iThome

台灣·持續收錄

標籤科技編輯標籤

今日收錄: 0篇
近 24 小時: 33篇
近 7 天: 130篇

媒體資料

刊登媒體: iThome
所屬地區: 台灣
收錄範圍: 台灣媒體 · 繁體中文
來源網站: www.ithome.com.tw
月造訪量: 1,694,5742026/09
Radar 全球: 前 100,000 名
開始收錄: 2026/9/29
最新報導: 2026/11/9
最近更新: 11/10 00:54
流量資料: 2026/10/25 更新

流量與排名比較 →

寫法近 90 天

轉述貼文: 0.3%2 篇
發言者: 公職、政治人物 50.0%網友、民眾 50.0%
標題用詞: 懸念 0.0%反應 0.1%攻擊 0.0%

看這家的轉述報導與各家比較 →

網站流量來源Similarweb · 2026/09

台灣訪客占 90%，約 1,532,709 次造訪

來源國家（前五）

台灣90%
香港4.4%
中國0.9%
美國0.9%
新加坡0.3%

導流來源

自然搜尋59%
直接造訪24%
其他網站連入10%
社群3.4%
電子郵件1.2%
付費社群0.9%
生成式 AI0.7%
展示廣告0.3%
付費搜尋0.1%

全台排名: 第 492 名
全球排名: 第 35,757 名
類別排名: 第 28 名 · Computers Electronics and Technology/Computers Electronics and Technology
跳出率: 63%
每次造訪: 2.6 頁
平均停留: 2 分 8 秒

