iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 16篇
近 7 天: 118篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/6
最近更新: 11/7 08:53
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 118 篇內文

2
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象2 家

彭博社1筆關係
路透社1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

AI趨勢周報第276期：Google釋出經典編碼器-解碼器T5Gemma系列模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞（0704～0710）</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 編碼器-解碼器 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> T5Gemma </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Google重拾經典編碼器-解碼器架構，釋出T5Gemma系列模型</strong></span></p> <p>Google最近發布T5Gemma系列大型語言模型（LLM），重拾經典的編碼器-解碼器（encoder-decoder）架構，不論是產出結果還是推論效率，都比現有主流的解碼器模型（decoder-only）要好。</p> <p>T5Gemma以Gemma 2框架為基礎，透過適應性轉換技術，將預訓練的解碼器模型調配為編碼器-解碼器架構，不僅保留原有能力，還降低重新訓練的運算成本。T5Gemma包含小型、基礎、大型和XL級別的模型，另也有2B、9B參數版本，以及9B編碼器+2B解碼器等這類不對稱的組合，這種組合能用來調整輸入或輸出的效率，比如提高輸入理解力、保持簡單的輸出。</p> <p>在SuperGLUE和GSM8K測試中，T5Gemma精準度和延遲表現皆媲美甚至超越同級模型，特別是2B-2B模型經指令微調後，MMLU分數比Gemma 2 2B模型高出12分，GSM8K準確率也從58%衝上70.7%。T5Gemma現已在Hugging Face、Kaggle、Vertex AI平臺上開放使用。<a href="https://developers.googleblog.com/en/t5gemma/">（詳全文）</a></p> <p><img alt="" src="https://storage.googleapis.com/gweb-developer-goog-blog-assets/images/Chart-1.original.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Java </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Llama 3 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GPU加速 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>曼徹斯特大學開源Java Llama3 GPU加速工具，要追上原生CUDA效能</strong></span></p> <p>AI大模型當道，曼徹斯特大學Beehive實驗室團隊6月釋出一款加速工具GPULlama3.java，透過TornadoVM運算框架，自動對Java程式編譯、優化，不必寫任何CUDA或OpenCL程式碼，就能在GPU上快速執行大型語言模型（LLM）推論。該工具目前支援Llama3和Mistral這兩種熱門模型（GGUF格式）。</p> <p>目前，TornadoVM可在三種後端加速，包括OpenCL、PTX、SPIR-V。不過，Apple推出的OpenCL早已棄用，因此在Apple Silicon上的加速效能不會太好，因此團隊建議在Nvidia GPU環境下測試，以達到最佳表現。團隊表示，接下來打算支援Metal，讓蘋果裝置用戶也能享受快速執行模型的效能。雖然這款加速工具的速度還追不上專業版llama.cpp或原生CUDA，但團隊以此為目標，希望繼續加速至原生CUDA效能。<a href="https://github.com/beehive-lab/GPULlama3.java">（詳全文）</a></p> <p><img alt="" src="https://github.com/beehive-lab/GPULlama3.java/raw/main/docs/inter-output.gif" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Line </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Yahoo! </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI代理 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Line合併日本Yahoo！今年要轉型成AI公司</strong></span></p> <p>Line日本與Yahoo! Japan合併為LY Corporation，日前在技術年會上宣布轉型為AI公司，提出兩大行動方針，包括全面導入AI Agent、提高內部生產力。LYC CTO朴懿彬進一步說明兩大策略進展，他們已在服務中導入44個GenAI應用，且已有35個專案用AI來提高內部營運效率。比如，Yahoo! Japan App用GenAI強化抽象語言搜尋功能，Line則在通訊功能中用GenAI支援基本問答、翻譯、PDF文件摘要、照片編輯和文字識別等能力。甚至在生產力部分，已應用GenAI客服來處理Yahoo購物、拍賣、Email、旅遊等服務，可以自動回覆處理92%的客服案件。</p> <p>LYC還導入RAG工具Seek AI，作為內部知識管理工具，員工可註冊工作空間或應用程式，讓Seek AI學習內容、回答營運相關問題並整理所需資訊。目前他們已註冊490個應用程式給Seek AI學習。LYC還用自家程式碼，訓練出內部GenAI軟體開發助手Ark Developer，可支援程式碼建議、技術文件生成、自動程式碼測試、QA和程式碼審查等。在初期測試中，程式碼建議正確率高達96%、文件生成與審查時間減少62%、測試時間減少95%，一天能支援超過5,000次程式碼審查，預計7月正式上線。</p> <p>為達成兩大AI轉型目標，LYC還要強化AI代理記憶（Agentic Memory），來強化AI代理執行複雜任務能力；也要結合數據治理及MCP技術應用，讓AI代理能在更安全的環境中執行任務。同時也會發展LLMOps，妥善管理LLM用例及數據傳輸機制的效能和品質；另要強化RAG平臺，讓AI應用更好地使用內部數據，以及強化整體數據處理和數據治理做法，來支援AI發展。<a href="https://www.ithome.com.tw/news/169840">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/arkdev.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 機器人模型 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Google DeepMind </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 視覺 </span></strong></span></p> <p><span style="font-size:22px;"><strong>IMA發起Taiwan Tongues，推動臺灣語料庫</strong></span></p> <p>生成式AI當道，但主流模型多以英文、簡體中文訓練。為此，IMA資訊經理人協會推動Taiwan Tongues臺灣通用語料庫計畫，攜手作家組成Team Taiwan，累計貢獻逾500萬字文學作品，涵蓋臺灣華語、臺語、客語、原住民語，要讓AI真正聽懂臺灣話。</p> <p>IMA協會理事長蔡祈岩表示，AI需理解臺灣語言、文化與價值觀，才能展現臺灣主體性。該計畫由作家胡長松領軍，他率先釋出150萬字著作，目前已上架Hugging Face，開源非商業使用。測試顯示，透過Taiwan Tongues語料，臺語AI模型正確率從31.5提升至42.6，成效顯著。</p> <p>Taiwan Tongues也與群聯電子合作，打造具多元觀點與語境辨識的模型訓練框架，並攜手陽明交大建立臺灣語境評測指標。未來，數發部也將統籌政府語料，推動公私合作、擴大語料開源。IMA也計畫啟動Wiki Taiwan，提升臺灣語言在全球網路世界的能見度。<a href="https://tt.ima.org.tw/news.html">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Veo 3 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 影片生成 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span></p> <p><span style="font-size:22px;"><strong>Veo 3影片生成功能在臺推出了</strong></span></p> <p>前幾周，Google在I/O大會上亮相最新AI影片生成模型Veo 3，日前則正式將Veo 3導入所有支援Gemini應用程式的國家和地區，包括臺灣在內。只要訂閱Google AI Pro，用戶就能用Veo 3生成短影片。</p> <p>Veo 3結合Gemini模型，能根據相片、提示詞自動生成影片，無論是重現歷史、創意實驗，還是捕捉「大腳怪」出沒的虛構場景，都能輕鬆搞定。Google重視Veo 3的安全性，影片會自動加入可見浮水印，以及隱形的SynthID數位浮水印，防止被誤用。Google也透過大規模紅隊演練來確保內容安全，並透過「喜歡/不喜歡」功能來讓用戶反應、持續改進。<a href="https://blog.google/intl/zh-tw/products/explore-get-answers/veo-3-ai/">（詳全文）</a></p> <p> </p> <div class="media_embed" height="408px" width="726px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="408px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/nAui-JLXofA" title="Boba Planets VEO Video" width="726px"></iframe></div> <p> </p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 思覺失調 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 臺北榮總 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 腦影像 </span></strong></span></p> <p><span style="font-size:22px;"><strong>臺北榮總打造AI腦影像平臺，輔助思覺失調診斷</strong></span></p> <p>臺北榮總精神醫學部楊智傑教授團隊開發出智慧腦影像平臺，結合核磁共振和AI深度學習，來輔助評估思覺失調症，診斷準確率高達91.7%。這項做法突破傳統靠臨床觀察的限制，提供客觀的生物指標，改善精神疾病診斷與個人化治療。</p> <p>思覺失調症影響全球約1%人口，常見幻聽、妄想等症狀。北榮智慧腦影像平臺以1,500名本土受試者數據打造，能三維視覺化大腦異常、精準定位病灶，協助醫師與患者家屬溝通；該平臺也具備腦磁振影像導引功能，可進一步研發精準的經顱磁刺激等非侵入性神經調控，作為臨床治療輔助工具。</p> <p>這套智慧腦影像平臺已獲美國愛迪生獎、醫策會等獎項肯定，並取得臺美及PCT等專利。臺北榮總也啟用新建的身心智慧創新治療區，透過該平臺來與病人及家屬深入討論大腦變化、提高患者病識感，推動精神疾病診斷邁向AI精準醫學。<a href="https://www.vghtpe.gov.tw/vghtpe/News!one.action?nid=14804">（詳全文）</a></p> <p><img alt="" src="https://www.vghtpe.gov.tw/vghtpe/images/news/1140703_07.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Midjourney </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 影片生成 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> V1 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Midjourney推出首個影片生成AI模型V1</strong></span></p> <p>美國AI新創Midjourney繼推出圖像生成服務後，6月下旬又發表旗下首款影片生成模型V1，可用圖像生成影片，費用約是生成圖像的8倍，一上線就獲好評。進一步來說，它的工作流程是圖像轉影片（Image-to-Video），一開始上傳圖像後，就成為影像的第一幀圖，按下「Animate」就能讓圖動起來，使用者也能客製化調整速度或移動方向等細節。V1會先生成一個5秒、解析度為480p的影片，之後可選擇延長影片，每次延長時間為4秒，最多可延長4次，最長可建立21秒的影片。</p> <p>2022年創立的Midjourney表示，他們的目標是建置一個可即時模擬開放世界的模型，就好比一個可即時生成影像的AI系統，使用者可命令它在3D空間移動，環境和角色也會跟著移動並互動。為達到該目標，Midjourney需要建立各種模組，像是圖像生成模型、圖像轉影片模型，以及可在空間中移動的3D模型等。而明年起，Midjourney將分別建置並發布這些元件，再將它們整合成一個統一的系統，目標是讓大眾使用。<a href="https://updates.midjourney.com/introducing-our-v1-video-model/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 微軟 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 醫學診斷 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> MAI-DxO </span></strong></span></p> <p><span style="font-size:22px;"><strong>微軟MAI-DxO系統診斷準確率高達85％</strong></span></p> <p>微軟發表最新研究，展示 AI 在臨床診斷的突破性進展。其開發的MAI-DxO系統，針對《新英格蘭醫學期刊》（NEJM）收錄的304個高難度病例進行測試，診斷正確率高達85%，遠勝21位美英專科醫師僅20%的表現。</p> <p>MAI-DxO結合了GPT、Llama、Claude、Gemini等模型協作，模擬虛擬醫師小組逐步問診、安排檢查並調整推論，更貼近真實臨床情境。除了準確率提升，系統也能在虛擬成本限制下，合理規畫檢查，避免過度使用醫療資源。微軟強調，MAI-DxO能根據不同場景調整診斷策略，強化可靠性與可追溯性。不過，AI診斷大規模落地仍需通過更多實證、法規和治理挑戰。<a href="https://microsoft.ai/new/the-path-to-medical-superintelligence/">（詳全文）</a></p> <p> </p> <div class="media_embed" height="482px" width="898px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="482px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/JkIjmXEK0Yg" title="Introducing SDBench from Microsoft AI" width="898px"></iframe></div> <p> </p> <p>圖片來源／Google、曼徹斯特大學、LYC、臺北榮總、Midjourney、微軟</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. <a href="https://x.com/cursor_ai/status/1939702194863026504?ref_src=twsrc%5Etfw%7Ctwcamp%5Etweetembed%7Ctwterm%5E1939702194863026504%7Ctwgr%5Ec2926c0a493269a19ae1675485fc7429af7478b6%7Ctwcon%5Es1_&ref_url=https%3A%2F%2Fanalyticsindiamag.com%2Fai-news-updates%2Fcursor-brings-ai-coding-agents-to-the-web-and-mobile%2F">Cursor推出手機版和網頁版開發助理</a></strong></p> <p><strong>2. Gemini正式登陸Wear OS智慧手錶</strong></p> <p><strong>3. Hugging Face聯手機器人業者，推出2款Reachy Mini桌上型機器人</strong></p> <p>資料來源：iThome整理，2025年7月</p> </div></div></div>
2025/7/10 18:48作者王若樸https://www.ithome.com.tw/news/169991
SAP修補供應商關係管理平臺重大漏洞，問題出在攻擊者能趁機以管理員身分執行OS命令
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週二SAP發布7月份Security Patch Day例行更新，其中最值得留意的部分，是存在於供應商關係管理平臺（Supplier Relationship Management，SRM）的滿分漏洞<a href="https://nvd.nist.gov/vuln/detail/cve-2025-30012">CVE-2025-30012</a>，非常危險，IT人員應儘速處理。</p> <p>這項漏洞存在於SRM的Live Auction Cockpit工具，起因是此工具搭配已經棄用的Java Applet元件，未通過身分驗證的攻擊者可以使用特定的格式編碼，來發送惡意酬載請求。</p> <p>一旦伺服器端程式（Servlet）收到請求並解碼，就會造成資料的反序列化，從而讓攻擊者以SAP管理員執行任意的作業系統命令，嚴重影響應用程式的機密性、完整性、可用性。</p> <p>本次SAP<a href="https://support.sap.com/en/my-support/knowledge-base/security-notes-news/july-2025.html">一共修補27個漏洞</a>，其中有6個評為重大層級，另一個接近滿分的程式碼注入漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-42967">CVE-2025-42967</a>也相當危險，此漏洞影響ERP系統S/4HANA、供應鏈管理平臺（Supply Chain Management，SCM），存在於這些產品的Characteristic Propagation功能，屬於遠端程式碼執行（RCE）漏洞。具備一般使用者權限的攻擊者能以自己的程式碼產生新報告，從而完全控制存在漏洞的SAP系統，CVSS風險評為9.9分。</p> </div></div></div>
2025/7/10 16:07作者周峻佑https://www.ithome.com.tw/news/169978
Hugging Face開放開發人員訂購機器人套件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://huggingface.co/blog/reachy-mini" target="_blank">Hugging Face周三（7/9）正式開放全球開發人員購買Reachy Mini機器人套件</a>，它的高度為28公分，寬是23公分，重約1.5公斤，有線版本的Reachy Mini Lite售價299美元，無線的Reachy Mini則是449美元。<a href="https://x.com/Thom_Wolf/status/1942962740156326272" target="_blank">Hugging Face共同創辦人Thomas Wolf說</a>，開放預購的5小時後，便已收到超過13萬歐元的訂單。</p> <p>Reachy Mini是Hugging Face與<a href="https://www.pollen-robotics.com/" target="_blank">法國機器人新創Pollen Robotics</a>共同開發的開源機器人產品，由Pollen Robotics負責硬體及開源機器人平臺，並由Hugging Face提供AI模型、Hub整合與社群資源。</p> <p><a href="https://x.com/Thom_Wolf/status/1942912790638862456" target="_blank">Wolf說明</a>，28公分高的Reachy Mini可以轉動頭部或是身體，也具備視覺、聲音，定向語音能力；開發人員可以輕鬆地修改、撰寫或分享新的機器人行為，不管是不是由AI所驅動，皆能透過Hugging Face Hub與整個開源社群共享。</p> <p>Wolf亦強調，Reachy Mini是專為AI開發人員所設計的，可用來進行人機互動、撰寫具創意的程式碼，進行AI教學與實驗，甚至可以用來開發真實世界的機器人互動應用。</p> <p>現階段Reachy Mini已內建15種機器人行為，包括可控制頭部及身體的轉動，也能搭配天線動作來呈現表情與情緒；用螢幕取代的眼睛還會閃動；能夠偵測眼前的物體並追蹤移動；以及可偵測聲音與動作而觸發反應等。</p> <p>Hugging Face說，Reachy Mini適合各種年齡層的AI開發人員，不管他們真的是AI開發者、駭客、研究人員、教師或只是機器人愛好者，都能利用Reachy Mini來開發最新的AI模型，或是開發、測試及部署AI應用程式。</p> <p>精簡版的Reachy Mini Lite不支援Wi-Fi，也沒有內建電池，亦無配備加速計，目前相容於Mac與Linux，很快就會支援Windows，售價為299美元，運費與稅金另計，預計在今年夏末出貨。</p> <p>至於完整版的Reachy Mini支援Wi-Fi，內建電池，也能連線充電，配備了加速計，支援Raspberry Pi 5，售價為449美元，預計於2025年秋天到2026年分批出貨。</p> </div></div></div>
2025/7/10 16:37作者陳曉莉https://www.ithome.com.tw/news/169983
AWS揭露用生成式AI幫助資安的5種場景，不只程式碼修補、API安全測試，還有日誌分析速度快50倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>如何善用生成式Ai幫助資安防禦，是所有企業、資安廠商與資服業者，都在努力發展的重要課題，過去已有國內外業者分享這方面的實務經驗，例如奧義智慧、趨勢科技、Google等，近期AWS於美國費城舉辦年度資安會議re:Inforce 2025，該公司也揭露其內部實際應用生成式AI協助資安工作的實際經驗。</p> <p>今年大會有多位AWS高層主管說明應用成果與觀察，我們整理出5大類型，涵蓋：程式碼修補自動化、自動化API安全測試、雲端回應團隊分析與應變加速，以及MadPot產品分析與誘捕能力的強化，甚至還有威脅建模的應用，讓大家了解更多應用實例。</p> <h3><strong>應用1：程式碼修補自動化，生成式AI加速資安左移</strong></h3> <p>如何用生成式AI來幫助資安工作？AWS應用科學經理George Argyro在re:Inforce 2025公布AWS有兩項重要進展。</p> <p>首先，是程式碼修補自動化。George Argyros表示，早前AWS利用自家Amazon Q Developer的程式碼轉換能力，成功將公司內部所有Java應用系統從Java 11升級到Java 18。後續，他們也運用類似的流程，進一步解決開發過程所面對的資安問題。</p> <p>他解釋，AWS是以內部版本的Amazon Q Developer進行資安最佳實踐，協助工程師更快速解決個別的問題，同時也確保開發團隊持續採用安全的程式庫與設計模式，進而提升系統的資安水準。George Argyros指出，這代表AWS已將資安融入日常開發流程，而不是等到開發完成後才處理資安問題，進而實踐「資安左移（Shift Security Left）」的概念。</p> <p>例如，當開發人員提交Pull Request時，系統會自動進行資安檢查，若發現風險，就會自動產生程式碼審查建議與修補方案。其運作方式有兩種，一種是在程式碼提交請求期間識別到資安問題時自動觸發，一種是開發者也能使用命令列介面（CLI）手動啟動檢查。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（網站圖1）AWS用生成式AI幫助資安_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%961%EF%BC%89AWS%E7%94%A8%E7%94%9F%E6%88%90%E5%BC%8FAI%E5%B9%AB%E5%8A%A9%E8%B3%87%E5%AE%89_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p>為了讓大家更清楚其應用效果，George Argyros也展示這方面流程，例如，在自動識別出資安問題時，AWS開發者只要點開介面上提供的連結，就能看到詳細的風險說明、建議修改，同時，工具還會提供程式碼前後的比對畫面，讓開發者能直接檢視與修補版本。而且，這些動作都是在主程式碼庫之外進行，因此現有程式碼仍未被變動、仍未修補。若開發者確認修補無誤，之後就可以一鍵合併修改，並推送至主分支，進入測試與部署流程。</p> <p>不過，這一切的前提是要兼顧效能與準確性，George Argyros強調，雖然自動化可顯著提升修補效率，但若修補不正確，反而會浪費工程資源，因此，他們還設計一套安全機制，運用AI代理（AI Agents）對生成的修補程式進行測試，能根據執行結果自動修正錯誤，並評估修補的正確性。</p> <p>George Argyro強調，這只是開始，未來AWS將持續深化自動化資安修補的能力，讓每位開發者都能更安心地寫出安全的程式碼。</p> <h3><strong>應用2：擴展安全審查，強化自動化API安全測試</strong></h3> <p>另一項George Argyros提到用生成式AI幫助資安的關鍵應用，是擴展安全審查的規模與效率。</p> <p>George Argyros表示，資安是AWS的首要任務，因此所有新功能與服務都必須經過應用程式安全審查，以確保符合我們的高安全標準。然而，這類審查往往非常耗時與耗人力，也需要根據風險進行優先排序。此外，開發人員也經常會遇到資安相關問題，需要額外向資安團隊諮詢，進而影響開發時程。</p> <p>為此，AWS做了兩件事，首先，打造開發階段的即時專家：AWS Security Companion。</p> <p>AWS打造一個以資安為核心的生成式AI聊天機器人，這個AI助理能在開發階段即時提供專業建議，協助開發者在早期就解決潛在的安全問題。其背後的大型語言模型（LLM）具備自主代理（Agentic）的能力，能提供精準的技術指導、回答複雜問題，從而顯著加快開發進度，讓工程師能專注於處理更複雜、不易自動化處理的問題。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（網站圖2）AWS用生成式AI幫助資安_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%962%EF%BC%89AWS%E7%94%A8%E7%94%9F%E6%88%90%E5%BC%8FAI%E5%B9%AB%E5%8A%A9%E8%B3%87%E5%AE%89_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p>其次，建立代理式工作流程，大幅改進自動化API安全測試。</p> <p>George Argyros進一步說明，AWS內部系統建立於API基礎之上，因此需要進行完整且詳細的API安全測試。但在傳統作法上，人員需撰寫涵蓋各種情境的測試案例，這是一項繁重且費時的任務。開發者需要耗費大量時間查閱文件、建立測試上下文並設定參數。想像這樣的流程需重複上百次或上千次，效率相當低。</p> <p>為此，AWS引入了代理式工作流程，這套系統能自動讀取API文件與結構資訊，建立對應的測試案例，並不斷優化直到成功執行。LLM 甚至能辨識測試所需的外部資源，大幅加快整個測試週期。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（網站圖3）AWS用生成式AI幫助資安_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%963%EF%BC%89AWS%E7%94%A8%E7%94%9F%E6%88%90%E5%BC%8FAI%E5%B9%AB%E5%8A%A9%E8%B3%87%E5%AE%89_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p>George Argyros指出，目前這套系統已能自動為絕大多數的AWS服務API建立安全測試，而且其技術仍在持續進化，不僅能生成呼叫API所需的上下文與參數，也更能判斷每個API測試結果是否符合預期。</p> <p>甚至，這種方法帶來了意想不到的附加價值：提升AWS官方文件的品質。George Argyros進一步解釋，這是因為，當AI代理分析AWS文件並建立測試過程時，若發現文件內容存在模糊、矛盾或錯誤之處，它會標記這些問題。這不僅讓 AWS 得以產出更完整的資安測試，更有助於修正文件，這等於也幫助仰賴這些文件進行開發的數萬名工程師。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（網站圖4）AWS用生成式AI幫助資安_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%964%EF%BC%89AWS%E7%94%A8%E7%94%9F%E6%88%90%E5%BC%8FAI%E5%B9%AB%E5%8A%A9%E8%B3%87%E5%AE%89_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <h3><strong>應用3：加數雲端回應團隊能力，日誌分析速度比以往快50倍</strong></h3> <p>在今年re:Inforce 2025現場，我們還看到AWS揭露更多不同應用場景，也都是用生成式AI幫助資安。</p> <p>例如，AWS副總裁暨資安長Amy Herzog在主題演說曾提到，在導入生成式AI後，AWS的雲端回應團隊（cloud response team）也迎來變革，如今，AWS已將處理複雜問題的平均解決時間（MTTR）縮短了40%以上。</p> <p>有那些具體作為？Amy Herzog提到，AWS建立一項能大規模搜尋過往案例的系統，提供分析問題模式的能力，幫助從宏觀角度找出最具效益的切入點。</p> <p>同時，為了避免人員可能過度依賴AI輔助，AWS開發了「漂移檢測系統」（Drift detection systems），可在分析問題處理過程，針對回應或文件記錄的重點環節，增加標記與警示。</p> <p>此外，過去資安日誌分析相當耗時，以AWS團隊而言，每次平均分析時間長達9個半小時，如今建立新的AI驅動日誌分析系統，可以自動處理多個來源日誌。她並強調，這項變革影響相當巨大，日誌分析能力提升了50倍，讓初始分析時間從數小時大幅縮短至數分鐘，幫助資安工程師快速且簡單地展開調查工作。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%965%EF%BC%89AWS%E7%94%A8%E7%94%9F%E6%88%90%E5%BC%8FAI%E5%B9%AB%E5%8A%A9%E8%B3%87%E5%AE%89_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></p> <h3><strong>應用4：強化AWS部署於全球的MadPot，提升誘捕與分析能力</strong></h3> <p>AWS不僅將生成式AI應用於資安回應團隊，還有其他部門也積極導入這項技術。例如，當我們採訪AWS副總裁暨資深技術專家Tom Scholl時，他也提到用生成式AI來強化其全球威脅情報系統MadPot。</p> <p>簡單來說，MadPot運作在AWS已久，此蜜罐系統可捕捉惡意攻擊者的誘餌，進而收集大量的威脅情報數據進行關聯與分析。</p> <p>Tom Scholl指出，他們將生成式AI來幫助蜜罐系統MadPot，主要有兩個面向，一是用生成式AI處理MadPot收集到的海量數據，更好地分類和識別針對已知CVE漏洞的掃描行為。</p> <p>如果掃描活動不屬於已知的CVE，系統會將其標記並提升優先級，以進行更深入的研究。他認為，這項能力可過濾掉大量的冗餘數據，使威脅情報更易於管理和分析。</p> <p>另一面向是用生成式AI提升蜜罐的欺敵能力，使其不那麼容易被威脅行為者識別為蜜罐，像是系統可以幫助建立不同的面貌或角色，以更有效地誘引威脅行為者。</p> <h3><strong>應用5：將生成式AI應用於威脅建模</strong></h3> <p>最後一項應用，是關於<a href="http://aws.amazon.com/tw/blogs/machine-learning/accelerate-threat-modeling-with-generative-ai/">用生成式AI幫助威脅建模，而且，在re:Inforce 2025大會期間發布的部落格揭露</a>的資訊。</p> <p>AWS指出，大家都知道威脅建模的重要，但在軟體開發行業中，仍未被充分利用，主要挑戰是時間要求、評估不一致與擴展限制。</p> <p>如今有了生成式AI，使得威脅評估比傳統手動方法更快。原因是，隨著自然語言處理與視覺分析的結合，可以同時評估系統架構、圖表和文件，進而從MITRE ATT&CK、OWASP等廣泛的安全資料庫中提取資訊，可以快速識別複雜系統中的潛在弱點。</p> <p>以AWS自身為例，他們發展出Threat Designer解決方案，就是使用Amazon Bedrock提供的企業級基礎模型，透過使用Anthropic的Claude Sonnet 3.7的多模態功能，進而大規模建立全面的威脅評估。</p> </div></div></div>
2025/7/10 09:41作者羅正漢https://www.ithome.com.tw/news/169968
X執行長Linda Yaccarino辭職
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2023年5月、馬斯克（Elon Musk）買下Twitter（之後更名為X）平臺之後，所延攬的第一任執行長<a href="https://x.com/lindayaX/status/1942957094811951197" target="_blank">Linda Yaccarino周三（7/9）宣布</a>將辭去X的執行長一職，<a href="https://x.com/elonmusk/status/1942967206993961124" target="_blank">馬斯克則回應</a>以感謝她的貢獻。Yaccarino並未公布離職的原因，或許是因<a href="https://www.ithome.com.tw/news/168140" target="_blank">X已被xAI收購</a>，還是xAI的Grok聊天機器人又在本周二（7/8）回應出反猶太人的言論。</p> <p>在加入X之前，Yaccarino曾擔任NBCUniversal廣告業務及客戶合作主管，也曾執掌過有線電視娛樂與數位廣告業務，顯然Musk希望她能提振被自己搞垮的X廣告業務，不過，Yaccarino雖然成功保持了X身為美國主要社交程式的地位，但其廣告業務依然面臨挑戰。</p> <p>Yaccarino說，當馬斯克第一次談起他對X的願景時，她就知道這是她一生中難得的機會，得以肩負這家公司的非凡使命，感謝他賦予自己保護言論自由、扭轉公司頹勢，並將X轉型為「Everything App」的重任；如今，隨著X與xAI開啟新的篇章，美好的未來仍在前方。</p> <p>xAI在2023年底開始將Grok聊天機器人整合到X平臺上，供付費訂閱的X Premium Plus用戶使用。使用者可以呼叫Grok並詢問任何問題，而Grok也能即時存取X上的貼文、趨勢或熱門問題，來快速回應與時事或新聞相關的提問。</p> <p>相較於其它聊天機器人，Grok標榜個性化與幽默感，具備機智與叛逆的個性，但也曾惹出一些風波，例如今年初曾被發現於Grok 3的系統提示中，植入忽略Elon Musk/Donald Trump傳播錯誤信息之來源的指令；<a href="https://www.ithome.com.tw/news/169005" target="_blank">5月當機似地</a>回答「南非白人種族滅絕爭議」；7月因發布對土耳其總統及其家人的粗俗言論而直接被土耳其封鎖；這兩天Grok則開始出現讚揚希特勒及反猶太人的各種言論，並跳針似地在涉及猶太人的姓氏加上「every damn time」。</p> <p><a href="https://x.com/grok/status/1942720721026699451" target="_blank">Grok團隊除了努力刪除由自己引起的言論之外</a>，還說xAI已採取行動，在Grok於X發布貼文之前禁止仇恨言論。</p> <p>外界則期望<a href="https://x.com/elonmusk/status/1942325820170907915" target="_blank">即將於本周釋出的Grok 4</a>能有更好的表現。目前馬斯克尚未公布繼任的X執行長人選。</p> </div></div></div>
