><strong>代理AI平臺3大功能：RAG、微調、自建工作流程</strong></span></p> <p>進一步來說，這款FedGPT AgentTeam平臺由大型語言模型（LLM）驅動，整合了語音辨識（ASR）、文字轉語音（TTS）和影像與視覺問答（VLM）等多模態AI模型，能以低程式碼/無程式碼形式提供服務。</p> <p>臺灣人工智慧實驗室創辦人杜奕瑾指出，這款產品的目的，是要將企業內部複雜流程自動化，而產品背後的模型則是以Llama等主流開源LLM為基礎，再以收集到的資料來優化為各種基礎模型。</p> <p>比如他們有以1,000億個Token訓練出具備臺灣知識的通用模型、以150億Token優化的具備臺灣醫療專業模型，以及用10億Token訓練的臺灣金融專用模型等。</p> <p>就整個FedGPT AgentTeam平臺來說，主要有3大功能，包括可以理解企業專屬知識的AgentTeam RAG、能讓員工訓練出符合專業需求大腦的AgentTeam Tuning，以及可用拖拉式建立代理工作流程的AgentTeam Flow。</p> <p>臺灣人工智慧實驗室核心平臺產品總監杜長城解釋，AgentTeam RAG可用於專業知識問答，他現場示範，給FedGPT AgentTeam平臺一張特斯拉股票走勢圖，並詢問特斯拉執行長馬斯克與美國總統川普決裂的那天，特斯拉股價變化如何，AI除了根據圖中描述給出說明，也會加上圖表文字未說明的下跌百分比（如下圖）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E7%89%B9%E6%96%AF%E6%8B%89.JPG" /></p> <p>又或是給一張自2018年至2024年的每年度可轉債成交金額長條圖，AI可以給出詳細的趨勢解讀，包括一些年份小幅下降，但整體走勢是上漲的（如下圖）。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%90%E4%BA%A4%E9%87%91%E9%A1%8D.JPG" /></p> <p>總的來說，AgentTeam RAG支援多格式、多來源、多模態的知識檢索與生成，能處理圖片、圖表、影片、語音、文字等非結構化資料。臺灣人工智慧實驗室補充，AgentTeam RAG也會判斷問題難易度，選擇最合適的解題方式。</p> <p>再來，AgentTeam Tuning可支援企業內部專業語境，進行多模態模型微調（fine-tuning），如文字、圖表、語音、圖片等。杜長城在現場展示，一段背景音吵雜的護理錄音，若沒有以專業資料微調，模型無法給出正確的語音轉文字答案。而有了專業資料微調，就能辨識出專業術語和藥物名稱（如下圖）。這些資料也可依使用者需求，匯入到醫療資訊系統中。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%BE%AE%E8%AA%BF.JPG" /></p> <p>另一方面，使用者也能在後臺查看，模型微調前後的差異，並測試、比較版本差異。</p> <p><span style="font-size:22px;"><strong>用AgentTeam Flow自建發文和查帳工作流程</strong></span></p> <p>而AgentTeam Flow是一款流程設計功能，提供低／無程式碼介面，就算沒有專業背景的企業員工，也能快速上手，自動化加速跨部門作業。</p> <p>臺灣人工智慧實驗室產業方案總經理黃佳欣指出，他們自己就用這個功能，來用於公關發文作業。他現場示範，建立一套發稿工作流程（如下圖），可細分為內容生成引擎和標題創意發想兩大類。在內容生成引擎中，又可分為負責社群貼文的社群小編角色，以及產出正式新聞稿的公關專員。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%85%AC%E9%97%9C.JPG" /></p> <p>首先，他們將訪談內容輸入在右側的聊天欄，FedGPT會詢問生成樣式，如社群貼文還是新聞稿，並根據需求產出相應的文章，接著也能產出候選標題。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%A8%99%E9%A1%8C.JPG" /></p> <p>另一個例子是，臺灣人工智慧實驗室打造的雅婷客服Agent工作流程。黃佳欣解釋，早年他們推出雅婷逐字稿服務，隨著客戶數增加，不少人會打電話詢問帳單資訊。通常，團隊需要手動查詢系統，輸入帳號、查詢帳單，再告知客戶。這個流程繁瑣，因此團隊決定打造Agent流程來自動化查詢。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%9B%85%E5%A9%B7%E5%B8%B3%E5%96%AE.JPG" /></p> <p>他們將任務分流，包括帳號驗證、通報和轉介真人服務。由於AgentTeam Flow支援MCP協定、作為MCP Client端，能與同樣支援MCP的外部工具，比如企業協作工具Slack、Gmail等。在這個例子中，就能將通報結果串接Slack，來傳遞資訊。</p> <p>臺灣人工智慧實驗室還預告，未來將支援Agent to Agent（A2A）協定，來互通AI代理的資訊、更精準完成任務。未來，平臺也會納入對更多模型的支援。</p> <p><span style="font-size:22px;"><strong>產業應用範例：金融客服訓練員</strong></span></p> <p>杜奕瑾指出，FedGPT模型本身具備強大的本土知識和用語。比如在臺灣認知測試中，FedGPT分數高達81.4 分（滿分 100 分），遠高於中國的千問模型（44.3 分）和 Deepseek（38.7 分），顯示模型對臺灣語境的理解和使用上有極大優勢。</p> <p>FedGPT目前也已應用在不同領域，如醫療、金融、教育、公部門等，花蓮慈濟醫院、輔大醫院、東華大學、台新銀行等皆已使用。</p> <p>在發表會現場，也有一家專攻金融業客服服務的廠商華厚，現場展示一套金融客服訓練員，可讓金融專員更快上手。這套金融客服訓練員背後串接不同LLM，FedGPT也在其中，能扮演顧客角色、分析專員的回答並給建議。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%87%91%E8%9E%8D(1).JPG" /></p> <p></p> <div id="gtx-trans" style="position: absolute; left: 357px; top: 7134.4px;"> <div class="gtx-trans-icon"> </div> </div> </div></div></div>
2025/6/25 19:30作者王若樸https://www.ithome.com.tw/news/169724
Mastercard攜手Chainlink，讓35億持卡人可直接購買加密貨幣
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.mastercard.com/us/en/news-and-trends/press/2025/june/mastercard-chainlink-crypto.html?utm_source=chatgpt.com" target="_blank">全球支付巨頭萬事達卡公司（Mastercard）周二（6/24）宣布</a>，與區塊鏈預言機技術開發商Chainlink Labs合作，推出名為Swapper Finance的新平臺。這項合作讓全球超過35億張Mastercard信用卡與金融卡，首次具備直接購買加密貨幣的能力，無需仰賴中心化交易所，突顯出傳統支付系統與去中心化金融（DeFi）的接軌。</p> <p>過去民眾若要進入加密貨幣市場，通常需先註冊Binance、Coinbase等交易所帳戶，完成電子郵件、身分證件與手機驗證後，才能入金購幣，資產亦需選擇由交易所託管或轉至自有錢包。Swapper Finance的出現，簡化了這一繁複過程。</p> <p>在Swapper介面上，用戶僅需輸入想購買的幣別與金額，並以Mastercard信用卡或金融卡付款，系統即會啟動完整的區塊鏈交易流程：Shift4負責後端支付授權；Mastercard完成資金清算；Chainlink的預言機系統（oracle）則將「支付成功」這項鏈下事件回報鏈上，觸發智慧合約；由ZeroHash將法幣轉換為加密貨幣；並透過XSwap或Uniswap等去中心化交易所進行幣兌幣交易，最後將資產直接傳送至使用者錢包，全程去中心化且透明。</p> <p>其中，Chainlink Labs的預言機技術負責鏈下付款資訊的驗證與轉譯，確保交易流程安全無誤，並支援智慧合約的自動化執行，被視為是傳統金融與區塊鏈系統間的關鍵橋梁。</p> <p>萬事達卡指出，這是首次有主流支付網路實現大規模、直達去中心化交易所的加密貨幣購買服務，Swapper的出現大幅降低了用戶進入DeFi世界的門檻。</p> <p>萬事達卡區塊鏈暨數位資產執行副總裁Raj Dhamodharan則說，這才是加密貨幣在現實世界中應有的樣子，與Chainlink的合作，將徹底改變人們使用金融卡參與鏈上金融的方式，進一步推動數位資產的普及，以讓全球數十億人口更容易進入加密經濟。</p> </div></div></div>
2025/6/25 16:18作者陳曉莉https://www.ithome.com.tw/news/169719
【資安日報】6月25日，勒索軟體Qilin提供加盟主法律咨詢服務引發資安界關注
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期竄起的勒索軟體駭客組織Qilin再度引起研究人員關注，原因是這些駭客在加盟主（Affiliate）向受害組織談判的過程，新增了法律顧問的協助機制，這樣的做法前所未見，後續效應相當值得觀察。</p> <p>專門針對Fortinet防火牆、Minecraft玩家的惡意軟體攻擊，也同樣值得IT人員和玩家提高警覺；此外，微軟在提供個人Windows 10用戶延伸安全更新（ESU）的做法上，出現付錢以外的機制，替許多短期內難以升級的用戶解套。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169710"><strong style="font-size: 22px;">勒索軟體Qilin提供加盟主法律咨詢服務，意圖向受害組織施加更多壓力</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Qillin-image14.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Qillin-image14.jpg" style="width: 300px; float: right;" /></a></p> <p>資安業者Cybereason、Qualys公布針對Qilin的長期追蹤結果，Cybereason主要指出這些駭客在其他同行面臨關閉、基礎設施遭駭、成員背叛的情況下，趁勢崛起、壯大，甚至接收部分組織的基礎設施來擴大規模；Qualys則是公布Qilin發展作案工具的演進過程，並指出這些會透過多種管道入侵受害組織。</p> <p>但這兩家資安業者都提到一件事而引起大家的注意，那就是駭客為加盟主（Affiliate）提供名為「呼叫律師（Call Lawyer）」的功能，藉由在談判過程為加盟主提供法律方面的協助，從而施加法律風險的壓力，目的是增加受害組織付錢的意願，而這樣的做法，在勒索軟體網路犯罪生態圈裡，可說是首見。</p> <p>呼叫律師到底有什麼功能？Cybereason指出，顧名思義，自然是Qilin的法律顧問會提供加盟主相關的法律建議，並介入雙方談判的聊天室，他們這麼做的目的，一來是讓加盟主能有更具體的法律資訊和受害組織談判贖金金額，再者就是律師出現在聊天室，本身就能對受害組織產生額外的壓力，原因是企業通常不願陷入法律訴訟，而更有機會選擇付錢了事。</p> <p> </p> <p><a href="https://www.ithome.com.tw/news/169714"><strong style="font-size: 22px;">惡意軟體Umbrella Stand、Shoe Rack鎖定Fortinet防火牆而來</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/ZGdiyiSeym.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/ZGdiyiSeym.jpg" style="width: 300px; float: right;" /></a></p> <p>英國國家網路安全中心（NCSC）上週針對惡意軟體Umbrella Stand、Shoe Rack發布資安公告，它們都是專門針對特定產品線的防火牆FortiGate 100D系列而來，因此引起NCSC的注意。</p> <p>針對Umbrella Stand的部分，NCSC指出它是一系列的二進位檔案工具包，攻擊者疑似利用防火牆的資安弱點滲透並進行部署，用途是建立能夠存取受害組織內部網路環境的長期管道。此惡意軟體包含遠端Shell與Beacon的功能，並透過AES加密與C2之間的連線。</p> <p>另一個惡意程式Shoe Rack為後利用工具，攻擊者可藉由遠端Shell或TCP隧道存取受害設備並使用。此惡意程式使用DNS-over-HTTPS（DOH）與C2建立連線來隱匿蹤跡，但由於不尋常地使用SSH通訊協定，使得防守方有機會發現相關活動。此惡意程式以Go語言開發，一旦執行，就會透過寫死的C2網址連向指定的SSH主機。</p> <p><a href="https://www.ithome.com.tw/news/169665"><strong style="font-size: 22px;">Minecraft遊戲玩家遭到鎖定，駭客假借提供修改工具竊取帳密資料</strong></a></p> <p>駭客鎖定遊戲玩家的情況不時有事故傳出，最近有一起專門針對知名遊戲Minecraft玩家的攻擊行動，引起研究人員高度關注。</p> <p>資安業者Check Point揭露專門鎖定Minecraft玩家的多階段攻擊行動，駭客使用名為Stargazers Ghost Network惡意軟體分派服務（Distribution as a Service，DaaS），假借Oringo和Taunahi等Minecraft修改模組（Mod）散布惡意軟體，從而竊取電腦機敏資料。</p> <p>特別的是，駭客的第一階段惡意程式下載工具與第二階段的竊資軟體存在共通點，它們都是以Java打造而成，而且必須倚賴受害電腦的Minecraft遊戲主程式才能運作。第三與最終階段的惡意程式皆為.NET竊資軟體，原因是駭客開發了額外的功能。</p> <p><a href="https://s4.itho.me/sites/default/files/images/V8URAMTG6O-rId38.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/V8URAMTG6O-rId38.png" style="width: 580px;" /></a></p> <p><a href="https://www.ithome.com.tw/news/169577"><strong style="font-size: 22px;">流量導向系統HelloTDS散布假圖靈驗證程式，感染數百萬裝置</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/HelloTDS-Figure2.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/HelloTDS-Figure2.png" style="width: 300px; float: right;" /></a></p> <p>Gen Digital安全研究人員發現駭客利用名為HelloTDS的流量導向系統（Traffic Direction System，TDS）散布假CAPTCHA等惡意程式，已感染430萬臺用戶裝置。</p> <p>近來發生數波FakeCaptcha變種攻擊，曾在2024年秋天肆虐，駭客使用假的網站圖靈驗證機制騙取造訪用戶點擊，並在受害者電腦植入LummaC2等惡意程式。研究人員相信這幾波變種攻擊背後，都來自一個由駭客控制的流量導向系統（Traffic Direction System，TDS）網路，並將之稱為HelloTDS，能辨識用戶裝置和網路資訊，藉此決定下載竊密、竊財或其他目的的惡意程式。