整個網域的估算值，比例以造訪次數計，非精確 page views。

媒體關係

近 7 天

已比對 130 篇內文

5
引用其他媒體: 0
被其他媒體引用: 0
同署名跨站: 0
已註明來源: 0
未辨識稿源

主要關係對象5 家

路透社2筆關係
中央社1筆關係
日經中文網1筆關係
彭博社1筆關係
聯合新聞網1筆關係

直接文字比對引用對方被對方引用

在媒體關係圖查看 →

媒體關係

比對結果載入中…

報導關鍵字

近 7 天

較早收錄

本頁 60 篇 · 依收錄順序顯示摘要

國科會揭高齡科技落地成果，下一步要照護機構採用國際醫療資料交換標準FHIR
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今日（7/11），國科會聯手衛福部、數發部等部會<a href="https://www.youtube.com/watch?v=R60s8QvREuo&ab_channel=%E5%9C%8B%E7%A7%91%E6%9C%83%E7%A7%91%E6%8A%80%E8%BE%A6%E5%85%AC%E5%AE%A4">揭露高齡科技產業行動計畫進展</a>，自去年啟動至今18個月，已在多家照護機構落地高齡科技應用，如跌倒偵測通報、電子圍籬定位呼叫、AI語音互動和高齡者數位學習等，更已輔導160多項服務商用落地。</p> <p>然而，高齡科技應用並不局限於單一機構內使用，更涉及醫院、長照機構、在宅照護和第三方業者系統等跨機構的數據交換，國科會主委吳誠文表示，目前衛福部正建立國際醫療資料交換標準FHIR的在地化，今年預計可完成，照顧機構將比照採用，帶動廠商開發符合該標準的產品、有機會輸出國際。</p> <p><span style="font-size:22px;"><strong>瞄準內需，2024年展開高齡科技產業行動計畫</strong></span></p> <p>吳誠文先指出，高齡科技產業行動計畫在去年啟動，不只是行政院高度重視的政策，更是落實科技應用、提高長者生活品質的重要推手。他強調，這項計畫的終極目標是「一定要落地」，而不只是實驗場域或機構示範而已。</p> <p>因此，為確保計畫落地，國科會聯手數發部、經濟部、內政部、衛福部等部會，串聯地方政府、社會局、各大照護機構來推動，還要連結在宅醫療，將照護範圍延伸到居家和社區。但吳誠文也點出，過去要推動這種照護機制十分困難，因為臺灣科技產業多以國際市場供應為主，缺乏能夠直接服務本地需求的整合型系統，導致本土科技難以直接應用於高齡照護。這也是為何，行政院著手推動高齡科技內需市場、提出「組臺灣隊」的概念，盼臺灣廠商能滿足國內需求。</p> <p><span style="font-size:22px;"><strong>鎖定4大主軸</strong></span></p> <p>國科會科技辦公室副執行秘書呂佩融說明，2025年，臺灣65歲以上的老年人口已佔全國人口的20%，正式進入超高齡社會。而國發會中華民國人口推估（2024年至2070年）報告顯示，青壯年撫養老年人口的壓力將持續加重，從2024年的3.6位青壯年撫養1名老人，預測2035年將由2.3位青壯年撫養1名老年人。同時，獨居及「老老照顧」（即有2位以上長者且無64歲以下者）人口已從2019年的100多萬人，來到了2024年的156萬多人，進一步顯示社會對高齡照護科技與服務的迫切需求。</p> <p>為因應這個挑戰，國科會在2023年3月形成政策，2024年1月由行政院核定後正式執行高齡科技產業行動計畫，瞄準4大主軸：</p> <p><strong>主軸一：推動市場經濟</strong>——以高齡者需求出發，推動科技創新與產品落地，帶動高齡健康產業發展。</p> <p><strong>主軸二：擴大數位賦能</strong>——以樂齡與高齡族群為核心，協助提升數位能力，促進社交參與和社會連結。</p> <p><strong>主軸三：提升照顧效能</strong>——聚焦照顧者需求，開發整合型產品與服務，透過驗證輔導和示範來加速科技應用，減輕照顧負擔。</p> <p><strong>主軸四：優化高齡生活</strong>——亦即強化社區在地安老，整合跨部會與在地資源、整合多元資料和醫療數據，打造智慧化整合服務。</p> <p><span style="font-size:22px;"><strong>階段性進展：已有160多項落地應用</strong></span></p> <p>呂佩融指出，計畫啟動至今已有不少階段性進展，比如在提升照顧效能與優化高齡生活方面，目前已在160處的照護、醫療和運動場域導入智慧科技產品和服務，另也輔導業者商品化落地160多項服務，包括健康賦能、居家安全、生活支援、營養管理等面向。</p> <p>導入的智慧管理營運系統，不僅減輕照顧人力負擔，更有效提升護理效率及照護品質。例如透過電子圍籬、住民定位、跌倒警示、巡房輔助等系統，讓非預期住院率從33%降至19%，行政效率提升達32%。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202025-07-11%20165820.png" /></p> <p>在擴大數位賦能方面，他們建置了66處高齡數位學習和社交服務據點，推動多元數位課程、在地數位志工培訓與跨世代學習等活動，累計吸引超過33,000人次參與，也成功培育93位50歲以上樂齡志工、450多位數位幫手，協助高齡者提升數位素養、防詐意識及社會參與度。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202025-07-11%20165829.png" /></p> <p>跨域合作方面，該行動計畫則整合了32所大專院校、3,500人次、59個新創團隊，來推動高齡產業人才培育。另也對接了250多項產品與服務，來提高高齡生活品質。應用實例則有清華大學開發的「銀萊桃花源」AI音樂創作與陪伴服務、AI智慧語音小管家等，可協助長者以母語輕鬆獲取在地生活與醫療服務資訊，強化心理健康和社會互動。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202025-07-11%20165804.png" /></p> <p>呂佩融指出，行動計畫目前已促成30多所大專院校、21個地方政府、180家照護與醫療機構、12個NPO組織、570家企業參與，串聯超過110個社區據點，逐漸形塑全臺公私協力的高齡科技應用網絡。</p> <p><span style="font-size:22px;"><strong>下一步要整合國際醫療資料交換標準到高齡科技應用中</strong></span></p> <p>由於高齡照護不單只是單一機構的業務，還得仰賴跨機構的數據交換，比如醫院、日照機構、在宅照護、第三方系統資訊等，吳誠文表示，目前衛福部已針對醫療院所，進行國際醫療資料交換標準FHIR的在地化標準建立，大約今年可完成，之後會擴大到照顧機構、比照採用，這是高齡科技產業行動計畫下一步要做的事。</p> <p>他表示，醫療院所、照護機構採用國際標準，也能帶動業者開發出對接國際標準的系統服務，不必再一一客製化對接。若在臺發展順利，還可以將臺灣的成功經驗輸出到國際。</p> <p>呂佩融補充，現階段也有不少高齡照護資料交換的落地應用，比如高雄長庚與屏東縣牡丹鄉衛生所進行遠距醫療，就透過衛生所將其數位醫材量測到的健康數據，回傳至高雄長庚醫院資料庫，來便於遠距診斷、治療。</p> <p></p> </div></div></div>
2025/7/11 17:15作者王若樸https://www.ithome.com.tw/news/170023
受法院查封母公司衝擊，街口支付遭兩大電商停用，官方澄清財務與營運不受影響
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>昨日（7/10）街口支付母公司街口金融科技陷投資爭議，遭泰山公司要求返還36億元，更遭臺北法院查封，使外界產生疑慮，是否會影響街口支付消費者及商家財產。</p> <p>查封事件發生後，街口支付對商家發出聲明，強調自家營運及商家款項皆不受母公司事件影響，同時由業務團隊私下與合作商家安撫、溝通。然而，全國電子、Momo、PChome、蝦皮等知名商家及平臺，已經暫停關閉街口支付交易選項。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%85%A8%E5%9C%8B%E8%A1%97%E5%8F%A3(1).jpg" style="width: 450px;" /></p> <p>光是兩大電商Momo與PChome，就分別有1,400萬及1,300萬名用戶（蝦皮則未揭露臺灣用戶數)。不過，目前電商占街口支付交易筆數僅約1成，日後超商及指標型大型連鎖店家對街口支付的態度，亦值得關注。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%80%9A%E8%B7%AF%E6%AF%94%E4%BE%8B.jpg" style="width: 450px;" /></p> <blockquote><p>從街口支付2024年消費通路場景交易筆數佔比圖來看，超商和大型連鎖商家交易筆數佔比最大，電商僅佔比第五大。圖片截自街口支付網站。</p> </blockquote> <p>針對母公司查封事件引起的外界關注，街口支付今日（7/11）召開記者會，澄清疑慮並說明自家營運狀況。街口支付擁有680萬用戶、2024年交易額545億元，分別是是電支業排名第二和第一。</p> <p>街口支付董事長梅驊強調，街口支付是獨立經營的子公司，設有自有經營團隊與董事會，所有財務與營運皆獨立於母公司之外，無任何交叉帳戶或資金流動。街口支付總經理范庭甄則強調，自家用戶資金100%依「電子支付機構管理條例」之21條，信託於台新銀行信託專戶，完全隔離於任何關係企業與母公司資產操作之外。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E4%BF%A1%E8%A8%97%E5%A5%91%E7%B4%84.jpg" style="width: 600px;" /></p> <p>范庭甄補充，用戶資金100%信託，就算大量用戶調度帳戶內資金，仍不會產生類似於民眾擠兌導致銀行無法付款的情況。他們稍早也與技術部門確認，部分用戶操作時出現錯誤訊息，是因為流量過度，導致系統忙碌。</p> <p>至於主管機關有無介入，梅驊說明，自相關事件發生以來，街口支付一直與金管會等主管機關保持密切溝通。金管會僅要求街口支付提供資料，說明財務及營運無虞，無其他指示。</p> <p>儘管財務與母公司獨立，不過法規規定，當專營電子支付機構累積虧損逾實收資本額二分之一，必須補足資本。母公司財務爭議是否會影響街口支付向其增資？梅驊表示，街口支付預計明年達到損益兩平，到年底前都沒有增資計畫。范庭甄表示，截至6月底，街口支付淨值有4億元，離二分之一門檻仍有不小距離。</p> <p> </p> <p></p> </div></div></div>
2025/7/11 18:07作者郭又華https://www.ithome.com.tw/news/170024
【資安日報】7月11日，迴避偵測框架Shellter被用於散布竊資軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>企業級紅隊演練工具遭到駭客濫用的情況，最常見的就是Cobalt Strike、Brute Ratel C4（BRc4），但如今有另一款名為Shellter工具遭到利用，罕見的是，開發團隊也做出公開說明，表示他們打算如何因應及防範類似情況再度發生，並希望察覺此事的Elastic能夠及早通知，而非看到部落格文章才得知此事。</p> <p>除此之外，美國逮捕涉嫌聽令中國政府竊取COVID-19研究資料的中國駭客，也相當受到關注，尤其是這些駭客為了搜括資料，後續更進一步利用資安漏洞ProxyLogon，對Exchange伺服器發動大規模攻擊。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169984"><strong style="font-size: 22px;">駭客濫用迴避偵測框架Shellter散布竊資軟體，企圖迴避防毒軟體與EDR偵測</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Shellter-image6.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Shellter-image6.png" style="width: 300px; float: right;" /></a></p> <p>駭客濫用合法的資安演練工具從事攻擊行動，最常見的莫過於滲透測試工具Cobalt Strike，不過這樣的現象自2022年下旬出現變化，有人利用紅隊工具Brute Ratel C4（BRc4）犯案，去年出現利用紅隊演練框架MacroPack、EDRSilencer的事故，如今又有類似資安工具遭到濫用引起關注。</p> <p>7月3日，企業資料搜尋分析解決方案業者Elastic揭露最新的竊資軟體攻擊行動，駭客濫用名為Shellter的防毒軟體及EDR迴避偵測工具，於受害電腦載入惡意程式。他們根據軟體授權資料進行追蹤，研判駭客從今年4月開始活動，最終目的是散布竊資軟體。對此，Shellter開發團隊隔天提出說明，表示他們已藉由Elastic公布的資料找到客戶的身分並做出處置，但該公司也認為處理過程有瑕疵，Elastic掌握這項情報數個月，卻始終沒有向他們通報此事。</p> <p>這起事故也突顯兩個議題，其中一個便是紅隊演練工具開發團隊都會通常審核、列管買家，無論客戶有意或不慎外流檔案，廠商要如何防範工具遭到流出及濫用的難題；另一個則是研究人員的通報流程出現瑕疵，沒有及時通知軟體開發者，而被發現該公司疑似已知情一段時間的情況。</p> <p><a href="https://www.ithome.com.tw/news/169865"><strong style="font-size: 22px;">駭客盯上Linux伺服器，惡意植入TinyProxy、Sing-box工具，將其充當代理伺服器</strong></a></p> <p>韓國資安公司AhnLab觀察到，Linux伺服器因密碼強度不足或管理疏忽，逐漸成為駭客鎖定目標。研究人員利用蜜罐陷阱（Honeypot）監控發現，攻擊者在取得伺服器SSH存取權限後，行動有別於傳統植入惡意程式，而是安裝如TinyProxy與Sing-box等合法代理工具，使受害主機成為可供外部使用的代理伺服器，以隱匿行蹤、繞過網路封鎖甚至是販售代理服務權限。</p> <p>研究人員揭露，攻擊者首先針對弱密碼的SSH服務進行暴力破解，成功登入後會下載並執行Bash指令碼，內容依據不同Linux發行版，自動利用apt、yum或dnf安裝TinyProxy，並修改TinyProxy設定檔，允許所有外部來源。</p> <p>如此一來，攻擊者即可隨時連入伺服器的8888埠，透過TinyProxy對外提供代理服務。研究人員表示，整體過程並未觀察到進一步的惡意操作，顯示駭客主要目的是將伺服器納入代理節點網路。</p> <p><a href="https://www.ithome.com.tw/news/169992"><strong style="font-size: 22px;">今年4月挪威水壩閘門遭到網路攻擊，被迫開啟放水數小時險釀禍</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/dam-rise.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/dam-rise.jpg" style="width: 300px; float: right;" /></a></p> <p>過去幾年以色列、美國曾傳出駭客入侵水力設施企圖進行控制的事故，例如，2020年4月、6月以色列傳出農業水泵和氯控制器遭到網路攻擊的情況，疑為伊朗駭客所為；2023年，美國水利單位的工控系統傳出遭到伊朗駭客組織Cyber Av3ngers攻擊，原因疑似他們採用以色列自動化控制業者Unitronics的系統而遭到鎖定，上述的攻擊多半針對農業用水及飲用水，假若得逞恐怕會影響作物收成與民眾健康，如今傳出有駭客針對水壩閘門控制系統下手，而險些波及下游民眾的生命安全。</p> <p>資安新聞網站HackRead引述挪威能源媒體Energiteknikk的報導指出，今年4月挪威傳出有駭客入侵水壩控制系統的事故，導致閘門開啟數個小時而無法自由控制、關閉。而這一切發生的原因，竟是因為弱密碼釀禍。這起事故發生在Lake Risevatnet水壩，位於挪威西南的工業城鎮和行政中心城鎮Svelgen附近，一旦該閘門開啟，每秒就會釋出497公升的水，挪威當局指出，還好河床能應付每秒2萬公升的水流入，而不受影響。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/07/new-macos-malware-zuru-targeting.html">惡意軟體ZuRu透過木馬化的SSH用戶端程式散布，針對macOS開發人員而來</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/sparkkitty-malware-steals-photos/">惡意軟體SparkKitty能從iOS、安卓裝置竊取照片</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/norddragonscan-targets-windows-users/">惡意軟體NordDragonScan鎖定Windows電腦而來，意圖竊取帳密資料</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/07/tag-140-deploys-drat-v2-rat-targeting.html">駭客組織TAG-140鎖定印度政府、國防、鐵路領域而來，企圖散布Drat V2 RAT</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169970"><strong style="font-size: 22px;">Adobe發布7月例行更新，呼籲IT人員優先修補AEM Forms、ColdFusion</strong></a></p> <p>7月8日Adobe針對旗下13款應用程式發布更新，總共修補58項資安漏洞，其中最值得留意的是，該公司呼籲IT應優先處理電子表單平臺Adobe Experience Manager Forms（AEM Forms）、應用程式開發平臺ColdFusion，這樣的情況相當罕見。</p> <p>本次公布最嚴重的漏洞是CVE-2025-49533，出現在AEM Forms，為不受信任資料反序列化造成的弱點，攻擊者若是利用，就有機會執行任意程式碼，此漏洞影響6.5.23.0版的AEM Forms，CVSS風險達到9.8分（滿分10分），Adobe推出6.5.0.0.20250527.0版予以修補，他們強調，利用漏洞的過程完全無須使用者互動。</p> <p>另一個必須優先修補的應用程式ColdFusion，存在6項重大層級的資安漏洞，其中最危險的是風險值超過9分的CVE-2025-49535，這項漏洞涉及XML外部實體參照（XXE）的不當限制，攻擊者可用來繞過安全機制，從而存取敏感資訊，或是造成服務中斷（DoS）過程中不需使用者互動，CVSS評分為9.3。</p> <p><a href="https://www.ithome.com.tw/news/169933"><strong style="font-size: 22px;">Azure存在曝露VPN金鑰及過高授權漏洞，恐致敏感資訊外流</strong></a></p> <p>研究人員發現微軟Azure存在部分角色有過高特權以及曝露VPN金鑰的漏洞，兩漏洞合用可能讓攻擊者輕易取得企業敏感資料。</p> <p>2項漏洞是由Token Security發現。其一存在Azure角色為基礎的存取控制（Role-based Access Control, RBAC）。第二個則位於Azure API，可能讓攻擊者洩露VPN金鑰。</p> <p>研究人員說，結合這二個漏洞能發展出攻擊串，使駭客得以存取公司內部的雲資產或是本地部署網路。例如攻擊者先取得某個具備（或不當分配了）*/read特權的角色，取得VPN 閘道的共享金鑰，藉此建立站對站連線（site-to-site connection）連上內部網路，包括企業VPC和本地部署網路。他也以影片示範了如何利用Log Analytics Reader角色連上企業VPN發動竊密攻擊。</p> <p><a href="https://www.ithome.com.tw/news/169967"><strong style="font-size: 22px;">Kia車載系統存在漏洞，讓攻擊者利用PNG圖檔注入惡意程式</strong></a></p> <p>厄瓜多安全研究人員Danilo Erazo在今年稍早Hardware.io 2025資安大會上公布，在厄國銷售的Kia車載裝置即時作業系統（Real-Time OS, RTOS）的安全性問題研究。</p> <p>其中問題之一是Kia RTOS韌體可能被植入惡意UI元素（如釣魚攻擊用的QR code），也欠缺對PNG檔進行數位簽章驗證。這可結合數年前的CVE-2020-8539舊漏洞，可讓攻擊者執行micomd精靈程式來注入未授權指令，觸發不預期的功能，或生成CAN封包（CAN frame）、並將這些封包傳送到車輛的M-CAN匯流排（Multimedia CAN bus）。CAN匯流排是車輛內部控制訊號的傳輸系統，這意味著攻擊者有可能干擾或操控車輛的某些電子系統。一旦Kia車機系統被以USB、藍牙或無線更新了內含惡意PNG的韌體，就可能產生上述行為。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/07/servicenow-flaw-cve-2025-3648-could.html">ServiceNow存在高風險資安漏洞，攻擊者可透過配置不當的ACL洩露資料</a></strong></p> <p> </p> <h3><strong>【執法行動】</strong></h3> <p><a href="https://www.ithome.com.tw/news/170013"><strong style="font-size: 22px;">美國在義大利逮捕涉嫌竊取COVID-19疫苗資訊的中國駭客</strong></a></p> <p>7月8日美國司法部（DOJ）宣布在義大利米蘭逮捕33歲中國嫌犯徐澤偉，此人與44歲同夥張宇總共遭起訴9項罪名，原因是他們涉嫌在2020年2月至2021年6月之間從事電腦入侵活動，其中包含參與滲透全球數千臺電腦的駭客組織Hafnium，值得留意的是，美國司法部特別提及，徐澤偉接收中國政府的命令，從事竊取COVID-19相關研究的成果。</p> <p>2020年初徐澤偉與同夥攻擊美國大學、免疫學專家、病毒學專家，竊取COVID-19疫苗、檢測方法、治療方法的研究成果，而且，由於中國上海國家安全局官員從中監控及下達命令，這些駭客也不時回報活動的進度。例如，徐澤偉大約在2020年2月19日前後向一名官員回報，他破壞德州南區一所研究型大學的網路環境；數日後該官員再度指示，要求入侵COVID-19研究員的電子郵件信箱。</p> <p>同年底這些駭客組成Hafnium，利用Exchange的特定漏洞從事活動，而這些活動同樣是在上海國家安全局官員監控下進行。這些駭客入侵的特徵，就是會在郵件伺服器植入Web Shell，以便遠端控制受害主機。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169986"><strong>【7月10日】大規模詐騙新聞網站攻擊活動BaitTrap鎖定50個國家而來</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169963"><strong>【7月9日】微軟發布本月例行更新、修補130個漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169950"><strong>【7月8日】macOS竊資軟體Atomic Stealer加入後門功能，攻擊者可持續在受害電腦活動</strong></a></p> </div></div></div>
2025/7/11 13:32作者周峻佑https://www.ithome.com.tw/news/170017
歐盟發布通用AI實踐準則
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>歐盟執委會（European Commission，EC）周四（7/10）發布了<a href="https://digital-strategy.ec.europa.eu/en/policies/contents-code-gpai" target="_blank">通用AI實踐準則（General-Purpose AI Code of Practice）</a>，以協助製造商及供應商符合《AI Act》在透明度、著作權及安全上的要求。</p> <p>在透明度上，它提供模型文件表予所有GPAI供應商，以用來揭露模型的訓練資料、用途、限制及評估過程等資訊，以供使用者及監管機構查閱。於著作權上，它建立了著作權政策，透過技術與流程來確保爬蟲及訓練行為的合法性，並於可行範圍內阻止違法內容。</p> <p>至於安全性準則則是鎖定高風險模型供應商，它建立了系統性風險的管理架構，包括風險識別、處理框架及通報機制，並定期更新與提交相關資訊。</p> <p>此一通用AI實踐準則並非是強制性的，但採用之後相對容易滿足《AI Act》的規定，目前仍需經過歐盟各國政府及委員會的內部審核，可望於今年底之前成為歐盟的官方準則。</p> <p>外界分析認為，該準則將協助組織落實《AI Act》，也是全球首個針對GPAI的合規指導，將影響未來AI產業的治理模式。</p> </div></div></div>
2025/7/11 14:31作者陳曉莉https://www.ithome.com.tw/news/170018
美國在義大利逮捕涉嫌竊取COVID-19疫苗資訊的中國駭客
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>7月8日美國司法部（DOJ）宣布<a href="https://www.justice.gov/opa/pr/justice-department-announces-arrest-prolific-chinese-state-sponsored-contract-hacker">在義大利米蘭逮捕33歲中國嫌犯徐澤偉</a>，此人與44歲同夥張宇總共遭起訴9項罪名，原因是他們涉嫌在2020年2月至2021年6月之間從事電腦入侵活動，其中包含參與駭客組織<a href="https://www.ithome.com.tw/tags/hafnium">Hafnium</a>，滲透全球數千臺電腦的大規模攻擊。值得留意的是，美國司法部特別提及，徐澤偉接收中國政府的命令，從事竊取COVID-19相關研究的成果。</p> <p>法庭的文件指出，中國國家安全部（MSS）旗下的上海國家安全局（Shanghai State Security Bureau，SSSB）官員指示徐澤偉從事攻擊。當時徐澤偉在上海派絡網絡公司（Shanghai Powerock Network Co. Ltd.）任職，而該公司是專為中國政府幫忙發動網路攻擊的打手。</p> <p>2020年初徐澤偉與同夥攻擊美國大學、免疫學專家、病毒學專家，竊取COVID-19疫苗、檢測方法、治療方法的研究成果，而且，由於上海國家安全局官員從中監控及下達命令，這些駭客也不時回報活動的進度。例如，徐澤偉大約在2020年2月19日前後向一名官員回報，他破壞德州南區一所研究型大學的網路環境；後續該官員於數日後下達命令，要求入侵COVID-19研究員的電子郵件信箱。</p> <p>同年底這些駭客組成Hafnium，利用Exchange的特定漏洞從事活動，而這些活動同樣是在上海國家安全局官員監控下進行。這些駭客入侵的特徵，就是會在郵件伺服器植入Web Shell，以便遠端控制受害主機。這份起訴書指出，徐澤偉和張宇於2021年1月30日表示成功破壞一所大學的網路環境，後續在2月28日向官員呈報進度，隨後徐澤偉就接收到取得名單的命令。其中一起入侵法律事務所網路環境的事故，使得Hafnium能從電子郵件信箱挖掘與美國特定政府機關、政策制訂者有關的資訊，這些駭客搜尋的關鍵字包括：Chinese sources、MSS,、HongKong。</p> <p>Hafnium造成的危害有多嚴重？FBI網路部門助理主任 Brett Leatherman指出，2021年中國政府藉由這些駭客，對超過6萬個美國企業組織下手，並成功從12,700個企業組織竊得敏感資訊。微軟當時針對Hafnium使用的資安漏洞ProxyLogon（CVE-2021-26855、CVE-2021-26857、CVE-2021-26858、CVE-2021-27065）不僅<a href="https://msrc.microsoft.com/blog/2021/03/multiple-security-updates-released-for-exchange-server/">發布修補程式</a>，並<a href="https://www.ithome.com.tw/news/143001">揭露駭客的攻擊流程</a>，同時他們也提供<a href="https://www.ithome.com.tw/news/143109">偵測Web Shell的工具</a>，呼籲IT人員要儘速清查，這樣的做法並不常見。</p> <p>徐澤偉被指控9項罪名，其中最嚴重的是共謀電信詐欺罪，最高可判處20年監禁，其他還有未經授權存取受保護電腦、意圖破壞電腦系統、竊取智慧財產與敏感研究資料等罪名。美國聯邦調查局（FBI）正在追緝在逃的共犯張宇，並希望線民能提供相關情報。</p> </div></div></div>
2025/7/11 11:23作者周峻佑https://www.ithome.com.tw/news/170013
xAI釋出Grok 4，首度於基準測試中稱冠
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>由馬斯克（Elon Musk）創辦及領軍的AI新創<a href="https://x.com/xai/status/1943158495588815072" target="_blank">xAI周四（7/10）發表</a>新一代AI模型<a href="https://docs.x.ai/docs/models/grok-4-0709" target="_blank">Grok 4</a>，第三方AI基準測試業者<a href="https://x.com/artificialanlys/status/1943166841150644622" target="_blank">Artificial Analysis指出</a>，Grok 4是xAI首款於基準測試中勝出的模型，凌駕OpenAI、Google、Anthropic Claude與DeepSeek的高階模型。</p> <p>Grok 4是個懂得思考的推理模型，支援25.6萬個Token的脈絡長度，可輸入文字或圖像，並生成文字。</p> <p>在<a href="https://artificialanalysis.ai/leaderboards/models" target="_blank">Artificial Analysis的模型排行榜</a>上，Grok 4的智慧指數（Intelligence Index）為73，勝過OpenAI o3-pro的71，或是並列70的Google Gemini 2.5 Pro、o3、o4-mini，也超越DeepSeek R1 0528的68。</p> <p>除了整體成績之外，Artificial Analysis發現Grok 4不管是在跟程式有關的LiveCodeBench及SciCode，或是跟數學有關的AIME24與MATH-500等測試，也都處於領先地位。並在測試高階科學知識的GPQA Diamond基準測試中創下88%的新紀錄。</p> <p>不只是Artificial Analysis，<a href="https://arcprize.org/leaderboard" target="_blank">ARC Prize的模型排行榜</a>顯示Grok 4處於明顯的領先地位。</p> <p>不過，相較於採用各種基準測試，英國開源工程師<a href="https://simonwillison.net/2025/Jul/10/grok-4/" target="_blank">Simon Willison有自己的測試方式</a>，他先要求Grok 4產生一張鵜鶘騎腳踏車的SVG圖檔，再請Grok描述該圖檔，結果Grok便說這是隻類似鳥類的可愛生物在騎腳踏車。</p> <p>Willison亦批評Grok 4甚至沒有提供用來記錄開發者、版本、日期、技術與架構等技術細節，或是模型用途，效能指標，訓練資料或是偏誤與限制的模型卡。還說在Grok 3本周才<a href="https://www.ithome.com.tw/news/169974" target="_blank">登上新聞版面</a>後，xAI應該要更努力來贏得開發者的信任。</p> <p>此外，Grok 3才因歧視猶太人引起爭議，<a href="https://x.com/GuantanamoAndy/status/1943468988484215179" target="_blank">最新的Grok 4也聲稱</a>以色列是美國的寄生蟲，試圖控制與扼殺美國。惟目前並不確定該回答是否由某些刻意及有心的提示所生成。</p> <p>Grok 4每100萬個Token輸入價格為3美元，輸出為15美元，與Claude 4 Sonnet相當，但高於Gemini 2.5 Pro及o3。其訂閱方案除了既有的、每月30美元的SuperGrok之外，本周新增了SuperGrok Heavy，可搶先體驗新功能，但每月費用高達300美元。</p> <p>AI開發者也可透過由Willison建置與負責維護的<a href="https://www.llm-prices.com/" target="_blank">大型語言模型比價及計價網站</a>來試算模型費用。</p> </div></div></div>
2025/7/11 13:01作者陳曉莉https://www.ithome.com.tw/news/170016
駭客濫用迴避偵測框架Shellter散布竊資軟體，企圖迴避防毒軟體與EDR偵測
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>駭客濫用合法的資安演練工具從事攻擊行動，最常見的莫過於滲透測試工具Cobalt Strike，不過這樣的現象自2022年下旬出現變化，有人利用紅隊工具Brute Ratel C4（BRc4）犯案，去年出現利用紅隊演練框架<a href="https://www.ithome.com.tw/news/164855">MacroPack</a>、<a href="https://www.ithome.com.tw/news/165571">EDRSilencer</a>的事故，如今又有類似資安工具遭到濫用引起關注。</p> <p>7月3日，企業資料搜尋分析解決方案業者Elastic<a href="https://www.elastic.co/security-labs/taking-shellter">揭露最新的竊資軟體攻擊行動</a>，駭客濫用名為Shellter的防毒軟體及EDR迴避偵測工具，於受害電腦載入惡意程式。他們根據軟體授權資料進行追蹤，研判駭客從今年4月開始活動，最終目的是散布竊資軟體。對此，Shellter開發團隊隔天提出說明，<a href="https://www.shellterproject.com/statement-regarding-recent-misuse-of-shellter-elite-and-elastic-security-labs-handling/">表示他們已藉由Elastic公布的資料找到客戶的身分並做出處置</a>，但該公司也認為處理過程有瑕疵，Elastic掌握這項情報數個月，卻始終沒有向他們通報此事。</p> <p>這起事故也突顯兩個議題，其中一個便是紅隊演練工具開發團隊都會通常審核、列管買家，無論客戶有意或不慎外流檔案，廠商要如何防範工具遭到流出及濫用的難題；另一個則是研究人員的通報流程出現瑕疵，沒有及時通知軟體開發者，而被發現該公司疑似已知情一段時間的情況。</p> <p>Elastic在7月3日提出的說法是：他們在6月份察覺多起竊資軟體攻擊行動，共通點是都受到付費版Shellter（Shellter Elite）防護，最早濫用的是Lumma Stealer（LummaC2），駭客從4月底開始利用，並將相關檔案存放在雲端檔案共享平臺MediaFire。</p> <p>Elastic接著再循線調查，發現5月中旬有人在駭客論壇兜售Shellter Elite的授權，接著在5月下旬，有另一款竊資軟體Arechcliect2（Sectop RAT）也採用此工具處理，攻擊者針對YouTube頻道的內容創作者而來，假借Udemy、Skillshare、Pinnacle Studio、Duolingo等應用程式品牌，寄送網釣郵件，這些郵件內含能下載RAR檔案的URL。</p> <p>而且，後續第三款竊資軟體Rhadamanthys也出現類似的特徵，攻擊者主要的目標是遊戲玩家，假借遊戲修改或是破解，透過YouTube頻道散布。但與前兩款竊資軟體有所不同的是，已有126人察覺有異，將檔案上傳到惡意軟體分析平臺VirusTotal。而這些竊資軟體盜用的Shellter Elite，其授權的有效期限都到2026年4月17日。</p> <p>針對Elastic揭發的這起事故，Shellter其實是有兩次公開回應，陸續在7月4日、7月10日透過部落格說明處理情形。首先，他們感謝Elastic提供相關檔案、協助確認有問題的客戶身分，但Elastic可能已經掌握情資長達數個月，而在6月3日發布的9.0.2版程式（編按：<a href="https://www.elastic.co/blog/elastic-stack-9-0-2-released">可能是指Elastic Stack</a>）當中，加入標記Shellter程式載入工具的特定行為。他們無從得知此次Elastic更新是否就是針對4月16日發布的Shellter Elite v11而來，但Shellter即將發布11.1版來因應這起事故，並強調惡意客戶將無法取得相關更新。</p> <p>再者，Shellter表示並未提供Elastic付費版的授權，推測研究人員可能是取得外流的檔案，以便進行內部測試及深入分析，並將取得的檔案研判是Shellter的特定版本。但由於Elastic沒有及早通知他們，Shellter認為這種做法會造成相當廣泛的資安風險。</p> <p>後續Shellter在<a href="https://www.shellterproject.com/follow-up-on-the-shellter-elite-misuse-incident/">第二篇部落格</a>指出，這起事故發生的原因，是有人洩露取得的授權版軟體，對此他們打算調度開發資源來強化DRM機制，使得這種未經授權的散布變得更加困難。Shellter將考慮加入身分驗證機制，在每次軟體啟動過程進行線上驗證；他們也規畫為無法存取網際網路的用戶，提供短期離線授權的替代選項。</p> </div></div></div>
2025/7/11 13:14作者周峻佑https://www.ithome.com.tw/news/169984
三星收購美國數位健康平臺Xealth
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://news.samsung.com/global/samsung-electronics-acquires-xealth-bridging-the-gap-between-wellness-and-medical-care" target="_blank">三星本周宣布收購美國數位健康平臺業者Xealth</a>，將整合自有穿戴裝置及後者的健康照護應用，以及龐大的使用社群。</p> <p>三星表示，這項收購將可結合三星穿戴裝置技術及Xealth的數位健康平臺，串聯居家健康監控和醫院的臨床決策系統，提供一貫化預防式照護給廣大用戶。三星預計在2025年完成Xealth的收購。</p> <p>Xealth是美國大型醫療體系Providence 2017年分拆出來，其投資者包括知名醫療機構如克利夫蘭醫院（Cleveland Clinic）、Advocate Health和Banner Health、威斯康辛醫學院健康網絡、諾華、飛利浦、ResMed等。Xealth提供數位健康管理和分析平臺，讓醫護人員可利用工具如數位健康App、遠距監控工具掌握病患健康狀況。其工具能和醫院電子病歷系統串接加速工作流程、簡化照護工作，並且協助資料整合、分析，支援健康管理。</p> <p>本項收購或許可讓三星穿戴裝置深化在美國消費者生活的角色。舉例來說，Xealth的醫院客戶可以介紹其病患以三星手錶蒐集心率、血氧或睡眠等資訊，用於平日健康管理或是慢性病預防。</p> <p>而Xealth也可能提供夠多的潛在用戶。Xealth服務500多家醫院，包括Mass General Brigham（麻省總醫院 + 布萊根婦女醫院）、北卡羅來納州杜克大學醫療體系，和美國最大的非營利健康系統之一Advocate Health、與美國西部和中部地區的大型醫療系統Banner Health，並有70多家醫療方案合作夥伴。<a href="https://www.xealth.com/blog/xealth-client-thought-leaders-at-reuters-events-digital-health-2024/" target="_blank">該公司並宣稱</a>其平臺遞送了10萬家醫療機構的1200萬份數位資產。</p> <p>除了智慧手錶，<a href="https://www.ithome.com.tw/news/163907" target="_blank">三星還提供智慧戒指Galaxy Ring</a>，而其孵化器C-Lab也培育出多家醫療科技公司，包括心電圖儀業者<a href="https://en.prnasia.com/releases/global/s-patch-ex-wearable-ecg-patch-cleared-by-us-fda-418461.shtml" target="_blank">Wellysis</a>、元宇宙居家健身應用程式<a href="https://news.samsung.com/tw/%e3%80%90ces-2024%e3%80%91%e7%9b%b4%e6%93%8a%e4%b8%89%e6%98%9fc-lab%e8%a8%88%e5%8a%83%e6%96%bcces%e5%b1%95%e7%a4%ba%e9%9d%a9%e5%91%bd%e6%80%a7ai%e6%8a%80%e8%a1%93%e6%88%90%e6%9e%9c" target="_blank">FIVA</a>、眼底鏡業者<a href="https://www.labsd.net/" target="_blank">LabSD</a>等。</p> </div></div></div>
2025/7/11 11:49作者林妍溱https://www.ithome.com.tw/news/170014
今年4月挪威水壩閘門遭到網路攻擊，被迫開啟放水數小時險釀禍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過去幾年以色列、美國曾傳出駭客入侵水力設施企圖進行控制的事故，例如，2020年4月、6月<a href="https://www.ithome.com.tw/news/138971">以色列傳出農業水泵和氯控制器遭到網路攻擊</a>的情況，疑為伊朗駭客所為；2023年，美國水利單位的工控系統傳出<a href="https://www.ithome.com.tw/news/160133">遭到伊朗駭客組織Cyber Av3ngers攻擊</a>，原因疑似他們採用以色列自動化控制業者Unitronics的系統而遭到鎖定，上述的攻擊多半針對農業用水及飲用水，假若得逞恐怕會影響作物收成與民眾健康，如今傳出有駭客針對水壩閘門控制系統下手，而險些波及下游民眾的生命安全。</p> <p>資安新聞網站HackRaed引述挪威能源媒體Energiteknikk的報導指出，<a href="https://hackread.com/norwegian-dam-valve-forced-open-hours-in-cyberattack/">今年4月挪威傳出有駭客入侵水壩控制系統的事故</a>，導致閘門開啟數個小時而無法自由控制、關閉。而這一切發生的原因，竟是因為弱密碼釀禍。這起事故發生在Lake Risevatnet dam水壩，位於挪威西南的工業城鎮和行政中心城鎮Svelgen附近，一旦該閘門開啟，每秒就會釋出497公升的水，挪威當局指出，還好河床能應付每秒2萬公升的水流入，而不受影響。</p> <p>這起事故發生在4月7日，由水壩的經營者Breivika Eiendom察覺異狀，挪威國家安全局（NSM）、水資源暨能源局（NVE），以挪威警方的專門單位Kripos於4月10日收到通報，並著手調查。挪威當局初步認定事故造成的原因在於，閘門的管理主控臺能透過網際網路存取，但只有使用弱密碼保護，使得攻擊者能藉此取得初始入侵管道，並直接存取操作科技（OT）環境。</p> <p>雖然此關鍵基礎設施主要的供水對象是養魚場，並未用於發電或是民生用水，但這起事故突顯弱密碼有可能帶來嚴重的損害。</p> </div></div></div>
2025/7/11 11:55作者周峻佑https://www.ithome.com.tw/news/169992