2025/7/10 14:29作者陳曉莉https://www.ithome.com.tw/news/169974
中華電信憑證撤信事件，立委葛如鈞質疑近半數部會仍使用中華電信憑證恐造成信任危機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中華電信TLS憑證遭Google宣布Crome將移除對中華電信8月後核發新憑證的信任，立委葛如鈞今天(7/10)質疑，政府部會仍有近半的部會使用中華電信的憑證，恐導致民眾無法如常瀏覽網站，造成信任危機。</p> <p><a href="https://www.facebook.com/Dr.JuChunKO/?locale=zh_TW" target="_blank">葛如鈞表示</a>，今年5月30日，Google及Mozilla宣布從8月起撤銷對中華電信TLS憑證的信任，不僅Chrome瀏覽器，Firefox更溯及至4月15日不信任，屆時民眾進入這些使用被撤銷憑證的網站，將看到「不安全」警示訊息，詐騙、釣魚網站更可能趁虛而入，幾乎政府網站都會受到影響。</p> <p>儘管數發部宣稱已提前在3月掌握訊息並「超前部署」，對政府網站已啟動雙憑證機制，且中華電信強調為其內部憑證管理上的疏失，並非憑證本身出現安全漏洞。</p> <p>葛如鈞指出，事實並非如此，仍有不少部會，包括數發部本身仍使用中華電信的憑證，並且發現政府部會並沒有設定自動切換雙憑證，實地測試，一旦憑證失效，這些政府網站並沒有直接切換至TWCA的憑證，其中交通部、農業部的憑證更在4月15日之後發出，直接受到Firefox新措施的影響，未來民眾點入兩部會網站將出現警嘆號、不安全的警示訊息，中華電信及數發部如何保證民眾不受影響？Google全球資安團隊所提出的問題，「怎麼會不是資安問題呢？」。</p> <p>葛如鈞並指出，現有的31個政府部會，仍有14個使用中華電信的憑證，比例約45.1%，如果扣除使用國外憑證，則比例高達50%，當政府機關網站被標示具有安全疑慮，民眾不敢進入數發部、交通部等部會網站，可能成為資安、詐騙的大破口，直言此一資安政策，如何談及國安。</p> <p>他認為，這起事件不僅影響政府機關，也外溢至民間產業，目前已收到電商業者陳情，擔心消費者進入電商網站跳出安全疑慮訊息，導致信任危機、訂單流失，造成商譽受損。更換憑證需要時間及成本，還有技術支援，數發部不應將責任向外推。</p> <p>葛如鈞要求3點，首先是數發部作為主管機關，應全面清查行政院所屬三級以上政府機關網站，確保全面建置且具自動切換的雙憑證機制；其次是，修改電子簽章法以納入伺服器憑證規範，強化法制，明確化監管；最後是協助民間，數發部檢討憑證管理的問題及資安原因，並督促中華電信提出補救方案，協助受影響業者渡過事件。</p> <p><span style="color:#B22222;"><strong>中華電信：已協助99.9%政府機關處理網站憑證問題</strong></span></p> <p>中華電信今天第一時間對外說明，中華電信董事長簡志誠親自對外說明，他表示，中華電信發的憑證是持續有效，不會在7月31日之後失效，其次是憑證為合法身分證，該起事件並沒有涉及資安，甚至是國家安全。對於Mozilla，Mozilla要求全球根憑證如果是早期發行的憑證，必需在2025年4月15日更新，中華電信已配合更新，甚至已提前更新，現在仍可以發Mozilla的憑證，並沒有被取消，並非Mozilla針對中華電信單一業者的政策要求。</p> <p>面對立委質疑Chrome此次撤信措施，對政府機關網站可能引發的安全疑慮，簡志誠指出，針對1.1萬多個政府網站憑證，已重新發給憑證且憑證持續有效，目前已處理的機關網站已達到99.9%，僅剩7個網站在申請中。</p> <p>對於立委展示網站使用中華電信憑證被移除後無法正常瀏覽的問題，簡志誠強調，中華電信目前的憑證持續有效，該展示直接將網站使用的有效憑證刪除，當然無法正常瀏覽網站是正常的，「這是個奇怪的展示」，簡志誠並指出，在數發部的支持下，現在已協助超過9成政府機關網站處理好問題，其中包括交通部、農業部網站，甚至數發部已啟動雙憑證機制。</p> <p>他也強調，中華電信目前核發的憑證持續有效，並非過了7月31日之後憑證失效，對於立委的質疑，可能混淆視聽造成外界的疑慮。對於使用中華電信憑證的網站啟動雙憑證機制，以兩張憑證建立備援，並且自動切換，不會有一張憑證無法使用，就造成網站無法正常瀏覽的問題。</p> <p>簡志誠也特別澄清，全球網站憑證核發共有67家，國內為中華電信及台網2家，網站憑證核發為商業機制，沒有涉及政府相關單位，台灣約有39.6萬個網站，中華電信僅發出2千多張商業憑證，中華電信已逐一與商業網站客戶聯絡並提供協助，目前已協助9成的客戶處理問題，更新憑證或協助客戶移轉到其他業者的憑證，目前剩餘的1成為申請憑證中。</p> <p>簡志誠認為，網站使用的憑證持續有效，沒有失效或是不信任的問題，無關民眾對政府信任與否，甚至是更大的國安議題。</p> </div></div></div>
2025/7/10 14:44作者蘇文彬https://www.ithome.com.tw/news/169975
三星發表要價2,000美元的超薄摺疊手機Galaxy Z Fold7
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>三星電子（Samsung Electronics）本周三（7/9）<a href="https://news.samsung.com/global/samsung-galaxy-z-fold7-raising-the-bar-for-smartphones" target="_blank">發表了該公司的旗艦款折疊機Galaxy Z Fold7</a>，它的封面螢幕為6.3吋，展開後的內部螢幕為7.6吋，不過，折疊後的Z Fold7厚度只有8.9mm，重量也只有215公克，感覺上宛如一般手機。不過，Z Fold7依舊維持高價位，即日起開放預購的512GB優惠價為1999.99美元（62,900元新臺幣），預計於7月25日上市。</p> <p>相較之下，iPhone 16 Pro Max的厚度為8.25mm，重量為227公克。此外，Z Fold7展開時的厚度僅有4.2mm。</p> <p>Z Fold7搭載Snapdragon 8 Elite處理器，NPU效能提升41%，CPU提升38%，GPU提升26%，足以處理更多的AI體驗；配備2億畫素的廣角鏡頭，1000萬畫素的100度超廣角鏡頭，還有Night Video夜間拍片功能；電池容量為4272mAh。</p> <p>此外，它採用基於Android 16的One UI 8使用者介面，強調可結合大螢幕的多工處理及各種AI工具，支援Gemini Live與Circle to Search。</p> <p><a href="https://blog.google/products/android/galaxy-unpacked-2025-android-updates/" target="_blank">根據Google的說明</a>，長按Z Fold7的電源鍵就能將螢幕分享給Gemini，以展開各種任務，同時手機上內建的行事曆、提醒事項及備忘錄等三星程式也已可直接連結Gemini。</p> <p>同一天三星也<a href="https://news.samsung.com/global/galaxy-unpacked-2025-a-first-look-at-the-galaxy-z-flip7-refining-the-pocketable-foldable" target="_blank">發表了另一款新摺疊機Z Flip7</a>，它採用4.1吋的外螢幕與6.9吋的內螢幕，因其輕巧外型而有「粉餅機」稱號，新版折疊後的厚度僅有13.7mm；搭載三星自家的Exynos 2500處理器，5000萬畫素相機，1200萬畫素的超廣角，與1000萬畫素的前鏡頭，同樣採用One UI 8介面並支援Gemini Live。</p> <p>配備256GB儲存空間的Z Flip7售價為1,099.99美元，還有一個配備相對精簡的Z Flip7 FE粉絲版，價格則是899.99美元。</p> </div></div></div>
2025/7/10 14:52作者陳曉莉https://www.ithome.com.tw/news/169976
大規模詐騙新聞網站攻擊活動BaitTrap鎖定50個國家而來，目的是進行網路投資詐欺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來網路投資詐騙事故頻傳，其中一種最常見的手法，就是攻擊者打著名人的名號，並透過社群網站、影音串流平臺接觸受害者，但也有駭客架設幾可亂真的假新聞網站，藉此引誘使用者上當。</p> <p>舉例來說，最近資安業者CM360揭露<a href="https://www.ctm360.com/reports/baittrap-rise-of-baiting-news-sites">橫跨全球50個國家的網路投資詐騙活動BaitTrap</a>，就是這樣的情形。駭客架設超過1.7萬個誘餌新聞網站（Baiting News Sites），這些網站偽裝成CNN、BBC、CNBC、News24、ABC News等受到信任的新聞媒體，發布捏造的消息，並利用知名公眾人物，以及國有銀行、中央銀行、商業銀行等金融機構來建立信任，假借中央銀行總裁、國家領導人，或是公眾人物的名義，宣稱意外發現透過加密貨幣致富秘密方法，藉此誘騙使用者掉入投資詐騙的陷阱。</p> <p>除此之外，歹徒還會透過Google、Meta等廣告平臺來推播誘餌新聞網站，並使用引人注意的標題，例如：「你不會相信央行總裁剛揭露的在家賺錢方式」，並搭配官方照片或是國家標誌來增加可信度。這類廣告也經常刊登公眾人物的照片，並搭配新聞報導型式的假標題，塑造看起來合法的假象。</p> <p>值得留意的是，這些誘餌新聞網站往往會針對攻擊目標量身打造，使用當地語言、當地民眾熟悉的品牌、金融機構，以及公眾人物，來增加詐騙成功的機會。這類網站在中東地區最氾濫，有超過一萬個；其次是亞太地區，約3,400個，但也有針對大洋洲、歐洲、美洲、非洲的誘餌新聞網站。</p> <p>一旦使用者點選假新聞提供的連結，就會被重新導向到詐騙平臺，這些平臺聲稱使用者能輕鬆獲利並得到高額報酬，並要求他們輸入個人資訊進行註冊。</p> <p>在註冊完成後，受害者就會接到「投資專家」的電話，引導他們執行後續步驟，通常是指示如何啟動交易帳戶，過程中也會假借驗證用戶身分及準備開戶為由，要求受害者提供詳細個資。附帶一提的是，為了開戶，對方也會要求上傳身分證明文件，如身分證、護照，然後要求透過加密貨幣錢包、信用卡、Google Play禮物卡存入資金。</p> <p>為引誘受害者投入更多資金，歹徒提供的「投資平臺」會顯示捏造的收益，讓他們以為賺得高額報酬，然而當受害者試圖將投資報酬兌現，該平臺就會以系統錯誤、需通過額外驗證等理由拖延，並宣稱受害者必須支付解鎖費用，或是達到新的門檻才能發放。</p> <p>附帶一提的是，歹徒通常使用免費或低成本的網域架設誘餌新聞網站，但也有入侵合法網域名稱來代管假新聞網頁的情況，使得資安業者與執法單位想要識別及清除相關網站及網頁，變得更具挑戰。</p> </div></div></div>
2025/7/10 13:15作者周峻佑https://www.ithome.com.tw/news/169973
Adobe發布7月例行更新，呼籲IT人員優先修補AEM Forms、ColdFusion
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>7月8日Adobe針對旗下13款應用程式發布更新，總共修補58項資安漏洞，其中最值得留意的是，該公司呼籲IT應優先處理<a href="https://helpx.adobe.com/security/products/aem-forms/apsb25-67.html">電子表單平臺Adobe Experience Manager Forms（AEM Forms）</a>、<a href="https://helpx.adobe.com/security/products/coldfusion/apsb25-69.html">應用程式開發平臺ColdFusion</a>。</p> <p>本次公布最嚴重的漏洞是<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-49533">CVE-2025-49533</a>，出現在AEM Forms，為不受信任資料反序列化造成的弱點，攻擊者若是利用，就有機會執行任意程式碼，此漏洞影響6.5.23.0版的AEM Forms，CVSS風險達到9.8分（滿分10分），Adobe推出6.5.0.0.20250527.0版予以修補，他們強調，利用漏洞的過程完全無須使用者互動。</p> <p>另一個必須優先修補的應用程式ColdFusion，存在6項重大層級的資安漏洞，其中最危險的是風險值超過9分的<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-49535">CVE-2025-49535</a>，這項漏洞涉及XML外部實體參照（XXE）的不當限制，攻擊者可用來繞過安全機制，從而存取敏感資訊，或是造成服務中斷（DoS）過程中不需使用者互動，CVSS評分為9.3。</p> <p>還有一個非常危險的資安漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-27203">CVE-2025-27203</a>，也需要注意，此弱點出現在<a href="https://helpx.adobe.com/security/products/connect/apsb25-61.html">線上會議平臺Adobe Connect</a>，屬於未獲信任資料的反序列化處理漏洞，攻擊者可用於執行任意程式碼，CVSS風險為9.3（美國國家漏洞資料庫登記為9.6分）。</p> </div></div></div>
2025/7/10 10:43作者周峻佑https://www.ithome.com.tw/news/169970
Citrix修補VDI平臺本機權限提升資安漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>7月8日Citrix針對旗下的虛擬桌面平臺（Virtual Desktop Infrastructure，VDI）Citrix Virtual Apps and Desktops（CVAD）、Citrix DaaS發布資安公告，<a href="https://support.citrix.com/support-home/kbsearch/article?articleNumber=CTX694820">修補Windows版Virtual Delivery代理程式的資安漏洞CVE-2025-6759</a>，此為本機權限提升漏洞（LPE），僅取得低權限的攻擊者有機會藉此得到SYSTEM身分，4.0版CVSS風險評為7.3，影響現行版本（Current Release）與2402長期支援版（LTSR）的CVAD，2203 LTSR不受影響，該公司推出2503、2402 LTSR CU1 Update 1、2402 LTSR CU2 Update 1修補。</p> <p>這項弱點可能帶來哪些影響？<a href="http://www.rapid7.com/blog/post/cve-2025-6759-citrix-virtual-apps-and-desktops-fixed/">通報漏洞的資安業者Rapid7表示</a>，取得低權限的攻擊者能藉由複製外洩的SYSTEM處理程序，並藉由漏洞以SYSTEM權限孳生新的處理程序。</p> <p>針對漏洞發現的過程，起初Rapid7觀察到，GfxMgr.exe裡面有個SYSTEM層級的處理程序，運用了PROCESS_ALL_ACCESS權限來進行操作，而這樣的處理程序竟被外洩到CtxGfx.exe的處理程序當中。由於這種弱點是將特殊權限的處理程序內容洩露給低權限使用者擁有的處理程序，因此能在無須額外、特殊的權限，就能複製並產生新的處理程序。</p> <p>為了驗證這項漏洞，他們使用能公開取得的工具GiveMeAHand並修改，來識別並利用這項弱點，結果成功將使用者的身分變為NT AUTHORITY\SYSTEM。</p> </div></div></div>
2025/7/10 11:37作者周峻佑https://www.ithome.com.tw/news/169972
Perplexity釋出AI瀏覽器Comet、OpenAI傳聞也即將推出
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AI搜尋業者<a href="https://comet.perplexity.ai/" target="_blank">Perplexity昨日正式釋出AI瀏覽器Comet</a>以挑戰Google Chrome，而媒體報導OpenAI的自有瀏覽器，也即將在幾個星期內推出。</p> <p>Comet目前支援Mac及Windows，現階段提供給Perplexity Max方案付費用戶及邀請已加入等候清單的用戶使用。但該公司計畫會提供一款內含Comet的免費版Perplexity給所有用戶，未來幾個月也會再推出支援其他平臺的Comet版本。</p> <p>Comet內建Perplexity搜尋引擎，強調速度快且提供答案。Comet另一特色是加入Comet助理。安裝Comet瀏覽器後，按下右上方圖示即可叫出Comet助理，並在側邊欄展開。Comet助理允許用戶以自然語言互動作為上網的主要介面，省去用戶在不同分頁或多個應用程式來回切換的麻煩。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0710-Perplexity%20browser-Comet-smart%20actions%20with%20Perplexity.png" style="width: 600px;" /></p> <p><a href="https://www.perplexity.ai/hub/blog/introducing-comet" target="_blank">根據Perplexity的示範</a>，不論是搜尋、購物比價、或對正在讀取的網頁有問題，都可以透過和Comet互動來完成。例如用戶想搜尋腳踏車資訊及比價時，可詢問Comet助理哪個網站有同樣產品但出貨較快，並且要它比較現有正在讀取的網頁產品。若是需要規畫旅遊行程，可讓Comet助理於Google地圖網頁輸入其需求，例如規畫倫敦市區的步行觀光路線。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0710-Perplexity%20browser-Comet-2.png" style="width: 600px;" /></p> <p>Comet助理也能管理郵件。用戶輸入「找出來自同事的郵件」後，Comet就能列出同事郵件，並提供摘要。用戶還能要求它草擬回信內容，甚至讓它主動在Google行事曆上預約會議並發送邀請。</p> <p>不過要讓Comet完成無障礙的作業，必須提供它存取應用程式如Google Calendar、Gmail的權限。</p> <p>Perplexity Comet顯示新興業者挑戰Google Chrome的意圖。The Browser Company<a href="https://www.diabrowser.com/" target="_blank">推出原名Arc Search的Dia</a>、<a href="https://www.ithome.com.tw/news/169248" target="_blank">Opera今年5月公布代理式AI瀏覽器Neon</a>。<a href="https://www.ithome.com.tw/news/166176" target="_blank">去年The Information報導</a>OpenAI也考慮開發結合AI功能的瀏覽器。</p> <p><a href="https://www.reuters.com/business/media-telecom/openai-release-web-browser-challenge-google-chrome-2025-07-09/" target="_blank">路透社本周引述3名消息人士報導</a>，OpenAI的瀏覽器即將在未來幾周內問世。不過OpenAI拒絕評論本消息。</p> <p><a href="https://www.demandsage.com/chatgpt-statistics/" target="_blank">根據市調公司估計</a>，到今年7月，OpenAI ChatGPT每周平均經常用戶數達8億，平均每日經常用戶數達1.2億。若這些用戶都改投向OpenAI，將嚴重侵蝕Chrome現今瀏覽器超過六成的市占。<span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／</span><span style="color: rgb(105, 105, 105); font-size: 14px;">Perple</span><span style="color: rgb(105, 105, 105); font-size: 14px;">xity</span></p> </div></div></div>
2025/7/10 10:40作者林妍溱https://www.ithome.com.tw/news/169969
Fortinet修補網頁應用程式防火牆重大SQL注入漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://fortiguard.fortinet.com/psirt/FG-IR-25-151" target="_blank">Fortinet本周釋出安全公告</a>，修補網頁應用防火牆（Web Application Firewall，WAF）產品的重大風險漏洞，若不處理可能導致SQL程式碼注入（SQL Injection）攻擊。</p> <p>本漏洞編號CVE-2025-25257，為對SQL指令中特殊元件的不當中和（improper neutralization），即未對輸入的特殊字符進行適當處理，導致這些字符被SQL引擎誤判為SQL指令，形成SQL 注入（SQL Injection）。本漏洞可讓未經授權的攻擊者可經由傳送HTTP或HTTPS呼叫，執行SQL程式碼或指令。CVSS風險值達9.6。</p> <p>最新漏洞是由GMO Cybersecurity 研究人員Kentaro Kawane於7月通報，影響FortiWeb 7.0、7.2、7.4到7.6。Fortinet已經釋出更新。</p> <p>若用戶未能及時安裝新版軟體，應關閉HTTP/HTTPS管理員介面防堵SQL指令執行。</p> </div></div></div>
2025/7/10 11:18作者林妍溱https://www.ithome.com.tw/news/169971
Kia車載系統漏洞，讓攻擊者利用PNG圖檔注入程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://hardwear.io/usa-2025/presentation/hardware-hacking-a-cars-head-unit-and-uncovering-a-vulnerable-rtos.pdf" target="_blank">研究人員發現Kia車載資訊娛樂系統存在漏洞</a>，能讓攻擊者以PNG圖檔在其作業系統注入惡意程式。</p> <p>厄瓜多安全研究人員<a href="https://www.linkedin.com/posts/vultara_automotive-reverseengineering-infosec-activity-7337972325247524864-S2Tl/" target="_blank">Danilo Erazo在今年稍早Hardware.io 2025資安大會上公布</a>，在厄國銷售的Kia車載裝置即時作業系統（Real-Time OS, RTOS）的安全性問題研究。其中問題之一是Kia RTOS韌體可能被植入惡意UI元素（如釣魚攻擊用的QR code），也欠缺對PNG檔進行數位簽章驗證。這可結合數年前的<a href="https://nvd.nist.gov/vuln/detail/CVE-2020-8539" target="_blank">CVE-2020-8539</a>舊漏洞，可讓攻擊者執行micomd精靈程式來注入未授權指令，觸發不預期的功能，或生成CAN封包（CAN frame）、並將這些封包傳送到車輛的M-CAN匯流排（Multimedia CAN bus）。CAN匯流排是車輛內部控制訊號的傳輸系統，這意味著攻擊者有可能干擾或操控車輛的某些電子系統。一旦Kia車機系統被以USB、藍牙或無線更新了內含惡意PNG的韌體，就可能產生上述行為。</p> <p><span style="color:#B22222;"><strong>其他漏洞</strong></span></p> <p>這位研究人員在厄瓜多Kia汽車還揭露其他漏洞。包括Bootloader驗證不足；它僅使用1-byte循環冗餘檢測（CRC）確保韌體安全，因此被竄改的韌體還能通過檢查，還能正常啟動而不會有任何警告。另一項漏洞是RSA私鑰寫在韌體中，以及藍牙配對PIN以明碼出現在URAT logs，可能導致被攻擊者得以冒用身分、簽發惡意韌體及解密敏感資料。</p> <p>另外，Kia RTOS韌體還使用過期及有問題的函式庫（MatrixSSL 3.7.1及libpng 1.2.29）可能讓攻擊者輸入惡意指令執行程式碼。最後，系統目前缺乏官方更新和修補機制，因此有漏洞的車載系統無法透過Kia官方更新機制修補，而使車子永遠曝險。</p> <p>問題系統包括MOTREX MTXNC10AB系統，受影響的車子包含出貨到南美、中國和非洲的Kia Soluto/Pegas、Picanto等車款。</p> <p>該研究人員也在六月公布<a href="https://cybersecuritynews.com/kia-ecuador-keyless-entry-systems/" target="_blank">Kia另一項漏洞CVE-2025-6029</a>。原因出在Kia在中南美銷售的無鑰匙啟動系統（Keyless Entry Systems）的晶片採用了過時的學習代碼技術，而不是行業標準的滾動代碼（rolling code）系統，使車輛容易受到重放攻擊和信號克隆（signal cloning）。這使得車子可能遭到第三方人士截取合法遙控鑰匙的無線信號解鎖汽車。</p> <p>這項漏洞影響車種包括2022年到2025年在厄瓜多銷售的Kia汽車，包括Soluto、Río和Picanto等車款。Kia表示正在製作修補程式。</p> </div></div></div>
2025/7/10 08:32作者林妍溱https://www.ithome.com.tw/news/169967
臺灣生技業者推新藥開發AI Foundry平臺，已有3大落地實例
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>受到Nvidia AI Foundry啟發、提供自助式用平臺資源讓使用者開發AI應用，訊聯基因數位將這個概念帶入生技領域，將自己10多年來運用AI輔助藥物開發的成功經驗，打包為對外服務，推出名為AIDD的新藥開發AI Foundry平臺，並在今日（7/9）揭露3項落地實例，包括北醫大團隊用來打造AI新藥研發平臺，快速開發新穎小分子抑制劑，成功開發腦癌、胰臟癌新藥進入臨床前試驗；再來是基龍米克斯與藥廠的腫瘤新生抗原藥物開發，以及訊聯自己的抗灰髮胜肽設計。</p> <p><span style="font-size:22px;"><strong>15年累積AI輔助藥物開發經驗</strong></span></p> <p>訊聯基因數位執行長暨訊聯生物科技董事長蔡政憲指出，早在15年前，旗下團隊就開始運用AI協助新藥開發。當時，他們有個團隊專門做材料、化合物和藥物等分子模擬運算，後來AI興起，他們也納入更多AI功能到模擬運算中。</p> <p>直到COVID-19疫情間，各界對疫苗和藥物開發需求迫切，訊聯AI團隊迎來一波快速進展。他們先是在疫情間練就遠端研發能力，快速調整研發方向、爬梳並建立COVID-19相關蛋白質資料庫，來進行新藥研發。根據官網說明，他們後來在24小時內完成中草藥成分、大量比對近3萬人體與COVID-19蛋白質標，並協助解釋、優化療效，最後在5個月內研發出清冠一號（NRICM101），成為COVID-19另一解方。</p> <p><span style="font-size:22px;"><strong>推出新藥開發AI Foundry平臺服務</strong></span></p> <p>蔡政憲表示，他們後來受到Nvidia推出AI Foundry的啟發、能讓使用者透過雲端運算和AI資源來打造自己的AI應用，訊聯基因數位運用這個概念，將過去的成功經驗，轉換為一套新藥研發的AI Foundry平臺AIDD，來供業界使用。</p> <p>這套平臺主打2大功能，包括大分子藥物設計和小分子藥物設計，並整合了業界成熟的商用新藥研發系統，比如達梭生命科學平臺、凱杰生物科技軟體等，來提供AI模擬運算功能。訊聯基因數位分子數位中心銷售暨客戶關係部協理陳冠文說明，整合商用軟體是因其已有成熟的AI透明度和治理機制，可合規使用。他也補充，目前新藥研發平臺主要涵蓋新藥開發的研發階段，可提供工具讓業者使用自己的資料，來訓練AI模型，要是業者想用開源模型來研發，訊聯團隊也會提供服務。</p> <p><span style="font-size:22px;"><strong>實例1：膠質母細胞瘤藥物研發</strong></span></p> <p>訊聯今日也揭露3項使用AIDD平臺落地的實例，首先是協助北醫大醫學科技學院教授許凱程團隊開發智慧型藥物研發平臺。蔡政憲先解釋，常見的AI輔助藥物開發，並非真正的從無到有生成一款新藥，而是對原本已開發一段時間的藥物，運用AI來探索藥物作用機轉、其重要成分，或是根據這些知識，運用AI回調。而北醫大團隊的做法，則是運用AI進行藥效、合成難易度、藥物動力學等多種參數優化，更大程度運用AI輔助新藥研發。</p> <p>陳冠文舉例，北醫大團隊鎖定腦部惡性腫瘤的膠質母細胞瘤（GBM），要找出合適的治療藥物。這種藥物開發不只要提升藥效，也要優化穿越血腦障蔽（BBB）的能力，才能讓藥物進入腦部、發揮效用。因此，他們透過AIDD預測藥物穿過BBB的能力，成功將藥效從原本的1041 nM提高百倍至10.4 nM，且在動物實驗中，腫瘤確實縮小了。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202025-07-09%20203954.png" /></p> <p>北醫大團隊也因此研發20款具新穎性的小分子藥物，範圍包括膠質母細胞瘤、胰臟癌、阿茲海默症、肺纖維化等疾病新藥。許凱程指出，平均臨床前新藥開發時長超過5年，且失敗率高，但透過AI驅動新藥研發應用，大幅縮短開發時間、降低成本，降低藥廠在早期新藥研發的負擔和風險。</p> <p>許凱程團隊打造的AI-化學合成-生物實驗驗證平臺，還可以縮短早期新藥開發時間，從傳統的2到3年縮短為1至5個月，還能壓低藥物合成成本超過九成。目前平臺已研發出數百個實驗驗證有效的新穎抑制劑，其中近30項進入後續細胞、動物、人體類器官等研發階段。</p> <p><span style="font-size:22px;"><strong>實例2：個人化癌症治療</strong></span></p> <p>另一個例子是老牌基因定序業者基龍米克斯（簡稱基米）採用AIDD，來預測新生抗原表位（Neoepitope），加速個人化癌症免疫療法的研發。</p> <p>一般來說，免疫治療是癌症治療中，討論度最高的療法，腫瘤新生抗原（Neoantigens）療法便是其一。該療法先透過NGS次世代基因定序，再用AI模擬演算，找出癌細胞特有的腫瘤新生抗原，來激發患者免疫系統、精準攻擊癌細胞，避免誤傷正常細胞。</p> <p>其中，新生抗原（Neoantigens）是指由腫瘤細胞基因突變產生的全新蛋白質片段，片段中包含多個新生抗原表位（Neoepitope）。然而，癌細胞可能表現出數百萬到數十億種不同的Neoepitope組合，於是基龍米克斯用AI預測這些抗原，從中快速找出可能性最高的幾組，再透過實驗室合成這些胜肽，來測試免疫細胞是否辨識這些癌細胞，進而加速個人化癌症免疫療法的開發。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202025-07-09%20204013.png" /></p> <p><span style="font-size:22px;"><strong>實例3：抗灰髮胜肽設計</strong></span></p> <p>另一個例子是訊聯集團旗下訊聯細胞智藥公司開發的抗灰髮胜肽設計。他們先透過AIDD，成功從龐大的組合數中（20的13次方）找出18條候選胜肽，且是自然界中不存在的胜肽。他們發現，其中4條胜肽明顯促進黑色素合成，於是，他們保留特定區域進行第二輪AI設計，發現更多具有促進黑色素合成能力的候選胜肽。</p> <p>不過，這項抗灰髮胜肽設計還在進行更多實驗中，產品成型後會另再揭露。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202025-07-09%20204021.png" /></p> <p></p> </div></div></div>
2025/7/9 20:49作者王若樸https://www.ithome.com.tw/news/169966