</p> <p>HelloTDS至少在今年4、5月開始就感染了超過430萬用戶。以絕對值而言，受害者以美、巴西、印度和西歐最多，但考量人口及受害者比例，相對風險以巴爾幹半島、及盧安達、埃及、坦尚尼亞和肯亞等非洲國家最高。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/filefix-attack-weaponizes-windows-file-explorer-for-stealthy-powershell-commands/">研究人員揭露新型態網釣手法FileFix</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/06/hackers-target-65-microsoft-exchange.html">逾70臺Exchange Server遭鎖定，駭客企圖挖掘帳密資料</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/sonicwall-warns-of-trojanized-netextender-stealing-vpn-logins/">SonicWall警告駭客散布木馬化的SSL VPN用戶端程式，用戶帳號恐遭挾持</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/06/hackers-exploit-misconfigured-docker.html">濫用組態不當的Docker API挖礦再度出現，這次駭客透過洋蔥網路得逞</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://hackread.com/mocha-manakin-malware-nodeinitrat-via-clickfix-attack/">惡意軟體Mocha Manakin透過Click網釣散布，目的是於受害電腦部署NodelnitRAT</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169709"><strong style="font-size: 22px;">微軟新增Windows 10用戶兩種取得延伸安全更新的方案、開放企業訂閱</strong></a></p> <p>Windows 10將在今年10月終止技術支援，但仍有許多用戶不打算升級Windows 11，而是希望為Windows 10「續命」，因此，微軟罕見在去年宣布，過往只提供企業用戶的付費延伸安全更新（Extended Security Updates，ESU），個人用戶也能以30美元的代價得到1年份的Windows 10更新，如今微軟宣布新增方案，讓Windows10個人用戶以Microsoft Rewards點數、或是啟用雲端備份Windows設定換取ESU，透過這兩種方法，用戶就能在無須付費的情況下獲得ESU更新。</p> <p>附帶一提的是，微軟也正式開放企業用戶購買Windows 10的ESU，最長提供3年更新，本方案依PC臺數計價，第一年每臺61美元，第二年122美元，第三年244美元。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169703"><strong>【6月24日】中國駭客利用ORB網路LapDogs發動網攻，臺灣是主要目標之一</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169683"><strong>【6月23日】臺灣加密貨幣交易所幣託公布5月遭駭事故調查結果</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169658"><strong>【6月20日】北韓駭客BlueNoroff在Zoom視訊利用AI深偽技術對企業員工網釣</strong></a></p> </div></div></div>
2025/6/25 13:11作者周峻佑https://www.ithome.com.tw/news/169715
不只瞄準GAI流程和資料整合需求，SAP更大揭各產品線AI發展藍圖
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年是科技廠商競相展現產品GenAI能力的一年，傳統IT業者紛紛開始在自家產品中支援最新的GenAI和AI助手。日前ERP龍頭SAP就在臺展示重新推出的Business Suite，尤其展示了多項業務情境的GenAI應用，像是可以用自然語言要求AI助手分析供應鏈交貨情況。SAP也揭露了多項產品線在2025年的AI發展藍圖，從ERP、人資管理、客戶體驗到程式開發工具都有。</p> <p>SAP日前在臺灣舉辦研討會，展示了多項生成式AI的應用場景。SAP策略不是推出一套超強的生成式AI產品，而是在原有產品線中嵌入不同的應用場景和工具，目前已經發表了230個AI情境，可供企業自行整合到所用的SAP產品，例如SAP供應鏈管理。SAP預計今年底增加到400種生成式AI應用場景。<br /> 圖為 Joule供應鏈管理AI助手，可以自動建立採購申請單，也可以分析SAP產品中的所有供應鏈資訊，來提供進階分析圖表，例如分析供應鏈中的事故風險，哪些訂單生產可能受到供應鏈事故的影響等。</p> <p>不過，目前可以提供整體供應鏈風險分析，例如展示中的事故分析助手，但是AI助手還無法進一步，比較不同供應來源影響或風險的組合分析，提供如供應商更換建議或安排等更細緻的供應鏈管理需求。</p> <p>在展示現場，也有IT主管擔心，這類供應鏈管理助手的出現，可能削弱了真人供應鏈管理員的當責能力，將供應鏈決策失利或出錯的責任，推給生成式AI，或者是IT部門，推說供應鏈成效不彰都是IT部門的系統建議不夠好。原本是供應鏈管理部門的業務決策責任，卻因此變成了IT部門的責任，這也成了在場IT主管評估生成式AI輔助決策的成熟度衡量條件之一。</p> <p>現場有IT主管表示，希望能取得所有員工在供應鏈AI助手中的提問，以及這些提問所產生的AI分析建議和圖表，一方面用來了解第一線供應鏈管理人員遇到哪些實務問題，另一方面則用來比較AI助手提出的建議和分析圖表的成效，是否對供應鏈管理帶來實質幫助。不過，SAP目前雖然提供了不同場景的Joule助理，但還無法將員工與這些助理的對話內容整套匯出的功能。</p> <p>新任亞太區Business Suite業務負責人 Verena Siow指出，全球企業高階主管都面臨了更複雜的流程，企業流程要融合人、資料和平臺，才能有更好的效果。</p> <p>Verena Siow解釋，舊版Business Suite主要是地端的解決方案，現在則加上AI優先策略，在提供的應用系統中搭載AI。</p> <p>從企業管理角度來看，單看ERP、HR、採購、客戶體驗等不同業務領域個別系統的資訊已經不夠，需要達到資料和流程的縱向整合，重新推出的Business Suite想要提供端到端的全程服務， Verena Siow表示，不用一次導入所有套件，企業可依據需求和準備度來考慮採用其中的哪些套件。</p> <p>重新推出的SAP Business Suite（商業套件）涵蓋了三大特色，第一是整合了SAP的雲端ERP流程和資料，如HR、採購、財務流程。第二是提供了新的資料整合服務SAP Business Data Cloud，這是SAP與Databricks合作的SaaS服務。可以整合和管理SAP旗下產品的資料，包括了 SAP Datasphere、SAP Analytics Cloud和SAP Business Warehouse，還可以連結到第三方的資料源，也可以整合第三方工具資料治理工具Collibra、資料串流處理工具Confluent和機器學習AI自動化工具DataRobot等。</p> <p>SAP臺灣暨香港澳門總經理陳志惟表示，SAP會持續擴充 Business Suite的功能，尤其會加強數據整合方面的功能，2年前，企業得花力氣自己整合非SAP來源的第三方數據，現在可以使用現成的數據整合跟決策工具。</p> <p>第三項特色則是提供了SAP Business AI解決方案，SAP提供了超過230個AI情境，讓企業直接套用，預計2025年擴充到400個AI情境。也包括了一款AI助手Joule，「這個助手既是Copilot，也是不同用途的AI代理，就像虛擬管家，來提供即時可用的資訊。」目前全球已有3萬4千家企業導入這套解決方案，像渣打銀行就將Joule導入到全球 85,000員工。</p> <h3><span style="color:#FF0000;"><strong>SAP揭露了今年的AI產品發展藍圖</strong></span></h3> <p><span style="color:#FF0000;"><strong><img alt="" src="https://s4.itho.me/sites/default/files/images/SAP%E4%BB%8A%E5%B9%B4AI%E8%97%8D%E5%9C%96.png" /></strong></span></p> <p>Verena Siow表示，SAP產品聚焦企業流程的應用層級，可以應用到不同的LLM模型技術上，企業可以依據自己的需求來選擇適合的LLM。預計AI助手Joule今年可以涵蓋到SAP八成的服務。</p> <p>SAP今年上半年，多項產品線都開始推出新的AI強化功能或機制。從雲端ERP，數位供應鏈、人資管理、支出管理，IT開發平臺到新推出的商業資料平臺，超過百項AI相關功能。</p> <p>像是雲端公開版S/4 HANA推出美國稅務配置AI助手，資產維護工單AI推薦、主檔管理變動摘要功能、EPPM的Joule專案助手等。今年第三季時，S/4 HANA雲端公開版的前端設計工具Flori將提供企業級NLP搜尋支援，生成式AI強化身分管理，APP內的使用者助手等。雲端私有版的多項GenAI助手將會推出功能更強的新版。</p> <p>數位供應鏈管理系統今年上半年推出多項Beta版功能，從LLM搜尋，文件摘要、需求管理文件生成，文件NLP搜尋、PLM文件分類。人資管理產品也提供生成式AI助手，如文案生成。SAP支出管理方案Ariba有有AI助手。在客戶體驗產品線則推出了用Joule代理打造的AI工具包CX AI Toolkit，可提供產品畫面生成，問答機器人客製工具、AI購物助手設計等。今年第三季將推出PLM產品資料管理的知識圖譜，可供Joule代理使用，也會推出檢查工作流程差異的AI合規工具。IBP整合規畫產品線，第三季將提供預測可解釋性能力，第四季則將推多項規畫和配置助手。</p> <p>用生成式AI輔助開發工具是SAP今年AI藍圖的一大重點。去年推出的開發工具SAP Build Code在今年初搭載了多款Joule助手，可以支援更複雜更多步驟的程式碼分析和開發輔助，例如可以用來解釋既有程式碼，生成Fiori UI的應用，或套用範本建立新行動開發專案。</p> <p>今年第二季，SAP Build Code開發工具的Joule助手開始可以輔助既有程式碼的重構，甚至現有App整支重構，以及除錯過程支援，開始支援不用加入斜線符號的自由提示輸入，提高生成式AI的運用彈性。SAP計劃在今年第三季，讓企業可以在自家應用中加入客製化的AI助手Joule能力，SAP雲端開發框架和Hana ML框架也將推出Joule開發助手，用於整合AI助理能力的Joule Stidio，今年下半年也將可以用來打造客製化的AI代理。</p> <p> </p> <p> </p> </div></div></div>
2025/6/25 13:49作者王宏仁https://www.ithome.com.tw/news/169716
Waymo與Uber合作於亞特蘭大推出無人駕駛計程車服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.uber.com/newsroom/waymo-on-uber-atl/?utm_source=chatgpt.com" target="_blank">Uber周二（6/24）宣布</a>，即日起亞特蘭大（Atlantans）用戶將可在uber程式上叫到Waymo的無人駕駛計程車。這是雙方所合作的第二個城市，第一個是<a href="https://www.uber.com/newsroom/waymo-on-uber-austin/" target="_blank">今年3月上線的奧斯汀（Austin）</a>。</p> <p>Alphabet旗下的<a href="https://waymo.com/blog/2024/09/waymo-and-uber-expand-partnership?utm_source=chatgpt.com" target="_blank">Waymo與Uber是在2024年9月宣布結盟</a>，表示將獨家透過Uber程式，於奧斯汀及亞特蘭大提供Waymo One無人駕駛計程車服務。</p> <p>根據Waymo的說明，在這兩個地區的Uber用戶，只要像平常一樣使用Uber叫車，不管是UberX、Uber Green、Uber Comfort Plus或Uber Comfort Electric，都有可能配對到附近的Waymo汽車，使用者可選擇接受或是切換到非自動駕駛車輛。</p> <p>目前的Waymo車隊清一色採用Jaguar I-PACE電動車，在奧斯汀已部署100輛，乘客的平均給分高達4.9顆星。</p> <p>除了在奧斯汀與亞特蘭大是與Uber合作之外，Waymo自己也在鳳凰城、舊金山灣區，以及洛杉磯等地透過Waymo One程式提供無人駕駛計程車服務。</p> <p><a href="https://www.ithome.com.tw/news/169692" target="_blank">特斯拉（Tesla）的無人駕駛計程車服務Robotaxi也在本周日（6/22）正式加入戰局</a>，進駐德州的奧斯汀。</p> </div></div></div>
2025/6/25 14:06作者陳曉莉https://www.ithome.com.tw/news/169717
惡意軟體Umbrella Stand、Shoe Rack鎖定Fortinet防火牆而來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近期鎖定Fortinet防火牆而來的攻擊行動不時傳出，例如：<a href="https://www.ithome.com.tw/news/169434">勒索軟體Qilin在5月至6月初鎖定該廠牌防火牆而來</a>，利用CVE-2024-21762、CVE-2024-55591等已知漏洞，來取得受害組織的初始入侵管道。最近兩起惡意軟體攻擊相當值得留意，駭客的攻擊標的都是Fortinet防火牆，但手段卻不盡相同。</p> <p>英國國家網路安全中心（NCSC）上週針對惡意軟體<a href="https://www.ncsc.gov.uk/static-assets/documents/malware-analysis-reports/umbrella-stand/ncsc-mar-umbrella_stand.pdf">Umbrella Stand</a>、<a href="https://www.ncsc.gov.uk/static-assets/documents/malware-analysis-reports/shoe-rack-tipper/ncsc-tip-shoe_rack.pdf">Shoe Rack</a>發布資安公告，它們都是專門針對特定產品線的防火牆FortiGate 100D系列而來，因此引起NCSC的注意。</p> <p>針對Umbrella Stand的部分，NCSC指出它是一系列的二進位檔案工具包，攻擊者疑似利用防火牆的資安弱點滲透並進行部署，用途是建立能夠存取受害組織內部網路環境的長期管道。此惡意軟體包含遠端Shell與Beacon的功能，並透過AES加密與C2之間的連線。</p> <p>除此之外，Umbrella Stand還具備以下特性，例如使用Beacon接收C2伺服器訊號時，駭客透過443埠與假的TLS連線來進行，並能與受害防火牆的重開機功能掛鉤。附帶一提的是，這套工具集納入多項可公開取得的程式，例如：BusyBox、nbtscan、tcpdump、openLDAP，從而執行Shell命令、截取網路流量、進行偵察工作。</p> <p>另一個惡意程式Shoe Rack為後利用工具，攻擊者可藉由遠端Shell或TCP隧道存取受害設備並使用。此惡意程式使用DNS-over-HTTPS（DOH）與C2建立連線來隱匿蹤跡，但由於不尋常地使用SSH通訊協定，使得防守方有機會發現相關活動。此惡意程式以Go語言開發，一旦執行，就會透過寫死的C2網址連向指定的SSH主機。</p> </div></div></div>