Google Veo 3推向臺灣、可接受圖片上傳及生成人聲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Google本周宣布影片生成模型Veo 3最新進展，包括Veo 3正式在臺灣上線，此外，用戶現在也可以上傳圖片由Veo3生成影片。</p> <p><a href="https://www.ithome.com.tw/news/169068" target="_blank">Google是在今年5月Google I/O大會上首次公布Veo 3以及AI電影製作工具Flow</a>。其中Veo 3作為最新一版Veo模型，可讓用戶輸入文字生成8秒影片，也是Veo首度能在影片加入音效。Flow則是結合圖片生成模型Imagen、Veo影片生成和Gemini聊天機器人介面，協助使用者製作者有故事性的影片。</p> <p><a href="https://blog.google/intl/zh-tw/products/explore-get-answers/veo-3-ai/" target="_blank">本周Google宣布</a>將Veo 3推向所有支援Gemini App的市場，包括臺灣。用戶必須具備Google AI Pro訂閱服務才得以使用本服務。</p> <p>另一方面，Google持續強化Veo 3和Flow的功能。<a href="https://blog.google/technology/google-labs/flow-adds-speech-expands/" target="_blank">Google宣布Frames to Video功能</a>，允許用戶輸入圖片作為起始影格來生成影片。此外，除了生成音效和背景噪音外，Veo 3也能生成說話人聲了。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/0711-photo-to-video-Veo%203-Google%20AI%20Pro.png" style="width: 600px;" /></p> <p><span style="font-size:14px;"><span style="color:#696969;">圖片來源／Google</span></span></p> <p>現在Frames to Video已加入Veo Fast，涵括Veo 2或Veo 3。Veo Fast是指生成速度較快，但畫質較Veo Quality來得低的模式。若是選擇Veo 2 Fast，則還多了以自有圖片為影片最終畫面及控制攝影角度等功能。</p> <p>Google同時擴大Flow及收費最高、月費250美元的方案Google AI Ultra的服務地區。Flow現在在全球140多國上線，而AI Ultra則在全球76個市場推出。<a href="https://one.google.com/intl/zh-TW_tw/about/google-ai-plans/" target="_blank">Google AI Ultra在臺灣</a>收費為每月4050元。</p> <p>Google再次聲明，Flow的聲音生成功能還在實驗階段，該公司持續改進中，生成效果可能有所差異。</p> </div></div></div>
2025/7/11 10:38作者林妍溱https://www.ithome.com.tw/news/170010
企業須正視語音詐騙的資安危機
<div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>談到企業面臨的網路詐騙威脅，熟悉資安的人會先想到的攻擊型態，是透過電子郵件與網址進行的各種網路釣魚行為（Phishing），後續衍生出商業郵件詐騙（BEC），財務人員與高層主管是攻擊者假冒的對象，也可能是被欺騙的目標，近年來，隨著AI技術突飛猛進與普及，雖然帶來生產力提升，然而，仿造與假冒人員影像與聲音的技術門檻與成本，也大幅降低，使得深偽（Deepfake）的資安風險受到重視。</p> <p>我們持續追蹤AI資安風險的同時，也注意到語音網路釣魚（Vishing）攻擊日益顯著。近期最常被引用的數據，來自資安廠商CrowdStrike，他們2月底發布的年度全球威脅報告指出，去年有多個攻擊者將Vishing納進侵入目標的手段，月複合成長率達到40％，而且在下半年暴增442％（對比2024上半），並認為攻擊者採用AI驅動的網路釣魚與身分冒用等策略，是助長這類資安威脅的主因。</p> <p>對於熟悉資安領域的人而言，網路釣魚堪稱大家最熟悉的社交工程攻擊伎倆的總稱，因為它瞄準的正是人性的弱點，而相較於過去大幅仰賴電子郵件傳遞誘餌的攻擊手法，Vishing的採用往往能夠進一步提升、甚至直接施加各種言語話術的說服力。</p> <p>以CrowdStrike這份報告列出的狀況而言，Vishing被用於服務臺類型的社交工程（Help Desk Social Engineering），例如，攻擊者會撥打電話給使用者，假冒IT人員並以解決上網或資安問題為藉口，誘騙使用者下載惡意軟體、建立遠端支援連線，或將身分憑證輸入網路釣魚網頁；或是相反地，攻擊者撥打電話給鎖定的企業IT服務人員，假冒合法員工並聲稱自己存取電腦或系統有問題，要求IT人員重設密碼，以及多因素身分驗證。</p> <p>既然視訊和語音詐騙與人性弱點密切相關，恰巧讓我想到科幻電影遺落戰境（Oblivion）的情節，攻擊地球的外星人憑藉攔截到的任務指揮官通訊片段畫面和語音，矇騙與操弄主角。而這樣的劇情與人物設定，恰巧呼應BEC與Vishing成功詐騙企業員工的關鍵：攻擊者偽裝組織高層。例如，在注重權威與階層管理的企業與組織，當員工透過電子郵件、電話、視訊會議等形式，接到高層的指示與命令時，第一個念頭大多是認真思考如何回覆，以及後續該如何達成工作要求，而非先去確認對方的身分真實性。</p> <p>而在IT服務型的社交工程攻擊當中，使用者與服務者之間，其實也存在某種關係張力，對於使用者而言，擔心犯錯、自己IT技能不足、沒妥善保管與使用IT系統及設備，增添IT部門與企業的麻煩，而對於服務者而言，往往也抱持著用戶至上的工作理念，都會盡可能協助使用者，希望盡快恢復所要使用的IT系統及設備，在實體、彼此能碰面接觸的環境中，這些心態相當正常，但如果需透過遠端溝通的方式進行這些工作，就必須增添確認身分的程序，再進一步授權給對方執行相關作業程序。</p> <p>在金融業的消費者客戶服務當中，我們可以看到有些情境會特別提出不同的身分驗證需求。例如，我們想確認帳單或保單是否已繳費，可透過電話客服查詢，過程中會核對用戶的基本資料，但如果是修改帳單或保單的寄送地址，有些公司會要求用戶親自到他們的分支據點，在查驗身分證之後，接著以填寫紙本表格的方式進行變更。</p> <p>另一個語音釣魚挑戰的人際往來弱點，是人們對於語音溝通品質的要求並不高。科技雖然不斷進步，然而，人們透過電話或視訊會議呈現的語音品質，至今仍無法完全比擬實體面對面交談，大家早就習慣經由這些通訊系統所傳達的聲音，品質不如真實說話，因此，對於聲音失真的各種狀況，像是抖動、延遲、不流暢，都有心理準備，因此，攻擊者即使用很含糊、類似的語音，搭配一些迫使接話方必須馬上做決定的急切情境，接話方很可能就會因為無暇判斷真偽而妥協，誤以為發話方是公司同事、主管、親友，配合發話方的指示行動，結果中計。</p> <p>想避免遭到語音詐騙的操弄，關鍵在於近期資安領域持續提倡的零信任。落實「Never Trust, Always Verify（永不信任，一律驗證）」，會是關鍵，在兼顧安全性的前提之下，能確認對方就是自己認知到的主管、同事、客戶、使用者、合作夥伴，不影響工作與生活效率，這部分有待大家一起努力。</p> <p><a href="https://www.ithome.com.tw/article/169996" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/styles/picture_size_large/public/1242-feng_mian_gu_shi_-p1-zheng_han_-open-960x420_kao_bei_0.jpg?itok=xKFAt5jN" style="width: 550px;" /></a></p> </div></div></div><div class="field field-name-field-tags field-type-taxonomy-term-reference field-label-above"><div class="field-label">Tags: </div><div class="field-items"><div class="field-item even"><a href="/tags/%E8%AA%9E%E9%9F%B3%E7%B6%B2%E9%87%A3">語音網釣</a></div><div class="field-item odd"><a href="/tags/%E4%BB%BF%E8%81%B2%E8%A9%90%E9%A8%99">仿聲詐騙</a></div><div class="field-item even"><a href="/tags/ai%E6%B7%B1%E5%81%BD">AI深偽</a></div><div class="field-item odd"><a href="/tags/%E7%A4%BE%E4%BA%A4%E5%B7%A5%E7%A8%8B">社交工程</a></div><div class="field-item even"><a href="/tags/vishing">Vishing</a></div><div class="field-item odd"><a href="/tags/deepfake">Deepfake</a></div><div class="field-item even"><a href="/tags/ai%E8%AA%9E%E9%9F%B3%E5%81%BD%E5%86%92">AI語音偽冒</a></div><div class="field-item odd"><a href="/tags/%E9%87%A3%E9%AD%9A%E8%A9%90%E9%A8%99">釣魚詐騙</a></div><div class="field-item even"><a href="/tags/%E8%A9%90%E9%A8%99">詐騙</a></div></div></div>
2025/7/11 09:49作者李宗翰https://www.ithome.com.tw/voice/169997
【資安日報】7月10日，大規模詐騙新聞網站攻擊活動BaitTrap鎖定50個國家而來
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>投資詐騙的事故頻傳，為了取信受害人，有些歹徒架設誘餌新聞網站（Baiting News Sites），以類似新聞報導的形式散布詐騙訊息，揭露此事的資安業者CM360偵測到超過1.7萬個網站，值得留意的是，這些網站都針對目標民眾進行調整，以當地語言、名人、金融機構來行騙。</p> <p>本週有許多廠商發布7月份例行更新，其中又以SAP供應商關係管理平臺的滿分漏洞最危險，再者，Fortinet應用程式防火牆（WAF）的SQL注入漏洞也相當嚴重而值得留意；Citrix修補VDI平臺的代理程式高風險漏洞，有機會讓攻擊者得到SYSTEM權限。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169973"><strong style="font-size: 22px;">大規模詐騙新聞網站攻擊活動BaitTrap鎖定50個國家而來，目的是進行網路投資詐欺</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/wus5ZGDDD8.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/wus5ZGDDD8.png" style="width: 300px; float: right;" /></a></p> <p>近年來網路投資詐騙事故頻傳，其中一種最常見的手法，就是攻擊者打著名人的名號，並透過社群網站、影音串流平臺接觸受害者，但也有駭客架設幾可亂真的假新聞網站，藉此引誘使用者上當。</p> <p>舉例來說，最近資安業者CM360揭露橫跨全球50個國家的網路投資詐騙活動BaitTrap，就是這樣的情形。駭客架設超過1.7萬個誘餌新聞網站（Baiting News Sites），這些網站偽裝成CNN、BBC、CNBC、News24、ABC News等受到信任的新聞媒體，發布捏造的消息，並利用知名公眾人物，以及國有銀行、中央銀行、商業銀行等金融機構來建立信任，假借中央銀行總裁、國家領導人，或是公眾人物的名義，宣稱意外發現透過加密貨幣致富秘密方法，藉此誘騙使用者掉入投資詐騙的陷阱。</p> <p>值得留意的是，這些誘餌新聞網站往往會針對攻擊目標量身打造，使用當地語言、當地民眾熟悉的品牌、金融機構，以及公眾人物，來增加詐騙成功的機會。這類網站在中東地區最氾濫，有超過一萬個；其次是亞太地區，約3,400個，但也有針對大洋洲、歐洲、美洲、非洲的誘餌新聞網站。</p> <p><a href="https://www.ithome.com.tw/news/169949"><strong style="font-size: 22px;">伊朗駭客BladedFeline部署新型IIS與Exchange後門，滲透中東多地區政府</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/BladedFeline-figure-3.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/BladedFeline-figure-3.png" style="width: 300px; float: right;" /></a></p> <p>資安公司ESET揭露與伊朗關聯的駭客組織BladedFeline，持續滲透中東多地區政府與能源、電信單位，鎖定IIS與Exchange伺服器，並大規模散布Whisper、PrimeCache等新型後門程式。研究人員發現，BladedFeline自2017年起便長期潛伏於庫德自治區政府系統，2024起更已成功入侵伊拉克中央政府多名高階官員的網路環境。</p> <p>BladedFeline整體行動目標以蒐集中東地區政府與重要產業的敏感資訊為主，ESET推測其活動可能替伊朗取得區域政治與情報相關資料。</p> <p>根據ESET的程式碼分析，並比對受害目標族群及攻擊手法，BladedFeline推測可能是伊朗APT34（OilRig）旗下的子群組。該組織透過多種後門與反向通道工具，建立一套成熟的滲透、持久化及擴張三階段攻擊鏈，其中，IIS原生模組PrimeCache為關鍵技術，能被動攔截HTTP請求，並透過加密Cookie藏匿控制訊息，將參數分段接收、快取再組合執行，有效規避傳統防禦。PrimeCache全程採用RSA與AES-CBC加密並以Base64編碼，使其攻擊流量具隱蔽性不易被偵測。</p> <p><a href="https://www.ithome.com.tw/news/169843"><strong style="font-size: 22px;">竊資軟體GiftedCrook威脅加劇，從瀏覽器竊密成為情資收集工具</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/fig01-giftedcrook.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig01-giftedcrook.png" style="width: 300px; float: right;" /></a></p> <p>今年4月烏克蘭電腦緊急應變團隊（CERT-UA）揭露名為GiftedCrook的竊資軟體，駭客組織UAC-0226針對該國軍事單位、執法機關、地方自治團體而來，特別偏好位於烏克蘭東部邊境的組織。這些駭客散布帶有Excel巨集附件檔案的電子郵件，一旦收信人開啟，就會在電腦植入惡意軟體，其中一個就是GiftedCrook。如今相關攻擊活動升級，駭客強化此竊資軟體的危害能力，導致相關威脅加劇。</p> <p>資安業者Arctic Wolf針對此竊資軟體進行追蹤、調查，指出在CERT-UA揭露之後，駭客兩度改版增加功能，從原本能夠竊取瀏覽器存放的使用者資料，變成能同時竊取受害電腦的特定檔案，成為駭客用來收集情資的工具。由於新版GiftedCrook出現的時間，恰巧與在伊斯坦堡舉行的烏克蘭和平談判時間點吻合，因此他們推測駭客的目的，很有可能就是要收集烏克蘭政府與軍事單位的情報。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.securityweek.com/nippon-steel-subsidiary-blames-data-breach-on-zero-day-attack/">日本製鐵子公司傳出遭到零時差漏洞攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/new-logokit-phishing-campaign/">網釣攻擊LogoKit濫用Cloudflare Turnstile、Amazon S3，冒充受到信任的組織從事攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/funnull-uses-amazon-and-microsoft-cloud/">駭客濫用Amazon、微軟雲端基礎設施架設CDN服務Funnull，意圖隱藏惡意基礎設施</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169978"><strong style="font-size: 22px;">SAP修補供應商關係管理平臺重大漏洞，問題出在攻擊者能趁機以管理員身分執行OS命令</strong></a></p> <p>本週二SAP發布7月份Security Patch Day例行更新，其中最值得留意的部分，是存在於供應商關係管理平臺（Supplier Relationship Management，SRM）的滿分漏洞CVE-2025-30012，非常危險，IT人員應儘速處理。</p> <p>這項漏洞存在於SRM的Live Auction Cockpit工具，起因是此工具搭配已經棄用的Java Applet元件，未通過身分驗證的攻擊者可以使用特定的格式編碼，來發送惡意酬載請求。</p> <p>一旦伺服器端程式（Servlet）收到請求並解碼，就會造成資料的反序列化，從而讓攻擊者以SAP管理員執行任意的作業系統命令，嚴重影響應用程式的機密性、完整性、可用性。</p> <p><a href="https://www.ithome.com.tw/news/169972"><strong style="font-size: 22px;">Citrix修補VDI平臺本機權限提升資安漏洞</strong></a></p> <p>7月8日Citrix針對旗下的虛擬桌面平臺（VDI）Citrix Virtual Apps and Desktops（CVAD）、Citrix DaaS發布資安公告，修補Windows版Virtual Delivery代理程式的資安漏洞CVE-2025-6759，此為本機權限提升漏洞（LPE），僅取得低權限的攻擊者有機會藉此得到SYSTEM身分，4.0版CVSS風險評為7.3，影響現行版本（Current Release）與2402長期支援版（LTSR）的CVAD，2203 LTSR不受影響，該公司推出2503、2402 LTSR CU1 Update 1、2402 LTSR CU2 Update 1修補。</p> <p>這項弱點可能帶來哪些影響？通報漏洞的資安業者Rapid7表示，取得低權限的攻擊者能藉由複製外洩的SYSTEM處理程序，並藉由漏洞以SYSTEM權限孳生新的處理程序。</p> <p><a href="https://www.ithome.com.tw/news/169971"><strong style="font-size: 22px;">Fortinet修補網頁應用程式防火牆重大SQL注入漏洞</strong></a></p> <p>Fortinet本周釋出安全公告，修補網頁應用防火牆（WAF）產品FortiWeb的重大風險漏洞，若不處理可能導致SQL程式碼注入攻擊。</p> <p>本漏洞編號CVE-2025-25257，為對SQL指令中特殊元件的不當中和（Improper Neutralization），即未對輸入的特殊字元進行適當處理，導致這些字符被SQL引擎誤判為SQL指令，形成SQL 注入。本漏洞可讓未經授權的攻擊者可經由傳送HTTP或HTTPS呼叫，執行SQL程式碼或指令，CVSS風險值達9.6。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/ruckus-networks-leaves-severe-flaws-unpatched-in-management-devices/">Ruckus網路設備集中管理平臺存在一系列資安漏洞</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/splunk-soar-addresses-vulnerabilities/">Splunk修補SOAR平臺第三方元件漏洞，其中包含已遭利用的Git重大漏洞</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169968"><strong style="font-size: 22px;">AWS揭露用生成式AI幫助資安的5種場景，不只程式碼修補、API安全測試，還有日誌分析速度快50倍</strong></a></p> <p>如何善用生成式Ai幫助資安防禦，是所有企業、資安廠商與資服業者，都在努力發展的重要課題，過去已有國內外業者分享這方面的實務經驗，例如奧義智慧、趨勢科技、Google等，近期AWS於美國費城舉辦年度資安會議re:Inforce 2025，該公司也揭露其內部實際應用生成式AI協助資安工作的實際經驗。</p> <p>今年大會有多位AWS高層主管說明應用成果與觀察，我們整理出5大類型，涵蓋：程式碼修補自動化、自動化API安全測試、雲端回應團隊分析與應變加速，以及MadPot產品分析與誘捕能力的強化，甚至還有威脅建模的應用。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169963"><strong>【7月9日】微軟發布本月例行更新、修補130個漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169950"><strong>【7月8日】macOS竊資軟體Atomic Stealer加入後門功能，攻擊者可持續在受害電腦活動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169929"><strong>【7月7日】Linux命令列工具Sudo修補兩項權限提升漏洞</strong></a></p> </div></div></div>
2025/7/10 18:41作者周峻佑https://www.ithome.com.tw/news/169986
零售IT雙周報第58期：Walmart推出GenAI驅動的AI排班、即時多語言翻譯等功能，支援150萬名門市員工作業
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><span style="color:#0000FF;"><strong>重點新聞(0629~0712)</strong></span></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099FF;">#生成式AI #AI排班 #AI門市助手 #AI翻譯</span></strong></span><br /> <strong>Walmart打造多項生成式AI工具支援150萬名門市員工，簡化排班、語言溝通與多種賣場作業流程</strong></p> <p><a href="https://corporate.walmart.com/news/2025/06/24/walmart-unveils-new-ai-powered-tools-to-empower-1-5-million-associates">Walmart近日宣布擴大全美門市內部GenAI應用，針對門市人員推出多項新工具</a>，包括AI排班、44種語言即時翻譯、強化版對話助理與AR結合RFID的補貨輔助工具。這些功能整合於Walmart內部使用的Associate App中，可供超過150萬名員工使用。</p> <p>AI任務分派工具率先應用於夜間補貨班別，用AI分析人力與作業優先順序，讓主管能依據系統建議快速調配人員。初步導入後，規畫班表所需時間從90分鐘減至30分鐘，目前已在其他時段與門市進行試點。</p> <p>語言翻譯工具則提供高達44種語言支援，包含語音與文字模式，可供員工之間或與顧客溝通時使用。此功能有使用Walmart專屬知識作為訓練語料，因而可辨識Walmart自有品牌等字句，並保留對應翻譯詞彙，提升翻譯的語境正確性。Walmart表示該功能將擴展至更多語系與海外市場。</p> <p>Walmart還計畫升級原本員工App的核心功能對話式AI助理。回答問題時，GenAI會進一步把閱讀負擔較重的內部文件，如流程手冊，轉化為簡單的步驟式指引。他們希望能藉此降低員工認知負擔，加速作業流程。Walmart還揭露，目前該助理每天處理超過300萬筆查詢，使用者人數達90萬人。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099FF;">#垂直領域電商 #AI搜尋功能 #行話語意理解</span></strong></span><br /> <strong>英國連鎖五金工具行Toolstation以AI強化搜尋體驗，降低95%無結果搜尋情況更提升5.5%由搜尋功能促成的營收</strong></p> <p>有近600間門市的英國五金工具零售商Toolstation，近半數交易來自線上通路。過往，他們電商常面臨無效搜尋導致顧客跳出網站的情況。這是因為，儘管顧客多為專業工匠與DIY用戶，且進站多數已有明確購物目標，搜尋工具卻無法正確處理同義詞、品牌別稱與業界術語，導致大量無結果搜尋。部分顧客甚至需回到Google搜尋，再從搜尋結果中點選Toolstation連結回站。</p> <p>Toolstation團隊多年來累積數千條人工規則以改善搜尋體驗，例如將「Parcel tape」對應至「Packaging tape」，但仍無法根治問題。<a href="https://cloud.google.com/customers/toolstation-product-search?hl=es-419">他們對GCP為零售搜尋特化的AI搜尋功能進行A/B測試後，發現LLM能有效辨識模糊查詢及許多非正式用語，於是全面導入。</a>改版後，搜尋無結果的比例從2%降至0.1%，搜尋點擊率提升10%，由搜尋功能找到商品帶來的營收增加5.5%。不只如此，顧客回報搜尋商品無關的比例下降30%，回訪比例上升2%。</p> <p>舊有搜尋規則由Toolstation人員每周維護，現在則改由機器學習模型自動調整。每當顧客執行搜尋、點擊商品或完成購買，相關數據會回傳至雲端作為模型訓練依據，強化後續搜尋結果精度。</p> <p>不只如此，Toolstation還將AI搜尋模組辨識出的常見拼字錯誤與手動輸入失誤，用於客服中心與門市POS端，協助工作人員快速查詢商品，更提升新人訓練效率與服務流暢度。此外，他們還用AI搜尋模組來強化推薦系統，用AI設定取代電商介面中原先需要手動設定的推薦區塊，使推薦系統帶來的營收提高10%。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099FF;">#BOPIS #顧客抵達時間預測</span></strong></span><br /> <strong>Food Lion導入顧客預計抵達時間預測系統，電商顧客門市取貨等待時間減少40%</strong></p> <p><a href="https://www.prweb.com/releases/food-lion-deploys-flybuy-pickup-completing-brandwide-ahold-delhaize-rollout-302498934.html">美國有超過1,100間門市的連鎖超市Food Lion全面導入一套AI顧客定位系統</a>，用來可預測顧客到店時間，協助門市團隊進行BOPIS（線上購買線下取貨）的備貨與取貨調度。</p> <p>顧客透過網站或App下單後，此系統會根據行車路徑與定位訊號推估抵達時間，並同步通知門市人員進行備貨。據此，Food Lion能更好掌握每筆訂單的預計交付時間，減少現場等待與人員閒置時間。導入後，顧客平均等待時間減少超過40%，且提升停車場與交貨區域使用效率，門市也更好安排顧客線上購買時可選擇取貨的時段。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099FF;">#生成式AI #可購物廣告 #AI推薦</span></strong></span><br /> <strong>Pinterest推出用GenAI自動圖片拼貼功能，用零售業者商品目錄圖片組合出符合使用者喜好的廣告圖</strong></p> <p>圖片探索平臺Pinterest宣布推出AI自動拼貼（Auto-collages）功能，可以用零售業者上傳到Pinterest的商品目錄圖片，自動拼貼出大量可購物式「拼貼圖」（Collage），發布到Pinterest上。點開這些拼貼圖時，使用者可以直接購買拼貼圖中任一件商品。目前此功能由知名百貨業者Macy's等零售商參與測試。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/ptstt.jpg" style="width: 600px;" /></p> <p>此功能結合平臺上使用者行為資料與生成式AI技術，可根據服裝搭配、熱門儲存項目、相似商品特性與用戶收藏偏好等依據，自動建立視覺風格相似的拼貼圖。初期測試顯示，AI生成的拼貼圖，用戶儲存率為一般商品圖兩倍。</p> <p>另外，Pinterest也強化其趨勢探索工具Pinterest Trends，利用使用者搜尋、儲存與實際點擊購買等資料，搭配AI來預測潛在消費意圖。新版Trends工具功能包括Shopping trends，顯示目標族群對特定商品分類的興趣變化趨勢，並提供相關熱門搜尋詞，以及Trends in the Spotlight，整理出不同商品分類流行趨勢，便於行銷企畫快速參考等。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099FF;">#OMO零售 #會員經營</span></strong></span><br /> <strong>高度仰賴實體通路的Timberland，如何發揮線上通路優勢來經營OMO零售</strong></p> <p>近日一場活動中，戶外休閒品牌Timberland臺灣暨香港品牌總監洪嘉陽揭露自家如何經營OMO零售。Timberland非常仰賴實體通路，總貢獻度仍是實體通路會員最高。不過，數位通路有更多接觸點，營業時間也全年無休。Timberland設計OMO零售做法時，目標是希望發揮線上及線下通路各自優點，而非取代彼此功能。</p> <p>舉例來說，當他們發現顧客於電商通路有購物車尚未結帳，會透過CRM找出顧客常去的特定實體門市，再通知店員透過Line聯繫顧客，進行一對一再行銷，以及提供視訊丈量尺寸等服務。這種做法，在半年內創造出180萬元業績，成交率高達46%。</p> <p>他們還利用Line投放問卷，作為大量快速與會員溝通的管道。他們積極利用問卷來作為市場調查利器，還在新品發售時，以調查為名，行商品介紹之實。後續新品上市時，都發揮出介紹及導購的效果。</p> <p>另一個做法則是透過CRM資料分析會員喜好，來選擇在社群媒體上代言的KOL。洪嘉陽舉例，他們有次主題活動，主打「客製化黃靴」商品，找來6位不同分眾領域的KOL代言，結果不只帶來巨大流量，且幾乎所有商品都一夜售罄。達成精準行銷效果同時，也不須砸大錢追求流量和知名度最大的代言人。</p> <p>除了OMO經營，洪嘉陽還分享他們貫穿會員經營及數位行銷的心法，以及如何結合科技來執行。（<a href="https://www.ithome.com.tw/news/169897">詳全文</a>）</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099FF;">#員工訓練 #數位平臺</span></strong></span><br /> <strong>日本7-11於22,000間門市中導入數位員工訓練平臺，能根據員工數位素養與當下情境來提供不同操作介面與學習體驗</strong></p> <p>日本7-Eleven與富士通共同打造數位員工訓練平臺，以數位化部分員工訓練內容，並用科技來追蹤員工學習情況及工作實務效率。此平臺已在日本部分直營門市正式上線，預計未來導入全日本22,000間門市，支援超過40萬名員工。</p> <p>富士通表示，此平臺可以依據使用者的數位素養與當下情境，提供不同操作介面與學習體驗。課程設計上，則有利員工因應個別節奏進行學習。員工可透過門市配置的平板或行動裝置來查閱教學內容，管理人員則能遠端追蹤員工學習狀況與技能成長曲線。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/fjttp.jpg" style="width: 600px;" /></p> <p>未來，富士通計畫利用AI與數據分析技術，將此平臺打造成人才管理平臺，進一步支持門市營運效率與人才管理流程。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099FF;">#RMN #零售數據應用 #SKU等級數據</span></strong></span><br /> <strong>Instacart與The Trade Desk合作推出更精確的RMN成效追蹤功能，結合商品SKU等級數據與跨通路廣告數據來分析行銷結果</strong></p> <p><a href="https://www.prnewswire.com/news-releases/advertisers-gain-real-time-customizable-audiences-and-always-on-measurement-with-instacart-and-the-trade-desk-302477208.html">生鮮電商平臺Instacart近日宣布，將旗下零售資料深度整合至廣告技術平臺The Trade Desk</a>，來強化行銷成效追蹤。此次整合使廣告主能在TTD平臺上結合Instacart SKU等級銷售資料及其他通路的行銷資料，來分析行銷轉換等銷售指標。廣告主只能看到與自家品牌相關的資料。</p> <p>Instacart RMN可以於自家平臺、220多個合作超市電商網站、實體店內的Caper智慧購物車，以及Google、Meta、NBCUniversal等平臺投放廣告。此次與TTD進行更深度數據整合，能進一步強化Instacart RMN對廣告主在跨通路行銷時追蹤成效的能力。</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#0099FF;">更多零售IT動態：</span></strong></span><br /> <a href="https://ads.shopee.tw/news/2025">蝦皮取消手動廣告投放，改用AI代投全站廣告。</a></p> <p><a href="https://corporate.walmart.com/about/samsclub/news/2025/06/26/sams-club-map-launches-omni-impact-to-redefine-retail-media-measurement">Sam's Club的RMN推出新功能，結合AI技術與會員資料來提供過往12個月的跨通路行銷成效追蹤能力。</a></p> <p><a href="https://newsroom.tiktok.com/en-us/tiktok-shop-is-where-shoppers-come-to-discover">Tiktok將即時最低價保證功能整合到直播電商</a>，能即時調整商品售價來跟進網上最低價。</p> <p>資料來源：iThome整理，2025年7月</p> <p>責任編輯：郭又華</p> <p>圖片來源：Walmart、Pinterest、富士通</p> <p></p> </div></div></div>
2025/7/10 18:48作者郭又華https://www.ithome.com.tw/news/169981
AI趨勢周報第276期：Google釋出經典編碼器-解碼器T5Gemma系列模型
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <h3><span style="vertical-align: top; color: rgb(0, 0, 255);">重點新聞（0704～0710）</span></h3> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 編碼器-解碼器 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> T5Gemma </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Google重拾經典編碼器-解碼器架構，釋出T5Gemma系列模型</strong></span></p> <p>Google最近發布T5Gemma系列大型語言模型（LLM），重拾經典的編碼器-解碼器（encoder-decoder）架構，不論是產出結果還是推論效率，都比現有主流的解碼器模型（decoder-only）要好。</p> <p>T5Gemma以Gemma 2框架為基礎，透過適應性轉換技術，將預訓練的解碼器模型調配為編碼器-解碼器架構，不僅保留原有能力，還降低重新訓練的運算成本。T5Gemma包含小型、基礎、大型和XL級別的模型，另也有2B、9B參數版本，以及9B編碼器+2B解碼器等這類不對稱的組合，這種組合能用來調整輸入或輸出的效率，比如提高輸入理解力、保持簡單的輸出。</p> <p>在SuperGLUE和GSM8K測試中，T5Gemma精準度和延遲表現皆媲美甚至超越同級模型，特別是2B-2B模型經指令微調後，MMLU分數比Gemma 2 2B模型高出12分，GSM8K準確率也從58%衝上70.7%。T5Gemma現已在Hugging Face、Kaggle、Vertex AI平臺上開放使用。<a href="https://developers.googleblog.com/en/t5gemma/">（詳全文）</a></p> <p><img alt="" src="https://storage.googleapis.com/gweb-developer-goog-blog-assets/images/Chart-1.original.png" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);">Java </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Llama 3 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> GPU加速 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>曼徹斯特大學開源Java Llama3 GPU加速工具，要追上原生CUDA效能</strong></span></p> <p>AI大模型當道，曼徹斯特大學Beehive實驗室團隊6月釋出一款加速工具GPULlama3.java，透過TornadoVM運算框架，自動對Java程式編譯、優化，不必寫任何CUDA或OpenCL程式碼，就能在GPU上快速執行大型語言模型（LLM）推論。該工具目前支援Llama3和Mistral這兩種熱門模型（GGUF格式）。</p> <p>目前，TornadoVM可在三種後端加速，包括OpenCL、PTX、SPIR-V。不過，Apple推出的OpenCL早已棄用，因此在Apple Silicon上的加速效能不會太好，因此團隊建議在Nvidia GPU環境下測試，以達到最佳表現。團隊表示，接下來打算支援Metal，讓蘋果裝置用戶也能享受快速執行模型的效能。雖然這款加速工具的速度還追不上專業版llama.cpp或原生CUDA，但團隊以此為目標，希望繼續加速至原生CUDA效能。<a href="https://github.com/beehive-lab/GPULlama3.java">（詳全文）</a></p> <p><img alt="" src="https://github.com/beehive-lab/GPULlama3.java/raw/main/docs/inter-output.gif" /></p> <p><span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Line </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Yahoo! </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> AI代理 </span></strong></span></p> <p><span style="font-size: 22px;"><strong>Line合併日本Yahoo！今年要轉型成AI公司</strong></span></p> <p>Line日本與Yahoo! Japan合併為LY Corporation，日前在技術年會上宣布轉型為AI公司，提出兩大行動方針，包括全面導入AI Agent、提高內部生產力。LYC CTO朴懿彬進一步說明兩大策略進展，他們已在服務中導入44個GenAI應用，且已有35個專案用AI來提高內部營運效率。比如，Yahoo! Japan App用GenAI強化抽象語言搜尋功能，Line則在通訊功能中用GenAI支援基本問答、翻譯、PDF文件摘要、照片編輯和文字識別等能力。甚至在生產力部分，已應用GenAI客服來處理Yahoo購物、拍賣、Email、旅遊等服務，可以自動回覆處理92%的客服案件。</p> <p>LYC還導入RAG工具Seek AI，作為內部知識管理工具，員工可註冊工作空間或應用程式，讓Seek AI學習內容、回答營運相關問題並整理所需資訊。目前他們已註冊490個應用程式給Seek AI學習。LYC還用自家程式碼，訓練出內部GenAI軟體開發助手Ark Developer，可支援程式碼建議、技術文件生成、自動程式碼測試、QA和程式碼審查等。在初期測試中，程式碼建議正確率高達96%、文件生成與審查時間減少62%、測試時間減少95%，一天能支援超過5,000次程式碼審查，預計7月正式上線。</p> <p>為達成兩大AI轉型目標，LYC還要強化AI代理記憶（Agentic Memory），來強化AI代理執行複雜任務能力；也要結合數據治理及MCP技術應用，讓AI代理能在更安全的環境中執行任務。同時也會發展LLMOps，妥善管理LLM用例及數據傳輸機制的效能和品質；另要強化RAG平臺，讓AI應用更好地使用內部數據，以及強化整體數據處理和數據治理做法，來支援AI發展。<a href="https://www.ithome.com.tw/news/169840">（詳全文）</a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/arkdev.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 機器人模型 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Google DeepMind </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 視覺 </span></strong></span></p> <p><span style="font-size:22px;"><strong>IMA發起Taiwan Tongues，推動臺灣語料庫</strong></span></p> <p>生成式AI當道，但主流模型多以英文、簡體中文訓練。為此，IMA資訊經理人協會推動Taiwan Tongues臺灣通用語料庫計畫，攜手作家組成Team Taiwan，累計貢獻逾500萬字文學作品，涵蓋臺灣華語、臺語、客語、原住民語，要讓AI真正聽懂臺灣話。</p> <p>IMA協會理事長蔡祈岩表示，AI需理解臺灣語言、文化與價值觀，才能展現臺灣主體性。該計畫由作家胡長松領軍，他率先釋出150萬字著作，目前已上架Hugging Face，開源非商業使用。測試顯示，透過Taiwan Tongues語料，臺語AI模型正確率從31.5提升至42.6，成效顯著。</p> <p>Taiwan Tongues也與群聯電子合作，打造具多元觀點與語境辨識的模型訓練框架，並攜手陽明交大建立臺灣語境評測指標。未來，數發部也將統籌政府語料，推動公私合作、擴大語料開源。IMA也計畫啟動Wiki Taiwan，提升臺灣語言在全球網路世界的能見度。<a href="https://tt.ima.org.tw/news.html">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Veo 3 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 影片生成 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> Google </span></strong></span></p> <p><span style="font-size:22px;"><strong>Veo 3影片生成功能在臺推出了</strong></span></p> <p>前幾周，Google在I/O大會上亮相最新AI影片生成模型Veo 3，日前則正式將Veo 3導入所有支援Gemini應用程式的國家和地區，包括臺灣在內。只要訂閱Google AI Pro，用戶就能用Veo 3生成短影片。