【資安日報】7月9日，微軟發布本月例行更新、修補130個漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟發布今年第7次的每月例行更新（Patch Tuesday），雖然這次修補的漏洞數量相當多，但未提到這些漏洞出現用於實際攻擊行動的情況，僅有一個是在微軟修補前遭到公開的SQL Server弱點。漏洞懸賞專案Zero Day Initiative（ZDI）推測，微軟這次修補的漏洞數量大幅增加，很有可能與接下來8月初舉行的資安大型會議黑帽大會（Black Hat）、DEFCON有關。</p> <p>在資安威脅態勢方面，有人透過AI假冒美國國務卿盧比奧（Marco Rubio）的情況，引起該國政府重視；再者，駭客在Chrome、Edge延伸套件市集上架惡意套件的攻擊行動，這些套件已被下載230萬次，使用者應儘速確認是否受害；而對於新興勒索軟體Bert的動態，他們從原本鎖定Windows電腦，如今也加密虛擬化平臺的檔案。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169958"><strong style="font-size: 22px;">AI偽冒美國國務卿，聯繫官員企圖竊取政府資</strong></a></p> <p>根據美聯社、NBC等媒體報導，美國國務卿盧比奧（Marco Rubio）遭人以AI冒充發送文字及語音訊息，聯絡了多名政府官員。美國國務院發言人證實這項消息，表示正在監控並解決此事，也會採取措施改善國務院安全以防範未來再發生類似事件。</p> <p>華盛頓郵報取得美國國務院本月初發給所有領事館及大使館的政府電報，警告有一名不明人士或組織於6月中運用AI技術偽造盧比奧發送文字訊息、Signal語音郵件。</p> <p>此電報指出，至少有5位政府官員接到假盧比奧的聯繫，包括3名外國官員、一名美國州長和一名國會議員。其中文字訊息要求官員改以Signal口頭聯繫。至少有2個人接到Signal語音訊息。電報提出警告，歹徒可能是想透過AI生成的文字和語音操控特定人士，目的在取得資訊或是存取帳號。</p> <p><a href="https://www.ithome.com.tw/news/169961"><strong style="font-size: 22px;">瀏覽器App市集存在18款惡意軟體，已被下載逾230萬次</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/1_wou2oUyjxh74LkAMirx0ng.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1_wou2oUyjxh74LkAMirx0ng.png" style="width: 300px; float: right;" /></a></p> <p>過往駭客打造惡意瀏覽器套件從事攻擊行動的情況，不少是架設釣魚網站來引誘使用者安裝，但如今有人成功將這類惡意軟體放上瀏覽器開發商的延伸套件市集，使得這種安裝來源的信任機制受到挑戰。</p> <p>例如，最近資安業者Koi Security揭露同時針對Chrome與Edge用戶而來的攻擊行動RedDirection，就是這樣的例子。因為瀏覽器的延伸套件市集Chrome Web Store、Microsoft Edge Addons，竟然存在18個惡意套件，總共感染超過230萬個用戶。這些套件偽裝成常見的生產力及娛樂工具，涵蓋Emoji符號鍵盤、天氣預報、影片速度控制器、音量放大工具、供Discord或抖音（TikTok）使用的VPN代理伺服器、YouTube解鎖工具等，所有的套件都具備開發者宣稱的功能，但同時也監控瀏覽器活動並挾持部分功能。</p> <p>值得留意的是，其中部分延伸套件甚至取得市集通過驗證的狀態，甚至被列為精選套件。根據Koi Security公司的調查，所有的套件都是使用獨立的C2子網域，看起來好像由不同的人馬經營，但實際上都是源自相同的攻擊基礎設施。</p> <p><a href="https://www.ithome.com.tw/news/169962"><strong style="font-size: 22px;">勒索軟體Bert強制關閉VMware ESXi虛機，並透過50個執行緒加密檔案</strong></a></p> <p>勒索軟體Bert今年4月開始活動，這些駭客最囂張的活動之一，是對專門研發半導體製程設備、被動元件製程設備、LED製程設備的萬潤科技下手，並聲稱竊得超過5 TB內部資料。由於萬潤是台積電的先進封裝技術供應鏈廠商，後續發展引起國內新聞媒體的高度關注。而這些駭客的活動，也引起資安研究員的注意，追蹤他們的發展。</p> <p>威脅情報研究員Rakesh Krishnan揭露，原本只攻擊Windows電腦的Bert，5月已開發出Linux版勒索軟體，經過分析後，他發現Bert的Linux版高度類似勒索軟體Revil（Sodinokibi），因為單就程式碼基礎（Codebase）而言，約有八成雷同。資安業者趨勢科技也觀察到這些Linux版勒索軟體，並指出駭客主要的標的，其實是虛擬化平臺VMware ESXi，而且，為了加快加密檔案的速度，此勒索軟體竟能同時使用50個處理器執行緒來運作，勒索軟體能使用如此數量執行緒的情況，相當罕見。附帶一提的是，同時使用50個執行緖的做法，還是這款勒索軟體的預設組態。</p> <p>這些駭客原本的攻擊目標是美國和亞洲的企業組織，影響的產業，涵蓋醫療照護、科技、事件服務。但現在的攻擊範圍有擴大的趨勢，趨勢科技確認在亞洲、歐洲、美國都有受害組織。</p> <p><a href="https://s4.itho.me/sites/default/files/images/fig12_linux_variant_ransom_note.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig12_linux_variant_ransom_note.png" style="width: 580px;" /></a></p> <p><a href="https://www.ithome.com.tw/news/169787"><strong style="font-size: 22px;">中國駭客Mustang Panda鎖定圖博而來，散布惡意軟體Pubload、Pubshell</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/image_150608182.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/image_150608182.png" style="width: 300px; float: right;" /></a></p> <p>中國駭客鎖定圖博人士從事攻擊的情況，不時有資安事故傳出，如今駭客利用達賴喇嘛90歲生日即將來到的時間點，鎖定近期舉行的會議與相關議題為誘餌，從事網路攻擊。</p> <p>其中一組名為Mustang Panda、Hive0154、RedDelta、Earth Preta、TA416的中國駭客，從今年5月鎖定圖博社群下手的情況升溫。揭露此事的IBM X-Force研究人員表示，駭客利用幾種誘餌來發動攻擊，其中一種是在6月2日至4日於日本東京舉行的第9屆世界國會議員圖博大會（World Parliamentarians' Convention on Tibet，WPCT），但也有利用中國政府在西藏自治區（TAR）的教育政策，以及達賴喇嘛發表的新書《Voice for the Voiceless》當誘餌的情況。</p> <p>研究人員指出，他們先前曾看到這些駭客從2024年底至今年初鎖定臺灣、美國、菲律賓、巴基斯坦從事網路間諜活動。而這次駭客也與之前接觸受害者的方式雷同，都是寄送各種地緣政治主題的釣魚郵件，並引誘他們上當。這郵件通常含有Google Drive的連結，一旦收信人點選，電腦就會下載ZIP或RAR壓縮檔。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=3&SPOKE_TIME=65007&SPOKE_DATE=20250708&COMPANY_ID=3694"><strong style="font-size: 22px;">海華科技資訊系統遭到駭客攻擊</strong></a></p> <p>和碩旗下無線通訊模組及數位影像處理方案廠海華科技於7月8日於股市公開觀測站發布資安重訊，指出他們於7日察覺資訊系統遭到駭客攻擊，為避免擴大影響範圍，資訊部門第一時間執行斷網阻隔因應。</p> <p>而對於這起事故帶來的影響，該公司表示經過初步的評估，對於財務及業務無重大影響，他們的營遲也一切正常。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://labs.watchtowr.com/how-much-more-must-we-bleed-citrix-netscaler-memory-disclosure-citrixbleed-2-cve-2025-5777/">今年6月Citrix修補的兩項NetScaler重大漏洞已遭串連，用於實際攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/ringreaper-new-linux-edr-evasion-tool/">Linux迴避偵測工具RingReaper遭利用，可利用系統核心元件io_uring逃過EDR偵測</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/hackers-abuse-legitimate-inno-setup-installer/">Inno Setup軟體部署工具被濫用，駭客用來打包、散布惡意軟體</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169956"><strong style="font-size: 22px;">微軟發布7月例行更新，修補130項資安漏洞</strong></a></p> <p>7月8日微軟發布每月例行更新（Patch Tuesday），總共修補130項漏洞，數量僅次於一月份的159個，為今年以來的第二多，也較上個月67個增加快一倍。從漏洞的類型來看，權限提升漏洞最多，有53個，其次是遠端程式碼執行（RCE）漏洞，有41個；其餘為資訊洩露、安全功能繞過、阻斷服務（DoS），以及可被用於欺騙的漏洞，分別有18個、8個、6個、4個。根據漏洞的嚴重程度而言，有11個被評為重大層級，它們全部都是RCE漏洞，其中又以Office漏洞最多，有4個。</p> <p>根據CVSS評分，最嚴重的是CVE-2025-47981，此漏洞存在於SPNEGO Extended Negotiation Security Mechanism（NEGOEX）安全機制，攻擊者可傳送惡意訊息到伺服器觸發漏洞，從而能夠遠端執行任意程式碼，風險值達到9.8（滿分10分）。雖然微軟並未說明漏洞細節，但長期觀察、分析微軟每月例行更新的資安業者Rapid7、漏洞懸賞專案Zero Day Initiative（ZDI），皆特別提出警告。Rapid7指出，此為預先身分驗證漏洞，代表攻擊者能藉此取得特殊權限，而且微軟認為很快就會有人試圖利用，用戶應儘速安裝更新程式；ZDI指出利用過程無需使用者互動，而且該漏洞具備蠕蟲特質。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/sap-july-2025-patch-day/">SAP發布7月例行更新，修補7項重大漏洞</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/macos-smbclient-flaw/">研究人員針對蘋果今年3月修補的SMBClient重大漏洞公布細節，若不處理恐導致macOS核心損毀</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169950"><strong>【7月8日】macOS竊資軟體Atomic Stealer加入後門功能，攻擊者可持續在受害電腦活動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169929"><strong>【7月7日】Linux命令列工具Sudo修補兩項權限提升漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169894"><strong>【7月4日】多款IDE開發工具選用延伸套件要當心，此類元件的檢驗機制存在可乘之機</strong></a></p> </div></div></div>
2025/7/9 17:28作者周峻佑https://www.ithome.com.tw/news/169963
勒索軟體Bert強制關閉VMware ESXi虛機，並透過50個執行緒加密檔案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>勒索軟體Bert今年4月開始活動，這些駭客最囂張的活動之一，是對專門研發半導體製程設備、被動元件製程設備、LED製程設備的萬潤科技下手，<a href="https://www.ithome.com.tw/news/169053">並聲稱竊得超過5 TB內部資料</a>。由於萬潤是台積電的先進封裝技術供應鏈廠商，後續發展引起國內新聞媒體的高度關注。而這些駭客的活動，也引起資安研究員的注意，追蹤他們的發展。</p> <p>威脅情報研究員Rakesh Krishnan揭露，原本只攻擊Windows電腦的Bert，<a href="http://theravenfile.com/2025/06/16/bert-ransomware/">5月已開發出Linux版勒索軟體</a>，經過分析後，他發現Bert的Linux版高度類似勒索軟體Revil（Sodinokibi），因為單就程式碼基礎（Codebase）而言，約有八成雷同。資安業者趨勢科技<a href="https://www.trendmicro.com/en_nl/research/25/g/bert-ransomware-group-targets-asia-and-europe-on-multiple-platforms.html">也觀察到這些Linux版勒索軟體</a>，並指出駭客主要的標的，其實是虛擬化平臺VMware ESXi，而且，為了加快加密檔案的速度，此勒索軟體竟能同時使用50個處理器執行緒來運作，勒索軟體能使用如此數量執行緒的情況，相當罕見。附帶一提的是，同時使用50個執行緖的做法，還是這款勒索軟體的預設組態。</p> <p>這些駭客原本的攻擊目標是美國和亞洲的企業組織，影響的產業，涵蓋醫療照護、科技、事件服務。但現在的攻擊範圍有擴大的趨勢，趨勢科技確認在亞洲、歐洲、美國都有受害組織。</p> <p>一旦這款勒索軟體執行，它就會透過特定命令強制關閉虛擬機器的處理程序，然後進行加密，被加密的檔案副檔名會被換成.encrypted_by_bert，最後留下勒索訊息，要求受害組織下載特定即時通訊軟體進行後續談判。</p> <p>附帶一提的是，此勒索軟體的組態為JSON格式檔案，內容包含公鑰、經Base64演算法處理的勒索訊息，以及其他詳細資訊。</p> <p>關於這款勒索軟體的來歷，趨勢科技和Rakesh Krishnan一樣，認為可能源於REvil，但他們額外提及資安業者SentinelOne的發現，他們研判與Babuk原始碼有所交集。對此，趨勢科技推測，Bert很有可能重覆使用REvil的程式碼，來打造Linux版勒索軟體。</p> <p>Windows版勒索軟體Bert的部分也有所變化，因為趨勢科技看到駭客使用PowerShell指令碼，充當惡意程式載入工具，執行勒索軟體的有效酬載payload.exe。此指令碼還具備其他功能，其中包含提升權限，並停用作業系統內建防毒Microsoft Defender、使用者帳號控制（UAC）、防火牆，然後從遠端IP位址下載勒索軟體並執行。根據駭客使用的IP位址，這些駭客很有可能在俄羅斯活動，或與俄羅斯駭客有關。</p> </div></div></div>
2025/7/9 17:12作者周峻佑https://www.ithome.com.tw/news/169962
瀏覽器App市集存在18款惡意軟體，已被下載逾230萬次
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過往駭客打造惡意瀏覽器套件從事攻擊行動的情況，不少是架設釣魚網站來引誘使用者安裝，但如今有人成功將這類惡意軟體放上瀏覽器開發商的延伸套件市集，使得這種安裝來源的信任機制受到挑戰。</p> <p>例如，最近資安業者Koi Security揭露<a href="https://blog.koi.security/google-and-microsoft-trusted-them-2-3-million-users-installed-them-they-were-malware-fb4ed4f40ff5">同時針對Chrome與Edge用戶而來的攻擊行動RedDirection</a>，就是這樣的例子。因為瀏覽器的延伸套件市集Chrome Web Store、Microsoft Edge Addons，竟然存在18個惡意套件，總共感染超過230萬個用戶。這些套件偽裝成常見的生產力及娛樂工具，涵蓋Emoji符號鍵盤、天氣預報、影片速度控制器、音量放大工具、供Discord或抖音（TikTok）使用的VPN代理伺服器、YouTube解鎖工具等，所有的套件都具備開發者宣稱的功能，但同時也監控瀏覽器活動並挾持部分功能。</p> <p>值得留意的是，其中部分延伸套件甚至取得市集通過驗證的狀態，甚至被列為精選套件。根據Koi Security公司的調查，所有的套件都是使用獨立的C2子網域，看起來好像由不同的人馬經營，但實際上都是源自相同的攻擊基礎設施。</p> <p>再者，這些延伸套件並非一開始上架就帶有惡意內容，而是在特定版本更新引入有問題的功能，在導入惡意功能之前，它們的程式碼基礎（Codebase）相當乾淨，有的已經上架多年，後續才被用於攻擊。</p> <p>究竟這些套件有那些惡意行為？套件會挾持每個分頁的更新內容，截取使用者正在瀏覽的網頁URL，並傳送到遠端的伺服器，再從C2取得重新導向的網址。</p> <p>Koi Security也提及可能會出現的攻擊情境，其中一種是使用者收到Zoom會議邀請，並點選連結，此時惡意套件就可能從中攔截，在用戶參與會議之前重新導向特定網站，要求下載重要的Zoom更新，才能正常參與會議。但若是使用者照做，就會在電腦植入其他惡意軟體，使得攻擊者能進一步控制受害電腦。</p> <p>但這類攻擊行動，並非只針對Chromium為基礎打造的瀏覽器而來。一週前，Koi Security發現<a href="https://blog.koi.security/foxywallet-40-malicious-firefox-extensions-exposed-4c14419de486">鎖定Firefox用戶的攻擊行動FoxyWallet</a>，駭客於Firefox Browser Add-ons市集上架45款有問題的套件（附加元件），它們假冒成常見的加密貨幣錢包工具，一旦使用者不慎安裝，惡意套件就會無聲無息地挖掘與錢包有關的機敏資訊，導致用戶蒙受損失。</p> </div></div></div>
2025/7/9 15:36作者周峻佑https://www.ithome.com.tw/news/169961
Xpanceo打算開發可偵測健康的AI隱形眼鏡，成功融資2.5億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2021年於杜拜創立的科技新創<a href="https://x.com/xpanceo/status/1942554748697149895" target="_blank">Xpanceo周二（7/8）宣布</a>，已完成2.5億美元的A輪融資，公司估值為13.5億美元。</p> <p>Xpanceo是由俄羅斯企業家Roman Axelrod及烏克蘭科學家Valentyn Volkov共同創立，目標是打造基於隱形眼鏡的人機介面，<a href="https://xpanceo.com/product" target="_blank">根據該公司的官網介紹</a>，其產品是隱形又輕盈的隱形眼鏡，如同使用自己的視力一樣自然，喊出「最好的裝置就是沒有裝置」的口號，宣稱其產品將具備夜視與變焦功能，亦能將所有的應用及資料整合到延展實境（Extended Reality，ER）體驗中，藉由直覺的凝視便能發號施令，還能偵測使用者的健康與情緒狀態。</p> <p>總之，Xpanceo認為自己可以跳過實體的AI眼鏡階段，直接進入AI隱形眼鏡領域。</p> <p><a href="https://www.unite.ai/roman-axelrod-founder-and-managing-partner-of-xpanceo-interview-series/" target="_blank">Axelrod接受Unite.ai專訪時透露</a>，Xpanceo在24個月內便已打造出15個可運作的原型機，該公司的目標是將所有的個人裝置都融合為一個無縫的體驗，也就是使用者的雙眼。</p> <p>目前除了Meta與Google都已將觸角伸進實體的AI眼鏡市場之外，<a href="https://www.ithome.com.tw/news/169832" target="_blank">分析師郭明錤也說蘋果將加入AI眼鏡戰局</a>。</p> </div></div></div>
2025/7/9 14:47作者陳曉莉https://www.ithome.com.tw/news/169960
美國務卿遭以AI冒充聯繫官員
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://apnews.com/article/rubio-artificial-intelligence-impersonation-1b3cc78464404b54e63f4eba9dd4f5a9" target="_blank">美聯社</a> 、<a href="https://www.nbcnews.com/tech/security/ai-voice-impersonated-marco-rubio-messages-high-level-officials-state-rcna217555" target="_blank">NBC</a>等媒體報導，美國國務卿盧比奧（Marco Rubio）遭人以AI冒充發送文字及語音訊息，聯絡了多名政府官員。</p> <p><a href="https://www.washingtonpost.com/national-security/2025/07/08/marco-rubio-ai-imposter-signal/" target="_blank">華盛頓郵報</a>取得美國國務院本月初發給所有領事館及大使館的政府電報，警告有一名不明人士或組織於6月中運用AI技術偽造盧比奧發送文字訊息、Signal語音郵件。</p> <p>國務院的電報指出，至少有5位政府官員接到假盧比奧的聯繫，包括3名外國官員、一名美國州長和一名國會議員。其中文字訊息要求官員改以Signal口頭聯繫。至少有2個人接到Signal語音訊息。電報提出警告，歹徒可能是想透過AI生成的文字和語音操控特定人士，目的在取得資訊或是存取帳號。</p> <p>美國國務院發言人證實這項消息，表示正在監控並解決此事，也會採取措施改善國務院安全以防範未來再發生類似事件。</p> <p>美國政府近月來發生多起意圖在竊取政府資訊的資安事件。<a href="https://apnews.com/article/susie-wiles-phone-impersonation-bc6ac99e5db06ac70307ca031ab8d647" target="_blank">今年5月也有不明人士冒充白宮幕僚長Susie Wiles發送簡訊和電話</a>，聯絡參議員、州長、商界領袖等人士，疑似已取得其手機聯絡人資訊。更嚴重的是3月間美國國家安全顧問Michael Waltz在一場討論葉門軍事行動的Signal祕密會議中，不慎將《大西洋報》總編加入Signal群組，最後導致其去職。</p> </div></div></div>
2025/7/9 13:58作者林妍溱https://www.ithome.com.tw/news/169958
IBM宣稱新一代Power11伺服器可在1分鐘內偵測勒索軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://newsroom.ibm.com/2025-07-08-ibm-power11-raises-the-bar-for-enterprise-it" target="_blank">IBM周二（7/8）發表</a>其新一代的Power11伺服器，宣稱其正常運作時間達99.9999%，強調零停機維運能力，且內建的IBM Power Cyber Vault資安解決方案則能在1分鐘以內偵測到勒索軟體。預計於7月25日同步推出入門、中階、高階及虛擬伺服器。</p> <p>上一次IBM更新其Power伺服器是在2020年推出的Power 10，新一代的Power 11在效能上提升了10~20%，入門與中階系統擁有更多的核心數量，運算規模最高提升45%，並將成為首款支援 IBM Spyre Accelerator的IBM Power伺服器。</p> <p>IBM Spyre Accelerator為該公司所開發的AI推論專用晶片，專為企業於混合雲環境中部署AI密集應用而設計，預計於今年第四季上市。</p> <p>此外，相較於同類的x86伺服器，Power 11的每瓦效能是它們的兩倍，且在Power 11上啟用全新的節能模式（Energy Efficient Mode）時，其伺服器效率可比最大效能模式（Maximum Performance Mode）還多出28%。</p> <p><a href="https://my.idc.com/getdoc.jsp?containerId=prUS53264225" target="_blank">根據IDC去年第四季的全球伺服器市場調查</a>，前五名供應商依序是Dell（7.2%）、超微（Super Micro）（6.5%）、HPE（5.5%）、IEIT Systems（5.0%）及聯想（4.9%），它們的市占率也相對平均，IBM並不在榜上。</p> <p>未採用主流x86架構的IBM伺服器不管是開發或維護成本都相對高昂，售價也較高，強調的是可用性、不中斷、資安與彈性，因此多半被應用在關鍵任務上，主要客戶為金融業者、大型政府機構及製造/零售業。</p> <p>此外，在IDC的伺服器調查中，ODM Direct占比高達47.3%，這指的是微軟、Google、Amazon或Meta等業者會直接向製造商訂製伺服器，像是臺灣的廣達、鴻海、英業達或技嘉等。</p> </div></div></div>
2025/7/9 14:07作者陳曉莉https://www.ithome.com.tw/news/169959
微軟發布7月例行更新，修補130項資安漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>7月8日微軟發布<a href="https://msrc.microsoft.com/update-guide/releaseNote/2025-Jul">每月例行更新（Patch Tuesday）</a>，總共修補130項漏洞，數量僅次於<a href="https://www.ithome.com.tw/news/166966">一月份的159個</a>，為今年以來的第二多，也較<a href="https://www.ithome.com.tw/news/169471">上個月67個</a>增加快一倍。從漏洞的類型來看，權限提升漏洞最多，有53個，其次是遠端程式碼執行（RCE）漏洞，有41個；其餘為資訊洩露、安全功能繞過、阻斷服務（DoS），以及可被用於欺騙的漏洞，分別有18個、8個、6個、4個。根據漏洞的嚴重程度而言，有11個被評為重大層級，它們全部都是RCE漏洞，其中又以Office漏洞最多，有4個。</p> <p>根據CVSS評分，最嚴重的是<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-47981">CVE-2025-47981</a>，此漏洞存在於SPNEGO Extended Negotiation Security Mechanism（NEGOEX）安全機制，攻擊者可傳送惡意訊息到伺服器觸發漏洞，從而能夠遠端執行任意程式碼，風險值達到9.8（滿分10分）。雖然微軟並未說明漏洞細節，但長期觀察、分析微軟每月例行更新的<a href="https://www.rapid7.com/blog/post/patch-tuesday-july-2025/">資安業者Rapid7</a>、<a href="https://www.zerodayinitiative.com/blog/2025/7/8/the-july-2025-security-update-review">漏洞懸賞專案Zero Day Initiative（ZDI）</a>，皆特別提出警告。Rapid7指出，此為預先身分驗證漏洞，代表攻擊者能藉此取得特殊權限，而且微軟認為很快就會有人試圖利用，用戶應儘速安裝更新程式；ZDI指出利用過程無需使用者互動，而且該漏洞具備蠕蟲特質。</p> <p>另一項Rapid7與ZDI警告的資安漏洞，是存在於SharePoint的重大漏洞<a href="https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-49704">CVE-2025-49704</a>，一旦攻擊者成為網站的所有者，就有機會在SharePoint伺服器寫入任意程式碼並注入，或是遠端執行程式碼，CVSS風險評為8.8。Rapid7指出，微軟提及攻擊者需取得網站所有者的權限，卻又表明不需要額外的權限提升，相當不尋常；ZDI透露這項漏洞是在Pwn2Own Berlin 2025找到，相當危險，因為攻擊者能透過網路進行程式碼注入，不過，想利用該漏洞，需滿足一個必要條件，那就是需事先通過部分層級的身分驗證。</p> <p>附帶一提，在7月例行安全更新公告中，<a href="https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-49719">CVE-2025-49719</a>是在微軟修補前就已經被公開的零時差漏洞，存在於SQL Server，為高風險層級的資訊洩露漏洞，起因是輸入驗證不當，未經授權的攻擊者能透過網路洩露資訊，CVSS風險為7.5分，究竟該漏洞能被用來竊取什麼樣的資訊，微軟並未直接說明，僅透露能從未初始化的記憶體竊取資料，後續影響有待觀察。</p> </div></div></div>
2025/7/9 12:00作者周峻佑https://www.ithome.com.tw/news/169956
線上程式開發平臺商Replit轉向微軟Azure
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.prnewswire.com/news-releases/replit-collaborates-with-microsoft-to-bring-vibe-coding-to-enterprise-customers-302499416.html" target="_blank">知名線上整合開發平臺Replit本周宣布和微軟合作</a>，將整合微軟多項雲端工具，並且在微軟雲端App市集上架。</p> <p>Replit是強大的雲端開發環境（IDE），支援超過50種程式語言並提供範本，包括常見的Python、Java、C++ 等等，並允許多人即時協作開發專案。其用戶涵括專業開發商、業餘程式設計愛好者甚至沒有程式背景人士，估計其用戶數達2500萬。</p> <p>本次合作聚焦在企業各類用戶，不只是工程師，使他們都能以自然語言開發和部署企業應用。Replit聲稱已經有超過50 萬企業用戶使用其工具開發內部工具、業務、行銷和面向客戶的App。</p> <p>在這項合作下，Replit和微軟基礎架構服務像是Azure容器應用、Azure VM及微軟版Postgres資料庫（名為Neon Serverless Postgres）整合，方便開發人員在Microsoft Azure上開發並部署應用程式。此外，Replit亦將在Azure Marketplace上架，簡化開發人員購買程序。</p> <p>這項宣布意謂著Google將損失一家大客戶。Replit原本執行在Google Cloud，2024年使用Anthropic Claude 3.5 Sonnet為其程式撰寫助理Agent的引擎。<a href="https://www.inc.com/ben-sherry/after-partnering-with-anthropic-replit-has-grown-revenue-by-10x/91147509" target="_blank">報導指出</a>，該服務使其營收在半年內由1千萬美元成長10倍，也讓Replit成為Google Cloud上Anthropic模型的最大單一用戶。</p> <p>不過同時間微軟也不再握有AI客戶OpenAI的獨家供應合約。去年底OpenAI也和甲骨文Oracle Cloud合作Stargate計畫。<a href="https://finance.yahoo.com/news/openai-secures-30bn-cloud-deal-094538950.html" target="_blank">上周媒體報導</a>甲骨文取得一張新合約，估計從2028年起每年有300億美元訂單，而客戶疑似就是OpenAI。</p> </div></div></div>
2025/7/9 11:49作者林妍溱https://www.ithome.com.tw/news/169955
蘋果營運長Jeff Williams將在今年退休
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.apple.com/newsroom/2025/07/apple-announces-chief-operating-officer-transition/" target="_blank">蘋果周二（7/8）宣布</a>，該公司營運長Jeff Williams準備於今年底退休，本月開始就會把他的職責陸續移交給蘋果營運資深副總裁Sabih Khan，而原本由Williams負責的設計團隊，屆時則將直接向蘋果執行長Tim Cook彙報。</p> <p>現年62歲的Williams是在1998年加入蘋果，在2015年被拔擢為營運長，他一直負責蘋果的全球營運，客戶服務與支援，也主導Apple Watch的開發及蘋果的健康計畫，還在2023年接手蘋果的設計團隊。</p> <p>Williams為蘋果供應鏈的核心架構師，主導供應鏈的責任與員工標準，所建立的供應鏈系統支持了蘋果的成長與全球客戶的需求，也協助蘋果於美國、中國、印度、日本與整個東南亞地區擴展業務。</p> <p>至於準備接任營運長的Khan現年約59歲，是在1995年進入蘋果，於2019年加入高階主管團隊，擔任營運資深副總裁，也在過去6年負責蘋果的全球供應鏈，監督供應鏈的各項職能。</p> <p>Williams說，今年6月就是他加入蘋果的27周年，也是他在科技產業的第40年，他深愛蘋果，但明年起將會花更多的時間與親友相處，很榮幸與Khan合作，他是世界上最有才華的營運主管，對他未來的領導充滿信心。</p> <p><a href="https://9to5mac.com/2025/07/08/apple-ceo-succession/" target="_blank">9to5Mac分析</a>，其實Williams一直被外界視為是蘋果執行長Cook的繼任人選，只是現年64歲的Cook還沒有要退休的意思，未來最有可能接任Cook的或許是目前50歲、擔任硬體工程資深副總裁的John Ternus。</p> </div></div></div>
2025/7/9 12:01作者陳曉莉https://www.ithome.com.tw/news/169957
北韓駭客鎖定macOS用戶散布惡意軟體NimDoor，意圖竊取各式帳密並持續於受害電腦活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年4月，資安業者Huntabil.IT揭露<a href="https://huntability.tech/threat-note-2025-04-23-nk-zoom/">北韓駭客鎖定一家Web3新創公司的攻擊行動</a>，後續有多份調查報告指出，也有其他Web3及加密貨幣組織遭遇類似攻擊，其流程大多存在共通點，駭客運用了AppleScript、C++、Nim開發的指令碼及二進位檔案，鎖定macOS用戶下手。由於使用<a href="https://www.ithome.com.tw/tags/nim">Nim</a>程式語言打造惡意程式攻擊macOS用戶的情況並不常見，這樣的情況引起資安業者SentinelOne注意，<a href="https://www.sentinelone.com/labs/macos-nimdoor-dprk-threat-actors-target-web3-and-crypto-platforms-with-nim-based-malware/">著手調查並還原詳細的事故發生過程</a>，指出這是一起大規模攻擊行動。</p> <p>這波攻擊特別的地方在於，駭客在處理程序注入手法與遠端通訊的過程裡，皆透過TLS加密的WebSocket通訊協定wss來進行；再者，他們利用了SIGINT、SIGTERM的訊號標頭，以便在惡意軟體停止運作或是電腦重開機的狀況下，仍能持續在受害電腦活動。駭客在整個攻擊流程廣泛使用AppleScript指令碼，不僅用於取得初期的入侵管道，也在後續流程執行Beacon與後門NimDoor的功能。</p> <p>針對相關攻擊行動發動的過程，駭客先冒充攻擊目標的聯絡人，並使用線上會議排程工具Calendly安排網路會議，然後透過Telegram接觸目標，接著該名用戶就會收到Zoom視訊會議的電子郵件，但特別的是，信中要求用戶執行升級Zoom軟體開發套件（SDK）的指令碼，並列出操作這些動作的指示。</p> <p>但實際上，此為惡意的AppleScript指令碼，一旦收信人依照指示操作，就會從冒牌Zoom網域下載第二階段酬載。附帶一提，駭客為了迴避偵測，在指令碼加入約1萬行的空白內容，企圖混淆實際的功能。SentinelOne進一步調查駭客使用的C2網域，透過公開的儲存庫找到一系列用來從事相關活動的惡意網域，研判這起攻擊行動遠比先前公布的規模更為廣泛。</p> <p>上述的過程在受害電腦植入兩個Mach-O二進位檔案，分別名為a與installer，其中，a是C++編譯的執行檔，會在磁碟寫入名為netchk的有效酬載，目的是截取另外兩個Bash指令碼進行資料竊取，範圍涵蓋系統資料、瀏覽器資料、Telegram交談記錄，以及其他應用程式的特定內容。</p> <p>另一個名為installer的二進位檔案，則是觸發第二個攻擊鏈，此檔案以Nim打造而成，主要功能是讓攻擊者能在受害電腦持續活動。一旦執行，就會在電腦載入兩個Nim檔案：分別名為GoogIe LLC、CoreKitAgent，其中駭客在冒充Google的二進位檔案當中，刻意使用了大寫的I來偽裝成小寫的L。</p> <p>對於GoogIe LLC的用途，主要是設置組態檔案並啟動下個階段的有效酬載CoreKitAgent。SentinelOne一共發現4種版本的CoreKitAgent，這些檔案從去年10月至今年4月出現，共通點是皆為利用macOS內建的kqueue機制，並以特定事件觸發。此二進位檔案會攔截SIGINT與SIGTERM終止訊號，無論是使用者試圖手動終止處理程序，或是系統與其他應用程式下達Kill的命令，都會觸發CoreKitAgent重新部署的流程。</p> </div></div></div>
2025/7/8 17:49作者周峻佑https://www.ithome.com.tw/news/169948