2025/6/25 12:30作者周峻佑https://www.ithome.com.tw/news/169714
勒索軟體Qilin提供加盟主法律咨詢服務，意圖向受害組織施加更多壓力
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近兩到三年，勒索軟體Qilin不斷在資安新聞版面出現，<a href="https://www.bleepingcomputer.com/news/security/qilin-ransomware-claims-attack-on-automotive-giant-yanfeng/">中國汽車內裝零件製造商延峰（Yangfeng）</a>、<a href="https://www.cyberdaily.au/security/9983-victorian-court-systems-allegedly-breached-by-qilin-ransomware-gang">澳洲法院服務業者Victoria</a>、英<a href="https://www.ithome.com.tw/news/163329">國病理學暨診斷服務供應商Synnovis</a>、<a href="https://therecord.media/newspaper-lee-enterprises-cyberattack-ssn">美國報社集團Lee Enterprises</a>、<a href="https://www.ithome.com.tw/news/168720">吉隆坡國際機場（KLIA）</a>先後遭到攻擊，甚至今年4月韓國SK集團旗下的<a href="https://www.ithome.com.tw/news/168675">大型電信公司SK Telecom資料外洩</a>，傳出就是這些駭客所為，連<a href="https://medium.com/@Billows_Tech/%E8%B3%87%E5%AE%89%E5%88%86%E6%9E%90-%E9%BA%92%E9%BA%9F-qilin-%E5%8B%92%E7%B4%A2%E8%BB%9F%E9%AB%94%E5%86%8D%E5%BA%A6%E4%BE%86%E8%A5%B2-%E4%B8%80%E9%80%B1%E5%85%A7%E5%85%A9%E8%B5%B7%E6%94%BB%E6%93%8A%E5%8F%B0%E7%81%A3-%E6%89%8B%E6%B3%95%E8%88%87%E9%81%8E%E5%BE%80%E6%A1%88%E4%BE%8B%E4%B8%80%E6%AC%A1%E7%9C%8B%E6%87%82-946f45772083">臺灣也有企業組織受害</a>，因此這些駭客的一舉一動，近期格外受到關注，在6月初資安業者Prodaft提出警告，<a href="https://www.ithome.com.tw/news/169434">他們看到Qilin利用Fortinet防火牆已知漏洞入侵受害組織</a>，最近有兩組研究人員不約而同對這些駭客的新作法提出警告。</p> <p>資安業者<a href="https://www.cybereason.com/blog/threat-alert-qilin-seizes-control">Cybereason</a>、<a href="https://blog.qualys.com/vulnerabilities-threat-research/2025/06/18/qilin-ransomware-explained-threats-risks-defenses">Qualys</a>上週公布針對Qilin的長期追蹤結果，Cybereason主要指出這些駭客在其他同行面臨關閉、基礎設施遭駭、成員背叛的情況下，趁勢崛起、壯大，甚至接收部分組織的基礎設施來擴大規模；Qualys則是公布Qilin發展作案工具的演進過程，並指出這些會透過多種管道入侵受害組織。</p> <p>但這兩家資安業者都提到一件事而引起大家的注意，那就是駭客為加盟主（Affiliate）提供名為「呼叫律師（Call Lawyer）」的功能，藉由在談判過程為加盟主提供法律方面的協助，從而施加法律風險的壓力，目的是增加受害組織付錢的意願，而這樣的做法，在勒索軟體網路犯罪生態圈裡，可說是首見。</p> <p>呼叫律師到底有什麼功能？Cybereason指出，顧名思義，自然是Qilin的法律顧問會提供加盟主相關的法律建議，並介入雙方談判的聊天室，他們這麼做的目的，一來是讓加盟主能有更具體的法律資訊和受害組織談判贖金金額，再者就是律師出現在聊天室，本身就能對受害組織產生額外的壓力，原因是企業通常不願陷入法律訴訟，而更有機會選擇付錢了事。</p> <p>具體而言，Qilin的法律顧問能對竊得的資料進行評估，並對於資料曝光在不同地區可能會觸犯的法條進行分類，此外，他們也能估計資料外洩衍生的訴訟、法律費用、公司名譽損失，甚至是由律師直接對受害組織進行談判。假如受害組織還是拒絕付錢，這些顧問還會協助加盟主對受害組織造成嚴重的經濟損失。</p> <p>根據Cybereason的調查結果，他們認為這些駭客試圖擴展網路犯罪生態圈，除了加入法律及媒體的支援，還有PB等級的資料儲存規模，甚至是提供垃圾郵件工具、DDoS工具，這些已超出原本勒索軟體的業務，代表駭客朝向全方位的網路犯罪平臺發展。另一家資安業者Qualys的調查結果也反映這樣的現象，其中之一是他們提及最新版Qilin加入竊資軟體的功能，能以Chrome延伸套件的型式植入受害電腦，以便竊取各式帳密用於後續攻擊活動。</p> </div></div></div>
2025/6/25 10:54作者周峻佑https://www.ithome.com.tw/news/169710
美國法官判決Anthropic以版權書籍來訓練AI模型屬於合理使用
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國作家Andrea Bartz等人代表多位創作者，2024年8月針對開發Claude模型與聊天機器人的AI新創Anthropic提起集體訴訟，控告其在訓練語言模型時大規模使用來自非法來源的電子書。<a href="https://www.documentcloud.org/documents/25982111-bartz/" target="_blank">聯邦法官William Alsup周一（6/23）裁定</a>，雖然AI訓練本身可視為合理使用，但Anthropic儲存未授權書籍的行為可能侵犯著作權，將於今年12月進入審判程序，成為生成式AI產業中關鍵的著作權判例。</p> <p>控方主張Anthropic大規模使用盜版書籍來訓練AI模型，未取得授權或付費，涉嫌侵犯著作權。</p> <p>事實上，此一訴訟過程揭露了Anthropic自2021年起便大規模蒐集盜版電子書的行為，包括下載了內含近20萬本電子書的Books3資料集，自著名盜版電子書網站Library Genesis取得逾500萬本書籍，以及從另一個盜版網站Pirate Library Mirror下載200萬本書籍，並將它們存在自家中央圖書館中。</p> <p>Alsup認為，將書籍內容用以訓練大型語言模型，其目的與性質是轉化的，亦即AI訓練屬於創造新內容的轉化性用途，而非用來取代原作；且Anthropic模型並未向公眾再現原著的創意原素，也沒有模仿任何作者可識別的風格，符合公平使用原則。</p> <p>然而，Alsup也指出，以所下載的盜版書籍來建立永久的資料庫無法被免責，應該要進行正式審理，以判定是否購成侵權並計算潛在賠償。</p> <p>依照美國的著作權法，侵權賠償介於750美元至15萬美元之間，就算以最低的750美元來計算，Anthropic存放逾700萬本盜版書籍的賠償費用將是逾50億美元的天價。</p> <p>總之，此一裁決被視為是生成式AI領域首起針對「AI訓練是否屬於合理使用」作出明確判決的案例，認為大型語言模型屬於高度轉化，另也向AI業者示警，若未經授權取得受保護作品依然得承擔法律後果。</p> </div></div></div>
2025/6/25 11:59作者陳曉莉https://www.ithome.com.tw/news/169713
Google公測圖片生成模型Imagen 4家族
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://developers.googleblog.com/en/imagen-4-now-available-in-the-gemini-api-and-google-ai-studio/" target="_blank">Google宣布最新圖片生成模型Imagen 4家族</a>，並透過Gemini API及Google AI Studio公測。</p> <p>Imagen 4家族首度分成2個版本，包含Imagen 4 Standard和4 Ultra，強調在文字渲染及生成的整體圖像品質，都較Imagen 3大為提升。Imagen 4 Ultra則比標準版具備更高的指令遵從能力，能精確根據用戶文字提示，生成更高品質的圖片。</p> <p>現在二個模型已在AI Studio以Preview版上線提供付費公測。其中Imagen 4 Standard為每幀圖0.04美元，Ultra版則為0.06美元。開發人員另外也可以<a href="https://ai.google.dev/gemini-api/docs/image-generation#imagen" target="_blank">透過Gemini API測試Imagen 4</a>。而Imagen 3則為每幀圖0.03美元。</p> <p>Google在幾個星期以內會公布分層收費價目。但在公測期間，<a href="https://ai.google.dev/gemini-api/docs/rate-limits#request-rate-limit-increase" target="_blank">開發人員可以要求提高速限</a>。</p> </div></div></div>
2025/6/25 10:59作者林妍溱https://www.ithome.com.tw/news/169711
微軟新增Windows 10 PC用戶2種取得安全更新的方案、啟售企業ESU訂閱
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Windows 10將在今年10月終止技術支援，<a href="https://blogs.windows.com/windowsexperience/2025/06/24/stay-secure-with-windows-11-copilot-pcs-and-windows-365-before-support-ends-for-windows-10/" target="_blank">微軟本周宣布新增方案</a>，讓Windows10個人用戶以Microsoft Rewards點數、或以雲端備份Windows設定換取延長安全更新（Extended Security Updates，ESU）。此外，企業用戶今天起可為Windows 10 PC購買ESU。</p> <p>微軟預定在2025年10月14日終止對Windows 10的技術支援，包括安全更新，以推動用戶升級到Windows 11。基於還有為數龐大的Windows 10用戶尚未或不願升級，去年微軟首度對Windows 10個人用戶公布付費延伸安全更新（Extended Security Updates，ESU）方案，支付30美元可獲得一年的安全更新。</p> <p>本周微軟在30美元選項之外，新增兩種選擇。一是以Microsoft Rewards 1000 點兌換ESU。二是使用Windows Backup功能將Windows設定同步到雲端，使用二種方法皆可不需支付其他費用換取ESU。</p> <p>用戶選定上述選項之一，跟著螢幕指示操作，PC即可自動登錄到ESU方案中。個人版ESU提供的安全更新期間為2025年10月15日到2026年10月13日。</p> <p>即日起，Windows Insider方案用戶就可以選擇加入，這項方案7月以選擇性方案提供給Windows 10用戶，預計8月中全面供應。想要早點獲得本方案的個人用戶，需先在「設定」>「Windows Update」中，開啟「在更新推出以後即可取得最新的更新」選項。</p> <p>至於企業環境下的Windows 10 PC，微軟透過大量授權方案（Microsoft Volume Licensing Program）<a href="https://www.ithome.com.tw/news/162134" target="_blank">提供最長3年的訂閱方案</a>，提供每月重大及重要漏洞軟體更新。本方案依PC臺數計價，第一年每臺61美元，第二年122美元，第三年244美元。今天開始，企業可透過大量授權方案訂閱ESU，9月1日起，將可經由微軟雲端服務供應商夥伴購買。</p> <p>此外，若Windows 10 PC透過Windows 365或VM使用Windows 11 Cloud PC服務，這些Windows 10 PC將可免費獲得ESU資格，獲得每月自動安全更新。</p> </div></div></div>
2025/6/25 10:11作者林妍溱https://www.ithome.com.tw/news/169709
Agent2Agent專案轉移至Linux基金會，續推動開放協定促進AI代理安全溝通
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Linux基金會<a href="https://www.linuxfoundation.org/press/linux-foundation-launches-the-agent2agent-protocol-project-to-enable-secure-intelligent-communication-between-ai-agents">宣布</a>，Google已將其主導開發的Agent2Agent（A2A）開放協定專案及相關軟體工具，正式捐贈給Linux基金會託管，並集結AWS、思科、Google、微軟、Salesforce、SAP、ServiceNow等多家科技公司參與，持續推動人工智慧代理跨平臺及跨組織間安全協作。</p> <p>A2A協定由Google發起，目標是解決人工智慧代理於企業應用時，因平臺、框架、供應商不同而缺乏統一標準，導致代理間無法順利溝通的問題。A2A定義一套開放且可擴展的通訊語言，讓來自不同開發商、運作於各類基礎設施的人工智慧代理，能夠安全地發現彼此、交換資訊並協調任務，提升資料傳遞的安全性與可信度。</p> <p>對企業而言，A2A協定有助於推動多代理應用，無論是在不同部門或子系統的自動化流程協作，還是整合第三方代理至現有架構，都能降低多元技術供應商帶來的開發與維運複雜度。</p> <p>而隨著專案轉移至Linux基金會旗下，A2A協定的發展進入社群導向的治理模式，Linux基金會將提供包括知識產權管理、技術規格改進和社群參與等基礎設施，確保A2A協定發展更加中立開放。</p> <p>Agent2Agent專案新一輪的發展重點除維持現有安全性、可擴展性外，也將涵蓋可信代理身分、授權管理、治理政策與代理安全等進階議題，強化代理間溝通的信任基礎，降低企業在導入人工智慧代理協作時的疑慮。</p> </div></div></div>
2025/6/25 08:12作者李建興https://www.ithome.com.tw/news/169698
【資安日報】6月24日，中國駭客利用ORB網路LapDogs發動網攻，臺灣是主要目標之一