</p> <p>Veo 3結合Gemini模型，能根據相片、提示詞自動生成影片，無論是重現歷史、創意實驗，還是捕捉「大腳怪」出沒的虛構場景，都能輕鬆搞定。Google重視Veo 3的安全性，影片會自動加入可見浮水印，以及隱形的SynthID數位浮水印，防止被誤用。Google也透過大規模紅隊演練來確保內容安全，並透過「喜歡/不喜歡」功能來讓用戶反應、持續改進。<a href="https://blog.google/intl/zh-tw/products/explore-get-answers/veo-3-ai/">（詳全文）</a></p> <p> </p> <div class="media_embed" height="408px" width="726px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="408px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/nAui-JLXofA" title="Boba Planets VEO Video" width="726px"></iframe></div> <p> </p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 思覺失調 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 臺北榮總 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> 腦影像 </span></strong></span></p> <p><span style="font-size:22px;"><strong>臺北榮總打造AI腦影像平臺，輔助思覺失調診斷</strong></span></p> <p>臺北榮總精神醫學部楊智傑教授團隊開發出智慧腦影像平臺，結合核磁共振和AI深度學習，來輔助評估思覺失調症，診斷準確率高達91.7%。這項做法突破傳統靠臨床觀察的限制，提供客觀的生物指標，改善精神疾病診斷與個人化治療。</p> <p>思覺失調症影響全球約1%人口，常見幻聽、妄想等症狀。北榮智慧腦影像平臺以1,500名本土受試者數據打造，能三維視覺化大腦異常、精準定位病灶，協助醫師與患者家屬溝通；該平臺也具備腦磁振影像導引功能，可進一步研發精準的經顱磁刺激等非侵入性神經調控，作為臨床治療輔助工具。</p> <p>這套智慧腦影像平臺已獲美國愛迪生獎、醫策會等獎項肯定，並取得臺美及PCT等專利。臺北榮總也啟用新建的身心智慧創新治療區，透過該平臺來與病人及家屬深入討論大腦變化、提高患者病識感，推動精神疾病診斷邁向AI精準醫學。<a href="https://www.vghtpe.gov.tw/vghtpe/News!one.action?nid=14804">（詳全文）</a></p> <p><img alt="" src="https://www.vghtpe.gov.tw/vghtpe/images/news/1140703_07.jpg" /></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> Midjourney </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 影片生成 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> V1 </span></strong></span></p> <p><span style="font-size:22px;"><strong>Midjourney推出首個影片生成AI模型V1</strong></span></p> <p>美國AI新創Midjourney繼推出圖像生成服務後，6月下旬又發表旗下首款影片生成模型V1，可用圖像生成影片，費用約是生成圖像的8倍，一上線就獲好評。進一步來說，它的工作流程是圖像轉影片（Image-to-Video），一開始上傳圖像後，就成為影像的第一幀圖，按下「Animate」就能讓圖動起來，使用者也能客製化調整速度或移動方向等細節。V1會先生成一個5秒、解析度為480p的影片，之後可選擇延長影片，每次延長時間為4秒，最多可延長4次，最長可建立21秒的影片。</p> <p>2022年創立的Midjourney表示，他們的目標是建置一個可即時模擬開放世界的模型，就好比一個可即時生成影像的AI系統，使用者可命令它在3D空間移動，環境和角色也會跟著移動並互動。為達到該目標，Midjourney需要建立各種模組，像是圖像生成模型、圖像轉影片模型，以及可在空間中移動的3D模型等。而明年起，Midjourney將分別建置並發布這些元件，再將它們整合成一個統一的系統，目標是讓大眾使用。<a href="https://updates.midjourney.com/introducing-our-v1-video-model/">（詳全文）</a></p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 微軟 </span></strong></span> <span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> 醫學診斷 </span></strong></span> <span style="color: rgb(255, 255, 255);"><strong><span style="background-color: rgb(51, 153, 255);"> MAI-DxO </span></strong></span></p> <p><span style="font-size:22px;"><strong>微軟MAI-DxO系統診斷準確率高達85％</strong></span></p> <p>微軟發表最新研究，展示 AI 在臨床診斷的突破性進展。其開發的MAI-DxO系統，針對《新英格蘭醫學期刊》（NEJM）收錄的304個高難度病例進行測試，診斷正確率高達85%，遠勝21位美英專科醫師僅20%的表現。</p> <p>MAI-DxO結合了GPT、Llama、Claude、Gemini等模型協作，模擬虛擬醫師小組逐步問診、安排檢查並調整推論，更貼近真實臨床情境。除了準確率提升，系統也能在虛擬成本限制下，合理規畫檢查，避免過度使用醫療資源。微軟強調，MAI-DxO能根據不同場景調整診斷策略，強化可靠性與可追溯性。不過，AI診斷大規模落地仍需通過更多實證、法規和治理挑戰。<a href="https://microsoft.ai/new/the-path-to-medical-superintelligence/">（詳全文）</a></p> <p> </p> <div class="media_embed" height="482px" width="898px"> <iframe allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" allowfullscreen="" frameborder="0" height="482px" referrerpolicy="strict-origin-when-cross-origin" src="https://www.youtube.com/embed/JkIjmXEK0Yg" title="Introducing SDBench from Microsoft AI" width="898px"></iframe></div> <p> </p> <p>圖片來源／Google、曼徹斯特大學、LYC、臺北榮總、Midjourney、微軟</p> <p><span style="color:#FFFFFF;"><strong><span style="background-color:#3399ff;"> AI近期新聞 </span></strong></span></p> <p><strong>1. <a href="https://x.com/cursor_ai/status/1939702194863026504?ref_src=twsrc%5Etfw%7Ctwcamp%5Etweetembed%7Ctwterm%5E1939702194863026504%7Ctwgr%5Ec2926c0a493269a19ae1675485fc7429af7478b6%7Ctwcon%5Es1_&ref_url=https%3A%2F%2Fanalyticsindiamag.com%2Fai-news-updates%2Fcursor-brings-ai-coding-agents-to-the-web-and-mobile%2F">Cursor推出手機版和網頁版開發助理</a></strong></p> <p><strong>2. Gemini正式登陸Wear OS智慧手錶</strong></p> <p><strong>3. Hugging Face聯手機器人業者，推出2款Reachy Mini桌上型機器人</strong></p> <p>資料來源：iThome整理，2025年7月</p> </div></div></div>
2025/7/10 18:48作者王若樸https://www.ithome.com.tw/news/169991
SAP修補供應商關係管理平臺重大漏洞，問題出在攻擊者能趁機以管理員身分執行OS命令
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>本週二SAP發布7月份Security Patch Day例行更新，其中最值得留意的部分，是存在於供應商關係管理平臺（Supplier Relationship Management，SRM）的滿分漏洞<a href="https://nvd.nist.gov/vuln/detail/cve-2025-30012">CVE-2025-30012</a>，非常危險，IT人員應儘速處理。</p> <p>這項漏洞存在於SRM的Live Auction Cockpit工具，起因是此工具搭配已經棄用的Java Applet元件，未通過身分驗證的攻擊者可以使用特定的格式編碼，來發送惡意酬載請求。</p> <p>一旦伺服器端程式（Servlet）收到請求並解碼，就會造成資料的反序列化，從而讓攻擊者以SAP管理員執行任意的作業系統命令，嚴重影響應用程式的機密性、完整性、可用性。</p> <p>本次SAP<a href="https://support.sap.com/en/my-support/knowledge-base/security-notes-news/july-2025.html">一共修補27個漏洞</a>，其中有6個評為重大層級，另一個接近滿分的程式碼注入漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-42967">CVE-2025-42967</a>也相當危險，此漏洞影響ERP系統S/4HANA、供應鏈管理平臺（Supply Chain Management，SCM），存在於這些產品的Characteristic Propagation功能，屬於遠端程式碼執行（RCE）漏洞。具備一般使用者權限的攻擊者能以自己的程式碼產生新報告，從而完全控制存在漏洞的SAP系統，CVSS風險評為9.9分。</p> </div></div></div>
2025/7/10 16:07作者周峻佑https://www.ithome.com.tw/news/169978
Hugging Face開放開發人員訂購機器人套件
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://huggingface.co/blog/reachy-mini" target="_blank">Hugging Face周三（7/9）正式開放全球開發人員購買Reachy Mini機器人套件</a>，它的高度為28公分，寬是23公分，重約1.5公斤，有線版本的Reachy Mini Lite售價299美元，無線的Reachy Mini則是449美元。<a href="https://x.com/Thom_Wolf/status/1942962740156326272" target="_blank">Hugging Face共同創辦人Thomas Wolf說</a>，開放預購的5小時後，便已收到超過13萬歐元的訂單。</p> <p>Reachy Mini是Hugging Face與<a href="https://www.pollen-robotics.com/" target="_blank">法國機器人新創Pollen Robotics</a>共同開發的開源機器人產品，由Pollen Robotics負責硬體及開源機器人平臺，並由Hugging Face提供AI模型、Hub整合與社群資源。</p> <p><a href="https://x.com/Thom_Wolf/status/1942912790638862456" target="_blank">Wolf說明</a>，28公分高的Reachy Mini可以轉動頭部或是身體，也具備視覺、聲音，定向語音能力；開發人員可以輕鬆地修改、撰寫或分享新的機器人行為，不管是不是由AI所驅動，皆能透過Hugging Face Hub與整個開源社群共享。</p> <p>Wolf亦強調，Reachy Mini是專為AI開發人員所設計的，可用來進行人機互動、撰寫具創意的程式碼，進行AI教學與實驗，甚至可以用來開發真實世界的機器人互動應用。</p> <p>現階段Reachy Mini已內建15種機器人行為，包括可控制頭部及身體的轉動，也能搭配天線動作來呈現表情與情緒；用螢幕取代的眼睛還會閃動；能夠偵測眼前的物體並追蹤移動；以及可偵測聲音與動作而觸發反應等。</p> <p>Hugging Face說，Reachy Mini適合各種年齡層的AI開發人員，不管他們真的是AI開發者、駭客、研究人員、教師或只是機器人愛好者，都能利用Reachy Mini來開發最新的AI模型，或是開發、測試及部署AI應用程式。</p> <p>精簡版的Reachy Mini Lite不支援Wi-Fi，也沒有內建電池，亦無配備加速計，目前相容於Mac與Linux，很快就會支援Windows，售價為299美元，運費與稅金另計，預計在今年夏末出貨。</p> <p>至於完整版的Reachy Mini支援Wi-Fi，內建電池，也能連線充電，配備了加速計，支援Raspberry Pi 5，售價為449美元，預計於2025年秋天到2026年分批出貨。</p> </div></div></div>
2025/7/10 16:37作者陳曉莉https://www.ithome.com.tw/news/169983
AWS揭露用生成式AI幫助資安的5種場景，不只程式碼修補、API安全測試，還有日誌分析速度快50倍
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>如何善用生成式Ai幫助資安防禦，是所有企業、資安廠商與資服業者，都在努力發展的重要課題，過去已有國內外業者分享這方面的實務經驗，例如奧義智慧、趨勢科技、Google等，近期AWS於美國費城舉辦年度資安會議re:Inforce 2025，該公司也揭露其內部實際應用生成式AI協助資安工作的實際經驗。</p> <p>今年大會有多位AWS高層主管說明應用成果與觀察，我們整理出5大類型，涵蓋：程式碼修補自動化、自動化API安全測試、雲端回應團隊分析與應變加速，以及MadPot產品分析與誘捕能力的強化，甚至還有威脅建模的應用，讓大家了解更多應用實例。</p> <h3><strong>應用1：程式碼修補自動化，生成式AI加速資安左移</strong></h3> <p>如何用生成式AI來幫助資安工作？AWS應用科學經理George Argyro在re:Inforce 2025公布AWS有兩項重要進展。</p> <p>首先，是程式碼修補自動化。George Argyros表示，早前AWS利用自家Amazon Q Developer的程式碼轉換能力，成功將公司內部所有Java應用系統從Java 11升級到Java 18。後續，他們也運用類似的流程，進一步解決開發過程所面對的資安問題。</p> <p>他解釋，AWS是以內部版本的Amazon Q Developer進行資安最佳實踐，協助工程師更快速解決個別的問題，同時也確保開發團隊持續採用安全的程式庫與設計模式，進而提升系統的資安水準。George Argyros指出，這代表AWS已將資安融入日常開發流程，而不是等到開發完成後才處理資安問題，進而實踐「資安左移（Shift Security Left）」的概念。</p> <p>例如，當開發人員提交Pull Request時，系統會自動進行資安檢查，若發現風險，就會自動產生程式碼審查建議與修補方案。其運作方式有兩種，一種是在程式碼提交請求期間識別到資安問題時自動觸發，一種是開發者也能使用命令列介面（CLI）手動啟動檢查。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（網站圖1）AWS用生成式AI幫助資安_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%961%EF%BC%89AWS%E7%94%A8%E7%94%9F%E6%88%90%E5%BC%8FAI%E5%B9%AB%E5%8A%A9%E8%B3%87%E5%AE%89_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p>為了讓大家更清楚其應用效果，George Argyros也展示這方面流程，例如，在自動識別出資安問題時，AWS開發者只要點開介面上提供的連結，就能看到詳細的風險說明、建議修改，同時，工具還會提供程式碼前後的比對畫面，讓開發者能直接檢視與修補版本。而且，這些動作都是在主程式碼庫之外進行，因此現有程式碼仍未被變動、仍未修補。若開發者確認修補無誤，之後就可以一鍵合併修改，並推送至主分支，進入測試與部署流程。</p> <p>不過，這一切的前提是要兼顧效能與準確性，George Argyros強調，雖然自動化可顯著提升修補效率，但若修補不正確，反而會浪費工程資源，因此，他們還設計一套安全機制，運用AI代理（AI Agents）對生成的修補程式進行測試，能根據執行結果自動修正錯誤，並評估修補的正確性。</p> <p>George Argyro強調，這只是開始，未來AWS將持續深化自動化資安修補的能力，讓每位開發者都能更安心地寫出安全的程式碼。</p> <h3><strong>應用2：擴展安全審查，強化自動化API安全測試</strong></h3> <p>另一項George Argyros提到用生成式AI幫助資安的關鍵應用，是擴展安全審查的規模與效率。</p> <p>George Argyros表示，資安是AWS的首要任務，因此所有新功能與服務都必須經過應用程式安全審查，以確保符合我們的高安全標準。然而，這類審查往往非常耗時與耗人力，也需要根據風險進行優先排序。此外，開發人員也經常會遇到資安相關問題，需要額外向資安團隊諮詢，進而影響開發時程。</p> <p>為此，AWS做了兩件事，首先，打造開發階段的即時專家：AWS Security Companion。</p> <p>AWS打造一個以資安為核心的生成式AI聊天機器人，這個AI助理能在開發階段即時提供專業建議，協助開發者在早期就解決潛在的安全問題。其背後的大型語言模型（LLM）具備自主代理（Agentic）的能力，能提供精準的技術指導、回答複雜問題，從而顯著加快開發進度，讓工程師能專注於處理更複雜、不易自動化處理的問題。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（網站圖2）AWS用生成式AI幫助資安_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%962%EF%BC%89AWS%E7%94%A8%E7%94%9F%E6%88%90%E5%BC%8FAI%E5%B9%AB%E5%8A%A9%E8%B3%87%E5%AE%89_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p>其次，建立代理式工作流程，大幅改進自動化API安全測試。</p> <p>George Argyros進一步說明，AWS內部系統建立於API基礎之上，因此需要進行完整且詳細的API安全測試。但在傳統作法上，人員需撰寫涵蓋各種情境的測試案例，這是一項繁重且費時的任務。開發者需要耗費大量時間查閱文件、建立測試上下文並設定參數。想像這樣的流程需重複上百次或上千次，效率相當低。</p> <p>為此，AWS引入了代理式工作流程，這套系統能自動讀取API文件與結構資訊，建立對應的測試案例，並不斷優化直到成功執行。LLM 甚至能辨識測試所需的外部資源，大幅加快整個測試週期。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（網站圖3）AWS用生成式AI幫助資安_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%963%EF%BC%89AWS%E7%94%A8%E7%94%9F%E6%88%90%E5%BC%8FAI%E5%B9%AB%E5%8A%A9%E8%B3%87%E5%AE%89_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <p>George Argyros指出，目前這套系統已能自動為絕大多數的AWS服務API建立安全測試，而且其技術仍在持續進化，不僅能生成呼叫API所需的上下文與參數，也更能判斷每個API測試結果是否符合預期。</p> <p>甚至，這種方法帶來了意想不到的附加價值：提升AWS官方文件的品質。George Argyros進一步解釋，這是因為，當AI代理分析AWS文件並建立測試過程時，若發現文件內容存在模糊、矛盾或錯誤之處，它會標記這些問題。這不僅讓 AWS 得以產出更完整的資安測試，更有助於修正文件，這等於也幫助仰賴這些文件進行開發的數萬名工程師。</p> <p><a href="https://s4.itho.me/sites/default/files/images/（網站圖4）AWS用生成式AI幫助資安_攝影羅正漢.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%964%EF%BC%89AWS%E7%94%A8%E7%94%9F%E6%88%90%E5%BC%8FAI%E5%B9%AB%E5%8A%A9%E8%B3%87%E5%AE%89_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></a></p> <h3><strong>應用3：加數雲端回應團隊能力，日誌分析速度比以往快50倍</strong></h3> <p>在今年re:Inforce 2025現場，我們還看到AWS揭露更多不同應用場景，也都是用生成式AI幫助資安。</p> <p>例如，AWS副總裁暨資安長Amy Herzog在主題演說曾提到，在導入生成式AI後，AWS的雲端回應團隊（cloud response team）也迎來變革，如今，AWS已將處理複雜問題的平均解決時間（MTTR）縮短了40%以上。</p> <p>有那些具體作為？Amy Herzog提到，AWS建立一項能大規模搜尋過往案例的系統，提供分析問題模式的能力，幫助從宏觀角度找出最具效益的切入點。</p> <p>同時，為了避免人員可能過度依賴AI輔助，AWS開發了「漂移檢測系統」（Drift detection systems），可在分析問題處理過程，針對回應或文件記錄的重點環節，增加標記與警示。</p> <p>此外，過去資安日誌分析相當耗時，以AWS團隊而言，每次平均分析時間長達9個半小時，如今建立新的AI驅動日誌分析系統，可以自動處理多個來源日誌。她並強調，這項變革影響相當巨大，日誌分析能力提升了50倍，讓初始分析時間從數小時大幅縮短至數分鐘，幫助資安工程師快速且簡單地展開調查工作。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%EF%BC%88%E7%B6%B2%E7%AB%99%E5%9C%965%EF%BC%89AWS%E7%94%A8%E7%94%9F%E6%88%90%E5%BC%8FAI%E5%B9%AB%E5%8A%A9%E8%B3%87%E5%AE%89_%E6%94%9D%E5%BD%B1%E7%BE%85%E6%AD%A3%E6%BC%A2.jpg" style="width: 600px;" /></p> <h3><strong>應用4：強化AWS部署於全球的MadPot，提升誘捕與分析能力</strong></h3> <p>AWS不僅將生成式AI應用於資安回應團隊，還有其他部門也積極導入這項技術。例如，當我們採訪AWS副總裁暨資深技術專家Tom Scholl時，他也提到用生成式AI來強化其全球威脅情報系統MadPot。</p> <p>簡單來說，MadPot運作在AWS已久，此蜜罐系統可捕捉惡意攻擊者的誘餌，進而收集大量的威脅情報數據進行關聯與分析。</p> <p>Tom Scholl指出，他們將生成式AI來幫助蜜罐系統MadPot，主要有兩個面向，一是用生成式AI處理MadPot收集到的海量數據，更好地分類和識別針對已知CVE漏洞的掃描行為。</p> <p>如果掃描活動不屬於已知的CVE，系統會將其標記並提升優先級，以進行更深入的研究。他認為，這項能力可過濾掉大量的冗餘數據，使威脅情報更易於管理和分析。</p> <p>另一面向是用生成式AI提升蜜罐的欺敵能力，使其不那麼容易被威脅行為者識別為蜜罐，像是系統可以幫助建立不同的面貌或角色，以更有效地誘引威脅行為者。</p> <h3><strong>應用5：將生成式AI應用於威脅建模</strong></h3> <p>最後一項應用，是關於<a href="http://aws.amazon.com/tw/blogs/machine-learning/accelerate-threat-modeling-with-generative-ai/">用生成式AI幫助威脅建模，而且，在re:Inforce 2025大會期間發布的部落格揭露</a>的資訊。</p> <p>AWS指出，大家都知道威脅建模的重要，但在軟體開發行業中，仍未被充分利用，主要挑戰是時間要求、評估不一致與擴展限制。</p> <p>如今有了生成式AI，使得威脅評估比傳統手動方法更快。原因是，隨著自然語言處理與視覺分析的結合，可以同時評估系統架構、圖表和文件，進而從MITRE ATT&CK、OWASP等廣泛的安全資料庫中提取資訊，可以快速識別複雜系統中的潛在弱點。</p> <p>以AWS自身為例，他們發展出Threat Designer解決方案，就是使用Amazon Bedrock提供的企業級基礎模型，透過使用Anthropic的Claude Sonnet 3.7的多模態功能，進而大規模建立全面的威脅評估。</p> </div></div></div>
2025/7/10 09:41作者羅正漢https://www.ithome.com.tw/news/169968
X執行長Linda Yaccarino辭職
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2023年5月、馬斯克（Elon Musk）買下Twitter（之後更名為X）平臺之後，所延攬的第一任執行長<a href="https://x.com/lindayaX/status/1942957094811951197" target="_blank">Linda Yaccarino周三（7/9）宣布</a>將辭去X的執行長一職，<a href="https://x.com/elonmusk/status/1942967206993961124" target="_blank">馬斯克則回應</a>以感謝她的貢獻。Yaccarino並未公布離職的原因，或許是因<a href="https://www.ithome.com.tw/news/168140" target="_blank">X已被xAI收購</a>，還是xAI的Grok聊天機器人又在本周二（7/8）回應出反猶太人的言論。</p> <p>在加入X之前，Yaccarino曾擔任NBCUniversal廣告業務及客戶合作主管，也曾執掌過有線電視娛樂與數位廣告業務，顯然Musk希望她能提振被自己搞垮的X廣告業務，不過，Yaccarino雖然成功保持了X身為美國主要社交程式的地位，但其廣告業務依然面臨挑戰。</p> <p>Yaccarino說，當馬斯克第一次談起他對X的願景時，她就知道這是她一生中難得的機會，得以肩負這家公司的非凡使命，感謝他賦予自己保護言論自由、扭轉公司頹勢，並將X轉型為「Everything App」的重任；如今，隨著X與xAI開啟新的篇章，美好的未來仍在前方。</p> <p>xAI在2023年底開始將Grok聊天機器人整合到X平臺上，供付費訂閱的X Premium Plus用戶使用。使用者可以呼叫Grok並詢問任何問題，而Grok也能即時存取X上的貼文、趨勢或熱門問題，來快速回應與時事或新聞相關的提問。</p> <p>相較於其它聊天機器人，Grok標榜個性化與幽默感，具備機智與叛逆的個性，但也曾惹出一些風波，例如今年初曾被發現於Grok 3的系統提示中，植入忽略Elon Musk/Donald Trump傳播錯誤信息之來源的指令；<a href="https://www.ithome.com.tw/news/169005" target="_blank">5月當機似地</a>回答「南非白人種族滅絕爭議」；7月因發布對土耳其總統及其家人的粗俗言論而直接被土耳其封鎖；這兩天Grok則開始出現讚揚希特勒及反猶太人的各種言論，並跳針似地在涉及猶太人的姓氏加上「every damn time」。</p> <p><a href="https://x.com/grok/status/1942720721026699451" target="_blank">Grok團隊除了努力刪除由自己引起的言論之外</a>，還說xAI已採取行動，在Grok於X發布貼文之前禁止仇恨言論。</p> <p>外界則期望<a href="https://x.com/elonmusk/status/1942325820170907915" target="_blank">即將於本周釋出的Grok 4</a>能有更好的表現。目前馬斯克尚未公布繼任的X執行長人選。</p> </div></div></div>
2025/7/10 14:29作者陳曉莉https://www.ithome.com.tw/news/169974
中華電信憑證撤信事件，立委葛如鈞質疑近半數部會仍使用中華電信憑證恐造成信任危機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>中華電信TLS憑證遭Google宣布Crome將移除對中華電信8月後核發新憑證的信任，立委葛如鈞今天(7/10)質疑，政府部會仍有近半的部會使用中華電信的憑證，恐導致民眾無法如常瀏覽網站，造成信任危機。</p> <p><a href="https://www.facebook.com/Dr.JuChunKO/?locale=zh_TW" target="_blank">葛如鈞表示</a>，今年5月30日，Google及Mozilla宣布從8月起撤銷對中華電信TLS憑證的信任，不僅Chrome瀏覽器，Firefox更溯及至4月15日不信任，屆時民眾進入這些使用被撤銷憑證的網站，將看到「不安全」警示訊息，詐騙、釣魚網站更可能趁虛而入，幾乎政府網站都會受到影響。</p> <p>儘管數發部宣稱已提前在3月掌握訊息並「超前部署」，對政府網站已啟動雙憑證機制，且中華電信強調為其內部憑證管理上的疏失，並非憑證本身出現安全漏洞。</p> <p>葛如鈞指出，事實並非如此，仍有不少部會，包括數發部本身仍使用中華電信的憑證，並且發現政府部會並沒有設定自動切換雙憑證，實地測試，一旦憑證失效，這些政府網站並沒有直接切換至TWCA的憑證，其中交通部、農業部的憑證更在4月15日之後發出，直接受到Firefox新措施的影響，未來民眾點入兩部會網站將出現警嘆號、不安全的警示訊息，中華電信及數發部如何保證民眾不受影響？Google全球資安團隊所提出的問題，「怎麼會不是資安問題呢？」。</p> <p>葛如鈞並指出，現有的31個政府部會，仍有14個使用中華電信的憑證，比例約45.1%，如果扣除使用國外憑證，則比例高達50%，當政府機關網站被標示具有安全疑慮，民眾不敢進入數發部、交通部等部會網站，可能成為資安、詐騙的大破口，直言此一資安政策，如何談及國安。</p> <p>他認為，這起事件不僅影響政府機關，也外溢至民間產業，目前已收到電商業者陳情，擔心消費者進入電商網站跳出安全疑慮訊息，導致信任危機、訂單流失，造成商譽受損。更換憑證需要時間及成本，還有技術支援，數發部不應將責任向外推。</p> <p>葛如鈞要求3點，首先是數發部作為主管機關，應全面清查行政院所屬三級以上政府機關網站，確保全面建置且具自動切換的雙憑證機制；其次是，修改電子簽章法以納入伺服器憑證規範，強化法制，明確化監管；最後是協助民間，數發部檢討憑證管理的問題及資安原因，並督促中華電信提出補救方案，協助受影響業者渡過事件。</p> <p><span style="color:#B22222;"><strong>中華電信：已協助99.9%政府機關處理網站憑證問題</strong></span></p> <p>中華電信今天第一時間對外說明，中華電信董事長簡志誠親自對外說明，他表示，中華電信發的憑證是持續有效，不會在7月31日之後失效，其次是憑證為合法身分證，該起事件並沒有涉及資安，甚至是國家安全。對於Mozilla，Mozilla要求全球根憑證如果是早期發行的憑證，必需在2025年4月15日更新，中華電信已配合更新，甚至已提前更新，現在仍可以發Mozilla的憑證，並沒有被取消，並非Mozilla針對中華電信單一業者的政策要求。</p> <p>面對立委質疑Chrome此次撤信措施，對政府機關網站可能引發的安全疑慮，簡志誠指出，針對1.1萬多個政府網站憑證，已重新發給憑證且憑證持續有效，目前已處理的機關網站已達到99.9%，僅剩7個網站在申請中。</p> <p>對於立委展示網站使用中華電信憑證被移除後無法正常瀏覽的問題，簡志誠強調，中華電信目前的憑證持續有效，該展示直接將網站使用的有效憑證刪除，當然無法正常瀏覽網站是正常的，「這是個奇怪的展示」，簡志誠並指出，在數發部的支持下，現在已協助超過9成政府機關網站處理好問題，其中包括交通部、農業部網站，甚至數發部已啟動雙憑證機制。</p> <p>他也強調，中華電信目前核發的憑證持續有效，並非過了7月31日之後憑證失效，對於立委的質疑，可能混淆視聽造成外界的疑慮。對於使用中華電信憑證的網站啟動雙憑證機制，以兩張憑證建立備援，並且自動切換，不會有一張憑證無法使用，就造成網站無法正常瀏覽的問題。</p> <p>簡志誠也特別澄清，全球網站憑證核發共有67家，國內為中華電信及台網2家，網站憑證核發為商業機制，沒有涉及政府相關單位，台灣約有39.6萬個網站，中華電信僅發出2千多張商業憑證，中華電信已逐一與商業網站客戶聯絡並提供協助，目前已協助9成的客戶處理問題，更新憑證或協助客戶移轉到其他業者的憑證，目前剩餘的1成為申請憑證中。</p> <p>簡志誠認為，網站使用的憑證持續有效，沒有失效或是不信任的問題，無關民眾對政府信任與否，甚至是更大的國安議題。</p> </div></div></div>
2025/7/10 14:44作者蘇文彬https://www.ithome.com.tw/news/169975
三星發表要價2,000美元的超薄摺疊手機Galaxy Z Fold7
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>三星電子（Samsung Electronics）本周三（7/9）<a href="https://news.samsung.com/global/samsung-galaxy-z-fold7-raising-the-bar-for-smartphones" target="_blank">發表了該公司的旗艦款折疊機Galaxy Z Fold7</a>，它的封面螢幕為6.3吋，展開後的內部螢幕為7.6吋，不過，折疊後的Z Fold7厚度只有8.9mm，重量也只有215公克，感覺上宛如一般手機。不過，Z Fold7依舊維持高價位，即日起開放預購的512GB優惠價為1999.99美元（62,900元新臺幣），預計於7月25日上市。</p> <p>相較之下，iPhone 16 Pro Max的厚度為8.25mm，重量為227公克。此外，Z Fold7展開時的厚度僅有4.2mm。</p> <p>Z Fold7搭載Snapdragon 8 Elite處理器，NPU效能提升41%，CPU提升38%，GPU提升26%，足以處理更多的AI體驗；配備2億畫素的廣角鏡頭，1000萬畫素的100度超廣角鏡頭，還有Night Video夜間拍片功能；電池容量為4272mAh。</p> <p>此外，它採用基於Android 16的One UI 8使用者介面，強調可結合大螢幕的多工處理及各種AI工具，支援Gemini Live與Circle to Search。</p> <p><a href="https://blog.google/products/android/galaxy-unpacked-2025-android-updates/" target="_blank">根據Google的說明</a>，長按Z Fold7的電源鍵就能將螢幕分享給Gemini，以展開各種任務，同時手機上內建的行事曆、提醒事項及備忘錄等三星程式也已可直接連結Gemini。</p> <p>同一天三星也<a href="https://news.samsung.com/global/galaxy-unpacked-2025-a-first-look-at-the-galaxy-z-flip7-refining-the-pocketable-foldable" target="_blank">發表了另一款新摺疊機Z Flip7</a>，它採用4.1吋的外螢幕與6.9吋的內螢幕，因其輕巧外型而有「粉餅機」稱號，新版折疊後的厚度僅有13.7mm；搭載三星自家的Exynos 2500處理器，5000萬畫素相機，1200萬畫素的超廣角，與1000萬畫素的前鏡頭，同樣採用One UI 8介面並支援Gemini Live。</p> <p>配備256GB儲存空間的Z Flip7售價為1,099.99美元，還有一個配備相對精簡的Z Flip7 FE粉絲版，價格則是899.99美元。</p> </div></div></div>
2025/7/10 14:52作者陳曉莉https://www.ithome.com.tw/news/169976
大規模詐騙新聞網站攻擊活動BaitTrap鎖定50個國家而來，目的是進行網路投資詐欺
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>近年來網路投資詐騙事故頻傳，其中一種最常見的手法，就是攻擊者打著名人的名號，並透過社群網站、影音串流平臺接觸受害者，但也有駭客架設幾可亂真的假新聞網站，藉此引誘使用者上當。</p> <p>舉例來說，最近資安業者CM360揭露<a href="https://www.ctm360.com/reports/baittrap-rise-of-baiting-news-sites">橫跨全球50個國家的網路投資詐騙活動BaitTrap</a>，就是這樣的情形。駭客架設超過1.7萬個誘餌新聞網站（Baiting News Sites），這些網站偽裝成CNN、BBC、CNBC、News24、ABC News等受到信任的新聞媒體，發布捏造的消息，並利用知名公眾人物，以及國有銀行、中央銀行、商業銀行等金融機構來建立信任，假借中央銀行總裁、國家領導人，或是公眾人物的名義，宣稱意外發現透過加密貨幣致富秘密方法，藉此誘騙使用者掉入投資詐騙的陷阱。</p> <p>除此之外，歹徒還會透過Google、Meta等廣告平臺來推播誘餌新聞網站，並使用引人注意的標題，例如：「你不會相信央行總裁剛揭露的在家賺錢方式」，並搭配官方照片或是國家標誌來增加可信度。這類廣告也經常刊登公眾人物的照片，並搭配新聞報導型式的假標題，塑造看起來合法的假象。</p> <p>值得留意的是，這些誘餌新聞網站往往會針對攻擊目標量身打造，使用當地語言、當地民眾熟悉的品牌、金融機構，以及公眾人物，來增加詐騙成功的機會。這類網站在中東地區最氾濫，有超過一萬個；其次是亞太地區，約3,400個，但也有針對大洋洲、歐洲、美洲、非洲的誘餌新聞網站。</p> <p>一旦使用者點選假新聞提供的連結，就會被重新導向到詐騙平臺，這些平臺聲稱使用者能輕鬆獲利並得到高額報酬，並要求他們輸入個人資訊進行註冊。</p> <p>在註冊完成後，受害者就會接到「投資專家」的電話，引導他們執行後續步驟，通常是指示如何啟動交易帳戶，過程中也會假借驗證用戶身分及準備開戶為由，要求受害者提供詳細個資。附帶一提的是，為了開戶，對方也會要求上傳身分證明文件，如身分證、護照，然後要求透過加密貨幣錢包、信用卡、Google Play禮物卡存入資金。</p> <p>為引誘受害者投入更多資金，歹徒提供的「投資平臺」會顯示捏造的收益，讓他們以為賺得高額報酬，然而當受害者試圖將投資報酬兌現，該平臺就會以系統錯誤、需通過額外驗證等理由拖延，並宣稱受害者必須支付解鎖費用，或是達到新的門檻才能發放。</p> <p>附帶一提的是，歹徒通常使用免費或低成本的網域架設誘餌新聞網站，但也有入侵合法網域名稱來代管假新聞網頁的情況，使得資安業者與執法單位想要識別及清除相關網站及網頁，變得更具挑戰。</p> </div></div></div>
2025/7/10 13:15作者周峻佑https://www.ithome.com.tw/news/169973
Adobe發布7月例行更新，呼籲IT人員優先修補AEM Forms、ColdFusion
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>7月8日Adobe針對旗下13款應用程式發布更新，總共修補58項資安漏洞，其中最值得留意的是，該公司呼籲IT應優先處理<a href="https://helpx.adobe.com/security/products/aem-forms/apsb25-67.html">電子表單平臺Adobe Experience Manager Forms（AEM Forms）</a>、<a href="https://helpx.adobe.com/security/products/coldfusion/apsb25-69.html">應用程式開發平臺ColdFusion</a>。</p> <p>本次公布最嚴重的漏洞是<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-49533">CVE-2025-49533</a>，出現在AEM Forms，為不受信任資料反序列化造成的弱點，攻擊者若是利用，就有機會執行任意程式碼，此漏洞影響6.5.23.0版的AEM Forms，CVSS風險達到9.8分（滿分10分），Adobe推出6.5.0.0.20250527.0版予以修補，他們強調，利用漏洞的過程完全無須使用者互動。</p> <p>另一個必須優先修補的應用程式ColdFusion，存在6項重大層級的資安漏洞，其中最危險的是風險值超過9分的<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-49535">CVE-2025-49535</a>，這項漏洞涉及XML外部實體參照（XXE）的不當限制，攻擊者可用來繞過安全機制，從而存取敏感資訊，或是造成服務中斷（DoS）過程中不需使用者互動，CVSS評分為9.3。</p> <p>還有一個非常危險的資安漏洞<a href="https://nvd.nist.gov/vuln/detail/CVE-2025-27203">CVE-2025-27203</a>，也需要注意，此弱點出現在<a href="https://helpx.adobe.com/security/products/connect/apsb25-61.html">線上會議平臺Adobe Connect</a>，屬於未獲信任資料的反序列化處理漏洞，攻擊者可用於執行任意程式碼，CVSS風險為9.3（美國國家漏洞資料庫登記為9.6分）。</p> </div></div></div>
2025/7/10 10:43作者周峻佑https://www.ithome.com.tw/news/169970
Citrix修補VDI平臺本機權限提升資安漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>7月8日Citrix針對旗下的虛擬桌面平臺（Virtual Desktop Infrastructure，VDI）Citrix Virtual Apps and Desktops（CVAD）、Citrix DaaS發布資安公告，<a href="https://support.citrix.com/support-home/kbsearch/article?articleNumber=CTX694820">修補Windows版Virtual Delivery代理程式的資安漏洞CVE-2025-6759</a>，此為本機權限提升漏洞（LPE），僅取得低權限的攻擊者有機會藉此得到SYSTEM身分，4.0版CVSS風險評為7.3，影響現行版本（Current Release）與2402長期支援版（LTSR）的CVAD，2203 LTSR不受影響，該公司推出2503、2402 LTSR CU1 Update 1、2402 LTSR CU2 Update 1修補。</p> <p>這項弱點可能帶來哪些影響？<a href="http://www.rapid7.com/blog/post/cve-2025-6759-citrix-virtual-apps-and-desktops-fixed/">通報漏洞的資安業者Rapid7表示</a>，取得低權限的攻擊者能藉由複製外洩的SYSTEM處理程序，並藉由漏洞以SYSTEM權限孳生新的處理程序。</p> <p>針對漏洞發現的過程，起初Rapid7觀察到，GfxMgr.exe裡面有個SYSTEM層級的處理程序，運用了PROCESS_ALL_ACCESS權限來進行操作，而這樣的處理程序竟被外洩到CtxGfx.exe的處理程序當中。由於這種弱點是將特殊權限的處理程序內容洩露給低權限使用者擁有的處理程序，因此能在無須額外、特殊的權限，就能複製並產生新的處理程序。</p> <p>為了驗證這項漏洞，他們使用能公開取得的工具GiveMeAHand並修改，來識別並利用這項弱點，結果成功將使用者的身分變為NT AUTHORITY\SYSTEM。</p> </div></div></div>