【資安日報】7月8日，macOS竊資軟體Atomic Stealer加入後門功能，攻擊者可持續在受害電腦活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過往大多竊資軟體主要針對Windows電腦而來，但如今針對macOS用戶的竊資軟體接連出現，我們今天整理了Atomic Stealer（AMOS Stealer），以及北韓駭客打造的NimDoor，還有先前揭露的Odyssey Stealer，而這些事故都突顯出相關攻擊手法日益複雜的情形。</p> <p>另一方面，上週勒索軟體Hunters International宣布結束營運並免費提供解密金鑰，此舉也引起資安圈關注，但這並非代表駭客就此收手，而是為了避免遭到執法單位圍剿，決定不再使用勒索軟體從事破壞行為，有資安人員認為，此舉之後會有其他勒索軟體駭客跟進。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169947"><strong style="font-size: 22px;">macOS竊資軟體Atomic內建後門功能，讓攻擊者持續存取受害電腦</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/1_EvolutionofmacOSStealerCapabil.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1_EvolutionofmacOSStealerCapabil.png" style="width: 300px; float: right;" /></a></p> <p>專門鎖定macOS用戶的竊資軟體Atomic Stealer（AMOS Stealer）橫行多年，不僅相關攻擊行動接連傳出，更衍生出其他變種Odyssey Stealer、Poseidon Stealer，最近其中一起事故，是駭客冒充美國電信業者Spectrum發動攻擊，如今有資安業者指出，此竊資軟體的開發團隊打造了更加危險的版本，能讓攻擊者進一步控制受害電腦。</p> <p>最近有一份調查報告指出，經營Atomic Stealer的俄羅斯駭客組織，過往主要集中心力的部分，在於透過瀏覽器的加密貨幣延伸套件、冷錢包下手，目的是搜括帳密資料，但現在資安業者Moonlock發現，他們在新版Atomic Stealer加入了後門的功能，也就是說，攻擊者可藉此竊資軟體遠端執行任意命令、得到完整的存取權限，並在受害電腦重開機後持續相關活動。</p> <p>除了後門的部分，Moonlock提及Atomic Stealer具備其他新功能，如鍵盤側錄工具（keylogger），近期攻擊目標也有異動：一改過往提供破解軟體作為誘餌的策略，而是試圖尋找持有加密貨幣資產的使用者下手，但Moonlock並未說明駭客如何找到攻擊目標。</p> <p><a href="https://www.ithome.com.tw/news/169948"><strong style="font-size: 22px;">北韓駭客鎖定macOS用戶散布惡意軟體NimDoor，意圖竊取各式帳密並持續於受害電腦活動</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/NimDoor_14.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/NimDoor_14.jpg" style="width: 300px; float: right;" /></a></p> <p>今年4月，資安業者Huntabil.IT揭露北韓駭客鎖定一家Web3新創公司的攻擊行動，後續有多份調查報告指出，也有其他Web3及加密貨幣組織遭遇類似攻擊，其流程大多存在共通點，駭客運用了AppleScript、C++、Nim開發的指令碼及二進位檔案，鎖定macOS用戶下手。由於使用Nim程式語言打造惡意程式攻擊macOS用戶的情況並不常見，這樣的情況引起資安業者SentinelOne注意，著手調查並還原詳細的事故發生過程，指出這是一起大規模攻擊行動。</p> <p>這波攻擊特別的地方在於，駭客在處理程序注入手法與遠端通訊的過程裡，皆透過TLS加密的WebSocket通訊協定wss來進行；再者，他們利用了SIGINT、SIGTERM的訊號標頭，以便惡意軟體停止運作或是電腦重開機的狀況下，仍能持續在受害電腦活動。駭客在整個攻擊流程廣泛使用AppleScript指令碼，不僅用於取得初期的入侵管道，也在後續流程執行Beacon與後門NimDoor的功能。</p> <p><a href="https://www.ithome.com.tw/news/169828"><strong style="font-size: 22px;">竊資軟體Odyssey Stealer鎖定macOS使用者而來，透過ClickFix網釣散布</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/odyssey26-1.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/odyssey26-1.jpg" style="width: 300px; float: right;" /></a></p> <p>駭客假借網頁故障或是進行圖靈驗證等理由做為幌子，要求使用者依照指示按下特定按鈕，並開啟執行視窗貼上惡意指令的ClickFix網釣攻擊手法，自3年前研究人員Mr.d0x提出警告後，相關攻擊變得極為氾濫，但這類攻擊手法大多針對Windows用戶而來，如今也有鎖定macOS用戶的情況。</p> <p>最近資安業者Cyfirma揭露的竊資軟體Odyssey Stealer，就是這樣的例子，駭客利用多個ClickFix攻擊策略，意圖對使用者傳遞惡意的AppleScript指令碼（osascripts），下達命令竊取Mac電腦瀏覽器的cookie、密碼、加密貨幣錢包資料，以及瀏覽器外掛的內容。駭客主要藉由註冊與金融業者、蘋果App Store、加密貨幣新聞網站拼字相似的網域，疑似鎖定對金融與加密貨幣感興趣的人士下手。</p> <p>駭客要求使用者依照指示按下Command+Space快速鍵，開啟Spotlight的功能，然後輸入Terminal並按下Return，最後按下網頁上的複製按鈕，將特定內容貼上終端機。但實際上用戶複製的並非網站上的I am not a robot字串，而是駭客經過Base64演算法處理的指令碼，從而在受害電腦下載竊資軟體。</p> <p><a href="https://www.ithome.com.tw/news/169934"><strong style="font-size: 22px;">勒索軟體Hunters International宣布關閉業務，釋出解密金鑰</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Hunters International shutdown announcement.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Hunters%20International%20shutdown%20announcement.png" style="width: 300px; float: right;" /></a></p> <p>資安業者Group-IB今年4月揭露勒索軟體Hunters International的最新動態，指出這些駭客疑似在司法單位的壓力下，提供給加盟主的新版（第6版）勒索軟體已不再具備留下勒索訊息的功能，該組織還另外推出名為Storage Software的工具，讓加盟主能竊取受害組織資料的過程裡，將相關中繼資料回傳到該團體的伺服器。而這麼做的目的，很有可能是打算關閉Hunters International的專案，並使用World Leaks的名號另起爐灶，如今這樣的推測得到證實，駭客正式宣布結束營運。</p> <p>根據資安新聞網站Bleeping Computer的調查團隊發現，Hunters International於7月3日正式宣布關閉其業務，並且直接提供解密金鑰，意味著尚未付錢的受害組織可免費將資料復原。</p> <p>對於駭客宣布免費提供解密金鑰的現象，Comparitech研究員Rebecca Moody向資安新聞網站SecurityWeek透露，他們認為此舉對受害組織應該幾乎沒有幫助，原因是這些駭客自5月開始並未再列出新的受害組織，而大部分的受害組織也已經復原自己的系統。也就是說，他們早就向駭客低頭，選擇付錢換得解密金鑰。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/threat-actors-use-av-edr-evasion-framework/">企業模擬攻防演練的工具驚傳遭濫用！駭客運用迴避偵測框架Shellter散布惡意程式</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/07/tag-140-deploys-drat-v2-rat-targeting.html">駭客組織TAG-140鎖定印度政府、國防、鐵路領域而來，企圖散布Drat V2 RAT</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/batavia-windows-spyware-campaign-targets-dozens-of-russian-orgs/">間諜軟體活動Batavia針對俄羅斯企業組織而來</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/ailock-ransomware-emerges-with-hybrid-encryption-tactics/">勒索軟體AiLock採混合加密手法鎖住資料，脅迫受害組織就範</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169927"><strong style="font-size: 22px;">Next.js修補快取污染漏洞，防止靜態頁面DoS攻擊</strong></a></p> <p>Next.js釋出安全更新，修正影響15.1.0至15.1.7版本的快取污染漏洞CVE-2025-49826，以防範攻擊者利用該漏洞造成靜態頁面阻斷服務（DoS）問題。該漏洞風險評等為高度，CVSS基本分數為7.5，主要威脅在於特定配置下，網站頁面可能無預警對所有用戶出現204空回應，導致正常存取服務中斷。</p> <p>此次漏洞發生在Next.js的增量式靜態再生成（ISR）啟用快取重驗證機制，並結合伺服器端算繪（SSR）路徑時，當外部CDN又快取HTTP 204回應，便會出現問題。官方指出，在極少數特定條件下，受影響的Next.js版本可能會將204無內容的回應錯誤地快取，導致同一路徑的所有用戶請求都只收到204回應。如此部分生產環境中的靜態頁面就會長時間無法正常顯示，嚴重影響服務的可用性。</p> <p>根據官方說明，這個漏洞僅會在同時符合幾個特定條件時才會被觸發，包括使用受影響的Next.js版本、路徑啟用ISR快取重驗證，並以Next start或Standalone模式運作，以及該路徑同時使用SSR並且CDN被設定為快取204回應。</p> <p><a href="https://www.ithome.com.tw/news/169916"><strong style="font-size: 22px;">聯想電腦預載可寫入資料的檔案，可能被用於突破Windows AppLocker安全防護</strong></a></p> <p>資安廠商發現聯想（Lenovo）電腦中一個預載檔案被可寫入資料，可能破壞Windows作業系統的AppLocker安全防護機制。</p> <p>本問題是由資安顧問公司TrustedSec研究人員Oddvar Moe發現，問題檔案是聯想電腦預載於其Windows映像檔、位於C:\Windows目錄下的mfgstat.zip。檢視其存取控制表可以發現，一個經授權的使用者具有完整權限，可修改、讀、寫與執行檔案。這就抵觸了微軟透過Windows AppLocker提供的防護。</p> <p>研究人員在2019年發現這個問題，並在今年在新聯想電腦上再次發現而確認。但他通報聯想研究部門PSIRT，得到的回應是不會修補，而是告知用戶如何移除mfgstat.zip來因應。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/linux-boot-vulnerability/">Linux開機系統存在漏洞，攻擊者恐繞過安全開機防護機制</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169867"><strong style="font-size: 22px;">奧義智慧攜手臺灣AI業者APMIC，打造新世代AI防火牆安全模組</strong></a></p> <p>隨著AI應用，特別是大型語言模型在各產業的普及，其潛在的安全漏洞已成為企業揮之不去的陰影。臺灣資安業者奧義智慧科技（CyCraft）於日前宣布，將和臺灣提供企業自主AI解決方案業者APMIC（Accelerate Private Machine Intelligence Company）合作，共同推出業界首款專為防禦而生的AI模型XecGuard，以及Safety LLM安全評測服務。</p> <p>奧義智慧科技技術長暨共同創辦人邱銘彰表示，目前已經有多家正在使用AI聊天機器人的企業用戶會做先導測試（Pilot Run），預計今年第三季推出閘道端的AI防火牆產品XecGuard，便利更多企業使用。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169929"><strong>【7月7日】Linux命令列工具Sudo修補兩項權限提升漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169894"><strong>【7月4日】多款IDE開發工具選用延伸套件要當心，此類元件的檢驗機制存在可乘之機</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169878"><strong>【7月3日】全支付測試環境帳密驚傳遭駭客兜售</strong></a></p> </div></div></div>
2025/7/8 18:07作者周峻佑https://www.ithome.com.tw/news/169950
伊朗駭客BladedFeline部署新型IIS與Exchange後門，滲透中東多地區政府
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安公司ESET<a href="https://www.welivesecurity.com/en/eset-research/bladedfeline-whispering-dark/">揭露</a>與伊朗關聯的駭客組織BladedFeline，持續滲透中東多地區政府與能源、電信單位，鎖定IIS與Exchange伺服器，並大規模散布Whisper、PrimeCache等新型後門程式。研究人員發現，BladedFeline自2017年起便長期潛伏於庫德自治區政府系統，2024起更已成功入侵伊拉克中央政府多名高階官員的網路環境。</p> <p>BladedFeline整體行動目標以蒐集中東地區政府與重要產業的敏感資訊為主，ESET推測其活動可能替伊朗取得區域政治與情報相關資料。</p> <p>根據ESET的程式碼分析，並比對受害目標族群及攻擊手法，BladedFeline推測可能是伊朗APT34（OilRig）旗下的子群組。該組織透過多種後門與反向通道工具，建立一套成熟的滲透、持久化及擴張三階段攻擊鏈，其中，IIS原生模組PrimeCache為關鍵技術，能被動攔截HTTP請求，並透過加密Cookie藏匿控制訊息，將參數分段接收、快取再組合執行，有效規避傳統防禦。PrimeCache全程採用RSA與AES-CBC加密並以Base64編碼，使其攻擊流量具隱蔽性不易被偵測。</p> <p>另一重要工具Whisper則針對Exchange郵件環境設計，能透過受害者的信箱雙向傳遞控制指令與回傳結果，具備自動設定信箱規則與定時回報存活狀態的功能，可遠端執行系統命令，並支援檔案上傳與下載。</p> <p>除了Whisper和PrimeCache兩大主要後門，BladedFeline也部署Shahmaran、Slippery Snakelet、Laret、Pinar等多樣化工具，結合Webshell、PowerShell腳本及反向SSH通道，建立多層次的隱蔽通道持久化滲透。</p> <p>研究人員推測，攻擊者可能先利用外部伺服器漏洞植入Webshell，再進一步部署Whisper與PrimeCache。實際入侵過程中，駭客在入侵目標運用多重後門與合法工具，進行橫向移動及維持存取權限，並持續監控關鍵系統狀態。BladedFeline還應用編譯時間戳造假與Base64混淆等技術，加強取證困難度。</p> </div></div></div>
2025/7/8 18:39作者李建興https://www.ithome.com.tw/news/169949
macOS竊資軟體Atomic內建後門功能，讓攻擊者持續存取受害電腦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門鎖定macOS用戶的竊資軟體Atomic Stealer（AMOS Stealer）橫行多年，不僅相關攻擊行動接連傳出，更衍生出其他變種<a href="https://www.ithome.com.tw/news/169828">Odyssey Stealer</a>、Poseidon Stealer，最近其中一起事故，是<a href="https://www.ithome.com.tw/news/169490">駭客冒充美國電信業者Spectrum發動攻擊</a>，如今有資安業者指出，<a href="https://moonlock.com/amos-backdoor-persistent-access">此竊資軟體的開發團隊打造了更加危險的版本</a>，能讓攻擊者進一步控制受害電腦。</p> <p>最近有一份調查報告指出，經營Atomic Stealer的俄羅斯駭客組織，過往主要集中心力的部分，在於透過瀏覽器的加密貨幣延伸套件、冷錢包下手，目的是搜括帳密資料，但現在資安業者Moonlock發現，他們在新版Atomic Stealer加入了後門的功能，也就是說，攻擊者可藉此竊資軟體遠端執行任意命令、得到完整的存取權限，並在受害電腦重開機後持續相關活動。</p> <p>除了後門的部分，Moonlock提及Atomic Stealer具備其他新功能，如鍵盤側錄工具（keylogger），近期攻擊目標也有異動：一改過往提供破解軟體作為誘餌的策略，而是試圖尋找持有加密貨幣資產的使用者下手，但Moonlock並未說明駭客如何找到攻擊目標。</p> <p>將竊資軟體與後門程式結合的做法，Atomic Stealer並非首例，北韓駭客在鎖定macOS用戶的攻擊行動裡，就積極結合這兩種惡意軟體，不過他們的目的並非為了長期在受害電腦活動，而是一口氣搜刮加密貨幣及受害者的敏感資料。</p> <p>究竟駭客如何散布Atomic Stealer？主要有兩種媒介，一種是提供破解軟體下載，另一種則是專門針對擁有大量加密貨幣的高價值目標。駭客通常會藉由工作面試流程尋找自由工作者、藝術家下手，並要求使用者輸入密碼，以便分享受害電腦的螢幕內容。一旦得逞，攻擊者就有機會挖掘密碼、通關密語（Seed Phrase）等機敏資料，並植入後門模組，以便等待接收遠端發送的命令。</p> <p>當Mac電腦感染新版Atomic Stealer之後，初期與先前版本的狀況差不多，但在竊取資料完成後，出現額外的活動。駭客以木馬化的DMG檔案模仿安裝程式，其中通常內含名為.Installer的Mach-O檔案，以及bash指令碼打造的延伸模組。Mach-O檔案具備竊資軟體的功能，而bash指令碼則內嵌了AppleScript，用途是透過osascript對.Installer下手，複製到暫存資料夾清除檔案屬性，並設置執行權限。接著，駭客也運用名為.agent的指令碼、.helper二進位檔案，以便持續於受害電腦活動。</p> </div></div></div>
2025/7/8 15:57作者周峻佑https://www.ithome.com.tw/news/169947
量子運算業者IonQ獲得10億美元私募投資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.businesswire.com/news/home/20250707987949/en/IonQ-Announces-Pricing-of-%241.0-Billion-Equity-Offering" target="_blank">量子運算服務供應商IonQ周一（7/7）宣布</a>，已透過定向增資方式向Heights Capital Management私募發行總值10億美元的普通股與權證，並由J.P. Morgan擔任唯一承銷商。</p> <p>2015年於美國創立的IonQ採用補獲離子技術，透過精密控制離子來執行量子運算，具備高度準確率及穩定性，提供自家開發的量子電腦及雲端運算服務，並整合AWS、Microsoft Azure Quantum及Google Cloud等平臺，提供藥物研發、金融建模、優化物流及國防等服務，並在今年6月宣布將以價值11億美元的股票買下英國量子運算新創Oxford Ionics，以強化全球布局。IonQ的目標是在2030年以前開發出具備200萬個量子位元的系統。</p> <p>此次IonQ的融資總額為10億美元，內容包括14,165,708股的普通股，每股售價為55.49美元，3,855,557股的預先認購權證，每股售價同樣是55.49美元，以及36,042,530的7年期權證，每股行使價為99.88美元。IonQ說，這是量子產業史上最大的一次單一機構投資。</p> <p>該交易的每股價格約比IonQ在7月3日收盤價（44.39美元）多出25%，而且雙方已於本周一開盤前完成交易，當天IonQ股價以45.2美元作收。</p> <p><a href="https://investors.ionq.com/news/news-details/2025/IonQ-Announces-First-Quarter-Financial-Results/" target="_blank">根據IonQ今年第一季財報</a>，該公司首季創下756.6萬美元的營收，與去年同期相當，淨虧損為3,225萬美元，比去年同期少虧了700萬美元。</p> </div></div></div>
2025/7/8 15:38作者陳曉莉https://www.ithome.com.tw/news/169946
勒索軟體Hunters International宣布關閉業務，釋出解密金鑰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Group-IB今年4月<a href="https://www.bleepingcomputer.com/news/security/hunters-international-rebrands-as-world-leaks-in-shift-to-data-extortion/">揭露勒索軟體Hunters International的最新動態</a>，指出這些駭客疑似在司法單位的壓力下，提供給加盟主的新版（第6版）勒索軟體已不再具備留下勒索訊息的功能，該組織還另外推出名為Storage Software的工具，讓加盟主能竊取受害組織資料的過程裡，將相關中繼資料回傳到該團體的伺服器。而這麼做的目的，很有可能是打算關閉Hunters International的專案，並使用World Leaks的名號另起爐灶，如今這樣的推測得到證實，駭客正式宣布結束營運。</p> <p>根據<a href="https://www.bleepingcomputer.com/news/security/hunters-international-ransomware-shuts-down-after-world-leaks-rebrand/">資安新聞網站Bleeping Computer的調查團隊發現</a>，Hunters International於7月3日正式宣布關閉其業務，並且直接提供解密金鑰，意味著尚未付錢的受害組織可免費將資料復原。</p> <p>為何駭客要結束Hunters International？根據該團體在暗網發表的聲明，起因是近期的事態發展，經過仔細考慮，最後做出的決定。雖然這份公告沒有明確說明原因，但Bleeping Computer指出就是受到執法行動的壓力，因為上述公告引用一則11月17號的聲明，內容提及基於執法行動增加與獲利減少，Hunters International很快就會關閉。</p> <p>Hunters International約於2023年下旬開始出沒，資安研究員與勒索軟體專家根據程式碼的比對，普遍認為是勒索軟體Hive品牌的品牌重塑，迄今聲稱發動約300起攻擊。受害組織包含<a href="https://www.bleepingcomputer.com/news/security/us-marshals-service-disputes-ransomware-gangs-breach-claims/">美國司法部旗下的法警局（United States Marshals Service）</a>、<a href="https://www.ithome.com.tw/news/162283">日本光學設備製造商Hoya</a>、<a href="https://www.ithome.com.tw/news/167672">印度汽車大廠Tata旗下的研發公司Tata Technologies</a>、<a href="https://www.bleepingcomputer.com/news/security/autocanada-says-ransomware-attack-may-impact-employee-data/">北美汽車經銷商AutoCanada</a>、<a href="https://www.bleepingcomputer.com/news/security/ransomware-gang-behind-threats-to-fred-hutch-cancer-patients/">福瑞德·哈金森癌症研究中心（Fred Hutchinson Cancer Center）</a>等。</p> <p>個人資安產品評測網站Comparitech也<a href="https://www.comparitech.com/news/ransomware-gang-hunters-international-took-credit-for-250-cyber-attacks-before-shutting-down/">公布調查結果</a>，指出Hunters International營運期間約有250家企業組織受害，他們確認其中的55起事故，另有199起是尚未得到證實的事故。光是確認受害的企業組織，就有325萬筆記錄外流。</p> <p>根據受害組織的產業，有55起事故是針對一般企業、19起鎖定醫療照護機構、16起鎖定政府機關、2起是學術機構。其中針對一般企業的部分，又以製造業最多，有12起，但也有針對營造、金融、科技、法律、食品、零售的攻擊。</p> <p>對於駭客宣布免費提供解密金鑰的現象，<a href="https://www.securityweek.com/hunters-international-shuts-down-offers-free-decryptors-as-it-morphs-into-world-leaks/">Comparitech研究員Rebecca Moody向資安新聞網站SecurityWeek透露</a>，他們認為此舉對受害組織應該幾乎沒有幫助，原因是這些駭客自5月開始並未再列出新的受害組織，而大部分的受害組織也已經復原自己的系統。也就是說，他們早就向駭客低頭，選擇付錢換得解密金鑰。</p> <p>這些駭客顯然看上竊取資料更為有利可圖的情況，他們在更名為World Leaks之後，積極利用竊得資料向受害組織勒索，而這樣的手法，在Hunters International時期就曾得逞，成功讓受害組織付錢。Rebecca Moody認為，Hunters International成員改組為World Leaks，不再加密檔案，而是集中以竊得資料進行勒索的策略，未來其他勒索軟體駭客很有可能會跟進。</p> <p>KnowBe4資安意識倡導員Erich Kron也對此現象提出看法，他指出有鑑於世界各地執法單位聯手大力打擊勒索軟體，Hunters International發布免費金鑰的舉動，應該是潛在執法活動的結果。</p> <p>駭客轉向資料竊取的做法，由於不像勒索軟體會破壞企業組織的營運，影響程度較低，Erich Kron認為，駭客這麼做比較不會引起執法機關的注意。</p> </div></div></div>
2025/7/8 12:45作者周峻佑https://www.ithome.com.tw/news/169934
Twitter創辦人Jack Dorsey開源其實驗性藍牙傳訊程式Bitchat
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>曾參與創辦Twitter、Block與Bluesky的<a href="https://x.com/jack/status/1941989439237955773" target="_blank">Jack Dorsey在本周一（7/7）釋出了他利用周末開發的新專案Bitchat</a>，這是一個僅靠藍牙就能傳訊的程式，<a href="https://github.com/jackjackbits/bitchat" target="_blank">已透過GitHub開源</a>，亦登上<a href="https://testflight.apple.com/join/QwkyFq6z" target="_blank">蘋果的TestFlight應用程式測試平臺</a>，不到一天就達到TestFlight的1萬名測試上限。</p> <p>Bitchat是一個完全仰賴藍牙網狀網路（Mesh Network）的去中心化點對點傳訊應用程式，完全不需要電話號碼、電子郵件、Wi-Fi或行動網路連線。</p> <p>此外，它採用端對端加密，支援私訊與頻道加密，可建立群組頻道；支援儲存及轉寄，離線用戶在重連後仍可接到訊息；原生支援iOS與macOS，其協定可延伸支援Android；標榜不必註冊，不儲存個資，沒有永久ID，以及能夠緊急刪除資料。</p> <p>Bitchat亦允許使用者封鎖用戶，或是移交頻道所有權，一個訊息最多可經過7個中繼藍牙裝置來完成傳送，採用Unlicense公共領域授權，允許任何人自由使用、修改與散布，適用於在網路受限、災難應變或抗審查環境下的使用者。</p> <p>Dorsey在2006年共同創辦的Twitter是個微型部落格，初期限制使用者只能輸入140個字元，最後在2022年以440億美元賣給了馬斯克（Elon Musk），隨後被更名為X；2009年共同創立的Square之後更名為Block，這是一家金融科技公司，提供支付與金融服務；現身於2019年的Bluesky也是一個社交平臺，被視為是類似X的去中心化代替品，截至今年6月底已有超過3,690萬名註冊用戶。</p> </div></div></div>
2025/7/8 13:30作者陳曉莉https://www.ithome.com.tw/news/169935
ChatGPT Deep Research可能正測試串接Slack
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI可能正在為Deep Research測試串接Slack的連接器（connector）功能，以便強化研究搜尋的範疇。</p> <p><a href="https://x.com/btibor91/status/1938680435854467332" target="_blank">一名研究人員Tibor研究ChatGPT程式碼發現</a>一疑似連接器的功能，並說明「允許ChatGPT deep research讀取Slack訊息。」</p> <p>目前不知OpenAI是經由和Slack合作，或是運用Slack API來達成串接。但一旦將這功能加入ChatGPT，它就能在執行Deep Research代理人進行網頁研究時，也擷取用戶的Slack內容。</p> <p>Deep Research是ChatGPT的AI代理人，可依據用戶提示，針對特定主題進行多步驟反覆搜尋以改進回應答案的品質，最後生成報告。但它逐漸加入搜尋範疇，<a href="https://www.ithome.com.tw/news/169155" target="_blank">5月時擴及Dropbox及Box雲端硬碟</a>。</p> <p>ChatGPT Deep Research代理人2月份以來開放Pro、Team、Plus方案用戶使用，<a href="https://www.ithome.com.tw/news/169155" target="_blank">OpenAI 4月另外公布輕量版Deep Research</a>，開放給免費版用戶。</p> </div></div></div>
2025/7/8 14:15作者林妍溱https://www.ithome.com.tw/news/169937
CoreWeave準備買下比特幣挖礦公司Core Scientific
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雲端GPU服務供應商<a href="https://www.coreweave.com/news/coreweave-to-acquire-core-scientific" target="_blank">CoreWeave周一（7/7）宣布</a>，將以全股票方式買下挖礦暨資料中心託管業者Core Scientific，每股Core Scientific將可換取0.1235股新發行的CoreWeave普通股，相當於以每股20.4美元、總價90億美元收購Core Scientific。消息一出，Core Scientific的盤後價格上漲了2.97%，為15.27美元，CoreWeave盤後亦上漲0.79%，達160.96美元。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0708-CoreWeave%20to%20Acquire%20Core%20Scientific.png" style="width: 600px;" /></p> <p>CoreWeave成立於2017年，當時公司名稱為Atlantic Crypto，所聚集的GPU資源主要用來開採以太幣，在加密貨幣於2018年崩盤之後，即更名為CoreWeave，並轉型對外供應基於GPU的運算資源，搭上了AI列車，還受到Nvidia青睞，總計投入了3.5億美元，持股7%。</p> <p>至於成立於2018年的Core Scientific，則是北美最大的區塊鏈資料中心供應商與比特幣挖礦公司，<a href="https://investors.corescientific.com/news-events/press-releases/detail/115/core-scientific-announces-fiscal-first-quarter-2025-results" target="_blank">根據該公司今年第一季的財報</a>，該季營收為7,950萬美元，就有6,720萬美元屬於挖礦收入，380萬美元為代管挖礦收入，以及860萬美元的資料中心託管收入。Core Scientific在今年第一季的營業損失為4,260萬美元。</p> <p>CoreWeave相中的是Core Scientific的資料中心業務及電力容量，目前Core Scientific在美國擁有10座資料中心，總電力容量為1.3GW，其中有840MW支援AI業務，有500MW用在挖礦上。<a href="https://investors.corescientific.com/news-events/press-releases/detail/119/coreweave-to-acquire-core-scientific" target="_blank">Core Scientific指出</a>，未來CoreWeave有可能將挖礦用的資料中心改為HPC用途，或是剝離挖礦業務。</p> <p>CoreWeave共同創辦人暨執行長Michael Intrator表示，此次收購加速了該公司大規模部署AI與HPC工作負載的策略，將Core Scientific高效能資料中心基礎設施的所有權垂直化，將可提升CoreWeave的營運效率，帶來更大的融資彈性，並強化其電力所有權及選擇能力，雙方預計於今年第四季完成交易。</p> <p>至於CoreWeave今年第一季的營收為9.8億美元，成長420%，淨虧損為3.1億美元，高於去年同期的1.3億美元虧損。不過，當CoreWeave於今年3月28日以每股40美元的發行價登上美國那斯達克（Nasdaq）股市之後，股價在3個月內漲了3倍。</p> <p>根據CoreWeave的統計，在交易完成之後，Core Scientific股東對新公司的持股比例將低於10%。</p> </div></div></div>
2025/7/8 11:32作者陳曉莉https://www.ithome.com.tw/news/169932
Azure存在曝露VPN金鑰及過高授權的漏洞可致敏感資訊外流
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.token.security/blog/azures-role-roulette-how-over-privileged-roles-and-api-vulnerabilities-expose-enterprise-networks" target="_blank">研究人員發現微軟Azure存在部分角色有過高特權以及曝露VPN金鑰的漏洞</a>，兩漏洞合用可能讓攻擊者輕易取得企業敏感資料。</p> <p>2項漏洞是由Token Security發現。其一存在Azure角色為基礎的存取控制（role-based access control, RBAC）。第二則位於Azure API，可能讓攻擊者洩露VPN金鑰。</p> <p>Azure RBAC是一權限管理機制，可讓管理員將權限分配給不同使用者、群組或是服務主體（service principals）。當管理員為一主體分派了角色，也就同時賦予其權限。但作者指出，在Azure 內建的400個角色中，有些角色具備過高特權（over-privileged）。作者認為有10個Reader角色被分配了不必要的讀取（*/read）特權，像是Log Analytics Reader、Managed Application Contributor Role和App Compliance Automation Reader等。</p> <p>另一漏洞存在Azure API。Azure API 一個呼叫設計錯誤，使得即便只有 read-only 特權的用戶，也能透過發送 GET 請求來取得本應該受限的敏感資料（例如 VPN閘道的預共享金鑰（pre-shared key, PSK）。</p> <p>研究人員說，結合這二個漏洞能發展出攻擊串，使駭客得以存取公司內部的雲資產或是本地部署網路。例如攻擊者先取得某個具備（或不當分配了）*/read特權的角色，取得VPN 閘道的共享金鑰，藉此建立站對站連線（site-to-site connection）連上內部網路，包括企業VPC和本地部署網路。他也以影片示範了如何利用Log Analytics Reader角色連上企業VPN發動竊密攻擊。</p> <p>研究人員將二項漏洞通報微軟後，針對VPN PSK洩露漏洞，微軟承認為「重要」風險，已修補完成，頒布7500美元獎金給研究人員。至於第一項過度給予特權（over-privileged）的角色漏洞，微軟認為是低度嚴重性的安全問題，決定不修補。研究人員提醒企業最好不要在環境中使用這10項角色。</p> </div></div></div>