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>針對中國駭客利用Operational Relay Box（ORB）網路來隱匿網路攻擊的現象，有資安業者警告有越來越氾濫的現象，他們看到過往未被發現的ORB網路，已暗中活動近2年。</p> <p>除了ORB網路，去年攻擊多家美國電信業者的中國駭客組織Salt Typhoon，繼衛星電信業者Viasat遭駭後，如今傳出加拿大也有電信業者受害的情況；此外，惡名昭彰的勒索軟體Anubis號稱竊得巴黎迪士尼樂園內部資料、更難察覺惡意行為的安卓金融木馬GodFather，以及針對GitHub儲存庫的供應鏈攻擊都相當值得留意。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169697"><strong style="font-size: 22px;">中國駭客透過ORB網路LapDogs發動網攻，利用後門程式ShortLeash控制1千多臺連網裝置</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/90HVsZONAl.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/90HVsZONAl.jpg" style="width: 300px; float: right;" /></a></p> <p>中國駭客架設Operational Relay Box（ORB）網路用於攻擊活動，藉此隱匿行蹤，一年多前資安業者Mandiant曾對這種手法提出警告，當時研究人員發現駭客利用虛擬專用伺服器（VPS），以及存在弱點的物聯網（IoT）裝置、路由器組成ORB網路，藉此混淆受害裝置與C2基礎設施的流量，這種網路相當難以捉摸，其中一個在2019年就開始運作。如今有研究人員指出，有人在兩年前也架設這類網路設施，直到最近才被發現。</p> <p>資安業者SecurityScorecard揭露名為LapDogs的ORB網路，駭客主要透過小型辦公室（SOHO）的Linux作業系統裝置建置而成，研判最早從2023年9月開始運作並逐步擴張規模，至少有一千臺受到感染的節點在積極活動。這些駭客主要利用後門程式ShortLeash入侵受害裝置，使得攻擊者能隱密地從事活動。</p> <p>此ORB網路的攻擊具有高度地域性，駭客主要用於攻擊臺灣、香港、韓國、日本，但在其他東南亞國家與美國也有災情。受害組織涵蓋房仲業者、IT與網路服務業者、多媒體公司等領域。附帶一提的是，研究人員提及LapDogs與名為PolarEdge的ORB網路有共通的基礎設施特性，但戰術、手段、流程（TTP）與憑證管理存在不同的地方，因此他們認為LapDogs是獨立的ORB網路。</p> <p><a href="https://www.ithome.com.tw/news/169688"><strong style="font-size: 22px;">加拿大電信業者傳出遭受中國駭客Salt Typhoon攻擊</strong></a></p> <p>6月19日加拿大網路安全中心警告，中國駭客組織Salt Typhoon已經對加拿大電信業者及其他產業組織發動攻擊。</p> <p>去年10月底加拿大資安主管機關曾連同美國網路安全暨基礎架構管理署（CISA）、聯邦調查局（FBI）聯合發布警告，由中國政府資助的Salt Typhoon已對全球主要電信業者、關鍵基礎設施、國防部門等進行網域名稱偵察及掃描，以便發動網路間諜攻擊。最新的警告則是說明已經出現受害者。</p> <p>加拿大政府獲報該國電信公司遭到惡意網路攻擊，兇嫌幾乎確定就是Salt Typhoon。Salt Typhoon在今年2月間駭入3臺加拿大電信公司的網路設備，攻擊者濫用了CVE-2023-20198的軟體漏洞，從這3臺設備存取配置檔，並且至少修改了其中一個檔案，重新配置了一般路由封裝（Generic Routing Encapsulation，GRE）通道，而從該業者網路蒐集流量資料。</p> <p><a href="https://www.ithome.com.tw/news/169699"><strong style="font-size: 22px;">巴黎迪士尼樂園傳出遭到勒索軟體Anubis攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/anubis-ransomware-lists-disneyland-paris-new-victim-3.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/anubis-ransomware-lists-disneyland-paris-new-victim-3.jpg" style="width: 300px; float: right;" /></a></p> <p>根據資安新聞網站HackRead的報導，Anubis近期在他們的暗網網站聲稱，巴黎迪士尼樂園（Disneyland Paris）是最新的受害組織，並表明竊得64 GB內部資料。</p> <p>究竟這批檔案有那些內部資料？駭客宣稱包含約3.9萬份工程檔案，涉及「冰雪奇緣」、「加勒比海盜」、「巴斯光年」，以及雲霄飛車Crush's Coaster等遊樂設施的建設與翻新計畫。為了佐證他們說法的真實性，駭客在數小時後公布部分檔案內容，但是否有員工或遊客的資料外洩，目前仍不得而知。</p> <p>至於駭客竊取這批資料的管道，他們並非直接入侵巴黎迪士尼樂園，而是從其中一家發生資安事故的合作夥伴取得。不過，巴黎迪士尼樂園並未對此公開說明，因此外界目前也無法確定Anubis是否對其進行勒索。</p> <p><a href="https://www.ithome.com.tw/news/169657"><strong style="font-size: 22px;">安卓惡意軟體GodFather濫用虛擬化機制挾持銀行、加密貨幣App的帳密</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/GodFather-app.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/GodFather-app.png" style="width: 300px; float: right;" /></a></p> <p>為了在安卓手機上能竊取機密資料，許多惡意軟體通常會透過覆蓋畫面等手法引誘使用者上當，但如今出現更複雜的手段，用戶更難察覺有異。</p> <p>行動裝置資安業者Zimperium揭露名為GodFather的金融木馬，此惡意程式對全球近500款銀行應用程式的用戶而來，主要集中對土耳其下手。這款惡意軟體與過往的金融木馬最大的不同，就是採用一種進階的裝置端虛擬化技術（On-device Virtualization），而能挾持數種合法的應用程式，其中包含行動銀行及加密貨幣相關的App。</p> <p>由於這種新手法是在受害裝置建立完整的、隔離的虛擬化環境，有別於一般惡意程式是藉由偽造的登入畫面來騙取帳密資料，此惡意軟體能在受害手機部署帶有虛擬化框架的惡意「主機」應用程式，並用來下載真實的行動銀行與加密貨幣App，然後透過攻擊者的沙箱環境執行。一旦受害者啟用手機裡的正牌應用程式，攻擊者就會將他們重新導向虛擬化環境的另一個App，使得這些用戶的一舉一動，包含點選、輸入的資料內容，都受到GodFather的監控。</p> <p><a href="https://www.ithome.com.tw/news/169686"><strong style="font-size: 22px;">GitHub出現67個木馬專案，Banana Squad攻擊軟體供應鏈竊取開發者資料</strong></a></p> <p>資安公司ReversingLabs揭露，近期在GitHub發現多達67個含有木馬程式的專案。這些惡意專案仿冒合法開源工具名稱，透過在開發者社群中散布惡意程式碼，竊取使用者系統資訊、應用程式資料、瀏覽器紀錄及加密貨幣等敏感資訊。調查顯示，這波攻擊與資安威脅組織Banana Squad有關，該組織自2023年以來多次針對開源社群發動軟體供應鏈攻擊，目標為程式開發者及資訊科技專業人士。</p> <p>Banana Squad本次攻擊主要策略，是在GitHub建立與熱門Python工具同名的專案，將惡意木馬程式隱藏於Python原始碼檔案內。木馬程式透過插入大量空白字符，將惡意程式碼隱藏在螢幕右側，降低被開發者檢查發現的機率。研究人員指出，這些偽裝專案的說明內容與合法專案相似，README檔案中則常出現自動產生的亂數字串混淆視聽。</p> <p>Banana Squad自2023年4月起持續發動相關攻擊，該組織曾於多個開源平臺，包括PyPI及NPM發起類似攻擊，近期則將重心轉向GitHub。GitHub接獲通報後，已協助下架所有被標記為惡意的67個專案。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/ncsc-issues-alert-on-umbrella-stand-malware/">惡意軟體Umbrella Stand鎖定Fortinet防火牆而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/apt36-hackers-target-indian-defense-personnel/">巴基斯坦駭客Transparent Tribe針對印度國防部從事網釣</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/06/dhs-warns-pro-iranian-hackers-likely-to.html">伊朗駭客傳出對美國網路環境發動攻擊，美國介入以色列與伊朗衝突疑為導火線</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/06/xdigo-malware-exploits-windows-lnk-flaw.html">惡意軟體Xdigo橫行，利用LNK漏洞攻擊東歐政府機關</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/apt28-hackers-use-signal-chats-to-launch-new-malware-attacks-on-ukraine/">APT28利用即時通訊軟體Signal散布惡意軟體，針對烏克蘭政府機關而來</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169691"><strong style="font-size: 22px;">IBM修補SIEM平臺QRader重大層級漏洞，若不處理攻擊者可用來執行任意命令</strong></a></p> <p>6月19日IBM發布資安公告，針對安全資訊暨事件管理（SIEM）平臺QRadar修補漏洞CVE-2025-33117、CVE-2025-33121、CVE-2025-36050，主要影響的版本是7.5.0版，該公司發布7.5.0 UP12 IF02版更新予以修補，值得留意的是，沒有其他的替代緩解措施，企業資安人員應儘速安排部署更新的作業因應。</p> <p>根據CVSS風險評分，最嚴重的是重大層級的CVE-2025-33117，取得特殊權限的攻擊者有機會竄改組態檔案，進而上傳惡意自動更新檔案，而能夠執行任意命令，風險值達到9.1分。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169683"><strong>【6月23日】臺灣加密貨幣交易所幣託公布5月遭駭事故調查結果</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169658"><strong>【6月20日】北韓駭客BlueNoroff在Zoom視訊利用AI深偽技術對企業員工網釣</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169632"><strong>【6月19日】伊朗大型加密貨幣交易所Nobitex遭駭，駭客銷毀9千萬美元資金</strong></a></p> </div></div></div>
2025/6/24 18:10作者周峻佑https://www.ithome.com.tw/news/169703
中國駭客透過ORB網路LapDogs發動網攻，利用後門程式ShortLeash控制1千多臺連網裝置
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中國駭客架設<a href="https://www.ithome.com.tw/tags/orb">Operational Relay Box（ORB）網路</a>用於攻擊活動，藉此隱匿行蹤，一年多前資安業者Mandiant<a href="https://www.ithome.com.tw/news/163058">曾對這種手法提出警告</a>，當時研究人員發現駭客利用虛擬專用伺服器（VPS），以及存在弱點的物聯網（IoT）裝置、路由器組成ORB網路，藉此混淆受害裝置與C2基礎設施的流量，這種網路相當難以捉摸，其中一個在2019年就開始運作。如今有研究人員指出，有人在兩年前也架設這類網路設施，直到最近才被發現。</p> <p>資安業者SecurityScorecard揭露<a href="https://securityscorecard.com/blog/unmasking-a-new-china-linked-covert-orb-network-inside-the-lapdogs-campaign/">名為LapDogs的ORB網路</a>，駭客主要透過小型辦公室（SOHO）的Linux作業系統裝置建置而成，至少從2023年9月開始運作並逐步擴張規模，至少有一千臺受到感染的節點在積極活動。這些駭客主要利用後門程式ShortLeash入侵受害裝置，使得攻擊者能隱密地從事活動。</p> <p>此ORB網路的攻擊具有高度地域性，駭客主要用於攻擊臺灣、香港、韓國、日本，但在其他東南亞國家與美國也有災情。受害組織涵蓋房仲業者、IT與網路服務業者、多媒體公司等領域。</p> <p>而對於駭客使用的後門程式，研究人員指出，當中採用了自行簽署的TLS憑證，此憑證由LAPD發行，駭客可能是打算冒充洛杉磯警局（Los Angeles Police Department）的名義，混淆視聽。</p> <p>特別的是，雖然駭客同時打造Windows和Linux版本的ShortLeash，但他們似乎偏好針對Linux作業系統的裝置下手。駭客先使用Bash指令碼取得本機root權限，並檢查作業系統類型（Ubuntu、CentOS，或其他作業系統），備份特定惡意服務組態檔案、以系統處理程序轉譯現有的服務，使其在背景執行，並在受害裝置重開機後也會重新載入。</p> <p>針對這些受感染裝置，SecurityScorecard指出有超過半數（55%）為Ruckus無線基地臺，其次是Buffalo的AirStation無線路由器，而且，這些裝置都位於日本，大部分在東京。但除此之外，研究人員也提及組成LapDogs的節點，還有華碩、Linksys、D-Link、Panasonic、群暉等廠牌的設備。</p> <p>此外，研究人員指出大部分受害的IP位址當中，都存在了特定的資安漏洞CVE-2015-1548、CVE-2017-17663，這些漏洞皆與老舊版本的ACME mini_httpd有關。</p> <p>究竟那些人運用LapDogs從事網路攻擊？研究人員提及大多是APT駭客組織，<a href="https://www.ithome.com.tw/news/168051">其中一組人馬是UAT-5918</a>。該組織今年3月由思科威脅情報團隊Talos揭露，專門針對臺灣的關鍵基礎設施（CI）下手。</p> </div></div></div>
2025/6/24 16:17作者周峻佑https://www.ithome.com.tw/news/169697
微軟揭露專為Copilot+ PC設計的Mu模型，可透過自然語言調整數百項電腦設定