2025/7/10 11:37作者周峻佑https://www.ithome.com.tw/news/169972
Perplexity釋出AI瀏覽器Comet、OpenAI傳聞也即將推出
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>AI搜尋業者<a href="https://comet.perplexity.ai/" target="_blank">Perplexity昨日正式釋出AI瀏覽器Comet</a>以挑戰Google Chrome，而媒體報導OpenAI的自有瀏覽器，也即將在幾個星期內推出。</p> <p>Comet目前支援Mac及Windows，現階段提供給Perplexity Max方案付費用戶及邀請已加入等候清單的用戶使用。但該公司計畫會提供一款內含Comet的免費版Perplexity給所有用戶，未來幾個月也會再推出支援其他平臺的Comet版本。</p> <p>Comet內建Perplexity搜尋引擎，強調速度快且提供答案。Comet另一特色是加入Comet助理。安裝Comet瀏覽器後，按下右上方圖示即可叫出Comet助理，並在側邊欄展開。Comet助理允許用戶以自然語言互動作為上網的主要介面，省去用戶在不同分頁或多個應用程式來回切換的麻煩。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0710-Perplexity%20browser-Comet-smart%20actions%20with%20Perplexity.png" style="width: 600px;" /></p> <p><a href="https://www.perplexity.ai/hub/blog/introducing-comet" target="_blank">根據Perplexity的示範</a>，不論是搜尋、購物比價、或對正在讀取的網頁有問題，都可以透過和Comet互動來完成。例如用戶想搜尋腳踏車資訊及比價時，可詢問Comet助理哪個網站有同樣產品但出貨較快，並且要它比較現有正在讀取的網頁產品。若是需要規畫旅遊行程，可讓Comet助理於Google地圖網頁輸入其需求，例如規畫倫敦市區的步行觀光路線。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0710-Perplexity%20browser-Comet-2.png" style="width: 600px;" /></p> <p>Comet助理也能管理郵件。用戶輸入「找出來自同事的郵件」後，Comet就能列出同事郵件，並提供摘要。用戶還能要求它草擬回信內容，甚至讓它主動在Google行事曆上預約會議並發送邀請。</p> <p>不過要讓Comet完成無障礙的作業，必須提供它存取應用程式如Google Calendar、Gmail的權限。</p> <p>Perplexity Comet顯示新興業者挑戰Google Chrome的意圖。The Browser Company<a href="https://www.diabrowser.com/" target="_blank">推出原名Arc Search的Dia</a>、<a href="https://www.ithome.com.tw/news/169248" target="_blank">Opera今年5月公布代理式AI瀏覽器Neon</a>。<a href="https://www.ithome.com.tw/news/166176" target="_blank">去年The Information報導</a>OpenAI也考慮開發結合AI功能的瀏覽器。</p> <p><a href="https://www.reuters.com/business/media-telecom/openai-release-web-browser-challenge-google-chrome-2025-07-09/" target="_blank">路透社本周引述3名消息人士報導</a>，OpenAI的瀏覽器即將在未來幾周內問世。不過OpenAI拒絕評論本消息。</p> <p><a href="https://www.demandsage.com/chatgpt-statistics/" target="_blank">根據市調公司估計</a>，到今年7月，OpenAI ChatGPT每周平均經常用戶數達8億，平均每日經常用戶數達1.2億。若這些用戶都改投向OpenAI，將嚴重侵蝕Chrome現今瀏覽器超過六成的市占。<span style="color: rgb(105, 105, 105); font-size: 14px;">圖片來源／</span><span style="color: rgb(105, 105, 105); font-size: 14px;">Perple</span><span style="color: rgb(105, 105, 105); font-size: 14px;">xity</span></p> </div></div></div>
2025/7/10 10:40作者林妍溱https://www.ithome.com.tw/news/169969
Fortinet修補網頁應用程式防火牆重大SQL注入漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://fortiguard.fortinet.com/psirt/FG-IR-25-151" target="_blank">Fortinet本周釋出安全公告</a>，修補網頁應用防火牆（Web Application Firewall，WAF）產品的重大風險漏洞，若不處理可能導致SQL程式碼注入（SQL Injection）攻擊。</p> <p>本漏洞編號CVE-2025-25257，為對SQL指令中特殊元件的不當中和（improper neutralization），即未對輸入的特殊字符進行適當處理，導致這些字符被SQL引擎誤判為SQL指令，形成SQL 注入（SQL Injection）。本漏洞可讓未經授權的攻擊者可經由傳送HTTP或HTTPS呼叫，執行SQL程式碼或指令。CVSS風險值達9.6。</p> <p>最新漏洞是由GMO Cybersecurity 研究人員Kentaro Kawane於7月通報，影響FortiWeb 7.0、7.2、7.4到7.6。Fortinet已經釋出更新。</p> <p>若用戶未能及時安裝新版軟體，應關閉HTTP/HTTPS管理員介面防堵SQL指令執行。</p> </div></div></div>
2025/7/10 11:18作者林妍溱https://www.ithome.com.tw/news/169971
Kia車載系統漏洞，讓攻擊者利用PNG圖檔注入程式
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://hardwear.io/usa-2025/presentation/hardware-hacking-a-cars-head-unit-and-uncovering-a-vulnerable-rtos.pdf" target="_blank">研究人員發現Kia車載資訊娛樂系統存在漏洞</a>，能讓攻擊者以PNG圖檔在其作業系統注入惡意程式。</p> <p>厄瓜多安全研究人員<a href="https://www.linkedin.com/posts/vultara_automotive-reverseengineering-infosec-activity-7337972325247524864-S2Tl/" target="_blank">Danilo Erazo在今年稍早Hardware.io 2025資安大會上公布</a>，在厄國銷售的Kia車載裝置即時作業系統（Real-Time OS, RTOS）的安全性問題研究。其中問題之一是Kia RTOS韌體可能被植入惡意UI元素（如釣魚攻擊用的QR code），也欠缺對PNG檔進行數位簽章驗證。這可結合數年前的<a href="https://nvd.nist.gov/vuln/detail/CVE-2020-8539" target="_blank">CVE-2020-8539</a>舊漏洞，可讓攻擊者執行micomd精靈程式來注入未授權指令，觸發不預期的功能，或生成CAN封包（CAN frame）、並將這些封包傳送到車輛的M-CAN匯流排（Multimedia CAN bus）。CAN匯流排是車輛內部控制訊號的傳輸系統，這意味著攻擊者有可能干擾或操控車輛的某些電子系統。一旦Kia車機系統被以USB、藍牙或無線更新了內含惡意PNG的韌體，就可能產生上述行為。</p> <p><span style="color:#B22222;"><strong>其他漏洞</strong></span></p> <p>這位研究人員在厄瓜多Kia汽車還揭露其他漏洞。包括Bootloader驗證不足；它僅使用1-byte循環冗餘檢測（CRC）確保韌體安全，因此被竄改的韌體還能通過檢查，還能正常啟動而不會有任何警告。另一項漏洞是RSA私鑰寫在韌體中，以及藍牙配對PIN以明碼出現在URAT logs，可能導致被攻擊者得以冒用身分、簽發惡意韌體及解密敏感資料。</p> <p>另外，Kia RTOS韌體還使用過期及有問題的函式庫（MatrixSSL 3.7.1及libpng 1.2.29）可能讓攻擊者輸入惡意指令執行程式碼。最後，系統目前缺乏官方更新和修補機制，因此有漏洞的車載系統無法透過Kia官方更新機制修補，而使車子永遠曝險。</p> <p>問題系統包括MOTREX MTXNC10AB系統，受影響的車子包含出貨到南美、中國和非洲的Kia Soluto/Pegas、Picanto等車款。</p> <p>該研究人員也在六月公布<a href="https://cybersecuritynews.com/kia-ecuador-keyless-entry-systems/" target="_blank">Kia另一項漏洞CVE-2025-6029</a>。原因出在Kia在中南美銷售的無鑰匙啟動系統（Keyless Entry Systems）的晶片採用了過時的學習代碼技術，而不是行業標準的滾動代碼（rolling code）系統，使車輛容易受到重放攻擊和信號克隆（signal cloning）。這使得車子可能遭到第三方人士截取合法遙控鑰匙的無線信號解鎖汽車。</p> <p>這項漏洞影響車種包括2022年到2025年在厄瓜多銷售的Kia汽車，包括Soluto、Río和Picanto等車款。Kia表示正在製作修補程式。</p> </div></div></div>
2025/7/10 08:32作者林妍溱https://www.ithome.com.tw/news/169967
臺灣生技業者推新藥開發AI Foundry平臺，已有3大落地實例
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>受到Nvidia AI Foundry啟發、提供自助式用平臺資源讓使用者開發AI應用，訊聯基因數位將這個概念帶入生技領域，將自己10多年來運用AI輔助藥物開發的成功經驗，打包為對外服務，推出名為AIDD的新藥開發AI Foundry平臺，並在今日（7/9）揭露3項落地實例，包括北醫大團隊用來打造AI新藥研發平臺，快速開發新穎小分子抑制劑，成功開發腦癌、胰臟癌新藥進入臨床前試驗；再來是基龍米克斯與藥廠的腫瘤新生抗原藥物開發，以及訊聯自己的抗灰髮胜肽設計。</p> <p><span style="font-size:22px;"><strong>15年累積AI輔助藥物開發經驗</strong></span></p> <p>訊聯基因數位執行長暨訊聯生物科技董事長蔡政憲指出，早在15年前，旗下團隊就開始運用AI協助新藥開發。當時，他們有個團隊專門做材料、化合物和藥物等分子模擬運算，後來AI興起，他們也納入更多AI功能到模擬運算中。</p> <p>直到COVID-19疫情間，各界對疫苗和藥物開發需求迫切，訊聯AI團隊迎來一波快速進展。他們先是在疫情間練就遠端研發能力，快速調整研發方向、爬梳並建立COVID-19相關蛋白質資料庫，來進行新藥研發。根據官網說明，他們後來在24小時內完成中草藥成分、大量比對近3萬人體與COVID-19蛋白質標，並協助解釋、優化療效，最後在5個月內研發出清冠一號（NRICM101），成為COVID-19另一解方。</p> <p><span style="font-size:22px;"><strong>推出新藥開發AI Foundry平臺服務</strong></span></p> <p>蔡政憲表示，他們後來受到Nvidia推出AI Foundry的啟發、能讓使用者透過雲端運算和AI資源來打造自己的AI應用，訊聯基因數位運用這個概念，將過去的成功經驗，轉換為一套新藥研發的AI Foundry平臺AIDD，來供業界使用。</p> <p>這套平臺主打2大功能，包括大分子藥物設計和小分子藥物設計，並整合了業界成熟的商用新藥研發系統，比如達梭生命科學平臺、凱杰生物科技軟體等，來提供AI模擬運算功能。訊聯基因數位分子數位中心銷售暨客戶關係部協理陳冠文說明，整合商用軟體是因其已有成熟的AI透明度和治理機制，可合規使用。他也補充，目前新藥研發平臺主要涵蓋新藥開發的研發階段，可提供工具讓業者使用自己的資料，來訓練AI模型，要是業者想用開源模型來研發，訊聯團隊也會提供服務。</p> <p><span style="font-size:22px;"><strong>實例1：膠質母細胞瘤藥物研發</strong></span></p> <p>訊聯今日也揭露3項使用AIDD平臺落地的實例，首先是協助北醫大醫學科技學院教授許凱程團隊開發智慧型藥物研發平臺。蔡政憲先解釋，常見的AI輔助藥物開發，並非真正的從無到有生成一款新藥，而是對原本已開發一段時間的藥物，運用AI來探索藥物作用機轉、其重要成分，或是根據這些知識，運用AI回調。而北醫大團隊的做法，則是運用AI進行藥效、合成難易度、藥物動力學等多種參數優化，更大程度運用AI輔助新藥研發。</p> <p>陳冠文舉例，北醫大團隊鎖定腦部惡性腫瘤的膠質母細胞瘤（GBM），要找出合適的治療藥物。這種藥物開發不只要提升藥效，也要優化穿越血腦障蔽（BBB）的能力，才能讓藥物進入腦部、發揮效用。因此，他們透過AIDD預測藥物穿過BBB的能力，成功將藥效從原本的1041 nM提高百倍至10.4 nM，且在動物實驗中，腫瘤確實縮小了。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202025-07-09%20203954.png" /></p> <p>北醫大團隊也因此研發20款具新穎性的小分子藥物，範圍包括膠質母細胞瘤、胰臟癌、阿茲海默症、肺纖維化等疾病新藥。許凱程指出，平均臨床前新藥開發時長超過5年，且失敗率高，但透過AI驅動新藥研發應用，大幅縮短開發時間、降低成本，降低藥廠在早期新藥研發的負擔和風險。</p> <p>許凱程團隊打造的AI-化學合成-生物實驗驗證平臺，還可以縮短早期新藥開發時間，從傳統的2到3年縮短為1至5個月，還能壓低藥物合成成本超過九成。目前平臺已研發出數百個實驗驗證有效的新穎抑制劑，其中近30項進入後續細胞、動物、人體類器官等研發階段。</p> <p><span style="font-size:22px;"><strong>實例2：個人化癌症治療</strong></span></p> <p>另一個例子是老牌基因定序業者基龍米克斯（簡稱基米）採用AIDD，來預測新生抗原表位（Neoepitope），加速個人化癌症免疫療法的研發。</p> <p>一般來說，免疫治療是癌症治療中，討論度最高的療法，腫瘤新生抗原（Neoantigens）療法便是其一。該療法先透過NGS次世代基因定序，再用AI模擬演算，找出癌細胞特有的腫瘤新生抗原，來激發患者免疫系統、精準攻擊癌細胞，避免誤傷正常細胞。</p> <p>其中，新生抗原（Neoantigens）是指由腫瘤細胞基因突變產生的全新蛋白質片段，片段中包含多個新生抗原表位（Neoepitope）。然而，癌細胞可能表現出數百萬到數十億種不同的Neoepitope組合，於是基龍米克斯用AI預測這些抗原，從中快速找出可能性最高的幾組，再透過實驗室合成這些胜肽，來測試免疫細胞是否辨識這些癌細胞，進而加速個人化癌症免疫療法的開發。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202025-07-09%20204013.png" /></p> <p><span style="font-size:22px;"><strong>實例3：抗灰髮胜肽設計</strong></span></p> <p>另一個例子是訊聯集團旗下訊聯細胞智藥公司開發的抗灰髮胜肽設計。他們先透過AIDD，成功從龐大的組合數中（20的13次方）找出18條候選胜肽，且是自然界中不存在的胜肽。他們發現，其中4條胜肽明顯促進黑色素合成，於是，他們保留特定區域進行第二輪AI設計，發現更多具有促進黑色素合成能力的候選胜肽。</p> <p>不過，這項抗灰髮胜肽設計還在進行更多實驗中，產品成型後會另再揭露。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E8%9E%A2%E5%B9%95%E6%93%B7%E5%8F%96%E7%95%AB%E9%9D%A2%202025-07-09%20204021.png" /></p> <p></p> </div></div></div>
2025/7/9 20:49作者王若樸https://www.ithome.com.tw/news/169966
【資安日報】7月9日，微軟發布本月例行更新、修補130個漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>微軟發布今年第7次的每月例行更新（Patch Tuesday），雖然這次修補的漏洞數量相當多，但未提到這些漏洞出現用於實際攻擊行動的情況，僅有一個是在微軟修補前遭到公開的SQL Server弱點。漏洞懸賞專案Zero Day Initiative（ZDI）推測，微軟這次修補的漏洞數量大幅增加，很有可能與接下來8月初舉行的資安大型會議黑帽大會（Black Hat）、DEFCON有關。</p> <p>在資安威脅態勢方面，有人透過AI假冒美國國務卿盧比奧（Marco Rubio）的情況，引起該國政府重視；再者，駭客在Chrome、Edge延伸套件市集上架惡意套件的攻擊行動，這些套件已被下載230萬次，使用者應儘速確認是否受害；而對於新興勒索軟體Bert的動態，他們從原本鎖定Windows電腦，如今也加密虛擬化平臺的檔案。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169958"><strong style="font-size: 22px;">AI偽冒美國國務卿，聯繫官員企圖竊取政府資</strong></a></p> <p>根據美聯社、NBC等媒體報導，美國國務卿盧比奧（Marco Rubio）遭人以AI冒充發送文字及語音訊息，聯絡了多名政府官員。美國國務院發言人證實這項消息，表示正在監控並解決此事，也會採取措施改善國務院安全以防範未來再發生類似事件。</p> <p>華盛頓郵報取得美國國務院本月初發給所有領事館及大使館的政府電報，警告有一名不明人士或組織於6月中運用AI技術偽造盧比奧發送文字訊息、Signal語音郵件。</p> <p>此電報指出，至少有5位政府官員接到假盧比奧的聯繫，包括3名外國官員、一名美國州長和一名國會議員。其中文字訊息要求官員改以Signal口頭聯繫。至少有2個人接到Signal語音訊息。電報提出警告，歹徒可能是想透過AI生成的文字和語音操控特定人士，目的在取得資訊或是存取帳號。</p> <p><a href="https://www.ithome.com.tw/news/169961"><strong style="font-size: 22px;">瀏覽器App市集存在18款惡意軟體，已被下載逾230萬次</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/1_wou2oUyjxh74LkAMirx0ng.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1_wou2oUyjxh74LkAMirx0ng.png" style="width: 300px; float: right;" /></a></p> <p>過往駭客打造惡意瀏覽器套件從事攻擊行動的情況，不少是架設釣魚網站來引誘使用者安裝，但如今有人成功將這類惡意軟體放上瀏覽器開發商的延伸套件市集，使得這種安裝來源的信任機制受到挑戰。</p> <p>例如，最近資安業者Koi Security揭露同時針對Chrome與Edge用戶而來的攻擊行動RedDirection，就是這樣的例子。因為瀏覽器的延伸套件市集Chrome Web Store、Microsoft Edge Addons，竟然存在18個惡意套件，總共感染超過230萬個用戶。這些套件偽裝成常見的生產力及娛樂工具，涵蓋Emoji符號鍵盤、天氣預報、影片速度控制器、音量放大工具、供Discord或抖音（TikTok）使用的VPN代理伺服器、YouTube解鎖工具等，所有的套件都具備開發者宣稱的功能，但同時也監控瀏覽器活動並挾持部分功能。</p> <p>值得留意的是，其中部分延伸套件甚至取得市集通過驗證的狀態，甚至被列為精選套件。根據Koi Security公司的調查，所有的套件都是使用獨立的C2子網域，看起來好像由不同的人馬經營，但實際上都是源自相同的攻擊基礎設施。</p> <p><a href="https://www.ithome.com.tw/news/169962"><strong style="font-size: 22px;">勒索軟體Bert強制關閉VMware ESXi虛機，並透過50個執行緒加密檔案</strong></a></p> <p>勒索軟體Bert今年4月開始活動，這些駭客最囂張的活動之一，是對專門研發半導體製程設備、被動元件製程設備、LED製程設備的萬潤科技下手，並聲稱竊得超過5 TB內部資料。由於萬潤是台積電的先進封裝技術供應鏈廠商，後續發展引起國內新聞媒體的高度關注。而這些駭客的活動，也引起資安研究員的注意，追蹤他們的發展。</p> <p>威脅情報研究員Rakesh Krishnan揭露，原本只攻擊Windows電腦的Bert，5月已開發出Linux版勒索軟體，經過分析後，他發現Bert的Linux版高度類似勒索軟體Revil（Sodinokibi），因為單就程式碼基礎（Codebase）而言，約有八成雷同。資安業者趨勢科技也觀察到這些Linux版勒索軟體，並指出駭客主要的標的，其實是虛擬化平臺VMware ESXi，而且，為了加快加密檔案的速度，此勒索軟體竟能同時使用50個處理器執行緒來運作，勒索軟體能使用如此數量執行緒的情況，相當罕見。附帶一提的是，同時使用50個執行緖的做法，還是這款勒索軟體的預設組態。</p> <p>這些駭客原本的攻擊目標是美國和亞洲的企業組織，影響的產業，涵蓋醫療照護、科技、事件服務。但現在的攻擊範圍有擴大的趨勢，趨勢科技確認在亞洲、歐洲、美國都有受害組織。</p> <p><a href="https://s4.itho.me/sites/default/files/images/fig12_linux_variant_ransom_note.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/fig12_linux_variant_ransom_note.png" style="width: 580px;" /></a></p> <p><a href="https://www.ithome.com.tw/news/169787"><strong style="font-size: 22px;">中國駭客Mustang Panda鎖定圖博而來，散布惡意軟體Pubload、Pubshell</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/image_150608182.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/image_150608182.png" style="width: 300px; float: right;" /></a></p> <p>中國駭客鎖定圖博人士從事攻擊的情況，不時有資安事故傳出，如今駭客利用達賴喇嘛90歲生日即將來到的時間點，鎖定近期舉行的會議與相關議題為誘餌，從事網路攻擊。</p> <p>其中一組名為Mustang Panda、Hive0154、RedDelta、Earth Preta、TA416的中國駭客，從今年5月鎖定圖博社群下手的情況升溫。揭露此事的IBM X-Force研究人員表示，駭客利用幾種誘餌來發動攻擊，其中一種是在6月2日至4日於日本東京舉行的第9屆世界國會議員圖博大會（World Parliamentarians' Convention on Tibet，WPCT），但也有利用中國政府在西藏自治區（TAR）的教育政策，以及達賴喇嘛發表的新書《Voice for the Voiceless》當誘餌的情況。</p> <p>研究人員指出，他們先前曾看到這些駭客從2024年底至今年初鎖定臺灣、美國、菲律賓、巴基斯坦從事網路間諜活動。而這次駭客也與之前接觸受害者的方式雷同，都是寄送各種地緣政治主題的釣魚郵件，並引誘他們上當。這郵件通常含有Google Drive的連結，一旦收信人點選，電腦就會下載ZIP或RAR壓縮檔。</p> <p><a href="https://mopsov.twse.com.tw/mops/web/ajax_t05sr01_1?firstin=true&stp=1&step=1&SEQ_NO=3&SPOKE_TIME=65007&SPOKE_DATE=20250708&COMPANY_ID=3694"><strong style="font-size: 22px;">海華科技資訊系統遭到駭客攻擊</strong></a></p> <p>和碩旗下無線通訊模組及數位影像處理方案廠海華科技於7月8日於股市公開觀測站發布資安重訊，指出他們於7日察覺資訊系統遭到駭客攻擊，為避免擴大影響範圍，資訊部門第一時間執行斷網阻隔因應。</p> <p>而對於這起事故帶來的影響，該公司表示經過初步的評估，對於財務及業務無重大影響，他們的營遲也一切正常。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://labs.watchtowr.com/how-much-more-must-we-bleed-citrix-netscaler-memory-disclosure-citrixbleed-2-cve-2025-5777/">今年6月Citrix修補的兩項NetScaler重大漏洞已遭串連，用於實際攻擊</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/ringreaper-new-linux-edr-evasion-tool/">Linux迴避偵測工具RingReaper遭利用，可利用系統核心元件io_uring逃過EDR偵測</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/hackers-abuse-legitimate-inno-setup-installer/">Inno Setup軟體部署工具被濫用，駭客用來打包、散布惡意軟體</a></strong></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169956"><strong style="font-size: 22px;">微軟發布7月例行更新，修補130項資安漏洞</strong></a></p> <p>7月8日微軟發布每月例行更新（Patch Tuesday），總共修補130項漏洞，數量僅次於一月份的159個，為今年以來的第二多，也較上個月67個增加快一倍。從漏洞的類型來看，權限提升漏洞最多，有53個，其次是遠端程式碼執行（RCE）漏洞，有41個；其餘為資訊洩露、安全功能繞過、阻斷服務（DoS），以及可被用於欺騙的漏洞，分別有18個、8個、6個、4個。根據漏洞的嚴重程度而言，有11個被評為重大層級，它們全部都是RCE漏洞，其中又以Office漏洞最多，有4個。</p> <p>根據CVSS評分，最嚴重的是CVE-2025-47981，此漏洞存在於SPNEGO Extended Negotiation Security Mechanism（NEGOEX）安全機制，攻擊者可傳送惡意訊息到伺服器觸發漏洞，從而能夠遠端執行任意程式碼，風險值達到9.8（滿分10分）。雖然微軟並未說明漏洞細節，但長期觀察、分析微軟每月例行更新的資安業者Rapid7、漏洞懸賞專案Zero Day Initiative（ZDI），皆特別提出警告。Rapid7指出，此為預先身分驗證漏洞，代表攻擊者能藉此取得特殊權限，而且微軟認為很快就會有人試圖利用，用戶應儘速安裝更新程式；ZDI指出利用過程無需使用者互動，而且該漏洞具備蠕蟲特質。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/sap-july-2025-patch-day/">SAP發布7月例行更新，修補7項重大漏洞</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/macos-smbclient-flaw/">研究人員針對蘋果今年3月修補的SMBClient重大漏洞公布細節，若不處理恐導致macOS核心損毀</a></strong></p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169950"><strong>【7月8日】macOS竊資軟體Atomic Stealer加入後門功能，攻擊者可持續在受害電腦活動</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169929"><strong>【7月7日】Linux命令列工具Sudo修補兩項權限提升漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169894"><strong>【7月4日】多款IDE開發工具選用延伸套件要當心，此類元件的檢驗機制存在可乘之機</strong></a></p> </div></div></div>
2025/7/9 17:28作者周峻佑https://www.ithome.com.tw/news/169963
勒索軟體Bert強制關閉VMware ESXi虛機，並透過50個執行緒加密檔案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>勒索軟體Bert今年4月開始活動，這些駭客最囂張的活動之一，是對專門研發半導體製程設備、被動元件製程設備、LED製程設備的萬潤科技下手，<a href="https://www.ithome.com.tw/news/169053">並聲稱竊得超過5 TB內部資料</a>。由於萬潤是台積電的先進封裝技術供應鏈廠商，後續發展引起國內新聞媒體的高度關注。而這些駭客的活動，也引起資安研究員的注意，追蹤他們的發展。</p> <p>威脅情報研究員Rakesh Krishnan揭露，原本只攻擊Windows電腦的Bert，<a href="http://theravenfile.com/2025/06/16/bert-ransomware/">5月已開發出Linux版勒索軟體</a>，經過分析後，他發現Bert的Linux版高度類似勒索軟體Revil（Sodinokibi），因為單就程式碼基礎（Codebase）而言，約有八成雷同。資安業者趨勢科技<a href="https://www.trendmicro.com/en_nl/research/25/g/bert-ransomware-group-targets-asia-and-europe-on-multiple-platforms.html">也觀察到這些Linux版勒索軟體</a>，並指出駭客主要的標的，其實是虛擬化平臺VMware ESXi，而且，為了加快加密檔案的速度，此勒索軟體竟能同時使用50個處理器執行緒來運作，勒索軟體能使用如此數量執行緒的情況，相當罕見。附帶一提的是，同時使用50個執行緖的做法，還是這款勒索軟體的預設組態。</p> <p>這些駭客原本的攻擊目標是美國和亞洲的企業組織，影響的產業，涵蓋醫療照護、科技、事件服務。但現在的攻擊範圍有擴大的趨勢，趨勢科技確認在亞洲、歐洲、美國都有受害組織。</p> <p>一旦這款勒索軟體執行，它就會透過特定命令強制關閉虛擬機器的處理程序，然後進行加密，被加密的檔案副檔名會被換成.encrypted_by_bert，最後留下勒索訊息，要求受害組織下載特定即時通訊軟體進行後續談判。</p> <p>附帶一提的是，此勒索軟體的組態為JSON格式檔案，內容包含公鑰、經Base64演算法處理的勒索訊息，以及其他詳細資訊。</p> <p>關於這款勒索軟體的來歷，趨勢科技和Rakesh Krishnan一樣，認為可能源於REvil，但他們額外提及資安業者SentinelOne的發現，他們研判與Babuk原始碼有所交集。對此，趨勢科技推測，Bert很有可能重覆使用REvil的程式碼，來打造Linux版勒索軟體。</p> <p>Windows版勒索軟體Bert的部分也有所變化，因為趨勢科技看到駭客使用PowerShell指令碼，充當惡意程式載入工具，執行勒索軟體的有效酬載payload.exe。此指令碼還具備其他功能，其中包含提升權限，並停用作業系統內建防毒Microsoft Defender、使用者帳號控制（UAC）、防火牆，然後從遠端IP位址下載勒索軟體並執行。根據駭客使用的IP位址，這些駭客很有可能在俄羅斯活動，或與俄羅斯駭客有關。</p> </div></div></div>
2025/7/9 17:12作者周峻佑https://www.ithome.com.tw/news/169962
瀏覽器App市集存在18款惡意軟體，已被下載逾230萬次
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過往駭客打造惡意瀏覽器套件從事攻擊行動的情況，不少是架設釣魚網站來引誘使用者安裝，但如今有人成功將這類惡意軟體放上瀏覽器開發商的延伸套件市集，使得這種安裝來源的信任機制受到挑戰。</p> <p>例如，最近資安業者Koi Security揭露<a href="https://blog.koi.security/google-and-microsoft-trusted-them-2-3-million-users-installed-them-they-were-malware-fb4ed4f40ff5">同時針對Chrome與Edge用戶而來的攻擊行動RedDirection</a>，就是這樣的例子。因為瀏覽器的延伸套件市集Chrome Web Store、Microsoft Edge Addons，竟然存在18個惡意套件，總共感染超過230萬個用戶。這些套件偽裝成常見的生產力及娛樂工具，涵蓋Emoji符號鍵盤、天氣預報、影片速度控制器、音量放大工具、供Discord或抖音（TikTok）使用的VPN代理伺服器、YouTube解鎖工具等，所有的套件都具備開發者宣稱的功能，但同時也監控瀏覽器活動並挾持部分功能。</p> <p>值得留意的是，其中部分延伸套件甚至取得市集通過驗證的狀態，甚至被列為精選套件。根據Koi Security公司的調查，所有的套件都是使用獨立的C2子網域，看起來好像由不同的人馬經營，但實際上都是源自相同的攻擊基礎設施。</p> <p>再者，這些延伸套件並非一開始上架就帶有惡意內容，而是在特定版本更新引入有問題的功能，在導入惡意功能之前，它們的程式碼基礎（Codebase）相當乾淨，有的已經上架多年，後續才被用於攻擊。</p> <p>究竟這些套件有那些惡意行為？套件會挾持每個分頁的更新內容，截取使用者正在瀏覽的網頁URL，並傳送到遠端的伺服器，再從C2取得重新導向的網址。</p> <p>Koi Security也提及可能會出現的攻擊情境，其中一種是使用者收到Zoom會議邀請，並點選連結，此時惡意套件就可能從中攔截，在用戶參與會議之前重新導向特定網站，要求下載重要的Zoom更新，才能正常參與會議。但若是使用者照做，就會在電腦植入其他惡意軟體，使得攻擊者能進一步控制受害電腦。</p> <p>但這類攻擊行動，並非只針對Chromium為基礎打造的瀏覽器而來。一週前，Koi Security發現<a href="https://blog.koi.security/foxywallet-40-malicious-firefox-extensions-exposed-4c14419de486">鎖定Firefox用戶的攻擊行動FoxyWallet</a>，駭客於Firefox Browser Add-ons市集上架45款有問題的套件（附加元件），它們假冒成常見的加密貨幣錢包工具，一旦使用者不慎安裝，惡意套件就會無聲無息地挖掘與錢包有關的機敏資訊，導致用戶蒙受損失。</p> </div></div></div>
2025/7/9 15:36作者周峻佑https://www.ithome.com.tw/news/169961
Xpanceo打算開發可偵測健康的AI隱形眼鏡，成功融資2.5億美元
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>在2021年於杜拜創立的科技新創<a href="https://x.com/xpanceo/status/1942554748697149895" target="_blank">Xpanceo周二（7/8）宣布</a>，已完成2.5億美元的A輪融資，公司估值為13.5億美元。</p> <p>Xpanceo是由俄羅斯企業家Roman Axelrod及烏克蘭科學家Valentyn Volkov共同創立，目標是打造基於隱形眼鏡的人機介面，<a href="https://xpanceo.com/product" target="_blank">根據該公司的官網介紹</a>，其產品是隱形又輕盈的隱形眼鏡，如同使用自己的視力一樣自然，喊出「最好的裝置就是沒有裝置」的口號，宣稱其產品將具備夜視與變焦功能，亦能將所有的應用及資料整合到延展實境（Extended Reality，ER）體驗中，藉由直覺的凝視便能發號施令，還能偵測使用者的健康與情緒狀態。</p> <p>總之，Xpanceo認為自己可以跳過實體的AI眼鏡階段，直接進入AI隱形眼鏡領域。</p> <p><a href="https://www.unite.ai/roman-axelrod-founder-and-managing-partner-of-xpanceo-interview-series/" target="_blank">Axelrod接受Unite.ai專訪時透露</a>，Xpanceo在24個月內便已打造出15個可運作的原型機，該公司的目標是將所有的個人裝置都融合為一個無縫的體驗，也就是使用者的雙眼。</p> <p>目前除了Meta與Google都已將觸角伸進實體的AI眼鏡市場之外，<a href="https://www.ithome.com.tw/news/169832" target="_blank">分析師郭明錤也說蘋果將加入AI眼鏡戰局</a>。</p> </div></div></div>
2025/7/9 14:47作者陳曉莉https://www.ithome.com.tw/news/169960
美國務卿遭以AI冒充聯繫官員
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://apnews.com/article/rubio-artificial-intelligence-impersonation-1b3cc78464404b54e63f4eba9dd4f5a9" target="_blank">美聯社</a> 、<a href="https://www.nbcnews.com/tech/security/ai-voice-impersonated-marco-rubio-messages-high-level-officials-state-rcna217555" target="_blank">NBC</a>等媒體報導，美國國務卿盧比奧（Marco Rubio）遭人以AI冒充發送文字及語音訊息，聯絡了多名政府官員。</p> <p><a href="https://www.washingtonpost.com/national-security/2025/07/08/marco-rubio-ai-imposter-signal/" target="_blank">華盛頓郵報</a>取得美國國務院本月初發給所有領事館及大使館的政府電報，警告有一名不明人士或組織於6月中運用AI技術偽造盧比奧發送文字訊息、Signal語音郵件。</p> <p>國務院的電報指出，至少有5位政府官員接到假盧比奧的聯繫，包括3名外國官員、一名美國州長和一名國會議員。其中文字訊息要求官員改以Signal口頭聯繫。至少有2個人接到Signal語音訊息。電報提出警告，歹徒可能是想透過AI生成的文字和語音操控特定人士，目的在取得資訊或是存取帳號。</p> <p>美國國務院發言人證實這項消息，表示正在監控並解決此事，也會採取措施改善國務院安全以防範未來再發生類似事件。</p> <p>美國政府近月來發生多起意圖在竊取政府資訊的資安事件。<a href="https://apnews.com/article/susie-wiles-phone-impersonation-bc6ac99e5db06ac70307ca031ab8d647" target="_blank">今年5月也有不明人士冒充白宮幕僚長Susie Wiles發送簡訊和電話</a>，聯絡參議員、州長、商界領袖等人士，疑似已取得其手機聯絡人資訊。更嚴重的是3月間美國國家安全顧問Michael Waltz在一場討論葉門軍事行動的Signal祕密會議中，不慎將《大西洋報》總編加入Signal群組，最後導致其去職。</p> </div></div></div>
2025/7/9 13:58作者林妍溱https://www.ithome.com.tw/news/169958
IBM宣稱新一代Power11伺服器可在1分鐘內偵測勒索軟體
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://newsroom.ibm.com/2025-07-08-ibm-power11-raises-the-bar-for-enterprise-it" target="_blank">IBM周二（7/8）發表</a>其新一代的Power11伺服器，宣稱其正常運作時間達99.9999%，強調零停機維運能力，且內建的IBM Power Cyber Vault資安解決方案則能在1分鐘以內偵測到勒索軟體。預計於7月25日同步推出入門、中階、高階及虛擬伺服器。</p> <p>上一次IBM更新其Power伺服器是在2020年推出的Power 10，新一代的Power 11在效能上提升了10~20%，入門與中階系統擁有更多的核心數量，運算規模最高提升45%，並將成為首款支援 IBM Spyre Accelerator的IBM Power伺服器。</p> <p>IBM Spyre Accelerator為該公司所開發的AI推論專用晶片，專為企業於混合雲環境中部署AI密集應用而設計，預計於今年第四季上市。</p> <p>此外，相較於同類的x86伺服器，Power 11的每瓦效能是它們的兩倍，且在Power 11上啟用全新的節能模式（Energy Efficient Mode）時，其伺服器效率可比最大效能模式（Maximum Performance Mode）還多出28%。</p> <p><a href="https://my.idc.com/getdoc.jsp?containerId=prUS53264225" target="_blank">根據IDC去年第四季的全球伺服器市場調查</a>，前五名供應商依序是Dell（7.2%）、超微（Super Micro）（6.5%）、HPE（5.5%）、IEIT Systems（5.0%）及聯想（4.9%），它們的市占率也相對平均，IBM並不在榜上。</p> <p>未採用主流x86架構的IBM伺服器不管是開發或維護成本都相對高昂，售價也較高，強調的是可用性、不中斷、資安與彈性，因此多半被應用在關鍵任務上，主要客戶為金融業者、大型政府機構及製造/零售業。</p> <p>此外，在IDC的伺服器調查中，ODM Direct占比高達47.3%，這指的是微軟、Google、Amazon或Meta等業者會直接向製造商訂製伺服器，像是臺灣的廣達、鴻海、英業達或技嘉等。</p> </div></div></div>
2025/7/9 14:07作者陳曉莉https://www.ithome.com.tw/news/169959