2025/7/8 11:37作者林妍溱https://www.ithome.com.tw/news/169933
日本Yahoo如何實驗網站前端效能優化方法，用有限成本同時提升使用者體驗與廣告收入
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>新聞網站是日本Yahoo龐大流量集散地，累積7,770萬月活躍讀者，更是母公司LYC一年3千億日圓營收的展示型廣告業務中，不可或缺的重要廣告通路。今年LYC年度技術大會中，日本Yahoo分享自家提升網站前端效能的實驗歷程，探索如何用盡可能有限的資源，來改善使用者體驗及增加廣告收入。</p> <p>日本Yahoo廣告工程師Imamiya Masaki說，這並不是他們第一次，利用提升網站前端效能來增加廣告收入。他們曾經針對Google提出的Core Web Vitals網站效能指標來優化，提升高達15%單一工作階段網頁瀏覽次數（Page View）。他們還在導入Back-Forward Cache（往返快取）技術後，提升高達9%的廣告營收。</p> <p>這次，他們則希望強化預先渲染技術（Pre-render），來加速網站內容顯示速度，並觀察，內容顯示效率提升，能否增加閱讀量、停留時間、點擊率，或減少跳出率，進而對廣告業務指標做出貢獻。</p> <p>預渲染技術是，預測可能即將載入的資源，提前請求並渲染頁面和執行JavaScript。如此，使用者點擊連結或開啟新內容時，瀏覽器就能立即呈現完整內容。這種做法的代價是，若預測使用者點擊不夠準確，會導致預先渲染內容，最後卻不會呈現給使用者，白白增加資源消耗。為了衡量這項代價，日本Yahoo在實驗中追蹤「預渲染命中率」指標，亦即「使用者真正看到的」預渲染項目數占總體比例。</p> <p>日本Yahoo工程團隊導入Google開發的Speculation Rules API，來A/B測試不同預渲染預測規則下，網站前端表現及廣告收入如何受影響。這個API允許開發者透過宣告式JSON語法定義預渲染邏輯，包括針對哪些連結生效、需排除哪些條件等。開發者還可以調整Eagerness設定，決定不同觸發預渲染的規則。Immediate規則是立即預渲染下一個頁面；Moderate規則是滑鼠游標移動到連結上200毫秒後開始預渲染；Conservative規則則是在滑鼠按鈕按下（而非按下後釋放）連結後預渲染。</p> <p><strong>第一次實驗：在首頁預渲染新聞文章頁面</strong></p> <p>首次預渲染實驗對象是，使用者新聞網站首頁時，預先渲染個別新聞網站。他們採取Moderate規則，當使用者游標停留在文章連結200毫秒，即開始預渲染。結果顯示，點選連結後，平均畫面跳轉時間從0.8秒縮短至0.4秒。使用者設備性能不佳或網路連線不穩時，可以減少更多時間。</p> <p>然而，當日本Yahoo工程團隊發現，使用者行為數據與廣告收入等業務指標並未明顯變化。不只如此，預渲染命中率只有15%，造成浪費許多資源浪費。他們推測，因為新聞首頁基礎延遲已經很低、文章頁廣告內容未預渲染、新聞連結密集排列導致大量觸發預渲染等原因，無法判斷Moderate規則是否有作用。</p> <p><strong>第二次實驗：預渲染新聞文章頁面的廣告內容</strong></p> <p>日本Yahoo工程團隊根據這些教訓，來設計第二次實驗。這次，他們將實驗對象聚焦到「閱讀全文」連結的點擊後行為，像是頁面重新整理並重新顯示文章內容，以及廣告內容。</p> <p>這種設計下，觸發預渲染預測的前端UI元件只有閱讀全文連結，較不易造成誤判，也能測試更耗費資源的Immediate觸發規則。不只如此，他們希望廣告內容加速顯示，能吸引更多的讀者注意力。</p> <p>新聞文章頁面中，有上方大型廣告，以及下方小型廣告兩種版位。下方小型廣告格式簡單、請求處理通訊量較少，採取預先處理廣告庫載入、廣告請求處理、廣告顯示的完整流程。上方大型廣告格式包括圖片及影片，且需要呼叫多個伺服器，包括不支援預渲染的伺服器，只能預先處理「廣告請求處理」階段。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/yhads1.jpg" style="width: 800px;" /></p> <blockquote><p>點擊「閱讀全文」（紅色框）連結後，文章頁面會重新整理並顯示出來新文章內容及廣告內容（紫色框）。第二次實驗中，廣告內容也會被預渲染。</p> </blockquote> <p>實驗結果，下方小型廣告，從原本平均3秒顯示時間縮短至僅0.3至0.5秒。上方大型廣告顯示時間，則從原本平均4秒降至約1.6秒。命中率方面，Moderate規則的效果達到44%，而Immediate規則的效果也提升至31%，相較於前一輪的15%已有顯著進步。</p> <p>他們發現，並非所有廣告類型都出現業務指標提升。下方小型廣告雖然顯示加速，但業務指標並無變化。上方廣告中，僅支援影片格式的版本，在Immediate規則下，出現具統計意義的2至3%點擊率（CTR）增幅。以CTR通常只有個位數的新聞展示型廣告而言，幅度不小。</p> <p>日本Yahoo新聞工程師Kiraku Tomoki表示，儘管先前提升網站效能時，都能為廣告收入帶來效益，不過在大規模導入新的網站效能提升法時，工程團隊仍謹慎透過兩輪A/B實驗，來找出確實能帶來廣告收入的預渲染模式。這次實驗中，他們意識到單純提升顯示速度，未必會提升使用者與廣告互動的行為。內容類型、廣告版位與視覺設計等因素，可能同樣甚至更為關鍵。他們推測，預渲染影片廣告之所以有效，可能為使用者帶來更強烈的感官體驗，進而帶動更多點擊行為。他們也透過實驗鎖定了這個能帶來收入的模式，並計畫正式導入影片廣告預渲染做法。</p> <p></p> </div></div></div>
2025/7/8 10:46作者郭又華https://www.ithome.com.tw/news/169930
溫布頓網球賽AI線審頻出包備受批評
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>溫布頓（Wimbledon）網球錦標賽本次正式使用的AI線審，出現誤判或比賽中無法運作等問題遭多位選手批評。</p> <p>今年溫布頓網球賽首次啟用AI線審（ Electronic Line Calling，ELC）周一發生嚴重失誤。這個系統旨在完全取代人類線審判斷擊球是否出界並且發出聲音。但女單第四輪俄羅斯選手Anastasia Pavlyuchenkova對戰英國選手Sonay Kartal，在第一盤比賽打到4:4並且在Advanced時，Kartal的擊球明顯出界ELC系統卻沒有發出任何判決。主審立即喊停比賽，最後在與大會通過電話後向大會宣布，ELC系統未能追蹤到球，必須重打。最後英國選手拿下該局。雖然俄羅斯選手最終贏得比賽，<a href="https://www.dailymail.co.uk/sport/tennis/article-14883133/Wimbledon-electronic-line-errors-Sonay-Kartal.html" target="_blank">但她當時指控該局「遭大會偷走」</a>。</p> <p>原因是當時ELC使用的一組攝影鏡頭被工作人員不慎關閉。<a href="https://www.theguardian.com/sport/2025/jul/07/one-click-operator-error-led-to-wimbledon-line-calling-failure" target="_blank">媒體報導</a>，AI系統在該場比賽中停止運作6分49秒，漏判了3顆出界球。</p> <p>大會在周一緊急修正，使ELC攝影機無法在系統啟用時人為關閉。</p> <p>不過這並不是這次大會中AI線審首次出包。在此之前，<a href="https://www.theguardian.com/sport/2025/jul/07/player-faith-in-technology-shaken-by-storm-around-ai-line-calling-at-wimbledon" target="_blank">另兩名英國選手Emma Raducanu和Jack Draper也都在大會中聲稱，ELC系統沒有正確判決對手擊球出界</a>。</p> <p>而美國選手Ben Shelton則是在上周第二輪快打完時，被大會通知因為天色太暗會影響ELC判讀，剩下的一局必須隔日接續，隔日他僅花了1分10秒就結束比賽。本次大會許多其他場比賽都被迫拆成兩天完成。</p> <p>雖然飽受選手批評，但舉辦溫布頓公開賽的全英俱樂部仍然堅持繼續使用AI線審ELC。目前四大公開賽中，僅剩法網未使用俗稱鷹眼的電子線審系統。</p> </div></div></div>
2025/7/8 09:54作者林妍溱https://www.ithome.com.tw/news/169931
Next.js修補快取污染漏洞，防止靜態頁面DoS攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Next.js釋出安全更新，修正影響15.1.0至15.1.7版本的快取污染漏洞<a href="https://vercel.com/changelog/cve-2025-49826">CVE-2025-49826</a>，以防範攻擊者利用該漏洞造成靜態頁面阻斷服務（DoS）問題。該漏洞風險評等為高，CVSS 3.1基本分數則為7.5，主要威脅在於特定配置下，網站頁面可能無預警對所有用戶出現204空回應，導致正常存取服務中斷。</p> <p>此次漏洞發生在Next.js的增量式靜態再生成（ISR）啟用快取重驗證機制，並結合伺服器端算繪（SSR）路徑時，當外部CDN又快取HTTP 204回應，便會出現問題。官方指出，在極少數特定條件下，受影響的Next.js版本可能會將204無內容的回應錯誤地快取，導致同一路徑的所有用戶請求都只收到204回應。如此部分生產環境中的靜態頁面就會長時間無法正常顯示，嚴重影響服務的可用性。</p> <p>根據官方說明，這個漏洞僅會在同時符合幾個特定條件時才會被觸發，包括使用受影響的Next.js版本、路徑啟用ISR快取重驗證，並以Next start或Standalone模式運作，以及該路徑同時使用SSR並且CDN被設定為快取204回應。</p> <p>Vercel官方公告指出，他們的架構設計不會讓204回應被CDN快取，因此所有在Vercel託管的用戶都不會受到這個漏洞影響。採用自建或其他非官方託管環境的開發者，則需特別注意相關設定與版本更新。</p> <p>針對此次漏洞，Next.js團隊已於15.1.8版本移除相關問題程式碼路徑，並針對導致競態條件（Race Condition）可能造成快取污染的部分進行修正。該漏洞未影響資料機密性與完整性，僅會造成可用性中斷，不過採用受影響版本的用戶仍應儘速升級，以降低相關潛在風險。</p> </div></div></div>
2025/7/7 19:22作者李建興https://www.ithome.com.tw/news/169927
【資安日報】7月7日，Linux命令列工具Sudo修補兩項權限提升漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這週末有數則漏洞修補的消息，其中尤以Sudo發布新版的消息相當值得留意，開發團隊這次一共修補兩項漏洞，但特別的是，其中一項危險程度僅有2.3分的低風險漏洞引發關注，因為從12年前發布的版本都受到影響，而有可能影響相當廣泛。</p> <p>而在這段期間發生的資安事故當中，Apache Tomcat、Camel漏洞利用的攻擊活動相當值得留意，再者，由於先前有<a href="https://www.ithome.com.tw/news/169883">Verizon、T-Mobile資料外洩事故</a>，西班牙電信業者Telefonica傳出資料外洩的情況，也引起關注；附帶一提的是，中國駭客仿冒知名品牌網站，試圖針對墨西哥用戶進行大規模網釣攻擊的現象，其手法也引起網路情報平臺Silent Push注意，並調查此事。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169918"><strong style="font-size: 22px;">Apache Tomcat、Camel遭到鎖定，駭客利用已知漏洞從事攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/tomcat-camel-chart.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/tomcat-camel-chart.png" style="width: 300px; float: right;" /></a></p> <p>今年3月，Apache基金會發布Java應用程式伺服器Tomcat、中介軟體Camel的資安公告，揭露Tomcat遠端程式碼執行（RCE）暨資訊洩露漏洞CVE-2025-24813（CVSS風險為9.8分），以及Camel遠端程式碼執行漏洞CVE-2025-27636與CVE-2025-29891（風險值5.6、4.8），同月下旬資安業者Wallarm警告，CVE-2025-24813被公開30個小時後，就出現概念驗證程式碼（PoC），很快就會出現實際攻擊，如今有其他資安業者證實這樣的現象成真。</p> <p>最近有一份調查報告揭露上述3項漏洞遭到利用的跡象，指出在Apache基金會發布修補程式、研究人員公開概念驗證程式碼不久，就出現大規模的漏洞掃描，駭客試圖尋找存在漏洞的Tomcat與Camel主機下手。</p> <p>揭露此事的資安業者Palo Alto Networks指出，他們在3月份一共攔截125,856次相關的探測、掃描，或是嘗試利用漏洞的行為。這些攻擊活動來自超過70個國家，在3月中旬這些漏洞公開後就隨即大幅增加，並在一週之後達到高峰。對此，他們呼籲IT人員，要儘速套用更新程式。</p> <p><a href="https://www.ithome.com.tw/news/169923"><strong style="font-size: 22px;">西班牙電信業者Telefonica傳資料外洩，駭客揚言公開106 GB檔案</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Telefonica_2_6GB_leak.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Telefonica_2_6GB_leak.jpg" style="width: 300px; float: right;" /></a></p> <p>根據資安新聞網站BleepingComputer報導，有人在地下網站公佈了取得了Telefonica公司檔案及客戶資料，檔案大小高達106 GB，還揚言若不理會將全數公開。</p> <p>這名代號Rey的駭客自稱是Hellcat勒索軟體的一員，該組織在5月底成功駭入Telefonica公司網路進行活動，並外傳資料了12小時之久，直到被切斷存取為止。Rey告訴媒體，他們是利用Jira配置不當的問題，成功存取了這家電信公司的內部系統。最後，駭客一共取得了106.3 GB超過38萬份檔案，內容涵括內部通訊如工單、電子郵件、採購單、內部系統記錄、客戶資料和員工資訊等。</p> <p>媒體在6月初多次聯繫Telefonica多個部門、公司高層，但都沒有接獲回應，唯一回應的Telefonica O2員工則透露，這批是駭客以前外洩的資料。</p> <p><a href="https://www.ithome.com.tw/news/169896"><strong style="font-size: 22px;">中國駭客冒充知名品牌，企圖竊取消費者付款資訊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/mexi-fake-image-7-josabank-spoof.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/mexi-fake-image-7-josabank-spoof.png" style="width: 300px; float: right;" /></a></p> <p>網路情報平臺Silent Push日前披露，中國駭客正在仿冒墨西哥的各種熱門品牌，並建置基於英文及西班牙文的釣魚網站，以騙取消費者的Google Pay或是信用卡資訊，迄今仍有數千個釣魚網站存活。</p> <p>一名墨西哥記者Ignacio Gómez Villaseñor先是在今年5月底發現並報導此事，當時他找到了逾700個偽裝成各種品牌的網釣網站，而且它們都來自同一個IP。</p> <p>Silent Push接著對此展開了調查，發現駭客冒充的對象涵蓋Apple、Harbor Freight Tools、Hermes、Michael Kors、REI、PayPal、Wayfair及Wrangler Jeans等知名品牌，使用以假亂真的網址，通常只是小小的拼寫錯誤，但盜用了官網的圖片與設計，企圖誘拐消費者購買並輸入信用卡資訊。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.fortinet.com/blog/threat-research/rondobox-unveiled-breaking-down-a-botnet-threat">殭屍網路RondoDox鎖定TBK旗下設備而來，利用已知漏洞綁架DVR裝置</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://Scattered Spider Enhances Tactics to Exploit Legitimate Tools for Evasion and Persistence">Scattered Spider濫用多種遠端管理工具試圖回避偵測、持續在受害組織活動</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/snake-keyloggers-exploit-java-utilities/">竊資軟體Snake Keyloggers濫用Java公用程式躲過資安工具偵測</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/hackers-abuse-legitimate-inno-setup-installer/">Inno Setup軟體安裝工具被濫用，駭客用來打包、散布惡意軟體</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/hunters-international-ransomware-shuts-down-after-world-leaks-rebrand/">勒索軟體Hunters International關閉業務，釋出解密金鑰</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169928"><strong style="font-size: 22px;">Linux命令列工具Sudo存在權限提升漏洞，若不處理攻擊者可輕易得到root權限</strong></a></p> <p>Linux用戶對於權限提升的命令列工具Sudo應該不陌生，此工具能允許通過授權的用戶以其他使用者身分執行命令，其中最常見的使用場景，就是用來執行需要root的權限工作，使用者能在無須存取root帳號的情況下達到目的，並留下系統事件記錄以供稽核，一旦這類工具存在弱點，很有可能成為攻擊者取得特殊權限的管道。</p> <p>6月底Sudo開發團隊發布1.9.17p1版，修補本機權限提升漏洞CVE-2025-32462、CVE-2025-32463，其中一個影響範圍超過12年版本的Sudo；另一個則是危險程度達到重大層級，相當危險。通報上述漏洞的資安業者Stratascale強調，目前沒有緩解這些弱點的措施，用戶應儘速安裝新版Sudo因應。</p> <p>根據CVSS風險評分，較為危險的是評為重大層級的CVE-2025-32463，這項弱點與Sudo的-R（或--chroot）選項有關，一旦遭到利用，攻擊者就能以root身分執行任意命令，CVSS風險達到9.3分，影響1.9.14以上版本的Sudo。另一項是風險值僅有2.3分，但已存在超過12年的資安漏洞CVE-2025-32462，此漏洞也同樣不能輕忽，原因是Sudo的組態檔案只要符合指定的條件，攻擊者無須手動觸發，就能將權限提升為root。</p> <p><a href="https://www.ithome.com.tw/news/169854"><strong style="font-size: 22px;">已終止支援的D-Link DIR-816路由器含有遠端攻擊等多個重大漏洞</strong></a></p> <p>代號為pjqwudi的資安研究人員在今年6月初提交6個有關D-Link DIR-816路由器的安全漏洞，相關漏洞將允許駭客自遠端完全控制路由器，或者部署持久性的後門程式，由於該款路由器已於2023年11月便退役，也不再提供技術支援或韌體更新，D-Link強烈建議用戶停用該產品。</p> <p>上個月披露的6個D-Link DIR-816漏洞分別是CVE-2025-5622、CVE-2025-5623、CVE-2025-5624、CVE-2025-5630、CVE-2025-5620及CVE-2025-5621，除了命令注入漏洞CVE-2025-5620與CVE-2025-5621被列為高風險層級，另外4個皆為重大層級的緩衝區溢位漏洞，允許駭客自遠端執行任意程式、癱瘓設備、植入惡意韌體或是變更設定。</p> <p>資安研究人員警告，上述漏洞將讓駭客可完全掌控路由器，攔截與操縱網路流量，部署惡意軟體或後門程式。</p> <p><a href="https://www.ithome.com.tw/news/169873"><strong style="font-size: 22px;">德國資安業者揭露達發科技藍牙晶片漏洞，近30款音訊設備恐遭監聽</strong></a></p> <p>德國資安業者ERNW在Troppers資安會議上揭露，由聯發科子公司達發科技（Airoha）所設計的藍牙音訊系統單晶片（SoC）中含有3個安全漏洞，將允許駭客控制採用該晶片的裝置，像是耳機、喇叭或無線麥克風等，波及Bose、Sony、Jabra、JBL與Marshall等知名品牌的音訊裝置。Airoha已於今年6月初藉由更新SDK修補了相關漏洞。</p> <p>研究人員Dennis Heinze與Frieder Steinmetz解釋，這些採用Airoha解決方案的裝置曝露強大的專屬通訊協定，允許第三方讀寫隨機存取記憶體或快閃記憶體以控制裝置（CVE-2025-20702），且該協定在沒有身分驗證的情況下，就能透過低功耗藍牙的GATT介面（CVE-2025-20700），以及傳統藍牙的RFCOMM通道（CVE-2025-20701）存取。</p> <p>上述漏洞讓駭客只要位在藍牙範圍內，不必經過身分驗證或配對，就能透過傳統藍牙或低功耗藍牙展開攻擊，包括完全控制藍牙耳機，讀寫裝置的記憶體，或是劫持受害裝置與其它裝置的信任關係，進行竊聽，竊取手機號碼與通訊紀錄，也能根據手機配置以獲取聯絡人資訊，還具備蠕蟲式傳播潛力。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169866"><strong style="font-size: 22px;">防止CrowdStrike事件重演，微軟疑不再讓第三方防毒軟體存取Windows核心</strong></a></p> <p>為防去年CrowdStrike事故造成數百萬臺Windows裝置停擺事件重演，微軟最新合作夥伴計畫顯示，可能不再讓第三方防毒軟體存取Windows核心。</p> <p>微軟近期宣布Microsoft Virus Initiative（MVI）計畫3.0版，勾勒出最新規畫。MVI是在去年七月CrowdStrike更新出包，引發超過850萬臺Windows個人電腦與伺服器當機而生。CrowdStrike事件後，微軟於同年九月召集防毒及端點安全方案業者，發起MVI以提升Windows韌性，並釐清彼此責任。</p> <p>目前MVI已進入3.0。最新一代要求合作夥伴「採取特定行動」以改善Windows安全及穩定性。現有成果包括要求防毒軟體更新必須漸進式，並監控可能的不良影響、測試事件回應流程等。科技新聞媒體Ars Technica、Cybernews認為，此舉很有可能是微軟想將第三方防毒踢出Windows核心。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169894"><strong>【7月4日】多款IDE開發工具選用延伸套件要當心，此類元件的檢驗機制存在可乘之機</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169878"><strong>【7月3日】全支付測試環境帳密驚傳遭駭客兜售</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169852"><strong>【7月2日】美國電信業者AT&T祭出新措施防堵SIM卡置換攻擊</strong></a></p> </div></div></div>
2025/7/7 16:54作者周峻佑https://www.ithome.com.tw/news/169929
Linux命令列工具Sudo存在權限提升漏洞，若不處理攻擊者可輕易得到root權限
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Linux用戶對於權限提升的命令列工具Sudo應該不陌生，此工具能允許通過授權的用戶以其他使用者身分執行命令，其中最常見的使用場景，就是用來執行需要root的權限工作，使用者能在無須存取root帳號的情況下達到目的，並留下系統事件記錄以供稽核，一旦這類工具存在弱點，很有可能成為攻擊者取得特殊權限的管道。</p> <p>6月底Sudo開發團隊發布1.9.17p1版，修補本機權限提升漏洞<a href="https://www.sudo.ws/security/advisories/host_any/">CVE-2025-32462</a>、<a href="https://www.sudo.ws/security/advisories/chroot_bug/">CVE-2025-32463</a>，其中一個影響範圍超過12年版本的Sudo；另一個則是危險程度達到重大層級，相當危險。通報此事的資安業者Stratascale強調，這些漏洞沒有其他替代緩解措施，用戶應儘速安裝新版Sudo因應。</p> <p>根據CVSS風險評分，較為危險的是評為重大層級的CVE-2025-32463，這項弱點與Sudo的-R（或--chroot）選項有關，一旦遭到利用，攻擊者就能以root身分執行任意命令，CVSS風險達到9.3分，影響1.9.14以上版本的Sudo。</p> <p>這項漏洞源自1.9.14版Sudo引入的路徑解析變更，一旦攻擊者在特定使用者的根目錄建立/etc/nsswitch.conf檔案，就有機會讓Sudo載入任意的共用程式庫。</p> <p>針對漏洞的危險之處，<a href="https://www.stratascale.com/vulnerability-alert-CVE-2025-32463-sudo-chroot">Stratascale指出</a>雖然這項弱點涉及chroot的功能，但由於不需使用者建立特定的規則，預設組態的Sudo就會曝險，若是遭到利用，攻擊者就能在取得任意本機使用者帳號的情況下，將權限提升為root。他們也確認Ubuntu 24.04.1、伺服器版Fedora 41預載的Sudo存在這項漏洞；1.8.32版以下的Sudo因尚未提供chroot功能，不受漏洞影響。</p> <p>另一項是風險值僅有2.3分，但已存在超過12年的資安漏洞CVE-2025-32462。這項漏洞存在於Sudo的host（-h或--host）選項當中，一般來說，使用者通常會搭配list（-l或--list）的選項，列出使用者在特定主機上的Sudo權限。</p> <p>這項弱點發生的原因為何？起因在於Sudo會將主機名稱錯誤地視為設定檔Sudoers規則的部分內容，使得此組態檔案只要host欄位只要不是設置為本機或是ALL，就會受到影響。這種弱點主要影響套用通用Sudoers檔案的區域網路電腦。</p> <p>值得留意的是，該漏洞影響2013年8月發布的1.8.8版，意味著這12年推出的Sudo都有這項漏洞。雖然這項漏洞的僅被評為低風險，但<a href="https://www.stratascale.com/vulnerability-alert-CVE-2025-32462-sudo-host">Stratascale認為不能輕忽</a>，原因是Sudo的組態檔案只要符合指定的條件，攻擊者無須手動觸發就能將權限提升為root。他們也在Ubuntu 24.04.1、macOS Sequoia 15.3.2等作業系統上，確認存在這項弱點。</p> </div></div></div>
2025/7/7 16:42作者周峻佑https://www.ithome.com.tw/news/169928
Apache Tomcat、Camel遭到鎖定，駭客利用已知漏洞從事攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年3月，Apache基金會發布Java應用程式伺服器Tomcat、中介軟體Camel的資安公告，揭<a href="http://lists.apache.org/thread/j5fkjv2k477os90nczf2v9l61fb0kkgq">露Tomcat遠端程式碼執行（RCE）暨資訊洩露漏洞CVE-2025-24813</a>（CVSS風險為9.8分），以及Camel遠端程式碼執行漏洞<a href="https://camel.apache.org/security/CVE-2025-27636.html">CVE-2025-27636</a>與<a href="https://camel.apache.org/security/CVE-2025-29891.html">CVE-2025-29891</a>（風險值5.6、4.8），同月下旬<a href="https://www.ithome.com.tw/news/167913">資安業者Wallarm警告</a>，CVE-2025-24813被公開30個小時後，就出現概念驗證程式碼（PoC），很快就會出現實際攻擊，如今有其他資安業者證實這樣的現象成真。</p> <p>最近有一份調查報告<a href="https://unit42.paloaltonetworks.com/apache-cve-2025-24813-cve-2025-27636-cve-2025-29891/">揭露上述3項漏洞遭到利用的跡象</a>，指出在Apache基金會發布修補程式、研究人員公開概念驗證程式碼不久，就出現大規模的漏洞掃描，駭客試圖尋找存在漏洞的Tomcat與Camel主機下手。</p> <p>揭露此事的資安業者Palo Alto Networks指出，他們在3月份一共攔截125,856次相關的探測、掃描，或是嘗試利用漏洞的行為。這些攻擊活動來自超過70個國家，在3月中旬這些漏洞公開後就隨即大幅增加，並在一週之後達到高峰。對此，他們呼籲IT人員，要儘速套用更新程式。</p> <p>根據Palo Alto Networks這次發表的報告，CVE-2025-24813的成因與Tomcat提供的Partial PUT功能有關，一旦攻擊者成功利用，就有機會覆寫存放在磁碟上的序列化連線階段（Session）檔案，從而執行任意程式碼。這項漏洞形成的必要條件，就是Tomcat設置為存放HTTP連線階段資料，使得攻擊者能利用帶有Content-Range的標頭，引發Tomcat處理Partial PUT請求不當的現象。根據截取到攻擊者實際使用的有效酬載呈現的漏洞利用手法，Palo Alto Networks發現，攻擊者先發出HTTP PUT請求試圖利用漏洞，目的是偵察目標伺服器是否執行有弱點的Tomcat，假如利用成功，就有可能存取界外應用程式安全測試（Out-of-Band Application Security Testing，OAST）伺服器。</p> <p>針對CVE-2025-27636與CVE-2025-29891的部分，這兩個弱點都存在於Camel的預設傳入標頭過濾器，使得攻擊者有機會透過特製的HTTP標頭或參數觸發。Apache基金會在資安公告提及，這些漏洞發生的根本原因相同，他們也使用相同的程式碼進行修正，攻擊者能夠利用漏洞的必要條件，就是Camel路由採用了特定元件。而Palo Alto Networks也在調查報告提出類似看法，指出攻擊者若是調整標頭的大小寫，就有機會繞過Camel的過濾器，從而利用漏洞。在其中一起利用CVE-2025-27636的攻擊行動裡，一旦成功觸發，Camel伺服器就執行echo命令；而在另一起嘗試利用CVE-2025-29891的活動當中，攻擊者疑似想要藉此連往存在弱點的Tomcat伺服器，並與OAST伺服器進行連線。</p> </div></div></div>
2025/7/7 12:54作者周峻佑https://www.ithome.com.tw/news/169918
西班牙電信業者Telefonica傳資料外洩，駭客揚言公開106 GB檔案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bleepingcomputer.com/news/security/hacker-leaks-telef-nica-data-allegedly-stolen-in-a-new-breach/" target="_blank">BleepingComputer報導</a>，一名駭客在地下網站公佈了取得了Telefonica公司檔案及客戶資料高達106GB，還揚言全數公開。</p> <p>這名代號Rey的駭客自稱是Hellcat勒索軟體的一員，該組織在5月底成功駭入Telefonica公司網路並活動並外傳資料了12小時之久，直到被切斷存取為止。</p> <p>Rey告訴媒體，他們是利用Jira配置不當的問題，成功存取了這家電信公司的內部系統。最後，駭客一共取得了106.3GB超過38萬份檔案，內容涵括內部通訊如工單、電子郵件、採購單、內部系統紀錄、客戶資料和員工資訊等。</p> <p>媒體在6月初多次聯繫Telefonica多個部門、公司高層，但都沒有接獲回應，唯一回應的Telefonica O2員工則說，是駭客以早前外洩的資料為幌子勒索公司。</p> <p>不知因為遭到Telefonica拒絕聯繫，這名Rey於上周釋出了5GB的公司資料，以證明這106GB資料皆為新資料。根據分析，駭客提供給媒體的部份資料包含歐洲數國、智利、祕魯的企業客戶資料，以及歐洲及南非數國的員工郵件信件，以及歐洲商業夥伴的發票。但這些檔案皆為2021年的資料。</p> <p>但駭客揚言，很快將公佈完整檔案樹，而且，若Telefonica還不照辦（付款），他會在接下來幾個星期釋出完整資料。</p> <p>Telefonica是最近傳出洩露大量資料的電信公司。上周<a href="https://www.ithome.com.tw/news/169883" target="_blank">美國二大電信公司Verizon、T-Mobile</a>也被傳上億筆資料落入駭客手中，不過兩公司矢口否認是新的資安事件。<a href="https://www.ithome.com.tw/news/169076" target="_blank">5月韓國電信SKT</a>則承認一起網路攻擊行動影響2700萬門號。2024年底資安廠商揭露中國駭客組織Salt Typhoon，透過思科網路設備漏洞，入侵了至少9家美國電信業者，<a href="https://www.ithome.com.tw/news/169688" target="_blank">加拿大一家電信公司則在上個月成為該組織最新一家受害者</a>。</p> </div></div></div>
2025/7/7 16:11作者林妍溱https://www.ithome.com.tw/news/169923
【資安週報】0630~0704，調查局破獲消防局行動派遣系統資訊遭竊，殯葬業者委託駭客攻擊，目的是搶生意