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://blogs.windows.com/windowsexperience/2025/06/23/introducing-mu-language-model-and-how-it-enabled-the-agent-in-windows-settings/" target="_blank">微軟Windows應用科學副總裁Vivek Pradeep於周一（6/23）發布部落格文章</a>，揭露一款專為Copilot+ PC所設計的小型語言模型Mu。這是一個可於裝置端執行的模型，目前主要應用在Windows系統中的「設定代理人」功能，協助使用者透過自然語言調整數百項系統設定。該功能目前僅開放給Dev頻道中、使用Copilot+ PC的Windows Insiders測試者試用。</p> <p>微軟於2024年5月正式發表主打AI應用的Copilot+ PC，採用基於Arm架構的系統單晶片，並整合神經處理單元（NPU），要求其NPU運算效能至少達到每秒40兆次操作（40 TOPS）。包括Surface、ASUS、HP、Lenovo、Dell、Acer等品牌皆已推出Copilot+ PC。然而截至2025年第一季，這類產品在整體PC市場中的市占率仍不到5%，距離普及尚有一段距離。</p> <p>Mu模型正是專為這類具備NPU的裝置所打造，可完全於本機執行，推理速度超過每秒100個token。這也是微軟首度將語言模型應用於裝置端，並聚焦於「Windows設定代理人」的角色。使用者只需輸入像是「開啟飛航模式」、「提高螢幕亮度」、「關閉自動更新」等自然語言，就能觸發對應設定操作。不過目前僅支援文字輸入，尚未直接支援語音。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0624-Mu%20model-copilot%2B%20PC-600-2.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／微軟</span></span></p> <p>Pradeep表示，Mu是在微軟開發Phi系列模型的基礎上重新設計，從零開始打造、專為資源受限的NPU裝置最佳化。其核心採用Transformer的Encoder–Decoder架構，能先全面理解輸入內容，再產生精準輸出，運算效率更高。</p> <p>為了發揮裝置端效能，微軟針對Mu的模型尺寸與參數分配做出精細調整，例如將2/3的參數配置給編碼器、1/3配給解碼器，並採用輸入／輸出權重共享以節省記憶體。同時，Mu僅使用NPU完全支援的運算操作，確保每次推理都能以最高效率執行。</p> <p>在訓練過程上，Mu先以數千億個高品質教育資料進行預訓練，再透過Phi模型進行知識蒸餾，最後以LoRA微調技術針對特定任務強化模型表現。即便模型體積僅為Phi-3.5-mini的十分之一，Mu在標準任務（如SQuAD問答與CodeXGlue程式任務）上的表現仍與Phi相當接近。</p> <p>在部署階段，微軟應用了後訓練量化（PTQ）技術，將模型從浮點格式轉為整數表示，進一步壓縮體積並降低計算負擔。加上與Qualcomm、Intel、AMD等晶片廠的合作優化，Mu在如Surface Laptop 7等Copilot+ PC裝置上，推理速度可達每秒200個token。</p> <p>Pradeep補充，目前Mu僅應用於Windows設定代理人，並已針對此任務使用約360萬筆樣本進行微調，涵蓋數百項系統設定。模型也根據輸入語句的長度與明確程度調整回應方式，例如輸入「亮度」這類短語時會回傳傳統搜尋結果，而輸入「提高主要螢幕亮度」這類具體語句，才會由Mu代理人執行具體設定動作，以兼顧準確度與使用體驗。</p> </div></div></div>
2025/6/24 16:23作者陳曉莉https://www.ithome.com.tw/news/169696
北韓駭客組織Kimsuky濫用GitHub、Dropbox服務，對韓國發動APT攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>韓國再度成為北韓駭客組織Kimsuky的攻擊目標，根據資安公司ENKI<a href="http://www.enki.co.kr/en/media-center/tech-blog/dissecting-kimsuky-s-attacks-on-south-korea-in-depth-analysis-of-github-based-malicious-infrastructure#9">揭露</a>，3月起Kimsuky濫用GitHub私有儲存庫與Dropbox雲端服務，發動高度針對性的攻擊行動，將開源雲端平臺轉為攻擊與資料洩漏基礎設施。這波攻擊以魚叉式網釣郵件為開端，誘導受害者下載執行PowerShell惡意程式，最終在受害系統植入XenoRAT遠端存取木馬，持續收集和竊取敏感資訊。</p> <p>本次事件的攻擊鏈起始於偽裝成韓國本地法律或金融機構的釣魚郵件，攻擊者會針對目標身分量身設計文件，例如債務通知或授權書等，文件中不僅包含受害者個人資料，內容設計也極具真實感，使收件人降低戒心。郵件附件通常為加密壓縮檔，解壓密碼直接附於郵件內文，受害者一旦點擊壓縮檔內的捷徑或文件，系統即會執行嵌入的PowerShell腳本，首先從Dropbox下載偽裝為.docx或.pdf的惡意檔案，接著進行特殊檔案頭改寫與解壓縮，最終釋放並執行.NET格式的XenoRAT惡意程式。</p> <p>攻擊全程採無檔案方法，降低被防毒軟體攔截的機率。而且由於攻擊者未直接以C2主機溝通，而是將GitHub私有儲存庫作為惡意程式與竊取資料的傳遞中樞，攻擊團隊會針對不同受害對象或攻擊階段，建立專屬的私有儲存庫，以寫死的GitHub個人存取Token（PAT）管理權限。</p> <p>當受害系統遭植入XenoRAT後，惡意程式便會從GitHub下載命令腳本與執行檔，並將收集到的系統資訊、執行程序、按鍵記錄、剪貼簿內容等資料回傳至儲存庫。透過GitHub API，Kimsuky能隱密且高效地掌控每一臺受控主機，隨時調整攻擊腳本內容以及監控感染狀態。由於全程仰賴合法雲端服務，不僅掩護惡意流量來源，也提高現有資安設備辨識與阻擋的難度。</p> <p>Kimsuky在攻擊測試過程中重複使用特定的內部及公開IP位置，其攻擊基礎設施與過去被歸類於該組織的MoonPeak、Naver釣魚活動高度重疊。此外，研究人員比對XenoRAT變種的程式編譯GUID、字串加解密方式與指揮控制伺服器位址，進一步確認攻擊來源與系列惡意軟體的關係。部分C2伺服器同時也被發現用作釣魚網站主機，針對韓國常見網路服務設計針對性詐騙頁面。</p> </div></div></div>
2025/6/24 16:37作者李建興https://www.ithome.com.tw/news/169695
巴黎迪士尼樂園傳出遭到勒索軟體Anubis攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>新興勒索軟體Anubis<a href="https://www.kelacyber.com/blog/anubis-a-new-ransomware-threat/">自今年2月開始</a>動作頻頻，先是在地下論壇尋找負責勒索軟體攻擊、向受害組織勒索，以及挖掘企業組織初始入侵管道的附屬團體，後續在勒索軟體<a href="https://www.ithome.com.tw/news/169593">加入了資料破壞功能（Wiper）</a>，意圖對受害組織施加更大的壓力，脅迫他們不得不付錢來換回遭到破壞的資料，如今有新的事故傳出，再度引起資安界關注。</p> <p>根據資安新聞網站HackRead的報導，Anubis<a href="http://hackread.com/anubis-ransomware-lists-disneyland-paris-new-victim/">近期在他們的暗網網站聲稱</a>，巴黎迪士尼樂園（Disneyland Paris）是最新的受害組織，並表明竊得64 GB內部資料。</p> <p>究竟這批檔案有那些內部資料？駭客宣稱包含約3.9萬份工程檔案，涉及「冰雪奇緣」、「加勒比海盜」、「巴斯光年」，以及雲霄飛車Crush's Coaster等遊樂設施的建設與翻新計畫。為了佐證他們說法的真實性，駭客在數小時後公布部分檔案內容，但是否有員工或遊客的資料外洩，目前仍不得而知。</p> <p>至於駭客竊取這批資料的管道，他們並非直接入侵巴黎迪士尼樂園，而是從其中一家發生資安事故的合作夥伴取得。不過，巴黎迪士尼樂園並未對此公開說明，因此外界目前也無法確定Anubis是否對其進行勒索。</p> </div></div></div>
2025/6/24 17:00作者周峻佑https://www.ithome.com.tw/news/169699
【資安週報】0616~0620，伊朗國有銀行與加密貨幣交易所雙雙遇襲引發全球關注
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>回顧2025年6月第三週的資安新聞中，全球爆發多起重大網路攻擊事件，不僅有以色列與伊朗軍事衝突衍生的網路攻擊戰，以色列駭客攻擊伊朗國有銀行與加密貨幣交易所，還有來自中國駭客組織的持續威脅，將目標鎖定在媒體機構與衛星領域，發動高度隱蔽的網路間諜活動。</p> <p>● 伊朗國有銀行Bank Sepah遭駭，多間分行被迫暫停營業，客戶無法存取銀行帳戶，後續，與以色列有關的駭客組織Predatory Sparrow宣稱是他們所為。<br /> ● 伊朗加密貨幣交易所Nobitex同樣遭遇以色列駭客Predatory Sparrow攻擊，該交易所證實部分熱錢包受影響，估計有逾9千萬美元加密貨幣遭竊並被銷毀。<br /> ● 美國華盛頓郵報發現自家電子郵件系統遭駭，調查顯示是6月12日遭遇目標式攻擊，已知有負責報導國安、經濟政策、中國等領域的記者帳號被入侵。<br /> ● 衛星網路公司Viasat近期證實，去年中國駭客組織Salt Typhoon大規模攻擊，他們也是受害者之一，同時說明雖遭遇未經授權的存取，但無客戶資料遭外洩。</p> <p>臺灣有兩起先前資安事件出現後續進展，一是臺灣加密貨幣交易所幣託（BitoPro）曾在6月初揭露公司於5月8日遭到網路攻擊，最近調查結果公布，指出駭客先是鎖定負責雲端業務的員工發動社交工程攻擊，植入惡意程式後逐步滲透，最終挾持AWS連線階段的Session Token繞過MFA，並將惡意指令碼轉移至熱錢包主機。另一是聯鈞光電在6月9日發布資安重訊，說明今年1月遭遇勒索軟體攻擊後，5月16日又遭另一勒索病毒入侵；6月13日該公司再次發布重訊補充說明，表示部分檔案遭竊取，並呼籲可能的利害關係人勿向駭客購買這些資料。</p> <p>在威脅態勢方面，在國內，有駭客假冒臺灣政府機關散布惡意軟體HoldingHands RAT、Gh0stCringe的攻擊活動，需要我們特別留意。今年1月Fortinet曾揭露有駭客假借國稅局的名義寄送釣魚信，如今該駭客攻擊活動仍然持續與擴大，對方還會佯裝海關總署、財政部等名義，使用稅收、養老金、發票、營業稅電子申報等名目為誘餌，引誘臺灣民眾誤信而遭植入惡意軟體。</p> <p>國際間還有其他重要威脅態勢，有一起藉由AI深度偽造發起的網路攻擊活動，最值得關注，這起事件是北韓駭客誘騙金融業員工參加視訊會議，且會議中包含公司內部知名高層領導的Deepfake影像，藉此誘騙受害者不慎下載macOS惡意軟體。</p> <p>●北韓駭客BlueNoroff散布macOS惡意軟體的攻擊活動被資安業者Huntress揭露，指出有加密貨幣機構的員工被誘騙參加一場精心偽冒的Zoom群組會議，當中要求員工下載包含惡意的特定Zoom延伸套件。<br /> ●駭客在3月、4月間鎖定近27萬個網站植入JavaScript惡意程式碼，將瀏覽這些網站的使用者導向惡意網站，Palo Alto Networks指出此攻擊是植入以JSFireTruck（JSFuck）手法處理的惡意JavaScript程式碼來達到目的。<br /> ●攻擊者濫用熱門紅隊演練工具TeamFiltration，針對微軟Entra ID帳戶發動密碼潑灑攻擊，Proofpoint警告年初這波攻擊影響了數百個組織、逾8萬個使用者帳戶，並有多起成功接管帳戶的案例</p> <p>至於零時差漏洞攻擊方面，Apple在6月10緊急修補一項已遭利用的零時差漏洞CVE-2025-43200，兩日後，加拿大Citizen Lab揭露這起攻擊事件已有2名歐洲記者中招，因為存在這個漏洞而被入侵，被植入以色列Paragon Solutions開發的Graphite間諜軟體。此外，還有兩個老舊漏洞持續遭攻擊者鎖定，引發美國CISA示警，包括TP-Link的漏洞CVE-2023-33538，以及Linux Kernel的漏洞CVE-2023-0386 。</p> <p>其他值得注意的漏洞消息，6月初電子郵件伺服器Roundcube修補重大漏洞 CVE-2025-49113（CVSS 9.9），10日後Shadowserver基金會警告，仍有近8.5萬臺伺服器未修補；5月資料圖形視覺化軟體Grafana修補漏洞CVE-2025-4123，一個月後應用程式安全業者指出，在Shodan連網裝置搜尋引擎上，可查到12.8萬臺系統，其中仍有逾4.6萬臺尚未更新，處於曝險狀態。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/169573"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月16日】駭客運用JSFireTruck混淆手法埋藏意圖，於近270萬網站植入惡意程式碼</span></strong></a></h3> <p>為了透過合法掩蓋非法行為，駭客不是濫用合法的雲端服務，就是入侵網站植入惡意程式碼，將其做為散布惡意軟體或從事其他惡意行為的管道，如今有一起大規模網站攻擊行動引起研究人員關注，因為駭客使用了罕見手法隱藏意圖。</p> <p>此外，鎖定微軟Entra ID的密碼潑灑（Password spraying）攻擊、iOS零點擊漏洞的間諜軟體攻擊事故、駭客兜售Roundcube重大漏洞的利用方法，後續都值得觀察。而在國內的資安事故，聯鈞光電週末發布重大訊息，揭露深度調查的新發現。</p> <h3><a href="https://www.ithome.com.tw/news/169594"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月17日】新興勒索軟體脅迫受害組織付錢出現新手法，藉由抹除檔案內容進行施壓</span></strong></a></h3> <p>勒索軟體橫行多年，從一開始駭客採取雙重勒索的手段，到後來將勒索軟體開發與作案進行工成為常態，如今有新興駭客組織採取不同的作法，其中最引起研究人員注意的部分，就是納入抹除資料的手段，使得受害組織無法藉由竊密金鑰復原內容。</p> <p>其他的資安事故也值得留意，包含：駭客GrayAlpha意圖散布NetSupport RAT、逾三分之一資料圖形視覺化系統Grafana尚未修補CVE-2025-4123，以及華盛頓郵報部分記者郵件系統帳號遭駭。</p> <p><a href="https://www.ithome.com.tw/news/169611"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月18日】AWS宣布IAM領域重大進展</span></strong></a></p> <p>大型雲端服務供應商AWS在美國費城舉辦年度資安會議re:Inforce 2025，會中不僅揭露了該公司在身分安全發展的最新成果，並強調現今企業若要讓資安基礎穩固，必須採取更簡便且具擴展性的做法。</p> <p>在資安事故方面，伊朗國有銀行Bank Sepah因遭網路攻擊導致服務停擺是國際焦點；而在國內，有資安業者追蹤假冒國稅局的網釣攻擊事故，公布最新的調查結果。此外，兆勤防火牆與TP-Link路由器於2年前公布及修補的資安漏洞，傳出被用於實際攻擊。</p> <h3><a href="https://www.ithome.com.tw/news/169632"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月19日】伊朗大型加密貨幣交易所Nobitex遭駭，駭客銷毀9千萬美元資金</span></strong></a></h3> <p>這兩天最受到關注的國際資安新聞，就是以色列駭客組織Predatory Sparrow（Gonjeshke Darande）發動的破壞性網路攻擊，他們先後聲稱對伊朗國營銀行Bank Sepah、大型加密貨幣交易所Nobitex下手，後續效應有待進一少觀察。</p> <p>此外，殭屍網路鎖定LLM開發工具Langflow重大漏洞而來的情況相當值得留意，開發人員應特別提高警覺並儘速修補；這幾天還有兩份先前資安事故的報告出爐，一份是關於3月公布的Chrome零時差漏洞攻擊事故，另一份是中國駭客Salt Typhoon對美國電信業者發動大規模攻擊。</p> <h3><a href="https://www.ithome.com.tw/news/169658"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月20日】北韓駭客BlueNoroff在Zoom視訊利用AI深偽技術對企業員工網釣</span></strong></a></h3> <p>駭客利用深偽（Deepfake）冒充公司高階主管，藉由線上會議從事網路釣魚攻擊的情況近期再度出現，近期由北韓駭客BlueNoroff（TA444、Sapphire Sleet）鎖定一家加密貨幣組織發起的攻擊行動引起關注，駭客假借該公司高管的名義，引誘員工安裝惡意Zoom延伸套件。</p> <p>在其他資安事故的部分，另一組北韓駭客Kimsuky的攻擊行動、木馬程式藉由大型語言模型DeepSeek-R1散布，也相當值得留意；此外，本週Citrix為NetScaler設備修補兩項重大漏洞，IT人員也要儘速處理。</p> <p> </p> <p> </p> </div></div></div>
2025/6/24 11:30作者羅正漢https://www.ithome.com.tw/news/169690