微軟發布7月例行更新，修補130項資安漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>7月8日微軟發布<a href="https://msrc.microsoft.com/update-guide/releaseNote/2025-Jul">每月例行更新（Patch Tuesday）</a>，總共修補130項漏洞，數量僅次於<a href="https://www.ithome.com.tw/news/166966">一月份的159個</a>，為今年以來的第二多，也較<a href="https://www.ithome.com.tw/news/169471">上個月67個</a>增加快一倍。從漏洞的類型來看，權限提升漏洞最多，有53個，其次是遠端程式碼執行（RCE）漏洞，有41個；其餘為資訊洩露、安全功能繞過、阻斷服務（DoS），以及可被用於欺騙的漏洞，分別有18個、8個、6個、4個。根據漏洞的嚴重程度而言，有11個被評為重大層級，它們全部都是RCE漏洞，其中又以Office漏洞最多，有4個。</p> <p>根據CVSS評分，最嚴重的是<a href="https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-47981">CVE-2025-47981</a>，此漏洞存在於SPNEGO Extended Negotiation Security Mechanism（NEGOEX）安全機制，攻擊者可傳送惡意訊息到伺服器觸發漏洞，從而能夠遠端執行任意程式碼，風險值達到9.8（滿分10分）。雖然微軟並未說明漏洞細節，但長期觀察、分析微軟每月例行更新的<a href="https://www.rapid7.com/blog/post/patch-tuesday-july-2025/">資安業者Rapid7</a>、<a href="https://www.zerodayinitiative.com/blog/2025/7/8/the-july-2025-security-update-review">漏洞懸賞專案Zero Day Initiative（ZDI）</a>，皆特別提出警告。Rapid7指出，此為預先身分驗證漏洞，代表攻擊者能藉此取得特殊權限，而且微軟認為很快就會有人試圖利用，用戶應儘速安裝更新程式；ZDI指出利用過程無需使用者互動，而且該漏洞具備蠕蟲特質。</p> <p>另一項Rapid7與ZDI警告的資安漏洞，是存在於SharePoint的重大漏洞<a href="https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-49704">CVE-2025-49704</a>，一旦攻擊者成為網站的所有者，就有機會在SharePoint伺服器寫入任意程式碼並注入，或是遠端執行程式碼，CVSS風險評為8.8。Rapid7指出，微軟提及攻擊者需取得網站所有者的權限，卻又表明不需要額外的權限提升，相當不尋常；ZDI透露這項漏洞是在Pwn2Own Berlin 2025找到，相當危險，因為攻擊者能透過網路進行程式碼注入，不過，想利用該漏洞，需滿足一個必要條件，那就是需事先通過部分層級的身分驗證。</p> <p>附帶一提，在7月例行安全更新公告中，<a href="https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2025-49719">CVE-2025-49719</a>是在微軟修補前就已經被公開的零時差漏洞，存在於SQL Server，為高風險層級的資訊洩露漏洞，起因是輸入驗證不當，未經授權的攻擊者能透過網路洩露資訊，CVSS風險為7.5分，究竟該漏洞能被用來竊取什麼樣的資訊，微軟並未直接說明，僅透露能從未初始化的記憶體竊取資料，後續影響有待觀察。</p> </div></div></div>
2025/7/9 12:00作者周峻佑https://www.ithome.com.tw/news/169956
線上程式開發平臺商Replit轉向微軟Azure
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.prnewswire.com/news-releases/replit-collaborates-with-microsoft-to-bring-vibe-coding-to-enterprise-customers-302499416.html" target="_blank">知名線上整合開發平臺Replit本周宣布和微軟合作</a>，將整合微軟多項雲端工具，並且在微軟雲端App市集上架。</p> <p>Replit是強大的雲端開發環境（IDE），支援超過50種程式語言並提供範本，包括常見的Python、Java、C++ 等等，並允許多人即時協作開發專案。其用戶涵括專業開發商、業餘程式設計愛好者甚至沒有程式背景人士，估計其用戶數達2500萬。</p> <p>本次合作聚焦在企業各類用戶，不只是工程師，使他們都能以自然語言開發和部署企業應用。Replit聲稱已經有超過50 萬企業用戶使用其工具開發內部工具、業務、行銷和面向客戶的App。</p> <p>在這項合作下，Replit和微軟基礎架構服務像是Azure容器應用、Azure VM及微軟版Postgres資料庫（名為Neon Serverless Postgres）整合，方便開發人員在Microsoft Azure上開發並部署應用程式。此外，Replit亦將在Azure Marketplace上架，簡化開發人員購買程序。</p> <p>這項宣布意謂著Google將損失一家大客戶。Replit原本執行在Google Cloud，2024年使用Anthropic Claude 3.5 Sonnet為其程式撰寫助理Agent的引擎。<a href="https://www.inc.com/ben-sherry/after-partnering-with-anthropic-replit-has-grown-revenue-by-10x/91147509" target="_blank">報導指出</a>，該服務使其營收在半年內由1千萬美元成長10倍，也讓Replit成為Google Cloud上Anthropic模型的最大單一用戶。</p> <p>不過同時間微軟也不再握有AI客戶OpenAI的獨家供應合約。去年底OpenAI也和甲骨文Oracle Cloud合作Stargate計畫。<a href="https://finance.yahoo.com/news/openai-secures-30bn-cloud-deal-094538950.html" target="_blank">上周媒體報導</a>甲骨文取得一張新合約，估計從2028年起每年有300億美元訂單，而客戶疑似就是OpenAI。</p> </div></div></div>
2025/7/9 11:49作者林妍溱https://www.ithome.com.tw/news/169955
蘋果營運長Jeff Williams將在今年退休
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.apple.com/newsroom/2025/07/apple-announces-chief-operating-officer-transition/" target="_blank">蘋果周二（7/8）宣布</a>，該公司營運長Jeff Williams準備於今年底退休，本月開始就會把他的職責陸續移交給蘋果營運資深副總裁Sabih Khan，而原本由Williams負責的設計團隊，屆時則將直接向蘋果執行長Tim Cook彙報。</p> <p>現年62歲的Williams是在1998年加入蘋果，在2015年被拔擢為營運長，他一直負責蘋果的全球營運，客戶服務與支援，也主導Apple Watch的開發及蘋果的健康計畫，還在2023年接手蘋果的設計團隊。</p> <p>Williams為蘋果供應鏈的核心架構師，主導供應鏈的責任與員工標準，所建立的供應鏈系統支持了蘋果的成長與全球客戶的需求，也協助蘋果於美國、中國、印度、日本與整個東南亞地區擴展業務。</p> <p>至於準備接任營運長的Khan現年約59歲，是在1995年進入蘋果，於2019年加入高階主管團隊，擔任營運資深副總裁，也在過去6年負責蘋果的全球供應鏈，監督供應鏈的各項職能。</p> <p>Williams說，今年6月就是他加入蘋果的27周年，也是他在科技產業的第40年，他深愛蘋果，但明年起將會花更多的時間與親友相處，很榮幸與Khan合作，他是世界上最有才華的營運主管，對他未來的領導充滿信心。</p> <p><a href="https://9to5mac.com/2025/07/08/apple-ceo-succession/" target="_blank">9to5Mac分析</a>，其實Williams一直被外界視為是蘋果執行長Cook的繼任人選，只是現年64歲的Cook還沒有要退休的意思，未來最有可能接任Cook的或許是目前50歲、擔任硬體工程資深副總裁的John Ternus。</p> </div></div></div>
2025/7/9 12:01作者陳曉莉https://www.ithome.com.tw/news/169957
北韓駭客鎖定macOS用戶散布惡意軟體NimDoor，意圖竊取各式帳密並持續於受害電腦活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年4月，資安業者Huntabil.IT揭露<a href="https://huntability.tech/threat-note-2025-04-23-nk-zoom/">北韓駭客鎖定一家Web3新創公司的攻擊行動</a>，後續有多份調查報告指出，也有其他Web3及加密貨幣組織遭遇類似攻擊，其流程大多存在共通點，駭客運用了AppleScript、C++、Nim開發的指令碼及二進位檔案，鎖定macOS用戶下手。由於使用<a href="https://www.ithome.com.tw/tags/nim">Nim</a>程式語言打造惡意程式攻擊macOS用戶的情況並不常見，這樣的情況引起資安業者SentinelOne注意，<a href="https://www.sentinelone.com/labs/macos-nimdoor-dprk-threat-actors-target-web3-and-crypto-platforms-with-nim-based-malware/">著手調查並還原詳細的事故發生過程</a>，指出這是一起大規模攻擊行動。</p> <p>這波攻擊特別的地方在於，駭客在處理程序注入手法與遠端通訊的過程裡，皆透過TLS加密的WebSocket通訊協定wss來進行；再者，他們利用了SIGINT、SIGTERM的訊號標頭，以便在惡意軟體停止運作或是電腦重開機的狀況下，仍能持續在受害電腦活動。駭客在整個攻擊流程廣泛使用AppleScript指令碼，不僅用於取得初期的入侵管道，也在後續流程執行Beacon與後門NimDoor的功能。</p> <p>針對相關攻擊行動發動的過程，駭客先冒充攻擊目標的聯絡人，並使用線上會議排程工具Calendly安排網路會議，然後透過Telegram接觸目標，接著該名用戶就會收到Zoom視訊會議的電子郵件，但特別的是，信中要求用戶執行升級Zoom軟體開發套件（SDK）的指令碼，並列出操作這些動作的指示。</p> <p>但實際上，此為惡意的AppleScript指令碼，一旦收信人依照指示操作，就會從冒牌Zoom網域下載第二階段酬載。附帶一提，駭客為了迴避偵測，在指令碼加入約1萬行的空白內容，企圖混淆實際的功能。SentinelOne進一步調查駭客使用的C2網域，透過公開的儲存庫找到一系列用來從事相關活動的惡意網域，研判這起攻擊行動遠比先前公布的規模更為廣泛。</p> <p>上述的過程在受害電腦植入兩個Mach-O二進位檔案，分別名為a與installer，其中，a是C++編譯的執行檔，會在磁碟寫入名為netchk的有效酬載，目的是截取另外兩個Bash指令碼進行資料竊取，範圍涵蓋系統資料、瀏覽器資料、Telegram交談記錄，以及其他應用程式的特定內容。</p> <p>另一個名為installer的二進位檔案，則是觸發第二個攻擊鏈，此檔案以Nim打造而成，主要功能是讓攻擊者能在受害電腦持續活動。一旦執行，就會在電腦載入兩個Nim檔案：分別名為GoogIe LLC、CoreKitAgent，其中駭客在冒充Google的二進位檔案當中，刻意使用了大寫的I來偽裝成小寫的L。</p> <p>對於GoogIe LLC的用途，主要是設置組態檔案並啟動下個階段的有效酬載CoreKitAgent。SentinelOne一共發現4種版本的CoreKitAgent，這些檔案從去年10月至今年4月出現，共通點是皆為利用macOS內建的kqueue機制，並以特定事件觸發。此二進位檔案會攔截SIGINT與SIGTERM終止訊號，無論是使用者試圖手動終止處理程序，或是系統與其他應用程式下達Kill的命令，都會觸發CoreKitAgent重新部署的流程。</p> </div></div></div>
2025/7/8 17:49作者周峻佑https://www.ithome.com.tw/news/169948
【資安日報】7月8日，macOS竊資軟體Atomic Stealer加入後門功能，攻擊者可持續在受害電腦活動
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>過往大多竊資軟體主要針對Windows電腦而來，但如今針對macOS用戶的竊資軟體接連出現，我們今天整理了Atomic Stealer（AMOS Stealer），以及北韓駭客打造的NimDoor，還有先前揭露的Odyssey Stealer，而這些事故都突顯出相關攻擊手法日益複雜的情形。</p> <p>另一方面，上週勒索軟體Hunters International宣布結束營運並免費提供解密金鑰，此舉也引起資安圈關注，但這並非代表駭客就此收手，而是為了避免遭到執法單位圍剿，決定不再使用勒索軟體從事破壞行為，有資安人員認為，此舉之後會有其他勒索軟體駭客跟進。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169947"><strong style="font-size: 22px;">macOS竊資軟體Atomic內建後門功能，讓攻擊者持續存取受害電腦</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/1_EvolutionofmacOSStealerCapabil.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/1_EvolutionofmacOSStealerCapabil.png" style="width: 300px; float: right;" /></a></p> <p>專門鎖定macOS用戶的竊資軟體Atomic Stealer（AMOS Stealer）橫行多年，不僅相關攻擊行動接連傳出，更衍生出其他變種Odyssey Stealer、Poseidon Stealer，最近其中一起事故，是駭客冒充美國電信業者Spectrum發動攻擊，如今有資安業者指出，此竊資軟體的開發團隊打造了更加危險的版本，能讓攻擊者進一步控制受害電腦。</p> <p>最近有一份調查報告指出，經營Atomic Stealer的俄羅斯駭客組織，過往主要集中心力的部分，在於透過瀏覽器的加密貨幣延伸套件、冷錢包下手，目的是搜括帳密資料，但現在資安業者Moonlock發現，他們在新版Atomic Stealer加入了後門的功能，也就是說，攻擊者可藉此竊資軟體遠端執行任意命令、得到完整的存取權限，並在受害電腦重開機後持續相關活動。</p> <p>除了後門的部分，Moonlock提及Atomic Stealer具備其他新功能，如鍵盤側錄工具（keylogger），近期攻擊目標也有異動：一改過往提供破解軟體作為誘餌的策略，而是試圖尋找持有加密貨幣資產的使用者下手，但Moonlock並未說明駭客如何找到攻擊目標。</p> <p><a href="https://www.ithome.com.tw/news/169948"><strong style="font-size: 22px;">北韓駭客鎖定macOS用戶散布惡意軟體NimDoor，意圖竊取各式帳密並持續於受害電腦活動</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/NimDoor_14.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/NimDoor_14.jpg" style="width: 300px; float: right;" /></a></p> <p>今年4月，資安業者Huntabil.IT揭露北韓駭客鎖定一家Web3新創公司的攻擊行動，後續有多份調查報告指出，也有其他Web3及加密貨幣組織遭遇類似攻擊，其流程大多存在共通點，駭客運用了AppleScript、C++、Nim開發的指令碼及二進位檔案，鎖定macOS用戶下手。由於使用Nim程式語言打造惡意程式攻擊macOS用戶的情況並不常見，這樣的情況引起資安業者SentinelOne注意，著手調查並還原詳細的事故發生過程，指出這是一起大規模攻擊行動。</p> <p>這波攻擊特別的地方在於，駭客在處理程序注入手法與遠端通訊的過程裡，皆透過TLS加密的WebSocket通訊協定wss來進行；再者，他們利用了SIGINT、SIGTERM的訊號標頭，以便惡意軟體停止運作或是電腦重開機的狀況下，仍能持續在受害電腦活動。駭客在整個攻擊流程廣泛使用AppleScript指令碼，不僅用於取得初期的入侵管道，也在後續流程執行Beacon與後門NimDoor的功能。</p> <p><a href="https://www.ithome.com.tw/news/169828"><strong style="font-size: 22px;">竊資軟體Odyssey Stealer鎖定macOS使用者而來，透過ClickFix網釣散布</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/odyssey26-1.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/odyssey26-1.jpg" style="width: 300px; float: right;" /></a></p> <p>駭客假借網頁故障或是進行圖靈驗證等理由做為幌子，要求使用者依照指示按下特定按鈕，並開啟執行視窗貼上惡意指令的ClickFix網釣攻擊手法，自3年前研究人員Mr.d0x提出警告後，相關攻擊變得極為氾濫，但這類攻擊手法大多針對Windows用戶而來，如今也有鎖定macOS用戶的情況。</p> <p>最近資安業者Cyfirma揭露的竊資軟體Odyssey Stealer，就是這樣的例子，駭客利用多個ClickFix攻擊策略，意圖對使用者傳遞惡意的AppleScript指令碼（osascripts），下達命令竊取Mac電腦瀏覽器的cookie、密碼、加密貨幣錢包資料，以及瀏覽器外掛的內容。駭客主要藉由註冊與金融業者、蘋果App Store、加密貨幣新聞網站拼字相似的網域，疑似鎖定對金融與加密貨幣感興趣的人士下手。</p> <p>駭客要求使用者依照指示按下Command+Space快速鍵，開啟Spotlight的功能，然後輸入Terminal並按下Return，最後按下網頁上的複製按鈕，將特定內容貼上終端機。但實際上用戶複製的並非網站上的I am not a robot字串，而是駭客經過Base64演算法處理的指令碼，從而在受害電腦下載竊資軟體。</p> <p><a href="https://www.ithome.com.tw/news/169934"><strong style="font-size: 22px;">勒索軟體Hunters International宣布關閉業務，釋出解密金鑰</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Hunters International shutdown announcement.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Hunters%20International%20shutdown%20announcement.png" style="width: 300px; float: right;" /></a></p> <p>資安業者Group-IB今年4月揭露勒索軟體Hunters International的最新動態，指出這些駭客疑似在司法單位的壓力下，提供給加盟主的新版（第6版）勒索軟體已不再具備留下勒索訊息的功能，該組織還另外推出名為Storage Software的工具，讓加盟主能竊取受害組織資料的過程裡，將相關中繼資料回傳到該團體的伺服器。而這麼做的目的，很有可能是打算關閉Hunters International的專案，並使用World Leaks的名號另起爐灶，如今這樣的推測得到證實，駭客正式宣布結束營運。</p> <p>根據資安新聞網站Bleeping Computer的調查團隊發現，Hunters International於7月3日正式宣布關閉其業務，並且直接提供解密金鑰，意味著尚未付錢的受害組織可免費將資料復原。</p> <p>對於駭客宣布免費提供解密金鑰的現象，Comparitech研究員Rebecca Moody向資安新聞網站SecurityWeek透露，他們認為此舉對受害組織應該幾乎沒有幫助，原因是這些駭客自5月開始並未再列出新的受害組織，而大部分的受害組織也已經復原自己的系統。也就是說，他們早就向駭客低頭，選擇付錢換得解密金鑰。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/threat-actors-use-av-edr-evasion-framework/">企業模擬攻防演練的工具驚傳遭濫用！駭客運用迴避偵測框架Shellter散布惡意程式</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://thehackernews.com/2025/07/tag-140-deploys-drat-v2-rat-targeting.html">駭客組織TAG-140鎖定印度政府、國防、鐵路領域而來，企圖散布Drat V2 RAT</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/batavia-windows-spyware-campaign-targets-dozens-of-russian-orgs/">間諜軟體活動Batavia針對俄羅斯企業組織而來</a></strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/ailock-ransomware-emerges-with-hybrid-encryption-tactics/">勒索軟體AiLock採混合加密手法鎖住資料，脅迫受害組織就範</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169927"><strong style="font-size: 22px;">Next.js修補快取污染漏洞，防止靜態頁面DoS攻擊</strong></a></p> <p>Next.js釋出安全更新，修正影響15.1.0至15.1.7版本的快取污染漏洞CVE-2025-49826，以防範攻擊者利用該漏洞造成靜態頁面阻斷服務（DoS）問題。該漏洞風險評等為高度，CVSS基本分數為7.5，主要威脅在於特定配置下，網站頁面可能無預警對所有用戶出現204空回應，導致正常存取服務中斷。</p> <p>此次漏洞發生在Next.js的增量式靜態再生成（ISR）啟用快取重驗證機制，並結合伺服器端算繪（SSR）路徑時，當外部CDN又快取HTTP 204回應，便會出現問題。官方指出，在極少數特定條件下，受影響的Next.js版本可能會將204無內容的回應錯誤地快取，導致同一路徑的所有用戶請求都只收到204回應。如此部分生產環境中的靜態頁面就會長時間無法正常顯示，嚴重影響服務的可用性。</p> <p>根據官方說明，這個漏洞僅會在同時符合幾個特定條件時才會被觸發，包括使用受影響的Next.js版本、路徑啟用ISR快取重驗證，並以Next start或Standalone模式運作，以及該路徑同時使用SSR並且CDN被設定為快取204回應。</p> <p><a href="https://www.ithome.com.tw/news/169916"><strong style="font-size: 22px;">聯想電腦預載可寫入資料的檔案，可能被用於突破Windows AppLocker安全防護</strong></a></p> <p>資安廠商發現聯想（Lenovo）電腦中一個預載檔案被可寫入資料，可能破壞Windows作業系統的AppLocker安全防護機制。</p> <p>本問題是由資安顧問公司TrustedSec研究人員Oddvar Moe發現，問題檔案是聯想電腦預載於其Windows映像檔、位於C:\Windows目錄下的mfgstat.zip。檢視其存取控制表可以發現，一個經授權的使用者具有完整權限，可修改、讀、寫與執行檔案。這就抵觸了微軟透過Windows AppLocker提供的防護。</p> <p>研究人員在2019年發現這個問題，並在今年在新聯想電腦上再次發現而確認。但他通報聯想研究部門PSIRT，得到的回應是不會修補，而是告知用戶如何移除mfgstat.zip來因應。</p> <p><strong style="font-size: 22px;">其他漏洞與修補</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/linux-boot-vulnerability/">Linux開機系統存在漏洞，攻擊者恐繞過安全開機防護機制</a></strong></p> <p></p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169867"><strong style="font-size: 22px;">奧義智慧攜手臺灣AI業者APMIC，打造新世代AI防火牆安全模組</strong></a></p> <p>隨著AI應用，特別是大型語言模型在各產業的普及，其潛在的安全漏洞已成為企業揮之不去的陰影。臺灣資安業者奧義智慧科技（CyCraft）於日前宣布，將和臺灣提供企業自主AI解決方案業者APMIC（Accelerate Private Machine Intelligence Company）合作，共同推出業界首款專為防禦而生的AI模型XecGuard，以及Safety LLM安全評測服務。</p> <p>奧義智慧科技技術長暨共同創辦人邱銘彰表示，目前已經有多家正在使用AI聊天機器人的企業用戶會做先導測試（Pilot Run），預計今年第三季推出閘道端的AI防火牆產品XecGuard，便利更多企業使用。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169929"><strong>【7月7日】Linux命令列工具Sudo修補兩項權限提升漏洞</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169894"><strong>【7月4日】多款IDE開發工具選用延伸套件要當心，此類元件的檢驗機制存在可乘之機</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169878"><strong>【7月3日】全支付測試環境帳密驚傳遭駭客兜售</strong></a></p> </div></div></div>
2025/7/8 18:07作者周峻佑https://www.ithome.com.tw/news/169950
伊朗駭客BladedFeline部署新型IIS與Exchange後門，滲透中東多地區政府
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安公司ESET<a href="https://www.welivesecurity.com/en/eset-research/bladedfeline-whispering-dark/">揭露</a>與伊朗關聯的駭客組織BladedFeline，持續滲透中東多地區政府與能源、電信單位，鎖定IIS與Exchange伺服器，並大規模散布Whisper、PrimeCache等新型後門程式。研究人員發現，BladedFeline自2017年起便長期潛伏於庫德自治區政府系統，2024起更已成功入侵伊拉克中央政府多名高階官員的網路環境。</p> <p>BladedFeline整體行動目標以蒐集中東地區政府與重要產業的敏感資訊為主，ESET推測其活動可能替伊朗取得區域政治與情報相關資料。</p> <p>根據ESET的程式碼分析，並比對受害目標族群及攻擊手法，BladedFeline推測可能是伊朗APT34（OilRig）旗下的子群組。該組織透過多種後門與反向通道工具，建立一套成熟的滲透、持久化及擴張三階段攻擊鏈，其中，IIS原生模組PrimeCache為關鍵技術，能被動攔截HTTP請求，並透過加密Cookie藏匿控制訊息，將參數分段接收、快取再組合執行，有效規避傳統防禦。PrimeCache全程採用RSA與AES-CBC加密並以Base64編碼，使其攻擊流量具隱蔽性不易被偵測。</p> <p>另一重要工具Whisper則針對Exchange郵件環境設計，能透過受害者的信箱雙向傳遞控制指令與回傳結果，具備自動設定信箱規則與定時回報存活狀態的功能，可遠端執行系統命令，並支援檔案上傳與下載。</p> <p>除了Whisper和PrimeCache兩大主要後門，BladedFeline也部署Shahmaran、Slippery Snakelet、Laret、Pinar等多樣化工具，結合Webshell、PowerShell腳本及反向SSH通道，建立多層次的隱蔽通道持久化滲透。</p> <p>研究人員推測，攻擊者可能先利用外部伺服器漏洞植入Webshell，再進一步部署Whisper與PrimeCache。實際入侵過程中，駭客在入侵目標運用多重後門與合法工具，進行橫向移動及維持存取權限，並持續監控關鍵系統狀態。BladedFeline還應用編譯時間戳造假與Base64混淆等技術，加強取證困難度。</p> </div></div></div>
2025/7/8 18:39作者李建興https://www.ithome.com.tw/news/169949
macOS竊資軟體Atomic內建後門功能，讓攻擊者持續存取受害電腦
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>專門鎖定macOS用戶的竊資軟體Atomic Stealer（AMOS Stealer）橫行多年，不僅相關攻擊行動接連傳出，更衍生出其他變種<a href="https://www.ithome.com.tw/news/169828">Odyssey Stealer</a>、Poseidon Stealer，最近其中一起事故，是<a href="https://www.ithome.com.tw/news/169490">駭客冒充美國電信業者Spectrum發動攻擊</a>，如今有資安業者指出，<a href="https://moonlock.com/amos-backdoor-persistent-access">此竊資軟體的開發團隊打造了更加危險的版本</a>，能讓攻擊者進一步控制受害電腦。</p> <p>最近有一份調查報告指出，經營Atomic Stealer的俄羅斯駭客組織，過往主要集中心力的部分，在於透過瀏覽器的加密貨幣延伸套件、冷錢包下手，目的是搜括帳密資料，但現在資安業者Moonlock發現，他們在新版Atomic Stealer加入了後門的功能，也就是說，攻擊者可藉此竊資軟體遠端執行任意命令、得到完整的存取權限，並在受害電腦重開機後持續相關活動。</p> <p>除了後門的部分，Moonlock提及Atomic Stealer具備其他新功能，如鍵盤側錄工具（keylogger），近期攻擊目標也有異動：一改過往提供破解軟體作為誘餌的策略，而是試圖尋找持有加密貨幣資產的使用者下手，但Moonlock並未說明駭客如何找到攻擊目標。</p> <p>將竊資軟體與後門程式結合的做法，Atomic Stealer並非首例，北韓駭客在鎖定macOS用戶的攻擊行動裡，就積極結合這兩種惡意軟體，不過他們的目的並非為了長期在受害電腦活動，而是一口氣搜刮加密貨幣及受害者的敏感資料。</p> <p>究竟駭客如何散布Atomic Stealer？主要有兩種媒介，一種是提供破解軟體下載，另一種則是專門針對擁有大量加密貨幣的高價值目標。駭客通常會藉由工作面試流程尋找自由工作者、藝術家下手，並要求使用者輸入密碼，以便分享受害電腦的螢幕內容。一旦得逞，攻擊者就有機會挖掘密碼、通關密語（Seed Phrase）等機敏資料，並植入後門模組，以便等待接收遠端發送的命令。</p> <p>當Mac電腦感染新版Atomic Stealer之後，初期與先前版本的狀況差不多，但在竊取資料完成後，出現額外的活動。駭客以木馬化的DMG檔案模仿安裝程式，其中通常內含名為.Installer的Mach-O檔案，以及bash指令碼打造的延伸模組。Mach-O檔案具備竊資軟體的功能，而bash指令碼則內嵌了AppleScript，用途是透過osascript對.Installer下手，複製到暫存資料夾清除檔案屬性，並設置執行權限。接著，駭客也運用名為.agent的指令碼、.helper二進位檔案，以便持續於受害電腦活動。</p> </div></div></div>
2025/7/8 15:57作者周峻佑https://www.ithome.com.tw/news/169947
量子運算業者IonQ獲得10億美元私募投資
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.businesswire.com/news/home/20250707987949/en/IonQ-Announces-Pricing-of-%241.0-Billion-Equity-Offering" target="_blank">量子運算服務供應商IonQ周一（7/7）宣布</a>，已透過定向增資方式向Heights Capital Management私募發行總值10億美元的普通股與權證，並由J.P. Morgan擔任唯一承銷商。</p> <p>2015年於美國創立的IonQ採用補獲離子技術，透過精密控制離子來執行量子運算，具備高度準確率及穩定性，提供自家開發的量子電腦及雲端運算服務，並整合AWS、Microsoft Azure Quantum及Google Cloud等平臺，提供藥物研發、金融建模、優化物流及國防等服務，並在今年6月宣布將以價值11億美元的股票買下英國量子運算新創Oxford Ionics，以強化全球布局。IonQ的目標是在2030年以前開發出具備200萬個量子位元的系統。</p> <p>此次IonQ的融資總額為10億美元，內容包括14,165,708股的普通股，每股售價為55.49美元，3,855,557股的預先認購權證，每股售價同樣是55.49美元，以及36,042,530的7年期權證，每股行使價為99.88美元。IonQ說，這是量子產業史上最大的一次單一機構投資。</p> <p>該交易的每股價格約比IonQ在7月3日收盤價（44.39美元）多出25%，而且雙方已於本周一開盤前完成交易，當天IonQ股價以45.2美元作收。</p> <p><a href="https://investors.ionq.com/news/news-details/2025/IonQ-Announces-First-Quarter-Financial-Results/" target="_blank">根據IonQ今年第一季財報</a>，該公司首季創下756.6萬美元的營收，與去年同期相當，淨虧損為3,225萬美元，比去年同期少虧了700萬美元。</p> </div></div></div>
2025/7/8 15:38作者陳曉莉https://www.ithome.com.tw/news/169946
勒索軟體Hunters International宣布關閉業務，釋出解密金鑰
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>資安業者Group-IB今年4月<a href="https://www.bleepingcomputer.com/news/security/hunters-international-rebrands-as-world-leaks-in-shift-to-data-extortion/">揭露勒索軟體Hunters International的最新動態</a>，指出這些駭客疑似在司法單位的壓力下，提供給加盟主的新版（第6版）勒索軟體已不再具備留下勒索訊息的功能，該組織還另外推出名為Storage Software的工具，讓加盟主能竊取受害組織資料的過程裡，將相關中繼資料回傳到該團體的伺服器。而這麼做的目的，很有可能是打算關閉Hunters International的專案，並使用World Leaks的名號另起爐灶，如今這樣的推測得到證實，駭客正式宣布結束營運。</p> <p>根據<a href="https://www.bleepingcomputer.com/news/security/hunters-international-ransomware-shuts-down-after-world-leaks-rebrand/">資安新聞網站Bleeping Computer的調查團隊發現</a>，Hunters International於7月3日正式宣布關閉其業務，並且直接提供解密金鑰，意味著尚未付錢的受害組織可免費將資料復原。</p> <p>為何駭客要結束Hunters International？根據該團體在暗網發表的聲明，起因是近期的事態發展，經過仔細考慮，最後做出的決定。雖然這份公告沒有明確說明原因，但Bleeping Computer指出就是受到執法行動的壓力，因為上述公告引用一則11月17號的聲明，內容提及基於執法行動增加與獲利減少，Hunters International很快就會關閉。</p> <p>Hunters International約於2023年下旬開始出沒，資安研究員與勒索軟體專家根據程式碼的比對，普遍認為是勒索軟體Hive品牌的品牌重塑，迄今聲稱發動約300起攻擊。受害組織包含<a href="https://www.bleepingcomputer.com/news/security/us-marshals-service-disputes-ransomware-gangs-breach-claims/">美國司法部旗下的法警局（United States Marshals Service）</a>、<a href="https://www.ithome.com.tw/news/162283">日本光學設備製造商Hoya</a>、<a href="https://www.ithome.com.tw/news/167672">印度汽車大廠Tata旗下的研發公司Tata Technologies</a>、<a href="https://www.bleepingcomputer.com/news/security/autocanada-says-ransomware-attack-may-impact-employee-data/">北美汽車經銷商AutoCanada</a>、<a href="https://www.bleepingcomputer.com/news/security/ransomware-gang-behind-threats-to-fred-hutch-cancer-patients/">福瑞德·哈金森癌症研究中心（Fred Hutchinson Cancer Center）</a>等。</p> <p>個人資安產品評測網站Comparitech也<a href="https://www.comparitech.com/news/ransomware-gang-hunters-international-took-credit-for-250-cyber-attacks-before-shutting-down/">公布調查結果</a>，指出Hunters International營運期間約有250家企業組織受害，他們確認其中的55起事故，另有199起是尚未得到證實的事故。光是確認受害的企業組織，就有325萬筆記錄外流。</p> <p>根據受害組織的產業，有55起事故是針對一般企業、19起鎖定醫療照護機構、16起鎖定政府機關、2起是學術機構。其中針對一般企業的部分，又以製造業最多，有12起，但也有針對營造、金融、科技、法律、食品、零售的攻擊。</p> <p>對於駭客宣布免費提供解密金鑰的現象，<a href="https://www.securityweek.com/hunters-international-shuts-down-offers-free-decryptors-as-it-morphs-into-world-leaks/">Comparitech研究員Rebecca Moody向資安新聞網站SecurityWeek透露</a>，他們認為此舉對受害組織應該幾乎沒有幫助，原因是這些駭客自5月開始並未再列出新的受害組織，而大部分的受害組織也已經復原自己的系統。也就是說，他們早就向駭客低頭，選擇付錢換得解密金鑰。</p> <p>這些駭客顯然看上竊取資料更為有利可圖的情況，他們在更名為World Leaks之後，積極利用竊得資料向受害組織勒索，而這樣的手法，在Hunters International時期就曾得逞，成功讓受害組織付錢。Rebecca Moody認為，Hunters International成員改組為World Leaks，不再加密檔案，而是集中以竊得資料進行勒索的策略，未來其他勒索軟體駭客很有可能會跟進。</p> <p>KnowBe4資安意識倡導員Erich Kron也對此現象提出看法，他指出有鑑於世界各地執法單位聯手大力打擊勒索軟體，Hunters International發布免費金鑰的舉動，應該是潛在執法活動的結果。</p> <p>駭客轉向資料竊取的做法，由於不像勒索軟體會破壞企業組織的營運，影響程度較低，Erich Kron認為，駭客這麼做比較不會引起執法機關的注意。</p> </div></div></div>
2025/7/8 12:45作者周峻佑https://www.ithome.com.tw/news/169934
Twitter創辦人Jack Dorsey開源其實驗性藍牙傳訊程式Bitchat
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>曾參與創辦Twitter、Block與Bluesky的<a href="https://x.com/jack/status/1941989439237955773" target="_blank">Jack Dorsey在本周一（7/7）釋出了他利用周末開發的新專案Bitchat</a>，這是一個僅靠藍牙就能傳訊的程式，<a href="https://github.com/jackjackbits/bitchat" target="_blank">已透過GitHub開源</a>，亦登上<a href="https://testflight.apple.com/join/QwkyFq6z" target="_blank">蘋果的TestFlight應用程式測試平臺</a>，不到一天就達到TestFlight的1萬名測試上限。</p> <p>Bitchat是一個完全仰賴藍牙網狀網路（Mesh Network）的去中心化點對點傳訊應用程式，完全不需要電話號碼、電子郵件、Wi-Fi或行動網路連線。</p> <p>此外，它採用端對端加密，支援私訊與頻道加密，可建立群組頻道；支援儲存及轉寄，離線用戶在重連後仍可接到訊息；原生支援iOS與macOS，其協定可延伸支援Android；標榜不必註冊，不儲存個資，沒有永久ID，以及能夠緊急刪除資料。</p> <p>Bitchat亦允許使用者封鎖用戶，或是移交頻道所有權，一個訊息最多可經過7個中繼藍牙裝置來完成傳送，採用Unlicense公共領域授權，允許任何人自由使用、修改與散布，適用於在網路受限、災難應變或抗審查環境下的使用者。</p> <p>Dorsey在2006年共同創辦的Twitter是個微型部落格，初期限制使用者只能輸入140個字元，最後在2022年以440億美元賣給了馬斯克（Elon Musk），隨後被更名為X；2009年共同創立的Square之後更名為Block，這是一家金融科技公司，提供支付與金融服務；現身於2019年的Bluesky也是一個社交平臺，被視為是類似X的去中心化代替品，截至今年6月底已有超過3,690萬名註冊用戶。</p> </div></div></div>
2025/7/8 13:30作者陳曉莉https://www.ithome.com.tw/news/169935
ChatGPT Deep Research可能正測試串接Slack
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>OpenAI可能正在為Deep Research測試串接Slack的連接器（connector）功能，以便強化研究搜尋的範疇。</p> <p><a href="https://x.com/btibor91/status/1938680435854467332" target="_blank">一名研究人員Tibor研究ChatGPT程式碼發現</a>一疑似連接器的功能，並說明「允許ChatGPT deep research讀取Slack訊息。」</p> <p>目前不知OpenAI是經由和Slack合作，或是運用Slack API來達成串接。但一旦將這功能加入ChatGPT，它就能在執行Deep Research代理人進行網頁研究時，也擷取用戶的Slack內容。</p> <p>Deep Research是ChatGPT的AI代理人，可依據用戶提示，針對特定主題進行多步驟反覆搜尋以改進回應答案的品質，最後生成報告。但它逐漸加入搜尋範疇，<a href="https://www.ithome.com.tw/news/169155" target="_blank">5月時擴及Dropbox及Box雲端硬碟</a>。</p> <p>ChatGPT Deep Research代理人2月份以來開放Pro、Team、Plus方案用戶使用，<a href="https://www.ithome.com.tw/news/169155" target="_blank">OpenAI 4月另外公布輕量版Deep Research</a>，開放給免費版用戶。</p> </div></div></div>
2025/7/8 14:15作者林妍溱https://www.ithome.com.tw/news/169937
CoreWeave準備買下比特幣挖礦公司Core Scientific