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>回顧2025年7月初的資安新聞，臺灣有兩起重大新聞事件受矚目，包括消防救護領域有即時資訊遭竊，以及金融支付領域有全支付UAT測試環境帳密外洩情形。</p> <p>（一）調查局偵破消防局救護資訊遭竊案，全臺21縣市的行動派遣等緊急救護系統受影響，發現每年非法連線超過三千萬次。調查發現，喪葬業者委託潘姓男子入侵系統，非法取得派遣與出勤資訊，行為已持續逾四年。經檢察官複訊後，業者與工程師均涉犯刑法妨害電腦使用罪。<br /> （二）全支付Pxpay Plus測試環境的管理帳密被發現兜售於深網（Deep Web），該公司表示已掌握此事，確實有測試環境帳密外洩情資，經深入分析非內部系統遭駭，而是少數合作商戶遭駭客入侵，從其商戶的個人電腦取得登入資訊所導致。</p> <p>還有3起威脅與風險揭露，同樣值得臺灣留意，涵蓋網釣攻擊、鎖定Exchange伺服器的攻擊，以及國安局依據《行動應用APP基本資安檢測基準v4.0》抽查5款中國App的結果公開。<br /> ●資安業者Seqrite揭露國家級APT攻擊活動Swan Vector正鎖定臺灣、日本，藉由假的履歷表、財務文件名義網釣，鎖定教育與機械工程產業。<br /> ●資安業者Positive Technologies揭露有駭客鎖定Exchange伺服器注入鍵盤內容側錄工具（Keylogger），越南、俄羅斯與臺灣是前3大攻擊目標。<br /> ●國安局針對5款中國App進行抽查，依據15項指標檢測，發現小紅書每一項都違規，微博、抖音則有13項違規、微信為10項、百度雲盤為9項。</p> <p>在威脅態勢方面，國際間有一連串重大消息是：多家航空業運輸業發布資安事故公告，包括夏威夷航空、西捷航空與澳洲航空。</p> <p>更引發關注的是，這些事件可能都與駭客團體Scattered Spider有關，該組織擅長網釣、憑證竊取、語音網釣、SIM swapping、簡訊網釣，美國FBI已於6月30日於社群平臺X示警，指出該組織正將攻擊目標轉向航空與運輸業，手法是經常假冒員工或承包商誘騙企業IT支援服務臺（IT Help Desk），騙取內部系統存取權限。</p> <p>其他重要資安威脅態勢與事件，其中多款IDE延伸套件檢驗機制的問題最值得留意，需要開發人員重視。</p> <p>●資安業者OX發現常用IDE工具的IDE延伸套件檢驗機制存在瑕疵，影響範圍涵蓋Visual Studio Code、Visual Studio、IntelliJ IDEA、Cursor，導致攻擊者可讓惡意套件顯示「已通過驗證」徽章，欺騙開發人員。<br /> ●法國網路安全局（ANSSI）發布調查報告，指出中國駭客UNC5174自去年9月初開始，對當地的政府、電信、媒體、金融、交通產業發起攻擊行動Houken，主要利用Ivanti漏洞入侵。<br /> ●瑞士政府揭露資料外洩事件，起因是受非營利組織Radix遭勒索軟體攻擊波及。</p> <p>此外，還有3篇我們針對OTP盜刷網釣的報導，其最新態勢顯示同步竊取OTP的手法已經氾濫，且盜刷領域的網釣即服務（PhaaS）數量大增，因此支付與電商產業需採強式身分驗證機制，強化裝置指紋識別技術，持續發展AI/ML詐欺偵測模型。</p> <p>在漏洞消息方面，有一個零時差漏洞攻擊的事件，Google針對Chrome修補V8 JavaScript引擎的類型混淆CVE-2025-6554，已獲報有鎖定利用情形。還有兩個已知漏洞新遭鎖定，今年5月安全通訊解決方案廠商TeleMessage TM SGNL的漏洞CVE-2025-48927、CVE-2025-48928證實已遭利用。</p> <p>至於資安防禦與合規方面，有兩則重要新聞，在國際間，AT&T為了防堵SIM卡置換攻擊，推出可讓用戶啟用Wireless Account Lock的新機制，促使未來電信門號進行重要變更的程序時，需強制採取額外的步驟進行驗證；在國內，臉書廣告服務管理系統出包，又有23件廣告未即時揭露託播者訊息，遭數發部開罰1,500萬元。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/169807"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月30日】微軟Exchange伺服器遭大規模攻擊鎖定，臺灣是前三大目標</span></strong></a></h3> <p>近期鎖定微軟Exchange伺服器的攻擊行動再度出現，值得留意的是，揭露此事的資安業者Positive Technologies表示，臺灣是駭客攻擊的主要目標，受害規模僅次於越南、俄羅斯。</p> <p>鎖定MFT檔案傳輸系統MOVEit、Citrix NetScaler已知漏洞的攻擊行動，以及惡名昭彰的Scattered Spider針對航空產業而來，都相當值得留意，在法規遵循方面的消息，國內數發部對Meta二度開罰、德國要求蘋果與Google下架DeepSeek行動裝置App的情況，後續發展值得留意。</p> <h3><a href="https://www.ithome.com.tw/news/169833"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月1日】逾1,200臺Citrix NetScaler設備尚未修補CitrixBleed 2</span></strong></a></h3> <p>6月下旬Citrix先後修補CitrixBleed 2（CVE-2025-5777）、CVE-2025-6543，並表明CVE-2025-6543已出現實際利用的情況，然而CitrixBleed 2也相當危險，輕忽不得！Shadowserver基金會指出，有超過1,200臺NetScaler設備尚未修補這項漏洞，值得留意的是，這樣的數字並不包含企業設置於內部網路環境、未與網際網路連線的NetScaler設備，因此實際曝險範圍可能遠大於此。</p> <p>在其他資安事故方面，有兩起網釣攻擊值得留意，其中，鎖定臺灣、日本的APT攻擊Swan Vector，駭客利用履歷表與財務文件當作誘餌引人上當；另一起則是針對使用簡體中文的用戶而來，中國駭客組織Silver Fox假借提供DeepSeek、WPS Office、搜狗輸入法等安裝程式，來散布惡意軟體。</p> <p><a href="https://www.ithome.com.tw/news/169852"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月2日】美國電信業者AT&T祭出新措施防堵SIM卡置換攻擊</span></strong></a></p> <p>因應SIM卡置換（SIM Swapping）攻擊氾濫的現象，首度有大型美國電信業者祭出新的防護機制，而受到各界關注，這項服務免費提供，用戶必須在手機App當中啟用，才能受到保護。</p> <p>今天我們也整理多起資安事故與弱點相關消息，有兩件是關於網路攻擊，像是：瑞士政府機關因非營利組織Radix遭勒索軟體攻擊而導致資料外洩的情況、駭客以更隱密的手法濫用組態不當的Docker API從事挖礦攻擊，另外兩起是資安漏洞方面的狀況，例如：美國CISA證實Citrix NetScaler重大漏洞CVE-2025-6543已被用於實際攻擊、Google修補已遭利用的零時差漏洞CVE-2025-6554，也相當值得留意。</p> <h3><a href="https://www.ithome.com.tw/news/169878"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月3日】全支付測試環境帳密驚傳遭駭客兜售</span></strong></a></h3> <p>本日國內最受到關注的資安新聞，應該就屬電子支付平臺全支付（Pxpay Plus）傳出測試平臺的後臺管理員（Admin）帳號密碼遭外洩，察覺此事的資安專家指出，由於測試與正式環境共用商業邏輯與金流驗證機制，有可能會波及正式環境。</p> <p>在上述的資安事故之餘，中國應用程式過度收集用戶個資並傳送到中國的情況，也相當值得留意，本週國安局認證5款熱門中國App存在嚴重資安風險，呼籲民眾挑選應用程式要特別小心；而在今天發生的國際資安事故當中，我們整理了澳洲航空Qantas傳出遭到Scattered Spider攻擊，再者，法國揭露去年中國駭客UNC5174利用Ivanti CSA設備零時差漏洞入侵當地企業組織的情形。</p> <h3><a href="https://www.ithome.com.tw/news/169894"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月4日】多款IDE開發工具選用延伸套件要當心，此類元件的檢驗機制存在可乘之機</span></strong></a></h3> <p>最近幾年鎖定開發人員而來的惡意套件攻擊相當氾濫，這些攻擊的範圍相當廣，涵蓋NPM、PyPI，以及Visual Studio Code（VSCode）等，多半都是上架市集引誘開發者上當，但最近資安業者OX發現，IDE對於延伸套件驗證機制存在缺陷，攻擊者可製作顯示已通過驗證（Verified）的套件，目的是誘騙開發者上當。</p> <p>而在今天的資安新聞，有數則與臺灣有關的消息，首先針對近日有人兜售全支付測試環境帳密資料的情況，我們獨家採訪該公司並取得回應，他們也進一步透露掌握的情況及調查結果；再者，有數家殯葬業者為了搶生意，竟找駭客來監聽消防救護系統，相當不可取；數發部警告有歹徒假冒買家、客服、第三方支付網站的情況，消費者須提高警覺。</p> <p> </p> </div></div></div>
2025/7/7 09:51作者羅正漢https://www.ithome.com.tw/news/169914
傳出版商向歐盟控訴Google推AI Overviews影響生機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.reuters.com/legal/litigation/googles-ai-overviews-hit-by-eu-antitrust-complaint-independent-publishers-2025-07-04/" target="_blank">路透社報導</a>，一群出版商日前向歐盟及英國主管機關控告Google的AI Overviews功能已影響其營收方式，要求主管機關出手禁止。</p> <p>根據媒體看到的6月30日遞交的文件，獨立出版商聯盟（Independent Publisher Alliance）控訴Google濫用了搜尋獨大地位，以出版商內容為基礎生成了AI內容，還置於優先位置，已經以流量、讀者群及營收損失的形式對出版商造成傷害，且傷害仍在持續。</p> <p>AI Overviews是Google以Gemini為基礎，這項功能在用戶搜尋關鍵字時，將網頁內容搜尋結果整理成摘要內容顯示在搜尋頁上方，讓用戶不必點進網頁也能得到答案。AI Overviews已在全球100多國推出，Google也計畫在AI Overviews加入廣告。</p> <p>獨立出版商聯盟說，他們除非退出Google搜尋引擎索引，否則就得被迫加入Google AI訓練或AI摘要的對象。出版商也要求主管機關在審案期間發出禁制令，阻止Google造成無法回復的傷害。</p> <p>Google對路透社表示，AI Overviews大幅提升使用者體驗，並為內容出版商創造接觸到用戶的新機會。</p> <p>歐盟拒絕評論報導，不過英國競爭與市場管理署（Competition and Markets Authority）則證實已接收到陳情文件。<a href="https://pressgazette.co.uk/platforms/cma-to-force-google-to-work-more-fairly-with-uk-publishers/" target="_blank">媒體報導</a>，英國CMA於6月底表示計畫指定Google為該國《2024數位市場、競爭和消費者法案》定義的具有「策略市場地位」的科技平臺，這表示CMA可要求Google以公平而合理原則和新聞出版商交易。</p> <p>出版商對AI大廠的不滿並非從AI Overviews才開始，更早的聊天機器人就已引發網路內容出版商抗議，並提出多起訴訟。CDN業者Cloudflare公布的一項研究，Google AI聊天機器人的出現，使出版商達到過去的流量的難度增加10倍。若是OpenAI ChatGPT或Anthropic Claude則要達到750及30,000倍。</p> <p>為此<a href="https://www.ithome.com.tw/news/169844" target="_blank">Cloudflare介紹</a>一種新商業模式，讓AI業者付錢換取內容網站准許AI爬蟲擷取網頁。</p> </div></div></div>
2025/7/7 11:42作者林妍溱https://www.ithome.com.tw/news/169917
聯想電腦預載可寫入資料的檔案，可能被用於突破Windows AppLocker安全防護
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://oddvar.moe/2025/07/03/applocker-bypass-on-lenovo-machines-the-curious-case-of-mfgstat-zip/" target="_blank">資安廠商發現</a>聯想（Lenovo）電腦中一個預載檔案被可寫入資料，可能破壞Windows 的AppLocker提供的安全防護。</p> <p>本問題是由資安顧問公司TrustedSec研究人員Oddvar Moe發現，問題檔案是聯想電腦預載於其Windows映像檔、位於C:\Windows目錄下的mfgstat.zip。檢視其存取控制表可以發現，一個經授權的使用者具有完整權限，可修改、讀、寫與執行檔案。這就抵觸了微軟透過Windows AppLocker提供的防護。</p> <p><a href="https://learn.microsoft.com/zh-tw/windows/security/application-security/application-control/app-control-for-business/applocker/applocker-overview" target="_blank">AppLocker</a>是內建於Windows的安全工具，可讓標準使用者控制哪些App和文件檔案、指令碼、DLL、已封裝應用程式或Windows Installer等檔案可以執行，並防止使用者執行未經核准的檔案。</p> <p>研究人員表示，AppLocker 預設規則是，使用者可執行C:\Windows目錄下任何檔案，然其運作基礎是標準使用者無法寫入已受保護的區域。而mfgstat.zip就成了一個破口。一般使用者可以先在mfgstat.zip中寫入程式碼，然後運用經過核准的Windows二進位檔，例如研究人員測試時，以AppLVP.exe執行寫入的程式碼，繞過AppLocker防護。這個過程只需標準用戶身份，不必具備管理員權限。</p> <p>研究人員在2019年發現這個問題，並在今年在新聯想電腦上再次發現而確認。但他通報聯想研究部門PSIRT，得到的回應是不會修補，<a href="https://support.lenovo.com/us/en/product_security/HT517812" target="_blank">而是告知移除mfgstat.zip的方法</a>。最直觀的方法是利用檔案管理員，找到C:\Windows，利用「檢視」顯示隱藏的檔案，找到mfgstat.zip，再按右鍵從選單中選擇「刪除」。若是企業電腦，則必須使用微軟System Center 配置管理員（SCCM）中的群組規則（Group Policy）或其他工具來移除。</p> <p>mfgstat.zip是包含在聯想預設Windows映像檔中，但許多大型企業執行自有配置的作業系統，而不使用聯想預設軟體。因此使用自有映像檔的企業，應該不存在這個檔案。</p> </div></div></div>
2025/7/7 10:50作者林妍溱https://www.ithome.com.tw/news/169916
川普簽署《大而美法案》
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國總統川普（Donald Trump）在上周五（7/4）美國獨立紀念日當天，簽署了備受外界爭議的《大而美法案》（One Big Beautiful Bill），使它成為正式法令。</p> <p>此一法令的主要條款包括永久延續《減稅與就業法案》的個人與企業減稅，豁免小費、加班費及養老金的稅收，提高地方稅的扣除上限；大幅削減聯邦醫療補助支出；增加逾1,500億美元的國防預算；撤銷多項乾淨能源補貼，強化傳統能源產業；自動提高債務上限約5,000億美元，意味著美國政府不必經過國會同意就能多借5,000億美元。</p> <p>反對者認為該法令將增加美國財政赤字，造成稅賦不均，嚴重影響美國的綠色轉型，危及弱勢族群的醫療服務，且多數民調都顯示大眾普遍反對該法令，例如<a href="https://www.pewresearch.org/short-reads/2025/06/17/how-americans-view-the-gops-budget-and-tax-bill/" target="_blank">Pew民調顯示</a>有49%的民眾反對，僅有29%贊成，<a href="https://www.foxnews.com/politics/fox-news-poll-economic-pessimism-abates-slightly" target="_blank">Fox民調發現</a>有59%反對，38%支持。</p> <p><a href="https://x.com/elonmusk/status/1929954109689606359" target="_blank">美國知名科技企業家馬斯克（Elon Musk）早在今年6月初大力反對該法案</a>，抨擊此一充滿政治目的的國會支出法案令人噁心至極，也因而與他一路支持的川普翻臉。</p> <p><a href="https://www.whitehouse.gov/articles/2025/07/history-made-the-one-big-beautiful-bill-is-on-its-way-to-president-trumps-desk/" target="_blank">白宮將該法令稱為「美國史上最大規模的中產階級減稅法案」</a>，可維持美國的邊境安全，大規模的國防預算，也恢復了財政理性，將推動美國前所未有的經濟繁榮。</p> <p>川普政府將《大而美法案》列為優先法案，由於川普所屬的共和黨幾乎同時控制了參議院與眾議院，參議院在7月1日以51比50的票數通過該案，眾議院在7月3日通過，川普隔天就簽署，使它成為正式法令，成為美國史上少見的閃電立法。</p> <p>市場分析指出，新的法令可望降低大型科技企業與新創公司的研發成本，同時鼓勵資料中心的建設與資本支出；另一方面，它撤銷或削減對太陽能、儲能或電動車的補助與抵稅措施，可能邊緣化許多綠色科技專案，讓創投資金轉向；國防預算的增加則會讓國防科技受惠。</p> </div></div></div>
2025/7/7 08:10作者陳曉莉https://www.ithome.com.tw/news/169913
Graylog持續強化事件管理，增設資料湖預覽與掌握敵情的防禦
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/graylog_6.2-main2.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>受限於本身的財力，小型機構或中小企業若想建置專業等級的事件管理系統（LMS）、安全資訊與事件管理系統（SIEM），甚至資安維運中心（SOC），可能會考慮開放原始碼的軟體，而在這個領域當中，較受歡迎的產品，有ELK stack（囊括Elasticsearch、Logstash、Kibana）、OpenSearch、Wazuh、Graylog，而在2024年臺灣資安大會，剛好有<a href="https://cybersec.ithome.com.tw/2024/session-page/2755">講者</a>以免費版本的Graylog為題，<a href="https://www.youtube.com/watch?v=U9AeGqMDhRU&ab_channel=CYBERSEC%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E5%A4%A7%E6%9C%83">介紹</a>他藉此打造資安戰情中心的經驗。</p> <p>Graylog目前有幾家廠商在臺灣推廣，一家是<a href="https://www.jason.tools/opensource-log-server">節省工具箱</a>提供商業版本的服務，另一家是代理多種IT管理系統與資安系統品牌的廠商<a href="https://version-2.com.tw/graylog/">台灣二版</a>，去年開始宣傳Graylog最新動態。</p> <h3><span style="color:#0000FF;"><strong>事件管理系統是主力產品，以開放原始碼版本為核心，延伸提供進階功能的企業版，以及著重資安功能的安全版</strong></span></h3> <p>Graylog提供多種形式的解決方案，長期發展的事件管理系統是最廣為人知的產品。</p> <p>首先是以免費使用、開放原始碼聞名的Graylog Open，提供事件記錄集中管理功能，能夠橫跨多種IT環境執行資料的收集、解析、充實、分析；接著是基於Graylog Open、提供更多進階功能的Graylog Enterprise，具備交互關連（Correlation）、歸檔（Archiving）與轉送（Forwarder）、團隊多人協作與統計報表產生，以及多種雲端服務與應用程式的整合支援。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Graylog-coredeploymentarchitecture.jpg" style="width: 600px;" /></p> <p>值得注意的是，Graylog Enterprise又被稱為Graylog Operations，原因是<a href="https://graylog.org/post/announcing-graylog-v4-3-graylog-operations-graylog-security/">2022年5月Graylog Enterprise更名為Graylog Operations</a>，<a href="https://graylog.org/post/graylog-has-a-brand-new-look/">兩年後又將名字改回Graylog Enterprise</a>。</p> <p>而在Graylog Enterprise的基礎上，延伸出全代管的SaaS服務Graylog Cloud（<a href="https://graylog.org/post/graylog-announces-graylog-cloud/">2021年3月推出</a>），</p> <p><a href="https://s4.itho.me/sites/default/files/images/Graylog Enterprise1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Graylog%20Enterprise1.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Graylog-conventionaldeploymentarchitecture.jpg" style="width: 500px;" /></p> <p>以及強化資安團隊所需功能的Graylog Security，能以此進行威脅的偵測、調查、應變工作（<a href="https://graylog.org/post/graylog-announces-security-solution-with-ml-based-anomaly-detection/">2021年10月推出</a>）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Graylog Security1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Graylog%20Security1.jpg" style="width: 600px;" /></a></p> <p>針對各種事件記錄資料解析能力的擴充，Graylog提供易用的內容套件（content packs），稱為Graylog Illuminate（<a href="https://graylog.org/post/announcing-graylog-illuminate/">2020年6月推出</a>），目前提供60種，透過內建的處理流程、解析規則、查詢表，協助Graylog Enterprise與Graylog Security充實與正規化處理資料內容，更有效率地分析不同來源的記錄。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Graylog Illuminate1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Graylog%20Illuminate1.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Graylog-solutions.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Graylog-solutions.jpg" style="width: 300px;" /></a></p> <p>Graylog<a href="https://graylog.org/releases/">軟體改版相當頻繁</a>，7月4日釋出<a href="https://graylog.org/post/announcing-graylog-6-3-1/">6.3.1版</a>，今年上半年發布重大更新主要是在今年<a href="https://graylog.org/post/introducing-graylog-6-2-a-siem-without-compromise/">4月底RSAC大會期間</a>，他們宣布推出<a href="https://graylog.org/post/announcing-graylog-6-2/">6.2版</a>，當中主打幾個特色，都會在付費版本（Graylog Enterprise與Graylog Security）提供，像是：針對去年秋季改版增加的資料湖與資料路由功能，加以延伸，能在擷取資料集之前，預覽工作團隊所需的資料是否在資料湖，隨後可運用選定資料擷取（Selective Data Retrieval）功能，隨需存取小範圍的記錄資訊，可大幅減少授權耗用量。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Graylog-Data Lake Preview1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Graylog-Data%20Lake%20Preview1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Graylog-Data Lake Preview2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Graylog-Data%20Lake%20Preview2.jpg" style="width: 298px;" /></a></p> <p>6.2版另一個新功能是提供「掌握敵情而成的防禦機制（Adversary Informed Defense）」，能自動辨識多個敵對團體的攻擊戰略、伎倆與程序（TTP），執行一連串的偵測，並根據每次額外確認的偵測結果以指數的方式增加風險評分，當中不僅基於MITRE ATT&CK列出的戰略與伎倆來標記偵測，也運用真實世界的威脅活動細部資訊，以便指認自身環境存在網路攻擊活動，而且就算是分散在多天、多週、多月的個別行動，也能依此方式進行辨識。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Graylog-Threat Campaign Risk Amplifier-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Graylog-Threat%20Campaign%20Risk%20Amplifier-1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Graylog-Threat Campaign Risk Amplifier-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Graylog-Threat%20Campaign%20Risk%20Amplifier-2.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Graylog-Threat Campaign Risk Amplifier-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Graylog-Threat%20Campaign%20Risk%20Amplifier-3.jpg" style="width: 600px;" /></a></p> <h3><span style="color:#0000FF;"><strong>跨足API防護應用，能夠監控與偵測API流量，產生攻擊警示與有問題的執行階段活動</strong></span></h3> <p>除了上述鎖定資安事件記錄管理用途的產品，Graylog旗下還有API安全解決方案，稱為Graylog API Security，可透過擷取API流量，探查存取的API，以及這些API是由合法使用者、惡意攻擊者、合作廠商、內部人員使用的，並運用內建與自定的特徵碼，自動偵測與警示當中的互動，確認是否存在網路攻擊、資料外洩行為。</p> <p>Graylog API Security的推出，源自2023年7月<a href="https://graylog.org/news/graylog-acquires-resurface-ios-api-security-solution/">併購新創資安公司Resurface</a>，2024年1月發表Graylog API Security 3.6，<a href="https://graylog.org/news/graylog-announces-free-api-security-tool/">2月釋出免費版</a>——僅能以單節點部署、儲存16 GB資料（容量一旦超過，將刪掉舊資料，留給新進資料）。</p> <p><strong><span style="color:#008080;">產品資訊</span></strong></p> <p><strong><span style="color:#0000FF;">Graylog</span></strong><br /> ●代理商：台灣二版<br /> ●建議售價：開放版免費，企業版每年1.5萬美元起，資安版每年1.8萬美元起，API Security版每年1.8萬美元起<br /> ●作業系統需求：Linux（Ubuntu 20.04, 22.04、RHEL 7/8/9、SUSE Linux Enterprise Server 12/15、Debian 10/11/12）、Docker<br /> ●系統基礎元件： Graylog、Data Node、MongoDB（5.0.7版至7.x版），選用OpenSearch（1.1.x版至2.15.x版）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/7/6 18:31作者李宗翰https://www.ithome.com.tw/review/169622
如何從0到1實作MCP？奧丁丁揭4大步驟
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>生成式AI帶動代理型AI（Agentic AI）興起，如何善用自主能力更勝以往的AI代理完成任務、事半功倍，一直是企業探索的重要議題。尤其，為讓驅動AI代理的大型語言模型（LLM）使用外部工具和資料、產出更精準的回答，開發者得為每個資料來源，進行複雜的客製化串接。</p> <p>Model Context Protocol（MCP）因此應運而生，它就像統一的USB-C接口，不論資料還是工具，只要支援MCP，AI模型就能找到正確又即時的內容，給出更精準的答案。</p> <p>奧丁丁集團最近就實作MCP，做出一套伺服器來連接對外API技術文件，方便Cursor這類AI輔助開發工具搜尋，讓外部開發者透過AI問答，協助串接API、降低技術門檻。奧丁丁AI團隊還預告，他們內部也要這麼做，建置MCP伺服器來連接內部文件、加速自家開發流程。</p> <h1><strong>緣起：API串接的3大痛點</strong></h1> <p>奧丁丁AI團隊首先點出，以往企業將AI介接外部工具或資源時，都會面臨3大挑戰。</p> <p>第一，開發者得先閱讀複雜的API技術文件。這是因為，開發者將AI串接外部特定資源時，得仰賴API，必須先閱讀對方提供的API技術文件，自己再撰寫一份指令，來教導AI如何使用這支工具或資源。</p> <p>由於沒有統一的API技術文件規格，這些文件可以很複雜，而且「AI所串接的每一支工具或資料庫，我都要這麼做，累積下來可能就有20、30份文件要處理。」</p> <p>這情況帶出第二項挑戰，也就是維護成本。因為要處理的技術文件眾多，若提供API的企業或官方更改API，開發者就得重寫指令、重新教導AI使用該工具，衍生繁重的維護成本。</p> <p>第三個挑戰是重工問題。奧丁丁AI團隊表示，由於AI介接外部工具沒有統一的規格，常常介接A工具使用A格式、B工具使用B格式，導致開發者花時間重工，開發效率低下。</p> <p>不過，就在2024年11月，AI業者Anthropic發布開放協定MCP，將AI模型與外部資料或工具互動的方式標準化，就像是AI的USB-C般，來讓提供方和串接方遵循。</p> <h1><strong>4大步驟實作MCP</strong></h1> <p>常見的MCP支援方式有兩種，一是作為MCP Server（伺服器端），由開發者建置一個輕量級程式（即MCP Server），來讓外部AI或代理存取自家資源。另一種是作為MCP Client（客戶端），來使用MCP協定，讓自己的AI工具或代理存取各種支援MCP的資源，如知識庫、API等。</p> <p>觀察MCP已久的奧丁丁AI團隊，在今年初決定用自家的對外服務OwlPay Harbor來試水溫。這是一款剛上線的API工具，支付業者可整合進自己的服務，來轉換法幣與穩定幣。</p> <p>接著，奧丁丁AI團隊用4大步驟來實作MCP。第一步是設定目標，他們將目標定為，使用者可借AI之力，來更快速串接OwlPay Harbor。</p> <p>意思是，奧丁丁選擇作為MCP伺服器端，建置一套MCP伺服器，來連接API技術文件，讓外部AI模型或代理存取。如此一來，外部開發者就能透過Cursor這類的AI問答，來簡化API串接。</p> <blockquote><p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%96%8B%E7%99%BC%E8%80%85%E5%8F%AA%E9%9C%80%E4%BB%A5%E8%87%AA%E7%84%B6%E8%AA%9E%E8%A8%80%E8%A9%A2%E5%95%8F%EF%BC%8CAI%20Agent%20%E4%BE%BF%E6%9C%83%E8%87%AA%E5%8B%95%E5%B0%87%E6%8C%87%E4%BB%A4%E8%BD%89%E6%88%90%E6%90%9C%E5%B0%8B%E9%97%9C%E9%8D%B5%E5%AD%97%EF%BC%8C%E9%80%8F%E9%81%8E%20MCP%20%E5%B7%A5%E5%85%B7%E7%9B%B4%E6%8E%A5%E6%9F%A5%E8%A9%A2%E6%8A%80%E8%A1%93%E6%96%87%E4%BB%B6%EF%BC%8C%E4%B8%A6%E8%87%AA%E5%8B%95%E7%94%A2%E5%87%BA%20API%20%E7%AF%84%E4%BE%8B%E8%88%87%E5%B0%88%E6%A1%88%E6%9E%B6%E6%A7%8B.png" /></p> <p>串接MCP後，外部開發者可直接對AI輸入自然語言指令，AI代理就會自動將指令轉成搜尋關鍵字，透過MCP工具直接查詢技術文件，並自動產出API範例和專案架構，無需依賴外部搜尋引擎。</p> </blockquote> <p>雖然MCP伺服器也能直接連結API，但奧丁丁AI團隊選擇只提供API技術文件、不提供整支API，是因為OwlPay Harbor為金流處理工具，涉及敏感資料，若由AI自動控制金流可能增加風險。因此他們採取比較審慎的作法，將MCP保留最小操作權限，只鎖定「引導企業使用者完成串接流程」，逐步協助使用者串接，而不是直接授權AI操作金流。</p> <p>第二步是準備必要能力，也就是一支搜尋API，來告訴外部AI模型，如何檢索這些技術文件。這支API就像是查詢入口，讓AI在推論過程中，動態取得正確的文件內容。</p> <p>第三步是最有挑戰的一步，要將API技術文件轉換為AI可讀的形式。奧丁丁AI團隊解釋，要讓AI可搜尋檢索，就得將文件內容改為AI看得懂的格式，需要「高度語義化。」</p> <p>意思是，文件的結構和內容，都要明確標註並分類其「是什麼」和「用來做什麼」，讓AI系統能自動理解並處理。舉例來說，好的MCP輸出結構，應該要「分層敘述」，也就是依序有大分類、標題、摘錄和主文的層次，且在功能欄位中，要將URL從文件中分離出來，而非混合為一。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%A5%BD%E7%9A%84MCP%E8%BC%B8%E5%87%BA.png" /></p> <p>另一方面，AI有其上下文窗口（Context window）限制，也就是AI一次互動可處理的最大Token（字符）數量，再加上AI多次互動時，會將先前的對話內容也算進窗口中，因此開發者必須控制文件長度，預留Token窗口供後續AI多次互動使用。</p> <p>奧丁丁AI團隊根據經驗法則，將單次MCP查詢時所回覆的API文件內容，控制在模型最大可讀的Token總數一半以內。舉例來說，若模型上限為10萬個Token，單次回覆內容則控制在5萬個Token以內。這麼做，可以預留空間來讓AI有效理解問題本身、保持回應品質，避免「內容過長導致模型失效。」</p> <blockquote><p><img alt="" src="https://s4.itho.me/sites/default/files/images/image%20(9).png" /></p> <p>與AI進行多輪對話時，AI會將過去的對話內容算進上下文窗口（Context window）中。因此，奧丁丁團隊將單次MCP查詢所回覆的內容，控制在模型最大可讀的Token總數一半。如此一來，AI才能有效理解問題、確保回應品質。</p> </blockquote> <p>最後一步則是使用開源工具，如Anthropic釋出的MCP工具，來將處理好的OwlPay Harbor技術文件和搜尋API封裝成MCP工具並發布，來讓其他支援MCP的AI模型安裝、使用。</p> <h1><strong>支援MCP不只降低開發門檻，還提供更精準回答</strong></h1> <p>這種MCP支援，還有不少好處。比如對外部開發者來說，可以降低API串接門檻，不必單靠自己閱讀API技術文件，而是透過AI問答、輔助撰寫程式碼完成。</p> <p>舉例來說，串接MCP後，開發者直接以自然語言輸入指令，AI代理就會自動將指令轉為搜尋關鍵字，透過MCP工具直接查詢技術文件，並自動產出API範例和專案架構，不必依賴外部搜尋引擎。</p> <p>再來，透過MCP支援，AI搜尋的資料範圍更精準，回答也更準確。這是因為，AI工具使用外部搜尋引擎，尋找特定技術文件時，可能會搜尋到其他類似資料，並混在一起回答問題，進而產生幻覺。但透過MCP工具，AI可以存取特定內容並搜尋、產出答案，大幅降低取得錯誤或過時資訊的可能性。</p> <p>另一個好處是，AI可透過MCP自主查詢整份文件、撰寫程式碼，不會處理一個段落後，再向使用者索取額外資料才能繼續作業。</p> <p>除此之外，使用MCP還有安全上的好處。就使用者來說，AI工具透過MCP直接存取外部資源，使用者不必另外開網頁、複製資料再貼到AI工具中，因此相對安全。</p> <p>對作為MCP伺服器端的企業來說，因為需根據目的，去設計能讓外部AI存取的內容，因此落實最小權限、給予最合適的內容範圍，也確保資料安全。</p> <h1><strong>觀望者可從目標設定先著手</strong></h1> <p>有了MCP實戰經驗，奧丁丁AI團隊也不藏私分享實作心得建議，供觀望者參考。</p> <p>第一是確認目標，比如要做MCP伺服器端，還是MCP客戶端。決定後，才能思考該為AI準備什麼能力，並召集相關部門討論可行方案，開發團隊再給出開發方式、規格和時程。</p> <p>第二個建議是安全性，也就是根據目標和希望給予AI的能力，來決定資料權限和範圍，比如奧丁丁決定將自家API技術文件打包成MCP工具，來供外部AI存取，那麼資料就得是原本已經公開的文件。</p> <p>同理，若企業想將內部文件打包成MCP工具、供內部人員使用，也得先劃分資料使用權限與範圍，才能確保機敏資訊不外洩。</p> <p>另一個建議是將文件改為AI可讀的形式，尤其是建置MCP伺服器來讓AI模型存取自家資料時，其資料格式、欄位就得高度語義化，且需保留適度的上下文窗口，才不會影響AI產出的答案。</p> <p>這次實戰經驗，也讓奧丁丁AI團隊思考，未來要建置MCP伺服器來連接內部文件、資源，供內部團隊使用。尤其，奧丁丁AI團隊已高度運用AI協助開發，若AI能存取更多資料、工具，就更能加速開發流程，提高工作效率。文⊙王若樸</p> </div></div></div>