擴大衛星應用落地，數發部開放衛星行動通信頻譜申請
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>因應低軌衛星通訊需求增加，數發部今天(6/24)宣布已完成相關法規修正，即日起開放國內衛星行動通信頻譜申請，為國內首次開放衛星行動通信頻譜申請，加速國際衛星通信服務落地，讓衛星直連手機服務可望在國內實現。</p> <p>數發部資源管理司長曾文方表示，隨著低軌衛星快速發展、成本降低，衛星通信服務蓬勃發展，數發部於今年2月修訂頻率管理計畫，增訂開放頻率，6月19日完成相關法規修正，此次開放有三項特色，分別是新增開放頻率用途、新增開放頻段、延長頻率使用期限。</p> <p>首先是新增開放頻率用途方面，以往國內僅開放衛星固定通信，現在新增衛星行動通信，擴大衛星通信的應用，從固定地點通信擴大至行動通信。</p> <p>其次是新增開放頻段方面，原本衛星固定僅開放4個頻段，經過數發部過去一年盤點國際衛星使用頻段，以及國內頻段使用情形，並蒐集國內產業意見，此次將衛星固定頻段增加至12個頻段，衛星行動可使用頻段7個。</p> <p>另外，為促使國內衛星通信服務發展，因應業者布建服務較長的時間，數發部也將業者使用頻率期限從原來的2年延長到5年。曾文方表示，考慮到業者建置服務需較長時間，延長頻率使用期間，希望能提升業者落地的意願。</p> <p>其中受到關注的是這次開放衛星行動的7個頻段，4個頻段分別是，1518-1559 MHz、1610-1616.5 MHz、1668-1675 MHz、2483.5-2500 MHz，為較低頻段、頻寬較窄，其他3個頻段則是19GHz以上較高頻段。</p> <p>曾文方指出，上述4個頻段的特性，因為較低頻，衛星訊號傳輸過程損耗較少，也是國際上衛星直連手機應用的頻段，同時也因為這些頻段的頻寬較窄，適用於窄頻的應用。</p> <p>鑑於未來6G標準結合非地面通訊來增加通信涵蓋的範圍，非地面通信網路在6G時代將扮演關鍵角色，特別是地面通訊如4G、5G、6G，未來結合非地面通訊如衛星通信，實現無所不在的連結。</p> <p>曾文方指出，在人口密集的都會區，國內行動通訊網路在人口密集區已涵蓋95%以上，但是對於偏遠地區、山區，或是離島、海洋地區，行動通訊涵蓋不足，過去發展高空通訊平臺或是現在的衛星通訊，其目的為補足地面通訊涵蓋不足之處。</p> <p><span style="color:#B22222;"><strong>擴大衛星通訊落地應用</strong></span></p> <p>在開放之前，國內的衛星通訊為固定通訊，被應用在偏鄉、山地、離島地區建置地面接收設備，作為地面通訊網路的備援通訊技術，例如偏遠地區的光纖網路中斷，或是離島地區海纜中斷時，緊急通過衛星對外通訊，當發生地震災害時，導致地面通訊網路中斷，派遺衛星通訊固定通訊設備或是衛星通訊車前往災區建立救災緊急通訊。另外，衛星通信也能作為行動基地臺的後傳線路，連回後端的核心網路。</p> <p>而在開放衛星行動通信頻段，除了以往海上航行或登山使用的衛星電話，iPhone等手機的衛星直連手機應用也可望落地至臺灣，在沒有行動網路的地區，使用者可透過隨身的手機直連衛星，依所在地點的限制，發送緊急求救訊號、傳送簡訊、地址資訊或是語音，例如蘋果iPhone在美國已提供衛星直連手機服務，讓用戶在沒有行動網路、Wi-Fi涵蓋的地區，可使用手機連接衛星對外發送緊急求救SOS訊息。</p> <p>不過，由於目前手機直連衛星多使用低頻段、頻寬較窄，因此多為窄頻的應用，並非日常生活中經常使用的高速連網、接收雲檔大型檔案、線上遊戲、收看線上影視內容等行動寬頻應用。</p> <p>儘管手機直播衛星使用較窄頻寬，不適合寬頻應用，但是足夠用於緊急對外通訊，也可適用於企業的IoT應用，利用窄頻段來傳送感測器的監測數據，例如聯發科先前已測試衛星IoT的通訊應用。</p> <p>另外，日前中華電信宣布取得OneWeb低軌衛星固定通信的商用許可，該公司強調布局海星陸空多元通訊網路，正籌備在國內開通OneWeb商用服務。在今天數發部開放衛星行動通信頻段，預期未來可能吸引電信業者申請衛星行動通信頻段，擴大低軌衛星的行動通信應用。</p> </div></div></div>
2025/6/24 13:32作者蘇文彬https://www.ithome.com.tw/news/169693
美國國會禁止公家裝置安裝WhatsApp
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.axios.com/2025/06/23/whatsapp-house-congress-staffers-messaging-app" target="_blank">根據Axios報導</a>，美國眾議院行政長Catherine Szpindor本周一（6/23）通知所有該院工作人員，不得於任何官方裝置上安裝WhatsApp傳訊程式，涵蓋手機、電腦桌面或瀏覽器版本。若在眾議院的裝置管理介面上發現有人安裝了WhatsApp，即會要求將其刪除。</p> <p>Szpindor表示，眾議院的網路安全辦公室認定WhatsApp存在高風險，原因包括其在保護使用者資料上缺乏透明度，未對儲存資料進行加密，以及整體使用過程中潛藏安全風險。建議工作人員可改用Microsoft Teams、Wickr、Signal、iMessage或FaceTime。</p> <p>Meta在2014年以190億美元買下的WhatsApp是全球最受歡迎的傳訊程式，根據市場調查機構<a href="https://www.statista.com/statistics/258749/most-popular-global-mobile-messenger-apps/" target="_blank">Statista今年2月的統計</a>，WhatsApp在全球約有20億用戶，凌駕微信（WeChat）的13.8億、Telegram的9.5億，以及Messenger的9.47億。</p> <p><a href="https://x.com/andymstone/status/1937169248582770921" target="_blank">Meta公關主任Andy Stone則在X上反駁</a>，指出議員與眾議院工作人員都經常使用WhatsApp，強烈反對行政長對WhatsApp的描述。Stone解釋，WhatsApp上的訊息預設採用端對端加密，意味著只有收件者才看得到訊息，甚至連WhatsApp都無法看到，其安全等級高過行政長所建議的大多數程式。</p> <p>其實Szpindor不只禁了WhatsApp，先前也陸續禁止TikTok、DeepSeek、Microsoft Copilot，以及在2023年禁用了免費版的ChatGPT，但可使用付費版的ChatGPT Plus，當時Szpindor宣稱，只有付費版本才有提供隱私功能。</p> <p>不過，相關禁令皆只適用於由眾議院提供的手機或電腦等官方裝置，並未擴及眾議員或工作人員的私人裝置。</p> </div></div></div>
2025/6/24 13:45作者陳曉莉https://www.ithome.com.tw/news/169694
IBM修補SIEM平臺QRader重大層級漏洞，若不處理攻擊者可用來執行任意命令
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>6月19日<a href="https://www.ibm.com/support/pages/node/7237317">IBM發布資安公告</a>，針對安全資訊暨事件管理（SIEM）平臺QRadar修補漏洞CVE-2025-33117、CVE-2025-33121、CVE-2025-36050、影響UP12 IF01之前的7.5.0版QRadar，該公司發布7.5.0 UP12 IF02版更新予以修補，值得留意的是，沒有其他的替代緩解措施，企業資安人員應儘速安排部署更新的作業因應。</p> <p>根據CVSS風險評分，最嚴重的是重大層級的CVE-2025-33117，取得特殊權限的攻擊者有機會竄改組態檔案，進而上傳惡意自動更新檔案，而能夠執行任意命令，風險值達到9.1分。</p> <p>另一個被評估為高風險層級的漏洞CVE-2025-33121，此弱點涉及XML外部執行個體注入（XXE），攻擊者有機會遠端利用，從而曝露敏感資訊或消耗記憶體資源，風險值為7.1。</p> </div></div></div>
2025/6/24 12:23作者周峻佑https://www.ithome.com.tw/news/169691
特斯拉無人駕駛計程車服務Robotaxi邁入公開測試
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://x.com/elonmusk/status/1936834688188129503" target="_blank">馬斯克（Elon Musk）本周一（6/22）宣布</a>，特斯拉（Tesla）的無人駕駛計程車服務Robotaxi已正式於德州奧斯汀（Austin）展開測試，目前採用邀請制以及單程4.2美元的固定費率。</p> <p>根據外電報導，現階段僅於奧斯汀提供服務的Robotaxi車隊是由大約10輛的Model Y休旅車組成，雖然沒有駕駛員，但前方座位仍設置一名人類安全監督員。</p> <p><a href="https://www.tesla.com/support/robotaxi/getting-started" target="_blank">特斯拉於官網上說明</a>，要搭乘Robotaxi必須先註冊一個Tesla帳號，接著下載Robotaxi程式；輸入目的地，程式便會預估到達時間與車資，上車後，乘客還可透過程式或車上的觸控螢幕來調整各種設定，包括空調、座椅或音樂等，也能在需要時要求車輛靠邊停車。</p> <p>不過，剛上路的Robotaxi似乎還有些狀況，有試乘者將無人計程車逆向行駛或忽然緊急剎車的畫面拍了下來，並已惹來美國國家公路交通安全管理局（NHTSA）的關切。</p> <p>儘管<a href="https://www.tesla.com/robotaxi" target="_blank">Robotaxi的官網</a>已經現身，並說很快就會迎來自駕車時代，但除了上述的小故障之外，可能還得視美國各州的法令。</p> <p>當今美國無人駕駛計程車的龍頭是Alphabet旗下的Waymo，擁有1,500輛汽車，已於舊金山、洛杉磯、鳳凰城及奧斯汀等地區提供商業服務，每周完成25萬次的載客服務，並計畫於明年將車隊擴大至3,500輛。</p> </div></div></div>
2025/6/24 12:39作者陳曉莉https://www.ithome.com.tw/news/169692
Mistral開源模型Small升級為3.2版
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://x.com/MistralAI/status/1936093325116781016" target="_blank">法國AI新創公司Mistral宣布</a>開源模型Small由3.1版升級為3.2版，強化指令遵從、函式呼叫功能。</p> <p>Small 3.2為一小改版，主要功能和Mistral-Small-3.1-24B-Instruct-2503一樣，而改進功能包括：更能精確遵從指令，會遵照用戶指令直到最後一句；和Small 3.1（24B Instruct）相較，新版本Small 3.2在Wildbench（55.6% vs 65.33%）及Arena Hardv2（19.56% vs.43.1%）效能大幅改進。此外，Small 3.2函式（如Python snippet）或工具呼叫的能力也更強大。</p> <p>Small 3.2也減少了重覆性錯誤，在長而重覆性的困難提示測試中，Small 3.2產生無限生成或重覆性答案的情形比Small 3.1減少2倍，不過在大部份MMLU、數理測試及視覺能力測試的成績差不多、甚至略差。</p> <p>目前Mistral-Small-3.2-24B-Instruct-2506版模型，已經可<a href="https://huggingface.co/mistralai/Mistral-Small-3.2-24B-Instruct-2506" target="_blank">在Hugging Face存取</a>。</p> <p>Mistral Small 3.2現已支援24種語言，適合用於VLLM框架，但開發人員也可以配合Transformers執行。</p> <p>兩周前Mistral宣布推出跨足AI雲端平臺產品，<a href="https://www.ithome.com.tw/news/169545" target="_blank">推出Mistral Compute</a>，協助企業自建AI訓練環境。</p> </div></div></div>
2025/6/24 10:17作者林妍溱https://www.ithome.com.tw/news/169689
Salt Typhoon也攻擊了加拿大電信業者
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.cyber.gc.ca/en/guidance/cyber-threat-bulletin-prc-cyber-actors-target-telecommunications-companies-global-cyberespionage-campaign" target="_blank">加拿大網路安全中心上周（6/19）警告</a>，中國駭客組織Salt Typhoon已經對加拿大電信業者及其他產業組織發動攻擊。</p> <p>去年10月底加拿大資安主管機關曾連同美國網路安全暨基礎架構管理署（CISA）、聯邦調查局（FBI）<a href="https://www.ithome.com.tw/news/165750" target="_blank">聯合發布警告</a>，由中國政府資助的Salt Typhoon已對全球主要電信業者、關鍵基礎設施、國防部門等進行網域名稱偵察及掃描，以便發動網路間諜攻擊。最新的警告則是說明已經出現受害者。</p> <p>加拿大政府說已獲報，加拿大電信公司遭到惡意網路攻擊，兇嫌幾乎確定就是Salt Typhoon。Salt Typhoon在今年2月間駭入3臺加拿大電信公司的網路設備，攻擊者濫用了CVE-2023-20198的軟體漏洞，從這3臺設備存取配置檔，並且至少修改了其中一個檔案，重新配置了一般路由封裝（Generic Routing Encapsulation，GRE）通道，而從該業者網路蒐集流量資料。</p> <p>加拿大主管機關並由合作夥伴個別調查發現，這起攻擊的入侵指標和Salt Typhoon有重疊處。該報告還指稱，Salt Typhoon的鎖定目標不只是電信業部門。駭客可能旨在對加拿大組織的網路裝置下手，以便從受害者內部網路蒐集資料，或利用受害者裝置駭入其他組織。但加國主管機關評估，某些案例中，攻擊者的活動可能僅限網路偵察活動。</p> <p>加國政府警告，中國駭客組織未來二年內還會持續鎖定該國業者發動間諜攻擊，對象包括電信業者和其客戶，呼籲其及早強化網路防禦。</p> <p>雖然加國網路安全中心並未指出是哪種網路設備，但CVE-2023-20198是屬於思科（Cisco）設備系統的IOS XE軟體漏洞。今年二月，<a href="https://www.ithome.com.tw/news/167535" target="_blank">思科發表報告</a>，Salt Typhoon利用該漏洞攻擊了美國電信業者。<a href="https://www.ithome.com.tw/news/166878" target="_blank">美國政府一月報告</a>，至少有9家電信公司包括AT&T、Lumen、T-Mobile、Verizon遭Salt Typhoon鎖定。</p> <p>上周美國衛星通訊服務業者<a href="https://www.ithome.com.tw/news/169624" target="_top">Viasat證實</a>自己也在去年底Salt Typhoon大規模攻擊中遭到駭入，但強調沒有客戶受影響。</p> </div></div></div>
2025/6/24 09:49作者林妍溱https://www.ithome.com.tw/news/169688
GitHub出現67個木馬專案，Banana Squad攻擊軟體供應鏈竊取開發者資料