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>雲端GPU服務供應商<a href="https://www.coreweave.com/news/coreweave-to-acquire-core-scientific" target="_blank">CoreWeave周一（7/7）宣布</a>，將以全股票方式買下挖礦暨資料中心託管業者Core Scientific，每股Core Scientific將可換取0.1235股新發行的CoreWeave普通股，相當於以每股20.4美元、總價90億美元收購Core Scientific。消息一出，Core Scientific的盤後價格上漲了2.97%，為15.27美元，CoreWeave盤後亦上漲0.79%，達160.96美元。</p> <p class="rtecenter"><img alt="" src="https://s4.itho.me/sites/default/files/images/0708-CoreWeave%20to%20Acquire%20Core%20Scientific.png" style="width: 600px;" /></p> <p>CoreWeave成立於2017年，當時公司名稱為Atlantic Crypto，所聚集的GPU資源主要用來開採以太幣，在加密貨幣於2018年崩盤之後，即更名為CoreWeave，並轉型對外供應基於GPU的運算資源，搭上了AI列車，還受到Nvidia青睞，總計投入了3.5億美元，持股7%。</p> <p>至於成立於2018年的Core Scientific，則是北美最大的區塊鏈資料中心供應商與比特幣挖礦公司，<a href="https://investors.corescientific.com/news-events/press-releases/detail/115/core-scientific-announces-fiscal-first-quarter-2025-results" target="_blank">根據該公司今年第一季的財報</a>，該季營收為7,950萬美元，就有6,720萬美元屬於挖礦收入，380萬美元為代管挖礦收入，以及860萬美元的資料中心託管收入。Core Scientific在今年第一季的營業損失為4,260萬美元。</p> <p>CoreWeave相中的是Core Scientific的資料中心業務及電力容量，目前Core Scientific在美國擁有10座資料中心，總電力容量為1.3GW，其中有840MW支援AI業務，有500MW用在挖礦上。<a href="https://investors.corescientific.com/news-events/press-releases/detail/119/coreweave-to-acquire-core-scientific" target="_blank">Core Scientific指出</a>，未來CoreWeave有可能將挖礦用的資料中心改為HPC用途，或是剝離挖礦業務。</p> <p>CoreWeave共同創辦人暨執行長Michael Intrator表示，此次收購加速了該公司大規模部署AI與HPC工作負載的策略，將Core Scientific高效能資料中心基礎設施的所有權垂直化，將可提升CoreWeave的營運效率，帶來更大的融資彈性，並強化其電力所有權及選擇能力，雙方預計於今年第四季完成交易。</p> <p>至於CoreWeave今年第一季的營收為9.8億美元，成長420%，淨虧損為3.1億美元，高於去年同期的1.3億美元虧損。不過，當CoreWeave於今年3月28日以每股40美元的發行價登上美國那斯達克（Nasdaq）股市之後，股價在3個月內漲了3倍。</p> <p>根據CoreWeave的統計，在交易完成之後，Core Scientific股東對新公司的持股比例將低於10%。</p> </div></div></div>
2025/7/8 11:32作者陳曉莉https://www.ithome.com.tw/news/169932
Azure存在曝露VPN金鑰及過高授權的漏洞可致敏感資訊外流
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.token.security/blog/azures-role-roulette-how-over-privileged-roles-and-api-vulnerabilities-expose-enterprise-networks" target="_blank">研究人員發現微軟Azure存在部分角色有過高特權以及曝露VPN金鑰的漏洞</a>，兩漏洞合用可能讓攻擊者輕易取得企業敏感資料。</p> <p>2項漏洞是由Token Security發現。其一存在Azure角色為基礎的存取控制（role-based access control, RBAC）。第二則位於Azure API，可能讓攻擊者洩露VPN金鑰。</p> <p>Azure RBAC是一權限管理機制，可讓管理員將權限分配給不同使用者、群組或是服務主體（service principals）。當管理員為一主體分派了角色，也就同時賦予其權限。但作者指出，在Azure 內建的400個角色中，有些角色具備過高特權（over-privileged）。作者認為有10個Reader角色被分配了不必要的讀取（*/read）特權，像是Log Analytics Reader、Managed Application Contributor Role和App Compliance Automation Reader等。</p> <p>另一漏洞存在Azure API。Azure API 一個呼叫設計錯誤，使得即便只有 read-only 特權的用戶，也能透過發送 GET 請求來取得本應該受限的敏感資料（例如 VPN閘道的預共享金鑰（pre-shared key, PSK）。</p> <p>研究人員說，結合這二個漏洞能發展出攻擊串，使駭客得以存取公司內部的雲資產或是本地部署網路。例如攻擊者先取得某個具備（或不當分配了）*/read特權的角色，取得VPN 閘道的共享金鑰，藉此建立站對站連線（site-to-site connection）連上內部網路，包括企業VPC和本地部署網路。他也以影片示範了如何利用Log Analytics Reader角色連上企業VPN發動竊密攻擊。</p> <p>研究人員將二項漏洞通報微軟後，針對VPN PSK洩露漏洞，微軟承認為「重要」風險，已修補完成，頒布7500美元獎金給研究人員。至於第一項過度給予特權（over-privileged）的角色漏洞，微軟認為是低度嚴重性的安全問題，決定不修補。研究人員提醒企業最好不要在環境中使用這10項角色。</p> </div></div></div>
2025/7/8 11:37作者林妍溱https://www.ithome.com.tw/news/169933
日本Yahoo如何實驗網站前端效能優化方法，用有限成本同時提升使用者體驗與廣告收入
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>新聞網站是日本Yahoo龐大流量集散地，累積7,770萬月活躍讀者，更是母公司LYC一年3千億日圓營收的展示型廣告業務中，不可或缺的重要廣告通路。今年LYC年度技術大會中，日本Yahoo分享自家提升網站前端效能的實驗歷程，探索如何用盡可能有限的資源，來改善使用者體驗及增加廣告收入。</p> <p>日本Yahoo廣告工程師Imamiya Masaki說，這並不是他們第一次，利用提升網站前端效能來增加廣告收入。他們曾經針對Google提出的Core Web Vitals網站效能指標來優化，提升高達15%單一工作階段網頁瀏覽次數（Page View）。他們還在導入Back-Forward Cache（往返快取）技術後，提升高達9%的廣告營收。</p> <p>這次，他們則希望強化預先渲染技術（Pre-render），來加速網站內容顯示速度，並觀察，內容顯示效率提升，能否增加閱讀量、停留時間、點擊率，或減少跳出率，進而對廣告業務指標做出貢獻。</p> <p>預渲染技術是，預測可能即將載入的資源，提前請求並渲染頁面和執行JavaScript。如此，使用者點擊連結或開啟新內容時，瀏覽器就能立即呈現完整內容。這種做法的代價是，若預測使用者點擊不夠準確，會導致預先渲染內容，最後卻不會呈現給使用者，白白增加資源消耗。為了衡量這項代價，日本Yahoo在實驗中追蹤「預渲染命中率」指標，亦即「使用者真正看到的」預渲染項目數占總體比例。</p> <p>日本Yahoo工程團隊導入Google開發的Speculation Rules API，來A/B測試不同預渲染預測規則下，網站前端表現及廣告收入如何受影響。這個API允許開發者透過宣告式JSON語法定義預渲染邏輯，包括針對哪些連結生效、需排除哪些條件等。開發者還可以調整Eagerness設定，決定不同觸發預渲染的規則。Immediate規則是立即預渲染下一個頁面；Moderate規則是滑鼠游標移動到連結上200毫秒後開始預渲染；Conservative規則則是在滑鼠按鈕按下（而非按下後釋放）連結後預渲染。</p> <p><strong>第一次實驗：在首頁預渲染新聞文章頁面</strong></p> <p>首次預渲染實驗對象是，使用者新聞網站首頁時，預先渲染個別新聞網站。他們採取Moderate規則，當使用者游標停留在文章連結200毫秒，即開始預渲染。結果顯示，點選連結後，平均畫面跳轉時間從0.8秒縮短至0.4秒。使用者設備性能不佳或網路連線不穩時，可以減少更多時間。</p> <p>然而，當日本Yahoo工程團隊發現，使用者行為數據與廣告收入等業務指標並未明顯變化。不只如此，預渲染命中率只有15%，造成浪費許多資源浪費。他們推測，因為新聞首頁基礎延遲已經很低、文章頁廣告內容未預渲染、新聞連結密集排列導致大量觸發預渲染等原因，無法判斷Moderate規則是否有作用。</p> <p><strong>第二次實驗：預渲染新聞文章頁面的廣告內容</strong></p> <p>日本Yahoo工程團隊根據這些教訓，來設計第二次實驗。這次，他們將實驗對象聚焦到「閱讀全文」連結的點擊後行為，像是頁面重新整理並重新顯示文章內容，以及廣告內容。</p> <p>這種設計下，觸發預渲染預測的前端UI元件只有閱讀全文連結，較不易造成誤判，也能測試更耗費資源的Immediate觸發規則。不只如此，他們希望廣告內容加速顯示，能吸引更多的讀者注意力。</p> <p>新聞文章頁面中，有上方大型廣告，以及下方小型廣告兩種版位。下方小型廣告格式簡單、請求處理通訊量較少，採取預先處理廣告庫載入、廣告請求處理、廣告顯示的完整流程。上方大型廣告格式包括圖片及影片，且需要呼叫多個伺服器，包括不支援預渲染的伺服器，只能預先處理「廣告請求處理」階段。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/yhads1.jpg" style="width: 800px;" /></p> <blockquote><p>點擊「閱讀全文」（紅色框）連結後，文章頁面會重新整理並顯示出來新文章內容及廣告內容（紫色框）。第二次實驗中，廣告內容也會被預渲染。</p> </blockquote> <p>實驗結果，下方小型廣告，從原本平均3秒顯示時間縮短至僅0.3至0.5秒。上方大型廣告顯示時間，則從原本平均4秒降至約1.6秒。命中率方面，Moderate規則的效果達到44%，而Immediate規則的效果也提升至31%，相較於前一輪的15%已有顯著進步。</p> <p>他們發現，並非所有廣告類型都出現業務指標提升。下方小型廣告雖然顯示加速，但業務指標並無變化。上方廣告中，僅支援影片格式的版本，在Immediate規則下，出現具統計意義的2至3%點擊率（CTR）增幅。以CTR通常只有個位數的新聞展示型廣告而言，幅度不小。</p> <p>日本Yahoo新聞工程師Kiraku Tomoki表示，儘管先前提升網站效能時，都能為廣告收入帶來效益，不過在大規模導入新的網站效能提升法時，工程團隊仍謹慎透過兩輪A/B實驗，來找出確實能帶來廣告收入的預渲染模式。這次實驗中，他們意識到單純提升顯示速度，未必會提升使用者與廣告互動的行為。內容類型、廣告版位與視覺設計等因素，可能同樣甚至更為關鍵。他們推測，預渲染影片廣告之所以有效，可能為使用者帶來更強烈的感官體驗，進而帶動更多點擊行為。他們也透過實驗鎖定了這個能帶來收入的模式，並計畫正式導入影片廣告預渲染做法。</p> <p></p> </div></div></div>
2025/7/8 10:46作者郭又華https://www.ithome.com.tw/news/169930
溫布頓網球賽AI線審頻出包備受批評
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>溫布頓（Wimbledon）網球錦標賽本次正式使用的AI線審，出現誤判或比賽中無法運作等問題遭多位選手批評。</p> <p>今年溫布頓網球賽首次啟用AI線審（ Electronic Line Calling，ELC）周一發生嚴重失誤。這個系統旨在完全取代人類線審判斷擊球是否出界並且發出聲音。但女單第四輪俄羅斯選手Anastasia Pavlyuchenkova對戰英國選手Sonay Kartal，在第一盤比賽打到4:4並且在Advanced時，Kartal的擊球明顯出界ELC系統卻沒有發出任何判決。主審立即喊停比賽，最後在與大會通過電話後向大會宣布，ELC系統未能追蹤到球，必須重打。最後英國選手拿下該局。雖然俄羅斯選手最終贏得比賽，<a href="https://www.dailymail.co.uk/sport/tennis/article-14883133/Wimbledon-electronic-line-errors-Sonay-Kartal.html" target="_blank">但她當時指控該局「遭大會偷走」</a>。</p> <p>原因是當時ELC使用的一組攝影鏡頭被工作人員不慎關閉。<a href="https://www.theguardian.com/sport/2025/jul/07/one-click-operator-error-led-to-wimbledon-line-calling-failure" target="_blank">媒體報導</a>，AI系統在該場比賽中停止運作6分49秒，漏判了3顆出界球。</p> <p>大會在周一緊急修正，使ELC攝影機無法在系統啟用時人為關閉。</p> <p>不過這並不是這次大會中AI線審首次出包。在此之前，<a href="https://www.theguardian.com/sport/2025/jul/07/player-faith-in-technology-shaken-by-storm-around-ai-line-calling-at-wimbledon" target="_blank">另兩名英國選手Emma Raducanu和Jack Draper也都在大會中聲稱，ELC系統沒有正確判決對手擊球出界</a>。</p> <p>而美國選手Ben Shelton則是在上周第二輪快打完時，被大會通知因為天色太暗會影響ELC判讀，剩下的一局必須隔日接續，隔日他僅花了1分10秒就結束比賽。本次大會許多其他場比賽都被迫拆成兩天完成。</p> <p>雖然飽受選手批評，但舉辦溫布頓公開賽的全英俱樂部仍然堅持繼續使用AI線審ELC。目前四大公開賽中，僅剩法網未使用俗稱鷹眼的電子線審系統。</p> </div></div></div>
2025/7/8 09:54作者林妍溱https://www.ithome.com.tw/news/169931
Next.js修補快取污染漏洞，防止靜態頁面DoS攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Next.js釋出安全更新，修正影響15.1.0至15.1.7版本的快取污染漏洞<a href="https://vercel.com/changelog/cve-2025-49826">CVE-2025-49826</a>，以防範攻擊者利用該漏洞造成靜態頁面阻斷服務（DoS）問題。該漏洞風險評等為高，CVSS 3.1基本分數則為7.5，主要威脅在於特定配置下，網站頁面可能無預警對所有用戶出現204空回應，導致正常存取服務中斷。</p> <p>此次漏洞發生在Next.js的增量式靜態再生成（ISR）啟用快取重驗證機制，並結合伺服器端算繪（SSR）路徑時，當外部CDN又快取HTTP 204回應，便會出現問題。官方指出，在極少數特定條件下，受影響的Next.js版本可能會將204無內容的回應錯誤地快取，導致同一路徑的所有用戶請求都只收到204回應。如此部分生產環境中的靜態頁面就會長時間無法正常顯示，嚴重影響服務的可用性。</p> <p>根據官方說明，這個漏洞僅會在同時符合幾個特定條件時才會被觸發，包括使用受影響的Next.js版本、路徑啟用ISR快取重驗證，並以Next start或Standalone模式運作，以及該路徑同時使用SSR並且CDN被設定為快取204回應。</p> <p>Vercel官方公告指出，他們的架構設計不會讓204回應被CDN快取，因此所有在Vercel託管的用戶都不會受到這個漏洞影響。採用自建或其他非官方託管環境的開發者，則需特別注意相關設定與版本更新。</p> <p>針對此次漏洞，Next.js團隊已於15.1.8版本移除相關問題程式碼路徑，並針對導致競態條件（Race Condition）可能造成快取污染的部分進行修正。該漏洞未影響資料機密性與完整性，僅會造成可用性中斷，不過採用受影響版本的用戶仍應儘速升級，以降低相關潛在風險。</p> </div></div></div>
2025/7/7 19:22作者李建興https://www.ithome.com.tw/news/169927
【資安日報】7月7日，Linux命令列工具Sudo修補兩項權限提升漏洞
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>這週末有數則漏洞修補的消息，其中尤以Sudo發布新版的消息相當值得留意，開發團隊這次一共修補兩項漏洞，但特別的是，其中一項危險程度僅有2.3分的低風險漏洞引發關注，因為從12年前發布的版本都受到影響，而有可能影響相當廣泛。</p> <p>而在這段期間發生的資安事故當中，Apache Tomcat、Camel漏洞利用的攻擊活動相當值得留意，再者，由於先前有<a href="https://www.ithome.com.tw/news/169883">Verizon、T-Mobile資料外洩事故</a>，西班牙電信業者Telefonica傳出資料外洩的情況，也引起關注；附帶一提的是，中國駭客仿冒知名品牌網站，試圖針對墨西哥用戶進行大規模網釣攻擊的現象，其手法也引起網路情報平臺Silent Push注意，並調查此事。</p> <p> </p> <h3><strong>【攻擊與威脅】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169918"><strong style="font-size: 22px;">Apache Tomcat、Camel遭到鎖定，駭客利用已知漏洞從事攻擊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/tomcat-camel-chart.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/tomcat-camel-chart.png" style="width: 300px; float: right;" /></a></p> <p>今年3月，Apache基金會發布Java應用程式伺服器Tomcat、中介軟體Camel的資安公告，揭露Tomcat遠端程式碼執行（RCE）暨資訊洩露漏洞CVE-2025-24813（CVSS風險為9.8分），以及Camel遠端程式碼執行漏洞CVE-2025-27636與CVE-2025-29891（風險值5.6、4.8），同月下旬資安業者Wallarm警告，CVE-2025-24813被公開30個小時後，就出現概念驗證程式碼（PoC），很快就會出現實際攻擊，如今有其他資安業者證實這樣的現象成真。</p> <p>最近有一份調查報告揭露上述3項漏洞遭到利用的跡象，指出在Apache基金會發布修補程式、研究人員公開概念驗證程式碼不久，就出現大規模的漏洞掃描，駭客試圖尋找存在漏洞的Tomcat與Camel主機下手。</p> <p>揭露此事的資安業者Palo Alto Networks指出，他們在3月份一共攔截125,856次相關的探測、掃描，或是嘗試利用漏洞的行為。這些攻擊活動來自超過70個國家，在3月中旬這些漏洞公開後就隨即大幅增加，並在一週之後達到高峰。對此，他們呼籲IT人員，要儘速套用更新程式。</p> <p><a href="https://www.ithome.com.tw/news/169923"><strong style="font-size: 22px;">西班牙電信業者Telefonica傳資料外洩，駭客揚言公開106 GB檔案</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Telefonica_2_6GB_leak.jpg" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/Telefonica_2_6GB_leak.jpg" style="width: 300px; float: right;" /></a></p> <p>根據資安新聞網站BleepingComputer報導，有人在地下網站公佈了取得了Telefonica公司檔案及客戶資料，檔案大小高達106 GB，還揚言若不理會將全數公開。</p> <p>這名代號Rey的駭客自稱是Hellcat勒索軟體的一員，該組織在5月底成功駭入Telefonica公司網路進行活動，並外傳資料了12小時之久，直到被切斷存取為止。Rey告訴媒體，他們是利用Jira配置不當的問題，成功存取了這家電信公司的內部系統。最後，駭客一共取得了106.3 GB超過38萬份檔案，內容涵括內部通訊如工單、電子郵件、採購單、內部系統記錄、客戶資料和員工資訊等。</p> <p>媒體在6月初多次聯繫Telefonica多個部門、公司高層，但都沒有接獲回應，唯一回應的Telefonica O2員工則透露，這批是駭客以前外洩的資料。</p> <p><a href="https://www.ithome.com.tw/news/169896"><strong style="font-size: 22px;">中國駭客冒充知名品牌，企圖竊取消費者付款資訊</strong></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/mexi-fake-image-7-josabank-spoof.png" target="_blank"><img alt="" src="https://s4.itho.me/sites/default/files/images/mexi-fake-image-7-josabank-spoof.png" style="width: 300px; float: right;" /></a></p> <p>網路情報平臺Silent Push日前披露，中國駭客正在仿冒墨西哥的各種熱門品牌，並建置基於英文及西班牙文的釣魚網站，以騙取消費者的Google Pay或是信用卡資訊，迄今仍有數千個釣魚網站存活。</p> <p>一名墨西哥記者Ignacio Gómez Villaseñor先是在今年5月底發現並報導此事，當時他找到了逾700個偽裝成各種品牌的網釣網站，而且它們都來自同一個IP。</p> <p>Silent Push接著對此展開了調查，發現駭客冒充的對象涵蓋Apple、Harbor Freight Tools、Hermes、Michael Kors、REI、PayPal、Wayfair及Wrangler Jeans等知名品牌，使用以假亂真的網址，通常只是小小的拼寫錯誤，但盜用了官網的圖片與設計，企圖誘拐消費者購買並輸入信用卡資訊。</p> <p><strong style="font-size: 22px;">其他攻擊與威脅</strong></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.fortinet.com/blog/threat-research/rondobox-unveiled-breaking-down-a-botnet-threat">殭屍網路RondoDox鎖定TBK旗下設備而來，利用已知漏洞綁架DVR裝置</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://Scattered Spider Enhances Tactics to Exploit Legitimate Tools for Evasion and Persistence">Scattered Spider濫用多種遠端管理工具試圖回避偵測、持續在受害組織活動</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/snake-keyloggers-exploit-java-utilities/">竊資軟體Snake Keyloggers濫用Java公用程式躲過資安工具偵測</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://gbhackers.com/hackers-abuse-legitimate-inno-setup-installer/">Inno Setup軟體安裝工具被濫用，駭客用來打包、散布惡意軟體</a></strong></p> <p></p> <p>◆<strong style="font-size: 20px;"><a href="https://www.bleepingcomputer.com/news/security/hunters-international-ransomware-shuts-down-after-world-leaks-rebrand/">勒索軟體Hunters International關閉業務，釋出解密金鑰</a></strong></p> <p></p> <p> </p> <h3><strong>【漏洞與修補】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169928"><strong style="font-size: 22px;">Linux命令列工具Sudo存在權限提升漏洞，若不處理攻擊者可輕易得到root權限</strong></a></p> <p>Linux用戶對於權限提升的命令列工具Sudo應該不陌生，此工具能允許通過授權的用戶以其他使用者身分執行命令，其中最常見的使用場景，就是用來執行需要root的權限工作，使用者能在無須存取root帳號的情況下達到目的，並留下系統事件記錄以供稽核，一旦這類工具存在弱點，很有可能成為攻擊者取得特殊權限的管道。</p> <p>6月底Sudo開發團隊發布1.9.17p1版，修補本機權限提升漏洞CVE-2025-32462、CVE-2025-32463，其中一個影響範圍超過12年版本的Sudo；另一個則是危險程度達到重大層級，相當危險。通報上述漏洞的資安業者Stratascale強調，目前沒有緩解這些弱點的措施，用戶應儘速安裝新版Sudo因應。</p> <p>根據CVSS風險評分，較為危險的是評為重大層級的CVE-2025-32463，這項弱點與Sudo的-R（或--chroot）選項有關，一旦遭到利用，攻擊者就能以root身分執行任意命令，CVSS風險達到9.3分，影響1.9.14以上版本的Sudo。另一項是風險值僅有2.3分，但已存在超過12年的資安漏洞CVE-2025-32462，此漏洞也同樣不能輕忽，原因是Sudo的組態檔案只要符合指定的條件，攻擊者無須手動觸發，就能將權限提升為root。</p> <p><a href="https://www.ithome.com.tw/news/169854"><strong style="font-size: 22px;">已終止支援的D-Link DIR-816路由器含有遠端攻擊等多個重大漏洞</strong></a></p> <p>代號為pjqwudi的資安研究人員在今年6月初提交6個有關D-Link DIR-816路由器的安全漏洞，相關漏洞將允許駭客自遠端完全控制路由器，或者部署持久性的後門程式，由於該款路由器已於2023年11月便退役，也不再提供技術支援或韌體更新，D-Link強烈建議用戶停用該產品。</p> <p>上個月披露的6個D-Link DIR-816漏洞分別是CVE-2025-5622、CVE-2025-5623、CVE-2025-5624、CVE-2025-5630、CVE-2025-5620及CVE-2025-5621，除了命令注入漏洞CVE-2025-5620與CVE-2025-5621被列為高風險層級，另外4個皆為重大層級的緩衝區溢位漏洞，允許駭客自遠端執行任意程式、癱瘓設備、植入惡意韌體或是變更設定。</p> <p>資安研究人員警告，上述漏洞將讓駭客可完全掌控路由器，攔截與操縱網路流量，部署惡意軟體或後門程式。</p> <p><a href="https://www.ithome.com.tw/news/169873"><strong style="font-size: 22px;">德國資安業者揭露達發科技藍牙晶片漏洞，近30款音訊設備恐遭監聽</strong></a></p> <p>德國資安業者ERNW在Troppers資安會議上揭露，由聯發科子公司達發科技（Airoha）所設計的藍牙音訊系統單晶片（SoC）中含有3個安全漏洞，將允許駭客控制採用該晶片的裝置，像是耳機、喇叭或無線麥克風等，波及Bose、Sony、Jabra、JBL與Marshall等知名品牌的音訊裝置。Airoha已於今年6月初藉由更新SDK修補了相關漏洞。</p> <p>研究人員Dennis Heinze與Frieder Steinmetz解釋，這些採用Airoha解決方案的裝置曝露強大的專屬通訊協定，允許第三方讀寫隨機存取記憶體或快閃記憶體以控制裝置（CVE-2025-20702），且該協定在沒有身分驗證的情況下，就能透過低功耗藍牙的GATT介面（CVE-2025-20700），以及傳統藍牙的RFCOMM通道（CVE-2025-20701）存取。</p> <p>上述漏洞讓駭客只要位在藍牙範圍內，不必經過身分驗證或配對，就能透過傳統藍牙或低功耗藍牙展開攻擊，包括完全控制藍牙耳機，讀寫裝置的記憶體，或是劫持受害裝置與其它裝置的信任關係，進行竊聽，竊取手機號碼與通訊紀錄，也能根據手機配置以獲取聯絡人資訊，還具備蠕蟲式傳播潛力。</p> <p> </p> <h3><strong>【資安產業動態】</strong></h3> <p><a href="https://www.ithome.com.tw/news/169866"><strong style="font-size: 22px;">防止CrowdStrike事件重演，微軟疑不再讓第三方防毒軟體存取Windows核心</strong></a></p> <p>為防去年CrowdStrike事故造成數百萬臺Windows裝置停擺事件重演，微軟最新合作夥伴計畫顯示，可能不再讓第三方防毒軟體存取Windows核心。</p> <p>微軟近期宣布Microsoft Virus Initiative（MVI）計畫3.0版，勾勒出最新規畫。MVI是在去年七月CrowdStrike更新出包，引發超過850萬臺Windows個人電腦與伺服器當機而生。CrowdStrike事件後，微軟於同年九月召集防毒及端點安全方案業者，發起MVI以提升Windows韌性，並釐清彼此責任。</p> <p>目前MVI已進入3.0。最新一代要求合作夥伴「採取特定行動」以改善Windows安全及穩定性。現有成果包括要求防毒軟體更新必須漸進式，並監控可能的不良影響、測試事件回應流程等。科技新聞媒體Ars Technica、Cybernews認為，此舉很有可能是微軟想將第三方防毒踢出Windows核心。</p> <p> </p> <h3><strong>近期資安日報</strong></h3> <p><a href="https://www.ithome.com.tw/news/169894"><strong>【7月4日】多款IDE開發工具選用延伸套件要當心，此類元件的檢驗機制存在可乘之機</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169878"><strong>【7月3日】全支付測試環境帳密驚傳遭駭客兜售</strong></a></p> <p><a href="https://www.ithome.com.tw/news/169852"><strong>【7月2日】美國電信業者AT&T祭出新措施防堵SIM卡置換攻擊</strong></a></p> </div></div></div>
2025/7/7 16:54作者周峻佑https://www.ithome.com.tw/news/169929
Linux命令列工具Sudo存在權限提升漏洞，若不處理攻擊者可輕易得到root權限
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>Linux用戶對於權限提升的命令列工具Sudo應該不陌生，此工具能允許通過授權的用戶以其他使用者身分執行命令，其中最常見的使用場景，就是用來執行需要root的權限工作，使用者能在無須存取root帳號的情況下達到目的，並留下系統事件記錄以供稽核，一旦這類工具存在弱點，很有可能成為攻擊者取得特殊權限的管道。</p> <p>6月底Sudo開發團隊發布1.9.17p1版，修補本機權限提升漏洞<a href="https://www.sudo.ws/security/advisories/host_any/">CVE-2025-32462</a>、<a href="https://www.sudo.ws/security/advisories/chroot_bug/">CVE-2025-32463</a>，其中一個影響範圍超過12年版本的Sudo；另一個則是危險程度達到重大層級，相當危險。通報此事的資安業者Stratascale強調，這些漏洞沒有其他替代緩解措施，用戶應儘速安裝新版Sudo因應。</p> <p>根據CVSS風險評分，較為危險的是評為重大層級的CVE-2025-32463，這項弱點與Sudo的-R（或--chroot）選項有關，一旦遭到利用，攻擊者就能以root身分執行任意命令，CVSS風險達到9.3分，影響1.9.14以上版本的Sudo。</p> <p>這項漏洞源自1.9.14版Sudo引入的路徑解析變更，一旦攻擊者在特定使用者的根目錄建立/etc/nsswitch.conf檔案，就有機會讓Sudo載入任意的共用程式庫。</p> <p>針對漏洞的危險之處，<a href="https://www.stratascale.com/vulnerability-alert-CVE-2025-32463-sudo-chroot">Stratascale指出</a>雖然這項弱點涉及chroot的功能，但由於不需使用者建立特定的規則，預設組態的Sudo就會曝險，若是遭到利用，攻擊者就能在取得任意本機使用者帳號的情況下，將權限提升為root。他們也確認Ubuntu 24.04.1、伺服器版Fedora 41預載的Sudo存在這項漏洞；1.8.32版以下的Sudo因尚未提供chroot功能，不受漏洞影響。</p> <p>另一項是風險值僅有2.3分，但已存在超過12年的資安漏洞CVE-2025-32462。這項漏洞存在於Sudo的host（-h或--host）選項當中，一般來說，使用者通常會搭配list（-l或--list）的選項，列出使用者在特定主機上的Sudo權限。</p> <p>這項弱點發生的原因為何？起因在於Sudo會將主機名稱錯誤地視為設定檔Sudoers規則的部分內容，使得此組態檔案只要host欄位只要不是設置為本機或是ALL，就會受到影響。這種弱點主要影響套用通用Sudoers檔案的區域網路電腦。</p> <p>值得留意的是，該漏洞影響2013年8月發布的1.8.8版，意味著這12年推出的Sudo都有這項漏洞。雖然這項漏洞的僅被評為低風險，但<a href="https://www.stratascale.com/vulnerability-alert-CVE-2025-32462-sudo-host">Stratascale認為不能輕忽</a>，原因是Sudo的組態檔案只要符合指定的條件，攻擊者無須手動觸發就能將權限提升為root。他們也在Ubuntu 24.04.1、macOS Sequoia 15.3.2等作業系統上，確認存在這項弱點。</p> </div></div></div>
2025/7/7 16:42作者周峻佑https://www.ithome.com.tw/news/169928
Apache Tomcat、Camel遭到鎖定，駭客利用已知漏洞從事攻擊
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>今年3月，Apache基金會發布Java應用程式伺服器Tomcat、中介軟體Camel的資安公告，揭<a href="http://lists.apache.org/thread/j5fkjv2k477os90nczf2v9l61fb0kkgq">露Tomcat遠端程式碼執行（RCE）暨資訊洩露漏洞CVE-2025-24813</a>（CVSS風險為9.8分），以及Camel遠端程式碼執行漏洞<a href="https://camel.apache.org/security/CVE-2025-27636.html">CVE-2025-27636</a>與<a href="https://camel.apache.org/security/CVE-2025-29891.html">CVE-2025-29891</a>（風險值5.6、4.8），同月下旬<a href="https://www.ithome.com.tw/news/167913">資安業者Wallarm警告</a>，CVE-2025-24813被公開30個小時後，就出現概念驗證程式碼（PoC），很快就會出現實際攻擊，如今有其他資安業者證實這樣的現象成真。</p> <p>最近有一份調查報告<a href="https://unit42.paloaltonetworks.com/apache-cve-2025-24813-cve-2025-27636-cve-2025-29891/">揭露上述3項漏洞遭到利用的跡象</a>，指出在Apache基金會發布修補程式、研究人員公開概念驗證程式碼不久，就出現大規模的漏洞掃描，駭客試圖尋找存在漏洞的Tomcat與Camel主機下手。</p> <p>揭露此事的資安業者Palo Alto Networks指出，他們在3月份一共攔截125,856次相關的探測、掃描，或是嘗試利用漏洞的行為。這些攻擊活動來自超過70個國家，在3月中旬這些漏洞公開後就隨即大幅增加，並在一週之後達到高峰。對此，他們呼籲IT人員，要儘速套用更新程式。</p> <p>根據Palo Alto Networks這次發表的報告，CVE-2025-24813的成因與Tomcat提供的Partial PUT功能有關，一旦攻擊者成功利用，就有機會覆寫存放在磁碟上的序列化連線階段（Session）檔案，從而執行任意程式碼。這項漏洞形成的必要條件，就是Tomcat設置為存放HTTP連線階段資料，使得攻擊者能利用帶有Content-Range的標頭，引發Tomcat處理Partial PUT請求不當的現象。根據截取到攻擊者實際使用的有效酬載呈現的漏洞利用手法，Palo Alto Networks發現，攻擊者先發出HTTP PUT請求試圖利用漏洞，目的是偵察目標伺服器是否執行有弱點的Tomcat，假如利用成功，就有可能存取界外應用程式安全測試（Out-of-Band Application Security Testing，OAST）伺服器。</p> <p>針對CVE-2025-27636與CVE-2025-29891的部分，這兩個弱點都存在於Camel的預設傳入標頭過濾器，使得攻擊者有機會透過特製的HTTP標頭或參數觸發。Apache基金會在資安公告提及，這些漏洞發生的根本原因相同，他們也使用相同的程式碼進行修正，攻擊者能夠利用漏洞的必要條件，就是Camel路由採用了特定元件。而Palo Alto Networks也在調查報告提出類似看法，指出攻擊者若是調整標頭的大小寫，就有機會繞過Camel的過濾器，從而利用漏洞。在其中一起利用CVE-2025-27636的攻擊行動裡，一旦成功觸發，Camel伺服器就執行echo命令；而在另一起嘗試利用CVE-2025-29891的活動當中，攻擊者疑似想要藉此連往存在弱點的Tomcat伺服器，並與OAST伺服器進行連線。</p> </div></div></div>
2025/7/7 12:54作者周峻佑https://www.ithome.com.tw/news/169918
西班牙電信業者Telefonica傳資料外洩，駭客揚言公開106 GB檔案
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.bleepingcomputer.com/news/security/hacker-leaks-telef-nica-data-allegedly-stolen-in-a-new-breach/" target="_blank">BleepingComputer報導</a>，一名駭客在地下網站公佈了取得了Telefonica公司檔案及客戶資料高達106GB，還揚言全數公開。</p> <p>這名代號Rey的駭客自稱是Hellcat勒索軟體的一員，該組織在5月底成功駭入Telefonica公司網路並活動並外傳資料了12小時之久，直到被切斷存取為止。</p> <p>Rey告訴媒體，他們是利用Jira配置不當的問題，成功存取了這家電信公司的內部系統。最後，駭客一共取得了106.3GB超過38萬份檔案，內容涵括內部通訊如工單、電子郵件、採購單、內部系統紀錄、客戶資料和員工資訊等。</p> <p>媒體在6月初多次聯繫Telefonica多個部門、公司高層，但都沒有接獲回應，唯一回應的Telefonica O2員工則說，是駭客以早前外洩的資料為幌子勒索公司。</p> <p>不知因為遭到Telefonica拒絕聯繫，這名Rey於上周釋出了5GB的公司資料，以證明這106GB資料皆為新資料。根據分析，駭客提供給媒體的部份資料包含歐洲數國、智利、祕魯的企業客戶資料，以及歐洲及南非數國的員工郵件信件，以及歐洲商業夥伴的發票。但這些檔案皆為2021年的資料。</p> <p>但駭客揚言，很快將公佈完整檔案樹，而且，若Telefonica還不照辦（付款），他會在接下來幾個星期釋出完整資料。</p> <p>Telefonica是最近傳出洩露大量資料的電信公司。上周<a href="https://www.ithome.com.tw/news/169883" target="_blank">美國二大電信公司Verizon、T-Mobile</a>也被傳上億筆資料落入駭客手中，不過兩公司矢口否認是新的資安事件。<a href="https://www.ithome.com.tw/news/169076" target="_blank">5月韓國電信SKT</a>則承認一起網路攻擊行動影響2700萬門號。2024年底資安廠商揭露中國駭客組織Salt Typhoon，透過思科網路設備漏洞，入侵了至少9家美國電信業者，<a href="https://www.ithome.com.tw/news/169688" target="_blank">加拿大一家電信公司則在上個月成為該組織最新一家受害者</a>。</p> </div></div></div>
2025/7/7 16:11作者林妍溱https://www.ithome.com.tw/news/169923
【資安週報】0630~0704，調查局破獲消防局行動派遣系統資訊遭竊，殯葬業者委託駭客攻擊，目的是搶生意