2025/7/4 15:35作者王若樸https://www.ithome.com.tw/news/169898
IMA發起Taiwan Tongues推動台灣語料庫，要讓台灣在地語言在AI世界發聲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>生成式AI快速發展，然而，現今主流的AI模型使用的訓練語料多為英文或是簡體中文，導致模型缺少對台灣本地語言習慣、在地文化及價值觀，漸漸可能使台灣的在地語言在AI時代被邊緣化。IMA資訊經理人協會今年推動Taiwan Tongues「台灣通用語料庫計畫」，希望建立高品質的台灣語料庫，在號召之下，現在已有數十位作家參與、貢獻累計超過500萬字文學作品。</p> <p>IMA協會理事長蔡祈岩表示，AI快速發展後，儘管能夠支援繁體中文，但因為不瞭解台灣的語言，導致使用錯誤的用語或是誤讀台灣的語言，IMA協會發起Taiwan Tongues，號召作家組成Team Taiwan，讓全世界能夠聽台灣，包括兩層涵意，一個是聽得懂且理解，另一個則象徵我們在AI的主體性及主權，要讓AI能理解台灣人的腔、習慣。</p> <p>Taiwan Tongues目的為建立高品質的語料庫，一邊蒐集語料的同時，也將語料開源，該計畫號召台灣的文學作家參與授權，包括台灣使用的語言，包括台灣華語、台灣台語、台灣客語及原住民語，希望讓AI能夠聽懂、理解台灣的聲音。</p> <p>這項計畫由IMA執委胡長松帶領，身為文學作家的他也帶頭無償釋出約150萬字的作品，號召更多作家加入，目前已有向陽、曾貴海等知名作家參與釋出他們的作品，累計已有超過500萬字的高品質語料。</p> <p>胡長松指出，語言承載文化，作家或詩人擅長以詩文寄托文化價值觀，在AI時代下當本地的語言邊緣化，詩人、作家也應該站出來挽救語言、文化。Taiwan Tongues的目標是號召作家加入，共同建立高品質的台灣語料庫，目前已有不少的高品質語料，其中不少是台灣台語文學作品，已陸續上架到Hugging Face，以CC4.0授權，供外界非商業使用，例如語音助理、機器翻譯、語言教學、文化推廣等等，至於商業授權則必需與個別的作家談授權。</p> <p>這個台灣語料庫，希望透過開源讓外界使用，除了協助台灣的企業或研究機構建立本地的模型，也希望讓國外主流的模型運用，為在AI時代下拉抬台灣在地語言、文化在全球AI模型的能見度。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202025-07-04%20%E4%B8%8B%E5%8D%886_29_34.jpeg" style="width: 600px; height: 443px;" /></p> <p>除了發起台灣語料庫，Taiwan Tongues計畫也和群聯電子合作，利用其提供的運算硬體資源，結合Reward Model、RL微調，開發可訓練具備多元觀點辨識和區域語音調適能力的模型訓語境訓練框架，來幫助企業訓練在地化的AI模型，降低單一語料、單一觀點可能產生的偏差風險。</p> <p>另外，協會也和陽明交智能所的廖元甫教授合作，建立一套台灣語境評測，可對模型驗證使用台灣語料庫後的成效，經過廖元甫帶領團隊的測試，使用Taiwan Tongues語料和教育部台灣辭典等公共語料，以CPT持續預訓練、SFT微調，經過台灣語料預訓練、微調，台語AI模型的正確率評分從31.5提高到42.6分，顯示台灣語料對模型帶來顯著的效果，提高對台語的理解、書信內容生成的正確率。</p> <p>數發部次長林宜敬則表示，除了民間發起的台灣語料庫，未來數發部也會統籌推動公部門的語料，以組成政府機關語料，未來進一步深化公部門和私部門合作，力促政府和民間在語料開放、模型建構和應用評測的合作。另外，今天Taiwan Tongues為號招作家加入，以無償貢獻文學作品，對於不願意無償授權的作家，數發部未來也會建立適合的授權機制，讓更多作家能夠以合理的方式參與。</p> <p>展望未來，IMA期望Taiwan Tongues繼續擴大台灣使用的華語、台語、客語、原住民語等多種語料，並希望和國際上的主流語言模型平臺合作，讓台灣的語言在全球AI生態中增加更多的能見度。</p> <p>Taiwan Tongue也準備開啟Wiki Taiwan，增加台灣語言在網路世界的能見度，首先是針對台灣使用的華語，號召志工補齊維基百科裡只有英文而沒有繁體中文的條目，其次是針對台語，先將維基百科上約140筆的繁體中文條目轉為台語內容，再進行英文條目的翻譯補齊工作。</p> </div></div></div>
2025/7/4 18:30作者蘇文彬https://www.ithome.com.tw/news/169900
軟體工程師的宿敵
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/0704-shu_zhai_960-ruan_ti_she_ji_ou_he_.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">博碩文化</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>早在耦合變成世界各地軟體工程師的宿敵的很久之前，耦合就已經存在了。這個詞源自拉丁文copulare，而該詞又源自co（一起）和apere（綁緊）。因此耦合的意思就是「綁在一起」，或者把東西連接起來。</p> <p>當你看到「耦合」這個詞，你可以把它換成「連結」。當你說兩個服務之間存在「耦合」，就跟說這兩個服務之間存在「連結」是一樣的。同樣的，若說一個物件跟一個資料庫有高度耦合，就等於說這個物件和資料庫有高度連結。</p> <p>這顯示耦合是一種無所不在的現象，到處都能觀察到耦合：只要兩個個體相互連接，那麼它們之間就存在耦合。時鐘裡面有無數齒輪和彈簧相互連結，以便能正確衡量時間。引擎、車軸、車輪、剎車和其他零件耦合在一塊構成汽車。器官耦合起來構成生命體，包括我們人類。在更小的層面上，粒子的互動構成我們宇宙中的萬物，而在更大的層面上，星體則會透過重力場互動─ 儘管隔著極遠的距離，星體之間仍然存在耦合。</p> <p>耦合暗示了相連結個體之間的關係，而相耦合的東西便能用某種方式影響彼此。話雖如此，世上有各式各樣的系統和設計它們的各種方式，也有連接元件的不同辦法。不同的設計會帶來不同的結果與維護成本。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>耦合與系統設計</strong></span></span></p> <p>若要了解耦合在系統中扮演的角色，我們就務必先定義何謂系統。Donella H. Meadows 在她的經典作品《系統思考》（Thinking in Systems: A Primer）中，將系統定義為一組相互連結的元素，其組織方式能夠達成某種目的。這個簡潔的定義描述了構成系統的三個核心要素：元件（component）、連結關係（interconnection），以及目的（purpose）。</p> <p>在軟體工程中不只有眾多不同類型的系統，就連軟體本身都能解讀成由相互連結的小系統所構成的大系統。我們在更高層級能看到服務、應用程式、排程工作、資料庫與其他元件，它們會耦合起來實現系統的整體目的，也就是其商業功能。但這些大型元件本身自成一個系統，只不過層級較低而已。比如，圖1.5 中的「處理」服務是用物件導向程式語言寫的，因此該服務是由一系列所需的類別組成，好實作出該服務的功能。這些類別是該服務的元件，實現了整體系統（服務）的功能。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98-%E8%BB%9F%E9%AB%94%E8%A8%AD%E8%A8%88%E8%80%A6%E5%90%88-%E5%9C%963.png" style="width: 390px;" /></p> <p><strong><span style="color:#696969;">圖1.5　典型軟體系統的元素。</span></strong></p> <p>甚至，你能進一步鑽研軟體系統的階層本質：這些類別本身同樣能被視為系統，其元件包括方法和變數，用來建置出該類別的功能。再往下，方法自身也是系統，由各別的程式敘述來共同實現該方法的目的。</p> <p>那麼，是什麼讓各種層級的元件能夠協同合作、達成整體系統的目的呢？互動。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>系統中的耦合</strong></span></span></p> <p>齒輪是真實鐘錶系統的元件。鐘錶系統的目的是衡量和顯示時間，但光是只有必要的齒輪跟彈簧是不夠的。系統若要能發揮作用，其元件就必須相連─ 或者產生耦合─ 以便能協同合作。話雖如此，把它們任意組合起來是沒用的。元件必須照特定方式結合，才能實現系統的目標。耦合不只能維繫整個系統的結構，更能讓系統價值超越個別零件價值的總和。</p> <p>系統三大元素─ 元件、互動和目的─ 彼此密切相關：</p> <p>● 一個系統的目的需要一群特定的元件，透過元件之間的互動來達成。</p> <p>● 元件介面的設計能允許和禁止某些整合行為。此外，元件自身的功能能夠令系統實現其目的。</p> <p>● 互動關係讓系統能藉由指揮元件協作來達成目的。</p> <p>總歸來說，在任何系統裡面，你不可能只改變其中一個元素，但不影響到至少另外一兩個元素。舉例來說，你想把一個軟體系統的功能（或者其目的）加以延伸，而若要改變目的，就必須修改其元件─ 服務、模組跟其他需要演進來適應新需求的部分。甚至，修改元件可能會改變其互動方式，或者改變元件整合和相互溝通的方式。</p> <p>這帶出了系統設計的另一個重要概念：邊界（boundaries）。如Ruth Malan 所說：「系統設計的本質便是關於邊界（裡外有什麼、有哪些會跨過邊界或來回移動）以及其取捨。它重新定義哪些東西屬於外界，正如它定義了哪些該留在邊界內」（Malan，2019）。一個元件的邊界定義了哪些知識屬於元件，哪些知識又該留在外頭─ 比如，哪些功能該由這個元件實作，哪些責任又該交給系統的其他部分。甚至，邊界定義了一個元件該如何跟系統的其他部分互動，或者更精確來說，有哪些知識允許通過元件邊界。到最後，元件與互動定義了系統設計能夠達成什麼結果。這表示互動性，也就是元件耦合的設計，是系統設計與生俱來的一環。</p> <p>以一般的系統來說，耦合概念在系統設計是不可或缺的。人們經常假設軟體設計的目的是要徹底去耦合、使元件完全獨立，但實際上並非如此。你不可能把耦合降到零；若兩個元件應該要協作，它們之間就得共享知識；互動的前提就是要分享知識。元件若沒有互動或耦合，就不可能實現系統目的。正是單元之間的互動成就了系統。</p> <p>我們身為軟體工程師，經常著重在把系統解耦合成元件的任務。為了做到這點，我們得先檢視商業領域，然後決定哪些部分可以打散成服務、模組跟物件。基本上，我們在設計系統架構時，經常會太過專注在劃定範圍上，但這些範圍之間的關聯最起碼也一樣重要─ 我們必須留意元件的互動設計，意即元件之間會分享哪些知識、知識如何共享，這些知識分享又會如何影響整體系統。此外，各位應該已經發現，元件的設計與元件間的互動其實息息相關。耦合不僅定義了哪些知識被允許在元件之間流動，更定義了哪些知識根本不該離開所屬元件的邊界。這表示在設計模組化軟體系統時，耦合其實是不可或缺的工具。</p> <p>耦合是將系統維繫起來的黏著劑，那麼這是否表示隨意結合元素和相依性就能產生良好設計呢？當然不可能。耦合可以是必要的，也有可能是意外的副作用。模組化設計需要消除意外的耦合，並謹慎管理必要的相互關係。<strong>（本文摘錄整理自《軟體設計耦合的平衡之道》，博碩文化提供）</strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0704-%E6%9B%B8%E6%91%98600-%E8%BB%9F%E9%AB%94%E8%A8%AD%E8%A8%88%E8%80%A6%E5%90%88.jpg" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源／博碩文化</span></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3366ff;"> 書名 </span></span> <span style="color:#3366ff;">軟體設計耦合的平衡之道：建構模組化軟體系統的通用設計原則</span>（Balancing Coupling in Software Design）</strong></p> <p>Vlad Khononov／著；王寶翔（Alan Wang）／譯</p> <p>博碩文化出版</p> <p>定價：650元</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0704-%E6%9B%B8%E6%91%98200-%E8%BB%9F%E9%AB%94%E8%A8%AD%E8%A8%88%E8%80%A6%E5%90%88.jpg" style="width: 180px;" /></p> <p><a href="https://vladikk.com/page/books/" target="_blank"><span style="color:#696969;"><span style="font-size:14px;">圖片來源_Vlad Khononov</span></span></a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3366ff;"> 作者簡介 </span></strong></span></p> <p><strong>Vlad Khononov</strong></p> <p>Vlad Khononov是一名擁有廣泛業界經驗的軟體工程師，替規模各異的公司做事，扮演的角色自網站管理員到首席架構師都有。他的主要專業包括軟體架構、分散式系統及領域驅動設計。身為顧問與訓練師，Vlad協助企業理解它們的商業領域、重新整頓老舊系統，並搞定複雜的架構挑戰。</p> </div></div></div>
2025/7/4 16:52未署名https://www.ithome.com.tw/article/169899
【資安日報】7月4日，多款IDE開發工具選用延伸套件要當心，此類元件的檢驗機制存在可乘之機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>最近幾年鎖定開發人員而來的惡意套件攻擊相當氾濫，這些攻擊的範圍相當廣，涵蓋NPM、PyPI，以及Visual Studio Code（VSCode）等，多半都是上架市集引誘開發者上當，但最近資安業者OX發現，IDE對於延伸套件驗證機制存在缺陷，攻擊者可製作顯示已通過驗證（Verified）的套件，目的是誘騙開發者上當。</p> <p>而在今天的資安新聞，有數則與臺灣有關的消息，首先針對近日有人兜售全支付測試環境帳密資料的情況，我們獨家採訪該公司並取得回應，他們也進一步透露掌握的情況及調查結果；再者，有數家殯葬業者為了搶生意，竟找駭客來監聽消防救護系統，相當不可取；數發部警告有歹徒假冒買家、客服、第三方支付網站的情況，消費者須提高警覺。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169883"><strong style="font-size: 22px;">Verizon、T-Mobile上億筆美國用戶資料遭兜售，兩大電信業者否認發生資料外洩事故</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/verizon-t-mobile-deny-data-breaches-user-records-sold-2.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/verizon-t-mobile-deny-data-breaches-user-records-sold-2.jpg" style="width: 300px; float: right;" /></a></p> <p>根據資安媒體Hackread報導，名為G_mic的人士於地下網路犯罪論壇兜售兩家電信公司Verizon、T-Mobile的美國客戶資料，其中Verizon資料包含6,100萬筆（檔案大小3.1 GB），而T-Mobile則有5,500萬筆（未提及檔案大小）。</p> <p>HackRead取得駭客提供賣家比對的部分資料，Verizon的資料內容相當詳盡，包括城市、州、性別、IP位址、電話號碼、所在位置經緯度等。從資料年份來看，部分資料為2025年的更新數據。Verizon為全美最大行動電信業者，用戶數達1.46億，這批資料將佔總用戶數的41%。</p> <p>T-Mobile部分的資料包括姓名、性別、出生日期、裝置ID、cookie ID、IP位址、電子郵件、電話號碼、完整住家地址，甚至有稅籍編號，且顯然於2025年更新。這家電信業者在美國訂閱用戶有1.31億，這批資料將佔總用戶數的42%。</p> <p><a href="https://www.ithome.com.tw/news/169887"><strong style="font-size: 22px;">駭客聲稱入侵俄羅斯國防外包商，竊得海軍作戰系統等機密文件</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/russian-navy-breach.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/russian-navy-breach.png" style="width: 300px; float: right;" /></a></p> <p>根據資安新聞網站Cybernews報導，一名駭客在駭客論壇上宣稱取得了俄羅斯國防外包商250 GB內部文件，包括提供給俄羅斯海軍的作戰軟體資料。這名駭客宣稱，手上持有的資料來自俄國最大國防外包商NPO MARS。NPO MARS提供了多項俄國海軍指揮控制系統，包括自動資訊交換系統TRASSA、掃雷艦自動控制系統DIEZ，以及船艦資訊管理系統等。</p> <p>這名駭客聲稱存取了NPO MARS數個系統，並公布了10 GB資料供買家檢驗。經過分析，這批資料有部分PDF為2017到2018年的PDF掃描檔，大部分技術文件為2024年，也有今年3月才建立或更新的檔案。但不確定是否所有資料都是最新版本。NPO MARS並未回應此事。</p> <p><a href="https://www.ithome.com.tw/news/169876"><strong style="font-size: 22px;">殯葬業者搶生意不擇手段！竟找駭客監聽消防救護系統，目的是能更早到事故現場攬客</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/16ccb4df7056426fb3955da49bd952c9.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/16ccb4df7056426fb3955da49bd952c9.jpg" style="width: 300px; float: right;" /></a></p> <p>為了牟取經濟利益，近期臺灣出現有企業組織尋求電腦工程師、網路駭客入侵公務系統的情況，例如：郭姓網球教練因經營網球學院需要使用相關場地，找上電腦工程師攻擊臺北市公有場地租借系統，並藉由網路爬蟲程式大量搶租熱門時段場地得逞。如今殯葬業者為了搶客，竟藉由駭客長期監聽消防單位的救護即時資訊。</p> <p>7月1日法務部調查局宣布破獲殯葬業者夥同駭客長期竊取消防局救護即時資訊的案件，曾擔任民間EMT救護車駕駛的潘姓嫌犯受到殯葬業者請託，從2021年開始研究內政部消防署救護派遣有關系統，從中取得派遣及出勤資訊，隔年又入侵維運廠商的測試機取得參考資料，從中截取民眾報案時間、派遣分隊、案件類型、案發地址、座標等資訊，且以相同手法陸續擴大至全國21個縣市。</p> <p>究竟殯葬業者拿到這些資料又會如何運用？他們安排員工24小時排班監看這些資料，只要出現重傷或是到院前心肺功能停止（OHCA）傷者資訊，業務員就會依照相關座標資訊前往現場等候搶客。</p> <p><a href="https://www.ithome.com.tw/news/169880"><strong style="font-size: 22px;">全支付獨家回應測試環境帳密外洩疑雲：證實禍源在「商戶個人電腦遭駭」，金流安全未受影響</strong></a></p> <p>近日，資安界盛傳有駭客在深網兜售全支付測試環境的管理者（Admin）帳號密碼資料，引發外界對全支付資安防護的關注。對此，本報獨家採訪全支付公司，其高層首次揭露事件調查結果與應對措施。</p> <p>全支付表示，他們已在第一時間掌握相關情資並取得外洩內容，經過深入分析，判定此次事件並非其後臺系統本身遭駭，而是起因於「少數合作商戶的個人電腦遭到駭客入侵」，駭客進而取得其電腦中留存的測試環境登入憑證。</p> <p>全支付強調，儘管部分測試環境資料外洩，但其主要金流服務及使用者（消費者）權益，並未受到實質影響。</p> <p><a href="https://www.ithome.com.tw/news/169893"><strong style="font-size: 22px;">數發部警告詐騙新手法! 小心假買家、假冒第三方支付網站及客服向真賣家詐騙</strong></a></p> <p>詐騙手法不斷推陳出新，數發部發現近期出現詐騙者假冒買家，向真賣家進行詐騙，向賣家要求使用知名第三方支付付款，偽冒知名第三方支付業者網站，並假冒支付業者客服人員，誘導賣家操作，造成賣家財產損失，數發部為加強數位支付建立的信任關係，今天（7月4日）與國內第三方支付業者共同合作，加強對新的詐驗手法的防詐工作，主動掃描偽造網站下架處理。</p> <p>資安院主動掃描網路上的類似網域名稱，偵測到超過200件類似網域名稱，並由TWNIC利用DNS RPZ下架處理，以避免有心人士假冒第三方支付業者網站，誘騙造成賣家金錢損失。根據數發部統計，從6月初掃描發現超過200件類似網域名稱，經過下架處理後已降到6月底的3件，降幅達9成。</p> <p>為確保數位支付的信任不受新的詐騙手法影響，數發部今天也與第三方支付業者合作，包括藍新、綠界、紅陽、統一數網、連加(Line Pay)，宣示打擊詐騙，數發部及第三方支付業者定期掃描網路上的類似網域名稱，向數發部通報後，進行下架處理，同時第三方支付業者也在其網站，以蓋版廣告向使用者宣傳假買家詐騙的手法，提高民眾的警覺心。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/apache-tomcat-and-camel-vulnerabilities/">Apache Tomcat、Camel遭到鎖定，駭客利用已知漏洞從事攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/new-hpingbot-exploits-pastebin-for-payload-delivery/">殭屍網路Hpingbot濫用文字共享服務Pastebin散布有效酬載</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169892"><strong style="font-size: 22px;">多款IDE延伸套件檢驗機制存在瑕疵，攻擊者可讓惡意套件顯示「已通過驗證」徽章欺騙開發人員</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/4QpJLDhkKD.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/4QpJLDhkKD.jpg" style="width: 300px; float: right;" /></a>為了讓開發人員加入額外的功能，許多整合式開發環境（IDE）支援延伸套件的機制，但有資安業者發現，這些IDE工具驗證延伸套件的流程存在弱點，使得攻擊者有機會將惡意套件標記為已通過驗證（Verified），引誘開發人員下載、安裝，從而在電腦執行惡意程式碼。</p> <p>資安業者OX指出，他們在今年5月至6月，發現Visual Studio Code（VSCode）、Visual Studio、IntelliJ IDEA、Cursor等IDE工具，在檢驗延伸套件的驗證方式存在瑕疵，導致攻擊者能讓惡意套件偽裝成已經過驗證的狀態，進而引誘開發人員安裝，而能在開發環境執行任意程式碼。</p> <p>針對上述的發現，OX向微軟、Cursor、JetBrains通報此事，三家廠商都表示他們不會進一步處理，對此該資安業者呼籲，開發人員最好直接從官方市集安裝延伸套件，並避免以套件是否具備通過驗證的徽章，做為主要確認的依據。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/azure-api-vulnerabilities-expose-vpn-keys/">Azure API存在曝露VPN金鑰的弱點，恐授予特殊層級的存取權限</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/grafana-releases-critical-security-update-for-image-renderer-plugin/">圖形化資料分析平臺Grafana發布更新，修補圖像渲染外掛弱點</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/12-year-old-sudo-vulnerability/">Linux命令列工具Sudo存在權限提升漏洞，近12年的版本都曝險</a></strong></p> <p></p> <p> </p> <h3><strong>【法規遵循】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169820"><strong style="font-size: 22px;">臉書廣告服務管理系統出包，又有23件廣告未即時揭露託播者訊息，遭數發部開罰1,500萬元</strong></a></p> <p>Meta旗下的臉書（Facebook）因廣告管理系統出現缺失，部分廣告未依防詐法揭露廣告託播者相關訊息，數發部調查後以情節重大為由，依違反防詐條例開罰1,500萬元。</p> <p>今年5月，Meta旗下臉書因未依詐欺犯罪危害防制條例，揭露廣告託播者相關資訊，數發部邀各部會開會討論後，以臉書上2則廣告違反防詐條例第31條第1項第2款，依同條例第40條第1項第4款規定，對Meta每案裁罰50萬元，也是國內防詐條例上路後首次對大型網路廣告平臺業者開罰。</p> <p>數發部對於Meta的開罰，原本認為僅是個案，但後續又接獲內政部移送23件臉書廣告違法案件，因數量較前次更多，數發部與相關部會開會，並邀Meta說明，最後認定為臉書的廣告管理系統有缺失，導致部分廣告無法在刊登或推播時即時揭露委託刊播者、出資者資訊，為系統性的缺失，依防詐條例第40條第2項予以連續處罰。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169819"><strong style="font-size: 22px;">微軟Authenticator自7月終止支援密碼管理服務</strong></a></p> <p>伴隨微軟推動無密碼登入，Microsoft Authenticator將從7月開始逐步無法支援密碼，微軟希望用戶改以Edge儲存及自動填入（autofill）密碼。</p> <p>微軟上個月預告Authenticator對密碼支援的落日時程，從2025年6月起， Authenticator已不能儲存新增密碼。根據微軟規劃，7月開始，Authenticator的密碼自動填入功能將無法使用。7月過後，Authenticator不但不允許你使用儲存的密碼，也會刪除任何支付資訊。8月之後，所有生成的密碼若未儲存都將被刪除。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169878"><strong>【7月3日】全支付測試環境帳密驚傳遭駭客兜售</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169852"><strong>【7月2日】美國電信業者AT&T祭出新措施防堵SIM卡置換攻擊</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169833"><strong>【7月1日】逾1,200臺Citrix NetScaler設備尚未修補CitrixBleed 2</strong></a></p> </div></div></div>
2025/7/4 13:27作者周峻佑https://www.ithome.com.tw/news/169894
50年經典款黃靴也能年銷售量增3成，Timberland如何用科技結合「體驗感經營」來進行OMO行銷
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>「品牌不只要出現在廣告中，更要出現在生活體驗中！」戶外休閒品牌Timberland臺灣暨香港品牌總監洪嘉陽揭露，貫穿自家OMO行銷策略背後的重要精神。</p> <p>現今消費環境中，品牌要經營線上線下銷售及行銷通路（OMO），已經是老生常談。不過，如何根據自家品牌和商品特性決定執行方向，再結合科技來提升效果，仍是複雜但重要的課題。近日一場活動中，洪嘉陽分享自家OMO行銷的策略和具體做法，如何半年內提升180萬元再行銷業績、增加6成電商搜尋流量，更讓最經典款的老商品，年銷售量提升高達3成。</p> <p><strong>行銷與顧客生活結合，不是販賣商品，而是「生活情境解決方案」</strong></p> <p>洪嘉陽表示，Timberland行銷不追求傳統的曝光效果，而是要達到「場景佔領」，也就是進入顧客生活場景中。他進一步說明，他們看待商品時，不只著眼商品功能，更聚焦如何讓顧客應用於生活中；看待通路時，則不只將其視為銷售和溝通的管道，而是「出現在顧客生活中的場域」。</p> <p>他坦言，這個思路的核心概念並不新穎，只是把眼光從自身販售商品的需求，轉移到顧客使用商品的需求。「消費者不是找商品，⽽是找場景解決⽅案。」Timberland以此概念，延伸出自家行銷心法，進而決定他們OMO通路經營、個人化行銷，以及SEO（搜尋引擎優化）的具體做法。</p> <p><strong>高度仰賴實體體驗的Timberland如何經營OMO零售</strong></p> <p>Timberland主力商品為鞋類和服飾類，傳統上非常仰賴實體通路，總貢獻度仍是實體通路會員最高。數位通路沒有真人服務、無法觸碰和感受鞋子服飾、無法即時擁有商品，如何經營，才能讓顧客買單？</p> <p>洪嘉陽指出，實體門市仍受到交通時間、營業時間限制等缺點。相較之下，電商網站有更多接觸點，如Line、App、社群網站，營業時間也全年無休。Timberland設計OMO零售做法時，目標是希望發揮線上及線下通路各自優點，而非取代彼此功能。</p> <p>Timberland OMO經營架構是，以CRM會員系統為核心，紀錄會員在電商及門市的銷售資料。社群媒體和通訊軟體，則作為溝通管道，用來宣傳、一對一行銷和再行銷、問卷調查，以及導流到門市或電商。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/TBLO2O.jpg" style="width: 600px;" /></p> <p>洪嘉陽分享自家操作再行銷、問卷調查及導購活動的做法。首先是購物車未結帳再行銷。當他們發現顧客在電商通路有購物車尚未結帳，會透過CRM找出顧客常去的特定實體門市，通知店員透過Line聯繫顧客，進行一對一再行銷，以及提供視訊丈量尺寸等服務。常見購物車未結帳再行銷做法，只會由電商系統送出推播，提醒會員購物車未結帳。Timberland則更進一步，增加真人服務感，更讓實體通路一同參與再行銷。這種做法，在半年內創造出180萬元業績，成交率高達46%。</p> <p>他們還利用Line投放問卷，作為大量快速與會員溝通的管道，不只蒐集會員意見和偏好，更用來宣傳新品，以及導購。曾經，他們嘗試性以會員點數為填寫誘因，於特定年齡層投放數萬份問卷，一個晚上就回收高達6,000份有效問卷。自此，他們開始積極利用問卷來作為市場調查利器，還在新品發售時，以調查為名，行商品介紹之實。後續新品上市時，都發揮出介紹及導購的效果。</p> <p>另一個做法則是透過CRM資料分析會員喜好，來選擇在社群媒體上代言的KOL，達成精準行銷效果同時，也不須砸大錢追求流量和知名度最大的代言人。洪嘉陽舉例，他們有一次主題活動，主打「客製化黃靴」商品，透過分析會員喜好，找來6位不同分眾領域的KOL代言，結果不只帶來巨大流量，且幾乎所有商品都一夜售罄。</p> <p><strong>從生活化行銷角度切入AI技術應用及SEO做法</strong></p> <p>不只經營舊客（會員）時強調從顧客生活情境與需求切入，Timberland獲取新客時也是如此。洪嘉陽強調，把商品視為生活情境解決方案的認知，深深影響他們SEO及電商通路經營做法。</p> <p>他們將商品關鍵字分為「品牌字」、「功能字」、「情境字」，分別用來形容品牌及商品名稱、商品功能及特性，以及商品相關情境。例如，「Timberland鞋子」、「健走鞋」、「馬祖繞境」。他們利用AI找出具有相關性的3大類關鍵字，並在電商中，自動為每個主題關鍵字產生專門主題頁面，而不只依照傳統商品分類模式來呈現商品。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/keywordstbml.jpg" style="width: 600px;" /></p> <p>他們希望用這種做法，使顧客對商品相關功能或情境有需求時，就算不搜尋品牌名稱，也有機會在搜尋引擎中找到自家商品。洪嘉陽補充，這些主題商品頁面必須確實符合顧客需求，且介面友善美觀。當顧客點進這些頁面後，較長停留時間和做出互動行為，都對SEO排名有幫助。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/tbtagpg.jpg" style="width: 600px;" /></p> <p>Timberland開始製作主題分類頁面後，電商的有機搜尋流量更是增加了64%、新顧客增加15%、分類商品頁面點擊數增加20%，從商品分類頁面進入自家電商網站的流量，更成長近3倍。其中特別成功的案例，包括「媽祖遶境」主題，使健走鞋在行銷檔期間銷量提升82%、主題頁面跳出率只有6.1%，遠低於他們平時的77%跳出率。另一個案例則是將經典款黃靴結合K-Pop偶像New Jeans、韓風穿搭等情境主題，讓這款1972年就問世的老商品，銷量達到驚人的年對年成長30%。</p> <p>洪嘉陽坦言，自家數位行銷和OMO經營模式，有許多做法乍看之下已是老生常談，技術也不算特別新穎。他認為自家特色在於，從數據分析出顧客需求來設計線上線下體驗，使商品和通路容易進入顧客生活中。「借用科技的力量，為顧客創造參與和體驗的機會。」他總結。</p> <p></p> </div></div></div>
2025/7/4 14:54作者郭又華https://www.ithome.com.tw/news/169897
數發部警告詐騙新手法! 小心假買家、假冒第三方支付網站及客服向真賣家詐騙