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安公司ReversingLabs<a href="https://www.reversinglabs.com/blog/threat-actor-banana-squad-exploits-github-repos-in-new-campaign">揭露</a>，近期在GitHub發現多達67個含有木馬程式的專案。這些惡意專案仿冒合法開源工具名稱，透過在開發者社群中散布惡意程式碼，竊取使用者系統資訊、應用程式資料、瀏覽器紀錄及加密貨幣等敏感資訊。調查顯示，這波攻擊與資安威脅組織Banana Squad有關，該組織自2023年以來多次針對開源社群發動軟體供應鏈攻擊，目標為程式開發者及資訊科技專業人士。</p> <p>Banana Squad本次攻擊主要策略，是在GitHub建立與熱門Python工具同名的專案，將惡意木馬程式隱藏於Python原始碼檔案內。木馬程式透過插入大量空白字符，將惡意程式碼隱藏在螢幕右側，降低被開發者檢查發現的機率。研究人員指出，這些偽裝專案的說明內容與合法專案相似，README檔案中則常出現自動產生的亂數字串混淆視聽。</p> <p>Banana Squad自2023年4月起持續發動相關攻擊，該組織曾於多個開源平臺，包括PyPI及NPM發起類似攻擊，近期則將重心轉向GitHub，根據ReversingLabs及Checkmarx等組織調查，2023年攻擊惡意套件累積超過7萬次下載。GitHub接獲通報後，已協助下架所有被標記為惡意的67個專案，但由於原始碼平臺公開且專案易於複製，實際受害規模難以全面掌握。</p> <p>研究人員建議，開發者不應僅憑專案名稱或簡介判斷其可信度，應主動比對導入專案與已知良好版本的差異，並利用自動化安全掃描等工具，針對原始碼完整性進行驗證，以確保軟體未遭竄改。</p> </div></div></div>
2025/6/24 08:15作者李建興https://www.ithome.com.tw/news/169686
【資安日報】6月23日，臺灣加密貨幣交易所幣託公布5月遭駭事故調查結果
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>北韓駭客的攻擊行動近期不斷出現在新聞版面，例如，上週五我們報導<a href="https://www.ithome.com.tw/news/169650">北韓駭客BlueNoroff在Zoom視訊用AI深偽技術對企業員工網釣</a>、<a href="https://www.ithome.com.tw/news/169556">Kimsuky鎖定異議人士進行網釣的事故</a>，還有一起針對臺灣的加密貨幣交易所的資安事故相當值得留意，因為犯案者就是惡名昭彰的Lazarus。</p> <p>除了北韓駭客，160億筆帳密資料曝光、鎖定主機代管業者的大規模DDoS攻擊、俄羅斯駭客利用應用程式專用密碼（ASP）挾持Gmail，以及美國保險公司Aflac疑似遭Scattered Spider攻擊的情況，也引起各界高度關注。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169681"><strong style="font-size: 22px;">臺灣加密貨幣交易所幣託傳出5月遭遇攻擊事故，攻擊者身分是北韓駭客Lazarus</strong></a></p> <p>北韓駭客鎖定加密貨幣交易所的情況，已有不少研究人員揭露相關資安事故，但過往大多發生在國外，6月初臺灣加密貨幣交易所幣託（BitoPro）傳出遭駭並得到證實，最近該公司公布調查結果。</p> <p>這起事故最早是由區塊鏈偵探ZachXBT於6月2日揭露，他指出幣託疑似在5月8日遭到攻擊，多個熱錢包出現異常資金外流，損失金額約為1,150萬美元，但直到金管會證券期貨局證實此事並要求幣託公開說明，該公司才坦承確有此事。</p> <p>6月19日幣託發布公告，表示他們委託資安業者經過一個月的調查，確認攻擊者的身分是北韓駭客組織Lazarus，駭客鎖定負責雲端業務的成員進行社交工程攻擊，最終挾持AWS連線階段（Session）的Token，而能繞過多因素驗證（MFA）機制，於該公司AWS環境與C2建立連線，並將惡意指令碼轉移到熱錢包主機。直到5月9日凌晨1時左右，駭客模擬合法交易行為啟動惡意指令碼，從熱錢包移轉加密貨幣，直到幣託的錢包水位監控系統偵測到異常並發出警示，資安團隊啟動應變機制並阻斷駭客行為。</p> <p><a href="https://www.ithome.com.tw/news/169666"><strong style="font-size: 22px;">研究人員揭露160億筆帳密資料外洩，疑透過竊資軟體收集、拼湊而成</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/goat-data-breach-16billion-passwords-leaked.jpeg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/goat-data-breach-16billion-passwords-leaked.jpeg" style="width: 300px; float: right;" /></a></p> <p>上週資安新聞網站Cybernews揭露近160億筆帳密資料外洩事故，這些資料來自30個公開的資料庫，每個資料庫內含數千萬至35億餘筆記錄，來源疑似是透過竊資軟體（Infostealer）收集而得。這項消息一出，引起許多資安專家提出警告，呼籲用戶最好儘速更換Google、臉書、Apple等各項網路帳號的密碼，並啟用雙因素驗證，因為上述曝光的外洩資料很有可能遭到濫用，駭客一旦取得，就有機會存取使用者各式帳密，進而用於接管帳號、竊盜身分，以及針對性網釣攻擊。</p> <p>值得留意的是，Cybernews也提及這些資料庫曝光的時間並不長，大部分的資料庫能透過Elasticsearch或物件儲存執行個體存取，但無法識別資料庫的所有者身分。雖然資料數量過於龐大，研究人員無法對不同資料庫的內容進行比對，因此他們無法確認有多少重覆資料，但研究人員指出大部分的資料遵循著相當固定的結構，依序是：URL、登入資訊、密碼，而這也是竊資軟體彙整偷到資料最常見的格式。</p> <p>不過，對於這些資料的解析，有研究人員提出不同的看法。資安業者Hudson Rock指出，根據他們的統計資料，平均每臺遭竊資軟體感染的電腦會被偷走50組帳密資料，換言之，Cybernews揭露的這批資料，駭客必須在3.2億臺電腦植入竊資軟體才能取得。但這樣的感染規模與全球實際受害情況相比多上不少，顯得不切實際，因此，Hudson Rock推測這批資料不僅有許多重覆，還有過時資料，甚至可能有人工產生的內容。</p> <p><a href="https://www.ithome.com.tw/news/169668"><strong style="font-size: 22px;">大規模DDoS攻擊鎖定主機代管業者而來，7.3 Tbps流量轟炸45秒</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/7_3Tbps-in-45-sec-3.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/7_3Tbps-in-45-sec-3.png" style="width: 300px; float: right;" /></a></p> <p>內容遞送網路暨域名服務業者Cloudflare 5月阻擋了一次7.3 Tbps的分散式阻斷服務攻擊，這波攻擊發生在5月中，7.3 Tbps的流量也破了Cloudflare第一季才剛公布的6.5 Tbps的紀錄。</p> <p>遭到攻擊的對象為Cloudflare服務的一家主機代管業者，歷時45秒，總流量約為37.4 TB，這樣的流量有多龐大？相當於每分鐘5 MB的影音串流7,480小時、9,350部HD高解析度影片（一部以4 GB計算）、935萬首4 MB的MP3歌曲，或是1,250萬張高解析度（每張為3 MB）的照片。</p> <p>特別的是，Cloudflare也提及駭客不同連接埠發動攻擊的現象，整起攻擊行動裡，對方平均針對同一個IP位址轟炸21,925個連接埠，最高峰更轟炸了34,517個。其中99.996%的攻擊流量為UDP洪水攻擊，剩下0.004%約1.3GB的流量包含QOTD反射攻擊、Echo反射攻擊、NTP反射攻擊、Mirai UDP洪水攻擊、Portmap洪水和RIPv1放大攻擊等多種攻擊管道。</p> <p><a href="https://www.ithome.com.tw/news/169675"><strong style="font-size: 22px;">應用程式專用密碼遭到濫用！俄羅斯駭客藉此挾持Gmail帳號</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/google-asp-copy.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/google-asp-copy.png" style="width: 300px; float: right;" /></a>Google威脅情報小組（Google Threat Intelligence Group，GTIG）與加拿大的公民實驗室（Citizen Lab）揭露一起來自俄羅斯國家級駭客的攻擊行動，主要利用社交工程手法及應用程式專用密碼（Application Specific Password，ASP）來繞過多因素身分驗證（MFA），進而入侵受害者的Gmail或其他Google服務。</p> <p>此波攻擊行動被Google命名為UNC6293，並認為與俄羅斯資助的APT29有關。受害者之一是英國的俄羅斯專家Keir Giles，他揭露許多俄羅斯的秘密活動，也撰寫大量有關俄羅斯入侵烏克蘭的文章。</p> <p>Giles在今年5月22日收到自稱是美國國務院官員Claudie Weber的來信，對方自稱是美國國防部顧問，邀請Giles參與一場線上會議。雖然Weber通訊時使用Gmail，但也將副本送到@state.gov郵件位址，在雙方十多次的書信往來之後，Weber即寄送了一個PDF檔，引導Giles於他的Gmail電子郵件帳號中生成應用程式專用密碼，並將它指定給一個名為ms.state.gov的程式使用，再截圖回傳。最後是Google發現了相關攻擊，鎖住受影響帳號、禁用駭客的Gmail帳號。</p> <p><a href="https://www.ithome.com.tw/news/169675"><strong style="font-size: 22px;">美國保險業者Aflac遭駭，疑Scattered Spider駭客組織所為</strong></a></p> <p>6月17日Mandiant研究人員John Hultquist針對美國保險業發出警訊，指出國際駭客組織Scattered Spider（UNC3944）接下來會鎖定該產業而來，一旦得逞將會在整個行業進行滲透。對此，他呼籲保險公司要特別防範對客服電話支援中心而來的相關社交工程攻擊。事隔3天，有保險業者證實遭遇網路攻擊而引起高度關注。</p> <p>美國知名保險公司Aflac指出，他們在6月12日發現其美國業務系統出現異常，隨即啟動資安應變程序，並在數小時內阻止入侵行動。Aflac強調，雖然本次事件對公司營運未造成明顯影響，各項保單、理賠及客戶服務仍持續運作，也沒有發現勒索軟體入侵，但部分檔案包含客戶、員工、受益人等個人敏感資訊，可能遭未授權存取。</p> <p>針對本次事件，Aflac雖未直接公開攻擊者身分，但表示這次入侵為近期特定網路犯罪集團，針對多家保險業者攻擊行動的一部分，因此外界普遍認為，攻擊者的身分就是Scattered Spider。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/06/qilin-ransomware-adds-call-lawyer.html">勒索軟體Qilin加入打電話給律師的功能，意圖向受害組織施加更多壓力</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/silver-fox-apt-uses-weaponized-medical-software/">中國駭客Silver Fox假借提供醫療照護軟體，針對公共設施而來</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/coinmarketcap-briefly-hacked-to-drain-crypto-wallets-via-fake-web3-popup/">加密貨幣價格追蹤網站CoinMarketCap遭駭，攻擊者藉由彈出式視窗榨乾用戶錢包</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/wordpress-motors-theme-flaw-mass-exploited-to-hijack-admin-accounts/">WordPress佈景主題存在能挾持管理員帳號的漏洞，已有攻擊行動出現</a></strong></p> <p></p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/ibm-qradar-siem-bug/">IBM修補旗下SIEM平臺QRadar，若不處理攻擊者有機會執行任意命令</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169658"><strong>【6月20日】北韓駭客BlueNoroff在Zoom視訊利用AI深偽技術對企業員工網釣</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169632"><strong>【6月19日】伊朗大型加密貨幣交易所Nobitex遭駭，駭客銷毀9千萬美元資金</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169611"><strong>【6月18日】AWS宣布IAM領域重大進展</strong></a></p> </div></div></div>
2025/6/23 16:40作者周峻佑https://www.ithome.com.tw/news/169683
GovTech月報第42期：行政院規畫AI新十大建設，4年將投入1,900億元發展AI、量子科技、矽光子等技術；美國F…