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>回顧2025年7月初的資安新聞，臺灣有兩起重大新聞事件受矚目，包括消防救護領域有即時資訊遭竊，以及金融支付領域有全支付UAT測試環境帳密外洩情形。</p> <p>（一）調查局偵破消防局救護資訊遭竊案，全臺21縣市的行動派遣等緊急救護系統受影響，發現每年非法連線超過三千萬次。調查發現，喪葬業者委託潘姓男子入侵系統，非法取得派遣與出勤資訊，行為已持續逾四年。經檢察官複訊後，業者與工程師均涉犯刑法妨害電腦使用罪。<br /> （二）全支付Pxpay Plus測試環境的管理帳密被發現兜售於深網（Deep Web），該公司表示已掌握此事，確實有測試環境帳密外洩情資，經深入分析非內部系統遭駭，而是少數合作商戶遭駭客入侵，從其商戶的個人電腦取得登入資訊所導致。</p> <p>還有3起威脅與風險揭露，同樣值得臺灣留意，涵蓋網釣攻擊、鎖定Exchange伺服器的攻擊，以及國安局依據《行動應用APP基本資安檢測基準v4.0》抽查5款中國App的結果公開。<br /> ●資安業者Seqrite揭露國家級APT攻擊活動Swan Vector正鎖定臺灣、日本，藉由假的履歷表、財務文件名義網釣，鎖定教育與機械工程產業。<br /> ●資安業者Positive Technologies揭露有駭客鎖定Exchange伺服器注入鍵盤內容側錄工具（Keylogger），越南、俄羅斯與臺灣是前3大攻擊目標。<br /> ●國安局針對5款中國App進行抽查，依據15項指標檢測，發現小紅書每一項都違規，微博、抖音則有13項違規、微信為10項、百度雲盤為9項。</p> <p>在威脅態勢方面，國際間有一連串重大消息是：多家航空業運輸業發布資安事故公告，包括夏威夷航空、西捷航空與澳洲航空。</p> <p>更引發關注的是，這些事件可能都與駭客團體Scattered Spider有關，該組織擅長網釣、憑證竊取、語音網釣、SIM swapping、簡訊網釣，美國FBI已於6月30日於社群平臺X示警，指出該組織正將攻擊目標轉向航空與運輸業，手法是經常假冒員工或承包商誘騙企業IT支援服務臺（IT Help Desk），騙取內部系統存取權限。</p> <p>其他重要資安威脅態勢與事件，其中多款IDE延伸套件檢驗機制的問題最值得留意，需要開發人員重視。</p> <p>●資安業者OX發現常用IDE工具的IDE延伸套件檢驗機制存在瑕疵，影響範圍涵蓋Visual Studio Code、Visual Studio、IntelliJ IDEA、Cursor，導致攻擊者可讓惡意套件顯示「已通過驗證」徽章，欺騙開發人員。<br /> ●法國網路安全局（ANSSI）發布調查報告，指出中國駭客UNC5174自去年9月初開始，對當地的政府、電信、媒體、金融、交通產業發起攻擊行動Houken，主要利用Ivanti漏洞入侵。<br /> ●瑞士政府揭露資料外洩事件，起因是受非營利組織Radix遭勒索軟體攻擊波及。</p> <p>此外，還有3篇我們針對OTP盜刷網釣的報導，其最新態勢顯示同步竊取OTP的手法已經氾濫，且盜刷領域的網釣即服務（PhaaS）數量大增，因此支付與電商產業需採強式身分驗證機制，強化裝置指紋識別技術，持續發展AI/ML詐欺偵測模型。</p> <p>在漏洞消息方面，有一個零時差漏洞攻擊的事件，Google針對Chrome修補V8 JavaScript引擎的類型混淆CVE-2025-6554，已獲報有鎖定利用情形。還有兩個已知漏洞新遭鎖定，今年5月安全通訊解決方案廠商TeleMessage TM SGNL的漏洞CVE-2025-48927、CVE-2025-48928證實已遭利用。</p> <p>至於資安防禦與合規方面，有兩則重要新聞，在國際間，AT&T為了防堵SIM卡置換攻擊，推出可讓用戶啟用Wireless Account Lock的新機制，促使未來電信門號進行重要變更的程序時，需強制採取額外的步驟進行驗證；在國內，臉書廣告服務管理系統出包，又有23件廣告未即時揭露託播者訊息，遭數發部開罰1,500萬元。</p> <p> </p> <h3><a href="https://www.ithome.com.tw/news/169807"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【6月30日】微軟Exchange伺服器遭大規模攻擊鎖定，臺灣是前三大目標</span></strong></a></h3> <p>近期鎖定微軟Exchange伺服器的攻擊行動再度出現，值得留意的是，揭露此事的資安業者Positive Technologies表示，臺灣是駭客攻擊的主要目標，受害規模僅次於越南、俄羅斯。</p> <p>鎖定MFT檔案傳輸系統MOVEit、Citrix NetScaler已知漏洞的攻擊行動，以及惡名昭彰的Scattered Spider針對航空產業而來，都相當值得留意，在法規遵循方面的消息，國內數發部對Meta二度開罰、德國要求蘋果與Google下架DeepSeek行動裝置App的情況，後續發展值得留意。</p> <h3><a href="https://www.ithome.com.tw/news/169833"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月1日】逾1,200臺Citrix NetScaler設備尚未修補CitrixBleed 2</span></strong></a></h3> <p>6月下旬Citrix先後修補CitrixBleed 2（CVE-2025-5777）、CVE-2025-6543，並表明CVE-2025-6543已出現實際利用的情況，然而CitrixBleed 2也相當危險，輕忽不得！Shadowserver基金會指出，有超過1,200臺NetScaler設備尚未修補這項漏洞，值得留意的是，這樣的數字並不包含企業設置於內部網路環境、未與網際網路連線的NetScaler設備，因此實際曝險範圍可能遠大於此。</p> <p>在其他資安事故方面，有兩起網釣攻擊值得留意，其中，鎖定臺灣、日本的APT攻擊Swan Vector，駭客利用履歷表與財務文件當作誘餌引人上當；另一起則是針對使用簡體中文的用戶而來，中國駭客組織Silver Fox假借提供DeepSeek、WPS Office、搜狗輸入法等安裝程式，來散布惡意軟體。</p> <p><a href="https://www.ithome.com.tw/news/169852"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月2日】美國電信業者AT&T祭出新措施防堵SIM卡置換攻擊</span></strong></a></p> <p>因應SIM卡置換（SIM Swapping）攻擊氾濫的現象，首度有大型美國電信業者祭出新的防護機制，而受到各界關注，這項服務免費提供，用戶必須在手機App當中啟用，才能受到保護。</p> <p>今天我們也整理多起資安事故與弱點相關消息，有兩件是關於網路攻擊，像是：瑞士政府機關因非營利組織Radix遭勒索軟體攻擊而導致資料外洩的情況、駭客以更隱密的手法濫用組態不當的Docker API從事挖礦攻擊，另外兩起是資安漏洞方面的狀況，例如：美國CISA證實Citrix NetScaler重大漏洞CVE-2025-6543已被用於實際攻擊、Google修補已遭利用的零時差漏洞CVE-2025-6554，也相當值得留意。</p> <h3><a href="https://www.ithome.com.tw/news/169878"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月3日】全支付測試環境帳密驚傳遭駭客兜售</span></strong></a></h3> <p>本日國內最受到關注的資安新聞，應該就屬電子支付平臺全支付（Pxpay Plus）傳出測試平臺的後臺管理員（Admin）帳號密碼遭外洩，察覺此事的資安專家指出，由於測試與正式環境共用商業邏輯與金流驗證機制，有可能會波及正式環境。</p> <p>在上述的資安事故之餘，中國應用程式過度收集用戶個資並傳送到中國的情況，也相當值得留意，本週國安局認證5款熱門中國App存在嚴重資安風險，呼籲民眾挑選應用程式要特別小心；而在今天發生的國際資安事故當中，我們整理了澳洲航空Qantas傳出遭到Scattered Spider攻擊，再者，法國揭露去年中國駭客UNC5174利用Ivanti CSA設備零時差漏洞入侵當地企業組織的情形。</p> <h3><a href="https://www.ithome.com.tw/news/169894"><strong style="font-size: 22px;"><span style="color: rgb(0, 0, 0);">【7月4日】多款IDE開發工具選用延伸套件要當心，此類元件的檢驗機制存在可乘之機</span></strong></a></h3> <p>最近幾年鎖定開發人員而來的惡意套件攻擊相當氾濫，這些攻擊的範圍相當廣，涵蓋NPM、PyPI，以及Visual Studio Code（VSCode）等，多半都是上架市集引誘開發者上當，但最近資安業者OX發現，IDE對於延伸套件驗證機制存在缺陷，攻擊者可製作顯示已通過驗證（Verified）的套件，目的是誘騙開發者上當。</p> <p>而在今天的資安新聞，有數則與臺灣有關的消息，首先針對近日有人兜售全支付測試環境帳密資料的情況，我們獨家採訪該公司並取得回應，他們也進一步透露掌握的情況及調查結果；再者，有數家殯葬業者為了搶生意，竟找駭客來監聽消防救護系統，相當不可取；數發部警告有歹徒假冒買家、客服、第三方支付網站的情況，消費者須提高警覺。</p> <p> </p> </div></div></div>
2025/7/7 09:51作者羅正漢https://www.ithome.com.tw/news/169914
傳出版商向歐盟控訴Google推AI Overviews影響生機
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://www.reuters.com/legal/litigation/googles-ai-overviews-hit-by-eu-antitrust-complaint-independent-publishers-2025-07-04/" target="_blank">路透社報導</a>，一群出版商日前向歐盟及英國主管機關控告Google的AI Overviews功能已影響其營收方式，要求主管機關出手禁止。</p> <p>根據媒體看到的6月30日遞交的文件，獨立出版商聯盟（Independent Publisher Alliance）控訴Google濫用了搜尋獨大地位，以出版商內容為基礎生成了AI內容，還置於優先位置，已經以流量、讀者群及營收損失的形式對出版商造成傷害，且傷害仍在持續。</p> <p>AI Overviews是Google以Gemini為基礎，這項功能在用戶搜尋關鍵字時，將網頁內容搜尋結果整理成摘要內容顯示在搜尋頁上方，讓用戶不必點進網頁也能得到答案。AI Overviews已在全球100多國推出，Google也計畫在AI Overviews加入廣告。</p> <p>獨立出版商聯盟說，他們除非退出Google搜尋引擎索引，否則就得被迫加入Google AI訓練或AI摘要的對象。出版商也要求主管機關在審案期間發出禁制令，阻止Google造成無法回復的傷害。</p> <p>Google對路透社表示，AI Overviews大幅提升使用者體驗，並為內容出版商創造接觸到用戶的新機會。</p> <p>歐盟拒絕評論報導，不過英國競爭與市場管理署（Competition and Markets Authority）則證實已接收到陳情文件。<a href="https://pressgazette.co.uk/platforms/cma-to-force-google-to-work-more-fairly-with-uk-publishers/" target="_blank">媒體報導</a>，英國CMA於6月底表示計畫指定Google為該國《2024數位市場、競爭和消費者法案》定義的具有「策略市場地位」的科技平臺，這表示CMA可要求Google以公平而合理原則和新聞出版商交易。</p> <p>出版商對AI大廠的不滿並非從AI Overviews才開始，更早的聊天機器人就已引發網路內容出版商抗議，並提出多起訴訟。CDN業者Cloudflare公布的一項研究，Google AI聊天機器人的出現，使出版商達到過去的流量的難度增加10倍。若是OpenAI ChatGPT或Anthropic Claude則要達到750及30,000倍。</p> <p>為此<a href="https://www.ithome.com.tw/news/169844" target="_blank">Cloudflare介紹</a>一種新商業模式，讓AI業者付錢換取內容網站准許AI爬蟲擷取網頁。</p> </div></div></div>
2025/7/7 11:42作者林妍溱https://www.ithome.com.tw/news/169917
聯想電腦預載可寫入資料的檔案，可能被用於突破Windows AppLocker安全防護
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p><a href="https://oddvar.moe/2025/07/03/applocker-bypass-on-lenovo-machines-the-curious-case-of-mfgstat-zip/" target="_blank">資安廠商發現</a>聯想（Lenovo）電腦中一個預載檔案被可寫入資料，可能破壞Windows 的AppLocker提供的安全防護。</p> <p>本問題是由資安顧問公司TrustedSec研究人員Oddvar Moe發現，問題檔案是聯想電腦預載於其Windows映像檔、位於C:\Windows目錄下的mfgstat.zip。檢視其存取控制表可以發現，一個經授權的使用者具有完整權限，可修改、讀、寫與執行檔案。這就抵觸了微軟透過Windows AppLocker提供的防護。</p> <p><a href="https://learn.microsoft.com/zh-tw/windows/security/application-security/application-control/app-control-for-business/applocker/applocker-overview" target="_blank">AppLocker</a>是內建於Windows的安全工具，可讓標準使用者控制哪些App和文件檔案、指令碼、DLL、已封裝應用程式或Windows Installer等檔案可以執行，並防止使用者執行未經核准的檔案。</p> <p>研究人員表示，AppLocker 預設規則是，使用者可執行C:\Windows目錄下任何檔案，然其運作基礎是標準使用者無法寫入已受保護的區域。而mfgstat.zip就成了一個破口。一般使用者可以先在mfgstat.zip中寫入程式碼，然後運用經過核准的Windows二進位檔，例如研究人員測試時，以AppLVP.exe執行寫入的程式碼，繞過AppLocker防護。這個過程只需標準用戶身份，不必具備管理員權限。</p> <p>研究人員在2019年發現這個問題，並在今年在新聯想電腦上再次發現而確認。但他通報聯想研究部門PSIRT，得到的回應是不會修補，<a href="https://support.lenovo.com/us/en/product_security/HT517812" target="_blank">而是告知移除mfgstat.zip的方法</a>。最直觀的方法是利用檔案管理員，找到C:\Windows，利用「檢視」顯示隱藏的檔案，找到mfgstat.zip，再按右鍵從選單中選擇「刪除」。若是企業電腦，則必須使用微軟System Center 配置管理員（SCCM）中的群組規則（Group Policy）或其他工具來移除。</p> <p>mfgstat.zip是包含在聯想預設Windows映像檔中，但許多大型企業執行自有配置的作業系統，而不使用聯想預設軟體。因此使用自有映像檔的企業，應該不存在這個檔案。</p> </div></div></div>
2025/7/7 10:50作者林妍溱https://www.ithome.com.tw/news/169916
川普簽署《大而美法案》
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>美國總統川普（Donald Trump）在上周五（7/4）美國獨立紀念日當天，簽署了備受外界爭議的《大而美法案》（One Big Beautiful Bill），使它成為正式法令。</p> <p>此一法令的主要條款包括永久延續《減稅與就業法案》的個人與企業減稅，豁免小費、加班費及養老金的稅收，提高地方稅的扣除上限；大幅削減聯邦醫療補助支出；增加逾1,500億美元的國防預算；撤銷多項乾淨能源補貼，強化傳統能源產業；自動提高債務上限約5,000億美元，意味著美國政府不必經過國會同意就能多借5,000億美元。</p> <p>反對者認為該法令將增加美國財政赤字，造成稅賦不均，嚴重影響美國的綠色轉型，危及弱勢族群的醫療服務，且多數民調都顯示大眾普遍反對該法令，例如<a href="https://www.pewresearch.org/short-reads/2025/06/17/how-americans-view-the-gops-budget-and-tax-bill/" target="_blank">Pew民調顯示</a>有49%的民眾反對，僅有29%贊成，<a href="https://www.foxnews.com/politics/fox-news-poll-economic-pessimism-abates-slightly" target="_blank">Fox民調發現</a>有59%反對，38%支持。</p> <p><a href="https://x.com/elonmusk/status/1929954109689606359" target="_blank">美國知名科技企業家馬斯克（Elon Musk）早在今年6月初大力反對該法案</a>，抨擊此一充滿政治目的的國會支出法案令人噁心至極，也因而與他一路支持的川普翻臉。</p> <p><a href="https://www.whitehouse.gov/articles/2025/07/history-made-the-one-big-beautiful-bill-is-on-its-way-to-president-trumps-desk/" target="_blank">白宮將該法令稱為「美國史上最大規模的中產階級減稅法案」</a>，可維持美國的邊境安全，大規模的國防預算，也恢復了財政理性，將推動美國前所未有的經濟繁榮。</p> <p>川普政府將《大而美法案》列為優先法案，由於川普所屬的共和黨幾乎同時控制了參議院與眾議院，參議院在7月1日以51比50的票數通過該案，眾議院在7月3日通過，川普隔天就簽署，使它成為正式法令，成為美國史上少見的閃電立法。</p> <p>市場分析指出，新的法令可望降低大型科技企業與新創公司的研發成本，同時鼓勵資料中心的建設與資本支出；另一方面，它撤銷或削減對太陽能、儲能或電動車的補助與抵稅措施，可能邊緣化許多綠色科技專案，讓創投資金轉向；國防預算的增加則會讓國防科技受惠。</p> </div></div></div>
2025/7/7 08:10作者陳曉莉https://www.ithome.com.tw/news/169913
Graylog持續強化事件管理，增設資料湖預覽與掌握敵情的防禦
<div class="field field-name-field-image field-type-image field-label-hidden"><div class="field-items"><div class="field-item even"><img src="https://s4.itho.me/sites/default/files/graylog_6.2-main2.jpg" width="960" height="420" alt="" /></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>受限於本身的財力，小型機構或中小企業若想建置專業等級的事件管理系統（LMS）、安全資訊與事件管理系統（SIEM），甚至資安維運中心（SOC），可能會考慮開放原始碼的軟體，而在這個領域當中，較受歡迎的產品，有ELK stack（囊括Elasticsearch、Logstash、Kibana）、OpenSearch、Wazuh、Graylog，而在2024年臺灣資安大會，剛好有<a href="https://cybersec.ithome.com.tw/2024/session-page/2755">講者</a>以免費版本的Graylog為題，<a href="https://www.youtube.com/watch?v=U9AeGqMDhRU&ab_channel=CYBERSEC%E8%87%BA%E7%81%A3%E8%B3%87%E5%AE%89%E5%A4%A7%E6%9C%83">介紹</a>他藉此打造資安戰情中心的經驗。</p> <p>Graylog目前有幾家廠商在臺灣推廣，一家是<a href="https://www.jason.tools/opensource-log-server">節省工具箱</a>提供商業版本的服務，另一家是代理多種IT管理系統與資安系統品牌的廠商<a href="https://version-2.com.tw/graylog/">台灣二版</a>，去年開始宣傳Graylog最新動態。</p> <h3><span style="color:#0000FF;"><strong>事件管理系統是主力產品，以開放原始碼版本為核心，延伸提供進階功能的企業版，以及著重資安功能的安全版</strong></span></h3> <p>Graylog提供多種形式的解決方案，長期發展的事件管理系統是最廣為人知的產品。</p> <p>首先是以免費使用、開放原始碼聞名的Graylog Open，提供事件記錄集中管理功能，能夠橫跨多種IT環境執行資料的收集、解析、充實、分析；接著是基於Graylog Open、提供更多進階功能的Graylog Enterprise，具備交互關連（Correlation）、歸檔（Archiving）與轉送（Forwarder）、團隊多人協作與統計報表產生，以及多種雲端服務與應用程式的整合支援。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Graylog-coredeploymentarchitecture.jpg" style="width: 600px;" /></p> <p>值得注意的是，Graylog Enterprise又被稱為Graylog Operations，原因是<a href="https://graylog.org/post/announcing-graylog-v4-3-graylog-operations-graylog-security/">2022年5月Graylog Enterprise更名為Graylog Operations</a>，<a href="https://graylog.org/post/graylog-has-a-brand-new-look/">兩年後又將名字改回Graylog Enterprise</a>。</p> <p>而在Graylog Enterprise的基礎上，延伸出全代管的SaaS服務Graylog Cloud（<a href="https://graylog.org/post/graylog-announces-graylog-cloud/">2021年3月推出</a>），</p> <p><a href="https://s4.itho.me/sites/default/files/images/Graylog Enterprise1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Graylog%20Enterprise1.jpg" style="width: 600px;" /></a></p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/Graylog-conventionaldeploymentarchitecture.jpg" style="width: 500px;" /></p> <p>以及強化資安團隊所需功能的Graylog Security，能以此進行威脅的偵測、調查、應變工作（<a href="https://graylog.org/post/graylog-announces-security-solution-with-ml-based-anomaly-detection/">2021年10月推出</a>）。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Graylog Security1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Graylog%20Security1.jpg" style="width: 600px;" /></a></p> <p>針對各種事件記錄資料解析能力的擴充，Graylog提供易用的內容套件（content packs），稱為Graylog Illuminate（<a href="https://graylog.org/post/announcing-graylog-illuminate/">2020年6月推出</a>），目前提供60種，透過內建的處理流程、解析規則、查詢表，協助Graylog Enterprise與Graylog Security充實與正規化處理資料內容，更有效率地分析不同來源的記錄。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Graylog Illuminate1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Graylog%20Illuminate1.jpg" style="width: 600px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Graylog-solutions.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Graylog-solutions.jpg" style="width: 300px;" /></a></p> <p>Graylog<a href="https://graylog.org/releases/">軟體改版相當頻繁</a>，7月4日釋出<a href="https://graylog.org/post/announcing-graylog-6-3-1/">6.3.1版</a>，今年上半年發布重大更新主要是在今年<a href="https://graylog.org/post/introducing-graylog-6-2-a-siem-without-compromise/">4月底RSAC大會期間</a>，他們宣布推出<a href="https://graylog.org/post/announcing-graylog-6-2/">6.2版</a>，當中主打幾個特色，都會在付費版本（Graylog Enterprise與Graylog Security）提供，像是：針對去年秋季改版增加的資料湖與資料路由功能，加以延伸，能在擷取資料集之前，預覽工作團隊所需的資料是否在資料湖，隨後可運用選定資料擷取（Selective Data Retrieval）功能，隨需存取小範圍的記錄資訊，可大幅減少授權耗用量。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Graylog-Data Lake Preview1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Graylog-Data%20Lake%20Preview1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Graylog-Data Lake Preview2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Graylog-Data%20Lake%20Preview2.jpg" style="width: 298px;" /></a></p> <p>6.2版另一個新功能是提供「掌握敵情而成的防禦機制（Adversary Informed Defense）」，能自動辨識多個敵對團體的攻擊戰略、伎倆與程序（TTP），執行一連串的偵測，並根據每次額外確認的偵測結果以指數的方式增加風險評分，當中不僅基於MITRE ATT&CK列出的戰略與伎倆來標記偵測，也運用真實世界的威脅活動細部資訊，以便指認自身環境存在網路攻擊活動，而且就算是分散在多天、多週、多月的個別行動，也能依此方式進行辨識。</p> <p><a href="https://s4.itho.me/sites/default/files/images/Graylog-Threat Campaign Risk Amplifier-1.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Graylog-Threat%20Campaign%20Risk%20Amplifier-1.jpg" style="width: 298px;" /></a> <a href="https://s4.itho.me/sites/default/files/images/Graylog-Threat Campaign Risk Amplifier-2.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Graylog-Threat%20Campaign%20Risk%20Amplifier-2.jpg" style="width: 298px;" /></a></p> <p><a href="https://s4.itho.me/sites/default/files/images/Graylog-Threat Campaign Risk Amplifier-3.jpg"><img alt="" src="https://s4.itho.me/sites/default/files/images/Graylog-Threat%20Campaign%20Risk%20Amplifier-3.jpg" style="width: 600px;" /></a></p> <h3><span style="color:#0000FF;"><strong>跨足API防護應用，能夠監控與偵測API流量，產生攻擊警示與有問題的執行階段活動</strong></span></h3> <p>除了上述鎖定資安事件記錄管理用途的產品，Graylog旗下還有API安全解決方案，稱為Graylog API Security，可透過擷取API流量，探查存取的API，以及這些API是由合法使用者、惡意攻擊者、合作廠商、內部人員使用的，並運用內建與自定的特徵碼，自動偵測與警示當中的互動，確認是否存在網路攻擊、資料外洩行為。</p> <p>Graylog API Security的推出，源自2023年7月<a href="https://graylog.org/news/graylog-acquires-resurface-ios-api-security-solution/">併購新創資安公司Resurface</a>，2024年1月發表Graylog API Security 3.6，<a href="https://graylog.org/news/graylog-announces-free-api-security-tool/">2月釋出免費版</a>——僅能以單節點部署、儲存16 GB資料（容量一旦超過，將刪掉舊資料，留給新進資料）。</p> <p><strong><span style="color:#008080;">產品資訊</span></strong></p> <p><strong><span style="color:#0000FF;">Graylog</span></strong><br /> ●代理商：台灣二版<br /> ●建議售價：開放版免費，企業版每年1.5萬美元起，資安版每年1.8萬美元起，API Security版每年1.8萬美元起<br /> ●作業系統需求：Linux（Ubuntu 20.04, 22.04、RHEL 7/8/9、SUSE Linux Enterprise Server 12/15、Debian 10/11/12）、Docker<br /> ●系統基礎元件： Graylog、Data Node、MongoDB（5.0.7版至7.x版），選用OpenSearch（1.1.x版至2.15.x版）</p> <p>【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】</p> </div></div></div>
2025/7/6 18:31作者李宗翰https://www.ithome.com.tw/review/169622
如何從0到1實作MCP？奧丁丁揭4大步驟
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>生成式AI帶動代理型AI（Agentic AI）興起，如何善用自主能力更勝以往的AI代理完成任務、事半功倍，一直是企業探索的重要議題。尤其，為讓驅動AI代理的大型語言模型（LLM）使用外部工具和資料、產出更精準的回答，開發者得為每個資料來源，進行複雜的客製化串接。</p> <p>Model Context Protocol（MCP）因此應運而生，它就像統一的USB-C接口，不論資料還是工具，只要支援MCP，AI模型就能找到正確又即時的內容，給出更精準的答案。</p> <p>奧丁丁集團最近就實作MCP，做出一套伺服器來連接對外API技術文件，方便Cursor這類AI輔助開發工具搜尋，讓外部開發者透過AI問答，協助串接API、降低技術門檻。奧丁丁AI團隊還預告，他們內部也要這麼做，建置MCP伺服器來連接內部文件、加速自家開發流程。</p> <h1><strong>緣起：API串接的3大痛點</strong></h1> <p>奧丁丁AI團隊首先點出，以往企業將AI介接外部工具或資源時，都會面臨3大挑戰。</p> <p>第一，開發者得先閱讀複雜的API技術文件。這是因為，開發者將AI串接外部特定資源時，得仰賴API，必須先閱讀對方提供的API技術文件，自己再撰寫一份指令，來教導AI如何使用這支工具或資源。</p> <p>由於沒有統一的API技術文件規格，這些文件可以很複雜，而且「AI所串接的每一支工具或資料庫，我都要這麼做，累積下來可能就有20、30份文件要處理。」</p> <p>這情況帶出第二項挑戰，也就是維護成本。因為要處理的技術文件眾多，若提供API的企業或官方更改API，開發者就得重寫指令、重新教導AI使用該工具，衍生繁重的維護成本。</p> <p>第三個挑戰是重工問題。奧丁丁AI團隊表示，由於AI介接外部工具沒有統一的規格，常常介接A工具使用A格式、B工具使用B格式，導致開發者花時間重工，開發效率低下。</p> <p>不過，就在2024年11月，AI業者Anthropic發布開放協定MCP，將AI模型與外部資料或工具互動的方式標準化，就像是AI的USB-C般，來讓提供方和串接方遵循。</p> <h1><strong>4大步驟實作MCP</strong></h1> <p>常見的MCP支援方式有兩種，一是作為MCP Server（伺服器端），由開發者建置一個輕量級程式（即MCP Server），來讓外部AI或代理存取自家資源。另一種是作為MCP Client（客戶端），來使用MCP協定，讓自己的AI工具或代理存取各種支援MCP的資源，如知識庫、API等。</p> <p>觀察MCP已久的奧丁丁AI團隊，在今年初決定用自家的對外服務OwlPay Harbor來試水溫。這是一款剛上線的API工具，支付業者可整合進自己的服務，來轉換法幣與穩定幣。</p> <p>接著，奧丁丁AI團隊用4大步驟來實作MCP。第一步是設定目標，他們將目標定為，使用者可借AI之力，來更快速串接OwlPay Harbor。</p> <p>意思是，奧丁丁選擇作為MCP伺服器端，建置一套MCP伺服器，來連接API技術文件，讓外部AI模型或代理存取。如此一來，外部開發者就能透過Cursor這類的AI問答，來簡化API串接。</p> <blockquote><p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E9%96%8B%E7%99%BC%E8%80%85%E5%8F%AA%E9%9C%80%E4%BB%A5%E8%87%AA%E7%84%B6%E8%AA%9E%E8%A8%80%E8%A9%A2%E5%95%8F%EF%BC%8CAI%20Agent%20%E4%BE%BF%E6%9C%83%E8%87%AA%E5%8B%95%E5%B0%87%E6%8C%87%E4%BB%A4%E8%BD%89%E6%88%90%E6%90%9C%E5%B0%8B%E9%97%9C%E9%8D%B5%E5%AD%97%EF%BC%8C%E9%80%8F%E9%81%8E%20MCP%20%E5%B7%A5%E5%85%B7%E7%9B%B4%E6%8E%A5%E6%9F%A5%E8%A9%A2%E6%8A%80%E8%A1%93%E6%96%87%E4%BB%B6%EF%BC%8C%E4%B8%A6%E8%87%AA%E5%8B%95%E7%94%A2%E5%87%BA%20API%20%E7%AF%84%E4%BE%8B%E8%88%87%E5%B0%88%E6%A1%88%E6%9E%B6%E6%A7%8B.png" /></p> <p>串接MCP後，外部開發者可直接對AI輸入自然語言指令，AI代理就會自動將指令轉成搜尋關鍵字，透過MCP工具直接查詢技術文件，並自動產出API範例和專案架構，無需依賴外部搜尋引擎。</p> </blockquote> <p>雖然MCP伺服器也能直接連結API，但奧丁丁AI團隊選擇只提供API技術文件、不提供整支API，是因為OwlPay Harbor為金流處理工具，涉及敏感資料，若由AI自動控制金流可能增加風險。因此他們採取比較審慎的作法，將MCP保留最小操作權限，只鎖定「引導企業使用者完成串接流程」，逐步協助使用者串接，而不是直接授權AI操作金流。</p> <p>第二步是準備必要能力，也就是一支搜尋API，來告訴外部AI模型，如何檢索這些技術文件。這支API就像是查詢入口，讓AI在推論過程中，動態取得正確的文件內容。</p> <p>第三步是最有挑戰的一步，要將API技術文件轉換為AI可讀的形式。奧丁丁AI團隊解釋，要讓AI可搜尋檢索，就得將文件內容改為AI看得懂的格式，需要「高度語義化。」</p> <p>意思是，文件的結構和內容，都要明確標註並分類其「是什麼」和「用來做什麼」，讓AI系統能自動理解並處理。舉例來說，好的MCP輸出結構，應該要「分層敘述」，也就是依序有大分類、標題、摘錄和主文的層次，且在功能欄位中，要將URL從文件中分離出來，而非混合為一。（如下圖）</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E5%A5%BD%E7%9A%84MCP%E8%BC%B8%E5%87%BA.png" /></p> <p>另一方面，AI有其上下文窗口（Context window）限制，也就是AI一次互動可處理的最大Token（字符）數量，再加上AI多次互動時，會將先前的對話內容也算進窗口中，因此開發者必須控制文件長度，預留Token窗口供後續AI多次互動使用。</p> <p>奧丁丁AI團隊根據經驗法則，將單次MCP查詢時所回覆的API文件內容，控制在模型最大可讀的Token總數一半以內。舉例來說，若模型上限為10萬個Token，單次回覆內容則控制在5萬個Token以內。這麼做，可以預留空間來讓AI有效理解問題本身、保持回應品質，避免「內容過長導致模型失效。」</p> <blockquote><p><img alt="" src="https://s4.itho.me/sites/default/files/images/image%20(9).png" /></p> <p>與AI進行多輪對話時，AI會將過去的對話內容算進上下文窗口（Context window）中。因此，奧丁丁團隊將單次MCP查詢所回覆的內容，控制在模型最大可讀的Token總數一半。如此一來，AI才能有效理解問題、確保回應品質。</p> </blockquote> <p>最後一步則是使用開源工具，如Anthropic釋出的MCP工具，來將處理好的OwlPay Harbor技術文件和搜尋API封裝成MCP工具並發布，來讓其他支援MCP的AI模型安裝、使用。</p> <h1><strong>支援MCP不只降低開發門檻，還提供更精準回答</strong></h1> <p>這種MCP支援，還有不少好處。比如對外部開發者來說，可以降低API串接門檻，不必單靠自己閱讀API技術文件，而是透過AI問答、輔助撰寫程式碼完成。</p> <p>舉例來說，串接MCP後，開發者直接以自然語言輸入指令，AI代理就會自動將指令轉為搜尋關鍵字，透過MCP工具直接查詢技術文件，並自動產出API範例和專案架構，不必依賴外部搜尋引擎。</p> <p>再來，透過MCP支援，AI搜尋的資料範圍更精準，回答也更準確。這是因為，AI工具使用外部搜尋引擎，尋找特定技術文件時，可能會搜尋到其他類似資料，並混在一起回答問題，進而產生幻覺。但透過MCP工具，AI可以存取特定內容並搜尋、產出答案，大幅降低取得錯誤或過時資訊的可能性。</p> <p>另一個好處是，AI可透過MCP自主查詢整份文件、撰寫程式碼，不會處理一個段落後，再向使用者索取額外資料才能繼續作業。</p> <p>除此之外，使用MCP還有安全上的好處。就使用者來說，AI工具透過MCP直接存取外部資源，使用者不必另外開網頁、複製資料再貼到AI工具中，因此相對安全。</p> <p>對作為MCP伺服器端的企業來說，因為需根據目的，去設計能讓外部AI存取的內容，因此落實最小權限、給予最合適的內容範圍，也確保資料安全。</p> <h1><strong>觀望者可從目標設定先著手</strong></h1> <p>有了MCP實戰經驗，奧丁丁AI團隊也不藏私分享實作心得建議，供觀望者參考。</p> <p>第一是確認目標，比如要做MCP伺服器端，還是MCP客戶端。決定後，才能思考該為AI準備什麼能力，並召集相關部門討論可行方案，開發團隊再給出開發方式、規格和時程。</p> <p>第二個建議是安全性，也就是根據目標和希望給予AI的能力，來決定資料權限和範圍，比如奧丁丁決定將自家API技術文件打包成MCP工具，來供外部AI存取，那麼資料就得是原本已經公開的文件。</p> <p>同理，若企業想將內部文件打包成MCP工具、供內部人員使用，也得先劃分資料使用權限與範圍，才能確保機敏資訊不外洩。</p> <p>另一個建議是將文件改為AI可讀的形式，尤其是建置MCP伺服器來讓AI模型存取自家資料時，其資料格式、欄位就得高度語義化，且需保留適度的上下文窗口，才不會影響AI產出的答案。</p> <p>這次實戰經驗，也讓奧丁丁AI團隊思考，未來要建置MCP伺服器來連接內部文件、資源，供內部團隊使用。尤其，奧丁丁AI團隊已高度運用AI協助開發，若AI能存取更多資料、工具，就更能加速開發流程，提高工作效率。文⊙王若樸</p> </div></div></div>
2025/7/4 15:35作者王若樸https://www.ithome.com.tw/news/169898
IMA發起Taiwan Tongues推動台灣語料庫，要讓台灣在地語言在AI世界發聲
<div class="field field-name-field-news-column-category field-type-taxonomy-term-reference field-label-hidden"><div class="field-items"><div class="field-item even"><a href="/tags/%E6%96%B0%E8%81%9E">新聞</a></div></div></div><div class="field field-name-body field-type-text-with-summary field-label-hidden"><div class="field-items"><div class="field-item even"> <p>生成式AI快速發展，然而，現今主流的AI模型使用的訓練語料多為英文或是簡體中文，導致模型缺少對台灣本地語言習慣、在地文化及價值觀，漸漸可能使台灣的在地語言在AI時代被邊緣化。IMA資訊經理人協會今年推動Taiwan Tongues「台灣通用語料庫計畫」，希望建立高品質的台灣語料庫，在號召之下，現在已有數十位作家參與、貢獻累計超過500萬字文學作品。</p> <p>IMA協會理事長蔡祈岩表示，AI快速發展後，儘管能夠支援繁體中文，但因為不瞭解台灣的語言，導致使用錯誤的用語或是誤讀台灣的語言，IMA協會發起Taiwan Tongues，號召作家組成Team Taiwan，讓全世界能夠聽台灣，包括兩層涵意，一個是聽得懂且理解，另一個則象徵我們在AI的主體性及主權，要讓AI能理解台灣人的腔、習慣。</p> <p>Taiwan Tongues目的為建立高品質的語料庫，一邊蒐集語料的同時，也將語料開源，該計畫號召台灣的文學作家參與授權，包括台灣使用的語言，包括台灣華語、台灣台語、台灣客語及原住民語，希望讓AI能夠聽懂、理解台灣的聲音。</p> <p>這項計畫由IMA執委胡長松帶領，身為文學作家的他也帶頭無償釋出約150萬字的作品，號召更多作家加入，目前已有向陽、曾貴海等知名作家參與釋出他們的作品，累計已有超過500萬字的高品質語料。</p> <p>胡長松指出，語言承載文化，作家或詩人擅長以詩文寄托文化價值觀，在AI時代下當本地的語言邊緣化，詩人、作家也應該站出來挽救語言、文化。Taiwan Tongues的目標是號召作家加入，共同建立高品質的台灣語料庫，目前已有不少的高品質語料，其中不少是台灣台語文學作品，已陸續上架到Hugging Face，以CC4.0授權，供外界非商業使用，例如語音助理、機器翻譯、語言教學、文化推廣等等，至於商業授權則必需與個別的作家談授權。</p> <p>這個台灣語料庫，希望透過開源讓外界使用，除了協助台灣的企業或研究機構建立本地的模型，也希望讓國外主流的模型運用，為在AI時代下拉抬台灣在地語言、文化在全球AI模型的能見度。</p> <p><img alt="" src="https://s4.itho.me/sites/default/files/images/%E6%88%AA%E5%9C%96%202025-07-04%20%E4%B8%8B%E5%8D%886_29_34.jpeg" style="width: 600px; height: 443px;" /></p> <p>除了發起台灣語料庫，Taiwan Tongues計畫也和群聯電子合作，利用其提供的運算硬體資源，結合Reward Model、RL微調，開發可訓練具備多元觀點辨識和區域語音調適能力的模型訓語境訓練框架，來幫助企業訓練在地化的AI模型，降低單一語料、單一觀點可能產生的偏差風險。</p> <p>另外，協會也和陽明交智能所的廖元甫教授合作，建立一套台灣語境評測，可對模型驗證使用台灣語料庫後的成效，經過廖元甫帶領團隊的測試，使用Taiwan Tongues語料和教育部台灣辭典等公共語料，以CPT持續預訓練、SFT微調，經過台灣語料預訓練、微調，台語AI模型的正確率評分從31.5提高到42.6分，顯示台灣語料對模型帶來顯著的效果，提高對台語的理解、書信內容生成的正確率。</p> <p>數發部次長林宜敬則表示，除了民間發起的台灣語料庫，未來數發部也會統籌推動公部門的語料，以組成政府機關語料，未來進一步深化公部門和私部門合作，力促政府和民間在語料開放、模型建構和應用評測的合作。另外，今天Taiwan Tongues為號招作家加入，以無償貢獻文學作品，對於不願意無償授權的作家，數發部未來也會建立適合的授權機制，讓更多作家能夠以合理的方式參與。</p> <p>展望未來，IMA期望Taiwan Tongues繼續擴大台灣使用的華語、台語、客語、原住民語等多種語料，並希望和國際上的主流語言模型平臺合作，讓台灣的語言在全球AI生態中增加更多的能見度。</p> <p>Taiwan Tongue也準備開啟Wiki Taiwan，增加台灣語言在網路世界的能見度，首先是針對台灣使用的華語，號召志工補齊維基百科裡只有英文而沒有繁體中文的條目，其次是針對台語，先將維基百科上約140筆的繁體中文條目轉為台語內容，再進行英文條目的翻譯補齊工作。</p> </div></div></div>
2025/7/4 18:30作者蘇文彬https://www.ithome.com.tw/news/169900