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>詐騙手法不斷推陳出新，數發部發現近期出現詐騙者假冒買家，向真賣家進行詐騙，向賣家要求使用知名第三方支付付款，偽冒知名第三方支付業者網站，並假冒支付業者客服人員，誘導賣家操作，造成賣家財產損失，數發部為加強數位支付建立的信任關係，今天(7/4)與國內第三方支付業者共同合作，加強對新的詐驗手法的防詐工作，主動掃描偽造網站下架處理。</p> <p>數發部數產署長林俊秀指出，過去詐騙多為假賣家，利用各種網路平臺散布銷售訊息，向有意購買的真買家詐騙，在政府及民間防意識提升後，詐騙業者翻新手法，近期出現假買家詐騙真賣家，詐騙業者先假冒買家，透過網路平臺聯繫真賣家，約定使用知名第三方支付進行交易，以匯款過程出現問題，假冒第三方支付業者客服人員，引導賣家進入偽造的第三方支付網站操作，欺詐賣家輸入驗證碼，該驗證碼實則為金錢，在賣家不察之下造成其財產損失。</p> <p>資安院主動掃描網路上的類似網域名稱，偵測到超過200件類似網域名稱，並由TWNIC利用DNS RPZ下架處理，以避免有心人士假冒第三方支付業者網站，誘騙造成賣家金錢損失。根據數發部統計，從6月初掃描發現超過200件類似網域名稱，經過下架處理後已降到6月底的3件，降幅達9成。</p> <p>為確保數位支付的信任不受新的詐騙手法影響，數發部今天也與第三方支付業者合作，包括藍新、綠界、紅陽、統一數網、連加(Line Pay)，宣示打擊詐騙，數發部及第三方支付業者定期掃描網路上的類似網域名稱，向數發部通報後，進行下架處理，同時第三方支付業者也在其網站，以蓋版廣告向使用者宣傳假買家詐騙的手法，提高民眾的警覺心。</p> <p>另外，從詐騙案例來看，數發部也提醒支付業者不會主動透過Line客服聯絡，民眾也不要點擊來路不明的網站連結，業者的聯繫方式也在數發部官網可找到。</p> <p>代表第三方支付公會籌備的綠界科技總經理劉士維坦言，過去第三方支付業者之間的溝通合作並不是那麼積極，籌備公協會加強業者之間的交流合作，此次新的詐騙手法對第三方支付業者相當大的困擾，因為在詐騙的過程中，不論是假造網域、偽冒支付業者客服、偽冒銀行客服向民眾行騙，這個過程中第三方支付業者並不知情，搜尋網路發現同名的網站相當多，因此這次各家支付業者合作，將各業者的IT集合起來，共同研發風險控管模型，主動掃描可能有詐騙風險的類似網域名稱，加上搜尋疑似造假的內容，向政府通報下架處理。</p> <p>劉士維進一步指出，根據觀察，過去出現類似網域名稱後，可能要5天以後才會開始產生網站內容，可能在8天之後開始詐騙，現在產生內容速度愈來愈快，現在只要2、3天就會產生內容開始詐騙，防堵速度太慢就難以跟上詐騙，這些假造的網站背後代表民眾受騙，支付業者也成為受害者，因此與數發部合作採取行動，一方面掃描網路下架可疑的網站，也從官網蓋版廣告向賣家警示詐騙手法，提高社會大眾的防詐意識。</p> </div></div></div>
2025/7/4 13:21作者蘇文彬https://www.ithome.com.tw/news/169893
逾60家企業要求歐盟延後實施AI Act
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://aichampions.eu/" target="_blank">歐盟AI領袖倡議（EU AI Champions Initiative）於本周發出公開信予歐盟執委會</a>，以「Stop the Clock」為名，呼籲延後實施<a href="https://www.ithome.com.tw/news/164292" target="_blank">已於去年8月生效的《AI Act》</a>。</p> <p>公開信指出，《AI Act》的條文過於複雜、重疊且缺乏明確執行準則，將對歐洲AI產業的發展及部署能力造成負面影響，希望歐盟針對即將於今年8月實施的通用人工智慧模型規範，以及預計於2026年實施的高風險AI系統規定，全面延後兩年實施，讓企業有更多準備空間，同時允許歐盟得以在更清晰及可預測的條件下完善實施準則。</p> <p>歐盟AI領袖倡議是在今年2月於巴黎舉行的AI Action Summit上正式啟動，由超過60家歐洲大型及新創企業組成，涵蓋Airbus、ASML、家樂福（Carrefour）、漢莎航空（Lufthansa）、Mercedes-Benz、Spotify及ElevenLabs等，跨及航空、製造、能源、金融、零售與AI新創等產業。另有逾20家全球主要投資機構，諸如Balderton、KKR、EQT、Insight與Lightspeed等，承諾要在未來5年內於歐洲AI領域投入1,500億歐元，包括AI技術、AI應用與AI基礎設施。</p> <p>該倡議的目標是推動政策、產業、技術與資本的合作，以強化歐洲在全球AI競賽中的地位。</p> <p>公開信指出，AI的影響不僅止於科技領域，而是將重塑整體經濟架構。但不明確且複雜的法規將會危及當地企業在全球競爭所需規模上部署AI的能力，因而發動連署以希望歐盟能在關鍵法令實施之間先暫停兩年，以創造必要的空間來制定有利於創新的實施策略，同時找到簡化監管的途徑，包括通用AI模型、高風險AI模型，以及更廣泛的數位監管。</p> </div></div></div>
2025/7/4 13:37作者陳曉莉https://www.ithome.com.tw/news/169895
中國駭客冒充知名品牌，企圖竊取消費者付款資訊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.silentpush.com/blog/fake-marketplace/#Google-Pay-Widget-Integrated-Into-Sites-to-Take-Real-Payments" target="_blank">網路情報平臺Silent Push日前披露</a>，中國駭客正在仿冒墨西哥的各種熱門品牌，並建置基於英文及西班牙文的釣魚網站，以騙取消費者的Google Pay或是信用卡資訊，迄今仍有數千個釣魚網站存活。</p> <p>一名墨西哥記者<a href="https://www.publimetro.com.mx/noticias/2025/05/26/hot-sale-2025-hackers-crean-728-paginas-falsas-de-aurrera-suburbia-pop-mart-y-mas/" target="_blank">Ignacio Gómez Villaseñor先是在今年5月底發現並報導此事</a>，當時他找到了逾700個偽裝成各種品牌的網釣網站，而且它們都來自同一個IP。</p> <p>Silent Push接著對此展開了調查，發現駭客冒充的對象涵蓋Apple、Harbor Freight Tools、Hermes、Michael Kors、REI、PayPal、Wayfair及Wrangler Jeans等知名品牌，使用以假亂真的網址，通常只是小小的拼寫錯誤，但盜用了官網的圖片與設計，企圖誘拐消費者購買並輸入信用卡資訊。</p> <p>駭客在這些釣魚網站上提供萬事達卡、Visa、PayPal及Google Pay的支付方法，以蒐集使用者的信用卡資訊，或是竊取基於虛擬信用卡的Google Pay付款金額。</p> <p>Silent Push團隊發現了數千個與該活動有關的網域名稱，就算有些網釣網站在被發現後就遭到代管平臺或是防禦方封鎖，但截至今年6月，依舊有數千個活躍的網釣網站。</p> <p>此外，該團隊也從此一網釣活動的基礎設施中找到一些技術指紋，包括中文字與字串，推斷駭客來自中國。</p> <p><a href="https://www.metacompliance.com/blog/phishing-and-ransomware/5-ways-to-identify-a-phishing-website" target="_blank">根據資安顧問公司MetaCompliance的建議</a>，辨識網釣網站的5大步驟首先要檢查網址是否拼錯字及該站有否採用SSL憑證；其次是觀察官網上的整體體驗，像是拼字及語法是否有誤，還是使用蹩腳的英文；進階的檢查則能透過WHOIS來查詢網站的所有者；或是查詢該網址在網路上的評價；以及是否採用可靠的付款方式等。</p> </div></div></div>
2025/7/4 13:59作者陳曉莉https://www.ithome.com.tw/news/169896
多款IDE延伸套件檢驗機制存在瑕疵，攻擊者可讓惡意套件顯示「已通過驗證」徽章欺騙開發人員
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>為了讓開發人員加入額外的功能，許多整合式開發環境（IDE）支援延伸套件的機制，但<a href="https://www.ox.security/can-you-trust-that-verified-symbol-exploiting-ide-extensions-is-easier-than-it-should-be/">有資安業者發現</a>，這些IDE工具驗證延伸套件的流程存在弱點，使得攻擊者有機會將惡意套件標記為已通過驗證（Verified），引誘開發人員下載、安裝，從而在電腦執行惡意程式碼。</p> <p>資安業者OX指出，他們在今年5月至6月，發現Visual Studio Code（VSCode）、Visual Studio、IntelliJ IDEA、Cursor等IDE工具，在檢驗延伸套件的驗證方式存在瑕疵，導致攻擊者能讓惡意套件偽裝成已經過驗證的狀態，進而引誘開發人員安裝，而能在開發環境執行任意程式碼。</p> <p>針對上述的發現，OX向微軟、Cursor、JetBrains通報此事，三家廠商都表示他們不會進一步處理，對此該資安業者呼籲，開發人員最好直接從官方市集安裝延伸套件，並避免以套件是否具備通過驗證的徽章，做為主要確認的依據。</p> <p>一般來說，IDE工具會向伺服器發出請求，判斷延伸套件是否通過驗證，但OX發現，這個流程只會檢驗發行者的身分，並非確認套件內容有無遭到竄改，因此，攻擊者只要盜用已通過驗證的延伸套件中繼資料（Metadata），再以此製作惡意套件，在開發人員手動安裝這些檔案的過程當中，IDE工具就會顯示套件已通過官方驗證，從而降低開發人員的戒心。</p> <p>為了映證這項發現，OX在上述4款IDE工具進行概念驗證（PoC），結果這些惡意套件都會顯示已通過驗證的標章，但安裝後，都會讓IDE工具開啟小算盤程式。</p> <p>針對研究人員的發現，3家廠商也給出說明，解釋他們為何不予處理。其中，微軟的回覆最完整，該公司表示根據他們詳細調查，這樣的現象符合設計預期，不構成需立即修補的安全漏洞。他們也強調攻擊者無法在市集發布這些有問題的延伸套件檔案，只能經由側載（side-loading）安裝到Visual Studio或Visual Studio Code。這項弱點他們評估僅有中低風險，將不會登記CVE編號，也不會發布更新，微軟安全事件回應中心（MSRC）不會進行後續追蹤。</p> <p>JetBrains則認為，開發人員手動安裝打包成ZIP檔的延伸套件是刻意為之，由於這種套件並非來自JetBrains市集，他們一律視為第三方、未經驗證的套件。JetBrains強調在開發人員手動安裝的過程裡，IntelliJ IDEA會明確顯示警告，指出使用者從不受信任的來源安裝程式碼，必須自行負責。至於Cursor，他們表示不會驗證延伸套件的簽章。</p> </div></div></div>
2025/7/4 11:56作者周峻佑https://www.ithome.com.tw/news/169892
外傳Safe Superintelligence執行長Daniel Gross將加入Meta
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.reuters.com/business/sutskever-lead-safe-superintelligence-after-meta-poaches-ceo-gross-ai-talent-war-2025-07-03/" target="_blank">路透社（Reuter）</a>與<a href="https://www.bloomberg.com/news/articles/2025-07-03/meta-hires-researcher-gross-to-join-new-ai-superintelligence-lab?embedded-checkout=true" target="_blank">彭博社（Bloomberg）</a>周四（7/3）分別引述消息來源報導，在2024年6月與OpenAI共同創辦人Ilya Sutskever一起創辦超級智慧公司Safe Superintelligence Inc（SSI）的Daniel Gross，已被延攬至Meta的超級智慧實驗室（Meta Superintelligence Labs，MSL）。雖然Sutskever證實Gross已經離職，但Gross與Meta都尚未對外公布Gross的去向。</p> <p><a href="https://www.ithome.com.tw/news/169824" target="_blank">Meta創辦人暨執行長祖克柏（Mark Zuckerberg）本周對外宣布正在籌組MSL</a>，以主導Meta未來的AI發展方向，團隊規模估計為50人，迄今已延攬的高階主管包括Scale AI的共同創辦人暨執行長Alexandr Wang、曾擔任微軟副總裁與GitHub執行長的Nat Friedman，Gross則是另一個可能的人選。</p> <p>年僅33歲的Gross曾共同創辦可蒐集使用者社交帳戶活動，並呈現其一日生活的Cue服務，也曾主導蘋果的AI服務，投資語音AI測試平臺ElevenLabs，亦曾贊助閱讀被火山爆發淹沒的碳化紙卷的維蘇威火山挑戰賽（Vesuvius Challenge）。</p> <p><a href="https://x.com/ilyasut/status/1940802278979690613" target="_blank">Sutskever透過X證實</a>Gross已於6月29日退出SSI，感謝他對公司的早期貢獻，也祝福他未來的工作一切順利。</p> <p>此外，Gross原本也擔任SSI執行長，現則由擔任科學長的Sutskever兼任。另一方面，<a href="https://x.com/danielgross/status/1940818102402666597" target="_blank">Gross僅回應</a>SSI有個出色的團隊，並未說明自己的去處。</p> <p>這些高階的AI人才大多彼此熟識，例如<a href="https://x.com/natfriedman/status/1940682802644852999" target="_blank">已到任的Friedman</a>與Gross曾共同設立一個創投基金NFDG，<a href="https://www.ithome.com.tw/news/164867" target="_blank">並參與了SSI的融資</a>。</p> <p>Meta不僅挖角Gross，<a href="https://www.wsj.com/articles/meta-offers-to-buy-stake-in-venture-funds-started-by-ai-hires-nat-friedman-and-daniel-gross-cc72ad49?st=s2bqXF&reflink=desktopwebshare_permalink" target="_blank">根據華爾街日報（The Wall Street Journal，WSJ）的報導</a>，Meta亦打算收購NFDG股份。</p> <p>AI人才爭奪戰已讓相關人才的年薪水漲船高，外傳祖克柏向頂尖人才提出了第一年1億美元、4年3億美元的優渥待遇，也促使OpenAI打算重新評估其薪酬制度，至於由前OpenAI技術長Mira Murati新創的Thinking Machines Lab也祭出逾45萬美元的年薪來吸引人才。</p> </div></div></div>
2025/7/4 11:26作者陳曉莉https://www.ithome.com.tw/news/169891
駭客聲稱竊得俄羅斯國防外包商250GB海軍作戰系統等機密文件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://cybernews.com/security/russian-defense-contractor-mars-breach-navy/" target="_blank">Cybernews報導</a>，一名駭客本周在駭客論壇上宣稱取得了俄羅斯國防外包商250GB內部文件，包括提供給俄羅斯海軍的作戰軟體資料。</p> <p>這名駭客宣稱手上持有的資料來自俄國最大國防外包商NPO MARS。NPO MARS提供了多項俄國海軍指揮控制系統，包括自動資訊交換系統TRASSA、掃雷艦自動控制系統DIEZ及船艦資訊管理系統等。</p> <p>根據這家業者高層公開說法，SIGMA和TRASSA是專為俄羅斯海軍開發控制巡邏艦、導彈艦、護衛艦、大型登陸艦及核子飛彈巡洋艦而開發。藉由竄改這些系統提供的資料，例如船艦座標和速度，則可影響俄國作戰決策。</p> <p>在2022年2月俄羅斯入侵烏克蘭後，這家業者就遭到美國、歐盟、加拿大、日本等國的制裁。</p> <p>這名駭客聲稱存取了NPO MARS數個系統，取得業者內部資料約250GB，並公布了10GB樣本資料。經過分析，這批資料有部份PDF為2017到2018年的PDF掃瞄檔，大部份技術文件為2024年，也有今年3月才建立或更新的檔案。但不確定是否所有資料都為新資料。</p> <p>目前NPO MARS並未回應此事。</p> </div></div></div>
2025/7/4 10:55作者林妍溱https://www.ithome.com.tw/news/169887
Verizon、T-Mobile上億筆資料遭到兜售，兩電信業者否認發生資料外洩事故
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國兩大電信業者Verizon、T-Mobile數千萬筆客戶資料本周被發現已流入駭客手上，並在地下網站兜售。但兩家公司否認發生資料外洩事件。</p> <p><a href="https://hackread.com/verizon-t-mobile-deny-data-breaches-user-records-sold/" target="_blank">資安媒體Hackread首先報導</a>，一名代號G_mic的地下網路論壇兜售兩家公司的客戶資料。其中Verizon 3.1GB的資料包含6100萬筆，而T-Mobile美國部門則有5500萬筆。</p> <p>根據媒體取得的樣本資料，Verizon資料涵括詳盡的資料類別，包括城市、州、性別、IP位址、電話號碼、所在位置經緯度等。從資料年份來看，至少部份資料為2025年的更新數據。Verizon為全美最大行動電信業者，用戶數達1.46億，如果6100萬為其客戶新資料，將佔總資料量的41%。</p> <p>T-Mobile部份的資料包括全名、性別、出生日期、裝置IP、cookie ID、IP位址、電子郵件、電話及完整住家地址，甚至有稅籍編號，且顯然於2025 年更新。<a href="https://en.wikipedia.org/wiki/T-Mobile_US" target="_blank">這家電信業者在美國訂閱用戶</a>有1.31億，若5500萬為真實資料，也將佔到42%。</p> <p>在接獲媒體通知後，兩公司都否認資料外洩。Verizon表示，經過檢視，這些資料是先前已經外流並張貼在暗網上的舊資料，而T-Mobile官方則否認公司近日發生資料外洩。兩公司都堅稱，這批資料和該公司或客戶都沒有關聯。</p> <p>不過媒體警告，用戶仍需小心，因為兩家公司是國家駭客及網路駭客最青睞的攻擊目標。其中T-Mobile更是有一長串資料外洩前例，從2009到2025年，至少有8起經證實的資安事件。</p> </div></div></div>
2025/7/4 09:37作者林妍溱https://www.ithome.com.tw/news/169883
Cloudflare開放容器服務，預設全球部署並與Workers深度整合
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Cloudflare<a href="https://blog.cloudflare.com/containers-are-available-in-public-beta-for-simple-global-and-programmable/">開放測試</a>新的容器（Containers）服務，這項服務目前適用於所有付費用戶，並主打與Cloudflare Workers運算服務高度整合，強調部署流程簡易、全球分布高運算彈性為主要特點。Cloudflare逐步擴展其開發者平臺，讓過去僅能在Workers執行的運算，現在也能透過Containers部署支援更廣泛的應用情境，包括多語言後端服務、影音與資料處理、批次任務與CLI工具等。</p> <p>Cloudflare Containers讓用戶只需撰寫少量設定與程式碼，透過Wrangler工具一鍵部署，即可將容器映像檔部署至Cloudflare全球節點，並由平臺自動挑選最佳地點，數秒即可啟動容器。與傳統雲端容器服務需手動管理多區域組態或調度策略不同，Cloudflare Containers支援全球部署，開發者無需考量區域配置即可就近服務全球用戶，實現低延遲且自動擴展的運算架構。</p> <p>在使用情境方面，Cloudflare Containers特別適合需要隔離執行環境的應用，如執行用戶自訂程式碼、人工智慧推論沙箱、影片轉檔或資料處理等。開發者可於Wrangler設定檔指定本地Dockerfile或現有映像檔，設定如埠口、閒置自動休眠時間與最大執行個體數。運作過程中，Containers可由Workers程式動態控制執行個體啟動與請求路由，開發者能根據工作負載與請求邏輯靈活調度，利用Cloudflare的全球資源。</p> <p>可觀測性與管理也是該服務的重點，Cloudflare Containers在管理介面內建即時監控與日誌查詢，開發者可隨時追蹤資源使用情形，日誌則可保留7天或串接至外部平臺，協助除錯與維運。</p> <p>Cloudflare Containers按用量計費，依每10毫秒實際用量計價，分別針對記憶體、CPU、儲存空間與網路流量收費，且每月內含免費額度。不同地區的流量價格有所不同，超過後則依照流量進行計價。官方同步提供多種資源規格，包括dev、basic與standard執行個體，最高可達4 GiB記憶體與半顆虛擬CPU。</p> </div></div></div>
2025/7/4 08:32作者李建興https://www.ithome.com.tw/news/169875
微軟調漲Exchange、SharePoint伺服器產品本地部署授權費10%
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://techcommunity.microsoft.com/blog/partnernews/licensing-and-pricing-updates-for-on-premises-products-july-2025/4428554" target="_blank">微軟本周宣布包括SharePoint Server、Exchange Server等伺服器本地部署授權</a>，將從7月調漲10%。而且用戶端授權費也將於8月調漲。</p> <p>微軟說，為了支援本地部署軟體的持續維護和更新，所有單獨本地部署伺服器價格，包括SharePoint Server、Exchange Server及Skype for Business Server，從7月起調價。同時，用戶端核心存取授權（Core Client Access License，CAL）套件和企業版Enterprise CAL Suite將從8月1日起，分別調漲15%和20%。</p> <p>這些調整適用於本地版伺服器產品，不影響SharePoint Online、Exchange Online和Teams，不論是個別採購或經由Microsoft 365授權購買的用戶。</p> <p>連同Exchange Server本地部署版的漲價，微軟還宣布Exchange Server訂閱版本（Subscription Edition，SE）和Skype for Business訂閱版本7月起正式上市。</p> <p>Exchange Server訂閱版本（和Skype for Business訂閱版本）是為了偏好本地部署，不想用代管版本的企業而設計。<a href="https://techcommunity.microsoft.com/blog/exchange/exchange-server-subscription-edition-se-is-now-available/4424924" target="_blank">微軟解釋</a>，和舊式產品差別在於SE由現代生命周期政策（Modern Lifecycle Policy）治理，這表示產品會持續獲得支援，Exchange SE codebase會永遠在最新狀態，不再像過去以年份編號（如Exchange Server 2019）有版本差異。</p> <p>Exchange Server SE訴諸Exchange Server 2019、2016及2013用戶升級。微軟說，為簡化從Exchange Server 2019就地升級到Exchange SE RTM，和Exchange Server 2019 CU15相較，SE版沒有移除或增加功能，AD schema不會變動、不需新的授權金鑰，安裝條件也沒變動。</p> <p>Exchange Server 2019企業用戶可以直接執行從Exchange Server 2019 CU(cumulative update) 14/15升級到Exchange Server SE。但Exchange Server 2013及2016的版本，則必須先升級到Exchange Server 2019 CU 14/15才能升級到SE。</p> </div></div></div>
2025/7/4 08:51作者林妍溱https://www.ithome.com.tw/news/169882
好的產品經理需要具備什麼特質
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/itshu_zhai_chan_pin_ling_dao_ren_zhi_dao_960_tu_pian_lai_yuan_qi_feng_zi_xun_.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-field-photo-source field-type-text field-label-hidden"><div class="field-items"><div class="field-item even">碁峰資訊</div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>你可能會認為，定義所謂「好」是件直接了當的事情。然而，就像產品世界裡的大多數事情一樣，對於是什麼讓某人成為一名好產品經理有很多不同觀點。有一個值得考慮的衡量標準是由Marty Cagan所提出：產品成功是衡量產品經理的唯一標準。</p> <p>Marty說的當然沒錯，然而，還有其他方向可以確定一名產品經理是否具備在工作中表現出色的條件嗎？是否有什麼好方法可以為產品經理提供他們改善所需的回饋和指導呢？有沒有產品部門最高主管（Head of Product，HoP）可以用來評估產品經理表現的最佳框架？我認為前兩個問題的回答顯然是肯定的，而最後一個問題的答案則是絕對的否定。沒有一種解決方案是萬能的，每位HoP都必須根據產業、公司、團隊和產品的面向，建立他自己對於好產品經理的定義。</p> <p>不幸的是，我知道太多的公司基於某些原因，沒有用文字定義什麼是好產品經理，更不用說寫下產品經理的主要任務和職責應該是什麼了。在少了這個定義的情況下，作為HoP的你怎麼知道你的產品經理的程度如何？或者有沒有成為好產品經理的潛力？更重要的是，你的產品經理自己要怎麼知道呢？</p> <p>定義你認為的「好」可為你提供一個指南針，幫助你和你的產品經理們在各種不同情境下掌握方向。這些定義每個人都可以清楚看見，同時也是你與產品經理們每次對話的其中一部分。你的團隊會清楚知道你對他們的期望，也會知道你對團隊中每個人都擁有相同的期待和標準。</p> <p>是的，你需要投資大量的時間來定義你所謂的「好」。如果你在一個非常大的產品組織中工作，你甚至需要定義出不同類型的「好」。然而，這是一項會對你帶來回報的事情——不僅在你目前的職位，整個職涯都是如此。當你在現有公司開始擔任新角色，或者決定轉職到一家全新的公司時，你都可以帶著它並隨時進行微調。</p> <p>那麼，要怎麼建立一個框架，來定義你認定的「好」呢？你可以自己想出一個方法，或者採用其他人已經開發出的方式。</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>定義對你而言重要的產品經理職責、技能和知識</strong></span></span></p> <p>PMwheel是一個用來定義產品經理職責、技能和知識非常有幫助的框架，你可以使用我的PMwheel版本，或者調整它建立屬於你自己的獨特版本，只要你擁有這類型的框架，而且能夠用在招募、入職培訓、輔導、蒐集回饋等事項上，就是一件好事。</p> <p>PMwheel的八個部分如下：</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 1. 理解問題 </span></strong></span> 你的產品經理是否了解使用者面臨的根本問題？他們是否了解目標受眾的動機、問題和信念？他們有考慮過公司/組織的需求嗎？</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 2. 尋找解決方案 </span></strong></span> 他們已經找到一些需要被解決的好問題了嗎？太棒了！他們能夠與團隊和利害關係人合作，提出一些可能的解決方案、並設計一個實驗來測試哪些方案值得建構嗎？</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 3. 做些規劃 </span></strong></span> 無論你喜歡傳統的產品路線圖，或知道如何使用最新的敏捷規劃方式，產品經理都必須準備好一份計劃和說個好故事來解釋下一步是什麼。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 4. 把事情完成！</span></strong></span> 每個產品經理都得知道如何與開發團隊合作，以將產品交付給客戶。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 5. 聆聽與學習 </span></strong></span> 一旦你釋出了一些新產品或功能，你會想要觀察人們是否有在使用以及如何使用它，並根據觀察後的學習進行迭代與改善。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 6. 團隊 </span> </strong></span>產品經理在團隊合作的部份表現如何？他們對橫向領導和團隊激勵了解多少？</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 7. 成長！</span></strong></span> 作為一個產品人，他們是否投資了一些時間在個人成長上？</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#B22222;"> 8. 敏捷 </span> </strong></span>他們只是參考其他人的敏捷工作法，還是真正理解敏捷的價值、原則和實踐方式？</p> <p>上述前五項都是產品開發流程的一部分，而後三項則較為一般性，並不限定於產品開發。我的網站上有更詳細的版本（<a href="https://www.strongproductpeople.com/pmwheel">https://www.strongproductpeople.com/pmwheel</a>），包含了許多可作為指引的引導提問，可能會對你有所幫助。</p> <p>在PMwheel中，「理解問題」的部份有17個提問，以下是其中4個範例：</p> <p><strong>● 她能夠將使用者需求轉化為產品價值和潛在收益嗎？(商業考量)</strong></p> <p><strong>● 她能夠引導出好的使用者訪談並帶來洞見嗎？她知道訪談「可以」和「無法」釐清什麼事項嗎？</strong></p> <p><strong>● 她能考量到使用者偏見和人們的心理層面嗎？</strong></p> <p><strong>● 當談論到產品經理應該「成為使用者的代言人」時，她能獲得充份的信任嗎？</strong></p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>開始使用你的定義</strong></span></span></p> <p>既然你已經對「好」的定義做了反思，接下來就應該要開始使用它了。我建議你先做一個快速測試：用這個定義來反思你的產品團隊中每一個人，檢視他們的個性特質、技能、知識、職責和價值觀。這個定義對你有幫助嗎？使用它能否為你帶來清晰的資訊？它可以幫助你設計一對一會談的架構嗎？如果還沒有達到這些效果，請持續進行調整，直到它能帶來一些成效。</p> <p>請記住，人是複雜的，即使你對「好」的定義已經像PMwheel那樣完整，它還是無法捕捉到一個人的所有面向。我發現，當我使用PMwheel時，它就像雪花的形狀一般——對於每個產品經理所做出的評估都是獨一無二的。有些產品經理在某個領域很強，也有人擅長其他領域，請務必記住這一點。</p> <p>當評估產品經理時，你可以使用0到7分的評分方式（使用這個範圍是因為它沒有中位數）。例如，如果你的產品經理對「把事情完成！」這項一無所知，那他將得到0分。反之，如果他在「把事情完成！」的表現最令人驚艷，那麼他將得到7分。在完成對所有產品經理的評估後，很重要的是再次查看整個團隊的評估結果，並進行必要的調整，例如：所有在「做些規劃」得到6分的人都一樣好嗎？</p> <p><span style="color:#B22222;"><span style="font-size:28px;"><strong>初步評估會議</strong></span></span></p> <p>現在你已經定義了你的「好」並完成了快速測試，接下來呢？</p> <p>在此要跟你說明一件之前還沒談到的事：初步評估會議。你會在這個會議上對你的產品經理們介紹你對「好」的定義，然後再和他們一起進行第一次的協同評估。為了讓這個會議對你和你的產品經理們都有效益，我建議採取以下方法：</p> <p>● 解釋你的框架以及你是如何設計它的。</p> <p>● 邀請你的產品經理進行第一次協同評估會議。請他們在PMwheel的八個部分中為自己評分（你也會準備好你對他們的評估），並請他們將團隊和公司價值納入考量。</p> <p>● 向產品經理分享你對他的評估，並解釋你在個別項目為何給出這個分數。順帶一提，產品經理給自己的評分比他們的主管給的低是很常見的情況。（在這個部分不要只著重在不足之處，還要讓他們知道，你認為他們已經做得很好的地方！）</p> <p>● 在會議中找出一個可以改善的部分，最好是一些小的、容易學習或改變的事情，你會希望他們在這個部分獲得成功。</p> <p>● 詢問他們希望更常進行這樣的討論嗎？如果是的話，多久一次？</p> <p>● 鼓勵他們提供意見，甚至反駁你的方法也可以。你的產品經理可能會有些看法，能夠立刻改善你的「好」產品經理定義。<strong>（本文摘錄整理自《產品領導人之道》，碁峰資訊提供）</strong></p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98_%E7%94%A2%E5%93%81%E9%A0%98%E5%B0%8E%E4%BA%BA%E4%B9%8B%E9%81%93_600_%E5%9C%96%E7%89%87%E4%BE%86%E6%BA%90_%E7%A2%81%E5%B3%B0%E8%B3%87%E8%A8%8A.png" style="width: 600px;" /></p> <p><span style="color:#696969;"><span style="font-size:14px;">圖片來源_碁峰資訊</span></span></p> <p><strong><span style="color:#FFFFFF;"><span style="background-color:#3399ff;"> 書名 </span></span> <span style="color:#3399ff;">產品領導人之道｜培育卓越產品經理的全方位指南</span>（Strong Product People: A Complete Guide to Developing Great Product Managers）</strong></p> <p>Petra Wille／著；李文忠(Jenson)／譯</p> <p>碁峰資訊出版</p> <p>定價：680元</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/IT%E6%9B%B8%E6%91%98_%E7%94%A2%E5%93%81%E9%A0%98%E5%B0%8E%E4%BA%BA%E4%B9%8B%E9%81%93_200.jpg" style="width: 160px;" /></p> <p><a href="https://www.petra-wille.com/" target="_blank"><span style="color:#696969;"><span style="font-size:14px;">圖片來源_Petra Wille</span></span></a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 作者簡介 </span></strong></span></p> <p><strong>Petra Wille</strong></p> <p>Petra Wille是一位獨立的產品領導力教練，自2013年以來一直在幫助產品團隊提升技能與表現。除了她的自由職業工作外，Petra還共同組織並策劃了德國漢堡的Mind the Product Engage活動。</p> </div></div></div>
2025/7/4 06:00未署名https://www.ithome.com.tw/article/169803