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color: rgb(0, 0, 255);">重點新聞(0517~0620)</span></p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">基礎建設</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><span style="font-size:22px;"><strong>政府規畫AI新十大建設，涵蓋主權AI、智慧機器人、量子電腦等領域</strong></span></p> <p>行政院長卓榮泰近期在一場活動透露，行政院正規畫AI新十大建設，分別由國發會、國科會規畫，預期4年將會投入1,900億元預算，AI新十大建設包括加速國內AI基礎建設，並發展主權AI、智慧機器人、量子電腦等新興技術。</p> <p>AI新十大建設包括六大基礎建設及四大技術領域；基礎建設方面，包括建置超級電腦、雲端資料中心，大幅提升我國自有的AI運算資源，以支援政府或民間企業的需求，此外，也將強化資料治理及資安控管，確保技術發展及資訊安全保護。政府也會推動AI軟體產業發展，以協助交通、醫療、教育等產業導入AI技術的轉型發展。</p> <p>技術方面，聚焦在新興的前瞻技術，由國科會規畫，涵蓋主權AI、智慧機器人、量子科技、矽光子，其中智慧機器人以製造及日常生活應用場域為主；主權AI則以推本土大語言模型及關鍵技術的發展，降低對國外技術的依賴；至於量子科技則是結合半導體及光電技術，推動新的運算架構發展；矽光子則是推動低能耗、高效能AI晶片發展的關鍵技術。</p> <p>AI新十大建設預計在今年7月將會送交行政院，目標是在2040年能帶動15兆元產值，創造50萬個就業機會。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">FDA</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><span style="font-size: 22px;"><strong><span id="docs-internal-guid-e7588a07-7fff-dd8c-b3a3-1b9e6d72e090"><span style="font-family: Arial, sans-serif; color: rgb(0, 0, 0); background-color: transparent; font-variant-numeric: normal; font-variant-east-asian: normal; font-variant-alternates: normal; font-variant-position: normal; font-variant-emoji: normal; vertical-align: baseline; white-space-collapse: preserve;">美國FDA用AI工具加快藥物審查速度</span></span></strong></span></p> <p>美國食品藥物管理局FDA近期部署生成式AI工具Elsa，以加速臨床試驗方案以及藥物核准申請的審查流程。</p> <p>Elsa為以大型語言模型為基礎的AI工具，可以協助閱讀、寫作生成內容、摘要，或是根據不良紀錄來產生安全評估報告，或是進行標籤化的分析比較，以及用於生成程式碼，加速非臨床應用的資料庫開發，換言之，FDA希望透過AI工具來提升營運效率。</p> <p>FDA指出，目前已利用Elsa在加速臨床試驗方案的審查，用於縮短科學評估所需要的時間，並能識別高優先性的檢查目標，根據驗證，可在6分鐘內完成原本需要花費2至3天的工作任務。過去，FDA收到藥物核准申請，約需6到10個月審查時間，採用Elsa得以大幅加速審查流程。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">台電</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">智慧用電</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><span style="font-size:22px;"><strong>台電導入AI技術推出智能客服及App住宅用電分析服務</strong></span></p> <p>身為國營事業，台電積極導入AI技術，近期展現該公司推動AI應用成果，包括推出台電智能AI客服，提供民眾24小時電費繳納結果、查詢停復電情形，還在App提供住宅用電分析服務。</p> <p>台電是從2024年開始，導入AI技術升級客服系統，目前台電智能AI客服可提供民眾24小時查詢電費繳納情形、停復電情形、反詐騙，並解答用戶在用電上的一些疑問，迄今使用已超過10萬人次。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/_Image.jpg" style="width: 600px; height: 366px;" /></p> <p>另外，國內推動智慧電表，截至今年3月為止，全國已安裝數已突破350萬具智慧電表，一天就能產生超過3億筆用電大數據，台電利用AI模型演算法，在台電App提供用電戶服務，例如推算家中冷氣、冰箱等家電用電占比及度數的「住宅用電分析」，以及衡量每天用電習慣、視覺化呈現的「用電作息指標」，讓用電戶可以瞭解自己的用電情形。</p> <p>台電內部也推動生成式AI應用，例如去年開始推動的行政文書助理、程式開發助理等生成式AI工具，舉辦教育訓練鼓勵員工應用新科技，還在內部打造台電版GPT，稱為ChatTPC，作為AI助理，協助快速查找資料、歸納工作重點。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">AI</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">國防</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><span style="font-size:22px;"><strong>美國防部與Open AI合作，將用AI改善行政流程、作業效率</strong></span></p> <p>美國國防部近期宣布已與Open AI簽約，將利用AI改善國防部行政作業流程及效率，以支援戰爭或企業的國家安全挑戰。</p> <p>美國國防部是由位於華盛頓特區的國防部長辦公室的數位暨人工智慧辦公室與Open AI簽約，該份價值2億美元的合約，委託Open AI負責開發具有人工智慧能力的原型，以應對戰爭或企業領域的國家安全議題，主要在華盛頓特區進行，預計2026年7月完成。</p> <p>Open AI表示，該合作將探討前瞻的AI如何改善國防部的行政運作效率，例如優化軍人與眷屬就醫流程，簡化國防部計畫與資料管理，支援主動式網路防禦，這項合作均在OpenAI的使用政策及準則，即禁止AI用於開發及使用武器。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">加密貨幣</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">區塊鏈</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><span style="font-size:22px;"><strong>烏茲別克試辦基於區塊鏈的HUMO代幣，降低即時交易成本</strong></span></p> <p>烏茲別克近期推動數位資產，以試點發行的方式推出由政府債券支持的HUMO代幣，利用區塊鏈技術，將傳統的政府主權債券予以數位化，盼以創新的方式吸引國外資金，提高金融交易的透明度，以及降低交易的成本。</p> <p>HUMO代幣的推出是運用區塊鏈技術，一方面提高透明度，並籍此降低成本，以吸引國外資金，同時也能打擊影子經濟，代幣將在EVM及Tycho協議上運作，以建立高效率及可擴展性，並且整合烏茲別克已有3,500萬使用者的HUMO支付系統，作為推動HUMO代幣的基礎。</p> <p>近幾年烏茲別克一直積極推動區塊鏈、加密貨幣發展，該國在2018年就為加密貨幣交易提供合法化及稅收優惠，並設立Digital Trust國家區塊鏈發展基金，這次試辦HUMO代幣，讓該國在中亞地區的打造數位金融創新環境居於比較領先的地位。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位身分</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">數位皮夾</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><span style="font-size:22px;"><strong>行政院：駕照、畢業證書將於2025年納入數位憑證皮夾</strong></span></p> <p>我國推動數位公共基礎建設之一的數位憑證皮夾，目前正與多方合作進行沙盒實驗，近期行政院長卓榮泰表示，今年可望將駕照、畢業證書納入數位憑證皮夾，2025年完成系統測試及試辦。</p> <p>卓榮泰是在行政院召開青年諮詢委員會，應會中委員建議政府擴大數位憑證皮夾應用，卓榮泰允諾，將由數發部持續技術支援、個資保護措施，教育部、交通部配合規畫，以將畢業證書、駕照納入數位憑證皮夾，並以2025年完成測試及試辦為目標。</p> <p>卓榮泰指出，只要數位技術可行，就不需要紙本，但前題是必需確保個資保護及資通安全，同時提供民眾使用的選擇權利。</p> <p><strong><font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">無人機</span></font> <font color="#ffffff"><span style="background-color: rgb(51, 153, 255);">科技救災</span></font></strong></p> <p dir="ltr" style="line-height: 1.38; margin-top: 0pt; margin-bottom: 0pt;"><span style="font-size:22px;"><strong>提升科技救災能量，嘉義縣加強消防人員使用無人機、消防機器人救災能力</strong></span></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/unname.jpg" style="width: 600px; height: 450px;" /></p> <p>嘉義縣政府消防局近期加強科技救災能量，導入無人機、消防機器人協助救災工作，近期加強消防人員訓練，以熟悉利用無人機、消防機器人深入災害現場，提高救災工作效率及改善消防人員安全。</p> <p>其中無人機的救災工作，主要利用在災害現場，例如高溫難以靠近的火災現場，從空中拍攝火災現場的環境畫面，即時回傳現場影像，並利用無人機從空中，以鳥瞰的視角來搜尋災害現場的受困人員，供救災指揮人員制定救援決策。</p> <p>嘉義縣政府消防局近期也接受捐贈消防機器人，該機器人採用履帶移動設計，可代替消防人員深入火場，除了探測火場內部情形，協助定位受困者的位置，協助救援人員制定救援行動路徑，也能利用攜帶的水帶射水協助滅火。</p> <p> </p> <p>圖片來源／台電、嘉義縣政府</p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 更多GovTech動態 </span></strong></span></p> <p><strong>1.歐洲衛星通訊業者Eutelsat擬增資，法國政府成最大股東</strong></p> <p><strong>2.行政院將設AI公務人才發展辦公室，加速公部門AI人才培育</strong></p> <p>資料來源：iThome整理，2025年6月</p> </div></div></div>
2025/6/23 18:37作者蘇文彬https://www.ithome.com.tw/news/169680
臺灣加密貨幣交易所幣託傳出5月遭遇攻擊事故，攻擊者身分是北韓駭客Lazarus
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>北韓駭客鎖定加密貨幣交易所的情況，已有不少研究人員揭露相關資安事故，但過往大多發生在國外，6月初<a href="https://x.com/zachxbt/status/1929417001296146868">臺灣加密貨幣交易所幣託（BitoPro）傳出遭駭</a>並得到<a href="https://www.bitopro.com/ns/announcements/1219">證實</a>，最近該公司<a href="https://www.bitopro.com/ns/announcements/1226">公布調查結果</a>。</p> <p>這起事故最早是由區塊鏈偵探ZachXBT於6月2日揭露，他指出幣託疑似在5月8日遭到攻擊，多個熱錢包出現異常資金外流，損失金額約為1,150萬美元，由於事發當下該公司<a href="https://www.bitopro.com/ns/announcements/1207">僅以臨時系統維護為由暫停加密貨幣加值和提領業務</a>，後續並未透露發生資安事故，ZachXBT認為幣託應出面說明。此消息引起加密貨幣社群高度關注，懷疑該公司想隱匿資安事故；<a href="https://www.ctee.com.tw/news/20250603700115-439901">金管會證券期貨局也證實此事</a>，要求幣託發布正式聲明說明，幣託才坦承在進行錢包系統升級與資產移轉作業的過程裡，舊熱錢包在調度資金過程遭到攻擊。不過，當時幣託僅強調用戶權益完全不受影響，並未透露其他細節。</p> <p>6月19日幣託發布公告，表示他們委託資安業者經過一個月的調查，確認攻擊者的身分是北韓駭客組織Lazarus，並指出攻擊手法與過往該組織針對銀行SWIFT系統進行非法轉帳，以及其他大型加密貨幣交易所竊取數位貨幣的事故相似。</p> <p>針對事故發生的過程，幣託表示駭客鎖定負責雲端業務的成員進行社交工程攻擊，在成功於電腦植入惡意軟體後，繞過該公司的防毒、端點防護，以及雲端安全檢測系統，駭客潛伏在此名員工的電腦，藉由觀察日常操作的行為，進而迴避資安人員的監控。最終挾持AWS連線階段（Session）的Token，而能繞過多因素驗證（MFA）機制，於該公司AWS環境與C2建立連線，並將惡意指令碼轉移到熱錢包主機。</p> <p>直到5月9日凌晨1時左右，駭客模擬合法交易行為啟動惡意指令碼，從熱錢包移轉加密貨幣，直到幣託的錢包水位監控系統偵測到異常並發出警示，資安團隊啟動應變機制並阻斷駭客行為。該公司第一時間進行相關檢查並重新建立錢包系統，後續於5月19日將熱錢包位址提供給區塊鏈去匿名化威脅情報平臺Arkham，目的是更新平臺水位與相關資料。</p> </div></div></div>
2025/6/23 16:18作者周峻佑https://www.ithome.com.tw/news/169681
Uber資料服務Scaled Solutions更名Uber AI Solutions，新增資料工廠與代理人AI服務
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.businesswire.com/news/home/20250620173883/en/Uber-Expands-AI-Data-Platform-to-Power-Next-Gen-Enterprise-and-AI-Lab-Needs" target="_blank">Uber上周五（6/20）宣布</a>擴展其AI資料服務業務，藉由Uber AI Solutions來支援全球的AI實驗室與大型企業，除了基本的資料蒐集、標註、測試及本土化之外，並提供資料工廠（Data Foundry）及代理人AI（Agentic AI）等新服務。外界猜測，Uber的大動作與<a href="https://www.ithome.com.tw/news/169561" target="_blank">Scale AI被Meta半收購</a>有關。</p> <p><a href="https://www.uber.com/us/en/scaled-solutions/" target="_blank">Uber解釋</a>，隨著該公司每天支援超過3,300萬次的行程與外送服務，亦同時在產品、平臺、AI及ML上進行創新，打造了一個世界級的技術平臺，以滿足自己在資料標註、測試及本土化上的各種需求，並將它提供給其它客戶。</p> <p>Uber是在2023年年底推出名為Scaled Solutions的B2B資料服務業務，主要提供資料標註、測試及本土化服務，並已於30個國家提供服務，上周的宣布等於將該服務更名為Uber AI Solutions。</p> <p>邁入Uber AI Solutions階段之後，原本的服務被稱為全球數位任務平臺（Global Digital Task Platform），它連繫了全球各領域的專家來註釋與編輯資料內容；另有新的資料工廠可提供現成或客製化的多模態資料集，以用來訓練大型語言模型、視覺模型與多模態模型；還可利用高品質的標註資料、模擬環境及任務流程，以及對多語言的支援等，協助客戶訓練AI代理人。</p> <p>Uber AI Solutions的服務內容與服務對象，類似日前才被Meta半收購的Scale AI。2016年創立的Scale AI主要提供資料標註及模型評估服務，標榜可透過精準的資料服務加速AI模型的落地應用，在日前的收購消息中，Scale AI僅承認收到了Meta的「重大」（Significant）投資，讓該公司的估值達到290億美元，以及共同創辦人暨執行長Alexandr Wang將加入Meta，並未透露其它數字，但外傳Meta支付近150億美元的金額取得29%的Scale AI股份。</p> <p>該消息讓<a href="https://www.ithome.com.tw/news/169564" target="_blank">Google</a>與<a href="https://www.ithome.com.tw/news/169629" target="_blank">OpenAI</a>都決定終止與Scale AI的合作，凸顯大型AI開發者對資料供應中立性與資訊安全的高度重視，而紛紛尋求替代方案，也讓Uber AI Solutions等業者有機會填補市場空缺。</p> </div></div></div>
2025/6/23 16:49作者陳曉莉https://www.ithome.com.tw/news/169684